꼰머의 보안공부

보안뉴스

1. 개요

- 데일리시큐 "[진단] 국민의힘·더불어민주당·정의당, 입법부 대표 정당들의 개인정보보호 민낯"

> 개인정보 처리방침 문구에 대한 강조가 되어있지 않음

> 이전 개인정보 처리방침 변경 내용 확인 불가

> 개인정보 열람요구서와 위임장 등을 다운로드 할 수 있는 기능 없음

> 개인정보 처리방침 문서 내 '개인정보 취급방침' 용어 사용

> 개인정보 수집항목 관련 필수항목과 선택항목을 구분해 고지하지 않음

- 관련하여 지자체, 금융, IT, 의료, 교육 등 여러 사이트의 개인정보 처리방침을 확인

> 기사에서 언급된 문제점 또는 추가적인 문제점이 있는지를 검토

2. 주요내용

- 모공제조합 개인정보 처리방침의 내용에서 문제점으로 판단되는 총 5가지 항목 확인

- 국민신문고를 통해 개인정보보호위원회에 문의 진행

2.1 가시성 문제

- 개인정보 처리방침의 조항별 글씨 크기 및 글씨체의 차이를 보여 가시성이 떨어짐

- 「개인정보 보호법」 제30조는 개인정보처리자에게 개인정보 수립·공개의무를 부과

> 제4항에 따라 보호위원회는 「개인정보 처리방침 작성지침」을 제공

- 이에 따른 답변은 다음과 같음

① 「개인정보 보호법」 제30조 제4항에따라 보호위원회는 「개인정보 처리방침 작성지침」을 정하여 그 준수를 권장할 수 있음

② 즉, 권장 사항이므로 권장 내용을 따르지 않았다고 해서 처벌의 대상이 되지 않음

③ 단, 법에 따른 필수 작성항목을 법령에 따라 적정하게 작성하고 있어야함

- 개인정보 처리방침이란 개인정보처리자의 개인정보 처리 기준 및 보호조치 등을 작성하여 문서화한것을 말함

> 「개인정보 보호법」 제30조 제2항에따라 정보주체가 확인하기 쉽게 공개할 것을 의무화

> 또한, 개인정보 처리방침의 목적은 개인정보 처리의 투명성을 높이고, 정보주체에게 자신의 개인정보가 어떻게 처리되고 있는지 처리방침을 통해 상시적으로 확인 및 비교하도록 하여 개인정보 자기결정권을 보장하기 위함이라고 생각함

- 해당 목적을 달성하기 위해서는 개인정보처리자가 정보주체로 하여금 이해하기 쉽도록 작성하는것을 보장하도록 할 필요가 있음

> 법에서 명시한 내용을 문서에 모두 포함하였다고 하여도, 내용 작성 방식의 문제로 인해 정보주체가 쉽게 확인 및 이해하지 못하는 문제가 충분히 발생할 수 있을 것으로 생각되기 때문

2.2 열람요구서, 위임장 등 다운로드 기능 부재

- 데일리시큐의 기사에서는 열람요구서, 위임장 등을 다운로드할 수 있는 기능이 없음을 문제점으로 지적

> 확인 결과 일부 사이트의 경우 다운로가 아닌 해당 파일이 위치한 경로 또는 법 별지 서식 이용 안내

- 공제조합 또한 별지 서식이용을 안내하고 있음

> 따라서, 단순히 다운로드 기능이 없다고 해서 문제점으로 지적하는 것은 합당하지 않다고 판단하여 문의 진행

- 이에 따른 답변은 다음과 같음

> 열람요구서 및 위임장 다운로드 기능과 관련하여, 개인정보 처리방침에 포함하는 것을 의무화하지 않음

> 개인정보 처리자의 자율에 맡겨진 사항

- 정보주체는 개인정보처리자가 처리하는 자신의 개인정보를 열람한 후 정정 또는 삭제를 요구할 수 있음

> 해당 과정을 처리하는 방식이 업종별로 상이할 수 있겠지만, 정보주체의 권리를 보장하기 위해 통일된 방식을 사용하는 것이 좋을것 같음

2.3 개인정보보호법 시행규칙 단어 사용

- 개인정보보호법에서 행안부령(행정안전부)으로 정하던 사항을 개인정보보회위원회가 정하여 고시하도록 개인정보보호법이 개정됨

> 따라서, "개인정보보호법 시행규칙"  단어를 삭제하거나 다른 단어로 정정되어야 할 것임

- 공제조합은 개인정보보호법 시행규칙을 아직 사용하는 것으로 확인

- 이에 따른 답변은 다음과 같음

> 기존의 「개인정보 보호법 시행규칙」 은 현재 「개인정보 보호 처리 방법에 관한 고시」 로 변경

> 용어의 변경이 필요함

- 관련 내용은 23.09.15부터 시행되는 개인정보보호법에 의거 개선될 것으로 기대됨

2.4 개인정보 수집 항목 관련 필수 및 선택 항목 미분류와 과다수집

- 「개인정보 보호법」 제3조 제1항에서 목적에 필요한 최소한의 개인정보만을 적법하고 정당하게 수집하도록 지정

> 작성지침에서는 수집목적에 필요한 최소한의 정보(필수항목)와 그 외의 정보(선택항목)을 구분하여 기재 안내

* 다만, 선택항목을 따로 두지 않고 필수항목만을 수집하는 경우에는 필수항목/수집항목을 구분하지 않아도 됨

- 공제조합의 경우 필수와 선택항목의 구분이 없으며 원적, 본적, 종교 등 불필요한 정보를 수집하는 것으로 판단

- 이에 따른 답변은 다음과 같음

> 구체적 사실확인이 필요한 사안으로 일률적으로 답변하기 어려움

2.5 개인정보 자동 수집 장치의 설치ㆍ운영 및 거부에 관한 사항

- 「개인정보 보호법」 제30조 제1항 제7호에서 개인정보 자동 수집 장치의 설치, 운영 및 근거에 관한 사항을 포함하도록 지정

> 작성지침에서는 쿠키와 같이 개인정보를 자동으로 수집하는 장치를 설치 및 운영할 경우, 설치 및 운영, 그 거부에 관한 사항을 기재하여야 함

- 공제조합의 경우 관련되 내용을 "생성정보 수집 툴을 통한 수집"으로 안내

- 이에 따른 답변은 다음과 같음

> 구체적 사실확인이 필요한 사안으로 일률적으로 답변하기 어려움

3. 문의 및 답변 전문

4. 참고

[1] https://www.dailysecu.com/news/articleView.html?idxno=148012
[2] https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS217&mCode=D010030000&nttId=7034
[3] https://www.privacy.go.kr/front/bbs/bbsView.do?bbsNo=BBSMSTR_000000000049
[4] https://www.moleg.go.kr/lawinfo/makingInfo.mo?mid=a10104010000&lawSeq=59913&lawCd=0&lawType=TYPE5&currentPage=1&keyField=&keyWord=&stYdFmt=&edYdFmt=&lsClsCd=&cptOfiOrgCd=
[5] https://ggonmerr.tistory.com/327

1. 아이디어

- 기존의 인증은 계정정보(ID/PW)를 사용해 정당한 권한을 지니고 있음을 증명

- 계정정보를 대상으로한 공격의 증가 및 비밀번호 관련 취약점으로 인해 Passwordless 인증방식이 대두

- Passwordless 도입 전 개선사항 및 준비사항이 필요

2. 근거

2.1 비밀번호 생성 규칙

- 『개인정보의 안전성 확보조치 기준』 제5조(접근 권한의 관리)
> 인정보처리자는 개인정보취급자 또는 정보주체가 안전한 비밀번호를 설정하여 이행할 수 있도록 비밀번호 작성규칙을 수립하여 적용하여야 한다

- 『개인정보의 안전성 확보조치 기준 해설서』
> 당한 접속 권한을 가지지 않은 자가 추측하거나 접속을 시도하기 어렵도록 문자, 숫자 등으로 조합·구성하여야 한다고 규정

- 『개인정보의 기술적·관리적 보호조치 기준』 제4조(접근통제) 제7항. 제8항
> 정보통신서비스 제공자등은 이용자가 안전한 비밀번호를 이용할 수 있도록 비밀번호 작성규칙을 수립하고, 이행한다.
> 정보통신서비스 제공자등은 개인정보취급자를 대상으로 다음 각 호의 사항을 포함하는 비밀번호 작성규칙을 수립하고, 이를 적용ㆍ운용하여야 한다.

- 한국인터넷진흥원 패스워드 선택 및 이용 안내서

> 안전한 패스워드란 ① 제3자가 쉽게 추측할 수 없고, ② 공격자가 알아내는데 많은 시간이 요구되며, ③ 대문자, 소문자, 특수문자, 숫자 중 두 종류 이상의 문자구성과 8자리 이상 또는 10자리 이상의 길이로 구성된 문자열을 의미

> 또한 각 사이트별로 상이한 비밀번호를 설정하도록 권고

2.2 비밀번호 인증 방식의 문제점

3. Passwordless

- Passwordless란 사용자들이 비밀번호를 기억하거나 입력하지 않고 시스템에 로그인할 수 있는 인증 방법

> NordPass의 2022년 연구에 따르면 한 사람당 평균적으로 약 100개의 비밀번호를 사용

> 2020년 한국인터넷진흥원의 계정관리 보안실태 설문조사 결과 비밀번호 관리를 위해 여러 방법을 사용

> 메모, 별도 저장장치 이용, 자동저장, 비밀번호 관리 프로그램 이용 등

3.1 동향

3.2 고려사항

4. 기대효과

① 보다 안전한 인증 시스템의 구현 기대

- 관련된 규제 및 표준, 최소요구사항 등을 다방면으로 고려하여 사전에 마련

> 통일화된 시스템으로 보안성을 높일뿐더러 관리의 용이성 및 사용자의 편의성을 함께 충족

② 사용자 신뢰도 향상

- 인증 시스템의 신뢰도는 서비스 제공측 뿐만 아니라 사용자측면에서도 중요

- 새로운 환경으로의 변화에 따른 기술에대한 사용자의 여러 우려가 존재

> Passwordless는 사용자 인증을 위한 기술이기 때문에 더욱 고려해야할 문제

③ 비밀번호 관련 취약점 등 문제점 개선

- 사용자들은 많은 계정 정보를 관리하며, 이전 비밀번호를 재사용하거나, 한 두자를 변경하여 비밀번호 변경

> 공격자들은 특히 비밀번호를 대상으로 잘 알려진 취약점, 사회공학적 공격 등으로 비밀번호 탈취를 시도

- Passwordless는 비밀번호를 사용하지 않는 인증이기 때문에 이러한 문제점을 개선

1. MS Window Exchange Serve

- 전자 메일, 연락처, 일정 등의 기능을 제공하는 협업 소프트웨어

1.1 Exchange Serve 구조

- Exchange Serve는 사용자 UI를 담당하는 Front-End와 로직을 담당하는 Back-End로 구성

- Front-End로 들어온 사용자 요청은 내부 처리 과정을 거쳐 1:1로 연결된 Back-End의 모듈로 전송

> 각 요청마다 처리하는 모듈이 다르며 각 모듈은 동일한 하나의 모듈을 상속받아 특성에 맞게 추가 구현됨

2. 취약점 [2]

- Exchange 서버에서 입력값 검증이 미흡하여 발생하는 SSRF 취약점으로 Exchange 서버로 인증이 가능

> 영향받는 버전: Microsoft Exchange Server 2013, 2016, 2019

> 공격자는 해당 공격을 통해 Exchange 서버에 접근할 수 있는 일부 권한 획득 및 추가적인 공격을 진행

2.1 CVE-2021-26855

- Front-End로 들어온 사용자의 요청을 Back-End로 전달 하기위해 ProxyRequestHandler 모듈을 사용 [4]

- ProxyRequestHandler.GetTargetBackEndServerUrl() 메서드
> urlAnchorMailbox의 값이 Null일 경우 Back-End의 Host 값을 this.AnchoredRoutingTarget.BackEndServer.Fqdn에서 가져옴

protected virtual Uri GetTargetBackEndServerUrl() {
    this.LogElapsedTime("E_TargetBEUrl");
    Uri result;
    try {
        UrlAnchorMailbox urlAnchorMailbox = this.AnchoredRoutingTarget.AnchorMailbox as UrlAnchorMailbox;
        if (urlAnchorMailbox != null) {
            result = urlAnchorMailbox.Url;
        } else {
            UriBuilder clientUrlForProxy = this.GetClientUrlForProxy();
            clientUrlForProxy.Scheme = Uri.UriSchemeHttps;
            clientUrlForProxy.Host = this.AnchoredRoutingTarget.BackEndServer.Fqdn;
            clientUrlForProxy.Port = 444;
            if (this.AnchoredRoutingTarget.BackEndServer.Version < Server.E15MinVersion) {
                this.ProxyToDownLevel = true;
                RequestDetailsLoggerBase<RequestDetailsLogger>.SafeAppendGenericInfo(this.Logger, "ProxyToDownLevel", true);
                clientUrlForProxy.Port = 443;
            }
            result = clientUrlForProxy.Uri;
        }
    }
    finally {
        this.LogElapsedTime("L_TargetBEUrl");
    }
    return result;
}

- /owa에서 사용자 요청이 올 경우 this.AnchoredRoutingTarget.BackEndServer 값은 BEResourceRequestHandler 모듈의 ResolveAnchorMailbox() 메소드를 통해 결정

> 이때, 사용자 요청에서 "X-AnonResource-Backend" 쿠키의 값을 필터링 없이 그대로 사용

> 따라서, 공격자는 해당 헤더를 접근 불가능한 내부 사이트 또는 다른 서버로 조작하여 접근이 가능하게 됨

protected override AnchorMailbox ResolveAnchorMailbox() {
    HttpCookie httpCookie = base.ClientRequest.Cookies["X-AnonResource-Backend"];
    if (httpCookie != null) {
        this.savedBackendServer = httpCookie.Value;
    }
    if (!string.IsNullOrEmpty(this.savedBackendServer)) {
        base.Logger.Set(3, "X-AnonResource-Backend-Cookie");
        if (ExTraceGlobals.VerboseTracer.IsTraceEnabled(1)) {
            ExTraceGlobals.VerboseTracer.TraceDebug<HttpCookie, int>((long)this.GetHashCode(), "[OwaResourceProxyRequestHandler::ResolveAnchorMailbox]: AnonResourceBackend cookie used: {0}; context {1}.", httpCookie, base.TraceContext);
        }
        return new ServerInfoAnchorMailbox(BackEndServer.FromString(this.savedBackendServer), this);
    }
    return new AnonymousAnchorMailbox(this);
}

- /ecp에서 사용자 요청이 올 경우 this.AnchoredRoutingTarget.BackEndServer 값은 BEResourceRequestHandler 모듈의 ResolveAnchorMailbox() 메소드를 통해 결정
> 이때, 사용자 요청에서 "X-BEResource" 쿠키의 값을 필터링 없이 그대로 사용
> 공격자는 해당 쿠키를 조작하여 내부 서버에서 계정 정보를 획득 및 악용하여 인증을 우회할 수 있음

2.2 CVE-2021-26857 [5]

- Exchange 서버에서 안전하지 않은 역직렬화로 인해 발생하는 임의코드실행 취약점

> 메일 서버 침투 후 해당 취약점을 이용해 관리자 권한을 획득하여 시스템을 장악

2.3 CVE-2021-27065 [6]

- Exchange 서버에서 발생하는 임의파일쓰기 취약점

> 메일 서버 침투 후 OAB(Offline Address Book) 설정 파일에 한줄 웹쉘을 삽입(=재설정) 후 실행 명령을 포함한 요청을 전송해 웹쉘 실행

> OAB를 재설정하는 과정에서 경로 및 확장자를 검토하는 코드가 없어 공격자가 원하는 위치에 원하는 확장자로 파일 생성 가능 [4]

※ OAB : MS Exchange Server에서 제공하는 주소록 기능으로 Outlook이 Exchange Server와 통신할 때 다운 받게 되는 주소록으로, Exchange server와 통신하지 않는(오프라인) 상황에서 해당 파일을 참조

2.4 CVE-2021-26858 [7]

- Exchange 서버에서 발생하는 임의파일쓰기 취약점

3. 대응방안

① 벤더사에서 제공하는 업데이트 적용 [8][9]

- 특정 쿠키 값 조작 후 접근 불가 사이트 접근 및 인증우회를 방지하기 위한 유효성 검증 코드 추가

- 웹쉘 실행을 방지하기 위해 생성되는 파일의 확장자에 .txt 확장자를 추가하는 코드 추가

- KISA 보호나라 보안 공지 참고 업데이트 적용 [10]

> 즉각적인 업데이트가 불가할 경우 KISA 보호나라 임시 조치 방안 참고 [11]

② 운영체제 및 사용중인 주요 SW의 보안 업데이트 적용
③ 불필요한 네트워크 서비스의 경우 중단 또는 기능 삭제
④ 방화벽 설정 등을 통해 외부에서 들어오는 스캐닝 등 차단
⑤ 웹쉘 업로드 여부 모니터링 및 관련 보안 SW 적용
⑥ 지속적 접근을 위한 스케줄러 등록 작업 검토
⑦ 공개된 공격도구들에 대한 시그니처를 보안장비에 등록하여 차단 또는 탐지하도록 설정
⑧ 로그 모니터링
⑨ 공개된 침해지표 등을 보안장비에 등록 등

4. 참고

[1] https://nvd.nist.gov/vuln/detail/CVE-2021-26855
[2] https://www.boho.or.kr/kr/bbs/view.do?bbsId=B0000127&nttId=36053&menuNo=205021
[3] https://bi-zone.medium.com/hunting-down-ms-exchange-attacks-part-1-proxylogon-cve-2021-26855-26858-27065-26857-6e885c5f197c
[4] https://chmodi.tistory.com/154
[5] https://nvd.nist.gov/vuln/detail/cve-2021-26857
[6] https://nvd.nist.gov/vuln/detail/CVE-2021-27065
[7] https://nvd.nist.gov/vuln/detail/CVE-2021-26858
[8] https://msrc.microsoft.com/blog/2021/03/multiple-security-updates-released-for-exchange-server/
[9] https://chmodi.tistory.com/157
[10] https://www.boho.or.kr/kr/bbs/view.do?bbsId=B0000133&nttId=35929&menuNo=205020
[11] https://www.boho.or.kr/kr/bbs/view.do?bbsId=B0000133&nttId=35931&menuNo=205020
[12] https://www.boannews.com/media/view.asp?idx=97934
[13] https://www.boannews.com/media/view.asp?idx=106528

1. AI를 악용한 공격도구의 등장

1. 개요

- ChatGPT 등 AI를 이용한 신기술이 등장하면서 다크웹에서도 이를 활용한 새로운 공격 도구들이 등장

2. 주요내용

- WormGPT

> 피싱 공격과 BEC 공격을 실시할 때 효과를 크게 높일 수 있다고 홍보

> 개인화된 매우 설득력 있는 가짜 이메일 생성을 자동화하여 공격의 성공 가능성을 높일 수 있음

- FraudGPT

> BEC 공격을 가능하게 해 주며, 한 달 200달러 구독료로 사용이 가능

> 스피어 피싱 이메일 생성, 크래킹 도구 및 카딩과 같은 공격적인 목적으로만 판매되고 있는 중

※ 참고

- PoisonGPT

> AI 보안 관련 기업 Mithril Security가 기존의 대규모 언어 모델에 거짓 정보를 추가하여 개발한 가짜 뉴스를 생성하는 채팅 AI
> AI 공급망의 전반적인 문제를 부각하고 대규모 언어 모델의 위험성을 전달하기 위해 PoisonGPT를 구축

3. 시사점

- 새로운 신기술을 악용하여 사이버 공격을 위한 진입장벽이 낮춰지는 중

- 벤더사에서 악용을 방지 하기위해 다양한 필터링 규칙 등을 적용하나 지속적으로 탈옥방법이 공유되는 중

- 다량의 잘못된 데이터를 고의로 학습시키는 등의 적대적 공격에 대한 대응이 필요

2. 폐쇄되었던 다크웹 해킹 포럼의 서비스 재개

1. 개요

- 국제 공조로 폐쇄되었던 다크웹 해킹 포럼이 최근 서비스를 재개하기 시작

2. 주요내용

- Genesis Market

> 17년부터 운영된 다크웹 해킹 포럼으로, 23.04 국제 공조를 통해 관련 인물 검거 및 포럼 폐쇄

> 전반적인 인프라부터 기존에 보유한 불법 데이터 또한 포함되어 거래

- BreachForums

> 22년부터 운영된 다크웹 해킹 포럼으로, 23.03 FBI의 수사로 포럼 운영자 검거 및 포럼 폐쇄

※ 참고

- BreachForums

> 익명의 사용자가 MyBB(무료 오픈 소스 포럼 소프트웨어)의 제로데이 취약점을 이용해 포럼에서 4,000명의 회원 데이터 유출
> 탈취한 데이터를 또 다른 공격자들이 재판매 하는 중

3. 시사점

- 기 유출된 데이터가 악용에 재사용 되지 않도록 관련 대응 강화 필요

- 다크웹뿐만 아니라 텔레그램을 통해 포럼을 홍보하는 것으로 판단되어 관련 모니터링 강화 필요

3. 서피스웹에서의 불법 데이터 거래 확산 

1. 개요

- 기존 접근이 제한되던 다크웹이 아닌 서피스웹에서의 불법 데이터 거래가 확산되는 중

2. 주요내용

- Cracked[.]io

> 홈페이지 하단 소개를 통해 공격 도구, 유출 데이터 거래 등을 제공한다고 소개 

3. 시사점

- 관련된 서피스웹 모니터링 강화 필요

사실 미션임파서블은 들어보기만 했지 실제로 관람한 적은 없었던 것 같다. 에단 헌트 역을 맡은 톰 크루즈님이 대역 없이 다양한 액션신을 소화해 내는 영화로만 알고 있었다. '미션임파서블 7 데드레코닝'을 관람한 후기를 한마디로 정의하자면 신기술 AI와 관련하여 우리가 어떤 자세를 취해야 하는지 제고시켜주는 영화라고 생각했다.

전반적인 패션, 기술, 문화 등 여러 분야에서의 트렌드를 영화, 음악, 예능과 같은 대중문화에서 잘 보여준다고 생각한다. 왜냐하면 대중문화야말로 일반 대중에게 소개되어 공감을 얻어야 관심을 끌 수 있고 여러 커뮤니티 등에서 실시간으로 공유되며, 이를 통해 밈과 유행어 같은 새로운 문화가 형성된다고 생각하기 때문이다.

미션임파서블 7에서 AI는 '엔티티'라는 강인공지능이 메인 빌런으로 등장한다. 엔티티는 무한한 연산을 통해 미래를 예측하여 원하는 미래로 유도하고, 이를 계속하고 학습ㆍ계산ㆍ예측ㆍ활용하여 끊임없이 엔티티가 유도하는 미래로 설계되도록 한다. 영화에서는 핵잠수함의 레이더를 조작해 존재하지 않는 적 잠수함과 어뢰를 만들어 결과적으로 핵잠수함을 침몰시키고, 가짜 핵폭탄을 보내거나, AR 선글라스를 조작하고, 무전을 해킹해 목소리를 흉내 내는 등 다양한 모습을 보여준다.

엔티티는 일련의 학습과 예측으로 통신망을 장악하고, 여러 디지털 기기를 순식간에 해킹하며 통신 중간에 개입해 교란을 발생시키나, 아날로그 기기에는 접근할 수 없다는 단점을 이용해 연식이 오래된 인공위성이나 모터보트 등 디지털이 아닌 통신장비를 이용했다. 또한, 디지털 기기여도 전원이 꺼지면 통제가 불가능하며, 자신의 예상 범위를 벗어나면 당황한 모습을 보여주는 단점이 있다.

사실 AI와 관련된 논의는 이전부터 계속되어 왔으며, 최근 챗GPT를 시작으로 AI와 관련된 기술과 연구ㆍ개발에 관심이 집중되고 있다. 국제적으로는 기술 우위를 선점하려는 움직임과 관련된 규제 및 표준을 마련하기 위한 움직임이 있다. 어느 분야에서나 그러하듯이 AI 기술 개발에 찬성하고 권장하는 입장이 있으며, 반대하고 우려를 표하는 입장 또한 존재한다. 

국제사회의 경우 23.07.18 유엔 안전보장이사회는 AI의 위험을 주요 안건으로 올렸으며, 이는 안보리 역사상 AI와 관련된 첫 공식 논의였다. 우리나라의 경우 인공지능 시장에서 기술 우위를 점하기 위해 여러 노력을 하고 있으며, 국정원에서 생성형 AI 활용 보안 가이드라인을, 한국지식재산연구원에서 내년 상반기 중 완성을 목표로 생성형 AI를 둘러싼 쟁점을 정리하고 이를 규율할 가이드라인과 법안을 마련하는 연구를 맡게 돼었다.

비슷한 내용으로 얼마 전 개봉한 '명탐정 코난:흑철의 어영'에서도 AI 기술이 등장한다. 인터폴의 최첨단 정보 해양 시설인 '퍼시픽 부이'에서 개발 중인 '전연령 인식' 이라는 AI 기술을 차지하려는 검은 조직과 코난 일행의 추격전을 그려낸 영화이다. 영화에 따르면 '전연령 인식' 기술은 일본과 유럽의 CCTV를 확인할 수 있을 뿐만 아니라 장기 수배범이나 유괴당한 피해자를 전 세계에서 찾아낼 수 있는 기술이라고 한다. 또한 영화는 살인사건에 딥페이크를 이용하는 등 AI의 부정적인 모습도 그려낸다. 해당 기술을 사용하면 어린아이로 위장해 검은 조직의 비밀을 파헤치려는 코난과 하이바라의 정체가 발각되는 것은 시간문제일 것이다.

제2차 세계대전이 한창이던 때 미국에서 루스벨트 대통령과 이론물리학자 로버트 오펜하이머의 주도하에 약 13만 명을 동원해 핵폭탄 개발 프로젝트 '맨해튼 프로젝트'를 극비리에 진행했다. 루스벨트 대통령이 뇌출혈로 사망한 후 취임한 트루먼(당시 부통령)이 담당자로부터 관련된 보고를 받고 프로젝트의 존재를 알게 된 만큼 극비리에 진행되었던 연구였다. 결과적으로 미국은 어느 나라보다 핵폭탄을 먼저 개발하였고, 이를 일본 히로시마와 나가사키에 각 한 발씩 투하함으로써 전쟁을 끝낼 수 있었다. 당시에는 전쟁을 끝냈다는 것에 성취를 느꼈으나, 머지않아 핵폭탄의 엄청난 파괴력을 실감한 여러 국가들이 핵실험을 시작했고, 현재 세계 각국이 보유한 핵무기의 양은 지구를 몇 번씩이나 파괴하고도 남을 정도라고 한다. 이에 전 세계는 핵확산금지조약, 국제원자력기구 등을 설립해 핵 확산을 억제하고 있지만, 아직까지도 핵우산, 상호확증파괴 등의 전략이 존재하는 아이러니한 상황이 연출되고 있다.

이처럼, 인류는 궁극적으로는 도움이 되는 기술을 개발하기 위해 여러 실험을 진행해 다양한 결과를 도출시킨다. 단순히 인류에 도움을 주기 위함이라는 안일한 생각에서 끝나지 않고 더 나아가 해당 기술로 인해 발생 가능한 장단점을 기술, 문화, 외교, 역사, 민생 등 다양한 방면에서 충분한 논의를 거쳐야 할 필요가 있다고 생각한다. 또한, 기술이 인류의 통제를 벗어나지 않도록 각 국가별 윤리적 규범과 제제 및 법률뿐 아니라 국제적인 협력이 필요할 것으로 생각된다.

1. 제1세션: 주요국 사이버안보 전략의 최근 동향

1.1 미국의 사이버안보 전략 [1][2][3]

- 오바마 정부 백악관 주도 근간마련 > 트럼프 정부 CISA 설치 등 부처/기관 대응 중심 > 바이든 정부 ONCD 설립 등 백악관 주도

> 핵심 정부 조직: 국가안전보장회의(NSC), 국토안보부(DHS), 사이버보안 및 인프라보안국(CISA), 국가사이버실(ONCD)

※ 국가사이버실(ONCD) 주요 기능

① 국가/연방 Cybersecurity 정책 수립 및 범정부 조정의 총괄

② 예산관리국(OMB)와 협력하여 Cybersecurity 예산과 자원에 대한 검토 및 결과 평가

③ 부처, 기관, 기업, 파트너, 학계, 비영리단체, 국제 동맹과의 긴밀한 협력 추진

④ 디지털 생태계에 중요한 공공/민간의 Cybersecurity 인재의 체계적인 양성 계획 수립

- 23.03 National Cybersecurity Strategy 및 23.07 National Cybersecurity Strategy Implementation Plan 발표

> Cybersecurity는 대부분의 분야에 필수적이며 공공과 민간의 강력한 협업은 사이버공간 확보에 필수적

⒜ S/Wㆍ시스템 복잡성과 취약점 확대, AI의 보급 및 확산은 신규 위협, 악의적 감시, 조작 등의 위협 증가로 이어짐

⒝ 지적 재산 절도, 중요인프라 및 랜섬웨어 공격 등 악의적인 사이버 활동의 진화

※ 사이버 공간의 복원력을 위해 Cybersecurity에 대한 책임을 효과적이고 공평하게 재조정 하였으며, 장기적 투자를 선호하도록 인센티브를 재편성

※ 23.06.27 백악관은  국가 사이버 보안 전략 5대 전략에 따른 2025 회계연도 예산에 대한 사이버보안 우선순위 지침 발표

1.2 영국의 사이버안보 전략

- 영국은 유럽 사이버공격 전체 사례의 43%로 가장 많은 공격을 받은 국가

> 22년 기업의 39%가 사이버 공격을 받고, 인터넷 사용자당 사이버 범죄 피해자 수가 4,783명으로 전세계에서 가장 많음

- 09년 국가사이버안보전략(NCSC)는 첫 번째 전략 수립을 시작으로 11년부터 5년 주기 전략 수립 및 21년 국가사이버전략(NCS) 명칭 변경

> 국가안전보장회의(NSC) 주도로 발간하며, 내각부외 정부 보안그룹(GSG)은 사이버보안 전략 실행을 위한 재정지원 프로그램인 NCSP 관리와 조정을 담당

> 미국과 지속적으로 사이버공격에 대한 공동귀속, 제재 부과 등의 활동 수행 및 집단안보 강화를 위해 공세적 대응 지원

1.3 일본의 사이버안보 전략

- 사이버 전략은 아베 내각이 추진한 포괄적 안보개혁의 핵심 영역

> 디지털 사회의 발전보다 선행했던 사이버 전략은 아베 내각 이후 안보개혁과 연계되어 본격 추진

> 사이버 공간은 디지털 플랫폼, 유무선 네트워크, 기술변화에 따른 사회경제적인 영향력에 따라 안보문제로 담론화

> 사이버 공간의 안보화: (1) 정보보호, 범죄예방 (2) 사이버 공간의 안보화 (3) 사이버 공간의 군사화

1.4 공통점

- 각 국가별 사이버안보 정책에 따른 공통점은 다음과 같은 것으로 판단됨

① 주요기반시설 등 국민의 생활과 밀접히 관련된 사이버공간의 회복력, 지속력 강조

② 사이버위험 세력에 대한 합법적 법위 내 선제적ㆍ공세적 대응

③ 국제 공조를 통한 사이버위험 세력 제재 및 국제 협력을 통한 표준, 규제, 가이드라인 등 마련

④ 사이버공간에서 기술적 우위를 선점하기 위한 규제, 예산, 인력, 기술 확보를 위한 각 국가별 노력

⑤ 양자암호, AI 등 신기술에 따른 새로운 사이버위험에 대한 대응 강조 등

2. 제2세션: 우리나라의 새로운 국가사이버안보전략 수립 방향

2.1 우리나라 국가사이버안보전략 동향

- 2019년 문재인 정부에서 최초로 국가사이버안보전략 발간 [7]

> 국가사이버안보전략은 사이버안보 정책의 최상위 지침서

① 어떠한 사이버위협에도 국민 생활에 밀접한 서비스를 중단 없이 제공할 수 있도록 국가운영 시스템의 생존성과 복원력을 강화한다.
② 우리의 사이버공간을 쉽게 침해할 수 없도록 대비태세를 강화하고 불의의 사고 발생시 신속하게 대응할 수 있는 역량을 확충하는 등 국가 사이버위협 대응역량을 지속적으로 고도화한다.
③ 민(民)·관(官)·군(軍) 간 신뢰와 협력을 바탕으로 사이버안보 수행체계를 확립하고 사이버안보의 핵심역량이 되는 기술, 인력, 산업 경쟁력 향상을 위한 성장기반을 확충한다.
④ 국민 모두가 사이버안보 중요성을 인식하고 실천하는 안전한 사이버 문화를 정착하고, 사이버안보 관련 국제규범 형성을 주도하는 등 사이버안보 선도국가로서 리더십을 확대한다.

> 이에 따라, 범부처 차원 '국가사이버안보 기본계획(’19~’22)'을 수립·시행 [8]

※ 6대 전략과제 및 100개의 세부 과제

- 윤석열 대통령의 사이버안보 관련 대선 공략 [9]

> 이에 따라, 22.11.08 국정원은 국가사이버안보 기본법 제정(안) 입법예고 [10]

> 한미 정상회담에서 '전략적 사이버안보 협력 프레임워크' 채택
> 아시아 최초 NATO 사이버방위 협력센터 가입
> 국제사이버훈련장 개소 예정 및 우리나라 주도 국제 사이버훈련을 기획 및 시행할 예정 등

3. 참고

[1] https://www.whitehouse.gov/briefing-room/statements-releases/2023/03/02/fact-sheet-biden-harris-administration-announces-national-cybersecurity-strategy/
[2] https://www.whitehouse.gov/briefing-room/statements-releases/2023/07/13/fact-sheet-biden-harrisadministration-publishes-thenational-cybersecurity-strategyimplementation-plan/
[3] https://iq.govwin.com/neo/marketAnalysis/view/OMBs-Cybersecurity-Priorities-for-Agency-FY-2025-Budgets/7312?researchTypeId=1&researchMarket=
[4] https://gbr.mofa.go.kr/gb-ko/brd/m_8388/view.do?seq=1261233&srchFr=&srchTo=&srchWord=&srchTp=&multi_itm_seq=0&itm_seq_1=0&itm_seq_2=0&company_cd=&company_nm=
[5] https://inss.re.kr/publication/bbs/js_view.do?nttId=410488
[6] https://www.boannews.com/media/view.asp?idx=120430&kind=2&search=title&find=%BB%E7%C0%CC%B9%F6%BE%C8%BA%B8 

[7] https://www.kisa.or.kr/401/form?postSeq=2372&lang_type=KO&page=#fndoDocumentPreview
[8] https://www.mois.go.kr/frt/bbs/type010/commonSelectBoardArticle.do?bbsId=BBSMSTR_000000000008&nttId=72708
[9] https://www.peoplepowerparty.kr/news/data_pledge
[10] https://www.moleg.go.kr/lawinfo/makingInfo.mo?lawSeq=70698&lawCd=0&&lawType=TYPE5&mid=a10104010000