사이버 보안위협, 적을 알면 막을 수 있다!

숀 헨리 美 FBI 전 사이버보안 국장, 여러 기관간 파트너십 강조

공격자의 타깃과 공격 방법 등을 미리 파악하고 대응해야

[보안뉴스 김태형] “최근 다양하게 증가하고 있는 사이버 공격에 대비하는 최적의 방어는 적이 누구이며 무엇을 어떻게 공격할 것인지에 대해 우리가 미리 알면 적극적인 예방과 방어가 가능하다.”

7월 11일 잠실 롯데호텔에서 개최된 ‘국제 정보보호 컨퍼런스 2012’에서 숀 헨리 미국 FBI 전 사이버보안 국장은 이날 기조연설을 통해 이같이 말했다.

숀 헨리는 “우리의 적들이 중요 정보를 훔치기 위해 인터넷을 이용하고 있다. 우리의 모든 것들이 서버와 관련되어 있고 서버에 보관되어 있는 정보들은 매우 중요하다. 그 가치를 알고 있는 적들은 매일 수천번씩 공격을 하고 있다”고 설명했다.

미국 FBI에서 24년간 근무 경험이 있는 그는 특히 퇴임 직전 10년간을 사이버 위협분야에서 근무한 경험을 가지고 있다. 미국의 조직범죄는 현재 금융분야를 타깃으로 이루어지고 있다는 것.

과거에 공격자들은 화물을 훔치는 등의 고전적인 방법을 이용해 금전적 이득을 취했는데, 이제는 사이버 환경으로 이동해 기업이나 기관의 네트워크에 침입함으로써 개인정보나 회사의 중요 정보를 훔쳐 이를 팔아 이익을 얻고 있다는 것.

또한, 그는 “테러조직들은 국가나 기관의 주요 인프라에 침입해 사회적인 위해를 가하고 있다. 특히 우리의 전력망, 교통망, 수도망 등에 침입하는 단계로 발전하고 있다”고 설명했다.

“다른 나라의 정부기관들이 우리의 정부기관에 침입해 모국의 기업이나 정치적인 활동을 원활히 하기 위한 공격도 이루어지고 있다”면서 “기업의 네트워크에 침입하기 위해 해당 기업에 위장 취업을 하거나 해당 직원들이 경쟁사나 외국의 기관에 포섭되어 경쟁 기업이나 국가기관 네트워크에 침입하는 경우도 있다”고 그는 덧붙였다.

특히, 최근에는 하드웨어나 소프트웨어 등을 이용해 주요 기업이나 국가기관 공급망에 들어와 위협하는 경우가 있는데, 무엇보다 원격 디바이스를 통해 정보를 유출하거나 네트워크에 침입하는 방법으로 발전하고 있다는 것.

즉, 네트워크의 발전과 확대로 이러한 원격 공격이 더 진화하고 있고 향후 이러한 공격 형태는 더욱 증가할 것이라는 것이 그의 설명. 특히, 최근의 타깃화된 공격은 공격자가 네트워크상에서 정찰을 통해 공격대상을 찾고 여러 개의 침입경로를 만들고 접근 레벨을 높여 이동하면서 공격하는 등 점차 첨단화되고 있다는 것.

그는 “이러한 공격에는 무엇보다 접근에 대한 감지가 최상의 방법이다. 이제부터는 이러한 사이버 위협에 대한 상식을 전환해야 한다. 그동안 우리는 다계층적인 보안을 구축하고 운영해 왔지만 그 효과가 문제였다. 공격자들은 우리가 방어를 강화할 수록 공격기술을 발전시키고 있고 수익이 커짐에 따라 더 많은 공격자들이 합류하고 있다”고 설명했다.

덧붙여 그는 “FBI는 그동안 정보를 취합, 민간분야와의 공유를 통해 이러한 사이버 공격과 테러 등을 예방할 수 있었다. 과거에는 이러한 정보를 공유하지 않았다. 하지만 폭 넓은 정보의 공유로 인해 공격을 더 잘 방어하고 적에 대한 이해를 높여 스스로 강해질 수 있었다”고 설명했다.

이처럼 악성코드에 대한 방어도 잘해야 하겠지만 이보다는 공격자들이 왜, 어느 부분에 관심이 있는지 먼저 알아야 한다. 이를 위해서는 정보를 공유함으로써 정확히 적이 누군지 파악하고 대응하는 것이 중요하다는 것. 즉, 나를 공격하는 사람이 누구인지, 왜, 그리고 무엇을 위해 공격하는지를 먼저 알 수 있다면 더욱 잘 방어하고 보호할 수 있다는 얘기다.

숀 헨리는 “이러한 것들을 사이버 보안에서도 잘 접목하면 방화 벽내에서 좀더 공격적으로 방어할 수 있고 네트워크 상에서도 적이 활동하는 것에 대해 예방이나 예측이 가능하다”면서 “적은 이제까지 우리보다 빠르게 움직였기 때문에 우리의 방어보다 우위에 있었다. 하지만 우리도 적이 누구이며 무엇을 타깃으로 어떤 방법을 통해 공격할 것인지 안다면 적극적이고 신속한 대처가 가능하다”고 강조했다.

한편, 그는 “미국에서도 사이버 위협은 점점 더 커지고 있다. 보안에 책임을 갖고 있는 서로 다른 기관들이 내부적으로 파트너십을 구축하고 정보를 공유한다면 정부나 관련 기관 독자적으로 해결하기 어려운 문제들을 효과적으로 해결해 나갈 수 있다”고 말했다.

이처럼 우리나라도 사이버 보안문제의 중요성을 심각하게 인식하고, 관련 법령의 제정, 정보보호에 대한 인식 제고를 위한 홍보·교육을 통해서 사이버 공격으로 사람이 죽고 기업이 망하고 국가적인 위기가 초래할 수도 있다는 것에 대한 책임과 의무를 가지고 기술혁신과 데이터 보호에 나서야 할 것으로 보인다.

[김태형 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)