[보안뉴스 조재호 기자] “많은 분들이 왜 대기업들이 보안에 투자해도 사고가 터지냐고 묻습니다. 보안이 파편화돼 있기 때문입니다. 단일 플랫폼에서 데이터 생애주기를 관리하고, 공급망 전반으로 적용 범위를 넓히면 보다 안전한 환경을 조성할 수 있습니다.”

이형택 이노티움 대표는 최근 <보안뉴스>와 인터뷰에서 “공급망의 취약한 고리를 끊고, 사고가 터졌을 때 대응할 수 있는 복원력을 높여야 한다”고 강조했다.

이노티움은 데이터 보안 백업과 IT 재해복구, 핀테크 관련 보안 전문기업이다. 최근 방위산업 사이버 보안 분야에도 진출했다. 또, 랜섬웨어 침해사고 대응센터를 운영하면서 국내에서 발생한 랜섬웨어 사고의 신고 접수와 초기 대응을 지원하고 있다.


▲ 이형택 이노티움 대표 [자료: 보안뉴스]

연이은 보안 사고, 주목할 부분은 공급망 보안과 사이버 복원력
최근 연이은 국내 보안 사고에 대해 이 대표가 내놓은 답은 ‘공급망’과 ‘복원력’이었다. 그는 “이제 완벽한 방어는 불가능한 시대”라며 “아무리 철저히 대비해도 공격이 들어올 수 있다는 점을 인정하고 ‘절대 신뢰하지 않고, 항상 검증한다’는 제로트러스트 아키텍처를 기본으로 삼아야 한다”고 말했다.

데이터를 중앙에 두고 통제하는 기존 방식을 넘어, 데이터 하나하나에 지능적 보안 기능을 부여해 외부에 유출되더라도 스스로 통제하고 보호하게 만드는 것이 중요하다는 설명이다. 이는 예측 불가능한 위협 속에서 핵심 자산을 지키는 가장 효과적인 방법이다.

대기업이 막대한 돈을 투자해도 보안 사고가 발생하는 이유는 각 부문과 계열사 간 데이터 공유에 있다는 것이 이 대표의 진단이다. 현대 서비스업은 다양한 인프라를 유기적으로 연결하고 있다. 이 연결 고리에서 가장 취약한 곳을 공략하기에 보안 사고가 일어난다.

제조업도 비슷한 구조를 지녔다. 원청과 협력사의 보안 수준 차이에서 취약점이 발생한다. 하지만 현실적으로 협력사가 수억원에 달하는 디지털권한관리(DRM)과 정보유출방지(DLP), 문서 중앙화 등 각종 보안 솔루션을 모두 도입하고 전문 인력을 운영하기란 불가능에 가깝다. 오히려 협력사 경영난을 가중하고, 전체 공급망 생태계를 위협하는 부작용을 낳는다.

무작정 투자를 강요하는 것도 근본적 해결책이 될 수 없다. 각 부문 및 계열사, 협력사에 부담을 주지 않으면서도 핵심 데이터를 안전하게 보호하고 공유할 수 있는 새로운 방식의 기술적, 정책적 접근이 필요하다는 것이 이 대표의 진단이다.

공급망 보안에 대한 이노티움의 해답, 데이터 보안 플랫폼 ‘엔파우치’(nPouch)
이 대표는 공급망 보안에 대한 해법으로 자사 ‘엔파우치’ 솔루션을 제시했다. 기존 파편화된 보안 솔루션의 한계를 극복하고, 단일 플랫폼에서 데이터 생성과 유통, 활용, 파기까지 전 생애주기를 관리하는 통합 관리 솔루션이다.

이 제품의 핵심은 ‘데이터가 스스로 보호하게 만들자’다. 하나의 주머니(파우치)에 핵심 데이터를 담아 전달하면 별도의 솔루션 없이 에이전트로 부여된 권한 내에서만 데이터를 열람 및 활용하는 방식이다. 엔파우치에 문서 암호화와 자료 유출 방지, 매체 제어, 출력물 보안, 화면 캡처 방지 등 개별적으로 도입해야 했던 10여 가지 보안 기능을 하나의 플랫폼으로 통합했다. 데이터 사용 권한과 이력을 추적하고, 유출 시도를 차단하면서 원격으로 파기할 수 있다.

이 대표는 “본사는 컴플라이언스를 준수하고 핵심 기술을 보호하면서, 협력사 보안 투자 부담을 줄여줄 수 있다”며 “엔파우치는 단순 솔루션 통합이 아닌, 공급망 생태계 전체 보안 수준을 올려주는 ‘플랫폼’ 솔루션”이라고 설명했다.

국가 경제를 위협하는 랜섬웨어, 복원력 확보가 관건
최근 연이어 발생한 대형 침해 사고에 대해서도 더 이상 일부 기업의 시스템 장애로 인식해선 안 된다는 의견이다. 우리 산업 생태계 전반의 연속성을 위협하고, 국가 안보까지 흔들 수 있는 위협으로 진화했기 때문이다. 과거 랜섬웨어가 단순히 파일을 암호화하고 금전을 요구하는 수준이라면, 이제는 데이터를 탈취해 외부에 공개한다는 협박과 함께 디도스 공격까지 감행하는 ‘다중 협박’ 형태로 고도화됐다. 또 일부 그룹은 관련 공격 프로그램을 서비스화한 ‘서비스 방식의 랜섬웨어’(RaaS·Ransomware as a Service) 형태로 판매하기도 한다.


▲이노티움이 수집한 실제 랜섬노트 [자료: 이노티움]

이 대표는 “랜섬웨어는 기업의 시스템 및 데이터 복구 비용와 생산·서비스 중단으로 인한 영업 손실 피해, 기업 신뢰도 하락, 이미지 관리, 주가 하락 등 2차·3차 피해를 일으키는데, 이런 피해 규모는 환산조차 힘들다”며 “침투 경로도 다양해져 ‘우리는 당하지 않을 것’ 같은 안일한 생각을 무너뜨리고 있다”고 전했다.

이러한 상황에서 우리는 ‘사고가 날 것인가’가 아니라 ‘언제, 어떻게 날 것인가’를 고민해야 한다는 진단이다. 보안은 아무 일도 일어나지 않아 그 노력이 낭비처럼 보이는 ‘준비의 역설’에 빠지기 쉽다. 하지만 사이버 위협은 피할 수 없는 현실이다. 철저한 대비와 ‘복원력’ 확보만이 유일한 방책이라고 조언했다.

‘피해자 탓’보다 중요한 사후 예방, 국가 사이버 대응 체계 전면 개편해야...
이 대표는 “피해 기업이 보호받기보단 비난과 책임 추궁의 대상이 되고 있다”며 안타까움을 드러냈다. 지난 10여년 간 랜섬웨어 대응 현장 최전선에서 활동한 이 대표의 소회다. 사고가 터지면 정부는 미흡한 대비에 대한 질책과 과징금부터 이야기한다. 이런 상황에서 어떤 기업이 피해 사실을 신고하고 도움을 요청할 수 있을까? 신고보다 음지에서 협상하는 것이 더 쉬운 길일 수 있다는 것이다.

이 대표는 한국인터넷진흥원(KISA)이나 국가정보원, 경찰 등 각 기관이 자신의 역할에만 매몰돼 유기적 협력이 이뤄지지 않고, 정책 결정이나 전환은 더디기만 하다고 지적했다. 그는 “현재 분산된 기능을 한데 모아 강력한 권한과 책임을 지닌 ‘사이버 안보 컨트롤타워’를 설립해야 한다”고 말했다. 정책을 ‘피해자 보호’ 중심으로 옮겨 자발적인 신고와 위협 정보 공유를 촉진해야 한다는 제언이다.

이 대표는 “‘왜 당했냐’고 묻기 전에 ‘어떻게 도울 것인가’를 먼저 고민하는 정책적 전환 없이는 사이버 안보 선진국으로 나아갈 수 없다”고 강조했다. 또 보안을 넘어 안전을 지향해야 한다고 강조하며, “이노티움은 고객사를 비롯한 우리 사회가 안심하고 디지털 전환을 진행할 수 있도록 신뢰받을 수 있는 파트너가 되기 위해 노력할 것”이라고 말했다.

[조재호 기자(sw@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>