[칼럼] 엔시스가 바라보는 2009년 정보보호 키워드 5

1. 개인정보보호의 강화, I-PIN 도입 증가

2008년 한해에는 많은 개인정보보호 관련한 이슈들이 있었다. 그로 인하여 개인에 대한 정보가 소중함을 일깨워 주는 사건이 많았으며, 개인정보보호의 인식의 향상으로 인하여 집단소송을 준비하여 개인정보 관리를 소홀히 하는 기업에 대하여 경각심을 불러 일으켰다. 올해도 더 많은 요구와 필요성이 대두 되겠다. 따라서 주민등록번호 없이 회원 가입을 할 수 있는 I-PIN 도입이 증가 할 것이며 기존 회원도 I-PIN으로 전환될 것이다.

2. DDoS 공격의 증가와 진화

작년 한해에는 분산서비스방해공격(DDoS) 공격으로 인하여 많은 시스템 관리자를 힘들게 하였다. 본 필자도 분산서비스방해공격(DDoS) 방어에 도움을 주느라 많이 고생한 적이 있다. 이러한 가장 근본적인 문제는 TCP/IP 프로토콜 자체에 문제이기 때문에 그 속성이 변하지 않는한 지속적인 공격 증가로 이어질 전망이다. 또한 DDoS 공격은 최초에 트래픽과다 공격에서 이제는 웹을 이용한 정상적인 접속에서 유해 트래픽을 찾아내는 공격으로 진화를 하고 있다. DDoS 공격의 경우 우선 웹싸이트가 다운되는 것이기에 일반 사용자가 바로 알수 있는 무서운 공격이다. 따라서 국가기간망과 각 ISP의 중요 포인트 구간에는 Anti-DDoS 장비가 설치되어 엔드 포인트에 부담을 줄여 주어야 할 것이다.

3. 바이러스,웜 공격의 진화와 다양성

바이러스와 웜이 결합하여 한 단계 진화한 다양한 공격이 증가 할 것이다. 직접적인 외부 해킹에 의한 침해사고 보다는 웜이나 바이러스를 이용하여 내부 네트워크가 감염이 되어 해킹이 되는 경우로 발전하고 있다. 따라서 메일이나 신뢰되지 않은 웹싸이트에서 불필요한 다운로드는 자제를 해야 한다. 일부 싸이트에서는 사설 IP를 사용하기 때문에 외부로부터 침입에 대해 안전하다고 하는데 인터넷망과 분리되어 있지 않다면 안심할 수는 없다. 이제는 사설IP를 사용하더라도 리버스 텔넷 등으로 충분히 침해사고가 가능하기 때문이다.

4. 관리적 보안 관심 증가-정보보호관리체계(ISMS), ISO27001

기업의 다양한 외부 위협으로부터 안전하게 지키기 위해서는 체계적인 정보보호관리체계 수립이 되어 있어야 한다. 자칫 정보보호의 기술적 부분에서만 집중하게 되고 지속적인 관리체계가 수립이 되어 있지 않으면 효율적인 정보보호를 할 수가 없다. 정보보호관리체계(ISMS)가 수립됨으로 인하여 대외적인 이미지 제고와 고객의 서비스적인 측면에서도 신뢰도를 쌓을 수 있다. 정보보호관리체계 수립은 조직의 자산이 무엇인지, 보호해야 할 자산은 어떻게 분류하는지, 위험분석과 평가를 하여 어떤 자산을 보호해야 하는지에 대한 아주 좋은 수단이기 때문이다. 다만, 정보보호관리체계 수립은 권고 사항이기 때문에 필요성은 충분히 인지하지만 이행하기 쉽지 않다. 정보보호의 중요성이 큰 공공기관이나 금융기관, 지자체, 정보통신기반시설, 군사기관에서는 의무화가 시급하다.

5. 통합보안솔루션과 산업보안

다양한 위협과 취약성으로부터 안전하게 자산을 보호하기 위해서는 보안 솔루션 도입이 절실하다. 하지만 네트워크 복잡성과 관리의 효율성으로 인하여 통합보안솔루션이 대두가 되었고 이러한 요구사항은 더욱 가시화가 될 전망이다. 지난해 DDoS BMT를 진행하면서 IPS와 Anti-DDoS 경계가 모호해지는 것을 느낀적이 있다. 이제는 조금씩 각각의 성능을 갖춘 통합보안 솔루션으로 갈 것이다. 또한 경기 불황으로 인하여 구조조정과 고용의 불안이 가시화가 되면서 내부기술 유출에 따른 피해가 발생하고 산업보안의 중요성이 더 커질 전망이다.

이미 익숙한 정보보호 키워드들이지만 주변을 다시한번 둘러 보고 누군가가 지켜주기를 기대하기 보다 자신의 정보는 자신이 지킨다는 자세로 정보보호와 보안 마인드를 함양 시킬수 있는 적극적인 마음의 자세가 필요한 시점이다.

<글_전주현 보안인닷컴 (www.boanin.com), 엔시스정보보호따라잡기(http://www.sis.pe.kr/) 운영자 sis@sis.pe.kr>

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)