정보보안전문가, 사이버 해킹 막아 정보통신기술체계 정상운용 유지

◆정보와 정보보호

정보는 현실적으로 영상, 소리, 문자나 기호 등의 형태로 표현되는데 이 속에 들어있는 지식 체계가 정보를 획득한 사람의 사회적 행위에 영향을 줄 수 있는 힘을 가지고 있다. 이 힘을 정보의 가치라고 하는데 이는 경제적 이익으로 나타날 수도 있고 법률적, 정치적 이해관계 등 다양한 이해관계로 나타날 수도 있다.
자신의 이익을 위해 정보를 획득하거나 훼손 또는 왜곡해 상대방에게 피해를 주고자하는 악의의 행위자가 있을 수 있으며 이 정보를 인질로 금전적 요구를 하는 범죄를 저지를 수도 있다. 우리가 흔히 듣는 인터넷 해킹이라는 것이 바로 그러한 사례 중 하나다.
정보보호라는 것은 이러한 악의적 행위자나 범죄자로부터 정보를 안전하게 보호해 사용자의 권익을 지키는 것을 말한다. 우리나라 ‘정보보호산업의 진흥에 관한 법률’에서는 정보의 수집, 가공, 저장, 검색, 송신, 수신 중 발생할 수 있는 정보의 훼손, 변조, 유출 등을 방지하고 복구하거나 암호ㆍ인증ㆍ인식ㆍ감시 등의 보안기술을 활용해 재난ㆍ재해ㆍ범죄 등에 대응하거나 관련 장비ㆍ시설을 안전하게 운영하는 관리적ㆍ기술적ㆍ물리적 수단 즉 ‘정보보호시스템’을 마련하는 것이라 했다.
이에 따라 ‘정보보호’는 사이버 상에서 정보의 비밀성, 완전성 및 가용성을 유지하기 위해 정보콘텐츠, 정보시스템 및 정보통신망을 침해로부터 보호하는 ‘정보보안’과 일상생활에서 카메라, 센스 등의 기기나 장치를 사용해 출입을 통제하거나 도난 및 각종 재해를 방지하는 ‘물리보안’로 구분할 수 있다.
물리보안의 대표적인 사례로는 경비업체 또는 텔레캅 등과 같은 것이 있는데 일반적으로 경비업체 또는 보안업체라고 불리고 있다. 이에 반해 정보보안 전문 사업체는 일반인들에게 많이 알려져 있지 않은 편이다. 정보보안과 관련해서는 기관이나 사업체 자체적으로 전문 인력을 두고 대응하는 경우가 많기 때문이라 할 수 있다.

◆정보보호산업과 정보보안업

사이버 보안을 쟁점으로 하는 정보보안 업무는 규모나 충격에 있어서 물리적 보안 수준을 훨씬 넘어선다. 그래서 오늘날 정보보호산업이라고 하면 이를 곧 정보보안업이라 생각할 정도로 정보보안 업무의 중요성이 부각되고 있다.
정보보안업무는 정보통신기술체계를 대상으로 콘텐츠의 비밀성, 완전성, 가용성을 원활하게 유지하기 위해 권한 없는 접속, 이용, 공개, 방해, 변경 및 파괴로부터 정보콘텐츠, 정보시스템 및 정보통신망을 보호하는 것이라 할 수 있다.

◆정보보안 업무 성격과 사업 현황

정보통신기술은 나날이 발전하고 있으며 상위 버전이 하위 버전을 제어할 수 있는 특성으로 정보보안 업무에 있어서 완벽성을 추구한다는 것은 사실상 불가능하다. 따라서 정보보안 업무 목적은 특정 정보통신기술시스템을 외부 침해로부터 최대한 예방하고 침해를 당했을 때는 피해를 최소화하는 데 있다고 할 수 있다.
정보보안 업무는 백신, 암호화, 방화벽 등을 통해 정보통신기술체계 자체를 보호하는 업무, 출입증, 비밀번호, 보안검색시스템 등을 통해 정보통신기술체계 운용에 사용되는 기기와 장치 등을 보호하는 업무, 그리고 정보통신기술체계를 운용하는 데 있어서 지켜야 할 보안 규정 수립과 관리 등의 업무로 나누어 볼 수 있다.
하지만 정보보안이라고 하면 이 중 특히 정보통신기술체계 자체에 대한 보안 업무를 말하는데 구체적으로는 해킹과 같은 불법적인 방법으로 정보시스템에 접근해 정보를 절취 또는 파괴하거나 시스템이 정상적으로 작동하지 못하게 하며 정보를 변질시켜 피해를 주는 제반 행위에 대응하는 조치를 말한다.
그래서 정보보안 관리 프로그램의 전반적인 전략과 계획을 결정하고 관리하며, 그에 따라 적절한 제어수단을 설계ㆍ구축ㆍ운용하여 각종 침해사건에 대해 신속하게 대응하고 피해를 복구함으로써 정보통신기술체계의 정상적인 운용을 유지하는 일을 한다.
정보보안업무 담당자는 정보통신기술 뿐 아니라 정보보안시스템과 기술에 대한 전문적인 지식이 있어야 하는데 국가기관, 대형 사업체나 기관에서는 자체적으로 이러한 인력을 양성하거나 별도의 전문 인력을 채용하여 대비하고 있다.
이런 일을 전문적으로 하는 정보보안업체도 국내 332개 있다. 여기에 1만1천143명이 종사하는데 연 매출액이 2017년 기준으로 약 2조7천억 원 정도 되는데 이러한 정보보안업체를 이용하는 정도가 국내 사업체 전체의 48.5%다.

◆준비 및 직업

정보보안전문가를 준비하기 위해서는 전문대 또는 일반대학의 사이버보안학과나 정보보안학과에 진학해 공부하던지 대학원 관련학과에 진학해 준비할 수 있다.
그리고 정보보안전문가와 관련한 국가 자격증은 정보보안기사와 정보보안산업기사가 있는데 정보보안기사는 대학 이상 관련학과 졸업자를 대상으로 산업기사는 전문대 이상 관련학과 졸업자를 대상으로 한다.
2018년 정보보안기사 자격시험에 540명이 합격했으며 산업기사는 164명이 최종적으로 합격했다.
한국직업정보시스템의 자료에 의하면 컴퓨터보안전문가는 연 평균 3천713만 원 정도 받는다고 한다. 직업에 대한 만족도는 높은 편이며 미래의 직업적 전망은 밝은 편으로 나타났다.
윤정혜 기자 yun@idaegu.com

랜섬웨어·악성코드 등

사이;버 피해 보상보험도

정보보안전문가 이모저모

◆정보보안 관련 주요 용어

-악성코드: 시스템을 파괴하거나 정보를 유출하기 위한 목적으로 만들어진 소프트웨어(바이러스, 웜, 애드웨어, 스파이웨어 등).
-보안패치: 운영체제(OS)나 응용 프로그램의 취약점을 보완하는 보안 소프트웨어.
-해킹: 허가 없이 불법적으로 특정 정보보호시스템에 들어가는 작업.
-SNS 보안: 특정기관 자체 정보 통신망을 통해서는 SNS를 사용하지 못하게 차단하는 작업.
-빅데이터 보안: 거대한 양의 자료에 대한 빅데이터 작업 중 개인정보 및 기타 중요한 정보들이 외부로 유출되지 않도록 비식별화하거나 암호화하는 작업.
-정보보호(사이버) 보험: 사이버 공간에서 악성코드, 해킹이나 DDoS 등의 공격으로 인해 발생하는 피해에 대해 보상해주는 보험으로 현재 가입율은 전체 사업체의 0.6%로 낮은 편.

◆정보보안 침해 주요 방식

-랜섬웨어(Ransomware): 인터넷 사용자의 시스템을 잠그거나 데이터를 사용할 수 없도록 암호화하는 악성 프로그램인 랜섬웨어를 통해 금전을 요구하는 수법.
-악성코드 전송: 악성코드를 메일로 보내 메일을 여은 순간 컴퓨터 시스템을 오염시키가나 파괴하는 수법.
-피싱: 금융기관 또는 공공기관을 가장해 전화나 이메일로 인터넷 사이트에서 보안카드나 금융카드의 비밀번호를 몰래 빼내 금전을 인출해가는 수법.
-파밍: 악성코드로 PC를 감염시켜 사용자가 금융회사 등의 정상적인 홈페이지에 접속하여도 가짜 사이트로 연결되어 개인 금융정보를 빼내가는 수법.
-스미싱: 웹사이트 링크가 포함된 문자 메시지를 보내 휴대폰 사용자가 링크를 클릭하면 트로이목마를 주입해 범죄자가 사용자의 휴대폰을 통제하는 수법.
윤정혜 기자 yun@idaegu.com