보안사고 발생 전에 취약점 찾으려고 노력해야 
정부가 정한 보안관련 가이드, 오히려 산업 약화만

CEO가 보안 투자하기 위한 필수적 환경 마련 먼저

[보안뉴스 김지언] 보험사, 통신사, 의사협회, 카드사 등에서 잇따라 개인정보 유출사고가 발생하면서 여론이 시끌하다. 이 가운데 보안사고 조사의 관점을 새로운 시각으로 봐야한다는 주장이 제기됐다. 사건을 누가 했는지 보다 원인이 무엇인지에 초점을 맞춰야 한다는 것이다.

정보보호최고책임자협의회(회장 이홍섭)는 25일 코엑스인터컨티넨탈 호텔에서 50여 명의 회원들이 참석한 가운데 ‘2014년 3월 CISO포럼’을 개최했다. 이날 포럼에서는 보안사고 원인 파악과 사전 차단 방안 모색을 위한 논의가 진행됐다.

이번 포럼에서 강연을 진행한 KAIST 김용대 교수는 보안사고를 줄이려면 어떻게 해야 하는지와 관련해 강연을 진행했다.

김 교수는 먼저 지속적으로 발생하고 있는 보안사고에 안타까움을 나타냈다. 그는 “보안사고가 발생하면 그 원인을 먼저 파악해야 함에도 불구하고 누가 보안사고를 일으켰는지에 대해 초점이 몰리고 있다”며 “왜 이러한 보안사고가 발생했는지를 파악하고 그 원인을 고쳐야 한다”고 언급했다.

첫 번째 원인으로는 공격자 입장에서 보안을 생각하지 않고 있다는 점을 지적했다. 김 교수는 “보안을 한다는 것은 공격자와 같이 생각해야 한다는 것을 의미한다”며 “방어를 하면서 공격자와 같은 생각을 하지 않는 것은 뚫린 수비를 하는 것과 같기에 각 계층마다 취약점을 찾는 것이 중요하다”고 밝혔다. 즉 보안사고가 발생하기 전에 먼저 취약점을 찾고 미리 예방해야 함에도 이를 하지 않았다는 것이다.

 

▲ KAIST 김용대 교수

또 외국기업에서는 취약점을 발견할 시 포상금을 주는데 반해 우리나라는 외부에서 문제가 되는 취약점을 알려줌에도 수정하려하지 않는 현 기업의 실태를 꼬집었다.

특히, 그는  “우리나라 제품, 네트워크, 홈페이지를 막론하고 취약점이 너무 많아 보안사고가 끊임없이 일어나는 것”이라며,  “취약점 발견 시 보상해주는 버그 바운티 제도를 웹페이지, 제품, 망 등 다양한 분야로 확대해야 한다”고 취약점 점검 확대의 중요성을 강조했다.  

두 번째로는 국내관련 법이 너무 강해 정보보안산업이 오히려 약화된다는 딜레마를 언급했다. 김 교수는 “대기업은 정부가 정한 가이드라인만 지키면 된다고 생각하고 중소기업들은 법 규정 수준의 보안도 이뤄지지 않은 상태”라고 지적했다.

즉, 국가에서 정보보안 법규와 관련된 가이드라인을 너무 자세하게 제시해 관련 법규를 지킨 기업에 강한 손해배상을 명하기도 어렵고, 기업의 경우 지켜야할 법규 외에는 보안에 신경 쓰지 않는다는 것이다.

이어 김 교수는 “보안을 기업 자체적으로 맡겨 사고가 발생하면 기업 생존에 위협이 갈 수 있게 책임지도록 해야 하는데 해킹기술은 점점 고도화되는데 반해 법은 과거에 머물고 있어 문제가 되고 있다”며, “보안담당자가 새로운 보안 솔루션을 들여오려고 해도 기업 입장에서는 법규만 잘 지키면 된다고 생각한다. 보안 솔루션 개발 업체에서도 정부에서 규제하는 보안 솔루션만 개발하고 새로운 기술이 도입된 보안 솔루션 개발을 등한시하게 됨으로써 결국 보안산업 전체의 성장에 걸림돌이 되고 있다”고 주장했다.

세 번째로 그는 “보안전문가들이 CEO에게 정보보안 투자를 건의할 수 있는 환경을 마련하는 데도 노력해야 한다”며 “보안사고가 터졌을 때 CEO가 책임지는 구조를 만듦으로써 보안투자가 적극적으로 지원될 수 있게 하는 것이 필요하다”고 밝혔다. 

이번 발표와 관련해 미래창조과학부 강성주 정보화전략국장은 “아직까지는 실무자들이 보안 강화를 위해 좋은 솔루션을 도입하거나 취약점 패치를 지시할 수 있는 환경 마련이 되지 않는 게 현실이다. 보안사고가 발생하면 CEO에게 법적인 책임을 묻는 방안을 검토해 보안에 투자하지 않으면 안되도록 하겠다”고 전했다.

 

한편, 정보보호최고책임자협의회는 사이버공격이 급증함에 따라 정보보호최고책임자(CISO)의 역할이 부각되는 상황에서 발족됐다. 기업 정보보호활동 강화 및 기업 간의 협력체계 구축을 위해 ‘정보통신망법 제45조의3’에 의거해 기존 한국CSO협회에서 명칭과 소관부처가 변경돼 2013년 12월 다시 출범했다. 

[김지언 기자(boan4@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>