기간산업 노리는 표적공격은 증가, CIP 참여 지수는 하락

[보안뉴스 오병민] 시만텍이 전세계 37개국 3,475개 국가 핵심 기간산업 관련업체를 대상으로 조사한 ‘2011 시만텍 핵심 기간산업 보호현황 보고서(2011 Symantec Critical Infrastructure Protection Survey)’에 따르면, 국가 핵심 기간산업을 노리는 표적공격이 늘고 있음에도 불구하고 CIP 참여지수는 전년 대비 18%나 하락한 82%로 나타났다.

지난해 등장한 ‘스턱스넷(Stuxnet)’을 비롯해 전세계 화학 및 방산업체를 공격한 ‘니트로(Nitro)’와 신종 표적공격 듀큐(Duqu) 등 최근 사이버 공격들이 국가 핵심 기간산업을 표적으로 삼았다는 점을 감안할 때 이번 조사 결과는 다소 우려스럽다는 평가다.

갈수록 빠르게 진행되고 있는 디지털 정보경제의 확산으로 국가안보의 개념이 중대한 변화를 맞고 있는 시점에서 국가의 기본 구성요소인 육해공(陸海空) 영토 외에 정보 네트워크를 통해 형성된 사이버 공간이라는 새로운 가상의 영토가 창조됨에 따라 이들의 사이버 네트워크가 심각한 공격을 받아 정상적으로 운영되지 않는다면 국가 안보에 실질적인 위협을 초래할 수 있기 때문이다.

이미 전세계적으로 악의적인 해커가 특정 목적을 가지고 국가 전산망을 해킹하여 사회적?국가적 혼란이 발생하는 사례가 빈번히 발생하고 있다. 더구나 경제 강국들이 갖고 있는 원천기술과 첨단기술을 빼내기 위한 스파이 정보활동이 활발해지면서 이에 대한 대처가 현안과제로 대두되고 있는 상황이다.

이번 시만텍 조사에서 핵심 기간산업 관련기업들의 정부 CIP 프로그램에 대한 인식 및 참여도는 대체적으로 하락한 것으로 나타났다. 응답기업의 36%가 정부의 핵심 기간산업 보호계획에 대해 국가 차원의 논의가 이루어 지고 있음을 어느 정도 인지하고 있다고 답했는데, 이는 전년도 55%와 비교해 크게 하락한 수치이다. 또한 정부 CIP 프로그램에 참여하고 있다고 답한 기업들도 지난해 56% 보다 낮은 37%에 머물렀다.

또한 조사 결과에 따르면 2010년과 비교해 기업들의 정부 CIP 프로그램에 대한 불확실한 태도가 다소 증가한 것으로 확인됐다. 일례로 정부 CIP 프로그램에 대한 의견을 개진해 달라는 요청에 대해 42%가 의견이 없거나 중립적인 태도를 보였다. 이 외에도 CIP 프로그램에 대한 협력 의지도 전년도 66% 보다 하락한 57%로 나타났다.

기업의 사이버 보안 위협에 대한 평가가 하락하면서 당연한 수순으로 이들의 대비태세 수준 또한 하락했다. 전세계적으로 전반적인 대비수준은 전년 68~70% 대비 평균 8% 포인트 하락한 60~63%였다.

이와 관련 시만텍코리아 기술사업 본부장 겸 CTO인 조원영 전무는 “향후 니트로 및 듀큐와 같이 국가 핵심 기간산업을 노리는 고도의 표적공격이 더욱 기승을 부릴 것으로 예상되는 만큼 사이버 보안은 국가 차원에서 국민과 기업을 보호하기 위한 필수 역량으로 인식해야 한다”며, “정부, 민간 기업, 보안 업계 모두가 공동의 사명의식을 갖고 적극적인 상호 협력을 통해 사이버 보안 역량을 높여가야 한다”고 강조했다.

아울러, 시만텍은 갈수록 고도화·정교화·표적화되고 있는 최신 사이버 공격에 대비해 핵심 기간산업 관련 기업들에게 다음과 같은 실천방안을 권고했다.

 

1. IT 정책의 수립 : 기업은 위협에 대한 우선순위를 정하고, 기업 내 모든 위치에서 적용 가능한 정책을 정의하고, 자동화 등의 기능을 이용해 보안 정책을 집행해야 한다. 2. 정보 중심의 보호 : 정보 중심의 접근을 통해 적극적으로 정보를 보호해야 한다. 컨텐츠 인식 기반 접근법을 통해 기업 내 가장 중요하고 민감한 정보가 어디에 있는 지를 파악해 적절한 보호 조치를 강구해야 한다. 3. 시스템 관리 : 시스템 자체의 관리도 중요하다. 최신 보안 패치를 배포하고, 자동화를 통해 효율성을 제고하고, 시스템 상태의 감시 및 보고 등의 활동을 통해 시스템을 관리해야 한다. 4. 인프라 보호 : 개별 포인트의 보안에서 나아가 인프라 전체의 보호를 강구해야 한다. 중요한 내부 서버를 보호하고 데이터의 백업 및 복구 역량을 우선적으로 확보해야 한다. 또, 위협에 신속히 대응하기 위해 인프라 운영에 대한 가시성을 높이고 보안 인텔리전스를 갖춰야 한다. 5. 24x7 중단없는 가용성 확보 : 안전한 보호와 더불어 보안 운영으로 인해 시스템 가용성에 영향을 받지 않도록 가용성을 확보하는 것 또한 중요하다. 또한 물리적 환경과 동일하게 가상 환경을 관리하고 보호해야 한다. 6. 정보 관리 전략 수립 : 정보 유지 계획과 정책을 포함한 정보 관리 전략을 수립해야 한다. 데이터의 수명주기를 고려해, 백업, 아카이빙, 삭제 등의 작업을 통해 총체적인 정보 관리를 구현하고 데이터 유출방지 기술을 도입한다.

 

이와 함께 시만텍은 주요 기간 인프라 보호를 위해 각국 정부에 다음과 같은 실천방안을 권고하고 있다.

 

1. 정부 차원에서 적절한 리소스를 투입해 핵심 기간 인프라 보호 프로그램을 수립, 운영해야 한다. 2. 산업계, 민간 기업들과 적극적인 협력을 통해 핵심 기간 인프라 보호와 관련된 정보를 공유하고, 인식을 제고해야 한다 3. 사이버 공격에 대비하기 위해 보안만으로는 불충분하다. 핵심 기간 인프라 공급업체와 일반 기업들이 정보의 저장, 백업 등이 이뤄지고 있는지, 계정 및 접근 관리 프로세스가 제대로 실행되고 있는지 확인해야 한다.

[오병민 기자(boan4@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>