[IT 전문 블로그 미디어=딜라이트닷넷]

NSHC는 모바일 백신, 모바일 앱 위변조 방지, 앱 난독화, 키보드 입력 보안 솔루션을 공급하고 있는 모바일 보안 전문기업이다. 국내 금융사와 공공기관, 게임사 등에 모바이 보안 제품을 활발히 공급해 왔다.

최근에는 모바일 게임 보안에 특화된 지엑스쉴드(GxShield)’와 핀테크 통합 보안 솔루션인 에프엑스쉴드(FxShiedl)’를 선보이면서 제품군도 대폭 확대했다.

모바일 백신, 앱 위협조 방지, 앱 난독화, 키보드 입력보안 제품으로 구성된 대표 제품군인 드로이드엑스(Droid-X 3.0)’는 국내뿐만 아니라 일본 13개 은행에도 공급하는 솔루션 사업을 활발히 벌이고 있다.

2년 전에는 싱가포르에 진출, 허영일 대표가 직접 상주하면서 동남아시아 시장 개척에도 나섰다.

싱가포르에서는 오펜시브 리서치를 중점적으로 벌이면서 보안 정보제공 서비스와 보안 교육 서비스를 활발 벌이고 있다. 멕시코·대만·홍콩의 경찰청에 보안 정보 서비스를 제공하고 있으며, 대만과 홍콩, 이란, 르완다, 사우디아라비아, 콜롬비아 국가기관 등에 보안교육을 제공하는 등 서비스 사업이 활발하다.

NSHC는 먼저 레드얼럿취약점·보안위협 정보 제공 서비스를 시작하더니 모의해킹 서비스와 보안 교육 서비스까지 확장했다.

NSHC 레드얼럿팀이 수행한 오펜시브 리서치는 최근 국내 보안업계에 잇달아 이슈화됐다. 중국 제조사 공유기 취약점과 가정용 CCTV·IP카메라의 취약점·백도어 기능을 찾아냈고 모바일 결제 앱의 취약한 보안 수준을 진단한 결과를 잇달아 발표해 주목받았다. 최근에도 NSHC는 국내 기업, 은행, 공공기관에서 사용하고 있는 R사의 국산 라우터에서 심각한 취약점을 발견해 위험성을 공개하기도 했다.

사용자 삽입 이미지
오펜시브 리서치와 이를 바탕으로 한 보안 서비스에 적극 뛰어든 이유로 최병규 NSHC 경영전략본부 본부장은 사후 대응에 해당하는 방패만으로는 보안을 성숙시킬 수 없다. 사이버보안을 위해서는 예방이 중요하기 때문이라며 오펜시브 리서치는 바로 예방을 위한 것으로 보안을 위해 필요한 취약점과 위협 관련 정보를 주나 월, 분기 단위로 제공하고 있으며 취약점 모의해킹 서비스, 보안 교육까지 수행하고 있다고 말했다.

최 본부장은 “NSHC는 실제 해커와 같은 조건에서 모의해킹 서비스를 제공한다. 특정 제품을 대상으로 블랙박스 테스트를 하고 있다. 기존에 모의해킹이나 취약점 분석은 체크리스트 수준으로 해온 것과는 차별화된다고 부각했다.

그는 오펜시브 보안 분야가 사이버보안을 위해 더욱 활성화돼야 한다는 점을 강조했다.

실제로 구글, 마이크로소프트, 페이스북같은 글로벌 기업들이 상금을 내걸고 취약점을 찾아 달라는 버그바운티를 수행하고 있다. 이들이 버그바운티 프로그램을 포함해 다양한 오펜시브 리서치를 수행하는 이유는 제공하는 제품과 서비스의 보안을 향상시킬 수 있기 때문이다. 하지만 이 역시도 모바일 OS나 웹 브라우저 분야에서 활발히 이뤄지고 있지만, 개발기업 대부분, 특히 국내 기업들은 버그나 에러가 발견되더라도 이같은 사실을 숨기는데 급급한 수준이라는 게 최 본부장의 지적이다.

최 본부장은 보안위협 정보 서비스 요구는 많지만 아직까지 성공한 모델은 없다. 국내에서 오펜시브 리서치나 관련 컨설팅, 모의해킹 수요도 생각보다 많지 않은 상황이라며 오펜시브 리서치는 의사결정이 C(경영진)레벨에서 수행돼야 한다. 자칫 개발자 잘못이 될 수 있기 때문에 실무진들은 피하려고 한다. 이 점이 가장 어렵다고 지적했다.

컨설팅과 서비스 사업을 동남아시아지역 사업을 벌이는 싱가포르 법인에서 주도하고 있는 이유도 이와 관련돼 있다는 것이 그의 설명이다.

최 본부장은 “NSHC는 창과 방패를 모두 갖추고 제공하는 유일한 기업으로 지속 성장해 나갈 것이라며 아시아 넘버원 사이버보안 회사로 도약하기 위해 오는 2018년 싱가포르 법인 상장을 목표로 하고 있다고 포부를 밝혔다.

[이유지기자의 블로그=안전한 네트워크 세상]


2015/09/23 14:39 2015/09/23 14:39
[IT 전문 블로그 미디어=딜라이트닷넷]

방어기법을 개발하기 위해서는 공격기법을 연구해야 한다. 이는 단순히 특정 기업이나 기관의 문제가 아니라 국가 차원의 사이버보안 수준에 영향을 미친다.”


블랙펄시큐리티의 공동 창업자인 심준보 기술이사
(CTO)오펜시브 시큐리티의 필요성을 이같이 강조하면서 기업은 물론, 국가 차원에서도 이 분야가 좀 더 활성화될 수 있도록 노력 기울여야 한다고 견해를 밝혔다.


사용자 삽입 이미지
그 이유로 심 이사는
해커들로부터 실제 공격 받는 경험을 갖는다는 것은 아주 값지다. 향후 방어를 위한 정책을 수립하는데 있어 중요하다공격자는 일단 공격을 감행하면 시스템이 무조건 뚫린다는 것을 가정한다. 부족한 현재 수준을 점차 줄여나가는 것이 보안을 강화하는 과정이 된다고 말했다. 우리나라가 안타까운 세월호 침몰 사건을 경험한 이후 선박에 대한 안전문제, 국가 재난 대처 수준과 방식을 재점검하고 새롭게 수립하게 된 것과 같은 맥락이라는 것이 그의 얘기다.


오펜시브 보안 사업의 대표적인 유형으로는 대개 기업의 인프라를 대상으로 한 모의해킹과 소프트웨어 제품의 취약점 점검이 꼽힌다
. 인프라나 제품에 존재하는 취약점을 알아내 침투가 가능한지 테스트를 수행해 나온 결과를 바탕으로 보안 컨설팅을 수행하는 것이다.


심 이사는 오펜시브 시큐리티 기업들이 제공하는 모의해킹 방식은 그동안 국내 보안업계에서 정보보호컨설팅 업체들이 정보통신기반보호법에 따라 의무화돼 있는 주요 정보통신기반시설을 대상으로 수행해온 방식과는 차별점이 있다고 강조했다.


그는 모의해킹은 화이트박스 테스팅과 블랙박스 테스팅으로 구분된다. 화이트박스 테스팅은 기업에 앞으로 해킹을 진행할 모든 정보를 알려준 상태에서 한정된 대상에 대해 수행하는 것이라며 오펜시브 보안 기업들에게 의뢰하는 최근의 요구는 주로 블랙박스 테스팅으로, 국내에서는 휴대폰 제조사 등 대기업이 출시하는 신제품이 많다고 설명했다.


또한 기업의 감사팀이 보안팀이나 기업 보안수준을 진단하기 위해 침투테스트를 벌이는 경우도 있으나 아직 그 수요는 많지 않다. 하지만 점차 늘어나고 있는 추세라고 덧붙였다.


심 이사는 블랙박스 테스팅이 보다 효과적이 되려면 특정 제품이나 기업 차원의 요구를 넘어 국가 차원에서 진행할 필요가 있다는 점을 강조했다. 이를 위해서는 국가사이버보안 강화를 위해 민··군이 공동 대응해야 하고 민간 전문가들과의 적극적인 참여와 공조를 유도해야 한다을지훈련이나 사이버민방위훈련처럼 주기적으로 전 국민이 참여할 수 있는 체계가 필요하다고 제안했다.


블랙펄시큐리티는 201111월 설립된 기업으로 5년차에 접어들었다. 현재 취약점 분석과 보안 컨설팅뿐 아니라 교육 사업도 벌이고 있다. 심 이사는 한국정보기술연구원(KITRI)에서 주관하는 차세대 보안리더 양성 프로그램(Best of the Best, BoB) 멘토로 활동하고 있다.


그는 블랙펄시큐리티의 강점으로 취약점을 가장 잘 찾을 수 있다고 자부한다. 이슈가 됐던 홈트레이딩시스템(HTS) 취약점을 공표했고 한글과컴퓨터의 한글 제로데이 취약점을 잇달아 찾아 보고한 적이 있다. 스카다(SCADA), 지하철망 등 기반시설 시스템 취약점을 분석하는데 전문성을 갖고 있다고 말했다.


심 이사는 우리나라는 정보보호 관련법이 견고한 반면에 해커 커뮤니티가 잘 돼 있는 국가다. 다만 정부지원은 거의 없다. ‘사이버보안은 돈이 안된다고 할만큼 그동안 해커들이 돈을 벌기에도 힘든 조건에 있었다회사를 설립한 것도 기술수준이 우수하지만 일반 기업의 조직문화에 적응하지 못하는 해커들도 다닐 수 있고 맘껏 연구할 수 있는 환경을 제공하고 싶었기 때문이다. 소수정예로 운영하면서 잘 먹고 잘 사는 기업을 만들자는 것이 목표라고 강조했다.


이어 사업적 측면에서는 국내 시장에서 보안 사업은 레드오션이다. 이같은 레드오션을 블루오션으로 만들 수 있는 전략이나 돌파구가 바로 오펜시브 시큐리티’”라고 진단했다.


[이유지기자의 블로그=안전한 네트워크 세상]
2015/09/23 14:39 2015/09/23 14:39

[IT 전문 블로그 미디어=딜라이트닷넷]

사용자 삽입 이미지
그레이해쉬는 오펜시브 리서치 전문성을 전면에 내세운 대표기업이다. “공격 기술을 알아야 방어할 수 있다는 철학을 바탕으로 작년 6월 설립됐다. 신생업체이지만 국내외에서 해커 이승진 대표의 활약상은 이미 잘 알려져 있다.

이승진 그레이해쉬 대표는 공격 기술을 알아야 방어도 가능하다. 새로운 공격기법이 끊임없이 개발되고 기존 보안 솔루션을 우회한 공격이 이뤄지는 상황에서는 공격자 입장에서 하는 연구가 필수적이다오펜시브 리서치의 중요성을 이같이 설파했다.

이 대표는 지난 2013년 세계 최대 해킹·보안 컨퍼런스인 블랙햇에서 삼성전자 스마트TV의 취약점을 발표해 주목을 끌었다. 애플 iOS의 제로데이 취약점도 여러차례 발견, 이를 전달해 패치된 사례도 있다.

지난 2006년 아시아 최초로 데프콘본선 진출권을 따냈고 국내 해커로는 최다 진출한 경험을 갖고 있다.

보안업계에서는 2000년부터 활동해 왔다. 보안업체를 거쳐 사이버사령부에서 군복무를 하다 전역해 프리랜서로 활동해왔으며, 현재도 자문을 맡고 있다. 그레이해쉬 설립 당시에는 4명이 함께 시작했다. 벌써 구성원이 7명으로 늘어났다.

사용자 삽입 이미지
회사 대표를 맡고 있지만 이 대표는 올해에도 미국 라스베이거스에서 열린 데프콘에 참가하는 등 국내외 해킹 대회와 보안 컨퍼런스에 지속적으로 참여하고 있다.

현재 그래이해쉬의 주요 사업은 보안 컨설팅이다. 정식 법인이 설립되기 이전인 2012년부터 삼성전자, 삼성SDS, SK커뮤니케이션즈, SK텔레콤, 네이버 NBP·라인 등 국내 유수의 기업 보안컨설팅을 맡았다. 이들 기업 대상으로 보안 자문이나 교육도 수행하고 있다.

정보보호 컨설팅은 모의해킹과 취약점 점검, 정보보호 마스터플랜 수립, 정보보호 인증 컨설팅 등 유형이 다양하다. 그레이해쉬가 집중하는 부문은 기업들이 출시하는 제품·서비스의 취약점을 분석하는 분야다.

이 대표는 기업에서 회사 웹페이지나 인프라를 모의해킹하는 것과 판매하는 제품이나 서비스의 보안 취약점을 찾아달라는 요구를 받는다우리나라 모의해킹의 역사는 길다. 하지만 리버스엔지니어링으로 특정 제품의 취약점을 찾는 분야는 아직까지 경쟁자가 많지 않아 이 분야에 더욱 주력하고 있다고 설명했다.

오펜시브 리서치나 제품 취약점 분석 컨설팅의 필요성으로 이 대표는 제품을 개발할 때 개발자들이 보안을 고려해 개발하는 것이 필수적이다. 그리고 자체적으로 문제점을 발견할 수 있는 전문지식을 가진 팀을 운영해야 한다. 자체적으로 이를 수행한다고 하더라도 미처 발견하지 못하는 경우도 있기 때문에 또 다른 경로로 리뷰를 거칠 필요성이 있다고 강조했다.

또한 오펜시브 리서치는 보안이 필요한 모든 영역에서 활용될 수 있다모바일기기나 데스크톱, 사물인터넷(IoT), 스마트그리드에 이르기까지 보안이 필요한 모든 분야에서 확장하고 있다. 해외에서는 국방 부문까지 컨설팅을 제공하고 있다고 말했다.

그레이해쉬는 교육 사업도 활발히 벌이고 있다. 주제별로 10~15명 규모로 이뤄지는 해킹·보안 트레이닝 프로그램을 상시 진행하고 있다. 이달에는 웹 해킹 실습, 웹브라우저 제로데이 헌팅을 비롯해 버그헌팅·익스플로잇화, 스마트폰해킹 등의 프로그램을 운영할 예정이다.

작년에는 화이트해쉬(WhiteHash)’라는 보안 영재 장학 프로그램을 신설, 운영하면서 후배 해커도 양성하고 있다. 한국정보기술연구원(KITRI)에서 주관하는 차세대 보안리더 양성 프로그램(Best of the Best, BoB) 멘토로도 활동하고 있다.

그래이해쉬는 모바일 애플리케이션 난독화 솔루션도 개발했다. 현재 솔루션 사업 전략을 짜고 있는 상태다. 사업 전략에 따라 출시 시기 등을 정할 계획이다. 일본 등 해외 시장 출시가 유력하다.

이 대표는 그레이해쉬의 궁극적인 지향점은 보안 솔루션 공급회사가 되는 것이라며 공격기술 연구를 바탕으로 개발된 차별화된 보안 솔루션을 제공하고 싶다고 밝혔다.

[이유지기자의 블로그=안전한 네트워크 세상]


2015/09/23 14:39 2015/09/23 14:39
[IT 전문 블로그 미디어=딜라이트닷넷]

국내 정보보호 업계에 ‘젊은’ 해커들이 잇달아 뛰어들어 ‘오펜시브 시큐리티’, ‘오펜시브 리서치’라는 새로운 영역을 개척하고 있다.

‘데프콘’·‘블랙햇’같은 세계적인 해킹·보안 대회에 진출해 이름을 날리거나 국내 해킹방어대회에서 여러 차례 우승한 전적을 가진 해커들이 회사를 설립하면서 생겨나고 있는 새로운 조류다.


몇 년 전만 해도 해커 출신이 설립한 보안업체는 홍민표 대표가 설립한 에스이웍스와 허영일 대표가 이끄는 NSHC만 알려져 있었다. 하지만 이들도 백신, 모바일 보안 제품같은 ‘방어기술’ 영역의 솔루션을 제공하는데 주력했다. (지난 2010년 당시 주목할만한 신생업체로 홍 대표가 에스이웍스 이전에 설립한 쉬프트웍스(인프라웨어에 매각)와 NSHC 두 기업을 <딜라이트닷넷>에서 살짝 다룬 적이 있었다. 관련 포스팅 : 스마트폰 혁명과 함께 주목되는 신생 보안업체)

국내외에서 이름이 알려진 해커인 이승진 대표가 설립한 그레이해쉬나 심준보 기술이사(CTO)가 공동 창업한 블랙펄시큐리티 등은 공격자의 입장에서 공격기법을 연구하는 ‘오펜시브 리서치’ 분야의 전문성을 내세운 기업이다.

이를 바탕으로 기업에 보안수준 진단, 취약점 점검을 비롯한 보안 컨설팅과 교육 서비스를 제공하고 있다. NSHC 역시 기존 솔루션 사업 부문 외에 공격기법을 연구하는 오펜시브 리서치 부문을 강화하고 있다.


해커 출신인 허영일 대표가 해외로 나가 이 부문을 이끌면서 활발하게 오펜시브 리서치 기반의 차별화된 보안 서비스 제공에 나서고 있다. ‘창’과 ‘방패’ 분야의 전문성을 모두 손에 쥐고 국내외에서 한층 경쟁력 있는 보안기업으로 성장해나가겠다는 목표다.

이들 외에는 해킹방어대회 등에서 여러차례 우승하면서 이름을 알린 박찬암씨도 ‘오펜시브 리서치’ 기업인 스틸리언을 창업했다. 와우해커를 이끌며 오랫동안 활동해온 홍동철 에스이웍스 최고기술책임자(CTO)도 최근 엠시큐어를 설립해 해커 출신 기업가 대열에 동참했다.

<딜라이트닷넷>은 창간 6주년 기획으로 이승진 그레이해쉬 대표와 심준보 블랙펄시큐리티 이사, 그리고 NSHC 국내 및 일본 사업을 총괄하는 최병규 본부장을 만나 오펜시브 분야에 대한 견해와 사업 얘기를 들어봤다. 앞으로 다른 해커 출신 기업가들도 만나볼 계획이다.


사용자 삽입 이미지
‘오펜시브(Offensive) 시큐리티’는 공격기법과 공격에 악용될만한 취약점을 연구하는 분야로, 선제적인 보안의 개념이다. 그동안 국내에서는 생소했지만 유명 해커 출신이 설립한 기업들이 잇달아 ‘오펜시브 리서치’ 전문성을 내세우며 등장, 활약상이 알려지면서 최근 한층 활성화되고 있다.

사업 영역은 주로 특정 제품에 대한 취약점을 찾고 시스템을 대상으로 침투테스트를 수행해 결과를 제공해 보안 컨설팅을 수행하는 분야와 해킹·보안 관련 교육 서비스를 제공하는데 집중돼 있다.

주로 기업이나 기관이 자체 시스템이나 제공할 서비스 상품과 인프라의 보안수준을 진단, 부족한 점을 보완해 보안성을 강화하기 위해 채택한다.

NSHC의 문해은 보안연구소 레드얼럿팀장은 ‘오펜시브 리서치’를 백신에 비유하며 “백신은 병에 걸리지 않을 정도로 병원균을 약화시켜 사전에 주입해 우리 몸이 병을 이겨내게 만들어 면역체계를 강화한다. 취약점과 부족한 부분을 찾아내 드러내기 때문에 관계자들(제품 개발이나 인프라 보안담당자)을 심각하게 만들 수는 있지만 결국 보안체계를 튼튼하게 하는 역할을 수행한다”고 설명하기도 했다.

해외에서 ‘오펜시브 시큐리티’ 사업 범위는 국내보다 넓다. 해외 관련업체들은 분석한 취약점을 국가기관이나 기업들에게 판매하거나 공격 도구와 기법을 개발, 판매까지 하는 등 보다 폭넓은 사업 범위를 갖고 있다.

<관련 포스팅>
: 그레이해쉬 “공격 기술을 알아야 방어도 가능”
: 블랙펄시큐리티 “해킹 경험은 보안수준 향상에 기여, ‘오펜시브’ 보안 분야 활성화 필요”

[이유지기자의 블로그=안전한 네트워크 세상]
2015/09/23 14:39 2015/09/23 14:39
[IT 전문 블로그 미디어=딜라이트닷넷]

오는 12월 23일 시행하는 ‘정보보호산업의 진흥에 관한 법률(정보보호산업진흥법)’ 하위법령 제정안 공청회가 15일 삼성동 코엑스에서 열렸다.

미래창조과학부는 지난 6월 제정된 정보보호산업진흥법은 시행을 앞두고 후속작업에 박차를 가하고 있다. 이 법 하위법령인 시행령과 시행규칙 제정안을 마련해 지난달 28일부터 입법예고에 들어갔다. 이번 공청회도 관련 의견을 수렴하기 위해 마련한 자리다.

이날 토론회에는 정준현 단국대 교수가 좌장을 맡았으며, 박춘식 서울여대 정보보호학과 교수와 이경호 고려대 정보보호대학원 교수, 정경오 법무법인 한중 변호사, 홍기융 시큐브 대표, 이민수 한국통신기술 대표, 이준호 네이버 최고정보보호책임자(CISO), 손경호 한국인터넷진흥원 보안산업단장, 홍진배 미래창조과학부 정보보호기획과장이 토론자로 참석했다.

이날 공청회 관련기사에 미처 담지 못한 전문가들의 의견과 토론 내용을 거의 그대로 싣는다. (관련기사 “정보보호 투자 선순환 기반 마련…이젠 실행이 중요” 전문가들 한목소리)

<박춘식 서울여대 정보보호학과 교수> 



법률이 만들어졌다고 해서 산업이 진흥되고 인력이 양성되나. 정보보호 산업진흥 기반 정도를 마련했다고 평가하고 싶다. 지금부터 많은 분들이 같이 노력해야 한다. 후속작업 시행령 마련돼 공청회 갖는 것 큰 의미있다.
법 제정과정에서 진흥 위한 별도 기금이 삭제된 점, 산·학·연 공동 연구센터 조항이 삭제되고 전문인력 양성 조항이 축소돼 아쉬운 점은 있다. 앞으로 개선됐으면 하는 바람이 있다.

시행령 제10조 전문인력 인력양성기관 지정 등 조항과 관련해 전문교수 요원의 자격이 정해 질적 저하를 최소화하기 위한 방편이 필요하다. 전문인력 양성에서 전문교수 요원의 역할이 중요하기 때문이다. 교육생 관리 인력으로 4인 이상 확보하도록 돼 있는데 나름 이유가 있겠지만 관리인력 4명 이상이면 불편할 수 있다. 근거와 필요성이 같이 얘기돼야 할 것이다. 시행규칙 제5조 전문인력 관리시스템 등록된 전문인력을 국가가 지원하도록 한 것은 아주 잘 돼 있다.

<이경호 고려대 정보보호대학원 교수>


정보보호산업진흥법 제정은 축하받을 일이다. 인류역사에서 부와 힘의 원천이 어디있는가는 계속 달라졌다. 이전에는 농경자본이었다. 이 시대의 원천은 정보다. 정보를 어떻게 잘 유지하고 지키는 것이 경쟁력을 높이는 길이다. 국가의 부도 이런 것에서 생긴다. 이번에 산업 관련 법률이 제정된 것 의미가 크다. 산업을 진흥하기로 약속한 것이다.

정보보호는 ICT뿐 아니라 기술기반 다 들어간다. 대한민국 기술기반 사업에 거름 역할을 한다. 한 번 주고 끝나는 것 아니라 육성될 때까지 끊임없는 사이클로 발전시켜야 한다. 유지보수 대가기준 거의 7년간 얘기해 왔다. 소프트웨어 대가로 7.8%에서 15%까지 올려야 한다고 했다. 정부를 설득하고 기재부 설득하고 많은 노력했지만 안됐다. 정보보호 제품의 특징이 발현되지 못하고 불균형 상태에 있었다. 산업 분류에 있어서도 정보보호는 소프트웨어 아래 IT 아래 있다. 비무기체계 아래 비품 항목에 정보보호 잡혀있다. 본질 산업 핵심역량 인정받지 못했다. 그동안 산업군도 작았다. 10조 이상 산업이 안됐다. 때문에 역할 표현 못하고 있다가 드디어 균형점 찾았다.



다른 법률과의 관계에서 앞으로 특별한 규정을 제외하고 정보보호산업에 해당할 경우 이 법 적용받는다. 정보보호 소프트웨어 개발할 때, 정부입찰 참여할 때 정보보호 제품으로 선언 안하면 소프트웨어산업진흥법 적용될 것이다. 이 법이 효과가 있을 것이다.

정보보호 산업은 소프트웨어 산업과 왜 구분해야 하느냐. 개발, 납품, 구축, 유지보수로 이어지는 소프트웨어 라이프사이클에서 일반 소프트웨어는 개발 단계에 핵심 역량 모아진다. 우수한 개발인력이 제품 개발에 투입하고 역량을 집중해 우수한 제품 개발해야 한다. 정보보호는 우수한 제품 납품했다고 해도 납품 후 검수받은 날부터 새로운 공격이 나온다. 좋은 소프트웨어 되려면 좋은 개발자를 투입해 완성도 높은 제품을 개발해 납품하지만, 정보보호 제품은 이후에 악성코드 업그레이드를 해야 한다. 지금은 제품 납품 계약으로 끝난다. 고객 원하는 니즈는 납품 이후에 발생하는데, 계약 구조는 납품에 국한돼 있다. 이해관계 완전히 어긋나 있는 것이다. 그래서 유지보수 대가가 중요하다.



이 부분을 맞춰내는 방법은 여러 가지가 있다. 기존에는 소프트웨어산업진흥법 지배 받아 기존과 차별화 어려웠다. 정보보호산업진흥법에 유지보수와 정보보호 서비스 관련해 제10조 정보보호 제품 및 정보보호 서비스 대가를 넣었다.


정보보호기업은 정보보호 제품이라 선언하고 그 틀에 넣어야 한다. 또 시행령, 시행규칙에 표준계약서를 작성하라고 돼 있다. 공공기관도 이 특성 이해하고 맞춰줘야 한다. 일부 추가 예산이 발생할 것이지만 전체적인 역량에 있어 보장받을 수 있다. 고리가 맞춰지고 선순환 구조가 생길 것이다.


다음은 하도급 이슈다. 소프트웨어(SW)산업진흥법에도 하도급 승인을 받도록 돼 있다. SW산업진흥법은 대기업 참여제한 더 강화되는 방향으로 개정된다. 사업자 입장에서는 SW로 선언하면 SW진흥법 규제를 받는다. SW사업자등록증 제시하게 돼 있다. 정보보호 산업으로 지정할 경우에는 정보보호산업진흥법을 따른다. 여기에서 하도급 승인 방식에 고민을 가질 수 있다. 유통을 책임질 수 있는 규모 있는 정보보호 기업은 대기업 참여제한을 원할 수 있다. 반면에 유통구조나 영업력 미천한 스타트업이나 소규모, 중규모 중 작은 곳은 대기업을 통해 납품을 원할 수 있다. 잘 조율해 이 조항이 마련됐으니 앞으로 시장 변화 보면서 개정해나가는 노력이 필요하다.


정보보호 준비도 평가 부분이다. 정보보호 예산과 인력을 노출할 경우 인센티브 주게 돼 있다. 대기업은 잘하고 있을 수 있다. 문제는 중견중소기업이다. 이 정보보호 준비도 등급제도를 면죄부 주는 형태로 접근돼서는 곤란하다. 준비도 기준 자체가 소송 발생시 형사적 근거로 남으면 곤란하다.
평가기관 지정은 엄격하고 과학적 접근이 필요하다. 평가를 기반으로 전체 조율도 할 수 있고 발전할 수 있는 관리노력이 필요하다. 중견중소기업 경우 보안상태가 허술하다. 90%의 기업이 개인정보보호 투자를 하지 않고 있는 상태에서 기준 너무 높아도 낮아도 문제다. 법적기준 영향을 줄 수 있는 적정수준이 필요하다.


수출진흥 부분. 산업 진흥을 이루려면 시장이 넓어져야 한다. 결국 해외로 나가야 한다. 정보보호 특성 자체가 우리보다 더 나은 우수 기업이 해외에 있으면 시장 장악이 어렵다. 우리가 잘 할 수 있는 곳에 안착해야 한다. 국가를 전략적으로 접근하거나 국가간 이해가 필요하다. 양쪽 정부간 인프라를 만드는 것도 방법인다. 이를 위해 정부와 기업, 비영리단체 및 민간기구 협력 안되면 해외수출 지속되기 쉽지 않다. 양쪽 협약 맺는 등 필요하다. FTA 협약 반영 노력 추가된다면 산업진흥에 도움될 것이다.
<정경오 법무법인 한중 변호사>



정보보호 공시제도와 관련해 구체적으로 공시할 내용이 열거돼 있다. 정보기술부문 투자 대비 정보보호 투자현황, 인력 역시 마찬가지다. 투자 인력이 적은 곳이 표적될 수 있다. 기업의 투자 현황, 보안 관련 투자 현황을 너무 세밀하게 공시하게 되면 해커 표적이 될 우려가 있다. 이 부분은 공시 내용을 제공받을 수 있는 별도의 방법이 있으면 보완했으면 한다.


정보보호진흥계획 5년 주기로 수립하게 돼 있는데 너무 기간이 긴 것이 아닌가 한다. 성능평가시험제도 부분은 소프트웨어진흥법 기존 품질인증 받은 경우나 평가시험 거친 경우 재활용할 수 있게 시행령 돼 있다. 그 내용이 없다.


하도급 승인 부문은 아쉽다. SW산업진흥법은 최근 좀 더 구체적으로 개정했다. 다단계 하도급 비율 50% 초과하지 못하도록 재하도급을 금지하는 것으로 개정했다. 이 부분 법률 반영했으면 하는데 아쉽다.

<좌장 정준현 단국대 교수>



정보보호 공시는 신중할 필요 있다. 일반 기업의 공시 내용을 보고 기업 영업비밀 침해받는 문제와 관련한 행정심판이 진행되는 사례도 있다. 정보보호 공시방법을 좀 더 세부적으로 다듬을 필요가 있다.

<홍기융 시큐브 대표>



법 제정된 것은 우리나라 정보보호산업계의 오래된 숙원사업이 해결된 것이라고 평가할 수 있다. 개인적으로 30여년 이 분야에서 몸담고 정보보호 기술 분야가 산업으로 성장하는 과정을 봤고 법제도 입안 기여하면서 살아왔다고 자부한다. 가장 중요한 것은 생태계가 선순환 발전할 수 있도록 조성이 되느냐에 있다.

우리나라는 정보화가 추진, 촉진되면서 역기능 막자, 첨단 범죄로부터 막아보자 차원에서 사회 전면에 정보보호가 등장했다. 산업으로 성장할 수 있는 생태계 조성돼 있나 하는 부분에서 많은 분들이 아직 생태계 조성된 것 같지 않다고 한다. 스스로 성장해야 하고 자생력 갖기 까지는 정부의 지원도 필요하다. 글로벌 경쟁력 갖고 유명한 기업으로 성장한 기업이 나타나야 하는데, 이번에 생태계 조성이 선순환 구조로 조성될 수 있는 큰 계기가 됐다. 법도 제정되고 좋은 환경 조성된다. 기쁜 한 해다. 법 조항에 의미있는 내용 담겨있다. 어떻게 실행하느냐가 큰 숙제다.



법에 정보보호 산업에 대한 체계적인 진흥계획 수립 내용이 담겨있다. 그동안에도 정보보호 발전 5개년 계획을 발표하고 이를 시행하기 위해 정부가 많은 노력을 했다. 실효적인 정보보호 대책이 되기 위해서는 업계 바라는 정보화 추진 예산 대비 정보보호 예산이 독자적 분리돼 얼마만큼 실행됐는지 알 수 있는 게 필요하다. 정보보호 예산을 분리할 수 있는 기반을 마련했다. 공공은 물론 민간 부분 정보보호 수준을 진정으로 향상시킬 수 있는 기틀이 마련됐다는 점에서 의미있다.


정보보호 구매수요정보를 제공한다는 것은 정보보호 산업계 너무나 환경할만한 일이다. 공공기관에서 기존에 수요예보 발표. 국회 예산 전후 대략의 가이드라인 제시했는데 법에 의해 규정 마련돼 있다는 것은 미래부에서 많은 노력을 벌인 결과다. 수요예측이 가능한 산업분야로 발전할 수 있다는 것이 중요한 조항이다.


정보보호서비스 대가규정 역시 마찬가지다. 관련법이 제정된 것은 그동안 정보보호 대가가 적정하지 못했다는 것을 반증한다. 선순환적 보안 산업계 발전을 위해서는 너무나 필요한 법제도적 장치다. 적정대가가 산정돼야 한다.


그동안 해킹사고 대규모 일어났고 전세계 개인정보 유출사고가 일어났다. 홀수년도를 조심해야 한다고 할 정도로 대형사고가 늘 있었다. 그 반면에 정보보호 관련 예산 투입이나 발전속도는 그에 비해 미진하지 않았나. 속도도 느리지 않았나. 내수시장이 전부는 아니지만 내수시장 침체 요소 해결해나가는 데 있어 법 제정이 중요 기틀을 마련해주고 있다.


성능평가는 보안 선진국가에서 중요한 전략 요소다. 정부가 산업을 무조건 보호하는 식으로만 포지셔닝할 수 없다. 국내 산업을 전략적으로 육성, 보호해야 한다. 또한 국제 사회 대등한 입장에서 경쟁할 수 있는 토양을 마련해야 한다. 각종 인증제도가 이미 있다. 힘든 과정이 하나 더 생기는 것 아니냐고 할 수 있지만 대등한 글로벌 경쟁력 수립 측면에서 중요하다.


정보보호시스템이란 말은 정보화촉진기본법 90년대 중반 법에 최초로 명시됐다. 이 법에 정보보호시스템 성능과 신뢰도에 대한 기준을 고시했다. 인터넷진흥원에서 평가기준을 고시하고 정보보호제품 평가인증을 고시한다. 20년 전에 기틀 잡힌 부분인데 성능평가는 일반적으로 업계에서 생각할 때 세세한 기능 유무를 따지기 보다는 기능 속도에 대한 가이드라인 측면에서 진행되는 것이 바람직하다. 국제사회에서 충분히 경쟁할 기틀 마련하는 것이 진정으로 정보보호산업이 발전하는 기반이 될 것이다.


구매수요정보는 제품이나 금액, 그리고 언제 투자할 것인지에 해당하는 시기가 중요하다. 정보보호는 제품과 서비스, 보안관제 컨설팅 등 다양한 분야 존재한다. 계약 체결시 요구사항 분석 적용 어떻게 할지 기준을 정할 때 업계의 요구가 반영될 수 있길 바란다.
국내에서 정보보호 컨설팅과 관제서비스, 제품이 적정 정보보호서비스 대가를 받고 글로벌 경쟁력 갖추고 우수한 제품이 많이 배출 수 있도록 정부와 학계 연구기관의 많은 관심과 격려 속에서 산업계가 진정 도약할 수 있길 기원한다.

<이민수 한국통신인터넷기술 대표>



일회성보다는 지속적으로 배양해야 한다. 정보보호서비스 적정대가 산정 관련해 컨설팅과 보안관제 서비스 측면에서 얘기하겠다. 컨설턴트 교육을 수행해야 하고 취약점 분석센터, 취약성 분석장비도 운영하고 유지해야 한다. 이러한 여러 특성 때문에 맞는 제경비 기술료에 대한 추가 적용이 필수적이다.


보안관제는 365일 24시간 실시간 감시 분석 대응활동 해야 하는데도 불구하고 인건비 편성이 근로기준법에 근거하지 못해 야간과 주말 근로에 대한 적정 예산 반영을 못하고 있다. 이에 대해 산업협회에서 많은 노력하고 있다. 잘 반영되길 기대한다.

앞으로 정부 주도로 발주자들의 실천의지 높이는 것이 중요하다. 일회성 법을 만들거나 조치하는게 아니라 지속적인 모니터링과 개선 권고 등 모니터링이 필요하다. 시행령에 모니터링 부분이 들어간 것은 평가할 만하다. 예산소관부처인 기재부의 예산편성지침에 꼭 반영돼야 한다. 반영 못한다면 의미없는 법이 되고 만다.



정보보호 서비스 적정대가 산정되면 일자리 창출에도 영향을 미친다. 정부가 2만개 일자리 창출 기대하고 있지만 ICT 기술 발전 역기능으로 일자리는 오히려 감소한다. 미래학자들은 20년 후에 직업 수가 현재의 절반으로 감소한다고 한다. 미래 직업에서 절대 없어지지 않는 직업, 빠지지 않는 유망직업이 정보보호 전문가다. 정보보호산업 활성화 시켜야 아이들 취직자리 늘어난다. 우수인재가 유입되려면 기본 전제는 먹고 살고 돈 잘 버는 것이다. 정보보호 대가 현실화는 필수적이다. 공공기관 적정대가가 제공돼 품질 향상되면 산업 경쟁력이 높아질 것이다.


정보보호서비스전문업체 지정은 우수기술기업 지정에 관한 것과도 통한다. 인위적인 양극화 가능성을 염두에 둬야 한다. 이는 경쟁력 있는 기업과 아닌 기업을 나누는 기준이 아니다. 그럼에도 우수기술 기업으로 지정 받지 못한 곳과 받은 곳 양극화가 나타날 수 있다. 지속적 관리 이뤄지지 않는다면 그럴 수 있단 얘기다. 한 번 우수기술, 우수기업으로 지정되면 10년간 유지되고 다른 기업은 그 기간 우수 기술 기업 지정받지 못한다면 새로운 우수기업 나타날 수 있는 것이 차단된다.


2002년 정보보호컨설팅전문업체가 지정된 후 2014년에 추가지정이 있었다. 올해는 없었다. 미래부가 2017년까지 209개까지 늘리기 위해 정보통신기반시설을 100개 더 추가한다고 한다. 정보보호컨설팅 수요 확대가 예상되는 상황에서 지식정보보안컨설팅전문업체 추가지정이 필요하다. 마찬가지로 지속적 관리와 추가지정 없다면 임의적 양극화가 나타날 수 있다. 심사숙고해 필요한 분야를 정해야 한다.
2002년 8월에 정보보호컨설팅 수행기관 안전진단 수행기관을 지정했었다. 2014년 2월 그 제도가 사라졌다. 제도의 일관성이 없다면 전문업체 지정제도도 원래 목표한 산업경쟁력 제고 가치를 가질 수 없다. 정보보호서비스 지정관리 지속적으로 했을 때 새로운 업체가 시장에서 제 역할을 할 수 있는 공정한 기회를 부여받게 된다. 업계는 품질경쟁 통해 산업경쟁력을 높일 수 있다.


<이준호 네이버 정보보호실 이사> 


구매수요정보 제공이 명시돼 있다. 사용자 입장에서 구매수요를 제공한다고 가정해봤다. 별로 낼 게 별로 없을 것 같다. 두 번 내도록 돼 있는데 일 년에 한 번이라도 잘 받을 수 있는 방법을 고민해야 할 것 같다. 공공기관이 어떠한 솔루션 갖고 있는지 파악하는 게 더 중요하다. 해당 솔루션을 갖고 있으면 투자할 필요가 없을 것이고 보통 5년의 감가상각 시한까지는 구매하지 않을 것이다. 수요를 거짓으로 줄 수 있고 10월에 제품을 구매할 예정이지만 3월에 살 거라고 할 수도 있다. 실질적인 정보 받을 수 있도록 해야 한다.

정보보호 제품 및 서비스의 적정대가 지급은 아마도 부당한 요구할 때는 계약서에 쓰지 않고 조용히 얘기하게 될 것이다. 증거가 없기 때문에 이를 신고하는 경로도 있으면 좋겠다. 보안성지속서비스, 악성코드 분석 업데이트나 사고복구 지원 등 적정대가를 지불해야 한다고 하는데 문제는 이러한 조치가 매일 일어나지 않는다는 점이다. 때문에 업계에서 쉐어드서비스로 활용할 수 있다는 문제가 있다. 오히려 단가가 낮아져 오히려 스타트업이 정보보호산업에 들어오는데 걸림돌로 작용할 수도 있다.



정보보호 공시 방법 관련이다. 네이버는 사업보고서에 해킹당할 경우 사업에 큰 영향 받아 주식이 급락할 수 있다. 어느정도 투자할 수 있다고 적어놓고 있다. 이를 주관하는 것은 최고재무책임자(CFO)이다. 서열 2위정도 된다. CISO가 주관하라고 하는데 하기 힘들다. 다만 확인할 수는 있을 것이다.

공시시스템을 별도로 구축한다는 것은 리소스 낭비다. 보고서는 볼 수 있도록 공시시스템에 나오기 때문에 별도의 정보보호공시시스템은 없는 게 낫다. 네이버페이 서비스를 하고 있어 전자상거래법 영향을 받는다. IT인력 대비 정보보호 인력 비중을 적용받는다. 네이버는 관점에 따라 전 인력이 IT인력이 될 수 있다. 수많은 네트워크 비용을 들이고 있는데 정보보호에 상당히 많은 투자를 함에도 불구하고 상대적으로 비중 작아보일 수 있다. IT기업 많이 있으니 세심하게 배려해 줬으면 한다.



우수정보보호기업 부분은 만일 지원한다면 구체적으로 어떤 것을 지원할 것인지 세부 항목이 있었으면 좋겠다. 우수정보보호기업으로 지정받을 당시에 받은 제품이 아니라 해당이 없는 제품 팔면서 우수정보보호 기업이라고 했을 때는 어떻게 할지 생각해봐야 한다.

<손경호 한국인터넷진흥원(KISA) 보안산업단장>


법을 만들면서 정보보호 산업과 기업에 어떤 효과, 혜택 있을지 많이 고민했다. 우수 정보보호기업 지원 내용이 제정 과정에서 누락됐다. 조달 가점이나 인센티브 지원이 대표적이다.


현재는 컨설팅전문업체만 전문업체로 들어가 있는데 보안관제전문업체, 사고조사전문업체까지 확대하려고 한다. 향후 법 반영해야 한다.

법의 효과성이나 산업계에 효과가 있을지 의구심을 가질 것이다. KISA에서는 정말 중요한 내용이 있다. 법에 의해 정부에서 사업이나 예산 받아 프로그램을 관리한다. 다양한 정보보호 스타트업, 융복합집적시설, 수발주, 수요예보제, 고충처리센터, 인력양성, 정보보호 R&D 표준화 등 사업이 많다. 이를 감안해달라. 이 법에 의해 이끌어나가도록 하겠다.

12월 23일 시행까지 제 방을 산업진흥 의견수렴 창구로 만들어 다양한 의견을 자유롭게 청취할 수 있도록 하겠다.

9월 28일 클라우드산업 진흥과 이용자 보호에 관한 법률 시행된다. 일부 참여하고 있다. 보안 산업에 대부분 담겨있는 부분을 그쪽에 적용해보려고 한다. 공시제도도 클라우드 사업자 공시 조율해보려고 한다.

<참관객 질문>

: 이용균 이글루시큐리티 부사장
사업 하도급 승인 이슈에 관해 의견을 얘기하겠다. 현재는 하도급을 승인만 받으면 되는 절차로 돼 있다. 그런데 사업이 올 말에 끝나는데 아직까지 계약이 안되고 연말 사업이 끝날 때 계약돼 소급되는 일 빈번하다. 사업자 승인받을 때 서류 외에 계약한 계약서를 첨부하도록 추가해주면 이런 일이 생기는 것을 방지할 수 있을 것 같다.

성능평가 지원과 관련해 이 제도를 반대하는 입장이다. 정보보호 제품 만드는 기업은 CC인증을 기본 받아야 한다. 공공기관 납품시 가산점 받기 위해 대부분 GS인증도 받는다. 특정 공공기관은 원하는 제품 사기 위해 TTA BMT를 실시하는 경우도 있다. 성능을 확인하고자 하는 경우 기존 틀을 활용해도 된다. 법 시행령 항목에 적혀있는 것이 이미 GS인증에서 하는 경우 있다. GS인증은 굿소프트웨어 인증이다. 이제는 굿(Good)을 위한 최소 기준을 만족시키는지 확인하는데 그친다.
성능평가가 비슷한 인증 받는 또 다른 혹 될 수 있어 시행령에 명시적으로 표현하는 것이 굉장히 부담스럽다. 시행령에 관련내용을 많이 죽이거나 아예 빼는 것도 방법이다.

수출지원 관련이다. 중소기업도 그렇고 대기업도 그렇고 해외 수출에서는 수출대금을 미수금 없이 다 받을 수 있느냐가 관건이다. 계약 여부보다 계약한 돈 끝까지 잘 받을 수 있냐가 중요한 이슈다. 삼성, LG같은 대기업들도 여러 클레임 등 이슈 때문에 대금 10%를 포기하는 상황에 몰린다. 중소기업 리스크 감당하기 어려운 경우 뭔가 지원할 제도 있었으면 한다. 아이디어 차원인데 이전에 보니 자원외교의 경우에는 실패할 경우 이에 들어간 돈을 정부에서 보전해주는 제도 있던데 유사제도 반영해 미수금 생길 경우 이런 형태나 제도로 리스크를 줄일 수 있는 방법이 있으면 좋겠다.
수출 컨설팅 사업 하다보면 다른 나라에서 우리나라가 가진 좋은 법을 많이 부러워한다. 이 법을 영문화해서 배포한다면 아주 요긴하게 쓸 수 있을 것같다.


<박춘식 교수> 


공시제도는 기업의 투명성을 바탕으로 투자자의 올바른 투자를 유도하기 위한 것이다. 정보보호 관점에서는 기업 CEO 차원의 정보보호 투자를 유도하는 여러 정책 가운데 하나가 정보보호 공시제도로 알고 있다. 그런 차원에서 시행령 권고에 그친 것 아쉽지만 언젠가는 의무화돼야 정보보호 제대로 투자될 수 있다.
앞서 말씀한대로 영업비밀 누출이나 해킹 등 우려하는 점도 있다. 투자를 유인할 때 기업에서 IT 기준 정보보호 투자인력, IT기준 정보보호 인력, 예산이 돼 있는데 앞으로는 IT에 기준하지 말고 매출액 기준으로 한다던지, 바뀌어야 한다. 해당 조직이 해킹 당했는지 개인정보보호 유출 있는지 알려줘야 투자자가 알 수 있다. 그래야 정보보호 투자 유인하는 길이다. 일본에서는 그렇게 돼 있다. 이 부분 참고가 돼야 한다.
그리고 효과적 되려면 기존 자본시장과 금융투자에 관한 법률에서 기업들이 제출하는 것은 따로 봐야 한다. 미래부 정보보호공시제도 따로 보는 것은 효과적이지 않아, 연동을 하거나 해당기업의 보고서 보고자하는 사람이 함께 볼 수 있도록 해야 한다. 전자공시시스템 구축할 때 이 부분 고려해 기존과 연계된다면 좋은 방안이 될 것이다.


<홍진배 미래창조과학부 과장> 


오늘 나온 좋은 말씀 세부 기준 잡을 때 잘 반영될 수 있도록 노력하겠다.다만 몇가지 오해하는 부분이 있어 이를 얘기하고 싶다.

정보보호 준비도 평가가 면죄부 주는 것으로 되면 안된다는 점에 공감한다. 그래서 이름 자체를 인증이라는 용어를 쓰지 않고 준비도(레디니스)라고 했다. 오늘 평가 받아도 내일 뚫릴 수 있는 것이 사이버보안사고 속성. 준비도는 이정도 수준 돼 있다는 것이지 사고 안난다는 의미는 아니라는 점에서 준비도라는 용어를 사용한 것이다. 운영할 때 참고하겠다.
정보보호 공시제도 영업비밀 침해 여부성 말씀해주셨다. 해커 악용 가능성도 말씀하셨다. 투자수준이 낮은 경우엔 공시를 안하면 된다. 이 부분은 규제가 없다. 성능평가 규정 등도 선택사항이다. 공시의 경우 자신이 없고 너무 낮다면, 약하다는 것을 세상에 알려야하는 처지라면 선택 안하고 내가 투자해서 좋은 상태 됐을 때 이정도로 우리 회사가 고객정보를 잘 보호하고 있다는 것을 대외적으로 고객들에게 제시할 때 활용해라는 것이다. 우려를 해소될 수 있다.


정보보호진흥계획 5년 주기 너무 길지 않냐 하는데, 그래서 매년 롤링플랜을 수립하도록 돼 있다. 우수정보보호기업 정부조달시 가점 지원하는 부분 시행령 변경, 최종안 만들 때 반영해볼 수 있도록 하겠다.



정보보호컨설팅전문업체 추가지정은 시행령상의 문제는 아니다. 시장 상황을 보고 진행해야 한다. 작년 7개 추가해 현재 18개가 됐다. 전문업체의 인력수급이 안정화되는 기간 필요하다. 시장 상황 감안해 능력있는 컨설팅업체 잘 만들어나갈 수 있도록 하겠다.

정보보호서비스 대가기준과 관련해 악성코드 분석 업데이트가 상시 이뤄지지 않는다고 하셨는데 이는 상시 이뤄진다. 정보보호서비스 대가는 소프트웨어 유지보수 대가 이외로 반영돼야 한다는 것이 기본 생각이다. 대가기준은 표준계약서에 잘 반영해 이행되도록 하겠다.



정보보호공시시스템 구축 측면에서는 상장사와 비상장사 잘 조합해 진행하도록 하겠다. IT인력 많은 인터넷기업의 공시방법은 이미 고민하고 있다. IT서비스를 제공하는 개발인력은 다 빠진다. 어느 회사든 자기 시스템을 운용하기 위한 인력을 운영한다. 돈을 벌기 위한 서비스 개발 인력이 아니라 운용인력 대비 인력 따져보는 작업이 될 것이고 구체적인 기준을 고민하고 있다.

하도급 관련해서 계약서를 첨부하도록 하는 것은 좋은 아이디어다.



성능평가 관련한 의견과 관련해 CC인증은 보는 항목이 정해져 있다. 성능평가는 BMT다. CC인증은 그 기능이 있는지 여부를 본다. 체계적인 성능 평가가 이뤄지지 않는다는 반성에 따른 것이다. 보안기업 입장에서는 성능을 평가받는 것 부담스러울 수 있다. 정보보호 제품 성능평가 시범 테스트를 했을 때 의외로 성능 잘 안나오는 경우가 있었다. CC인증으로 잡아주지 못하는 부분이 존재한다. CC만으로 하던, 발주처가 능력있는 곳이라면 직접 BMT 하면 된다. 다만 발주처가 작아 스스로 BMT를 할 수 없을 경우 성능 확인하고 싶을 때 활용할 수 있다. 제품의 해당 기능에 대한 탐지율이 얼마되는지 차이가 많이 나 깜짝 놀라는 경우가 있다. 발주처 상황에 따라 탄력적으로 채택하면 된다. 발주처가 적합한 공급자를 선택할 수 있도록 하는 것이 정보보호산업 경쟁력 향상에도 도움될 것이다.

[이유지기자의 블로그=안전한 네트워크 세상]
2015/09/16 14:09 2015/09/16 14:09

[IT 전문 블로그 미디어=딜라이트닷넷]


안전한 전자거래를 위해 사용하는 공인인증서 유출이 심각한 수준입니다.

새정치민주연합 장병완 국회의원(광주 남구)이 미래창조과학부로부터 제출받은 자료에 따르면, 2011년 단 한 건의 공인인증서도 유출되지 않던 것이 2011년 이후 총 7만810건의 유출건수가 발생한 것으로 드러났습니다. 올 상반기에만 무려 2만건 넘게 공인인증서가 유출됐습니다.

2012년 8건에서 작년 기준으로 4만건 이상의 유출이 발생해 2년 사이 5000배 이상 폭발적으로 늘어났습니다. 2012년을 기점으로 매년 공인인증서 유출 건수가 크게 증가하고 있는 형국입니다.

사용자 삽입 이미지
이같은 공인인증서 유출 증가는 2010년 이후 스마트폰 도입이 활성화되고, 스미싱, 파밍 등 신종 해킹수법이 범람했기 때문인 것으로 추정되고 있습니다.


장병완 의원은 “연간 4만건 이상의 공인인증서가 유출되는 심각한 상황에서 현재 공인인증서 중심 개인정보보호 및 확인 시스템은 전면 재검토해야 한다”고 강조했습니다.

공인인증서 유출 이슈가 나오면 뒤따르는 것이 우리나라 비표준 기반의 웹 사용환경 문제입니다. 장 의원 역시 이를 지적했습니다.

“정부가 보안에 취약한 엑티브엑스(Active-X) 기반 공인인증서를 exe 프로그램으로 대체를 추진하고 있지만 이마저도 보안을 담보할 수 없다.”

“아마존, 이베이 등 해외 전자상거래 사이트와 주요 선진국들은 간편결제와 보안 등을 이유로 엑티브엑스와 공인인증서는 물론 exe 프로그램도 사용하지 않는다. 유독 우리만 이런 프로그램들을 고집하는 이유를 모르겠다.”

그동안 공인인증서 의무화 제도는 사용자들로부터 엄청난 비판을 받아왔습니다. 결국 전자금융거래와 전자결제에는 공인인증서 사용 의무화 규정은 완전히 폐지된 상태입니다. 생체인증 등 새로운 본인인증 방식이 각광을 받고 있습니다.

더욱이 공인인증서 논란의 중심에 있던 액티브엑스도 인터넷브라우저에서 퇴출되는 분위기입니다.

마이크로소프트는 윈도10을 출시하면서 새로운 엣지 브라우저에서부터 액티브엑스를, 구글은 크롬에서 NPAPI(넷스케이프 플러그인 애플리케이션 프로그래밍 인터페이스)를 지원을 9월 1일부터 중단할 예정입니다. 그 대안으로 제시된 것이 실행파일(exe) 방식의 프로그램입니다.  

인터넷 브라우저에서 플러그인을 사용할 수 없으니 사용자PC(로컬)에 보안프로그램(exe)을 설치해 PC에 상주해두고 사용자가 인터넷뱅킹을 사용하면 실행되는 형태입니다. 액티브엑스의 대안으로 exe 프로그램이 제시됐습니다. 대통령까지 나선 지적에 대한 임시방편일 뿐 근본 대책이 되지 않는다는 지적이 이어졌지요. 초기에 이 프로그램이 사용자 환경에 또다시 불편을 일으키면서 많은 비판이 나왔습니다.  

관련웹툰(http://emptydream.tistory.com/3746)이 나오기도 했지요. “엉엉 우리가 잘못했어요. 그냥 액티브X 쓸게요. 액티브X보다 더 나빠졌음”이라는 문구가 인상적이었습니다.
사용자 삽입 이미지

이 모든 논란과 문제를 해소할 대안은 웹 환경에 웹표준(HTML5) 기술을 적용하는 것뿐입니다. 하지만 어쩔수 없이 수많은 웹사이트가 웹표준을 지원하도록 개선하는 것에 시간이 걸릴 수밖에 없는 상황입니다.

[이유지기자의 블로그=안전한 네트워크 세상]
 
2015/08/31 14:16 2015/08/31 14:16

사용자 삽입 이미지
국제 해커조직으로 이름을 날린 ‘어나니머스(Anonymous)’ 조직원 25명이 지난 2월 인터폴에 의해 검거됐습니다.

인터폴 주도로 유럽과 남미 경찰과 공조해 벌인 성과입니다.

인터폴은 유럽과 남미 15개 도시에서 ‘언마스크(Unmask)’라는 작전명으로 대대적인 검거작전을 벌여, ‘어나니머스’가 벌인 해킹, 디도스(DDoS, 분산서비스거부) 공격 등에 가담한 용의자들을 체포했습니다. 

이 작전에는 지난해 4월 콜롬비아에서 어나니머스의 디도스 공격이 발생한 것을 계기로 콜롬비아를 포함해 도미니카 칠레 스페인 아르헨티나 5개국이 참여했다고 합니다.

이 작전을 주도한 하이메 안시에타(Jaine Ansieta) 인터폴 재정·하이테크범죄 분과 부국장이 최근 방한했습니다. 그는 지난 26일부터 27일까지 서울 대한상공회의소에서 경찰청 사이버테러대응센터와 인터폴이 공동 개최한 ‘2012 국제사이버범죄 심포지엄’에서 이 수사사례와 시사점을 풀어냈습니다. 

안시에타 부국장은 이 자리에서 “당시 작전으로 인터폴은 15개 도시에서 47건의 가택을 급습했고, 32명을 체포했다. 아직도 이들을 대상으로 수사가 계속되고 있다”고 말했습니다. 

놀라운 점도 공개했는데요. 이들을 검거한 지 넉 달이 지난 아직까지도 압수한 휴대폰·IT시스템 등을 이용한 데이터분석을 못하고 있고, 기소할 방법도 결정하지 못했고 합니다.

공조수사는 성공적으로 벌여 용의자들을 검거하긴 했는데, 피의자를 기소하고 처벌하는 국제적인 사이버범죄 관련 사법체계와 절차가 아직 제대로 마련돼 있지 않기 때문입니다.

안시에타 부국장은 “국가마다 사법체계가 다르다보니 어떠한 사법체계를 적용해야 할 지, 기소 주체는 검찰이 해야할 지, 경찰 또는 지방법원이 할 지 합의가 되지 않았다”며, “사업적인 문제가 해결되지 않기 때문이며, 공조시스템이 아직은 부재하다”고 말했습니다.

다음 단계로 이 작전에 참여한 수사·경찰관들이 모임을 갖고 데이터 분석을 포함해 국가 간 수사공조·조율 시스템을 논의할 예정이라고 합니다.

사이버공격은 이미 특정한 국가나 기업만의 문제가 아니라는 것을 잘 알고 있습니다. ‘어나니머스’처럼 전세계에 걸쳐 활동하는 국제해커조직이 존재하고 있지요. 어떤 국가나 기업도 공격자들의 대상이 될 수 있습니다.

우리나라의 경우, 대표적로 대규모 개인정보를 유출한 SK커뮤니케이션즈, 넥슨 사건이 아직까지 제대로 수사가 마무리되지 않는 큰 이유 가운데 하나도 해당 공격자가 우리나라에 있지 않기 때문입니다.  

우리나라에서 발생하는 많은 디도스, 해킹 및 개인정보유출과 같은 사이버범죄도 국가 간  공조수사가 아주 중요합니다. 

하지만 현실에선 어려운 점이 너무나 많지요. 국가마다 법체계가 다르고 정치·사회적인 입장과 문화도 다르다보니 공격자들보다도 국가라는 경계를 넘어 서로 공조하기 어려운 상황에 있습니다.

공격근원지로 간주되는, 또는 범죄용의자가 있는 국가에서 협조해주지 않으면 우리나라에서 막대한 피해를 입은 경우에도 수사가 어렵다는 것은 충분히 예상할 수 있습니다. 

안시에타 부국장은 “만일 디도스 공격을 범죄로 간주하지 않는 국가가 있다면 수사를 함께 진행하기 어렵다”는 것을 예로 들었는데요. 실제로 디도스를 범죄로 여기지 않는 국가가 있다고 합니다.

그는 “전세계 사법체계가 ‘우리’의 편에 서있지 않다는 생각마저 든다”고 토로하면서 “실질적으로 공조할 수 있도록 사법부를 포함한 법조계, 국회 등 정치권에서 함께 이를 위해 논의해야 하며, 학계도 지원해야 한다”고 강조했습니다.

안시에타 부국장이 한가지 더 강조한 것이 민간의 협조입니다.

사이버공격은 국가차원에서 해결해야 할 심각한 문제가 됐지만 공격대상이 기업인 경우가 많습니다. 기업의 경우, 자칫 회사 이미지나 비즈니스에 큰 타격을 입을 수 있기 때문에 정보를 공개하는 것을 꺼립니다.

안시에타 부국장은 “민간이 열의를 갖고 참여해야 사이버범죄 수사가 진전될 수 있다”면서 “사회 전체가 힘을 합쳐 변화를 이끌어 내 사이버범죄 조직범죄를 무찔러야 한다”고 지적했습니다.

2012/07/01 16:28 2012/07/01 16:28

[기획/보안강국을 위한 쓴소리-보안관제 현황 진단⑤]

민간 보안업체들은 업체들대로 침해사고를 예방하고 신속하게 탐지·분석·대응하고, 보안위협을 총체적으로 관리하는 차원으로 보안관제 수준을 개선하기 위해 많은 노력을 벌이고 있습니다.

이제 보안관제서비스는 단순 모니터링 차원이 아니라 취약점 분석 및 모의해킹 등 예방활동과 침해사고 대응 조치와 분석 등 사후관리까지 포괄하는 차원으로 발전하고 있습니다. 더욱이 앞에서 지적됐던 제한된 보안관제 범위나 신종 공격 대응 미흡 등과 같은 한계를 극복하기 위한 시도가 한창입니다.

몇가지 소개해 보겠습니다.

사용자 삽입 이미지

안철수연구소는 최근 빈발하는 지능형 타깃 지속위협인 APT 공격 대응책으로 전방위 융합보안 체계를 강조하고 있습니다.

융합보안 체계는 외부에서 들어오는 공격과 내부에서 정보가 유출되는 것을 동시에 감시, 대응할 수 있는 종합적인 대응책인데, 이를 보안관제서비스에도 적용해 제공할 방침입니다. (관련기사 안철수연구소 “‘전방위 융합체계’로 APT 지능적 타깃공격에 대응”)

이미 국민은행 등 몇몇 고객사를 대상으로 제공하고 있다는데요, 이달 20일 열리는 안랩 페어 행사에서 안철수연구소가 제시하는 융합 보안관제서비스를 만나볼 수 있지 않을까 싶습니다.

안철수연구소는 그간 보안관제서비스에 클라우드 개념의 악성코드 분석 및 대응 원천 기술인 ‘안랩 스마트 디펜스(AhnLab Smart Defense)’ 기술을 접목해 특화서비스를 제공하기 위해 준비해 왔습니다.

최근에는 차세대 보안관제 솔루션인  ‘세피니티 3.0’을 출시, 보안 솔루션 모니터링 중심 서비스에서 벗어나 보안 위협의 공격 대상이 되는 자산 정보관리와 취약점관리 영역까지 확장해 제공하고 있습니다.

보안관제 고도화 TF(테스크포스)도 상시 운영하면서 위협변화에 맞는 발전적인 보안관제 모델을 연구해오고 있습니다.

인포섹 역시 새로운 위협과 고객요구 변화를 수용하기 위해 새로운 보안관제서비스를 잇달아 선보이고 있습니다. 

최근 APT 같은 첨단 공격에 대응하기 위해 최근 다단계 탐지체계를 구축해 신속하게 탐지, 대응할 수 있는 보안관제 방안을 개발했습니다. 이 서비스는 L7 애플리케이션 방화벽과 악성코드 탐지·분석·제거 솔루션, 자체 개발한 침해흔적조사 솔루션(i-Magnifier)과 정보유출 탐지·차단 솔루션을 활용합니다. 여기에 프리미엄 전문가 서비스도 포함되죠. 

개인정보보호 관제서비스도 제공하고 있습니다. 조만간 클라우드 보안관제 서비스도 출시하는 등 계속해서 새롭고 다양한 고객 요구을 폭넓게 수용할 수 있도록 한다는 계획입니다.

인포섹은 보안관제의 사전예방과 사후관리 등의 기능을 강화하기 위해 이미 전문가를 통한 네트워크 장비와 시스템 취약점 진단, 내·외부자 관점의 모의해킹, 침해사고 분석 및 재발방지 대책을 수립하는 포렌식 서비스도 벌이고 있습니다.

통합보안관제는 자체 개발한 DMM(Dynamic Monitoring For Security Management)을 기반으로 하고 있는데요. 다양한 보안 솔루션에서 발생되는 이벤트를 통합해 자체 방법론을 기준으로 1000여개의 침해패턴을 사전정의하고 탐지된 이벤트를 재분석해 경고메일, 블랙리스트관리, 오용탐지처리, 침해발생보고서 작성 등의 대응을 수행합니다.

이글루시큐리티도 최근 통합보안관리(ESM)솔루션인 ‘스파이더 TM’에 서버 취약점 점검, 트래픽 분석(DDoS 탐지), 네트워크 모니터링 강화 등의 기능을 추가했습니다.

향후 클라우드 환경의 확대에 따른 클라우드 기반 ESM 솔루션도 공급할 예정으로, 이미 지난 8월에 ‘클라우드 컴퓨팅 통합보안관제시스템 및 그 방법’으로 특허를 획득했습니다.

이글루시큐리티는 보안관제서비스 조직 내에 원격관제팀과 별도로 침해사고대응팀을 운영해 파견관제 고객사에 사전예방 조치가 필요하거나 자칫 보안사고가 발생한 경우, 즉시 모의해킹과 취약점 점검을 수행하고 사고분석과 대응을 실시할 수 있도록 하고 있습니다.

최근에는 보안관제 전문역량을 한층 제고하기 위해 자체 인력 양성 시스템도 강화하고 나섰습니다. 

보안관제 인력 양성 시스템은 관련학과 졸업자, 교육 이수자, IT유사 경력의 보유자 등을 모집해 교육장에서 이뤄지는 이론 교육이 아니라 실제 보안관제가 수행되는 현장에서 직접 실시하는 연수프로그램으로 구성됩니다. 이를 통해 기본기가 충실하면서도 곧바로 실전에 투입돼도 손색이 없는 탄탄한 전문인력을 양성할 수 있다는 점이 강점입니다. 

KISA아카데미 등과 연계해 국가에서 운영하는 교육과정을 통해 전문인력을 직접 양성하는 과정도 확대한다고 하네요.

싸이버원도 보안관제서비스에 24X365 모니터링·탐지 서비스 외에 취약점진단, 모의해킹, 주기적 보안설정관리 등을 포함한 예방 서비스와 사고·보안로그 분석을 통한 사고피해 조사, 원인파악을 제공하는 분석서비스, 장애대응, 구성변경 등의 대응서비스를 제공하고 있습니다.

자체 연구소를 통해 통합보안관제시스템(ESM) 개선과 기술 개발에 지속적으로 투자하고 있는데요, 현재는 탐지엔진 고도화와 융합보안을 위한 물리적 보안장비의 연계방안을 모색하고 있습니다.

이를 위해 지난 5월에 융합보안사업부를 신설했고, 스마트카드 기반의 출입통제, 근태관리 등의 신규 사업과 기존 정보보안 시스템과의 연동을 진행 중에 있습니다.

싸이버원은 ISAC(정보공유분석시스템)을 홈페이지로 개발해 고객사에서 보안정보를 쉽게 접할 수 있도록 제공하고 있습니다. 이들 고객에는 고급 보안 정보와 자체 분석 데이터를 제공하는 한편, 고객별 요청에 대한 CRM 및 리포팅 기능도 제공합니다.

보안관제서비스 사업으로는 후발주자인 윈스테크넷은 10년 넘게 쌓아온 보안솔루션 기술개발과 구축 노하우를 바탕으로 차별화를 꾀하고 있습니다.

IDS(침입탐지시스템), IPS(침입방지시스템), TMS(위협관리시스템) 등 검증된 솔루션의 공급으로 침입탐지·분석·차단 기술을 보유하고 있고, 침입탐지·차단 시그니처의 자체 개발로 물컵 안의 물 성분을 신속하고 상세하게 분석할 수 있는 자체 기술력을 확보하고 있다는 점에서 자신감을 갖고 있는 모습인데요.

지속적인 기술개발과 솔루션 경쟁력 강화로 기술력 우위의 고품질 관제서비스 제공을 목표로 하고 있습니다.

윈스테크넷은 솔루션 기술 역량을 기반으로 기관별 네트워크 특성에 적합한 맞춤형 시그니처 제작 서비스(SOD, Signature On Demand)를 제공하고 있습니다. 해킹 및 악성코드, 취약점 현황을 실시간으로 전달하는 위협 예·경보서비스인 ‘시큐어캐스트(securecast.co.kr)’로 최신 위협정보 공유과 위험경보서비스(SAS: Security Alert Service)도 지원하고 있습니다.

향후에는 악성코드 배포지 모니터링, 악성코드 삽입 유포지 모니터링 등 특정 분야 맞춤형 시그니처 제작 서비스를 강화해 관제서비스의 기술 경쟁력과 고객 만족도를 높일 계획입니다. 이러한 기술을 기반으로 공공기관 보안관제에 적합한 인력을 대거 양성할 예정이라네요.

주기적인 교육훈련과 인재 채용으로 전문인력 양성에도 힘쓴다는 방침입니다.

참고로 IT서비스 회사인 LG CNS 역시 네트워크 영역뿐 아니라  PC, 웹 등 모든 IT 자원까지 포괄한 보안관제서비스를 제공하고 있습니다. 이를 대상으로 한 실시간 모니터링뿐만 아니라 서버, 네트워크 장비 등 인프라자원의 취약점 제거활동을 주기적으로 실시하고, 이를 중앙집중 방식으로 관리하고 있다고 하네요. 

최근에는 APT(지능적지속위협)공격등과 같이 기존 보안시스템에서 탐지가 어려운 공격행위나 악성코드를 탐지, 분석, 대응할 수 있는 기술력과 대응체계를 개선하기 위해 노력하고 있다고 합니다.
 

2011/10/12 11:25 2011/10/12 11:25

[기획/보안강국을 위한 쓴소리-보안관제 현황 진단④]

안관제 효과를 높이려면 각종 취약점, 보안위협 정보를 신속하게 습득하는 것이 아주 중요합니다.

민간 보안 솔루션, 서비스 제공업체들은 대부분 각자 해외와 국내 관련 정보공유 커뮤니티에 참여하거나 고객사에 설치된 시스템·서비스 인프라, 분석체계 등을 통해 자체적으로 보안위협 정보를 확보하고 분석하기 위해 노력하고 있습니다.

하지만 새로운 공격기술과 이를 통한 심각한 침해사고가 발생할 때에는 각자 정보를 습득하는 것보다는 민간기업과 정부기관, 사고대상 기업, 인터넷서비스제공업체(ISP) 등이 서로 공유하는 것이 더욱 효율적이고, 보다 신속하게 대응할 수 있습니다.

그 때문에 특히 국가 차원에서 심각한 사이버공격이나 위협 상황이 발생할 경우에 신속한 침해사고 대응을 위해서는 정보공유와 협력의 중요성이 강조됩니다.

지능화된 신종 공격기법이 점점 더 빠르게 개발되고 있기 때문에, 새로운 위협에 관한 분석정보를 신속하게 보안업체와 주요 관제업체를 포함한 사이버보안 관련 주체들이 공유, 전파될 수 있는 국가적 체계 마련이 필요하다는 지적이 나오고 있습니다.

물론 그동안에도 국가정보원 국가사이버안전센터(NCSC), 행정안전부, 방송통신위원회 한국인터넷진흥원(KISA) 등에서 민간업체들과의 정보공유체계를 운영해오긴 했는데요. 대체적으로 형식적이거나 정보의 범위가 제한적이라는 평가가 이뤄지고 있습니다.

그 이유 중 하나는 이해를 따질 수밖에 없기 때문인데요.

국가적인 사이버 위기상황 발생시에 사명감과 책임감을 갖고 일하긴 하지만 민간 보안업체들은 엄연히 보안을 사업으로 합니다. 따라서 보안 솔루션이나 서비스 업체들은 사이버위협 정보가 자사의 서비스 품질과 차별성을 좌우하는 중요한 요소가 됩니다. 서로 같은 수준으로 도움이 되는 정보를 공유한다는 것이 쉽지 않겠지요.

서로 각자 다른 쪽에서 나오는 정보를 받으려고만 하는 태도로는 정보공유와 협력은 요원할 것입니다.

정부기관과 민간업체들 간의 정보공유 환경도 비슷하다고 지적됩니다. 민간업체들 입장에서는 ‘정부기관이 일방적으로 받으려 한다’는 볼멘소리가 나옵니다. 아무 대가도 없이 말이지요.

상생할 수 있는 협력과 공조가 이뤄지지 않고 있습니다. 또 국가 안보 차원에서 접근하는 정부기관 입장과 민간업체의 입장이 다르다는 점을 감안하면 모든 정보를 서로 오픈하는 것이 쉽지는 않아 보입니다.

그 때문에 최근 정보공유분석체계 강화 필요성이 제기되는 한편으로, 이는 현실적으로 불가능 하다는 회의적인 시각도 존재합니다.

하긴, 민·관의 협력을 이야기하기에 앞서 정부기관 간 체계적인 협력체계도 미흡했군요. 지난 2009년 7.7 DDoS(분산서비스거부) 공격 당시 문제점이 여실이 드러났었죠. 이 사고 이후 사이버보안 ‘컨트롤타워의 부재’로 인한 문제가 수없이 지적됐습니다.

아직도 사이버위기대응 주체라 할 수 있는 민·관·군(NCSC, 사이버사령부, 보안업체), 더 나아가 수사기관인 검찰과 경찰 간의 정보공유와 협력의 중요성이 크게 강조됨에도 불구하고 원활하고 일사분란한 체계가 운영되지 못했습니다.

민간업체들 입장에서 관과의 협력에 힘들어 하는 이유가 여기에도 있습니다. 한 업체가 여러기관에 불려가다보니(?) 창구를 통일했으면 한다는 바람을 한목소리로 이야기하고 있습니다.

사용자 삽입 이미지

여하튼 현재 국가 사이버 위기관리 차원에서 정보공유와 협력을 강화하기 위한 많은 시도가 현재 이뤄지고 있습니다.

국가정보원은 최근 ‘국가 사이버안보 마스터플랜’을 NCSC를 중심으로 국가 안보차원에서 각 정부부처와 기관이 사이버공격에 공동으로 대응할 수 있는 체계를 강화하고, 이를 위한 실행계획을 구체화하고 있습니다.

그 중 핵심이 바로 각 민·관·군 합동 대응체계, 통합정보공유체계 강화입니다. (관련기사 국정원 “민간전문가 참여, 사이버보안 사고 조사·검증체계 운영”, 국가 사이버안보 마스터플랜 수립…“사이버공간도 국가수호 영역”)

민간 부문의 사이버 침해사고 대응 역할을 담당하고 있는 KISA 인터넷침해대응센터 역시 민간 주요 인터넷서비스사업자(ISP), 백신업체를 비롯한 보안업체, 정부기관과의 정보공유와 협력을 강화하기 위한 활동을 벌이고 있습니다.

국가기관과 민간 주요 보안업체들과의 정보공유가 체계적으로 이뤄지지 못하고 있다는 점에서 내년 초 오픈을 목표로 ‘정보공유체계(가칭)’를 개선하기 위한 시스템을 개발 중에 있습니다.

이 시스템은 보안권고문과 유포 중인 악성코드 등 보안위협, 유포사이트 차단 등 대응조치 사항을 포괄해 양방향 정보공유 체계와 프로세스 자동화를 목표로 하고 있다고 합니다. 

행정안전부 정부통합전산센터 역시 올해 초에 사이버위협 정보 공유시스템을 개통했습니다. 이 시스템은 중앙행정기관, 지방자치단체의 시스템 관제기관이 제공하는 통합 모니터링 자료와 침해 시도 분석결과를 정보보호 전문업체 20곳과 공유해, 사이버위협에 즉각 대응할 수 있도록 지원하기 위해 구축한 것입니다.

이 역시 크게 활성화돼 있지는 못하다는 평가가 나오긴 합니다만, 사이버 공격유형이나 공격 IP, 대응방법을 공유하기 위해 센터는 민간업체들과 MOU를 체결해 체계적인 정보공유 체계를 마련했습니다. 자체적으로 악성코드분석센터도 운영하고 있지요.

*** 참고 : 그림은 지난 7월 국가정보화전략위원회 주최로 열린 ‘제2회 국가정보화전략포럼’ 에서 서종렬 KISA 원장 발표자료임.


2011/10/12 11:24 2011/10/12 11:24

[기획/보안강국을 위한 쓴소리-보안관제 현황 진단③]

보안관제는 네트워크상에 적용된 방화벽을 관제하면서부터 시작했습니다. 여기에 IDS/IPS(침입탐지/방지시스템), DDoS(분산서비스거부) 대응시스템, 웹방화벽 등으로 설치되는 보안시스템이 여러 종류로 늘면서, 다양한 솔루션에서 발생하는 이벤트와 로그를 실시간 수집, 통합관리, 분석해 침해사고·위협을 종합적으로 탐지하고 대응할 수 있도록 운영합니다.

현재 활용되고 있는 보안관제시스템은 이기종 보안시스템의 보안 이벤트와 로그를 취합해 중앙에서 분석·관리하는 ESM(통합보안관리)시스템과 IDS/IPS 등 침입탐지 센서를 기반으로 네트워크 트래픽의 이상징후와 위협요소를 조기에 탐지할 수 있도록 상태변화를 실시간 감시, 분석하는 TMS(위협관리시스템)이 있습니다.

보안관제를 위한 기본 솔루션인 ESM은 여러 보안장비의 관리 효율성을 제공할 뿐만 아니라 IT시스템 전반의 보안정책을 수립하도록 합니다. 보안장비에서 나타나는 정보에만 의존하게 되면 제로데이 공격과 같은 새로운 공격에 대응할 수 없고 지나치는 보안정보가 생겨나게 됩니다.

이 때문에 네트워크 트래픽 이상징후 등 네트워크 상태 변화를 민감하게 감지해 사이버공격을 탐지할 수 있도록 네트워크 트래픽 모니터링 및 분석 기능을 제공하는 TMS가 보안관제시스템을 보강하는 솔루션으로 활용되고 있습니다. TMS는 사이버공격을 탐지해 조기 예·경보체계를 구축할 수 있도록 기반을 제공합니다.

종합분석시스템은 각종 IT자산과 ESM 등에서 수집된 정보를 바탕으로 내·외부 위협정보를 자동으로 추출하고 보다 복합적으로 상관분석하도록 강화돼 있는 최상위 보안관제시스템이라 할 수 있습니다. 종합분석시스템의 가장 큰 특징은 현재의 위협상황 등을 대시보드 형태로 직관적으로 파악할 수 있도록 보여줍니다.

해외에서는 ESM, TMS, 종합분석시스템 등 여러 종류로 나뉘어 있지 않고 SIM(보안정보관리), SIEM(보안정보·이벤트관리)시스템아 포괄적인 통합관리·분석시스템으로 활용되고 있습니다. 

ESM, TMS, 종합분석시스템, SIEM 등과 같은 보안관제시스템을 잘 구축해 놨다고 해도 보안관제의 효용성이 무조건 발휘되는 것은 아닙니다. 인력 수준에 따라 탐지 그 자체와 위협여부 판단, 보안시스템 운영상태나 정책·임계치·경고 설정 등 실무업무에서 차이가 날 수 있기 때문에 결국 관제 품질이 좌우됩니다.

결국 보안관제에서의 문제는 기술측면 보다는 인력에 있다는 것이 전문가들의 공통된 지적입니다. 관제시스템을 통해 탐지된 기술을 이용하지만 결국 최종 판단은 전문인력이 하는 것이기 때문입니다.

더욱이 조직마다 필요한 보안시스템을 100% 완비할 수 없고, 예산과 상황에 맞춰 현실적으로 투자할 수밖에 없다는 점을 감안하면, 시스템상의 한계로 지적되는 한정된 관제 범위나 려진 공격 위주, 과다 탐지됐거나 잘못 탐지된 이벤트 등과 같은 문제나 부족한 점은 사람이 갖고 있는 전문성과 노하우로 해결해 나가고 채워지게 됩니다.

일단 기본 문제는 현재 보안관제 전문인력이 극히 부족하다는 데 있습니다. 보안관제 인력에 대한 인식이나 처우 개선도 시급하다고 지적됩니다. 보안관제 업무를 기피하게 되는 요인이 현재로선 많기 때문입니다.

24시간 365일 돌아가는 관제업무의 특성상 야근과 밤샘, 휴일근무 등 힘든 근무환경에서 보상이나 복지가 미진하고, 개인적인 성장 불확실성도 크기 때문에 경력이 쌓이면 이직이나 컨설팅 등 다른 업무로 전환하는 사례가 많다고 합니다. 

그러다보니 신입 등 경력이 부족한 초급인력이 관제에 투입되는 경우가 많아지겠지요. 심지어 “팔 다리만 달리면 뽑는다”는 식의 이야기까지도 나올 정도라네요. 이 경우 보안관제를 아웃소싱하거나 관제업무 담당자를 두고 있는 기업이나 기관에서도 만족하지 못합니다.

사고가 나면 “보안관제 요원들은 뭐했냐”고 하고, 아무 일이 일어나지 않을 때에는 또 보안관제 인력 투자비용을 아까워하며 “보안관제 인력을 둬야 하나”하는 말이 나옵니다.

변화가 수반되지 않는다면 계속 악순환 될 것입니다.

기본적인 네트워크와 서버, 웹 또는 보안 관련 기초지식만 있을 뿐 경험과 전문성이 크게 부족한 사람에게 중요한 자산을 침해하거나 마비, 탈취하려는 공격을 예방, 탐지하고 최전선에서 대응하는 역할을 맡긴다고 상상해보십시오. 결과는 뻔할 것입니다.

사실 보안관제를 보안위협을 종합적이고 체계적으로 관리하는 차원에서 보면 전문성은  매우 중요합니다.

관제 요원은 분석 능력을 갖춘 전문가라기보다는 단순 ‘운영’요원으로서 인식되는 측면이 있었다는 것이 업계의 이야기입니다. 그러다보니 관제 업무경력도 낮게 평가됩니다.

애초에 전문성을 검증할 수 있는 체계도 부재합니다. 현재 인력의 전문성을 교육프로그램 역시 꾸준히 지원되지 못하고 있는 상황입니다.

부족한 보안관제 전문인력을 전문가로서 인식하고 대우하는 것, 현실적인 처우개선은 시급하고도 중요한 과제로 인식됩니다.

보다 실효성 있는 보안관제가 이뤄지기 위해서는 기업과 기관에서 보안관리서비스와 보안아웃소싱에 대한 전문성을 인정해야줘야 합니다. 

공공분야에 정책적으로 보안관제 의무화 및 활성화 노력을 벌이고 있는데요. 정부에서부터 실천하는 것이 필요해 보입니다.

일례로 보안관제서비스 업체들에게 맡길 경우에도, 발주기관에서는 일반 IT 엔지니어 도입 단가를 통해 제안을 요청하고 있다고 합니다. 이 또한 최저가 입찰을 통해 인력을 수주 받고 있습니다. 업계에서는 적어도 관제 인력 및 서비스 단가를 소프트웨어 노임단가 수준만을 인정해줘도 상황은 나아질 것이라고 이야기합니다.

비단 보안관제만의 문제는 아닐 것입니다. 우리나라는 상시적인 보안서비스에 대한 인식이 척박합니다. 보안업계에서 쉽게 유지보수라 불리는 보안시스템 서비스 요율을 현실화하기 위해 꾸준히 노력했지만 이번 정부에서도 결국 무산되는 분위기입니다.

지속적인 업데이트 및 개선작업, 관리가 이뤄지지 않으면 아무리 훌륭한 보안시스템도 시간이 지나면 무용지물이 될 뿐입니다.   

때문에 전문가들은 보안강국이 되려면 사회와 기업·기관의 전반적인 보안 인식의 개선, 이에 따른 예산 및 투자 확대 노력이 절실하다고 목소리를 높이는 것입니다.

보안관제 서비스 및 인력단가가 현실화된다면 민간 업체들 주축의 인력 양성이나 교육, 회사 차원의 보안관제 요원에 대한 지원 역시 개선될 것으로 전망됩니다.

다양한 경로를 통해 들어오는 새로운 보안관련 이슈와 정보를 수집하고, 이러한 이슈를 분석해 관제에 적용하고, 또 파견관제 인력으로 해결이 어려운 사건·사고 발생시에도 신속하게 지원인력을 투입해 이슈를 보안관제 회사 차원에서 실시할 수 있다면 보안관제 수준을 높이는 대안이 될 수 있습니다. 

개개인의 전문성이 부족하더라도 서비스 회사 차원에서 실제로 발생한 공격 특성이나 대응 방식, 보안관제 서비스 노하우가 지식화돼 효과적으로 공유하고 전수할 체계가 마련된다면 보다 효과적으로 만들어갈 수 있을 것입니다.

2011/10/12 11:24 2011/10/12 11:24