|
<오늘의 보안이야기 No.4>
오늘은 좀 무거운 얘기를 해볼까 합니다.
보안에서도 골든타임이 있습니다. 사이버 세상은 지능형 지속 공격(Advanced Persistent Threat, APT)으로 인해 진통을
겪고 있습니다. 특히 인터넷 웹 기반 서비스를 통한 악성코드의 유포 및 일반 사이트를 대상으로 하는 공격이 크게 증가했습니다.
이와 동시에, 스마트 모바일 기기가 대중화되면서 유무선 인터넷을 막론하고 예측하기 어려운 보안 위협에 지속적으로 노출되고 있으며,
모든 기기에서 보안 사고가 발생할 여지가 높아지고 있습니다.
이런 보안 위협 상황에 대처하기 위해서는 ‘지피기지 백전불태(知彼知己 百戰不殆)’의 자세가 필요합니다. 점점 진화하는 공격방법에
대해 여러 가지 대응 방법들이 제안되고 있는 있는 상황이긴 하나 공격자와 방어자가 서로를 얼마만큼 잘 아느냐가 현재의 보안 이슈를
해결할 수 있는 방법입니다.
결국 한마디 하자면 세상에는 결코 "안전지대"가 없습니다.
우리는 제안해봅니다.
말로만 하는 '산,학,연 정보공유 체계(가칭)' 더이상 기다려서도 방관해서도 안됩니다.
정보 안전벨트를 메고 전속력으로 달려야 합니다.
1) 국가적 정보보호 안전밸트를 메야 합니다.
여러해 정보유출,해킹사고,한수원 제어망 기술유출 사건등 일련의 사건,사고의 재발을 막고, 위기 상황에 체계적으로 대응하기 위해
필요합니다.
위리관리의 필요성을 강조하면서 효과적인 정보 보호의 중요성에 대한 인식이 가장 절실합니다.
한국의 정보보호 의식 변화와 위기관리의 전제조건이 되어야 합니다.
이러한 위기관리 필요성인식이 선행돼야 관련 정보 취합과 대응 방안 연구 등이 자연스럽게 논의될 수 있기 때문입니다.
보안에 대한 의식은 우리가 운전할 때 안전벨트를 매는 것과 같은 이치로 생각해야 하며, 우리 몸을 지키기 위해 최선을 다해야 하며
우리의 정보보호 생명에 대한 인식제고가 있어야 합니다.
2) 반쪽짜리가 아닌 공식기구로서 '산,학,연 정보공유 체계(가칭)' 출범이 필요합니다.
효과적인 위기관리를 위한 발생할 수 있는 만일의 사태를 대비해 독립적인 위기관리기구를 구축해야 합니다. 정보보호 지도자들과
함께 체계적인 위기관리를 위해 준비해야 할 사항들을 빠짐없이 점검해 나가야 합니다.
산,학,연 연합으로 위기관리팀을 각각 구성하도록 돕는 한편, 각 정보보호 책임자들 간의 긴밀한 협조를 통해 각 지역별 위기관리팀을
운용하는 등 위기상황에 체계적으로 대처해야 합니다.
정보보호의 안전은 더 이상 사고발생 기관,기업만의 일이 될 수 없다는 교훈을 이번 한수원사태를 통해 얻었고, 산,학,연
정보공유체계(가칭)' 출범이 필요합니다.
3) 정보보호 관련 인식 변화 ‘시급’ 합니다.
정보보호 대상자들의 윤리와 안전의식 변화를 위해 교육 사업을 펼쳐야 합니다.
만일의 사태에 대비한 행동지침을 마련, 침해대응에 대한 각종 지침을 전달해야합니다.
4) ‘연합’을 통한 위험요소 분석이 그 어느때보다 절실합니다.
'산,학,연 정보공유체계(가칭)' 기틀 마련을 올해 중점사업으로 효과적인 위기관리를 위해서는 정보보안 전문가들의 정보 공유와
연합활동이 선행돼야 한다는 판단입니다, 이를 위해 정부와 학계, 연구기관 정보보호 담당자들의 연합체를 구성해 유기적인 관계를
유지해야 합니다.
산,학,연 정보보안 담당자들과 함께 현지에서 취합되는 각종 위기 정보를 취합, 분석해야 합니다.
정부와 학계, 일선 정보보호 전문가들의 연합활동으로 위기 정보 취합은 물론 상황의 시급성을 판단할 수 있는 체계구축이 되어
이렇게 취합된 정보를 바탕으로 체계적인 위기관리가 효과를 달성할 수 있습니다.
5) ‘포럼’을 통한 학술 연구는 지속되어야 합니다.
대부분 국가예산을 핑계로 사업시작을 하고서 몇해 지나지 않아 멈춰버립니다.
효과적인 위기관리를 위한 학술 연구 단체 구성에 대한 논의도 활발하게 만들고 산,학,연과 별도의 위기관리 기구를 구성해 효과적으로
위기에 대처해야 합니다. 그 일환으로 정보보호 리더십들의 연구 모임인 ‘산,학,연 정보보호체계(가칭)'을 구성해 학술적인 연구 활동을
실시해야 합니다.
또한 보안관제 효과를 높이려면 각종 취약점, 보안위협 정보를 신속하게 습득하는 것이 아주 중요합니다.
민간 보안 솔루션, 서비스 제공업체들은 대부분 각자 해외와 국내 관련 정보공유 커뮤니티에 참여하거나 고객사에 설치된 시스템·
서비스 인프라, 분석체계 등을 통해 자체적으로 보안위협 정보를 확보하고 분석하기 위해 노력하고 있습니다.
하지만 새로운 공격기술과 이를 통한 심각한 침해사고가 발생할 때에는 각자 정보를 습득하는 것보다는 민간기업과 정부기관,
사고 발생 기업, 망 사업자(ISP) 등이 서로 공유하는 것이 더욱 효율적이고, 보다 신속하게 대응할 수 있습니다.
그 때문에 특히 국가 차원에서 심각한 사이버공격 이나 위협 상황이 발생할 경우에 신속한 침해사고 대응을 위해서는 정보공유와 협력의
중요성이 강조됩니다.
지능화된 신종 공격기법이 점점 더 빠르게 개발되고 있기 때문에, 새로운 위협에 관한 분석정보를 신속하게 보안업체와 주요
관제업체를 포함한 사이버 보안 관련 주체들이 공유, 전파될 수 있는 국가적 체계 마련이 필요하다는 지적이 나오고 있는데.
그때마다 정부는 정보보호 협력체계 강화를 외치고 있습니다.
그동안 국가정보원 국가사이버안전센터(NCSC), 행정자치부, 방송통신위원회 한국인터넷진흥원 (KISA) 등에서 민간업체들과의
정보공유체계를 운영해오긴 했는데요. 대체적으로 형식적이거나 정보의 범위가 제한적이라는 평가입니다.
그 이유 중 하나는 이해를 따질 수 밖에 없기 때문입니다. 오직 국가의 예산만 바라보고 있기 때문에 자생력없이는 실효성이 없습니다.
국가적인 사이버 위기상황 발생시에 사명감과 책임감을 갖고 일하긴 하지만 민간 보안업체들은 엄연히 보안을 사업으로 하기 때문입니다.
보안 솔루션이나 서비스 업체들은 사이버위협 정보가 자사의 서비스 품질과 차별성을 좌우하는 중요한 요소가 됨과 동시에 서로 같은
수준으로 도움이 되는 정보를 공유한다는 것이 쉽지 않을 수 있습니다.
그러면 최소한 일반기업이나 보안담당자간 정보공유라도 해줘야 하는것은 아닌지?
서로 각자 다른 쪽에서 나오는 정보를 받으려고만 하는 태도로는 정보공유와 협력은 요원하고 정부기관과 민간업체들 간의 정보공유
환경도 비슷하다는 인식 차이에서 비롯됩니다.
정부기관에서는 일방적으로 받으려고만 한다는 볼멘소리를 할 것이 아니라 어떻게 상호 상생할 수 있는 협력과 공조가 이뤄져야 하는지
고민해야 합니다.
국가 안보 차원에서 접근하는 정부기관 입장과 민간업체의 입장이 다르다는 점을 감안하면 모든 정보를 서로 오픈하는 것이 쉽지는
않아 보입니다.
하긴, 민·관의 협력을 이야기하기에 앞서 정부기관 간 체계적인 협력체계도 미흡했고 지난 2009년 7.7 DDoS(분산서비스거부) 공격 당시
문제점이 여실이 드러났습니다.
이 사고 이후 사이버보안 '컨트롤타워의 부재'로 인한 문제가 수없이 지적돼온것도 사실입니다.
아직도 사이버위기대응 주체라 할 수 있는 민·관·군(NCSC, 사이버사령부, 보안업체), 더 나아가 수사기관인 검찰과 경찰 간의 정보공유와
협력의 중요성이 크게 강조됨에도 불구하고 원활하고 일사분란한 체계가 운영되지 못하고 있는 기묘한 관계입니다.
민간업체들 입장에서 관과의 협력에 힘들어 하는 이유가 여기에도 있습니다.
한 업체가 여러기관에 불려가다보니(?) 창구를 통일했으면 한다는 볼멘소리도 나옵니다.
민간 부문의 사이버 침해사고 대응 역할을 담당하고 있는 KISA 인터넷침해대응센터 역시 주요 망 사업자(ISP), 백신업체를 비롯한
보안업체, 정부기관과의 정보공유와 협력을 강화하기 위한 활동을 벌이고 있다고는 하는데 특정 업체, 특정인들만의 잔치가 되고 있다는
지적이 공론화되고 있습니다.
국가기관과 민간 주요 보안업체들과의 정보공유가 체계적으로 이뤄지지 못하고 있다는 점에서 '산,학,연 정보공유체계(가칭)'를 개선하기
위한 시스템을 개발해야 할 것입니다.
이 시스템은 보안권고문과 유포 중인 악성코드 등 보안위협, 유포사이트 차단 등 대응조치 사항을 포괄해 양방향 정보공유 체계와
프로세스 자동화를 목표로 해야 합니다.
민간업체들과 MOU를 체결해 체계적인 정보공유 체계를 마련해 나가야 할 필요성이 있습니다.
정보보호 위기관리포럼에서 대 테러대응 방안부터 테러단체의 행동패턴 등 테러에 대한 학술적 연구, 위기관리 표본 정책에 이르기까지
구체적인 위기 대응방안에 대해 연구해야 합니다.
위기관리 포럼 구성에 대해 산,학,연 리더십의 논의, 포럼을 통해 정보보호 상황에 맞는 효과적인 대 테러 방안을 모색해야 합니다.
"나를 알고 적을 알아야 효과적인 대응책이 마련"될 수 있습니다. 포럼에서 나온 학술적 연구 방안을 토대로 상황에 맞는 표본 정책을
만들어 효과적으로 대처 할 수 있어야 합니다.
끝으로 국가는 같은 정책을 반복적으로 내놓을 것이 아니라 실효성있는 올 한해 위기관리의 초석을 다지는 시스템 구축을 최우선 과제
삼고 각종 사업을 추진해야 합니다.
|
