정부의 공공기관 클라우드 보안인증(CSAP) 등급제와 관련해서 “한국의 클라우드 상황을 고려하면 물리적 망분리가 답”이라며 논리적 망분리를 전제로 한 공공기관 클라우드 도입 방향에 의문들이 제기되고 있어요.

CSAP가 결국 보안에 대한 검증을 하는 것인데 협회는 보안성 검토가 약화되서는 안된다는 의견을 꾸준히 내고 있으며, 이번 등급제 완화는 결국 논리적 망분리가 허용된 것인데 논리적 망분리가 위험하다고 생각하진 않지만 논리적 망분리를 다 갖추기 쉽지 않기도 한 것이 현실이에요. 공공은 특히 논리적 망 분리에 힘들어할 수 있다고 밝힌 바 있기도 하죠.

공공기관 중 일부의 경우는 소규모인 곳들도 많은데 자체적으로 보안 운영을 할 수 있는 곳들이 거의 없어 부담이 가중될 수 있으며 결과적으로 물리적 망분리가 답이라고 본다는 의견도 있었어요.

한국클라우드산업협회가 18일 KT클라우드 본사에서 기자간담회를 개최하고 협회 운영 방안과 비전을 공유하는 자리를 마련했다고 해요.

그 자리에서는 올해 ‘클라우드 산업을 위한 정책지원과 협력체계 구축강화’에 대해 논의되었고 “특히 디지털 플랫폼 정부사업에 있어 회원사들이 공공부문 SaaS 도입을 위한 정부 업무 시스템 구축 사업과 디지털플랫폼정부에 적합한 새로운 보안체계 마련 시, 관련 융복합 사업에 참여를 할 수 있는 방향이 있을 것”이라고 밝혔다고 해요.

예를 들면 클라우드와 보안은 뗄 수 없는 관계로 보안 산업의 글로벌 경쟁력 확보를 위한 클라우드 환경에 따른 보안 표준 마련과 글로벌 표준을 선도하기 위한 신사업 창출 등에 참여가 가능할 수 있을 것 같아요.

이에 맞게 협회는 조금 더 다양한 산업인들의 목소리를 대변하고자 개방형 클라우드 협의체(C.C.A)를 통한 다양한 분과위원회 활동을 적극적으로 추진함은 물론 정책협의회를 비롯한 클라우드 리더스포럼 등 운영 중인 협의체 활동을 활성화하고, 이슈 발생 시마다 산업계의 애로사항을 비롯한 다양한 목소리에 귀를 기울이며 계획 중인 다양한 분과 내 세미나와 포럼, 각 분과 별 의미 있는 활동 등을 통해 업계 대변단체로서 역할을 확대, 수행하고, 디지털플랫폼정부 정책과 관련해선 다양한 사업적 기회를 살펴보면서 정부 전략에 따라 공공부문 SaaS 도입 선도와 전략적 육성 등을 통해 정부 업무 시스템 구축 시 민간 SaaS 활용이 가능한 분야는 적극적으로 우선 활용해 나갈 예정이에요.

또, 디지털 전문계약 제도 관련 등록·심사 절차를 간소화하도록 검토하겠다는 내용 등도 협회는 주목하고 있어요.

정부에서 국내 SaaS 확충을 위한 창업-성장-글로벌 진출까지 성장단계별로 집중지원이 추진된다면, 클라우드 글로벌 진출을 위한 밑거름과 성장 발판 제공의 기회가 될 것이라 생각해요. 프랑스와 일본 등 다른 국가에서는 디지털을 중심으로 창업 생태계가 재편되고 있기도하죠.

국내에서도 클라우드 기업 육성을 위한 추진전략 정책이 잘 시행된다면, 경쟁력 있는 SaaS 기업들이 자연스럽게 확대되고, 시장이 활성화 될 것이라 생각이 들어요.

이에따라 국내 클라우드 기업들의 글로벌 진출을 위한 산파 역할도 계속되고 있으며, 글로벌 진출을 위해서는 진출국에 대한 기본적 생활 정보와 법·규제·관련 정책 등 사전정보가 필요해요. 한국클라우드산업협회에서는 현지에서 지원 가능한 체제 및 방안을 마련하기 위한 계획을 수립 중이며, 앞으로 정기회의를 통해 관련 정보를 다양하게 공유하는 등 국내 기업의 성공적인 글로벌 진출을 위해 적극적으로 지원할 예정이라고 강조했어요.

최근 IT시장을 휩쓸고 있는 오픈AI의 ‘챗GPT’로 촉발된 AI 시장 활성화에 맞춰 AI 관련 분과위원회와 DaaS 지원을 위한 분과위원회 신규 출범도 앞두고 있다고 해요.

이에 따라 회원사 내에서도 AI 관련 사업을 운영하는 기업이 확대되고 있으며, AI 클라우드 기업 간 긴밀한 협력체계의 필요성이 지속적으로 요구되고 있어요. 때문에 관련 분야 정보 및 기술 공유를 위한 창구가 필요하다는 의견이 있었어요.

특히 클라우드 없이는 챗GPT가 만들어질 수 없고 이는 막대한 투자 없이는 안되며, K클라우드 사업과 같이 정부가 마중물 역할을 하고 있어야 하며, 설령 정부의 투자가 없더라도 가야만 하는 길이에요.

한편 소프트웨어산업협회(KOSA)의 SaaS 추진협의회가 SaaS 전환 방향성에 중점을 두고 운영하고 있다면 한국클라우드사업협회(KACI)는 SaaS 지원, PaaS 지원, 클라우드 보안, 클라우드 글로벌 진출 등 각각의 클라우드 서비스별 기업의 목소리를 통해 현업의 이슈 해결을 위한 방안을 강구함으로써 클라우드 시장 활성화를 위해 참여한다는 점에서 차별화 하고 있다고 하네요.

○2023년 클라우드 생태계를 위협할 네 가지 C(2022.12.23.)

○ 클라우드 도입 지원해 ‘중소기업 디지털 대전환’ 가속화(2021.12.23.)

끝이 없는 보이스피싱 범죄

보이스피싱은 우리의 끝나지 않는 전쟁 중 하나에요. 예전에는 ‘보이스’라는 말 그대로 전화 너머 목소리만으로 범죄 행위를 저질렀다면, 현재는 번호 변작 부터 추적이 어려운 가상자산 탈취에 이르기까지 보이스피싱은 점점 고도화·지능화되고 있어요.

보이스피싱이 근본적으로 생겨난 원인은 쉽게 ‘돈’이 되기 때문이에요. 기술적 고도화를 차치하고서라도 ‘누구나’ 당할 수 있다는 게 문제죠. 오히려 의사나 대학교수 등과 같이 ‘절대 안 당할’ 법한 분들이 피해를 입는 경우가 꽤 많아요.

한국인터넷진흥원(KISA)에서는 보이스피싱은 쏠쏠한 수입원이 유지된다면 결코 끝나지 않을 것이라고 말했어요. 그러나 다행스럽게도 최근 보이스피싱 범죄는 감소 추세에 접어들었다고 해요. 여기에 숨은 공신이 바로 KISA의 사이버전사들이라고 해요. 경찰청·통신사와의 꾸준한 협력으로 보이스피싱 피해로부터 국민들을 지키기 위해 고군분투해 왔다고 하고요.

KISA의 탐지대응팀에서는 국내 민간분야 정보통신 서비스에서 발생 가능한 사이버위협을 탐지·식별하고 침해사고 발생 전후 피해 확산을 방지·대응하는 역할을 수행하고 있으며, 보이스피싱 범죄뿐만 아니라 사이버위협 이상징후를 선제 탐지하고 대응하는 역할을 수행해요. 최근 신설된 보이스피싱 대응팀과도 협력해 업무를 수행하며 우리나라 449만개 홈페이지를 대상으로 매일 하루도 빠짐없이 △악성코드 삽입 여부 점검 △해킹 공격 위협 노출 여부 점검 △위협 IT 인프라 식별 및 사전 조치 등을 지원하면서 중소·영세기업을 디도스(DDoS) 공격으로부터 보호하기 위해 ‘DDoS 사이버대피소’를 운영하고 있어요.

KISA는 본래 사이버 침해사고 전문기관으로 주로 스미싱 탐지, 악성 앱 분석을 담당해 왔어요. 하지만 보이스피싱 형태가 악성 앱으로 진화하면서 대국민 피해로 이어져 경찰·통신사 등과 긴밀히 협력하기 시작했죠.

오랜 기간 KISA는 사이버사기 범죄 근절을 위한 노력해 왔으나 보이스피싱 피해가 늘어남에 따라 악용되는 정보통신 서비스 차단 등의 대응을 경찰과 국내 통신사와 협력하며 적극 수행하고 있고, 기존 담당 업무였던 스미싱 문자 탐지·차단 강화는 물론 보이스피싱 범죄 조직을 소탕하는 경찰과도 긴밀히 협력하고 있어요.

KISA만의 다양한 사이버 침해 사고 조사 및 긴급 대응 등 현장 경험을 토대로 보이스피싱 범죄자들의 IT 인프라 악용 사례를 분석·대응하면서 유용한 정보들을 수사기관에 전달해 사이버 범죄자 검거를 지원하고 있다고해요.

그동안 △사고 조사 △긴급 대응 △현장 조사와 관련한 KISA만의 노하우를 살려 보이스피싱 조직의 IT 인프라에 휴대폰 코드를 심거나 이들의 중계기 휴대폰 번호 변작 행위에 대한 조사가 가능해지면서 그 결과로는 경찰 측에서 해결하기 어려운 악성 앱 분석을 통해 앱 출처 및 제공처 등을 통신사와 함께 공유함으로써 보이스피싱 조직 검거에 큰 역할을 할 수 있었어요.

보이스피싱은 전문적인 IT 기기 ‘해커’ 집단

과거에는 보이스피싱이라면 말로 속이는 행위만 생각했지만 지금은 SMS, 메신저 같은 대화형 서비스를 보조수단으로 이용하는 건 기본이고 악성 앱을 제작해 직접 유포하기도 해요. 혹여 악성 앱을 설치한다면 해당 스마트폰은 공격자가 완전히 장악하게 되죠. 10원짜리 문자 한 통으로 200만 원대 휴대폰까지 그들의 것이 될 수 있어요. 탈취된 휴대폰은 전화번호 조작뿐만 아니라 강제 수·발신도 가능하다고해요. 공격자가 그 정도로 IT 기기에 전문가인 해커가 됐어요. 보이스피싱이라고 말하기 무색할 정도죠.

이처럼 공격자들이 휴대폰을 장악하게 되면 휴대폰의 기본 기능인 전화 수·발신, 문자메시지 내용을 제어하면서 피해자를 속이고, 경찰 등 수사기관 신고를 직접 방해할 수도 있어요. 사실상 ‘휴대폰’ 하나만 탈취하면 이들은 성공이라고 말하기도해요. 주민등록증, 주민등록등본 등의 개인정보가 담긴 이미지 파일은 물론, 대화 내용과 사진 등 개인 민감정보를 포함해 USIM·GPS 정보 등도 추출 가능하고, 통화 기능 제어·통제를 통한 강제 수·발신까지 가능하기 때문이에요. 최근 보이스피싱 조직은 전자결제대행업체 등을 통해 가상계좌 개설 및 가상자산 탈취로 추적을 피하는 등 첨단 IT 기술을 활용해 더욱 고도화되고 있어요.

보이스피싱 조직이 첨단 IT 기술을 활용해 점점 고도화되고 있다는 건 국내 각종 금융·IT서비스의 취약점 연구·분석을 쉬지 않는다는 의미이기도 해요. 기존 수법인 검찰 사칭이나 개인의 약점을 이용한 협박 등도 여전히 발생하고 있지만 이보다 한층 진화한 형태인 IT서비스를 악용하는 사례들이 늘고 있는데, 악성 앱으로 휴대폰 기능 탈취가 가능한 상황에서 향후에는 일반 앱 공격 가능성까지 전망되고 있다고 볼 수 있어요.

‘통합대응센터