[DT 시론] 올바른 인터넷 보안인식의 필요성
디지털 타임스  입력: 2008-06-22 09:00
 
손영진 시스코시스템즈코리아 대표

해킹 바이러스를 이용한 인터넷 범죄가 매년 큰 폭으로 급증하고 있다. 경찰청 조사 결과에 따르면 2003년에는 보안 신고 건수가 8891건에 그쳤다면 지난 2007년에는 1만 4037건으로 4년 만약 40% 가량 증가했다고 한다. 보안 사고가 나면 우선 쉬쉬하고 보는 우리네 관행을 고려할 때 실제 발생되는 보안사고 건수는 그 이상일 것이다. 한편 보안피해 규모도 우리의 예상을 뛰어넘는 수준으로 치닫고 있다. 지난해 2월 발생한 옥션의 보안 사고가 그 대표적인 예일 것이다.

하지만 오늘날 보안 사고의 심각성은 빈번한 발생 빈도, 증가일로에 있는 피해 규모에만 그치지 않는다는 것이다. 과거에는 자신의 기술력을 뽐내려는 의도에서 이뤄지던 해킹이 대부분이었다면 이제는 정치적 또는 돈벌이를 목적으로 한 조직적인 해킹 범죄가 늘면서 그 피해 양상이 과거와는 많이 달라지고 있을 뿐 아니라 100% 완벽한 방어 또한 매우 어려워지고 있다는 것이다.

러시아와 국경이 인접한 인구 140만의 에스토니아가 정치적 해킹의 좋은 예가 될 것이다. 에스토니아는 지난해 5월 3주 동안 100만대에 이르는 컴퓨터들로부터 러시아 정부발로 추정되는 사이버 공격을 받아 주요 정부 기간은 물론 언론사, 은행 전산망이 마비됐었다. 왠만한 대도시 거리에서라면 인터넷 무선 접속이 가능할 뿐 아니라 인구의 절반 이상이 인터넷 뱅킹을 이용하는 인터넷 강국이었던 탓에 에스토니아의 피해는 더욱 극심했으며, 피해 규모만도 수천만 달러에 이르는 것으로 집계됐다.

원인 분석 결과 여러 대의 PC로 특정 사이트를 일제히 공격해 시스템의 정상적인 운영을 갑작스럽게 마비시키는 분산서비스거부(Distributed Denial of Services, 이하 DDoS) 공격 수법이 활용된 것으로 조사됐다.

또 사이버 공격 주 발신지 IP주소의 대다수가 러시아 정부 기관으로 밝혀짐에 따라 에스토니아는 사이버 테러의 주범으로 러시아를 지목했다. 하지만 러시아 정부는 에스토니아 사이버 전쟁 개입 사실을 전면 부인했다. 이에 한 국가가 주요 기반 시설 및 서비스의 마비로 엄청난 위기에 봉착했었음에도 불구하고 가해자도 명확히 밝히지 못한 아이러니한 상황 가운데 이 사이버 전쟁은 일단락 되었다.

한편 돈벌이를 목적으로 한 조직적인 해킹 사고를 통해서는 개인정보를 악용한 보이스 피싱등 2차 피해가 더욱 문제가 되고 있다.

상황이 이쯤 되고 보니 세계는 너나할 것 없이 인터넷 보안 문제로 골머리를 앓고 있다. 지난 17일 서울에서 개최된 OECD 장관회의에서 채택한 `인터넷 경제의 미래를 위한 서울선언문' 내용 중 주요 과제로 보안 강화를 꼽고 있는 것이 그 단적인 예이다.

그렇다면 100% 안전한 보안 대책은 가능할 것인가. 안타깝게도 이 질문에 대한 대답은 `No'이다. 해킹 기술은 보안 기술과 함께 시간차 공격을 벌이며 발전하고 있기 때문이다. 금융감독원이 공인인증서 USB 저장 권고안을 발표한지 5개월여 만에 USB 메모리 해킹 바이러스가 유포됐던 사례가 그 한 예이다. 또 인터넷 환경 전반에 어느 곳 하나 취약한 부분이 있다면 그곳을 통해 손쉽게 사회공학적 해킹이 가능하기 때문이다.

필자가 올바른 인터넷 보안 인식의 중요성을 강조하는 이유가 여기에 있다. 한 순간의 노력, 특정한 한 첨단 보안 기술 수용만으로는 절대 안전한 인터넷 세상을 보장할 수 없다. 그러므로 개인, 기업은 물론 국가 모두 보안을 바라보는 관점부터 새로이 해야 한다. 첫째는 보안은 최종 목표가 아닌 지속되고 반복돼야 하는 여정이라는 것이다. 둘째는 실용적이며 체계적인 보안 정책이 보안 투자보다 선행돼야 한다는 것이다. 셋째는 전체 IT 투자 중 일정 수준 이상의 보안 투자가 필수적이라는 것이다. 마지막으로 간과하지 말아야 할 것은 인터넷 보안은 결코 IT만의 문제가 아니라는 점이다.

이렇듯 인터넷 보안을 위해 인식을 새로이 할 수 있을 때 우리나라는 IT 강국답게 인터넷 보안 수준도 높여 갈 수 있을 것이다.