.jpg)
ICT 공급망 보안 노린 사이버위협들 기승...세계 각국 공급망 보안 위한 정책 마련
공공분야 공급망 보안 강화 시작으로 신뢰할 수 있는 공급망 확보 나서야
[보안뉴스 원병철 기자] ICT 공급망 보안을 노린 다양한 위협들이 등장하면서 이에 대한 체계적인 대응이 시급한 상황이다. 이에 국가정보원과 국가보안기술연구소, 그리고 한국암호포럼은 11월 20일과 21일, 양일간 경기 창조경제혁신센터에서 ‘제1회 ICT 공급망 보안 컨퍼런스’를 개최하고 분야별 보안 전문가들의 의견을 종합하는 시간을 마련했다.
컨퍼런스의 시작은 최윤성 KAIST 고문이 ‘새로운 보안 위협의 확장과 패러다임 전환’을 주제로 열었다. 최윤성 고문은 최근 60만 기업이 사용하는 영상회의 솔루션 기업 3CX의 Dual SW Supply-chain Attack을 비롯해 우리나라의 공동인증서 해킹, 전 세계에 큰 위협을 가한 Log4Shell 등 국내외 주요 SW 공급망 공격 사례를 소개하면서, 특히 Log4Shell 사건 이후 미국에서 정부 차원의 본격적인 공급망 보안 대응에 나섰다고 설명했다.
최윤성 고문은 “제품과 서비스의 무결성에 대한 신뢰가 하락하고, 공급망 보안 문제가 정치적, 경제적 이유로 복잡화되면서 이에 대한 문제가 점차 정부, 산업, 소비자 모두를 위협하게 됐다”면서 “문제는 SW 역시 이미 만들어진 코드 등의 사용과 클라우드 아키텍처 활용으로 개발환경에 개입할 방법이 많아지면서 보안위협이 더 커졌다는 데 있다”고 지적했다.
최 고문은 이에 따라 SW 투명성 강화 활동이 일어났고, 다양한 이해관계자들의 협력을 위해 만들어진 것이 바로 SBOM이라고 설명했다. 잘 알려진 것처럼 SBOM은 마치 식품의 성분분석표처럼 SW를 개발할 때 사용된 성분(오픈소스의 종류 등)을 공개함으로써, 혹시나 발생할 수 있는 위협(취약점 등)에 빠르게 대응할 수 있도록 하자는 것이다.
“신뢰성 있는 공급망은 소비자와 공급자, 정부 모두에 필요합니다. 공급망 공격이 경계와 분야를 가리지 않기 때문이죠. 이를 위해 안전한 SW 개발환경, 취약점 관리, 제3자 위험관리 등 기존 사이버보안체계에 공급망 보안을 추가해 영역을 확장하고, 미래 상호운용성을 위한 관성을 제거해야 합니다.”
이어 이광우 CCUF 부의장은 ‘글로벌 IT 기업이 바라보는 보안검증 제도’를 주제로 기조 강연을 이어갔다.
개회식에서는 국가사이버안보센터장이 개회사를 통해 “이번 컨퍼런스는 국가정보원이 공공분야 ICT 공급망 보안을 위해 마련했다”면서, “최근 북한의 오픈소스를 공략한 사이버위협이 급증하고 있는데, 이는 기존 취약점을 노린 것을 넘어 공급망 전반에 대한 사이버위협이 늘어난 것을 보여준다”고 설명했다. “국가정보원은 공급망 보안정책을 준비 중이며, 여러분의 의견을 수렴해 모두가 만족할 수 있고, 국가 사이버 안보를 확보할 수 있도록 노력하겠습니다.”
황수훈 국가보안연구소 소장은 “공급망 보안 위협은 최근 여러 사태를 경험하며 디지털 대전환시대에 보안 이슈로 등장했다”면서, “특히, 각 국가들이 사이버보안체계의 안전성, 신뢰성 강화를 위해 국가 단위로 대응하고 있는 만큼 우리도 제도적 대비책을 마련하고 산학연관군이 힘을 합쳐야 할 것”이라고 말했다.
이어 이동범 한국정보보호산업협회 회장도 “공급망 보안은 단순히 소프트웨어를 넘어 사회 인프라에 걸친 모든 디지털 환경을 컨트롤하는 것”이라면서, “우리 앞날을 개척하기 위해 에자일하고 스마트하게 나아가야 한다. 특히, 공급망 보안은 무역장벽으로도 작용될 수 있기에 발 빠르게 움직여야 한다”고 설명했다.
한편, 제1회 ICT 공급망 보안 컨퍼런스는 ‘공급망 보안 위협과 국가 보안검증 체계’를 부제로 20일과 21일 양일간에 걸쳐 개최되며, 국가정보원의 공공분야 ICT 공급망 보안정책 방향 등 다양한 공급망 보안 관련 정책과 기술, 산업 현황 등이 이어진다.
[원병철 기자(boanone@boannews.com)]
공공분야 공급망 보안 강화 시작으로 신뢰할 수 있는 공급망 확보 나서야
[보안뉴스 원병철 기자] ICT 공급망 보안을 노린 다양한 위협들이 등장하면서 이에 대한 체계적인 대응이 시급한 상황이다. 이에 국가정보원과 국가보안기술연구소, 그리고 한국암호포럼은 11월 20일과 21일, 양일간 경기 창조경제혁신센터에서 ‘제1회 ICT 공급망 보안 컨퍼런스’를 개최하고 분야별 보안 전문가들의 의견을 종합하는 시간을 마련했다.
▲제1회 ICT 공급망 보안 컨퍼런스 [사진=보안뉴스]
컨퍼런스의 시작은 최윤성 KAIST 고문이 ‘새로운 보안 위협의 확장과 패러다임 전환’을 주제로 열었다. 최윤성 고문은 최근 60만 기업이 사용하는 영상회의 솔루션 기업 3CX의 Dual SW Supply-chain Attack을 비롯해 우리나라의 공동인증서 해킹, 전 세계에 큰 위협을 가한 Log4Shell 등 국내외 주요 SW 공급망 공격 사례를 소개하면서, 특히 Log4Shell 사건 이후 미국에서 정부 차원의 본격적인 공급망 보안 대응에 나섰다고 설명했다.
최윤성 고문은 “제품과 서비스의 무결성에 대한 신뢰가 하락하고, 공급망 보안 문제가 정치적, 경제적 이유로 복잡화되면서 이에 대한 문제가 점차 정부, 산업, 소비자 모두를 위협하게 됐다”면서 “문제는 SW 역시 이미 만들어진 코드 등의 사용과 클라우드 아키텍처 활용으로 개발환경에 개입할 방법이 많아지면서 보안위협이 더 커졌다는 데 있다”고 지적했다.
최 고문은 이에 따라 SW 투명성 강화 활동이 일어났고, 다양한 이해관계자들의 협력을 위해 만들어진 것이 바로 SBOM이라고 설명했다. 잘 알려진 것처럼 SBOM은 마치 식품의 성분분석표처럼 SW를 개발할 때 사용된 성분(오픈소스의 종류 등)을 공개함으로써, 혹시나 발생할 수 있는 위협(취약점 등)에 빠르게 대응할 수 있도록 하자는 것이다.
“신뢰성 있는 공급망은 소비자와 공급자, 정부 모두에 필요합니다. 공급망 공격이 경계와 분야를 가리지 않기 때문이죠. 이를 위해 안전한 SW 개발환경, 취약점 관리, 제3자 위험관리 등 기존 사이버보안체계에 공급망 보안을 추가해 영역을 확장하고, 미래 상호운용성을 위한 관성을 제거해야 합니다.”
이어 이광우 CCUF 부의장은 ‘글로벌 IT 기업이 바라보는 보안검증 제도’를 주제로 기조 강연을 이어갔다.
개회식에서는 국가사이버안보센터장이 개회사를 통해 “이번 컨퍼런스는 국가정보원이 공공분야 ICT 공급망 보안을 위해 마련했다”면서, “최근 북한의 오픈소스를 공략한 사이버위협이 급증하고 있는데, 이는 기존 취약점을 노린 것을 넘어 공급망 전반에 대한 사이버위협이 늘어난 것을 보여준다”고 설명했다. “국가정보원은 공급망 보안정책을 준비 중이며, 여러분의 의견을 수렴해 모두가 만족할 수 있고, 국가 사이버 안보를 확보할 수 있도록 노력하겠습니다.”
황수훈 국가보안연구소 소장은 “공급망 보안 위협은 최근 여러 사태를 경험하며 디지털 대전환시대에 보안 이슈로 등장했다”면서, “특히, 각 국가들이 사이버보안체계의 안전성, 신뢰성 강화를 위해 국가 단위로 대응하고 있는 만큼 우리도 제도적 대비책을 마련하고 산학연관군이 힘을 합쳐야 할 것”이라고 말했다.
이어 이동범 한국정보보호산업협회 회장도 “공급망 보안은 단순히 소프트웨어를 넘어 사회 인프라에 걸친 모든 디지털 환경을 컨트롤하는 것”이라면서, “우리 앞날을 개척하기 위해 에자일하고 스마트하게 나아가야 한다. 특히, 공급망 보안은 무역장벽으로도 작용될 수 있기에 발 빠르게 움직여야 한다”고 설명했다.
한편, 제1회 ICT 공급망 보안 컨퍼런스는 ‘공급망 보안 위협과 국가 보안검증 체계’를 부제로 20일과 21일 양일간에 걸쳐 개최되며, 국가정보원의 공공분야 ICT 공급망 보안정책 방향 등 다양한 공급망 보안 관련 정책과 기술, 산업 현황 등이 이어진다.
[원병철 기자(boanone@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
[2024-05-01] 
