"사이버戰 막으려면 해커 의존 말고 체계를 갖춰라"

LIG넥스원은 28일 고려대와 공동으로 ‘제2회 사이버전 컨퍼런스’를 개최했다. (사진=LIG넥스원)

[이데일리 성세희 기자] “우리나라 굴지의 대기업이나 정부 등은 해커를 채용했는데도 사이버 보안 체계가 좋아지지 않는다고 고민한다. 그러나 모의 해킹 등을 통해서 어떤 보안 프로그램을 점검했는데 취약점이 나오지 않았다면 이 프로그램은 안전할까. 우리 군과 기업 등은 정작 중요한 걸 놓치고 있다.”

LIG넥스원은 김승주 고려대 정보보호대학원 교수가 ‘제2회 사이버전 콘퍼런스’에서 이 같은 내용을 강연했다고 29일 밝혔다.

김 교수는 “모의 해킹이나 해커 채용도 필요하지만 (보안 프로그램) 개발 단계에서 매우 엄격한 체계를 갖추는 게 더 중요하다”라며 “미국 국방성이나 마이크로소프트(MS) 등이 이른바 시큐리티 엔지니어링(개발 기술 체계)을 잘 갖췄다”라고 지적했다.

아울러 “우리나라는 기술 체계를 갖추는 노력을 들이지 않고 보안성 평가 등급도 다른 나라보다 상대적으로 낮다”라며 “특히 정부가 사이버 전쟁을 치르는 우리 군에 들어갈 보안 프로그램을 개발하거나 개발 체계를 갖추는 노력을 기울이지 않는다”라고 덧붙였다.

한국인터넷진흥원(KISA) 출신인 김혁준 나루시큐리티 대표도 “2009년을 기점으로 사이버 정보 보호 패러다임과 사이버 공격 양상이 바뀌었는데 여전히 기술력을 강화해야 한다는 착각에 빠져 있다”라며 “사이버 공격자가 취약점을 찾아서 공격하는데 보안 기계가 작은 단서라도 탐지하면서 제대로 해석하질 못한다”라고 주장했다.

김 대표는 사이버 정보 침해와 공격이 제대로 된 체계를 갖추지 않으면 풀기 어려운 양상으로 변했다고 진단했다. 사이버 공격이 방대한 데이터 속에 숨어버려서다. 특히 사이버 전쟁을 모든 방법으로 적군을 속여서 이기는 병불염사(兵不厭詐)로 빗대면서 사이버 공간 자체를 ‘기만’으로 정의했다.

김 대표는 “사이버 공격이 일련의 흐름을 갖고 진행되기 때문에 (정보 보호 전문가는) 전체적인 흐름 양상을 해석해야 한다”라며 “(우리 군이) 작은 공격에도 북한 공격 등을 들먹이지만 막상 보면 아무것도 아니다”라고 지적했다.

그러면서 “사이버 탐지전과 대응전을 완벽히 분리하고 해킹 관련 정보를 숨기지 말고 구성원에게 공유할 필요가 있다”라며 “개인에게 의존하지 말고 데이터에 의존해서 사이버 공격에 대비하고 투명성을 높여야 한다”라고 말했다.

아울러 “사이버 공간에서 복잡성이 증가하면 정말 치명적인 사이버 공격이 숨어버려서 찾을 수 없다”라며 “사이버 공격에 대비하려면 작은 보안 사고에 전전긍긍하지 말고 (정보 보호) 조직 역량을 끌어올릴 고민을 해야 한다”라고 덧붙였다.

LIG넥스원 관계자는 “북한 사이버 도발에 대응하기 위해 국방 기관과 업계·학계 관계자와 사이버전 무기체계를 논의했다”라며 “첨단 무기체계를 개발하는 방위산업체로서 사이버 보안 분야도 선도하는 기업으로 자리매김하기 위해 전력을 기울이겠다”라고 말했다.