윤 덕 원 ADT캡스 전략사업본부 대표 \r\n

<dwyun1@adt.co.kr>

\r\n

\r\n

올해 초 국내 주요 카드사에서 무려 1억여건의 고객정보가 유출된 사실이 확인됐다. 업계 전문가들에 따르면, 그 동안 유출된 정보만으로도 거의 모든 범죄 시나리오 성립이 가능하다고 하니, 문제가 아주 심각한 상황이다. 보안에 대한 표출한 국민들의 불안감과 피로도는 상상이상이다.

\r\n

\r\n

개인정보 보호문제가 전 사회적인 이슈로 부각되자 정부가 서둘러 개인정보보호 강화대책을 마련해 발표했지만 이런 사건과 급작스럽게 마련된 대책이 뒤따르는 것은 비단 어제오늘일 만은 아니다. 방송사·금융기관 전산망을 마비시켰던 지난 3·20사이버테러를 떠올려보자. 주요 방송사 및 금융기관의 전산망이 일시에 마비돼 업무가 전면 중단된 ‘대란’을 겪은 이후 꽤 많은 시간이 지났음에도 각종 정보 유출과 사이버테러에 대한 불안은 계속 현재진행형이다.

\r\n

\r\n

\r\n

유사한 사례가 반복되고, 사고에 대한 대책이 계속 나오고 있음에도 불구하고 왜 개선이 되지 않는 걸까. IT 강국 한국은 어쩌다 ‘보안 흑역사’를 가지게 됐나. 아직도 많은 기업들은 업무 효율성, 편의성을 들어 보안 정책 강화나 투자를 꺼리고 있다. 보안 정책이나 시스템을 재검토하고 신규 보안장비 도입을 추진하는 등의 적극적인 대책이 아니라 기존 사업계획을 보완하거나 시기를 다소 앞당기는 정도로 사고규모에 비해 소극적인 대처를 취하고 있다.

\r\n

\r\n

\r\n

보안 정책의 우선순위는 지금보다 상위여야 하며, 투자 규모도 늘어나야 한다. 지능형지속위협(APT)를 비롯한 해킹 공격은 시간이 지날수록 첩보 활동처럼 치밀하게 발전하고 있다. 공격 대상을 정해놓고 취약점을 파악해 틈새로 파고들어가 수개월에서 1년 이상 잠복하다가 기회를 틈타 활동하는 식이다. 교묘해지는 표적공격의 발전 속도에 비해 시스템이나 인력에 대한 투자는 낮은 수준이다.

\r\n

\r\n

\r\n

통합적인 보안 정책을 함께 수립하는 것도 중요하다. 해커들은 SNS나 불법 사이트를 통해 PC에 접근하는데 외부 네트워크만 막는다고 방어가 되는 것은 아니다. USB 등 보조매체를 통해 접근할 수 있는 방법이 얼마든지 존재한다. 임직원들이 사용하는 PC 내 개인정보 및 불법 프로그램 관리, 디바이스 출입 통제, 모바일 디바이스 관리, 네트워크 보안, 로그 및 트래픽 등 위협요소를 사전 모니터링 할 수 있는 시스템, 영상정보보안 등 보안 솔루션을 고려해 통합적으로 보안 정책을 마련해야 한다.

\r\n

\r\n

\r\n

사고가 일어난 뒤의 사후 대책은 보안 정책이라고 할 수 없다. 금융권에 따르면 보안 사고를 일으킨 3개 카드사의 손실액이 1,000억 원대로 추정된다고 한다. 비용 손실보다 더 뼈아픈 것은 브랜드의 신뢰도 하락이다. 규모가 작은 기업의 경우 기업의 존망이 걸릴 수도 있다. 보안 사고는 규모를 가리지 않는다. ‘설마’하는 안이한 생각이 아니라 보안 정책과 투자에 대해 원점에서 검토해 보아야 할 시점이다.

\r\n

\r\n

\r\n

[월간 시큐리티월드 통권 제208호(sw@infothe.com)]

\r\n

\r\n

<저작권자 : www.securityworldmag.co.kr) 무단전재-재배포금지>

\r\n