미국이 국가 안보 강화에 본격적으로 나서기 시작했다. 수돗물을 관리하는 기관에서 포문을 열더니 교통보안청이 나서서 공항을 보호하기 위한 지침을 내렸다. 대단히 새로운 내용까지는 없지만, 원래 보안이 그렇다.

[보안뉴스 문가용 기자] 미국의 교통보안청이 이번 주 공항과 항공사를 위한 새로운 보안 지침들을 발표했다. 미국의 사회 기반 시설, 특히 항공 산업과 관련된 시설들을 겨냥한 사이버 보안 공격 시도가 급증하고 있기 때문이라고 밝혔다. 그래서인지 이번 지침에는 긴급 상황에서 해야 할 일도 포함되어 있었다. 지난 주 백악관이 국가 사이버 보안 전략을 발표한 직후에 나온 것이라 교통보안청의 이번 움직임이 더 큰 관심을 받고 있다.


보안 업체 벌칸사이버(Vulcan Cyber)의 수석 기술 엔지니어 마이크 파킨(Mike Parkin)은 “현실 속에서 실질적인 개선으로 이뤄질지는 아직 미지수이긴 하지만 교통보안청이 필수 보안 사항들을 성문화 하고 있다는 것 자체가 좋은 일”이라는 입장이다. “그 동안 미국은 가장 많은 공격을 받는 나라임에도 인프라 보안에 대해 별 다른 관심을 갖지 않아 왔거든요.”

새로운 가이드라인
교통보안청이 사이버 보안 가이드라인을 발표한 건 이번이 처음이 아니다. 보안 사고 발생 시 미국의 사이버 보안 담당 기관인 CISA에 보고하라거나, 사이버 보안과 관련된 연락 체계를 수립하라거나, 사건 대응 계획을 만들라거나, 취약점 평가를 주기적으로 실시하라거나 하는 지침들은 이미 공항과 항공사들에 내려간 지 오래다.

이번에 새롭게 발표된 내용에 따르면 항공 산업 내 조직들이 수립해 평가할 것이 하나 더 생겼다고 한다. 현재의 사이버 보안 복구력을 강화하고, 인프라 마비 및 약화 시도를 무력화시킬 방안을 만든 후에 이를 어떻게 도입할 것인지 계획서를 만들어 승인까지 받아야 하는 것이다. 교툥보안청은 다음 네 가지를 필수적으로 포함시켜야 한다고 강조했다.

1) 네트워크 분리 정책 및 제어 방안 수립. 특히 IT 시스템의 침해가 있더라도 OT가 마비되지 않도록 해야 한다. 마찬가지로 반대의 경우도 성립되어야 한다.
2) 승인 절차를 거치지 않은 채 주요 사이버 시스템에 접근하지 못하게 하기 위한 접근 관리 방안 마련.
3) 지속적 모니터링 및 지속적 탐지를 위한 정책과 절차 마련. 그래서 주요 사이버 시스템에서 비정상 패턴이 발견될 경우 최대한 빠르게 파악하고 조치를 취할 수 있어야 한다.
4) 애플리케이션, 운영 체제, 드라이버, 펌웨어 등의 업데이트 관리 체제를 마련하여 취약점 익스플로잇의 위험성을 최소화.

보안 업체 컨트라스트시큐리티(Contrast Security)의 사이버 전략 부회장인 톰 켈러만(Tom Kellermann)은 “이번 사이버 보안 가이드라인은 시기에 딱 맞게 나온 것 같다”며 “현 시점보다 더 늦게 보안 강화를 지시했다면 큰 의미가 없었을 수도 있다”는 의견이다. “지정학적 긴장감이 고조되면서 항공 시스템들이 주요 표적이 되어 가고 있습니다. 특히 러시아와 이란의 해커들이 서방 국가들의 공항을 주요 표적으로 삼을 때가 많습니다. 저는 개인적으로 사이버 공간에서의 9/11 사태가 곧 벌어질 거라고 보는 쪽입니다. 보안 강화가 매우 시급한 시점이었습니다.”

교통보안청의 새로운 계획, 효과 있을까?
교통보안청이 하달한 지침이 실질적인 효과를 낼 수 있을지 지금 판단하는 건 불가능하지만 보안 분야의 전문가들은 대부분 환영하는 눈치다. 세부 내용에서 조금 부족한 면이 있지만 개별 조직들과 교통보안청이 충분히 맞춰갈 수 있으리라고 보고 있기도 하다. 파킨은 “교통보안청의 방향성과 의도만큼은 올바른 것으로 보인다”며 “혁신적인 내용이 없지만, 보안 강화라는 게 원래 그렇다”고 말한다. “그만큼 보안이라는 게 알면서 지키기 힘든 것이기는 합니다.”

켈러만은 “이번 지침에 ‘마이크로세그멘테이션’, ‘관리형 탐지 대응 서비스(MDR)’, ‘런타임 애플리케이션 자기보호(RASP)’, ‘다중인증’과 같은 용어가 사용되었다는 것이 중요하다”며 “다소 광범위한 의미를 가진 용어들이긴 하지만 동시에 비교적 최신 보안 기술을 포함하는 말이기도 하다”고 짚는다. “공항과 비행기 관련 업체들이 이런 분야로 보안을 강화하라는 뜻으로 해석됩니다.”

그러면서 켈러만은 “항공 분야 업계들의 클라우드 환경을 안전하게 만드는 부분도 앞으로 추가해야 할 것으로 보인다”고 덧붙였다. “사이버 공격자들은 이제 클라우드 환경도 자유자재로 악용하지요. 그리고 기업들은 산업을 불문하고 전부 클라우드로 옮겨가고 있고요. 조만간 연방 기관들의 클라우드 인프라에 대한 보안 지침이 새롭게 내려오지 않을까 예상하고 있습니다.”

3줄 요약
1. 국가 안보 수립하려는 미국 정부의 각 기관들, 보안 강화 지침 내리고 있음.
2. 그 중에서도 항공 보안 강화하려는 교통보안청이 공항과 비행기 관리 주체들에 보안 강화를 지시.
3. 보안 업계 내부에서는 대체적으로 반기는 분위기.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>