• 최종편집 2021-10-27(수)

사이버보안
Home >  사이버보안  >  전문가 분석

실시간 전문가 분석 기사

  • 쿠콘, 이랜드월드와 디지털 사업 전방위 협업키로
    [시큐리티팩트=김상규 기자] 쿠콘은 이랜드월드와 디지털 비즈니스 협업을 위한 업무협약을 체결했다고 26일 밝혔다. 이번 협약식은 이랜드 자체 유통 플랫폼을 고도화하고, 양사 협업을 통해 신규 비즈니스 모델을 창출하기 위한 목적으로 마련됐다. 양사는 협약을 통해 △이랜드 자체 페이 서비스 구축 △마이데이터 기반 개인화 서비스 강화 △비즈니스 데이터 활용한 디지털 전환 가속화 등 디지털 사업 관련 전방위적 협업을 추진해나갈 계획이다. 먼저, 쿠콘은 계좌 기반 간편결제 상품을 통해 ‘이랜드페이’ 구축을 지원한다. ‘이랜드페이’는 멤버십-페이를 결합한 이랜드 자체 간편결제 서비스로 2021년 3분기 오프라인 결제 오픈을 시작, 연내 이랜드의 플랫폼과 각 브랜드 공식 홈페이지에 탑재될 예정이다. 쿠콘이 제공하는 금융 정보 및 마이데이터 인프라를 활용해 고객 맞춤형 서비스를 구현하는 등 이랜드 유통 플랫폼 고도화를 위해서도 양사가 적극 협력할 예정이다. 이랜드는 ‘유통 혁신 핀테크 플랫폼 구축’을 목표로 순차적으로 비즈니스 영역을 더욱 넓혀나갈 계획이다. 또한 양사는 가맹점 관리를 효율화하고, 내부 업무 프로세스를 개선하는 등 이랜드의 디지털 전환 전략 수립에 쿠콘의 비즈니스 데이터를 적극 활용할 예정이다. 김종현 쿠콘 대표는 “유통, 패션, 외식 등 다양한 사업군을 운영하는 이랜드월드와 쿠콘의 전략적 제휴는 핀테크 영역을 포함한 다양한 분야에서 시너지 효과를 창출할 것”이라며 “쿠콘은 본격화되는 이랜드의 디지털 비즈니스가 성공적으로 추진될 수 있도록 지원을 아끼지 않겠다”고 말했다.
    • 사이버보안
    • 전문가 분석
    2021-05-26
  • ADT캡스, ‘2021 클라우드 보안 가이드북’ 발간
    [시큐리티팩트=김상규 기자] ADT캡스가 '2021 클라우드 보안 가이드북'을 발간하고 무료 배포했다. 가이드북은 ADT캡스 인포섹 페이지와 블로그에서 다운로드 받을 수 있다. 가이드북에는 퍼블릭 클라우드 대표 서비스인 아마존웹서비스(AWS), 마이크로소프트 '애저'(AZURE), 구글 클라우드 플랫폼(GCP)을 중심으로 최신의 보안 트렌드가 반영됐다. 먼저 사용자의 클라우드가 보안의 3요소인 기밀성, 무결성, 가용성을 충족할 수 있도록 점검 분야를 상세하게 분류했다. Δ계정관리 Δ권한관리 Δ데이터관리 Δ가상 리소스 관리 Δ감사∙추적 관리 영역 등 5개 분야를 사용자가 다양한 클라우드 환경에서 직접 대응할 수 있도록 보안 정책 설정 방안과 점검방법을 담았다. ADT캡스는 각 요소들 위험도를 상∙중∙하로 나눠 사용자가 자체적인 보안 진단을 할 수 있도록 보안 상태의 기준을 제시했다. 클라우드 서비스 웹페이지에서 관리자 화면을 캡처해 보안 설정 과정을 단계별로 보여줌으로써 사용자의 편의성도 높였다. 클라우드 관리 경험과 운영 능력이 부족한 중견·중소기업에서도 클라우드 보안 설정과 점검을 쉽고 편리하게 따라 할 수 있다. 또한 이번 가이드북에 국내 정보보호 및 개인정보보호 관리 인증 체계(ISMS-P)의 준수 여부를 확인할 수 있는 취약점 점검 항목도 포함했다. 클라우드 보안 인증 제도 대상 기업은 가이드북을 통해 손쉽게 자가점검하며 인증에 대비할 수 있다. 김병무 ADT캡스 인포섹 본부장은 "앞으로도 ADT캡스는 클라우드 보안 기술 리더십을 기반으로 안전한 클라우드 사용 환경 조성에 기여해 나갈 계획"이라고 말했다.
    • 사이버보안
    • 전문가 분석
    2021-05-24
  • [팩트분석] 한국 개인정보보호 법제, EU와 동등 수준 인정 받아…EU시민 개인정보 국내 이전∙처리 가능해져
    [시큐리티팩트=김상규 기자] 한국의 개인정보보호 법제가 유럽연합(EU)과 동등한 수준으로 인정받았다. 윤종인 개인정보보호위원회장과 디디에 레인더스 EU집행위 사법총국 장관은 30일 오후 5시(한국시간) EU와 한국 간 적정성 논의가 성공적으로 마무리됐음을 확인했다고 밝혔다. 적정성 결정은 EU 역외의 국가가 GDPR 수준과 동등한 수준의 개인정보보호 제도를 운영하는지를 확인·인정하는 제도다. 양측은 공동언론발표문을 통해 "개인정보보호 분야에 있어 한국과 EU간 높은 수준의 동등성, 특히 최근 시행된 한국의 개정 개인정보보호법에 따라 개인정보위의 권한이 강화돼 동등성이 한층 더 향상되었음을 확인했다"고 발표했다. 이에 따라 한국은 개인정보보호에 있어 EU회원국에 준하는 지위를 부여받게 됐다. 한국은 이번 논의에 대해 “EU로부터 한국으로의 자유롭고 안전한 정보의 흐름이 가능”해졌고, “한-EU 자유무역협정(FTA)을 보완해 디지털 역량을 선도하는 EU와 한국 간 협력이 강화될 것”으로 평가하였다. EU집행위는 올해 상반기 또는 하반기 이번 결정을 발효할 예정이다. 한-EU는 4년여 기간 동안 대면·비대면 총 53회 회의를 통해 한국의 개인정보보호법 등 관련 법제 및 정부기관별 소관업무 등에 대한 심층적인 검토를 거쳤다. 그 결과 한국의 개인정보보호 법체계가 EU 일반 개인정보보호법(EU GDPR)과 동등한 수준임(적정성)을 확인했다. 그간 EU로 진출한 한국 주요기업들은 표준계약조항 등을 통해 EU 개인정보를 국내로 이전해왔다. 이를 위해 많은 시간과 비용을 투자해왔음에도 불구하고 GDPR 관련 규정 위반에 따른 과징금(최대 전세계 매출 4%) 부과 등에 대한 부담을 안고 있었다. 중소기업의 경우 표준계약절차 자체가 어려워 EU 진출을 포기하고 있는 것으로 파악됐다. 표준계약조항이란 EU집행위 또는 회원국 감독기구가 승인한 개인정보보호원칙, 내부규율, 피해보상 등 필수적인 조항을 계약서 형식으로 표준회한 것을 말한다. 적정성 결정을 받지 못한 국가의 기업들은 국외이전을 위해 표준계약조항을 사용한다. LG, SKT, 네이버 등 EU진출기업에 따르면 표준계약조항을 이용한 계약 체결을 위해서는 법률 검토, 현지 실사, 행정절차 등으로 3개월에서 1년 정도의 시간과 프로젝트별로 약 1~2억원의 비용이 소요되는 것으로 나타났다. 한국은 이번 적정성 결정으로 개인정보 국외이전에 있어 EU회원국에 준하는 지위를 부여받게 됨에 따라 한국 기업들의 경우 표준계약 등 기존의 까다로운 절차를 면제받게 되었다. 또한 2019년 1월 채택된 일본 적정성 결정과 달리 공공분야까지 포함돼 규제협력 등 EU와의 정부 간 협력이 강화된다. EU기업과 한국의 데이터 기업 간의 제휴가 가능해 국내 데이터산업 활성화에 기여할 것으로 전망된다. 다만, 이번 결정에도 불구하고 현재 표준계약으로 개인정보를 국내로 이전 중인 10개 이내의 금융기관 등의 경우 기존과 같이 표준계약을 이용해야 할 필요가 있다. 윤종인 위원장은 "이번 적정성 결정으로 한국이 글로벌 선진국 수준의 개인정보보호 국가로서의 위상이 제고됐다"며 "이러한 신뢰를 기반으로 한국기업들이 데이터 경제 시대의 주역으로 성장할 수 있는 기반을 마련하게 됐다"고 말하면서, "개인정보위를 주축으로 외교부, 법무부, 행안부, 산업부, 국조실, 금융위, 국정원, 인권위, 경찰청, 한국인터넷진흥원 등 관계기관의 긴밀한 협조를 통해 이번 결정을 이뤄냈다는 점에서 그 의미가 더욱 크다"고 평가했다.
    • 사이버보안
    • 전문가 분석
    2021-03-31
  • 에스티씨랩, 삼성전자 온라인스토어에 ‘넷퍼넬’ 적용
    [시큐리티팩트=김상규 기자] 에스티씨랩은 자체 개발한 솔루션 ‘넷퍼넬’을 삼성전자 스마트폰 판매 서비스에 적용했다고 24일 밝혔다. 넷퍼넬은 웹 또는 모바일 앱으로 디지털 서비스를 진행할 때 갑작스럽게 발생할 수 있는 순간적인 접속 폭주(Surge Traffic), 시스템 장애와 같은 이슈에 즉각적으로 대응한다. 소프트웨어 알고리즘에 따라 동시 처리할 수 있는 수준에서 클릭한 순서대로 접속 요청을 시스템에 먼저 진입시키며, 처리량을 초과하는 요청은 순서대로 대기시킨다. 이후 처리하는 작업이 완료되면 대기 중인 요청을 순번에 맞게 자동으로 진입시킨다. 이에 따라 확보한 시스템 리소스 및 서비스 상황에 맞게 실시간으로 안정적인 서비스가 보장되며, 이는 전 세계로 서비스하는 퍼블릭 클라우드 환경에서도 쉽게 적용할 수 있다. 넷퍼넬은 국내에서 약 300개 이상의 레퍼런스를 확보하고 있다. 김성규 에스티씨랩 사업총괄은 “이번 경험을 토대로 클라우드 환경 내 서비스 안정화와 국내 기업의 글로벌 시장 진출에 힘을 보태는 핵심 기업으로 자리매김할 것”이라고 말했다.
    • 사이버보안
    • 전문가 분석
    2021-03-24
  • 한국인터넷진흥원, 2021년도 우수 정보보호 기술 지정제도 공모절차 게시
    [시큐리티팩트=김상규 기자] 한국인터넷진흥원(KISA)은 8일 과학기술정보통신부와 함께 `2021년도 우수 정보보호 기술(제품·서비스) 지정제도` 공모 절차를 게시한다고 밝혔다. 우수 정보보호 기술 지정제도는 정보보호산업진흥법 제18조에 따라 정부가 창업 7년 이하 정보보호 벤처기업의 우수한 제품과 서비스 및 기술을 지정하여 홍보·판로개척 등을 지원하는 제도로 비대면 서비스, 5세대(5G) 이동통신, 인공지능(AI), 클라우드 등 혁신기술과 정보보호를 결합한 우수 기술을 심사해 지정한다. 지난 3년간 국내 벤처기업 11개의 정보보호 기술이 우수기술로 지정됐다. 지정 기술을 보유한 4개 기업은 약 142억원 규모의 투자 유치, 8개 기업은 69건의 유럽연합(EU)·미국 등 주요국을 포함한 국내외 특허 및 지적재산권 출원, 2개 기업은 인도네시아·미국 등 해외시장 진출 등의 성과를 내고 있는 것으로 확인됐다. 우수 정보보호 기술로 지정되면 △기술 홍보 등에 활용 가능한 과학기술정보통신부 장관 명의 지정서·지정마크·현판 △기술 전시 및 홍보영상 제작 지원 △과기정통부·KISA 지원사업 참여 우대 등의 혜택이 제공된다. 특히 올해는 대상 사업이 AI 보안기술 및 클라우드 관련 지원 사업 등까지 확대됐다. 우수 정보보호 기술 지정 공모는 이날부터 4월 7일까지 진행되며, 참여를 희망하는 기업은 과기정통부 또는 KISA 홈페이지에서 기술·제품·서비스별 지정 신청서를 내려받아 제출하면 된다. 이와 관련 설명회가 오는 26일 판교 정보보호 클러스터에서 코로나19 방역수칙을 준수하며 진행될 예정이다.
    • 사이버보안
    • 전문가 분석
    2021-03-08
  • [사이버안보 진단] (12) 군, ‘폐쇄성’ 버리고 민간 ICT 기술 상시 도입해야
    ▲ 지난 2016년 7월 26일 애쉬턴 카터 미국 국방부장관이 DIUX의 2번째 사무실 개소식에 참석해 의견을 말하고 있다. [사진제공=연합뉴스] 한국은 세계에서 ICT 인프라가 가장 발달된 나라 중 하나로 꼽힌다. 하지만 보안에 대한 인식은 낮아 사이버공격을 무기화하는 일부 국가나 해커 조직들에게 무방비로 노출된 상태다. 뉴스투데이는 한국의 사이버안보를 강화하기 위해 정부와 군 차원에서 과연 무엇을 어떻게 해야 할지 짚어보는 ‘사이버안보 진단’ 시리즈를 시작한다. <편집자 주> 합참 중심의 사이버작전 수행 가능토록 일원화된 지휘통제체제 정립 박호 육군 정보화기획부장, “군, 폐쇄성 때문에 뒤쳐져 위기감 느껴” [시큐리티팩트=김한경 안보전문기자] 지난 1∼2일 양일간 서울 삼성동 코엑스에서 국제 시큐리티 콘퍼런스인 ‘2019 ISEC’ 행사가 성황리에 개최됐다. “초연결 시대의 다양한 보안 위협은 우리 모두의 현실”이라며 ‘REAL’을 주제로 진행된 이번 행사에서 예년처럼 2일차에 ‘육·해·공군 사이버안보 워크숍’이 열렸다. 육군본부가 주관한 이날 워크숍은 이전과는 확연히 달랐다. 통상적인 세미나 형태로 진행되던 과거와 달리 20여명의 기관, 업체, 대학, 연구소를 대표하는 전문가들을 초청해 국방부와 합참이 그동안 사이버안보를 위해 추진한 내용을 발표한 후 의견을 청취하는 자리였다. 군이 만든 새로운 소통의 자리였고, 집단지성을 통해 해답을 구하는 최초의 시도였다. 이날 국방부는 발표를 통해 합참 중심의 사이버작전 수행이 가능토록 일원화된 지휘통제체제를 정립했고, 사이버작전 개념과 교리를 발전시켰으며, 사이버조직을 개편 및 보강했다고 말했다. 또 사이버 전문특기 신설 등 전문인력 인사관리제도를 마련하고, 직무능력 중심으로 교육체계를 개선했으며, 사이버방호체계도 고도화를 추진 중이라고 설명했다. 합참 또한 합동 사이버작전 개념을 정립했고, 사이버작전 지휘관계와 수행절차를 발전시켰으며, 사이버 전장관리체계 구축을 위한 운용개념과 사업추진 계획을 마련했다고 발표하면서 사이버 지휘통제체계는 금년 내에 구축할 것이라고 밝혔다. 국방부와 합참의 발표를 들으면서 군이 그동안 열심히 노력했고 나름대로 상당한 진전이 있었다는 것을 알 수 있었다. 이어 산·학·연 전문가들의 다양한 의견이 제기됐다. 행사를 기획한 박호 육군 정보화기획참모부장(육군소장)은 마무리 발언에서 “세상은 너무 빠르게 변하는데 군의 폐쇄성 때문에 뒤쳐져 위기감을 느낀다”고 말했다. 그는 “사이버 분야의 발전이 지지부진한데, 현장의 목소리를 듣고 반영하기 위해 이 자리를 만들었으며, 좋은 의견을 많이 내주어 감사하다”면서 미국 국방부가 2015년 실리콘밸리에 만든 ‘국방혁신실험사업단’((DIUX: Defence Innovation Unit-Experimental)을 언급하기도 했다. 미국은 DIUX를 통해 민간의 기술적 성과를 국방에 상시 도입하는 시스템을 구축했다. 최낙중 합참 사이버지통부장, “상용기술의 군사적 활용에 주력해야” 박종현 ETRI 소장, “ICT 기술 결합 못하면 미래전쟁 수행 주체 안 돼” 지난 22일에는 합참이 주관한 ‘합동 사이버지휘통신 발전 세미나’가 있었다. 이날 최낙중 합참 사이버지휘통신부장은 기조연설을 통해 “다양한 잠재적 위협에 동시 대비할 필요가 있다”면서 “정보유통 수준과 사이버방어 능력을 동시에 향상시키는 통합된 체계를 구축하되, 상용기술의 군사적 활용에 적극적인 노력을 기울여야 한다”고 강조했다. 그는 기조연설 마무리에 “지금이 C4I 체계를 획기적으로 발전시킬 적기”라면서 “작전과 정보(특히 보안) 그리고 정보통신의 통합된 노력이 필요하다”고 주장했다. 또 “합참과 육·해·공군 및 해병대 간 공감대 형성과 통합된 노력이 필요하고, 산·학·연의 적극적인 참여와 지원도 요구된다”고 목소리를 높였다. 이날 박종현 한국전자통신연구원 지능화연구소장도 기조연설에서 “ICT 기술 혁신을 국방에 효과적으로 결합시키지 못한 국가는 미래 전쟁의 수행 주체가 될 수 없다”면서 “미국은 신기술 도입을 위해 2015년 DIUX를 실리콘밸리에 설치했고, 에릭 슈미트 전 구글 회장을 국방부 혁신자문위원장으로 영입했다”고 말했다. 지난 23일 채널A와 동아일보가 주최한 ‘2019 K-디펜스 포럼’에서 강은호 방위사업청 기반전력사업본부장도 미국 연수 중 DIUX를 몇 차례 방문한 경험을 얘기하면서 “민간의 신기술을 군 무기체계에 적용할 방안을 찾아 2년 내에 개발을 완료하는 DIUX의 모습이 가장 부러웠다”고 말했다. 미국은 2018년 임시조직이던 DIUX를 ‘국방혁신단(DIU)’으로 전환해 국방부 내 정규조직으로 편성했다. 기존의 실험적이고 한시적인 조직을 상설기구 성격으로 전환한 것이다. 2018년 9월부터 DIU를 이끌고 있는 마이클 브라운은 실리콘밸리의 보안기업 ‘시만텍(Symantec)’의 CEO출신이다. 그는 군보다 민간이 앞서가는 분야로 AI와 사이버보안을 꼽았다. 집단지성으로 해법 찾으려는 노력 신선...“다소 늦었지만 희망 보여” 기술 바탕으로 개념과 교리 만들어야...‘한국형 DIU’ 필요한 시점 최근 국방 사이버안보 정책 결정에 상당한 영향을 미칠 수 있는 군 고위급 인사들이 보여준 신선한 모습과 집단지성으로 해법을 찾으려는 노력에 보안 전문가들은 “다소 늦은 감은 있지만 희망이 보인다”는 반응을 내놓았다. 하지만 한편에선 “정보통신 분야에서 나타나는 일부 변화일 뿐 군을 주도하는 정책 및 작전 분야의 변화는 감지되지 않는다”며 아쉬워했다. 이와 관련, 최근 정의당 김종대 의원은 “국방부장관의 과학참모가 없고 합참의장을 보좌하는 기술자 집단도 존재하지 않으며, 기술을 바탕으로 개념과 교리를 만드는 기능을 찾아보기 어렵다”면서 “우리 국방부는 지식과 기술에 관심이 없다”고 지적했다. 반면 “북한의 ‘국방과학원’은 창의적으로 일하는 교과서 같은 사례”라며 “우리는 기술전쟁에서 패배했다”고 말했다. 김 의원은 또 “우리는 국방과학원과 같은 고등 연구개발 기능이 없고, 연구를 관리하는 관리자 집단이거나 업체를 감독하는 행정관청 같다”고 주장했다. 이런 문제를 보완하기 위해 강은호 방사청 본부장은 K-디펜스 포럼에서 “국방과학연구소(ADD)를 핵심·비닉 기술 중심의 연구체계로 재구조화하겠다”고 발표했다. 국방부와 합참의 주요직위자들이 기술을 바탕으로 개념과 교리를 만드는데 관심을 갖고 강 본부장이 말한 ADD 재구조화가 완성될 때, 한국군은 비로소 4차 산업혁명 시대를 대비할 수 있다. 그러면 미국의 DIU 같은 조직도 생각할 수 있으며, 현재 육군이 그런 노력에 가장 앞서가는 듯하다. 머지않아 ‘한국형 DIU’가 만들어질 수 있기를 간절히 소망한다.
    • 사이버보안
    • 전문가 분석
    2019-10-26
  • [사이버 전문가 릴레이 인터뷰] ⑤ 손영동 한양대 교수, "국방 사이버안보 수행체계는 '삼각구도' 바람직" 강조
    (정리=김한경 총괄 에디터) 지난 8월 9일 국방부는 ‘국방사이버안보 역량 강화방안’을 국방개혁의 과제로 선정하고 본격 추진한다고 밝혔다. 반면 청와대는 사이버안보의 컨트롤타워 역할을 해야 할 사이버안보비서관 직위마저 없앴다. 이와 관련, 한국을 대표하는 사이버안보 전문가인 손영동 한양대 융합국방학과 교수를 만나 사이버안보에 관한 견해를 들어 보았다.
    • 사이버보안
    • 전문가 분석
    2018-10-12
  • [사이버 전문가 릴레이 인터뷰] ④ 보안전문가인 권석철 ‘큐브피아’ 대표, "해커 움직임 100% 감지해 추적하는 보안기술 필요"
    (정리=김한경 총괄 에디터) 지난 8월 9일 국방부는 ‘국방사이버안보 역량 강화방안’을 국방개혁의 과제로 선정하고 본격 추진한다고 밝혔다. 이와 관련, 한국을 대표하는 보안전문가이자 한 때 화이트해커로도 활동했던 ‘큐브피아’의 권석철 대표를 만나 사이버보안에 관한 의견을 들어 보았다.
    • 사이버보안
    • 전문가 분석
    2018-09-17
  • [사이버 투시경] ⑭ 뛰는 해커 때려잡는 DARPA의 ‘노우먼 프로젝트’
    (시큐리티팩트=김한경 총괄 에디터) 최근 보안업계에서 회자되는 노우먼 프로젝트(Gnomon Project)는 침투에 성공한 해커가 머무르는 시간을 줄이자는 내용의 프로젝트로서, 미국 방위고등연구계획국(DARPA)이 조지아 공과대학과 함께 추진하고 있다.
    • 사이버보안
    • 전문가 분석
    2018-09-05
  • [사이버전문가 릴레이 인터뷰] ③ 변재선 前 사이버사령관(하), “중요 작전체계 및 일부 사업은 그 존재 자체가 비밀”
    ▲ 육군본부 정보화기획실장으로 근무할 당시 간담회에서 자신의 의견을 피력하는 변재선 장군의 모습 ICT 기술이 급속도로 발전하면서 ‘평화’속에서도 ‘사이버 전쟁’은 진행 중이다. 세계 각국들은 자국의 이익을 위해 수시로 사이버전을 벌이고 있다. 특히 북한의 사이버공격 능력은 세계를 위협할 정도로 뛰어나 한국군의 경계 대상이다. 이에 시큐리티팩트는 사이버전문가 릴레이 인터뷰를 통해 한국군 사이버전의 현주소와 향후 발전 방향에 대해 심층 보도한다. <편집자 주> (정리=김한경 총괄 에디터) - 장비를 구매하거나 사업화가 필요한 분야도 있을 텐데, 예산 반영의 어려움이나 제도상 보완할 내용은? “예산은 ‘19~’23중기계획 대비 ‘20~’24중기계획이 70~80% 이상 증액되어야 사이버작전 임무수행 체계 구축이 가능하다. 따라서 예산이 적극 반영되도록 장관을 비롯한 군 수뇌부의 관심이 당연히 필요하다. 또 예산의 반영도 중요하지만 궁극적으로 제도적 보완이 필요하다. 일례로 백신 사업이나 일부 중요한 작전체계는 존재 자체를 비밀로 해야 해커들의 공격을 피할 수 있다. 이런 분야를 일반적인 “국방정보화” 사업과 차별화해서 은밀히 추진하도록 사이버작전사령부에 사업적인 권한과 융통성을 부여하는 제도가 있어야 한다. 또한 작전체계에서 예기치 못한 취약점이 발생할 경우 즉각적인 보완이 이루어져야 하는데, 이 경우 국방부 예산 중 집행 잔액이 있어야만 가능하다. 이와 같은 문제를 해결하려면 “작전체계 보완 예비비” 개념으로 예산이 반영되고, 필요시 사이버작전사령부가 즉각 집행 할 수 있게 해야 한다. 또한 ICT 기술 발전 속도가 빨라 중기계획에 포함해 추진할 수 없는 사업은 사이버작전에 필요한 체계를 적시에 도입할 수 있도록 ‘신속 획득제도’를 만들어야 한다. 이를 위해 용처를 명시하지 않는 예비비를 책정하거나 긴급 소요전력으로 별도 예산을 배정하는 제도가 있어야 한다.” - 국방망 해킹 사건이 발생했을 때 문제를 발견해 조치하고도 책임질 상황에 몰렸다고 들었다. 어떤 상황이었고, 문제의 본질은 무엇이었나? “새로 도입한 장비를 시험하다가 우연히 국방망과 인터넷이 연결된 것을 발견했다. 00 데이터센터였는데, △△ 데이터센터도 확인해 보니 같은 상황이었다. 유추해 보면 최초 데이터센터 구축사업을 하면서 설계에 문제가 있었던 듯하다. 또한 네트워크 구축이 완료되면 별도 기관에서 보안측정을 하게 되고 매년 기관평가를 시행하는데 이 과정에서 식별됐어야 했다. 따라서 네트워크 설계의 문제라면 사업을 주관한 부서인 정보화기획관실이 잘못한 것이고, 보안측정에서 식별을 못한 것은 담당 기관 또한 역할을 제대로 못한 것이다. 게다가 비밀이 소통되지 않아야 하는 국방망에서 비밀이 해킹 당한 것은 비밀생산 및 관리 간 보안규정을 준수하지 않은 개인과 담당부서장에게도 책임이 있다. 이런 상황들이 문제를 발견한 사이버사령부에 마치 책임이 있는 모양새로 흘러갔다. 해킹 공격을 받았다고 하니까 사이버방어의 책임이 있는 사이버사령부가 문제가 있을 것이란 인식 때문이다. 하지만 당시 임무 및 기능상 00 데이터센터 운용은 사이버사령부가 책임질 영역이 아니었다. 결과적으로 책임을 떠넘길 수 없다보니 유야무야하다가 끝났다.” - 그 때 식별된 문제가 아직도 근본적인 대책이 강구되지 않았다는 얘기도 있는데. “일례로 백신의 경우만 보더라도 미군은 여러 개의 우수한 백신을 자체 개발하거나 구매해서 돌려쓴다. 그리고 군이 어떤 백신을 쓰는지 외부에 공표하지 않는다. 해커의 입장에서는 어떤 백신을 쓰는지 모르니 그만큼 어려움이 많다. 그러나 우리는 적당한 가격의 상용 백신을 하나만 구입해 쓰고 외부에 그 사실이 공표되어 있다. 해커로서는 매우 쉬운 상황이 된다. 또 미군은 군이 사용하는 네트워크의 보안 취약점을 찾아서 포상하는 버그바운티 제도를 운영하면서 매년 취약점을 보완한다. 우리도 이런 노력을 해야 한다.” - 사이버전에서 승리하려면 평소에 어떻게 대비해야 하는지? “사이버전의 출발은 해킹으로 시작된다. 어떤 조직이든 해킹과 관련해 “3가지 영역”이 있다. 첫째, 조직에 필요한 하드웨어, 소프트웨어, DB 등으로 구성된 정보체계 분야가 있다. 둘째, 개인이 업무적으로 또는 사적으로 사용하는 단말기(PC, 태블릿, 휴대폰 등)와 SNS 활동의 영역이 있다. 셋째, 모든 조직은 자체 보안규정을 만들고 조직원들이 보안규정을 준수해야 하는 영역이 있다. 이 세 가지 영역 중에서 한 곳이라도 미흡하면 반드시 해킹을 당하게 된다. 조직의 관리자가 이 분야에 얼마나 리더십을 발휘하느냐에 따라 해킹 후 대응하는 모습도 3가지로 구분된다. ① 해킹을 당하고도 전혀 모르는 조직, ② 해킹을 당한 사실을 늦게 인식하는 조직, ③ 해킹을 당하면 빠르게 인식하는 조직 등 3가지 유형이다. 몇 년 전만 해도 해킹을 당하면 어느 정도 준비된 조직에서조차 발견하는 기간이 약 200일 정도 걸린다고 했다. 한국군 예하 조직의 CERT 능력은 어떤지 자문해 봐야 한다. 결국 해킹의 예방은 물론 해킹 시 피해를 최소화하고, 최대한 빨리 복구하려면 가장 중요한 요소가 각 조직의 리더십이다. 대응 조직을 잘 편성하고 임무수행 가능한 인원을 선발하며, 정보체계 및 정보보호체계를 최상의 상태로 설치하고 최신화하는 노력이 필요하다. 또한 관련 전문가의 평가를 경청하고 충분한 예산을 편성해줘야 한다. 그리고 보안부서는 조직원 개개인이 조직 내부는 물론 각자의 SNS 활동 영역까지 보안규정을 따르도록 만들어야 한다. 즉 개인별 사용 ICT 기기의 최신 버전 프로그램 설치, 백신 업데이트, 특수문자 포함 12자리 이상의 패스워드 사용 등 해킹 예방조치와 개인보안 준수 생활화를 수시로 교육하고 반드시 실천하도록 해야 한다.” - 마지막으로 사이버전과 관련하여 당부하고 싶은 말이 있다면. “남·북의 전통적 안보 위협은 감소하고 있지만 사이버 분야의 위협은 더욱 증대되고 있다. 그럼에도 “왜 발전이 늦어지고 있을까”라는 의문을 모두들 갖게 된다. 그 이유는 사이버 작전이 일반적인 군사작전에 비해 적, 작전 공간, 작전 시기 등이 전혀 다름에도 전통 안보적 사고와 프레임의 지배를 받기 때문이다. 이제라도 국가적으로 사이버안보 분야의 관련 직위에 사이버보안과 사이버작전 개념을 이해하는 관리자가 등용되어야 한다. 또한 각종 컨퍼런스 및 세미나에서 전문가들이 주장하는 문제점과 대응책에 귀 기울여 정책에 반영하는 노력이 지속돼야 한다. 사이버공간에서 대한민국의 안보를 지키려면 정책결정자들이 이 분야에 눈과 귀를 활짝 열어야 한다.”
    • 사이버보안
    • 전문가 분석
    2018-08-29
비밀번호 :