검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'K-ICT 정보보호 대상'통합검색 결과 입니다. (250건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

SBOM 보안 규제·공급망 과제당 3.75억 지원

소프트웨어 자재 명세서(SBOM·Software Bill of Materials)를 쓰려는 기업은 작성 및 취약점 개선하는 데 지원받을 수 있다. 한국인터넷진흥원(KISA)은 31일 SBOM 지원 사업을 한다고 밝혔다. 디지털 상품을 개발하는 기업 가운데 해외 규제 대응 6개 과제, 공급망 위협 대응 2개 과제에 과제당 3억7천500만원까지 준다. SBOM 쓰기를 돕고, SBOM 쓰고도 남은 위협을 조치할 수 있는 설비를 구축하도록 돕는다. 소프트웨어 구성 분석(SCA) 도구와 서버·데이터베이스(DB)를 갖추고 운영하는 기술 등도 포함한다. 참여하려는 기업은 다음 달 21일까지 KISA 전자계약시스템에서 접수하면 된다. 이동화 KISA 공급망안전정책팀장은 “상품에 숨은 위협을 출시 전 SBOM으로 알아채 예방할 수 있다”며 “출시하고도 새로 생기는 위협을 추적해 빠르게 관리할 수 있다”고 말했다. 공급망(Supply chain)이란 설계·개발·유통·판매·이용·개선·폐기 등 모든 단계를 포괄하는 개념이다. 공급망이 디지털로 전환되면서 해킹을 비롯한 보안 위협이 커졌다. 이 팀장은 “2020년 12월 미국에서 정보기술(IT) 관리 소프트웨어 업체 솔라윈즈가 해킹당해 소프트웨어 배포 시스템에 악성 코드가 설치됐다”며 “고객 1만8천명이 총 350만 달러(약 40억원) 피해를 봤다”고 전했다. 이후 미국은 개발·공급 기업이 소프트웨어를 안전하게 개발했는지 스스로 증명해 최고경영자(CEO)가 서명한 결과를 사이버보안·인프라보안국(CISA)에 내도록 했다. 지난해 9월에는 국가 안보 위험 규칙을 제정했다. 중국·러시아와 관련된 자율주행 시스템을 탑재한 자동차를 미국에서 수입하거나 팔지 못한다.

2025.03.31 12:00유혜진

"스미싱 다단계 막아라…QR코드 가짜인가 보세요"

한국인터넷진흥원(KISA)은 31일 QR코드(Quick Response) 악성 여부를 알 수 있는 '큐싱 확인 서비스'를 선보였다고 밝혔다. 가짜 앱을 깔게 한 뒤 QR코드를 만들어 지인에게 공유하면 포인트 준다고 꾀는 스미싱(Smishing) 기법이 유행해서다. 피해자가 나도 모르게 다단계에 빠질 수 있다. 스미싱은 미끼문자라는 뜻으로, 문자메시지(SMS)와 피싱(Phishing)을 합한 말이다. 주·정차 위반 안내, 청첩장, 부고 등인 듯 꾸며 문자메시지에 쓰인 인터넷 주소를 누르거나 전화 걸게끔 속이는 경우가 많다. 김은성 KISA 스미싱대응팀장은 “국내 큐싱 피해는 아직 없다”면서도 “해외에서 유입될까 봐 걱정해 대응하고 있다”고 말했다. 큐싱 확인 서비스를 쓰려면 ▲메신저 '카카오톡'에서 '보호나라' 채널을 검색해 ▲보호나라 채널을 추가하고 ▲'큐싱'을 선택한다. 'QR코드 스캔'을 눌러 ▲QR코드를 찍으면 ▲정상인지, 악성인지 알려준다. KISA는 이후 경찰청에 연계해 이렇게 찾은 악성 QR코드를 없애고 있다. KISA는 '악성 문자 엑스레이(X-ray)'도 도입하기로 했다. 사업자가 한꺼번에 보내는 문자메시지에 적힌 인터넷 주소가 악성인지 먼저 보고, 악성이면 문자를 못 보내게 한다. 아래는 KISA가 제안하는 스미싱 예방법. 문자메시지나 '카카오톡'을 비롯한 사회관계망(SNS) 메시지에 적힌 인터넷 주소를 누르지 말라. 공식 앱스토어에서만 앱 이름을 직접 검색해 설치하라. 전화 연락으로 '앱을 깔라'는 말은 사실상 100% 사기, 바로 전화 끊어라. 스마트폰 앱을 자주 업데이트하라. 모바일 백신 하나쯤은 반드시 설치하라. 모르는 사람을 SNS '친구'로 등록하지 말라. 친구 아닌 사람과 메시지를 주고받을 때 사기가 의심되면 '신고' 버튼이 나오지만, 친구와 대화하면 신고 버튼이 없다.

2025.03.31 11:00유혜진

"인공지능 관심있다면 'ai.kr' 도메인 등록하세요"

“누군가 'daum.ai' 도메인을 만들어 중고 거래 시장 당근(마켓)에 14억3천만원에 팔겠다고 내놨더라고요. 기술과 관련한 국가 도메인도 생겼어요. 앵귈라가 인공지능(AI)을 뜻하는 '.ai', 이탈리아가 정보기술(IT)을 의미하는 '.it', 몬테네그로가 나(ME)라는 '.me'를 선점했죠.” 이정민 한국인터넷진흥원(KISA) 인터넷주소정책팀장은 지난 27일 서울 광화문에서 기자들과 만나 새로운 도메인을 만든 이유를 이같이 밝혔다. 도메인이란 인터넷에 연결된 컴퓨터를 사람이 쉽게 기억하고 입력할 수 있도록 영문·한글 같은 문자로 만든 인터넷 주소다. 숫자로 된 인터넷프로토콜(IP) 주소를 기억하기 쉽게 문자로 나타낸다. '.한국(.kr)'은 한국의 국가 도메인이다. 한국에 주소지를 둬야 도메인 이름을 '한글.kr'이나 '1234.kr' 등으로 쓸 수 있다. 한국 국가 도메인은 지난해 말 107만건 등록된 상태다. '.com'이나 '.net', '.org' 등은 일반 도메인이라 한다. 영문은 3글자 이상, 영문 아닌 글자는 2글자 이상으로 써야 한다. 한국 기업 가운데서는 삼성이 '.삼성'과 '.samsung', 현대자동차가 '.hyundai', 기아가 '.kia' 도메인을 갖고 있다. KISA는 새로운 산업을 떠올릴 수 있는 도메인을 만들었다. 'ai.kr', 'io.kr', 'it.kr', 'me.kr' 4가지다. 관련 사업을 하지 않는 개인도 예쁘고 마음에 드는 글자로 등록할 수 있다. ▲가비아 ▲다우기술(반값도메인) ▲닷네임코리아 ▲메가존(호스팅케이알) ▲메일플러그 ▲비아웰 ▲아사달 ▲아이네임즈 ▲아이티이지 ▲웹티즌 ▲유니파이(블루웹) ▲커넥트웨이브(싼도메인) ▲한강시스템(도레지) ▲호스트센터(도메인클럽) ▲후이즈 대행자 중 골라 등록하면 된다. 비용은 해마다 도메인 1개당 2만원 정도 내야 한다. 이 팀장은 “국내에서 도메인을 등록하고 쓰려면 매년 평균 2만원 내면 된다”며 “새로운 사업을 하려는 개인이나 기업이 해외 유사 국가 도메인보다 싼 값에 원하는 도메인 이름을 가질 수 있다”고 말했다. 제일 먼저 등록된 도메인은 지난 5일 오전 10시 6초 동시 등록한 2개다. 미래에셋증권이 기업 가운데 가장 빠르게 'm-stock.ai.kr'을 등록했고, 개인 중에서는 'chat.ai.kr'이 꼽혔다. 제일 긴 도메인은 삼성전기의 'samsungelectromechanics.ai.kr'이다. 이밖에 'rad.io.kr', 'like.it.kr', 'with.me.kr' 등도 재미있는 사례에 이름을 올렸다.

2025.03.30 12:00유혜진

"금융 ISMS-P 인증 받으면 정보보호 평가 유리"

“금융 정보보호 및 개인정보보호 관리 체계(ISMS-P·Personal Information & Information Security Management system) 인증을 받으면 정보보호 상시 평가 75개 항목이 면제됩니다. 환경·사회·지배구조(ESG) 친화 경영 항목에도 ISMS-P가 포함돼 공공기관 사업에 입찰하면 가산점을 받습니다. 무엇보다 개인정보를 지킨다는 사실이 가장 중요하지만요.” 최지훈 금융보안원 선임심사원은 27일 서울 여의도 금융투자협회에서 열린 'ISMS-P 인증 설명회'에서 이같이 밝혔다. 금융보안원은 금융권에 알맞은 ISMS-P를 인증한다. 나머지 산업이나 전반적인 인증 품질은 한국인터넷진흥원(KISA)이 관리한다. 최 심사원은 “지난해 128건 심사하면서 결함을 평균 9건 발견했다”며 “기업은 결함 개수에 연연하지 말고, 이 결함이 나온 원인과 재발 방지 대책을 신경써야 한다”고 말했다. 개발자와 운영자, 개인정보 취급자 직무별로 시스템에 접속하는 방식이 다르면서도 시스템 흐름도를 보면 이런 사실을 알 수 없는 경우가 지적받았다. 정보보호 운영 인력이 정보보호 예외 정책을 스스로 승인해도 잘못이다. 개인정보 열람 요구서와 위임장 등에 주민등록번호를 요구해서도 안 된다. 최 심사원은 달라지는 제도를 안내했다. 그는 “과학기술정보통신부가 인증서 유효 기간을 3년에서 5년으로 늘릴지 검토하고 있다”며 “법령이 개정돼 금융회사는 자율적인 보안 활동을 하되 결과에 대한 책임은 무거워졌다”고 전했다. 인증 심사 기간은 대체로 6개월 걸린다. 오중효 금융보안원 상무는 “2015년 ISMS-P 인증을 27건으로 시작해 지난해 5배로 성장했다”며 “인공지능이나 가상자산 환경이 바뀌면서 인증 수요가 더 늘 것”이라고 기대했다. 최 심사원은 “금융권은 ISMS-P 인증이 의무가 아니다”라면서도 “디지털 금융과 자율 보안이 확산돼 인식 수준이 높아졌다”고 평가했다.

2025.03.28 10:50유혜진

장수돌침대, '대한민국 명품브랜드 대상' 수상

건강 가구 브랜드 장수돌침대는 '제21회 대한민국 명품브랜드 대상'에서 15년 연속 건강침대 부분 대상을 수상했다고 27일 밝혔다. 대한민국 명품브랜드 대상은 소비의 가치를 향상시키고 국가 경쟁력 강화에 기여한 브랜드에 수여하는 상이다. 한국경제신문이 주최하고 산업통상자원부와 농림축산식품부, 사단법인 한국브랜드경영협회, 사단법인 한국방송신문연합회가 후원한다. 올해 34주년을 맞이한 장수돌침대는 한국의 전통 온돌 문화를 현대 과학 기술로 발전시켜 건강한 수면문화 창조를 위한 연구 개발을 거듭하며, 침대 산업을 넘어 헬스케어 전문 기업으로 성장하고 있다. 몸속 깊이 온열효과를 전달하는 13단계 '히팅 플로어' 기술을 바탕으로, 생체 인식 센서를 침대에 탑재해 수면 중 체온, 심박수, 호흡, 뒤척임 등 개인의 수면 데이터를 수집, 분석할 수 있는 슬립테크 기술을 적용한 '제이슬립'을 개발했다. 여기에 가족 구성원의 건강까지 살피는 '패밀리케어' 가치를 접목해, 차별화된 수면 솔루션을 제공하는 점도 인정받았다. 또한 경구용 치매 치료 약물 전문 기업인 아리바이오와 공동으로 40Hz 초소형 저주파 음향 진동 기술을 활용하여 신경세포 보호와 인지 기능 유지에 도움을 주도록 설계된 '인지닥터 헤르지온'을 개발했다. 통증 치료를 위해 한의원, 정형외과 등에서 사용하는 근적외선과 장수돌침대 황토 바이오볼을 사용한 근적외선 매트리스 '프로머스'를 선보이는 등 제품군 확장을 통해 홈 헬스케어 시장 저변 확대에도 나서고 있다. 장수돌침대 관계자는 "수면 건강을 비롯해 일상 속 건강을 돌보는 헬스케어 전 분야에 걸친 혁신적인 기술 연구에 박차를 가해 더욱 많은 고객들이 건강한 삶을 누릴 수 있도록 최선을 다할 것"이라고 말했다.

2025.03.27 17:23신영빈

포티넷, 'OT 보안 설명회' 연다

미국 정보보호 기업 포티넷 한국지사는 다음 달 8일부터 사흘 동안 온라인에서 운영기술(OT) 보안 설명회(OT Security Summit Korea)를 개최한다. 문귀 포티넷 한국지사 OT총괄 전무가 'OT 보안 위협 및 OT 보안 시장 동향'을 주제로 기조연설을 한다. 에스오일, SANS연구소, 한국선급, 넥스포, 한국요꼬가와전기, 지멘스, 로크웰오토메이션, KPMG, PwC, 클래로티, 노조미, SK쉴더스 등도 OT에 대해 발표한다. 포티넷 고객과 아울러 기반 시설이나 스마트 인프라 종사자가 참여할 수 있다.

2025.03.25 14:18유혜진

라온시큐어, 건국대 디지털 입학증 구현

보안·인증 기업 라온시큐어는 25일 건국대에 디지털 배지 발급 시스템 '옴니원 배지'를 구현했다고 밝혔다. 건국대는 올해 신입생 3천400명에게 옴니원 배지로 입학증을 발급했다. 디지털 배지를 비교과 우수 프로그램 이수증, 자유전공학부 특성화 프로그램 이수증, 우수 학생 장학증서, 학생회·동아리 활동증 등에도 적용하기로 했다. 우수 배지를 학생끼리 공유하는 온라인 공간도 꾸릴 계획이다. 라온시큐어는 위·변조하기 어려운 블록체인 기술로 옴니원 배지를 만들었다고 설명했다. 서비스형 소프트웨어(SaaS)로 제공해 자체 시스템이 없어도 된다. 대학교뿐 아니라 공공기관, 기업 등에서 다양한 인증서를 발급할 수 있다고 강조했다. 라온시큐어는 자사의 블록체인 기반 신원·자격 인증 통합 플랫폼 '옴니원 디지털아이디(OmniOne Digital ID)'를 활용한 학생 신원 증명까지 사업을 키울 예정이다.

2025.03.25 13:28유혜진

"보안 사고 한번 터지면 3분의1이 1개월 이상 지속"

지난해 일어난 정보보호 사고 35.2%가 1개월 이상 이어진 것으로 나타났다. 러시아 정보보호 기업 카스퍼스키는 25일 이러한 내용의 '2024 보안 사고 대응 분석 보고서'를 발표했다. 보고서에 따르면 사이버 공격이 평균 253일 지속됐다. 이런 공격에 대응한 시간은 50시간으로 집계됐다. 공격자는 정보를 빼내거나 암호로 바꿔 금전을 요구한 것으로 조사됐다. 이효은 카스퍼스키 한국지사장은 “한국에서 사이버 공격자가 머무는 시간이 길어졌다”며 “공격자는 측면 이동과 장기 침투 같은 전술로 지속적인 거점을 구축해 정보 자산을 위협한다”고 말했다. 그러면서 “공격자들이 공급망 취약성과 사회 공학 기술을 악용해 기존 방어 체계를 우회하고 있다”고 우려했다. 이 지사장은 “기업은 폐쇄형 '탐지-대응-복구' 구조를 갖춰야 한다”며 “정부 기관 및 업계와 방어 네트워크를 구축해야 한다”고 조언했다. 카스퍼스키는 매니지드 탐지 및 대응(MDR·ManagedDetectionandResponse), 사고 대응(IR·IncidentResponse) 같은 서비스를 추천했다. 이들 서비스는 위협 식별부터 지속적인 보호 및 해결에 이르는 보안 사고 관리 주기를 포함한다고 소개했다.

2025.03.25 11:51유혜진

[보안리더] 이화영 사이버안보연구소 부소장 "소통하는 사이버안보 초석 되겠다"

“서울시 해커톤 대회에 나가 횡단보도 바닥 신호등을 기획했습니다. 신호등을 볼 때마다 이렇게 좋은 결과로 대한민국 곳곳에 안전의 불을 밝히니 뿌듯하고 감사해요. 이처럼 누구나 사이버 위협으로부터 안전할 수 있는 최소한의 장치가 법과 정책이라고 생각합니다. 그래서 공학도였던 제가 정책에 관심을 갖게 됐습니다. 지금까지 빠르고 수직적인 관료 문화가 한국을 키웠습니다. 그러나 사이버는 중첩과 간섭을 통해 확장하는 수평적 영역입니다. 전 사이버 안보의 수평적 소통을 위해 노력하겠습니다.” 이화영 사이버안보연구소 부소장은 지난주 지디넷코리아와 만나 이같이 밝혔다. 이 부소장은 '천하에는 2가지의 큰 저울이 있는데, 하나는 시비(是非)의 저울이고 하나는 이해(利害)의 저울이다. 그 중 옳은 것을 지켜 이로움을 얻는 것이 가장 으뜸'이라는 다산 정약용 선생의 말을 인용하며 “그렇게 사이버 안보의 길을 가는 사람이 되고자 한다”고 말했다. 숙명여대 컴퓨터과학 학사·석사·박사 과정에서 공부했다. 사이버안보연구소는 한국 사이버안보기본법을 제정하기 위한 정책과 제도를 연구한다. 2022년 4월 문을 열고, 지난해 2월 창립총회를 개최했다. 박근혜 정부 공군참모총장, 문재인 정부 합동참모본부 의장과 국방부 장관을 지낸 정경두 대표가 연구소를 이끈다. 아래는 이 부소장과의 일문일답. -사이버안보연구소는 다른 연구소와 무엇이 다른가? “국가정보원·과학기술정보통신부·외교부·국방부 4개 정부부처가 하는 사이버 안보 업무를 폐쇄회로텔레비전(CCTV)처럼 보면서 조언한다. 부처 간 수직적 칸막이가 있다. 각자 바빠서 서로 하는 일에 관심 없는 경우가 많다. 사이버안보연구소가 수평적으로 살피며 풀어보겠다. 미국 기관이나 기업에서는 해킹 당하더라도 피해자가 무엇을 해야 하는지 알고 있다. 어떻게 대응할지 평소 교육받는다. 그 보안 교육을 통과해야 자리를 지키거나 승진할 수 있다. 한국은 국정원이나 한국인터넷진흥원(KISA)에 연락하면 끝이다. 내 자리에서 보안 사고가 났을 때, 어떻게 해야 하는지 규정이 없어 연습하지 않으면 사고 확산을 막기 어렵다. 보안 산업에서 정부 역할은 부모와 같다고 생각한다. 부모는 이해당사자는 아니지만 자녀가 성장할 수 있는 토대와 울타리가 되지 않나. 기업 스스로 살아남는 게 아니라 세계적인 기업으로 클 수 있게 도와야 한다.” -사이버안보연구소의 특별한 활동 계획은? “'인공지능의 책임 있는 군사적 이용에 관한 고위급 회의(REAIM·Responsible AI in the Military domain)'에 적극적으로 참여한다. 리에임은 외교부와 국방부가 공동 주관하는 국제다자회의체다. 지난해 네덜란드·싱가포르·케냐·영국이 공동주최국으로 함께했다. 인공지능(AI)을 군사에 쓸 때 지켜야 할 규범을 만들고, 국제 평화와 안보에 어떤 영향을 미칠지 머리를 맞댄다. 지난해 브레이크아웃 세션(Breakout Session)에 선정된 사이버안보연구소는 롤플레잉 기법과 뉴게임 이론을 적용한 AI에 대한 기술적 이해를 바탕으로 사이버전에서 AI 어드바이저(adviser)를 효율적으로 쓰는 방법을 선보였다. 9월에는 한국정보보호학회 위험관리구조(RMF·Risk Management FRAMEwork)연구회와 대규모 회의(conference)를 열기로 했다. 주제는 한국형 위험 관리 구조(K-RMF) 제도다. K-RMF는 한국 공공기관과 방산 업체의 정보보호 위험을 관리하기 위한 보안 제도다. 미국 국립표준기술연구소(NIST) RMF를 기반으로 국내 환경에 맞췄다. 국가 정보보호 지침 등과 연계된다.” -미국 정부와 협업할 기회를 잡았다고? “개인적으로 미국 '국제 지도자 초청 프로그램(IVLP·International Visitor Leadership Program)'에 뽑혔다. 다음 달 7일부터 25일까지 미국에서 '사이버 보안 협력 강화: 한·미 동맹(Strengthening Cybersecurity Cooperation: U.S.-ROK Partnerships)' 프로젝트에 참가한다. IVLP는 미국 국무부가 80년 동안 세계 각국의 차세대 지도자를 불러 특정 주제로 협력하는 프로그램이다. 한국 동문으로는 고 김영삼·김대중 전 대통령 등이 있다. 미국 전문가들과 사이버 보안을 연구하고, 한·미 양국이 교류하는 데 동참하고 오겠다. 사적으로도 영광이지만, 한국 사이버 안보에 기여할 수 있어 더욱 뿌듯하다.”

2025.03.24 13:51유혜진

"中 장난감 드론, 15만원이면 전쟁 무기로 바꾼다"

100달러(약 15만원)만 보태면 중국산 장난감 무인기(Drone)를 무기로 바꿀 수 있다는 분석이 나왔다. 미국 잡지 와이어드는 20일(현지시간) 이런 조사 결과를 보도했다. 해외 정보보호 기업 레드벌룬은 중국 전자상거래 업체 테무와 알리익스프레스에서 파는 드론이 대부분 200달러라고 밝혔다. 물병이나 박격포 폭탄을 실어 드론에 고정하는 화물 받침은 100달러다. 1.5㎞ 길이 광섬유 테더는 260달러, 인공지능(AI) 유도 모듈은 325달러에 살 수 있는 것으로 나타났다. AI 유도 모듈은 멀리서도 사람과 차량 등을 알아보는 장착형 카메라라고 레드벌룬은 소개했다. 테더는 이더넷 케이블을 노트북에 직접 꽂는 것처럼 드론이 신호 방해를 받지 않고 넓은 지역을 비행할 수 있게 해준다고 전했다. 레드벌룬은 이들 부품이 러시아-우크라이너 전쟁에서 폭발물을 투하하거나 자동 조종으로 드론을 충돌시키는 데 쓰인다고 지적했다. 테무와 알리에서 살 수 있는 테더에 프로그래밍 가능 집적회로 반도체(FPGA)가 탑재돼서다. 앙 쿠이 레드벌룬 최고경영자(CEO)는 “장난감으로 사람을 죽일 수 있다”며 “제조사들이 전쟁에 쓰려고 만든 것들이 넘쳐난다”고 말했다. 데이브 토레스 레드벌룬 FPGA 보안 책임자는 “몇 ㎞ 떨어진 곳에서 드론을 보내 어딘가에 물병을 떨어뜨릴 수 있다”며 “사제 폭탄(IED)을 누군가에게 날릴 수 있다”고 비판했다. 테무와 알리익스프레스 모회사 알리바바는 '본래 무기가 아닌 부품이 어떤 위험을 초래하는지, 구매를 제한하는기도 하는지' 묻는 와이어드 논평 요청에 답하지 않았다.

2025.03.22 09:55유혜진

'2025 방송통신위원회 방송대상' 후보작 4월18일까지 응모

방송통신위원회는 '2025 방송통신위원회 방송대상' 응모 또는 추천을 4월18일까지 진행한다고 밝혔다. 지난해 국내에서 제작 방송된 우수 프로그램과 방송문화 발전에 기여한 개인과 단체에 시상하는 방송대상은 방송인의 창작 의욕을 고취하고 방송 프로그램의 질적 향상을 도모하기 위해 방통위가 매년 개최하고 있다. 올해 시상식은 하반기에 개최되며, 이에 앞서 프로그램 분야와 특별상 분야로 우수 작품 응모 또는 개인·단체에 대한 추천 등을 진행할 예정이다. 시상식에서는 대상 1편, 최우수상 1편 ▲사회 문화발전 ▲창의혁신 ▲한류확산 ▲지역발전 ▲OTT) 웹 앱콘텐츠 등 5개 부문에서 우수상 9편, 특별상 4편 등 총 15편을 선정할 계획이다. 대상으로 선정된 프로그램에는 상금으로 2천만원을 지급하며, 총 시상금 규모는 1억 원이다. 방송대상에 응모 또는 추천하고자 하는 방송사 등은 접수기간 동안 출품서 등의 자료를 방통위에 제출해야 한다. 자세한 내용은 방통위 홈페이지에서 확인할 수 있다.

2025.03.20 15:00박수형

"북한 간첩, 한국 정부·방산·반도체·자동차 기밀 노려"

“최근 북한과 관련된 해킹 단체가 한국 방위 산업과 반도체·자동차 산업을 공격했습니다. 돈 벌려고 했다기보다 전통적인 간첩·첩보 활동이었던 것 같아요. 기밀이나 산업 지식을 찾는 듯했어요. 한국 정부를 목표로 한 적도 있습니다.” 루크 맥나마라 구글클라우드 수석연구원은 19일 서울 강남구 구글클라우드 한국지사 사무실에서 열린 기자간담회에서 이같이 밝혔다. 맥나마라 연구원은 “세계적으로 국방비 지출이 늘고 있다”며 “사이버 공격자는 새로운 군사 기술이 어떻게 개발되는지, 누가 쓸지 알려고 한다”고 말했다. 그러면서 “한국 방산의 잠재 구매자가 누군지 북한이 찾고자 할 것”이라며 “방산과 더불어 한국 정부도 목표물”이라고 전했다. 북한 관련 단체가 금전을 갈취할 목적으로 공격하기도 한다. 가상화폐가 생기면서 두드러졌다. 지난해에는 북한 해킹 단체가 이더리움을 2조원어치 훔친 사실이 드러났다. 맥나마라 연구원은 “북한은 암호화폐와 아울러 암호화폐 거래소와 사용자도 표적으로 삼는다”며 “관련 기업이나 거래소는 북한을 주의해야 한다”고 경고했다. 그는 “북한 해커는 암호화폐를 잘 안다”며 “암호화폐가 혁신할 때마다 이해한다”고 평가했다. 북한에서 정보기술(IT)을 공부한 사람이 해커가 되기도 한다. 맥나마라 연구원은 “북한 IT 인력이 해킹하거나 취업해 번 돈을 북한 정권으로 보내는 게 목적”이라며 “중개인(Broker)과 공조한다”고 언급했다. 그는 “브로커는 북한 정권을 위하는 일이라곤 모른 채 가담하는 경우가 많다”며 “북한 IT 인력이 다른 나라에서 취업하게끔 돕거나 은행 계좌 만들기를 돕는다”고 설명했다. 또 “북한 IT 인력은 브로커에게 수수료 주고, 월급은 다른 계좌 통해 받아 돈세탁한다”며 “이들이 방산업체에서 일하면 스파이가 되는 셈”이라고 지적했다. 이어 “북한 IT 인력 정체가 들켜 해고돼도 '비트코인을 주지 않으면 민감한 인터넷프로토콜(IP)을 공개하겠다'고 협박하는 메일을 전 직장에 보낸 사례가 있다”며 “면접에서 카메라 녹화를 거부하거나 회사 공식 메일이 아닌 다른 연락처로 취업 서류를 주고받자는 구직자를 기업 인사 담당자는 의심해야 한다”고 조언했다. 다만 “북한 IT 인력이 한국에서 공격한 일은 아직 없다”고 선을 그었다. 해커는 구글 '제미나이(Gemini)' 같은 생성형 인공지능(AI)으로 생산성을 끌어올리는 것으로 알려졌다. 맥나마라 연구원은 “북한을 비롯해 중국·이란 지능형 지속 공격(APT) 단체들이 제미나이를 악용한다”며 “정보를 모으고, 보안 취약점을 찾고, 피싱하고 개인정보를 탈취할 질문을 하거나, 딥페이크 이미지를 만들 때 쓴다”고 분석했다. 그는 “1년 뒤에도 해커가 AI를 지금과 똑같이 쓸지, 다르게 활용할지 구글클라우드가 연구하겠다”며 “보안 담당자가 생성형 AI로 새로운 전술을 알아채고 빠르게 대응한다면 공격자와 격차를 줄일 수 있지 않겠느냐”고 되물었다.

2025.03.19 15:53유혜진

'안전한 고속도로 함께 만들어요'

한국도로공사(대표 함진규)는 오는 4월 11일까지 중대시민재해 예방을 위한 국민참여형 안전활동 'ex-국민안전참여단'을 모집한다고 밝혔다. 올해로 2회를 맞이하는 국민안전참여단은 도로공사가 관리하는 중대시민재해 대상시설물 확인·점검에 직접 참여하고 기타 위험요소 신고 등 시설물 안전 파트너로서의 활동을 수행한다. 중대시민재해 대상시설물은 연장 20m 이상 교량, 터널, 높이 30m 연장 100m 이상 절토사면, 높이 5m 연장 100m 이상 옹벽, 주유소·LPG 충전소 등이다. 고속도로 안전활동에 관심 있는 국민은 누구나 지원할 수 있다. 선발인원은 총 250명이다. 선정된 참여자는 체험 실습 등 사전교육을 받은 후, 4월부터 12월까지 고속도로 시설물 상시 점검·신고 등 활동을 수행할 예정이다. 선발된 인원에게는 위촉장과 함께 참여실적에 따른 활동비(최대 월 10만원)를 지급하고, 실적이 우수한 참여자 12명에게는 포상금 총 380만원을 지급한다. 신청방법은 도로공사 홈페이지 공지사항에서 참가신청서를 내려받아 전자우편으로 접수하면 된다. 지난해 첫 시범에는 유사활동 경력자·안전 관련 자격증 소지자 등 수도권 지역 일반 국민 50명이 참여해 중대시민재해 대상시설물 위험요인 186건을 발굴·개선하는 등 고속도로 노후 시설물 증가에 따른 재해 위험을 줄였다. 함진규 도로공사 사장은 “국민 시선에서 고속도로 주요시설을 점검하고 위험요소를 개선해 나갈 것”이라며 “안전한 고속도로를 함께 만들어 가기 위한 ex-국민안전참여단 활동에 많은 관심 부탁드린다”고 말했다.

2025.03.19 15:47주문정

옥타코, 피싱 막는 M2A 선봬…"제로 트러스트"

인증 보안 기업 옥타코는 18일 제로 트러스트(Zero Trust) 인증 방법으로 '옥타코 피싱 방어 M2A'를 선보였다. 제로 트러스트는 '절대 믿지 말고 항상 검증하라'는 뜻이다. M2A(Multi-Attribute Authentication)는 다양한 속성을 활용해 사용자·기기·환경을 종합 인증하는 체계다. 단순히 여러 인증 요소(MFA)를 모으는 것만이 아니라 사용자 신원과 기기 무결성, 행동 양식, 네트워크 상태 등을 동시에 검증한다. 피싱·중간자 공격을 비롯한 해킹 시도에 대응하는 신원 인증 방법이라고 옥타코는 소개했다. M2A는 비밀번호와 일회용비밀번호(OTP) 조합을 넘어 기기 자체가 믿을 만한 환경인지를 함께 판단한다고 옥타코는 설명했다. 이를 위해 생체 인증이나 하드웨어 보안 번호와 더불어 기기 보안 패치 상태, 악성코드 감염 여부, 위치 정보, 네트워크 상태까지 살펴본다. 비밀번호가 유출됐거나 일회성 토큰이 탈취돼도 뚫기 어렵다는 입장이다. 옥타코는 M2A가 로그인 시도한 때를 넘어 그 시간에도 다중 속성을 계속 점검한다고 강조했다. 권한은 나눠서 적용한다고 덧붙였다.

2025.03.18 16:57유혜진

오픈소스 AI 잇달아 등장···보안은?

중국 인공지능(AI) 스타트업이 만든 고성능 AI 제품 '딥시크(DeepSeek)'가 미국 오픈AI의 '챗GPT'보다 저렴한 비용으로 개발됐다는 소식이 세상을 놀라게 했다. 특히 딥시크는 오픈소스로 공개, 더 화제를 모았다. 오픈소스 소프트웨어는 소스 코드를 공개해 누구나 그 코드를 보고 쓸 수 있는 소프트웨어를 뜻한다. 하지만 딥시크는 정보가 빠져나갈 수 있다는 우려도 함께 낳았다. 미국은 해군이 발빠르게 딥시크를 못 쓰게 막았고, 한국도 국방부·외교부·산업통상자원부·과학기술정보통신부 등과 KB국민은행·하나은행·우리은행·케이뱅크 등 은행, 현대자동차그룹 등 기업이 금지했다. 개인정보위원회는 딥시크 사용을 공식적으로 금지하기도 했다. 국가정보원은 딥시크를 검증했더니 ▲과도하게 개인정보를 수집하고 ▲입력 정보를 학습 정보로 쓰며 ▲광고주와 정보를 공유하는 한편 ▲국외 서버에 저장하는 문제점을 확인했다고 밝혔다. 딥시크의 보안 우려는 오픈소스를 사용했기 때문이기도 하다. 오픈소스를 사용한 AI는 보안에 안전할까? 전문가들은 “딥시크 같은 게 어떤 질문을 받으면 이상하게 답하는지 살펴야 한다”고 조언한다. 줄잇는 오픈소스 AI...LG·딥시크·메타·미스트랄 등 잇달아 선보여 오픈소스는 모두에게 열린 자원이므로 이를 활용하면 비교적 저렴한 비용으로 AI 모델을 개발할 수 있다. 중국 딥시크와 미국 메타(페이스북 모회사), 프랑스 미스트랄 등 오픈AI보다 늦게 뛰어든 기업들이 줄줄이 무기를 들고 나올 수 있는 배경이다. 한국도 빠지지 않았다. LG AI연구원은 18일(현지시간) 미국 캘리포니아주 새너제이에서 열린 엔비디아 개발자 콘퍼런스(GTC)에서 '엑사원 딥'을 선보이며 오픈소스 플랫폼에 배포했다. 엑사원 딥은 단순한 지식 기반이 아니라 스스로 가설을 세우고 이를 검증하는 방식으로 문제를 푼다. 미국 AI 스타트업 글리터컴퍼니는 최근 메타 '라마' 오픈소스를 쓰기 시작했다. 라마가 무료인 덕에 오픈AI 모델만 쓸 때보다 모델 사용료를 70% 아낀 것으로 알려졌다. 다만 악성 AI '웜GPT(WormGPT)' 같은 것까지 만들 수 있다는 단점이 치명적이다. 웜GPT는 오픈소스로 만들어진 해킹 도구다. 챗봇에게 “이 사이트를 공격하자”거나 “악성 파일을 만들자”고 시킬 수 있다. 기자도 일전에 '보안 초짜기자 해킹 체험기'를 쓰려고 인터넷에서 쉽게 내려받을 수 있었다. 이처럼 누구나 손댈 수 있는 위험물이다. 전문가들 "AI, 정보 모을수록 두 얼굴...보안 취약점이 발견되면 누군가 해킹 도구 만들어 뿌려" 전문가들은 AI가 정보를 모으는 게 양날의 칼이라고 짚었다. 세종사이버대 정보보호학과 교수인 박영호 한국정보보호학회장은 “AI는 정보를 먹을수록 커진다”며 “그만큼 개인정보가 빠져나가는 게 문제”라고 말했다. 내가 유튜브로 언제, 어디서, 무슨 영상을 보는지가 전부 정보라는 얘기다. 알고리즘으로 사용자의 취미나 정치 성향도 알 수 있다. 순천향대 정보보호학과 명예교수인 염흥열 한국개인정보보호책임자(CPO)협의회장은 “오픈소스 취약성을 이용해 AI 보안 시스템을 공격하면 AI가 의도된 대로 동작하지 않고 탈옥 등의 방법으로 악성코드나 대규모 살상 무기 등을 만드는 데 악용될 수 있다”며 “AI가 처리하는 개인정보를 빼돌리도록 쓰일 수도 있다”고 분석했다. 윤두식 이로운앤컴퍼니 대표도 “딥시크 같은 게 어떤 질문을 받으면 이상하게 답하는지 살펴야 한다”며 “학습된 개인정보를 추출하거나 편향적인 답변을 유도하고 악성코드나 무기 제조법 등을 만들라고 이끌어 AI가 나쁘게 답변하는지 점검할 수 있다”고 설명했다. 그러면서 “딥시크 사이트 사용자의 개인정보와 그가 입력한 기록 등이 다른 사이트에 퍼지면 개인정보가 유출되는 셈”이라고 덧붙였다. 이로운앤컴퍼니는 AI 보안 수준을 높이는 서비스를 제공하는 회사다. 이희찬 스틸리언 연구소장은 “오픈소스 AI 행위를 예측하기 어려워 취약점을 검증하기도 힘들다”며 “소스 코드가 공개됐더라도 AI 모델이 복잡하다”고 진단했다. 스틸리언은 모바일 앱 보안 솔루션을 공급하는 업체다. 김택완 한국오픈소스협회장은 “애플이 운영체제 'iOS' 보안이 취약하다고 알아채면 개선해 알려준다”며 “오픈소스 모델은 누가 공지하지 않아 사용자가 스스로 '새로고침' 않으면 취약한 옛 모델을 계속 쓸 수밖에 없다”고 지적했다. 또 “보안 취약점이 발견되면 누군가 해킹 도구를 만들어 뿌린다”며 “해커가 이 도구로 10군데 시도하다가 1군데라도 뚫리면 해킹된다”고 지적했다. 이화영 사이버안보연구소 부소장은 “오픈소스 AI 모델 보안이 취약한지 알아보려면 LLM 정보를 아는 게 먼저”라며 “서비스 구조와 정보 흐름을 파악하고 LLM 애플리케이션을 운용할 때 일어날 수 있는 위협을 예상해 목록을 짤 필요가 있다”고 조언했다. 또 “조직에서 오픈소스를 얼마나 활용하는지 판단하고, 오픈소스에서 보안을 위협하는 요소를 살펴봐야 한다”고 권유했다. "LLM방화벽·필터 등으로 점검" 전문가들은 '내가 무슨 AI 도구의 어떤 버전을 쓰는지' 스스로 지켜보다가 새로운 버전을 찾으면 고쳐 써야 한다고 입을 모았다. AI를 안전하게 쓸 수 있는 인터넷 환경도 주문했다. 김택완 오픈소스협회장은 “우리는 수많은 소프트웨어를 쓰고 버전도 쏟아지는 만큼 업데이트 우선순위를 정하는 게 좋다”며 “내가 쓰는 소프트웨어가 내게 얼마나 중요한지, 얼마나 자주 쓰는지, 내 시스템을 얼마나 망가뜨리는지 위험도를 생각해야 한다"고 권했다. 이희찬 연구소장은 “오픈소스 AI를 외부에서 접속할 수 없는 내부망에서 활용하거나 AI 안전 수준을 높이는 기술(AI safety)을 적용해야 한다"고 조언했다. 염흥열 교수는 “인공지능 시스템을 개발하고 운영하는 조직은 AI 관리 체계를 갖춰야 한다”며 “무엇이 인공지능 시스템을 위협하는지 식별해 꾸준히 감시해야 한다”고 진단했다. 이어 “국제표준(ISO/IEC 42001)에 근거한 인공지능 관리 체계를 제3자 인증기관으로부터 인증받는 것도 방법”이라고 예를 들었다. 윤두식 대표는 ▲사용자 요청과 응답으로 말미암아 민감한 정보를 가려내고 없애는 '거대언어모델(LLM) 방화벽' ▲AI 모델에 전달되는 입력을 미리 점검해 금지된 정보를 막는 '프롬프트 필터링(Prompt Filtering)' ▲모델이 학습할 때 개인정보가 포함되지 않게끔 '학습 정보 정제' ▲생성된 응답을 실시간 살펴봐 부적절한 응답을 막는 'LLM 결과 필터링'을 해결책으로 꼽았다. 이화영 부소장은 “AI 모델 출력 결과나 학습 정보에 민감한 내용이 이씨는지 점검할 필요가 있다”며 “악성코드 탐지, 스팸 메일 필터링, 비정상적인 네트워크 트래픽 탐지 같은 사이버 보안 작업에 AI를 활용하는 것도 방법”이라고 말했다. 박영호 교수는 “브레이크가 좋아야 자동차를 안전하고도 빠르게 몰 수 있듯 AI를 활발하게 쓰려면 윤리 의식과 제도가 뒷받침돼야 한다”며 “이미 모든 기기에 사물인터넷(IoT)을 쓰는 만큼 안전 수준도 높여야 한다”고 강조했다.

2025.03.18 16:22유혜진

[현장] 외국인도 한국·보안 사랑…'S마피아' 가보니

'에스마피아(S마피아)' 모임에 갔다. 영화에서 보던 범죄 조직이 아니다. 한국 보안(Security) 산업을 마케팅하는 사람들의 이상향(Utopia·유토피아)이라는 뜻의 모임이다. 보안 산업을 취재한 지 1개월 된 초보 기자는 이 모임이 궁금했다. 초대받고서 사람 사귈 수 있는 좋은 기회라 생각해 흔쾌히 찾아갔다. 에스마피아 신년회가 지난 13일 저녁 서울 관악구 한 식당에서 개최됐다. 50여개사 회원 70여명이 서로 반갑게 인사했다. 그동안 산업 전시회에서 만난 다른 회사 사람, 이직한 옛 동료 등이 어울렸다. “아기 잘 커요?”라거나 “거기 가니 어때?”라는 소리가 한데 섞여 왁자지껄했다. '신년회를 왜 3월이 돼서야 하느냐'는 기자 물음에 한 참석자는 “이쯤 되면 인사 이동이 끝나지 않았을까”라며 “지난해보다 2배는 넘게 많은 사람이 모인 것 같다”고 귀띔했다. 그도 그럴 것이 자리가 모자라 식당 구석에 있던 간이 의자를 하나둘씩 빼 와 식탁 가장자리에 놓고 촘촘하게들 앉았다. 에스마피아는 한국에서 보안 산업이 활발해진 2000년대 초 모이기 시작했다. 10여개사로 출발해 5배 넘게 커졌다. 삼성SDS 자회사인 시큐아이 강명수 실장이 초대 회장으로 에스마피아를 이끌었다. 당시 보안 산업 홍보·마케팅 담당자들이 대부분 1970년대생으로, 나이와 직업이 비슷하니 공감대를 꾸렸다고 한다. 보안 기업은 전시회나 콘퍼런스에 참가해 업체마다 사업을 뽐내곤 한다. 이때 현장에서 자주 만난 담당자끼리 관련 소식과 마케팅 정보, 정보기술(IT) 최신 동향을 주고받는다. 온라인으로 소통하는 한편 매년 상·하반기 정기 모임으로 다같이 친목을 다진다. 에스마피아 회장을 맡은 최복규 앤앤에스피 마케팅팀 상무는 “에스마피아를 만든 초기에는 사회관계망(SNS)이 없던 때라 한 달에 한 번 만났다”며 “마피아처럼 정기적으로 모이자는 취지였다”고 말했다. 이어 “홍보·마케팅 관련 정보를 교류한다”며 “보안 업계에 처음 발 들인 담당자에게 유익할 것”이라고 강조했다. 회장과 얘기한 뒤 둘러보니 눈길을 끈 이가 있었다. 외국인이다. 단 한 명의 금발 여인이었다. 인증 보안 기업 옥타코에서 마케팅을 맡은 클로에 비냘 프로다. 그는 1998년 프랑스에서 태어났다. 프랑스에 교환학생으로 온 한국인 남자친구를 사귀어 한국에 따라온 지 6년 됐다고 했다. 한국어를 잘해 기자와 술술 대화했다. 비냘 프로는 “프랑스에서 대학 졸업하고 연세대 경영학 석사(MBA)를 받아 한국에 정착했다”며 “서울 삼성동 코엑스에서 열린 외국인 유학생 취업 박람회에서 옥타코 대표와 면접해 인턴을 거쳐 정직원이 됐다”고 소개했다. 그러면서 “옥타코에서 유일한 홍보·마케팅 담당자로서 2년 6개월째 일하고 있다”며 “한국도, 회사도, 업무도 좋아 한국에서 결혼해 계속 여기서 살고 싶다”고 덧붙였다.

2025.03.17 14:47유혜진

"트럼프, 美 사이버안보 조직 10% 해고"

도널드 트럼프 미국 대통령이 사이버안보인프라안보국(CISA) 직원을 대거 해고했다고 미국 잡지 와이어드가 지난 13일(현지시간) 보도했다. CISA는 300~400명이 사라진 것으로 보고 있다. 전체 인원 3천200명의 10%에 해당한다. CISA의 자발적 위협 탐지 서비스를 감독했던 켈리 쇼우, 기술 책임자인 던칸 맥카스킬 등이 떠난 것으로 알려졌다. CISA 한 직원은 “매우 뛰어난 인재를 잃었다”고 말했다. 와이어드는 남은 인력이 남은 짐을 떠안았다고 지적했다. CISA 직원은 “적을 바라보는 대신 어깨 너머를 바라보는 사람들이 많다”고 고개를 저었다. 또 다른 직원은 “인력이 심각하게 부족하다”며 “대부분이 2명 이상의 몫을 하고 있다”고 전했다. 그러나 제임스 휴잇 미국 백악관 국가안전보장회의(NSC) 대변인은 “말도 안 된다”며 “CISA에서 대량 해고하지 않았다”고 펄쩍 뛰었다. CISA 측은 미국 사이버 안보 능력이 떨어지고 있다는 입장이다. 버락 오바마 행정부 시절 CISA를 이끈 수잔 스폴딩은 “적들은 우리를 끊임없이 공격한다”며 “우리는 모두 전선에서 집중해야지, 외상을 입거나 주의가 산만해져서는 안 된다”고 주장했다. 트럼프 행정부가 국가 안보와 경제 전망은 과소평가한 채 정부 효율성을 높이겠다는 정책이 CISA를 혼란스럽게 했다고 와이어드는 비판했다. CISA 직원은 “정부효율부(DOGE)가 민감한 정보를 수집해 다들 걱정하고 있다”고 우려했다. 트럼프 행정부 개국 공신 일론 머스크 테슬라 최고경영자(CEO)가 정부효율부 수장이다.

2025.03.16 08:00유혜진

[보안리더] 박영호 정보보호학회장 "보안은 브레이크···기업 보안인력 적어"

“자동차가 빠르게 달리다가도 성능 좋은 브레이크를 밟으면 사고를 막을 수 있습니다. 정보 보호도 마찬가지예요. 안전이 담보되면 효율성을 높일 수 있죠.” 박영호 한국정보보호학회장(세종사이버대 정보보호학과 교수)은 13일 서울 광진구 세종사이버대 연구실에서 지디넷코리아와 만나 보안을 차 브레이크에 빗대며 이같이 말했다. 박 회장은 학·석·박사 학위를 모두 고려대 수학과에서 받았다. 암호에 관심이 많았다. 대통령실 사이버특별보좌관인 임종인 고려대 정보보호대학원 교수로부터 배웠다. 박사까지 마치고 임 교수가 2000년 고려대에 정보보호대학원을 만들 때 연구교수로서 힘을 모았다. 2002년 세종사이버대가 정보보호학과를 만들고 싶다며 박 회장을 불렀다. 수학 좋아하는 소년이었던 그는 20년 넘게 후학을 기르는 정보보호 전문가가 됐다. 아래는 박 회장과의 일문일답. -한국정보보호학회는 무슨 활동을 하나? "과학기술정보통신부 산하 학회다. 1990년에 생겼다. 학회원은 7천명으로, 대부분 교수다. 여름과 겨울 1년에 두 차례 국내 학술대회를 연다. 석·박사들이 논문을 발표한다. 국제 학술대회도 매년 2번 치른다. 여름 제주도에서 '국제 정보보호 응용 학술대회(WISA)', 겨울 서울에서 '국제 정보보호 암호 학술대회(ICISC)'를 한다. 매년 4월에는 정보보호학회가 가장 중요하다고 생각하는 '정보통신망 정보보호 콘퍼런스(NetSec-KR, 넷섹-KR)'를 개최한다. 올해에는 다음 달 17일부터 이틀 동안 서울 삼성동 코엑스에서 산·학·연 관계자 1천300명이 모이기로 했다. 미국 구글 정보보호최고책임자(CISO)에게서 구글이 어떻게 개인정보를 지키는지 들을 참이다. 한국인이 가장 많이 쓰는 응용 프로그램이 동영상 앱 '유튜브'니까." -끊임없는 개인정보 유출 사고에 어떻게 대응해야 하나? "기업이 돈 벌 때에는 보안을 뒷전으로 미루는 경향이 있다. 그러니 개인정보 유출 사고가 줄줄이 터질 때마다 큰일이다. 모든 것이 온라인으로 이어져서다. 기업에 정보보호 인력이 적다. 하물며 대기업도 그런데, 중소기업은 더 힘든 실정이다. 전산 담당자에게 CISO를 맡기곤 한다. 작정하고 뚫으려는 해커를 막기 어렵다. 정부가 '정보보호 전문가 10만 양병설'을 들고 나왔으니 제대로 했으면 한다. 처벌이 강해도 기업이 조심할 것이다. 미국처럼 한국에도 징벌적 손해배상 제도가 있다면 어떨까. 소비자는 어느 회사 상품을 썼을 뿐인데 개인정보가 빠져나가 피해 입었다면 기업이 정당한 대가를 치러야 한다. 그럼에도 해킹을 아예 막을 수는 없다. 창이 있으면 이를 막으려는 방패가 있고, 방패가 있으면 이를 뚫으려는 창이 있기 마련이다. 결국 복원력을 발휘하는 게 중요하다. 정보 보호 기술에 투자해 피해를 최소한으로 줄이는 것이다. 소비자 개인정보가 새더라도 기업이 이를 암호로 만들어 보관했다면 훨씬 안전하다." -'웜GPT'처럼 오픈소스를 악용한 인공지능(AI)에 무슨 문제가 있나? "몇 년 전 중학생이 부산 한 언론사 전광판에 '조선일보 전광판, 중학생한테 다 털렸죠?'라는 글을 띄웠다. 해킹 도구를 인터넷에서 어둠의 경로로 내려받아 실행한 것이다. 이처럼 AI로도 해킹 도구를 만들 수 있어서 우리 학회가 연구하고 있다. 오픈소스는 잘 쓰면 약이다. 세계적인 회사가 엄청나게 많은 돈을 쏟아 '챗GPT'를 만드는 반면 가난한 나라는 그러기 어려웠다. 그런데 중국에서 '딥시크'가 오픈소스를 활용해 챗GPT보다 저렴한 비용으로 개발됐다는 소식이 알려졌다. 곧바로 정보가 탈취될 수 있다는 우려도 커졌다. 보안을 해결하지 않으면 심각해질 수 있다. AI는 정보를 먹을수록 커진다. 그만큼 개인정보가 빠져나가는 게 문제다. 내가 유튜브로 언제, 어디서, 무슨 영상을 보는지가 전부 정보다. 알고리즘으로 사용자의 취미나 정치 성향도 알 수 있다. 차가 빠르게 달리려면 브레이크가 좋아야 하듯 AI를 활발하게 쓰려면 윤리 의식과 제도가 뒷받침돼야 한다. 이미 사물인터넷(IoT)을 안 쓰는 기기가 없다. 세상이 달라졌으니 안전 수준도 높여야 한다."

2025.03.14 16:20유혜진

"中, 美 네트워크 기업 주니퍼네트웍스 사이버 공격"

구글 클라우드의 정보보호 자회사 맨디언트는 14일 중국 해커가 지난해 미국 네트워크 기업 주니퍼네트웍스를 공격했다고 밝혔다. 맨디언트에 따르면 중국 해커 'UNC3886'은 지난해 주니퍼네트웍스의 주노스운영체제(Junos OS)에서 작동하는 백도어(backdoor)를 배포했다. 백도어는 뒷문이라는 뜻으로, 하드웨어나 소프트웨어 개발·유통 과정에 몰래 담겨 정상적으로 인증하지 않고도 보안을 풀 수 있게 만든 악성 코드다. 맨디언트는 지원 종료된 주니퍼 라우터에 6가지 변종 멀웨어가 설치됐다고 설명했다. UNC3886이 멀웨어 영향을 받은 기기에 최고 관리자 권한(root access)을 획득했다고 전했다. UNC3886은 소프트웨어 취약점을 공격하는 '제로데이 익스플로잇(zero-day exploits)' 기법을 썼다고 맨디언트는 전했다. 새로운 공격 기법인 '프로세스 인젝션(process injection)'으로 합법적인 프로세스 메모리에 악성 코드를 주입한 것으로 드러났다. 맨디언트는 네트워크 기기를 업데이트하는 게 중요하다고 강조했다. 탐지 효과를 정기적으로 검토하고, 잘 알려지지 않은 운영 체제를 포함해 네트워크 기기 취약점을 점검해야 한다고 조언했다.

2025.03.14 14:27유혜진

생각대로, 정보보호관리체계 간편인증 획득

음식배달 중계 플랫폼 '생각대로' 운영사 로지올(대표 채헌진)은 한국인터넷진흥원으로부터 정보보호관리체계(ISMS) 간편인증을 획득했다고 12일 밝혔다. 이번 인증 취득을 통해 로지올은 고객의 소중한 데이터를 보호하고, 더욱 안전한 물류 서비스를 제공할 수 있는 기반을 마련했다. ISMS(InformationSecurity Management system) 인증은 기업이 정보보호를 위한 체계적인 관리 절차를 수립하고 운영하는지를 평가하는 국내 권위의보안 인증이다. 인증을 받기 위해서는 정보보호 정책, 위험관리, 접근통제, 암호화, 운영보안, 개인정보 보호 등 40여 개의 엄격한 심사 기준을 충족해야 한다. 로지올은 배달산업의 디지털 전환을 선도하는 기업으로서, 이번 인증 취득을 계기로 고객의 신뢰를 더욱 강화하고, 보안수준을 지속적으로 개선해 나갈 계획이다. 특히, 차세대 스마트배송 시스템 등 자사의 혁신적인 기술을 더욱 안전하게 운영할 수 있도록 보안 프로세스를 철저히 관리할 예정이다. 로지올 관계자는 "이번인증 획득은 당사의 정보보호 관리 역량을 공식적으로 인정받은 것"이라며 "앞으로도 정보보호 수준을 지속적으로 강화하고, 안전하고 신뢰할수 있는 물류 서비스 제공을 통해 배달산업의 디지털 혁신을 이끌어가는 데 앞장설 것"이라고 말했다.

2025.03.12 11:13백봉삼

Prev 1 2 3 4 5 6 7 8 9 10 Next