점차 복잡해지는 협업 관계, 취약해지는 정보 보안
넷플릭스는 TheWrap에 이 사태에 대해 성명을 보냈습니다. 넷플릭스는 "후반 제작 파트너 중 하나가 침해를 당했다”고 했는데요. 며칠 뒤 Los Angeles Times에서는 또 다른 피해자인 <크런치롤(CrunchRoll)>의 성명 역시 게재되었습니다. 이후 조사를 통해 자막, 번역, 언어 더빙 서비스를 담당하는 Iyuno Inc에서 유출되었음이 확인되었는데요. 이 사건은 OTT 산업을 구성하고 있는 회사 간의 복잡한 협업관계가 얼마나 보안에 취약한지를 잘 보여주는지, 이런 복잡한 디지털 공급망 사이에서 민감한 콘텐츠를 보호하기 위해 어떤 보안 조치의 어떻게 해야 할지를 잘 보여줍니다.
이런 사례에서 볼 수 있듯 각 회사가 점점 복잡한 IT 작업을 요구하고, 모든 관련 역량을 자체적으로 보유할 수 없다는 현실적인 한계가 점점 대두되고 있는데요. 지금까지 망 분리 하나를 믿고 내부 보안에 엄격한 관리를 하지 않았던 한국 금융권 역시 신경을 쓸 수밖에 없게 되었습니다. 실제로 금융위원회는 지난 8월 13일, <금융분야 망 분리 개선 로드맵>을 발표했죠. 이는 2013년 금융사의 대규모 전산망 마비를 계기로 망 분리 규제를 도입한 이후 10년 만에 나온 본격적인 개선책인데요. 이 로드맵에서는 금융회사 내부 전산망의 인터넷 연결을 막는 금융권 망분리 규제를 단계적으로 완화하는 내용을 담고 있습니다. 이르면 올해 말부터 국내 금융사도 Chat-GPT 등 생성형 인공지능(Gen AI)을 업무에 활용할 수 있고, 클라우드와 연결된 소프트웨어(SaaS)도 폭넓게 사용할 수 있게 됩니다.
망 분리 보안 정책 완화로 인해 예상되는 변화와 고민
하지만 카카오페이 사건때와 동일한 문제는 이어지고 있습니다. 그동안 망분리만 믿고 보안에 대해 깊은 고민을 하지 않았던 만큼 그 이상의 투자와 고민을 해야 하게 되었으며, 또한 법적으로도 금융회사의 투자와 책임을 촉진하는 정책이 개선, 시행되어야 망 분리 규제 완화가 실효를 거둘 수 있을 것입니다.
망분리는 해킹 등 외부 공격으로부터 금융사 내부 전산망을 보호하기 위해 내부망과 외부망을 분리하는 네트워크 보안 정책인데요. 이 규제로 인해, 금융사들은 내부 전산망과 단말기를 인터넷과 연결되는 외부망과 분리해왔습니다. 예를 들어, 은행 창구 직원의 컴퓨터는 외부 인터넷을 쓸 수 없는 것이죠.
그런데 이렇게 보안을 명분으로 도입된 망분리 규제는 책임을 회피할 수 있는 '만능 방패'로 변질, 회피 수단으로 악용하게 되면서 금융권은 어느새 갈라파고스가 되었죠. 물론 금융공동망 같이 전용으로 작동해야만 하는 금융권 특유의 제도도 있습니다만, 망분리에만 지나치게 의존하다보니 IT서비스와 금융 관련 보안에 대한 연구개발이 어렵고, 업무 비효율이 늘어났던겁니다.
금융당국은 샌드박스를 통해 당장의 규제 애로를 해소하고 별도의 보안대책을 부과하는 방식으로 망분리 완화에 나선다고 밝혔는데요. 먼저 금융사 내부 전산망의 인터넷 활용 제한을 일부 풀어 생성형 AI 활용을 허용하며, 이전까지 비 중요 업무에만 사용 가능했던 SaaS 이용 범위를 보안/고객관리까지 넓히고 모바일 단말기 사용도 허용됩니다.또 가명화된 개인신용정보는 생성형 AI나 SaaS를 활용해 처리할 수 있도록 했습니다. 하지만 금융사는 보안 우려에 대한 대책을 마련해야 하며, 오픈AI 등 해외 사업자가 금융사/당국의 검사/감사에 협조할 의무가 있음을 계약 시 반영해야 합니다.
망 분리 완화 실효성의 전제 조건, 보안 사고 책임에 대한 제도 개선
금융위는 연내에 혁신 금융서비스를 지정하고, 1단계 샌드박스의 성과와 안전성이 검증되면 내년에는 2단계 샌드박스를 추진해 가명 처리되지 않은 개인신용정보까지 처리할 수 있도록 할 예정입니다. 중장기적으로는 <디지털 금융보안법>을 제정, 금융사에 보안을 자율적으로 맡기되 결과에 대해서는 과징금 등 강화된 책임을 묻는 자율규제 체계를 구축한다는 방침이죠.
하지만 이 로드맵, 정책의 효과를 아직 판단하기에는 이르다고 생각됩니다. 구체성이 떨어지기 때문입니다. 이런 망 분리 완화 규제가 실효성을 가지려면, 금융사들이 사고의 책임을 떠넘기는 것이 아니라, 보안 사고에 대한 책임을 확실하고 막중하게 질 수 있도록 명시하는 제도 개선이 선행되어야 합니다.
실제로 많은 사고에서 최고보안책임자(CSO)를 자르는 것으로 슬쩍 넘어가는 경우가 많았는데요. 한 보안전문 임원은 "임원이 임시직원의 줄임말 이라고들 하지만, 특히 최고보안책임자의 수명은 가장 불안정하고 짧습니다. 보안침해 사고가 발생하면 그날로 끝이죠. 그게 몇 개월이 될지 몇 년이 될지 아무도 알 수 없습니다.
더 큰 문제는 그렇게 누군가 책임을 지더라도 기업의 보안 환경은 개선되지 않는다는 것입니다."라고 말하기도 했습니다.
랜섬웨어, 디도스 등 사이버 위협이 급증하고 있고 IT 환경의 변화로 점점 더 개방을 해야 하는 상황이 되고 있지만 상당수 기업은 보안 침해로 인한 책임을 회피하는 것에 급급한 수준입니다. 이 과정에서 보안 전문가인 CSO는 기업에 대한 부정적인 이미지와 사업주(오너)의 처벌을 방지하기 위한 방패막이 역할에 머무르는 경우가 상당수가 되었던 것이죠. 업계에 따르면 국내에서 보안 사고로 CSO가 해고되는 사례가 빈번해지고 있는데요.
보안 사고 해결책은 담당 임원 해고? 달라지고 있는 사고 대응 방안
과거 해외에서도 보안 사고의 책임을 물어 임원을 해고하는 사례는 있었습니다. 캐피탈원은 2019년 1억 명이 넘는 고객 개인 정보를 탈취당하는 사고로 인해 당시 최고정보보안책임자(CISIO)였던 마이클 존슨을 해고, 마이크 이슨 CIO로 교체했고, 타겟은 2013년 크리스마스 결제시스템을 통해 침투한 해커들로 인해 약 4천만 명의 고객 결제 정보를 탈취, 최고정보책임자(CIO)인 베스 제이콥을 해고했습니다.
하지만 2021년 이후에는 변했습니다. 보안 사고로 인해 임원의 책임을 물어 사직하는 비율이 줄어드는 추세인데요. <카스퍼스키>의 보고서에 따르면 2021년에는 보안 사고로 인해 IT 및 보안 임원을 해고하는 기업 비율은 약 4%로, 7%를 기록한 2018년 대비 40% 이상 줄었습니다. 기업들이 누군가에게 책임을 묻기보다 내부 전문성을 유지하고 강화하는 방식으로 보안 사고에 대응하는 방식에 변화가 생겼기 때문이죠.
국내에서도 보안을 위한 시스템 설계나 구축, 보안 사고 대응방식에 변화가 필요합니다. 단순히 정부나 기관의 규제, 인증을 받고 끝나는 것이 아니라 <제로-트러스트>를 기본 개념으로 깔고 전문화된 보안 조직의 수립이 필요한 거죠. 제로-트러스트는 시스템이 이미 침해된 것으로 간주하고 정보 시스템 등에 대한 모든 접속 요청을 신뢰하지 않고 계속 인증하는 보안 개념인데요. 금전적 이득이나 정치적 목적 등으로 기업이나 조직을 노리는 공격 사례가 급증하고 있고 AI을 이용한 자동화 도구와 기업 침투를 위한 자격증명 등을 판매하는 인포스틸러의 등장으로 침투는 더욱 쉬워지고 위험성은 높아지는 상황이 되었습니다.
제로-트러스트 기반의 실시간 탐지와 대응 전략
제로-트러스트는 침투 기술의 급격한 발전 뿐 아니라 사이버범죄 조직의 증가와 더불어 복잡해진 업무 프로세스로 인한 휴먼 에러 등으로 침투 자체를 외부에서 모두 막는 것이 불가능하다는 것을 인정하는 대신, 내부에서 추가적인 확산을 막고 시스템을 장악하거나 중요 데이터를 유출하기 전에 감지하고 대응하는 전략입니다. 백신, 방화벽 등을 비롯해 엔드포인트 감지 및 응답(EDR), 침해평가(CA) 등의 추가 보안 시스템을 도입하는 것이죠.
단순히 담당자나 팀에게 책임을 묻는 것이 아니라, 조직과 국가가 큰 틀을 잡고 침투하는 위협을 빠르게 감지하고 실시간으로 대응해 피해를 최소화하는 것에 대한 보상을 제공하는 것이 필요할 수 있습니다. 한 전문가는 "침해 자체에 대한 책임을 보안 담당자에게 묻는 것은 불가능한 일을 해내라는 말과 동일하다"며 "마이크로소프트나 구글 등 대규모 보안 조직을 갖춘 글로벌 빅테크도 보안 사고가 발생하고 있다. 이제는 보안 담당자에게 책임을 묻는 것이 아니라 심각한 보안 문제를 해결한 담당자나 조직이 보상을 받을 수 있는 구조를 만들어야 한다" 고 말하기도 했습니다.
또 다른 보안기업 임원은 "시스템이 복잡해진데다 규모가 커지고 끊임없이 업데이트 하는 과정에서 보안 취약점은 자연스럽게 발생할 수밖에 없다"며 "해외 기업들은 이를 적극적으로 알리고 연구하면서 침해사고에 대한 역량을 확보하고 취약점을 최소화하고 있는데 국내에서는 보안 취약점이 발생하면 기술력이 부족하거나 보안에 대한 충분한 대처를 못했다는 인식이 있다"고 언급했습니다.
금융회사의 규제 해제는 시작일 것입니다. 더 많은 개방의 바람이 몰려올 것이고, 협업은 점점 더 많아질 것이며, 취약점은 점점 더 많이 노출될 것입니다. 이런 상황에서 국가와 기업은 지금까지 생각하던 보안에 대한 인식이나 방향성을 완전히 바닥부터 새로 설계해야 할 것입니다. 점점 더 발달하는 공격수단을 막지 못하고 도태된다면, 그 말로는 어떤 말로도 말할 수 없을 정도로 끔찍해질테니까요.
