2019년 정보보안 위협 증가…기업, ‘혁신’ 안전하게 추진해야
2019년 정보보안 위협 증가…기업, ‘혁신’ 안전하게 추진해야
  • 이광재 기자
  • 승인 2018.11.23 15:27
  • 댓글 0
이 기사를 공유합니다

포스포인트, 국가 정보 리스크·생체 정보 식별관련 위협 등 위험 요인 지적

포스포인트가 보안 및 행동 정보 전문가, 데이터 분석 과학자들과 함께 작성한 ‘2019 포스포인트 정보보안 예측 보고서’를 발표했다. 이보고서는 향후 기업들이 직면하게 될 위협 요소들에 대한 지침을 제시하고 있다.

포스포인트는 보고서를 통해 2019년 리스크가 증가할 것으로 예상되는 7개 영역을 제시하고 기술 동향과 사이버 공격의 동기를 심도 깊게 살펴봄으로써 재계와 정부 기관, 그리고 보안팀이 다가올 새로운 위협에 대비할 수 있도록 했다.

조현제 포스포인트 지사장은 “현재의 기업과 정부 기관은 연결된 시스템으로 인해 중요 데이터와 지적 자산뿐만 아니라 물리적 안전마저도 위험에 처할 수 있는 초고도 융합 시대(hyper-converged world)를 맞이하고 있다”며 “이번 보고서는 이러한 영역을 탐색하고 신뢰를 바탕으로 한 협업을 통해 사람들은 데이터를 창의적으로 자유롭게 활용할 수 있어야 하고 기업은 가치 창출을 위한 혁신을 안전하게 추진할 수 있어야 한다는 결론을 보여준다”고 말했다.

또 “정보보안 업계와 사이버 공격 주체들은 마치 고양이와 쥐의 관계처럼 끝없는 침입, 대응, 우회의 사이클을 돌면서 활동을 확대하고 있는데 이 쫓고 쫓기는 게임을 끝내야 한다”며 “보안 시장 예측 작업을 통해 한 걸음 물러나 수백만 그루의 나무로 이루어진 전체 숲을 보아야 한다. 정보보안 전문가와 기업 운영자들은 예측을 통해 나타나는 리스크를 기반으로 변화에 적응해 선은 도모하고 악은 저지할 수 있어야 할 것”이라고 덧붙였다.

2019 포스포인트 정보보안 예측 보고서는 클라우드 사업자를 신뢰하는 기업의 측면, 생체인식을 통한 개인 데이터 보안 방식을 신뢰하는 일반 사용자의 측면, 그리고 공급망 전체에 걸친 신뢰 흐름의 잠재적 영향 등을 다루고 있다.

조현제 포스포인트 지사장이 2019년 정보보안 위협 보고서에 대한 요약 및 자사 소개를 하고 있다.(사진=포스포인트)
조현제 포스포인트 지사장이 2019년 정보보안 위협 보고서에 대한 요약 및 자사 소개를 하고 있다.(사진=포스포인트)

이번 포스포인트 정보보안 예측 보고서에서 말한 2019년 7대 리스크 영역을 살펴보면 다음과 같다.

AI의 겨울

AI가 인지력을 재현하는 것이라면 정보보안 AI라는 것이 정말 존재할 수 있는가? AI 관련 펀딩이 축소되는 상황을 해커들은 어떤 방식으로 활용할 것인가? 자동차 자율주행, 의료 진단 관련 통찰력 확보, 그리고 잠재적 데이터 유출 징후를 보안전문가에게 제공하는 과정에서 각종 알고리즘과 분석엔진을 사용할 경우 어느 정도까지 그것들을 믿을 수 있을 것인가? AI 효과를 내세우는 벤더가 과연 실제 복잡하고, 정교한 사이버 공격을 막기 위한 실제 사례를 제시할 수 있을 것인가? AI 정보보안과 관련한 여러 각도에서의 의문과 우려점들이 여전히 존재하고 있다.

포스포인트 리서치 및 인텔리전스 부문 라파엘 마티(Raffael Marty) 부사장은 “정보 보안 분야에서 실제로 적용되는 인공지능은 없으며 2019년에 개발될 가능성도 없다”고 강조했다.

산업용 사물인터넷(IIoT)의 대규모 위기

언제나 연결돼야 하는 연결성이 필요한 네트워크로 연결된 산업용 제어 장치는 공격받을 수 있는 노출 부분이 확장됨을 의미한다. IoT 장치보다 더 확실하게 공격받을 수 있는 장치는 없다. 소비자용사물인터넷(IoT)에 대한 공격이 널리 퍼져 있지만 제조업 및 유사 산업의 혼란 가능성은 위협을 더욱 심각하게 만들고 있다.

2019년에는 공격자들이 기본적인 클라우드 인프라를 공격해 산업용 사물인터넷(IIoT) 장치에 침입할 것으로 보인다. 이는 멀티-테넌트 다중 고객 환경의 기본 시스템에 접속하게 될 경우 훨씬 더 많은 보상을 받을 수 있기 때문에 공격자가 상당히 선호하고 있다.

이런 상황에는 3가지 문제점이 있는데 엣지 컴퓨팅에 대한 네트워크 연결성 증가, 더 많은 계산이 원격 장치 및 사물인터넷(IoT) 장치로 이동함에 따라 이러한 장치들의 보안을 유지하는 어려움, 업데이트 및 유지 관리를 위해 클라우드에 연결하는 장치의 급격한 증가 등이다.

생체인식 불법 복제

피싱 공격이 계속되면서 해커는 ‘SIM 스왑’과 같은 트릭을 쓰면서 텍스트 메시지 등 2요인 인증(2FA) 방식의 효과를 무력화하고 있다. 생체인식 방식은 각 사용자의 고유한 데이터를 이용함으로써 추가적인 보안을 제시하지만 안면 인식 소프트웨어에서 새로 발견된 취약성으로 인해 전문가들은 행동 생체인식 방식을 더 신뢰하게 됐다.

해커는 최종 사용자의 안면 인식 소프트웨어를 이용해 게임을 하고 조직은 행동 기반 시스템으로 대응할 것이다.

법정 대결

직장에서 데이터 유출이 발생했을 때 특히 개인 식별 정보(PII)가 노출될 경우 데이터 보호 규정은 규정 위반을 주장할 수 있는 직원의 능력을 강화시켰다. 하지만 의도적으로 데이터를 훔쳤거나 데이터 침해를 초래했다는 이유로 고용주가 직원을 고소할 경우 어떻게 될까?

이는 흔히 있는 과실과 혼동해서는 안 되는 일이다. 영국 직원의 24%가 기업의 기밀 정보를 공유하는 것을 인정하는 세계에서는 중요한 데이터의 보호를 해결할 필요가 있다.

심지어 선출직 의원들조차 직원들과 작업컴퓨터의 암호를 공유하는 일을 공개적으로 논의했다. 많은 사건이 실수로 분류 될지라도 악의적인 의도 때문에 발생하는 사건은 더 많은 데이터 유출을 야기시키는 경향이 있다. 절도, 맬웨어 사용 또는 무단 접속 등이 의도하지 않거나 부주의한 사건보다 데이터 유출로 분류될 수 있는 가능성이 여전히 3배 더 많다.

이에 2019년에는 데이터가 유출된 후 직원은 무죄라고 주장하고 고용주는 의도적인 행동이라고 주장하는 법정 소송 사건이 다수 일어 날 것으로 예상된다.

사이버 냉전으로 이어질 충돌

스파이활동은 항상 국가차원에서 새로운 기술을 확보하기 위한 방식이었다. 그러나 무역 보호주의의 증가로 인해 정당한 접근로를 확보할 기회가 줄어들면서 제재 조치의 대상이 되는 측에서는 부도덕한 수단을 통해서라도 기술을 확보해야 할 실질적인 이유가 생겨날 것이다.

국가 차원에서 후원하는 해커의 손으로부터 기업의 지적 자산을 어떻게 지켜 나갈 것인가가 중요하게 대두될 것이다.

특히 고립주의 무역 정책은 정부, 핵심 인프라, 필수 산업 등을 공격하기 위해 국가들과 기업체가 통상 기밀을 훔치고 사이버 전술을 사용하는 결과를 초래할 것이다.

엣지컴퓨팅 강화

개인 데이터 관련 사고와 오남용에 지친 고객들은 자신들이 제공받는 서비스에 새로운 개인정보보호 조치를 도입할 것을 요구해 왔다. 엣지 컴퓨팅의 확산으로 고객은 자신의 데이터를 스마트폰이나 랩탑에 둠으로써 자신의 데이터 제어 권한을 강화할 수 있게 됐다. 이러한 문제 해결의 관건은 데이터가 클라우드로 유출되지 않는다는 고객의 신뢰를 회복하는데 있다.

2019년에는 개인정보유출에 대한 소비자의 우려로 회사는 개인 정보 보호를 강화하기 위해 엣지 컴퓨팅을 더 많이 채택하게 될 것이다. 디자이너들은 낮은 사용자 신뢰로 인해 개발 시 상당한 제약을 받게 될 것이다.

적응하지 못하는 사이버 보안 문화는 실패할 것

미래의 보안 신뢰 등급(security trust rating)은 일부 조직에 한해서는 이익이 될 것이며 다른 조직에 대해서는 손해를 유발할 것이다.

조직이 서비스를 구매하거나 파트너십 계약을 체결할 경우 재무 보안과 법률 및 산업 기준 준수에 중점을 두고 상당한 실사를 수행한다. 오늘날의 클라우드 기반 모바일 중심 세계에서는 사용자와 데이터가 네트워크에서 자유롭게 돌아다니는 것을 볼 수 있다. 따라서 중요한 데이터와 지적 재산이 그 어느 때보다 많이 공개된다. 미래에는 모든 조직이 파트너의 보안을 얼마나 신뢰할 수 있는지를 실사로 결정하는 수준까지 확장된다.

2019년에는 조직들이 파트너와 공급망이 신뢰할 수 있는 파트너들이라는 보증을 찾을 때 산업계 전반에 보안 신뢰 등급이 부상할 것이다. 다양한 금융 기관, 투자 옵션 또는 심지어 레스토랑까지 신뢰도에 대한 순위와 등급이 있는 것처럼 미래에는 데이터를 처리, 저장 또는 상호 작용하는 기업에 유사한 보안 신뢰 등급을 부여하게 된다.

이 등급은 개인 식별 정보(PII) 또는 기타 중요한 데이터를 처리하는 일이 얼마나 안전한지 보여준다.

한편 포스포인트 고객을 대상으로 한 설문에서 응답자의 94%는 클라우드 도입시 가장 중요한 문제로 보안을 꼽았다. 58%는 보안 부문에서 신뢰할 만한 업체를 적극적으로 찾고 있으며 31%는 보안을 이유로 클라우드에 두는 데이터양을 제한하고 있다고 응답했다.

포스포인트는 인간 중심 정보보안 제공을 모토로 삼고 사용자 및 기기에서 유발되는 다양한 보안 위협에 능동적으로 적응해나가는 지능형 보안 기술을 통해 디지털 엔터프라이즈 환경을 혁신시키는데 집중하고 있는 기업이다.

포스포인트는 모회사 레이선(Raytheon)의 방산 기술을 기반으로 해 2016년 웹센스를 인수하며 새롭게 설립된 보안 회사다.

포스포인트는 국가 방위 산업에 대한 보안 기술을 갖추고 있어 어느 정보보안 기업보다 기술력에 앞선다고 자부하고 있다.

특히 의도적 22%, 우발적 68%, 해킹된 사용자 10% 비율로 내부자 보안 위협으로 구분 할 수 있는데 대부분의 보안 기업들은 해킹된 사용자에 초점을 맞추고 있는 반면 포스포인트는 우발적인 내부자 위협 부분에 더 큰 비중을 두고 있다고 회사는 강조했다.

이에 따라 포스포인트는 인간 중심 즉 ‘안에서 밖으로 향하는’ 접근 방식으로 보안 서비스를 하고 있다.


댓글삭제
삭제한 댓글은 다시 복구할 수 없습니다.
그래도 삭제하시겠습니까?
댓글 0
댓글쓰기
계정을 선택하시면 로그인·계정인증을 통해
댓글을 남기실 수 있습니다.