㈜소프트이천

팬데믹 이후 사회 전반에 걸쳐 디지털 트랜스포메이션(Digital Transformation)이 일어나면서 기업들도 새로운 업무 방식과 디지털 기반 플랫폼으로 탈바꿈하고 있다. 특히 디지털 트랜스포메이션을 성공적으로 이끌고 있는 기업들은 클라우드 시스템을 도입해 IT 인프라의 상당 부분을 클라우드로 마이그레이션했다. 하지만 기존 보안 경계가 외부로 이동함에 따라 사이버 공격의 위험도 증가하고 있다. 기업들의 DT 트렌드에 대응할 수 있는 보안 기술에 대해 알아본다.

2022년 임인년 새해가 밝았다. 코로나 팬데믹 속에서도 전 세계 기업들은 4차 산업혁명 시대 진입과 함께 디지털 경제라는 새로운 패러다임의 변화에 대응하며 치열한 경쟁을 벌이고 있다. 특히 코로나19로 촉발된 디지털화, 비대면의 확산으로 이제 디지털 트랜스포메이션은 더 이상 선택이 아닌 필수 과제가 되었다.

이러한 가운데 지난해 12월 9일 국회에서는 '산업 디지털 트랜스포메이션 촉진법'이 제정, 의결됐다. 법률 제정을 통해 산업 데이터를 적극적으로 활용할 수 있는 발판이 마련됐다는 평가다. 이로 인해 디지털 트랜스포메이션에 대한 투자가 촉진될 것으로 기대하는 분위기다.

2022년 또 다른 변화는 마이데이터 서비스의 본격 시행이다. 지난해 12월 한달 시범사업을 거쳐 1월 5일부터 마이데이터 서비스가 본격 시행됐다. 마이데이터 핵심 기술은 API(Application Programming Interface)로, 금융기관이 직접 개인의 신용 정보를 마이데이터 사업자에게 전달한다는 것이다. 이에 따라 금융업계에서도 마이데이터 서비스와 함께 금융의 디지털 트랜스포메이션이 가속화될 것으로 기대하고 있다.

디지털 트랜스포메이션이 가져올 변화

과학기술정보통신부와 중앙일보가 새해를 맞아 디지털 트랜스포메이션(digital transformation)이 몰고 올 변화에 대해 설문조사를 실시했다. 조사 결과 가상화, 개인화, 플랫폼화, 자동화라는 4가지 디지털 메가 트렌드를 꼽았다.

첫째, 메타버스의 일상화는 가상융합기술(XR), 초고속 이동통신망 등 인프라가 속속 개발되면서 몰입감이 높아졌기 때문에 가상화를 가능케 했다. 가상화는 새로운 수익 창출 기회이며, 이로 인해 생산성이 높아질 것으로 기대된다.

둘째, 인공지능(AI)과 빅데이터를 기반으로 한 쇼핑 알고리즘은 나에게 꼭 필요한 정보만 골라 보여주는 방식으로 개인화·맞춤화하고 있다. 실제로 개인화 마케팅은 교육·고용·보험·금융 등에서 폭넓게 활용되고 있다.

셋째, 금융·의료·교육·훈련 등 대부분의 서비스가 플랫폼에서 거래될 것으로 예상된다. 젊은 세대를 위한 패션이라는 특정 아이템을 플랫폼화해 성공한 케이스도 등장했다. 하지만 진입 장벽이 높은 운영체제(OS)를 기반으로 하는 애플·구글 같은 플랫폼은 지배력 남용이 발생할 소지도 크다.

넷째, 자동화는 위험노동, 교육노동, 의료노동까지 대체할 수 있을 것으로 전망된다. 이로 인해 기존 일자리가 줄고 노동 형태가 급변할 것으로 예상된다.

디지털 트랜스포메이션 시대 보안 강화하는 미국

디지털 트랜스포메이션은 2020년 코로나 팬데믹이 촉발한 가장 큰 변화 중 하나이다. 사회적 거리두기로 인해 온라인을 기반으로 한 경제활동이 급격히 성장했고, 과거와는 다르게 재택근무 같은 새로운 업무 방식과 새로운 디지털 기반 플랫폼이 필요하게 되면서 디지털 트랜스포메이션이 점점 가속화되고 있는 것이다.

미국에서도 사회 전반에 걸쳐 디지털 트랜스포메이션이 일어나면서 사이버 보안 분야에서 광범위한 수요가 촉발되고 있다. 재택근무에 이용되는 직원의 VPN 계정정보를 획득하고 보안 취약점을 이용해 기업 내부망에 접근하거나, 원격수업 파일 다운로드를 통해 랜섬웨어를 공격하거나 첨부파일을 이용해 악성코드 감염을 유도하는 등의 형태로 보안 사각지대를 노린 사이버 위협이 증가하고 있기 때문이다. 뿐만 아니라 디지털 트랜스포메이션의 핵심 기반기술이라고 볼 수 있는 클라우드 서비스 사용이 증가하면서 클라우드 서비스를 대상으로 한 공격도 함께 증가해 사이버 보안에 대한 필요성은 더욱 커지고 있다.

미국의 경우 2021년 5월 사이버 공격으로부터 에너지, 식량, 물, 전력 시스템과 같은 핵심 인프라 시설을 보호하기 위해 ‘국가의 사이버 보안 향상에 관한 행정 명령(Executive Order on Improving the Nation’s Cybersecurity)’에 서명했다. 또 같은 해 7월에는 핵심 인프라 소유자 및 운영자가 사이버 보안과 관련해 준수해야 하는 사항들을 담은 '핵심 인프라 제어 시스템을 위한 사이버 보안 개선'에 관한 국가 보안 각서(National Security Memorandum on Improving Cybersecurity for Critical Infrastructure Control Systems)에 서명했다.

미국의 기업들 사이에서도 사이버 보안은 최대 고민거리다. 글로벌 컨설팅 기업 PWC에서 2021년 1월 실시한 제24회 연례 CEO 설문조사결과에 따르면, 사이버 위협은 북미 지역 자산 및 자산 관리, 보험, 사모펀드, 은행 및 자본시장, 기술 부문 기업의 CEO가 가장 우려하고 있는 관심사인 것으로 나타났다. 코로나19 이후 디지털 트랜스포메이션이 가속화되고 있지만 사이버 보안 위험도 함께 커졌기 때문이다.

이에 따라 미국의 기업들은 그 어느 때보다 사이버 보안 및 개인정보 보호에 많은 비용을 지출하고 있고, 미래의 사이버 보안 위험에 대비하고 있다. 미국 Digital Trust Insight 스냅샷에 따르면, 기업에서 올해 사이버 보안과 관련한 투자액이 상당히 증가했으며, 2022년에는 사이버 보안 및 개인정보 보호 관련한 지출이 훨씬 더 증가할 것으로 전망된다. 뿐만 아니라 랜섬웨어 및 소프트웨어 공급망 사고가 급증할 것으로 예상하고 있으며, 보안팀을 재구성해 자사의 제품 개발 및 비즈니스 팀에 포함시킨 것으로 나타났다.

디지털 트랜스포메이션 시 도입해야 하는 신기술

기업들이 디지털 트랜스포메이션을 준비하며 신흥기술들을 서둘러 도입하고 있는데 우선적으로 도입해야 하는 디지털 신흥기술은 클라우드, 데이터/분석, 인공지능/인식 컴퓨팅, RPA(로봇 프로세스 자동화), 모바일 순이었다.

최우선 순위로 뽑힌 클라우드 기술은 디지털 트랜스포메이션의 핵심이라고 해도 과언이 아니다. 클라우드 시스템 도입은 디지털 트랜스포메이션을 위한 출발점으로, 클라우드 시스템을 먼저 도입해야 인공지능, 머신러닝, IoT, 블록체인, 로봇, 5G 등의 새로운 ICT 기술을 유연하고 편리하게 도입할 수 있기 때문이다. 하지만 클라우드 시스템을 도입하게 되면 많은 데이터와 애플리케이션이 기존 보안 경계의 외부로 이동함에 따라 사이버 공격의 위험도 증가하게 된다.

두번째 신흥기술인 데이터/분석 기술은 많은 기업이 독점 데이터 및 타사 데이터 벤더와의 통합을 통해 얻은 통찰력에 의존하고 있기 때문에 데이터 보호와 보안은 법적인 요건을 충족하는 것을 넘어, 고객 개인의 데이터 보안 및 개인정보 보호 기대 사항을 충족시키는 데 있어 가장 중요한 요소다.

인공지능 및 로봇 프로세스 자동화에서 많이 활용되고 있는 챗봇의 경우 사용자 권한을 가지고 있으며 중요한 회사 데이터 및 자동 처리 시스템에 액세스할 수 있기 때문에 해킹조직에 노출되어 있다. 해킹 조직은 챗봇을 사용해 시스템 내부로 침투할 수 있기 때문이다. 이렇듯 자동화 기술은 엄청난 잠재력에도 불구하고 개발 및 교육 과정과 사용 과정에서 기업의 취약점을 가중시킬 수 있다.

국내에서도 코로나19로 인해 온라인 소비, 원격근무 등 비대면화가 확산돼 '디지털 역량'이 국가 경쟁력의 핵심요소로 부각됨에 따라 정부 주도로 ICT를 전 산업분야에 융합하는 디지털 트랜스포메이션을 준비하고 있다. 문제는 디지털 트랜스포메이션에 따른 사이버 보안 위협의 증가는 필연적이라는 사실이다. 사이버 공격이 급증하면서 보안의 중요성은 날로 커지고 있는데 중소기업은 부족한 전문인력과 예산 등으로 보안 위협에 취약한 것이 현실이다.

디지털 트랜스포메이션과 5대 사이버 보안 위협

안랩은 디지털 트랜스포메이션 시대를 맞아 급증할 것으로 예상되는 ‘2022년 5대 사이버 보안 위협 전망’을 발표했다. 안랩이 전망한 내년 주요 보안위협은 ▲정치/사회적 이벤트를 활용한 공격 전개 ▲생활 속에 스며드는 IoT 환경을 노린 해킹 본격화 ▲첨단기술 노린 국가지원 조직의 공격 ▲랜섬웨어 조직 운영 및 공격 고도화 ▲새로운 공격 포인트의 가시화 등이다.

1. 정치/사회적 이벤트 활용한 사이버 공격
2022년에는 베이징 동계 올림픽(2월)과 카타르 월드컵(11월) 등 세계적인 스포츠 이벤트와 대통령 선거 등 정치적 이벤트가 많다. 이러한 사회 주요 이슈는 전통적으로 공격자들이 사이버 공격에 자주 활용하는 소재다. 올해도 공격자들은 주요 이벤트를 위장해 스피어 피싱, 이메일, 랜섬웨어 유포시도, 스미싱 등 사회공학적 공격을 전개할 것으로 보인다.

2. IoT 환경을 노린 해킹
지난 2년간 원격근무가 보편화됨에 따라 홈오피스족을 노린 공격이 발생했다면, 2022년에는 우리 생활 속에 스며든 IoT 환경을 노린 공격도 본격화할 전망이다. 특히 최근 5G 기반 빠르고 안정적인 네트워크의 보급으로 월패드, 스마트 스피커, 홈카메라 등과 같은 네트워크 연결 지점이 확장되고 있다. 개인 사용자는 IoT 기기에 부여된 기본 비밀번호를 변경하는 등 기본 보안수칙을 실천해야 하며, 기관 및 기업은 변화하는 네트워크 환경을 고려한 보안 정책 수립과 대응방안을 마련해야 한다.

3. 첨단기술 노린 국가지원 조직의 공격
2021년 한 해 주요 국가 연구 기관을 대상으로 한 해킹시도가 이어진 가운데, 다가오는 2022년에도 첨단 기술을 노리는 국가 지원 공격조직의 사이버 공격이 이어질 것으로 예상된다. 국가의 안보를 위한 방위 산업뿐 아니라 OT(Operation Technology, 운영기술) 환경, 기계·자동차·바이오 등 기술집약적 산업 분야를 노린 사이버 공격이 발생할 수 있다.

4. 랜섬웨어 조직 운영 및 공격 고도화
공격자들은 조직 가입 조건을 강화하는 등 폐쇄적인 운영 방식을 이어가는 동시에, 사법기관 등의 추적을 피하기 위해 점조직화를 가속화할 것으로 보인다. 랜섬웨어 공격 양상 또한 다변화되고 있다. 공격 조직은 무차별적인 랜섬웨어 유포로 몸값을 받아내는 고전적 전략을 벗어나, 가치 있는 정보를 보유한 기업을 타깃해 주요 정보를 탈취하고 금전도 노리는 방식을 취하기 시작했다. 기업/기관에서는 위협 인텔리전스 서비스 등을 바탕으로 최신 랜섬웨어 공격 양상을 파악하고 이에 맞춘 대응 방안을 준비해야 한다.

5. 새로운 공격 포인트의 가시화
최근 확인된 ‘Log4j’ 취약점의 사례처럼 일반 사용자에겐 생소하나 거의 모든 온라인 솔루션에 광범위하게 사용된 취약점 발견과 이를 악용한 공격시도가 활발해질 것으로 보인다. 또한, 기존에는 일부 사용자들만 관심을 가지던 암호화폐와 NFT(대체불가능토큰)가 대중의 관심을 받음에 따라, 주된 공격 대상으로 떠오를 것으로 보인다. 이를 막기 위해서는 메일의 URL과 첨부파일을 함부로 실행하지 말고, 사용하는 SW의 보안패치를 최신으로 유지하는 등 기본 보안수칙의 생활화가 필수다.

출처 : AhnLab