크라우드스트라이크 사태와 국내 클라우드 시장 현황
윤석열 정부 출범 2년, 개인정보 정책 성과 조명
지난해 불법 스팸 문자 3억건, 과기정통부와 이통 3사 나서

[보안뉴스 조재호 기자] 거안사위(居安思危), 올해 1월 삼성증권이 새해 금융시장을 가장 잘 나타낸 사자성어로 꼽은 단어다. 편안할 때도 위태로울 때의 일을 생각하라는 뜻으로 위기를 늘 염두에 두고 대비하라는 교훈을 담고 있다. 유럽과 중동 지역의 갈등으로 불안한 국제 정세와 공급망 재편의 영향으로 경기침체가 이어졌다. 아울러 세계 인구의 절반이 넘는 사람들이 투표하는 슈퍼 선거의 해로도 꼽히기도 했다. 인공지능(AI)의 영향력 확대와 함께 더욱 가속화된 디지털 전환 흐름도 빼놓을 수 없다. 요컨대 2024년은 사회 전반의 불확실성이 그 어느 때보다 커졌던 해로 개개인의 안전을 시작으로 사회 전반의 보안 의식을 제고할 수 있었다.


[로고=크라우드스트라이크]

크라우드스트라이크 사태와 국내 클라우드 시장 현황은?
지난 7월 미국의 사이버 보안 기업 ‘크라우드스트라이크(CrowdStrike)’의 보안 소프트웨어 업데이트 오류로 항공, 은행, 방송 등 전 세계 시스템이 마비되면서 혼란을 일으켰는데, 우리나라에도 일부 영향을 미쳤다. 이번 사태와 관련해 회사 측은 윈도우 호스트에 대한 단일 콘텐츠 업데이트에서 발견된 결함으로 사이버 공격에 의한 것이 아니고 단순 오류라는 입장을 밝혔으며, 피해를 입은 고객사들에게 사과했다.

이번 사태는 크라우드스트라이크의 보안 플랫폼 ‘팔콘’의 업데이트 오류로 인해 시작됐다. 팔콘은 호스트 방화벽 관리 및 위협 인텔리전스 기능 등을 제공하는데, 하드웨어나 추가 소프트웨어가 필요 없는 클라우드 기반의 서비스다. 클라우드 서비스는 글로벌 클라이언트의 증가와 컴퓨팅파워 수요가 폭발적으로 증가하면서 운영주체가 직접 하드웨어와 소프트웨어를 설치하는 온프레미스 방식보다 효율이 좋아 많은 기업에서 활용하고 있다.

이번 사고도 전 세계적으로 초기 비용이 적고 유연성이 뛰어난 클라우드 서비스를 활용하는 가운데 이 서비스를 제공하는 서버 내 업데이트 오류가 커지면서 공급망 보안 이슈와 시스템 오류로 이어진 것이다. 이번 사태에서 우리나라는 상대적으로 피해가 적은 편으로 파악됐다. 인천공항에서 일부 항공기의 결항과 지연이 있었지만 그리 크지 않았다.

이러한 이유에는 정부 주도로 은행과 증권업계, 보험업계에서 2007년부터 국내 보안정책을 기반으로 추진한 망분리 제도라는 이야기도 있다. 공공부문에서 시행된 망분리 제도가 은행권 및 산업계 핵심 분야에 적용돼 피해가 덜 했다는 것이다. 지난해 정부는 AI 시대를 맞이해 망분리 정책을 혁신하려는 정책을 준비 중인데, 국가정보원의 주도 하에 망분리 개선 범정부 TF의 핵심은 데이터 보안 중요도에 따라 망분리의 정도를 나누는 쪽으로 가닥이 잡혔다.

이번 사건과 관련해 고려대 정보보호대학원 김승주 교수는 “국내에서 큰 사고의 여파가 일어나지 않은 건 2006년부터 우리 공공기관 및 금융권에 도입된 ‘획일적 망분리 정책’ 및 독소조항들로 인해 외산 클라우드의 한국 시장 진출을 막아 준 CSAP(Cloud Security Assurance Program) 보안인증이 큰 역할을 했다고 본다”고 말했다.

이와 관련해 AI 기술이 발달하며 이와 접목된 클라우드 서비스가 확대되고 있는데, 우리나라의 클라우드 상황을 살펴보면 지난 7월 과학기술정보통신부가 발표한 ‘2023 부가통신사업 실태조사 결과’에 따르면 클라우드 서비스 이용 플랫폼은 △아마존 AWS 60.2% △마이크로소프트 Azure 24% △네이버 20.5% △구글19.9% △KT 8.2% △오라클 8.2% △NHN 7% △삼성SDS 1.2 △IBM 0.6 △기타 14% 순이었다. 이 조사는 중복 클라우드 사용자를 포함한 결과로 2개 이상의 클라우드 서비스를 이용하는 비율도 44.7%에 달한다.

국내 기업 중 네이버와 KT, NHN의 성장세도 상당한 편이지만, 아마존-MS-구글 같은 글로벌 기업의 벽이 높다. 일각에서는 정부 관련 사업에서 국내 업체들이 두각을 드러내고 있을 뿐, 기업 시장에서는 별다른 힘을 쓰지 못하고 있다는 의견을 내놓기도 했다.


[이미지=gettyimagesbank]

윤석열 정부 출범 2년, 개인정보 정책 성과는?
이번 정부가 반환점을 돌고 있는 시점에서 개인정보 관련 정책 성과는 어떨까? 개인정보위원회는 주요 성과로 △개인정보보호법 전면 개정으로 디지털 대전환을 선도하기 위한 제도적 기반 마련 △급속한 디지털 전환 과정에서 국민 개인정보 보호 강화 △AI 시대, 개인정보 활용 정책방향 제시로 데이터 경제 활성화 지원 △국민 개인정보 보호와 국익 확보를 위해 국제 협력 활성화를 꼽았다.

자세히 살펴보면 ‘개인정보 보호법 개정’으로 온-오프라인으로 이원화된 개인정보 처리 기준을 일원화 하고 이동형 영상정보처리기기의 운영 기준을 마련하는 등 디지털 환경에 부합하지 않는 규제를 합리적으로 정비했다.

또한, 개인정보 전송요구권 및 자동화된 결정에 대한 대응권을 신설하고 분쟁조정제도 개선 등 디지털 시대에 적합한 정보주체의 권리를 강화했으며, 형벌 중심의 제재를 경제별 중심으로 전환하고 국외이전 요건을 다양화했고, 국외이전 중지 명령권을 신설하는 등 글로벌 스탠더드에 부합하는 법 체계를 마련했다.

‘국민 개인정보 보호 강화’ 측면에서 구글이나 메타 등 글로벌 빅테크 기업의 개인정보 불법 수집·이용 행위에 대해 시정명령과 함께 개인정보보호 법규 위반으로 가장 큰 규모의 과징금인 1,000억 원을 부과하는 등 총 609개 기관을 조사·처분해 안전한 개인정보 처리를 유도했다.

공공분야 개인정보 관리와 관련해 ‘공공부문 유출 방지 대책’을 수립하고 고의 유출시 파면·
해임으로 징계를 강화했다. 1,515개 집중관리 시스템을 선정해 강화된 안전조치 의무를 부과했고 공공기관 보호수준 평가제를 도입해 평개 대상 기관을 대폭 확대하는 등 평가·환류 체계를 강화했다.

아울러 개인정보 분야에 전문성이 있는 개인정보보호 책임자(CPO)가 독립성을 가지고 개인정보보호 업무를 수행할 수 있는 제도를 수립했다. 또한, 아동·청소년 개인정보 보호 강화를 위한 관계부처 협동 기본계획을 수립했다.

‘AI 시대, 개인정보 활용 정책방향 제시 및 데이터 경제 활성화 지원’으로는 세세한 규정이 아닌 원칙 중심의 개인정보 활용 정책방향을 설정하고 AI 프라이버시 전담팀을 신설했다. AI 학습에 활용될 수 있는 비정형데이터와 SNS 등에 공개된 정보의 활용 기준을 마련했고, 사전적정성검토제를 운영해 AI 기업 등의 법적 불확실성을 해소했다.

개인정보 보호를 위한 안전조치를 전제로 규제 샌드박스를 통해 자율주행로봇 2개 기업의 영상정보 원본 활용을 허용하고, 통계청과 국립암센터를 개인정보 안심구역으로 지정해 AI 연구자와 기업이 양질의 데이터를 활용할 수 있도록 지원했다.

아울러 데이터 기업이 혁신적인 비즈니스 기회를 가질 수 있도록 전 분야 마이데이터 확산 전략을 담은 국가 마이데이터 혁신 전략을 수립하고 범정부 마이데이터 추진단을 설치했으며, 10대 중점부문 표준규격을 마련하는 등 2025년 마이데이터제도의 본격 시행을 위한 토대를 다졌다. 이 10대 중점분야로는 교육, 교통, 여가, 유통, 정보통신, 고용노동, 부동산, 에너지, 보건의료, 복지가 선정됐다.

‘국민 개인정보 보호와 국익 확보를 위한 국제 협력 활성화’ 방안으로는 EU 적정성 결정에 이어 영국의 적정성 결정 채택으로 우리 기업이 개인정보를 추가 인증이나 절차 없이 국내로 이전이 가능해져 높은 수준의 개인정보보호 체계를 국제적으로 인정받았다.

AI 데이터 질서 정립 과정에서 국제규범과 국내 규율체계 간 상호 연계 운용성 확대 등 국익 확보를 위해 UN AI 고위급 자문기구에 참여하고 AI와 데이터 프라이버시 국제 컨퍼런스를 개최하고, 2025년 글로벌 프라이버시 총회를 유치하는 등 국제규범 형성에 대응했다. 해외 기업이 한국 개인정보 보호법을 준수할 수 있도록 안내서를 발간하고 중국 인터넷 기업 간담회를 개최해 우리 개인정보 보호법을 설명하고 철저한 준수를 요청했다.

개인정보위는 그간의 성과를 토대로 기업의 규제 불확실성을 해소하고 디지털 환경 변화에 따른 새로운 프라이버시 이슈에 선제적으로 대응해 국민 신뢰에 기반한 디지털 혁신을 지속적으로 추진해 나갈 계획이다. 특히, AI 혁신을 지원하고 정보주체의 권리 보장을 위해 생체인식정보 규율체계, 합성데이터 활용 가이드라인, 이동형 영상기기 가이드라인, AI 투명성 확보 가이드라인 등을 마련할 예정이다.


[이미지=gettyimagesbank]

지난해 불법 스팸 문자 3억건, 과기정통부와 이통 3사 나서
지난해 3억 건에 달하는 불법 스팸 문자가 신고될 정도로 급속히 늘어났다. 이는 평년 대비 1,000% 이상 증가한 수치로 올해는 역대 최고치인 4억 건에 이를 것으로 추산된다.

국회에서 방송통신위원회로부터 제출받은 자료에 따르면 2020년부터 2022년 불법 스팸 문자 신고 건수는 약 2,000만 건 전후였다. 2023년에는 2억 8,500만 건, 올해는 6월까지 2억 1,100만 건에 이른다.

불법 스팸 문자는 개인정보나 금융정보를 탈취하는 스미싱 등 2차, 3차 피해로 이어질 수 있어 주의가 필요하다. 경찰청에 따르면 지난해 스미싱 피해액은 144억으로 역대 최고 수준을 기록했는데, 이는 2022년 대비 3배가 넘는 금액이라는 설명이다.

현재 방통위에서는 불법 스팸 근절 대책으로 정보통신망 이용촉진 및 정보보호 등에 관한 법률 위반 업체에 과태료 처분을 하고 있는데, 금방 사라지거나 소재가 불분명한 업체들에는 무용지물이다. 이에 따라 800억 원 이상의 과태료가 체납됐다.

결국, 불법 스팸 문자에 효과적으로 대응하기 위해서는 예방이 최선이다. 지난 6월 ‘대량문자 전송자격인증제’를 시행해 문자재판매사가 이동통신사 등 문자중계사의 사전 인증을 받아야 광고성 문자를 전송할 수 있다. 우후죽순 생겼다 사라지는 문자재판매사를 규제할 것으로 기대를 모으고 있지만, 이 역시도 실효성에 의문이 남는다. 9월 기준 인증 신청업체 수가 전체의 10%에 그쳤고 민간 자율규제 방식으로 이행에 강제성이 없기 때문이다.

이와 관련해 과학기술정보통신부는 이동통신3사와 만나 스팸 문자 근절을 위한 역할을 주문했다. 통신사별 스팸 근절 노력을 살펴보면 SK텔레콤의 경우, 지난 10월 불법 스팸 발송량이 많은 재판매사에 대해 관리 조치를 강화했는데 비즈메시징 전송 속도 제한부터 발송 중단조치까지 이어지는 실질적인 운영 제한을 시행했다. 아울러 AI 기반 모바일 금융사기 탐지·방지 기술인 ‘스캠뱅가드’를 선보였다. 이 기술은 모바일에서 발생하는 다양한 위협을 탐지하고 대응하기 위해 AI 기반의 사이버 위협 정보를 제공한다.

주요 기능으로는 △딥러닝 구조 기반 미끼문자 탐지 및 알림 △AI봇 기반 SNS 사기 방지 △머신러닝 기반 사기전화 패턴 탐지 식별 등이 있다. SKT의 AI 서비스인 에이닷 전화의 팸·보이스피싱 의심 전화 안내 등에 활용되는 것은 물론, 본인인증 서비스 앱인 PASS와 채팅+ PC버전의 스팸필터링 서비스에 활용됐다. 스캠뱅가드는 오는 2025년 CES에서 최고혁신상을 수상하기도 했다.

KT는 스팸 차단 서비스를 조회하고 관리할 수 있는 KT 안심정보를 ‘마이케이티’ 앱에서 제공하는데, 마이케이티 앱에 추가된 KT 안심정보를 통해 직접 스팸번호와 문구 등을 설정할 수 있으며 지난 일주일간의 스팸 차단 현황 및 차단 내용을 확인할 수 있다. 또한, KT 안심정보는 브이피의 스팸번호 알림 및 AI 보이스피싱 탐지 앱 후후와 함께 최신 스팸 정보를 제공하며, 주의해야 할 최신 통신 사기수법을 알려주는 통신 사기 주의보와 이용자 피해 예방 가이드를 제공한다.

LG유플러스는 불법 스팸 문자메시지에 따른 전기통신금융사기 피해를 예방하기 위해 전사 협의체를 가동하고 이동통신망에서 스팸 문자메시지를 걸러내는 ‘익시(ixi) 스팸필터’ 시스템을 적용했다. ixi 스팸필터는 한국인터넷진흥원에서 제공 받은 스팸 신고 데이터를 AI 모델이 학습해 고객이 스팸 메시지를 수신하기 전에 차단하는 기능을 제공한다. 이 시스템은 필터링 정확도를 95% 이상으로 끌어올렸으며, 실시간 모니터링으로 신유형 스팸 메시지를 탐지할 수 있다. 아울러 매일 최신 불법 스팸 메시지를 학습해 대응능력을 지속적으로 고도화할 예정이다.
[조재호 기자(sw@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>