"스턱스넷은 시작일 뿐"…클라우드 시대, 대형 보안 위협 경고

"스턱스넷은 시작일 뿐이다. 특정 목표를 겨냥한 공격은 점점 증가할 것이다. 가장 위험한 것은 중요 보안 시설을 겨냥한 공격들이다."

세계적인 보안 업체 시만텍의 엔리크 살렘 최고경영자(CEO)가 클라우드 시대, 보안 위협은 새로운 단계로 접어들었으며, 스턱스넷과 같은 공격들이 확산될 것이라고 경고했다.

그는 15일(현지시간) 미국 샌프란시스코에서 열리고 있는 RSA 보안 컨퍼런스 기조연설에서 "스턱스넷은 보안 위협이 스파이에서 생산 방해 행위로 바뀌었다"면서 "물리적인 시설 파괴를 위해 고안된 스턱스넷은 정교하면서도 진화된 보안 위협"이라고 거듭 강조했다.

지난해 이란 원전시설을 마비시키는 위력을 과시했던 스턱스넷 악성코드는 올해도 다양한 변종의 등장과 함께 한층 강력해질 것이란게 전문가들의 전망이다. 스턱스넷은 교통, 전기, 수도, 발전소와 같은 사회 기반 시설에 있는 제어 시스템(PCS; Process Control System)을 감염시켜 오작동을 유발한다.

살렘 CEO도 스턱스넷에 이어 특정 목표를 겨냥한 다양한 보안 공격이 뒤따를 것으로 전망했다.

살렘 CEO는 보안 전문가들의 관심을 끄는 IT트렌드로 소비자화(consumerization), 가상화, 클라우드 컴퓨팅을 거론했다. 시장 조사 업체 가트너는 소비자화에 대해 개인 소비자가 기업에 앞서 산업을 주도하는 것으로 정의하고 있다.

살렘 CEO는 "이같은 트렌드에 대한 보안을 위해서는 새로운 접근이 필요한데, 이를 위한 규정과 정책은 충분치 않다"면서 "거버넌스 및 가시성 확보, 확신과 신뢰가 필요한 상황이다"고 말했다.

그는 RSA컨퍼런스 기조연설에서 클라우드 보안을 위한 새로운 비전 '시만텍 O3'(Symantec O3)도 발표했다.

시만텍 O3는 클라우드 보안 비전을 ▲보안 정책 엔진 ▲보안 정책 집행 ▲모니터링 및 컴플라이언스, 세 부분으로 정의하고, 퍼블릭 및 프라이빗 클라우드 서비스 환경에서 보안, 거버넌스, 감사 기능을 통합한다는 개념이다.

보안 정책 엔진은 정책 통합을 통해 엔터프라이즈 클라우드 서비스 전반에 걸쳐 일관된 방식으로 인증 및 디바이스 보안, 정보 보호 규칙을 제어한다.

보안 정책 집행은 클라우드에 접근하기 전에 임직원과 디바이스가 인증을 받는 단계에 엔드포인트 보안, 강력한 인증, DLP, 데이터 암호화 등과 같은 적절한 보안 기술을 적용해 통합된 정책을 기반으로 보안 정책이 올바르게 집행되도록 한다.

모니터링 및 컴플라이언스는 클라우드 서비스 상에서 보안 정책의 집행 현황을 한 눈에 볼 수 있는 가시성을 제공한다.

‘O3’의 명칭은 태양의 자외선으로부터 지구를 보호해주는 오존에서 유래됐다. 클라우드 환경으로 시스템·애플리케이션·데이터·인프라를 이동시키는 IT 환경 변화에 기업들이 능동적으로 대응할 수 있도록 지원하기 위한 시만텍의 의지를 담고 있다.

시만텍은 O3 플랫폼을 통해  기업 클라우드 서비스에 통합 보안 정책 엔진, 보안 정책 집행, 클라우드 감사 등  핵심 서비스를 지원할 계획이다.