염흥열 순천향대 정보보호학과 교수
지난 7일 오후부터 3일간 지속된 분산서비스거부(DDoS) 공격은 이제 사이버 상의 테러 수준을 넘어섰다는 것을 깨닫게 해주고 있다. 청와대 등 국가 중요 기관, 은행, 포털, 언론사, 인터넷 쇼핑몰 등을 대상으로 무차별적 공격을 감행했다는 점에서 국민들에게 주는 심리적 충격은 상상을 초월하는 수준이다. 이는 이번 공격이 중간제어 서버가 없는 타이머 방식이라는 새로운 형식이었지만 DDoS라는 초보적인 수준의 사이버 공격으로도 사회 전체적으로 큰 파장을 불러왔기 때문이다.
그러나 이와 같은 DDoS 공격은 보안 전문가에 의해 여러 번 발생 가능성이 예고됐던 사실상 인재라고 할 수 있다. 정부ㆍ기업ㆍ개인 등 우리 사회 사용자 전반의 정보보호 수준이 새로운 보안 위협 환경에 비해 많이 부족하다는 사실을 여실히 드러냈다고 볼 수 있다.
이번 공격의 가장 근본 원인 제공 요인은 높은 수준의 IT인프라를 갖춘 환경이라는 말이 무색할 정도로 결여된 사용자의 보안의식이라고 할 수 있다. 공격이 악성코드에 감염된 좀비 PC에 의해 이뤄졌는데 이러한 좀비 PC는 사용자의 보안 업데이트와 백신 프로그램 실행, 그리고 무분별한 액티브엑스 프로그램의 설치 제한 등으로 충분히 막을 수 있기 때문이다.
정부나 기업의 대응에도 아쉬움이 많다. 사실 이번 공격은 정부가 DDoS 대응 시스템을 구축하고 있는 와중에 발생했다는 점을 감안하더라도 청와대와 국방부 등 주요 정부 사이트가 이러한 공격으로 인해 상당 시간 동안 인터넷 서비스가 차단됐다는 것은 비록 비밀 정보의 유출이 없었더라도 사이버 공격 대응력에 있어서 문제를 제기하지 않을 수가 없다. 특히 정부 내 컨트롤타워의 부재로 인해 국가정보원ㆍ방송통신위원회ㆍ한국정보보호진흥원 등 각 주체가 보여준 대응이 미흡했다는 점을 인정하지 않을 수 없다.
이제 사이버 공격을 적절한 수준에서 제어하기 위한 사이버 보안은 국가적 어젠다가 돼야 한다. 사이버 공격을 적절한 수준으로 제어하지 못하면 우리가 지금까지 힘들게 구축한 전자정부서비스ㆍ인터넷뱅킹서비스ㆍ홈트레이딩시스템(HTS) 등 사이버 경제의 신뢰성에 지울 수 없는 큰 타격을 받을 수밖에 없기 때문이다. 이번 공격으로 인해 일부 시중은행의 인터넷 뱅킹 서비스가 지연되거나 불통된 것은 인터넷 경제의 안전성 근간을 상실할 가능성이 있다는 것으로 두렵기까지 하다.
그렇기 때문에이제부터라도 사이버공격에 대한 대응방안 마련 및 수행에 적극 나서야 한다. 우선, 현재의 사이버 공간의 위협 현황을 점검한 뒤 지난해 마련한 3가지의 정보보호 종합대책을 전면 재검토하고 이를 근거로 국가적 사이버 테러 종합 대응 방안이 마련돼야 할 것이다. 여기에는 사이버 보안 전문인력양성 방안, 침해사고 대응을 위한 민간 파트너십의 강화, 침해사고 분석 및 대응을 위한 기술 고도화, 국내 산업체의 글로벌 경쟁력 강화, 지속적인 연구개발 및 표준개발 체계의 혁신 등을 담아야 할 것이다.
또 현재 정부의 다양한 부처에 분산돼 있는 정보보호 기능의 분야별 책임과 권한을 강화하면서 이들 간에 역할을 상호 조정하고 기능을 총괄할 수 있는 컨트롤타워의 신설도 고려해야 한다. 백악관에 사이버 정책 조정관을 두고 국방성ㆍ국토안보부ㆍ연방수사국 등의 정보보호 업무를 조정하는 역할을 수행하는 미국과 같이 우리도 최상위 수준에서 사이버보안 업무를 총괄 조정할 수 있도록 제도적 장치를 마련해야 한다.
아울러 보안 산업의 글로벌 경쟁력 확보와 전문 인력 양성의 중요성은 이제는 두말하면 잔소리다. 이번 공격이 그나마 이런 수준에서 마무리될 수 있었던 것도 미약하나마 민간업체들의 보안전문인력들의 노고가 있었음을 잊어서는 안 된다. 여전히 미약한 정보보호산업과 정보보호 인력에 대한 지속적인 투자와 지원을 통해 IT강국에 걸맞은 정보보호 강국의 이미지를 심어나가야 할 것이다.
마지막으로 사이버보안 인식제고 활동도 보다 적극적으로 시행해야 한다. 모든 사이버 공격이 사용자들의 취약한 보안의식이라는 허점을 파고들면서 시작된다는 점을 감안하면 사용자의 보안 인식수준 향상 없이는 안전한 인터넷 세상은 담보할 수 없는 시대가 됐다. 다양한 계층에 맞춤형 사이버 보안 교육을 제공, 정보보호의 생활화가 필요한 시점이다.
이제 정보보호는 국민 표현의 자유, 프라이버시 강화, 법 집행의 보장, 디지털 경제의 국가 경쟁력 확보, 지속 가능한 혁신 유지 등을 위한 핵심 기반 기능이 되고 있다. 정부를 포함한 모든 참여 주체들의 정보보호에 대한 투자 우선순위 확보가 중요하며 글로벌 사이버보안 산업 경쟁력을 확보함으로써 안전하고 편안한 디지털 경제의 신뢰성을 확보 및 유지해야 할 것이다.
그러나 이와 같은 DDoS 공격은 보안 전문가에 의해 여러 번 발생 가능성이 예고됐던 사실상 인재라고 할 수 있다. 정부ㆍ기업ㆍ개인 등 우리 사회 사용자 전반의 정보보호 수준이 새로운 보안 위협 환경에 비해 많이 부족하다는 사실을 여실히 드러냈다고 볼 수 있다.
이번 공격의 가장 근본 원인 제공 요인은 높은 수준의 IT인프라를 갖춘 환경이라는 말이 무색할 정도로 결여된 사용자의 보안의식이라고 할 수 있다. 공격이 악성코드에 감염된 좀비 PC에 의해 이뤄졌는데 이러한 좀비 PC는 사용자의 보안 업데이트와 백신 프로그램 실행, 그리고 무분별한 액티브엑스 프로그램의 설치 제한 등으로 충분히 막을 수 있기 때문이다.
정부나 기업의 대응에도 아쉬움이 많다. 사실 이번 공격은 정부가 DDoS 대응 시스템을 구축하고 있는 와중에 발생했다는 점을 감안하더라도 청와대와 국방부 등 주요 정부 사이트가 이러한 공격으로 인해 상당 시간 동안 인터넷 서비스가 차단됐다는 것은 비록 비밀 정보의 유출이 없었더라도 사이버 공격 대응력에 있어서 문제를 제기하지 않을 수가 없다. 특히 정부 내 컨트롤타워의 부재로 인해 국가정보원ㆍ방송통신위원회ㆍ한국정보보호진흥원 등 각 주체가 보여준 대응이 미흡했다는 점을 인정하지 않을 수 없다.
이제 사이버 공격을 적절한 수준에서 제어하기 위한 사이버 보안은 국가적 어젠다가 돼야 한다. 사이버 공격을 적절한 수준으로 제어하지 못하면 우리가 지금까지 힘들게 구축한 전자정부서비스ㆍ인터넷뱅킹서비스ㆍ홈트레이딩시스템(HTS) 등 사이버 경제의 신뢰성에 지울 수 없는 큰 타격을 받을 수밖에 없기 때문이다. 이번 공격으로 인해 일부 시중은행의 인터넷 뱅킹 서비스가 지연되거나 불통된 것은 인터넷 경제의 안전성 근간을 상실할 가능성이 있다는 것으로 두렵기까지 하다.
그렇기 때문에이제부터라도 사이버공격에 대한 대응방안 마련 및 수행에 적극 나서야 한다. 우선, 현재의 사이버 공간의 위협 현황을 점검한 뒤 지난해 마련한 3가지의 정보보호 종합대책을 전면 재검토하고 이를 근거로 국가적 사이버 테러 종합 대응 방안이 마련돼야 할 것이다. 여기에는 사이버 보안 전문인력양성 방안, 침해사고 대응을 위한 민간 파트너십의 강화, 침해사고 분석 및 대응을 위한 기술 고도화, 국내 산업체의 글로벌 경쟁력 강화, 지속적인 연구개발 및 표준개발 체계의 혁신 등을 담아야 할 것이다.
또 현재 정부의 다양한 부처에 분산돼 있는 정보보호 기능의 분야별 책임과 권한을 강화하면서 이들 간에 역할을 상호 조정하고 기능을 총괄할 수 있는 컨트롤타워의 신설도 고려해야 한다. 백악관에 사이버 정책 조정관을 두고 국방성ㆍ국토안보부ㆍ연방수사국 등의 정보보호 업무를 조정하는 역할을 수행하는 미국과 같이 우리도 최상위 수준에서 사이버보안 업무를 총괄 조정할 수 있도록 제도적 장치를 마련해야 한다.
아울러 보안 산업의 글로벌 경쟁력 확보와 전문 인력 양성의 중요성은 이제는 두말하면 잔소리다. 이번 공격이 그나마 이런 수준에서 마무리될 수 있었던 것도 미약하나마 민간업체들의 보안전문인력들의 노고가 있었음을 잊어서는 안 된다. 여전히 미약한 정보보호산업과 정보보호 인력에 대한 지속적인 투자와 지원을 통해 IT강국에 걸맞은 정보보호 강국의 이미지를 심어나가야 할 것이다.
마지막으로 사이버보안 인식제고 활동도 보다 적극적으로 시행해야 한다. 모든 사이버 공격이 사용자들의 취약한 보안의식이라는 허점을 파고들면서 시작된다는 점을 감안하면 사용자의 보안 인식수준 향상 없이는 안전한 인터넷 세상은 담보할 수 없는 시대가 됐다. 다양한 계층에 맞춤형 사이버 보안 교육을 제공, 정보보호의 생활화가 필요한 시점이다.
이제 정보보호는 국민 표현의 자유, 프라이버시 강화, 법 집행의 보장, 디지털 경제의 국가 경쟁력 확보, 지속 가능한 혁신 유지 등을 위한 핵심 기반 기능이 되고 있다. 정부를 포함한 모든 참여 주체들의 정보보호에 대한 투자 우선순위 확보가 중요하며 글로벌 사이버보안 산업 경쟁력을 확보함으로써 안전하고 편안한 디지털 경제의 신뢰성을 확보 및 유지해야 할 것이다.
