"국가핵심기술은 韓영토에만 저장"…클라우..."국가핵심기술이 저장되는 클라우드 서버의 물리적 위치는 한국 영토 내에 있어야 한다. (클라우드 서비스 기업이) 국가핵심기술이 저장되는 위치를 국내로만 설정되도록 강제하는 보안기능을 제공한다."국가핵심기술을 보유한 기업이 클라우드 컴퓨팅 인프라를 활용할 때 고려해야 할 사항들이 제시됐다. 정부가 민관 합동으로 클라우드 활용방안에 대해 논의한 중간 결과가 나온 것이다. 국내 클라우드 인프라 시장의 상당 부분을 외국계 클라우드 기업이 차지한 상황에서 이같은 정책 방향이 어떤 효과를 가져올지 주목을 받을 것으로 보인다.장항배 중앙대 산업보안학과 교수는 22일 서울 삼성동 그랜드 인터콘티넨탈 파르나스 호텔에서 국가정보원, 산업통상자원부가 주최하고 한국산업보안한림원, 한국산업기술보호협회가 주관한 '2023 산업보안 국제 컨퍼런스'에서 '클라우드 환경에서의 국가핵심기술 활용 가이드'라는 주제 발표를 통해 CSP(클라우드 서비스 기업) 및 기업들이 유념해야 할 고려사항을 제안했다.현재 산자부의 '산업기술 보호지침'은 한국기업이 AWS(아마존웹서비스) MS(마이크로소프트) 구글 등 해외 IaaS(서비스형 인프라)를 활용할 때 국내에서 국외로 전자적 형태의 무체물(소프트웨어, 이미지, 영상 등)을 정보통신망을 통해 '전송'하는 것으로 본다. 해외 클라우드에 정보를 저장하는 것을 '수출'로 간주해 수출승인 심사를 받도록 한 것이다. 특히 국가핵심기술로 지정된 기술은 더더욱 수출승인 심사와 함께 국가핵심기술 보호조치를 별도로 받는다.이날 장 교수는 7가지 항목에 대한 제안을 제시했다. 그 중 하나가 바로 데이터 저장 위치에 대한 부분이다. 특히 글로벌 CSP가 운용하는 리전(서비스 지역)의 위치가 전 세계에 분산돼 있는데 우리 기업의 국가핵심기술 정보가 어느 장소에 어떤 형태로 저장돼 있는지 알 수 없다는 점이 리스크로 지목됐다. 이에 장 교수는 CSP로 하여금 △국가핵심기술 저장위치를 국내로 한정할 수 있는 방안을 제공하거나 △강제보안 설정을 통해 국가핵심기술 저장위치를 국내로만 한정하거나 △이용자 데이터 저장위치 추적방안을 제공하고 구체적 저장정보(저장 국가 명칭 등)를 제공하는 등 방안을 제시했다.또 해외 CSP 본사에서 원격으로 접속해 국내 클라우드 서비스에 대한 유지보수 작업을 진행하거나 해외 CSP 본사에서 출장을 온 엔지니어가 국내 클라우드 서비스를 유지보수할 때의 데이터 유출 리스크에 대해서도 지목했다. 즉 CSP 직원이 고객 데이터에 접근하는 동안의 모든 로그(접속기록)를 고객에게 제공해야 한다는 등 제안이 그것이다.해외 정부기관이 CSP 인프라에 대해 영장집행 등 수사를 진행할 때 우리 기업의 국가핵심기술 노출 가능성도 우려요인으로 꼽혔다. 장 교수는 이같은 경우에 해외 법 집행기관이 우리 기업에 직접 연락해 데이터를 요청하도록 하는 등 데이터 유출·노출을 최소화하는 방안을 강구할 것을 제안했다.이외에도 장 교수는 △CSP 및 국가핵심기술 보유기업이 클라우드 접근권한을 최소한도의 필요 인원에게만 부여하고 △재해·재난이 발생한 경우에도 물리적 분산·다중화 체계를 통해 서비스가 안정적으로 운용될 수 있도록 하며 △국내사업 철수 등 서비스 종료시 국가핵심기술 보유기업에게 최소 6개월 전 사전 통보해 데이터를 이전할 수 있도록 해야 한다는 등 제안도 제시했다.한편 이날 발표된 내용의 상당 부분은 산자부가 클라우드 활용기업 등과 그간 진행해 왔던 논의의 중간 결과다. 안덕근 산자부 통상교섭본부장은 "양자기술 수출, 기업의 인력관리, 클라우드 자원 등 업계 관심이 큰 기술보호 주제에 대해 국장급 이상 고위급 소통을 활발히 진행해왔다"며 "클라우드 협의체 논의 결과는 업계 관계 부처와 함께 현장의 목소리를 듣고 정책 방향을 함께 논의한 중간 결과"라고 했다.산자부 관계자는 "현재는 '산업기술 보호지침'에서 국가핵심기술 보유기업의 클라우드 활용 기준이 나와 있을 뿐"이라며 "별도의 클라우드 관련 고시를 만들지, 기존 지침을 개정할지를 두고 논의를 하고 있고 이날 제안된 내용도 그간 논의됐던 내용의 일부"라고 했다. 또 "이날 제안된 내용은 그간 중요하게 생각했던 핵심 이슈"라면서도 "추후 고시에 제안들을 그대로 담을지는 아직 정해진 바 없다"고 했다.원본 기사: https://news.mt.co.kr/mtview.php?no=2023112215364465053
[기고문] 디지털 환경 안정성 강화를 위한 ...<이기혁 중앙대 융합보안학과 교수>최근 정부 행정 전산망 오류로 디지털 환경을 둘러싼 우려와 관심이 높아지고 있다. 과거 카카오톡 서비스 중단, 아현동 전화국 화재 등 다양한 플랫폼 오류로 우리는 디지털 의존도 증가와 안전한 디지털 환경의 필요성을 절감하고 있다.이러한 상황에서 전산망 오류 대응 전략은 우리 디지털 사회의 안정성을 높이기 위한 핵심적인 과제로 부상하고 있다.이에 디지털 환경 안전성 강화를 위한 몇가지 제언을 하고자 한다.첫째로, 기본적인 운용 능력 강화이다. 민원24 서비스, 아현동 전화국, 카카오톡 등에서의 접속 오류는 전산망이 얼마나 예민하고 연결된 상태에 있는지를 명확히 보여주고 있다. 이러한 상황에서 운용자들은 시스템의 기본적인 운용과 유지보수에 특별한 주의를 기울여야 한다. 정기 훈련과 업데이트를 통해 최신 기술과 표준에 능숙하게 대응하는 것이 필수적이다. 특히 하드웨어(HW)와 소프트웨어(SW) 유지보수, 패치 적용 같은 기본 규칙을 철저히 지켜 안정적인 전산망 운용을 실현해야 한다.둘째로, 네트워크 구성도를 완벽하게 숙지하고 이해하는 것이다. 서로 다른 시스템 간의 원활한 연결이 전체 시스템의 안정성을 결정짓는다. 따라서 운용자들은 네트워크 구성도를 기반으로 한 체계적인 계획을 수립하고, 오류 발생시 신속하고 효과적인 대응을 위해 능동적으로 움직여야 한다. 이러한 노력을 통해 디지털 플랫폼 간의 원활한 통신을 보장할 수 있다.셋째로, 데이터센터(IDC)의 기본 장비 구성을 명확히 알아야 한다. 데이터센터는 전산망의 중심지다. 안정적인 운영을 위해 기본적으로 장비 역할과 동작 원리를 명확히 이해해야 한다. 서버, 네트워크 장비, 무정전 장비, 냉각 장비, 스위치 장비, 스토리지 등 각 장비 기능과 상호작용을 숙지하며 최적의 구성을 고려해야 한다.넷째로, 서비스 이용자 중심의 인식을 높여야 한다. 오류 상황에서 빠른 대응은 필수적이다. 이때 이용자에게 제공되는 정보와 지원이 아주 중요하다. 운용자는 이용자 중심의 관점으로 서비스를 운영하고, 효과적인 의사소통과 투명한 정보 제공을 통해 신뢰를 구축해야 한다. 이는 디지털 환경의 안전성을 높이는 데 있어 핵심적인 부분이다.마지막으로, 전산망 오복구를 고려한 종합적인 전략 수립과 실행이 필요하다. 기본 운용 능력의 강화, 네트워크 및 기본 장비 구성 이해, 사용자 중심의 인식 제고를 통해 우리는 안정적이고 지속 가능한 디지털 환경을 구축할 수 있을 것이다. 이러한 전략들은 디지털 사회가 안정적으로 발전하고, 시민들이 안전하게 디지털 서비스를 이용할 수 있도록 도모할 것이다.원본기사:https://www.news1.kr/articles/?5236632
[ET시론]전자폐기물(E Waste) 보안관리 현...<장항배 중앙대 산업보안학과 교수>'문화 지체', 물질문명의 변화에 비해 비물질적, 정신적 문화 요소의 변동 속도가 느려 생기는 부조화를 의미한다. 과학 기술과 사회 인식은 상호작용하며 사회가 발전하는 데 기여하고 있지만, 우리는 사회 인식이 과학 기술을 따라가지 못해 발생하는 문제에 종종 맞닥뜨린다.전자폐기물은 대표 사례 중 하나가 될 수 있다(스마트폰, 스마트워치, 노트북 등). 4차 산업혁명과 코로나19 등으로 전자제품과 전자부품 수요가 증가하며 전자폐기물 역시 전례없는 수준으로 늘었지만, 폐기물 처리에 대한 인식 부족으로 이를 관리할 인프라는 기술 발달 속도에 미치지 못하고 있다.이에 따라 전자폐기물에서 정보가 유출되거나 집적회로, 지식재산 탈취와 같은 심각한 보안 위험이 곳곳에 존재한다. 이같은 상황에도 전자폐기물에 관한 논의는 환경과 사회적 관점에만 한정돼 있으며, 보안과 관련된 연구와 논의는 아직 부족하다.전자폐기물 산업 현황을 살펴보고 아직은 논외로 빠져있는 보안 관점에서 전자폐기물 산업의 문제를 정리하며, 이를 통해 전자폐기물에서 발생하는 보안 문제의 심각성을 인지하고 대응책을 준비하고자 한다.<전자폐기물>전자폐기물은 정의가 통일되지 않은 채 여러 용어와 개념으로 혼재돼 있다. 유럽연합(EU) WEEE(European Union Waste Electrical and Electrical Equipment) 지침에서는 전자폐기물을 '폐기 당시 제품의 일부인 모든 구성 요소 및 하위 조립품, 소모품'으로 정의한다. 쉽게 말해 사용자가 사용하다가 버린 낡고 수명이 다한 휴대폰, 컴퓨터, 냉장고 등 전기·전자제품과 전자 장비, 그 부품에서 나오는 쓰레기를 말하며 해외에서는 E-waste(Electronic-waste) 또는 WEEE로 표기한다.세계경제포럼에 따르면 2019년 세계적으로 전자폐기물은 5억3600만t이 배출됐고, 2030년과 2050년에는 각각 7억 4700만t, 1억1000만t에 이를 것으로 예측된다. 또한, 2020년 약 500억 달러였던 전자폐기물 시장 규모 역시 2028년에는 1440억 달러로 성장할 것으로 관측되며, 이는 연평균 14.3% 성장률로 폐기물 시장 내 가장 높은 수치다.이처럼 대량 발생하는 전자폐기물은 주로 매립, 소각, 재사용, 재활용 과정을 거쳐 처리된다. 매립과 소각은 용어 그대로 땅에 묻거나 태우는 것을 의미하며 가장 단순하고 간단한 처리 방법이다. 그러나 전자폐기물에는 중금속, 유기 오염 물질, 난연제 등과 같은 독성 화학 물질이 포함돼, 적절한 처리 과정을 거치지 않으면 토양과 지하수를 오염시키는 등 환경에 부정적인 영향을 미치기 때문에 권장되지 않는다. 재사용은 버려진 전자제품 내 일부 부품 등을 다시 사용하는 방법으로 직접적인 폐기는 아니지만, 이론적으로 전자폐기물 발생을 100% 감소시킬 방법이다. 재활용은 전자폐기물을 해체 및 분류 등 가공해 구리나 금처럼 경제적 가치가 있는 원료를 분리해 사용하는 것을 말한다. 해외 각국에서는 R2 표준 및 E-STEWARDS 표준과 같이 재활용 관리를 위한 인증을 설계, 전자폐기물이 인체와 환경에 미치는 영향을 줄이고 자원을 절약하도록 권장하고 있다.<주요 자산에 대한 생애주기별 보안대책>이제까지 전자폐기물은 주로 환경·건강·사회 관점에서 주로 다뤄졌으나, 최근 보안 관점도 중요한 문제로 대두되고 있다. 전자폐기물의 보안 위험은 중요자산이 폐기라는 생애주기의 마지막에 도달한 특성상 대부분 역공학과 관련해 발생한다. 역공학(Reverse Engineering)은 제품의 구조를 역으로 추적 및 분석, 설계 또는 기술적 원리를 파악하는 방법이다. 전자폐기물의 본래 형태인 반도체와 같은 전자회로에 대한 역공학은 다음과 같은 절차에 따라 진행된다. 먼저 집적화되어 있는 전자회로의 구성요소를 식별하고(제품 분해), 기능성을 기준으로 신호 경로와 연결을 분석한다(시스템 수준 분석). 그다음 구조적 내용과 함께 부품소재에 대한 특성을 파악한 다음(프로세스 분석), 트랜지스터 수준까지 층을 제거한 상태에서 세부적인 모듈과 상호 연결성을 추출해 가며분석을 진행한다(회로추출).이러한 역공학 과정을 거쳐, 전자폐기물에서 발생하는 보안 위험은 다양한 측면으로 발생한다. 현재 확인 가능한 보안 위험은 크게 무형의 기술·정보를 포함하는 △콘텐츠 측면의 보안 위험 △가시적으로 확인할 수 있는 부품·소재 측면의 보안 위험 등으로 크게 분류될 수 있다.연구개발 도중 폐기된 집적회로는 배치설계 기술의 유출 통로가 될 수 있다. 집적회로(IC)는 복잡하고 정밀한 전자회로 소자를 작은 반도체 속에 집약해 하나의 전자회로로 구성한 것이며, 설계 시 막대한 비용과 시간이 투입된다. 완성된 집적회로는 신 지식재산권인 반도체 배치설계권으로 보호받으며 일부 설계기술은 국가의 핵심기술로 지정·보호받고 있다. 문제는 집적회로가 제품을 분해해 구조를 분석하는 역공학 공격에 취약하다는 점인데, 연구개발 도중 폐기된 집적회로는 별도의 법적인 보호 수단도 없어 역공학 시 연구가 진행된 단계까지의 기술을 손쉽게 습득할 수 있다. 반도체 분야 전문가에 따르면 글로벌 반도체 기업의 해외 법인에서 폐기물이 운송 중 도난당하는 사례가 발생하기도 했으며, 외국인이 국내에 폐기물 처리업체를 세우고 반도체 전자폐기물 입수를 시도한 정황이 확인됐다.전자폐기물에서 개인정보, 신용카드 정보, 국가 중요정보, 기업 기밀정보 등 다양한 정보 역시 유출될 수 있다. 전자폐기물로 분류돼 폐기되는 하드디스크 등 저장 매체와 노트북, 스마트폰 등에는 민감한 정보가 다수 저장돼 있기 때문이다. 해외 연구에 따르면 이들 정보는 제3세계 불법시장에 유입돼 2차 범죄에 활용되기도 한다. 더구나 정보를 삭제하고 전자제품을 버리더라도 물리적 파쇄 혹은 여러 차례 덮어씌우기 등 강력한 방법으로 처리하지 않으면, 대부분 정보는 '디지털 포렌식' 기술로 복구될 수 있다. 미국은 NIST 800-88 또는 NAID AAA 인증을 통해 데이터를 완전히 삭제하도록 하고 있지만, 전자폐기물에 관한 대중의 인식은 여전히 미진해 버려진 저장 매체에서 데이터가 유출되는 사고가 끊임없이 일어나고 있다.한편, 반도체 산업에서 분류될 수 있는 중요정보에는 앞서 설명한 배치설계 외에도 생산품 대비 합격품의 비율에 해당하는 수율, 집적회로를 구성하는 데 사용된 소재와 화학품 등이 있다. 이들은 일반적으로 기업이 영업비밀로 관리해 비공개 상태로 유지되는 데, 전자폐기물을 확보한 공격자는 폐기된 반도체 부산물로부터 반도체의 수율을 추론하거나, 소재에 대한 분석을 통해 단편적 기술 탈취를 넘어 채산성까지 확보하는 보다 '완전한 기술력의 확보'를 달성할 수 있게 된다. 아울러 부품 재사용 처리는 전자폐기물의 전체 제품이나 일부 부품을 추출, 다시 사용하는 방법이다. 이렇게 재사용 되는 전자폐기물은 가격 측면 이점을 바탕으로 중고 부품이 돼 2차 시장을 통해 전자부품 공급망에 다시 진입할 수 있다.문제는 재사용되는 전자폐기물 공급망 중간에 악의적 목적을 가진 공격자가 악성코드를 설치할 수 있다는 점이다. 이렇게 악성코드가 포함된 중고 전자부품은 공격자에게 원격 접근 기회를 제공하거나, 중요정보를 공격자에게 전송할 수 있게 된다.일반적으로 주요 자산의 생애주기(Life Cycle)는 생산, 활용(유통), 폐기로 정리될 수 있다. 이제까지의 집중적인 보안의 대상은 생산과 활용(유통) 부분이었으며, 생산과정에 대한 공급망 보안, 활용과정에 대한 콘텐츠 보안으로 맞추어져 왔다.반면, 폐기 단계의 보안활동은 폐기 활동 자체에 대한 보안서약서 작성에만 한정되어왔다. 세부적으로 전자폐기물에 대한 보안활동은 'E-waste 보안'으로 정리될 수 있으나, 아직은 제도적 관점에서조차 논의가 부족한 상태이다. 국내외 전자폐기물 처리 관련 법령은 모두 환경·건강·사회 문제 해결을 위한 규제 활동에 주로 초점이 맞춰져 있고, 전자폐기물 처리 단계에서 발생할 수 있는 정보유출 위험을 관리하기 위한 규정은 부재한 상황이다.현재 국가 핵심기술에 대한 보호 방법을 규정한 보호 지침에서도 폐기 단계에서의 대상물에 관한 상세한 처리규정은 확인되지 않는다. 이러한 체계에서는 외국에서 국내 첨단기술의 연구개발 산출물을 확보하기 위해 저가 입찰을 통해 접근하거나, 연구개발 산출물이 저장된 폐기물을 해외에 불법으로 팔아넘기는 행위를 막는 데 한계가 존재한다.따라서 실질적인 E-waste 보안 구현을 위해서는 단편적 폐기 확인서 제출 수준을 넘어 객관적으로 검증된 물리 및 화학적 방법을 통해 보안활동을 규정할 필요가 있으며, 국가적 수준의 첨단전략산업과 핵심기술을 위한 보안지침에 이를 반영하여야 한다. 세부적으로 조직 내부에서 폐기물을 처리하는 경우와 조직 외부에서 폐기를 처리하는 경우를 구분하고, 검증(인증) 및 객관화된 방법을 설계해 완전폐기에 관한 실효적인 통제항목을 개발할 필요가 있다.빠르게 변화하며 고도화되고 있는 기술은 새로운 제품과 서비스를 제공하고 있지만, 이와 반대되는 측면에서 전자폐기물 위험은 환경적 관점 뿐만 아니라, 보안 문제에서도 안전한 처리에 관한 중요한 의미를 지닌다. 그러나 전자폐기물 보안 문제에 관한 심각성에 대한 인지 수준은 여전히 부족한 상태로 남아있다. 소위 주요 자산 생애주기에 있어 마지막 단계, 폐기에 관한 안전성 확보 노력에 관심을 모아야 할 시점이 왔다.장항배 중앙대 산업보안학과 교수 hbchang@cau.ac.kr원본기사:https://m.etnews.com/20231109000053?obj=Tzo4OiJzdGRDbGFzcyI6Mjp7czo3OiJyZWZlcmVyIjtOO3M6NzoiZm9yd2FyZCI7czoxMzoid2ViIHRvIG1vYmlsZSI7fQ%3D%3D
중앙대학교 블록체인 기반 SW 저작권 보호 ...중앙대학교 블록체인 기반 SW 저작권 보호 인재육성 사업단, 강원대학교 지식재산전문인력양성중점대학 사업단과 MOU 체결 성료“건전한 지식재산 생태계와 지식재산 인재양성 관련 문화의 지속적인 융성” 공동 목표중앙대학교 융합보안학과 『블록체인 기반 SW저작권 보호 인재육성 사업단』과 강원대학교 데이터·지식재산융합학과 『지식재산전문인력양성중점대학 사업단』은 2023. 11. 2.(목) 학술교류협력 MOU를 체결했다. 체결식에는『블록체인 기반 SW 저작권 보호 인재육성 사업단』 단장인 이창무 중앙대학교 교수(산업보안학과), 『지식재산전문인력양성중점대학 사업단』단장인 정진근 강원대학교 교수(데이터·지식재산융합학과), 한정무 강원대학교 교수(데이터·지식재산융합학과), 이정훈 박사(중앙대학교 사업단 실무담당) 등이 참석하였다. 이번 중앙대-강원대 협력체계는 ‘건전한 지식재산 생태계 조성과 지식재산 인재양성 관련 문화의 지속적인 융성’의 필요성을 공감하며 성사됐다. MOU의 세부 내용은 지식재산 공동 교육을 위한 상호협력 및 최근 지식재산 이슈에 관한 공동연구, 올바른 지식재산 문화 조성을 위한 세미나, 심포지엄 공동개최, 협약기관이 담당하는 분야의 지식재산 보호 및 침해 대응을 위한 상호협력 등이다. 이창무 중앙대학교 교수는 “국제적으로 활발한 교류·협력이 이루어지고 있는 이 시점에 산업보안의 역할이 더욱 중요해진다”며, “SW 정보자산, 저작권·콘텐츠 등 지식재산의 보호를 위해서는 역내 공동체 협력 강화가 필요하다”고 강조했다. 정진근 강원대학교 교수는 “인재역량을 증진하기 위해서는 교수진들의 다양한 학술교류의 기회를 만드는 것이 중요하다. 이번 MOU를 통해 지식재산의 핵심 교수진들 간 학문의 장이 활발히 마련될 것을 기대한다.”고 전했다. 한편, 중앙대학교 『블록체인 기반 SW저작권 보호 인재육성 사업단』은 문화체육관광부 국가연구개발사업 “SW저작권 기술+법 융합인재 양성”의 일환으로 출범하였으며, 동 연구개발사업은 한국콘텐츠진흥원이 전문기관으로서 운영하고 있다. 현재 중앙대학교 융합보안학과는 동 사업단을 통해 20여 명의 석·박사급 핵심 인력을 양성하고 있다.
