서울 12.6º
미세먼지 좋음
강릉 15.2º
미세먼지 보통
)
“개발자들 사이에서 첨단 정보기술(IT) 서비스를 개발할 때 사용자들이 요구하는 기능부터 구현을 해놓고, 추후에 보안 등의 보완조치를 하려는 경향이 있어요. 그래서 서비스가 공개되면 공격자들은 취약점을 찾아 시스템을 악용하는 등 교묘한 방법으로 사이버 공격을 개시하죠. 사이버 공격의 피해는 2차, 3차까지 피해가 이어질 수 있기 때문에 보안의 중요성은 늘 강조해도 모자라요.”
정교해지는 사이버 공격… “공공기관·민간기업, 보안에 관심 기울여야”
이별 누리랩 보안전략센터장은 현재 보안·연구·감사·교육·경영·디지털 포렌식 등 여러 분야에서 활약하고 있는 보안 전문가다. 이중 디지털 포렌식은 법과학의 한 분야로 사이버 범죄와 관련해 스마트폰, 컴퓨터, 폐쇄회로(CC)TV 등 디지털 장치에서 발견되는 데이터를 수집하고 분석해 법적 증거를 마련하는 수사기법을 말한다.
“처음에는 컴퓨터 조립에 관심이 있었으나 공부를 하다 보니 욕심이 생겨 보안, 디지털 포렌식 등으로 분야를 넓혀가는 중이죠. 개발하는 분들은 아시겠지만 소프트웨어 개발은 개발 코드를 짜놔도 오탈자 하나 때문에 오류를 찾는 데 수십시간을 허비하는 경우가 많아요. 이 시간이 아까워 편하게 능력을 펼칠 수 있는 분야를 찾다 보안 쪽으로 방향을 돌리게 됐어요.”
미래 먹거리 산업으로 지목되는 메타버스, 자율주행, 인공지능(AI) 등 첨단 IT 산업들이 정보통신기술의 발달로 눈부신 발전을 이룩했지만, 해킹·보이스피싱·랜섬웨어 등 사이버 공격도 점점 교묘해지고 있어 국민의 주의를 요한다. 이 센터장은 기술 발달의 이면에 정보를 보호하고 지켜낼 수 있는 보안의 뒷받침이 더욱 중요하다고 말한다.
“인공지능, 메타버스 등 정보통신기술을 활용한 융·복합 신기술들이 지속적으로 생겨나다 보니까 이들을 보완할 보안에 대한 수요도 꾸준히 늘어나는 추세예요. 보안시장은 매년 5%가량 성장세를 보이고 있어요. 한국인터넷진흥원(KISA) 등 보안 관련 협회들도 클라우드·메타버스·인공지능의 보안 교육과정들을 과학기술정보통신부(과기정통부)를 통해 개설하고 있죠.”
“최근 사이버 공격들의 추세를 보면 점점 정교해지고 있어요. 예컨대 삼성에 대한 해킹 공격 시도 및 지난해 말 세계를 불안하게 만든 Log4j 취약점 사태 등이 있죠. 자율주행, 인공지능 등 IT 기술을 활용한 신산업들도 이같은 사이버 공격으로부터 자유롭지 않아요. 오히려 정보를 다루는 기술들이기 때문에 보안 위협에 더욱 민감하죠. 따라서 기술들을 활용하는 공공기관 및 민간기업들이 보안에 대한 경각심을 가질 필요가 있어요.”
컴퓨터·정보통신기기 등을 다루는데 미숙한 일반 국민은 해킹·랜섬웨어 등 사이버 공격부터 정보 탈취로 발생하는 보이스피싱 등 2·3차 피해까지 무방비하게 노출된 경우가 많다. 이에 기자가 일반 국민이 보안 위협을 예방할 수 있는 방안에 대해 질문하자 이 센터장은 최소한의 보안 메커니즘 정도는 활성화하는 것이 좋다고 조언했다.
“저도 종종 대검찰청 검사들을 사칭한 보이스피싱 전화가 많이 와요. 정보 보호 일을 하고 있음에도 교묘해진 수법에 넘어갈 뻔한 적도 있지요. 제가 이 정도인데 일반 국민은 더 위험할 거라 생각해요. 최소한 휴대폰에 저장돼 있지 않은 모르는 번호는 전화, 문자 등은 모조리 받지 않는 것이 좋겠어요. 또한 컴퓨터·휴대폰 등 기기를 사용할 때에도 운영체계에서 자체적으로 지원하는 방화벽 등 보안 메커니즘이라도 활성화 해놓기만 해도 어느 정도는 방어할 수 있다고 봐요.”
“다만 사이버 공격에 노출되는 빈도는 사용자의 PC 사용 습관에 따라 달라져요. 불법적인 사이트나 모르는 사람으로부터 받은 링크 등은 접속하지 않는 것을 추천해요. 불법 사이트의 경우 대부분 광고로 수익 구조가 이뤄져 있으나 일부분은 악성 코드를 심어 정보를 탈취하는 등 악의적인 기능을 가지고 있기 때문에 위험하거든요.”
“해외 수준 못 미치는 국내 디지털 포렌식… ‘기술주의’가 해답”
아울러 이 센터장은 디지털 포렌식의 중요성에 대해서도 강조했다. 대부분의 사이버 범죄 및 정보 침해 사고 등 사건에는 디지털 포렌식이 활용되기 때문이다. 1990년대 중반 포렌식 기술이 등장한 이후 2010년경부터 수사기관에서 활용했다. 현재에 와서는 노트북·휴대폰 등 전자기기를 활용한 데이터들이 축적되면서 다양한 분야에서 활용이 가능해졌고, 기업 감사·침해 사고 등에서도 범용성이 늘어났다는 얘기다.
“발생한 사건에 대해서 남는 증거물을 찾아 추적하는 용도로 활용되는 디지털 포렌식은 증거 확보에 있어 중요한 역할을 하죠. ‘N번방’ 등 사이버 범죄의 증거를 확보하는 기술로 잘 알려져 있는 것 같아요. 수사뿐 아니라 기업 감사 등 다방면에서 활용되는 기술이에요. 단, 데이터 복구와는 명확한 차이가 있어요. 데이터 복구는 수단과 방법을 가리지 않고 복원하는 것이죠. 예를 들어 전자상가에서 하드디스크 복구하듯이 말이에요. 하지만 디지털 포렌식 같은 경우는 법의 테두리 안에서 작업을 해야 하기 때문에 데이터 복구와는 명확한 차이가 있어요.”
“오히려 법 때문에 수사에 제약이 걸리는 경우도 있어요. 포렌식 전문가들이 법이 규정하는 수준 이상의 정보 분석 능력을 가져 정보를 확보할 수 있음에도 법에 가로막혀 못하는 경우죠. 또 관련 법이 까다롭기 때문에 포렌식 전문가들이 이를 놓치고 수사하다 증거물로 인정되지 않는 경우도 있어요.”
“법이 기술의 발전 속도를 따라가지 못할 때 답답함을 많이 느껴요. IoT(사물인터넷) 장비·클라우드 등 신기술과 관련된 분야에서는 수사를 보장하는 제도가 없고, 개정도 더딘 편이에요. 향후 신기술은 정보통신기술과 융합되는 방식으로 개발될텐데 관련 범죄가 일어나면 증거를 확보하는데 어려움이 많을 거라 생각해요.”
“반면 해외에서는 즉각적인 개정이 이뤄지고 있어요. 영국 방송사 BBC에 보도된 한 사례를 예로 들면, 방화로 화재가 발생한 집에서 마지막으로 나온 용의자를 수사하는 과정에서 그가 착용한 스마트워치를 발견했고, 포렌식으로 찾아낸 녹음 내용, GPS(정밀위치정보시스템) 등이 증거로 채택돼 구속까지 이어진 사례가 있었어요. 국내에선 보기 힘든 광경이죠.”
한편 보안 인력들은 우수한 실력을 가졌음에도 학력 등 제한에 막혀 날개를 펼치지 못하는 것으로 나타났다. 이들이 제 역량을 발휘하지 못하는 것에 안타까움을 느꼈던 이 센터장은 우리나라도 해외처럼 실무 역량을 높게 평가하는 ‘기술주의’가 업계에 자리 잡아야 한다고 제언했다.
“보안 위협과 관련해 우리나라도 과기정통부, KISA 등에서 적절한 대처를 취하고 있지만, 업계 안팎으로 학력주의가 만연해 우수한 인재들을 놓치는 경우가 종종 있죠. 공공기관 및 민간기업들의 실무자들은 보통 박사학위 이상의 고학력자들이 직무를 수행하고 있어요.”
“하지만 해외의 경우 실무 역량을 중요한 능력으로 평가하죠. 실제로 제가 커뮤니케이션을 하는 해외 인력들의 프로필을 보면 대부분이 고졸 수준이에요. 주변에 실력 있는 전문가들도 굳이 학력을 중요하게 생각하진 않죠. 경영진까지 올라서는 몇몇 인력들만 박사학위를 취득하는 정도에요. 보안 분야는 실무역량이 중요하기 때문에 우리나라도 해외처럼 기술주의 차원에서 인재들을 사용할 필요가 있어요.”
이 센터장은 보안업계의 발전을 위해 직접 강의까지 진행하는 등 보안인력 양성에도 힘을 쏟고 있다. 실제로 KISA가 주관하는 최정예 사이버보안 전문인력(케이쉴드, K-Shield) 양성 과정에도 강사로 몸을 담그고 있다. 아울러 국내 사이버 보안의 진정한 발전에는 전문가들 간 소통이 필수적이라고 강조했다.
“물론 연락하고 지내는 전문가들도 많지만 일부 전문가들은 소통의 기회가 적어 각자의 영역에서 본인의 업무에만 집중하는 등 ‘각개전투’가 펼쳐지고 있어요. 보안업계가 발전하기 위해서는 소통 채널들이 많이 생겨나고 정보를 공유하는 기회들이 많아져야 하는데 그렇지 못한 실정이라 아쉬움을 느끼고 있어요.”
“저부터 변화하기로 했어요. 비록 작은 움직임이지만 업계 사람들과 소통하기 위해 디스코드(음성채팅 프로그램) 채널도 만들었고, 개인적으로 진행하던 강의도 이곳에서 공개적으로 진행하기로 했죠. 이처럼 소통의 기회가 확대돼서 향후에는 전문가들과 발표 세미나도 해보는 등 작은 소망을 품고 있어요.”
끝으로 이 센터장은 세계 최고 보안 전문가로 거듭나겠다는 포부를 밝혔다. 현재 이 센터장은 EnCE(EnCase 활용능력 검증), AWS-SAP(AWS 기반 SAP 워크로드 전문성 검증) 등 수많은 보안 관련 국제 자격증을 보유하고 있지만, 여기서 멈추지 않고 국내 최초로 도전하는 자격증을 목표로 끊임없이 앞서나가고 있다.
“올해 8월에 OSED 취득을 목표로 공부하고 있어요. 오펜시브 시큐리티(Offensive Security)에서 주관하는 자격증으로, 시스템에 설치된 애플리케이션의 취약점을 분석하고 익스플로잇(취약점 공격) 작성을 통해 시스템 권한을 가져오는 능력을 검증하는 것인데 취득하게 된다면 한국에서 최초가 되겠죠. 현재 3개의 시험과정 중에서 2개는 합격했고, 마지막 시험만을 앞두고 있어요.”
“마지막으로 5년 안에 보안 자격증 중에서 최고라 불리는 GSE 자격증을 따낼 계획이에요. GSE 자격증은 보안 관련 포렌식·감사·경영 등 모든 분야를 다룰 줄 안다는 것을 인증하는 자격증이에요. 보안의 모든 분야를 컨트롤할 수 있는 전문가가 되는 거죠. 전 세계적으로 이 자격증을 가지고 있는 사람들을 손에 꼽을 정도로 얻기 어려운 자격이에요.”
이 기사에 대해 어떻게 생각하시나요?
추천해요
좋아요
감동이에요
화나요
슬퍼요
추천해요0
좋아요4
감동이에요2
화나요11
슬퍼요1
연재기획 ‘반대세의 비밀’ 
연재소설 ‘최초의 당신’
기사제보 
