[디지털산책] 정보보호에도 집단지성 필요하다

최근 사물인터넷(IoT)이 급부상하고 있다. 우리 주변의 다양한 사물에 통신 기능을 넣어 서로 연결해 상호작용하는 IoT는 가전과 PC, 자동차와 같은 익숙한 기기는 물론 기업 경영, 의료, 스포츠 등 거의 모든 분야에 접목돼 확산되고 있다. 그러나 IoT 기기가 확산하면서 이를 노린 보안 위협 또한 급증하고 있는 것도 사실이다.

실제로 영국의 인터넷 매체인 텔레그래프는 HP의 보고서를 인용, 현재 사용되고 있는 IoT 기기가 약 250개의 잠재적인 보안 취약점을 가지고 있다고 전한 바 있다. 보고서에 따르면 90%의 기기는 개인 정보를 수집하고 있었고, 이 중 70%는 이들 정보를 암호화하지 않은 상태로 전송하고 있었다. 또 60%는 보안되지 않은 인터페이스를 사용하고 있었다고 한다. 보고서는 "수많은 IoT 기기들의 인터넷 연결이 지속적으로 증가하면서 보안 관련 고려사항 역시 다양하게 나타나고 있다"며 "스마트폰과 같이 단일 기기에서의 몇 가지 보안 위협이 IoT를 통해 집이나 회사에 상호 연결되면서 50~60가지로 증가하고 있다"고 설명했다.

이렇듯 보안의 위협이 폭발적으로 증가하고 다양해지는 IoT 시대에 한·두 개의 기관으로 보안대책을 세우는 것은 불가능하다. 그래서 등장한 개념이 '집단지성을 활용한 보안', 일명 크라우드 시큐리티(crowd security)다. 미국 와이어드 매거진(Wired Magazine)의 제프 하우(Jeff Howe)가 2005년에 만든 용어 크라우드 소싱(crowd sourcing·대중 crowd와 외부발주 outsourcing의 합성어)으로, 생산·서비스 등 기업활동 일부 과정에 대중을 참여시키는 것)을 빗댄 크라우드 시큐리티(crowd security)는 외부 자원을 활용해 보안성을 강화하자는 것이다.

크라우드 시큐리티의 대표적인 예로는 기업 등이 자사 서비스 제품의 보안성 강화를 위해 취약점을 찾아 신고해준 사람에게 포상금을 지급하는 버그 바운티 프로그램(Bug Bounty Program)과 캐나다의 글로벌 보안 컨퍼런스 캔섹웨스트(CanSecWest)의 부대 행사로 개최되는 보안 취약점 찾기 대회 '폰투오운(Pwn2Own)'을 들 수 있다. 실제로 지난달 열린 폰투오운(Pwn2Own) 2015에서는 한국의 한 화이트해커가 구글 크롬, 마이크로소프트 인터넷 익스플로러, 애플 사파리 등 3개의 주요 브라우저에 대해 7개의 보안 취약점을 발견해 대회 역사상 최대 규모인 22만5000달러(한화 약 2억5342만원)의 상금을 차지해 화제가 되기도 했다.

그러나 이러한 crowd security가 도입되기에 우리나라의 현실은 그리 녹녹치 만은 않다. 첫 번째 문제는 법적인 문제이다. 소프트웨어저작권보호와 관련해 우리나라는 역분석(reversing)을 '호환성 확보를 목적으로 한 것' 외에는 금지하고 있다. 그래서 많은 기업들이 이 조항을 확대 적용해 연구 활동을 위해 제품의 취약점을 분석하고 그 결과를 논문 등의 형태로 발표하는 행위를 원천적으로 막고 있는 실정이다. 둘째는 의식의 문제이다. 해킹기술의 발전 속도는 방어기술의 개발 속도보다 훨씬 빠르기 때문에 취약점이 있다는 것은 더 이상 창피한 일이 아니다. 그러나 우리의 기업들은 아직도 자사의 서비스나 제품에서 보안 취약점이 발견됐다는 사실 자체를 쉬쉬하며 감추려고만 하는 경향이 있다.

구글, 마이크로소프트, 페이스북, 페이팔 등은 이미 crowd security를 널리 활용하고 있다. 국내의 경우 삼성전자가 시행하고 있기는 하지만 그마저도 스마트TV 한 분야에 국한되어 있다. 정부기관으로서는 한국인터넷진흥원(KISA)이 유일하다. 빛의 속도로 다가오고 있는 IoT 시대에 집단지성을 활용한 보안성 강화에 대해 본격적인 고민을 시작해야 할 때이다.

김승주 고려대 정보보호대학원 교수