NIST 론 로스가 바라본 사이버보안의 미래

미래 보안위협에 효과적인 대응 위해 5가지 방안 제시

[보안뉴스 김경애] 디지털 시대에 접어들면서 IT 환경이 급변함에 따라 전 세계 기업 비즈니스 업무를 비롯해 국가적·경제적인 측면에서도 많은 영향을 받고 있다.

▲ 미국표준기술연구소(NIST)의 론 로스(Ronald S. Ross) 수석연구원이 제7회 국제 사이버 시큐리티 컨퍼런스 ‘ISEC 2013’에서 ‘The State of Cyber Security-2013’란 주제로 키노트스피치를 하고 있다.

그렇다면 급속도로 발전한 IT 환경이 보안에 있어서는 어떤 영향을 미칠까? 이와 관련 미국표준기술연구소(NIST)의 론 로스(Ronald S. Ross) 수석연구원은 제7회 국제 사이버 시큐리티 컨퍼런스 ‘ISEC 2013’에서 ‘The State of Cyber Security-2013’란 주제로 사이버보안 위협의 취약성과 대응조치에 대해 설명했다.

론 로스는 IT 기술이 발전하면서 보안위협이 국가적, 경제적인 측면에 끼치는 영향도 점차 커지고 있다고 밝혔다. 이를테면 시스템의 구조적인 오작동, 적대적인 사이버공격 위험 노출, 애플리케이션 보안위협, 발전소 등 주요 사회기반시설에 대한 보안위협, 금융·의료 분야 시스템 해킹 등 사회 전반적인 인프라를 타깃으로 한 다양한 보안위협이 존재한다는 것이다.

이러한 다양한 보안위협에 효과적으로 대응하기 위해서는 IT 환경에서의 중요 정보들에 대한 신뢰성과 복원력을 갖춰야 한다고 론 로스는 강조했다. 여기서 말하는 신뢰성은 비즈니스에 있어 다양한 기능을 지원할 수 있어야 하고, 다양한 보안위협에서도 기밀성과 무결성, 정보의 가용성 등이 보존될 수 있어야 한다는 것을 의미한다. 또한, 복원력은 여러 가지 불합리한 환경과 보안위협 속에서도 효과적으로 운영될 수 있어야 한다는 것이다.

구체적인 대응방안으로 론 로스는 △사이버 위협의 이해 △철저한 중요도 분석 △IT 인프라의 복잡성 완화 △보안전문 관리 프로세스 △IT 제품 및 시스템의 신뢰성확보 및 탄력성을 위한 투자 등을 제시했다.

우선 사이버 위협의 이해는 조직의 취약성을 구체적으로 파악하고, 공격가능성에 대한 이해력을 높여야 한다는 것. 이와 관련 론 로스는 “취약성 레벨에 따라 다양한 대처방법을 갖춰야 한다”며 “첫 번째 단계로 기존에 알려진 취약성에 대해서는 SW 패치 관리가 가능해야 하고, 다양한 OS에 적용돼야 한다. 두 번째로 제로데이와 같이 고도화된 공격에 악용될 수 있는 취약성에 대해서는 정밀한 분석과 함께 선제적으로 대응할 수 있어야 한다. 마지막으로 공격자 입장에서 공격 가능한 요소 등을 예측하고, 이에 따른 선제적 조치 및 대응이 이뤄져야 한다”고 강조했다.

철저한 중요도 분석은 조직의 가치와 중요성을 의미한다. 이는 비즈니스와 연관된 중요도가 높은 가치와 낮은 가치를 구분하고, 중요도가 높은 가치의 데이터에 대해 별도로 어떻게 관리할지 관련기관 간에 정보공유와 배분이 필요하다는 것이다. 또한, 다양한 공격으로부터 효과적으로 방어하기 위해 어떻게 보안위험을 완화시킬지 고민해야 한다는 것이 론 로스의 설명이다.

다음으로 IT 인프라의 복잡성 완화와 관련해 론 로스는 “IT가 발전하면서 보안환경도 복잡해지고 있으며, 이에 따라 보안조치도 신속하게 이루어지지 못하고 있다”며, “어떻게 하면 효과적인 보안이 가능한지 고민해야 하고, 이와 함께 비용절감 효과를 고려한 효율적인 서비스가 이뤄질 수 있도록 해야 한다”고 말했다.

이어서 보안전문 관리 프로세스에 대해 론 로스는 무엇보다 보안은 팀워크가 중요하다고 강조했다. 이는 비용절감, 성과기반 평가 등 비즈니스의 다양한 요소를 고려한 보안 프로세스를 구현해야 하고, 이러한 보안 프로세스가 보다 효과적으로 구현되기 위해서는 해당 조직에서 보안전문가를 더 많이 보유해야 한다는 것이다.

이를테면 보안관리자들이 아키텍처 구성과 시스템 개발 단계에서 투입되어야 하고, 제품개발 시 보안관련 의무규정들이 최우선으로 고려돼야 한다는 것이다. 이를 위해서는 보안전문가들이 서로 협력해 보안 프로세스가 조기에 정착될 수 있도록 하고, 이를 바탕으로 전사적 보안이 이뤄져야 한다는 게 론 로스의 설명이다.

마지막으로 론 로스는 정보보호 투자에 있어서는 적재적소에 자원이 할당되도록 정밀한 분석이 선행되어야 한다고 밝혔다. 이를 위해서는 무엇보다 경영진의 노력 필요하다는 것.

특히, 사이버보안은 전 세계적인 당면과제이기 때문에 보안관련 교육 강화를 비롯해 보안전문 인력 확충이 필요하고, R&D 및 혁신기술이 요구된다는 것이다. 이에 따라 그는 적절한 투자를 통해 복원력을 확보하고, 신뢰성을 회복해야 한다고 강조했다.

[김경애 기자(boan3@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)