<포럼>개인정보, 국가 차원 시스템 필요하다

클릭하시면 더 큰이미지를 보실 수 있습니다

이희조/고려대 교수·컴퓨터공학

2014년 1월 국민카드, 롯데카드, 농협카드 3사의 1억건 이상의 개인정보가 유출되고, 재발 방지 대책이 정비되기도 전인 지난 3월 초 KT의 개인정보 유출 사고가 발생했다. KT 외에 SK텔레콤과 LG유플러스 등 이동통신 3사와 초고속 인터넷사인 SK브로드밴드 등 4곳에서 1500만 건의 개인정보가 또 유출됐다고 한다. 개인정보가 줄줄 새고 있다.

이 중 KT 개인정보 유출 사고에 이용된 공격 기법은 일반 사용자로 로그인한 다음 명세서 조회 때 9개의 숫자를 무작위로 입력해 다른 고객정보에 접근할 수 있었던 방식으로, 웹 변수 조작이라고도 불린다. 2011년 미국 씨티은행 36만 명의 신용카드 정보 유출도 같은 방식이었다. 이는 파로스(Paros)와 웹스캐럽(WebScarab) 등의 툴을 이용하면 쉽게 공격이 가능하며, 대응하기 위해선 입력값 점검 등 시큐어 코딩을 통해 보호할 수 있고, 또한 비정상 상황 모니터링을 통해서도 방어할 수 있다. 하지만 여전히 많은 사이트에서 취약점이 남아 있다.

간단한 해킹 공격에도 국내의 대표적인 IT 기업들이 무참하게 무너지고 있어, 국민의 분노와 불안감은 극에 달하고, 자포자기 심정으로 무감각해질 지경에 이르렀다. 10일 정부가 발표한 매출 3%의 징벌적 과징금, 3년 내 재발 시 허가 취소 등 강화된 처벌 계획은 고객 자산을 맡아 운영하는 금융회사가 고객 정보를 지키지 못해선 안된다는 최소한의 메시지일 것이다.

첫째, 고객 정보를 다루는 모든 기업에서 주요 시스템의 보안 취약성 분석 및 강화 대책을 재점검할 필요가 있다. 법제상의 최소 요건 만족의 수동적 보호가 아닌 중요 자산에 대한 강력한 보호 체계를 위해 OWASP 톱10 공격 기법 등 최신 공격 기법들에 안전한지, 시큐어 코딩에 따라 시스템이 개발됐는지, 주요 정보는 암호화 저장 및 전송이 되는지 정기 점검하고, 상시 모니터링을 통한 이상 징후 조기 발견 및 내부자 공격에 대한 대처 방안이 필요하다.

둘째, 개인정보 보호 관리를 위해 처벌 중심의 법 제도 외에도 잘하면 혜택도 많은 실행 방안을 마련해 자발적 참여를 늘려야 한다. 공정 거래의 리니언시 제도와 같이 공격 정보를 공유한 기관에는 다른 기관의 피해 예방에 기여한 점을 고려해 면책 특권을 부여할 수도 있을 것이다. 더불어 보안 강화 자구책을 준비하는 기업에 대한 지원 및 세제 혜택을 주어 보안 투자를 활성화해야 한다.

셋째, 국가 차원의 취약점 관리 체계를 구축하고 공격 정보가 즉시 공유될 수 있는 시스템을 구축할 필요가 있다. 미국은 1997년 NVD, 일본은 2003년 JVN, 중국은 2009년 CNVD를 구축해 국가 차원의 취약점 관리 체계를 운영하고 있다. 국내에서도 부분적인 시도는 있었으나 국가 차원의 취약점 정보 공유 시스템을 구축 운영하지 않고 있다. 특히 많이 사용되는 국산 소프트웨어와 자체 개발된 웹 애플리케이션의 취약점은 국내 시스템 공격의 주된 경로지만, 발견한 사람은 어디에 신고해야 할지조차 모르고 해당 회사에 연락하면 도둑 취급을 받는 실정이다.

취약점 정보 신고 포상제 강화로 화이트마켓 활성화, 국산 소프트웨어의 제로데이 취약점 관리와 악성 코드 샘플 등 공격 정보 공유, 취약점 정보 분류 및 점검 툴 배포 등으로 공격은 쉽고 방어는 어려운 비대칭 상황에 협력을 통한 방어 효과를 높이게 할 필요가 있다.

사이버 안보는 보안 담당자와 경영층의 관리뿐만 아니라 모든 사용자의 관심과 참여가 필요한 분야다. 국가 안보를 위해 외아들도 기꺼이 군대에 보내듯이 사이버 안보를 위해 전 국민의 관심과 노력을 통해 두번 다시는 어처구니없는 사이버 재난이 일어나지 않도록 지혜를 모아야 할 때다.