지일상 한국CA 사장
지난 25일 발생한 사상초유의 인터넷 대란은 금전적 손해보다 `바이러스 하나에 기간망 전체가 마비됐다'는 정신적인 충격이 더 크다. 과거의 삼풍백화점이나 성수대교 붕괴, 지난 여름 수해처럼 부(富)의 생산논리에만 치우쳐 기본적인 안전수칙 을 지키지 않아 생긴 인재였다.
무엇보다 보안 의식부터 새로 다잡아야 한다. 최근 연속적으로 일어난 농협이나 우리은행, 부산은행들의 카드 불법인출 사태나 전직 직원에 의한 정보 도용 등의 보안 사건들을 통해서 보안과 관련된 경각심은 매우 높아졌고 보안 정책, 국가 대응체제 등 기술ㆍ제도를 보완하자는 주장은 맞는 말이다. 하지만, 철학이 뒷받침되지 않는 기술적인 해결책은 또 다른 `위험'을 불러올 수 있기 때문이다.
둘째, 시스템 관리의 자동화이다. 패치 파일을 미리미리 설치하는 것도 나름대로 능동적인 대응방법이긴 하지만 가장 핵심적인 대응방법은 자동화이다. 이러한 바이러스 공격에 대한 취약성은 이미 지난 수개월 동안 알려졌고, 패치도 수개월전에 나왔다. 그러나 관련 조직은 여러 이유로 이를 적용하는 작업을 미루어온 것이므로, 시스템의 자동화로 보안 관리도 자동화 할 수 있어야겠다.
셋째, 네트워크와 보안 관리 방법론들을 잘 조화시켜 관리하는 것이 반드시 필요하다. 안티바이러스 솔루션은 웜과 같은 유형의 공격을 전적으로 해결하지 못할 것이다. 본질적으로 네트워크？시스템 관리 및 보안 관리의 원칙은 조화이다. 즉, 기술적인 이슈가 아니라 리스크 관리의 문제라는 것이다. 기업들은 비즈니스 보호를 위한 보안 체계에 우선순위를 맞춘 보안 관리 접근방식을 적용해야 한다.
넷째, 전방위 보안 시스템의 구축이다. 점점 복잡하고 지능적으로 변하고 있는 해킹이나 바이러스에 대한 대책은 물론 내부자의 권한 관리, 내부 자료의 외부 유출에 대한 대책 마련 등이 함께 마련되지 않는다면, 이와 같은 사태는 언제든지 일어날 수 있다. 최초에 악의적인 공격자가 서버에 대한 관리 권한을 획득할 수 없었다면, 이러한 공격 자체가 불가능했었다는 얘기다.
기업의 보안시스템을 점검하고, 다중적인 보안 시스템을 갖추기 위한 보안의 분야를 위협 관리와 액세스 관리, ID 관리로 나누어 접근하기를 바란다. 우선 위협 관리를 위해서 기업은 내부적인 보안 규정 위반과 침입 공격을 탐지하고 모니터링 할 수 있는 수위의 보안 시스템을 구축해야 한다. 액세스 관리는 인증된 사용자에 대해서 모든 자원으로의 액세스를 제어하는 것으로, 이 관리가 제대로 이루어지지 않으면 보안 시스템은 기업의 가장 취약한 약점이 될 수밖에 없다. 마지막으로 비즈니스 ID 관리는 기업의 IT 인프라를 보다 안전하게 사용하기 위해서 중요한 보안 과제 중 하나다. 기업내의 사용자가 신속하게 온라인에 접속하여 원하는 업무를 수행할 수 있도록 지원하는 한편, 외부 사용자나 파트너의 비즈니스 ID를 기반으로 기업 자산에 대한 액세스를 제어할 수 있도록 해야 한다.
이러한 세 가지 분류에 의한 전방위 보안 체제를 구축하는 것과 동시에 세계적인 IT 인프라와 초고속망을 보유한 대한민국이 그야말로 세계 일류가 되기 위해서는 세계적인 보안 인프라를 갖추는 것이 무엇보다 중요하다.
이번 사태에서도 나타났듯이, 윈도 기반의 시큐어OS와 같이 아직 국내 기술이 미치지 못하는 분야에 있어서는 세계적인 기업들과의 협력 체제를 모색하는 것도 하나의 방안이다. 이미 세계적인 기업들은 윈도 기반의 시큐어OS 제품을 시장에 공급하고 있는 데도 자국 산업 보호차원에서 도입하지 않는 현실 또한 개선되어야 할 것이다.
지난 25일 발생한 사상초유의 인터넷 대란은 금전적 손해보다 `바이러스 하나에 기간망 전체가 마비됐다'는 정신적인 충격이 더 크다. 과거의 삼풍백화점이나 성수대교 붕괴, 지난 여름 수해처럼 부(富)의 생산논리에만 치우쳐 기본적인 안전수칙 을 지키지 않아 생긴 인재였다.
무엇보다 보안 의식부터 새로 다잡아야 한다. 최근 연속적으로 일어난 농협이나 우리은행, 부산은행들의 카드 불법인출 사태나 전직 직원에 의한 정보 도용 등의 보안 사건들을 통해서 보안과 관련된 경각심은 매우 높아졌고 보안 정책, 국가 대응체제 등 기술ㆍ제도를 보완하자는 주장은 맞는 말이다. 하지만, 철학이 뒷받침되지 않는 기술적인 해결책은 또 다른 `위험'을 불러올 수 있기 때문이다.
둘째, 시스템 관리의 자동화이다. 패치 파일을 미리미리 설치하는 것도 나름대로 능동적인 대응방법이긴 하지만 가장 핵심적인 대응방법은 자동화이다. 이러한 바이러스 공격에 대한 취약성은 이미 지난 수개월 동안 알려졌고, 패치도 수개월전에 나왔다. 그러나 관련 조직은 여러 이유로 이를 적용하는 작업을 미루어온 것이므로, 시스템의 자동화로 보안 관리도 자동화 할 수 있어야겠다.
셋째, 네트워크와 보안 관리 방법론들을 잘 조화시켜 관리하는 것이 반드시 필요하다. 안티바이러스 솔루션은 웜과 같은 유형의 공격을 전적으로 해결하지 못할 것이다. 본질적으로 네트워크？시스템 관리 및 보안 관리의 원칙은 조화이다. 즉, 기술적인 이슈가 아니라 리스크 관리의 문제라는 것이다. 기업들은 비즈니스 보호를 위한 보안 체계에 우선순위를 맞춘 보안 관리 접근방식을 적용해야 한다.
넷째, 전방위 보안 시스템의 구축이다. 점점 복잡하고 지능적으로 변하고 있는 해킹이나 바이러스에 대한 대책은 물론 내부자의 권한 관리, 내부 자료의 외부 유출에 대한 대책 마련 등이 함께 마련되지 않는다면, 이와 같은 사태는 언제든지 일어날 수 있다. 최초에 악의적인 공격자가 서버에 대한 관리 권한을 획득할 수 없었다면, 이러한 공격 자체가 불가능했었다는 얘기다.
기업의 보안시스템을 점검하고, 다중적인 보안 시스템을 갖추기 위한 보안의 분야를 위협 관리와 액세스 관리, ID 관리로 나누어 접근하기를 바란다. 우선 위협 관리를 위해서 기업은 내부적인 보안 규정 위반과 침입 공격을 탐지하고 모니터링 할 수 있는 수위의 보안 시스템을 구축해야 한다. 액세스 관리는 인증된 사용자에 대해서 모든 자원으로의 액세스를 제어하는 것으로, 이 관리가 제대로 이루어지지 않으면 보안 시스템은 기업의 가장 취약한 약점이 될 수밖에 없다. 마지막으로 비즈니스 ID 관리는 기업의 IT 인프라를 보다 안전하게 사용하기 위해서 중요한 보안 과제 중 하나다. 기업내의 사용자가 신속하게 온라인에 접속하여 원하는 업무를 수행할 수 있도록 지원하는 한편, 외부 사용자나 파트너의 비즈니스 ID를 기반으로 기업 자산에 대한 액세스를 제어할 수 있도록 해야 한다.
이러한 세 가지 분류에 의한 전방위 보안 체제를 구축하는 것과 동시에 세계적인 IT 인프라와 초고속망을 보유한 대한민국이 그야말로 세계 일류가 되기 위해서는 세계적인 보안 인프라를 갖추는 것이 무엇보다 중요하다.
이번 사태에서도 나타났듯이, 윈도 기반의 시큐어OS와 같이 아직 국내 기술이 미치지 못하는 분야에 있어서는 세계적인 기업들과의 협력 체제를 모색하는 것도 하나의 방안이다. 이미 세계적인 기업들은 윈도 기반의 시큐어OS 제품을 시장에 공급하고 있는 데도 자국 산업 보호차원에서 도입하지 않는 현실 또한 개선되어야 할 것이다.
