기업과 국가를 노린 사이버 공격이 급격하게 늘어나면서 각국 정부와 업계 보안 전문가들이 사이버 보안 공동 대응 체계 만들어 대비해야 한다는 주장이 나왔다.
13일 과학기술정보통신부, 행정안전부, 국가정보원, 국방부, 경찰청 등이 주최하고 한국정보보호산업협회, 한국인터넷진흥원이 주관한 '제11회 정보보호의 날 국제 정보보호 콘퍼런스 2022′가 서울 여의도 콘래드 호텔에서 열렸다. 이날 콘퍼런스는 '튼튼한 사이버 안보, 안전한 디지털 강국'을 주제로 사무엘 B. 하워튼 미 국토안보부 과학기술국 수석과학자, 도론 리버만 이스라엘 국가사이버국(INCD) 국제협력디렉터, 마크 존스톤 구글 클라우드 아시아퍼시픽 보안책임자 등이 사이버 안보 대응 체계, 해커 접근 방법과 조직 생존 방법 등을 공유했다.
사무엘 B. 하워튼 미 국토안보부 과학기술국 수석과학자는 '정부와 민간의 협업으로 구축하는 사이버 안보 대응체계'를 주제로 한 강연에서 사이버 안보 대응체계 구축을 위해 각국 정부 간 협력, 정부와 민간 기업 간 협력을 기반으로 다양한 보안 기술을 도입해야 한다고 강조했다. 하워튼 수석과학자는 "사이버 안보 위협과 공격이 증가하고 복잡해지면서 미국은 '보안에는 국경이 없다'는 기조로, 전 세계 다양한 곳에서 보안 인재를 기용하고 있다"라며 "미국 국토안보부는 보안 관련 과학기술을 적재적소에 도입하기 위해 다양한 국가 기술자들과 협력하고 있다"라고 했다.
이어 하워튼 수석과학자는 "최근 애플에서 보안 관련 성명을 새로 발표하기도 했는데 이는 민간에서 주도하는 보안 생태계 개선과 보안 강화의 좋은 예다"라며 "민간 업계와 학계의 도움이 정부에도 필요하고, 이들이 검증한 기술을 개선된 형태로 국토안보부가 도입하고 있다"라고 덧붙였다.
도론 리버만 이스라엘 국가사이버국 국제협력디렉터는 정부 내 다양한 부처 및 기관이 사이버 안보를 위해 원활하게 협력해야 한다고 설명했다. 그는 "해커 조직이 다양한 대리인을 보유하고 있으며, 단독으로 혹은 국가행위자를 대신해 사이버 공격을 계속하고 있다"라며 "이스라엘 국가사이버국은 보안전담국으로 다양한 보안 방식을 전파하고, 이스라엘 각 기관이 담당하는 최고 조직 인프라와 기반 시설을 보호하고 있다"라고 했다. 리버만 디렉터는 "중소기업이 사이버 안보 가치 사슬에서 가장 약한 연결고리라는 점에서, 정부 기관은 이들에게 사이버 안보 위험이 감지되면 계속 경고를 보내고 직접 개입하는 등 역할을 하고 있다"라고 했다.
사이버 안보를 위한 기업의 역할을 강조하는 목소리도 있었다. 마크 존스톤 구글 클라우드 아시아퍼시픽 보안책임자는 "사이버 안보 패러다임이 바뀌고 있으며 이에 따라 기업 경영 지속성의 리스크가 발생하고 있다"라며 "공급 체인 전반에서 사이버 안보 문제가 중요해지는 가운데 구글은 문제 해결에 100억달러(약 13조520억원)를 투자했다"라고 했다.
존스톤 보안책임자는 '아무것도 신뢰할 수 없기 때문에 항상 검증한다'는 기본 전제를 바탕으로 구현하는 보안 패러다임인 '제로 트러스트'를 기반으로 기업이 사이버 안보 활동을 이어가야 한다고 강조했다. 그는 "과거 기업들은 보안을 하나의 성벽, 즉 방화벽을 세우고 다양한 인터넷주소(IP)가 교류되는 모습으로 생각했다"라며 "기술이 발전하면서 이젠 방화벽을 넘나들며 다양한 시스템과 네트워크가 서로 상호교류를 하게 됐다"라고 했다. 구글은 복잡하고 상호연결된 시스템에서는 단일 구성원에 대한 무조건적인 신뢰가 중대한 보안 문제로 이어진다는 점을 인지해 다양한 노력을 기울이고 있다고 설명했다.
이종호 비바리퍼블리카(토스) 시큐리티테크팀 리더는 민간 기업 내 화이트해커의 장기적이고 독립적인 보안 활동이 보장돼야 제로 트러스트 체제가 자리잡을 수 있다고 했다. 이 리더는 "사물인터넷(IoT) 등 신기술이 등장하면서 컴퓨터 역할을 하는 각각의 기기를 점유해 코인 채굴 공격을 하는 등 다양한 기술, 플랫폼의 고유한 기능을 노린 공격이 증가하고 있다"라며 "게임, 금융 등 각 기업에 특화된 보안 공격 방어 체계를 구축해야 한다"라고 했다. 이 리더는 "각 회사는 화이트해커로 구성된 '레드팀'을 만들어 이들이 기업별 주요 정보자산을 파악하고, 보안 활동의 우선순위를 결정할 수 있도록 해야 한다"라며 "레드팀은 다른 부서의 영향력이 배제된 독립된 형태로 운영되고 단기적 성과 위주가 아닌 지속적인 실험과 연구 위주로 활동을 진행할 수 있어야 한다"라고 했다.