코로나19로 인해 사회 각 분야에서 비대면 환경이 보편화되면서 사이버 안전과 사생활 침해 위험성이 높아지고 있어 아무도 믿지 않는 ‘제로 트러스트(Zero Trust)’ 보안 전략으로의 전환이 필요하다는 제안이 나왔다.
조상현 네이버 최고정보보호책임자(CISO)가 10일 ‘코로나 이슈와 사이버 안전’을 주제로 열린 제29회 국민생활과학기술포럼에서 “재택, 원격 근무 환경에서는 회사와 같은 보안 정책의 연속성을 유지하기 어렵다”며 “시스템 외부와 내부를 따로 나누지 말고 모든 사용자와 기기를 신뢰하지 않는 ‘제로 트러스트’ 보안 전략으로 전환할 필요가 있다”라고 밝혔다.

‘제로 트러스트’ 보안 전략으로의 전환 필요

조 CISO는 “과거의 보안 모델이 성벽을 잘 쌓으면 성안의 사람들을 보호할 수 있기 때문에 성벽을 견고하게 쌓는 것에 주력했다. 그러나 코로나19 재난 이후에는 이런 보안에 대한 접근 방식이 달라져야 한다”며 “기존에 경계를 보호하려는 것이 아니라 개별 디바이스와 개별 사람으로부터 데이터를 보호하려는 접근을 해야한다”라고 강조했다.
이를 위해서는 누구든 시스템에 접근하려면 권한을 부여하기 전에 한 번 더 인증하고, 특히 접근하려는 데이터에 따라 보안 강도를 차별화해야 한다는 주장이다. 즉 데이터 중심의 접근 제어가 필요하다는 것이다.
게다가 판데믹이라는 위기 상황으로 불안한 사람들의 심리를 악용한 사회공학적 해킹 기법이 빠르게 진화하고 있으며 코로나19를 이용한 악성코드 유포, 피싱사이트 접속 등 사이버 공격도 급증하고 있다.
최근 디멘셔널 리서치 조사에 따르면 71%의 기업들이 코로나19 사태 이후 보안 위협과 공격이 증가했다고 답했으며 55%의 보안 전문가들은 피싱 공격을 주요 위협으로 선정했다.
따라서 개인들의 크리덴셜(Credential) 정보 관리가 무엇보다 중요하다. 이를 위해 조 CISO는 △가정 내 정보 보안에 신경 쓰기 △비밀번호를 안전하게 관리하기 △의심스러운 이메일, SMS, 메신저 주의하기 △항상 최신 SW(백신 포함)와 앱으로 업데이트 △안 쓰는 프로그램과 앱 삭제하기 △소셜 미디어 프로파일 관리(프라이버시/보안 설정) △공공 PC/공공 와이파이 조심하기 등을 제안했다.
또 조 CISO는 “아이디와 비밀번호를 여러 웹사이트나 앱에 대입해 로그인이 될 경우 개인정보나 자료를 유출하는 크리덴셜 스터핑(credential stuffing)도 급증하고 있다”며 이를 막기 위해서는 “로그인을 할 경우 휴대폰으로 알림이 오도록 하는 2차 인증을 활성화하고, 해외 로그인을 차단해 놓으면 해외로부터 공격은 어느 정도 막을 수 있다. 또 비밀번호를 최대한 길게 만드는 것이 도용을 막는 데 더 효과적”이라고 조언했다.

데이터 보호 위한 보안 기술적 대안 시급

게다가 포스트 코로나 시대에 더욱 증가하게 될 재택, 원격 근무에 대비해 데이터 보호를 위한 보안 기술적인 대응 방안 마련이 시급하다는 목소리도 나왔다.
홍석희 고려대 교수는 “집에서 업무망의 기밀자료에 접근을 하게 되면서 데이터 유출이나 해킹의 위협이 커지기 때문에 IP 중심의 접근 통제가 아니라 데이터와 서비스 중심의 통제로 망분리를 할 필요가 있고, 대부분의 데이터를 클라우드에 보관하고 있으므로 좀 더 고도화된 클라우드 보안도 있어야 한다”라고 주장했다.
이뿐만 아니라 집에서 기밀문서를 열어보았을 경우 그것을 카메라로 찍어서 유출할 수도 있기 때문에 모니터 화면을 통한 정보 유출을 막는 화면 보안 시스템과 디지털 콘텐츠 유출을 차단하는 데이터 보안 시스템도 있어야 한다는 것이 홍 교수의 지적이다.
이 밖에도 홍 교수는 차등 개인정보 보호(Differential Privacy), 기밀 컴퓨팅(Confidential Computing), 동형암호(Homomorphic Encryption) 등 앞으로 필요한 보안 기술을 소개했다.
홍 교수에 따르면 차등 개인정보 보호 기술은 데이터로 얻은 결과가 특정 개인 정보를 포함하는지 포함하지 않는지를 구별할 수 없도록 만드는 기술로, 개인정보를 침해하지 않으면서 이용자 행동 패턴을 파악할 수 있다.
기밀 컴퓨팅 기술은 클라우드에서 데이터의 보관이나 이동에서뿐 아니라 사용 중에서도 데이터를 암호화하여 데이터 유출을 막는 기술로, 사용자에게 데이터 제어와 투명성을 제공하게 된다.
또 암호화된 상태에서 데이터 사용이 가능한 동형암호 기술에 대해서는 조지훈 삼성SDS 센터장이 안전하고 효과적으로 코로나19 확진자의 동선을 확인하는 방안으로 소개했다.
조 센터장은 “동형암호 앱을 스마트폰에 다운을 받은 사용자가 코로나19 확진자와 동선이 겹치는지를 알고 싶다면 스마트폰에 저장된 자신의 위치정보를 앱으로 암호화하여 정부 당국에 보내고, 정부에서는 암호화된 위치정보와 코로나 확진자의 위치정보를 비교하여 그 결과를 암호화된 상태로 넘겨주게 된다”며 “암호를 푸는 열쇠가 사용자에게만 있기 때문에 개인정보 보호가 확실히 가능하다”라고 설명했다.
이처럼 동형암호 기술로 개인정보와 확진자 정보를 모두 보호하면서 동선 체크를 할 수 있다며 조 센터장은 “암호기술을 잘 활용하면 논란이 되고 있는 공공 목적의 프라이버시 침해 문제는 물론 데이터 3법에 막혔던 데이터 활용의 길도 열 수 있을 것”이라고 덧붙였다.
(17)