한국정보보호최고책임자협회, 2016년 11월 CISO 포럼 개최

[보안뉴스 원병철 기자] IoT 디바이스의 보안위협은 본지에서도 누차 강조했던 주제로 많은 사람들이 공감하고 있지만, 보안강화를 위한 실제적인 움직임은 생각보다 활발하지 않다. 이런 상황에서 우리나라의 대표 CISO들이 한데 모여 IoT 디바이스의 보안위협과 대응방안에 대해 의견을 나누는 시간이 마련돼 눈길을 끌었다.

국내 기업 및 공공기관의 CISO들의 모임인 한국정보보호최고책임자협회(한국CISO협회, 회장 임종인)는 15일 서울 프라자호텔에서 11월 조찬 포럼을 개최하고, IoT 기기 해킹 위험성과 빅데이터와 보안의 접목 등에 대한 최신 정보를 공유했다.

인사말에 나선 임종인 한국CISO협회 회장은 “바로 어제 미래부와 방통위가 주관한 안전한 사이버 공간 한마음 축제가 개최됐다”면서 “특히, 정부가 CISO의 역할 증대와 활성화에 관심이 높은 만큼 우리 협회가 지혜와 정보를 공유하는 것이 중요해졌다”고 강조했다. 덧붙여 임 회장은 “협회 회원인 이찬 CJ CISO, 윤덕상 KT DS CISO, 장승웅 열심히커뮤니케이션 대표가 정보보호대상을 수상하셨다”고 축하의 말을 전했다.



빅데이터와 보안의 콜라보레이션
이어 첫 번째 강연의 연사로 나선 EY한영의 이광림 파트너는 ‘빅데이터를 통한 비즈니스 적용사례’를 주제로 이야기를 시작했다. 이 파트너는 “EY한영의 매출 30조 중 약 1.6조가 빅데이터 비즈니스에서 창출되며, 전 세계 22만 명의 회계사와 컨설턴트 중 6,000명이 빅데이터와 관련된 일을 하고 있다”며 빅데이터 시장의 성장가능성에 대해 설명했다.

이 파트너는 “예를 들면, 한식분야의 사업을 해외에서 한다고 하자. 그렇다면 우선 선호 메뉴나 가격대 등 해당 지역의 시장조사를 해야 하는데, 보통은 전문 컨설팅 기업을 통해 진행한다”고 말했다. 하지만 빅데이터를 사용하면 굳이 컨설팅 기업을 통하지 않아도 충분히 필요한 정보를 더 빨리, 더 쉽게 구할 수 있다는 것이 이 파트너의 설명이다.

“중국 커뮤니케이션 사이트의 빅데이터를 분석하면 중국인들이 한식에 대해 어떻게 생각하는지, 선호하는 메뉴는 무엇인지, 선호하는 가격대는 얼마인지 쉽게 알 수 있습니다. 특히 중식과 일식, 양식 등 경쟁분야의 정보도 얻을 수 있기 때문에 사업의 방향도 쉽게 잡을 수 있죠.”

특히, 이 파트너는 이러한 빅데이터를 보안에 적용할 경우 외부의 공격이나 위협으로부터 사후가 아닌 사전에 대응할 수 있다고 강조했는데, 이는 기존 공격 프로세스를 빅데이터를 통해 분석하고, 다시 빅데이터를 통해 현재 상황을 점검하면 어떤 문제가 생길 것인지 예측할 수 있기 때문이다.

OWASP의 보안 체크리스트 활용한 IoT 기기 보안 설정
두 번째 강연자로 나선 진영호 한국HPE 기술영업팀 이사는 ‘IoT 기기 해킹사례를 통한 위험성 분석 및 대응방안’이라는 주제로 강연을 펼쳤다. 진 이사는 “가트너 발표에 따르면, 2020년에는 260억 개의 IoT 디바이스가 사용되며, 전 세계 데이터의 10%인 44제타바이트(ZB, 1조 1,000억 기가바이트)가 IoT에 의해 발생할 것”이라면서 “이처럼 IoT는 새로운 먹거리와 일자리를 창출하기 때문에 이를 선점하고 연구해야 앞서 나갈 수 있다”고 강조했다.

하지만 진 이사는 얼마 전 벌어진 딘(Dyn) 사의 해킹사건과 최근 개봉한 영화 ‘IT’를 예로 들며, “IoT 기기의 해킹은 이미 현실이며 다양한 해킹사례나 조사결과가 이를 증명한다”고 말했다.

문제는 IoT 기기를 만들 때 오픈소스 컴포넌트를 80% 이상 재활용하며, 이 중 71%가 심각한 보안 취약점을 보유하게 된다는 점이다. 또한, 57%의 고객은 오픈소스 컴포넌트 활용에 대한 정책을 보유했지만, 이중 29%는 보안정책이 부재했다고 진 이사는 설명했다.

“IoT 플랫폼의 구성요소 전반에 보안고려가 필요하지만 많은 제조사들이 이를 지키지 않고 있습니다. 국제웹보안표준기구인 OWASP에서 IoT 플랫폼 전반에 걸쳐 중요한 보안이슈를 10가지 카테고리로 분류 및 정리해 놓았는데, 저희 HPE에서도 이 카테고리를 활용하고 있습니다. 별도의 보안규정이 없는 곳이라면 OWASP의 보안 체크리스트를 활용하면 좋을 것 같습니다.”

진 이사는 IoT는 새로운 비즈니스의 기회이자 보안위협 요소라며, 보안진단을 통해 보안 취약점을 해결하는 것이 필요하다는 말로 강연을 끝마쳤다.

2016년 CISO협회의 마지막 조찬 세미나는 약 40여명의 회원들이 모여 보안 분야의 새로운 위협이자 먹거리로 떠오른 IoT와 빅데이터, 그리고 보안산업과의 접목 가능성에 대해 열띤 토론을 벌이는 것으로 마무리됐다.
[원병철 기자(boanone@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>