미국의 정보공유법, 드디어 상원 통과
EU와 디지털 저작권법도 보안에 초점 맞춘 움직임

[보안뉴스 문가용] 미국, 유럽이 보안에 본격적으로 초점을 맞추는 방향으로 큰 걸음을 옮겼습니다. 여러 거센 반대에도 불구하고 정보 공유법인 CISA가 상원을 통과했고, 디지털밀레니엄 저작권법은 이제 보안 연구를 지지하겠다며 탈옥이나 자동차 해킹 등을 허용한다고 발표했습니다. 유럽연합의 ENISA 역시 사물인터넷, 병원 등의 보안에 투자금을 올리겠다고 했고요. 2017년, 정보보안 업계는 어떤 모양으로 흘러갈까요? 이런 갑작스런 큰 움직임들은 희소식일까요 그 반대일까요?



1. 드디어, 정보공유법 통과
첩보공유법, 74:21로 상원 통과(SC Magazine)
미국 상원, 사이버 보안 정보 공유 법안 통과시켜(CU Infosecurity)
정보 공유 법안, 기술적인 어려움 제안 되었음에도 상원 통과(CSOOnline)
미국 상원, 사이버 보안 첩보 공유 법안 통과시켜(The Register)
사이버보안 첩보 공유법, 일명 CISA(Cybersecurity Information Sharing Act)가 엄청난 지지를 받고 상원을 통과했습니다. 74:21이면 엄청난 차이죠. 여러 매체 중 The Register와 같은 경우는 이제 프라이버시가 서서히 목 졸려 죽을 것 같은 뉘앙스로 기사를 쓰기도 했습니다. 여러 거대 기업들도 이 법안에 반대하고 있는 실정인데, 이 파장이 얼마나 크게, 또 어떤 식으로 퍼져나갈지 도저히 예상이 안 됩니다. 아무튼 큰 돌이 IT 업계라는 호수에 던져지긴 했습니다.

2. EU도 움직인다
EU 보안 담당국인 ENISA, 2016년 IoT에 박차를 가하다(Infosecurity Magazine)
EU, 자동차, 병원, 공항의 IT 보안에 집중 투자 예정(CSOOnline)
미국이 ‘보안’에 저 많은 무게감을 두겠다고 선포한 것에 이어 유럽연합도 IoT 보안, 특히 자동차, 병원, 공항의 보안에 투자를 더 하겠다고 발표했습니다. 보안이 중요하다고 보안뉴스에서만 외쳤는데 이제 2017년은 무려 미국 상원과 EU ENISA에서 이렇게 발표하고 시작하게 되었네요. 뭐가 달라질까 기대가 됩니다. 물론 걱정도 되고요.

3. 디지털밀레니엄저작권법, “넌 예외”
자동차 해킹, 디지털밀레니엄저작권법에서 면제받아(Threat Post)
디지털밀레니엄저작권법의 새 결정 덕에 태블릿, 라우터, 자동차 조작 가능(The Register)
디지털밀레니엄저작권법(DMCA)이란 게 있습니다. 미국의 법이긴 한데, 이 때문에 여러 가지 기기들에 대한 자세한 조사가 불가능했습니다. 예를 들면 사용자가 임의로 핸드폰의 기능을 확대시키는 행위 즉 탈옥이 허용이 안 되었죠. 그래서 보안 연구 행위가 많이 제한을 받았고요. 하지만 이번에 태블릿, 라우터, 자동차 등은 사용자가 마음껏 조사해볼 수 있도록 허용하기로 결정을 했다고 합니다. 보안 연구가 더 활발해지긴 하겠지만, 마찬가지로 해킹과 보안 시험의 경계도 조금 흐려진 감이 있습니다.

4. 시만텍, 덩치 불리다
시스코, 4억 5천 2백만 달러에 랜코프 인수(Security Week)
시스코, 랜코프 인수(CU Infosecurity)
시스코, 랜코프를 꿀꺽(The Register)
제목 그대로의 내용입니다. 거대 기업 시스코가 보안 업체인 랜코프(Lancope)를 4억 5천 2백만 달러에 인수했습니다. 랜코프는 보안 첩보, 위협 가시성, 네트워크 행동 패턴 분석 등을 전문으로 하는 기업입니다. 지금 본지에서 계속되고 있는 [스압특집]에도 언급되었지만 엔드포인트가 뜨면서 덩달아 가시성에 대한 전문성이 더욱 부각되고 있습니다. 시만텍의 인수가 이를 증명하는 듯도 합니다.

5. 이래서 취약점 공개는 조심해야
줌라 취약점 공개되자마자 공격 급증(Threat Post)
줌라, 공개 수 시간 만에 익스플로잇이 차고 넘쳐(Security Week)
취약점 공개에 모든 기업과 전문가가 조심하는 게 이런 이유죠. 패치가 나오기 전에 해커들이 날뛸까봐. 얼마 전 공개된 줌라 취약점이 패치 없이 며칠 지속되자 바로 해커들이 들쑤시기 시작했습니다. 해커들의 움직임은 예나 지금이나 정말로 재빠릅니다. 예측을 못해서 못 막는 건 어쩔 수 없다 쳐도 다 같은 출발선에서 시작했는데도 당하는 거는 변명의 여지가 없죠.

6. 플래시->쇼크웨이브?
어도비, 쇼크웨이브의 메모리 커럽션 오류 패치(Threat Post)
어도비가 패치를 했습니다. 또 플래시겠지, 라고 생각하셨다면, 아닙니다. 이번엔 쇼크웨이브(Shockwave)라는 제품입니다. CVE-2015-7649라는 취약점이 발견되었고 다행히 아직까지 대중적으로 익스플로잇 된 예는 없다고 합니다. 쇼크웨이브가 또 플래시처럼 해커들의 놀이터가 되지는 않았으면 합니다.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>