신수정 인포섹 대표
2월 14일부터 18일까지 미국 샌프란시스코에서는 세계 최대 정보보호 콘퍼런스인 RSA 콘퍼런스 2011이 개최됐다. RSA 콘퍼런스는 세계 각지의 IT회사 대표들, 정보보안회사 대표들, 구루(Guru)들, 정부기관 및 학계의 관련 책임자들이 모여 다양한 주제를 발표하고 토의함으로써 매년 정보보호의 새로운 방향을 제시하고 있다.
필자도 올해 이 콘퍼런스에 참석하여 관련된 인사들을 만나 교류도 갖고 2011년 정보보호 화두에 대한 강연을 들으면서 세 가지 큰 방향성을 실감할 수 있었다.
첫째, 다양한 모바일 기기의 출현으로 인한 IT 환경의 변화와 클라우드 컴퓨팅 환경에 대응하기 위한 새로운 보안 체계가 제시되고 있다는 것이다. 스마트폰을 필두로 한 모바일 기기의 급격한 보급은 기업이나 기관의 IT환경을 정적에서 동적으로 바꾸고 있다. 또한 비즈니스 요구에 의해 다양한 서비스들이 클라우드 환경으로 전환되고 있어 이에 따른 새로운 보안위협들이 대두되고 있다. 두 가지 변화가 보안에 미치는 영향은 한 마디로 말한다면 `Out of control'이다. 과거의 정적인 IT환경은 상대적으로 통제하고 관리하기 용이했지만 변화에 따른 동적인 IT환경과 외부 서비스 활용 환경은 위험에 대한 통제와 관리를 어렵게 한다. 이에 시만텍, RSA, 시스코, HP, 인텔, 맥아피, MS 등의 대표적인 IT기업 및 정보보호 기업들은 이러한 새로운 환경변화를 대응하기 위한 보안 모델들을 제시하고 있었다. 각 회사의 고유 장점에 기반 어떤 회사는 네트워크를, 어떤 회사는 단말을, 어떤 회사는 가상 머신을, 어떤 회사는 애플리케이션을 초점으로 하는 모델을 제시하였지만, 결국 다양한 모델 들의 공통점은 누가 어디서 어떤 자원을 언제 어떤 기기로 접근하든지 적절한 보안 정책을 부여하여 통제 관리하겠다는 것이다.
현재 시점에서는 새로운 환경변화를 대응하기 위한 보안 모델들은 아직 시험단계이지만 이 모델들은 점차 구체화되고 실효성을 보일 것이라고 예상한다.
둘째, `사이버 전쟁'에 대한 대응이 구체화되고 있다는 것이다. 지난 몇 년간 `사이버 전쟁'에 대한 논의들이 상당히 이루어지긴 했지만, 구체적이고 치명적인 사고들이 발생하지 않았기에 이론적으로만 여겨졌던 것이 사실이었다. 그러나 작년 일명 `오로라 공격'으로 알려진 중국 발 구글 해킹을 필두로 하여, 이란 원자력발전소에서 나타난 `스턱스넷'은 `사이버 전쟁'의 가능성을 구체화했다. 특히, `스턱스넷(Stuxnet)'은 사이버상의 정보보호위험이 물리적인 시설의 마비 및 파괴를 가져올 수 있음을 증명함으로써 각 국에서는 사이버 공격으로 인한 전기ㆍ수자원ㆍ운송ㆍ원자력발전소 등 국가기반시설의 마비나 파괴의 위험을 실감하였고 그에 대한 대응이 절실해졌다. 미국의 사이버사령부는 2011년 5대 사이버보안 전략을 발표하면서 기존의 육ㆍ해ㆍ공ㆍ우주 등 4개 전쟁영역 외 `사이버 공간'을 또 하나의 추가 전쟁영역으로 설정하였고 사이버 보안을 국가 보안 어젠다로 설정하였다. 또한 실질적으로 `소극적 대응'에서 `적극적 대응'으로 대응 방향을 전환하였고 민간보안기업들과의 강력한 파트너십을 통해 공조할 것을 요청한 바 있다.
셋째, `위키 리크스'로 대두된 정보유출 문제에 대한 대응이다. `위키 리크스' 이슈는 기업이나 기관들로 하여금 정보유출의 심각성에 대한 인식을 강화시켜주었다. 물론 그 동안 보안회사들은 DLP 등 정보유출 대응 솔루션들을 출시하였고 기업이나 기관들도 정보 유출대응을 위한 솔루션들을 구축했지만 이러한 솔루션들이 모든 문제를 해결해 줄 수 없다는 것을 이번 사건을 통해 발견하게 됐다. 한 두 사람의 내부인으로 인해 수많은 핵심정보들이 유출되는 것을 보면서 기업이나 기관들은 경악을 금치 못하였다. 인력들의 정보접근 권한이 적절한지, 다양한 정보에 접근할 수 있는 인력에 대한 통제는 적절한지 등의 가장 기본적인 분석과 대응이 이루어지지 않으면 정보유출 대응 솔루션만으로는 무용지물임을 발견하게 됐다. 이에 보안회사들과 각 기업, 기관들은 정보유출대응을 위한 구체적이고 분석적인 대응 방안을 다시금 논의하게 됐다.
이러한 세 가지 방향은 국내에도 큰 교훈을 준다.
국내의 경우도 IT환경변화에 따른 새로운 보안위협 대응, 정보유출 대응 체계를 강화해야 한다. 또한 민관 협력을 통해 발생 가능한 `사이버 전쟁'의 위협을 적극적으로 대응할 수 있는 기반 환경을 구축하여 `안전한 대한민국'을 이루기 위해 공동노력을 다해야 할 것이다.
[저작권자 ⓒ디지털타임스 무단 전재-재배포 금지]
필자도 올해 이 콘퍼런스에 참석하여 관련된 인사들을 만나 교류도 갖고 2011년 정보보호 화두에 대한 강연을 들으면서 세 가지 큰 방향성을 실감할 수 있었다.
첫째, 다양한 모바일 기기의 출현으로 인한 IT 환경의 변화와 클라우드 컴퓨팅 환경에 대응하기 위한 새로운 보안 체계가 제시되고 있다는 것이다. 스마트폰을 필두로 한 모바일 기기의 급격한 보급은 기업이나 기관의 IT환경을 정적에서 동적으로 바꾸고 있다. 또한 비즈니스 요구에 의해 다양한 서비스들이 클라우드 환경으로 전환되고 있어 이에 따른 새로운 보안위협들이 대두되고 있다. 두 가지 변화가 보안에 미치는 영향은 한 마디로 말한다면 `Out of control'이다. 과거의 정적인 IT환경은 상대적으로 통제하고 관리하기 용이했지만 변화에 따른 동적인 IT환경과 외부 서비스 활용 환경은 위험에 대한 통제와 관리를 어렵게 한다. 이에 시만텍, RSA, 시스코, HP, 인텔, 맥아피, MS 등의 대표적인 IT기업 및 정보보호 기업들은 이러한 새로운 환경변화를 대응하기 위한 보안 모델들을 제시하고 있었다. 각 회사의 고유 장점에 기반 어떤 회사는 네트워크를, 어떤 회사는 단말을, 어떤 회사는 가상 머신을, 어떤 회사는 애플리케이션을 초점으로 하는 모델을 제시하였지만, 결국 다양한 모델 들의 공통점은 누가 어디서 어떤 자원을 언제 어떤 기기로 접근하든지 적절한 보안 정책을 부여하여 통제 관리하겠다는 것이다.
현재 시점에서는 새로운 환경변화를 대응하기 위한 보안 모델들은 아직 시험단계이지만 이 모델들은 점차 구체화되고 실효성을 보일 것이라고 예상한다.
둘째, `사이버 전쟁'에 대한 대응이 구체화되고 있다는 것이다. 지난 몇 년간 `사이버 전쟁'에 대한 논의들이 상당히 이루어지긴 했지만, 구체적이고 치명적인 사고들이 발생하지 않았기에 이론적으로만 여겨졌던 것이 사실이었다. 그러나 작년 일명 `오로라 공격'으로 알려진 중국 발 구글 해킹을 필두로 하여, 이란 원자력발전소에서 나타난 `스턱스넷'은 `사이버 전쟁'의 가능성을 구체화했다. 특히, `스턱스넷(Stuxnet)'은 사이버상의 정보보호위험이 물리적인 시설의 마비 및 파괴를 가져올 수 있음을 증명함으로써 각 국에서는 사이버 공격으로 인한 전기ㆍ수자원ㆍ운송ㆍ원자력발전소 등 국가기반시설의 마비나 파괴의 위험을 실감하였고 그에 대한 대응이 절실해졌다. 미국의 사이버사령부는 2011년 5대 사이버보안 전략을 발표하면서 기존의 육ㆍ해ㆍ공ㆍ우주 등 4개 전쟁영역 외 `사이버 공간'을 또 하나의 추가 전쟁영역으로 설정하였고 사이버 보안을 국가 보안 어젠다로 설정하였다. 또한 실질적으로 `소극적 대응'에서 `적극적 대응'으로 대응 방향을 전환하였고 민간보안기업들과의 강력한 파트너십을 통해 공조할 것을 요청한 바 있다.
셋째, `위키 리크스'로 대두된 정보유출 문제에 대한 대응이다. `위키 리크스' 이슈는 기업이나 기관들로 하여금 정보유출의 심각성에 대한 인식을 강화시켜주었다. 물론 그 동안 보안회사들은 DLP 등 정보유출 대응 솔루션들을 출시하였고 기업이나 기관들도 정보 유출대응을 위한 솔루션들을 구축했지만 이러한 솔루션들이 모든 문제를 해결해 줄 수 없다는 것을 이번 사건을 통해 발견하게 됐다. 한 두 사람의 내부인으로 인해 수많은 핵심정보들이 유출되는 것을 보면서 기업이나 기관들은 경악을 금치 못하였다. 인력들의 정보접근 권한이 적절한지, 다양한 정보에 접근할 수 있는 인력에 대한 통제는 적절한지 등의 가장 기본적인 분석과 대응이 이루어지지 않으면 정보유출 대응 솔루션만으로는 무용지물임을 발견하게 됐다. 이에 보안회사들과 각 기업, 기관들은 정보유출대응을 위한 구체적이고 분석적인 대응 방안을 다시금 논의하게 됐다.
이러한 세 가지 방향은 국내에도 큰 교훈을 준다.
국내의 경우도 IT환경변화에 따른 새로운 보안위협 대응, 정보유출 대응 체계를 강화해야 한다. 또한 민관 협력을 통해 발생 가능한 `사이버 전쟁'의 위협을 적극적으로 대응할 수 있는 기반 환경을 구축하여 `안전한 대한민국'을 이루기 위해 공동노력을 다해야 할 것이다.
[저작권자 ⓒ디지털타임스 무단 전재-재배포 금지]
