.jpg)
이번 ISEC 2009 첫날 첫 강연은 역시 해킹시연이었다. 지난해 ISEC 2008에서와 같이 해킹시연은 가장 많은 관심을 끌었던 만큼 첫날 첫 번째 강연자로 나선 박찬암(와우해커 멤버)씨는 ‘다양한 해킹’이라는 주제로 참관객들의 관심을 모았다. 그는 Advanced SQL Injection 기법과 리눅스 커널상의 sock_sendpage() 취약성, 그리고 그에 대한 익스플로잇을 분석하고 해당 취약성을 공격 코드로 구현하기 위해 사용된 NULL 주소 영역에서의 메모리 사상 방지 우회 및 SELinux와 LSM의 설정을 무력화 시키는 기술 등에 대해 시연했다.
이어진 Keynote Speech에서는 정상원 이스트소프트 알툴즈사업본부 본부장이 나와 다양한 보안 위협으로부터 사용자들을 보호하기 위한 ‘무료백신을 통한 DDoS 긴급대응 시스템’을 주제로 발표했다. 이날 발표에서 정상원 본부장은 “알약을 통한 DDoS 긴급대응 시스템은 알약 사용자 PC에 설치된 알약 클라이언트와 긴급대응 시스템의 4가지 시스템(사전분석 시스템, 샘플수집 시스템, 탐지정보 시스템, 취약점 대응 시스템)을 통해 운영된다”며 “알약은 국내 PC 2대 중 1대에 설치돼 있을 정도로 많은 사용자를 확보하고 있는 만큼 다양한 악성코드에 대한 빠른 수집이 가능하고 이를 통해 7.7 DDoS 대란과 같은 DDoS 공격을 일으키는 좀비PC를 원천적으로 제거할 수 있게 되었다”고 밝혔다. 그리고 협력 안으로서 DDoS 긴급대응시스템을 통해 수집한 샘플 정보를 바탕으로 특정 레벨 이상의 모든 악성코드에 대해 악성코드 분석문서와 통계자료를 ISP, 공공기관, 백신업체에 조건 없이 무조건 공유할 예정이라고 밝혔다.
그는 또 “알약을 이용한 DDoS 긴급대응 시스템은 1,700만 알약 사용자와 24시간 상호작용을 통해 만들어진 보안 시스템으로 DDoS 대응 하드웨어와는 다르다”며 “좀비 PC는 감염된 후에도 전혀 악성행위를 하지 않다가 일순간 공격을 시도하므로 클라이언트에 설치되는 백신 소프트웨어의 역할이 더욱 중요하다. 더욱 빨라진 샘플 확보 능력을 바탕으로 보안위협 사건에 더욱 발 빠르게 대응하는 전문 보안 기업이 되겠다”고 강조했다.
정부, 공공분야 정보보호 투자 강화 사이버안전 체계 마련
컨퍼런스 첫날 공공정책 트랙의 첫 강연은 김해숙 행정안전부 정보보호정책과 전문위원의 ‘전자정부 정보보호 정책’이라는 주제 발표로 시작됐다. 이날 강연에서 김해숙 전문위원은 그동안의 정보보호 및 사이버 안전에 관한 정책 추진 성과를 진단하고 최근 발생한 7.7 DDoS 공격처럼 각종 해킹·악성 바이러스에 대한 대응 문제점과 향후 정부의 정보보호 및 사이버안전 정책 과제와 추진 방향을 소개했다.
정부는 앞서 이달곤 행정안전부 장관의 기조연설에서 밝혔듯이 공공분야 정보보호 투자 강화, 인력 양성, 정보보호 거버넌스 체계 구축 등 세 가지 전략 과제에 집중한다는 계획이다. 또한 사이버 안전을 위해서 공공분야의 정보보호 투자를 늘려 국가 사이버 안전체계를 갖춰 나갈 방침이다.
이어서 Junko Hayakashi JPDERT Coordination Center Board Director의 ‘Information Security Measures/ Governance in Japan and National CSIRT Activities’라는 주제 발표가 이어졌다. Junko Hayakashi에 따르면 일본에는 최근 3개 협회가 합쳐져 CCC(Cyber Clean Center, http://www .ccc.go.jp)가 설립됐다고 한다. 이는 정부, 주요 인프라, 기업, 개인으로 나눠 관리한다고 설명했다. 그는 특히 “사고는 항상 발생하므로 사고를 없애는 것이 아니라 사고가 발생했을 때 어떻게 대응할까에 중점을 둔다”고 강조했다. 한편 CCC는 봇 제거를 위한 노력도 진행하고 있으며 여기에는 국내 보안 기업인 안철수연구소도 함께 참가하고 있다.
또한 이날 세 번째 주제 강연도 역시 일본과 관련된 내용이었다. 일본 LAC 사이버리스크 종합연구소의 Akira Murakami씨는 ‘Information security countermeasures and case with Japanese Company’라는 주제발표에서 “일본에서도 한국과 유사하게 SQL injection이 많았으며 한국이 경유지가 돼 공격이 들어오는 경우가 많다”고 밝혔다. 특히 일본 P2P 프로그램인 위니(Winny)를 통해 전파되는 Antinny 웜이 여전히 문제가 되고 있다고 덧붙였다. 그는 또 기업의 경우 타깃 공격으로 침입한 경우, 2년이 지나서야 루트킷이 발견되는 경우도 있었으며 타깃 공격의 경우 고객들이 빨리 눈치 챌 수 있는 방안이 마련돼야 한다고 설명했다.
또한 그는 “최근 발생한 사이버 범죄에 대한 경찰의 대응에서 사이버 수사에 투입된 수사관이 9,500명 정도 되며 게임과 관련된 민원이 절반을 넘고 DDoS 공격은 게임, 도박, 화상채팅 사이트를 대상으로 이뤄지고 있다”고 밝혔다.
조영신 지식경제부 정보전자산업과장은 ‘지식정보보안산업 육성전략’이라는 주제발표에서 산업의 트렌드(Trend), 국내외 산업현황 및 주요국가의 정책현황과 우리의 현 당면과제를 도출해 지식정보보안산업의 비전 및 전략을 제시하고 이를 달성하기 위한 중점추진과제를 소개했다. 이 자리에서 조영신 과장은 “최근 사이버 위협의 증대로 생활속의 정보보안의 가속화와 융합화가 급속히 진행됨에 따라 산업에서도 이에 발맞춰 정보·물리·융합보안을 포괄하는 지식정보보안산업이 출연했다”며 “지식정보보안은 컴퓨터 및 네트워크상의 정보보안, 시설의 안전한 운영과 재난·재해·범죄 등의 방지를 위한 물리보안, 정보·물리보안의 융합 또는 타산업과의 융·복합인 융합보안까지 확대됐으며 국내외 시장 현황 및 전망과 주요 국가들의 정보보안 정책을 살펴 볼 때 향후 시장수요가 크게 증가되리라 기대된다”고 밝혔다.
그는 “하지만 이러한 환경과 시장의 기회에도 불구하고 국내 산업은 전형적인 영세 중소기업형 산업구조로서 산업의 전문화 및 대형화가 시급한 실정이며 선진국 대비 R&D 투자가 미흡하며 전문인력도 부족한 실정”이라며 “지식경제부는 앞으로 이러한 당면과제들을 해결하고 산업의 비전을 제시하기 위해 3대 추진전략, 즉 ‘글로벌 기술역량 확보, 시장인력수요확대, 수출경쟁력제고’ 등을 수립하고 이를 통해 세계 3대 지식정보보안산업 강국을 건설할 것”이라고 밝혔다.
또한 김대성 서울시 정보통신담당관은 ‘성공적인 정보보안 구축·운영사례’ 발표에서 “서울시는 전용 자가 초고속 정보통신망을 2001년부터 3년간 서울 지하철 운영 노선을 활용 단계적으로 구축했으며 2003년 2월에(본청~25개 자치구~본부 등) 36개 주요기관을 연결하는 초고속 자가 광통신망을 개통했다”며 “그 동안 각 기관의 개별 인터넷 운영체계에서 서울시 전 기관이 e-Seoul Net을 통해 인터넷을 통합·운영하게 됨으로서 보다 안전하고 신뢰높은 보안체계 구축이 가능해졌다”고 밝혔다. 또한 그는 “서울시는 민선4기 비전인 ‘맑고 매력 있는 세계 최고 도시 서울’을 위해 안전하고 신뢰받는 u-IT도시를 실현하기 위한 전자정부 보안뿐만 아니라 사회기반 시설인 교통·수도·가스 등의 시스템에 대해서도 ‘u-통합보안센터’중심으로 통합보안관제를 실현, 세계 최고의 안전하고 편리한 u-Seoul을 만들어 나갈 것”이라고 덧붙였다.
이어서 이날 공공정책 트랙의 마지막 강연인 박춘식 서울여대 교수는 미국 오바마 정부의 정보보호 정책과 시사점에 대해 소개하는 내용으로 미국 사이버보안 정책의 역사적 배경이 되는 9.11 이전과 이후를 비교해 현 미국 오바마 정부의 사이버보안 정책을 소개했다. 특히 박 교수는 최근 오바마 정부 출범 6개월간 추진중이거나 계획하고 있는 사이버보안 정책과 활동을 예로 들며 “과거부터 현재까지 진행됐던 미국의 일관된 보안 정책과 추진중인 정책과 제도는 우리나라도 참고할만한 점이 있다”고 설명했다.
VoIP 기반 DDoS공격이 다가올 가장 큰 위협
올해 보안업계에 있어 가장 큰 이슈 중 하나는 단연 분산서비스거부공격(DDoS)일 것이다. 지난 7.7 DDoS 대란은 2개월이 지난 현재까지도 그에 대한 관심이 식지 않았을 뿐 아니라 이후 보안시장에 있어서도 DDoS 제품에 대한 관심은 끊이지 않을 전망이다.
이러한 이유에서인지 ISEC 2009 첫날 트랙 A에서는 지난 7.7 DDoS 대란을 이슈로 한 주제 발표로 이어졌다. 허나 대부분의 강연 내용이 자사의 Anti DDoS 솔루션 소개에 그쳤다는 지적도 있었지만 다양한 DDoS 방어 전략과 구축사례 발표가 진행돼 참가자들의 많은 관심과 끌어냈다는 데서 성공적이라고 평가할 수 있겠다.
이날 첫 번째 강연은 노철희 모젠소프트 대표의 ‘DDoS 대응전략 및 성공구축사례’ 발표로 시작됐다. 노철희 대표는 모든 인터넷 침해사고는 지속적으로 발생하고 있으며 그동안 발생한 네트워크 침해사고를 분석해 앞으로 다가올 네트워크 위협에 대해 정확한 이해와 기존 대응 프로세스의 문제점, 그리고 앞으로 위협에 대한 대응프로세스를 제시했다. 그는 특히 “보안 취약점을 이용한 DDoS와 트로이목마형 DDoS의 증가로 기존 7.7 DDoS 대란 보다 훨씬 큰 피해를 야기 할 수 있는 새로운 유형의 DDoS 공격이 충분히 가능하다”고 말했다.
“기존의 DDoS공격은 잊어라!” 이어서 두번째 강연자로 나선 주문돈 퓨쳐시스템 연구소장은 ‘DDoS 2.0 소개 및 대응’이라는 주제로 강연을 펼쳤다. 그는 “몇 년 전부터 금품을 요구하는 DDoS 공격이 기승을 부리고 있다”며 “특히 지난 7.7 DDoS 공격은 기존 DDoS 공격과는 확연히 다른 특징을 보이고 있는데 이는 기존 Anti-DDoS 장비의 방어원리를 충분히 반영해 준비한 것으로 앞으로 DDoS 공격 방향을 보여준다고 할 수 있다”고 말했다.
주 소장은 지난 7.7 DDoS 공격의 특징을 살펴보면 기존 공격과 몇 가지 다른 점을 찾을 수 있다고 말했다. 우선 기존 DDoS 공격에서는 참여 Bot의 수가 100여개로 작은 반면 이번 7.7 DDoS에는 20만여 PC가 Bot으로 참여했다는 점을 예로 들었다. 그리고 그는 많은 PC가 Bot으로 참여했기에 일일이 마스터의 통제를 받는다면 금방 추적 할 수 있다고 덧붙였다. 따라서 7.7 Bot의 특징은 C&C 통제를 받지 않고 자율적으로 공격하며 대상 서버와 공격 시기는 스크립트로 정해져 있다고 말했다. 그는 이런 특징이 기존 DDoS 침해 대응체계 즉 C&C를 찾아 이를 인터넷에서 분리함으로써 DDoS 공격을 중단 시켰던 종래의 방법론이 무용지물이 된 것이라고 설명했다.
또한 최상용 행정안전부 정부통합전산센터 보안관리과 담당자는 ‘DDoS공격에 대한 정부 대응 사례’ 발표에서 정부통합전산센터의 이번 7.7 DDoS 공격에 대해 어떻게 정부통합전산센터가 대응했으며 그 대응결과는 어떠했는지에 대해 발표했다. 그는 “지난 7월 7일 DDoS 공격으로 공공기관의 정보서비스에 장애가 발생하는 등, 사이버테러가 발생해 사회적 불안이 높아졌으나 정부통합전산센터는 외교통상부 홈페이지, 행정안전부 G4C에 가해진 공격에 신속히 대처해 대국민 전자정부 서비스를 지속적으로 제공했다”고 설명했다.
이어서 이진원 라드웨어 DDoS 보안 책임엔지니어는 “준비 단계에서부터 치밀하게 계획하고 상황에 따라 공격 유형을 수시로 변경하는 DDoS 공격으로부터 피해를 최소화하기 위해서는 대응책 역시 보다 전략적이고 선제적으로 수립돼야 할 필요가 있다”고 주장했다.
‘DDoS 실전 보안기술’이란 독특한 주제로 강연을 진행한 그는 “지난 7월초 대한민국을 뒤흔들었던 7.7 DDoS 대란에 대한 피해 규모, 좀비PC 감염 경로 등이 하나씩 파악되면서 사태가 마무리 국면에 접어드는 듯하다”며 “물론 공격 목적이나 배후 등은 여전히 오리무중이지만 이번 DDoS 대란은 IT시장 전반에 ‘체계적으로 준비된 보안의 중요성’을 다시금 각인시키는 계기가 됐다는 점에서 교훈이 크다”고 말했다.
그는 또 이번 7.7 DDoS 대란의 공격 유형이 과거 DDoS공격의 유형과 달랐던 점에 대해 사전 준비 단계부터 매우 치밀하게 좀비 PC의 감염과 수집 과정이 있었다는 것을 꼽았다. 또한 공격 초기 단계에서 역수사·역추적이 불가능하도록 중간 C&C 서버를 지능적으로 활용해 증거 은닉을 미리 준비해 왔으며 좀비 PC 치료 백신이 발표된 후에는 백신업체까지 공격하는 체계적인 실시간 공격 유형과 함께 대형화된 봇넷을 이용한 위협도 이번 공격의 특징으로 꼽을 수 있다고 말했다.
그리고 우종식 LG CNS 부책임은 ‘DDoS 보안 위협 현황과 대응방안’이라는 주제 발표에서 DDoS 공격의 근본적인 원인과 해결책을 제시해 눈길을 끌었다. 그는 “통신망의 비약적인 발전과 함께 이를 이용한 보안 위협도 과거에 비해 많이 증가됐다”며 “7.7 대란으로 일컬어지는 보안 위협이 대표적인 사례로 손꼽힌다”고 말했다. 또한 그는 현재 많은 보안 사업자들이 보안 위협에 대응하기 위한 다양한 방식들의 솔루션을 출시하고 있으며 이를 통해 일부의 보안 위협에 대해서 대처를 하고 있다고 밝혔다.
그는 이런 보안 위협에 대한 다양한 탐지 솔루션이 존재하고 이를 크게 2가지로 분류했다. 하나는 호스트 기반의 탐지 솔루션으로 시스템 자체에 대한 보안 기능을 제공하고 둘째는 네트워크 기반의 탐지 솔루션으로 네트워크 장비 및 일부 시스템 보안 기능을 제공한다는 것. 아울러 그는 각 솔루션들이 담당하는 보안 영역은 인터넷 서비스를 하는데 있어서 필요한 구성 요소들로서 단일 솔루션 기능만으로는 DDoS와 같은 다량의 트래픽을 유발하여 시스템을 마비시키는 공격을 방어하기는 힘들다. 따라서 각 솔루션들은 DDoS의 근본적인 원인 해결을 위해서 독립적이 아닌 상호 보완적인 관계로 보안 기능을 제공하여야 한다고 역설했다.
DB보안 구축으로 개인정보보호 조치 의무 시행
트랙 B에서는 DB보안과 웹방화벽 등에 관련한 강연으로 진행됐다. 트랙 B의 첫 강연은 홍기환 NS농수산홈쇼핑 시스템 운영팀 차장이 나와 ‘DB암호화 성공 구축 사례’에 대해 발표했다. 그는 “국내 5대 홈쇼핑 서비스 업체로 민감한 고객정보를 암호화함으로써 정보통신망법의 준수와 업계 선도적인 개인정보보호조치를 시행하고 고객개인정보 유출사고의 위험으로부터 벗어나 안정적인 사업을 전개하기 위해서 지난 해 말부터 이글로벌시스템의 DB암호화와 접근제어 시스템을 구축해 시너지 효과를 확대시켰다”고 밝혔다.
그는 특히 사내 중요 DB보호와 감사, 통제 체계 구축과 내·외부 보안 위협에 대응하기 위해 DB보안을 강화했으며 구축후에는 실시간 감시 모니터링, 고객 주민번호와 신용카드 번호를 암호화해 비인가자와 DB 유저에 의한 접근과 조회, 그리고 정보유출을 방지하고 효과적인 DB관리와 운영이 이루어졌다고 덧붙였다.
이어서 김상현 한국세이프넷 PS Engineering 팀장의 ‘혼합 데이터베이스 환경에서의 데이터 보호 이슈 및 방안’ 발표에서는 통합 데이터 보호 솔루션으로 기존의 전통적인 혼합 데이터베이스 환경에서의 보안 문제점을 타개할 수 있다고 밝혔다. 그는 “90% 이상의 사내 정보가 Legacy 혹은 신규 시스템에 분산되어 존재하고 있고 민감한 정보에 대한 침해 사례가 빈발하고 있다”며 “데이터베이스가 개인정보를 획득하기 위한 조직적인 범죄의 표적이 되고 있다”고 설명했다. 이러한 이유는 정보가 압축적으로 모여 있기 때문일뿐만 아니라 적절한 보호 조치가 부족하다는 것이 그의 주장이다. 이에 따라 회사 및 조직에 그들의 데이터베이스를 보호하고 법적인 주의 의무를 다할 수 있도록 개선된 보안 구조를 구축하는 것이 필수적이라는 것이다.
김 팀장은 “만약 보호되지 않은 데이터베이스가 침해된다면 수 분만에 수십 만 건의 레코드를 다운로드 받기란 어려운 일이 아닐 것이다. 따라서 회사 및 조직에 그들의 데이터베이스를 보호하고 법적인 주의 의무를 다할 수 있도록 개선된 보안 구조를 구축하는 것이 필수적”이라고 강조했다.
“최근 웹에 대한 위협이 증가하고 있다. 여기에는 단순한 홈페이지 변조 사고에서부터 웹 서버를 통한 악성 프로그램 유포까지 포함하는 다양한 공격 및 피해 유형을 포함하고 있다.” 이어진 강연에서 이충우 펜타시큐리티시스템 Chief Evangelist는 ‘웹 보안 동향 분석-웹 공격 발전과 지능형 웹 방화벽’이란 주제 발표를 이와 같이 언급했다. 그는 “THE WEB HACKING INCIDENTS DATA BASE 2008 연례보고서에 따르면 금전적 이익을 목적으로 한 공격이 다수를 차지했으며 이미 웹을 통한 악성코드 유포가 e-mail을 통한 유포를 넘어선지 오래”라며 최근의 웹보안 동향에 대해 설명했다.
그는 “실제 온라인 환경에서 가장 많이 발생한 공격은 SQL Injection으로 의외로 OWASP에서 언급하는 새로운 취약점은 많이 발생하지 않고 있다”며 “펜타시큐리티시스템은 안전한 웹 기반의 서비스 제공을 위해 웹 애플리케이션 전반에 대한 통합 보안 제품을 갖추고 있다”고 말했다.
또한 저스틴 데리 포티파이 소프트웨어 Practice Director는 ‘2009 기업 소프트웨어 보안 동향’에서 “기업들은 회사자산정보, 금융정보, 무역정보, 재정정보, 고객정보 등의 모든 정보를 보호해야 한다. 그렇지 않으면 사업을 지속적으로 운영하기 어렵다”고 강조했다.
그는 “소프트웨어가 취약해서 고객정보를 보호하지 못한다면 아무리 비싼 방화벽과 안티바이러스 등의 보안 솔루션은 소용이 없다”며 “때문에 소프트웨어 보호가 중요하고 비즈니스의 핵심정보 자산인 개인정보를 유출하기 위해 경쟁사 등은 해커들에게 대가를 지불하면서 해킹을 자행하고 있다”고 밝혔다.
이에 앞으로 2010년에는 상당히 많은 소프트웨어 취약점이 증가할 것이며 대부분의 사이트가 오픈소스로 구성되기 때문에 취약점은 계속 늘어날 것이라는 것의 그의 주장이다. 또한 해커들은 네트워크는 망치지 않고 애플리케이션에서 바로 침입해서 정보를 빼내갈 수 있으니 기업들은 소프트웨어 보안을 강화해야 한다고 덧붙였다.
이날 마지막 강연은 엔씨소프트 정보보안실 해외운영보안팀에 근무하는 지선호씨가 진행했다. 그는 ‘기업내부망 침해 위협 요소 및 대응 방안’이라는 주제에서 기업 내부망 보안의 중요성을 강조했다.
그는 “기업 내부망은 높은 보안성이 요구되는 구간으로 여러 보안장비와 정책에 의해 보호되고 있는 구간이다. 하지만 운영상 외부에서 내부로 접근 가능한 구간과 인터넷과 연결된 내부망 시스템, 외부 저장장치 등이 존재하게 되며 그로 인해 잠재적인 내부망 침해 위협 요소가 발생될 수 있다”고 밝혔다.
그는 또 외부에서 내부의 구간은 인터넷과 연결된 사내 PC를 통한 악성코드 감염, 사내 무선랜을 통한 내부망 접근 시도, 외부에 노출된 Application 서비스의 취약점(Web, VPN, Mail, SQL, etc), 내부망 관리 부주의로 인한 주요 정보 노출로, 또 내부에서 내부 구간은 외부에서 내부로 접근한 후에 2차로 발생가능한 공격유형들과 USB, CD와 같은 외부 저장장치를 통한 악성코드 유포, 사회공학적 공격으로 크게 구분할 수 있다고 설명했다.
이와 같은 내부망 침해 위협 요소에 대한 대응은 정책적인 면과 기술적인 면을 모두 고려해야 하며 사내망 외부에서 발생 가능한 위협과 사내망 내부에서 발생 가능한 위협에 대한 대응방안을 단계적으로 수립해야 한다는 것이 그의 주장. 또한 그는 “보안 솔루션의 한계점을 인식하고 차선책을 마련하여 피해를 최소화할 수 있도록 준비하고 정기적인 모의 침투 점검이나 컨설팅을 통해 지속적인 보안 수준 향상을 꾀할 수 있도록 노력해야 한다”고 강조했다.
기업의 보안 문화, 직접 참여와 실천으로 정착
트랙 C에서는 무선랜 해킹, DRM, DLP에 관한 강연으로 이어져 최근 개인정보보가 이슈인 만큼 참관객들도 많은 관심을 보였다. 첫 번째 강연을 맡은 정현철 케이와이즈 무선보안사업부 차장은 ‘무선랜 보안 최신 사례분석 및 보안 방안’이라는 주제로 무선 보안의 중요성에 대해 강연을 시작했다.
정현철 차장은 “무선랜 솔루션은 편리성 때문에 등장하자마자 급속하게 인기를 얻으며 사용자가 증가했지만 보안에 취약한 점 때문에 그동안 많은 해킹공격의 대상이 되어 왔다”면서 “국내 모 기업의 사례를 보면 내부 클라이언트가 외부 AP에 접속한 경우와 ad-hoc 모드로 네트워크가 활성화된 경우가 가장 많았고 내부 AP가 비인가 클라이언트에 접속한 경우는 의외로 적었다”고 설명했다.
그는 이러한 해킹 피해를 막기 위해선 우선 내부 망에 연결된 불법 무선랜 장치를 파악하고 차단하는 것이 중요하고 특히 ad-hoc 네트워크는 확대가 빨라 무선보안에 큰 취약점으로 대두되고 있어 체계적인 보안 관리가 중요하다고 강조했다. 또한 Wibro와 HSPDA 같은 무선 디바이스 관리도 필요한데 L2 기반의 자산관리 및 효율적인 사용자인가 프로세스와 에이전트를 통한 자동 사용자 등록 화면 등 충분한 보안기능을 갖춰 무선랜을 사용하는 것이 중요하다고 덧붙였다.
정현철 차장에 이어서 권혁주 SK커뮤니케이션즈 과장의 ‘기업문화와 보안문화’라는 주제 강연으로 이어졌다. 권혁주 과장은 “SK커뮤니케이션즈의 보안 변화는 직원들의 보안에 대한 인식을 제고하고 직접적인 참여와 실천을 통해 새로운 보안문화를 정착했다”며 “특히 지속적이면서 반복적인 인식제공 활동을 통해 업무 프로세스에 보안 프로세스가 자연스럽게 업무에 동화되도록 했다”고 밝혔다.
또 주현주 파수닷컴 수석 컨설턴트는 “기업들은 이제 정보통신망법 시행과 기업의 개인정보 보호의무가 강화됨에 따라 개인정보가 포함된 문서의 보안성을 강화하고 DB를 암호화하는 개인정보감사와 DB보안을 구축해 보다 강화된 보안시스템을 갖춰야 한다”고 말했다.
주현주 컨설턴트는 이날 강연에서 ‘개인정보보호를 위한 스마터 시큐리티-DRM을 통한 근본적 보안 및 감사 대책’이라는 주제 발표에서 “정보통신망법의 시행과 방송통신위 고시의 시행에 따라 기업의 개인정보 보호의무가 강화되었기 때문에 각 기업에서는 개인정보 보호를 위한 대책마련에 고심하고 있다”고 설명했다.
그는 현대백화점 그룹을 예로 들면서 이 기업은 업종의 특성상 고객에게 많은 우편물을 보내고 있어 이를 위해 고객의 개인정보가 그룹사 PC에서 협력사 문서 유통 서버와 인터넷, 노트북, USB나 외장하드 등을 거쳐 협력업체로 넘어가는데 이러한 과정에서 개인정보가 유출될 수 있는 가능성이 매우 높다고 말했다. 하지만 이를 막기 위해서 현대측은 백화점 그룹의 전 PC와 서버에 DRM을 설치하고 협력업체 역시 DRM을 설치하도록 해 보안성을 높였고 이로 인해 문서와 개인정보의 암호화는 물론 외부 유통정보를 실시간으로 통제하고 개인정보를 관리할 수 있게 되었다고 설명했다.
또한 2009년 경기 하락세와 인원 감축, 기업경영 실패와 감소된 보안 투자 등으로 인해 중요 데이터 손실에 대한 완벽한 보안환경이 요구되고 있는 가운데 내부정보 유출방지와 이와 과련된 솔루션이 최근 이슈가 되고 있다.
이러한 가운데 에릭 바라츠 웹센스 DLP 솔루션 컨설턴트는 “57%의 데이터 유출 공격은 웹상에서 이뤄지고 있지만 각 기관들은 각종 비용 때문에 보안에는 투자를 하지 못하고 있다. 하지만 기관 안에 있는 시스템에 대한 트래픽을 관리하는 웹기반 보안이 이뤄지지 않는다면 이러한 형태의 공격은 계속 늘어나 모든 산업 전반에서 심각하게 나타날 것”이라고 강조했다.
이어서 성귀철 마크애니 기업사업본부 이사는 ‘DRM 솔루션을 활용한 최신 정보보호 기술 및 사례’발표에서 마크애니는 Groupware 데이터 보안에서는 사용자가 문서를 다운로드 하는 시점에 DRM 암호화를 적용해 보안을 강화했으며 EDMS 데이터 보안 역시 EDMS에서 사용자가 문서를 다운로드 하거나 업로드 하는 시점에 DRM 암호화를 적용했다고 밝혔다.
그는 또 “SBC와 DRM을 연계해 SBC 환경에서 업로드되는 파일을 가상스토리지 영역에 암호화 저장하며 사용자 PC로 저장시 암호화 기능으로 프린터 출력시 출력된 시트에 워터마크를 삽입해 정보유출을 막았다”고 덧붙였다.
<글 : 정보보호 21C 편집부(is21@boannews.com)>
[월간 정보보호21c 통권 제110호(info@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
[2024-05-21] 
.jpg)
.jpg)
.jpg)
