[보안칼럼] 침해사고와 보안 인증
지난해 침해사고로 대규모 개인정보 유출 사고가 잇달으면서 ISMS·ISMS-P 인증에 대한 비판이 쏟아졌다. ISMS(Information Security Management system)는 말 그대로 '정보보호 관리체계' 인증이고, ISMS-P는 ISMS를 기반으로 개인정보 보호체계까지 검증하는 '정보보호 및 개인정보보호 관리체계' 인증이다. ISMS·ISMS-P 인증 무용론? 국제 표준인 'ISO 27001' 인증과 달리 ISMS·ISMS-P 인증은 정부가 운영하므로 인증 실효성에 대한 비판은 정부 비판으로 향하기 십상이다. 지난해 10월 '범정부TF'가 발표한 '범부처 정보보호 종합대책'에 두 인증 관련 내용이 포함된 이유다. 이를 토대로 올해 3월에 개정된 개인정보보호법에서는 일정 요건의 개인정보처리자에게 ISMS-P를 의무화했고(개인정보보호법 제32조의2(개인정보 보호 인증), 역시 3월에 개정된 정보통신망법에서는 일정 요건의 정보통신서비스 제공자에게 '강화된' ISMS 인증을 차등 적용할 수 있게 했다.(정보통신망법 제47조의7(정보보호 관리체계 인증의 차등적용 등). 또한, 4월에는 두 부처가 ISMS·ISMS-P 인증의 구체적 강화방안을 담은 '정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안'을 발표했다. 돌이켜 보면, 인증받은 기업에서 침해사고나 개인정보 유출 사고가 발생했을 때 ISMS·ISMS-P 인증에 대한 비판이 일어난 건 어제 오늘의 일은 아니다. ▲인증 기준 미흡 ▲인증심사원 자질 부족 ▲인증심사 과정 부실 ▲정부의 관리·감독 소홀이 주된 비판 지점이다. 심지어 해당 인증의 무용론이 나오기도 한다. 정부 주관 보안 인증을 받은 기업에서 침해사고가 발생했을 때 정부에 대해 비판이 나오는 것은 어쩌면 자연스러운 반응일 수도 있다. 사고 기업 중에는 ISO 27001 인증도 받은 곳이 있는데, ISO 27001에 대한 비판은 거의 없는 것과 대비된다. 필자는 인증대상 기업에서 침해사고 발생 시 ISMS·ISMS-P 인증에 대한 비판이 과도하고, 그에 따라 ISMS·ISMS-P 인증을 강화하면 거의 사고가 발생하지 않을 것처럼 대책을 내는 것 역시 과도하다고 본다. 여러 가지 이유로 ISMS·ISMS-P, ISO 27001 인증을 포함해 정보보호 '관리체계' 인증 또는 보안 인증에 대해 잘못 인식된 것이 주된 원인이 아닐까 싶다. ISMS·ISMS-P 인증 강화를 통해 인증대상 기업에서 사고가 발생하지 않도록 하고자 하는 정부의 노력에 대해 충분히 공감하면서도, 다음과 같은 두 이유로 정보보호 관리체계 인증 또는 보안 인증을 받은 기업에서도 침해사고가 날 수 있다는 인식 또한 필요함을 설명하고자 한다. 첫째, 정보보호 관리체계 인증의 본질적 특성과 둘째, 보안 인증의 본질적 특성이다 ISMS·ISMS-P 인증은 '관리체계' 인증이다! ISMS·ISMS-P 인증은 보안 인증 중에서도 정보보호 '관리체계'에 대한 인증이다. 적절한 정보보호 거버넌스를 구축하고(관리체계 기반 마련), 이를 기반으로 관리체계를 수립·운영하는 것을 검증한다. 이때 위험관리(또는 위험평가)를 통해 인증 범위 내에 어떤 위험(위협과 취약점)이 있는지, 그에 대한 보안대책은 수립되어 있고 제대로 작동하는지를 관리적·기술적·물리적 보안 영역의 '보호대책 요구사항'을 기준으로 증빙을 통해 검증한다. '관리체계'가 인증 기준에서 요구하는 대로 구축되고 각 영역에서 제대로 작동하는지 살펴보는 것이다. 예를 들어, 보호대책 요구사항 중 대표적인 기술적 보안 분야인 접근통제 분야(2.6)에는 2.6.1~2.6.7의 7가지 점검 항목이 있고, 그중 네트워크 접근(2.6.1)의 내용은 다음과 같이 되어 있다. 관리체계 인증은 사고가 발생할 수 있음을 전제로 한다 하나 더 살펴보자. ISMS 인증 기준의 많은 부분은 침해사고 예방을 위한 것이지만, 침해사고 발생 시 대응에 관한 내용도 포함되어 있다. 사고가 났을 때 법규를 준수하고 사전에 준비한 대응 절차에 따라 신속·정확하게 대응함으로써 피해를 최소화하고, 복구할 것을 규정한다. 상식적으로 고개를 끄덕일 만한 내용이다. 비슷한 인증 기준(통제항목)은 ISO 27001에도 있다. 사고가 났을 때도 관리체계는 여전히 중요하다. 관리체계가 제대로 되어 있지 않다면, 침해사고 발생 시 우왕좌왕하다가 사고를 더 키울 수 있다. 따라서 정보보호 관리체계 인증의 본질적 특성으로 볼 때 침해사고가 발생했다는 사실만으로 비판하는 것은 적절하지 않다. 침해사고를 줄이려면? 제품 및 서비스에 대한 침해사고를 최소화하기 위해서는 무엇보다도 '안전한 소프트웨어 개발 프로세스(Secure SDLC)'를 구축해 제품 및 서비스 개발 시 개발 단계별 보안 활동을 통해 취약점을 최소화하고, 출시 이후에도 이러한 보안 활동과 함께 모의해킹, 버그바운티 등을 통해 취약점(기존에 있거나 새롭게 발굴됐거나)을 선제적으로 탐지하여 신속하게 해결하는 것이 중요하다. 인터넷 접속 가능 사이트를 비롯한 기업 내 IT 인프라에 대해서도 마찬가지다. 인증 범위를 실효성 있게 정하여 ISMS·ISMS-P 인증을 받았다면, 기업의 관련 활동에서 정보보호 관리체계가 작동해 위험평가에 따른 보안대책을 구현하고, 그 결과를 모니터링하여 취약점을 탐지·대응·개선해 나가야 한다. 침투 테스트 등 '공격팀'(Red team)의 지속적 활동 역시 도움이 된다. 또한, 클라우드, SW 공급망, AI와 같이 새로운 보안 영역이 발생했을 때 그에 대한 위험평가를 통해 보안대책을 수립·운영함으로써 그러한 영역에서 발생하는 취약점을 예방·대응해야 한다. ISMS·ISMS-P 인증을 받은 기업에 침해사고가 발생하지 않도록 하기 위해 이러한 내용을 모두 정보보호 관리체계 인증에 포함하는 것이 바람직한가? 이런 모든 것을 다 포함하는 '올인원' 보안 인증은 가능한가? 만일 그러한 인증 체계를 만든다고 하면, 그것은 현실적으로 작동할 것인가? 보안을 조금 아는 사람이라면 당연히 아니라고 답할 것이다. ISMS, ISMS-P, ISO 27001, ISO 27017, ISO 27018, CSA STAR, SOC 2, ISO 22301 등 보안의 각 영역에 적합한 활동과 인증이 있다. 관리체계 인증은 그 나름의 역할이 있다는 말이다. 좀 더 본질적인 질문을 해 보자. 이런 보안 활동을 모두 하면 침해사고는 발생하지 않을 것인가? “보안 사고가 발생하지 않는다고 보증할 수 없다” 한 10년은 된 것 같다. 한 전자 대기업의 기술 고문으로 일하던 때 글로벌 보안 인증기업 사람들을 만난 적이 있다. “보안 사고가 발생하지 않는다고 보증하는 보안 인증은 없습니다.” 한창 스마트 제품(IoT 기기)에 대한 보안 인증 이슈가 떠오르던 때라서 '영업'을 하러 온 자리인데도 인증기업 쪽에서 이런 얘기를 꺼냈다. 인증(Certification)은 기본적으로 제품·서비스·인프라 등 '인증대상'이 사전에 수립된 '인증 기준'을 충족하는지 '검증'하는 작업이다. 품질경영시스템(ISO 9001) 인증, 가족친화 인증, TOEIC·TOEFL 같은 영어능력 인증 등 여러 분야에 많은 인증이 다양한 형태로 존재한다. 다른 분야와 달리 보안에는 공격자가 존재한다. 공격자는 공격 대상을 수년 동안 연구하며 시·공간의 제약을 벗어나 공격할 수 있지만, 공격 대상은 어떠한 공격자가 존재하는지조차 모르고, 그들이 언제 어떤 기술로 자신의 어느 부분을 노리는지 알기 어려운 극히 '기울어진 운동장' 위에 있다. 또한, 인증 기준에 맞춰 보안 인증을 받았다 하더라도 시간이 지나면서 드러나지 않았던 취약점이 밝혀지기도 하고, 새로운 공격자와 공격 기술이 출현해 과거에는 취약점이 아니었던 것이 취약점이 되기도 한다. AI의 등장으로 과거와는 다른 기술과 속도, 지속성으로 공격이 들어온다. 사회공학 공격을 통해 보안이 뚫리기도 한다. 보안 역량이 강하기로 유명한 마이크로소프트나 시스코에서도 침해사고가 발생하곤 한다. 이들 기업은 침해사고가 발생해도 신속하게 탐지·대응함으로써 피해를 최소화한다(고 주장한다). (물론 정보보호 관리체계를 기반으로 상당한 기술적 역량이 쌓였기 때문에 가능할 수 있다). 어떠한 보안 인증도 침해사고 예방을 보증할 수 없다는 것은 너무나 자명한 사실이다. 보안 인증과 정부 역할 다른 한편으로는, 기업의 침해사고에 대해 사실 관계를 조사해 행정처분 등 해당 기업의 책임을 묻는 것은 정부의 역할로 적절해 보이는데, ISMS·ISMS-P 인증의 세부적인 개선 대책을 준비·발표하는 일까지 정부가 나설 일인가 하는 의문도 생긴다. 특히 '강화인증군(안)'에는 ▲매출액 1조 원 이상 주요 ISP‧IDC ▲매출액 3조 원 이상 정보통신서비스 제공자 등이 포함된다고 하는데, 이런 대기업에 문제가 생기면 정부가 책임을 물으면 되지, 세금을 투입하여 새로운 인증 기준을 추가하면서까지 지원해 줄 일인가 싶다. 세계 주요국에 이런 사례가 있는지 궁금하다. ISMS·ISMS-P 인증의 '첫 단추'가 정부 주관으로 끼워졌으니 어쩔 수 없는 면이 있다 하더라도 이제는 정부가 보안 인증에서 자신의 역할을 점차 줄여나가는 방향으로 전환하는 게 어떨까 한다.
