지난해 우리는 통신 3사부터 유통, 카드에 이르기까지 유례없는 침해사고를 겪었다. 정부의 대응도 빨랐다. 범부처 정보보호 종합대책이 나왔고, 정보통신망법이 전면 개정돼 정부가 기업 신고 없이도 조사에 착수할 수 있게 됐다. 화이트해커와 협력하는 취약점 신고·공개 제도가 시범 운영에 들어갔고, 설치형 보안 소프트웨어(SW)는 단계적으로 걷어내기로 했다. 제도는 분명히 촘촘해졌다.
하지만 올해도 사고는 이어진다. 지난 3월에는 국가 배후 해킹조직이 국내 워터링홀 공격에 AnySign4PC 취약점을 이용해 원격코드 실행을 시도한 정황이 포착됐다. 공공기관과 금융권 사이트를 쓰려면 설치해야 하는 공동인증서용 프로그램이다. 6월 긴급 업데이트 권고가 나갔는데, 같은 제품군에는 지난해 3월에도 권고가 나왔다. 정부가 없애겠다고 선언한 프로그램이 여전히 국민의 PC에 깔려 있고, 공격자는 우리보다 먼저 취약점을 찾아 썼다.
대책이 듣지 않는 것일까. 아니면 과거에 뚫린 사실이 이제야 드러나는 것일까. 정직하게 말하면 알 수 없다. 우리가 발표하는 지표는 침해사고 신고 건수인데, 정책이 성공해도 이 숫자는 늘고, 신고 의무를 강화해도 늘어난다. 사고 시점과 인지 시점은 몇 년씩 벌어져 있다. 462만건이 유출된 공공 서비스는 1년 반 동안 유출 사실을 몰랐고, 경찰이 다른 사건을 수사하다 우연히 찾아냈다.
◇제로데이만이 문제는 아니다
건수는 해석이 갈려도 원인은 갈리지 않는다. 올해 사고들의 원인을 보면 소스코드에 암호화 없이 박혀 있던 접속키, 2년 전 모의해킹에서 이미 지적됐으나 방치된 취약점, 웹 취약점, 여러 대기업이 함께 쓰는 협력사 구매 시스템의 결함이다. 새로운 것이 하나도 없다. 모두 미리 알 수 있었던 문제다.
지금 정부 대책은 조금 다른 곳을 향한다. 인공지능(AI)이 취약점을 대량으로 찾아내는 시대가 열렸고, 취약점 관리센터가 문을 열었으며, 사이버보안 특화 AI 모델 개발이 이번 달 시작됐다. 방향 자체는 옳다. 새로운 취약점은 실제로 위협이고, 협력사 SW를 거쳐 들어오는 경로처럼 외부에서 시작해 내부로 침투하는 공격도 있다. 다만 우리 현실에서는 입구가 한 번 열리고 나면 새로운 취약점이 더는 필요하지 않은 경우가 많다. 안으로 들어가면 오래된 버전이 그대로 있기 때문이다.
이유는 단순하다. 운용체계(OS)를 올리려면 서비스를 멈춰야 하는데 서비스 중단에 따른 장애 책임을 아무도 지려 하지 않는다. 외주로 만든 시스템은 유지보수 계약이 끝나면 고칠 주체가 사라진다. 공개 SW를 가져다 여러 번 고쳐 쓴 시스템은 원본에 패치가 나와도 적용하기 어렵다. 시스템은 그렇게 과거에 멈춘다. 찾는 도구를 아무리 좋게 만들어도, 취약점을 고쳐야 할 조직이 2년 전 모의해킹 보고서조차 열어보지 않았다면 결국 목록만 쌓인다.
◇하는 회사와 하지 않는 회사
지난 7월 코드게이트 오픈토크에서 국내 최전선의 실무자들과 1시간 넘게 이야기를 나눴다. 같은 질문에 답이 정반대로 갈리는 지점이 있었다.
한 대형 포털은 서버가 입고되는 단계에서 사용 부서와 시스템 엔지니어가 연결되는 체계를 2000년대 중반부터 운영해왔다. 취약점이 공개되면 영향을 받는 서버를 특정해 우선순위를 정할 수 있다. 코드는 풀 리퀘스트 단계에서 자동 분석이 돌고, 요즘은 개발자가 AI로 코드를 생성하는 시점부터 보안 조직의 지시문이 들어간다. 오래 전부터 보안 취약점과 개인정보 분야에 포상 제도를 운영해 외부의 제보도 받아왔다. 한 핀테크 기업은 서비스를 이중화해두고 트래픽을 한쪽으로 몰아 순차적으로 패치한다.
다른 쪽은 사정이 다르다. 개발 인력 149명에 정보보호 전담 인력이 4명 내외였던 회사가 있고, 모니터링은 중앙처리장치 부하 감지 수준이어서 대량 조회를 실시간으로 잡아내지 못했다. 한 대기업 임원은 자사 서비스가 12년 동안 한 번도 멈춘 적이 없다고 자랑한 적이 있다. 12년 동안 OS 패치를 하지 않았다는 뜻이다. 그는 이를 부끄러워하지 않았다.
두 그룹의 차이는 기술도 돈도 아니다. 앞의 회사들이 한 일은 보안 투자이기 이전에 아키텍처 투자였다. 서비스를 멈추지 않고 고칠 수 있는 구조를 먼저 만들어뒀을 뿐이다. 비싼 장비를 산 일이 아니라 20년에 걸쳐 구조를 만든 일이다.
◇알고 싶은가, 고치고 싶은가
여기서 3개의 질문이 갈린다. 알고 싶은가. 알면 고치고 싶은가. 고치려 할 때 실제로 고칠 수 있는 구조인가.
우리 제도는 세 질문 어디에도 값을 매기지 않는다. 취약점 신고·공개 제도 시범사업에 참여한 기업이 일곱 곳이다. 이미 스스로 포상 제도를 운영해온 회사는 제도가 없을 때도 했고, 하지 않던 회사는 제도가 생겨도 참여하지 않았다. 밖에서 찾아주는 연구자에게 매긴 값도 없다. 필자의 연구실 학생들은 해외 제조사 포상 제도에서 취약점 한 건에 1만5000달러를 받는다. 그 정도 보상이 있어야 몇 주씩 남의 제품을 뜯어본다. 취약점을 찾는 일에는 이미 국제적인 시장 가격이 있는데, 우리는 그 대가를 치를 생각을 해본 적이 없다.
반대편에는 매출액 3% 과징금, 매출액 10% 징벌적 과징금, 미신고 적발 시 30% 가중, 공공기관 평가의 감점 20점이 있다. 모두 사고를 알게 된 뒤에 발동한다. 자기 돈으로 부른 모의해킹 보고서는 나중에 고의·중과실을 판단하는 자료가 된다. 취약점을 찾아낸 기록이 방패가 아니라 칼이 된다. 이 구조에서 기업이 내리기 쉬운 결론은 '빨리 알아야겠다'가 아니다.
고치는 일은 더 어렵다. 최고정보보호책임자(CISO)를 임원으로 올리고 이사회에 보고하게 했지만, 이중화도 백업도 유지보수 계약도 최고정보책임자(CIO)의 예산이다. 더구나 이 비용은 정보화 예산으로 잡힌다. 사고를 막기 위해 제대로 투자할수록 분모가 커져 정보화 예산 대비 정보보호 투자 비율은 오히려 떨어진다. 결국 남는 선택은 분자를 키우는 것이다. 자기 인프라는 그대로 두고 보안 장비를 산다. 패치되지 않은 서버 앞에 최신 장비가 줄지어 서고, 정작 사고가 나면 무엇이 나갔는지 확인할 로그가 없다. 20년 전 필자가 보안 극장이라 불렀던 무대와 같은데, 이번에는 관객의 심리가 아니라 우리가 만든 계산식이 무대를 세운다.
다만 예외가 하나 있다. 접속기록이다. 남기지 않으면 안전조치 의무 위반으로 처분을 받고, 사고 뒤에 지우면 별도 제재가 붙으며, 은닉 사실을 신고한 사람에게는 과징금의 일정 비율이 포상금으로 지급된다. 예방 행위에 값이 매겨진 유일한 영역이다. 정부는 예방에 값을 매길 능력이 있다. 접속기록에만 값을 매긴 이유도 분명하다. 기록이 없으면 사고 이후 조사를 할 수 없기 때문이다.
◇무엇을 셀 것인가
문제는 사고 뒤 책임을 묻는 기준은 촘촘해졌지만, 사고를 막기 위해 평소 무엇을 했는지를 평가하는 기준은 없다는 데 있다.
당근을 만들려면 먼저 셀 것을 정해야 한다. 셀 수 있는 것은 많다. 보유 서버가 몇 대인지, 자산 목록이 실제와 얼마나 맞는지, 그중 지원이 끝난 OS가 몇 퍼센트인지, 마지막 패치가 언제였는지, 알려진 취약점이 공개된 뒤 조치까지 며칠이 걸렸는지, 침입 시점과 인지 시점이 얼마나 벌어졌는지, 사고를 밖에서 통보받았는지 스스로 찾아냈는지. 어느 것도 새로 개발할 지표가 아니다. 잘하는 회사는 이미 세고 있고, 못하는 회사는 무엇을 세야 하는지조차 파악하지 못한 경우가 많다. 이런 항목이 정보보호 공시에 포함되면 기업이 평소 보안을 얼마나 해왔는지 드러난다. 지금은 반기마다 신고 건수를 발표할 뿐이고, 그 숫자로는 기업의 예방 수준을 알 수 없다.
그 다음에는 스스로 문제를 찾고 고친 기업을 보호하는 장치가 필요하다. 정해진 주기로 점검하고 기한 안에 조치하고 그 이력을 남긴 기업은 사고가 나더라도 고의·중과실 판단에서 보호받는다는 원칙이 있어야 한다. 찾은 기록이 방패가 되어야 찾을 이유가 생긴다. 국민에게 설치를 강제하는 SW에 대해서는, 미국이 그러하듯 취약점 공개 정책 운영을 납품 요건으로 걸 수 있다. 가점을 주는 수준이 아니라 그 요건을 갖춰야 납품할 수 있어야 움직인다.
지난 1년간 사고가 나지 않은 기업은 예방을 잘한 대가로 무엇을 받았는가. 자산을 분기마다 조사한 기관과 한 번도 하지 않은 기관의 차이는 어디에 기록되는가. 모의해킹 보고서를 받아든 책임자는 취약점을 고칠 예산을 어디서 구하는가. 20년 전부터 포상 제도를 열어온 기업이 그 노력의 대가로 제도에서 받은 것은 무엇인가.
예방에 성공한 기업이 얻는 것은 아무 일도 일어나지 않은 하루뿐이다. 그리고 그 하루는 어디에도 기록되지 않는다.
이 구조가 바뀌지 않는다면 다음 조사 결과 발표문에도 같은 문장이 실릴 것이다.
“이미 알고 있었는데 고치지 않았다.”
김용대 한국과학기술원(KAIST) 전기및전자공학부 ICT 석좌교수 yongdaek@kaist.ac.kr
〈필자〉30여년간 보안을 연구해왔다. 국가보안기술연구소 전신인 한국전자통신연구원(ETRI) 부호기술부를 거쳐 미국 미네소타대 교수를 지냈다. 2012년 귀국해 한국과학기술원(KAIST) 전기및전자공학부와 정보보호대학원에서 보안 연구를 이어가고 있다. 자율주행차, 드론, 이동통신, 인공지능 등 신기술의 보안 취약점 발굴 및 분석 전문가다. ACM CCS를 한국에 유치하는 등 국내외 보안 연구 교류에 힘써왔다. 2024년 국제전기전자공학자협회(IEEE) 석학회원으로 선임됐으며, 현재 국가인공지능전략위원회 국방 태스크포스에 참여하고 있다.
