.jpg)
한국CISO협의회 주최로 더프라자호텔에서 개최...공공기관 및 기업 CISO들 대거 참석
보안담당자가 꼭 알아야할 산업기밀 유출사건과 이메일 첨부파일 공격 대응방법 공유
[보안뉴스 원병철 기자] 지난 5월 삼성전자 자회사인 반도체 생산 장비 업체 세메스가 보유한 국가핵심기술이 중국으로 유출되고, 안마의자로 유명한 바디프랜드의 전 임원이 800억원을 들여 개발한 핵심기술을 중국으로 넘기는 한편, 자신도 동종기업을 차려 빼돌린 기술로 제품을 제작하는 등 잇따른 기술유출 사건으로 한국 기업들의 핵심기술이 심각한 보안위협을 겪고 있다. 이처럼 보안위협이 기승을 부리고 있는 요즘, 한국CISO협의회(회장 이기주)는 6월 21일 개최된 ‘제 119차 CISO 포럼’에서 기업의 핵심기밀 보호를 위한 다양한 대책이 제시돼 호평을 받았다.
이기주 한국CISO협의회 회장은 인사말에서 “7월에는 정보보호의 날이 있고 9월에는 개인정보보호의 날이 있어 우리 CISO들의 노고를 위로받는 시간”이라면서, “특히, 관련 행사 때 정부포상을 위한 추천을 요청하는 경우도 있어 우리 협의회나 회원들의 위상이 한층 높아졌다고 느꼈다”고 말했다.
증가하는 산업기밀 유출사건, 핵심인재 관리 측면에서 접근해야
이날 첫 번째 강연은 신현구 한국기업보안협의회 회장이 ‘최근 산업기밀 유출사건으로 본 기업보안 실태와 대응방안’을 주제로 진행했다. 신현구 회장은 “얼마 전 발생한 대기업과 유망 중소기업의 기술유출 사건처럼 기업의 산업기밀을 노린 유출사건은 꾸준하게 발생하고 있다”면서, “기업보안에 대한 논의가 본격적으로 시작된 지 벌써 20여년에 가깝지만 아직도 부족한 부분이 많다”고 지적했다.
특히, 신현구 회장은 산업보안을 IT로만 접근하려는 경우가 많은데, 가장 중요한 ‘사람’에 주목해야 한다고 강조했다. 정보는 생물이 아니라 스스로 움직일 수 없기에 기밀정보 유출도 결국 사람의 행동이 수반된다는 얘기다.
“기술 유출은 기술 개발보다 더 빠르고 비용도 덜 들죠. 심지어 경쟁사 임직원을 빼올 경우 경쟁사에 타격을 입힐 수도 있습니다. 일석이조인 셈이죠. 게다가 시대가 변하면서 평생직장이라는 가치가 사라지고 기업에 대한 애사심이 약해지면서 이를 노린 경쟁사의 유혹 등으로 내부 직원에 의한 기술유출은 계속 증가하고 있습니다.”
이에 신현구 회장은 C레벨을 포함한 전 임직원의 보안의식을 고취시킬 수 있는 보안교육을 활성화하는 한편, 임직원 관리나 주기적인 평가, 모니터링 등을 강화해야 한다고 강조했다. 아울러 기업의 핵심인재에게는 구체적인 보상체계를 갖춰 관리해야 한다고 덧붙였다.
진화하는 악성코드, 리버스 엔지니어링 기법으로 추적·분석한다
두 번째 강연에선 임차성 시큐레터 대표가 ‘문서기반 해킹 공격의 특수성과 효과적인 대응방안’을 주제로 가장 많이 발생하는 이메일 기반의 사이버 공격에 대해 설명했다. 임차성 대표는 “악성코드는 이메일을 통해 가장 많이 들어오며, 대부분 문서형태”라면서, “실제 조사결과 이메일에 첨부된 문서파일을 통한 공격 비율이 70.6%로 가장 높았다”고 말했다.
실제로 최근 문서 기반의 해킹 공격은 다양한 언론보도를 통해 급증하고 있다는 것을 확인할 수 있다. 정부 역시 사이버 위기 경보를 ‘관심’에서 ‘주의’로 상향하고, 지능화되고 있는 사이버 위협에 선제적 대응이 필요하다고 밝힌 바 있다.
“악성파일, 악성코드를 만드는 해커들도 보안 솔루션을 피하기 위해 다양한 노력을 합니다. 안티 멀웨어를 피하기 위해 새로운 악성코드를 만들고, 샌드박스를 우회하기 위해 악성행위 발생 시기를 늦추기도 합니다. 이 때문에 악성코드가 움직이기 전에 선제적으로 찾아 분석하는 리버스 엔지니어링 기법이 필요합니다.”
한편, 국내 기관 및 기업의 정보보호최고책임자 모임인 한국CISO협의회는 기업 정보보호 수준을 제고하고, CISO 네트워크 강화를 통한 사이버 보안 위협 공동대응 및 정보보호 유관기관과의 소통 창구 역할을 위해 지난 2009년 설립된 단체다. 정보통신망법 제45조의3(정보보호 최고책임자의 지정 등)에 근거해 설치 및 운영 중이며, CEO는 물론 임직원 정보보호 인식 제고 및 자발적 정보보호 투자촉진 유도 등 기업 정보보호 실천환경 조성을 위해 정책을 제안하고 회원사간 협력을 강화하고 있다.
[원병철 기자(boanone@boannews.com)]
보안담당자가 꼭 알아야할 산업기밀 유출사건과 이메일 첨부파일 공격 대응방법 공유
[보안뉴스 원병철 기자] 지난 5월 삼성전자 자회사인 반도체 생산 장비 업체 세메스가 보유한 국가핵심기술이 중국으로 유출되고, 안마의자로 유명한 바디프랜드의 전 임원이 800억원을 들여 개발한 핵심기술을 중국으로 넘기는 한편, 자신도 동종기업을 차려 빼돌린 기술로 제품을 제작하는 등 잇따른 기술유출 사건으로 한국 기업들의 핵심기술이 심각한 보안위협을 겪고 있다. 이처럼 보안위협이 기승을 부리고 있는 요즘, 한국CISO협의회(회장 이기주)는 6월 21일 개최된 ‘제 119차 CISO 포럼’에서 기업의 핵심기밀 보호를 위한 다양한 대책이 제시돼 호평을 받았다.
▲인사말을 전한 이기주 한국CISO협의회 회장, 강연을 진행한 신현구 한국기업보안협의회 회장과 임차성 시큐레터 대표[사진=보안뉴스]
이기주 한국CISO협의회 회장은 인사말에서 “7월에는 정보보호의 날이 있고 9월에는 개인정보보호의 날이 있어 우리 CISO들의 노고를 위로받는 시간”이라면서, “특히, 관련 행사 때 정부포상을 위한 추천을 요청하는 경우도 있어 우리 협의회나 회원들의 위상이 한층 높아졌다고 느꼈다”고 말했다.
증가하는 산업기밀 유출사건, 핵심인재 관리 측면에서 접근해야
이날 첫 번째 강연은 신현구 한국기업보안협의회 회장이 ‘최근 산업기밀 유출사건으로 본 기업보안 실태와 대응방안’을 주제로 진행했다. 신현구 회장은 “얼마 전 발생한 대기업과 유망 중소기업의 기술유출 사건처럼 기업의 산업기밀을 노린 유출사건은 꾸준하게 발생하고 있다”면서, “기업보안에 대한 논의가 본격적으로 시작된 지 벌써 20여년에 가깝지만 아직도 부족한 부분이 많다”고 지적했다.
특히, 신현구 회장은 산업보안을 IT로만 접근하려는 경우가 많은데, 가장 중요한 ‘사람’에 주목해야 한다고 강조했다. 정보는 생물이 아니라 스스로 움직일 수 없기에 기밀정보 유출도 결국 사람의 행동이 수반된다는 얘기다.
“기술 유출은 기술 개발보다 더 빠르고 비용도 덜 들죠. 심지어 경쟁사 임직원을 빼올 경우 경쟁사에 타격을 입힐 수도 있습니다. 일석이조인 셈이죠. 게다가 시대가 변하면서 평생직장이라는 가치가 사라지고 기업에 대한 애사심이 약해지면서 이를 노린 경쟁사의 유혹 등으로 내부 직원에 의한 기술유출은 계속 증가하고 있습니다.”
이에 신현구 회장은 C레벨을 포함한 전 임직원의 보안의식을 고취시킬 수 있는 보안교육을 활성화하는 한편, 임직원 관리나 주기적인 평가, 모니터링 등을 강화해야 한다고 강조했다. 아울러 기업의 핵심인재에게는 구체적인 보상체계를 갖춰 관리해야 한다고 덧붙였다.
▲제119회 CISO 포럼[사진=보안뉴스]
진화하는 악성코드, 리버스 엔지니어링 기법으로 추적·분석한다
두 번째 강연에선 임차성 시큐레터 대표가 ‘문서기반 해킹 공격의 특수성과 효과적인 대응방안’을 주제로 가장 많이 발생하는 이메일 기반의 사이버 공격에 대해 설명했다. 임차성 대표는 “악성코드는 이메일을 통해 가장 많이 들어오며, 대부분 문서형태”라면서, “실제 조사결과 이메일에 첨부된 문서파일을 통한 공격 비율이 70.6%로 가장 높았다”고 말했다.
실제로 최근 문서 기반의 해킹 공격은 다양한 언론보도를 통해 급증하고 있다는 것을 확인할 수 있다. 정부 역시 사이버 위기 경보를 ‘관심’에서 ‘주의’로 상향하고, 지능화되고 있는 사이버 위협에 선제적 대응이 필요하다고 밝힌 바 있다.
“악성파일, 악성코드를 만드는 해커들도 보안 솔루션을 피하기 위해 다양한 노력을 합니다. 안티 멀웨어를 피하기 위해 새로운 악성코드를 만들고, 샌드박스를 우회하기 위해 악성행위 발생 시기를 늦추기도 합니다. 이 때문에 악성코드가 움직이기 전에 선제적으로 찾아 분석하는 리버스 엔지니어링 기법이 필요합니다.”
한편, 국내 기관 및 기업의 정보보호최고책임자 모임인 한국CISO협의회는 기업 정보보호 수준을 제고하고, CISO 네트워크 강화를 통한 사이버 보안 위협 공동대응 및 정보보호 유관기관과의 소통 창구 역할을 위해 지난 2009년 설립된 단체다. 정보통신망법 제45조의3(정보보호 최고책임자의 지정 등)에 근거해 설치 및 운영 중이며, CEO는 물론 임직원 정보보호 인식 제고 및 자발적 정보보호 투자촉진 유도 등 기업 정보보호 실천환경 조성을 위해 정책을 제안하고 회원사간 협력을 강화하고 있다.
[원병철 기자(boanone@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
[2024-11-22] 
.jpg)
.jpg)
.jpg)
.jpg)
.jpg)
