.jpg)
한국정보보호산업협회 20년사를 통해 본 한국 정보보호 20년 역사
2017년, 워너크라이 사태로 랜섬웨어 ‘비상’...암호화폐 열풍으로 거래소 보안 ‘경고등’
KISIA, 위협정보 공유체계 구축에 역점...글로벌 진출지원 확대도 도모
[보안뉴스 권 준 기자] 2017년은 워너크라이 사태에서 드러났듯 랜섬웨어 피해가 전 세계로 급속도로 확산됐고, 암호화폐 열풍으로 비트코인 등의 가격이 천정부지로 솟아오르다 떨어지는 롤러코스터를 타기도 했다. 특히, 암호화폐 거래소 해킹사건이 잇따라 발생하면서 거래소의 안전성에 의문부호가 켜졌고, 암호화폐의 기반이 되는 블록체인 기술의 다양한 활용 가능성이 제기된 한해였다. 무엇보다 촛불혁명으로 문재인 정부가 들어서면서 정부정책 기조가 많이 바뀌게 됐는데, 4차 산업혁명의 중요성을 강조하는 동시에 개인정보 보호와 활용의 균형을 중시하는 방향으로 추진됐다.
워너크라이 사태, 랜섬웨어로 전 세계 ‘몸살’
2017년에는 전 세계에 워너크라이(WannerCry) 랜섬웨어 사태가 발생했다. 전 세계 100여개 국에 막대한 감염 피해를 입혔으며, 국내에도 큰 영향을 미쳤다. 당시 청와대 국가안보실에서도 워너크라이 랜섬웨어 사태의 엄중함을 인식하고 적극 대응에 나섰다. 국정원은 국가사이버위기 경보를 관심에서 주의로 상향 조정하고, 정부는 주의권고 보안공지 및 국내 주요 기업 정보보호최고책임자(CISO) 대상 메일 발송, 관련 보도자료 배포 등에 나서는 한편, 악성코드 및 피해 확산에 대한 종합분석을 바탕으로 대국민 행동요령을 배포했다.
워너크라이 랜섬웨어 대량 감염 사태가 마이크로소프트(MS)의 윈도우 정책도 변경시켰다. MS 측은 2014년 4월 9일부터 보안 업데이트 등 모든 지원이 종료된 윈도우XP를 비롯해서 윈도우 서버 2003 등에 대한 긴급 보안 업데이트를 발표했다. 그간 윈도우XP는 보안 업데이트가 중단되면서 보안에 매우 취약한 운영체제로 지적돼 왔으며, 지금까지 수많은 사이버공격에 노출돼 왔다.
비트코인 노린 사이버 공격 ‘활개’
랜섬웨어가 활개를 치다보니 많은 돈을 요구하는 협박 사건도 잇따라 발생했다. 일례로 공격자는 2017년 6월 대형 웹 호스팅 업체인 인터넷나야나를 타깃으로 랜섬웨어를 감염시켜 13억이라는 기록적인 액수의 몸값을 요구하기도 했다. 10월에는 국내 대형 여행사인 하나투어를 해킹한 공격자가 고객정보를 빌미로 99비트코인을 요구한 사건이 발생했다. 공격자들은 이에 그치지 않고 직접 비트코인을 훔치기에 이르렀고 국내 비트코인 거래소를 대상으로 해킹을 시도해 업체 두 곳으로부터 각각 55억 원과 21억 원 상당의 비트코인을 탈취한 사건도 발생했다.
암호화폐(가상화폐) 거래소 ‘유빗’은 해킹으로 인해 결국 2017년 12월 19일부로 거래 중단, 입출금 정지 조치 및 파산 절차를 진행한다는 공지사항을 웹사이트에 띄웠다. 이에 앞서 유빗은 2017년 4월에도 해킹을 당해 비트코인 55억 원 어치를 탈취당한 바 있다. 당시에는 야피존이라는 이름으로 운영됐고, 이미지 쇄신을 위해 10월 16일에 서비스명을 유빗(YouBit)으로 변경했지만, 또 다시 해킹사고를 당하면서 결국 파산 절차를 진행했다.
2017년 6월에 발생한 국내 최대 암호화폐 거래소 빗썸 해킹은 직접적인 해킹이 아닌 보이스피싱을 이용한 아이디와 비밀번호 등 계정정보가 탈취된 사건이다. 해킹 조직은 빗썸 담당자라며 피해자에게 전화를 건 후, OTP를 해지하도록 유도했다. 코인 구매나 출금시 OTP로 확인하는 절차를 피하기 위해 OTP를 해지하도록 한 것. 이미 피해자 아이디와 비밀번호를 수중에 넣은 범죄조직은 OTP를 해지하자마자 바로 피해자의 전자지갑에서 코인을 빼냈다.
계속된 암호화폐 거래소 타깃 공격...정부, 거래소 규제 강화
2017년에는 암호화폐 거래소를 노린 타깃 공격도 기승을 부렸다. 이는 대북재제로 인해 어려움을 겪는 북한이 외화벌이 수단으로 암호화폐 거래소를 노렸기 때문으로 분석됐다. 2017년 지난 7월 5일부터 8월 8일까지 북한 해커조직은 국내 비트코인 거래소 4개 업체를 노렸다. 비트코인 거래소 직원 25명에게 경찰, 검찰, 금융보안원, 서울시청, 농협 등과 같은 금융기관 및 국가기관을 사칭하고, 정교하게 제작된 악성 프로그램이 첨부된 메일을 10회 발송해 해킹을 시도했다. 특히, 악성메일 발송을 위해 메일계정이 도용된 것으로 드러났다. 이용한 계정 9개 중 4개는 도용된 계정이며, 5개는 직접 생성한 계정으로 확인됐다. 직접 생성한 계정 5개중 2개는 해커가 스마트폰을 해킹해 인증문자를 가로챈 후, 포털사 메일계정을 생성했다. 해당 스마트폰 분석 결과 악성 앱에 감염된 상태였다. 특히, 사이버안전국은 북한 소행으로 판단한 근거로 악성메일 발송이 테스트 목적으로 사용됐으며, 전자우편 접속지가 북한으로 확인됐다는 점을 꼽았다. 경유서버 및 명령제어 서버에서도 과거 북한발 한수원 해킹사건(2014년)이나 청와대 사칭 전자우편 발송사건(2016년)에서 확인된 것과 동일한 대역의 IP 주소가 발견됐다.
이렇듯 2017년 암호화폐 거래소 해킹 공격이 잇따라 발생하면서 정부 정책도 암호화폐 거래소 보안 강화에 초점이 맞춰졌다. 과학기술정보통신부와 방송통신위원회는 관련 사고 예방을 위한 조치로 ①거래소에 대한 주기적 보안 점검 실시 ②정보보호관리체계(ISMS) 인증 의무화(매출액 100억원 이상, 일일평균 방문자 수 100만명 이상 거래소) ③거래소 보안 강화 지원 ④사업자 책임 및 이용자 피해구제 강화를 제시했다. 이는 범부처 ‘가상통화 관련 긴급회의’를 통한 대책 수립의 연장선상에서 진행되는 조치로 총 10개 거래소를 대상으로 점검해 보안 취약점 및 개인정보보호 조치 미흡 사항에 대해서 조치를 권고했다.
점점 진화하는 공급망 및 APT 공격
정상 프로그램의 공급망을 직접 공격하는 일명 서플라이 체인 어택(Supply Chain Attack)도 줄줄이 포착됐다. 특히, 사용자 수가 많아 영향력이 높은 프로그램들이 주 공격대상이 됐다. 금융기관에서 주로 사용하는 서버 관리 소프트웨어를 제공하는 업체인 해킹을 당해 사용자들이 위조된 모듈을 다운받는 사건이 발생했다. 위조된 모듈은 백도어(Backdoor) 악성코드로서 개발단계에서 이미 악성코드가 심어져 유포됐다.
이 뿐만 아니라 누적 다운로드 수가 20억이 넘는 PC 최적화 프로그램의 다운로드 서버가 해킹당하는 사건도 있었다. 공격자들이 다운로드 서버에 악성코드를 심어 정상 파일을 다운로드하는 사용자들에게 악성코드를 다운로드 받도록 설계한 것이다. 이처럼 사용자들의 시스템 기반 환경을 고려해 사람들에게 영향을 많이 끼치는 프로그램들을 변조한 후 공격을 시도한 정황이 빈번히 포착돼 사용자들의 불안감도 증대됐다.
또한, 2017년에는 표적형 공격이 끊임없이 발생했다. 대통령 선거 시즌에는 후보자들의 안보정책 등의 문서로 위장해 악성코드를 유포했고, 대기업 공채 시즌에는 입사지원서로 위장한 악성코드가 인사담당자에게 유포됐다. 대학교 시험 시즌에는 ‘교수님에게 보내는 수업 문의사항’으로 위장한 악성코드가 유포되는 등 국내 정세를 정확하게 파악한 악성메일들이 유포됐다. 또한, 블로거들에게는 자신의 사진이 올라간 게시글을 지워달라는 메일에 악성코드를 첨부해 보내는 정황도 다수 포착됐다. 이 외에도 금융감독원, 국세청, 경찰청 등 공신력 있는 기관을 사칭해 일반 사용자들을 노린 악성 스피어피싱(Spear Phising) 메일이 다수 발송돼 사회적 혼란을 야기했다.
개인정보보호와 IoT 보안 강화 위한 정부의 정책방향
행정안전부는 2017년 개인정보보호 정책추진 방향으로 국민이 믿고 안심할 수 있는 개인정보 이용 환경 조성, 4차 산업혁명 대비 새로운 개인정보 보호체계 마련, 다양한 영상기기에 의한 프라이버시 침해 방지 대책 강구, 개인정보 국외이전 제도 개선 등 4가지를 제시했다.
우선 국민이 믿고 안심할 수 있는 개인정보 이용 환경 조성을 위해서 내 개인정보 원스톱 관리 서비스를 실시해 개인정보자기결정권을 실현하고 개인정보처리자의 개인정보 안전 관리 책임성을 강화했다. 또한, 4차 산업혁명 대비 새로운 개인정보 보호체계 마련을 위해 ICT 신기술 대응 개인정보보호 제도 개선, 생체정보의 안전한 이용 및 보호 기준을 정립했다. 이와 함께 다양한 영상기기에 의한 프라이버시 침해 방지 대책을 강구하기 위해 개인영상정보 보호 강화를 추진했다. 더불어 개인정보의 국외이전 급증에 대응해 국민의 데이터 주권을 강화하고 개인정보보호 국제협력센터를 설치·운영했다. 또한, 모바일 기반 ICT 서비스의 핵심 성장 동력인 위치정보 산업을 활성화하고 개인정보를 보호하기 위해 ①진입규제 합리화 ②사물위치정보 규제 완화 ③신규 비즈니스 모델 공모전 및 사업화 지원 등을 추진하고, 개인정보의 보호체계를 강화하기 위해 ④개인정보보호 교육 강화 ④신규 주민번호 대체수단 도입 ⑤조사체계 및 자율규제 강화 등이 진행 중이라고 밝혔다.
또한, IoT 보안 위협에 대비해서는 2017년 12월부터 민간 자율의 사물인터넷(IoT) 보안인증 서비스가 본격 시행됐다. ‘IP카메라 종합대책‘의 일환으로 추진되는 사물인터넷 보안인증 서비스는 IoT 제품에 대해 일정 수준의 보안을 갖추었는지 시험해 기준 충족 시 인증서를 발급해 주는 방식으로 운영되고 있다. 인증 서비스는 인증·암호·데이터보호·플랫폼보호·물리적보호 5개 영역에 대해 평가하며, 2개의 등급(Lite, Standard) 으로 구분해 시행하고 있다. Lite 등급의 경우 해킹사례 등이 많은 주요 보안취약점을 개선할 수 있도록 핵심 보안항목 중심으로 시험·인증하게 되며, Standard 등급은 국제적으로 요구되는 수준의 종합적인 보안항목으로 시험·인증을 진행한다.
4차산업혁명위원회 설치 심의·의결
2017년에는 문재인 정부가 들어서면서 중점 추진했던 ‘4차산업혁명위원회의 설치 및 운영에 관한 규정’도 심의·의결됐다. 4차산업혁명위원회는 4차 산업혁명 도래로 나타날 경제·사회 전반의 총체적인 변화에 대비해 민관이 함께 논의해 국가 방향성을 제시하는 대통령 소속 기구다. 4차 산업혁명의 주관부처인 과기정통부는 그동안 입법예고(7월 19~24일), 관계 부처 협의(7월 중), 법제처 심사(7~8월) 등 대통령령 제정을 추진했다. 이에 따라 위원회는 각 분야 전문가로 최대 25명의 민간위원과 4개 부처(과기정통부, 중기부, 산업부, 고용부) 장관 및 청와대 과학기술보좌관 등 5명의 정부위원으로 구성됐으며, 민간위원도 참여했다. 특히, 4차산업혁명위원회 제3차 회의에서는 ‘혁신성장을 위한 사람 중심의 4차 산업혁명 대응계획’의 중점 추진과제별 세부전략으로 ①4차 산업혁명 대비 초연결 지능형 네트워크 구축 전략 ②2020 新 산업·생활 주파수 공급계획 ③드론 산업 기반 구축 방안 ④스마트공항 종합계획 ⑤창의·융합형 인재성장 지원을 위한 발명교육 확산방안 등이 제시됐다.
4차 산업혁명의 핵심 ‘블록체인’ 기술에 투자 확대
문재인 정부 들어서면서 암호화폐는 강력하게 규제하는 대신 4차 산업혁명의 핵심이라 불리는 블록체인 기술에는 예산을 투입하고 본격적인 연구개발과 시범사업을 추진했다. 과기정통부는 ‘융합보안 시범사업’의 2017년 과제로 AI, 블록체인, 홈·가전, 데이터 보안 등 4개 과제를 선정했고, 2018년엔 정부의 블록체인 예산을 총 87억 원으로 책정하고, 실증사업에 42억 원을 투자한다고 밝혔다. 금융보안원은 금융권 공통 사용을 위한 블록체인 플랫폼 표준 등 금융보안 표준화 과제 13개를 선정했다.
2022년 100억 달러 시장으로 추정되는 블록체인 사업에 국내 IT 서비스 업체들도 너도나도 뛰어들고 있다. 삼성SDS는 2017년 블록체인 사업 영역을 금융에서 물류로 확장했다. 5월 31일 관세청·해양수산부·현대상선·한국IBM 등 10여 곳과 민관 컨소시엄을 구성해 블록체인을 적용한 물류 시범 사업을 추진했다. 2015년 블록체인 기술 전담 조직을 만든 삼성SDS는 글로벌 기업 30여 곳이 가입한 기업형 블록체인 솔루션 개발 단체(EEA)에도 한국 기업 최초로 가입해 글로벌 시장 진출도 모색하고 있다. 또한, LG CNS는 2015년 블록체인 기반 비상장주식 유통 플랫폼을 개발했다. 2017년에는 세계 최대 금융 블록체인 컨소시엄 R3와 업무 협약을 맺었다. SKC&C도 2017년 3월 블록체인을 활용한 디지털 ID 인증 서비스를 개발한 데 이어 블록체인 물류 서비스도 개발했다. 블록체인 전담조직을 신설한 SKC&C는 그룹 계열사와 시너지를 바탕으로 블록체인에 기반한 전자 물류 네트워크 구축에 나섰다.
이러한 추세를 대변하듯 블록체인 기술에 대한 특허출원도 급증 추세다. 2013년부터 2017년 8월까지 모두 240건이었는데, 그 중에 2017년 1~8월의 경우 114건으로 출원이 급증하고 있다. 하지만 블록체인의 기술적 한계 문제, 거래 정보를 거래 참여자 모두가 공유하면서 발생하는 프라이버시 침해 문제, 중앙관리 시스템이 없기 때문에 유사시 비상대응 방안 등 해결해야 할 문제도 적지 않다. 그럼에도 블록체인은 IT 서비스 산업이 부진한 상황 속에서 황금알을 낳는 거위로 도약할 가능성이 점점 커지고 있다.
국내 정보보호 업체, 기술력 인정받아 잇따른 수상 영예
2017년 국내 정보보호업계는 우수한 기술력으로 각종 시상식에서 수상의 영예를 안았다. 먼저 수산홈텍이 개발한 ‘IoT 가스누설경보기’의 경우 혁신성을 인정받아 소방산업대상 산업기술부분에서 국무총리 표창을 수여 받았다. 또한, 개인정보보호 전문기업 이지서티는 2016년 일자리 분야 우수벤처 기업 선정에 이어 2017년 2년 연속 우수벤처 기업으로 선정됐다. 특히, 원천기술과 특허를 보유한 개인정보 접속기록 종합관리 솔루션 ‘UBI SAFER PSM’(이하 PSM)의 우수한 연구개발과 상용화에 공이 컸다.
이와 함께 정보보안 컨설팅 전문업체인 에스에스알은 벤처기업협회에서 주관하는 ‘2017 우수벤처 선정 사업’에서 연구개발부문 우수벤처로 선정됐다. ‘2017 우수벤처 선정 사업’은 우수한 성과를 달성한 벤처기업의 공로를 인정하는 사업으로 객관적 지표를 통해 4개 부문에서 총 44개사만을 선별하는 권위 있는 사업이다. 이 외에도 우경정보기술은 중소기업기술혁신대전에서 중소기업 발전과 산업기술 보호에 이바지한 공로로 중소벤처기업부장관 표창을 받았다.
안랩의 경우 ‘2017년 ESG 우수기업 시상식’에서 ‘최우수기업상’을 수상했다. 안랩은 한국기업지배구조원이 한국거래소(KRX) 상장 법인을 대상으로 실시한 환경경영(Environment), 사회책임경영(Social), 지배구조(Governance) 종합평가 결과에서도 ‘최우수기업상’을 수상했다. 사용자 보안인증 전문기업 센스톤은 국내 스타트업 중 괄목할만한 성장을 거두고 지속적인 인증 신기술 개발과 투자 실적을 인정받아 2017년 K-Global 시큐리티 스타트업 분야 대상을 수상했다.
정보보호업계, 빅데이터 등 신기술 보유 기업 인수합병 활발
2017년 한해 동안 여러 국내 정보보호업계가 인수합병됐다. 닉스테크(현 한류AI센터)는 빅데이타 기반의 이상징후 대응 및 보안 포탈 솔루션 전문 기업인 시큐플러스를 인수했다. 당시 인수는 시큐플러스의 전 직원과 영업 및 유지 보수 등 사업권을 모두 닉스테크가 승계 받는 흡수합병 방식이다. 또한, 보안SW 전문기업 지란지교시큐리티는 빅데이터 분석업체인 모비젠과 보안컨설팅 전문업체인 에스에스알(SSR)을 동시에 인수, 빅데이터 기술과 보안컨설팅 전문인력을 결합한 사업 확대를 추진하며 국내 정보보안 시장서 기업 입지를 강화했다. 지란지교시큐리티는 모비젠과 에스에스알의 인수를 통해 당사의 보안 기술과 빅데이터, 전문 컨설팅의 결합이 가능해졌다. 이와 함께 수산INT는 아라기술의 SSL-PRISM에 사용된 기술 관련 특허 및 소프트웨어를 인수해 암호화된 트래픽을 보안 장비가 판별할 수 있도록 복호화시켜 주는 솔루션 ePrism SSL VA를 출시했다.
한글과컴퓨터그룹(이하 한컴그룹)은 국내 대표 개인안전장비기업 산청의 인수를 완료했다. 한컴그룹은 2017년 7월 7일 재무적 투자자인 스틱인베스트먼트와 함께 창사 이래 최대 규모의 M&A인 2,650억 원 규모의 인수계약을 체결했다. 10월 13일 산업통상자원부의 승인을 거쳐 11월 3일 산청 지분 100%에 대한 인수 거래를 마쳤다. 인수 완료를 기점으로 산청을 한컴그룹의 공식 계열사로 편입시키고 세이프티사업을 그룹의 주력 분야로 정해 본격적인 그룹 내 시너지 창출 추진에 적극 나서고 있다. 세이퍼존은 이메일 보안 전문회사 eWall R&D 회사를 인수했으며, 포스링크가 미래가치를 창출할 수 있는 새로운 사업기회 발굴을 위해 블록체인 플랫폼 및 FIDO 기반 보안인증 업체 써트온의 지분 100%를 인수해서 이목을 끌었다.
첨단 기술을 갖춘 해외업체와 국내 보안업체 간의 협력도 한층 강화됐다. 이스트소프트의 보안 자회사 이스트시큐리티는 가상화 솔루션 전문 기업 필라웨어와 보안사업 강화를 위한 ‘영업 및 기술 협력 파트너’ 협약(MOU)을 맺었다. 양사는 협약을 기점으로 이스트시큐리티의 문서중앙화 보안 기술과 필라웨어의 가상화 구축·관리 기술을 접목해 대기업과 공공기관을 위한 보안 상품을 개발하고 공동 마케팅 활동에 나섰다. 이와 함께 SK인포섹은 점점 더 확대되고 있는 클라우드 가상화 시장을 선점하기 위해 국내 가상화 기술 분야에서 손꼽히는 퓨전데이터와 손을 잡았다.
보안관제, 정보보안 서비스 중 매출액 1위에 매출 증가율 2위
한국정보보호산업협회의 2017년 국내정보보호 산업실태 보고서에 따르면, 전체 정보보안 서비스 분야 중 보안관제의 매출 증가율(17.1%)이 2위로 나타났다. 증가율이 아닌 매출액으로만 보면 독보적인 1위였다. 정보보안산업은 크게 정보보안 제품과 정보보안 서비스로 구분된다. 2017년 보안관제 서비스 시장 매출은 2,742억 8,100만 원으로 집계됐다. 정보보안 서비스 총 매출인 6,441억 2,400만 원 중 절반에 육박하는 비중이다. 매출 증가율 역시 1위인 인증 서비스(20.8%)에도 크게 뒤처지지 않는다. 유지관리·보안성지속(13.9%), 보안컨설팅(11.3%), 교육·훈련(5.4%) 등 기타 분야와 비교할 때는 그 성장세가 더욱 돋보였다.
보안관제 서비스는 과학기술정보통신부의 지정을 받은 기관에 한해 제공이 가능하다. 과기정통부는 국가사이버안전관리규정(제10조의2)과 보안관제 전문기업 지정 등에 관한 공고에 따라 국가·공공기관 보안관제센터 운영을 지원할 보안관제 전문기업을 지정한다. 이 같은 지정 제도는 2011년부터 시작됐다. 현재 17개의 보안관제 전문기업이 지정돼 있다. 지정 요건은 공공기관 보안관제 품질을 제고하는 동시에 시장 진입장벽이 되지 않도록 필요 최소한도로 설정돼 있다. 이들 보안관제 전문기업은 최초 지정 심사를 통과한 후에도 매년 1회 실시되는 사후관리 심사를 통과해야 한다.
보안관제 서비스는 원격관제 서비스와 파견관제 서비스로 나뉜다. 2017년 원격관제 서비스 매출은 1,148억 6,800만 원, 파견관제 서비스 매출은 1,594억 1,300만 원이다. 파견관제 서비스가 약 450억 원 큰 규모다. 향후 보안관제 서비스 시장은 인공지능(AI), 위협 인텔리전스, EDR(Endpoint Detection Response) 등 세 가지 키워드와 맞물려 요약된다. 먼저 AI 기술은 보안관제 서비스를 더욱 체계화·효율화할 것으로 보인다. 위협 인텔리전스도 이슈로 사이트별 이슈, 위협 정보, 대응책 등을 공유하는 업무의 중요성이 계속해서 부각되고 있는 추세이며, EDR를 활용한 관제 역시 앞으로 트렌드가 될 것으로 보인다.
KISIA, 협회 중심으로 ‘사이버위협정보 공유 협의체’ 본격 추진
한국정보보호산업협회(KISIA)는 2017년 2월 ‘제21차 정기총회’ 열고, 국내 정보보호 산업계를 중심으로 위협정보 공유체계(K-CTA)를 구축하는 일에 적극 나서기로 했다. 은밀화·고도화되는 사이버위협을 개별적으로 탐지·분석하기 어렵고, 또한 파편화된 정보로 정확하게 대응하는 데 근본적인 한계에 봉착했다는 점이 K-CTA를 추진하게 된 배경이라는 설명이다.
또한, 협회에서는 2017년에 RSA 등 해외 유명전시회에 참가하는 한편, KOTRA와 함께 한국관을 운영하는 등 글로벌 진출지원 확대를 도모했다. 이와 함께 한국정보보호학회와 ‘정보통신망 정보보호 워크숍’을 공동주관해 학계와 산업계가 정보보호 이슈를 함께 논의하고, 정례적으로 소통하는 교류의 장으로 만들었다는 평가를 받았다.
[KISIA 역대 회장 인터뷰] 홍기융 제13대 회장(현 시큐브 대표)
회장 재임기간 중 가장 큰 화두가 됐던 보안이슈는 재임기간 중 모 보안기업을 통한 보안위협 사례가 발생했으며, 이를 계기로 금융기관이 ‘금융전산보안 협력업체 보안점검’을 추진하게 되어 긴급히 정보공유 및 대책을 논의하게 됐습니다. 이에 따라 관계기관과 적극 협의해 KISA가 마련한 점검항목 및 일정에 따라 KISA와 금융보안원이 공동점검을 실시하도록 했습니다. 이와 더불어 향후 보안결함, 패치문제 등 이슈 발생 시 신속한 절차에 의하여 고객에게 알리고 패치 등 보안업계의 신뢰성 제고 및 대고객 지원체계 강화 조치를 취하기로 하는 등 재발방지를 위한 협회 차원의 노력에 최선을 다했습니다.
회장 재임기간 중 KISIA에서 정보보호 산업 발전을 위해 가장 중점적으로 추진했던 과제는 2015년 6월 22일에 제정된 「정보보호 산업의 진흥에 관한 법률」이 동년 12월 23일 시행됨에 따라 재임기간 중에는 KISIA가 법령에서 부여받은 산업진흥 관련 임무와 역할들을 중점적으로 추진했습니다. 특히, 국내 우수기업의 해외진출 지원을 위한 기반 조성의 일환으로 2016년 세계 최대 보안전시회인 RSA전시회 참가를 계기로 ‘KIC 실리콘밸리’와 글로벌 진출 지원 MOU를 체결했으며, ‘KIC 유럽’과도 MOU를 체결했습니다.
이와 함께 정보보호 업계의 애로사항 발굴 및 불공정 관행 근절을 통한 정보보호 산업 선순환 생태계 조성을 위한 ‘정보보호 민관합동 모니터링단’을 처음으로 발족하기도 했습니다. 정보보호사업 관련 불공정 발주와 규정위반, 부당행위 사례 등을 상시 모니터링하고 필요한 사항을 권고하는 등 정보보호 모니터링센터의 운영체계를 강화하여 정보보호 산업 발전의 기틀을 마련하였습니다.
마지막으로 정보보호 서비스 대가 현실화를 위해 노력해온 결과, 정보보호 산업계의 오랜 숙원인 정보보호 서비스 대가기준이 공표됐습니다. 해당 기준이 SW사업 대가 산정 가이드에 반영됨으로써 정보보호 성장 모멘텀을 제공할 수 있게 됐습니다. 정보보호 R&D협업 수행과 수요기반 확대도 정보보호기업의 R&D 역량을 글로벌 수준으로 강화하게 되는 하나의 성과라고 볼 수 있을 것 같습니다.
회장 재임 당시 가장 기억에 남는 에피소드와 몇 가지 성과를 꼽아주신다면 제가 회장으로써 가장 뿌듯했던 건 2017년 송년회를 기점으로 ‘올해의 정보보호인’ 상을 제정한 것입니다. 이를 제정함으로써 산업계, 학계, 유관기관 및 언론사 관계자의 자긍심 고취에 기여했으며, 우리 정보보호 산업계의 발전에 기여하신 분들의 노고에 조금이라도 보답하는 계기가 됐습니다. 또한, 한국정보보호학회와 공동주관으로 개최한 NetSec-KR 2017에서 신정부 출범에 대비한 패널토론회에 참석했던 것도 기억에 많이 남습니다. 또한, 회장단과 회원사 및 사무국간 원활한 소통과 유관기관과의 긴밀한 협력관계를 통해 계획했던 협회 사업들이 기대 이상의 성과를 보여 2개년 동안 목적사업준비금으로 2억 6천여만 원을 확충할 수 있었고, 협회 임직원 상호간 친밀감 증진 및 소통 활성화를 위한 KISIA 사무국 워크숍을 회장단과 사무국 임직원 전원이 참석한 가운데 잘 다녀올 수 있었던 것도 소중한 기억으로 남아 있습니다.
*해당 기사의 저작권은 한국정보보호산업협회(KISIA)에 있습니다.
[권 준 기자(editor@boannews.com)]
2017년, 워너크라이 사태로 랜섬웨어 ‘비상’...암호화폐 열풍으로 거래소 보안 ‘경고등’
KISIA, 위협정보 공유체계 구축에 역점...글로벌 진출지원 확대도 도모
[보안뉴스 권 준 기자] 2017년은 워너크라이 사태에서 드러났듯 랜섬웨어 피해가 전 세계로 급속도로 확산됐고, 암호화폐 열풍으로 비트코인 등의 가격이 천정부지로 솟아오르다 떨어지는 롤러코스터를 타기도 했다. 특히, 암호화폐 거래소 해킹사건이 잇따라 발생하면서 거래소의 안전성에 의문부호가 켜졌고, 암호화폐의 기반이 되는 블록체인 기술의 다양한 활용 가능성이 제기된 한해였다. 무엇보다 촛불혁명으로 문재인 정부가 들어서면서 정부정책 기조가 많이 바뀌게 됐는데, 4차 산업혁명의 중요성을 강조하는 동시에 개인정보 보호와 활용의 균형을 중시하는 방향으로 추진됐다.
[이미지=icilckart]
워너크라이 사태, 랜섬웨어로 전 세계 ‘몸살’
2017년에는 전 세계에 워너크라이(WannerCry) 랜섬웨어 사태가 발생했다. 전 세계 100여개 국에 막대한 감염 피해를 입혔으며, 국내에도 큰 영향을 미쳤다. 당시 청와대 국가안보실에서도 워너크라이 랜섬웨어 사태의 엄중함을 인식하고 적극 대응에 나섰다. 국정원은 국가사이버위기 경보를 관심에서 주의로 상향 조정하고, 정부는 주의권고 보안공지 및 국내 주요 기업 정보보호최고책임자(CISO) 대상 메일 발송, 관련 보도자료 배포 등에 나서는 한편, 악성코드 및 피해 확산에 대한 종합분석을 바탕으로 대국민 행동요령을 배포했다.
워너크라이 랜섬웨어 대량 감염 사태가 마이크로소프트(MS)의 윈도우 정책도 변경시켰다. MS 측은 2014년 4월 9일부터 보안 업데이트 등 모든 지원이 종료된 윈도우XP를 비롯해서 윈도우 서버 2003 등에 대한 긴급 보안 업데이트를 발표했다. 그간 윈도우XP는 보안 업데이트가 중단되면서 보안에 매우 취약한 운영체제로 지적돼 왔으며, 지금까지 수많은 사이버공격에 노출돼 왔다.
비트코인 노린 사이버 공격 ‘활개’
랜섬웨어가 활개를 치다보니 많은 돈을 요구하는 협박 사건도 잇따라 발생했다. 일례로 공격자는 2017년 6월 대형 웹 호스팅 업체인 인터넷나야나를 타깃으로 랜섬웨어를 감염시켜 13억이라는 기록적인 액수의 몸값을 요구하기도 했다. 10월에는 국내 대형 여행사인 하나투어를 해킹한 공격자가 고객정보를 빌미로 99비트코인을 요구한 사건이 발생했다. 공격자들은 이에 그치지 않고 직접 비트코인을 훔치기에 이르렀고 국내 비트코인 거래소를 대상으로 해킹을 시도해 업체 두 곳으로부터 각각 55억 원과 21억 원 상당의 비트코인을 탈취한 사건도 발생했다.
암호화폐(가상화폐) 거래소 ‘유빗’은 해킹으로 인해 결국 2017년 12월 19일부로 거래 중단, 입출금 정지 조치 및 파산 절차를 진행한다는 공지사항을 웹사이트에 띄웠다. 이에 앞서 유빗은 2017년 4월에도 해킹을 당해 비트코인 55억 원 어치를 탈취당한 바 있다. 당시에는 야피존이라는 이름으로 운영됐고, 이미지 쇄신을 위해 10월 16일에 서비스명을 유빗(YouBit)으로 변경했지만, 또 다시 해킹사고를 당하면서 결국 파산 절차를 진행했다.
2017년 6월에 발생한 국내 최대 암호화폐 거래소 빗썸 해킹은 직접적인 해킹이 아닌 보이스피싱을 이용한 아이디와 비밀번호 등 계정정보가 탈취된 사건이다. 해킹 조직은 빗썸 담당자라며 피해자에게 전화를 건 후, OTP를 해지하도록 유도했다. 코인 구매나 출금시 OTP로 확인하는 절차를 피하기 위해 OTP를 해지하도록 한 것. 이미 피해자 아이디와 비밀번호를 수중에 넣은 범죄조직은 OTP를 해지하자마자 바로 피해자의 전자지갑에서 코인을 빼냈다.
[이미지=icilckart]
계속된 암호화폐 거래소 타깃 공격...정부, 거래소 규제 강화
2017년에는 암호화폐 거래소를 노린 타깃 공격도 기승을 부렸다. 이는 대북재제로 인해 어려움을 겪는 북한이 외화벌이 수단으로 암호화폐 거래소를 노렸기 때문으로 분석됐다. 2017년 지난 7월 5일부터 8월 8일까지 북한 해커조직은 국내 비트코인 거래소 4개 업체를 노렸다. 비트코인 거래소 직원 25명에게 경찰, 검찰, 금융보안원, 서울시청, 농협 등과 같은 금융기관 및 국가기관을 사칭하고, 정교하게 제작된 악성 프로그램이 첨부된 메일을 10회 발송해 해킹을 시도했다. 특히, 악성메일 발송을 위해 메일계정이 도용된 것으로 드러났다. 이용한 계정 9개 중 4개는 도용된 계정이며, 5개는 직접 생성한 계정으로 확인됐다. 직접 생성한 계정 5개중 2개는 해커가 스마트폰을 해킹해 인증문자를 가로챈 후, 포털사 메일계정을 생성했다. 해당 스마트폰 분석 결과 악성 앱에 감염된 상태였다. 특히, 사이버안전국은 북한 소행으로 판단한 근거로 악성메일 발송이 테스트 목적으로 사용됐으며, 전자우편 접속지가 북한으로 확인됐다는 점을 꼽았다. 경유서버 및 명령제어 서버에서도 과거 북한발 한수원 해킹사건(2014년)이나 청와대 사칭 전자우편 발송사건(2016년)에서 확인된 것과 동일한 대역의 IP 주소가 발견됐다.
이렇듯 2017년 암호화폐 거래소 해킹 공격이 잇따라 발생하면서 정부 정책도 암호화폐 거래소 보안 강화에 초점이 맞춰졌다. 과학기술정보통신부와 방송통신위원회는 관련 사고 예방을 위한 조치로 ①거래소에 대한 주기적 보안 점검 실시 ②정보보호관리체계(ISMS) 인증 의무화(매출액 100억원 이상, 일일평균 방문자 수 100만명 이상 거래소) ③거래소 보안 강화 지원 ④사업자 책임 및 이용자 피해구제 강화를 제시했다. 이는 범부처 ‘가상통화 관련 긴급회의’를 통한 대책 수립의 연장선상에서 진행되는 조치로 총 10개 거래소를 대상으로 점검해 보안 취약점 및 개인정보보호 조치 미흡 사항에 대해서 조치를 권고했다.
점점 진화하는 공급망 및 APT 공격
정상 프로그램의 공급망을 직접 공격하는 일명 서플라이 체인 어택(Supply Chain Attack)도 줄줄이 포착됐다. 특히, 사용자 수가 많아 영향력이 높은 프로그램들이 주 공격대상이 됐다. 금융기관에서 주로 사용하는 서버 관리 소프트웨어를 제공하는 업체인 해킹을 당해 사용자들이 위조된 모듈을 다운받는 사건이 발생했다. 위조된 모듈은 백도어(Backdoor) 악성코드로서 개발단계에서 이미 악성코드가 심어져 유포됐다.
이 뿐만 아니라 누적 다운로드 수가 20억이 넘는 PC 최적화 프로그램의 다운로드 서버가 해킹당하는 사건도 있었다. 공격자들이 다운로드 서버에 악성코드를 심어 정상 파일을 다운로드하는 사용자들에게 악성코드를 다운로드 받도록 설계한 것이다. 이처럼 사용자들의 시스템 기반 환경을 고려해 사람들에게 영향을 많이 끼치는 프로그램들을 변조한 후 공격을 시도한 정황이 빈번히 포착돼 사용자들의 불안감도 증대됐다.
또한, 2017년에는 표적형 공격이 끊임없이 발생했다. 대통령 선거 시즌에는 후보자들의 안보정책 등의 문서로 위장해 악성코드를 유포했고, 대기업 공채 시즌에는 입사지원서로 위장한 악성코드가 인사담당자에게 유포됐다. 대학교 시험 시즌에는 ‘교수님에게 보내는 수업 문의사항’으로 위장한 악성코드가 유포되는 등 국내 정세를 정확하게 파악한 악성메일들이 유포됐다. 또한, 블로거들에게는 자신의 사진이 올라간 게시글을 지워달라는 메일에 악성코드를 첨부해 보내는 정황도 다수 포착됐다. 이 외에도 금융감독원, 국세청, 경찰청 등 공신력 있는 기관을 사칭해 일반 사용자들을 노린 악성 스피어피싱(Spear Phising) 메일이 다수 발송돼 사회적 혼란을 야기했다.
개인정보보호와 IoT 보안 강화 위한 정부의 정책방향
행정안전부는 2017년 개인정보보호 정책추진 방향으로 국민이 믿고 안심할 수 있는 개인정보 이용 환경 조성, 4차 산업혁명 대비 새로운 개인정보 보호체계 마련, 다양한 영상기기에 의한 프라이버시 침해 방지 대책 강구, 개인정보 국외이전 제도 개선 등 4가지를 제시했다.
우선 국민이 믿고 안심할 수 있는 개인정보 이용 환경 조성을 위해서 내 개인정보 원스톱 관리 서비스를 실시해 개인정보자기결정권을 실현하고 개인정보처리자의 개인정보 안전 관리 책임성을 강화했다. 또한, 4차 산업혁명 대비 새로운 개인정보 보호체계 마련을 위해 ICT 신기술 대응 개인정보보호 제도 개선, 생체정보의 안전한 이용 및 보호 기준을 정립했다. 이와 함께 다양한 영상기기에 의한 프라이버시 침해 방지 대책을 강구하기 위해 개인영상정보 보호 강화를 추진했다. 더불어 개인정보의 국외이전 급증에 대응해 국민의 데이터 주권을 강화하고 개인정보보호 국제협력센터를 설치·운영했다. 또한, 모바일 기반 ICT 서비스의 핵심 성장 동력인 위치정보 산업을 활성화하고 개인정보를 보호하기 위해 ①진입규제 합리화 ②사물위치정보 규제 완화 ③신규 비즈니스 모델 공모전 및 사업화 지원 등을 추진하고, 개인정보의 보호체계를 강화하기 위해 ④개인정보보호 교육 강화 ④신규 주민번호 대체수단 도입 ⑤조사체계 및 자율규제 강화 등이 진행 중이라고 밝혔다.
또한, IoT 보안 위협에 대비해서는 2017년 12월부터 민간 자율의 사물인터넷(IoT) 보안인증 서비스가 본격 시행됐다. ‘IP카메라 종합대책‘의 일환으로 추진되는 사물인터넷 보안인증 서비스는 IoT 제품에 대해 일정 수준의 보안을 갖추었는지 시험해 기준 충족 시 인증서를 발급해 주는 방식으로 운영되고 있다. 인증 서비스는 인증·암호·데이터보호·플랫폼보호·물리적보호 5개 영역에 대해 평가하며, 2개의 등급(Lite, Standard) 으로 구분해 시행하고 있다. Lite 등급의 경우 해킹사례 등이 많은 주요 보안취약점을 개선할 수 있도록 핵심 보안항목 중심으로 시험·인증하게 되며, Standard 등급은 국제적으로 요구되는 수준의 종합적인 보안항목으로 시험·인증을 진행한다.
4차산업혁명위원회 설치 심의·의결
2017년에는 문재인 정부가 들어서면서 중점 추진했던 ‘4차산업혁명위원회의 설치 및 운영에 관한 규정’도 심의·의결됐다. 4차산업혁명위원회는 4차 산업혁명 도래로 나타날 경제·사회 전반의 총체적인 변화에 대비해 민관이 함께 논의해 국가 방향성을 제시하는 대통령 소속 기구다. 4차 산업혁명의 주관부처인 과기정통부는 그동안 입법예고(7월 19~24일), 관계 부처 협의(7월 중), 법제처 심사(7~8월) 등 대통령령 제정을 추진했다. 이에 따라 위원회는 각 분야 전문가로 최대 25명의 민간위원과 4개 부처(과기정통부, 중기부, 산업부, 고용부) 장관 및 청와대 과학기술보좌관 등 5명의 정부위원으로 구성됐으며, 민간위원도 참여했다. 특히, 4차산업혁명위원회 제3차 회의에서는 ‘혁신성장을 위한 사람 중심의 4차 산업혁명 대응계획’의 중점 추진과제별 세부전략으로 ①4차 산업혁명 대비 초연결 지능형 네트워크 구축 전략 ②2020 新 산업·생활 주파수 공급계획 ③드론 산업 기반 구축 방안 ④스마트공항 종합계획 ⑤창의·융합형 인재성장 지원을 위한 발명교육 확산방안 등이 제시됐다.
4차 산업혁명의 핵심 ‘블록체인’ 기술에 투자 확대
문재인 정부 들어서면서 암호화폐는 강력하게 규제하는 대신 4차 산업혁명의 핵심이라 불리는 블록체인 기술에는 예산을 투입하고 본격적인 연구개발과 시범사업을 추진했다. 과기정통부는 ‘융합보안 시범사업’의 2017년 과제로 AI, 블록체인, 홈·가전, 데이터 보안 등 4개 과제를 선정했고, 2018년엔 정부의 블록체인 예산을 총 87억 원으로 책정하고, 실증사업에 42억 원을 투자한다고 밝혔다. 금융보안원은 금융권 공통 사용을 위한 블록체인 플랫폼 표준 등 금융보안 표준화 과제 13개를 선정했다.
2022년 100억 달러 시장으로 추정되는 블록체인 사업에 국내 IT 서비스 업체들도 너도나도 뛰어들고 있다. 삼성SDS는 2017년 블록체인 사업 영역을 금융에서 물류로 확장했다. 5월 31일 관세청·해양수산부·현대상선·한국IBM 등 10여 곳과 민관 컨소시엄을 구성해 블록체인을 적용한 물류 시범 사업을 추진했다. 2015년 블록체인 기술 전담 조직을 만든 삼성SDS는 글로벌 기업 30여 곳이 가입한 기업형 블록체인 솔루션 개발 단체(EEA)에도 한국 기업 최초로 가입해 글로벌 시장 진출도 모색하고 있다. 또한, LG CNS는 2015년 블록체인 기반 비상장주식 유통 플랫폼을 개발했다. 2017년에는 세계 최대 금융 블록체인 컨소시엄 R3와 업무 협약을 맺었다. SKC&C도 2017년 3월 블록체인을 활용한 디지털 ID 인증 서비스를 개발한 데 이어 블록체인 물류 서비스도 개발했다. 블록체인 전담조직을 신설한 SKC&C는 그룹 계열사와 시너지를 바탕으로 블록체인에 기반한 전자 물류 네트워크 구축에 나섰다.
이러한 추세를 대변하듯 블록체인 기술에 대한 특허출원도 급증 추세다. 2013년부터 2017년 8월까지 모두 240건이었는데, 그 중에 2017년 1~8월의 경우 114건으로 출원이 급증하고 있다. 하지만 블록체인의 기술적 한계 문제, 거래 정보를 거래 참여자 모두가 공유하면서 발생하는 프라이버시 침해 문제, 중앙관리 시스템이 없기 때문에 유사시 비상대응 방안 등 해결해야 할 문제도 적지 않다. 그럼에도 블록체인은 IT 서비스 산업이 부진한 상황 속에서 황금알을 낳는 거위로 도약할 가능성이 점점 커지고 있다.
국내 정보보호 업체, 기술력 인정받아 잇따른 수상 영예
2017년 국내 정보보호업계는 우수한 기술력으로 각종 시상식에서 수상의 영예를 안았다. 먼저 수산홈텍이 개발한 ‘IoT 가스누설경보기’의 경우 혁신성을 인정받아 소방산업대상 산업기술부분에서 국무총리 표창을 수여 받았다. 또한, 개인정보보호 전문기업 이지서티는 2016년 일자리 분야 우수벤처 기업 선정에 이어 2017년 2년 연속 우수벤처 기업으로 선정됐다. 특히, 원천기술과 특허를 보유한 개인정보 접속기록 종합관리 솔루션 ‘UBI SAFER PSM’(이하 PSM)의 우수한 연구개발과 상용화에 공이 컸다.
이와 함께 정보보안 컨설팅 전문업체인 에스에스알은 벤처기업협회에서 주관하는 ‘2017 우수벤처 선정 사업’에서 연구개발부문 우수벤처로 선정됐다. ‘2017 우수벤처 선정 사업’은 우수한 성과를 달성한 벤처기업의 공로를 인정하는 사업으로 객관적 지표를 통해 4개 부문에서 총 44개사만을 선별하는 권위 있는 사업이다. 이 외에도 우경정보기술은 중소기업기술혁신대전에서 중소기업 발전과 산업기술 보호에 이바지한 공로로 중소벤처기업부장관 표창을 받았다.
안랩의 경우 ‘2017년 ESG 우수기업 시상식’에서 ‘최우수기업상’을 수상했다. 안랩은 한국기업지배구조원이 한국거래소(KRX) 상장 법인을 대상으로 실시한 환경경영(Environment), 사회책임경영(Social), 지배구조(Governance) 종합평가 결과에서도 ‘최우수기업상’을 수상했다. 사용자 보안인증 전문기업 센스톤은 국내 스타트업 중 괄목할만한 성장을 거두고 지속적인 인증 신기술 개발과 투자 실적을 인정받아 2017년 K-Global 시큐리티 스타트업 분야 대상을 수상했다.
정보보호업계, 빅데이터 등 신기술 보유 기업 인수합병 활발
2017년 한해 동안 여러 국내 정보보호업계가 인수합병됐다. 닉스테크(현 한류AI센터)는 빅데이타 기반의 이상징후 대응 및 보안 포탈 솔루션 전문 기업인 시큐플러스를 인수했다. 당시 인수는 시큐플러스의 전 직원과 영업 및 유지 보수 등 사업권을 모두 닉스테크가 승계 받는 흡수합병 방식이다. 또한, 보안SW 전문기업 지란지교시큐리티는 빅데이터 분석업체인 모비젠과 보안컨설팅 전문업체인 에스에스알(SSR)을 동시에 인수, 빅데이터 기술과 보안컨설팅 전문인력을 결합한 사업 확대를 추진하며 국내 정보보안 시장서 기업 입지를 강화했다. 지란지교시큐리티는 모비젠과 에스에스알의 인수를 통해 당사의 보안 기술과 빅데이터, 전문 컨설팅의 결합이 가능해졌다. 이와 함께 수산INT는 아라기술의 SSL-PRISM에 사용된 기술 관련 특허 및 소프트웨어를 인수해 암호화된 트래픽을 보안 장비가 판별할 수 있도록 복호화시켜 주는 솔루션 ePrism SSL VA를 출시했다.
한글과컴퓨터그룹(이하 한컴그룹)은 국내 대표 개인안전장비기업 산청의 인수를 완료했다. 한컴그룹은 2017년 7월 7일 재무적 투자자인 스틱인베스트먼트와 함께 창사 이래 최대 규모의 M&A인 2,650억 원 규모의 인수계약을 체결했다. 10월 13일 산업통상자원부의 승인을 거쳐 11월 3일 산청 지분 100%에 대한 인수 거래를 마쳤다. 인수 완료를 기점으로 산청을 한컴그룹의 공식 계열사로 편입시키고 세이프티사업을 그룹의 주력 분야로 정해 본격적인 그룹 내 시너지 창출 추진에 적극 나서고 있다. 세이퍼존은 이메일 보안 전문회사 eWall R&D 회사를 인수했으며, 포스링크가 미래가치를 창출할 수 있는 새로운 사업기회 발굴을 위해 블록체인 플랫폼 및 FIDO 기반 보안인증 업체 써트온의 지분 100%를 인수해서 이목을 끌었다.
첨단 기술을 갖춘 해외업체와 국내 보안업체 간의 협력도 한층 강화됐다. 이스트소프트의 보안 자회사 이스트시큐리티는 가상화 솔루션 전문 기업 필라웨어와 보안사업 강화를 위한 ‘영업 및 기술 협력 파트너’ 협약(MOU)을 맺었다. 양사는 협약을 기점으로 이스트시큐리티의 문서중앙화 보안 기술과 필라웨어의 가상화 구축·관리 기술을 접목해 대기업과 공공기관을 위한 보안 상품을 개발하고 공동 마케팅 활동에 나섰다. 이와 함께 SK인포섹은 점점 더 확대되고 있는 클라우드 가상화 시장을 선점하기 위해 국내 가상화 기술 분야에서 손꼽히는 퓨전데이터와 손을 잡았다.
보안관제, 정보보안 서비스 중 매출액 1위에 매출 증가율 2위
한국정보보호산업협회의 2017년 국내정보보호 산업실태 보고서에 따르면, 전체 정보보안 서비스 분야 중 보안관제의 매출 증가율(17.1%)이 2위로 나타났다. 증가율이 아닌 매출액으로만 보면 독보적인 1위였다. 정보보안산업은 크게 정보보안 제품과 정보보안 서비스로 구분된다. 2017년 보안관제 서비스 시장 매출은 2,742억 8,100만 원으로 집계됐다. 정보보안 서비스 총 매출인 6,441억 2,400만 원 중 절반에 육박하는 비중이다. 매출 증가율 역시 1위인 인증 서비스(20.8%)에도 크게 뒤처지지 않는다. 유지관리·보안성지속(13.9%), 보안컨설팅(11.3%), 교육·훈련(5.4%) 등 기타 분야와 비교할 때는 그 성장세가 더욱 돋보였다.
보안관제 서비스는 과학기술정보통신부의 지정을 받은 기관에 한해 제공이 가능하다. 과기정통부는 국가사이버안전관리규정(제10조의2)과 보안관제 전문기업 지정 등에 관한 공고에 따라 국가·공공기관 보안관제센터 운영을 지원할 보안관제 전문기업을 지정한다. 이 같은 지정 제도는 2011년부터 시작됐다. 현재 17개의 보안관제 전문기업이 지정돼 있다. 지정 요건은 공공기관 보안관제 품질을 제고하는 동시에 시장 진입장벽이 되지 않도록 필요 최소한도로 설정돼 있다. 이들 보안관제 전문기업은 최초 지정 심사를 통과한 후에도 매년 1회 실시되는 사후관리 심사를 통과해야 한다.
보안관제 서비스는 원격관제 서비스와 파견관제 서비스로 나뉜다. 2017년 원격관제 서비스 매출은 1,148억 6,800만 원, 파견관제 서비스 매출은 1,594억 1,300만 원이다. 파견관제 서비스가 약 450억 원 큰 규모다. 향후 보안관제 서비스 시장은 인공지능(AI), 위협 인텔리전스, EDR(Endpoint Detection Response) 등 세 가지 키워드와 맞물려 요약된다. 먼저 AI 기술은 보안관제 서비스를 더욱 체계화·효율화할 것으로 보인다. 위협 인텔리전스도 이슈로 사이트별 이슈, 위협 정보, 대응책 등을 공유하는 업무의 중요성이 계속해서 부각되고 있는 추세이며, EDR를 활용한 관제 역시 앞으로 트렌드가 될 것으로 보인다.
[사진=KISIA]
KISIA, 협회 중심으로 ‘사이버위협정보 공유 협의체’ 본격 추진
한국정보보호산업협회(KISIA)는 2017년 2월 ‘제21차 정기총회’ 열고, 국내 정보보호 산업계를 중심으로 위협정보 공유체계(K-CTA)를 구축하는 일에 적극 나서기로 했다. 은밀화·고도화되는 사이버위협을 개별적으로 탐지·분석하기 어렵고, 또한 파편화된 정보로 정확하게 대응하는 데 근본적인 한계에 봉착했다는 점이 K-CTA를 추진하게 된 배경이라는 설명이다.
또한, 협회에서는 2017년에 RSA 등 해외 유명전시회에 참가하는 한편, KOTRA와 함께 한국관을 운영하는 등 글로벌 진출지원 확대를 도모했다. 이와 함께 한국정보보호학회와 ‘정보통신망 정보보호 워크숍’을 공동주관해 학계와 산업계가 정보보호 이슈를 함께 논의하고, 정례적으로 소통하는 교류의 장으로 만들었다는 평가를 받았다.
[KISIA 역대 회장 인터뷰] 홍기융 제13대 회장(현 시큐브 대표)
회장 재임기간 중 가장 큰 화두가 됐던 보안이슈는 재임기간 중 모 보안기업을 통한 보안위협 사례가 발생했으며, 이를 계기로 금융기관이 ‘금융전산보안 협력업체 보안점검’을 추진하게 되어 긴급히 정보공유 및 대책을 논의하게 됐습니다. 이에 따라 관계기관과 적극 협의해 KISA가 마련한 점검항목 및 일정에 따라 KISA와 금융보안원이 공동점검을 실시하도록 했습니다. 이와 더불어 향후 보안결함, 패치문제 등 이슈 발생 시 신속한 절차에 의하여 고객에게 알리고 패치 등 보안업계의 신뢰성 제고 및 대고객 지원체계 강화 조치를 취하기로 하는 등 재발방지를 위한 협회 차원의 노력에 최선을 다했습니다.
회장 재임기간 중 KISIA에서 정보보호 산업 발전을 위해 가장 중점적으로 추진했던 과제는 2015년 6월 22일에 제정된 「정보보호 산업의 진흥에 관한 법률」이 동년 12월 23일 시행됨에 따라 재임기간 중에는 KISIA가 법령에서 부여받은 산업진흥 관련 임무와 역할들을 중점적으로 추진했습니다. 특히, 국내 우수기업의 해외진출 지원을 위한 기반 조성의 일환으로 2016년 세계 최대 보안전시회인 RSA전시회 참가를 계기로 ‘KIC 실리콘밸리’와 글로벌 진출 지원 MOU를 체결했으며, ‘KIC 유럽’과도 MOU를 체결했습니다.
이와 함께 정보보호 업계의 애로사항 발굴 및 불공정 관행 근절을 통한 정보보호 산업 선순환 생태계 조성을 위한 ‘정보보호 민관합동 모니터링단’을 처음으로 발족하기도 했습니다. 정보보호사업 관련 불공정 발주와 규정위반, 부당행위 사례 등을 상시 모니터링하고 필요한 사항을 권고하는 등 정보보호 모니터링센터의 운영체계를 강화하여 정보보호 산업 발전의 기틀을 마련하였습니다.
마지막으로 정보보호 서비스 대가 현실화를 위해 노력해온 결과, 정보보호 산업계의 오랜 숙원인 정보보호 서비스 대가기준이 공표됐습니다. 해당 기준이 SW사업 대가 산정 가이드에 반영됨으로써 정보보호 성장 모멘텀을 제공할 수 있게 됐습니다. 정보보호 R&D협업 수행과 수요기반 확대도 정보보호기업의 R&D 역량을 글로벌 수준으로 강화하게 되는 하나의 성과라고 볼 수 있을 것 같습니다.
회장 재임 당시 가장 기억에 남는 에피소드와 몇 가지 성과를 꼽아주신다면 제가 회장으로써 가장 뿌듯했던 건 2017년 송년회를 기점으로 ‘올해의 정보보호인’ 상을 제정한 것입니다. 이를 제정함으로써 산업계, 학계, 유관기관 및 언론사 관계자의 자긍심 고취에 기여했으며, 우리 정보보호 산업계의 발전에 기여하신 분들의 노고에 조금이라도 보답하는 계기가 됐습니다. 또한, 한국정보보호학회와 공동주관으로 개최한 NetSec-KR 2017에서 신정부 출범에 대비한 패널토론회에 참석했던 것도 기억에 많이 남습니다. 또한, 회장단과 회원사 및 사무국간 원활한 소통과 유관기관과의 긴밀한 협력관계를 통해 계획했던 협회 사업들이 기대 이상의 성과를 보여 2개년 동안 목적사업준비금으로 2억 6천여만 원을 확충할 수 있었고, 협회 임직원 상호간 친밀감 증진 및 소통 활성화를 위한 KISIA 사무국 워크숍을 회장단과 사무국 임직원 전원이 참석한 가운데 잘 다녀올 수 있었던 것도 소중한 기억으로 남아 있습니다.
*해당 기사의 저작권은 한국정보보호산업협회(KISIA)에 있습니다.
[권 준 기자(editor@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
권준기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
