염흥열 한국개인정보보호책임자협의회 회장(순천향대 정보보호학과 명예교수)

정보보호의 3대 요소는 정보의 기밀성, 무결성, 가용성이다. ‘기밀성’은 특정 정보에 대해 허가된 사람만 접근할 수 있도록 하는 것을 의미한다. 정보를 비밀리에 유지하고, 비인가된 접근으로부터 보호하는 것을 목표로 한다. 이는 암호화 통제, 허가된 사용자에게만 정보를 접근하도록 하는 접근 제어, 방화벽, 침입탐지 시스템, 안티바이러스 등 보안시스템 운영을 통해 달성할 수 있다.


[자료: gettyimagesbank]

‘무결성’은 정보가 손상되거나 변조되지 않도록 보호하는 것을 의미한다. 즉, 정보의 정확성, 완전성, 그리고 정보가 원래 의도된 대로 유지되는 것을 보장한다. 이에 대한 대책은 해시 알고리즘을 이용해 데이터가 변경되는 것을 막는 것이다.

‘가용성’은 정보 시스템이나 데이터가 필요할 때, 권한이 있는 사용자에게 방해받지 않고 액세스할 수 있도록 보장하는 것을 말한다. 가용성은 시스템의 정상적인 작동과 데이터의 접근 가능성을 확보하는 데 중요한 역할을 한다.

최근 SKT 홈 가입자 서버(HSS)에서 유출된 정보는 4종과 유심 관리 정보 21종이다. 이는 가입자식별번호(IMSI), 가입자 인증키(Ki) 등을 포함한다. 이번 정보 유출 사고는 정보보호의 3대 요소 중에 기밀성의 훼손에 해당된다고 볼 수 있다.

현재 민관합동조사단이 구성되어 이번 정보 유출 사고의 원인, 방법, 유출 규모는 조사 중이다. 기업에서 정보가 유출되는 대표적 시나리오와 대표적 보안 대책을 식별하는 것은 매우 중요하다. SKT 해킹 사고의 해킹 시나리오는 알 수 없지만, 일반적으로 기업에서 발생 가능한 대표적 시나리오는 다음과 같다.

첫 번째 가능한 시나리오는 해커가 SKT 폐쇄망에 존재하는 HSS 또는 연계 시스템에 취약점을 이용해 침투하는 경우이다. 통신사의 HSS 연동 시스템에 취약성이 존재하고 공격자가 취약점을 이용해 HSS 연동 시스템의 권한을 획득하는 것이다. 이어 서버내 HSS 접속을 위한 자격 증명을 탈취하고, HSS 데이터베이스 접근이나 API를 통해 인증키 및 가입자식별번호 등을 포함한 유심 정보를 유출하는 것이다. 이러한 원인은 취약점 관리 부재, 암호화 대책 미비, 접근제어 통제의 부재, 침투 로그 모니터링 실패 등에 기인한다.

두 번째 가능한 시나리오는 공급망 벤더 장비의 침해 가능성이다. HSS 소프트웨어나 연계 솔루션을 제공하는 벤더 시스템에 백도어 또는 취약점이 존재하는 경우이다. 외부 벤더가 제공한 유지보수 계정 또는 백도어가 그대로 운영되어 공격자가 이를 통해 HSS에 원격 접속했지만, 보안 감사의 미흡으로 유출이 탐지되지 않고 대량의 유심 정보가 유출된 경우다.

세 번째 가능한 시나리오는 내부자 또는 비인가된 관리자에 의한 HSS 서버의 비인가 접근이다. 내부 시스템 관리자가 권한을 남용하거나 해커가 관리자 계정을 탈취해서 HSS 데이터베이스에서 유심 관련 정보가 유출되는 것이다. 구체적으로 내부 직원 또는 관리자가 HSS 서버나 데이터베이스에 직접 접근 가능한 권한을 가져서 데이터베이스로 질의를 통해 고객 유심 정보 데이터를 조회해 유출하는 경우다.

가입자식별정보를 포함한 유심 정보가 유출됐으므로, 위에서 제시한 시나리오와 연계해 다음과 같은 취약점의 확인도 필요하다.

첫째, 해당 고객 유심 정보를 민감, 기밀 또는 극비 정보로 분류하지 않아서 이에 따른 해당 정보에 대한 상당한 보호조치를 소홀히 했을 가능성이다.

둘째, 유심 정보와 같은 민감정보는 저장하거나 전송할 때 암호화 보호 대책을 적용했는지 확인이 필요하다. 대표적으로 고급 암호기법을 통한 적절한 암호화 대책과 강력한 침입탐지 등을 통한 접근제어 대책의 불완전성이 존재할 수 있다.

셋째, 권한 없는 사용자나 외부 해커가 HSS 서버나 데이터베이스에 접근하지 못하도록 하는 접근제어 대책이 미흡한 경우다. HSS 데이터베이스 접근이 최소 권한 원칙으로 운영되지 않았을 수 있다.

넷째, HSS 시스템 접근 및 데이터 활용에 대한 감사 로그를 남기고 상시적으로 모니터링해야 하는 로그 기록 모니터링 대책이 미흡했을 가능성도 있다. 다시 말해 유심 정보 유출 사고가 발생하기 전에 이상 접근 시도나 데이터 대량 조회 등의 탐지가 실패했을 가능성이 크다.

다섯째, HSS 시스템 등에 존재하는 보안 취약점을 주기적으로 평가하고 패치를 해야 하는 정보시스템 취약점 관리 등의 불완전성이 존재할 수 있다. 특히 수명이 다한 서버의 사용 여부도 확인해야 한다.

여섯째, 외부 장비 벤더, 유지보수 인력 등이 HSS 시스템에 접속할 수 있는 경우, 이들의 접근제어 조치가 미흡한 경우이다. 외부 장비 벤더에 주어진 계정을 통한 우회 접근 가능성이 존재한다.

이번 해킹 사고가 재발하지 않기 위해서는 위에서 언급한 취약점에 적절히 대응하기 위해 기술적·관리적·조직적 보안대책을 개선해야 한다. 모든 것을 철저히 검증하는 제로트러스트 보안과 인공지능을 이용한 보안 능력 향상 등을 통한 기술적 보안대책의 개선도 필요하다.

특히, 저장되거나 전송 중인 유심 정보에 대한 △강력한 암호화 및 다중 인증 적용 △유심 정보에 대한 강력한 접근제어 적용 △침입 및 악성코드 탐지 △시스템 접근에 대한 로그 모니터링 강화 △운영망과 폐쇄망 간 강력한 네트워크 분리 적용 △모의 침투 시험을 통한 취약성 확인 적용 등을 포함한다.


▲염흥열 한국개인정보보호책임자협의회 회장 [자료: 보안뉴스]
관리적 보안대책은 정보 자산의 분류 및 보호, 접근권한 관리, 외부 및 공급망 보안 통제, 백업 및 복구 통제, 보안 교육 등의 강화를 포함한다. 조직적 보안대책은 정보보호를 책임지는 정보보호최고책임자(CISO)의 역할 강화, 보안 거버넌스 체계 개선, 침해사고 대응체계 구축, 그리고 내부 보안 감시조직 운영 등을 포함한다.

국가기간통신사업자로서 SKT는 국가 주도의 공격 능력을 보유한 해킹 공격에도 적절히 대응할 수 있는 지능화된 대응능력을 수립하고 유지하며 지속적으로 개선해야 한다. 온라인 서비스에 기업 비즈니스를 의존하는 우리나라 모든 기업의 정보보호 관리체계 고도화가 필요한 시점이다. 이를 위해 보안 투자도 획기적으로 늘려야 한다.

[글_염흥열 한국개인정보보호책임자협의회 회장]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>