SW개발때부터 `취약점` 탐지… 비용 감축 효과
보안 인식 강화… 공공기관 ㆍ 금융권 도입 잇따라
보안 인식 강화… 공공기관 ㆍ 금융권 도입 잇따라
■ 시큐어코딩
해킹과 같은 외부 사이버위협과 내부 정보유출 등 보안의 중요성이 어느 때보다 강력하게 부각되고 있다. 해커가 우리 회사 컴퓨터와 서버를 엿보고 있지 않을까, 혹시 누군가 기밀을 빼돌리지 않을까 막연한 불안감만 높아가는 상황이다. 이 모든 불안을 한번에 해결할 수 있는 `만능열쇠'가 있다면 좋겠지만 전문가들은 `보안에 완벽은 없다'고 입을 모은다.
다만 위험요소를 현저히 낮출 수 있는 방법은 있다. 보안시스템을 모든 IT시스템의 `마감재'처럼 여기는 것이 아니라 `기초공사'로 여기고 시스템 구축 초기부터 철저한 보안 규정에 따라 기본을 다져나가는 것이 그 것이다.
소프트웨어개발보안(시큐어코딩)이 주목받는 것도 이같은 이유다. 시큐어코딩은 소프트웨어(SW) 또는 홈페이지의 보안 취약점이 보안 공격의 대상이 되면서 이를 처음 설계, 개발(코딩)하는 단계부터 보안 기능을 구현하는 것을 말한다.
정부는 시큐어코딩의 중요성을 인지, 지난해부터 공공 정보화사업 중 40억원 이상의 발주는 시큐어코딩을 의무화했다. 올해 12월31일까지는 20억원 미만의 사업에도 확대 적용되며 2015년에는 모든 공공정보화 사업에 전면 적용된다.
안행부 관계자는 "지난해 6.25 사이버공격으로 인해 청와대 홈페이지가 변조되는 등 국가 상징기관이나 주요 시스템의 보안 취약점 해결이 시급한 과제로 떠올랐다"면서 "안행부는 시큐어코딩 테스트툴을 활용해 공공 홈페이지에 대한 취약점 전면진단을 실시하고 이를 바탕으로 취약점 해결을 위한 시큐어코딩 적용을 권고하고 있다"고 설명했다.
실제로 안행부 테스트 결과 적지않은 보안 취약점이 있었던 청와대는 지난해 11월 홈페이지 전면 재구축에 나섰고 이 과정에서 시큐어코딩을 적용하기도 했다.
이 관계자는 "보안 취약점을 줄이기 위해서는 무엇보다 SW 개발 초기 단계인 구현 단계에서 수정하는 것이 가장 손쉽고 비용 효율성 측면에서 가장 좋다"면서 "세수로 구축되는 국가 정보화 시스템의 비용 효율성을 도모하면서 또한 가장 안전한 시스템으로 고도화하기 위해 시큐어코딩은 필수"라고 강조했다.
보안 전문가도 "시큐어코딩을 적용하면 보안 취약점을 찾아내 미리 막아낼 수 있는 것은 물론 소스코드에 잠재돼 있는 오류도 탐지하기 때문에 프로그램 안정성도 크게 높일 수 있다"면서 "SW의 보안성과 안정성이 강화돼 신뢰성 있는 시스템을 개발할 수 있으며, 이는 곧 고객 신뢰도 향상, 매출 증대로 이어질 수 있는 초석이 된다"고 강조했다.
정부ㆍ공공기관 뿐만 아니라 시중 은행과 보험사 등 민수 시장에서도 `시큐어코딩`이 빠르게 확산되는 추세다.
개인이나 기업을 향한 대다수 사이버 공격의 최종 목적지는 은행을 향하고 있는 것이 사실. 은행 시스템 마비를 통한 사회적 혼란 초래나 금전 탈취가 목적이기 때문이다.
이에 금융권에서는 `사이버 전투'에 대비하기 위해서라도 시큐어코딩이 확대하는 추세다. 최근 카드사 정보유출 사태로 시큐어코딩 적용 프로젝트 자체가 주춤하고 있지만, 이 기술이 보안 강화를 위한 `첫 단추'라는 점을 인지해 단계적으로 적용하겠다는 것이다.
이미 농협과 산업은행, 우리은행을 비롯해 한화손해보험, 한화생명 등이 지난해 시큐어코딩 적용을 완료했다.
메인프레임을 주전산시스템으로 쓰고 있는 우리은행은 인터넷뱅킹 시스템에만 적용했지만, 농협과 산업은행, 한화손해보험, 한화생명은 코어뱅킹을 비롯한 전사 시스템에 시큐어코딩을 적용했다.
차세대 사업을 진행하고 있는 IBK기업은행은 올해 전사시스템에 시큐어코딩 적용 프로젝트를 시작할 계획이다. 운영 중인 시스템에는 시큐어코딩 적용하는 것이 쉽지 않은 만큼 차세대 사업이 보안태세의 뼈대를 새롭게 세울 수 있는 절호의 기회라는 것이다.
IBK기업은행 관계자는 "3년 전에 인터넷뱅킹에 한정해 시큐어코딩을 적용했는데 올해 포스트 차세대 사업을 추진하면서 전 시스템으로 확대해 적용키로 했다"며 "전산시스템을 새롭게 개발하는 만큼 시큐어코딩을 적용해 보안성을 높이는데 만전을 기할 예정"이라고 말했다.
시중은행을 중심으로 시큐어코딩에 대한 관심이 늘어가고 있는 것과 동시에 금융당국도 시큐어코딩에 대한 필요성을 인식, 이를 확산시키기 위한 가이드라인 수립을 검토하고 있다.
임왕섭 금융위원회 전자금융과 사무관은 "지난해 7월 금융보안 종합대책을 수립할 당시에도 시큐어코딩 의무적용을 논의했지만 다소 이른 감이 있어 제외했었다"며 "하지만 업계의 관심이 커지고 필요성이 부각되면서 금융위원회도 내년에 배포할 예정인 금융보안 가이드라인에 시큐어코딩을 포함시키는 것을 검토하고 있다"고 말했다.
최대 시장인 공공기관과 금융권이 시큐어코딩 적용을 서두르자 관련 업체들의 움직임도 바빠지는 추세다.
현재 시큐어코딩 시장에서 경쟁하고 있는 업체는 파수닷컴, 지티원, 트리니티소프트, 이븐스타 등이다. 이중 파수닷컴은 지난 1월 시큐어코딩 CC인증을 획득했다.
아울러 인포섹은 시큐어코딩 관리시스템을 선보이며 고객사별 맞춤 진단 서비스를 제공한다는 계획이며 빛스캔은 웹취약점 분석 서비스를 제공하며 관련 시장을 노리고 있다.
조규곤 파수닷컴 대표는 "시큐어코딩은 보안의 기초공사이자 정보시스템 구축의 가장 기본이다. 그동안에는 보안시스템을 정보시스템의 `출입문' 정도로 여기는 경향이 강했지만 이제는 기업들이 먼저 시큐어코딩의 필요성을 인지하고 적극적으로 적용을 검토하고 있다"고 설명했다.
그는 이어 "법적인 규제와 함께 지속되는 사이버테러 위협으로 공공기관은 물론 금융, 일반기업에도 시큐어코딩 솔루션 도입 요구는 높아지고 있다"며 "SW개발 과정에서 보안 취약점이 많이 노출되는 것은 물론 각종 사고와 모바일 기기의 확대로 신규시스템의 수요가 빠르게 증가하고 있고 일반기업에서도 관심이 많다"고 덧붙였다.
또 다른 업계 관계자는 "공공사업과 함께 금융, 국방, 제조업 등에서도 시큐어코딩에 대한 관심이 증가해 향후 시장 확대 가능성도 크다"고 설명했다. 지난해에는 시장 확대의 움직임이 있었을 뿐 실제 큰 매출이 발생하지 않던 시큐어코딩 제품이 올해부터는 매출로 이어 질 것으로 업계는 기대하고 있다.
강은성ㆍ정용철기자 esther@
해킹과 같은 외부 사이버위협과 내부 정보유출 등 보안의 중요성이 어느 때보다 강력하게 부각되고 있다. 해커가 우리 회사 컴퓨터와 서버를 엿보고 있지 않을까, 혹시 누군가 기밀을 빼돌리지 않을까 막연한 불안감만 높아가는 상황이다. 이 모든 불안을 한번에 해결할 수 있는 `만능열쇠'가 있다면 좋겠지만 전문가들은 `보안에 완벽은 없다'고 입을 모은다.
다만 위험요소를 현저히 낮출 수 있는 방법은 있다. 보안시스템을 모든 IT시스템의 `마감재'처럼 여기는 것이 아니라 `기초공사'로 여기고 시스템 구축 초기부터 철저한 보안 규정에 따라 기본을 다져나가는 것이 그 것이다.
소프트웨어개발보안(시큐어코딩)이 주목받는 것도 이같은 이유다. 시큐어코딩은 소프트웨어(SW) 또는 홈페이지의 보안 취약점이 보안 공격의 대상이 되면서 이를 처음 설계, 개발(코딩)하는 단계부터 보안 기능을 구현하는 것을 말한다.
정부는 시큐어코딩의 중요성을 인지, 지난해부터 공공 정보화사업 중 40억원 이상의 발주는 시큐어코딩을 의무화했다. 올해 12월31일까지는 20억원 미만의 사업에도 확대 적용되며 2015년에는 모든 공공정보화 사업에 전면 적용된다.
안행부 관계자는 "지난해 6.25 사이버공격으로 인해 청와대 홈페이지가 변조되는 등 국가 상징기관이나 주요 시스템의 보안 취약점 해결이 시급한 과제로 떠올랐다"면서 "안행부는 시큐어코딩 테스트툴을 활용해 공공 홈페이지에 대한 취약점 전면진단을 실시하고 이를 바탕으로 취약점 해결을 위한 시큐어코딩 적용을 권고하고 있다"고 설명했다.
실제로 안행부 테스트 결과 적지않은 보안 취약점이 있었던 청와대는 지난해 11월 홈페이지 전면 재구축에 나섰고 이 과정에서 시큐어코딩을 적용하기도 했다.
이 관계자는 "보안 취약점을 줄이기 위해서는 무엇보다 SW 개발 초기 단계인 구현 단계에서 수정하는 것이 가장 손쉽고 비용 효율성 측면에서 가장 좋다"면서 "세수로 구축되는 국가 정보화 시스템의 비용 효율성을 도모하면서 또한 가장 안전한 시스템으로 고도화하기 위해 시큐어코딩은 필수"라고 강조했다.
보안 전문가도 "시큐어코딩을 적용하면 보안 취약점을 찾아내 미리 막아낼 수 있는 것은 물론 소스코드에 잠재돼 있는 오류도 탐지하기 때문에 프로그램 안정성도 크게 높일 수 있다"면서 "SW의 보안성과 안정성이 강화돼 신뢰성 있는 시스템을 개발할 수 있으며, 이는 곧 고객 신뢰도 향상, 매출 증대로 이어질 수 있는 초석이 된다"고 강조했다.
정부ㆍ공공기관 뿐만 아니라 시중 은행과 보험사 등 민수 시장에서도 `시큐어코딩`이 빠르게 확산되는 추세다.
개인이나 기업을 향한 대다수 사이버 공격의 최종 목적지는 은행을 향하고 있는 것이 사실. 은행 시스템 마비를 통한 사회적 혼란 초래나 금전 탈취가 목적이기 때문이다.
이에 금융권에서는 `사이버 전투'에 대비하기 위해서라도 시큐어코딩이 확대하는 추세다. 최근 카드사 정보유출 사태로 시큐어코딩 적용 프로젝트 자체가 주춤하고 있지만, 이 기술이 보안 강화를 위한 `첫 단추'라는 점을 인지해 단계적으로 적용하겠다는 것이다.
이미 농협과 산업은행, 우리은행을 비롯해 한화손해보험, 한화생명 등이 지난해 시큐어코딩 적용을 완료했다.
메인프레임을 주전산시스템으로 쓰고 있는 우리은행은 인터넷뱅킹 시스템에만 적용했지만, 농협과 산업은행, 한화손해보험, 한화생명은 코어뱅킹을 비롯한 전사 시스템에 시큐어코딩을 적용했다.
차세대 사업을 진행하고 있는 IBK기업은행은 올해 전사시스템에 시큐어코딩 적용 프로젝트를 시작할 계획이다. 운영 중인 시스템에는 시큐어코딩 적용하는 것이 쉽지 않은 만큼 차세대 사업이 보안태세의 뼈대를 새롭게 세울 수 있는 절호의 기회라는 것이다.
IBK기업은행 관계자는 "3년 전에 인터넷뱅킹에 한정해 시큐어코딩을 적용했는데 올해 포스트 차세대 사업을 추진하면서 전 시스템으로 확대해 적용키로 했다"며 "전산시스템을 새롭게 개발하는 만큼 시큐어코딩을 적용해 보안성을 높이는데 만전을 기할 예정"이라고 말했다.
시중은행을 중심으로 시큐어코딩에 대한 관심이 늘어가고 있는 것과 동시에 금융당국도 시큐어코딩에 대한 필요성을 인식, 이를 확산시키기 위한 가이드라인 수립을 검토하고 있다.
임왕섭 금융위원회 전자금융과 사무관은 "지난해 7월 금융보안 종합대책을 수립할 당시에도 시큐어코딩 의무적용을 논의했지만 다소 이른 감이 있어 제외했었다"며 "하지만 업계의 관심이 커지고 필요성이 부각되면서 금융위원회도 내년에 배포할 예정인 금융보안 가이드라인에 시큐어코딩을 포함시키는 것을 검토하고 있다"고 말했다.
최대 시장인 공공기관과 금융권이 시큐어코딩 적용을 서두르자 관련 업체들의 움직임도 바빠지는 추세다.
현재 시큐어코딩 시장에서 경쟁하고 있는 업체는 파수닷컴, 지티원, 트리니티소프트, 이븐스타 등이다. 이중 파수닷컴은 지난 1월 시큐어코딩 CC인증을 획득했다.
아울러 인포섹은 시큐어코딩 관리시스템을 선보이며 고객사별 맞춤 진단 서비스를 제공한다는 계획이며 빛스캔은 웹취약점 분석 서비스를 제공하며 관련 시장을 노리고 있다.
조규곤 파수닷컴 대표는 "시큐어코딩은 보안의 기초공사이자 정보시스템 구축의 가장 기본이다. 그동안에는 보안시스템을 정보시스템의 `출입문' 정도로 여기는 경향이 강했지만 이제는 기업들이 먼저 시큐어코딩의 필요성을 인지하고 적극적으로 적용을 검토하고 있다"고 설명했다.
그는 이어 "법적인 규제와 함께 지속되는 사이버테러 위협으로 공공기관은 물론 금융, 일반기업에도 시큐어코딩 솔루션 도입 요구는 높아지고 있다"며 "SW개발 과정에서 보안 취약점이 많이 노출되는 것은 물론 각종 사고와 모바일 기기의 확대로 신규시스템의 수요가 빠르게 증가하고 있고 일반기업에서도 관심이 많다"고 덧붙였다.
또 다른 업계 관계자는 "공공사업과 함께 금융, 국방, 제조업 등에서도 시큐어코딩에 대한 관심이 증가해 향후 시장 확대 가능성도 크다"고 설명했다. 지난해에는 시장 확대의 움직임이 있었을 뿐 실제 큰 매출이 발생하지 않던 시큐어코딩 제품이 올해부터는 매출로 이어 질 것으로 업계는 기대하고 있다.
강은성ㆍ정용철기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
