'SK컴즈 해킹'등 매달 한번꼴 사고 발생
공격 기술 진화하는데 기업 투자는 미흡
정보보호법 발효 후 책임공방 거세질 듯
공격 기술 진화하는데 기업 투자는 미흡
정보보호법 발효 후 책임공방 거세질 듯
올해는 어느 해보다 개인정보보유출사고가 빈번히 발생한 가운데, 향후 개인정보보법 발효 이후 이 같은 사고가 법적인 책임공방으로까지 이어질 수 있어 기업들의 대비가 필수라는 지적이다.
◇한 달에 한번 꼴로 개인정보 샜다=올해 상반기에만 크고 작은 개인정보 유출사고들이 연이어 발생했다. 지난 4월 현대캐피탈 175만건 개인정보 유출을 비롯해 5월 리딩투자증권 1만2000건, 7월 SK커뮤니케이션즈 3500만건, 8월 한국엡손 35만건 등 올 상반기에는 잊을만하면 들리는 게 기업 해킹과 개인정보 유출 소식이었다. 소니, 혼다 등 해외 개인정보 유출 사건까지 합치면 거의 매달 한 번 꼴로 발생한 셈이다.
이 같은 개인정보 유출 사고 발생 건수는 과거와 비교했을 때 확연히 증가했다. 방송통신위원회가 지난 5년 간 분석한 주요 개인정보 유출사고에 따르면, 2006년 게임사이트 리니지의 120만명 명의도용을 비롯해 2008년 옥션 해킹으로 인한 1080만명, 지난해 해킹 개인정보 판매자 검거를 통해 밝혀진 2000만명 유출 사건 등 일 년에 한 번 꼴로 개인정보 유출 사고가 발생했다. 하지만 올해는 이미 상반기에만 국내에서 4건의 개인정보 유출사고가 발생했으며, 상반기 누적규모만 최소 3700만건을 넘어섰다. 이 달 중순 경찰청은 SK커뮤니케이션즈 중간 수사 결과를 발표하면서 인터넷을 이용하지 않는 영ㆍ유아와 노년층을 제외하면 실질적으로 인터넷을 이용하는 모든 국내 이용자들의 정보가 유출된 셈이나 다름없다고 지적했다.
◇공격기술은 나는데..대응은 걸음마=전문가들은 올해 최대 규모의 개인정보 유출사건으로 기록된 SK커뮤니케이션즈 유출 사고처럼, 특정 기업을 타깃으로 한 공격이 늘 것으로 내다봤다.
지능형 타깃 지속 공격(APT)이 올 들어 갑자기 등장한 개념은 아니다. 이미 지난해 사이버무기로 불리는 `스턱스넷'과 올 초 보안업체인 RSA사 해킹 등 해외에서 APT에 대한 연구 및 발표는 계속 진행돼왔다.
하지만 상반기 농협, SK커뮤니케이션즈 등 대표적인 사례가 국내에서도 속속 발견되면서 이제 더 이상 APT를 해외 보안 이슈로만 치부할 수 없는 상황이다. 특히 지난 SK커뮤니케이션즈 해킹 사례를 통해 알 수 있듯, APT를 통해 단 열흘만에 3500만건에 달하는 개인정보를 빼낼 수 있었던 이유는 치밀하고 지능적인 공격이었기 때문이다. 보안업계는 이 같은 공격에 대응하기 위해서는 전 방위적 보안시스템을 갖춰야 한다고 강조하고 있다.
하지만 여전히 국내 기업들의 보안 인식은 뒤쳐지고 있는 게 현실이다.`2010 국가 정보보호백서'에 따르면 조사 기업 중 63%가 정보보호에 대한 지출이 전무한 실정이다. 이들 업체들은 정보보호 지출을 전혀 하지 않은 이유에 대해 보안 사고로 인한 피해가 거의 없어 필요성을 느끼지 못했기 때문(65%)이라고 답했다. 경찰 조사에 따르면 지난 SK커뮤니케이션즈 해킹 사고 분석결과 이스트소프트 서버 외에 두 곳의 소규모 업체의 서버도 해킹돼 개인정보유출에 악용됐다. 그러나 이들 업체는 경찰이 이 사실을 알려주기 전까지 자신들 회사의 서버 해킹 여부를 인지하지 못했다. 기업들의 이 같은 보안 인식은 결국 투자 저조로 이어지고, 이 때문에 허술한 보안을 틈타 해킹에 악용되는 악순환을 거듭할 수밖에 없는 상황이다.
◇개인정보보호법 발효..최소한의 보안 투자 필수= 보안 투자 미흡은 결국 사고로 이어져 기업 이미지 손상으로 이어진다. 특히 오는 9월 말 개인정보보호법이 발효되면 보안 투자에 소홀한 기업들은 그 책임을 감내하느라 막대한 비용을 지불하게 될 것이다. 법을 기반으로 다양한 개인정보 침해에 관한 집단 소송 등이 진행될 수 있기 때문이다. 그동안 개인들은 자신의 개인정보 유출 등에 대해 소극적으로 입장 표명을 할 수밖에 없었지만, 개인정보보호법은 개인의 개인정보에 대한 권리를 찾아주기 위해 집단 소송 등 다양한 제도로 이들을 뒷받침해주고 있다. 이미 SK커뮤니케이션즈 개인정보 유출사고 이후 이에 대한 소송이 잇따르고 있다. 최근에는 지난 2006년도에 발생한 하나로텔레콤(현 SK브로드밴드)의 개인정보 유출사건에 대해 법원이 피해자 한 명당 10만원∼20만원씩 총 6억6000여 만원의 위자료를 지급하라는 판결이 나오기도 했다.
결국 어느 기업이나 해킹의 위험에서 자유롭지 못하고, 피해 위협 및 피해 발생 후 관련 소송 등에 대비해야하는 만큼 보안 투자 및 기술적ㆍ관리적 조치 등에 대해 소홀히 해선 안 되는 상황이다.
현재 다음달 발효되는 개인정보보호법 시행을 앞두고 정부는 어떤 기술적 조치들을 기업들이 지켜야 할지 등을 담은 시행령, 시행규칙 등을 마련하느라 분주하다. 기업 역시 법을 기반으로 하되, 각 회사별 특징에 맞는 개인정보보호 대책을 마련해 보안 사고로 인한 개인 및 기업의 피해를 줄이도록 노력해야한다고 전문가들은 강조한다.
김지선기자 dubs45@
▶김지선기자의 블로그 : http://blog.dt.co.kr/blog/?mb_id=dubsrep
[저작권자 ⓒ디지털타임스 무단 전재-재배포 금지]
◇한 달에 한번 꼴로 개인정보 샜다=올해 상반기에만 크고 작은 개인정보 유출사고들이 연이어 발생했다. 지난 4월 현대캐피탈 175만건 개인정보 유출을 비롯해 5월 리딩투자증권 1만2000건, 7월 SK커뮤니케이션즈 3500만건, 8월 한국엡손 35만건 등 올 상반기에는 잊을만하면 들리는 게 기업 해킹과 개인정보 유출 소식이었다. 소니, 혼다 등 해외 개인정보 유출 사건까지 합치면 거의 매달 한 번 꼴로 발생한 셈이다.
이 같은 개인정보 유출 사고 발생 건수는 과거와 비교했을 때 확연히 증가했다. 방송통신위원회가 지난 5년 간 분석한 주요 개인정보 유출사고에 따르면, 2006년 게임사이트 리니지의 120만명 명의도용을 비롯해 2008년 옥션 해킹으로 인한 1080만명, 지난해 해킹 개인정보 판매자 검거를 통해 밝혀진 2000만명 유출 사건 등 일 년에 한 번 꼴로 개인정보 유출 사고가 발생했다. 하지만 올해는 이미 상반기에만 국내에서 4건의 개인정보 유출사고가 발생했으며, 상반기 누적규모만 최소 3700만건을 넘어섰다. 이 달 중순 경찰청은 SK커뮤니케이션즈 중간 수사 결과를 발표하면서 인터넷을 이용하지 않는 영ㆍ유아와 노년층을 제외하면 실질적으로 인터넷을 이용하는 모든 국내 이용자들의 정보가 유출된 셈이나 다름없다고 지적했다.
◇공격기술은 나는데..대응은 걸음마=전문가들은 올해 최대 규모의 개인정보 유출사건으로 기록된 SK커뮤니케이션즈 유출 사고처럼, 특정 기업을 타깃으로 한 공격이 늘 것으로 내다봤다.
지능형 타깃 지속 공격(APT)이 올 들어 갑자기 등장한 개념은 아니다. 이미 지난해 사이버무기로 불리는 `스턱스넷'과 올 초 보안업체인 RSA사 해킹 등 해외에서 APT에 대한 연구 및 발표는 계속 진행돼왔다.
하지만 상반기 농협, SK커뮤니케이션즈 등 대표적인 사례가 국내에서도 속속 발견되면서 이제 더 이상 APT를 해외 보안 이슈로만 치부할 수 없는 상황이다. 특히 지난 SK커뮤니케이션즈 해킹 사례를 통해 알 수 있듯, APT를 통해 단 열흘만에 3500만건에 달하는 개인정보를 빼낼 수 있었던 이유는 치밀하고 지능적인 공격이었기 때문이다. 보안업계는 이 같은 공격에 대응하기 위해서는 전 방위적 보안시스템을 갖춰야 한다고 강조하고 있다.
하지만 여전히 국내 기업들의 보안 인식은 뒤쳐지고 있는 게 현실이다.`2010 국가 정보보호백서'에 따르면 조사 기업 중 63%가 정보보호에 대한 지출이 전무한 실정이다. 이들 업체들은 정보보호 지출을 전혀 하지 않은 이유에 대해 보안 사고로 인한 피해가 거의 없어 필요성을 느끼지 못했기 때문(65%)이라고 답했다. 경찰 조사에 따르면 지난 SK커뮤니케이션즈 해킹 사고 분석결과 이스트소프트 서버 외에 두 곳의 소규모 업체의 서버도 해킹돼 개인정보유출에 악용됐다. 그러나 이들 업체는 경찰이 이 사실을 알려주기 전까지 자신들 회사의 서버 해킹 여부를 인지하지 못했다. 기업들의 이 같은 보안 인식은 결국 투자 저조로 이어지고, 이 때문에 허술한 보안을 틈타 해킹에 악용되는 악순환을 거듭할 수밖에 없는 상황이다.
◇개인정보보호법 발효..최소한의 보안 투자 필수= 보안 투자 미흡은 결국 사고로 이어져 기업 이미지 손상으로 이어진다. 특히 오는 9월 말 개인정보보호법이 발효되면 보안 투자에 소홀한 기업들은 그 책임을 감내하느라 막대한 비용을 지불하게 될 것이다. 법을 기반으로 다양한 개인정보 침해에 관한 집단 소송 등이 진행될 수 있기 때문이다. 그동안 개인들은 자신의 개인정보 유출 등에 대해 소극적으로 입장 표명을 할 수밖에 없었지만, 개인정보보호법은 개인의 개인정보에 대한 권리를 찾아주기 위해 집단 소송 등 다양한 제도로 이들을 뒷받침해주고 있다. 이미 SK커뮤니케이션즈 개인정보 유출사고 이후 이에 대한 소송이 잇따르고 있다. 최근에는 지난 2006년도에 발생한 하나로텔레콤(현 SK브로드밴드)의 개인정보 유출사건에 대해 법원이 피해자 한 명당 10만원∼20만원씩 총 6억6000여 만원의 위자료를 지급하라는 판결이 나오기도 했다.
결국 어느 기업이나 해킹의 위험에서 자유롭지 못하고, 피해 위협 및 피해 발생 후 관련 소송 등에 대비해야하는 만큼 보안 투자 및 기술적ㆍ관리적 조치 등에 대해 소홀히 해선 안 되는 상황이다.
현재 다음달 발효되는 개인정보보호법 시행을 앞두고 정부는 어떤 기술적 조치들을 기업들이 지켜야 할지 등을 담은 시행령, 시행규칙 등을 마련하느라 분주하다. 기업 역시 법을 기반으로 하되, 각 회사별 특징에 맞는 개인정보보호 대책을 마련해 보안 사고로 인한 개인 및 기업의 피해를 줄이도록 노력해야한다고 전문가들은 강조한다.
김지선기자 dubs45@
▶김지선기자의 블로그 : http://blog.dt.co.kr/blog/?mb_id=dubsrep
[저작권자 ⓒ디지털타임스 무단 전재-재배포 금지]
