中 사이버 보안 분야 고급 인재 양성해야

[보안뉴스 온기홍=중국 베이징] 중국 정보보안 분야 산·학·연·관 관계자들이 지난 13일 베이징 국가회의센터에서 ‘중국 사이버보안대회(NSC 2017, China Cyber Security Conference)’를 열고 사이버보안 강화 필요성을 강조하면서 협력을 벌여나가기로 했다.


글로벌 사이버보안을 주제로 한 이번 사이버보안대회는 중국 국가 유관 부처의 지도 아래 사이버 정보보안 제품 평가인증기관인 사이커다랩(skdlabs)이 국가 컴퓨터바이러스 응급처리센터, 국가네트워크·정보시스템 보안제품 품질검사센터, 수도창신대연맹과 연합해 공동 주최했으며, 주제 회의와 5개 포럼이 열렸다.

주제 회의에서는 중국 정부 관계자, 해외 유명 전문가, 업계 대표 등이 사이버보안 분야 정책과 법규를 비롯해 전 세계 최신 정보보안 발전 흐름을 설명하고 정보보안 기술과 응용 관련 핫 이슈를 살펴봤다. 또 세계 정보보안 관련 혁신적 방어·보호 방법과 보조를 맞추면서 중국 사이버보안 보장체계를 구축해 나가고 국가 중점 영역의 사이버보안 방어와 보호 수준을 끌어 올리자는 데 참석자들은 의견을 모았다.

이어 5개 포럼에서는 클라우드 보안, 전자상거래 보안, 위협 정보와 단말기 보안, 사이버보안 신기술과 기업보안 응용, 금융 사이버보안으로 나눠 각계 전문가의 발표가 이뤄졌다.

‘사이버 보안법’ 6월 시행, “中 사이버공간 법치 건설의 중요 이정표 될 것”
중국에서 6월 1일부터 정식 시행된 ‘사이버 보안법’은 정보보안 등급보호제도를 법률로 끌어 올리고 네트워크 제품과 서비스 제공업체의 보안 의무와 개인정보 보호 의무를 명확하게 했으며 기업에 대해 진입허가 문턱과 운행보안 능력 요구를 제고했다고 참석자들은 평가했다.

사이버보안에서 가장 중요한 핵심 정보인프라는 에너지·교통·금융·통신·전자정무 등 중요 영역 운행의 신경 중추를 지탱하고 국가경제·국민생활과 밀접하게 관련돼 있지만 중국의 핵심 정보인프라 보호 분야는 시작이 비교적 늦은 편이며, 전문기술이 낙후돼 있고, 보안 위협이 심각한 상황이란 게 대회 참석자들의 의견이다.

궈치취앤 공안부 사이버보안보위국 총공정사는 강연에서 사이버보안 등급보호제도는 핵심 정보인프라 보호의 기초라고 강조했다. 핵심 정보인프라는 등급보호제도가 보호해야 하는 중점 대상이라는 것이다. 즉 사이버 보안 등급보호제도는 유비쿼터스성 제도이고, 핵심 인프라는 등급보호제도의 중점적으로 보호해야 하는 대상이라고 그는 설명했다.

궈치취앤 총공정사는 “등급보호제도와 핵심 정보인프라 보호는 사이버보안의 양대 중요한 방면이며, 이 둘은 불가분의 관계”라면서, “핵심 정보인프라의 범위는 등급에 등록된 제3급 이상의 보호대상에서 확정돼야 한다”고 덧붙였다. 그는 새로운 시기 등급보호제도의 특징으로 첫째 완전히 새로운 국가 사이버보안 기본체계이고, 둘째 국가 핵심 정보인프라 보호를 중점으로 하며, 셋째 보호 책략에서 변화가 발생(피동적 방어에서 주동적 방어로 변화하고 층면 방어에서 종합 방어로 변화) 하면서 보호대상과 보호조치에 변화가 일어나고 있다는 점을 들었다.

천얜 공안부 제3연구소 클라우드 컴퓨팅 보안평가실험실 책임자는 ‘등급보호 2.0 시대’하에서 클라우드 상 이용자의 보안을 강조했다. 그는 “사이버안전 등급보호제도는 지난 23년 동안 발전을 거치면서 이른바 ‘2.0’ 시대에 들어섰고, 3.0시대 등급보호의 의의, 대상, 내용 등에서 커다란 변화가 일어났다”며, “클라우드 컴퓨팅 기술이 초래한 사이버보안 위험도 등급보호 작업에서 새로운 요구를 필요로 하고 있다”고 말했다. 그 요구는 주로 클라우드 서비스의 보안과 이용자 간의 책임 공동부담 모형, 클라우드 이용자 시스템의 보안 구축 등에 집중되고 있다고 그는 설명했다.

장젼펑 공안부 정보보안등급보호평가센터 시험부 부주임은 ‘사이버 보안법 실시 과정에서 대형 인터넷기업들은 등급보호를 규정에 맞게 진행해야 한다고 밝혔다. 또한 장신위에 중국인터넷정보센터(CNNIC) 보안관리부 부주임은 ‘사이버 보안법’의 요구를 실행에 옮기고 핵심 정보인프라 보안 보호를 잘 진행해야 한다고 말했다.

금융 사이버보안 주제토론에서는 ‘사이버 보안법’ 시행과 발맞춰 금융 분야의 민감한 데이터 보호를 강화하는 것이 필요하다는 데 의견이 모아졌다. 중국 데이터보안 업체인 메이촹커지의 원쟨샤 부사장은 “이번 ‘사이버 보안법’ 시행은 금융 분야 데이터보안 감독관리에 관해 명확한 요구를 담고 있다”며, “중요 데이터가 위협을 받게 될 경우 사건의 관련성을 분석하고 데이터 생성·저장·사용 과정의 유관 데이터에 주목하면서 최후까지 위협에 맞서 데이터를 보호해야 한다”고 말했다. 그는 자사의 데이터베이스 방화벽이 SQL주입, 디도스(DDoS) 공격, 보안취약점 공격 및 여러 외부 공격 위협에 맞서 검사와 방어를 진행한다고 설명했다.


“기업의 보안위협 검측·대응...공업제어시스템 보안 강화 필요”
최근 중국 기업에서도 데이터와 정보 유출 등 사이버 보안 문제가 나날이 두드러지고 있는 것과 관련해, 리치우스 웨이부 온라인(Threat book) 파트너는 “기업 보안 구축의 중심은 전통적인 방어에서 위협 검측과 대응으로 바뀌어가고 있으며, 앞으로 3년 안에 기업 보안 구축에서 투입액의 60%는 위협 검측과 대응에 쓰일 것으로 예측된다”고 말했다.

그는 빅데이터 분석을 통해 기업의 보안 위협 검측과 분석 능력을 향상시킬 수 있다고 밝혔다. 그는 “보안 위협 검측과 대응 중에서 위협 정보를 넣으면 큰 폭으로 평균탐지시간(MTTD)과 평균대응시간(MTTR)을 단축하고 기업이 맞게 될 위험을 떨어뜨릴 수 있다”고 설명했다.

팡관스 얜샹지능 총공사는 ‘공업제어 시스템 정보보안의 기회와 도전’을 주제로 한 강연에서 “사물인터넷과 공업제어 시스템을 겨냥한 공격도 많은 손실을 초래하고 있으며, 중국 IT 분야의 커다란 생태 건설은 심각한 도전에 직면해 있다고 지적했다. 6월 국가의 ‘사이버 보안법’ 시행에 발맞춰 보안 업체들은 공업제어시스템의 정보보안에 골몰하고 있다고 그는 밝혔다.

중국 내 상위 5위 이내 공업제어 관련 업체의 제품 통계를 보면, 공업제어 시스템의 80%는 인텔(Intel)의 프로세서를 쓰고 있다. 따라서 하드웨어 플랫폼을 통제할 수 없는 상황이라는 팡관스 총공사는 지적했다. 이밖에 AMD가 7.3%, ARM 4.7%, 중국 토종 CPU 3.2%, Power 2.8%의 점유율을 보이고 있다.

“사이버 보안 고급 인재 육성해야”
우잰핑 칭화대학 컴퓨터과학기술학과 교수(중국공정원 원사)는 중국이 사이버공간 보안에서 직면하고 있는 도전을 고려할 때 고급 인재 양성이 필요하다고 밝혔다. 우쟨핑 교수는 사이버공간 보안과 관련한 창의적 인재 육성 체계의 중요성을 강조하고, 보안 인재의 교육과 양성의 질을 제고해야 한다고 말했다. 우 교수는 “사이버공간 기초연구를 강화하고 핵심기술을 갖추는 것이 사이버공간 보안의 핵심을 해결하는 길”이라고 밝혔다. 아울러 더 많은 석사와 박사 등 고급 보안 인재를 양성해야 한다고 그는 강조했다.

샤오쟝닝 마이크로소프트 중국법인 CSO는 만물이 서로 연결되는 사물인터넷 시대에 사이버 보안이 매우 중요하며, 그 보안 대책을 마련해야 한다고 밝혔다.

“단말 보안은 사이버보안의 최후 방어선”
예챠오 루이싱정보기술 보안연구원 원장은 강연을 통해 “단말의 보안은 사이버보안의 최후의 방어선”이라고 강조했다. 예챠오 원장은 “단말은 네트워크 보안 위협에서 매우 중요한 역할을 하고 있고 기업 네트워크의 가장 기초적인 구성 노드”라며, “단말은 대량의 민감한 데이터들을 저장하고 있기 때문에 해커와 바이러스 제조자들의 공격목표가 되고 있다”고 설명했다. 동시에 단말은 기업의 내부 직원과 마주하고 있어서 관리가 어렵고, 이로 인해 기업 네트워크 중 가장 취약한 한 부분이 되고 있다고 그는 지적했다. 따라서 기업 사용자들은 자체 단말의 보안을 다시 살펴봐야 한다고 그는 덧붙였다.

예챠오 원장은 또 “위협 자체에서 보면, 단말은 해커가 공격을 실시하는 토양인 동시에 공격의 정체가 드러나는 곳”이라며, “이용자 수요 측면에서 볼 때, 불합리한 요구와 마구 뒤얽혀 복잡한 단말 환경은 가장 큰 어려운 점이며, 대다수 아용자의 네트워크 환경에서 각종 버전의 운영체제도 보안 업체에게는 또 다른 어려운 점”이라고 지적했다.

마빈 텅쉰(Tencent) 부총재는 강연을 통해 최근 경계를 뛰어넘는 사이버보안 환경에서 사회 여러 분야가 역량을 합쳐 사이버보안을 지키는 생태 구축과 발전이 필요하다고 강조했다. 텅쉰은 지난 18년 간 핵심 보안 능력의 축적과 8억 명 규모 이용자의 빅데이터 운영 경험을 바탕으로 중국 인터넷 보안의 신생태 구축에 힘쓰고 빅데이터를 통해 보안 체계를 구축해 나가겠다고 밝혔다.

텅쉰은 또 중국 내 통신·사이버 상 금전사기와 관련해 경찰·기업·민간 협력 방식과 기제를 이끌어 나가기로 했다. 빅데이터와 보안 능력의 개방을 통해 이른바 ‘텅쉰 수호자 계획’과 ‘반(反)통신 사기와 가짜 (통신) 기지국 검사 시스템’을 발표한 가운데 이들을 바탕으로 통신운영업체, 공안부 등과 협력을 벌여 나가기로 했다. 이 ‘수호자 계획’ 담당 보안팀은 최근까지 경찰이 여러 통신·사이버 사기 사건들을 처리하는 과정에서 협력했다. 이들 사건 관련 중국 내 피해 금액은 5억 위안에 달하고 있다.

텅쉰은 또 인재와 기술이라는 두 바퀴를 바탕으로 보안 생태 구축도 추진하겠다고 밝혔다. 마빈 부총재는 “사이버공간 보안의 지속적인 확대와 발전에 따라 보안 기술의 공방과 경쟁에서는 사이버보안의 인재 양성이 매우 중요하다”며 “텅쉰은 사이버보안을 전략적 프로젝트로 삼고 있으며 사이버보안 인재의 양성을 매우 중시하고 있다”고 말했다.

이와 관련, 텅쉰은 지난해 7월 ‘보안연합랩’을 설립하고 그 산하에 반(反)바이러스랩, 반(反)사기랩, 모바일보안랩을 포함해 7개 랩을 설치했다. 이 랩들은 보안 방어와 보장 범위에서 연계, 시스템, 응용, 정보, 설비, 클라우드 등 6대 인터넷 핵심 영역을 아우르고 있다고 마빈 부총재는 강조했다. 지난 ‘2016 보안연합랩에는 ‘Pwn2Own’ 세계 1위를 차지한 텅쉰 연합팀 멤버들이 모두 참여했다.

텅쉰은 보안 인재가 많이 부족한 산업계 상황을 고려해 최근 이른바 ‘백인(百人) 계획’을 마련하고 전 세계 대학생을 대상으로 보안 인재 양성을 추진하고 있다. 마빈 부총재는 “이 ‘백인 계획’을 통해 중국 내 기업과 학교 사이에 인재를 공급하는 다리를 만들고, 사이버보안 생태의 구축과 발전을 이끌겠다”고 말했다.

한편, 이번 대회 명예주석을 맡은 니광난 중국공정원 원사는 “각 분야와 업종이 사이버보안을 인식하고 중시해 가고 있는데, 이는 매우 바람직한 상황”이라고 평가했다. 그는 “최근 랜섬웨어의 출현은 한편으론 우리가 앞으로 더 나아가게 만드는 측면도 있다”면서, “사이버공간 보안 분야 발전에 힘을 쏟아야 한다”고 강조했다.

지난 1개월 전 중국을 비롯해 150여 개국을 강타한 워너크라이(WannaCry) 랜섬웨어와 관련, 장쟨 톈진이공대학 교수 겸 중국사이버공간안전협회 부비서장과 마진송 텅쉰 반(反)바이러스실험실 책임자는 랜섬웨어 사건의 교훈과 방어에 대해 발표했다.

이밖에 이번 대회에서는 텅쉰, 바이두, 치밍싱천(venustech), 치후360, 루이싱정보기술, 톈롱신(topsec), 스지후롄(21vianet.), 시스코, 마이크로소프트 중국법인 등 중국과 외국 기업 약 100개사가 전시부스를 마련하고 보안 제품과 솔루션을 선보였다.

판쥬팅(닉네임: 따판), 팡싱(FlashSky，위양(TK), 우한칭(츠), 종천밍(위쉬앤), 저우징핑(헤이꺼), 왕잉쟨(따이션), 완타오(라오잉), 판구투안뚜이 등 중국 내 유명 사이버보안 기술 전문가와 화이트해커들도 참여해 첨단 기술연구와 발전추세에 대해 의견을 나눴다.

천종 베이징대학 네트워크·S/W안전보장실험실 주임이 대회 주석을 맡은 이번 대회의 주제 강연자 중 40% 이상과 참가자의 60% 이상은 통신, 교통, 금융, 전력, 에너지, 교육, 의료, 항공 분야 종사자들이라고 주최 측은 밝혔다.
[중국 베이징 / 온기홍 특파원 onkihong@yahoo.com]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>