SW 개발보안 제도 이해 및 적용사례 통한 정보 공유

[보안뉴스 김태형] 행정안전부는 28일 서울 양재동 엘타워에서 ‘2012 SW 개발보안 컨퍼런스’를 개최했다. 이번 행사는 행정안전부가 주최하고 한국인터넷진흥원과 고려대 SW개발보안연구센터 주관으로 진행됐다.

이번 컨퍼런스는 다음달 시행 예정인 소프트웨어 개발보안 의무화에 앞서, 행정기관 담당자, 감리업체, 개발자 등이 소프트웨어 개발보안 제도를 이해하고 민간 적용사례 등을 통해 제도 적용에 필요한 사항을 미리 준비할 수 있도록 하기 위해 마련됐다.

이날 초청강연에서는 최진영 고려대 SW개발보안연구센터장이 ‘스마트 시대, 그리고 소프트웨어 개발보안제도’를 주제로 소프트웨어 보안의 중요성과 개발보안 제도에 대한 내용으로 발표를 진행했다.

이어서 피에르 노엘(Pierre Noel) MS 아시아총괄 CSO가 ‘MS SDL(Secure Development Lifecycle)┖를 주제로 MS의 보안 취약점 개선사례를 소개했다.

그리고 오후 세션에서는 정책세션과 개발세션으로 나누어 SW 개발보안 관련 정책부터 개발자를 위한 언어별 개발기법, 적용사례 등 총 12개의 다양한 주제로 진행됐다.

SW 개발보안은 ‘시큐어코딩’이라고도 하며 해킹 등 사이버 공격의 원인이 될 수 있는 보안약점을 SW 개발단계에서 사전에 제거하여 안전한 SW를 개발하는 개발기법을 말한다.

이날 정윤기 행정안전부 정보기반정책관은 인사말을 통해 “정부는 그동안 IT 강국 및 전자정부 발전을 위해 많은 투자를 해왔고 그 결과 우리나라 IT 기술은 세계적”이라면서 “반면 정보보호 분야에는 투자나 관리 체계가 미흡한 부분이 있었지만 현재는 이 부분에 많은 투자와 지원을 하고 있다. 이번 컨퍼런스를 통해 정보보호에 대한 인식을 높이고 개발보안과 관련한 정보를 공유하는 자리가 되길 바란다”고 말했다.

또한, 그는 “사이버 공격에 효과적으로 대응하기 위해서는 인프라 투자도 필요하지만 SW 개발단계부터 근본원인이 되는 보안 취약점을 제거하는 것이 중요하다”며, “운영 중인 전자정부 서비스와 상용 SW도 SW 개발보안을 적용하는 방안을 마련하는 등 지속적으로 개발보안을 강화해 나갈 예정”이라고 밝혔다.

한편, 개회식에 앞서 진행된 초청강연에서 최진영 고려대 교수는 ‘스마트 시대, 그리고 SW 개발보안 제도’를 주제로 강연을 진행했다.

최진영 교수는 이날 강연에서 “스마트 시대의 보안은 무인 차단기로만 불청객을 방지할 수 없다. 지난 2009년엔 2.2초마다 새로운 악성코드 1개가 탄생했고 탄생하자마자 찾아내고 치료하는 비율이 10%”라고 설명했다.

또한, 그는 “현재 약 75%의 공격이 애플리케이션 취약점을 통해 이루어진다. 이는 이러한 부분에 대한 대비가 필요하다는 것이며 애플리케이션 취약점이 없도록 SW 개발 보안 등에 대한 지속적인 노력이 필요하다”고 말했다.

최 교수는 “SW 보안취약점을 없애기 위해서는 보안 약점(허점, 오류, 에러)이 없도록 구조적 약점을 보강하고 해커가 원하는 정보를 보관하지 않아야 한다. 무엇보다 중요한 것은 에러, 버그 등 약점이 항상 취약점은 아니지만 에러, 버그 등 약점이 없으면 SW에 취약점도 없다는 것”이라고 강조했다.

[김태형 기자(boan@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>