"지역사이버안전망 사각, 클라우드보안으로 메운다"

KISA 노명선 지역정보보호총괄센터장의 사이버안전망 3단계 전략

"중소기업에 PC보안, 이메일보안, 홈페이지보안, 3가지가 필수 요소다. 많은 기업에 혜택을 주려면 클라우드 형태의 보안 서비스(SECaaS)가 유용하다. SECaaS는 하드웨어 제품같은 관리인력과 패치 적용 업무 등 부담이 적어, 전통적인 보안솔루션보다 중소기업 환경에 더 알맞다. 한국인터넷진흥원(KISA) 중소기업 정보보호 지원사업과 연계하면 SECaaS 시장 마중물 역할을 할 수도 있다. 국내 사업자가 20여곳 있다."

KISA 노명선 지역정보보호총괄센터장이 국내 지역사이버안전망 확충방안을 구체화했다. 제시된 방안은 3단계다.

우선 1단계로 국내 사이버안전망 사각지대인 지역별 중소기업의 소규모 IT인프라를 SECaaS 솔루션으로 보호한다. 2단계는 각지에 지역정보보호기업 육성센터를 설립한다. 3단계로 현재 전국단위 활동을 하고 있는 KISA 인터넷침해대응센터(KISC) 역할을 대신할 지역별 거점을 구축한다.

한국인터넷진흥원은 지역정보보호센터를 통해 지역사이버안전망의 사각지대를 메우는 3단계 전략을 제시했다. [사진=Pixabay]

■ "지역 소재 중소기업, 증가하는 사이버위협 보호 사각지대"

작년 경찰청 정보통신망 사이버침해범죄 통계를 보면 3천156건으로, 2014년 2천291건에서 37.8% 늘었다. 같은해 KISA에 신고, 접수된 사이버침해사고의 98%가 중소기업에서 발생했다. KISA에 따르면 중소기업 과반인 53%가 지역에 소재하고 있다. 그런데 한국정보보호산업협회(KISIA) 통계를 보면, 전국대비 서울과 수도권에 정보보호기업(88.5%), 일자리(96.5%), 매출(95.3%)이 심각하게 편중된 것으로 나타난다.

지역정보보호센터는 수도권에 쏠린 국내 정보보호 인프라를 전국으로 확대할 목적으로 탄생했다. 지난 2014년 1월 과학기술정보통신부 출연 '중소기업 정보보호안전망 확충' 사업으로 설립이 확정됐다. 2014년 인천·대구, 2015년 중부(충북)·동남(부산)·호남(광주), 2016년 경기 센터가 문을 열었다. 2018년 6월 선정된 울산 센터가 9월 중 문을 열면 연내 지역센터 7곳이 운영된다. 설립 목표는 2020년까지 10곳이다.

노명선 총괄센터장은 "지역정보보호지원센터는 보안 인프라가 미비해 정보보호 사각지대로 방치된 지역의 정보보호 수준을 제고하려고 2014년부터 지역별 설립되기 시작했는데, 올해 2월부터 기능을 강화하고 있다"며 "지역사이버안전망 구축을 위해 전국 지역별 지원센터를 활성화해 지역 균형발전, 정보보호생태계 조성, 일자리 창출 효과까지 해야겠다는 전략으로 움직이고 있다"고 말했다.

KISA 지역 사이버안전망 구축 3단계 전략 일부. 지역정보보호센터 설립배경. [자료=KISA]

■ 지역정보보호지원센터, 정보보호컨설팅부터 솔루션도입 바우처까지

지역정보보호지원센터의 역할은 크게 2가지다.

하나는 2014년부터 이어 온 정보보호 현장 대상 보안서비스다. 보안서비스는 내용에 따라 정보보호 현장 컨설팅, 웹 취약점 점검, 중소기업 재직자 대상 정보보호 교육·세미나, 지역 특화 산업 맞춤형 보안 테스트베드 운영, 4가지로 나뉜다. 의사가 환자를 문진하듯 실무자의 의문에 답한다든지 현장의 문제점을 찾고 현행법상 DB암호화가 의무인 데이터 등 실무자가 잘 모를 수 있는 정보를 제공한다. 모두 무료다.

나머지 역할 하나는 2018년 5월부터 시작한 종합컨설팅 및 바우처 지원이다. 신청 기업에 자산, 취약점분석, 모의해킹, 보호대책 제시 후 도입하려는 보안솔루션 구매 비용을 바우처 형태로 지원한다. 점검 후 개인정보 관리 시스템에 미처 적용되지 않은 암호화나 접근통제 등 사고 발생시 파급이 큰 분야의 솔루션 구입을 권고하고 비용까지 지원한다. 비용을 1대1 매칭 방식으로 300만원까지 지원한다.

노 총괄센터장은 "중소기업 정보보호 컨설팅 지원사업은 18억원정도 예산을 받아 연간 180개 중소기업 대상으로 진행하는 사업으로, 올해 5월 시작했다"며 "예산이 제한돼 지원 신청을 받으면 선착순으로 적격대상인지 외부 전문가들과 함께 심사를 거치고 정보보호 정책 기술 진단과 컨설팅을 제공하는데, 3개월간 지원 대상 기업이 100여곳에 달할 만큼 참여율이 높았다"고 설명했다.

사이버보안 위협 대응의 중요성이 상대적으로 규모가 작은 회사에게도 커졌다. 사이버범죄자들이 더 이상 큰 회사만 공격 표적으로 삼지 않는 상황이라서다. [사진=Pixabay]

■ 영세 중소기업 SECaaS 지원 구상…"예산 확보 노력 중"

KISA는 지역 사이버안전망 확충 방안 일환으로 이 중소기업 대상 바우처 지원 범위를 확대할 계획이다. 그간 바우처 지원 대상은 'ICT 인프라를 운영하거나 정보통신서비스를 제공하는 중소기업'으로 한정됐다. 이는 중소기업이라 해도 일정 규모 이상의 데이터센터 서버, 네트워크 등 자체 ICT 인프라 보유를 전제했다. 앞으로는 단순 PC, 이메일, 홈페이지 수준의 인프라를 보유한 영세 업체에도 바우처를 지원한다.

노 총괄센터장은 "바우처사업을 SECaaS 지원에 활용해 영세 중소기업이 활용할 PC, 이메일, 홈페이지 영역의 정보보호를 좀 더 쉽게 도울 것"이라며 "지원센터에서 정보보호 상담컨설팅을 제공 후 정보보호 기업이 제공하는 SECaaS를 지원하겠다"고 밝혔다. 이어 "영세 중소기업엔 SECaaS 도입이 하드웨어 설치, 패치 등 전담인력이 필요한 전통적 보안솔루션 대비 더 나은 도입방안이라 본다"고 덧붙였다.

하지만 KISA는 아직 예산 문제로 영세 중소기업 대상 SECaaS 지원 사업은 시행을 장담하지 못하고 있다. 먼저 상급 기관인 과학기술정보통신부를 통해 내년 예산을 확정받아야 하는 상황이다. 노 총괄센터장은 "내년 예산을 확보할 경우 내년부터 바로 지원이 가능하다"며 "사업 계획안을 지지하는 의원들이 많아 시행 가능성을 긍정적으로 보고 있다"고 주장했다.

클라우드서비스. [사진=Pixabay]

■ "국내 SECaaS 시장 마중물 역할도 기대"

KISA는 지원사업을 통해 국내서 태동하고 있는 SECaaS 시장 활성화 효과도 기대할 수 있다는 입장이다. 바우처 형태로 영세 중소기업의 ICT인프라에 걸맞은 SECaaS 도입 비용을 지원하면, 지원대상 기업 입장에선 무료로 정보보호 효과를 얻을 수 있고, SECaaS 사업자에겐 매출 증대 효과를 줄 수 있다는 구상이다. 다만 어떤 사업자의 솔루션을 어떤 기준으로 지원할지와 같은 계획은 구체화되기 전이다.

노 총괄센터장은 "SECaaS 업체의 조건, 자격, 스펙을 나름대로 정해, 솔루션 유형별로 2~3곳을 선택할 수 있게 풀을 만들 예정"이라며 "특정 수요를 한 업체가 독식하진 않을 것"이라고 말했다. 이어 "내부적으론 조사 중이고 필요시 여러 외부 전문가와 산업계 담당자 대상 설명과 스펙 만드는 작업도 할 것"이라며 "예산 확보 하면 그런 작업을 후속으로 하겠지만 아직 그 단계까지 진행하지 못했다"고 덧붙였다.

국내외 SECaaS 사업자 입장에선 영세 중소기업 지원사업이 시행될 경우 지원풀에 참여하는 업체의 기준이 관건이 될 전망이다. 일단 지원풀에 국외 업체의 SECaaS 솔루션이 제외될 수 있고, 글로벌 진출을 목표로 글로벌 퍼블릭클라우드 사업자의 솔루션 장터에 SECaaS를 제공하고 있는 국내 사업자의 솔루션이 도입될 수 있을지도 불분명하다.

노 총괄센터장은 "(외국 업체 솔루션을) 명시적으로 배제하긴 어려울 수 있지만 아직 그(걸 검토할) 단계까지 가지 않았다"며 "KT 클라우드 인프라를 이용하거나 (타업체 클라우드에 의존하지 않고) 독자적인 형태로 제공하는 등 경쟁력을 가진 국내 정보보호 업체도 많다고 판단하고 있고, 가능하면 (지원풀에) 국내 업체가 포함되면 좋지 않을까 생각한다"고 언급했다.

KISA 3단계 지역사이버안전망 확충전략 [자료=KISA]

■ 정보보호 클러스터 모델-침해사고 대응체계 지역별 확대

KISA 지역 사이버안전망 확충전략 2단계는 현재 경기도 판교에 구축된 정보보호 클러스터 운영모델을 권역별 확대 운영하는 방안이다. 클러스터 담당권역을 수도권(판교), 호남권역(광주광역시), 영남권역(부산광역시) 등으로 나누고 각 지역에서 정보보호 전문기업 입주 등 인프라구축, 사이버훈련장 운영 등 인력양성, 지역전략산업 보안 내재화 등 기술지원, 마케팅 및 해회수출 컨설팅 지원까지 한다는 구상이다.

노 총괄센터장은 "사업 추진 방안은 일부 국비와 지방자치단체의 매칭펀드 형태로 전체 인프라를 구축하고 지역별 정보보호 전문기업을 유치하면서 나름대로 지역 특화산업 육성, 기술지원, 인력양성, 교육과 마케팅 지원을 하는 것"이라며 "영남과 호남 권역에 이 모델을 도입하는 방안을 갖고 연락해 보면 실제 지자체에선 많은 관심을 보인다"고 언급했다.

KISA 사이버안전망 확충전략 3단계는 침해사고 대응체계의 지역 거점 확보다. 향후 지역정보보호지원센터가 지역별 거점 역할을 맡는다. 지역 민간업체의 사이버 사고 신고와 초동조치를 맡고, 장기적으로 지역내 침해사고 수집 및 사례분석과 위협경고 전파를 수행한다. KISC는 사이버위협정보분석공유시스템(C-TAS)과 침해사고분석시스템을 운영하며 지역 정보보호 지원센터와 위협정보를 연동하고 활용한다.