LMS 등 SaaS 솔루션, 기업 해킹 ┖우회 통로┖ 악용... 공급망 보안 경고등 켜져
터치클래스, 업계 유일 국제·국내 보안 재인증으로 ‘보안 초격차’ 입증
“인증은 최소 조건”...지속적 점검과 개선으로 안심하고 사용할 수 있는 솔루션 제공

[보안뉴스 여이레 기자] 최근 기업 내부망을 직접 노리는 대신, 보안이 느슨한 외부 솔루션(SaaS)을 경유해 침투하는 공급망 공격이 급증하면서 임직원 개인정보와 기업 핵심 지식 자산이 집중된 교육 플랫폼(LMS)이 새로운 주요 표적으로 부상하고 있다.


[자료: 뉴인]

기능과 가격 중심으로 이뤄지던 솔루션 선정 기준이 ‘보안 인증 유무’로 급격히 이동하는 가운데, 기업 교육 솔루션 전문 기업 뉴인의 ‘터치클래스’(Touchclass)가 국내 최고 권위 정보보호 및 개인정보보호 관리체계(ISMS-P)를 2회 연속 재인증 받았다고 5일 밝혔다.

터치클래스는 8월 국제 표준 정보보호 인증인 ISO/IEC 27001:2022를 갱신한 데 이어, 이번에 ISMS-P까지 재인증을 완료했다. 이러닝 솔루션 업계 유일 국제·국내 보안 인증 두 부문 동시 재인증 획득으로 에듀테크 리딩 브랜드 입지를 공고히 했다는 평가다.

특히 뉴인은 법적 인증 의무 대상이 아님에도 자발적으로 인증을 추진해 재취득까지 완료하며 보안을 비용이 아닌 필수 투자로 보는 기조를 분명히 했다.

터치클래스는 이번 성과를 바탕으로 공급망 공격이 일상화된 환경에서도 기업 교육 담당자들이 안심하고 선택할 수 있는 ‘보안 검증형 에듀테크 플랫폼’이라는 점을 다시 한 번 입증했다는 평가를 받고 있다.

보안 인증 없는 SaaS, 기업에는 ‘시한폭탄’
클라우드 기반 SaaS 시장이 빠르게 성장하면서 공급업체 한 곳에서 사고가 발생하면 이를 이용하는 다수 고객사 데이터가 한 번에 인질로 잡힐 수 있다는 점이 위험 요인을 키우고 있다.

특히 LMS엔 임직원 인사 정보·성과 데이터뿐 아니라 기업 고유 노하우까지 집약돼 있어, 한 번 사고가 발생하면 랜섬웨어 감염과 대규모 개인정보 유출로 직결될 수 있다. 이 경우 직접적 피해는 물론, 법적 책임과 평판 하락까지 감당해야 해 사실상 ‘기업 생존’ 문제로 이어진다는 게 업계의 공통된 지적이다.

업계는 “검증되지 않은 SaaS 도입은 기업의 문을 열어두고 도둑을 기다리는 꼴”이라고 경고한다.

102개 항목의 철벽 검증... 경쟁사가 넘볼 수 없는 ‘진입 장벽’ 구축
이번에 뉴인이 재획득한 ISMS-P는 과학기술정보통신부와 개인정보보호위원회가 공동 고시한 기준에 따라 한국인터넷진흥원(KISA)이 부여하는 국내 최고 수준의 보안 인증 제도다. 총 102개에 이르는 까다로운 심사 항목을 모두 충족해야 하며, 물리·관리·기술 보호조치 전 영역에 걸친 체계적인 검증이 이뤄진다.

많은 LMS 업체들이 막대한 구축·운영 비용과 상시 관리 부담 탓에 인증 취득을 포기하거나 낮은 단계 인증에 머무르는 것과 달리, 터치클래스는 수년째 단독으로 최고 수준 인증을 유지해 왔다. 이는 터치클래스가 금융권, 제조·유통업, 공공기관 등 높은 수준의 보안을 요구하는 고객사를 다수 보유한 만큼, 기 기준을 충족하는 데이터 보호 역량을 갖췄음을 의미한다.

이번 재인증은 터치클래스가 지난 3년간 안정적으로 서비스를 운영해 왔다는 사실과 더불어, 향후에도 지속적인 보안 인프라 투자가 가능한 재무적 안정성과 기술적 역량을 갖추고 있음을 보여준다.

또 보안 위협이 최고조에 달한 시점에 ISMS-P를 다시 획득했다는 점은 고객사 입장에선 데이터 유실과 서비스 중단 우려를 최소화할 수 있는 ‘장기 파트너’를 확보했다는 의미다.

김아론 뉴인 정보보호최고책임자(CISO) 이사는 “최근 LMS 도입 상담에서 가격·기능보다 보안 사양을 먼저 확인하는 대기업과 공공기관이 뚜렷이 늘고 있다”며 “보안 인증은 고객사의 소중한 자산을 지키기 위한 터치클래스의 타협 없는 약속이자, 보안 수준이 불분명한 여타 솔루션과 차별되는 가장 명확한 기준”이라고 말했다.

그는 “보안 인증을 ‘최종 목표’가 아니라 지켜야 할 최소 기준으로 보고 있다”면서 “인증 과정에서 도출된 개선 사항을 지속적으로 반영해 보안 체계를 점검·강화함으로써 기업 고객이 안심하고 솔루션을 활용할 수 있게 하겠다”고 말했다.

[여이레 기자(gore@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>