.jpg)
2015년형 TV 제품부터 보안 솔루션 ‘삼성 녹스’ 적용한 후, 10년 연속 CC 인증 받아
국내 기업 대다수, 공격자의 노력에 비해 방어대책 마련에 필요한 보안 투자 턱없이 부족
AI 시대, 보안장비 투자 외에 인력·솔루션·교육 등 다양한 측면에서 보안 강화 고민해야
[보안뉴스 김경애 기자] 최근 삼성전자의 가전제품이 글로벌 사물인터넷(IoT) 보안 평가에서 최고 등급인 ‘다이아몬드’를 받은 것으로 알려져 큰 화제가 됐다. 바로 삼성전자의 최신 냉장고(2024년형 비스포크 냉장고 패밀리허브 플러스)가 ‘UL 솔루션즈(UL Solutions)’ 주관으로 실시한 평가에서 사용자의 개인정보를 강력하게 보호하는 보안 성능을 인정받은 것. 글로벌 가전업계 최초라는 타이틀에 삼성전자의 보안에도 관심이 모아지고 있다.
‘UL 솔루션즈’에서 실시하는 IoT 보안 평가는 스마트 가전의 해킹 위험성과 보안 수준에 대한 엄격한 테스트를 거쳐 브론즈부터 실버, 골드, 플래티넘, 다이아몬드까지 총 5단계의 등급으로 나눠 부여된다. 그중 까다롭기로 소문난 다이아몬드 등급은 △악성 소프트웨어 변조 탐지 △불법 접근 시도 방지 △사용자 데이터 익명화 등의 항목에서 까다로운 시험을 통과해야 획득할 수 있다.
특히 플래티넘 등급 대비 다이아몬드 등급은 △항상 신뢰 가능한 하드웨어 기반의 보안 제공 △알려지지 않은 잠재적 취약점 테스트 △보안 취약점 조기 탐지를 위한 프로그램 운영 등의 내용이 추가로 요구된다.
삼성전자 DA사업부 유미영 부사장은 “삼성전자는 혁신적인 AI 기술 적용은 물론, 이를 사용하는 소비자들의 보안을 최우선으로 제품을 개발하고 있다”며 “앞으로도 다양한 AI 가전을 안심하고 사용할 수 있도록 보안 안전성을 철저히 관리해 나갈 것”이라고 말했다.
이렇듯 글로벌 기업 삼성전자가 보안으로 전 세계 이목을 집중시켰다는 건 그만큼 보안이 중요해지고 있다는 걸 의미한다. 그렇다면 삼성전자의 가전제품은 어떻게 최고 보안 등급을 받을 수 있었을까? 그 비결은 거창한 게 아니다. 오랜 기간 동안 보안에 대한 투자와 관심, 노력이 뒷받침됐기 때문이다. 삼성전자는 2024년형 TV에 적용된 보안 솔루션인 ‘삼성 녹스(Knox)’가 ‘국제 공통 평가 기준(Common Criteria, 이하 CC)’ 인증을 획득했다. 하지만 이미 지난 2015년형 TV 제품부터 보안 솔루션인 삼성 녹스를 적용한 후, 10년 연속 CC 인증을 받아왔다.
이러한 삼성전자를 거울 삼아 국내 기업 및 기관은 보안 투자를 더욱 확대해야 한다고 입을 모으고 있다. 익명을 요청한 보안전문가는 “삼성전자의 경우 취약점 점검을 위해 보안기업을 모집하고, 선정된 3~4개 기업이 동시에 삼성전자 제품의 취약점을 점검하고 보안 패치를 진행했다”며 “그 이후 다른 관점에서 취약점을 살펴볼 수 있도록 앞서 점검한 기업과 또 다른 기업을 모집해 취약점 점검과 보안 패치를 적용했다”고 설명했다.
이는 취약점이나 보안 위협이 될 수 있는 요인들을 사전에 철저히 점검하고, 이러한 과정을 여러 차례 반복하면서 지금의 보안수준까지 이르게 된 것이란 얘기다. 즉 삼성전자는 세계 최고 기업으로 성장하는데 있어 보안이 매우 중요하다는 사실을 일찌감치 인식하고, 이를 꾸준히 실행에 옮겨온 셈이다.
SECON & eGISEC 2024 오픈 컨퍼런스 발표에서 파인더갭 한영석 이사는 “삼성전자는 전 세계의 보안 연구자들과 적극적으로 소통해 완벽한 보안 시스템 구현에 노력한다”며 “보안 취약점은 이메일, 제보 웹사이트 등 다양한 채널을 통해 접수 받고, 취약점을 빠르게 제거해 위협을 차단한다”고 밝혔다. 또한 보안 취약점을 발견해 제보하는 경우 보상하는 버그바운티 프로그램(Bug Bounty Program)을 운영하고 있다고 덧붙였다.
하지만 이는 삼성전자를 비롯한 극히 일부 기업에만 해당되는 얘기다. 대다수 기업의 보안 투자는 여전히 턱없이 부족한 실정이다. 그나마 보안 사고를 겪은 기업이 이미지 타격과 경제적 손실을 체감한 후, 보안을 강화하는 사례가 대부분으로, 스스로 보안을 개선하려는 의지를 가진 기업은 극히 드문 게 현실이다.
이는 3.20 사이버테러 당시 피해를 입은 금융기관을 통해서도 알 수 있다. 당시 북한의 사이버 공격을 받아 피해를 입은 금융기관의 경우 해당 사건 이후 보안조직 확대 및 CISO 영입, 보안교육 확대, 보안문화 조성 등 다방면에서 보안을 강화하는데 주력했다.
익명을 요청한 보안전문가는 “2013년 발생한 3.20 사이버테러 당시 사이버 공격 피해를 입었던 농협이나 신한은행의 경우 그 사건 이후 보안 이슈의 중심에 서지 않았다”며 “사고 발생 이후 보안 투자를 크게 확대했기 때문에 현재는 이전과 같은 보안 이슈가 발생하거나 언론에 등장하지 않는다”고 밝혔다.
이는 보안 사고를 통해 보안이 얼마나 중요한지 몸소 체득했기 때문에 가능한 일이다. 그러나 상당수의 기업은 1년에 취약점 점검 한번 받고 할 일 다했다고 생각하는 경우가 허다할 정도로 보안에 대한 투자와 관심은 아주 미흡한 상황이다.
스틸리언 신동휘 CTO는 “최근 북한의 사이버공격 그룹 ‘라자루스’가 1,200만 달러 가량의 가상화폐를 탈취했다는 내용이 보도된 바 있는데, 이는 바로 북한 해커들이 하루종일 공격에만 몰두하고, 다양한 공격 전략을 수립하기 위해 엄청난 노력을 기울인 결과”라고 말했다.
그만큼 많은 가상화폐를 탈취할 수 있었다는 건 수도 없이 많은 해킹 시도 끝에 얻어진 결과로, 공격 성공을 위한 많은 노력과 전략, 투자가 있었다는 얘기다. 반면, 이를 방어해야 하는 기업이나 기관은 제대로 된 보안 투자, 보안에 대한 심층적인 고민, 방어 전략 등 모든 측면에서 공격자의 노력에 비해 한참 뒤쳐지고 있다는 게 신 CTO의 지적이다.
그러면서 신동휘 CTO는 “보안장비에 대한 투자를 제외한 인력, 솔루션, 교육 등에 얼마만큼 투자를 하고 관심이 있는지 다시 한번 생각해봐야 한다”며 “집중 투자와 꾸준한 투자도 병행돼야 하고, 어떻게 방어하면 효과적일지 아이디어를 발굴하고 신속하게 도입하는 체계가 마련돼야 한다”고 강조했다. 이어 “직원들을 대상으로 급변하는 보안 트렌드에 대해 꾸준히 교육하고, 교육방식도 듣는 것에만 그치는 수동적인 교육 시스템이 아닌 교육의 품질을 높인 실무교육으로 스스로 생각하고 응용해 대응할 수 있도록 해야 한다”고 덧붙였다.
[김경애 기자(boan3@boannews.com)]
국내 기업 대다수, 공격자의 노력에 비해 방어대책 마련에 필요한 보안 투자 턱없이 부족
AI 시대, 보안장비 투자 외에 인력·솔루션·교육 등 다양한 측면에서 보안 강화 고민해야
[보안뉴스 김경애 기자] 최근 삼성전자의 가전제품이 글로벌 사물인터넷(IoT) 보안 평가에서 최고 등급인 ‘다이아몬드’를 받은 것으로 알려져 큰 화제가 됐다. 바로 삼성전자의 최신 냉장고(2024년형 비스포크 냉장고 패밀리허브 플러스)가 ‘UL 솔루션즈(UL Solutions)’ 주관으로 실시한 평가에서 사용자의 개인정보를 강력하게 보호하는 보안 성능을 인정받은 것. 글로벌 가전업계 최초라는 타이틀에 삼성전자의 보안에도 관심이 모아지고 있다.
▲삼성전자의 냉장고[사진=삼성전자]
‘UL 솔루션즈’에서 실시하는 IoT 보안 평가는 스마트 가전의 해킹 위험성과 보안 수준에 대한 엄격한 테스트를 거쳐 브론즈부터 실버, 골드, 플래티넘, 다이아몬드까지 총 5단계의 등급으로 나눠 부여된다. 그중 까다롭기로 소문난 다이아몬드 등급은 △악성 소프트웨어 변조 탐지 △불법 접근 시도 방지 △사용자 데이터 익명화 등의 항목에서 까다로운 시험을 통과해야 획득할 수 있다.
특히 플래티넘 등급 대비 다이아몬드 등급은 △항상 신뢰 가능한 하드웨어 기반의 보안 제공 △알려지지 않은 잠재적 취약점 테스트 △보안 취약점 조기 탐지를 위한 프로그램 운영 등의 내용이 추가로 요구된다.
삼성전자 DA사업부 유미영 부사장은 “삼성전자는 혁신적인 AI 기술 적용은 물론, 이를 사용하는 소비자들의 보안을 최우선으로 제품을 개발하고 있다”며 “앞으로도 다양한 AI 가전을 안심하고 사용할 수 있도록 보안 안전성을 철저히 관리해 나갈 것”이라고 말했다.
이렇듯 글로벌 기업 삼성전자가 보안으로 전 세계 이목을 집중시켰다는 건 그만큼 보안이 중요해지고 있다는 걸 의미한다. 그렇다면 삼성전자의 가전제품은 어떻게 최고 보안 등급을 받을 수 있었을까? 그 비결은 거창한 게 아니다. 오랜 기간 동안 보안에 대한 투자와 관심, 노력이 뒷받침됐기 때문이다. 삼성전자는 2024년형 TV에 적용된 보안 솔루션인 ‘삼성 녹스(Knox)’가 ‘국제 공통 평가 기준(Common Criteria, 이하 CC)’ 인증을 획득했다. 하지만 이미 지난 2015년형 TV 제품부터 보안 솔루션인 삼성 녹스를 적용한 후, 10년 연속 CC 인증을 받아왔다.
이러한 삼성전자를 거울 삼아 국내 기업 및 기관은 보안 투자를 더욱 확대해야 한다고 입을 모으고 있다. 익명을 요청한 보안전문가는 “삼성전자의 경우 취약점 점검을 위해 보안기업을 모집하고, 선정된 3~4개 기업이 동시에 삼성전자 제품의 취약점을 점검하고 보안 패치를 진행했다”며 “그 이후 다른 관점에서 취약점을 살펴볼 수 있도록 앞서 점검한 기업과 또 다른 기업을 모집해 취약점 점검과 보안 패치를 적용했다”고 설명했다.
이는 취약점이나 보안 위협이 될 수 있는 요인들을 사전에 철저히 점검하고, 이러한 과정을 여러 차례 반복하면서 지금의 보안수준까지 이르게 된 것이란 얘기다. 즉 삼성전자는 세계 최고 기업으로 성장하는데 있어 보안이 매우 중요하다는 사실을 일찌감치 인식하고, 이를 꾸준히 실행에 옮겨온 셈이다.
SECON & eGISEC 2024 오픈 컨퍼런스 발표에서 파인더갭 한영석 이사는 “삼성전자는 전 세계의 보안 연구자들과 적극적으로 소통해 완벽한 보안 시스템 구현에 노력한다”며 “보안 취약점은 이메일, 제보 웹사이트 등 다양한 채널을 통해 접수 받고, 취약점을 빠르게 제거해 위협을 차단한다”고 밝혔다. 또한 보안 취약점을 발견해 제보하는 경우 보상하는 버그바운티 프로그램(Bug Bounty Program)을 운영하고 있다고 덧붙였다.
하지만 이는 삼성전자를 비롯한 극히 일부 기업에만 해당되는 얘기다. 대다수 기업의 보안 투자는 여전히 턱없이 부족한 실정이다. 그나마 보안 사고를 겪은 기업이 이미지 타격과 경제적 손실을 체감한 후, 보안을 강화하는 사례가 대부분으로, 스스로 보안을 개선하려는 의지를 가진 기업은 극히 드문 게 현실이다.
이는 3.20 사이버테러 당시 피해를 입은 금융기관을 통해서도 알 수 있다. 당시 북한의 사이버 공격을 받아 피해를 입은 금융기관의 경우 해당 사건 이후 보안조직 확대 및 CISO 영입, 보안교육 확대, 보안문화 조성 등 다방면에서 보안을 강화하는데 주력했다.
익명을 요청한 보안전문가는 “2013년 발생한 3.20 사이버테러 당시 사이버 공격 피해를 입었던 농협이나 신한은행의 경우 그 사건 이후 보안 이슈의 중심에 서지 않았다”며 “사고 발생 이후 보안 투자를 크게 확대했기 때문에 현재는 이전과 같은 보안 이슈가 발생하거나 언론에 등장하지 않는다”고 밝혔다.
이는 보안 사고를 통해 보안이 얼마나 중요한지 몸소 체득했기 때문에 가능한 일이다. 그러나 상당수의 기업은 1년에 취약점 점검 한번 받고 할 일 다했다고 생각하는 경우가 허다할 정도로 보안에 대한 투자와 관심은 아주 미흡한 상황이다.
스틸리언 신동휘 CTO는 “최근 북한의 사이버공격 그룹 ‘라자루스’가 1,200만 달러 가량의 가상화폐를 탈취했다는 내용이 보도된 바 있는데, 이는 바로 북한 해커들이 하루종일 공격에만 몰두하고, 다양한 공격 전략을 수립하기 위해 엄청난 노력을 기울인 결과”라고 말했다.
그만큼 많은 가상화폐를 탈취할 수 있었다는 건 수도 없이 많은 해킹 시도 끝에 얻어진 결과로, 공격 성공을 위한 많은 노력과 전략, 투자가 있었다는 얘기다. 반면, 이를 방어해야 하는 기업이나 기관은 제대로 된 보안 투자, 보안에 대한 심층적인 고민, 방어 전략 등 모든 측면에서 공격자의 노력에 비해 한참 뒤쳐지고 있다는 게 신 CTO의 지적이다.
그러면서 신동휘 CTO는 “보안장비에 대한 투자를 제외한 인력, 솔루션, 교육 등에 얼마만큼 투자를 하고 관심이 있는지 다시 한번 생각해봐야 한다”며 “집중 투자와 꾸준한 투자도 병행돼야 하고, 어떻게 방어하면 효과적일지 아이디어를 발굴하고 신속하게 도입하는 체계가 마련돼야 한다”고 강조했다. 이어 “직원들을 대상으로 급변하는 보안 트렌드에 대해 꾸준히 교육하고, 교육방식도 듣는 것에만 그치는 수동적인 교육 시스템이 아닌 교육의 품질을 높인 실무교육으로 스스로 생각하고 응용해 대응할 수 있도록 해야 한다”고 덧붙였다.
[김경애 기자(boan3@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김경애기자 기사보기
[2024-04-24] _m.jpg)
.jpg)
.jpg)
