.jpg)
국가정보원 ‘2022 국가정보보호백서’ 발간, 10대 이슈와 함께 대응책 제시도
[보안뉴스 김영명 기자] 국가정보원이 ‘2022 국가정보보호백서’를 발간했다. 국가정보보호백서는 국가정보원이 과학기술정보통신부, 행정안전부, 개인정보보호위원회, 금융위원회, 외교부 등과 함께 매년 발간해 오며 정보보호의 총람이 되고 있다. 이번에 발간된 ‘2022 국가정보보호백서’는 2002년에 첫 발행 이후 21회째 발행이다.
‘2022 국가정보보호백서’는 지난 1년간 정보보호와 관련된 주요 연혁과 함께 2021년 정보보호 10대 이슈를 짚었다. 본문에서는 제1편 ‘정보보호 환경 변화 및 사이버위협 동향’, 제2편 ‘정보보호 법·제도 및 기관’, 제3편 ‘분야별 정보보호 활동’, 제4편 ‘정보보호 기반조성’ 등 크게 4개 주제로 나눠 지난해 우리나라 정보보호 전반에 대한 활동과 함께 정부 정책과 제도의 변화, 기술 개발과 인력양성 등을 상세하게 다뤘다.
‘2022 국가정보보호백서’에서 키워드로 선정한 2021년 정보보호 10대 이슈는 △국경을 넘는 공격망과 첨단기술 탈취 심화 △랜섬웨어 조직의 진화와 공격 대상 확장 △Log4j 등 오픈소스 프로그램의 심각한 보안 취약점 노출 △‘우리 생활을 더 편리하게’, 스마트홈·IoT기기와 통합 관리의 취약성 △해커의 먹잇감, 코로나19와 비대면 서비스 환경 △금융정보를 노리는 사이버공격의 진화 △가상융합경제의 폭발적 확장을 노린 사이버위협의 등장 △민·관 정보공유 확대를 통한 범국가적 사이버위협 대응 기반 구축 △‘세계적 사이버보안 강국’으로 국가 글로벌사이버보안지수 4위 달성 △정보보호 공시 의무제도 도입과 보안적합성 검증제도의 혁신을 통한 정보보호산업 투자 활성화 등이다.
첫 번째 이슈인 ‘국경을 넘는 공격망과 첨단기술 탈취 심화’에서는 국가기반시설과 주요 사회 인프라를 대상으로 사이버공격의 빈도와 강도가 지속해서 증가하고 있다고 밝혔다. 특히, 사이버 공격자들은 고도화된 APT(지능형 지속 공격) 기법으로 무장해 사회 혼란을 야기하고, 국가 간 분쟁까지 유도하고 있다고 분석했다. 하지만 우리나라는 해마다 증가하는 사이버공격에 대해 다소 수동적인 대응조치를 이어가고 있어, 공격 주체를 특정해 대응할 수 있는 역량과 제도 마련이 시급하다고 강조했다.
두 번째 이슈인 ‘랜섬웨어 조직의 진화와 공격 대상 확장’은 2015년 초 PC 단말기로 시작한 공격이 지난해에는 인공지능과 IoT, 스마트공장, 공급망 시스템 등으로 계속 확대되고 있다고 분석했다. 최근에는 랜섬웨어 공격 후 가격을 지불하지 않으면 디도스 공격을 통해 정보통신인프라와 서비스를 마비시키겠다고 협박하는 신종 랜섬 디도스 공격 수법도 등장했다. 이에 대해 우리나라는 지난해 8월 관계부처 합동으로 ‘랜섬웨어 대응 강화방안’을 수립, 24시간 랜섬웨어 대응지원반 운영을 시작했으며, 보안체계 구축 여력이 부족한 기업에 △메일보안 소프트웨어 △백신 △탐지·차단 소프트웨어 등 ‘랜섬웨어 대응 3종 패키지’를 제공하고 있다고 밝혔다.
세 번째 이슈인 ‘Log4j 등 오픈소스 프로그램의 심각한 보안 취약점 노출’에 대해서는 지난해 오픈소스의 높은 효율성으로 사용이 급격하게 확장됐지만, 오픈소스 개발방식은 보안 취약점 노출 등 문제 발생 시 막대한 파급영향을 초래할 수 있음을 지적했다. 지난해 11월에는 오픈소스 Log4j의 취약점이 발견됐으며 각 조직 내에 정확한 사용 여부와 사용 코드 확인이 어렵고 버전이 상이함으로 인해 신속한 대응이 어렵다고 분석했다.
네 번째 이슈는 ‘스마트홈·IoT기기와 통합 관리의 취약성’이다. 인공지능 스피커와 로봇 청소기 등 스마트홈·IoT기기의 보급은 늘어나고 있지만 이러한 스마트홈 기능은 편의성에 집중할 뿐 높은 권한 대비 보안에 대한 고려가 부족하다고 밝혔다. 지난해 11월에는 아파트 각 세대 간 영상통화 목적의 월패드 카메라가 해킹돼 집안 내부 사생활이 그대로 노출된 사건이 발생하기도 했다. 편의성과 상업성에 초점을 맞춘 기술발전으로 보안의 취약점이 적나라하게 드러났다.
다섯 번째로는 ‘해커의 먹잇감, 코로나19와 비대면 서비스 환경’이다. 코로나19가 2년 넘게 지속되면서 비대면 서비스의 전환이 급속도로 확산되지만, IT 중심의 비대면 서비스는 원격 업무 솔루션과 가상사설망(VPN) 등이 중심이 되며 해커의 주요 표적이 되고 있다고 짚었다. 특히, 사이버 공격자가 가상 사설망의 취약점을 이용해 정보를 탈취하는 사례가 늘어났지만, 아직 VPN의 취약점 문제는 완전히 해소되지 않았고, 국가적 차원의 신기술 연구와 정책적인 노력이 끊임없이 요구되고 있다.
여섯 번째는 ‘금융정보를 노리는 사이버공격의 진화’로 편의성과 보안위협의 연계성을 설명했다. 신용카드 정보는 온·오프라인 결제 시 유출되며, 해커는 온라인 유통업체 해킹 또는 POS 단말기에 악성코드를 심는 방법으로 카드 정보를 탈취한다. 해커는 이렇게 탈취한 카드 정보를 다크웹 유통망을 통해 거래한다. 실제 카드 개인정보의 다크웹 거래 규모는 꾸준히 증가하고 있으며, 다크웹에서 판매된 400만개의 카드 정보 중 1만 2,5000여개가 우리나라 카드 정보라는 조사 결과도 발표됐다. 이를 방지하기 위해서는 관리자와 사용자 모두 다단계 인증, 비밀번호 시스템 개선 등 금융정보 유출을 막기 위해 적극적인 노력이 필요하다.
일곱 번째는 ‘가상융합경제의 폭발적 확장을 노린 사이버위협의 등장’이다. 우리나라는 경제사회 전반에 가상융합기술을 확산시켜 2025년까지 30조원의 경제적 파급효과를 달성하는 것을 목표로 하고 있다. 가상융합기술은 메타버스가 중심이 되고 있다. 공격자는 메타버스 기기의 보안 취약점을 악용해 관리자 권한을 탈취하거나 중앙 서버에 침투해 정보를 탈취할 수 있다. 이와 함께 메타버스와 관련한 대체불가능토큰(NFT)은 위·변조 방지에는 강력하지만 접근 권한 탈취 또는 신종 스캠(신용사기)에 악용될 수 있어 보안상 주의가 필요하다.
여덟 번째는 ‘민·관 정보공유 확대를 통한 범국가적 사이버위협 대응 기반 구축’이다. 지난해 정부는 사이버위협 대응에 대해 유연성과 효율성 제고를 위해 국가정보원이 수집한 정보를 민간분야와 공유하는 방안을 모색하고, 방산업계와 사이버위협 정보공유와 함께 올해 초에는 민간분야까지 정보공유를 확대했다. 지난해 말에는 국가사이버안보센터 홈페이지를 개설하며 사이버위기 경보 상황의 공유와 취약점 신고 등 민간과의 접근성을 높이기도 했다.
아홉 번째는 ‘세계적 사이버보안 강국으로 국가 글로벌사이버보안지수 4위 달성’이다. 유엔 산하 국제전기통신연합(ITU)가 주관하는 글로벌사이버보안지수(GCI)는 각국의 사이버보안 수준을 파악하는 정량적 평가체계다. 지난해 6월에 발표된 4번째 GCI 평가에서 우리나라는 미국, 영국·사우디아라비아, 에스토니아에 이어 싱가포르·스페인과 함께 4위를 기록했다. 우리나라는 법, 기술, 조직, 역량개발, 협력 등 GCI 5대 평가영역 중 법, 역량개발, 협력의 3개 영역에서 만점을 획득하고, 기술, 조직 2개 영역에서도 상위권을 기록하며 대외적으로 사이버보안 역량을 인정받았다.
열 번째는 ‘정보보호 공시 의무제도 도입과 보안적합성 검증제도의 혁신을 통한 정보보호산업 투자 활성화’다. 우리 정부는 지난해 5월 ‘정보보호제품 평가·인증 수행규정’을 개정해 보안적합성 검증제도 요건을 완화했으며, 12월에는 ‘정보보호산업의 진흥에 관한 법률’ 개정을 통해 정보보호 공시를 의무화했다. 정보보호 공시제도는 기업의 정보보호 투자, 인력, 인증 등 관련 활동 정보를 일반에 공개하는 제도로, 2016년부터 자율제 형태로 운영됐지만, 2021년 일정 규모 이상 기업에 의무공시하도록 법률을 개정했다. 공시 의무화를 통해 기업은 자사 신뢰성 제고를 위해 정보보호 분야에 대한 투자를 확대할 것으로 전망된다.
한편, 국정원은 올해 사이버위협에 대해 △미·중 등의 대립 심화, 국제 사이버분쟁으로 표출 △전방위적 첨단기술·안보현안 정보절취 공격 기승 △신 금전갈취 수법 등장 등 랜섬웨어 공격 지능·다변화 △포스트 코로나 시대 진입, 신기술 대상 해킹위협 증대 △AI·블록체인 등 최신 기술을 해킹수법에 악용 등이 주요 특징이 될 것으로 전망했다.
[김영명 기자(sw@boannews.com)]
[보안뉴스 김영명 기자] 국가정보원이 ‘2022 국가정보보호백서’를 발간했다. 국가정보보호백서는 국가정보원이 과학기술정보통신부, 행정안전부, 개인정보보호위원회, 금융위원회, 외교부 등과 함께 매년 발간해 오며 정보보호의 총람이 되고 있다. 이번에 발간된 ‘2022 국가정보보호백서’는 2002년에 첫 발행 이후 21회째 발행이다.
[이미지=utoimage]
‘2022 국가정보보호백서’는 지난 1년간 정보보호와 관련된 주요 연혁과 함께 2021년 정보보호 10대 이슈를 짚었다. 본문에서는 제1편 ‘정보보호 환경 변화 및 사이버위협 동향’, 제2편 ‘정보보호 법·제도 및 기관’, 제3편 ‘분야별 정보보호 활동’, 제4편 ‘정보보호 기반조성’ 등 크게 4개 주제로 나눠 지난해 우리나라 정보보호 전반에 대한 활동과 함께 정부 정책과 제도의 변화, 기술 개발과 인력양성 등을 상세하게 다뤘다.
‘2022 국가정보보호백서’에서 키워드로 선정한 2021년 정보보호 10대 이슈는 △국경을 넘는 공격망과 첨단기술 탈취 심화 △랜섬웨어 조직의 진화와 공격 대상 확장 △Log4j 등 오픈소스 프로그램의 심각한 보안 취약점 노출 △‘우리 생활을 더 편리하게’, 스마트홈·IoT기기와 통합 관리의 취약성 △해커의 먹잇감, 코로나19와 비대면 서비스 환경 △금융정보를 노리는 사이버공격의 진화 △가상융합경제의 폭발적 확장을 노린 사이버위협의 등장 △민·관 정보공유 확대를 통한 범국가적 사이버위협 대응 기반 구축 △‘세계적 사이버보안 강국’으로 국가 글로벌사이버보안지수 4위 달성 △정보보호 공시 의무제도 도입과 보안적합성 검증제도의 혁신을 통한 정보보호산업 투자 활성화 등이다.
첫 번째 이슈인 ‘국경을 넘는 공격망과 첨단기술 탈취 심화’에서는 국가기반시설과 주요 사회 인프라를 대상으로 사이버공격의 빈도와 강도가 지속해서 증가하고 있다고 밝혔다. 특히, 사이버 공격자들은 고도화된 APT(지능형 지속 공격) 기법으로 무장해 사회 혼란을 야기하고, 국가 간 분쟁까지 유도하고 있다고 분석했다. 하지만 우리나라는 해마다 증가하는 사이버공격에 대해 다소 수동적인 대응조치를 이어가고 있어, 공격 주체를 특정해 대응할 수 있는 역량과 제도 마련이 시급하다고 강조했다.
두 번째 이슈인 ‘랜섬웨어 조직의 진화와 공격 대상 확장’은 2015년 초 PC 단말기로 시작한 공격이 지난해에는 인공지능과 IoT, 스마트공장, 공급망 시스템 등으로 계속 확대되고 있다고 분석했다. 최근에는 랜섬웨어 공격 후 가격을 지불하지 않으면 디도스 공격을 통해 정보통신인프라와 서비스를 마비시키겠다고 협박하는 신종 랜섬 디도스 공격 수법도 등장했다. 이에 대해 우리나라는 지난해 8월 관계부처 합동으로 ‘랜섬웨어 대응 강화방안’을 수립, 24시간 랜섬웨어 대응지원반 운영을 시작했으며, 보안체계 구축 여력이 부족한 기업에 △메일보안 소프트웨어 △백신 △탐지·차단 소프트웨어 등 ‘랜섬웨어 대응 3종 패키지’를 제공하고 있다고 밝혔다.
세 번째 이슈인 ‘Log4j 등 오픈소스 프로그램의 심각한 보안 취약점 노출’에 대해서는 지난해 오픈소스의 높은 효율성으로 사용이 급격하게 확장됐지만, 오픈소스 개발방식은 보안 취약점 노출 등 문제 발생 시 막대한 파급영향을 초래할 수 있음을 지적했다. 지난해 11월에는 오픈소스 Log4j의 취약점이 발견됐으며 각 조직 내에 정확한 사용 여부와 사용 코드 확인이 어렵고 버전이 상이함으로 인해 신속한 대응이 어렵다고 분석했다.
네 번째 이슈는 ‘스마트홈·IoT기기와 통합 관리의 취약성’이다. 인공지능 스피커와 로봇 청소기 등 스마트홈·IoT기기의 보급은 늘어나고 있지만 이러한 스마트홈 기능은 편의성에 집중할 뿐 높은 권한 대비 보안에 대한 고려가 부족하다고 밝혔다. 지난해 11월에는 아파트 각 세대 간 영상통화 목적의 월패드 카메라가 해킹돼 집안 내부 사생활이 그대로 노출된 사건이 발생하기도 했다. 편의성과 상업성에 초점을 맞춘 기술발전으로 보안의 취약점이 적나라하게 드러났다.
다섯 번째로는 ‘해커의 먹잇감, 코로나19와 비대면 서비스 환경’이다. 코로나19가 2년 넘게 지속되면서 비대면 서비스의 전환이 급속도로 확산되지만, IT 중심의 비대면 서비스는 원격 업무 솔루션과 가상사설망(VPN) 등이 중심이 되며 해커의 주요 표적이 되고 있다고 짚었다. 특히, 사이버 공격자가 가상 사설망의 취약점을 이용해 정보를 탈취하는 사례가 늘어났지만, 아직 VPN의 취약점 문제는 완전히 해소되지 않았고, 국가적 차원의 신기술 연구와 정책적인 노력이 끊임없이 요구되고 있다.
여섯 번째는 ‘금융정보를 노리는 사이버공격의 진화’로 편의성과 보안위협의 연계성을 설명했다. 신용카드 정보는 온·오프라인 결제 시 유출되며, 해커는 온라인 유통업체 해킹 또는 POS 단말기에 악성코드를 심는 방법으로 카드 정보를 탈취한다. 해커는 이렇게 탈취한 카드 정보를 다크웹 유통망을 통해 거래한다. 실제 카드 개인정보의 다크웹 거래 규모는 꾸준히 증가하고 있으며, 다크웹에서 판매된 400만개의 카드 정보 중 1만 2,5000여개가 우리나라 카드 정보라는 조사 결과도 발표됐다. 이를 방지하기 위해서는 관리자와 사용자 모두 다단계 인증, 비밀번호 시스템 개선 등 금융정보 유출을 막기 위해 적극적인 노력이 필요하다.
일곱 번째는 ‘가상융합경제의 폭발적 확장을 노린 사이버위협의 등장’이다. 우리나라는 경제사회 전반에 가상융합기술을 확산시켜 2025년까지 30조원의 경제적 파급효과를 달성하는 것을 목표로 하고 있다. 가상융합기술은 메타버스가 중심이 되고 있다. 공격자는 메타버스 기기의 보안 취약점을 악용해 관리자 권한을 탈취하거나 중앙 서버에 침투해 정보를 탈취할 수 있다. 이와 함께 메타버스와 관련한 대체불가능토큰(NFT)은 위·변조 방지에는 강력하지만 접근 권한 탈취 또는 신종 스캠(신용사기)에 악용될 수 있어 보안상 주의가 필요하다.
여덟 번째는 ‘민·관 정보공유 확대를 통한 범국가적 사이버위협 대응 기반 구축’이다. 지난해 정부는 사이버위협 대응에 대해 유연성과 효율성 제고를 위해 국가정보원이 수집한 정보를 민간분야와 공유하는 방안을 모색하고, 방산업계와 사이버위협 정보공유와 함께 올해 초에는 민간분야까지 정보공유를 확대했다. 지난해 말에는 국가사이버안보센터 홈페이지를 개설하며 사이버위기 경보 상황의 공유와 취약점 신고 등 민간과의 접근성을 높이기도 했다.
아홉 번째는 ‘세계적 사이버보안 강국으로 국가 글로벌사이버보안지수 4위 달성’이다. 유엔 산하 국제전기통신연합(ITU)가 주관하는 글로벌사이버보안지수(GCI)는 각국의 사이버보안 수준을 파악하는 정량적 평가체계다. 지난해 6월에 발표된 4번째 GCI 평가에서 우리나라는 미국, 영국·사우디아라비아, 에스토니아에 이어 싱가포르·스페인과 함께 4위를 기록했다. 우리나라는 법, 기술, 조직, 역량개발, 협력 등 GCI 5대 평가영역 중 법, 역량개발, 협력의 3개 영역에서 만점을 획득하고, 기술, 조직 2개 영역에서도 상위권을 기록하며 대외적으로 사이버보안 역량을 인정받았다.
열 번째는 ‘정보보호 공시 의무제도 도입과 보안적합성 검증제도의 혁신을 통한 정보보호산업 투자 활성화’다. 우리 정부는 지난해 5월 ‘정보보호제품 평가·인증 수행규정’을 개정해 보안적합성 검증제도 요건을 완화했으며, 12월에는 ‘정보보호산업의 진흥에 관한 법률’ 개정을 통해 정보보호 공시를 의무화했다. 정보보호 공시제도는 기업의 정보보호 투자, 인력, 인증 등 관련 활동 정보를 일반에 공개하는 제도로, 2016년부터 자율제 형태로 운영됐지만, 2021년 일정 규모 이상 기업에 의무공시하도록 법률을 개정했다. 공시 의무화를 통해 기업은 자사 신뢰성 제고를 위해 정보보호 분야에 대한 투자를 확대할 것으로 전망된다.
▲국가정보원이 발간한 ‘2022 국가정보보호백서’ 표지[책 표지=국가정보원]
한편, 국정원은 올해 사이버위협에 대해 △미·중 등의 대립 심화, 국제 사이버분쟁으로 표출 △전방위적 첨단기술·안보현안 정보절취 공격 기승 △신 금전갈취 수법 등장 등 랜섬웨어 공격 지능·다변화 △포스트 코로나 시대 진입, 신기술 대상 해킹위협 증대 △AI·블록체인 등 최신 기술을 해킹수법에 악용 등이 주요 특징이 될 것으로 전망했다.
[김영명 기자(sw@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김영명기자 기사보기
[2024-11-22] .jpg)
.jpg)
.jpg)
.jpg)
.jpg)
