[Special Report5] 보안 컨설팅, 개인정보보호법•모바일• 클라우드 소용돌이 속으로~

5부_ 보안 컨설팅 이슈 정리 및 전망
보안 컨설팅, 개인정보보호법•모바일• 클라우드 소용돌이 속으로~

 

2010년은 한국 IT시장에서 각별한 의미가 있는 해였다. 세계 모바일기기 시장을 뒤흔든 애플사의 역작 아이폰4와 아이패드가 한국시장에 개방되면서 예약 가입부터 큰 화제가 되었고 그에 질 새라 한국기업 삼성도 갤럭시S와 갤럭시탭을 글로벌시장에 출시해서 소정의 성과를 거두었다. 페이스북과 트위터로 상징되는 SNS도 한국시장에 확고히 자리 잡았다. 트위터는 단시간 내에 기업총수부터 정치인, 연예인까지 광범위하게 활용되는 개인 소통수단이 되었으며 기업체에서는 온라인세계의 고객 이목을 끌 새로운 마케팅영역으로 주목하고 있다. 이외에 구글과 아마존이 앞장 선 클라우드컴퓨팅이나, 스마트그리드로 알려진 그린IT도 큰 흐름을 형성하고 있는 IT 기술들이다.

 
보안컨설팅은 이러한 IT 시장의 변화와 궤적을 같이 한다. IT 패러다임의 변화는 곧 새로운 보안위협의 등장을 의미하고 이를 보완하기 위한 서비스사업으로서 보안컨설팅이 존재하기 때문이다. 그렇다면 2010년 보안컨설팅에선 어떤 분야가 주도적이었으며 어떤 이슈들이 있었을까? 또 2011년에는 어떤 변화가 있을 것인가? 2010년 안철수연구소가 수행한 컨설팅 사업을 통해 컨설팅 부문의 주요 이슈를 정리해 본다.

2010년 보안 컨설팅 리뷰

'보안의 기본-보안체계 수립'에 대한 고객수요 증가
안철수연구소가 올해 가장 많이 진행한 보안컨설팅 사업 영역은 보안체계인증 취득에 관련된 컨설팅이었다. 기업들이 주로 취득하는 인증은 국제규격인 ISO 27001 인증과 한국인터넷진흥원에서 주관하는 ISMS 인증이 있고, 공공기관 대상으로는 최근 만들어진 GISMS 인증이 있다. 이들 인증제도는 보통 100~200여 개의 통제항목을 기준으로 정보보호 조직과 정책 지침부터 기술적인 보호조치 이행사항까지 보안의 전 영역을 진단하고 개선과제를 찾아준다는데 장점이 있다.
 

기본적인 제도는 이미 오래 전부터 있었음에도 불구하고 올해 수요가 늘었다는 것은 그만큼 기업과 공공기관에서 보안에 대한 인식이 높아졌음을 보여주는 것이다. 특히 최근 몇 년 새에 언론에 여러 차례 터트려진 대형 개인정보 유출사고와 국가적 재난으로 각인된 7.7 DDoS 공격은 일반 기업들은 물론 사회 전반에 걸쳐 보안 인식을 바꾸는 데 결정적인 계기가 되었다. 이제 기업 보안 담당자들은 보안관리가 형식적인 업무가 아니라 사업상의 큰 타격과 기업이미지의 실추를 가져올 수 있는 위험을 막기 위한 일임을 인지하기 시작했다. 또한 보안 업무 전반을 정비하기 위한 틀로써 보안 인증제도를 적극 검토하고 있다.

지식정보보안 컨설팅업계의 변화
관련 업계에서는 2010년 보안컨설팅 시장의 규모를 400억 원 정도, 20111년은 470억 원 규모로 추정하고 있다. 다양한 분야에서 보안컨설팅이 필요하지만 지식경제부에 등록된 지식정보보안컨설팅 전문업체는 7개뿐이다. 적은 수의 업체임에도 불구하고 보안컨설팅업계 상황은 녹록치 않다. 정보통신기반시설을 대상으로 한 보안컨설팅만 7개 업체로 경쟁이 제한될 뿐, 그 외의 영역에선 경쟁 범위가 넓어지고 있기 때문이다. 경영컨설팅을 위주로 하던 글로벌컨설팅 기업들도 보안컨설팅 영역으로 사업범위를 넓히고 있고, 국내 SI업체들이나 로펌들까지 경쟁에 뛰어들고 있는 추세이다. 따라서 기존 컨설팅 전문업체들은 경쟁력을 유지하기 위한 고민이 많을 수밖에 없다.
 게다가 반복된 컨설팅에 익숙한 고객들은 업무 전 영역의 보안위협에 대한 새로운 분석과 총체적인 해법을 내놓을 것을 요구하고 있다. 보안 컨설턴트들이 고객을 만족시키기 위해서는 그린 IT, 클라우드, 스마트폰 등 IT 트렌드에 대한 이해는 물론이고 해당 기술의 보안 문제점과 해결에 필요한 솔루션을 포함하여 관계 법령과 판례들까지 공부해야만 한다.  그러나 사람이 투입된 기간만큼 수입이 발생되는 컨설팅사업 특성상 이런 연구와 실사업의 균형을 맞추기는 매우 어렵다. 뿐만 아니라 경쟁이 심화되고 있는 상황에서 가동율을 낮출 수도 없는 진퇴양난의 형국에 처해 있는 것이 보안 컨설팅 업계의 현실이다. 이러한 배경 탓에 2010년 보안컨설팅 업체간 편차나 부침은 두드러지게 심했던 것으로 보인다.

모바일 시대의 보안위협
2010년 IT의 최대 화두는 단연코 스마트폰이다. 아이폰으로 촉발된 해외 스마트폰의 국내 진입은 단번에 국내 모바일 시장의 판도를 뒤집었다. 시장을 쥐락펴락하던 통신업체들은 장비에 대한 지배력을 유지하기 어렵게 되었고 세계 최고의 모바일폰을 만들어내던 한국기업들은 ‘안드로이드’라는 외국 OS에 의지하여 개발을 해야만 하는 처지가 되었다. 아이폰은 아예 기기 자체가 시장의 한 축을 차지해 버렸다. 연말에 등장한 아이패드까지 애플의 공세는 단순한 제품의 판매가 아니라 20만 개의 앱과 콘텐츠를 생산하고 유통까지 포괄하는 모바일 생태계를 글로벌하게 구축했다는 점에서 기존 경쟁과는 차원이 다른 패러다임을 끌어낸 것이다. 스마트폰의 활성화는 기술 혁신을 넘어 인식의 전환이자 문화적 변화로 받아들여지고 있다. 

스마트폰에 담긴 콘텐츠의 생성과 유통 체계는 인터넷을 임시로 거쳐가는 경로가 아니라 애플리케이션의 일부로 인정하는 클라우드 컴퓨팅 사상과 맥을 같이 한다. 이 때문에 기업에서는 비즈니스를 위해서든 시대적 흐름에 맞는 기업내 혁신을 위해서든 스마트폰과 클라우드 컴퓨팅 도입을 적극적으로 검토하고 있다.
지난 1년간 프로젝트를 통해 접한 많은 기업 담당자들이 지금 진행 중인 프로젝트와는 상관이 없더라도 스마트폰 보안과 모바일 환경의 보안문제에 대해 문의하고 논의하였다. 앞으로 스마트폰을 중심으로 한 모바일오피스 구축이 늘어나고 사용자가 급증할 수록 모바일에 대한 보안컨설팅 영역은 확대되고 사업비중이 커질 것이다.

2011년 보안 컨설팅 프리뷰

1. 개인정보보호법의 폭발성
2011년 보안 컨설팅 분야에서 개인정보보호법이 업계에 미칠 영향력은 '폭발'이라는 용어가 지나치질 않을 정도이다. 개인정보보호법 시행되면 기업의 담당자는 다음과 같은 요구에 직면하게 된다. ▶ 올해 1년 동안 회사 전 부서의 업무를 분석해서 ▶어떤 데이터가 취급되는지 데이터항목 단위로 분석하고 ▶그 데이터를 취급하는 사람이 누군지 구체적으로 찾아내서 이름을 적고 그 사람이 그런 업무 권한을 취득하고 변경하고 상실한 이력을 찾아 기록하고 ▶ 고객정보를 담은 모든 애플리케이션과 웹사이트가 접근자의 이력을 조회 목적까지 식별할 수 있도록 계정관리시스템과 로그시스템을 재구축하고 ▶데이터베이스는 고객 핵심정보를 암호화하고 통제할 수 있도록 솔루션을 적용하거나 모델링을 다시 하며 ▶ 이런 과정을 관계된 모든 외주업체에 대해서도 검토하고 적용토록 해야 한다. 그리고 덧붙여 기업 담당자가 이 모든 과정에 대한 책임을 지게 될 것이며 사고가 생기면 감옥에 가거나 벌금형을 받을 수도 있다라는 것이다. 실제로 개인정보보호법이 기업에 던지는 의미는 그런 것이다. 따라서 개인정보보호법이 연초에 통과되어 2011년 내에 발효된다면 그 동안 법의 사각지대에 있던 68%의 사업자를 포함한 개인정보 보유 기관 담당자들도 보안컨설팅업체에 연락을 할 가능성이 높지 않을까 싶다.

What To Do에서 How To Do까지
과거 보안컨설팅은 나름 분야가 나누어졌다. (물론 모든 걸 아우르는 종합보안 컨설팅 영역은 늘 있긴 하다) 인증을 위한 컨설팅이라면 인증 취득을 위한 제반 조건을 점검하고 대체적인 대책을 제시할 뿐, 하나하나의 구현 방법까지 구체적으로 제시하는 경우는 흔치 않았다. 취약점점검도 마찬가지. 설정 값의 오류나 일반적인 조건에 대한 개선책은 제시하지만 솔루션 도입이 필요한 경우 실행과정은 오롯이 고객의 몫이었다. 예컨대 기존의 컨설팅은 What To Do만을 제시하고 How To Do는 고객에게 남겨두고 오는 컨설팅에 가까웠다.

그러나 이제는 고객의 요구도, 고객을 대하는 보안컨설팅 업체의 대응도 달라질 수밖에 없는 상황이다. 값 비싼 점검 툴을 도입하고 그 툴을 사용할 수 있는 전문가가 내부에 있거나, 외부컨설팅의 도움을 받지 않으면 하기 어려웠던 기술적 취약점점검도 인터넷진흥원에 요청하면 어렵지 않게 점검 받을 수 있다. 개인정보보호 법률준거성 수준진단도 온라인 사이트를 통해 설문식으로 대답을 기입하면 대략적인 수준과 위규에 대한 대책 (What To Do)를 깔끔하게 뽑아 주는 시대가 되었다.

What To Do를 충족할 수 있게 된 기업에서 고가의 보안컨설팅을 받으려 한다면 그 때는 기존의 대내외적인 자원으로 해결할 수 없는 복합적인 문제상황이거나 진단 이후에 구현까지 지원이 가능한 통합보안 역량이 있는 보안업체를 찾게 되는 것이 당연하다. 이런 맥락에서 안철수연구소 컨설팅 사업은 매년 비약적으로 성장하고 있다. 특히 보안은 단순히 특정 제품이 아니라 24시간 보안관제나 악성코드 대응체제 등 조직적 역량이 받쳐주는 서비스가 필요하기 때문에 이런 해법을 갖고 있는 통합보안기업의 컨설팅이 고객에겐 절실해지고 있다.

스마트폰과 클라우드
2010년에는 모바일 IT가 에피타이저였다면 2011년 이후는 메인디쉬가 될 것이다. 애플의 야심작 아이패드는 2010년 말에야 비로소 국내에 공식 유통되었다. 아이패드와 안드로이드 기반 태블릿 시스템으로 할 수 있는 일과 만들 수 있는 것들이 2011년부터는 폭발적으로 증가할 것이다. 새로운 사상의 제품보다는 기존 제품과 업그레이드 버전이 2011년 한 해를 주도할 것이다.  따라서 기존 영역을 넘어서는 새로운 보안컨설팅 사업은 스마트폰과 클라우드 시스템 관련 부문에서 나올 것을 기대한다. 물론 시장 성숙이 덜 되어 한 해 더 쉬어갈 수도 있지만 스마트폰 중심의 모바일 환경과 클라우드 시스템이 대세가 되리라는 걸 의심하기는 어렵다.

보안컨설팅과 보안솔루션은 이 흐름에 부응할 수 있도록 준비해야 한다. 모바일 환경이 가져올 변화는 IT 시스템뿐 아니라 업무환경, 데이터의 흐름, 사람들의 인식과 생활방식까지 아우르며 그 과정에 잠재된 위협과 취약점을 이해하고 연구해야만 한다.  이런 점에서 단순히 연구하는 것이 아니라 아예 핵심솔루션을 클라우드 시스템화 한 안철수연구소의 보안 컨설팅을 2011년 한해 커다란 성과를 거둘 수 있을 것으로 기대한다.@

 

개인정보보호 전용 트위터 AhnLabPIC 보기 정부지정 정보보호컨설팅 전문업체 안철수연구소의 컨설팅사업본부는 개인정보보호 전용 트위터 (http://twitter.com/ahnlabpic)를 통해 다양하고 신속한 개인정보보호 관련 정보를 제공하고 있다.