정보화의 열풍이 지구촌 전체를 강타하고 있다. 컴퓨터 보급대수의 증가와인터넷 이용자의 급증으로 전세계는 정보화의 열풍에 휩싸여 있다.
우리나라도 정부 및 민간기업이 정보화분야에 활발하게 투자하면서 국가사회 전반에 걸쳐 정보화가 급속도로 진전되고 있다.
그러나 정보화에 필연적으로 뒤따르는 전산망 해킹이나 바이러스 침입 등과 같은 역기능현상도 빈발하고 있어 정보화의 커다란 걸림돌로 작용하고 있다.
이같은 상황인식 아래 전자신문사가 후원하는 「정보통신의 미래를 생각하는 모임」은 이달의 주제를 「정보통신 보안 및 보호대책을 위한 제언」으로정하고 정보사회로의 진입에 따라 발생하는 역기능과 그에 따른 대처방안에대해 진지하게 논의했다. 이번에 발표된 주제논문과 토의내용을 발췌 요약한다.
〈편집자〉
<주제발표>
국내 정보보호 정책동향 및 기능분담 방안
<송관호 한국전산원 표준본부장>
최근 정보화의 진전으로 정보보호의 중요성이 그 어느때보다 높아지고 있다. 현재 국내에는 정보통신부의 주도로 지난 4월 출범한 한국정보보호센터와 한국전산원·한국전자통신연구소(ETRI)·국방정보체계연구소(ADD) 등 정보보호분야의 전문기관으로 활동하고 있다.
특히 새로 출범한 한국정보보호센터는 정보보호에 필요한 정책과 제도·기술 등을 연구·개발하기 위해 정보화촉진기본법에 의거해 설립됐는데 현재조직정비작업을 서두르고 있다.
이들 정보보호기관의 기능은 각기 다르다.
한국정보보호센터는 총체적인 정보보호체계의 구축과 기술지원, 정보보호기술 연구개발, 정보보호시스템 시험평가 등을 범국가적으로 수행하는 정보보호 전담기관으로서의 역할을 수행할 것이다.
한국전산원은 국가 기간전산망용 보안도구 개발, 보안표준 및 지침 개발,응용서비스 보안연구 등을 수행하는 기관으로, 국가 기간전산망 영역의 보안전문기관으로 자리를 굳히고 있다.
특히 한국전산원은 전산시스템의 위험분석과 정부기관의 컴퓨터 바이러스에대한 기술지원, 인터넷 불건전정보 방지책 등의 분야로 특화를 추진하고있다.
인터넷 불건전정보 차단을 위한 SW를 올해말까지 개발해 정보통신부·교육부 정보통신윤리위원회 등과 공동으로 일반에 배포할 계획이다.
이밖에도 ETRI는 DES 등과 같은 암호체계를 개발중이며 ADD는 국방정보체계분야를 전담해 개발작업을 진행하고 있다.
그러나 한국정보보호센터 출범 이후 정부는 모든 정보보호업무를 정보보호센터에서만 추진하도록 하고 여타 기관에는 예산지원을 꺼리고 있다.
정보보호는 관련업무가 방대하고 다양한 기술 등이 뒷받침돼야 하기 때문에 정보보호센터라는 1개 기관의 설립만으로 해결될 문제가 아니다.
미국의 경우 기밀정보는 국방부가, 비기밀정보는 상무부가 각각 전담하며,에너지부의 IRC팀을 비롯해 학계 및 연구소 등이 보안사고대응팀(CERT)을 운용하고 있을 정도로 각 기관이 이 분야에 적극 동참하고 있다.
정보보안의 기술방전 방향과 시장전망
<유용석 한국정보공학 대표>
정보보호는 데이터와 시스템의 고의 또는 실수로 인한 불법적인 노출과 변조·파괴 등으로부터 보호하는 것을 의미하며 전자적인 형태의 정보를 처리하고 저장·전송하는 모든 단계에서의 보호를 일컫는다.
정보보호는 무엇보다도 데이터의 기밀성과 보전성·유효성 등을 확보하는것으로 정보화 추진시 필요불가결한 문제다.
인터넷의 경우 전세계 누구에게라도 개방되어 있어 어떠한 시스템보다 보안문제가 심각하다. 유닉스 TCP/IP 등의 소스 개방과 인터넷 침입자들의 E메일 등을 통한 상호 정보교환 등으로 인해 해커들의 표적이 되고 있다.
특히 인터넷을 통한 전자상거래가 활성화될 경우 해커들은 더욱 기승을 부릴 것으로 우려되고 있다.
이에 따라 인터넷 보안기술인 방화벽(Firewall)시스템이 적극 도입되고 있는 실정이다. 방화벽은 네트워크를 보호하기 위해 외부에서 들어오는 불법적인 트래픽을 막고 허가 또는 인증된 트래픽만을 허용하는 적극적인 방어대책이다.
방화벽은 사용자 인증시스템(Authentication) 암호장치 등 8가지 요소로구성되며 인터넷은 물론 그룹웨어나 인트라넷 솔루션의 개발과 더불어 통합솔루션으로 발전돼 나가는 양상을 보이고 있다.
또 암호화기법·네트워크기술 등이 통합되면서 기반기술로 발전하고 있으며 국내에서는 시스템공학연구소(SERI)의 KIS그룹과 CERT코리아 등에서 본격적인 단계는 아니지만 방화벽에 대한 연구를 진행하고 있다.
국내의 방화벽 시장규모는 올해 1백억원대로 추정되며 외국제품 의존도가높다. 현재 12개 정도의 제품이 유통되고 있다.
따라서 정부 차원에서 보안산업을 육성하기 위해 기초과학분야와 암호화알고리듬 등 기반기술 개발을 적극 지원하는 한편 새로 출시될 국산 주전산기가 시큐리티 서버로 활용할 수 있도록 산·학 합동개발 구매제를 도입하는것이 바람직하다.
컴퓨터 바이러스 현황과 대책
<안철수 안철수 바이러스연구소장>
컴퓨터 바이러스는 프로그램이나 실행 가능한 부분에 자기자신 또는 자기자신의 변형을 복사하는 명령어의 조합으로 초고속 정보사회에서는 치명적인결과를 초래할 수 있다.
컴퓨터 바이러스는 세게적으로 94년까지 모두 6천여종이었으나 지난해 말에는 8천여종으로 늘어나는 등 윈도95 발표 이후 급격한 증가추세를 보이고있다.
국내는 지난 88년 바이러스가 처음으로 발견된 이후 95년 1백26종으로 매년 두배 이상씩 늘고 있으며 한국산 바이러스의 비중이 매년 높아지고 있다.
특히 부트바이러스와 비상주형과 같은 DOS용 바이러스는 윈도95에서 동작하며, 심지어 보자(BOZA)바이러스 등과 같은 윈도95 전용바이러스도 등장하고 있는 실정이다.
현재 인터넷을 통한 감염사례는 많지 않지만 인터넷의 대중화에 따라 일반사용자들의 감염사례가 증가하는 추세를 보이고 있다.
이같은 증가추세는 인터넷을 통한 정보교환과 바이러스 제작도구의 공개,CD롬 등과 같은 대용량 매체를 활용하는 데 따른 것으로 볼 수 있다.
즉 바이러스 제작자들은 PC통신과 같은 온라인서비스와 인터넷 등과 같은국제적인 통신망을 이용, 바이러스 샘플·소스·제작기법 등을 입수하고 있으며 자바 등 새로운 인터넷환경이 바이러스 양산의 큰 변수로 작용하고 있다.
한편으로는 바이러스 툴키트와 변형 바이러스용 라이브러리들이 공개돼 초보 프로그래머도 쉽게 바이러스를 만들 수 있는 환경이 제공됨으로써 바이러스가 양산되고 있는 실정이다.
CD롬과 같은 대용량 기억매체를 이용할 때 파일을 검사하지 않고 저장함에따라 바이러스가 CD롬을 통해 대량으로 배포되는 사례가 늘고 있다.
따라서 바이러스 대책으로 바이러스를 제작해 유포하려는 사람에 대한 법률적 제재와 컴퓨터 윤리교육 등이 뒤따라야 한다. 또한 정품 SW 사용운동과중요한 자료의 백업 및 최신버전 백신프로그램으로의 정기검사 등을 습관화할 수 있도록 사용자교육을 실시해야 한다.
정보통신 보안사고 사례 및 대책
<정진섭 대검찰청 부장검사>
컴퓨터 정보보안사고는 날이 갈수록 심각한 양상으로 전개되고 있다. 미국의 경우 FBI 컴퓨터 범죄반의 분석결과 전체 컴퓨터시스템 침입범죄 가운데85~97%는 침입사실이 적발되지 않은 것으로 추정된다.
미 국방부의 컴퓨터시스템 침입실험 통계에 의하면 총 8천9백32개 시스템중 7천8백60개의 시스템에 침입하는 데 성공한 것으로 나타났다. 또 침입에성공한 시스템중 3백90개의 시스템에서만 침입한 사실을 발견했으며, 이중에도 침입당한 사실을 상부에 보고한 사례는 19개 시스템에 불과한 것으로 드러났다.
컴퓨터보안문제의 심각성은 전통적인 범죄조직들이 범행에 컴퓨터를 이용하게 될 경우 피해규모가 더욱 커지는데 반해 범인검거나 증거수집은 더욱어려워진다는 점이다.
특히 국가기관의 범죄수사장비와 기술이 범죄조직이나 단체보다 낙후돼 범죄 진압능력은 크게 약화돼 형벌권 행사를 통한 사회방위에 커다란 장애요인으로 작용할 것이다. 따라서 정보선진국인 미국에서는 이같은 정보사회의 역기능을 종합적으로 「정보전쟁(Information Warfare)」이라고 규정하고 이에대한 범국가적 대책을 강구중이다.
정보보안 해킹사례의 경우 해외의 경우 우선 지난 88년 독일에서 발생한「뻐꾸기 알(The Cuckoo`s Egg)」사건을 들수 있으며, 국내 해킹사건의 경우지난 93년 2월 발생한 청와대를 사칭한 사기사건과 지난 5월초 발생한 KAIST대학원생들의 포항공대 시스템 파괴사건을 들수 있다.
KAIST대학원생들의 포항공대시스템 파괴사건은 전산망 보안사고 및 해킹방지 기법을 연구하는 동아리의 핵심멤버들에 의해 빚어진 사건으로 정보윤리부재를 보여준 사건이었다.
따라서 내달 1일부터 발효되는 개정 형법에는 컴퓨터 해킹의 대부분 유형을 형사처벌할 수 있는 근거조항이 마련됐다.이밖에도 지난 3일 대검중앙수사부에 전국적인 「정보범죄대책본부」를 두고 가동에 들어갔으며, 정보범죄수사를 위한 전문수사관 양성과 컴퓨터기기 압수수색지침 제정,소프트웨어중거분석 시스템 구축 등을 중점적으로 추진하고 있다.