지정학의 시대를 맞아 미국과 중국 간 갈등이 고조되면서 사이버 세상도 나날이 갈라지고 있다. 사이버안보를 내세운 블록화 움직임이 가속화되는 가운데, 한국 또한 소프트웨어(SW) 공급망 보안 등에 더욱 신경 쓸 필요성이 제기된다.
지난 11일(이하 현지시간) 로이터통신 보도에 따르면 임기 만료를 앞둔 조 바이든 대통령은 연방기관과 계약업체에 강화된 사이버보안 기준을 요구하는 새로운 행정명령을 준비하고 있다. 중국 정부가 배후에 있는 것으로 알려진 해킹그룹들이 미국 주요 인프라와 통신망 대상으로 벌려온 대규모 해킹이 연말에 화두가 됐기 때문이다.
지난해 초 미국 법무부(DOJ)는 주요국들의 보안당국 및 사법기관들과 합동작전을 펼쳐 해킹그룹 '볼트타이푼(Volt Typhoon)'이 운영하는 봇넷을 단속, 미국 전역에 걸쳐 에너지·교통·수도 시스템 등의 라우터 수백 대에서 악성 봇넷을 제거했다. 하지만 이들은 약 10개월 만에 활동을 재개, 시스코 등 라우터의 보안취약점을 파고들어 다시 침투작업을 벌였다.
또한 해킹그룹 '솔트타이푼(Salt Typhoon)'이 포티넷 네트워크보안장비의 취약점을 통해 AT&T, T모바일, 버라이즌 등 미국 주요 통신사들의 네트워크를 침투·훼손한 사실이 지난해 10월 확인됐다. 백악관은 8개 미국 통신사와 수십개국에 영향을 미쳤다고 발표했는데, 지난 5일 월스트리트저널(WSJ)은 추가적인 피해기업들도 뒤늦게 발견됐다고 보도했다.
'솔트타이푼'은 AT&T와 버라이즌의 네트워크를 통해 미국 정부의 도청 시스템에 접근했을 가능성도 제기된 바 있다. 그 표적에 민주당 대선 후보였던 카멀라 해리스 부통령과 도널드 트럼프 당선인의 대선 캠프 관련 인사들도 포함돼 논란이 일기도 했다.
지난 연말에는 미국 재무부 전산망까지 뚫려 자료가 탈취됐다는 소식이 전해졌다. 미국 정부기관들에 보안서비스를 제공하는 비욘드트러스트의 클라우드 보안키가 유출됐기 때문이다. 재무부는 이를 지능형지속위협(APT) 공격으로 의회에 보고하며 "중대한 사이버 보안 사건"으로 간주했다.
미 재무부는 해당 소행을 벌인 해킹그룹 '플랙스타이푼(Flax Typhoon)'을 지원한 것으로 알려진 중국기업 인티그리티테크놀로지그룹(Integrity Technology Group)에 대해 거래 금지와 자산 압류 등 제재를 지난 4일 발표했다. 앞서 미 상무부는 중국 최대 통신사 차이나텔레콤에 대해 미국 인터넷 데이터 접근권을 박탈하는 등 제재를 가하기도 했다. 이밖에 미 상무부·국방부·법무부는 글로벌 점유율 1위인 중국 라우터 제조업체 TP링크 대상으로 미국 퇴출을 검토하기 위한 합동 조사에도 들어갔다
미국의 중국에 대한 사이버안보 태세와 제재 수위는 갈수록 강화되는 추세고, 이런 대응과 조치는 초당적으로 추진·실행되고 있다. 트럼프 2기 들어 그 고삐를 늦출 가능성은 낮아 보인다. 백악관 국가안보보좌관으로 지명된 마이크 왈츠 연방 하원의원은 최근의 해킹 사태에 대해 "완전히 용납할 수 없는 일이고 훨씬 더 강력한 입장을 취해야 한다"며 "더 비싼 비용과 대가를 부과해야 한다"고 밝히기도 했다.
로이터가 확인한 이번 행정명령 초안에 따르면, 안전한 SW개발을 위한 더 엄격한 표준과 함께 사이버보안·인프라보안국(CISA)이 프로세스를 평가하는 것도 요구한다. 연방정부에 SW를 공급하는 업체들 대상으로 이미 의무화한 SW자재명세서(SBOM)를 비롯해 SW공급망 보안을 위한 요구사항을 더욱 강화할 수 있을 것으로 예상된다.
나아가 클라우드 공급자가 사용하는 액세스 토큰과 암호화 키를 안전하게 관리하기 위한 지침을 개발하도록 의무화하는 내용이 담긴 것도 눈에 띈다. 앞서 마이크로소프트(MS)는 중국과 연계된 해커들이 이를 악용해 2023년 5월 미국 정부 고위 관리들이 사용하는 이메일 계정에 액세스했다고 밝힌 바 있다.
우리 정부도 SBOM 가이드라인을 지난해 5월 발표했지만, 아직 의무화하진 않은 상태다. 클라우드 보안 정책의 경우 국가정보원이 연초 발표 예정인 다층보안체계(MLS) 기반 망 분리 규제 개선안에 영향을 받아 새롭게 정립될 것으로 보인다.
염흥열 순천향대 정보보호학과 교수는 "미국 연방정부 시스템이 SW와 클라우드에 의존하는 경향이 심화되면서 SW개발 보안과 클라우드 키 관리 등 보안 강화를 위한 조치에 나서는 것으로 보인다. 2023년 바이든 정부가 국가사이버안보전략에서 발표한 '안전한 SW 제품 및 서비스 개발을 위한 책임 촉구' 정책 항목과 궤를 같이한다"고 설명했다.
이어 "국가 주도의 고도화된 사이버공격이 증가되고 있는 현 상황을 고려, 우리나라도 정부기관에 도입되는 SW의 개발 과정을 보안 검증하는 체계와 클라우드 서비스에 이용되는 키관리 체계를 강화할 필요가 있다"며 "특히 SBOM 등 적용 의무화를 고려해야 하고, 민간과 공공을 망라해 SW개발 과정을 검증하는 데 필요한 보안기준과 검증체계 고도화도 요구된다"고 강조했다.팽동현기자 dhp@dt.co.kr
