김승주 고려대학교 정보보호대학원 교수
지난 2006년 게임 리니지2의 수십만 이용자 개인정보 유출사건을 비롯해 2008년 옥션의 1800만여명 정보유출사건, 2011년 현대캐피탈과 농협 해킹사태를 거쳐 최근 네이트-싸이월드의 3500만 회원의 개인정보 유출사건까지 해킹기술의 발전 속도와 피해 규모는 점점 커지는 반면, 그 피해 보상은 미비한 실정이다. 왜 그럴까?
근본적인 이유는 외국과 국내의 보안대책에 대한 접근방법의 차이이다. 우리나라에서 채택하고 있는 접근방법은 특정 보안위험에 대한 최소한의 보안대책을 정부가 직접 규율하고 있는 방식으로서, 예를 들면 "비밀번호 및 바이오정보를 일방향 암호기술로 암호화해 저장할 것", "주민등록번호 및 계좌정보 등 금융정보를 암호화해서 저장할 것"(이상 정보통신망법 시행령), "이용자PC에서의 정보유출을 방지하기 위해 이용자의 접속시 우선적으로 이용자PC에 개인용 침입차단시스템, 키보드해킹방지 프로그램 등의 보안프로그램을 설치할 것"(이상 전자금융감독규정시행세칙) 등과 같이 관련 법, 시행령, 또는 지침에 업체가 취해야 할 조치들을 일일이 명시해 주는 방식이다. 이는 인터넷뱅킹과 같은 인터넷서비스의 빠른 확산에 기여한 측면이 큰 반면 플랫폼 종속성, 업체의 능동적 보안대책 시도 부족, 보안기술간 경쟁 저하 등의 단점이 있는 것도 사실이다. 더욱이 해킹사고가 발생할 경우 해당 업체에게 "우리는 법에서 하라는 것은 다했다. 이건 불가항력이었다"는 식의 면죄부를 주는 수단으로 악용되기도 한다.
우리나라와 달리 미국과 영국ㆍ일본 등 주요 선진국의 경우에는 업체가 관련된 보안위험을 직접 평가하고 적절한 보안대책을 스스로 채택하도록 하고 있다. 또한 각 업체로 하여금 책임규명설비 구축을 의무화해 사고 발생시 업체의 과실유무를 명확히 규명하고, 소비자에게 그 피해보상을 확실히 할 수 있게끔 하고 있다. 이러한 접근방법은 업체가 보안문제에 대해 좀 더 적극적으로 개입하도록 유도할 수 있다는 장점이 있는 반면 관련 산업의 확산이 상대적으로 더디다는 단점도 존재한다.
대표적인 안티바이러스 제품 테스트 기관인 AV-Test.org에 따르면 2006년부터 2009년까지 신종 악성코드가 약 7만5000여 개에서 약 110만여개로 불과 4년 동안 약 14배 이상 증가했다고 한다. 이러한 증가는 인터넷ㆍ컴퓨터 침해사고의 가장 일반적인 유형인 악성코드 제작 방식이 과거에 비해 다양해지고 자동화되어져 간다는 것을 보여주는 것이며, 이는 곧 해킹을 하는 방법이 다양해지고 쉬워져 간다는 것을 의미한다. 이러한 환경에서 과거와 같이 정부 주도의 천편일률적이고 정형화된 매뉴얼 또는 가이드라인으로는 TGIF(Twitter, Google, i-Phone, Facebook)로 촉발된 최근의 급속한 상황변화에 대처하기 어려우며, 설혹 대응한다 하더라도 효과를 기대하기 어렵다.
언론 보도에 따르면 올 초 중국ㆍ필리핀에 거주하는 해커와 결탁해 개인정보를 사들인 일당이 경찰에 붙잡혔을 때, 이들은 포털 이용자들의 ID를 건당 200~300원에 사들였다고 한다. 실명이 검증된 ID는 건당 1500원을 받았다고도 한다. 이제 해커들은 개인정보 자체가 돈벌이가 된다는 사실을 너무나도 잘 알고 있으며, 점점 더 지능화ㆍ조직화ㆍ범죄화되어가고 있다.
이제는 우리 정부도 산업 활성화에만 너무 얽매인 나머지 수동적이고 획일적인 보안대책만을 강요하려 하지말고, 각 업체가 자신이 소유한 유ㆍ무형 자산의 가치에 따라 창의적으로 최대한의 보안대책을 수립하도록 유도하는 정책을 펴야 할 때다.
[저작권자 ⓒ디지털타임스 무단 전재-재배포 금지]
근본적인 이유는 외국과 국내의 보안대책에 대한 접근방법의 차이이다. 우리나라에서 채택하고 있는 접근방법은 특정 보안위험에 대한 최소한의 보안대책을 정부가 직접 규율하고 있는 방식으로서, 예를 들면 "비밀번호 및 바이오정보를 일방향 암호기술로 암호화해 저장할 것", "주민등록번호 및 계좌정보 등 금융정보를 암호화해서 저장할 것"(이상 정보통신망법 시행령), "이용자PC에서의 정보유출을 방지하기 위해 이용자의 접속시 우선적으로 이용자PC에 개인용 침입차단시스템, 키보드해킹방지 프로그램 등의 보안프로그램을 설치할 것"(이상 전자금융감독규정시행세칙) 등과 같이 관련 법, 시행령, 또는 지침에 업체가 취해야 할 조치들을 일일이 명시해 주는 방식이다. 이는 인터넷뱅킹과 같은 인터넷서비스의 빠른 확산에 기여한 측면이 큰 반면 플랫폼 종속성, 업체의 능동적 보안대책 시도 부족, 보안기술간 경쟁 저하 등의 단점이 있는 것도 사실이다. 더욱이 해킹사고가 발생할 경우 해당 업체에게 "우리는 법에서 하라는 것은 다했다. 이건 불가항력이었다"는 식의 면죄부를 주는 수단으로 악용되기도 한다.
우리나라와 달리 미국과 영국ㆍ일본 등 주요 선진국의 경우에는 업체가 관련된 보안위험을 직접 평가하고 적절한 보안대책을 스스로 채택하도록 하고 있다. 또한 각 업체로 하여금 책임규명설비 구축을 의무화해 사고 발생시 업체의 과실유무를 명확히 규명하고, 소비자에게 그 피해보상을 확실히 할 수 있게끔 하고 있다. 이러한 접근방법은 업체가 보안문제에 대해 좀 더 적극적으로 개입하도록 유도할 수 있다는 장점이 있는 반면 관련 산업의 확산이 상대적으로 더디다는 단점도 존재한다.
대표적인 안티바이러스 제품 테스트 기관인 AV-Test.org에 따르면 2006년부터 2009년까지 신종 악성코드가 약 7만5000여 개에서 약 110만여개로 불과 4년 동안 약 14배 이상 증가했다고 한다. 이러한 증가는 인터넷ㆍ컴퓨터 침해사고의 가장 일반적인 유형인 악성코드 제작 방식이 과거에 비해 다양해지고 자동화되어져 간다는 것을 보여주는 것이며, 이는 곧 해킹을 하는 방법이 다양해지고 쉬워져 간다는 것을 의미한다. 이러한 환경에서 과거와 같이 정부 주도의 천편일률적이고 정형화된 매뉴얼 또는 가이드라인으로는 TGIF(Twitter, Google, i-Phone, Facebook)로 촉발된 최근의 급속한 상황변화에 대처하기 어려우며, 설혹 대응한다 하더라도 효과를 기대하기 어렵다.
언론 보도에 따르면 올 초 중국ㆍ필리핀에 거주하는 해커와 결탁해 개인정보를 사들인 일당이 경찰에 붙잡혔을 때, 이들은 포털 이용자들의 ID를 건당 200~300원에 사들였다고 한다. 실명이 검증된 ID는 건당 1500원을 받았다고도 한다. 이제 해커들은 개인정보 자체가 돈벌이가 된다는 사실을 너무나도 잘 알고 있으며, 점점 더 지능화ㆍ조직화ㆍ범죄화되어가고 있다.
이제는 우리 정부도 산업 활성화에만 너무 얽매인 나머지 수동적이고 획일적인 보안대책만을 강요하려 하지말고, 각 업체가 자신이 소유한 유ㆍ무형 자산의 가치에 따라 창의적으로 최대한의 보안대책을 수립하도록 유도하는 정책을 펴야 할 때다.
[저작권자 ⓒ디지털타임스 무단 전재-재배포 금지]
