H
A
C
K
E
R
S
N
E
W
S
H
A
C
K
E
R
S
N
E
W
S
H
A
C
K
E
R
S
N
E
W
S
H
A
C
K
E
R
S
N
E
W
S
H
A
C
K
E
R
S
N
E
W
S
H
A
C
K
E
R
S
N
E
W
S
H
A
C
K
E
R
S
N
E
W
S
SAP 보안 책임자가 말하는「직장내 보안 불감증」
|
기술결함과 관련된 보안상 우려는 유럽지역은 물론
미주지역의 고위 정부 당국자들까지 긴장시키고 있다. 그런데 시스템을 무력화하는 소프트웨어 바이러스 공격에 따르는 잠재적인 위험을 인지하고 있음에도 사기업들은 아직도 보안을 최우선 해결 과제로 놓는 것에 난색을 표명하고 있다. 이는 보안사고가 발생하는 것에 대해 그 책임 소재가 각 기업의 IT 보안 관리자에게만 해당된다는 인식 때문이다. 이는 잘못된 생각이다. 이러한 선입견을 바로잡지 못하는 기업은 의도와는 상관없이 사내 직원들이 보안을 일상 업무가 아닌 특별한 것이라고 보는 시각을 낳게 된다. 바로 이러한 행위들이 IT 생태계를 침범하는 대규모의 파괴적 바이러스(대부분은 우연적이지만 종종 고의적이기도 한)를 허용하게 하는 주범인 셈이다. 기업문화의 변화라는 중차대한 임무는 일반직원들에게 보안의 중요성을 알리는 데서 시작한다. 집단적 책임감으로 만드는 것은 언뜻 생각한 것처럼 어렵기만 한 것은 아니다. 대부분의 경우 일반 직원들은 상식을 바탕으로 비교적 단순한 행동을 취하기만 해도 기업의 중요한 정보를 지키는데 일조할 수 있다. 조심스런 태도는 놀랄만한 영향력을 갖고 있다. IT가 모든 사회의 운영기능에 있어서 더욱 많은 역할을 해내고 있기 때문에 보안에 대한 직원의 태도를 바꾸는 일은 그만큼 더욱 필수적인 요소가 되고 있다. 보안을 각 직원의 최우선 과제로 삼는 일은 각 개인의 힘이 전체 회사의 IT 보안에 끼치는 공헌을 강조하는 기업문화에서 출발한다. 보안의 개선은 전체그림의 일부가 돼야 하며 모두 각자 맡은 영역에 대해 개인적인 책임감을 가져야 한다. 좀더 보안에 치중하는 문화를 낳기 위해 기업이 취할 수 있는 특정 단계들이 존재한다. 우선 경영진은 보안교육에 투자하고 최선의 관행을 교육해야 한다. 각자의 암호를 재설정하는 일 처럼 이런 간단한 일들이 IT 인력의 부담을 들어준다. 기업들은 또한 완벽한 보안정책을 명확히 설정할 필요가 있다. 그러나 일상업무를 위한 ‘최우선 행동지침’처럼 간단해야 한다. 5개에서 10개 정도 되는 간단한 규칙들은 보안관련 경각심을 일상업무로 확산시키는 데 구심점이 될 수 있다. 또한 기업자산에 대해 각 직원이 책임감을 갖는 문화의 형성이라는 부수효과도 있으며 보안관련 경각심의 유지가 일상업무의 일환이라는 좀더 큰 메시지를 전하게 된다. 위험성을 강조하라 IT 보안의 수요는 생산성 향상과 사업운용의 개선을 위한 전략적 우선순위로 봐야 할 필요가 있다. 인증 없는 네트워크 접근에 대비한 보안조치들은 분명히 필요하지만 이는 일부분에 불과하다. 각 사용자는 출처가 불분명한 이메일 추가파일을 개방하는 것과 사람의 이름을 네트워크 암호로 사용하는 것 또한 보안에 대한 위협이라는 사실을 알아야만 한다.
매일 취해져야 하는 실질적인 조치들에는 다음과 같은 것들이 포함된다. 암호 적어놓는 행위 금지. 출처 불분명한 이메일을 열 때 주의하기. CD나 비밀문서 단속하기. 그리고 가장 중요한 것은 IT 문제를 전문가에게 맡기고 자력으로 풀려고 해선 안 된다는 점이다. 보안예산이 커지고 위협도 따라서 커짐에 따라 기업들은 직원교육과 IT 보안에 대해 각 개인이 힘써야 한다는 문화의 정착에 나서야 한다. IT 보안은 사업의 전략적 측면으로 비춰져야 한다. 즉 이는 고객, 공급업체, 직원들에 영향을 주며 기업의 핵심에 충격을 줄 수 있다는 것이다. 보안사고로 인해 사업의 폐쇄나 마비가 온다면 그 비용은 천문학적으로 늘어날 수 있다. 직원교육과 직원이 보안에 대한 조치를 하도록 격려하는 일은 이보다 훨씬 비용이 저렴한 대안이다. 필자 소개 사카 파울러스는 SAP의 제품보안 이사이다. 그가 이끄는 팀은 보안기술, 보안개발절차를 비롯해 모든 SAP 애플리케이션을 위한 보안대응 등을 조율한다.
|
||||||
2003.11.26
해킹, 안전지대는 없다
|
1997년 당시 중학생 김모군(15)은 D사의 PC통신망에 침입해
전자우편, 게시판 등에 있던 자료 4만여건을 무단으로
지웠다. “고등학교 입학 기념으로 추억을 만들기
위해서”였다.
같은 해 대학생인 김모군(19)는 PC통신 나우콤에 침입해 이용자들의 ID와 비밀번호를 훔치는 과정에서 전산망을 고장 내 6시간 동안 통신망을 마비시켰다. 광고업체 직원이었던 송모씨(27)는 경쟁사 홈페이지 첫 화면에 누드사진을 올려놓았다가 업무방해혐의로 구속되기도 했다. 요즘의 해킹 수법에 비하면 그래도 여기까지는 애교였다. ▽해커들의 극성=10월 서울 청량리경찰서는 해킹으로 습득한 남의 ID를 이용해 그 사람이 갖고 있던 게임아이템을 훔쳐 이를 팔려고 한 이모군(19)을 검거했다. 이군은 먼저 자신이 제작한 바이러스를 상대방인 윤모군(18)에게 e메일로 보냈다. 윤군이 e메일을 열어보자 바이러스가 작동하기 시작했으며, 그때부터 윤군의 PC에 저장돼 있던 ID와 비밀번호 등 각종 정보들이 이군의 PC로 옮겨갔다. 작년 말에는 ‘에코키스’라는 해킹 도구를 이용해 남의 은행 계좌번호를 알아낸 뒤 그 사람 계좌의 돈을 자신의 계좌로 옮기는 사건도 일어났다. ‘에코키스’가 설치된 PC는 사용자가 누르는 키보드의 모든 입력 내용을 정해진 사람에게 전송하는 역할을 한다. 이 밖에 ‘스팸릴레이’ 기법으로 남의 PC를 경유해 스팸메일을 보내면서 자신의 신분을 숨기거나, 이동통신사의 웹 서버에 저장된 신상 정보를 빼내고 위치정보 등을 해킹해 가입자의 위치를 알아내는 등 개인의 PC를 매개로 해 범인의 신분을 바꾸거나 개인정보가 유용당하는 사례가 갈수록 늘고 있다. ▽해킹도 진화=90년대 중반까지만 해도 업체 및 기관에서 사용하는 컴퓨터는 ‘메인프레임’ 구조였다. 대용량 중앙처리장치(CPU)와 저장장치 등을 갖춘 대형 컴퓨터를 가운데에 두고 각자 업무 부서에서는 필요할 때마다 단말기로 중앙컴퓨터와 연결해 자료를 검색하거나 계산을 하는 방식이었다. 당연히 해커들의 공격 목표는 네트워크에 연결된 몇 안 되는 대형 컴퓨터였다. 94년 한 스위스 해커가 국내의 망을 거쳐 유럽암센터에 침입해 임상 자료를 복사해간 사건, 95년 한 영국인 소년이 한국원자력연구소에 침입해 자료를 미국 공군 전산망에 복사하려다 적발된 사건 등이 모두 이와 같은 구조 속에서 일어났다. PC를 해킹하려면 당시만 해도 몰래 사무실에 들어가 디스켓에 자료를 복사하는 수준이었다. 그러나 초고속 인터넷이 대중화하면서 해킹의 개념도 바뀌었다. 개인이나 민간기업 소유의 서버뿐 아니라 개인용 PC도 해킹의 대상이 된 것. 수법 역시 중대형 컴퓨터 해킹 시절 단순 자료 열람이나 유출에 그치던 것이 이제는 ID나 비밀번호 등 개인정보 유출 및 사내 기밀 반출, 데이터 변조 등으로 다양화하고 있다. 집이나 회사 등 장소를 막론하고 인터넷에 연결된 자신의 PC에서 언제 누가 나를 사칭하며 자료를 빼갈지 모르는 세상이 되고 있는 것이다. 거의 모든 상업용 서버와 PC가 대용량화하고 인터넷에 연결되면서 해커들의 ‘놀이터’도 넓어진 것. ▽적(敵)은 내부에 있다=각 기관과 서비스 업체들은 해커로부터 고객과 직원의 신상정보와 회사 기밀을 보호하기 위해 네트워크 보안에 투자를 하고 있다. 보안전문업체 안철수연구소의 안철수 사장은 “그러나 대개의 경우 적은 내부에 있다”고 강조한다. 친구나 커뮤니티 멤버 등 조금이라도 관계가 형성돼 있는 사람 중에 해커가 있을 가능성이 높다는 것. 미국 시장조사기관인 IDC에 따르면 정보보호 침해 사고 중 외부인의 소행은 10% 미만인 것으로 나타났다. 즉, 외부 네트워크와 내부 네트워크 사이에 담을 쌓는 네트워크 보안만으로는 요즘 유행하는 해킹 사건의 10%만 막을 수 있다는 것이다. 안 사장은 “과거 해커와의 싸움이 해커와 크래커간의 ‘프로 대 프로’의 싸움이었다면 이제 해킹과의 전쟁은 불특정 다수로부터 자신을 보호하는 ‘민방위 훈련’과 같이 바뀌어야 한다”고 강조했다. 기업들이 거액을 들여 전산망에 보안장치를 설치하는 것보다 가정과 직장에서 수시로 운영체제를 업데이트하고, 인터넷상에서 자신을 증명하는 전자서명인증서 등의 사용을 생활화하는 게 9배나 더 중요하다는 것이다. 보안솔루션업체 이캐빈의 정영태 사장은 “최근 기업들은 내부자에 의한 정보유출 및 해킹 등을 예방하고 사후에 증거자료로 사용하기 위해 e메일 모니터링 시스템의 도입을 늘리고 있으며, 임직원들도 업무상 사용한 자신의 e메일을 언제든지 회사가 열어볼 수 있다는 것에 동의하는 추세”라고 전했다.
|
2003.11.18