.jpg)
.jpg)
한국정보보호산업협회 20년사를 통해 본 한국 정보보호 20년 역사
2010년, 스마트폰·금융·의료 보안이 핵심이슈로 부상... 보안관제 수요 증가
KISIA, 정보보안과 물리보안과의 산업융합 촉진... 제10대 이득춘 회장 선출
[보안뉴스 원병철 기자] 2009년 11월 아이폰 3G가 한국에 본격 상륙하면서 우리나라의 IT 인프라는 근간부터 흔들리기 시작했다. 진짜 ‘스마트폰’의 세상이 시작됐기 때문이다. 단문 문자메시지 서비스(MMS)는 물론 인터넷을 이용한 이메일 송수신이 가능해지고, 동영상 촬영과 이를 뒷받침하는 고해상도 디스플레이가 탑재되면서 점차 스마트폰이 컴퓨터를 대체하기 시작했던 것이다.
내 손안의 컴퓨터, 스마트폰의 보안위협
문제는 기존 PC에서 발생했던 보안문제들이 스마트폰에서도 나타나기 시작했다는 사실이다. 전화가 먹통이 되는 것은 물론 전화번호부의 개인정보가 유출되거나 사용자도 모르게 결제가 진행될 우려도 제기됐다. 뿐만 아니라 디도스 공격에 이용될 가능성도 매우 높았다. 해킹의 무대가 PC에서 스마트폰으로 확대된 셈이다. 특히, 스마트폰을 비롯한 모바일 기기들이 업무용으로 사용되기 시작하면서 스마트폰 보안문제는 현실의 문제가 됐다.
2004년 카비르(Carbir)라는 모바일 웜이 최초로 발견된 이후, 2009년까지 변종을 포함한 약 400여종의 모바일 악성코드가 발견됐다. 러시아에서는 스마트폰용 웹브라우저인 것처럼 위장해 불법 과금을 유도하는 ‘레드 브라우저(Red Browser)’나 사용자의 스마트폰이 수신 및 발신하는 SMS를 유출하는 ‘올카노(Allcano)’도 발견됐다. 인도네시아에서는 심비안(오픈소스 모바일용 운영체제)용 신종 악성 프로그램이 발견됐다. 이 악성 프로그램은 단축번호 지정자에게 사용자의 계좌에서 다른 계좌로 돈을 송금하라는 문자메시지를 전송했다. 네덜란드에서는 아이폰을 표적으로 만들어진 웜이 발견됐다. 이 웜은 컴퓨터에 인스톨되면, IP를 스캔하고, 초기 SSH 비밀번호를 그대로 쓰는 와이파이와 연결된 아이폰을 찾아서 전자우편, 연락처, 사진, 기타 데이터를 비롯한 사용자의 다양한 개인정보를 수집했다.
스마트폰 보안시장에 눈 돌린 정보보호업계
이렇듯 스마트폰 보안위협이 부각되기 시작하면서 보안기업들은 스마트폰의 보안을 강화할 수 있는 해법 찾기에 여념이 없었다. 웹케시, 모빌C&C, 유니위스, 지앤넷, 크레디프 등 5개사는 ‘스마트폰 금융 프레임워크’ 개발 및 스마트폰 금융솔루션 출시에 힘을 모으기로 전격합의하고 MOU를 체결했다. 모바일 뱅킹과 관련해서는 NSHC가 ‘스마트폰을 위한 가상화 키보드 솔루션 및 암호화 시스템’과 관련된 다수의 특허를 출원해 주목을 받았으며, 휴대폰 결제 업체 다날은 모든 스마트폰에서 사용할 수 있는 스마트폰용 결제 솔루션을 개발했다.
금융감독원도 ‘스마트폰용 전자금융서비스 안전대책’을 마련해 발표하는 한편, 스마트폰 전자금융서비스 가입시 다단계 가입자 확인을 거치도록 하고 사용자 인증을 강화하도록 했다. 또한, 보안등급별 자금이체 한도를 적용해 PC 인터넷 뱅킹과 유사한 보안수준을 적용하기로 했으며, 비밀번호 등 중요정보는 스마트폰에 아예 저장되지 않도록 하고 보안카드 등 전자서명을 의무화하기로 했다.
한편, 2010년 2월 숭실대 이정현 컴퓨터학부 교수는 윈도우 모바일 6.1을 사용하는 국내 스마트폰 4종이 모두 보안취약점이 드러나 해킹에 성공했다고 밝혔다. 이정현 교수와 연구진은 간단한 해킹툴을 만들어 스마트폰의 개인정보를 유출한 후, 최대 20만원의 돈을 결제했다고 밝혔다. 스마트폰 해킹을 통해 돈을 무단 이체할 수 있다는 것이 입증된 셈이다.
금융보안 사고, 금융정보 해킹에 ‘속수무책’
앞서 언급한 스마트폰 해킹에서 최종적으로 진행된 것이 바로 모바일뱅킹을 이용한 무단결제였다. 문제는 이게 모바일 뱅킹에서만 발생한 것이 아니라는 사실이다. 2010년에는 은행 등 금융권과 금융 이용자들에게 금융사고와 직결되는 해킹이나 보안카드 도용 등, 금융정보 관리 부주의로 보안망에 구멍이 뚫려 빈번하게 사고가 발생했다. 이에 따라 사이버 금융보안 사고에 대한 보안대책 마련이 시급하다는 주장이 끊임없이 제기됐으며, 특히 사용자 부주의로 인한 과실과 함께 단방향적인 사이버 금융보안 정책이 문제점으로 지적됐다.
2005년 6월 한 은행에서 발생한 해킹 사고로 사이버 금융보안 체계에 대한 의문이 제기됐다. 당시 해커는 키보드의 입력 값을 빼내 인증서 번호를 알아내고, 이를 통해 빼낸 개인정보로 새로운 인증서를 발급받아 돈을 빼내다 붙잡혔다. 이후 2008년 저축은행 해킹사건이나 2009년 하나은행 인터넷 뱅킹 해킹 등 금융보안 사고는 꾸준하게 발생했다.
특히, 2010년에는 인터넷 뱅킹을 통해 돈을 빼낸 중국 해커와 범죄일당이 중국공안과 경찰에 붙잡힌 사건이 있었다. 검거된 해커 2명은 모두 86명의 한국인 계좌에서 4억 4,000만원을 편취한 것으로 드러났다. 이들은 인터넷 뱅킹 이용자들이 이메일 계정이나 개인 PC에 보안키 등 금융정보를 스캔·복사한 후 이를 저장하고 보관해 사용하는 등 관리를 소흘한 틈을 타 범행을 저질렀다.
전문가들은 잇달아 발생하는 사이버 금융사고의 문제점을 사용자들의 보안의식 결여에서 찾았다. 당시 발생했던 사고가 대부분 보안카드나 개인정보 관리의 허점에서 시작됐기 때문이다. 하지만 단방향적인 사이버 금융보안 정책에도 문제가 있다는 지적도 나왔다. 금융감독원은 2005년 키보드 해킹에 의한 사고가 발생하자 키보드 보안프로그램을 의무적으로 도입했고, 2007년부터는 OTP를 이용하도록 강조했다. 즉, 정부의 의무적인 보안 솔루션 도입 권유로 인해 사이버금융보안 기술이 일방적으로 치우치게 됐다는 것. 결국 다른 기술과의 경쟁으로 인한 발전이 필요했지만, 은행권 보안 강화를 위한 의무화가 오히려 이를 저해하는 요소가 됐다는 주장이다.
금융감독원은 금융보안 강화를 위해 전자금융 소비자 보호와 전자금융거래의 안전성 확보를 위한 여러 가지 방안을 모색했다. 특히, 금융회사는 디도스 공격과 같은 사이버테러에 대한 대응능력 강화를 위해 사이버테러 대응 시스템 도입, 사이버테러 모의훈련 실시, 24시간 보안관제 체계 구축 등을 통한 사이버테러 대응능력을 지속적으로 강화하도록 지도했다. 또한, 스마트폰, VoIP 등 신기술을 이용한 전자금융거래에 대한 정보보호 가이드라인을 마련하고, 금융회사 IT부문에 대한 감독과 검사를 강화한다고 밝혔다. 아울러 ‘범금융권 고객정보보호 캠페인’을 지속적으로 실시하는 한편, 금융회사가 정보보호 업무 수행에 필요한 인력 및 예산을 확보할 수 있도록 장기적인 노력과 지원을 아끼지 않겠다고 강조했다.
의료계 정보보호, 수술대에 오르다
금융보안과 함께 2010년을 격동하게 했던 이슈가 바로 의료보안 문제다. 보건복지부가 2010년 1월 발표한 ‘의료기관 개인정보보호 가이드라인(안)’에는 의료기관의 개인정보보호 및 보안 관리조직, 정보시스템 운영 및 보안관리, 네트워크 및 로그관리, 사용자 인증 및 접근권한 관리, 침해사고 예방 및 대응 등 관리적·기술적·물리적 보안이 모두 담겼다. 하지만 의료계는 개인정보보호의 중요성과 필요성은 공감하지만, 의료계의 현실을 고려하지 않은 일방적인 정책 추진은 받아들일 수 없다는 입장을 보여 갈등이 첨예화됐다.
가이드라인의 기본 원칙은 의료기관이 환자를 진료하는 과정에서 얻은 개인정보는 적절한 절차를 통해 보호되어야 하며, 환자 본인의 진료 목적과 이에 수반되는 진료 지원업무에만 사용돼야 한다는 것이다. 또한, 환자 본인의 진료와 이에 필수적으로 수반되는 진료지원업무 외에 개인정보를 사용하기 위해서는 환자의 동의를 얻거나 법률에 이를 허용하는 근거가 있어야 한다는 것이다.
하지만 의료계에서는 그간 논란이 됐던 광범위한 의미의 개인정보를 재정의해서 의료기관 개인정보보호 가이드라인을 만들었는데, 이 가이드라인은 의료인과 의료기관 종사자가 진료과정에서 알게 된 의료정보, 즉 진료기록, 검사, 의학적 소견서, 처방조제, 간호기록 등을 보다 안전하게 보호하고 관리·운영하도록 하기 위한 목적이므로 ‘의료기관 의료정보 보호 가이드라인’이라고 용어를 바꿔줄 것을 요구했다. 또한, 관리적 측면에서 관련위원회 구성 및 운영, 보호 및 보안책임자 임명, 방화벽 설치, 외부기관에 안전진단을 받도록 규정하는 것에 강하게 이의를 제기하고, 상당수 의료기관에 인력 채용과 물리적·기술적 보호조치를 하는 데 많게는 수억 원의 비용이 발생할 것이라고 주장했다.
하지만 이미 국내외에서 의료정보 유출사고가 끊이지 않아 대응방안이 필요하다는 주장이 힘을 얻었다. 2009년 타계한 탤런트 고 여운계씨의 진료 기록 중 폐암 투병 중 혈액종양내과 진료기록 일부가 유출된 사건이나, 국민MC 유재석 씨의 아내 나경은 씨의 임신 사실을 네티즌이 먼저 알았다는 사실도 문제가 됐다.
해외에서의 의료정보 유출사고도 빈번했다. 2008년에는 미국 뉴욕 프레스비테리언 병원의 직원이 환자 4만 명의 진료기록을 빼돌렸던 사건이 있었다. 도난당한 환자들의 기록에는 환자들의 이름, 전화번호, 사회보장번호가 포함된 것으로 알려졌다. 특히, 진료기록을 빼돌린 직원이 거대한 범죄 사건과 연루됐을 가능성 때문에 미 연방수사국(FBI)이 수사를 맡아 이슈가 됐다.
개인정보보호조치 의무불이행, 정보유출업체 최초 입건
서울지방경찰청 사이버범죄수사대는 2010년 3월 개인정보의 암호화 등 기술적 보호조치의무를 이해하지 않아 51만개의 인터넷 회원정보를 누출한 모 인터넷거래 중개업체 등 2개 업체, 2명을 불구속 입건했다고 밝혔다. 이는 개인정보보호조치 의무불이행으로 정보유출업체가 입건된 최초의 사례다.
개인정보의 기술적·관리적 보호 조치의 기준은 권고가 아니라 법률에 의해 반드시 준수해야 하는 의무사항이다. 그런 점에서 암호화 저장 등 기술적 보호조치 의무를 이행하지 않아 51만 명의 고객정보를 유출한 것으로 확인된 인터넷업체에 대해 최초 입건된 사례로 기록돼 주목받았다. 이에 따라 해당 업체들은 정통망법 제73조 제1호 개인정보 보호조치(2008.9.13 시행) 위반으로 처벌을 받았다.
중소기업 산업기밀 유출 비율은 감소, 피해규모는 증가
한편, 기업에서 유출되는 정보 중 개인정보가 아닌 산업기밀이 유출되는 경우도 크게 증가했다. 중소기업청과 한국산업기술진흥협회가 공동으로 실시한 ‘중소기업 산업기밀 관리실태’ 조사결과 산업기밀 유출 1건당 평균 피해금액이 10억 2,000만원에 달하는 등 중소기업의 기술유출 피해가 점차 증가하고 있는 것으로 나타났다. 기업부설연구소를 보유한 중소기업 1,500개사를 대상으로 한 이번 조사결과 지난 3년간 기밀유출 피해를 입은 중소기업은 14.7%에 달하며, 산업기밀 유출 1건당 평균 피해금액은 10억 2,000만원으로 연평균 매출액 대비 9%의 피해를 입은 것으로 나타났다. 2009년 조사에서 유출피해 기업 비율이 15.3%, 유출 피해금액이 건당 9억 1,000만원(연평균 매출액 대비 7.5%)이었던 것을 감안하면, 유출 비율은 감소하고 있으나 피해규모는 점점 증가한 것으로 분석됐다.
인텔과 맥아피의 빅딜 성사, 정보보호업계 ‘충격’
2010년 정보보호업계는 인텔이 세계 2위의 보안 소프트웨어 기업 ‘맥아피’를 76억 8,000만 달러(당시 약 9조원)에 인수하면서 보안업계에 큰 충격을 줬다. 당시 인터넷과 휴대기기를 통한 보안 위협이 증가되고 있고 이에 대한 보안 요구가 커지고 있는 가운데, 보안 소프트웨어를 탑재한 반도체로 시장 경쟁력을 더욱 높이겠다는 인텔의 전략이 맥아피 인수로 이어졌던 것이다.
즉, 제품의 보안성 강화를 통해 타사와는 차별된 컴퓨팅 플랫폼 및 제품을 개발하겠다는 전략이었다. 특히, 인텔은 스마트폰과 같은 무선 이동통신 부문에서의 영향력 확대를 꾀하기 위한 목적이었던 것으로 알려졌다. PC 프로세서 시장의 80%를 장악하고 있지만 모바일 부문에서는 뚜렷한 성과를 내지 못했던 인텔로서는 인수에 거는 기대가 컸기 때문이다. 그러나 8년이 지난 현재, 인텔이 다시 맥아피를 다시 팔아 없던 일이 됐다.
침해사고 피해 확대로 ‘보안관제’ 수요 증가
국내 보안관제 산업이 태동한지 10년이 되는 2010년. 사이버 침해사고에 의한 피해가 확산되고 정부·공공기관 및 기업에서 정보보호의 중요성에 대한 인식이 높아짐에 따라 각 기관·기업에서 보유하고 있는 네트워크 장비, 주요 서버 자원, 단위 보안장비 등을 포함한 전사자원에 대한 보안관제 서비스 사업이 활성화됐다. 보안관제 서비스란 IDS, IPS, 방화벽, NMS 등 여러 시스템들에 올라오는 로그를 분석하고, 실시간으로 발생하는 문제점들에 대한 분석·조치 등을 하루 24시간 원격 혹은 파견을 통해 감시에 착수하는 것을 말한다. 특히, 이들 보안관제 서비스 업체들은 정기 보고서 등을 활용해 최신 보안동향과 고객사의 보안 취약점을 수시로 전해주는 역할을 하기도 한다.
2010년 국내 보안관제 업체들의 경우 「개인정보보호법」 등의 제정과 보안에 대한 관심 증가로 성장세를 유지했다. 특히, 공공부문의 통합관제 서비스 시장이 비약적으로 성장하면서 관제인력의 수급 능력, 기술력의 확보 여부에 따라 공공부문에서의 사업성과에 차이가 나면서 관제업체 간의 매출 격차가 벌어졌다. 2010년의 경우 보안관제 매출이 500억 규모에 달했다. 그러나 그간 계속 지적돼온 인건비 문제, 업체 간 과도한 경쟁, 물리적 보안과의 융·복합 이슈 등으로 인해 매출은 상승했지만, 수익률이 떨어지는 문제가 지적됐다.
당시 보안관제 서비스 시장에서는 넷시큐어테크놀로지, 안철수연구소, 이글루시큐리티, 인젠시큐리티서비스, 한국통신인터넷기술, KCC시큐리티, SK인포섹 등(가나다 순)이 전문 보안관제 서비스 업체로, 보안관제 솔루션 업체로는 이오소프트, 나우콤, 제이컴정보, 인젠, 이글루시큐리티, 타임네트웍스가 활발하게 활동했다.
KISIA, 정보보안과 물리보안과의 산업융합 촉진 나서다
협회는 2010년 2월 제14차 정기총회를 개최하고 이득춘 이글루시큐리티 대표를 10대 회장으로 선출했다. 또한, 수석부회장으로 조규곤 파수닷컴 대표와 오치영 지란지교소프트 대표가 선임됐으며, 김대연 나우콤 보안사업부문 대표, 박동훈 닉스테크 대표, 김대환 소만사 대표, 김홍선 안철수연구소 대표, 문재웅 제이컴정보 대표, 김인식 한국정보인증 대표 등 14명의 부회장과 이사를 포함해 총 33명의 임원이 선임됐다.
신임 이득춘 회장은 ‘한·중·일 민간 보안협회의 상호 협력’, ‘물리보안시장과 IT보안시장의 협력과 융합을 통한 시너지효과 창출’, ‘보안제품 유지보수요율 향상과 분리발주 실행’, ‘보안의 날 제정과 국가적 차원 확대’ 등 4가지 목표를 제시했다. 이득춘 제10대 회장은 “현재 물리보안업계와 IT보안업계와의 충돌적인 시점이지만 각 분야에서 임계점에 닿아있기 때문에 새로운 시장을 위한 노력이 필요할 것”이라며 “두 분야의 융합은 잘될 경우 시장 확대로 이어지지만 어긋날 경우 시장 확대보다 서로 출혈이 발생될 수 있어 조율을 통해 합리적인 시너지를 낳을 수 있도록 노력할 계획”이라고 취임 소감을 밝혔다.
이와 함께 협회는 2010년도 주요 사업으로 ‘정보보안 SW 유지보수 대가 기준 연구’ 등의 조사연구 사업을 비롯해 일자리 창출관련 ‘인력채용패키지사업 운영’, ‘교육훈련혁신센터지원 사업’ 등과 ‘2010년 의료정보보안 컨퍼런스 및 제품 전시회’, ‘사회적 책임 봉사단(KISORE) 발족’ 등의 사업을 진행했다.
*해당 기사의 저작권은 한국정보보호산업협회(KISIA)에 있습니다.
[원병철 기자(boanone@boannews.com)]
2010년, 스마트폰·금융·의료 보안이 핵심이슈로 부상... 보안관제 수요 증가
KISIA, 정보보안과 물리보안과의 산업융합 촉진... 제10대 이득춘 회장 선출
[보안뉴스 원병철 기자] 2009년 11월 아이폰 3G가 한국에 본격 상륙하면서 우리나라의 IT 인프라는 근간부터 흔들리기 시작했다. 진짜 ‘스마트폰’의 세상이 시작됐기 때문이다. 단문 문자메시지 서비스(MMS)는 물론 인터넷을 이용한 이메일 송수신이 가능해지고, 동영상 촬영과 이를 뒷받침하는 고해상도 디스플레이가 탑재되면서 점차 스마트폰이 컴퓨터를 대체하기 시작했던 것이다.
[이미지=iclickart]
내 손안의 컴퓨터, 스마트폰의 보안위협
문제는 기존 PC에서 발생했던 보안문제들이 스마트폰에서도 나타나기 시작했다는 사실이다. 전화가 먹통이 되는 것은 물론 전화번호부의 개인정보가 유출되거나 사용자도 모르게 결제가 진행될 우려도 제기됐다. 뿐만 아니라 디도스 공격에 이용될 가능성도 매우 높았다. 해킹의 무대가 PC에서 스마트폰으로 확대된 셈이다. 특히, 스마트폰을 비롯한 모바일 기기들이 업무용으로 사용되기 시작하면서 스마트폰 보안문제는 현실의 문제가 됐다.
2004년 카비르(Carbir)라는 모바일 웜이 최초로 발견된 이후, 2009년까지 변종을 포함한 약 400여종의 모바일 악성코드가 발견됐다. 러시아에서는 스마트폰용 웹브라우저인 것처럼 위장해 불법 과금을 유도하는 ‘레드 브라우저(Red Browser)’나 사용자의 스마트폰이 수신 및 발신하는 SMS를 유출하는 ‘올카노(Allcano)’도 발견됐다. 인도네시아에서는 심비안(오픈소스 모바일용 운영체제)용 신종 악성 프로그램이 발견됐다. 이 악성 프로그램은 단축번호 지정자에게 사용자의 계좌에서 다른 계좌로 돈을 송금하라는 문자메시지를 전송했다. 네덜란드에서는 아이폰을 표적으로 만들어진 웜이 발견됐다. 이 웜은 컴퓨터에 인스톨되면, IP를 스캔하고, 초기 SSH 비밀번호를 그대로 쓰는 와이파이와 연결된 아이폰을 찾아서 전자우편, 연락처, 사진, 기타 데이터를 비롯한 사용자의 다양한 개인정보를 수집했다.
스마트폰 보안시장에 눈 돌린 정보보호업계
이렇듯 스마트폰 보안위협이 부각되기 시작하면서 보안기업들은 스마트폰의 보안을 강화할 수 있는 해법 찾기에 여념이 없었다. 웹케시, 모빌C&C, 유니위스, 지앤넷, 크레디프 등 5개사는 ‘스마트폰 금융 프레임워크’ 개발 및 스마트폰 금융솔루션 출시에 힘을 모으기로 전격합의하고 MOU를 체결했다. 모바일 뱅킹과 관련해서는 NSHC가 ‘스마트폰을 위한 가상화 키보드 솔루션 및 암호화 시스템’과 관련된 다수의 특허를 출원해 주목을 받았으며, 휴대폰 결제 업체 다날은 모든 스마트폰에서 사용할 수 있는 스마트폰용 결제 솔루션을 개발했다.
금융감독원도 ‘스마트폰용 전자금융서비스 안전대책’을 마련해 발표하는 한편, 스마트폰 전자금융서비스 가입시 다단계 가입자 확인을 거치도록 하고 사용자 인증을 강화하도록 했다. 또한, 보안등급별 자금이체 한도를 적용해 PC 인터넷 뱅킹과 유사한 보안수준을 적용하기로 했으며, 비밀번호 등 중요정보는 스마트폰에 아예 저장되지 않도록 하고 보안카드 등 전자서명을 의무화하기로 했다.
한편, 2010년 2월 숭실대 이정현 컴퓨터학부 교수는 윈도우 모바일 6.1을 사용하는 국내 스마트폰 4종이 모두 보안취약점이 드러나 해킹에 성공했다고 밝혔다. 이정현 교수와 연구진은 간단한 해킹툴을 만들어 스마트폰의 개인정보를 유출한 후, 최대 20만원의 돈을 결제했다고 밝혔다. 스마트폰 해킹을 통해 돈을 무단 이체할 수 있다는 것이 입증된 셈이다.
[이미지=iclickart]
금융보안 사고, 금융정보 해킹에 ‘속수무책’
앞서 언급한 스마트폰 해킹에서 최종적으로 진행된 것이 바로 모바일뱅킹을 이용한 무단결제였다. 문제는 이게 모바일 뱅킹에서만 발생한 것이 아니라는 사실이다. 2010년에는 은행 등 금융권과 금융 이용자들에게 금융사고와 직결되는 해킹이나 보안카드 도용 등, 금융정보 관리 부주의로 보안망에 구멍이 뚫려 빈번하게 사고가 발생했다. 이에 따라 사이버 금융보안 사고에 대한 보안대책 마련이 시급하다는 주장이 끊임없이 제기됐으며, 특히 사용자 부주의로 인한 과실과 함께 단방향적인 사이버 금융보안 정책이 문제점으로 지적됐다.
2005년 6월 한 은행에서 발생한 해킹 사고로 사이버 금융보안 체계에 대한 의문이 제기됐다. 당시 해커는 키보드의 입력 값을 빼내 인증서 번호를 알아내고, 이를 통해 빼낸 개인정보로 새로운 인증서를 발급받아 돈을 빼내다 붙잡혔다. 이후 2008년 저축은행 해킹사건이나 2009년 하나은행 인터넷 뱅킹 해킹 등 금융보안 사고는 꾸준하게 발생했다.
특히, 2010년에는 인터넷 뱅킹을 통해 돈을 빼낸 중국 해커와 범죄일당이 중국공안과 경찰에 붙잡힌 사건이 있었다. 검거된 해커 2명은 모두 86명의 한국인 계좌에서 4억 4,000만원을 편취한 것으로 드러났다. 이들은 인터넷 뱅킹 이용자들이 이메일 계정이나 개인 PC에 보안키 등 금융정보를 스캔·복사한 후 이를 저장하고 보관해 사용하는 등 관리를 소흘한 틈을 타 범행을 저질렀다.
전문가들은 잇달아 발생하는 사이버 금융사고의 문제점을 사용자들의 보안의식 결여에서 찾았다. 당시 발생했던 사고가 대부분 보안카드나 개인정보 관리의 허점에서 시작됐기 때문이다. 하지만 단방향적인 사이버 금융보안 정책에도 문제가 있다는 지적도 나왔다. 금융감독원은 2005년 키보드 해킹에 의한 사고가 발생하자 키보드 보안프로그램을 의무적으로 도입했고, 2007년부터는 OTP를 이용하도록 강조했다. 즉, 정부의 의무적인 보안 솔루션 도입 권유로 인해 사이버금융보안 기술이 일방적으로 치우치게 됐다는 것. 결국 다른 기술과의 경쟁으로 인한 발전이 필요했지만, 은행권 보안 강화를 위한 의무화가 오히려 이를 저해하는 요소가 됐다는 주장이다.
금융감독원은 금융보안 강화를 위해 전자금융 소비자 보호와 전자금융거래의 안전성 확보를 위한 여러 가지 방안을 모색했다. 특히, 금융회사는 디도스 공격과 같은 사이버테러에 대한 대응능력 강화를 위해 사이버테러 대응 시스템 도입, 사이버테러 모의훈련 실시, 24시간 보안관제 체계 구축 등을 통한 사이버테러 대응능력을 지속적으로 강화하도록 지도했다. 또한, 스마트폰, VoIP 등 신기술을 이용한 전자금융거래에 대한 정보보호 가이드라인을 마련하고, 금융회사 IT부문에 대한 감독과 검사를 강화한다고 밝혔다. 아울러 ‘범금융권 고객정보보호 캠페인’을 지속적으로 실시하는 한편, 금융회사가 정보보호 업무 수행에 필요한 인력 및 예산을 확보할 수 있도록 장기적인 노력과 지원을 아끼지 않겠다고 강조했다.
의료계 정보보호, 수술대에 오르다
금융보안과 함께 2010년을 격동하게 했던 이슈가 바로 의료보안 문제다. 보건복지부가 2010년 1월 발표한 ‘의료기관 개인정보보호 가이드라인(안)’에는 의료기관의 개인정보보호 및 보안 관리조직, 정보시스템 운영 및 보안관리, 네트워크 및 로그관리, 사용자 인증 및 접근권한 관리, 침해사고 예방 및 대응 등 관리적·기술적·물리적 보안이 모두 담겼다. 하지만 의료계는 개인정보보호의 중요성과 필요성은 공감하지만, 의료계의 현실을 고려하지 않은 일방적인 정책 추진은 받아들일 수 없다는 입장을 보여 갈등이 첨예화됐다.
가이드라인의 기본 원칙은 의료기관이 환자를 진료하는 과정에서 얻은 개인정보는 적절한 절차를 통해 보호되어야 하며, 환자 본인의 진료 목적과 이에 수반되는 진료 지원업무에만 사용돼야 한다는 것이다. 또한, 환자 본인의 진료와 이에 필수적으로 수반되는 진료지원업무 외에 개인정보를 사용하기 위해서는 환자의 동의를 얻거나 법률에 이를 허용하는 근거가 있어야 한다는 것이다.
하지만 의료계에서는 그간 논란이 됐던 광범위한 의미의 개인정보를 재정의해서 의료기관 개인정보보호 가이드라인을 만들었는데, 이 가이드라인은 의료인과 의료기관 종사자가 진료과정에서 알게 된 의료정보, 즉 진료기록, 검사, 의학적 소견서, 처방조제, 간호기록 등을 보다 안전하게 보호하고 관리·운영하도록 하기 위한 목적이므로 ‘의료기관 의료정보 보호 가이드라인’이라고 용어를 바꿔줄 것을 요구했다. 또한, 관리적 측면에서 관련위원회 구성 및 운영, 보호 및 보안책임자 임명, 방화벽 설치, 외부기관에 안전진단을 받도록 규정하는 것에 강하게 이의를 제기하고, 상당수 의료기관에 인력 채용과 물리적·기술적 보호조치를 하는 데 많게는 수억 원의 비용이 발생할 것이라고 주장했다.
하지만 이미 국내외에서 의료정보 유출사고가 끊이지 않아 대응방안이 필요하다는 주장이 힘을 얻었다. 2009년 타계한 탤런트 고 여운계씨의 진료 기록 중 폐암 투병 중 혈액종양내과 진료기록 일부가 유출된 사건이나, 국민MC 유재석 씨의 아내 나경은 씨의 임신 사실을 네티즌이 먼저 알았다는 사실도 문제가 됐다.
해외에서의 의료정보 유출사고도 빈번했다. 2008년에는 미국 뉴욕 프레스비테리언 병원의 직원이 환자 4만 명의 진료기록을 빼돌렸던 사건이 있었다. 도난당한 환자들의 기록에는 환자들의 이름, 전화번호, 사회보장번호가 포함된 것으로 알려졌다. 특히, 진료기록을 빼돌린 직원이 거대한 범죄 사건과 연루됐을 가능성 때문에 미 연방수사국(FBI)이 수사를 맡아 이슈가 됐다.
개인정보보호조치 의무불이행, 정보유출업체 최초 입건
서울지방경찰청 사이버범죄수사대는 2010년 3월 개인정보의 암호화 등 기술적 보호조치의무를 이해하지 않아 51만개의 인터넷 회원정보를 누출한 모 인터넷거래 중개업체 등 2개 업체, 2명을 불구속 입건했다고 밝혔다. 이는 개인정보보호조치 의무불이행으로 정보유출업체가 입건된 최초의 사례다.
개인정보의 기술적·관리적 보호 조치의 기준은 권고가 아니라 법률에 의해 반드시 준수해야 하는 의무사항이다. 그런 점에서 암호화 저장 등 기술적 보호조치 의무를 이행하지 않아 51만 명의 고객정보를 유출한 것으로 확인된 인터넷업체에 대해 최초 입건된 사례로 기록돼 주목받았다. 이에 따라 해당 업체들은 정통망법 제73조 제1호 개인정보 보호조치(2008.9.13 시행) 위반으로 처벌을 받았다.
중소기업 산업기밀 유출 비율은 감소, 피해규모는 증가
한편, 기업에서 유출되는 정보 중 개인정보가 아닌 산업기밀이 유출되는 경우도 크게 증가했다. 중소기업청과 한국산업기술진흥협회가 공동으로 실시한 ‘중소기업 산업기밀 관리실태’ 조사결과 산업기밀 유출 1건당 평균 피해금액이 10억 2,000만원에 달하는 등 중소기업의 기술유출 피해가 점차 증가하고 있는 것으로 나타났다. 기업부설연구소를 보유한 중소기업 1,500개사를 대상으로 한 이번 조사결과 지난 3년간 기밀유출 피해를 입은 중소기업은 14.7%에 달하며, 산업기밀 유출 1건당 평균 피해금액은 10억 2,000만원으로 연평균 매출액 대비 9%의 피해를 입은 것으로 나타났다. 2009년 조사에서 유출피해 기업 비율이 15.3%, 유출 피해금액이 건당 9억 1,000만원(연평균 매출액 대비 7.5%)이었던 것을 감안하면, 유출 비율은 감소하고 있으나 피해규모는 점점 증가한 것으로 분석됐다.
인텔과 맥아피의 빅딜 성사, 정보보호업계 ‘충격’
2010년 정보보호업계는 인텔이 세계 2위의 보안 소프트웨어 기업 ‘맥아피’를 76억 8,000만 달러(당시 약 9조원)에 인수하면서 보안업계에 큰 충격을 줬다. 당시 인터넷과 휴대기기를 통한 보안 위협이 증가되고 있고 이에 대한 보안 요구가 커지고 있는 가운데, 보안 소프트웨어를 탑재한 반도체로 시장 경쟁력을 더욱 높이겠다는 인텔의 전략이 맥아피 인수로 이어졌던 것이다.
즉, 제품의 보안성 강화를 통해 타사와는 차별된 컴퓨팅 플랫폼 및 제품을 개발하겠다는 전략이었다. 특히, 인텔은 스마트폰과 같은 무선 이동통신 부문에서의 영향력 확대를 꾀하기 위한 목적이었던 것으로 알려졌다. PC 프로세서 시장의 80%를 장악하고 있지만 모바일 부문에서는 뚜렷한 성과를 내지 못했던 인텔로서는 인수에 거는 기대가 컸기 때문이다. 그러나 8년이 지난 현재, 인텔이 다시 맥아피를 다시 팔아 없던 일이 됐다.
침해사고 피해 확대로 ‘보안관제’ 수요 증가
국내 보안관제 산업이 태동한지 10년이 되는 2010년. 사이버 침해사고에 의한 피해가 확산되고 정부·공공기관 및 기업에서 정보보호의 중요성에 대한 인식이 높아짐에 따라 각 기관·기업에서 보유하고 있는 네트워크 장비, 주요 서버 자원, 단위 보안장비 등을 포함한 전사자원에 대한 보안관제 서비스 사업이 활성화됐다. 보안관제 서비스란 IDS, IPS, 방화벽, NMS 등 여러 시스템들에 올라오는 로그를 분석하고, 실시간으로 발생하는 문제점들에 대한 분석·조치 등을 하루 24시간 원격 혹은 파견을 통해 감시에 착수하는 것을 말한다. 특히, 이들 보안관제 서비스 업체들은 정기 보고서 등을 활용해 최신 보안동향과 고객사의 보안 취약점을 수시로 전해주는 역할을 하기도 한다.
2010년 국내 보안관제 업체들의 경우 「개인정보보호법」 등의 제정과 보안에 대한 관심 증가로 성장세를 유지했다. 특히, 공공부문의 통합관제 서비스 시장이 비약적으로 성장하면서 관제인력의 수급 능력, 기술력의 확보 여부에 따라 공공부문에서의 사업성과에 차이가 나면서 관제업체 간의 매출 격차가 벌어졌다. 2010년의 경우 보안관제 매출이 500억 규모에 달했다. 그러나 그간 계속 지적돼온 인건비 문제, 업체 간 과도한 경쟁, 물리적 보안과의 융·복합 이슈 등으로 인해 매출은 상승했지만, 수익률이 떨어지는 문제가 지적됐다.
당시 보안관제 서비스 시장에서는 넷시큐어테크놀로지, 안철수연구소, 이글루시큐리티, 인젠시큐리티서비스, 한국통신인터넷기술, KCC시큐리티, SK인포섹 등(가나다 순)이 전문 보안관제 서비스 업체로, 보안관제 솔루션 업체로는 이오소프트, 나우콤, 제이컴정보, 인젠, 이글루시큐리티, 타임네트웍스가 활발하게 활동했다.
▲KISIA 회원사들이 함께 참여한 ‘아름다운 하루’ 행사 모습[사진=KISIA]
KISIA, 정보보안과 물리보안과의 산업융합 촉진 나서다
협회는 2010년 2월 제14차 정기총회를 개최하고 이득춘 이글루시큐리티 대표를 10대 회장으로 선출했다. 또한, 수석부회장으로 조규곤 파수닷컴 대표와 오치영 지란지교소프트 대표가 선임됐으며, 김대연 나우콤 보안사업부문 대표, 박동훈 닉스테크 대표, 김대환 소만사 대표, 김홍선 안철수연구소 대표, 문재웅 제이컴정보 대표, 김인식 한국정보인증 대표 등 14명의 부회장과 이사를 포함해 총 33명의 임원이 선임됐다.
신임 이득춘 회장은 ‘한·중·일 민간 보안협회의 상호 협력’, ‘물리보안시장과 IT보안시장의 협력과 융합을 통한 시너지효과 창출’, ‘보안제품 유지보수요율 향상과 분리발주 실행’, ‘보안의 날 제정과 국가적 차원 확대’ 등 4가지 목표를 제시했다. 이득춘 제10대 회장은 “현재 물리보안업계와 IT보안업계와의 충돌적인 시점이지만 각 분야에서 임계점에 닿아있기 때문에 새로운 시장을 위한 노력이 필요할 것”이라며 “두 분야의 융합은 잘될 경우 시장 확대로 이어지지만 어긋날 경우 시장 확대보다 서로 출혈이 발생될 수 있어 조율을 통해 합리적인 시너지를 낳을 수 있도록 노력할 계획”이라고 취임 소감을 밝혔다.
이와 함께 협회는 2010년도 주요 사업으로 ‘정보보안 SW 유지보수 대가 기준 연구’ 등의 조사연구 사업을 비롯해 일자리 창출관련 ‘인력채용패키지사업 운영’, ‘교육훈련혁신센터지원 사업’ 등과 ‘2010년 의료정보보안 컨퍼런스 및 제품 전시회’, ‘사회적 책임 봉사단(KISORE) 발족’ 등의 사업을 진행했다.
*해당 기사의 저작권은 한국정보보호산업협회(KISIA)에 있습니다.
[원병철 기자(boanone@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
[2024-10-31] 
