[Special Report] 4부 : 보안 컨설팅 / 패러다임 변화의 중심에 서다

1부 : 보안 위협 / 2011년 보안 사고 APT가 장악하다  2부 : 보안 위협 / 2012년 ‘더욱 교활하고 정교해진다’  3부 : 네트워크 보안 / 다각화된 보안 이슈에 물 샐 틈 없이 대비하라  4부 : 보안 컨설팅 / 패러다임 변화의 중심에 서다 5부 : 침해사고 / 안티포렌식 기반의 지능형 공격을 경계하라

 

2011년, 보안 업계의 주요 키워드로 ‘개인정보보호법 발효’와 ‘대규모 보안 사고’를 꼽는 데 주저하는 사람은 없을 듯하다. 이 두 키워드는 정보 보안이 IT 분야나 한 기업의 문제에 국한되지 않는 광범위한 사회적 이슈임을 극명하게 보여주었으며, 경영진이나 기관장들이 정보 보안을 바라보는 시각을 바꾸는 계기가 되기도 하였다.

이와 같이 보안은 IT 변화뿐만 아니라 사회의 변화와 궤적을 같이하고 있다. 사회와 IT 패러다임의 변화는 곧 새로운 보안 위협과 취약점의 등장을 의미한다. 이러한 위험을 예방하고, 침해 사고가 발생하더라도 그 피해를 최소화하기 위한 예방 서비스인 보안 컨설팅은 이런 변화의 흐름을 가장 앞서서 대응하고 있다. 그렇다면 2011년 보안 컨설팅에선 어떤 분야가 주도적이었으며 어떤 이슈들이 있었을까? 또 2012년에는 어떤 변화가 있을 것인가? 2011년 안철수연구소가 수행한 보안 컨설팅 사업을 돌아보며 주요 이슈를 정리하고 2012년을 전망해 본다.

 

>>2011년 동향 분석

 

1) 개인정보 보호 관련 수요 증가

안철수연구소가 2011년 가장 많이 진행한 보안 컨설팅 분야는 개인정보 보호 관련 분야일 정도로 이 시장이 크게 성장했다. 안철수연구소가 수행한 1억 원 이상의 모든 컨설팅 사업에서 개인정보 보호를 다루었다고 하여도 과언이 아닐 것이다. 기존 정통망법에 의해 통제됐던 정보통신 사업자 및 준용 사업자들은 이미 개인정보 보호에 대한 준비를 하고 있었지만, 실제 발표된 개인정보보호법의 대상 사업자는 더욱 확대됐다. 고객들에게 주로 제공되는 서비스는 법에 따른 준거성 점검, 개인정보 영향평가, 개인정보 관리 체계 수립 등이다.

기업이나 기관이 개인정보 보호를 어려워하는 것은, ‘개인정보’ 자체가 보유한 특성과 그 동안 기업의 보안을 담당했던 IT 부서들이 다루기 생소한 ‘법’ 준수 부분 때문일 것이다. 개인정보는 기업의 정보와 다르게 그 주체가 개인이기 때문에 수집 시 동의를 받아야 하고, 동의를 받은 범위 내에서만 저장 및 사용할 수 있으며 사용자가 동의한 기간 동안 보유할 수 있다. 또, 개인정보 주체가 요구하면 언제나 사용내역을 제공하거나 삭제해야 한다.

기업 입장에서 더 중요한 것은 개인정보가 침해당했을 때 이를 정보 주체에게 즉시, 명시적으로 피해 내역을 알려주어야만 한다는 점이다. 따라서 기업은 어떤 개인정보가 어디에 있고 어떻게 저장되고 활용되고 있으며 누가 사용하는지, 어떻게 보호되고 있는지 등 개인정보에 대한 동의 및 활용 상황을 기록, 모니터링 및 통제해야 한다. 즉, 개인정보를 관리하고 보호하면서 준거성을 확보해야 하는데, 이런 업무를 기업이 스스로 처리할 수 있도록 체계를 잡아주는 것이 개인정보 관리 체계 수립 컨설팅이다. 이와 관련한 인증으로 해외 인증인 BS10012(Data protection on Specification for a personal information management system)와 국내 인증인 PIMS(Personal Information Management System)가 있다.

 

2) 외부 공격 대응뿐 아니라 내부 통제까지 포함

올해 대형 보안 사고가 많았던 만큼 관련 보안 컨설팅 시장도 커졌다. 대형 사이트들은 나름의 보안 관리 체계를 수립하고 있었는데도 침해 사고가 발생했다. APT 공격의 특성상 방어가 어렵긴 했지만, 보안 관리 체계를 다시 점검하는 계기가 됐다.

 
지금까지는 외부의 직접 공격에 초점을 맞추어 대응 체계를 갖추었으나 이제는 전 사원이 포함되는 내부 통제 관점에서의 보안 컨설팅이 필요해졌다. 사고 후 대부분의 정보보호 컨설팅에는 보안 정책과 절차를 수립하는 데 현실을 반영하도록 하는 현행화, 이런 프로세스가 제대로 지켜지고 있는지 확인하고 적용 방안을 만드는 실태 평가, 보안 활동을 강제할 수 있는 방안 도출, 신규 위협에 대응할 수 있는 마스터플랜 수립 등이 포함됐다. 즉, 정보보호 관리 체계가 단순히 인증을 위한 것이 아니라 전사 직원들이 반드시 지켜야 할 실질적인 활동 위주로 수립됐으며, 앞으로도 이런 요구들은 더 많아질 것으로 보인다.

 

3) 모바일, 앱, 스마트워크, 그리고 클라우드

모바일과 무선 랜에 대한 보안 점검은 기술 취약점 진단을 수행하는 거의 모든 사업에 꼭 들어가는 필수 항목이 됐다. 은행, 증권사 등의 금융권과 포탈을 포함한 많은 기업들이 앱(application)을 보급하면서 앱에 대한 진단이나 모의해킹을 진행했다. 또한 최근 이슈로 떠오르고 있는 스마트워크와 클라우드 시장이 서서히 형성되고 있다. 안철수연구소는 전자정부의 스마크워크 센터 구축을 통해 스마트워크 보안 분야를 개척했고, 전자정부 통합전산센터의 자원 통합 사업을 수주함으로써 클라우드 보안에 대한 기술력을 검증받았다.

 

 

>>2012년 전망

1) 컴플라이언스 - 개인정보보호법과 그 후폭풍

2012년은 행정안전부가 2011년 발효된 개인정보보호법에 따라 구체적인 행동에 나설 것이며 이에 따라 기업이나 기관들도 개인정보 보호에 적극 나서는 한 해가 될 전망이다. 주로 준거성과 관련된 보안 컨설팅 시장이 확대될 것이라 예상되는데, 공공기관이 5년 내에 일정 규모 이상의 개인정보를 다루는 서비스나 시스템에 대하여 의무적으로 진행해야 하는 PIA(Privacy Impact Assessment, 개인정보영향평가)가 대표적이다. 정부는 2011년 말 공공기관의 개인정보 영향평가를 수행할 업체 6곳을 선정하였으며 안철수연구소도 그 중 하나로 선정돼 이 시장에서 확고한 입지를 다질 수 있을 것으로 예상된다. 개인정보 실태평가, 개인정보 관리 체계 수립과 관련 인증인 PIMS 인증, 국제 인증인 BS10012 컨설팅 시장도 크게 확대될 것으로 전망된다. 또한 개인정보보호법 외에도 위치기반보호법과 같은 법적 요건을 갖추기 위한 컨설팅도 많을 것으로 예상된다.

 

2) Security Governance – 내부 통제를 통한 실질적 보안 적용

아직 구체적이지는 않지만 ‘시큐리티 거버넌스(Security Governance)’에 대한 요구가 수면위로 떠오르기 시작했다. 기업들이 보안을 전사 비즈니스 관점에서 접근하기 시작했기 때문에, 보안을 통제할 수 있는 수단과 가시성을 확보하고자 할 것이다. 이에 따라 2012년에는 기존 고객들로부터 정보보호 체계를 실질적으로 적용하고 이를 평가할 수 있는 KPI, 경영진 관점의 Executive Security Index를 만들어 주는 보안 컨설팅 수요가 많아질 것으로 예상된다.

 

3) 늘어나는 보안 위협 – 클라우드, SCADA

우리나라에서 애플과 같은 형태의 클라우드 사업은 쉽지 않아 보인다. 하지만, 전자정부 주도의 자원 통합 사업이나 그룹사의 IT를 담당하고 있는 기업들의 그룹 대상 클라우드 시장은 활성화될 것으로 예상되며 이에 따른 보안 컨설팅 수요도 늘어날 것으로 예상된다.

듀큐(Duqu)에서 보듯이 사회기반망(SCADA, supervisory control and data acquisition system)에 대한 공격이 날로 심해지고 있어 이 분야의 새로운 시장도 기대된다. KISA에서도 관련 점검 리스트를 개발하는 등 발 빠르게 대응하고 있다.

2012년에는 다른 해보다 다양한 보안 요구사항을 담아내는 보안 컨설팅이 크게 성장할 것으로 전망하고 있다. 이에 따라 회계 관련 업체, IT 컨설팅 업체, 감리 업체, 대기업 IT 자회사의 보안 컨설팅 분야 확대 등의 경쟁도 심화될 것이다. 특히 소규모 업체의 난립은 자칫 컨설팅 품질 저하로 이어질 수 있어 주의해야 할 것이다. 안철수연구소는 지식 정보보안 컨설팅 전문 업체이자 안전 진단 수검 업체, 개인정보 영향평가기관으로서 보안 컨설팅 분야를 선도할 것이다.@