오늘의 키워드 : 정치, 트위터, 적극 대응, 의료업, 스마트카, M&A

정부들, 보안을 빌미삼아 대선 늦추고 트위터 정보 공개 요청해

기기 제조업자들, 슬슬 IoT 시대의 보안에 눈을 뜨는 듯

[보안뉴스 문가용] 국정원 개입이 사실로 판결이 난 게 엊그제 같은데 나이지리아에서도 보안을 핑계 삼아 대선을 두 달 가까이 미뤘다는 소식입니다. 세계 정부들 역시 보안을 핑계 삼아 트위터에 사용자 정보를 공개해달라는 요청을 보낸 것으로 밝혀졌고요. 정부는 국민의 프라이버시를 어디까지 넘나들 수 있어야 할까요?

이 논의가 아직도 결정되지 않은 가운데 정책과 현장의 목소리가 너무나 달라서 지금 엄청난 혼란이 예상된다는 기사를 어제 실은 바 있습니다. 그 일이 벌써 일어나고 있는 듯 한데요, 미국 상원의원이 스마트카를 분석한 보고서에 따르면 현재 나오는 자동차들은 거의 100% 해킹이 가능하다고 하며 이는 프라이버시와 보안이라는 개념 사이의 커다란 간극 때문에 발생한다고 했습니다.

좀 더 쉽게 설명하자면, 국민 개개인의 프라이버시 영역과 국가가 국민을 보호하기 위해 알아야 할 것들의 영역이 확실히 구분지어지지 않은 상태에 계속해서 머물다보니 명확한 규정이 나올 수가 없고, 명확하지 않은 규정은 법으로 제정되는 등 강제력을 부여받기가 힘들게 되는데, 강제력이 없으니 보안성을 우선순위에 두지 않는 제조사들이 굳이 생산비를 늘여가며 물건을 제작할 필요가 없게 되고, 그에 따라 위험도가 높아진다는 것입니다. 하지만 제조사들이 보안업체를 인수하는 등의 움직임을 보이고 있어 이런 상황도 개선될 여지가 있어 보입니다.

1. 보안과 정치

나이지리아 정부, 보안을 이유로 대통령 선거 늦춰(New York Times)

정부의 트위터 사용자 정보 요청 계속해서 늘어(Threat Post)

정부의 트위터 사용자 정보 요청 2014년에 크게 늘어(Security Week)

트위터, 투명성 보고서 발간 : 세계적인 정보 요청 40% 늘어(SC Magazine)

얼마 전 서울고법에서 원세훈 국정원 전 원장의 불법 선거개입을 인정한다는 판결이 나왔습니다. 나이지리아에서도 15년 만에 여당의 패배가 거의 확실해 보이는 대선이 보안을 이유로 연기됐습니다. 정보보안과 관련된 기관이 정치에 불법으로 개입하고, 보안의 이름으로 국가 정치의 가장 중대한 약속이 어겨지는 소식입니다. 가장 귀찮으면서도 꼭 필요하다는 걸 누구나 알고 있으며, 실제 디지털화된 사회에서 정보보안이 가지고 있는 실제 힘이 세서 그런지 보안의 범용성이 뛰어납니다. 좋게 보면 편재성이 드러나는 부분이고, 나쁘게 보면 보안이 그저 정치인들의 ‘코에 걸면 코걸이, 귀에 걸면 귀걸이’식 장식품에 불과한 듯 합니다.

또한 최근 트위터에서 발간한 보고서에 따르면 정부들이 트위터 계정을 가진 사용자의 정보를 점점 더 많이 요구하고 있다고 합니다. 2014년 하반기에만 무려 40%가 늘었다네요. 특히 러시아, 터키, 미국이 제일 눈에 띄는데, 러시아는 2013년에는 정보 요청을 한 건도 하지 않았다가 갑자기 100건의 요청을 했고 터키는 지난 해 대비 요청 건수가 150% 늘었습니다. 미국은 홀로 세계 전체의 정보 요청 건수 중 29%를 차지했습니다. 트위터는 현재 미국 보안 기관의 투명성을 요구하는 소송을 진행 중에 있습니다.

2. 태도의 변화

사이버 공격에 대한 대처법 논란 심화(Wall Street Journal)

유출사고 이후 : 사이버 공격으로 방어 전략 재고(Reuters)

물리보안과 정보보안이 다른 분야라고는 해도 사람은 그것을 같이 겪기 때문에 언제나 사고를 분리해서 할 수가 없습니다. 테러 사건들 이후 물리보안 쪽에서는 먼저 ‘사고를 미연에 방지하는 게 보안의 할 일이다’라고 얘기가 나왔고, 테러가 점점 사이버 공간으로 확산됨에 따라 이전에는 사고 후 조치를 우선시했던 정보보안 쪽에서도 이전보다 예방에 더 관심을 갖는 분위기가 흐르고 있습니다.

최근엔 해커들을 역으로 해킹해 공격함으로써 방어하는 보다 더 적극적인 방어 개념이 대두되고 있습니다. 물론 이것이 맞는 것이라고 정서가 형성된 건 아니고 논란 단계에 있긴 합니다만, 여태까지는 해커를 해킹하자는 얘기가 수면 밖으로 크게 나오지는 않았었다는 걸 생각해보면 이 역시 커다란 분위기 변화라고 볼 수 있습니다. 아마도 IS에 대한 요르단의 반격이 시작되고 미국도 전쟁에 개입하려는 움직임을 보이는 것과 연관이 없지는 않을 듯 합니다. 말했다시피 모든 걸 분리해서 생각할 수 없거든요. IS의 일망타진을 위해 혹여라도 세계 연합군이란 게 결성되고 전쟁이 발발한다면 해커를 역으로 공격하는 방법도 적극 채용할 것으로 봅니다.

3. 해커들의 최근 관심사 : 의료계와 자동차

리스크 보고서 : 해커들, 의료업계로 눈을 돌려(Wall Street Jounral)

자동차의 무선 시스템, 보안을 위협하다(New York Times)

해커들, 네트워크 연결된 자동차 대부분 해킹 가능해(Security Week)

자동차 해킹, 실시간 대응 능력 부족이 문제(SC Magazine)

보안과 프라이버시 사이의 간극 때문에 운전자들 해킹 위협에 노출돼(CSOOnline)

미국 상원의원인 에드 마키(Ed Markey)가 요즘 한창 조명받고 있는 스마트카에 내포되어 있는 보안 문제에 대한 보고서를 작성해 발표했습니다. 해커가 작정하고 해킹했을 때 자동차 제어권한이나 자동차에 저장된 사용자 정보에 접근 못 하는 경우는 0%에 가깝다고 합니다. 해커들이 발전했다기보다 스마트카 제조업체들이 보안성 구축에 실패한 거라고 봐야 한다는 평입니다. 에드 마키는 보안과 프라이버시의 미묘한 균형 잡기에 실패하고 점점 벌어지고 있는 간극 때문에 이 같은 문제가 발생한 것이라고 봤으며 해킹 발생 시 즉각 대응할 수 있는 시스템이 없는 게 더 큰 문제라고 분석했습니다. 최근 앤섬이라는 미국 2위 규모의 의료보험 업체가 해킹당하면서 뚫기 쉽고 귀중한 정보가 가득한 의료업계가 해커들의 새로운 금광으로 각광받고 있기도 하고요.

4. IoT, 보안을 덧입나

HP, 볼티지 시큐리티 인수(CSOOnline)

HP, 암호화 솔루션 제공업체인 볼티지 시큐리티 인수(Security Week)

ARM, 오프스파크 인수(CSOOnine)

인수 소식 : PolarSSL의 새이름은 ARM mbed TLS(Security Week)

삼성 TV, 사용자가 TV를 보는 동안 TV도 사용자를 지켜본다(The Register)

HP에서 볼티지 시큐리티(Voltage Security)라는 보안업체를 인수했습니다. ARM이라는 칩 제조사는 암호화 솔루션으로 유명한 오프스파크(Offspark)를 인수했고요. 전문가들은 IoT 시대가 다가오면서 제조업체들이 ‘소비자들의 신뢰를 얻으려면 무엇보다 보안성을 보장해주어야 한다’는 걸 인식한 것으로 보인다고 분석했습니다. 보안만을 전문으로 하는 회사를 창립한다면 이렇게 더 큰 제조사나 인터넷 서비스 업체에 인수당하는 걸 목표로 해야 할 지도 모르겠습니다. 어차피 보안은 독립적인 개념이 아니라 모든 분야에 꼭 필요한 것이기도 하니까요.

그 와중에 지금 영국 쪽에서는 삼성의 스마트 TV가 이슈입니다. 리모콘을 누르는 대신 목소리로 TV를 조정할 수 있다고 하는데, 이때 사용자의 목소리 정보가 어디론가 전달된다고 하네요. 목소리 정보에는 사용자가 주로 어떤 프로그램을 보는지, 어떤 시간대에 TV를 시청하는지 등의 민감한 정보가 담겨 있을 수밖에 없으니 이는 프라이버시에 저촉되는 사항이 맞지요. 이제 해외 시장에 나가려면 프라이버시 공부가 필수입니다.

[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>