[Spotlight] 위기의 금융 보안, 무엇을 할 것인가?

안철수연구소, 금융 보안 강화를 위한 ‘금융 IT 보안 Summit 2011’ 개최

올 초 발생한 3•4 DDoS 공격은 사회적 이슈였던 것은 사실이지만 일반인들에게는 큰 영향을 주지 않았다. 민관의 신속한 대응과 이전의 경험 탓에 일부 PC의 하드디스크가 파괴된 것을 제외하면 사실상 큰 피해가 없었고, 특히 일부 기관 및 기업이 타깃이었기 때문에 사실상 ‘내 일’은 아니었기 때문이다. 그러나 최근 잇달아 발생한 금융권 전산 사고나 해킹 등은 ‘내 재산’, 실질적인 금전적 피해가 발생할 수 있는 문제라는 점에서 엄청난 사회적 불안을 야기하고 있다. 고객의 불신은 높아지고 감독 기관의 압박이 더해지는 상황에서 정작 금융권, 특히 IT 및 보안 담당자들은 날로 고도화되는 보안 위협에 대한 실질적인 정보나 마땅한 대책이 없어 좌불안석이다. 이에 안철수연구소는 금융권 보안 담당자들을 위한 ‘금융 IT 보안 Summit 2011’을 개최해 최근의 보안 위협 대응을 위한 정보를 제공했다.

안철수연구소가 지난 5월 25~26일 양일간 금융 보안 강화를 위한 ‘금융 IT 보안 Summit 2011’을 개최했다. 안철수연구소 김홍선 대표는 “금융권 이슈는 현금과 직결되어 있어 타격이 크다”며 “현재의 상황, 그리고 앞으로 해야 될 문제들에 대해 이야기 나누고자 한다”는 말로 이 같은 행사를 마련한 취지를 설명했다. 이어 ‘최근 금융 보안 이슈 및 향후 전망’이라는 주제로 기조 연설의 시간을 가졌다.

정보보안은 최고책임자(CEO)의 이슈
 

▲ 안철수연구소 김홍선 대표는

“보안은 사업 존속과 직결된 문제”라며

보안에 있어서의 CEO의 역할과 책임 의식을 강조했다.

김홍선 대표는 최근의 보안 침해 사고 및 그 대책과 관련해 특히 CEO의 역할을 강조했다. 김홍선 대표는 “여러 강연을 통해 보안이란 것은 그 조직의 최고책임자(CEO)의 이슈라고 누누이 강조해왔다”며 “이제 기업의 CEO들도 보안이 그 동안 쌓아온 것을 한 번에 무너뜨릴 수 있는 이슈라고 생각하기 시작했다”고 말했다.
최근의 일련의 사태들로 각 기업의 오너(owner)나 대주주들이 보안 문제에 대해 많은 관심을 표하기 시작했다는 것이다. 이어 “이 기회에 IT 보안 담당자의 위상이 높아져야 할 것”이며 IT 및 보안 담당자들의 노고에 대한 이해와 보안에 대한 기업 내부의 인식 변화에 기대를 표했다.
김홍선 대표는 우선 오늘날과 같은 보안 이슈가 촉발된 원인으로 IT 분야에서의 세 가지 요소를 꼽았다.

 

첫째는 웹(Web)의 등장으로 인한 인터넷 혁명, 두 번째는 PC 통신에서 브로드밴드로의 변화, 그리고 세 번째는 수많은 정보의 디지털화다. 특히 정보의 디지털화와 관련해 김홍선 대표는 “정보의 검색과 분석이 용이하고 지능화, 스마트화 되었다는 장점이 있는 반면, 무한대로 복제(copy)되는 정보를 삭제하지 않고 계속 축적만 하기 때문에 정보 유출 등의 문제가 생긴다”며 “이는 개인정보보호법과도 연관되는 부분”이라고 지적했다.
또한 김홍선 대표는 “이제 사업에 있어 IT는 보조수단이 아니라 사업의 중심”이라고 강조했다. 사업 분야에 따라 차이는 있겠지만, 사업을 시작하거나 신상품을 출시하면 하다못해 홈페이지 하나는 만들게 마련인 만큼 이제 IT가 없이는 비즈니스 수행이 어렵다는 것이다. 김홍선 대표는 “그러나 인터넷은 아무도 컨트롤 할 수 없는 불안전한 환경”이라며 IT 보안 이슈가 대두될 수 밖에 없다고 설명했다. 이어 행사에 참석한 IT 및 보안 담당자들에게 “IT가 없으면 사업이 될 수 없다, 보안이 없으면 사업이 될 수 없다는 강력한 인식을 조직에 심어주어야 한다”고 당부했다.

IT 담당자만의 싸움이 아니다

급격한 IT 환경의 변화와 더불어 보안 위협 또한 빠른 속도로 진화하고 있다. 특히 악성코드 제작 기술 및 유포 방식 또한 고도화되고 있으며, 최근의 보안 사고에서 볼 수 있듯이 고도화된 악성코드를 이용한 타깃 공격이 나날이 증가하고 있다. 이에 대해 김홍선 대표는 “이제는 프로들의 싸움”이라고 강조하고 “막연하게 대응해서는 안 된다”고 말했다. 위협 요소들을 구체적으로 정확하게 살펴볼 수 있는 전문성이 있어야 무엇이 문제이며 어떻게 대응할 수 있을지 대책도 강구할 수 있다는 것이 김홍선 대표의 설명이다.
 

그러나 모든 기업들이 보안 위협에 허투루 대응하고 있는 것은 아니라고 김홍선 대표는 덧붙였다. 특히 “최근 금융권에서 보안 이슈가 잇달아 발생하고 있지만 지난 3•4 DDoS 공격 당시 훌륭하게 대응한 사례가 있었다”고 전했다. 당시 한 은행에 공격이 집중되었지만 해당 은행은 이미 수십 명의 보안 인력으로 구성된 전담 팀을 구축하고 있었으며 주기적인 모의훈련을 통해 충분히 준비되어 있었다는 것이다. 김홍선 대표는 “결국 위협이 입체적이고 복합적으로 연계되어 있는 만큼 사전에 얼마만큼 준비를 잘 해놓느냐가 관건”이라고 강조했다.

한편 김홍선 대표는 “개인적으로 인터넷 뱅킹에 불만이 많다”고 밝혔다. 스마트폰, 태블릿 PC 등이 엄청난 속도로 보급됨에 따라 컴퓨팅 환경 또한 급격하게 변화하고 있음에도 불구하고 금융 시스템은 이용자들의 다양한 접근성 요구를 무시한 채 과거의 컴퓨팅 환경에 머물러 있다는 것이다. 김홍선 대표는 “급변하는 컴퓨팅 환경만큼 보안 위협도 급변하고 있다”며 “보안 위협은 사업화, 조직화, 범죄화되고 있으며 이제는 프로들의 싸움이다. 아마추어적인 접근 태도로는 대응할 수 없다”고 다시 한 번 강조했다. 또한 “과거의 보안은 IT 담당자들만의 싸움이었으나 이제는 단순히 IT 담당자들만의 싸움이 아니다”고 덧붙였다.

보안은 사업 존속과 직결된 문제

최근의 보안 위협 양상에 대해 설명한 김홍선 대표는 “이제 하나로 모든 걸 막을 수 있다는 시대는 지났다”며 “업종ㆍ사업 모델에 맞는 보안이 도입되어야 한다”고 말했다. 이러한 측면에서 “CEO가 보안에 대한 마인드를 갖고 사업 계획부터 같이 들어갈 수 있도록 해야 한다”며 기업 보안에 있어 CEO의 역할을 강조했다. 김홍선 대표는 “CEO들을 만날 때마다 이것이 내 리스크(risk)라고 생각하면 보안 문제는 해결될 것이라고 말한다”며 “보안이 무너지면 사업 자체가 무너지게 되므로 사업 존속의 문제”라는 말로 보안에 대한 최고경영층의 책임 의식을 당부했다.

김홍선 대표는 또한 보안 사고와 보안 담당자를 바라보는 CEO의 시각에 대해서도 소신을 밝혔다. “보안 사고는 여러 형태로 언제든 발생할 수 있다”며 “그러나 그것을 분석해서 무엇이 문제인지 확인하고 방어하며 예방해야 하는데 담당자의 책임만 물으면 발전이 없다”고 김홍선 대표는 강조했다. 사고 발생 후 책임자를 문책하는 정서에서 벗어나지 못 하면 보안 전문가를 아무리 많이 채용해도 보안에 한계가 있을 수 밖에 없다는 것이다. 아울러 보안 담당자에 대한 꾸준한 교육의 기회를 제공하지 않으면 최근의 고도화된 입체적인 공격에 적절한 대응이 어렵다고도 지적했다.

실무자들에 대한 조언도 잊지 않았다. “피상적인 것이 아니라 하나하나 디테일하게 접근하는 태도가 필요하며 실질적인 조치가 필요하다”고 강조한 김홍선 대표는 “명확한 가이드라인을 세워야 하며. 예외가 있어서도 안 된다”고 잘라 말했다.  “대신 불편해도 안 된다”고 덧붙이며 “조직에 관계된 보안 이슈에 대한 명확한 인식이 필요하다”고 설명했다. 특히 “보안에 대한 예방, 방어, 추적의 라이프사이클(Lifecycle)을 확립해야 한다”고 강조했다. 아울러 “보안에 있어서도 역할 분담이 필요하다”며 “기본적인 것, 원칙을 잡아야 하는 것이 기업 보안 담당자의 몫이며, 그 외 전문적인 것은 업체에 의뢰해야 한다”고 김홍선 대표는 조언했다.

거센 집중 공격, APT 위협 증가 추세

안철수연구소 연구개발총괄 조시행 상무는 최근 대두되고 있는 새로운 형태의 보안 위협 현황과 이에 대한 대응 방안에 대해 공유하는 시간을 가졌다. 조시행 상무는 우선 IT 보안과 관련해 최근 5년 동안 전환점이 된 사건으로 지난 2009년 7•7 DDoS 대란과 올해 발생한 3•4 DDoS 공격을 꼽았다. 이어 “보안 위협이 7•7 DDoS 대란 이후 고도화되고 범죄와 완전히 직결되고 있으며, 3•4 DDoS 공격을 기점으로 더욱 고도화된 형태의 보안 위협, 이른바 APT 형태의 보안 위협들이 증가하고 있는 추세”라고 전했다.

APT(Advanced Persistent Threat)는 다양한 IT 기술과 공격 기법을 접목하여 보안 위협을 생산해 특정 대상에게 지속적으로 위협을 가하는 일련의 행위를 뜻한다. 대표적인 예로는 이른바 구글 해킹으로도 불리는 오퍼레이션 오로라(Operation Aurora)를 비롯해, 스턱스넷(Stuxnet), 나이트 드래곤(Night Dragon) 등이 있다. 최근 몇 년 새 등장한 이들의 공통점은 특정 기업, 또는 특정 시설만을 노렸다는 것. 이와 관련해 조시행 상무는 “타깃 공격이기 때문에 타깃이 된 기업이 도입한 보안 제품이 무엇인지 알고 있어 이를 우회할 수 있다”며 “특화된 공격이기 때문에 일반 기업에서 전통적인 기법으로 대응하기에는 어려움이 있을 것”이라고 지적했다.

조시행 상무의 설명에 따르면 일반적으로 고도로 제작된 악성코드와 사회공학적 기법이 결합된 형태의 APT 위협이 증가함에 따라 시스템이 침해 당했다는 것을 발견하기까지는 상당한 시일이 걸린다. 조시행 상무는 “APT 형태의 위협에 의해 기업 내 장악된 PC가 있다면 해당 PC에서의 행위는 정상적인 것으로 인식되기 때문에 네트워크 보안 솔루션으로 접근을 막을 수 없다”고 우려를 표했다. 즉, 피싱, 제로데이 공격, 이메일, USB 등 수단방법을 가리지 않고 PC에 악성코드를 심어 백도어 설치해 시스템 권한을 완전히 장악할 수 있기 때문에 공격자가 원하는 모든 것이 가능하다는 것. 특히 “시스템 권한을 획득했기 때문에 해당 PC에서 하는 일은 정상적인 것으로 인식된다”며 “이를 통해 서비스에 접속하여 정보를 수집하고 유출할 뿐만 아니라 정보를 빼낼 방법을 고민, 유출된 사실을 모르게 할 것”이라고 조시행 상무는 경고했다. 즉, APT 등 고도의 위협은 기업의 정보 탈취는 물론, 은닉/은폐를 위해 최악의 경우 시스템의 모든 파일을 삭제하는 시스템 파괴까지 가능하다는 것이다.
 

▲ 안철수연구소 연구개발총괄 조시행 상무는

“모든 파일에 대해 모니터링하고 실시간으로 행위를 분석하는 것이

APT 대응의 핵심이 될 것”이라고 말했다.

APT 대응의 핵심은 ‘가시성’과 ‘실시간 행위 분석’

언뜻 생각하면 공격자가 악성코드를 심어 백도어를 설치하기 전에 이를 감지하면 APT 대응이 가능할 것처럼 생각하기 쉽다. 이에 대해 조시행 상무는 “APT와 같이 타깃화된 공격은 특정 기업만 공격하기 때문에 그 공격에 이용한 악성코드의 샘플을 다른 곳에서 수집할 수 없어 시그니처 방식의 백신으로는 APT 형태의 보안 위협에 대응하기 어렵다”고 지적했다. 이어 “사내의 모든 파일의 움직임에 대한 가시성을 갖고 대응하지 않으면 신속한 대응이 어려울 것”이라며 “모든 파일에 대해 모니터링하고 실시간으로 행위를 분석하는 것이 APT 대응의 핵심이 될 것”이라고 조언했다

한편 악성코드는 현재 전 세계적으로 하루에만 6만 개 가량이 발견되고 있다. 게다가 백신을 제작하는 보안 업체는 정상 파일 또한 분석해야 하기 때문에 수적인 부담이 따른다. 결과적으로 악성코드의 수집 및 분석의 자동화가 요구될 뿐만 아니라 이를 통해 생성/축적되는 악성코드 정보를 제공하는 시스템이 요구되는 것이 당연하다. 이와 관련해 조시행 상무는 “클라우드 컴퓨팅 기반으로 입체적으로 들어오는 공격에 대해 입체적으로 대응이 필요하다”며 “그런 관점에서 지난 2008년부터 안철수연구소가 투자해온 것이 ACCESS(AhnLab Cloud Computing E-Security Service)다”라고 밝혔다.

안철수연구소의 클라우드 기반 보안 대응 체계인 ACCESS는 안철수연구소의 모든 제품들을 센서로 활용하여 각 센서들로부터 전달되는 정보를 통해 진화하는 위협들에 대해 효과적으로 대응한다. 조시행 상무는 “ACCESS에서 가장 중요한 부분은 ASEC (시큐리티대응센터)과 CERT (침해사고대응센터)라는 안철수연구소만의 고유 조직으로, 분석과 침해사고에 대응하는 조직”이라며 “ACCESS 인프라에는 다양한 분석 시스템들이 클라우드 기반 위에 구성이 되어 있는데, 이 정보들을 통해 ASEC과 CERT의 인력들이 입체적인 대응을 수행하게 된다”고 설명했다.

조시행 상무는 또한 ACCESS 전략의 핵심으로 ASD(AhnLab Smart Defense)를 꼽았다. 간략하게 설명하면 ASD는 클라우드 기반 분석 자동화 시스템들 중에서도 특히 파일 수집/분석, URL 분석 인프라를 의미한다. 조시행 상무는 “ASD에 현재 2억 7천 만 개의 정보가 축적되어 있다”며 “의심으로 보고되는 파일 하나만 놓고 판단하는 것이 아니라 클라우드 안에 모든 정보가 집중되어 있기 때문에 기존에 수집된 모든 정보를 활용해 연관성으로 판단한다”고 설명했다. 특히 “올해 4억 개 정도의 정보가 축적될 것으로 보인다”며 “이러한 정보와 시스템을 기반으로 수집-탐지-분석-대응까지 사전적인(proactive) 대응을 제공한다고 자신할 수 있다”고 말했다. ACCESS의 효과와 관련해 “2010 하반기부터 가시적인 결과를 얻고 있다”고 밝힌 조시행 상무는 지난 3•4 DDoS 공격 대응의 예를 들며 “이러한 서비스를 통해 위협에 대한 대응 시간을 단축하고 피해 수준을 굉장히 낮출 수 있었다”고 전했다.

아울러 “안철수연구소가 축적한 정보를 고객들에게 어떻게 전달할까를 고민 중”이라며 “안철수연구소에 있는 모든 DB정보와 연결되면 기업 내부에 있는 정보만 쓰는 게 아니라 전국의 정보를 활용할 수 있다는 것”이라고 말했다. 즉, “기업 내에서 새로 생성되는 파일에 대한 연관성 등을 판단한다면 의도하지 않은 것, 새로운 것에 대해 의심할 수 있는 가시성을 확보할 수 있다”는 것이 조시행 상무의 설명이다. 이어 “기업의 경우, 민감한 실행 파일이 있을 수 있기 때문에 안철수연구소의 이러한 시스템 기반을 기업 내부에 구축하여 서비스하는 형태를 생각해 볼 수 있다”고 말했다. 또한 “어플라이언스 형태의 솔루션 제공은 이미 하고 있다”며 그 예로 좀비 PC 사전 대응 솔루션 트러스와처(TrusWatcher)를 꼽았다. 트러스와처는 3•4 DDoS 공격 대응 등을 통해 대응 능력과 기술 역량을 인정받은 안철수연구소의 종합적인 DDoS 대응 플랫폼을 제품화한 것으로, 악성코드 분석 기술과 네트워크 보안 기술이 융합된 시너지 효과로 좀비 PC를 사전 탐지 및 대응하는 어플라이언스 형태의 솔루션이다.

한편 APT 위협에 대한 대응 방안으로 클라우드 기반의 보안 서비스 전략 ACCESS를 내세운 조시행 상무는 “모든 정보를 한 곳에서 분석하고 비교해서 고객에게 되돌려줌으로써 가시성을 확보하게 하고 대응할 수 있도록 하는 것이 안철수연구소”라고 자신 있게 말했다.

개인정보보호법 발효, 무엇을 준비할 것인가

다음 세션으로는 오는 9월 발효를 앞둔 개인정보보호법에 대한 핵심적인 내용과 더불어 효율적인 개인정보 유출방지 방안과 규제 준수 전략을 살펴보는 시간이 이어졌다. 안철수연구소 컨설팅사업본부 이장우 부장은 개인정보 유출 사건과 관련된 다양한 실제 사례와 개인적인 경험을 생동감 있게 공유해 금융권 IT 및 보안 담당자들로 구성된 참관객들의 뜨거운 호응을 받았다.

이장우 부장은 발표 서두에 “보안사고나 장애 사고는 기업의 역사상 늘 있어왔으나 최근 크게 이슈가 되는 원인은 미디어를 통해 급속도로 확산된다는 점”이라며 “계속 재확산되면서 감독기관에서는 감독을 하겠다고 나서고 인터넷에서는 집단소송을 위한 카페가 생기는 등 사태가 확산된다”고 설명했다. 이장우 부장은 “IT 담당자에게는 보안 사고 자체가 큰 위협이 아니라 언론을 통해 확산되는 게 오히려 더 큰 위협”이라면서도 “그렇다고 언론에 안 나가게 막으면 되는 것이 아니다”라고 잘라 말했다. 즉, 과거에는 속된 말로 입만 막으면 됐으나 이제는 개인정보보호법의 핵심은 자진 신고하지 않으면 그 자체가 불법이라는 것, 이장우 부장은 “이제는 감추고 싶어도 감출 수가 없다”며 “당사자들에게 반드시 알려주고 행정기관에 이실직고 하지 않으면 불법”이라고 설명했다. 개인정보보호법은 보안 사고가 발생한 것에 대한 막중한 책임 또한 묻는다. 개인정보보호법이 발효된 이후 보안 사고가 발생하면 손해배상은 물론 고객 이탈까지 감수하고 자진신고를 하더라도 기업은 보안 사고 발생에 대한 책임으로 벌금까지 물어야 한다.
 

▲ 안철수연구소 컨설팅사업본부 이장우 부장은

“식별, 동의, 보호, 활동의 네 가지 프레임을 기반으로 대응하면

큰 무리 없이 개인정보보호법에 대처할 수 있다”고 말했다.

조치를 다 수행하면 기업 손실 0원도 가능

그렇다면 과연 기업의 살 길은 무엇인가? 이장우 부장은 이에 대한 답 역시 “법”이라고 답했다. 이장우 부장은 “위협의 끝은 법의 잣대”라며 “법에 의해 보안 노력을 판단하는 것”이라고 말했다. “설령 유출 사고가 났다고 하더라도 각 기업에서 법에 따른 의무를 준수하면 처벌 수준이 감경된다”며 “기업 입장에서의 법 대응의 목적은 손실을 최소화 시키는 것”이라고 설명했다. 결과적으로 돈을 덜 들이고 방어할 수 있는 방법은 법이라는 뜻이다.

이장우 부장은 특히 “개인정보보호법의 가장 핵심적인 부분은 ‘개인정보 자기결정권’”이라고 강조했다. 이는 모든 개인정보의 권리는 정보 주체자인 고객에게 있으며, 이에 대해 기업은 어떠한 용도로 해당 정보를 사용할지에 대해 구체적으로 동의를 받아야 한다는 것이 이장우 부장의 설명이다. 실제로 고객정보 사용에 있어 ‘동의’와 관련된 벌금이 최대 5천만 원에 이르며 과태료는 물론, 과징금으로 매출액의 1/100이 부과된다. 게다가 개인정보가 유출된 고객에 대한 손해배상 금액이 기존보다 강화되어 1인당 최대 몇 백만 원에 달하는 비용이 소요될 수 있다. 이와 관련해 이장우 부장은 “손해배상이 재무적인 손해가 가장 크다”며 “조치를 다 수행하면 손해배상 0원도 가능하다”고 설명했다. 따라서 “개인정보보호법이 발효되기 전까지 최대한 빨리 기업 내 보안 체계에 대해 법을 기준으로 진단해야만 한다”고 이장우 부장은 조언했다. 또한 “무엇보다 보안 사고에 대해 대비해야 한다”고 강조했다.

개인정보보호법의 핵심은 ‘동의’

개인정보보법의 주요 내용을 설명한 이장우 부장은 이에 대응하기 위한 핵심 요소에 대한 설명을 이어나갔다. 이장우 부장은 “식별, 동의, 보호, 활동의 네 가지 프레임을 기반으로 대응하면 큰 무리 없이 개인정보보호법에 대처할 수 있다”고 말했다. “우선 회사가 갖고 있는 개인정보가 무엇인지 알아야 한다”고 설명하고 “그 다음은 동의다. 동의를 안 받은 경우, 아무리 관리가 잘 되어도 문제가 된다”며 개인정보 이용 동의에 대해 다시 한 번 강조했다. 이어 “개인정보보호법 준수의 핵심은 암호화”라고 말하고 “일반 직원들의 PC에 있는 파일들에 암호화가 반드시 동반되어야 한다”고 설명했다. 아울러 “이러한 행동들에 대한 지속적인 활동이 요구된다”고 강조했다. 또한 “개인정보가 입수돼서 파기되는 단계까지 모두 관리가 되어야 한다”며 ‘개인정보의 생명주기’에 대해서도 강조했다.

끝으로 이장우 부장은 보안 사고 대비를 위한 권고로 계정과 패스워드에 대한 기본적인 유의 사항 준수를 강조하고 아이디 하나로 모든 시스템에 접근할 수 있는 이른바 ‘최고사용자(Super User)’를 만들어서는 안 된다고 강조했다. 또한 “아무리 준비 열심히 해도 사고 날 수 있다”며 “따라서 빨리 파악할 수 있도록 추적성을 확보해야 한다”고 조언했다. 이어 “추적성 확보를 위해 마련한 로그는 주기적으로 보지 않으면 몇 년 후에 도저히 확인할 수 없다”며 주기적인 관리의 중요성을 다시 한 번 강조했다. 아울러 내부 직원에 대한 관리를 당부하면서 “아무리 보안 투자를 해도 내부 직원 교육을 철저히 하지 않으면 쓸모가 없다”고 말했다.

한편 이장우 부장은 “개인정보보호법만 준비하면 끝나는 게 아니다”라고 지적했다. 법에도 순서가 있다고 설명한 이장우 부장은 “가장 중요한 것은 일반법”이라며 “차선책으로 벗어날 수 있는 법적 예외 근거를 빨리 확보해야 하는 것도 중요하다”고 조언했다. 즉, 해당 업종에 있어 일반법이 개인정보보호법보다 우선하기 때문에 이에 대한 파악이 필요하다는 것이다. 예를 들어 정통방법, 개인정보보호법에 따르면 탈퇴한 고객 정보는 반드시 삭제해야만 한다. 그러나 거래한 내용은 5년간 보관해야 한다는 법에 따라 탈퇴한 고객이라 하더라도 거래 내용은 보관해도 된다는 것. 또한 의료법도 개인정보보호법 보다 우선되기 때문에 응급 환자에게 개인정보이용 동의를 묻지 않아도 된다. 그러나 이장우 부장은 일반법이 개인정보보호법보다 우선하는 것은 사실이지만 동시에 “일반법에 저촉되면 모든 게 물거품”이라고 경고했다.

 

▲ 안철수연구소 플랫폼개발실 최은혁 실장은

“스마트폰과 그것을 감시하는 환경에 대한 관리 방법을 찾아야 한다”고 강조했다.

스마트폰, 금융의 영역을 변화시키다

‘금융 IT 보안 Summit 2011’의 마지막 세션은 최근 사용자 1,000만 명을 돌파한 스마트폰과 관련된 내용이었다. 안철수연구소 플랫폼개발실 최은혁 실장은 ‘모바일 전자금융 보안 이슈와 향후 전망’이라는 주제로, 특히 스마트 금융 인프라를 구축할 때 고려해야 하는 보안 요소를 설명했다. 최은혁 실장은 우선 스마트폰, 태블릿 PC 등 스마트 디바이스와 패러다임의 변화를 설명하고 “이제 사용자들은 기존에 하던 것을 스마트 기기로 다 하고 싶어한다”며 “쇼핑은 물론 금융까지 하고 싶어하는 것이 당연하다”고 말했다. 이어 “스마트폰이 들어오면서 금융 자체도 영역이 넓어지는 등 변화가 일어났다”며 “디바이스가 바뀌는 것에 따라 비즈니스 자체가 바뀌어야 한다”고 조언했다.

최은혁 실장은 “작년부터 화두가 되는 것이 모바일 머니(mobile money)”라고 말했다. 사실 모바일 머니는 이미 수년 전부터 그 개념은 인식되어 있었으나 아직까지 널리 상용화되지는 못 했다. 이에 대해 최은혁 실장은 “이제 주변 환경이 많이 성숙되어 있기 때문에 과거에 되지 않았던 모바일 머니가 가능해졌다”고 평가했다. 이어 “모바일은 앞으로 삶의 모든 영역까지 들어가게 될 것”이라며 “문제는 보안”이라고 화두를 던졌다. 최은혁 실장은 지난 2010년 1월에 금융감독원에서 발표한 ‘스마트폰 전자금융서비스 안전대책’을 언급한 뒤, “PC와 유사한 수준의 스마트폰 보안 수준을 요구하지만 PC와 스마트폰은 그 개념 자체가 다르다”고 지적했다. 따라서 “스마트폰과 그것을 감시하는 환경에 대한 관리 방법을 찾아야 한다”고 강조하고, “뱅킹, 증권거래는 실제로 돈이 오가기 때문에 큰 이슈”라며 모바일 보안에 대한 실질적인 고민이 필요하다고 조언했다. 

금융 보안 강화를 위한 다양한 정보 공유

 

▲ 금융 IT 보안 Summit 2011dpsms 60여 개의 금융기관 및

기타 서비스 업체의 IT 및 보안 담당자 150여 명이 참석했다

최근 잇달아 발생한 금융권 보안 사고와 관련해 IT 보안 담당자들의 대책 마련과 보안 전략 수립에 도움이 되고자 마련한 이 행사에는 양일간 60여 개의 금융기관 및 기타 서비스 업체의 IT 및 보안 담당자 150여 명이 참석했다. 참석자들은 마지막 세션이 끝날 때까지 집중력을 잃지 않았으며, 20여 분 간의 쉬는 시간에는 강연장 외부에 마련된 안철수연구소의 다양한 솔루션들에 관심을 보였다. 특히 1부 두 번째 세션에서 조시행 상무가 언급했던 좀비 PC 사전 대응 솔루션 트러스와처(TrusWatcher)를 비롯해 DDoS 공격 대응 솔루션인 트러스가드 DPX(TrusGuard DPX), 보안 관제 서비스를 어플라이언스화한 웹 콘텐츠 모니터링 솔루션 사이트케어 엔터프라이즈(SiteCare Enterprise), 스마트폰 보안 솔루션 V3 모바일 등에 많은 관심이 쏠렸다. 한편 안철수연구소는 “금융 회원사를 대상으로 주기적인 세미나를 개최했으면 좋겠다”는 의견을 반영해 추후 다양한 형식 및 규모의 보안 세미나를 진행할 예정이다.  
 

▲ 행사 참석자들은 좀비PC 방지 솔루션 등

안철수연구소의 보안 솔루션에 많은 관심을 보였다.