검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'국방부 해킹'통합검색 결과 입니다. (6건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

美 국방부, '보안 최우선' SW 조달 체계 전면 개편…국내도 검토 시급

미국 국방부(DoD)가 사이버 공격과 소프트웨어(SW) 공급망 위협의 증가에 대응해 소프트웨어 조달 시스템을 전면 개편한다. 이번 개편은 보안을 최우선 원칙으로 내세우는 것이 특징이며, 국내 주요 조직들도 이와 같은 방향성을 검토해야 한다는 필요성이 제기되고 있다. 지난 10일 DoD 케이티 아링턴 최고정보책임자(CIO)은 국방부 전역에 발송된 공식 메모를 통해 새로운 조달 정책 이니셔티브인 'SW패스트트랙(SWFT)'을 수립할 것이라고 밝혔다. SWFT 이니셔티브는 국방부가 운용하는 모든 소프트웨어에 대해 획득부터 테스트, 승인까지의 전 과정을 전면 재설계하고 그 과정 전반에 '보안을 기본값으로 내재화'하는 것을 목표로 한다. 아링턴 CIO는 해당 메모에서 "국방부의 사이버보안 및 공급망 위험관리(SCRM) 관행은 소프트웨어 개발과 공급망 리스크가 점점 더 정교해지고 복잡해지는 현실에 맞춰 지속적으로 적응하고 진화해야 한다"고 강조했다. 이번 SWFT 계획은 기존 소프트웨어 조달 방식이 보안 위험의 사각지대를 만들어왔다는 문제의식에서 출발한다. 메모에 따르면, DoD는 SW 코드 구성요소의 출처, 포함된 오픈소스 및 외부 라이브러리 목록, 패치 이력 및 취약점 관리 상태 등을 투명하게 식별할 수 있는 체계를 갖출 계획이다. 이와 관련해 DoD는 오픈소스SW(OSS)의 사용 자체를 제한하거나 배제하지는 않지만 OSS를 포함한 모든 구성요소의 출처, 유지 주체, 보안 대응 체계 등을 명확히 문서화할 것을 요구하고 있다. 오픈소스를 사용할 경우 해당 코드가 어디에서 유래했고 어떤 보안 리스크를 동반하며 어떻게 유지·관리되는지를 입증할 수 있어야 한다는 원칙이 적용된다는 것이다. 이를 위해 향후 조달 프로세스에 소프트웨어 구성요소 목록(SBOM) 제출, 보안 테스트 결과 공유, 제3자 감사 또는 보안 검증 자료 확보 등의 절차가 단계적으로 포함된다. 이번 조치는 2022년 미국 백악관 예산관리국(OMB)이 전 연방기관에 발송한 '안전한 소프트웨어 개발 가속화' 메모의 연장선으로 해석된다. 당시 OMB는 연방기관이 사용하는 모든 소프트웨어에 대해 공급업체가 보안 개발 기준(SSDF)을 충족했는지를 공식 문서 형태로 진술하도록 요구했다. 오픈소스를 포함한 모든 소프트웨어는 그 출처와 보안 유지 체계에 대한 책임이 명확히 정의돼야 한다는 원칙을 제시한 바 있다. SWFT 이니셔티브는 이러한 연방 정부의 보안 정책을 군사적 환경에 특화된 실행계획으로 구체화한 첫 사례로 평가된다. 이 같은 흐름 속에서 국내 공공·국방 조직도 조달 체계의 방향성을 재검토해야 한다는 의견이 전문가들을 중심으로 제기되고 있다. 특히 최근 들어 SK텔레콤, CJ올리브네트웍스 등 주요 기업을 비롯해 교육기관, 의료기관, 연구기관 등 다양한 분야에서 해킹 및 정보 탈취 사고가 반복적으로 발생하고 있어 공급망 보안에 대한 통합적 대응체계 마련이 시급하다는 지적이 뒤따른다. 또한 국내 공공SW 시장은 오픈소스 활용률이 높지만 공급망에 포함된 오픈소스 코드의 보안 상태를 사전에 검증하고 관리할 수 있는 제도적 장치는 미흡하다는 평가가 많다. SBOM 제출, 코드 출처 추적, 유지보수 주체 명시 등의 체계가 마련되지 않을 경우 보안 취약점이 방치된 채 배포되고 운영될 가능성이 있으며, 그 피해는 최종 사용자와 국민에게 전가될 수 있다는 우려다. 아링턴 CIO는 "보안은 선택이 아닌 필수이며, 국방부는 소프트웨어 개발과 조달의 전 과정에 보안을 통합하겠다는 명확한 의지를 갖고 있다"며 "DoD의 사이버보안 및 공급망 위험관리(SCRM) 체계는 단순히 유지되는 수준을 넘어 끊임없이 진화하는 위협 환경에 맞춰 적극적으로 발전해야 한다"고 재차 강조했다.

2025.05.11 10:10남혁우

국정원, 중앙정부·17개 광역시도에 SKT 유심 교체 공문

SK텔레콤(SKT) 유심(USIM·가입자식별모듈) 정보 유출에 대해 국가정보원과 국방부도 나섰다. 30일 정부 관계자에 따르면 국정원은 지난 28일 19개 정부부처와 17개 광역자치단체·교육청에 'SK텔레콤 망을 쓰는 업무용 단말기 유심을 바꾸거나 유심 보호 서비스에 가입하라'는 공문을 보냈다. 유심 정보 유출시 복제 핸드폰을 만들어 정보를 빼가는 '심 스와핑'이 가능하다는 점을 우려한 선제 조치로 해석됐다. 기업 보안 문제는 과학기술정보통신부, 정부 보안은 국정원이 주로 맡는다. 정부 피해 여부는 확인되지 않았으나 만일을 대비한 것으로 보인다. SK텔레콤과 과기부 등으로 꾸려진 민관합동조사단이 이번 해킹 사태를 조사하고 있다. 국방부는 30일 전군에 전파한 'SKT 유심 정보 해킹사고 관련 대응 지침'으로 육·해·공군 및 해병대와 각 기관에 장병 유심 보호 서비스 가입 및 유심 교체를 위한 여건을 마련하라고 지시했다. 업무용 휴대전화는 우선 SK텔레콤이 제공하는 유심 보호 서비스에 가입하고, 이후 단계적으로 유심을 교체할 수 있게 하라고 했다. 유심을 바꾸기 위위해 장병이 외출하는 것도 보장하는 것으로 알려졌다. SK텔레콤이 유심을 바꿔주기로 하자 전국 매장에 새벽부터 가입자들이 줄을 섰고, 온라인 예약망마저 접속하기 힘들다. SK텔레콤 가입자는 2천300만명, SK텔레콤 망을 이용하는 알뜰폰 가입자 187만명을 더하면 2천500만명이 기다리는 현실이다. 민간 기업은 이미 직원에게 SK텔레콤 유심을 바꾸라고 했다. 삼성전자에 이어 현대자동차, HD현대, 한화, 네이버, 카카오 등이 공지한 것으로 전해졌다. 한편 유영상 SK텔레콤 대표는 30일 국회 과학기술정보방송통신위원회가 연 'YTN 등 방송통신 분야 청문회'에 증인으로 출석, 한국인터넷진흥원(KISA)에 늑장 신고했다는 지적에 "신고 절차에 문제가 있었다"고 말했다. 해킹 공격을 받은 것으로 확인된 홈가입자서버(HSS) 3대 말고도 추가 유출이 있었는지에 대해서는 "민관합동조사단 결과가 나오기를 기다리고 있다"면서 "다음 달까지 공급할 유심 재고를 600만개 확보했으며, 6월 말까지 500만개를 더 확보하겠다"고 밝혔다.

2025.04.30 15:16유혜진

부처 정보보호책임관 국장급 격상됐다

주요 시설에 대한 정부의 정보보호 인식이 한층 강화됐다. 기존에 과장급이 맡던 부처내 정보보호책임관을 국장급으로 승격했다. 3일 지디넷코리아 취재에 따르면 국가정보원은 지난달 26일 기획재정부·과학기술정보통신부 등 23개 중앙행정기관 정보보호책임관을 대상으로 사이버 안보 교육을 시행했다. 앞서 정부는 지난해 12월 주요 정보통신 기반 시설 보호 담당자 직위를 기존 과장급에서 고위공무원(국장급)으로 상향했다. '정보통신기반 보호법' 시행령을 개정해 이룬 조치다. 정보통신기반 보호법 시행령 제11조는 관계중앙행정기관장이 소속 공무원 중 주요 정보통신 기반 시설 보호 업무를 담당하는 고위공무원단에 속하는 정보보호책임관을 지정하도록 했다. 여기서 관계중앙행정기관이란 기재부·외교부·국방부·과기부 같은 행정부를 뜻한다. 정보보호책임관은 주요 정보통신 기반 시설 보호 계획을 시행하고, 피해를 입으면 빠르게 대응해야 한다. 정부는 통신·금융·의료 분야 등의 민간 157개, 공공 287개 기반 시설을 사이버 침해 행위로부터 지킬 주요 정보통신 기반 시설로 정해 관리하고 있다. 민간 157곳은 과기부가, 공공 287곳은 국정원이 관리한다. 민간 157곳의 경우 관할 부처가 8곳에 달한다. 이들 8곳의 정보보호책임관이 기존 과장급에서 국장급으로 직급이 높아진 것이다. 특히 과기부는 업무 특성을 감안해 다른 부처가 1명의 정보보호책임관을 둔 것과 달리 2명(정책기획관과 정보보호네트워크정책관)이 정보보호책임관을 맡았다. 지난달 26일 국정원 교육에 참석한 신용석 대통령실 사이버안보비서관은 “높은 직급으로 새로 임명된 정보보호책임관들이 활약하길 기대한다”며 “기반 시설을 보호하기 위해 필요한 사항을 적극적으로 돕겠다”고 말했다. 2010년대 들어 정부에도 민간 정보보호최고책임자(CISO) 같은 고위직이 필요하다는 목소리가 커졌다. 정부야말로 해킹 1순위 표적이어서다. 그러다 큰 사건이 터졌다. 2023년 11월 국가행정망 전산이 마비된 일이 일어났다. '정부24' 행정 포털이 멈춰 전자증명서 발급, '보조금24' 나의 혜택 조회, 각종 원스톱 서비스, 온라인 여권 재발급 신청, 건축물대장 및 전입신고 민원 등이 중단됐다. 당시 장애 원인을 곧바로 못 찾아 국민에게 재빨리 알리지도 못했다. 국가보안기술연구소장을 지낸 박춘식 아주대 사이버보안학과 교수는 “'정보보호 고위공무원이 있어야 한다'고 요구한 지 오래됐다”며 “평소 예산 없다고 미루다가 사고 나야 뒤늦게 움직인다”고 말했다. 박 교수는 “여태 다른 부서 사람이 스쳐 지나가듯 정보보호 업무를 맡느라 전문적인 정책을 만들기 어려웠다”며 “정부 보안은 국정원만 하는 게 아니라 각 부처가 스스로 해야 한다”고 지적했다. 이어 “이제 행정부를 따라 입법부와 사법부도 나설 차례”라며 “요즘에야 선거관리위원회 사태가 언급되지만, 헌법기관은 보안이란 전혀 생각 안 하고 엉망이었다”고 비판했다. 한편 민간에는 CISO 제도가 2012년 금융권에 먼저 도입됐다. 현재는 자산총액 5조원 이상이거나 정보보호관리체계(ISMS) 인증을 받아야 하는 사업자 중 자산총액 5천억원 이상 기업으로 확대됐다. 정부는 2021년에는 CISO가 어떤 직책도 겸하지 않고 정보보호 업무만 하게끔 '정보통신망 이용촉진 및 정보보호 등에 관한 법률' 시행령을 개정했다. CISO는 ▲정보보호·정보기술(IT) 석사 이상 학위를 취득했거나 ▲학사 취득, 3년 이상 경력 ▲전문학사, 5년 이상 경력 ▲10년 이상 경력자 중 하나를 갖춰야 한다. 박 교수는 “민간에 CISO를 의무로 두라면서 정부는 지금껏 안 한 게 모순”이라며 “어떤 정책이든지 정부가 모범적으로 시범 보이고 민간이 따르는 순서가 옳다”고 주장했다.

2025.04.03 16:45유혜진

[보안리더] 이화영 사이버안보연구소 부소장 "소통하는 사이버안보 초석 되겠다"

“서울시 해커톤 대회에 나가 횡단보도 바닥 신호등을 기획했습니다. 신호등을 볼 때마다 이렇게 좋은 결과로 대한민국 곳곳에 안전의 불을 밝히니 뿌듯하고 감사해요. 이처럼 누구나 사이버 위협으로부터 안전할 수 있는 최소한의 장치가 법과 정책이라고 생각합니다. 그래서 공학도였던 제가 정책에 관심을 갖게 됐습니다. 지금까지 빠르고 수직적인 관료 문화가 한국을 키웠습니다. 그러나 사이버는 중첩과 간섭을 통해 확장하는 수평적 영역입니다. 전 사이버 안보의 수평적 소통을 위해 노력하겠습니다.” 이화영 사이버안보연구소 부소장은 지난주 지디넷코리아와 만나 이같이 밝혔다. 이 부소장은 '천하에는 2가지의 큰 저울이 있는데, 하나는 시비(是非)의 저울이고 하나는 이해(利害)의 저울이다. 그 중 옳은 것을 지켜 이로움을 얻는 것이 가장 으뜸'이라는 다산 정약용 선생의 말을 인용하며 “그렇게 사이버 안보의 길을 가는 사람이 되고자 한다”고 말했다. 숙명여대 컴퓨터과학 학사·석사·박사 과정에서 공부했다. 사이버안보연구소는 한국 사이버안보기본법을 제정하기 위한 정책과 제도를 연구한다. 2022년 4월 문을 열고, 지난해 2월 창립총회를 개최했다. 박근혜 정부 공군참모총장, 문재인 정부 합동참모본부 의장과 국방부 장관을 지낸 정경두 대표가 연구소를 이끈다. 아래는 이 부소장과의 일문일답. -사이버안보연구소는 다른 연구소와 무엇이 다른가? “국가정보원·과학기술정보통신부·외교부·국방부 4개 정부부처가 하는 사이버 안보 업무를 폐쇄회로텔레비전(CCTV)처럼 보면서 조언한다. 부처 간 수직적 칸막이가 있다. 각자 바빠서 서로 하는 일에 관심 없는 경우가 많다. 사이버안보연구소가 수평적으로 살피며 풀어보겠다. 미국 기관이나 기업에서는 해킹 당하더라도 피해자가 무엇을 해야 하는지 알고 있다. 어떻게 대응할지 평소 교육받는다. 그 보안 교육을 통과해야 자리를 지키거나 승진할 수 있다. 한국은 국정원이나 한국인터넷진흥원(KISA)에 연락하면 끝이다. 내 자리에서 보안 사고가 났을 때, 어떻게 해야 하는지 규정이 없어 연습하지 않으면 사고 확산을 막기 어렵다. 보안 산업에서 정부 역할은 부모와 같다고 생각한다. 부모는 이해당사자는 아니지만 자녀가 성장할 수 있는 토대와 울타리가 되지 않나. 기업 스스로 살아남는 게 아니라 세계적인 기업으로 클 수 있게 도와야 한다.” -사이버안보연구소의 특별한 활동 계획은? “'인공지능의 책임 있는 군사적 이용에 관한 고위급 회의(REAIM·Responsible AI in the Military domain)'에 적극적으로 참여한다. 리에임은 외교부와 국방부가 공동 주관하는 국제다자회의체다. 지난해 네덜란드·싱가포르·케냐·영국이 공동주최국으로 함께했다. 인공지능(AI)을 군사에 쓸 때 지켜야 할 규범을 만들고, 국제 평화와 안보에 어떤 영향을 미칠지 머리를 맞댄다. 지난해 브레이크아웃 세션(Breakout Session)에 선정된 사이버안보연구소는 롤플레잉 기법과 뉴게임 이론을 적용한 AI에 대한 기술적 이해를 바탕으로 사이버전에서 AI 어드바이저(adviser)를 효율적으로 쓰는 방법을 선보였다. 9월에는 한국정보보호학회 위험관리구조(RMF·Risk Management FRAMEwork)연구회와 대규모 회의(conference)를 열기로 했다. 주제는 한국형 위험 관리 구조(K-RMF) 제도다. K-RMF는 한국 공공기관과 방산 업체의 정보보호 위험을 관리하기 위한 보안 제도다. 미국 국립표준기술연구소(NIST) RMF를 기반으로 국내 환경에 맞췄다. 국가 정보보호 지침 등과 연계된다.” -미국 정부와 협업할 기회를 잡았다고? “개인적으로 미국 '국제 지도자 초청 프로그램(IVLP·International Visitor Leadership Program)'에 뽑혔다. 다음 달 7일부터 25일까지 미국에서 '사이버 보안 협력 강화: 한·미 동맹(Strengthening Cybersecurity Cooperation: U.S.-ROK Partnerships)' 프로젝트에 참가한다. IVLP는 미국 국무부가 80년 동안 세계 각국의 차세대 지도자를 불러 특정 주제로 협력하는 프로그램이다. 한국 동문으로는 고 김영삼·김대중 전 대통령 등이 있다. 미국 전문가들과 사이버 보안을 연구하고, 한·미 양국이 교류하는 데 동참하고 오겠다. 사적으로도 영광이지만, 한국 사이버 안보에 기여할 수 있어 더욱 뿌듯하다.”

2025.03.24 13:51유혜진

"국방부 홈페이지도 버벅"…北 손잡은 러시아, 韓 사이버 공격 강도 높이나

북한군의 우크라이나 전쟁 참전을 기점으로 우리나라 안보도 불안한 모습을 보이는 가운데 러시아가 국내 기관 및 기업을 대상으로 사이버 위협 강도를 높이고 있어 우려가 커지고 있다. 6일 업계에 따르면 러시아 해커집단은 최근 김용현 국방부 장관과 로이드 오스틴 미국 국방부 장관이 북한과 러시아의 군사협력 심화를 규탄하는 공동 성명을 채택한 것을 빌미로 한국을 겨냥해 분산서비스거부(DDoS·디도스) 공격에 적극 나서고 있다. 실제 국방부는 전날(5일) 오후 5시 30분쯤부터 인터넷 홈페이지에 대한 디도스 공격이 이어지면서 접속이 제대로 이뤄지지 않았다. 국방부 홈페이지와 비슷한 기반을 사용하는 합동참모본부 홈페이지도 같은 현상이 일어났다. 이 현상은 이날 오전에도 이어지면서 국방부 홈페이지 접속 속도가 느려지거나 일부 내용이 열리지 않는 등 큰 불편을 야기했다. 합동참모본부 홈페이지 역시 일부 접속이 불안정한 모습을 보였다. 다만 내부망인 국방망은 문제가 없는 것으로 알려졌다. 디도스는 특정 서버를 대상으로 지속적이고 많은 양의 트래픽을 일으켜 정상적인 서비스 제공이 불가능해지도록 만드는 해킹 수법이다. 이번 일을 두고 군 안팎에서는 이번 디도스 공격의 배후가 북한이나 러시아일 가능성을 높게 두고 있다. 북·러 양국이 북한군의 러시아 파병과 북측 신형 대륙간탄도미사일(ICBM) '화성-19형' 시험발사에 대한 한국군의 반발에 대응해 사이버 공격을 감행했을 것으로 봤다. 일각에선 우리 정부가 우크라이나에 살상무기를 지원할 수도 있다고 발표한 데다 우크라이나에 참관단이나 모니터링단을 보내는 방안을 추진하고 있다는 점 때문에 러시아가 디도스 공격을 한 것으로 분석했다. 국방부는 누가 디도스 공격을 시도했는지 아직 파악하지 못한 상태다. 다만 한국인터넷진흥원(KISA)이 지난 1일 국제 해킹 그룹 등의 디도스 공격에 대비해 국내 기관과 기업의 보안 강화를 요청한 바 있어 러시아 쪽 소행일 가능성이 제기된다. 지난달 29일에는 러시아 해커들이 한국의 우크라이나 지원을 빌미로 9~10월 한국 정부기관과 금융회사에 디도스 공격 등 해킹을 시도했다는 사실이 알려지기도 했다. 이처럼 러시아, 북한을 중심으로 사이버 공격이 빈번해지면서 각 기관·기업들도 긴장하는 분위기다. KISA는 홈페이지와 주요 IT 시스템을 모니터링하고 보안 대응을 강화하는 한편, 중요 파일과 문서를 정기적으로 오프라인 백업할 필요가 있다고 조언했다. KISA는 "북한국의 러시아 파병 등으로 인해 사이버 위협이 커지고 있다"며 "러시아 해킹 그룹 등에 의한 디도스 공격에 대비해야 한다"고 권고했다.

2024.11.06 15:25장유미

美 보안 시스템 '빨간불'…펜타곤 IT 서비스 업체, 2년 만에 '해킹' 인지

미국 국방부를 주요 고객으로 둔 IT 회사의 문서가 유출돼 보안 시스템에 빨간불이 켜졌다. 블룸버그, 로이터 등 외신은 24일(현지시간) 미 국방부, 국토안보부, 미국항공우주국(NASA)에 IT 서비스를 제공하는 레이도스 시스템이 해킹당했다고 보도했다. 레이도스는 최근에서야 문제를 인지한 상태다. 2022년 발생한 '딜리전트 코퍼레이션' 시스템 해킹 사건으로 인해 문서가 도난당한 것으로 추정 중이다. 블룸버그는 "레이도스가 2023년 2월 사이 해커가 딜리전트 플랫폼의 취약점을 파고들어 해킹했다"며 "이때 개인 정보, 데이터 유형 등을 포함한 정보가 유출됐다"고 내부 소식통을 인용해 보도했다. 딜리전트 관계자 역시 2022년 자회사 스틸 컴플리언스 솔루션에 영향을 끼친 해킹에서 문제가 발생했다고 파악했다. 당시 딜리전트는 레이도스와 협력해 시스템 보안을 재검토하고 레이도스의 기업 사례 관리 시스템(ECMS) 사용 제한·오프라인 전환 등의 조처를 했다고 말했다. 해킹 보도에 대해 레이도스와 미국 펜타곤, 국토안보부, NASA는 답변을 거부하거나 응답하지 않았다. 레이도스는 2022년 연방정부 회계연도 기준으로 미국 내 가장 큰 연방 IT 계약 업체였으며 연방 정부와의 계약 금액은 39억8천만 달러(약 5조5천120억원)에 달했다. 과거 록히드 마틴 사의 정보 기술 사업을 인수하며 승승장구하기도 했다. 레이도스 관계자는 "이 사건은 우리 네트워크나 민감한 고객 데이터에는 영향을 미치지 않은 것으로 확인된다"면서도 "그러나 구체적인 사항은 알려줄 수 없다"고 말했다.

2024.07.24 10:37양정민