IT가 비즈니스의 중심인 시대, 보안은 어떻게?

"과거 IT는 업무 지원의 색이 강했지만 지금은 IT 없이는 아무것도 진행할 수 없다."

안철수연구소 김홍선 대표가 최근 농협방송에서 "IT 산업이 격변하고 있는 현 시점에서 IT 분야를 어떤 개념으로 이해해야 하는가"라는 질문을 받고 한 답변이다. 또한 김 대표는 기업 보안에 대한 사회인식과 중요성이 높아지는 현 상황에서는 "함께 어울려가는 사회에서 모두가 힘을 합해야 한다. 또한 보안에 대한 적절한 투자와 소프트웨어에 대한 인식 변화가 동반된다면 많은 부분이 개선될 것"이라고 강조했다. 다음은 인터뷰 전문.

Q. 오는 10월이면 안철수연구소 판교 사옥이 세워지죠. 새로운 변화를 맞이하게 돼서 무척 바쁘실 텐데 올 한 해 어떻게 보내고 계십니까?

A.  정신없이 보내고 있습니다. 세계적으로도 구글, 애플 등 IT 산업 자체가 격변하고 있고 저희가 몸담고 있는 사이버 보안에 있어서도 굉장히 많은 위협들과 공격이 감행되고 있고 한편으로는 최초로 저희의 사옥을 지어나가는 행사가 있어 여러 가지를 준비하고 성장 엔진들을 사업화하는 등 바쁘게 보내고 있습니다.

Q.  안철수연구소가 한국 보안 업계를 책임지고 있다고 해도 과언이 아닌데요. 오늘 보안에 관한 여러 가지 질문들을 드리겠지만 그 전에 우리가 IT 분야의 보안에 대해 어떤 개념을 갖고 있어야 할까요?

A.  먼저 IT 보안에 말씀드리기 앞서서 IT 역할에 대해서 다시 한번 생각해 보았으면 좋겠습니다. 농협에서도 굉장히 많은 IT 투자를 해서 업무에 활용을 하고 있지만 과거에는 IT가 우리의 업무를 도와주는 지원의 역할을 했었습니다.

하지만 지금 시대에는 IT가 없이는 어떤 업무나 사업도 되지 않는 기업의 중심에 있다고 할 수 있습니다. 그런 측면에서 IT가 최근에는 인터넷 기반으로 전부 옮겨 왔기 때문에 인터넷 사회에서 보안은 항상 따라 다니는 가장 기본적인 골격이라 할 수 있습니다. 그래서 보안이 사업의 중심이 되는 역할을 하고 있다고 볼 수 있습니다.

IT 보안에 대해서 두 가지를 말씀드릴 수 있겠습니다. 첫째는 정책이 있습니다. 임직원이 지켜야 할 내규, 법 등의 사항이 있고 그 다음으로는 이것을 위협하는 외부의 위협, 내부의 위협, 공격, 여러 가지 바이러스 등 이러한 요소들을 잘 막아서 사업의 중심이 되는 IT를 잘 보호하는지가 IT 보안의 역할이라 할 수 있겠습니다.  

Q.  최근 여러 기업과 IT 관련 업계에서 보안 사고가 잇달아 일어났죠. 이 때문에 기업 보안에 대한 관심과 우려도 커졌는데요. 현재 국내 기업의 보안 상태를 어떻게 보고 계신가요?

A.  하나의 잣대로 보안 수준이 어떻다고 보기는 힘들 것 같습니다. 잘하는 곳도 있고 완전 사각지대도 많으니까요. 중요한 것은 같이 어울려 사는 사회라는 것입니다. 인터넷으로 네트워크로 연결된 사회이기 때문에 어느 한 쪽만 잘해도 안 되고 전부가 같이 잘 해야 하는 그런 사회에 살고 있다는 것입니다.

그 다음으로 IT 보안에 대해 말씀드리기 앞서서 우리나라 소프트웨어 현황에 대해 말씀드려야 할 것 같습니다. 왜냐하면 보안이라는 것은 소프트웨어가 잘 만들어져 있다면 보안 이슈는 없습니다. 그런데 소프트웨어를 제대로 만들지 못 하고 관리하지 못 하고 투자가 제대로 되지 않다 보니 이런 문제가 생기는 것 같습니다.

그리고 IT를 도입하고 장비도 많이 사서 업무에 활용하는 것에 비해서 눈에 보이지 않는 보안에 대한 투자가 미약한 부분들이 많은 위협적 요소들을 발생시키는 원인이라고 생각합니다.

Q. 보안 사고가 발생했다고 하면 빠지지 않는 것이 디도스(DDoS) 공격 같은데 아시는 분들도 있겠지만 구체적으로 어떤 건지 설명 부탁드릴게요.  

A.  어느 백화점에서 세일을 한다고 하면 인파가 몰려들어 제대로 들어가지 못 하지 않습니까. 마찬가지로 어느 특정 인터넷 웹사이트에 들어 가려 해도 많은 트래픽이 폭주하여 접속하지 못하는 현상을 보는데요.

디도스는 그와 같은 현상을 인위적으로 조정하는 것입니다. 실제로 사람들이 많이 몰리는 것이 아니라 밖에서 여러 PC들을 자기 것으로 만들어 특정 타깃을 공격하는 것이죠. 그것이 바로 디도스라 할 수 있고 그 목적은 금품 탈취를 위한 협박으로 시작을 했는데 최근에는 정치적 이슈, 사회적 이슈 등 사회적 분위기를 이끌려는 것과 결부되어 복합적인 양상이라 할 수 있겠습니다.

Q. 사실 ‘치밀한 해킹이나 공격을 막기는 어렵다’라는 불안감이 있는 것 같습니다. 이러한 보안 사고를 근본적으로 막을 수 있는 방법이나 대책이 있는 건가요?

A.  잘못된 편견이 해커들은 어떠한 보안시스템도 뚫어 들어갈 수 있다는 건데 사실은 맞지 않습니다. 문제는 허점이 있기 때문에 들어갈 수 있는 것이고 철저하게 항상 방비를 하면 막을 수 있습니다.

그리고 최근의 사이버 공격의 유형은 전부 악성코드, 즉 바이러스라고 생각하는 것들로부터 시작을 합니다. 왜냐하면 바이러스는 살아 움직이는 것이기 때문에 들어가서 지능적으로 컨트롤할 수 있고 얼마든지 자기가 원하는 방향으로 조정을 할 수 있습니다.

단순히 해커가 앉아서 단말기만 두드리는 것이 아니라 바이러스를 침투시키는 공격으로 최근 3년 전부터 가고 있고 너무나 교묘하고 은밀하게 진행되기 때문에 업무 중에는 모르다가 어느날 갑자기 공격이 되어 피해 사항이 속출되는 것 같습니다. Ahn

사내기자 모희서 / 안철수연구소 커뮤니케이션팀