연일 언론이 웹 해킹의 구체적 피해사례를 들고 나와 심각한 수준임을 경고하고 있는 상황에서 관계당국의 적극적인 대처가 있어야 한다. 월드컵 1주년의 함성을 떠올리는 요즘 웹 해킹 사고가 거의 사이버테러 수준에 이르고 있는데도 관계당국 가운데 누구 하나 나서지 않는 현실은 국가안보를 생각할 때 심히 걱정스럽지 않을 수 없다.

　웹 해킹으로 결혼정보업체 데이터베이스가 유출되고 국내 최대 포털사이트의 고객정보가 공개적으로 해킹을 당했는데도 누구의 책임인지, 앞으로의 대책은 무엇인지 도무지 알 수가 없다.

개별 업체가 알아서 하라는 말인가.

　정부 감독 산하기관의 취약점이 드러나고 정부기관이 해킹을 당해도 어떻게 조처했다는 아무런 말이 없고 그저 덮어두고 넘어가려는 듯한 느낌이다. 인터넷대란에 대한 정확한 진상규명이 없었듯이 정부는 최근의 잇단 웹 해킹 사건도 침묵 속에서 유야무야 넘어가려 하는 것이 아닌가 생각이 든다.

　원인규명은 둘째치고 차후에 발생 가능한 유사사건에 대처할 수 있는 안이 나오지 않는다면 인터넷대란은 재발할 것이다. 사이버테러 수준에 이르고 있다고 말할 수 있을 정도로 보안사고가 연이어 터지는 상황에서 시급한 대처가 이루어지지 않는다면 차후 유사한 보안사고가 빈번하게 일어날 것임은 자명하다는 것을 강조하고 싶다.

　최근의 연이은 해킹사건의 공통점은 해커들이 과거와 같은 공격기법보다는 공격이 쉽고 편리하며 각종 보안솔루션을 우회할 수 있는 웹 애플리케이션 해킹 기법을 이용하고 있다는 점이다. 과거의 공격기법들은 직접 시스템을 공격하는 방식으로 일정한 공격패턴이 있어 공격에 대해 방화벽을 이용해 차단하거나 침입탐지시스템을 이용해 손쉽게 탐지가 가능했으나 웹 애플리케이션 해킹 기법은 워낙 다양한데다 정상적인 접속과 구분하기 어려워 보안장비들을 이용해서 방어나 탐지가 거의 불가능한 상황이다. 게다가 웹 애플리케이션 해킹 기법을 이용한 경우 로그를 분석해도 사실상 공격자를 발견해내기가 거의 불가능하다는 데 문제점이 있다.

　이러한 웹 애플리케이션 해킹을 효과적으로 차단하기 위해서는 첫째, 근본적으로 개발단계에서부터 보안을 고려하여 보안전문가들과 공동으로 프로그램을 설계 및 구현해야 하며 보안 요구사항을 적절히 만족하고 있는지 점검하고 이러한 요구사항에 대해 법제화가 돼야 한다. 둘째, 현실적으로 이러한 작업이 어렵다면 웹 애플리케이션 보안도구의 사용을 의무화, 웹 해킹에 대처하는 것이다. 셋째, 대중적인 보안인력 양성과 더불어 보안만을 담당할 수 있는 보안전문가를 고용하는 것을 의무화해야 한다.

　국내 전자정부시스템의 안전성과 신뢰성을 높이기 위해 정부는 100억원을 투자해 정보보호시스템과 컨설팅을 지원한다고 한다. 다행스러운 일이기는 하나 무분별한 투자가 되지 않기 위해서는 웹 애플리케이션에 대한 보안분야의 투자가 선행돼야 할 것이다. 이는 최근의 해킹이 웹 해킹기법을 주로 동원하고 이에 대한 적절한 대응책이 현재로서는 없기 때문이다. 장기적인 관점에서는 웹 애플리케이션 보안도구를 개발하는데 정부의 투자가 절실하다.

　사이버테러가 발생할 때마다 적극적이고 효과적인 대응이 이뤄지지 않는 것은 범국가적 대응체계의 부재가 원인이다. 국가안보를 책임지는 기관이 중심이 돼 어떠한 사건이 발생하더라도 신속하고 효율적으로 대처할 수 있는 범국가적인 대응체계 구축이 시급하다. 사이버테러는 물리적인 테러와는 달리 순식간에 국가의 재난으로까지 비화될 수 있다는 점을 우리 모두 명심해야 한다. 물리적인 피해가 현재까지는 없었다고 사이버테러에 대처하는 자세가 허술하다면 인터넷대란에서 보는 것처럼 상상을 초월하는 피해를 맞이할 것이다.

시스템관리자가 부단히 노력한다해도 비즈니스를 하다보면 ‘최악의 경우’가 종종 발생하는 법이다. IT 관리자들이 겪는 끔찍한 사고중 가장 피해가 큰 경우를 살펴보자.

• 신분 도용 : H&R 블록은 내부공격에 당했다. 한 전직 직원이 친구 3명과 함께 이 회사 고객정보를 빼내 신용카드를 만든 후 수천달러에 달하는 금액을 결제했다.
  
• 예상치 못한 손실 : MS 패스포트 서비스의 보안 취약점으로 2억명의 사용자 계정이 해커에 노출됐다. 당국은 MS에 엄청난 규모의 벌금을 물릴 예정이다.
  
• 지적재산 손실 : 한 직업성 질환 전문의는 암호로 보호되고 있는 자신의 사이트가 침입당했다며 소송을 제기했다.
  
• 재정정보 손실 : 로이터 통신사는 한 상장사가 공식적으로 재무발표를 하기 전에 미리 정보를 입수하기 위해 그 회사 사이트를 해킹했다는 혐의를 받고있다.
  
• 테러 : 캘리포니아 주검사관 컴퓨터를 포함한 대부분의 캘리포니아 주정부 컴퓨터가 한 해커에 의해 해킹당했다.
  
  이러한 피해들을 모아놓고 보면 실로 거대한 위협이라고 할 수 있으며 여기서 발생하는 비용 낭비도 상당하다. IT 및 보안 담당자들은 대부분의 사람들이 편리함을 추구하면서 상대적으로 보안을 소흘히 한다는 점을 지적한다. 또 기업은 업무처리와 생산성에만 초점을 맞출 뿐 인프라 침입은 방관하는 경우가 비일비재하다.
  
  2002년 CSI/FBI 조사한 결과 응답기업의 90%가 지난 12개월동안 보안 문제가 발생한 적이 있다고 답했다. 이 기간 조사대상 223개 기업의 피해액수를 합치면 4억 5000만달러에 이른다. 대부분 기업들이 해킹 사실을 숨긴다는 것을 고려해 볼 때 실제 피해액은 더욱 클 것으로 추정된다.
  
  기업이 투명성과 보안을 동시에 강화할 수는 없는 것일까. 이를 달성하기 위해서는 암호, 보안정책, 업무 과정, 이용자의 무지 등 많은 과제를 풀어야 한다. 기업 보안전략은 비용 효율적이어야 하며 사용자에게 너무 까다롭지 않으면서 해커로부터는 안전해야 한다.
  
  지금까지의 기업 보안전략 대부분은 IT 예산을 늘리고 관리자와 사용자를 혼란스럽게 할 뿐 핵심을 짚어내지 못했다. 지금 우리에게 필요한 것은 보호해야할 것을 보호하면서 사용자에게는 부담을 주지않는, 거의 존재를 느낄 수 없는 보안과 솔루션이라고 할 수 있다.
  
  안전지대를 만들어라
  보다 진보된 보안전략은 기업의 구석구석 모든 것을 보호하는 것 보다 가장 중요한 정보와 커뮤니케이션을 보호하는데 집중한다. 보안 암호, 인사 데이터, 지적재산, 영업관련 데이터 등 중요한 정보를 두는 별도의 안전지대(safe haven)를 만들면 기존 네트워크 인프라에 별도의 부하 없이 보안을 강화할 수 있으며 해킹과 사용자 실수로부터 데이터를 보호할 수 있다.
  
  
• 안전지대는 특수하게 설계된 견고한 서버에 설치돼 있다. 이 서버에는 데이터를 액세스 하기위해 들고 날 수 있는 경로가 한 개 뿐이다. 이 경로는 보안기술이 적용된 여러 층의 보호장치로 겹겹이 둘러쌓여 있다. 암호화 기술, 방화벽, 인증 장치 등의 보안기술이 고도로 통합돼 안전지대의 데이터를 보호한다.
  
  
• 스토리지 엔진에서 서버 인터페이스를 분리함으로써 접속이 폭주해도 병목현상 등 복잡한 문제가 발생하지 않는다. 소프트웨어 내부의 다계층 보안장치는 저장된 데이터는 물론 전송중인 데이터도 보호한다.
  
  
• 안전지대는 HTTP, FTP, CIFS 등의 표준 프로토콜을 지원하기 때문에 기업 인프라를 보호하면서 비즈니스간 정보 공유도 장애없이 이뤄지도록 한다.
  
  안전지대 구축으로 얻어지는 혜택은 생각 이상이다. 사용자들은 이미 익숙한 여러가지 애플리케이션(워드, 파워포인트, 이메일, 인터넷 뱅킹 등)을 아무 문제없이 사용할 수 있다. 보안정책은 간단하기 때문에 별도의 교육이 필요없으며 까다로운 규정도 없다. 또 보안 경험이 많지않은 관리자들도 손쉽게 솔루션을 설치할 수 있을뿐 아니라 전문기술 없이도 차후 점검 및 관리가 가능하다.
  
  정보보안에 손쉬운 해결법이란 없다. 하지만 회사에서 가장 중요한 데이터를 보호할 수 있는 IT 전략을 수립해두면 이후 바이러스와 해커의 위협으로부터 데이터 손실과 도난 위험성을 최대한 낮출 수 있다. 위에 설명한 ‘안전지대’ 개념은 단순한 보안 강화 뿐 아니라 사용용이성, 성능, 관리성도 향상시킨다. 
  
  과거 이스라엘군 시스템·보안부 책임자를 지내며 복잡한 프로젝트를 이끈 바 있는 알론 코헨은 현재 사이버-아크 CEO이며 이 회사 특허 ‘볼팅(Vaulting)’ 기술을 개발해낸 장본인이다.