대메뉴 바로가기
컨텐츠 바로가기
특허괴물, FIDO 인증시장에 손대기 시작했...특허괴물, FIDO 인증시장에 손대기 시작했다.지난 4월초, 변리사로부터 연락이 왔다. FIDO1.0과 FIDO2(Two)에 관한 기술을 설명해 달라는 요청이었다. FIDO는 (Fast Identity Online)의 약자다. FIDO 1.0과 FIDO2의 가장 큰 차이점은 사용자 환경이다. 구분하자면 'FIDO1.0'은 스마트폰 OS에 호환되는 차세대 생체인증 표준체계이고, 'FIDO2'(Two)는 PC운용체계(OS)와 웹에 별도의 프로그램 없이 생체인증이 가능하도록 MS 익스플로어, 구글 크롬등 다양한 웹 환경에서 생체인증기술이 가능하도록 구현된 국제표준이다. 올해 4월11일 국제 웹 표준화 단체(W3C)와 협약한 차세대 온라인 인증표준이다. 두 번째 질문은 '왜 FIDO가 중요한가'에 대한 것이었다. 인터넷 환경이 복잡해지며 패스워드 증후군으로 패스워드를 다 외울 수가 없어서 스트레스 받는 사람이 많다. 그래서 FIDO는 사람의 신체적 특징을 가지고 식별하거나 인증하는 차세대 기술인 것이다. 금융분야를 시작으로 자동차, 국방, 의료. 통신, 보안, 공공분야 등 앞으로 광범위하게 사용될 인증기술로 공인인증서 퇴출 이슈와 함께 국내뿐 아니라 글로벌하게 널리 활용하게 될 글로벌 생체인증 표준규격이 FIDO이다. '미국소재 데이터 암호 기업으로 알려진 PACid가 지난해 삼성전자 측에 특허 침해 내용을 전달했지만 어떠한 답변도 받지 못했고 3조원대 생체인증 특허소송을 미국 텍사스 동부법원에 제기 해 이슈가 되고 있다'고 알려줬다. 미국 PACid는 특허괴물이다. 총성없는 전쟁인 특허전쟁이 인증시장에서도 시작됨을 직감했다. 특허괴물은 특허를 전문적으로 수집한 뒤 대기업에 거액의 사용료를 내게 하는 외국계 특허괴물인 특허전문 관리회사로 드디어 특허괴물까지 인증시장에 손을 벗어 활개를 치기 시작했다. 이번 PACid 소송은 생체인증 관련 스마트 폰 제조사를 상대로 한 생체인증기술 특허 3건으로 생체인증관련(얼굴, 홍채, 안면인식등) 첫 특허 소송으로 삼성전자와 삼성전자 미국법인이 대상이지만앞으로 생체인증 시장에 확산될 특허 이슈는 파장을 상상할 수도 조차 없이 클 것이다. 이번 소송의 추이를 보고 미국뿐 아니라 중국 일본의 화웨이, 오포, 샤오미, 소니, 블랙 베리등 에도 특허괴물에 의한 특허소송의 표적이 될까 우려가 되고 있다. 그 이유는 PACid라는 회사에서는 특허권을 사용하지도 않으면서 소송을 걸어 돈을 챙기는 특허괴물로 알려졌기 때문이다. 이에 삼성전자 해당부서에서는 관련내용을 신중히 검토하겠지만, 국내 파트너나 고객사 피해가 없도록 대응해야 할 것이며, 금번 소송은 미국에 한정된 소송으로 그 외 지역은 해당이 없다고는 하지만, 국내 FIDO 생체인증 특허를 놓고 심도 있게 대응책을 고심하여야 한다. 또한, 특허괴물의 2차적인 피해는 없을 것으로 판단되지만, 금융기업들도 관련된 정보를 수집하여 분석하여야 한다. 그러나 근본적으로는 국내기업도 생체인증 특허를 확보하고 침해여부 등 우회 특허를 준비해야 하고, 보다 체계적인 특허 이슈 관리해야 한다. 앞으로 활용도가 높아지는 생체인식 기술을 탐재한 제조사나 플랫폼 기업들은 유관기관과 긴밀한 협조와 생태계상 관계 기관과 사업체간의 적극적인 이슈 대응 공조가 절실하다.글: 이기혁 중앙대학교 교수(한국FIDO산업포럼회장, 사진)IT언론의 새로운 대안-디지털데일리Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지http://www.ddaily.co.kr/news/article.html?no=167915 
미래직업 10선: 정보보안 전문가 시대가 온...[최은수 기자의 미래이야기] 미래직업 10선: 정보보안 전문가 시대가 온다.
정보보안이란 컴퓨터상에서 정보의 수집, 가공, 저장, 검색, 송신, 수신 도중에 정보의 훼손, 변조, 유출 등을 방지하기 위한 관리적, 기술적 방법을 의미한다.
# 정보보안 전문가, 어떤 일 하나?
정보보안전문가란 이러한 외부, 내부의 위협으로부터 정보를 보호하는 일을 하는 사람이다. 구체적인 업무로는
△ 컴퓨터상에 있는 정보를 함부로 열람할 수 없도록 인증시스템을 만들어 접근을 제한한다.
△ 정보를 해킹하려는 이들을 차단하기 위해 각종 방지책을 만들기도 한다.
△ 컴퓨터가 작동되지 않거나 오작동할 수 있는 바이러스 프로그램을 차단하는 백신프로그램을 만든다.
△ 정보보안에 문외한인 사람에게 어떻게 하면 정보자산을 효율적으로 보호하도록 컨설팅 해준다.
△ 조직의 정보시스템이나 네트워크를 보호하기 위한 보안 조치를 계획·실행하여 내외부의 위협으로부터 정보자산을 보호하는 역할을 한다.
△ 정책 수립부터 네트워크, 데이터베이스, 애플리케이션 등 관련 시스템을 점검하고 다각적인 해결책을 제시한다.
# 어떤 역량이 필요할까?
정보보안전문가로 일하기 위해서는 소프트웨어, 하드웨어, 네트워크 등 컴퓨터 전반에 대한 해박한 지식이 있어야 한다.
다양한 장비와 소프트웨어들을 이용하여 보안업무를 해본 경험이 있는 사람이 유리하다. 정보보안 분야의 국내 자격으로는 국가기술자격증인 ‘정보보안기사’와 ‘정보보안산업기사’가 있으며 국제적으로 공인되는 정보보호에 관한 자격증으로는 CISA(Certified Information Systems Auditor)와 CISSP(Certified Information Systems Security Professional)가 있다.
정보보안전문가는 문제점을 찾아서 해결하기 위한 분석력이 있어야 하며 해킹으로 인한 문제점을 해결하기 위한 끈기도 필요하다. 또한 정보보호에 대한 윤리의식이나 성실성도 중요하다. 해커와 정보보안전문가는 정보보호와 관련된 지식과 능력은 비슷하지만 이를 어떠한 목적으로 사용하는가에 따라 구분되는 것이기 때문이다.
# 어떤 분야에서 활동하나?
통계청의 지역별 고용조사에 따르면 보안전문가는 주로 ‘출판, 영상, 방송통신 및 정보서비스업’(61.7%), ‘사업시설관리 및 사업지원 서비스업’(15.0%) 그리고 ‘금융 및 보험업’(10.0%) 등에 종사한다.
정보보호컨설팅 전문업체, 포털 및 SNS업체, 바이러스백신 개발업체, 인터넷서비스제공업체(ISP), 보안시스템개발업체, 기업체의 정보보호 부서, 데이터가 많은 국가 및 공기관, 그리고 데이터베이스의 유출을 방지해야 하는 기업(카드, 은행, 보험, 의료, 운송 등)에서 정보보안전문가에 대한 수요가 높다.
# 왜 유망한가①: 보안전문가, 해킹을 막는다.
컴퓨터 해킹이 사회문제가 되고 있다. 컴퓨터를 원격 조종하여 서버를 마비시키는 디도스 공격(DDoS : Distribute Denial of Service), GPS 전파 교란 및 통신망 안전 위협 그리고 특정 사이트에 대한 해킹 등의 공격이 정보의 안전을 위협하고 있다.
첫째, 보안전문가는 해킹과 사이버 테러로부터 컴퓨터와 네트워크 그리고 정보를 안전하게 지키는 전문가라는 점에서 유망하다. 기업에서도 단순한 정보보호의 차원이 아닌 총체적 위험관리를 위해 정보보안전문가를 채용하고 있어 수요증가가 예상된다.
# 왜 유망한가②: IoT 보안전문가 각광받는다.
둘째, 사물인터넷, 클라우드, 빅데이터, 모바일 등의 기반 기술이 모두 정보 보완과 관련되어 있다. TV, 세탁기 등 가전제품은 물론 자동차, 열차, 항공기까지 네트워크로 연결되는 생활환경이 만들어지기 때문에 보안 문제가 더욱 중요해진다.
일상을 지배하는 거의 모든 기기가 인터넷으로 연결된 상황에서 하나가 뚫리면 도미노처럼 모든 정보가 누출될 수 있다. 보이스피싱, 스팸메일을 통한 바이러스 유포 등이 더욱 활개를 치게 될 것으로 예상되기 때문에 사물인터넷 분야에서 보안을 담당하는 전문가의 역할이 더욱 중요해지게 된다. 클라우드를 이용하는 개인 이용자는 개인, 개인에 대한 감시, 개인 데이터 갈취 등의 문제가 발생할 수 있다.
기업 사용자는 서비스 중단에 대한 손실, 기업정보 유출과 같은 보안문제가 발생할 수 있다. 언제 어디서나 컴퓨팅을 구현할 수 있는 유비쿼터스 환경이 확대되면 누구의 정보든지, 언제, 어디서나 위험에 노출될 수 있다.
한국고용정보원에 따르면 컴퓨터보안전문가는 2015년 1만 4천 명에서 2025년 1만 9천 명으로 향후 10년간 약 5천 명의 컴퓨터보안전문가가 늘어날 전망이다.
[출처 : 매일경제] 최은수 기자의 미래이야기, 미래직업 10선: 정보보안 전문가 시대가 온다.
http://m.news.naver.com/read.nhn?aid=0004122525&oid=009&sid1105
정보보호관리체계: 이벤트 vs. 습관정보보호관리체계: 이벤트 vs. 습관
미국 듀크대학교 연구진이 발표한 논문에 의하면 우리가 매일 하는 행동의 40% 이상이 습관 때문이라고 한다. 우리는 대부분의 일을 자동적으로 이해하고 결정한다. 이처럼 습관은 우리 생활의 상당부분을 지배하고 있는데, 문제는 좋은 습관을 가지기가 쉽지 않다는 점이다.
최근 정보보호관리체계(ISMS)와 개인정보관리체계(PIMS) 기준을 통합하려는 움직임이 한창 진행 중이다. 두 체계는 같은 뿌리에서 나온 것이라 통합 움직임은 당연한 것이라 하겠다. 단지 이번 통합과정에서 관리체계의 진정한 의미를 기준 개정 작업에 반영해야 하고 또한 이를 실천해야 할 것이다.
관리체계의 진정한 의미는 무엇일까? 관리체계는 특정 시점의 정보보호 현상을 평가하기 위한 체크리스트 기반의 평가체계가 아니라, 정보보호 수준을 지속적으로 개선시키기 위한 일상적인 보안관리 활동(프로세스)을 보다 체계적으로 수행하기 위한 방안이다. 즉 '조직에 필요하며 적절한 보안대책을 선정해서 이를 적절히 구현, 운영하고 있는가?' 에 초점을 두고 있으며, 수정 보완 노력을 통해 지속적 개선노력이 수행되는 선순환 과정을 강조하는 것이다. 따라서 ISMS는 자율보안체계 구축을 위한 현존하는 최선의 방법이며, 따라서 많은 해외 선진 조직에서 적용하고 있는 글로벌 보안관리체계다.
ISMS를 구축 운영한다고 한다는 것은 기존의 보안 솔루션 중심의 접근방법에서 벗어나, 의지와 역량을 갖춘 관리자(people)가 필요 보안대책(tool)을 활용해서 체계적인 보안관리 절차(procedure)를 일상적으로 수행하는 프로세스(process) 중심의 접근방법으로 변화해야 한다는 것을 의미한다. 즉 ISMS는 단지 스팟성의 행사위주의 활동이 아닌 일종의 조직의 습관으로 만들어야 한다.
여기에서 'ISMS 구축, 운영하는 것'과 'ISMS 인증을 받는다'는 것을 구분해서 생각할 필요가 있다. 인증은 단지 특정시점에서 객관적 평가를 받는다는 점에서 의미가 있지만, 인증을 받았다고 해서 손 놓고 보안관리활동을 게을리하면 안될 것이다. 우리가 매년 실시하는 건강검진 결과 큰 병이 발견되지 않았다고 해서 함부로 건강관리를 소홀히 할 수 없는 이유다. 지속적으로 자신의 취약요인에 주의하면서 이를 보완, 강화할 수 있도록 부단히 노력해야 함과 마찬가지다. 결론적으로 인증은 나름 필요하고 의미는 있으나 본질은 지속적인 관리체계를 운영, 개선시키는 노력이다. 이 점에서 진정한(Authentic) 의미의 ISMS는 정보보호 준비도 평가, 사전평가제도 등과 같은 스팟성의 정보보호 평가제도와 다르다.
따라서 본원적인 ISMS 인증을 위해서는 관리활동(프로세스)에 보다 중점을 두어 심사해야 한다. 국제표준 기반 ISMS 인증에서 7가지 요구사항/프로세스를 명세한 ISO 27001이 의무적용이고, 국내 정보보호관리체계 인증에서도 관리과정이 필수 적용되는 이유이다. 즉 ISMS의 본질적 의미를 제대로 심사하기 위해서는 조직에 적절한 위험평가가 수행되었고 이에 기초한 보안대책의 선정 및 구현, 그리고 일상적 운영상태를 평가해야 한다. 그러나 현실은 일상적 관리과정을 심사하는 것보다는 보안대책의 구현여부에 더 중점을 두어 심사하는 경향이 있으며, 따라서 피 인증기관도 눈에 보이는 보안대책 구현에 더 신경 쓰는 경향이 있다. 최근의 ISMS와 PIMS의 통합과정에서 이러한 ISMS의 본질적 의미가 제대로 반영될 수 있도록 기준개정 작업이 수행되기를 기대해 본다.
산다는 것은 익숙한 것과 새로운 것 사이의 시소 게임이고 잘 산다는 것은 이 둘 간의 균형을 유지하는 것이다. 과거의 잘못된 습관을 버리고 새로운 올바른 습관을 갖기 위해서는 변화관리를 위한 부단한 노력이 필요하다. 이번 기회에 진정한 ISMS의 의미를 되살리는 계기가 되기를 기대한다.
김정덕 중앙대 산업보안학과 교수
http://m.dt.co.kr/contents.html?article_no=2018040202102251607001#08PR
[저작권자 ⓒ디지털타임스 무단 전재-재배포 금지]
중국으로 빼돌려진 한국 국가핵심기술만 12...중국으로 빼돌려진 한국 국가핵심기술만 12개
한국의 기술유출이 중국의 관련 산업 발전으로 이어지는 경우가 심심치 않게 발생해 우리의 경각심을 일깨운다. 한 국가의 대표적 산업과 기술은 그 나라를 먹여 살리는 양식과 같다. 기술력 발전을 위해 오랜 시간에 걸쳐 막대한 투자를 하지 않을 수 없는 이유다. 한데 2012년부터 6년간 중국으로 흘러간 우리의 국가핵심기술만 12건에 이른다. 국가핵심기술이란 국가의 안전보장 및 국민경제 발전에 중대한 악영향을 줄 우려가 있는 기술을 가리킨다.
국가정보원 산업기밀보호센터에 따르면 국내 기술의 해외 유출 사고는 2003년 이후 매년 증가 추세다. 2014년까지 적발한 해외 산업스파이 건수만 438건에 달한다. 그러나 제2의 피해를 우려해 공개하지 않은 경우 등을 더하면 실제 건수는 그 3배로 추정된다.
기술유출엔 크게 세 가지 방법이 쓰인다. 첫 번째 유형은 기업 내부직원과 결탁하거나 인가된 제삼자 위탁업무를 빌미로 기업에 접근해 저장 매체(USB Memory, Web Hard, CD 등)를 통해 불법적으로 기술을 빼가는 행위다. 두 번째는 기업의 핵심 인력에 높은 수준의 경제적 보상책(현 급여의 5배 이상 지급 등)을 미끼로 유인해 정보를 챙겨가는 방법이다. 마지막은 합법을 가장한 M&A 방법을 통해 핵심 기술을 빼가는 경우다.
기술유출은 초기엔 개인 단위의 단편적 사고가 잦았는데 최근엔 기업성장을 목적으로 조직단위의 합법을 가장한 불법적 사고가 늘고 있다. 정작 큰 문제는 국가핵심기술의 유출인데, 미래 기술 확보를 통해 자국의 산업을 발전시키겠다는 중국의 지나친 경쟁의식이 한국의 기술유출 사고 원인이 되고 있다. 중국이 우리가 1위를 차지하는 품목들에서 많은 경우 근소한 차이로 2위를 달리고 있기 때문이다.
2012년부터 2017년까지 유출된 국가핵심기술 사고의 과반수 이상(12회, 57%)이 중국에 의해 발생했다. 유출된 기술은 고부가가치 선박 설계도면, LNG선 건조기술 등과 같은 조선기술, OLED(유기발광다이오드) 소재기술, OLED 세정기술 등과 같은 모니터 액정기술, 2차 전지(충전을 통해 반영구적으로 사용하는 전지)에 관한 소재와 제조기술 등이다. 이들은 한국이 상대적으로 경쟁우위를 가지고 있는 신성장동력 산업에 이용되는 기술이다.
우리가 단편적인 보안장치 도입만으로 체계성을 가지고 전술적으로 접근하는 기술유출 행위에 대응하는 데는 한계가 있을 수밖에 없다. 무엇보다 기술 보호 예산의 가시적인 확대를 전제로, 기술개발 과정에서 유출을 최소화하기 위한 국가연구개발사업 대상의 보안제도 정립, 복잡한 형태의 기술유출(탈취) 문제를 해결할 수 있는 융합형(법+경영+심리+기술) 기술 보호 인력양성, 기술유출 징후를 선제적으로 탐지할 수 있는 데이터 분석 기반의 방첩시스템 개발 등 입체적인 방지대책을 추진할 필요가 있다.
장항배 중앙대 산업보안학과 교수
[출처: 중앙일보] 중국으로 빼돌려진 한국 국가핵심기술만 12개
http://news.joins.com/article/22478252
