방송통신위원회와 한국인터넷진흥원(KISA)은 최근 발생한 사이버침해사고와 국내외 보안업체들의 전망을 분석해 올해 대두될 7대 사이버위협을 선정해 발표했습니다.

최근의 사이버공격의 특징은 지능화, 복합화입니다. 그 중에서도 올해에는 ▲총선과 대선 등 국가 주요 행사를 겨냥한 사이버공격 증가 ▲웹하드·소셜네트워크서비스(SNS) 악성코드 유포 증가 ▲국가·기업·개인 정보탈취형 지능형지속위협(APT) 공격 지속 ▲모바일 악성코드로 인한 보안위협 현실화 ▲한글 프로그램 등 이용자가 많은 국산 소프트웨어 취약점 공격 ▲클라우드 서비스 보안위협 증가 ▲DNS 서버 대상 DDoS 공격 위협 증가가 전망됐습니다. (관련기사 선거·엑스포 등 올해 국가 주요행사 겨냥 사이버위협 증가)

방통위와 KISA는 이같은 전망에 따른 위협 예방 및 대응 활동을 강화할 계획입니다. 현재 추진 중인 대응방안을 각 위협 전망 항목별로 살펴보겠습니다.

1. 국가 주요 행사 겨냥 공격 대비체계 강화

올해에는 주요한 국가 행사가 줄줄이 이어집니다. 3월 서울 핵안보정상회의, 4월 국회의원 선거 5~8월 여수 세계박람회 12월 대통령 선거 등이 있지요.

최근 사회 혼란을 유발하거나 정치적인 목적으로 국민들이 높은 관심을 갖는 주요 행사가 있을 때를 노려 사이버공격이 많이 발생하고 있습니다.

DDoS 공격이 대표적이고, 행사 안내나 선거 정보 등 관심사를 악용해 사용자들에게 메일을 보내 악성코드에 감염시켜 다른 공격에 이용하는 일도 빈번히 벌어져 왔죠. 

국가 주요행사를 겨냥한 공격 증가 예상이라는 문구를 접하니 가장 먼저 작년 10.26 보궐선거 때 발생했던 중앙선거관리위원회 홈페이지 DDoS 사건이 떠오르더군요. 검찰 수사도 종료됐지만, 지금까지 논란은 계속되고 있습니다. 많은 의구심이 해소되지 않았기 때문이지요. 과거사(?) 정리를 확실히 해야하겠지만, 앞으로 이런 일이 다시 발생하지도 않길 바랍니다.

KISA 인터넷침해대응센터는 행사 관련 웹사이트를 집중 모니터링할 계획이라고 합니다. 특별히 홈페이지 접속장애나 악성코드 은닉여부 조기탐지, DDoS 탐지해 대응할 계획이라고 합니다.

이상징후가 포착되면 정보통신서비스사업자(ISP)를 통한 초동대응과 함께 해당 사이트 운영기관 등에서 조치를 취하도록 알려주는 역할을 할 수 있습니다. 이를 위해 행사 관련기관과는 비상연락망을 운영하고, 국가사이버안전센터·경찰청 등 관련기관과 ISP·보안업체 등과의 공조도 강화할 방침입니다.

2. 웹하드, SNS 악성코드 탐지 강화

웹하드나 P2P 사이트 등에서의 악성코드 유포 문제가 심각하지요. DDoS 공격이나 대규모 개인정보유출 사건과 같은 대규모 보안사고가 발생하면, 악성코드 유포 경로가 웹하드 프로그램인 경우가 많았습니다.

공격자들은 사용자들이 파일을 다운로드하기 위해 설치하는 웹하드 전용 프로그램을 변조하거나 업데이트 프로그램을 다운로드하는 것처럼 속여 악성코드를 유포하는 방식을 많이 이용하고 있습니다. 이렇게 내려받은 악성코드에 감염되면 좀비PC가 돼 DDoS 공격에 이용되고, 회사 내부시스템에 침투해 개인정보 등을 유출하거나 이를 위해 시스템 관리자 계정을 탈취하는데 악용됩니다.

방통위와 KISA는 190개 웹하드 사이트의 전용 프로그램 변조여부 탐지 활동을 2월부터 시작할 예정입니다. 
이를 위해 웹하드 은닉형 악성코드 탐지 시스템도 작년에 개발했습니다.

웹하드 프로그램에나 게시물, 컨텐츠에 숨겨진 악성코드 여부를 탐지, 위험도를 판별할 수 있는 이 기술을 활용해 업체들에게 알려주고, 기술지원도 강화할 계획입니다.

방통위는 작년 12월에 웹하드 사업자를 대상으로 실태점검을 실시했습니다. 협조가 잘 안돼 대상사업자 106개 중 결국 8곳만 점검을 벌인 수준이미에도, 점검 결과 보안장비를 전혀 갖추고 있지 않는 등 보안체계는 매우 취약했다고 합니다.


지난해 개정된 전기통신사업법에 따라 작년 11월 21일부터 웹하드 등록제가 시행됐는데요. 현재까지 등록한 웹하드 업체는 전무하다고 합니다.

기존 업체들은 법에서 정한 불법 저작물 청소년 유해정보 유통방지 및 정보보호를 위한 기술적 조치요건를 이행할 계획을 마련해 6개월 이내에 등록을 마쳐야 합니다. 법적 효력은 오는 5월 20일 이후에는 발생하게 될텐데요. 이를 통해 연내에는 웹하드 보안수준도 강화될 수 있길 기대해봅니다.

방통위와 KISA는 포털 등의 인기 검색어를 통해 유포되는 악성코드 탐지 활동도 강화하고 있습니다.

검색엔진에서 제공하는 실시간 검색어를 악용해 악성코드를 유포하는 URL를 수집, 점검할 수 있는 기술도 보급하고 있습니다. 인기가 많은 SNS 게시글 내에 포함된 URL이나 단축 URL의 악성코드 은닉여부도 알 수 있는 기술이라고 하는데요. 포털 ‘다음’이 이 기술을 이전받기로 계약한 상태랍니다.

특히 단축 URL의 경우는 사용자들이 신뢰된 URL인지 여부를 쉽게 판별할 수 없기 때문에, 사용자 수가 대형 포털과 같이 많은 웹사이트 운영사들의 자발적인 정화 노력에 한층 힘을 기울여야 할 것으로 보입니다.

3. APT 공격 대응 전략

사실 방통위와 KISA도 APT 공격 대응 전략은 딱히 없습니다. APT 공격은 중요 국가 기반시설이나 기업 등 특정한 표적을 겨냥해 중요 정보 유출이나 시스템 마비와 같이 공격 목적을 달성하기 위해 은밀하게 오랜 기간 동안 공격을 수행합니다. 기존 공격 기법뿐 아니라 새로운 공격기법 등 여러 기법을 이용하고, 심지어 공격 대상이 가진 보안체계를 알아내 우회할 수 있는 수법을 이용해 공격을 성공시킵니다. 기업이 공격 사실을 인지하는 시점은 이미 피해가 발생한 때라고 보면 된다고 하지요.

하지만 KISA는 기업이 APT 공격을 예방할 수 있도록 가이드라인을 개발해 보급할 예정입니다. 5월 경으로 예상하고 있고요. APT 공격 대응을 위해서 어디서부터 손을 대야 할지, 무엇을 해야할지 잘 모르는 기업들은 참조가 될 수 있겠습니다.

만간 공포될 개정된 정보통신망법에 따라 기업의 정보보호관리체계(ISMS) 인증이 의무화되면 전반적인 보안체계가 기존보다 강화될 수 있다는 점에서 일정부분 효과가 있을 것으로도 판단하고 있습니다. (관련기사
방통위, 기업 정보보호 관리제도 전면 개편, 새해 강화된 개인정보보호 법 시행, 무엇이 달라지나)

이밖에도 지능화된 공격에 신속하게 대응할 수 있는 해킹 피해시스템 분석, 은닉회피·커널감염 등 악성코드 분석기법 연구 등도 진행해 신규 공격기법 대응방안을 마련하는데 주력할 계획이라고 합니다.

4
. 모바일(스마트폰) 이용자 보호 방안

모바일 악성코드 위협이 점점 현실화되고 있습니다. 올 1월 초에 ‘New Year 2012 Live Wallpaper’라는 이름의 악성 안드로이드 애플리케이션(앱)이 정상 앱으로 위장해 안드로이드 마켓과 국내 인터넷 자료실에서 유포되는 사례가 발생했었죠.

이 악성코드에 감염되면 이메일 주소 등 개인정보가 유출될 수 있었는데요. 다행히 일찍 발견, 조치해 KISA에 접수된 국내 피해 사례는 없다고 합니다.

스마트폰·태블릿 등 모바일 기기 사용자가 급증하고 있기 때문에 모바일 악성코드 위협으로 인한 피해 현실화는 시간 문제로 보입니다. 보안업체들이 집계하는 모바일 악성코드 수도 최근 크게 늘어나고 있는 것도 사실이고요.

일단 KISA는 안드로이드 마켓의 악성 앱을 팀지, 차단할 수 있도록 모바일 악성코드 수집분석 시스템을 구축하고 있습니다. 이 시스템을 바탕으로 안드로이드 마켓에서 유통되는 앱을 수집·분석해 현재 무료 배포 중인 스마트폰 자가점검앱(S.S Checker) 등을 통해 악성 앱 정보를 전파할 계획입니다.

또 방통위와 KISA, 3개 이동통신사, 단말기 제조사, 보안업체가 공동 참여하고 있는 스마트폰 정보보호 민관합동 대응반을 통해 모바일 악성코드가 출현하면 이용자 피해를 최소화할 수 있도록 체계를 마련해 놓고 있습니다.

5. 국산 SW 취약점 사전조치

작년에 한글과컴퓨터의 한글 프로그램에서 보안취약점이 여러 번 발견됐었습니다. 알툴즈 업데이트 프로그램이 SK커뮤니케이션즈 이용자 대량 개인정보 유출 공격에 악용되기도 했죠.

국내 이용자가 많은 소프트웨어의 보안취약점을 악용한 공격을 예방할 수 있도록 신규 취약점 탐지·분석 활동을 강화하고, 취약점정보공유시스템을 통해 취약점 정보를 공유하도록 시도하고 있습니다. 

일단은 KISA에서 취약점정보공유시스템을 구축해 소프트웨어 개발업체, 백신 및 보안 솔루션업체 등이 발견한 취약점 정보를 등록하고 확인해 전파하거나 대응할 수 있는 체계를 구축해 놨습니다.

민간업체들이 얼마나 자발적으로 취약점 정보를 제공하고 공유할 수 있을지는 두고 봐야 할 것 같은데요. 우선 시범 운용형태로 해보고 장기적으로 ‘취약점정보공유분석센터’ 구축도 검토한다고 합니다. 취약점정보공유분석센터 등과 같은 체계를 만든다는 계획은 서종렬 KISA 원장 등이 앞서 언급한 적이 있는데, 올해 예산 편성에서 누락됐다고 합니다.

6. 클라우드 서비스 보안대책

모바일과 함께 클라우드 컴퓨팅도 대세이지요. ‘보안’은 기업이 클라우드 도입에서 가장 우려되는 항목 1~2순위로 꼽힙니다. IT자원 가상화 및 공유, 정보 집중화와 같은 클라우드의 특징이 보안 문제를 걱정하게 만드는 요인입니다. 이에 대한 보안 방안이 제대로 갖춰져 있지 않는다면 정보 유출 우려가 있고 서비스 가용성과 비즈니스 연속성 문제로 크게 타격을 입을 수도 있기 때문입니다.

지난해 아마존 등 해외 클라우드 서비스에서 장애가 나 서비스 이용 기업들이 피해를 본 사례도 있었죠. 클라우드 서비스 신뢰성 확보는 필수사항입니다.

방통위는 클라우드 품질이나 보안에 대한 이용자 불안감을 해소하기 위해 클라우드 서비스 제공업체를 대상으로 클라우드서비스 인증제를 2월부터 실시할 계획입니다. (관련기사 ‘클라우드 서비스 인증제’ 시행, 실효성 있을까, 2월부터 클라우드서비스 인증제 본격 시행)

산하기관인 클라우드서비스협회를 주축으로 전문가들이 참여하는 인증위원회를 두고 품질, 정보보호, 기반 등 3대 분야의 ▲가용성 ▲확장성 ▲성능(속도) ▲데이터 관리 ▲보안 ▲서비스 지속성 ▲서비스 지원의 7개 항목을 심사해 인증서를 발급할 예정인데요. 민간 인증이니 사업자들이 자발적으로 참여해 받게 됩니다.

방통위는 클라우드 서비스 사업자의 정보보호 관리 등급제도 도입할 예정입니다.

2월 중 공포될 것으로 예상되는 개정 정보통신망법에 신설된 정보보호관리체계(ISMS) 의무화(안전진단 폐지) 관련 조항(제47조의5)을 적용해 클라우드서비스 사업자들이 ISMS를 받도록 함으로써 안전한 클라우드 서비스 활성화를 위한 기반 환경 조성에 기여한다는 방침입니다. 

이 점에서 클라우드 인증제의 운영주체는 클라우드서비스협회이고, ISMS는 KISA가 담당하고 있으니 이 부분에 정리가 필요할 것이란 생각이 드는군요. 

방통위는 “정보통신망법에 따라 ISMS를 통해 정보보호 등급제를 적용받은 클라우드 서비스 사업자는 클라우드 인증제 보안 심사 항목은 갈음할 수 있는 방식 등 중복으로 받지 않도록 제도를 연동 운영할 방침”이라고 말했습니다.

KISA도 “이와 관련해 추가 협의가 필요하다”는 입장입니다.

이같은 제도가 잘 운영되고 홍보효과까지 결합된다면, 이용자들이 서비스 사업자의 정보보호 수준을 고려해 인증받거나 정보보호 등급이 높은 클라우드 서비스를 선택할 수 있겠네요.

7. DNS 대상 DDoS 공격 대응 기반 마련

작년에 게임사들의 DNS 서버를 대상으로 DDoS 공격이 발생한 사고가 몇 차례 발생했다고 합니다.

그동안 DDoS 공격은 네트워크 대역폭 이상의 공격을 폭주시키거나 웹서버를 대상으로 사이트를 마비시키는 공격 형태가 많았는데요. KISA는 여러 서버 시스템을 한꺼번에 마비시키는 효과를 올릴 수 있다는 점에서 연동돼 있는 DNS 서버를 대상으로 한 DDoS 공격이 많아질 것으로 예상하고 있습니다. ‘이왕이면 한방에 큰 피해를 유발하자’는 생각이라면 웹 호스팅 업체나 IDC 내 DNS 서버, DNS 서비스 업체들의 시스템을 대상으로 공격을 벌일 수 있겠다 싶네요. 납득이 됩니다.

문제는 아직까지 DNS DDoS 방어체계가 제대로 구축돼 있지 않다는 점입니다. 

KISA에서 운영하는 사이버대피소도 웹서버 대상 DDoS 공격 대피소체계만 운영돼 있다고 하는데요. 원유재 KISA 인터넷침해대응센터 본부장은 “DNS DDoS 공격은 공격 패킷이 달라 사이버대피소도 새롭게 구축해야 하지만 예산 문제가 있다”고 설명했습니다. 그래서 유사시에 현재의 체계를 활용해 DNS DDoS 공격을 방어할 수 있는 방안을 찾고 있다고 합니다.

이를 운영해본 후 내년에 예산을 확보해 DNS DDoS 방어체계를 구축할 계획입니다.

방안이 마련되기 전에 큰 피해를 유발할 수 있는 심각한 DNS DDoS 공격이 발생하지 않았으면 하네요.

2012/01/31 08:05 2012/01/31 08:05

[기획/보안강국을 위한 쓴소리-보안관제 현황 진단④]

안관제 효과를 높이려면 각종 취약점, 보안위협 정보를 신속하게 습득하는 것이 아주 중요합니다.

민간 보안 솔루션, 서비스 제공업체들은 대부분 각자 해외와 국내 관련 정보공유 커뮤니티에 참여하거나 고객사에 설치된 시스템·서비스 인프라, 분석체계 등을 통해 자체적으로 보안위협 정보를 확보하고 분석하기 위해 노력하고 있습니다.

하지만 새로운 공격기술과 이를 통한 심각한 침해사고가 발생할 때에는 각자 정보를 습득하는 것보다는 민간기업과 정부기관, 사고대상 기업, 인터넷서비스제공업체(ISP) 등이 서로 공유하는 것이 더욱 효율적이고, 보다 신속하게 대응할 수 있습니다.

그 때문에 특히 국가 차원에서 심각한 사이버공격이나 위협 상황이 발생할 경우에 신속한 침해사고 대응을 위해서는 정보공유와 협력의 중요성이 강조됩니다.

지능화된 신종 공격기법이 점점 더 빠르게 개발되고 있기 때문에, 새로운 위협에 관한 분석정보를 신속하게 보안업체와 주요 관제업체를 포함한 사이버보안 관련 주체들이 공유, 전파될 수 있는 국가적 체계 마련이 필요하다는 지적이 나오고 있습니다.

물론 그동안에도 국가정보원 국가사이버안전센터(NCSC), 행정안전부, 방송통신위원회 한국인터넷진흥원(KISA) 등에서 민간업체들과의 정보공유체계를 운영해오긴 했는데요. 대체적으로 형식적이거나 정보의 범위가 제한적이라는 평가가 이뤄지고 있습니다.

그 이유 중 하나는 이해를 따질 수밖에 없기 때문인데요.

국가적인 사이버 위기상황 발생시에 사명감과 책임감을 갖고 일하긴 하지만 민간 보안업체들은 엄연히 보안을 사업으로 합니다. 따라서 보안 솔루션이나 서비스 업체들은 사이버위협 정보가 자사의 서비스 품질과 차별성을 좌우하는 중요한 요소가 됩니다. 서로 같은 수준으로 도움이 되는 정보를 공유한다는 것이 쉽지 않겠지요.

서로 각자 다른 쪽에서 나오는 정보를 받으려고만 하는 태도로는 정보공유와 협력은 요원할 것입니다.

정부기관과 민간업체들 간의 정보공유 환경도 비슷하다고 지적됩니다. 민간업체들 입장에서는 ‘정부기관이 일방적으로 받으려 한다’는 볼멘소리가 나옵니다. 아무 대가도 없이 말이지요.

상생할 수 있는 협력과 공조가 이뤄지지 않고 있습니다. 또 국가 안보 차원에서 접근하는 정부기관 입장과 민간업체의 입장이 다르다는 점을 감안하면 모든 정보를 서로 오픈하는 것이 쉽지는 않아 보입니다.

그 때문에 최근 정보공유분석체계 강화 필요성이 제기되는 한편으로, 이는 현실적으로 불가능 하다는 회의적인 시각도 존재합니다.

하긴, 민·관의 협력을 이야기하기에 앞서 정부기관 간 체계적인 협력체계도 미흡했군요. 지난 2009년 7.7 DDoS(분산서비스거부) 공격 당시 문제점이 여실이 드러났었죠. 이 사고 이후 사이버보안 ‘컨트롤타워의 부재’로 인한 문제가 수없이 지적됐습니다.

아직도 사이버위기대응 주체라 할 수 있는 민·관·군(NCSC, 사이버사령부, 보안업체), 더 나아가 수사기관인 검찰과 경찰 간의 정보공유와 협력의 중요성이 크게 강조됨에도 불구하고 원활하고 일사분란한 체계가 운영되지 못했습니다.

민간업체들 입장에서 관과의 협력에 힘들어 하는 이유가 여기에도 있습니다. 한 업체가 여러기관에 불려가다보니(?) 창구를 통일했으면 한다는 바람을 한목소리로 이야기하고 있습니다.

사용자 삽입 이미지

여하튼 현재 국가 사이버 위기관리 차원에서 정보공유와 협력을 강화하기 위한 많은 시도가 현재 이뤄지고 있습니다.

국가정보원은 최근 ‘국가 사이버안보 마스터플랜’을 NCSC를 중심으로 국가 안보차원에서 각 정부부처와 기관이 사이버공격에 공동으로 대응할 수 있는 체계를 강화하고, 이를 위한 실행계획을 구체화하고 있습니다.

그 중 핵심이 바로 각 민·관·군 합동 대응체계, 통합정보공유체계 강화입니다. (관련기사 국정원 “민간전문가 참여, 사이버보안 사고 조사·검증체계 운영”, 국가 사이버안보 마스터플랜 수립…“사이버공간도 국가수호 영역”)

민간 부문의 사이버 침해사고 대응 역할을 담당하고 있는 KISA 인터넷침해대응센터 역시 민간 주요 인터넷서비스사업자(ISP), 백신업체를 비롯한 보안업체, 정부기관과의 정보공유와 협력을 강화하기 위한 활동을 벌이고 있습니다.

국가기관과 민간 주요 보안업체들과의 정보공유가 체계적으로 이뤄지지 못하고 있다는 점에서 내년 초 오픈을 목표로 ‘정보공유체계(가칭)’를 개선하기 위한 시스템을 개발 중에 있습니다.

이 시스템은 보안권고문과 유포 중인 악성코드 등 보안위협, 유포사이트 차단 등 대응조치 사항을 포괄해 양방향 정보공유 체계와 프로세스 자동화를 목표로 하고 있다고 합니다. 

행정안전부 정부통합전산센터 역시 올해 초에 사이버위협 정보 공유시스템을 개통했습니다. 이 시스템은 중앙행정기관, 지방자치단체의 시스템 관제기관이 제공하는 통합 모니터링 자료와 침해 시도 분석결과를 정보보호 전문업체 20곳과 공유해, 사이버위협에 즉각 대응할 수 있도록 지원하기 위해 구축한 것입니다.

이 역시 크게 활성화돼 있지는 못하다는 평가가 나오긴 합니다만, 사이버 공격유형이나 공격 IP, 대응방법을 공유하기 위해 센터는 민간업체들과 MOU를 체결해 체계적인 정보공유 체계를 마련했습니다. 자체적으로 악성코드분석센터도 운영하고 있지요.

*** 참고 : 그림은 지난 7월 국가정보화전략위원회 주최로 열린 ‘제2회 국가정보화전략포럼’ 에서 서종렬 KISA 원장 발표자료임.


2011/10/12 11:24 2011/10/12 11:24

[기획/보안강국을 위한 쓴소리-보안관제 현황 진단②]

지금까지 보안관제시스템 등을 토대로 구축해 놓은 침해사고대응체계를 발전시켜, 각종 공격과 침해사고를 미연에 막을 수 있고 신속하게 조치해 피해를 최소화할 수 있는 방안은 찾기 위해, 현재 부족한 것이 무엇인지 진단해보고자 합니다.

전문가 분들에게 서면을 통해서나 직접 만나 의견을 구해봤습니다. 한국인터넷진흥원 인터넷침해대응센터, 삼성SDS, LG CNS, 싸이버원, 안철수연구소, 윈스테크넷, 이글루시큐리티, 인포섹의 전문가분들과 공공·기업의 보안관제센터 등에서 관제업무를 담당하시는 여러분들이 도움을 주셨습니다.

사용자 삽입 이미지

일단 보안관제의 목표는 중요자산을 보호하는 것입니다. 쉽게 말해 궁극적인 보안관제는 각종 침해사고를 막는데 목적이 있습니다. 그런데 지금의 보안관제체계에서 침해사고를 막을 수 있을까요? 

보안관제가 침해사고를 탐지하고 대응하는데 상당한 효과가 있다는 점은 인정되고 있지만, 공격 예방과 실시간 탐지 측면에서는 아직도 부족하다는 진단이 내려지고 있습니다.

더욱 큰 문제는 알려지지 않은 취약점을 이용한 공격, APT(Advanced Persistent Threat) 공격, 사회공학적 공격 등 지능화된 최신 공격에 한계를 노출하고 있다는 점입니다.

우리가 기억하는 최대규모 고객정보를 유출한 옥션이나 SK커뮤니케이션즈의 사고가 보안관제체계가 부재했기 때문은 아닙니다.

그래서 사고 이후 “보안관제서비스를 받고 있는데 왜 못 막았냐?”, “보안관제 업체의 책임 아니냐”며, 이를 둘러싼 많은 논란이 대두되기도 했습니다. 

전체적으로 보면 보안관제시스템을 제대로 운영해온 기간이 짧기도 하지만, 그동안에는 대형사고 경험 역시 부족한 탓이 있습니다.

또 보안관제를 제대로 하려면 기본적인 보안 투자가 기반이 돼야 하는데, 아직도 정부와 금융기관, 기업의 보안 투자는 부족합니다. 더욱이 지속적으로 새로운 공격수법이 빠르게 개발되고 있는데, 보안시스템을 보강하는 계획을 수립하고 투자를 벌이기 위한 의사결정은 느립니다.

보안관제는 방화벽, 침입탐지시스템(IDS), 침입방지시스템(IPS), 분산서비스거부(DDoS) 공격 대응시스템 등 보안 장비를 기반으로 합니다.

그동안 보안투자는 주로 외부에서 내부로의 차단에 집중한 보안시스템을 구성해 보안정책을 설정하는 분야에서 이뤄져 왔지만, 이 또한 일부일 뿐입니다.

이들 장비에서 나오는 이벤트와 로그를 취합하거나 이상징후를 파악한 뒤 침해 여부를 분석해야 하기 때문에 대부분 보안사고가 발생한 뒤의 시점이 됩니다. 때문에 사전탐지 보다는 보안사고를 확인하고 사후대응하는 것, 같은 유형의 2~3차 피해를 예방하는데 더 기능적이라고 할까요. 

더욱이 관제 대상과 범위는 주로 네트워크 분야로 한정돼 있고 외부로부터 들어오는 공격과 침입에 집중돼 있는 체계여서 내부PC단을 대상으로 하는 최신 공격기법이나 지능형지속위협(APT)과 같은 정교하고 지능적인 위협을 대응하는데 역부족이라고 평가됩니다.

최근의 해킹은 주로 상대적으로 취약한 내부 사용자의 PC를 악성코드 등을 통해 감염시켜 내부 시스템 접근한 후 중요정보를 탈취하는 식으로 이뤄집니다. 이로 인해 보안관제의 내·외부의 균형적인 운영에 대한 필요성과 특정한 부문이 아니라 전체 시스템을 유기적으로 연동하는 노력이 요구되고 있습니다.

즉, 인바운드 트래픽뿐만 아니라 내부에서의 정보 흐름, 아웃바운드 트래픽에 대한 통합된 보안관제의 필요성과 함께 관제의 대상도 단순 네트워크 장비, 서버에서 나아가 PC, 저장매체 활용 등 사용자단까지 확대돼야 한다는 것입니다.

일부 기관 등에서는 이미 PC 보안관제도 함께 수행하고 있다고 하는데요. 백신·PC보안 중앙관리시스템 등을 기반으로 한 PC단과 네트워크단의 포괄적인 탐지·분석이 이뤄져야 합니다.

개인정보유출 문제가 확산되면서 최근 잇달아 출시된 정보유출 방지시스템처럼 사용자들의 행위를 통합적으로 추적·감사하고 외부로의 불법적인 정보유출이나 이상행위를 통제·차단하는 시스템을 도입해 보안관제시스템과 연동하는 작업도 필요할 것입니다.

내부망에서 외부로 나가는 것을 차단할 수 있는 정책 수립도 검토해봐야 합니다.

이를 위해서는 먼저 내부에서 외부로 이루어지는 서비스 정의를 수행한 뒤 외부로 나가는 것에 대한 정책을 수립해야 합니다. 다만 추가적인 보안투자와 함께 사용자의 불편함이 대두될 수 있어 보안 수준 사이에서 정책을 어느 정도로 수립할 것인지 결단이 필요할 듯합니다.

보안관제시스템 자체의 기술적인 한계도 지적됩니다.

먼저 보안관제시스템이 다양한 이기종 보안장비 지원에 한계가 있을 경우의 문제입니다. 또 여러 장비에서 나온 이벤트를 동일한 기준으로 탐지·분석·대응할 수 있는 관리체계를 반영하지 못한다면 전적으로 보안관제서비스 수준 자체에 문제가 됩니다. 

공격 여부 등을 판단하는 기본 정보가 되는 탐지 이벤트에 대한 신뢰성 문제도 크게 지적됩니다. 

공격 탐지센서로 활용되는 각각의 보안 제품의 수준이 떨어지는 것과도 연관돼 있습니다. 오탐지(False Positive)된 이벤트가 많을 경우 실제 위협을 판별해내기는 당연히 어렵습니다.

때문에 최적화 작업이 아주 중요한 것으로 인식됩니다.

보안장비에서 발생하는 엄청난 이벤트를 바탕으로 위협에 대응하기가 매우 어렵기 때문에 현실적으로 커스터마이징 처리된 이벤트를 중심으로 분석이 이뤄지게 되기 때문입니다.

보안장비에서 발생하는 수많은 오탐 이벤트를 커스터마이징 작업을 통해 최적화된 탐지·분석·대응체계를 갖출 수 있다는 얘기입니다.

제로데이 공격에 대한 탐지가 어렵다는 점도 한계로 지적됩니다. 만일 솔루션마다 신규 공격에 대한 패턴 업데이트 주기가 길어지면 최신공격 대응이 어려울 수밖에 없습니다. 

솔루션 업체들의 업데이트, 능력에 대한 의존도가 높기 때문에 만일 솔루션 개발업체에서 신규 공격 패턴을 곧바로 제공하지 못할 경우 보안관제시스템에서도 탐지하는데 한계가 있을 수 있습니다.

따라서 기반이 되는 보안 솔루션의 수준이 아주 중요합니다.

패턴이 제대로 제공된다 하더라도 보안관제시스템의 최적화 작업을 계속해서 벌이지 않을 경우에도 문제는 발생합니다.

백신의 경우 설치만 하고 업데이트를 하지 않게 되면 새로운 바이러스를 막지 못하는 것처럼 보안관제시스템도 지속적인 커스터마이징이 필요하다는 게 전문가들의 지적입니다. 각사마다 IT환경과 사업환경 차이로 인해 같은 패턴을 적용하더라도 시스템상에서 충돌이나 오류가 발생해 오탐지로 이어지는 경우도 있기 때문입니다.

전문 보안관제서비스 업체 역시 침입탐지에 전문성을 갖고 지속적으로 신규 공격 탐지 패턴에 관해 연구하며 이같은 능력을 갖춰야 하는 노력도 요구됩니다.

그래야 예방과 실시간 탐지를 수행할 수 있는 신규 공격을 시스템에 반영할 수 있기 때문입니다.

사전예방 기능을 강화하기 위해 최근에는 보안관제의 범위에 취약점 진단과 모의해킹 업무도 포함되고 있는 추세입니다.

지속적인 신규 패턴 업데이트, 커스터마이징 및 최적화 작업, 사전진단 등을 강화하려면 보안관제서비스 업체나 관제업무 담당자를 대상으로 적절한 보안관제서비스 비용을 지불하고 그 업무의 중요성을 인정하는 것도 반드시 병행돼야 할 것입니다.

2011/10/12 11:23 2011/10/12 11:23

방송통신위원회가 국민의 정보보호 인식제고를 위해 정보보호 홍보 TV방송을 시작합니다.

작년 7.7 분산서비스거부(DDoS) 공격 사태를 거치면서 이용자들의 PC보안 인식과 보안생활화가 아주 중요하게 부각된 것이 계기가 됐습니다.

이번 7월에도 작년에 치료되지 않은 좀비PC가 주요 국가기관, 은행, 포털 등의 웹사이트에 DDoS 공격을 가했었죠. 

방송통신위원회는 지상파 TV(KBS, MBC, SBS)와 보도전문채널(YTN, MBN)을 통해 평시엔 사이버침해 유형, 안전한 PC 이용방법, 악성코드 감염 방지 요령 등 정보보호 실천수칙을, 비상시에는 사이버침해 관련 상황과 대국민 행동요령을 신속히 전파한다는 계획입니다.

우선은 정보보호의 중요성을 알리기 위한 캠페인방송, 시사/교양정보 프로그램, 다큐멘터리 등의 형태로 시작될 예정입니다. 

원래는 TV 뉴스에서 제공하는 일기예보처럼 매일 국민들이 알아야 하는 정보보호 동향이나 사이버위협, 조치방안 등을 알려주는 형태로 기획이 됐었던 것으로 알고 있었습니다만, 아무래도 사회적으로 심각한 파급력을 주는 사이버공격은 예기치 않게 생겨 그런지 예보 보다는 홍보방송 형태가 되는 것 같습니다.

래도 1.25 인터넷대란이나 전자금융거래 관련 보안사고, 7.7 DDoS 공격, 대규모 개인정보유출 사고처럼 큰 사건이 나지 않는 이상, 평소에 TV방송에서 정보보호를 이슈로 집중적으로 다뤄지진 않았던 점을 생각하면 고무적입니다.

일단 시작할 방송사별 프로그램입니다.

사용자 삽입 이미지

앞으로 시청자들뿐 아니라 특히, 정보보호 전문가 등 관계자분들이 관심있게 살펴보고 방송사와 방송통신위원회, 한국인터넷진흥원에 의견을 적극적으로 개진하는 것이 중요할 것 같습니다.


 

2010/07/14 13:35 2010/07/14 13:35

13일 청와대가 발표한 수석급 인사 명단에 김희정 한국인터넷진흥원(KISA) 원장이 올랐습니다. <관련기사 김희정 KISA 원장, 청와대 대변인 내정, KISA, 당분간 원장 직무대행체제…신임원장 공모 진행 예정>

김 원장은 작년 7월 23일 출범한 통합 한국인터넷진흥원 초대원장 자리를 물러나 청와대 대변인으로 옮기게 됩니다.

원장 임기 3년 중 1년도 다 채우지 못하고 가게 됐습니다. 이제는 인터넷진흥원 ‘원장’이 아니라 청와대 ‘대변인 내정자’로 불러야겠습니다.

이번 인사까지 포함해 김 대변인 내정자는 이제 항상 화제를 몰고 다니는 인물이 되고 있군요.

서른세살의 나이로 17대 한나라당 국회의원이 됐을 때에는 최연소 당선자였던 것을 비롯해 작년에 한국정보보호진흥원, 한국인터넷진흥원, 정보통신국제협력진흥원이 통합해 출범하는 거대 정부의 IT산하기관 초대원장으로 최초의 여성원장, 가장 젊은원장이 됐습니다.

젊은 나이와 경험, ‘한나라당’ 국회의원 출신이란 점이 더해져 원장 선임과 취임까지 많은 우려와 함께 뒷말도 많았었습니다. 이번에도 김 원장의 청와대 인선을 두고 결국은 한국인터넷진흥원장직이 경력을 잠깐 만들어 주기 위해 활용됐다는 식의 이야기도 물론 나오고 있습니다.

그러나 김 원장의 지난 1년간의 평가는 대체로 좋습니다. 기관 통합작업을 성공적으로 수행했고, 국회의원 출신으로 인터넷진흥원 위상을 높이는데도 상당히 기여했다고 평가됩니다. 대국민 정보보호 인식제고 등에서도 아주 열정적이고도 두드러진 활동을 보였습니다.

특히, 그가 가진 뛰어난 언변을 보면 앞으로 청와대에서 맡을 ‘대변인’의 역할을 잘 해낼 수 있을 것으로 보입니다.

가장 문제는 출범 1년도 안돼 한국인터넷진흥원 원장직에 공백이 생기게 됐다는 점입니다.

한국인터넷진흥원은 최근 직급 및 임금체계 일원화까지 마치면서 출범 당시 가장 핵심과제였던 ‘통합’의 한고비는 넘겼지만, 현실적으로 신임원장 공모와 선출에 소요되는 두세달 정도의 공백기간, 그리고 향후 성향이 다른 신임원장과 조직원의 적응기간이 필요해 앞으로 어떤 영향을 미치게 될지 아무도 모르는 상태입니다.

현정부에서 챙겨야 할 사람의 자리를 봐주는식과 같은 합리적이지 못한 인선이 된다면 상황은 아주 나빠질 것입니다. 

사실 김 내정자가 원장임기 3년을 채울 것이란 생각은 안했습니다. 저뿐 아니라 많은 분들이 정치인 출신인 김 원장이 당연히 다음 국회의원 선거에 출마할 것이라고 예상을 했을 겁니다.

3년의 임기는 아니더라도 2년 가까이는 채울 수 있지 않을까 싶었는데요. 11개월 반은 너무 이르긴 합니다.

어찌됐든 나라에서 더 큰일에 쓰겠다고 부르니, 응해야겠지요.

김 내정자도 이러저러한 면에서 부담이 되는 듯, 트윗터에 이런 글을 남겼습니다.

사용자 삽입 이미지


“정말 긴 하루가 지나고 있습니다. 이제 더 긴여정을 가려합니다. 두렵고 설레이고 무겁고..... 함께 해주는 친구가 많았으면 합니다. 함께라면 어떤 길이라도 헤쳐갈 수 있는 그런 친구. 그런 친구가 되어 주실거죠?”

그리고 이런 글도 남겼습니다. “트윗 친구분들 중에 보안하시는 분들 많으시죠. 푸른지붕집에 정보보호를 잘 이해하고 전파시키려는 사람 한 명이 더 생겼다고 생각하고 저 응원 좀 해주세요. 이제 좀비PC 척결과 정보보호는 홍보수석실에서부터 많이 많이 전파해야죠.”

보안하는 사람들이 혹시라도 힘이 빠질까봐서일까요? 아니면 힘주기 위해서였을까요?

원장 자리를 떠나 청와대 대변인으로 가더라도 정보보호 인식제고와 관련정책에 계속 매진하겠다는 스스로의 의지를 더욱 다지고 명분도 얻고자 함이었을까요...

개인적으로는 보안인들을 생각하는 마음과 의지의 표현이 모두 함께 담겼다는 긍적적인 생각이 듭니다.

한국인터넷진흥원장으로 있으면서 했던 경험과 지식, 마음이 이후 청와대와 향후 (가능하다면)국회에서의 활동에서 더욱 빛나게 발휘되길 바랍니다.




 

2010/07/14 10:13 2010/07/14 10:13

사용자 삽입 이미지
[IT 전문 블로그 미디어=딜라이트닷넷] 지난 3월 말 정부가 전자금융거래 공인인증서 의무화 규제를 풀기로 한 뒤, 민관 차원에서 공인인증서를 대체할 수 있는 사용자 보안(인증) 방안에 대한 활발한 조사 연구가 진행되고 있습니다.

명확하게 표현하자면 ‘동등한 수준의 안전성을 가진 공인인증서 대체수단’에 관한 가이드라인을 마련하고 있지요.(기밀성, 무결성, 부인방지, 인증 기능을 충족하는 기술)

그런데 다른 한편으로는 스마트폰에서 모바일 뱅킹 등 다양한 인터넷거래서비스를 이용할 때 사용자들이 공인인증서를 보다 편리하게 쓸 수 있도록 하는 기술도 활발히 모색되고 있습니다. 

공인인증서가 지금까지 주로 마이크로소프트 인터넷익스플로러를 통해 ‘액티브X’라는 플러그인 방식으로만 제공되면서 지적됐던 특정 플랫폼 종속 문제와 이로 인한 사용자 불편을 개선할 수 있는 기술이 잇달아 개발되고 있는 것입니다.

한국인터넷진흥원(KISA)은 이미 스마트폰에서도 PC에서처럼 하나의 공인인증서로 자유롭게 이용할 수 있도록 인증서 저장소와 저장위치를 표준화하는 기술규격을 만들었습니다.

그리고 KT와 함께 하나의 공인인증서를 사용해 여러 뱅킹, 증권, 결제 서비스를 아이폰에서 편리하게 이용할 수 있도록 아이폰용 공인인증서 공용 앱(App)을 개발했습니다. 이름이 SHOW 인증서입니다.

원래는 4월 중순부터 애플 앱스토어를 통해 배포, 서비스한다고 했지만 아직 제공되지는 않고 있습니다.

그 이유를 확인해보니, 좀 지연돼 애플에서 현재 막바지 검수를 받는 단계에 있답니다. KISA와 KT는 조만간, 5월 초 앱스토어를 통해 서비스될 것으로 예상하고 있습니다. 

그리고 KISA는 KT, SKT, LGT 등 이통사들과 안드로이드용 공인인증서 서비스, 대용량 USIM 기반 공인인증서 서비스 개발도 추진하고 있습니다.

민간 보안업체인 비티웍스는 최근 스마트폰 웹브라우저만 있으면 별도의 앱을 설치하지 않고도 공인인증서 기반의 전자서명을 처리하는 기술(‘BTW-SSLSign’)을 개발했습니다.

표준 웹브라우저가 제공하는 SSL(Secure Socket Layer) 프로토콜을 이용하기 때문에 스마트폰 플랫폼이나 웹브라우저 종류에 관계없이 공인인증서 전자서명을 처리합니다.

특정 웹 환경에 종속돼 있지도, 별도의 플러그인이나 앱을 설치할 필요가 없기 때문에 높은 사용자 편의성을 제공하고, 인터넷서비스 제공업체의 개발·관리 부담도 해소할 수 있다는 것이 비티웍스의 설명입니다.

아직은 특정 인터넷서비스에 상용화돼 있지는 않지만 은행, 증권사 등 금융기관을 대상으로 활발히 이 기술을 소개하고 있답니다.

얼마 전에는 한국전자통신연구원(ETRI)도 비슷한 기술을 개발했다고 발표했습니다. 지난 4월 28일 발표된 ‘스마트서명(Smart Sign)’인데요.

하나의 ‘스마트사인앱’을 설치하면 모든 스마트폰 웹브라우저에서 공인인증서 전자서명을 이용할 수 있도록 하는 기술입니다. 모바일뱅킹과 같은 서비스 앱에서도 ‘스마트사인앱’의 전자서명 기능을 호출해 사용할 수 있다고 합니다. 

‘스마트사인 앱’은 공인인증서 비밀키를 각 애플리케이션에 제공 후 전자서명을 수행하는 공인인증서 공통앱 방식과는 달리, 직접 전자서명을 제공하므로 비밀키 유출 위험이 없고 각 애플리케이션이 중복하여 전자서명 기능을 갖고 있을 필요도 없다는 것이 특징입니다.

ETRI는 이번 스마트서명 기술이 특정 플랫폼이나 특정 회사의 기술에 종속되지 않는 중립성을 확보해 모든 환경에서 사용할 수 있는 높은 적용성을 갖는다고 밝혔습니다.

아직은 이 기술은 프로토타입만 개발된 상태랍니다. 6월 중 아이폰용 ‘스마트사인앱’을 내놓고 8월 중에는 안드로이드 버전을 출시한다고 합니다.

또 ETRI는 이미 이 기술에 대한 특허를 출원했고, 국내외 표준화기구를 통해 표준화도 추진할 예정이라고 하네요. 당연히 민간업체에 이 기술을 이전하겠지요.

이 뿐만 아닙니다. ETRI는 전자서명 비밀키를 USIM에 저장하고 USIM 내부에서 전자서명을 수행해 비밀키 유출 가능성을 차단하는 USIM 저장 및 서명 기능을 개발해 하반기 중 발표할 예정이라고 합니다.

이렇게 스마트폰 웹 기반 전자거래를 안전하고 보다 ‘편리하게’ 이용할 수 있는 공인인증서 관련 기술이 활발히 연구개발되고 그 결과물이 나오고 있다는 점, 그 자체는 참 긍정적인 일입니다.  더 나은 기술이 개발되고 있으니 말이지요.

그런데
보기에는 그리 좋지는 않다는 생각이 드는군요.  결과적으로 인터넷과 정보보호 업무를 담당하는 정부 산하기관, 출연연구기관인 KISA와 ETRI가 동시에 같은 목적을 가진 앱을 경쟁적으로 내놓게 되는 형국이 됐기 때문입니다.

그간 공인인증서 관련 논란의 중심에는 KISA가 있었고, 그 때문에 KISA에서는 스마트폰 공인인증서 이용 표준 기술규격을 만들고, 아이폰 공인인증서 공용 앱 등도 개발했습니다.

그래서인지 갑자기 ETRI가 ‘스마트사인’을 개발했다고 발표한 뒤, KISA도 적잖이 당혹스러워하는 눈치입니다.

이미 KISA가 하고 있는 일인데, ETRI가 이 기술을 왜 개발했는지 모르겠다는 겁니다. KISA 관계자 사이에서는 “(공익적으로 제공해야 하는 기술을 개발해) 특허까지 출원한 것은 적절치 못하다”는 반응까지 나왔습니다.

ETRI 발표 이전까지 KISA는 이를 개발한다는 사실을 전혀 알고 있지 못했다고 합니다.

그러나 ETRI는 당연히 해야 할 일을 했다는 입장입니다.

ETRI 관계자는 “원래 공인인증서를 개발한 것이 ETRI이고, 10여 전에 개발한 공인인증서가 최근 사용 환경이 변화함에 따라 새롭게 업그레이드하는 차원에서 작년 말부터 개발을 진행한 것”이라며, “(KISA가 개발한) 공인인증서 공용 앱 등과는 서비스가 다르다”고 설명했습니다.

보도자료를 통해 김흥남 원장은 “10여년 전 공인인증서 기술을 개발해 안전한 인터넷 서비스 발전에 기여했던 ETRI가 스마트폰 사용의 제약 요건이었던 공인인증서 기술을 개발함으로써, 안전한 모바일 서비스 발전에 다시금 기여할 수 있게 된 점을 매우 뜻깊게 생각한다”고도 이미 밝혔습니다.  

앞서 이야기한 비티웍스와 ETRI와의 관계도 남다릅니다. 비티웍스는 ‘ETRI연구소기업’입니다. 

더욱이, 아주 공교롭게도 이 ETRI의 스마트서명 기술은 비티웍스와 BC카드, 케이사인, 숭실대학교가 공동으로 참여하고 있는 지식경제부 지원 과제인 ‘모바일ID 보안 및 프라이버시 보호를 위한 스마트지갑 개발’ 과제를 통해 개발됐다고 합니다.

국가(정부) 예산이 들어간다는 점에서 기관끼리 머리를 맞댔다면... ETRI가 육성하는 ETRI연구소기업이면서 관련 과제를 함께하는 민간기업과 협력했다면... 하는 생각을 지울 수 없습니다.

적어도 기술을 각각 개발하는데 들어가는 비용이나 시간, 인력 등을 효율적이면서도 더 신속하고 보다 나은 결과를 가져오지 않았을까요?

이로 인해 앞으로 혼란이 가중될까 우려됩니다.

조만간 KT와 KISA는 애플 앱스토어를 시작으로 안드로이드 마켓에서 관련 앱을 등록해 제공할 겁니다.

ETRI가 개발한 기술도 조기 상용화해 민간에 기술이전하게 되면 정식 출시되겠지요.

모바일 전자거래 서비스 제공기관은 어떤 방식을 채택하고 지원해야 할 지 고민하게 될 겁니다. 업체별로 선택해 제공하게 되면 또 여러 방식의 스마트폰 공인인증서 처리 기술을 사용자들이 쓰게 되는 결과가 빚어질 수도 있겠습니다. 적어도 경쟁에서 이겨 하나가 대세로 굳어지기 전까지는요. 

앞으로 허용했으니 공인인증서를 대체할 다른 보안 기술도 제공될 텐데요.

여러 웹이나 앱 방식의 스마트폰 공인인증서 처리 기술이 채택된다면 너무 과도한 다양성으로 인한 사용자 혼란을 줄 수 있지 않을지 우려됩니다.  

‘전자금융거래시 공인인증서 사용의무 규제완화 방안’을 마련한 국무총리실과 금융위, 방통위 등 관계부처, 그리고 민·관 협의체에서 스마트폰 공인인증서 처리기술에 대한 대책도 논의가 이뤄져야 할 수도 있겠습니다.


2010/05/03 08:30 2010/05/03 08:30


11일 개최된 한국인터넷진흥원(KISA) 비전선포식에  ‘해운대’ 윤제균 영화감독이 왔습니다.

국내 최초로 시도된 재난영화 ‘해운대’를 만든 윤 감독은 해킹, 바이러스, 개인정보침해, 불법 스팸메일 등 인터넷 침해와 관련된 상담을 도와주는 무료 전화번호 ‘118’ 홍보대사입니다. KISA는 지난 10월에 윤 감독을 홍보대사로 위촉했습니다.

최근 ‘해운대’의 동영상파일 유출로 피해를 당한 당사자인만큼 사회적으로 널리 중요정보 유출 경각심을 제고하고 정보보호 인식과 실천을 확산시킬 수 있도록 ‘해운대’를 만든 윤 감독에게 정보보호 관련 침해 신고·상담을 도와주는 전화번호 홍보 임무가 맡겨진 것입니다.

‘정보보호 홍보대사’답게 윤 감독은 이날 KISA 비전선포식에서 해킹이나 악플, 불법다운로드 등 정보화 역기능으로 꼽히는 문제를 ‘인터넷 재난(災難)’으로 규정하고, 나름의 경험을 들어 이야기했습니다.

윤 감독은 “앞으로 ‘인터넷 재난’이라는 신조어가 생기고, 또 천재, 인재에 이은 3대 재난이 될 것 같다”고 말을 시작했습니다. 윤 감독은 ‘인터넷 재난’으로 해킹 등 사이버테러, 악플, 불법 유통·다운로드 세가지를 들었습니다.

“이 세가지 인터넷 재난을 모두 경험해봤다”고 하더군요.

해킹/사이버테러에 관해서는 지난 7.7 DDoS 공격 때 윤 감독 회사 컴퓨터가 모조리 바이러스에 걸려 이용을 하지 못했던 경험을 이야기 했습니다. (그런데 아직 컴퓨터 보안관리에 대한 인식과 실천은 좀 부족한가 봅니다. 이 이야기를 듣다보니 윤 감독 컴퓨터도 DDoS 공격을 수행한 좀비PC였을 수도 있겠다는 생각이 들더군요. 운영체제 보안업데이트와 백신 등 보안 제품 사용은 필수입니다!)

악플 관련해서는 영화 ‘낭만자객’이 흥행과 작품성에 실패했을 때 악플에 시달렸던 경험을 풀었습니다. 옆에서 그 모습을 보던 부인이 잘못하다 남편을 위해 글을 올렸다가 더 심한 악플을 겪었다네요. 그 때 ‘악플 때문에 목숨을 끊을 수도 있겠구나…’란 생각이 들며, 그 심정을 이해할 수 있었다고 합니다.

윤 감독은 악플이 많이 달려 있으면 안보려고 해도 봐지는 심리가 혹시라도 그 안에 내편이 되주는 사람, 글이 있지는 않을까 기대심 때문에 보게 된 것 같다고 하더군요.

마지막은 다들 알고 계실 영화 ‘해운대’ 동영상 파일의 불법 유출·유통·다운로드입니다.

얼마 전 1000만 관객의 영화 ‘해운대’의 동영상 파일은 업무관계자에 의해 불법 유출, 온라인에 유통되면서 사회적으로 큰 파장을 불러일으켰지요.

이 때문에 ‘해운대’는 해외 판매가 힘들게 돼 약 300여억 원의 피해를 본 것으로 알려졌는데요.

이미 파일은 인터넷을 타고 너무나 빠르고 멀리 퍼져, ‘해운대’가 판매되는 전세계 24개국 중 거의 모든 나라에서 불법 다운로드를 할 수 있는 상황이랍니다.

윤 감독은 “많은 영화감독들이 해외시장 개척에 대한 큰 꿈을 갖고 달리고 있는데, 가장 큰 장애가 바로 ‘불법 다운로드’”라고 강조했습니다.

그러면서 한국인터넷진흥원에 사이버·인터넷재난이 발생할 때 재난방재청과 같은 역할을 해달라는 당부도 잊지 않았습니다.

앞으로 홍보대사로서의 윤 감독의 역할이 기대됩니다.

각종 정보화 역기능 관련 문제에 더 많은 관심을 귀울여, 불법 다운로드나 불법 복제 문제, 인터넷 윤리, 정보보호/보안 의식 제고와 실천을 위한 다양한 홍보활동을 해주길 바랍니다.

어쩌면 윤제균 감독이 언젠가 재난 영화 후속으로 ‘인터넷 재난’ 영화를 만들 날이 오지는 않을까요?

그날 “홍보대사 활동 열심히 하시다가 ‘인터넷 재난’ 영화 만드시는 거 아닙니까?, 한번 만드시는 건 어떨까요?”라고 질문을 했더니 웃으시더군요.

한번 기대해보겠습니다!!

‘보안도 문화’입니다.

 

2009/11/13 08:30 2009/11/13 08:30