[시큐리티 Q&A] 취약점 점검 툴 vs 전문가에 의한 취약점 점검

Q. 현재 출시되는 취약점 점검 소프트웨어와 전문가에 의한 점검 중 어떤 방법이 취약점 탐지와 해결책에 있어 더 신뢰할 수 있을까요?

A-1. 기업에서 모의해킹과 보안취약점 점검은 다소 차이가 있다고 판단됩니다. 모의해킹은 실제 해커가 기업의 보안문제를 발굴하고 사전 취약점 제거의 효과가 있다고 보면 됩니다.

하지만 소프트웨어를 통한 보안취약점 점검은 기존에 알려진 OWASP 10대 취약점이나 국정원 8대 취약점을 중심으로 보안장비를 대상으로 점검한다고 보면 됩니다. 제로데이(Zeroday) 공격이나 APT 공격에 대한 대응은 기존의 소프트웨어를 통한 점검으로 해결하기 어렵습니다. 실력 있는 해커의 모의해킹을 통해 취약점을 발굴하고 대응방안을 마련하는 것이 더 신뢰할 수 있습니다.

(박원형 극동대학교 사이버보안학과 교수/whpark@kdu.ac.kr)

A-2. 웹페이지 취약점, 네트워크 취약점, 무료 웹 어플리케이션 취약점 등 다양한 취약점 점검 소프트웨어가 존재합니다. 이 중에서는 파로스 등 무료 소프트웨어이지만 널리 사용되는 것도 있으며, 유료 취약점 점검 소프트웨어도 있습니다.

다양한 종류 및 기능의 취약점 점검 소프트웨어가 존재하는 만큼 각 기업이 원하는 소프트웨어를 선정하기가 어려운 점이 있습니다. 원하는 기능 및 성능이 제공되지 않을 수도 있으며, 어떠한 취약점이 있는지 잘 파악을 하지 못할 수도 있습니다.

그렇기 때문에 비용이 조금 더 들더라도 전문가에 의한 취약점 점검을 선택하는 경우가 많이 있습니다. 왜냐하면 기업 실정에 맞는 맞춤형 취약점 점검을 통해서 취약점을 발견함과 동시에 향후 대책 및 보완도 가능하기 때문입니다. 하지만 취약점 전문가를 통한 점검은 비용 부담이 더 크기 때문에 각 기업의 실정에 맞는 선택을 해야 할 것입니다.

(왕재윤 한국산업기술보호협회 관제운영팀 연구원/jywang@kaits.or.kr)

[김지언 기자(boan4@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다