지능 중심 보안, 아직은 배울 것 많은 때

공격자들은 정보를 끊임없이 모아 더 많은 정보를 파악해가고

많은 정보를 수집하고 분석해 변하는 환경에 적용해 가는 과정 필요

[보안뉴스 문가용] 2014년 4사분기가 소니 해킹으로 안 좋게 마무리 되어서인지 2015년 1월이 샤를리 에브도 사건으로 얼룩진 채 시작해서인지 아직 반밖에 지나지 않은 2015년의 정보보안은 벌써 흉터로 가득하다. 독일 의회, 미국 정부, 여러 의료업계 주요 기업들에서 유출사고가 넘치도록 일어났는데 아직도 이 사건들에 대한 수사결과도 제대로 나오지 않은 상태다. 게다가 이런 주요 사건들이 무서운 건 어떤 한 순간 교통사고처럼 큰 충격이 발생한 게 아니라 공격자들은 이미 오래 전부터 피해 시스템과 네트워크에 내 집처럼 드나들고 안방에서처럼 자유롭게 돌아다니면서 할 거 다 한 후에 뒤늦게야 알아차렸다는 것이다.

이런 사건에 등장하는 용의자들은 거의 고정이다. 중국, 러시아, 북한, IS, 심지어 이전엔 우호적인 관계에 있었던 국가들까지. 게다가 이런 식의 해킹은 남은 6개월 동안, 그리고 그 후에도 더 많이 일어나면 일어났지 사그라지지는 않을 것이다. 왜냐하면 아무도 은밀한 정보 없이 국가를 운영하고 국제관계를 헤쳐 나가지 않으며, 그렇기 때문에 예전부터 국가는 스파이 행위를 해왔던 것인데 이런 관습이 하루아침에 없어질 리는 없고 마침 IT 기술의 발달로 스파이 행위가 훨씬 저렴해졌기 때문이다. 게다가 네트워크 안에서 활동하니 잡힐 위험도 확 줄어든다. 효과는 오히려 더 좋을 수도 있고 말이다.

여기서 잠깐 중국의 예를 들여다보자. 중국 정부는 2014년 5월부터 인간에게서 나오는 모든 정보를 모으기 시작했고, 출처는 대부분 미국의 중요한 시스템이었다고 알려져 있다. 그리고 이중에는 개인의 의료기록도 포함되어 있었다. 처음에 사람들은 당황했다. ‘아니 의료 정보가 무슨 쓸모람?’ 하지만 한 발짝 떨어져 큰 그림을 보니 서서히 납득이 되기 시작했다. 그동안 계속해서 그들이 훔쳐왔던 개인정보들과 의료정보를 결합하니 개인사, 선호도, 행동양식, 사고방식 등 문서 위에 분명한 문구로 명확히 나타낼 수 없는 정보들이 드러나기 시작한 것이다. 이 정보들을 다시 거르고 나니 공격목표가 훨씬 분명해졌다.

정보보안 사고에 있어서 사람들이 주로 놓치는 것이 하나 있다면 바로 ‘정보를 빼앗기 위한 공격’이 꼭 사이버 공간에서만 이루어지리라는 법이 없다는 것이다. 중국은 이미 세계에서 가장 힘이 센 정부를 보유하고 있는 나라다. 당연히 사이버 공간 너머에서도 영향력을 발휘할 수 있고 실제로 그렇게 한다. 중국은 사람을 심어 ‘누가 어떤 정보에 대한 접근권한을 가지고 있는지’, ‘누가 그 권한을 주고 통제하는지’를 파악하는 데 힘쓰고 있다.

이런 활동을 하고 있는 주체가 의료 정보를 가지고 있다고 상상해보자. 예를 들어 누군가 정보 열람에 있어서 높은 권한을 가지고 있는데 가족 중 누군가가 심하게 아프다면, 당연히 이 사람 마음 속에 ‘병원비’에 대한 부담감이 있음을 전제할 수 있게 된다. 그리고 이 부담감은 시간이 지나면 지날수록 심해질 것이다. 이는 충분히 ‘취약점’이 될 수 있다. 온라인이건 오프라인이건 스파이가 이 사람에게 있는 취약점을 파악한다면 이 부분을 파고들 것이 뻔하다. 이런 활동이 광범위하게 이루어진다고 상상해보라.

네트워크를 방어하는 사람은 항상 100%의 완벽함을 유지해야 하는데 반해 해커는 딱 한 번만 운이 좋으면 된다고들 한다. 불공평해도 너무 불공평하다. 더 끔찍한 건 이 말이 업계에서 떠도는 우스갯소리가 아니라 현실 그대로를 반영하는 ‘진실’이 되어버렸다는 것이다. 특히 중국처럼 엄청난 물량을 뒤에 업고 있는 이들에게 이런 ‘딱 한 번의 행운’은 너무나 거머잡기 쉬운 기회가 된다. 그래도 다행인 건 우리 역시 100% 컨디션을 유지할 만큼의 자원과 기술을 보유하고 있다는 점이다.

물론 기술 자체만으로 모든 방어를 자동으로 완벽하게 수행해주는 툴은 없다. 방어자로서 100% 컨디션을 유지한다는 건 지금 가지고 있는 기술력에 인간의 지능을 더할 때 가능해진다. 이런 보안을 ‘지능 중심 보안(intelligence driven security)’이라고 크라우드스트라이크에서는 우리끼리 부르고 있는데 이는 결국 이전에 있었던 공격들로부터 배우고, 그 전부터 쌓아왔던 지식 및 기술에 결합해 현재 방어체계를 보강하는 것을 말한다. 아직까지 배우고 응용하는 것은 인간이 더 잘하니까 말이다. 이는 현재 군방의 가장 중요한 기조이기도 하다. 그리고 그 기조는 아직까지도 진화하고 있고, 그 과정 중에 국방은 점점 더 단단해지고 있다.

군대에서는 이 ‘지능 중심 보안’을 어떤 식으로 실행하고 있나? 간단히 말해 가능한 한 모든 정보를 모든 방향에서 모아 변화하는 환경과 정보에 맞춰 다음 작전에 재빨리 도입시키고 응용하는 걸 반복하는 것이다. 정보보안 업계가 이 프로세스를 사이버 공간으로 가져온다면, 즉 군으로부터 이 개념과 실행을 빨리 배울 수 있다면, 보안을 보다 더 현실적인 가격과 노력으로 단단하게 굳혀갈 수 있을 것이다. 가격도 저렴해지고, 정보보안의 영역 특성상 관과 민이 의미 있는 대화를 나눌 계기가 될 수도 있을 것이다. 사이버 보안, 혹은 정보보안은 더 이상 멀웨어와의 전쟁이 아니다. 모든 가능한 분야로부터 좋은 것을 모으고 배우고 흡수하는 것이다. 그리고 그 첫 번째 대상은 전통의 방어기재인 군사력 혹은 국방이 아닐까 제안한다. 정보보안, 아직 배울 것이 많다.

글 : 아담 메이어스(Adam Meyers)

Copyrighted 2015. UBM-Tech. 117153:0515BC

[국제부 문가용 기자(globoan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)