AI 악용, 사이버 전쟁, 생체 기술 확산··· 2018년 보안 전망

그는 “2017년에 일어난 사건들은 기업들이 경쟁업체는 물론 심지어 국가의 후원을 받는 해커들과 범죄 조직을 대적하고 있다는 사실을 보여 주었다. 우리는 그럴 것이라는 의심을 오랜 기간 품어 왔다. 이들 공격자들이 보여준 정교함과 끈기는 많은 기업들이 현재 방어에 만전을 기하고 있는 기회주의적 해킹에 비해 수준이 훨씬 높다는 것이 점점 더 명백해지고 있다”라고 말했다.

콜리는 이어 “원인을 파악하기 매우 어렵고 공격자가 누구인지 입증하기란 대부분의 조직에게 거의 불가능하기 때문에 해킹은 해가 갈수록 더욱 대담해질 것”이라고 전망했다.

카스퍼스키 랩이 밝혀낸 사이버 강도 사건도 이러한 동향을 보여준다. 5개월의 준비 기간을 거친 해커들이 복잡한 작전을 통해 은행의 도메인을 6시간 동안이나 완전히 장악한 사건이었다.

대부분의 사이버보안 사건은 금전적인 동기가 단연 가장 크다. 페덱스, 레킷벤키저(Reckitt Benckiser)등 유명 업체들은 낫페트야(NotPetya) 암호화 랜섬웨어에 의해 금전적인 피해를 입었다. 2016년 사이버 범죄가 세계 경제가 끼친 피해액은 자그마치 4,500만 달러로 추산된다.

워너크라이(WannaCry)와 낫페트야는 전세계 기업에 피해를 입혔다. 이를 계기로 규모를 불문하고 회사들의 주의가 촉구된다면 좋겠지만 정보 보안의 세계는 예측 불허이기 때문에 기업들 입장에서는 피해 경감에 최선을 다하는 수밖에 없다.

사이버 무기 절도 증가
2016년에 최초로 출현한 자칭 섀도우 브로커스(Shadow Brokers)라는 그룹은 NSA의 보안 도구를 유출시킨 장본인이었다. 유출된 도구는 워너크라이 및 낫페트야 랜섬웨어 공격으로 변형되었다. <뉴욕 타임즈(New York Times)>에서는 이를 NSA 전체에 큰 충격을 안긴 사건이라고 묘사했다. 섀도우 브로커스는 향후 추가 유출이 있을 것이라고 예고하고 있다.

무능한 정부
정부 일각에서는 암호화를 국가 안보의 위협으로 규정하고 이를 무력화시키기 위해 엄청난 노력을 기울이고 있다. 문제는 암호화를 약화시키기 위해 노력하는 정치인들이 암호화가 무엇이며 왜 중요한지 잘 모른다는 점인 듯하다. 영국의 경우 테레사 메이(Theresa May) 수상 그리고 특히 앰버 러드(Amber Rudd) 내무장관만 봐도 그렇다. 2018년이 되어도 마찬가지일 것이다.

규정 준수와 인간의 한계
솔직히 어떤 조직에서도 가장 큰 어려움 가운데 하나는 보안 교육이 부족한 직원이다. 침투 실험을 수행하는 선량한 해커들은 표적을 자세히 살피고 인간의 심리를 이용해 서버실이나 사이버-물리적 시스템에 접근하는 경우가 많다.

세계에서 가장 엄중한 개인정보 보호 및 보안 표준 가운데 하나인 PCI DSS(신용카드 업계 정보 보안 표준)를 조사 중이던 버라이즌(Verizon)이 소개한 실제 최악의 상황에서 확인할 수 있는 부분이다.

예를 들자면 비보호 인터넷에 연결된 교도소에서 미지의 장소로 정보를 빼내기도 하고 (익명의) 공군에서 프린터를 통한 정보 유출 사례도 있으며 멕시코의 한 아파트 욕실에 수상한 서버실이 설치되어 있기도 했다.

물론 그 유명한 일반정보보호규정(GDPR)이 2018년 5월 발효되면서 규모를 불문하고 모든 조직들은 규정 준수에 나서야 한다.

또한, 회사들은 정보 유출 시 신속한 신고 의무가 있으며 이를 위반 시 무거운 벌금이 부과된다. 이 의무를 지키기 까다로울 것으로 예상된다. 왜냐하면 많은 기업들은 유출 발생 여부나 유출의 심각성에 대해 모르고 있다가 우연히 발견하거나 보안 연구자들의 통보를 받거나 복잡한 내부 과학 수사를 벌이고 나서야 비로소 알게 되기 때문이다.

생체인식 기술 확산
새로 나온 아이폰 X 페이스 ID(iPhone X Face ID)와 같은 생체인식 인증 기능은 소비자 기술 분야뿐만 아니라 기업에서도 계속해서 인기를 끌 가능성이 높다.

금융 서비스 회사들은 이미 고객 생체인식 인증 실험을 한 바 있다. 예를 들면 로이드(Lloyds)는 마이크로소프트와의 제휴를 통해 윈도우 10의 윈도우 헬로(Windows Hello)를 통한 지문 및 안면 인식 가능성을 모색했다.

ID 관리 제공업체 옥타(Okta)의 영국 담당자 제스퍼 프레데릭센은 “기업 환경에서 생체인식이 암호를 완전하게 대체하는 일은 가까운 장래에 일어나지 않겠지만, 생체인식은 다중 인증 모델의 일부로 보조적인 보안 역할을 하게 될 것”이라고 내다봤다.

특히 금융 서비스 부문에서는 이미 특정 기기에 대한 접근을 규제하기 위해 생체인식을 활용하는 실험이 진행되었다. 주요 은행들은 음성 및 지문 인식과 같은 도구를 추가 보안 대책으로 포함시켰다. 올바른 당사자만이 접근할 수 있게 하고 나쁜 행위자의 접근을 막기 위해서다.

인력 부족 현상
보안 전문가는 수요가 매우 높다. 채용 및 고용 연맹(REC) 보고서에 따르면 높은 수요로 인해 보안 전문가들의 몸값이 치솟게 될 것으로 전망된다. 기업들은 지난 9개월 중 8개월 동안 보안 전문가 구인난을 겪었으며 조사 대상 기업들 중 대부분은 노동 시장이 수요를 따라가지 못할 것이라는 공통적인 의견을 나타냈다. 따라서 거의 대부분의 구인 업체들은 사이버 보안 급여 상승을 예상하고 있다.

연초 한 조사에 따르면 인력 부족은 기업에 실질적인 피해를 입힐 수 있는 것으로 드러났다. 채용 웹사이트 인디드(Indeed)의 마리아노 마머르티노는 “인력 부족은 문제를 넘어 위기 상황으로 빠르게 진행되고 있다. 만일 위협 경감에 필요한 전문 인력을 찾지 못한다면 위험에 처할 수밖에 없을 것”이라고 밝혔다. ciokr@idg.co.kr