디지털 대전환시대에 이른 현대사회에서 아날로그 방식의 운영을 해온 중소기업들이 점차 클라우드 시스템을 도입한 환경으로 기업 인프라를 변화시키고 있는 추세다. 코로나19 팬데믹 이후 재택근무와 화상회의 등 비대면 업무환경이 전환되고 있는 상황이다. 이런 가운데 보안의 위협도 증가하고 있다. 보안 취약 사례와 인터넷진흥원(이하 KISA)의 조치 방안에 대해 짚어본다.
기업의 환경 변화와 보안 위협
배승권 KISA 방역점검팀 팀장은 올해 사이버 위협에 대해 ▲로그4j 취약점 문제의 장기화와 공급망 보안위협 ▲다양한 사물인터넷 기기 대상 사이버 위협 증가 ▲끝나지 않은 랜섬웨어와의 싸움 ▲디지털 대전환의 핵심 기반 클라우드 보안 위협 증가 ▲메타버스, NFT, AI등 신기술 대상 신종 위협 발생 ▲사회적 이슈를 악용한 스미싱, 해킹 메일 지속 등을 전망했다.
이 상황에서 정보보호 중요성 인식이 필요하다는 의견을 나타냈다. 지난 2021년 정보보호 실태조사에 따르면 기업의 88% 이상이 정보보호와 개인정보보호가 중요하다고 인식하고 있는 것으로 나타났다. 기업의 규모가 크면 클수록 정보보호 중요성 인식은 높은 것으로 조사됐다. 그러나 응답한 기업의 73%는 침해사고에 대응하기 위한 별다른 활동은 하지 않는 것으로 나타났다. 이들 기업들에게서 나타나는 보안상의 약점은 미흡한 보안 정책, 보안을 고려하지 않은 시스템 개발, 보안패치가 중단된 소프트웨어 사용 등이 있었다.
국내 중소기업들의 주요 취약점, 무엇이 있었나?
KISA가 지난해 취약점 분야별 점검을 진행한 결과 ▲네트워크 분야가 가장 취약했던 것으로 드러났다. 이어서 ▲클라우드 서버 ▲데이터베이스 ▲유무선공유기 ▲PC 순이었다. 이에 대한 취약점 보완 방법으로 배승권 팀장은 네트워크 분야의 경우 업무망과 서버망을 분리 운영하고 방화벽을 통해 비 인가자가 접근할 수 없도록 통제할 것을 권장했다.
클라우드 분야에서는 각 업무와 역할에 맞도록 계정을 분리하고 필요한 만큼의 권한을 부여하는 조치가 요구됐다. 이와 더불어 데이터베이스 분야에서는 해킹과 장애에 대한 원인 분석을 위해 접근·행위 정보를 기록해서 관리해야한다. 유무선공유기 분야에서는 무선 네트워크 보호대책이 미흡함에 따라 네트워크 이름을 숨기고 강도 높은 패스워드를 설정, 와이파이(WIFI)접속 기기를 지정해야 할 필요성이 요구됐다.
또 PC 분야에서는 업무와 상관없는 개인용 서비스(메신저, 클라우드 저장소, 소셜미디어 등)는 업무용 PC에서 사용하지 않도록 관리가 필요하다고 KISA는 전했다.
KISA가 제공하는 중소기업 대상 정보보안 서비스 적극 이용해야
KISA에서 제공하는 중소기업 대상 정보보안 서비스를 적극 이용할 필요성이 있어 보인다. KISA가 제공하는 서비스 중에는 ▲내서버돌보미(원격보안점검) ▲사이버 위기대응 모의훈련 ▲웹보안도구(휘들/캐슬) ▲SW 개발보안 진단 서비스가 있다. 따라서 해당 서비스를 적극 활용해 보안수준을 향상시키는 것이 필요하다는 지적이다.
한편 지난해 KISA에서 점검한 기업 중에는 총 63%의 기업이 클라우드 환경을 이용한 것으로 나타났다. 또 정보보호 조직을 보유한 기업은 보안수준 점수가 평균 42.8점이었던 것에 비해 정보보호 조직을 보유하지 않은 기업은 평균 31점으로 조사됐다.
AI타임스 나호정 기자 hojeong9983@aitimes.com
