피플스토리

"기술 발전과 사이버보안은 창과 방패,
시대의 변화를 포용할 수 있어야"
충남대학교 컴퓨터융합학부 류재철 교수

눈부시게 발전하는 정보통신기술(IT)은 우리 생활을 스마트하게 바꿨지만 밝은 면 뒤에는 어두운 면도 있다. 바로 보안 문제다. 사이버보안은 가상 세계에서 펼쳐지는 창과 방패의 싸움이다. 창을 든 해커들은 늘 귀중한 정보를 탈취해 이득을 얻으려 하고 이를 막는 방패는 기상천외한 해킹에 맞서 대응 방법을 짜야 한다.

사이버보안은 비단 개인의 문제만이 아니라 한 국가의 안보와도 밀접하다. 겉으로는 평화로워 보이지만 그 밑에는 소리 없는 국가 간 사이버 전쟁이 벌어지고 있다. 특히 에너지시설과 같은 국가중요시설에 대한 사이버 공격은 날로 정교해지고 있다. 이런 상황에서 우리는 어떤 노력을 해야 할까. 1세대 사이버보안 전문가로서 국내의 보안 연구를 이끌고 있는 충남대학교 컴퓨터융합학부 류재철 교수를 만나 함께 고민해보자.

정보를 탈취하려는 것은 인간의 오랜 욕구다

류재철 교수는 인터넷침해대응기술연구센터장, 한국침해사고대응팀협의회장 등을 역임했고, 지난 30년 동안 정보보호 연구 및 인력양성에 매진했다. 현재는 한국정보보호학회 회장으로서 블록체인과 모바일 해킹, 디지털 포렌식 같은 최근 기술에 관한 보안 연구를 진행하고 있다. 1세대 정보 보안 전문가로서 류 교수는 세간의 인식과 달리 보안 이슈는 오늘날의 문제가 아니라 인류 역사의 유구한 문제였다고 강조했다.

"남의 정보를 빼내려는 행동은 인간의 기본적인 욕구입니다. 이미 그리스 로마 시대에도 개인의 정보를 염탐하는 것뿐만 아니라 전쟁 시 상대의 공격 의도를 파악하고자 정보 탈취가 조직적으로 이뤄졌지요." 당연히 이를 막기 위한 보안도 함께 발전할 수밖에 없었고 그 수단으로 등장한 것이 암호 알고리즘이다. 이미 고대에도 암호 알고리즘 개념이 있었던 것. 그 대표적인 예가 로마 황제 율리우스 카이사르의 이름을 딴 '카이사르 암호'다.

"정보 탈취와 보안은 서로 영향을 주고받으며 고도화되었습니다. 다만 인터넷의 등장으로 사이버 공간에서 정보를 보호하는 것이 중요해지면서 공격에 맞선 보안이 더 까다로워졌지요."

과거에는 도청이나 도난 같은 물리적 탈취에 대비해 암호를 잘 만들면 됐지만 사이버보안의 범위는 매우 넓어 다양한 대응 방법이 필요하다. 류 교수는 온라인을 통한 컴퓨터 해킹만이 아니라 물리적인 방법으로 격리되어 있는 컴퓨터에 직접 접근해 중요한 시스템을 파괴할 수 있다고 했다. 또한 류교수는 사람의 심리를 이용해 시스템에 접근하는 것도 사이버보안에서 해결해야 할 주요 문제라고 설명했다. 게다가 최근 사이버공격은 특정 범죄집단의 일탈 수준을 넘어섰다. 화웨이 장비의 보안 문제가 미-중 외교갈등으로 비화됐듯, 더 이상 사이버보안은 기술적 문제가 아니며, 외교적ㆍ국가안보적 상황을 초래하는 국면에 이르렀다. 사이버보안은 국가 간 전쟁으로 비화될 수도 있는 예민한 문제이고 그 전쟁은 선전포고 없이 356일, 24시간 진행된다.

그 중요성을 알기에 류 교수는 보안 1세대 전문가로서 시급히 우리나라 정부와 공공 분야의 사이버보안 토대를 다지는 첨병 역할을 했다. 그동안 우리나라의 정보 보안 수준은 얼마나 발전했을까. "우리나라가 정보 보안 시스템을 갖추기 시작한 것이 1980년대 이후입니다. 그때 한국정보보호학회 회원은 30여 명밖에 없었죠. 초기에는 한국전자통신연구원(ETRI)과 함께 연구과제를 수행하면서 보안 분야에 뛰어들었고 암호 및 사이버보안 역량을 끌어올리는 데 힘썼습니다." 30년이 지난 오늘날은 한국정보보호학회 회원이 7000여 명에 달하고 정보 보호 관련 학과를 보유한 대학만해도 70여 개에 이른다. 보안 역량도 크게 신장했다. 전 세계 국가의 보안 능력을 평가하는 사이버보안 지수로 보면 우리나라는 OECD 평균보다 높으며 올해 5위를 목표로 하고 있다.

기술의 진보와 함께 사이버보안도 진보해야 한다

사이버보안 분야는 기술의 진보와 함께 그 변화 속도가 빠른 편이다. IT 기술이 새로이 등장할 때마다 공격 방법도 새로워진다. 그렇기에 류 교수는 지금도 최신 IT 기술을 공부하고 연구하는 데 많은 시간을 바친다. "요새 IT 기술을 이용한 최신 보안 기술의 화두는 인공지능(AI)입니다. 인공지능을 활용해 악성코드나 네트워크단에 들어오는 침입 시도를 빠르게 탐지할 수 있는 방법을 연구하고 있습니다. 또한 4차 산업혁명에 따라 일상생활의 모든 분야가 디지털화되고 있습니다. 스마트시티, 스마트팜, 스마트팩토리가 대표적이죠. 이런 분야는 거대한 시스템이 디지털화된 것이다 보니 해킹과 파괴에 매우 취약합니다. 특히 제어망 보안이 중요해지고 있습니다."

IT 기술의 발달로 원자력 분야에도 데이터 관리나 전략물자 수출입에 신기술을 이용하자는 목소리가 있다. 한 예로 데이터를 분산 저장해 위변조를 방지하는 블록체인 기술이 있다. 물품을 수출하는 과정에 블록체인 기술을 쓰면 위치를 실시간으로 확인함은 물론, 침입자가 접근하거나 수정하려고 할 때 함께 연결된 다른 사용자들에게 그 내역이 전달돼 임의로 변경할 수 없어 보안에 유리하다. "블록체인 기술은 보안에도 우수하고 관리에도 유용합니다. 그럼에도 해결해야 할 문제가 있습니다. 어떤 물건 A를 발송할 때 A를 특정 지역으로 선적한다는 태그(tag)를 붙여야 하는데, 이 태그 자체를 조작하거나 바꿔치기할 가능성이 있습니다. 이 태그를 인식하는 센서에도 똑같은 문제가 있죠. 원자력 분야에서 허가받은 사람이 데이터를 공유하는 데는 블록체인이 제격이지만 초기 데이터 입력값에 대한 신뢰성 문제는 아직 연구가 필요합니다."

한편 류 교수는 원자력 분야의 사이버보안은 기술적 해킹뿐만 아니라 상상할 수 있는 물리적, 심리적 공격을 모두 포괄하는 광범위한 사안이라고 본다. "타국의 정보를 수집한 미국 국가안보국의 기밀자료를 폭로한 에드워드 스노든에 따르면 해킹은 소프트웨어적인 것만은 아닙니다. 예를 들면 정보를 제3자에게 전달하는 특수한 PC 케이블을 납품 단계 때부터 바꿔치기한다든가, 해킹한 컴퓨터에서 정보를 빼낼 때 네트워크망이 아니라 컴퓨터의 점등 LED를 이용하며 이를 드론으로 촬영하는 방법도 있습니다. 정말 기상천외하지요. 우리가 공격자의 마음이 되어 보지 않는다면 이 같은 방법은 상상할 수도 없을 것입니다."

그렇기에 류 교수는 한국원자력통제기술원(KINAC) 같은 규제기관이 사이버보안 인식 개선과 제도 보완에 더 적극적으로 나설 필요가 있다고 조언했다. "2010년 이후 사이버보안 수준 제고를 위해 노력한 KINAC의 활동 덕에 원자력시설의 사이버보안 능력이 한층 성장했습니다. 우리나라는 미국 다음으로 우수한 수준이며, 훈련평가 부분에서는 미국보다 앞서있다는 평가를 받습니다. 다만 4차 산업혁명 시대, IT 기술의 발달로 그 리스크도 다양해져 사이버보안이 더욱 중요해지는 만큼 사이버보안에 대한 규제 수준도 물리적방호 수준만큼 끌어올릴 필요가 있습니다. 그러기 위해서는 원자력 분야 종사자를 위해 현대의 기술 변화 트렌드와 더불어 사이버보안의 중요성에 대해 교육하는 것을 늘리고 보안 인식을 제고해야 할 것입니다."

류재철 교수의 마지막 말처럼 기술은 빠르게 변화하는 데 반해 우리의 인식은 이를 다 따라잡는 데 애를 먹고 있다. 1세대 정보 보안 전문가로서 아직도 기술 트렌드에 대해 예민한 촉을 놓지 않는 류 교수처럼 변화를 받아들이고 옛 관습을 개선하려는 노력이 원자력 분야의 사이버보안을 더 단단히 하는 데 도움이 될 것이다.