업종·제품 불문 보안 허술하면 경영리스크

프린트

Live 중기 ㅣ 산업뉴스 업종·제품 불문 보안 허술하면 경영리스크 IoT시대 정보보안 핵심이슈…“CEO, 고객보호 직접 챙겨야”

기사입력2015-03-11 14:25

행정자치부는 공공아이핀시스템을 통해 3일만에 75만건의 아이핀이 부정발급된 사건과 관련, “국민 여러분들께 심려와 걱정을 끼쳐드린 점에 대해 진심으로 사과드린다”고 10일 발표했다. 사건이 발생한 것은 지난 2월28일부터 3월2일 사이였고, 행자부는 3일 사안을 인지한 뒤 5일 부정발급 사실을 발표한 바 있다.

75만건의 아이핀 부정발급에 대한 사과문이 게재된 공공아이핀 사이트 <사진=공공아이핀 사이트 캡쳐>

지난해에는 한국수력원자력이 해킹을 당해 원전 설계도가 인터넷에 떠돌아다니는 사고가 발생하기도 했다. 한수원측은 지난해 12월19일 보도자료를 통해 “12월17일 직원정보가 유출된 것을 확인하고 서울중앙지검에 즉시 수사를 의뢰했다”며 “또한 정보 유출된 블로그를 18일 확인해 바로 차단요청을 했다”고 밝힌 바 있다. 17일에는 이미 한수원 직원들의 개인정보 유출 사실이 언론에 보도된 이후였고, 18일은 원전 관련 기술이 블로그를 통해 공개된 이후였다. 한수원은 이후에도 해커가 원전 관련 설계도나 기술자료 등을 SNS를 통해 유포할 때마다 “핵심기술이 아닌 일반적 기술자료”라고 발표하면서도 정보유출의 시점과 경위, 방지대책에 대해서는 속수무책이었다.

정부나 독점 공기업은 이같은 해킹 사태가 발생하더라도 사과발표 수준에서 마무리할 수 있지만, 민간기업들은 경영상 큰 어려움을 겪곤 한다.

한수원의 원전 설계도 유출을 최초로 단독보도해 이달의 기자상을 수상한 바 있는 전자신문 김인순 차장은 10일 개최된 ‘2015 정보보안 그랜드 콘퍼런스’에서 ‘사물인터넷 시대의 보안경영’ 발표를 통해, 지난해 화제가 된 카카오톡의 경우 “카카오에 대한 신뢰가 깨졌기 때문”에 기업에게 큰 피해가 발생했다고 지적했다. 카카오톡은 법원의 영장청구에 응하면서 개인정보를 과도하게 유출했다는 사실이 지난해 드러났다. 이로 인해 카카오톡 사용을 중단하고 보다 안전하다고 알려진 해외 모바일 메신저 ‘텔레그램’을 이용하는 소위 ‘사이버 망명’자들이 한때 200만명을 넘어섰다. 김 차장에 따르면 다음카카오의 이석우 대표는 최근 “엄청난 법적·기술적 조치를 했음에도 고객들이 떠났다”며, “사이버 망명이라는 말까지 나오면서 고객들이 떠나는 일이 놀라웠고, 엄청난 피해를 입었다”고 털어놨다. 김 차장은 이 사안을 통해 “최고경영자는 CPO(최고정보보호 책임자)에게 보안을 시키는 사람이 아니라 고객의 프라이버시를 직접 챙기는 사람”이라고 강조했다.

현지시간으로 9일 애플이 발표한 애플워치. 심박수 측정, 아이폰 리모콘 기능 등 IoT 기술이 다양하게 적용돼 있다. <사진=애플 웹사이트 캡쳐>

다음카카오같은 IT기업에게만 보안이슈가 큰 사안인 것만도 아니다. 지난해 보안이슈로 가장 큰 피해를 입은 기업은 소니 픽쳐스라고 김 차장은 꼽았다. GOP라는 해킹 그룹이 지난해 소니 픽쳐스를 해킹한 결과 유명배우를 포함한 직원 신상정보, 미개봉 영화 파일, 캐스팅 정보 등 1테라바이트(1024기가바이트)가 넘는 기업비밀 데이터가 유출됐다. 김 차장은 “이 사건의 원인파악과 대책마련이 지연되면서 소니 픽쳐스는 회계와 재무관련 컴퓨터 프로그램을 전혀 사용하지 못한 채 수작업으로 회계결산을 진행 중”이라며 “결국 2월말 실적발표 일정에 맞추지 못했다. 미 증권거래위원회의 허가에 따라 3월31일까지 결산보고를 연기했지만, 피해집계는 아직도 진행 중”이라고 했다.

이 사건의 영향인지 지난 2월 미 증권거래위원회는, 사이버 공격을 받은 회사에 대해 즉시 증권거래위원회에 보고해야 한다는 의무를 만드는 방안을 검토 중이라고 한다. 주식시장과 경영에 큰 영향을 미치는 사안인만큼 주주와 고객에게 알려야 할 사항으로 보고 있다는 의미다.

정보보안은 통신사나 포털, 대기업 등 대규모 개인정보를 다루는 회사에게만 영향을 미치는 이슈도 아니다. 지난해 11월 SK브로드밴드에서 발생한 DDoS 공격은 국내 공유기 제조업체의 제품생산 관행을 바꿔놓았다. DDoS란 수많은 컴퓨터가 한꺼번에 특정 웹사이트에 접속해 서비스를 마비시키는 공격방식이다. SK브로드밴드에 대한 공격은 지난해 11월29일 오전 10시45분부터 12시9분까지 84분간 진행됐고, 이 시간동안 SK브로드밴드 사용자들은 인터넷 접속이 중단되거나, 접속이 지연되는 불편을 겪었다.

이 공격에 동원된 것은 악성코드에 감염된 좀비PC가 아니라, 좀비 공유기였다. 무려 1633대의 공유기가 악성코드에 감염돼 사이트를 공격하는 신호를 보냈다. 하나의 인터넷 회선을 PC나 인터넷 전화 등 여러대의 기기에서 사용하도록 지원하는 공유기는 사용자 수도 많고 제품도 다양하다. 미래창조과학부는 “공유기는 저가의 네트워크 장비로 별도의 보안인증이 없이 제작·유통되고 있으며, 제조업체는 그간 생산원가 상승을 이유로 보안 조치에 소극적이었다”고 지적했다.

이 사건 이후 대책을 마련해온 미래부는 지난 6일 ‘공유기 보안 강화대책’을 발표하고 3월부터 시행한다고 밝혔다. 공유기 제조업체들은 ‘공유기 제품 생산 시 적용할 보안가이드’에 따라 공유기 제작 시 사용자들이 보안설정을 쉽게 할 수 있도록 매뉴얼을 제공하게 됐다. 또 공유기 관리자 페이지 보안도 강화하고, 펌웨어 업데이트 시 사용자가 인지할 수 있는 방안도 마련해야 한다.

사물인터넷 정보보호 로드맵의 7대분야 보안대책 예시

<자료=미래창조과학부>

공유기는 통신에 사용되는 기기이지만, 기기간 통신은 전문 통신기기만 하는 것이 아니다. 기기와 기기간 통신을 의미하는 IoT(사물인터넷) 시대가 되면서 모든 형태의 기기에 보안이 강조되고 있다. 지난해 10월 미래부가 발표한 ‘사물인터넷 정보보호 로드맵’에 따르면, 정보보호 대상이 기존의 PC와 모바일 기기를 넘어 가전, 자동차, 의료기기 등 모든 사물로 확대된다. 정부의 계획은 홈·가전, 의료·식품, 자동차·항공·철도 등 교통, 환경, 제조, 건설, 에너지의 7대분야에서 IoT 제품의 설계·유통·유지보수 등 전주기에 보안을 내재화한다는 것이다.

보안내재화를 위해 우선 민간주도의 IoT 보안인증 도입을 적극 지원할 계획이다. 또 홈·가전, 의료, 교통 등 각 부처에서 시행 중인 개별분야 시험·평가·인증제도에 IoT 보안항목과 기준을 반영하는 것도 검토하기로 했다.

현지시간으로 9일 애플이 공개한 애플워치는 심박수 측정, 아이폰의 리모콘 기능 등 각종 IoT기술이 적용돼 있다. 이미 IoT 세상이 현실이 된 이상, 모든 형태의 기업들의 모든 형태의 기기에 대한 보안대책을 강구하는 일은 일상이 될 것으로 보인다. 정보보안이 경영리스크로 작용하는 시대, 텔레그램처럼 보다 안전하다는 이미지로 성공을 거둘 제2의 보안 신데렐라가 되기 위해 지금도 많은 기업들이 경쟁하는 이유다.