[시론] "될까?" "된다!" 보안과 사고는 한 끗 차이

벌써부터 고민이다. 타 기관과 기업으로 확산할 수 있는 성공적 사례를 어렵게 만들었는데, 이제 민간으로 확산되도록 해야 하는데, 그 과정에서 겪었던 고민과 어려움들이 쉽게 발을 떼지 못하게 한다. 이미 언론과 참여자들에게 약속한 터라 물릴 수도 없다. 바로 지난해 한국인터넷진흥원이 공공기관 최초로 시도했던 보안 취약점 찾기 대회인 '핵 더 키사(Hack the KISA)' 이야기다.

최근 발생한 대규모 개인정보 유출, 콘텐츠 위변조 등 인터넷 침해사고는 기업이나 기관이 운영 중인 홈페이지나 서비스의 취약점이 공격 통로로 악용된 경우가 많다. 이에 기업이나 기관이 자발적으로 서비스를 개방하고 민간 취약점 보안 전문가와 협력해 취약점을 발굴하는 활동을 하고 있지만 현실적 제약으로 확산되지 못하고 있다. 현행 정보통신망법상으로는 실제 운영 중인 홈페이지를 공익적 목적으로 취약점을 발굴하더라도 금지 행위에 해당된다.

또 좋은 뜻에서 취약점 개선을 위한 활동을 기획하더라도 홈페이지나 서비스가 운영이 중단되기라도 한다면 기업의 영업 이익의 손실이나 이미지에 타격을 입을 수 있다. 민간 취약점 보안 전문가들에게도 문을 열기가 쉽지 않은 이유다. 해외의 경우 2011년 페이스북을 시작으로 깃허브(Github), 야후 등 웹 서비스 보안 취약점 신고포상제를 직접 운영하며 웹 서비스 보안을 강화하고 있다. 반면 우리는 네이버, 카카오뱅크와 같은 국내 기업은 서비스 보안 취약점 발굴을 지속적으로 하고 있지만 극히 소수의 기업들만 참여하고 있다.

이 때문에 지난해 한국인터넷진흥원이 운영 중인 홈페이지를 대상으로 취약점 신고 포상제를 실시한다고 발표했을 때 주위에서도 준비과정에서의 어려움과 예측 불가능한 상황 때문에 대회 진행을 말렸었다. 국내 민간 분야 보안을 담당하고 있는 전문기관의 홈페이지나 서비스가 중단될 수도 있다는 위험부담을 안고서라도 대회를 감행해야 했던 것은 그만큼 민간 분야의 IT 서비스가 취약점에 많이 노출되어 있고, 이를 개선하기 위한 노력이 부족하다는 판단에서였다.

이번 대회에는 총 485명의 민간 보안 전문가가 참여했는데, 국내 화이트해커가 약 500명 정도로 추산되는 것을 감안하면 대부분의 보안 전문가가 참여했다고 볼 수 있다. 대회 시작 26분 만에 최초 취약점이 접수되며 내부에서는 우려한 사태가 발생하는 것은 아닌지 긴장감이 높아지기도 했다. 대회 기간 총 163건의 크고 작은 취약점이 접수됐고, 그중 유효한 보안 취약점 60건을 선정하고 총 28명에게 포상하며 대회는 마무리됐다.

이번 대회는 정보보호 전문기관을 자처해 온 우리도 느낀 바가 컸다. 정기적으로 수행되는 취약점 점검도 중요하지만 이들 점검에서 놓칠 수 있는 취약점을 외부 민간 취약점 보안 전문가들과 협력해 다양한 관점에서 찾을 수 있었다. 매순간 따라다녔던 "될까?"하는 의문이 "된다!"는 자신으로 바뀌었고, 우리도 하는데 타 기관이 못할 것도 없다는 확신이 섰다.

'핵 더 키사' 대회는 이용자들이 인터넷 이용을 위한 관문이 되는 웹 서비스 보안을 강화하는 작은 출발점이다. 개방형 서비스 취약점 발굴 모델이 민간 기업과 공공기관에 확대돼 웹 서비스의 보안 취약점이 개선되지 않는다면 국내 서비스는 개인정보 유출, 콘텐츠 위변조 사고에서 언제나 해커들의 좋은 먹잇감이 될 것이다. 올해는 보안 취약점 발굴과 개선에 의문점이나 어려움을 가지고 있었던 많은 기업들이 참여해 인터넷 환경을 안전하게 개선하고 침해사고를 사전에 예방하는 계기가 됐으면 한다.

이재일 한국인터넷진흥원 사이버침해대응본부장

.