.jpg)
.jpg)
한국정보보호산업협회 20년사를 통해 본 한국 정보보호 20년 역사
2006년, 보안전문매체 ‘보안뉴스’ 창간 등 사회적 이슈가 된 ‘정보보호’
KISIA, 정보보호산업의 지방 확대와 해외 진출 성과... 제7대 김대연 회장 선출
한국 정보보호 업계를 대표하는 한국정보보호산업협회(KISIA, 회장 이민수)가 꽃다운 나이 만 스무 살을 지나고 있다. 아직 완전하진 않지만 무한한 가능성과 희망으로 가득 찬 20살이라고 할 수 있다. 이를 기념하고자 지난 20년 동안의 정보보호산업과 함께 한 협회의 역사와 활동, 그리고 산업의 흐름을 모아 ‘한국정보보호산업협회 20년사’가 발간됐다. KISIA 20년사는 ‘이슈로 살펴본 정보보호 20년’이라는 주제로 KISIA의 역사와 함께 한 정보보호의 역사 20년을 되짚어보고 국내 정보보호산업의 발전방향을 전망하는 ‘읽을거리’가 풍성한 역사서로 제작됐다. 이번 KISIA 20년사의 기획·제작에 참여했던 <보안뉴스>는 KISIA의 동의를 얻어 20년사에 담긴 정보보호 역사의 생생한 현장을 주 1회 연도별로 소개하는 특별기획을 마련했다. [편집자주]
[보안뉴스 문가용 기자] 한국정보보호산업협회(KISIA)에서 발표한 ‘2005년 정보보호 10대 뉴스’에서 ‘인터넷 뱅킹 해킹 당했다...국내 첫 사고 발생’이라는 뉴스가 1위에 올랐다. 6월의 첫 인터넷 뱅킹 해킹 사고와 7월의 개인 은행 계좌 정보 탈취 및 현금 인출을 위한 피싱 사건이 한국 사회에 적잖은 충격을 던졌다는 뜻이다. 그래서 그런지 2006년을 정보보안에 있어 새로운 전기를 맞은 해라고 칭해도 될 정도로 다양한 제도와 법 제정이 이뤄지기 시작했다. 실제적인 결실은 다른 해에 있기도 했지만, 2006년부터 사회적 논의가 진지하게 이뤄진 것이다. 또한, 정보보안을 전문으로 다루는 인터넷 매체인 보안뉴스가 2006년 창간했다.
피싱과 스팸메일에 강력한 처벌규정 마련하다
먼저 주목해야 할 건 피싱과 스팸 메일 공격에 대해 형사처벌을 하기로 결정했다는 것이다. 정보통신부와 국회는 「정보통신망 이용 촉진 및 정보 보호 등에 관한 법률」 개정안을 공포 후 다음 해인 2007년 2월부터 법안대로 시행할 방침이라고 발표했다. 이 개정 법안에 따르면 사기성 이메일 등을 통해 개인의 금융정보를 수집하는 피싱 행위를 하다가 적발되면 3년 이하의 징역이나 3천만 원 이하의 벌금형을 받게 됐다. 또한, 마약과 음란물 판매 등 불법 행위를 위해 스팸 메일을 불특정 다수에게 발송하면 1년 이하의 징역이나 1천만 원 이하의 벌금형을 받게 됐다. 이 법안이 마련되기 전까지 스팸 메일 발송자에게 과태료 등 행정 처벌만을 한 것이 전부였다. 또 개정법을 통해 정보통신 서비스 제공자에 대한 스팸 발송자 신원 정보 요청권을 명문화함으로써 불법 스팸을 실질적으로 단속하고 정보통신 서비스 제공자들이 스팸 발송자의 서비스를 제한할 수 있는 법적 근거도 마련됐다.
그 다음 주목해야 할 것은 금융권과 관련되어 있다. 2006년부터 인터넷 뱅킹 등 전자금융 거래 과정에서 해킹 및 전산 장애 등으로 이용자가 피해를 입을 경우 원칙적으로 금융기관이 책임을 지도록 한 것이다. 다만 금융기관의 책임이 지나치게 커지는 것을 막기 위해 이용자의 고의나 중과실이 있을 때 이용자가 책임을 부담한다는 내용의 계약이 체결된 경우에는 면책이 가능하도록 했다. 또한, 전자금융 거래업자는 거래 내용을 이용자가 즉시 확인할 수 있는 장치를 마련해야 하며, 이용자가 오류 정정을 요청할 경우 2주 이내에 결과를 알려주도록 했다.
전자금융 업무는 원칙적으로 금융기관에 한정하되 전자화폐의 발행과 관리, 전자 자금이체 등 일부 업무는 PG 업체(전자지불 결제대행사) 및 통신회사와 같은 비금융기관이 금융감독위원회의 허가와 등록을 받아 할 수 있도록 했다. 이로써 사실상의 금융 업무를 영위하고 있으면서도 법적 신분이 명확하지 못한 곳들이 법적 지위를 인정받게 됐다. 이것이 계기가 되어 훗날 이동통신사의 전자금융행위에 대한 규정과 감독도 가능케 되었다고 볼 수 있다. 2005년의 사건이 워낙 큰 충격을 남겨 이 부분에서의 법 개정 진행 속도는 매우 빨랐다.
중국발 해킹 공격으로 골머리
이와 함께 중국발 해킹 공격에 대한 대책 마련도 논의되기 시작했다. 당시 접속이 많은 웹 페이지를 대상으로 해킹을 하고, 이를 악성코드 유포지로 악용해 온라인 게임 이용자의 정보를 빼내는 수법이 주를 이루고 있었다. 게임 이용자의 아이디와 패스워드를 알아낸 후, 해당 이용자가 구입한 게임 아이템을 갈취하고, 국내 브로커와 결탁해 돈을 버는 식이었다. 당시 게임 이용자들이 많이 사용하는 아이템 거래 사이트의 로그인 정보 유출까지 시도했다.
그러나 해킹은 게임 산업에서만 발생하는 것이 아니었다. 중국 해커들은 지자체 사이트, 교육청 등 공공기관과 대학 사이트까지도 공격하기 시작했다. 2005년 정부는 온라인 게임 해킹 피해 방지 대책을 발표했지만 대부분 예방 교육 활동과 사후 대처 수준에만 머물러 있어 근본적인 해결책이 될 수 없다는 지적이 많았다. 국내 다수 사이트들과 연결돼 있는 중국 현지 숙주 사이트 제거나 온라인 게임 해킹 범죄 단속을 위한 중국 정부당국과의 국제적 공조가 시급하다는 여론이 형성되고 있었다.
불씨를 지핀 개인정보보호법 제정 논의
또 하나 정보보안 업계에 있어서 절대 빠질 수 없는 주제인 개인정보보호법이 연내 국회 통과될 수 있다는 기대감이 연초부터 모아졌다. 당시 개인정보 및 사생활 보호 장치를 제대로 마련하지 않은 채 급격한 정보화를 추진해 피해가 심각하다는 반성의 목소리가 나오기 시작했다. 시민단체들은 정보화 초기부터 개인정보보호법 제정을 끊임없이 촉구해오고 있던 터였다. 당시 노무현 대통령도 2003년 정부혁신지방분권위원회에 서둘러 개인정보보호법을 제정할 것을 권고했다.
이에 따라 국회에는 이은영 열린우리당 의원과 노회찬 민주노동당 의원 등이 각각 3개의 법안을 2005년 제출했으나 1년 가까이 방치된 상태였다. 당시 한국정보보호진흥원 개인정보보호단 개인정보기획팀 이창범 박사는 “빠르면 임시국회, 늦으면 정기국회에 통과될 수 있다”는 전망을 매체 인터뷰를 통해 내놓기도 했다. 하지만 대한상공회의소는 “중소기업의 경쟁력 약화가 우려되기 때문에 충분한 검토가 이뤄진 뒤 법 제정을 논의할 것”을 국회에 요청했다. 지금까지도 화두가 되고 있는 개인정보의 활용과 보호라는 측면에서 팽팽한 의견 차이가 있었던 것이다. 결국 개인정보보호법은 2011년 3월 29일 제정되었고, 그 해 9월 30일부터 시행되었다.
인터넷 민원서류의 위·변조에 대한 처벌 강화
인터넷 민원서류의 위·변조에 대한 처벌도 강화됐다. 행정자치부(현 행정안전부)가 전자정부 구현을 위한 행정 업무 등의 전자화 촉진에 관한 법률 개정안을 2005년 말에 마련하고 입법을 예고한 상태로 2006년이 시작됐다. 개정안에서는 행정정보 이용자의 의무와 처벌 규정을 신설해 이용자가 직접 행정정보를 무단 변경하거나 말소했을 경우 최고 징역 10년에 처할 수 있도록 했다. 또한, 변경 및 말소 방법이나 프로그램 등을 공개·유포했을 경우, 최고 징역 5년, 행정정보를 누설하거나 권한 없이 임의로 행정정보 처리 등을 하다 적발되면 최고 징역 3년에 처해지도록 했다. 그밖에 전자정부진흥원 설립을 비롯해 전자정부망 구축, 공인인증서 발급 등의 조항도 담아 입법 과정에서 정보통신부 등 타 부처와의 마찰이 예고됐다. 그리고 실제로 부처 협의 과정에서 신설이 무산됐다. 그 외 개정안의 다른 내용은 6월 13일 국무회의에서 심의, 의결됐다.
MS의 윈도우 98 지원 중단에 따른 후폭풍
2006년에는 MS가 윈도우 98이라는 주류 OS에 대한 지원을 6월말부터 중단한다고 발표했다. 당시 윈도우 98을 사용하고 있던 350만대 PC가 각종 사이버 위협에 무방비로 노출될 것이 예상되며 위기론이 떠올랐다. 이 350만대 PC들은 정부기관에 집중적으로 분포되어 있었기 때문이다. 그러나 이는 진작부터 예고되어 온 것이었다. MS는 2002년 12월, 윈도우 98에 대한 지원 중단을 발표했었던 적이 있었다. 처음 예고되었던 종료 예고일은 2003년 6월이었다. 그러나 많은 나라에서 연장을 요구하는 바람에 MS는 이를 2004년 12월로 늘렸다. 그럼에도 한국 등 여러 나라에서 연장을 요구했다. 이에 MS는 종료일을 2006년 6월로 늦췄다. 그러면서 더는 늦추는 일이 없을 것이라고 못 박았다. 2006년 6월도 너무 이르다며 연장을 더 요구한 나라는 한국이 유일했다고 한다. MS로부터 거절을 받은 국가사이버안전센터는 그 후 갑자기 “MS와 같은 소수 기업이 시장을 장악하다시피 한다”며 “다양한 운영체제와 소프트웨어를 개발해야 한다”는 의견을 내기 시작했다.
2006년 IT·보안 최대 화두, 인터넷 실명제
2005년 11월 홈페이지를 개편한 정보통신부는 회원 가입 시 주민등록번호를 입력하는 것 외에 공인인증서와 가상주민번호를 본인 확인 수단으로 활용할 수 있는 시범 서비스를 실시했다. 주민등록번호 도용 사건이 끊임없이 발생함에 따라, 웹 서비스 회원 가입 시 주민등록번호를 입력하는 것에 대해 사용자들의 불만이 커져가고 있던 때였다. 그래서 정보통신부의 이러한 시범 서비스는 큰 관심을 모았다. 하지만 반응이 좋지 않았다. 절차가 까다롭고 오류가 잦아 불편하다는 의견이 대다수였다. 실제로 공인인증서를 미리 발급받은 사용자가 가상주민번호로 회원 가입을 시도했을 때 대략 10분 정도의 시간이 소요됐다. 이미 약관 동의 및 기본 정보 입력 등의 단계만 거치면 간단히 회원 가입이 되는 상태였고, 사람들은 ‘지금이 어느 시대인데 주민번호를 입력하며 회원가입을 하는가’라고 말할 때였다. 비교가 될 수밖에 없었다. 정보통신부는 초기 단계에서 여러 가지 불안정한 모습이 나타날 것을 예상하고 있었다며, 2007년 시행 전까지 문제들을 개선해나 가겠다고 말했다. 그때서부터 지금까지 인증 절차는 계속해서 간소화되어 가는 중이다.
2006년을 표현하는 또 다른 사건은 ‘인터넷 실명제’다. 2006년보다 한참 전부터 논란이 되어오던 주제인데, 정부는, 2006년 상반기부터 대형 인터넷 포털을 대상으로 제한적으로 시행한다고 발표했다. 정보통신부는 인터넷에서 익명성에 근거한 표현의 자유를 보장하기 위해 실명제 대상을 대형 포털로 한정했다며 구체적인 대상은 포털의 하루 평균 이용자와 매출액 등을 평가해 정보통신부 장관이 선정했다고 발표했다. 여기에 선정된 포탈의 게시판 이용자들은 이용 전에 반드시 본인확인 절차를 거치도록 정해졌다. 다만 게시판 이용 시 반드시 실명을 표기해야 하는 것은 아니었다. 본인확인 절차만 거치면 별명, 필명 등을 자유롭게 사용할 수 있었다. 또한 인터넷 포털 사업자는 명예 훼손이나 비방성 글을 당사자 동의 없이 삭제할 수 있게 됐다.
모바일 악성코드의 등장, 한국은 비껴가다
2006년에도 이미 모바일 보안위협이라는 개념이 있었다. 스마트폰을 비롯한 다양한 모바일 기기가 출시되면서 이를 겨냥한 모바일 위협이 2005년에 비해 3배 넘게 늘어났다는 보고서가 발표됐다. 해커들은 당시 첨단 기기였던 스마트폰에 대한 관심을 높이고 있었는데, 사회적 관심은 그에 미치지 못한다는 안타까운 목소리들도 보안업체들에서 나오기 시작했다. 한국에서는 사회적인 이슈가 될 만한 모바일 보안사고가 터지지 않았지만, 외국에서는 2005년부터 둠부트(Doomboot), 카드트랩(CardTrap), 카드블록(CardBlock) 등의 모바일 악성코드가 등장한 상태였다. 이 세 가지 모바일 악성코드는 심비안이라는 당시 최강의 모바일 OS에서 작동하는 것이었는데, 우리나라에서는 심비안의 인기가 낮았기 때문에 한국은 뜻하지 않게 모바일 청정지역이 되기도 했다.
스팸메일 규제 강화로 스팸차단 솔루션 시장 ‘혼전’
2006년 정부에서 스팸메일에 대한 강력한 규제방안을 발표하면서 정보보호 업계는 스팸차단 솔루션 시장을 두고 치열한 경쟁을 펼쳤다. 당시 미국의 실시간 스팸메일 차단 사이트인 스팸 하우스에 따르면 한국이 최악의 스팸메일 발송 국가 목록에 미국, 중국과 함께 상위권에 랭크되어 있는 상황이었다. 이는 인터넷의 역기능으로 발생된 스팸메일에 대한 미비한 대처가 IT 강대국이란 국가적 이미지를 크게 실추시킨 결과를 가져왔다.
이에 따라 공공기관을 비롯한 국내 기업들은 스팸으로 인한 브랜드 이미지를 지키기 위해 보안 시스템 강화에 각별한 노력을 기울였으며, 국내 스팸차단 솔루션 시장도 급격한 성장세를 나타냈다. 매년 20~30%의 성장률을 기록한 스팸차단 솔루션 시장은 2006년 시장규모가 150억원 정도로 추산됐다. 당시 스팸차단 솔루션 시장은 안철수연구소, 지란지교소프트, 테라스테크놀로지, 디프소프트 등의 토종업체들과 시만텍, 맥아피, 트렌드마이크로 등 글로벌 보안업체들이 치열한 경쟁을 펼쳤다.
KISIA, 정보보호산업의 지방 확대 및 해외 진출에 성과를 거두다
2006년 한국정보보호산업협회(KISIA)는 2005년에 이어 제7대 김대연 회장이 재임하면서 지방 소재 중소기업의 마케팅 지원과 해외시장 판로개척에 중점을 뒀다. 2006년 부산, 광주에서 정보보호 세미나 및 전시회를 개최해 큰 호응을 얻은 것. 또한, 대만, 중국, 일본, 베트남을 대상으로 한 시장개척단 파견사업과 미국과 일본에 전시회 및 수출상담회를 개최, 해외시장 판로개척을 추진해 성과를 얻었다.
아울러 협회의 대외적인 위상 확립을 위해 국내외 유관기관들과 교류를 확대하는 한편, 회원사간 친목을 도모하고 산업계 발전을 위한 다양한 아이디어를 수집하는 등 추진사업에서 가시적인 성과가 나왔다. 특히, 2006년 대통령이 참석한 사이버위기 대응 훈련에 협회 김대연 회장이 정보보호 업계를 대표해 참석하는 등 협회 위상이 제고됐다는 평가를 받았다.
[KISIA 역대회장 인터뷰] 김대연 제67대 회장(현 윈스 대표)
2005~2006년 회장 재임기간 중 가장 큰 화두가 됐던 보안이슈는 당시 엔씨소프트의 온라인 게임 리니지 명의 도용 등 아이템 현금거래가 많았습니다. 온라인 게임이나 금전적인 거래가 이뤄지는 인터넷 쇼핑몰 등에 개인정보 탈취 후 임의 가입시키는 사이버 범죄가 기승을 부렸죠. 개인정보나 고객정보의 부실한 관리와 해킹 등에 의한 유출 및 불법 사용의 이슈로 정보관리와 보안 투자의 중요성이 대두됐습니다.
또한, 2005년과 2006년에는 스마트폰을 비롯한 다양한 모바일 기기가 출시되면서 모바일 기기를 겨냥한 보안위협이 급속히 증가했습니다. 또한, 2006년도에는 국내 웹사이트 해킹을 통해 악성코드를 유발하는 중국발 해킹이 대폭 증가했던 시기였습니다. 무엇보다 2006년 5월에 우리나라가 CCRA(Common Criteria Recognition Arrangement)에 정식 가입해 회원국이 됐다는 점이 큰 이슈였다고 볼 수 있습니다. 이는 보안제품의 품질평가를 국가 간에 상호인정하는 제도로, 국내 기업은 토종 보안제품의 수출을 기대했고, 외산 기업은 국내 시장 확장을 기대한 상황이라고 볼 수 있습니다.
재임기간 중 정보보호산업 발전을 위해 가장 중점적으로 추진했던 사업은 국내 정보보호업계는 중소벤처 기업들이 관련 분야 시장을 선도하기 때문에 규모나 인력 면에서 상대적으로 다른 산업군의 기업들보다 어려움이 많았습니다. 협회 차원에서 회원사들이 적극적으로 마케팅을 하고, 또 해외 진출을 할 수 있는 다양한 프로그램 개발에 중점을 두었습니다. 또한, 정보보호산업의 수요 확대와 적정 대가를 위해 정부나 공공부문에 지속적으로 건의하고 정보보호 솔루션이 적정한 대가를 받을 수 있는 분위기를 조성하는데 노력해 왔는데, 이는 아직까지 진행형이라고 봅니다. 한편으로는 협회 운영의 묘를 살리는데 주력했습니다. 회장 중심의 기존 협회 구조를 팀워크를 강조하는 방향으로 바꾸고 회장과 부회장, 이사진 등 협회 회원들과 강력한 유대관계를 맺고 한 목소리를 내는 협회를 만들기 위해 노력했죠. 마지막으로 주요 성과는 지방 소재 정보보호 기업들의 마케팅 지원과 해외시장 진출 지원에 있어 가시적인 성과가 나왔다는 점입니다.
회장 재임 당시 가장 기억에 남는 에피소드가 있다면 기억에 남는 에피소드는 사이버위기 대응 훈련입니다. 당시 노무현 정부는 대통령 훈령으로 2004년 국가위기관리 기본 지침과 사이버안전분야 위기 대응 매뉴얼을 제정해 사이버위협으로부터 국가를 지키겠다고 공언했습니다. 주요 실천 사항 중 하나가 국정원과 행정안전부가 공공기관의 사이버보안체계를 점검하는 ‘사이버위기 대응 통합 훈련’이었는데요. 특히, 협회장 재임 당시인 2006년 국가정보원 국가사이버안전센터(NCSC)는 국정원이 주관해 민·관·군 총 417개 기관이 합동 사이버안전 연습을 처음 실시했는데, 이 훈련에 대통령이 국가사이버안전센터를 방문해 사이버안전 위기대응 현장을 점검하고 관심을 표명했습니다. 이 훈련에는 대통령과 국정원장, 정통부 차관, 국방부 차관, 한국정보보호진흥원장 등 국가사이버 관련 관계자가 약 15여명이 참석했는데, 한국정보보호산업협회장 자격으로 정보보호업계를 대표해 회의를 참석했던 게 기억에 많이 남습니다.
당시 국내 정보보호 산업계를 리딩했거나 그 당시 떠올랐던 기업들의 면면에 대해 소개해 주신다면 국내 정보보호 산업도 20년 전 벤처붐으로 대부분 태동했습니다. 이때 많은 정보보호 기업이 탄생했고 다른 산업부문보다 정보보호 업계가 유난히 부침이 심했던 것 같습니다. 당시 코스닥 시장에 상장되어 있던 정보보호 기업이 13개 정도였는데 1세대 보안 기업 중 지금까지 건재한 곳은 안랩과 윈스 정도이고 10여개 이상이 상장 폐지되거나 회사 자체가 아예 없어졌기 때문이죠.
당시 주목을 받았던 보안기술이나 솔루션은 2005년, 2006년 보안시장을 뜨겁게 달군 솔루션은 침입방지 시스템(IPS)이었습니다. IDS가 네트워크상에 상주하면서 트래픽을 모니터링하여 탐지 하는 역할을 한다면, IPS는 악성으로 예상되는 패킷을 드롭시키고 의심스러운 세션을 종료시키거나 공격에 대처하기 위한 기타 조치를 취하는 등 적극적으로 개입했기 때문입니다. IPS는 당시 보안시장의 ‘뜨거운 감자’였습니다. 전혀 새로운 차원의 제품이었고 2003년 발생한 1.25 대란을 계기로 IPS로 전환하게 됐기 때문입니다. IPS는 이슈에서 그치지 않고 수요로 이어져 공공기관 및 민간기업에서 IDS 대신 IPS를 도입하기 시작했습니다. 이와 함께 웜의 출현과 유해 트래픽에 의한 네트워크 위협의 증가에 따라 ‘컨버전스 보안’이 이슈였다고 볼 수 있습니다. 방화벽, VPN, IDS, IPS, 안티바이러스 등의 기능이 통합된 통합보안장비들이 잇따라 출시되기도 했죠.
당시 기관·기업이 도입하는 정보보호 솔루션에 있어 가장 중점적으로 요구했던 사항은 제가 회장으로 재임할 당시 정보보호의 중요성에 대한 인식은 많이 좋아졌습니다. 그럼에도 이러한 인식이 투자하고 실천하는 데까지는 현재까지도 풀지 못한 숙제로 남아 있는 것 같습니다. 당시 기관 및 기업이 도입하는 솔루션에 가장 중점으로 요구하는 사항은 국내 환경에서 관리자가 선호하는 기능과 성능을 제공하는 유연한 커스터마이징이었다고 볼 수 있습니다. 또한, CC(공통평가기준) 인증 등급으로 보안성을 평가받은 제품을 사용하여 네트워크 안정성이 보장된 제품을 원했던 것 같습니다.
*해당 기사의 저작권은 한국정보보호산업협회(KISIA)에 있습니다.
[문가용 기자(globoan@boannews.com)]
2006년, 보안전문매체 ‘보안뉴스’ 창간 등 사회적 이슈가 된 ‘정보보호’
KISIA, 정보보호산업의 지방 확대와 해외 진출 성과... 제7대 김대연 회장 선출
한국 정보보호 업계를 대표하는 한국정보보호산업협회(KISIA, 회장 이민수)가 꽃다운 나이 만 스무 살을 지나고 있다. 아직 완전하진 않지만 무한한 가능성과 희망으로 가득 찬 20살이라고 할 수 있다. 이를 기념하고자 지난 20년 동안의 정보보호산업과 함께 한 협회의 역사와 활동, 그리고 산업의 흐름을 모아 ‘한국정보보호산업협회 20년사’가 발간됐다. KISIA 20년사는 ‘이슈로 살펴본 정보보호 20년’이라는 주제로 KISIA의 역사와 함께 한 정보보호의 역사 20년을 되짚어보고 국내 정보보호산업의 발전방향을 전망하는 ‘읽을거리’가 풍성한 역사서로 제작됐다. 이번 KISIA 20년사의 기획·제작에 참여했던 <보안뉴스>는 KISIA의 동의를 얻어 20년사에 담긴 정보보호 역사의 생생한 현장을 주 1회 연도별로 소개하는 특별기획을 마련했다. [편집자주]
[이미지=iclickart]
[보안뉴스 문가용 기자] 한국정보보호산업협회(KISIA)에서 발표한 ‘2005년 정보보호 10대 뉴스’에서 ‘인터넷 뱅킹 해킹 당했다...국내 첫 사고 발생’이라는 뉴스가 1위에 올랐다. 6월의 첫 인터넷 뱅킹 해킹 사고와 7월의 개인 은행 계좌 정보 탈취 및 현금 인출을 위한 피싱 사건이 한국 사회에 적잖은 충격을 던졌다는 뜻이다. 그래서 그런지 2006년을 정보보안에 있어 새로운 전기를 맞은 해라고 칭해도 될 정도로 다양한 제도와 법 제정이 이뤄지기 시작했다. 실제적인 결실은 다른 해에 있기도 했지만, 2006년부터 사회적 논의가 진지하게 이뤄진 것이다. 또한, 정보보안을 전문으로 다루는 인터넷 매체인 보안뉴스가 2006년 창간했다.
피싱과 스팸메일에 강력한 처벌규정 마련하다
먼저 주목해야 할 건 피싱과 스팸 메일 공격에 대해 형사처벌을 하기로 결정했다는 것이다. 정보통신부와 국회는 「정보통신망 이용 촉진 및 정보 보호 등에 관한 법률」 개정안을 공포 후 다음 해인 2007년 2월부터 법안대로 시행할 방침이라고 발표했다. 이 개정 법안에 따르면 사기성 이메일 등을 통해 개인의 금융정보를 수집하는 피싱 행위를 하다가 적발되면 3년 이하의 징역이나 3천만 원 이하의 벌금형을 받게 됐다. 또한, 마약과 음란물 판매 등 불법 행위를 위해 스팸 메일을 불특정 다수에게 발송하면 1년 이하의 징역이나 1천만 원 이하의 벌금형을 받게 됐다. 이 법안이 마련되기 전까지 스팸 메일 발송자에게 과태료 등 행정 처벌만을 한 것이 전부였다. 또 개정법을 통해 정보통신 서비스 제공자에 대한 스팸 발송자 신원 정보 요청권을 명문화함으로써 불법 스팸을 실질적으로 단속하고 정보통신 서비스 제공자들이 스팸 발송자의 서비스를 제한할 수 있는 법적 근거도 마련됐다.
그 다음 주목해야 할 것은 금융권과 관련되어 있다. 2006년부터 인터넷 뱅킹 등 전자금융 거래 과정에서 해킹 및 전산 장애 등으로 이용자가 피해를 입을 경우 원칙적으로 금융기관이 책임을 지도록 한 것이다. 다만 금융기관의 책임이 지나치게 커지는 것을 막기 위해 이용자의 고의나 중과실이 있을 때 이용자가 책임을 부담한다는 내용의 계약이 체결된 경우에는 면책이 가능하도록 했다. 또한, 전자금융 거래업자는 거래 내용을 이용자가 즉시 확인할 수 있는 장치를 마련해야 하며, 이용자가 오류 정정을 요청할 경우 2주 이내에 결과를 알려주도록 했다.
전자금융 업무는 원칙적으로 금융기관에 한정하되 전자화폐의 발행과 관리, 전자 자금이체 등 일부 업무는 PG 업체(전자지불 결제대행사) 및 통신회사와 같은 비금융기관이 금융감독위원회의 허가와 등록을 받아 할 수 있도록 했다. 이로써 사실상의 금융 업무를 영위하고 있으면서도 법적 신분이 명확하지 못한 곳들이 법적 지위를 인정받게 됐다. 이것이 계기가 되어 훗날 이동통신사의 전자금융행위에 대한 규정과 감독도 가능케 되었다고 볼 수 있다. 2005년의 사건이 워낙 큰 충격을 남겨 이 부분에서의 법 개정 진행 속도는 매우 빨랐다.
중국발 해킹 공격으로 골머리
이와 함께 중국발 해킹 공격에 대한 대책 마련도 논의되기 시작했다. 당시 접속이 많은 웹 페이지를 대상으로 해킹을 하고, 이를 악성코드 유포지로 악용해 온라인 게임 이용자의 정보를 빼내는 수법이 주를 이루고 있었다. 게임 이용자의 아이디와 패스워드를 알아낸 후, 해당 이용자가 구입한 게임 아이템을 갈취하고, 국내 브로커와 결탁해 돈을 버는 식이었다. 당시 게임 이용자들이 많이 사용하는 아이템 거래 사이트의 로그인 정보 유출까지 시도했다.
그러나 해킹은 게임 산업에서만 발생하는 것이 아니었다. 중국 해커들은 지자체 사이트, 교육청 등 공공기관과 대학 사이트까지도 공격하기 시작했다. 2005년 정부는 온라인 게임 해킹 피해 방지 대책을 발표했지만 대부분 예방 교육 활동과 사후 대처 수준에만 머물러 있어 근본적인 해결책이 될 수 없다는 지적이 많았다. 국내 다수 사이트들과 연결돼 있는 중국 현지 숙주 사이트 제거나 온라인 게임 해킹 범죄 단속을 위한 중국 정부당국과의 국제적 공조가 시급하다는 여론이 형성되고 있었다.
[이미지=iclickart]
불씨를 지핀 개인정보보호법 제정 논의
또 하나 정보보안 업계에 있어서 절대 빠질 수 없는 주제인 개인정보보호법이 연내 국회 통과될 수 있다는 기대감이 연초부터 모아졌다. 당시 개인정보 및 사생활 보호 장치를 제대로 마련하지 않은 채 급격한 정보화를 추진해 피해가 심각하다는 반성의 목소리가 나오기 시작했다. 시민단체들은 정보화 초기부터 개인정보보호법 제정을 끊임없이 촉구해오고 있던 터였다. 당시 노무현 대통령도 2003년 정부혁신지방분권위원회에 서둘러 개인정보보호법을 제정할 것을 권고했다.
이에 따라 국회에는 이은영 열린우리당 의원과 노회찬 민주노동당 의원 등이 각각 3개의 법안을 2005년 제출했으나 1년 가까이 방치된 상태였다. 당시 한국정보보호진흥원 개인정보보호단 개인정보기획팀 이창범 박사는 “빠르면 임시국회, 늦으면 정기국회에 통과될 수 있다”는 전망을 매체 인터뷰를 통해 내놓기도 했다. 하지만 대한상공회의소는 “중소기업의 경쟁력 약화가 우려되기 때문에 충분한 검토가 이뤄진 뒤 법 제정을 논의할 것”을 국회에 요청했다. 지금까지도 화두가 되고 있는 개인정보의 활용과 보호라는 측면에서 팽팽한 의견 차이가 있었던 것이다. 결국 개인정보보호법은 2011년 3월 29일 제정되었고, 그 해 9월 30일부터 시행되었다.
인터넷 민원서류의 위·변조에 대한 처벌 강화
인터넷 민원서류의 위·변조에 대한 처벌도 강화됐다. 행정자치부(현 행정안전부)가 전자정부 구현을 위한 행정 업무 등의 전자화 촉진에 관한 법률 개정안을 2005년 말에 마련하고 입법을 예고한 상태로 2006년이 시작됐다. 개정안에서는 행정정보 이용자의 의무와 처벌 규정을 신설해 이용자가 직접 행정정보를 무단 변경하거나 말소했을 경우 최고 징역 10년에 처할 수 있도록 했다. 또한, 변경 및 말소 방법이나 프로그램 등을 공개·유포했을 경우, 최고 징역 5년, 행정정보를 누설하거나 권한 없이 임의로 행정정보 처리 등을 하다 적발되면 최고 징역 3년에 처해지도록 했다. 그밖에 전자정부진흥원 설립을 비롯해 전자정부망 구축, 공인인증서 발급 등의 조항도 담아 입법 과정에서 정보통신부 등 타 부처와의 마찰이 예고됐다. 그리고 실제로 부처 협의 과정에서 신설이 무산됐다. 그 외 개정안의 다른 내용은 6월 13일 국무회의에서 심의, 의결됐다.
MS의 윈도우 98 지원 중단에 따른 후폭풍
2006년에는 MS가 윈도우 98이라는 주류 OS에 대한 지원을 6월말부터 중단한다고 발표했다. 당시 윈도우 98을 사용하고 있던 350만대 PC가 각종 사이버 위협에 무방비로 노출될 것이 예상되며 위기론이 떠올랐다. 이 350만대 PC들은 정부기관에 집중적으로 분포되어 있었기 때문이다. 그러나 이는 진작부터 예고되어 온 것이었다. MS는 2002년 12월, 윈도우 98에 대한 지원 중단을 발표했었던 적이 있었다. 처음 예고되었던 종료 예고일은 2003년 6월이었다. 그러나 많은 나라에서 연장을 요구하는 바람에 MS는 이를 2004년 12월로 늘렸다. 그럼에도 한국 등 여러 나라에서 연장을 요구했다. 이에 MS는 종료일을 2006년 6월로 늦췄다. 그러면서 더는 늦추는 일이 없을 것이라고 못 박았다. 2006년 6월도 너무 이르다며 연장을 더 요구한 나라는 한국이 유일했다고 한다. MS로부터 거절을 받은 국가사이버안전센터는 그 후 갑자기 “MS와 같은 소수 기업이 시장을 장악하다시피 한다”며 “다양한 운영체제와 소프트웨어를 개발해야 한다”는 의견을 내기 시작했다.
2006년 IT·보안 최대 화두, 인터넷 실명제
2005년 11월 홈페이지를 개편한 정보통신부는 회원 가입 시 주민등록번호를 입력하는 것 외에 공인인증서와 가상주민번호를 본인 확인 수단으로 활용할 수 있는 시범 서비스를 실시했다. 주민등록번호 도용 사건이 끊임없이 발생함에 따라, 웹 서비스 회원 가입 시 주민등록번호를 입력하는 것에 대해 사용자들의 불만이 커져가고 있던 때였다. 그래서 정보통신부의 이러한 시범 서비스는 큰 관심을 모았다. 하지만 반응이 좋지 않았다. 절차가 까다롭고 오류가 잦아 불편하다는 의견이 대다수였다. 실제로 공인인증서를 미리 발급받은 사용자가 가상주민번호로 회원 가입을 시도했을 때 대략 10분 정도의 시간이 소요됐다. 이미 약관 동의 및 기본 정보 입력 등의 단계만 거치면 간단히 회원 가입이 되는 상태였고, 사람들은 ‘지금이 어느 시대인데 주민번호를 입력하며 회원가입을 하는가’라고 말할 때였다. 비교가 될 수밖에 없었다. 정보통신부는 초기 단계에서 여러 가지 불안정한 모습이 나타날 것을 예상하고 있었다며, 2007년 시행 전까지 문제들을 개선해나 가겠다고 말했다. 그때서부터 지금까지 인증 절차는 계속해서 간소화되어 가는 중이다.
2006년을 표현하는 또 다른 사건은 ‘인터넷 실명제’다. 2006년보다 한참 전부터 논란이 되어오던 주제인데, 정부는, 2006년 상반기부터 대형 인터넷 포털을 대상으로 제한적으로 시행한다고 발표했다. 정보통신부는 인터넷에서 익명성에 근거한 표현의 자유를 보장하기 위해 실명제 대상을 대형 포털로 한정했다며 구체적인 대상은 포털의 하루 평균 이용자와 매출액 등을 평가해 정보통신부 장관이 선정했다고 발표했다. 여기에 선정된 포탈의 게시판 이용자들은 이용 전에 반드시 본인확인 절차를 거치도록 정해졌다. 다만 게시판 이용 시 반드시 실명을 표기해야 하는 것은 아니었다. 본인확인 절차만 거치면 별명, 필명 등을 자유롭게 사용할 수 있었다. 또한 인터넷 포털 사업자는 명예 훼손이나 비방성 글을 당사자 동의 없이 삭제할 수 있게 됐다.
모바일 악성코드의 등장, 한국은 비껴가다
2006년에도 이미 모바일 보안위협이라는 개념이 있었다. 스마트폰을 비롯한 다양한 모바일 기기가 출시되면서 이를 겨냥한 모바일 위협이 2005년에 비해 3배 넘게 늘어났다는 보고서가 발표됐다. 해커들은 당시 첨단 기기였던 스마트폰에 대한 관심을 높이고 있었는데, 사회적 관심은 그에 미치지 못한다는 안타까운 목소리들도 보안업체들에서 나오기 시작했다. 한국에서는 사회적인 이슈가 될 만한 모바일 보안사고가 터지지 않았지만, 외국에서는 2005년부터 둠부트(Doomboot), 카드트랩(CardTrap), 카드블록(CardBlock) 등의 모바일 악성코드가 등장한 상태였다. 이 세 가지 모바일 악성코드는 심비안이라는 당시 최강의 모바일 OS에서 작동하는 것이었는데, 우리나라에서는 심비안의 인기가 낮았기 때문에 한국은 뜻하지 않게 모바일 청정지역이 되기도 했다.
스팸메일 규제 강화로 스팸차단 솔루션 시장 ‘혼전’
2006년 정부에서 스팸메일에 대한 강력한 규제방안을 발표하면서 정보보호 업계는 스팸차단 솔루션 시장을 두고 치열한 경쟁을 펼쳤다. 당시 미국의 실시간 스팸메일 차단 사이트인 스팸 하우스에 따르면 한국이 최악의 스팸메일 발송 국가 목록에 미국, 중국과 함께 상위권에 랭크되어 있는 상황이었다. 이는 인터넷의 역기능으로 발생된 스팸메일에 대한 미비한 대처가 IT 강대국이란 국가적 이미지를 크게 실추시킨 결과를 가져왔다.
이에 따라 공공기관을 비롯한 국내 기업들은 스팸으로 인한 브랜드 이미지를 지키기 위해 보안 시스템 강화에 각별한 노력을 기울였으며, 국내 스팸차단 솔루션 시장도 급격한 성장세를 나타냈다. 매년 20~30%의 성장률을 기록한 스팸차단 솔루션 시장은 2006년 시장규모가 150억원 정도로 추산됐다. 당시 스팸차단 솔루션 시장은 안철수연구소, 지란지교소프트, 테라스테크놀로지, 디프소프트 등의 토종업체들과 시만텍, 맥아피, 트렌드마이크로 등 글로벌 보안업체들이 치열한 경쟁을 펼쳤다.
▲2006년 노무현 대통령이 참석한 사이버위기 대응 훈련에 협회 김대연 회장이 정보보호업계를 대표해 참석했다[사진=KISIA]
KISIA, 정보보호산업의 지방 확대 및 해외 진출에 성과를 거두다
2006년 한국정보보호산업협회(KISIA)는 2005년에 이어 제7대 김대연 회장이 재임하면서 지방 소재 중소기업의 마케팅 지원과 해외시장 판로개척에 중점을 뒀다. 2006년 부산, 광주에서 정보보호 세미나 및 전시회를 개최해 큰 호응을 얻은 것. 또한, 대만, 중국, 일본, 베트남을 대상으로 한 시장개척단 파견사업과 미국과 일본에 전시회 및 수출상담회를 개최, 해외시장 판로개척을 추진해 성과를 얻었다.
아울러 협회의 대외적인 위상 확립을 위해 국내외 유관기관들과 교류를 확대하는 한편, 회원사간 친목을 도모하고 산업계 발전을 위한 다양한 아이디어를 수집하는 등 추진사업에서 가시적인 성과가 나왔다. 특히, 2006년 대통령이 참석한 사이버위기 대응 훈련에 협회 김대연 회장이 정보보호 업계를 대표해 참석하는 등 협회 위상이 제고됐다는 평가를 받았다.
[KISIA 역대회장 인터뷰] 김대연 제67대 회장(현 윈스 대표)
2005~2006년 회장 재임기간 중 가장 큰 화두가 됐던 보안이슈는 당시 엔씨소프트의 온라인 게임 리니지 명의 도용 등 아이템 현금거래가 많았습니다. 온라인 게임이나 금전적인 거래가 이뤄지는 인터넷 쇼핑몰 등에 개인정보 탈취 후 임의 가입시키는 사이버 범죄가 기승을 부렸죠. 개인정보나 고객정보의 부실한 관리와 해킹 등에 의한 유출 및 불법 사용의 이슈로 정보관리와 보안 투자의 중요성이 대두됐습니다.
또한, 2005년과 2006년에는 스마트폰을 비롯한 다양한 모바일 기기가 출시되면서 모바일 기기를 겨냥한 보안위협이 급속히 증가했습니다. 또한, 2006년도에는 국내 웹사이트 해킹을 통해 악성코드를 유발하는 중국발 해킹이 대폭 증가했던 시기였습니다. 무엇보다 2006년 5월에 우리나라가 CCRA(Common Criteria Recognition Arrangement)에 정식 가입해 회원국이 됐다는 점이 큰 이슈였다고 볼 수 있습니다. 이는 보안제품의 품질평가를 국가 간에 상호인정하는 제도로, 국내 기업은 토종 보안제품의 수출을 기대했고, 외산 기업은 국내 시장 확장을 기대한 상황이라고 볼 수 있습니다.
재임기간 중 정보보호산업 발전을 위해 가장 중점적으로 추진했던 사업은 국내 정보보호업계는 중소벤처 기업들이 관련 분야 시장을 선도하기 때문에 규모나 인력 면에서 상대적으로 다른 산업군의 기업들보다 어려움이 많았습니다. 협회 차원에서 회원사들이 적극적으로 마케팅을 하고, 또 해외 진출을 할 수 있는 다양한 프로그램 개발에 중점을 두었습니다. 또한, 정보보호산업의 수요 확대와 적정 대가를 위해 정부나 공공부문에 지속적으로 건의하고 정보보호 솔루션이 적정한 대가를 받을 수 있는 분위기를 조성하는데 노력해 왔는데, 이는 아직까지 진행형이라고 봅니다. 한편으로는 협회 운영의 묘를 살리는데 주력했습니다. 회장 중심의 기존 협회 구조를 팀워크를 강조하는 방향으로 바꾸고 회장과 부회장, 이사진 등 협회 회원들과 강력한 유대관계를 맺고 한 목소리를 내는 협회를 만들기 위해 노력했죠. 마지막으로 주요 성과는 지방 소재 정보보호 기업들의 마케팅 지원과 해외시장 진출 지원에 있어 가시적인 성과가 나왔다는 점입니다.
회장 재임 당시 가장 기억에 남는 에피소드가 있다면 기억에 남는 에피소드는 사이버위기 대응 훈련입니다. 당시 노무현 정부는 대통령 훈령으로 2004년 국가위기관리 기본 지침과 사이버안전분야 위기 대응 매뉴얼을 제정해 사이버위협으로부터 국가를 지키겠다고 공언했습니다. 주요 실천 사항 중 하나가 국정원과 행정안전부가 공공기관의 사이버보안체계를 점검하는 ‘사이버위기 대응 통합 훈련’이었는데요. 특히, 협회장 재임 당시인 2006년 국가정보원 국가사이버안전센터(NCSC)는 국정원이 주관해 민·관·군 총 417개 기관이 합동 사이버안전 연습을 처음 실시했는데, 이 훈련에 대통령이 국가사이버안전센터를 방문해 사이버안전 위기대응 현장을 점검하고 관심을 표명했습니다. 이 훈련에는 대통령과 국정원장, 정통부 차관, 국방부 차관, 한국정보보호진흥원장 등 국가사이버 관련 관계자가 약 15여명이 참석했는데, 한국정보보호산업협회장 자격으로 정보보호업계를 대표해 회의를 참석했던 게 기억에 많이 남습니다.
당시 국내 정보보호 산업계를 리딩했거나 그 당시 떠올랐던 기업들의 면면에 대해 소개해 주신다면 국내 정보보호 산업도 20년 전 벤처붐으로 대부분 태동했습니다. 이때 많은 정보보호 기업이 탄생했고 다른 산업부문보다 정보보호 업계가 유난히 부침이 심했던 것 같습니다. 당시 코스닥 시장에 상장되어 있던 정보보호 기업이 13개 정도였는데 1세대 보안 기업 중 지금까지 건재한 곳은 안랩과 윈스 정도이고 10여개 이상이 상장 폐지되거나 회사 자체가 아예 없어졌기 때문이죠.
당시 주목을 받았던 보안기술이나 솔루션은 2005년, 2006년 보안시장을 뜨겁게 달군 솔루션은 침입방지 시스템(IPS)이었습니다. IDS가 네트워크상에 상주하면서 트래픽을 모니터링하여 탐지 하는 역할을 한다면, IPS는 악성으로 예상되는 패킷을 드롭시키고 의심스러운 세션을 종료시키거나 공격에 대처하기 위한 기타 조치를 취하는 등 적극적으로 개입했기 때문입니다. IPS는 당시 보안시장의 ‘뜨거운 감자’였습니다. 전혀 새로운 차원의 제품이었고 2003년 발생한 1.25 대란을 계기로 IPS로 전환하게 됐기 때문입니다. IPS는 이슈에서 그치지 않고 수요로 이어져 공공기관 및 민간기업에서 IDS 대신 IPS를 도입하기 시작했습니다. 이와 함께 웜의 출현과 유해 트래픽에 의한 네트워크 위협의 증가에 따라 ‘컨버전스 보안’이 이슈였다고 볼 수 있습니다. 방화벽, VPN, IDS, IPS, 안티바이러스 등의 기능이 통합된 통합보안장비들이 잇따라 출시되기도 했죠.
당시 기관·기업이 도입하는 정보보호 솔루션에 있어 가장 중점적으로 요구했던 사항은 제가 회장으로 재임할 당시 정보보호의 중요성에 대한 인식은 많이 좋아졌습니다. 그럼에도 이러한 인식이 투자하고 실천하는 데까지는 현재까지도 풀지 못한 숙제로 남아 있는 것 같습니다. 당시 기관 및 기업이 도입하는 솔루션에 가장 중점으로 요구하는 사항은 국내 환경에서 관리자가 선호하는 기능과 성능을 제공하는 유연한 커스터마이징이었다고 볼 수 있습니다. 또한, CC(공통평가기준) 인증 등급으로 보안성을 평가받은 제품을 사용하여 네트워크 안정성이 보장된 제품을 원했던 것 같습니다.
*해당 기사의 저작권은 한국정보보호산업협회(KISIA)에 있습니다.
[문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-22] 
.jpg)
.jpg)
.jpg)
.jpg)
