정부 정보보호 종합대책에 ‘모의해킹’ 업계 활기

정부가 지난해 10월 발표한 정보보호 종합대책에 ‘상시 취약점 점검 체계 구축’ 내용이 포함되면서 모의해킹 업계가 활기를 띠고 있다. 사고 발생 이후 대응 중심에서 사전에 취약점을 찾아 보완하는 체계로 정책 기조가 전환되면서 관련 수요가 증가하는 모습이다. 다만 보안 전문가들은 모의해킹 수행 자체뿐 아니라 발견된 취약점을 보완하기 위한 내부 체계 마련과 취약점 패치, 보안 솔루션 도입 등의 후속 조치가 더욱 중요하다고 강조한다.

과학기술정보통신부와 보안 업계에 따르면, 정부는 지난해 연이어 발생한 대형 해킹 사고를 계기로 공공·민간 전반의 보안 관리 수준을 끌어올리는 데 초점을 맞춰 정보보호 종합대책을 추진하고 있다. 지난달 29일에는 소비자 구제와 AI 레드팀 운영 등의 내용을 포함한 2차 대책이 추가로 발표됐다.

특히 지난해 10월 발표한 1차 종합대책에는 모의해킹 훈련과 화이트해커를 활용한 상시 취약점 점검 체계 구축 방안이 포함됐다. 형식적인 점검이나 규정 준수 여부 확인 수준을 넘어, 실제 공격 상황에서도 방어가 가능한지를 평소에 검증해야 한다는 점이 강조된 것이다.

모의해킹은 해커의 관점에서 시스템과 서비스, 인프라를 점검해 실제 공격 가능성을 검증하는 방식이다. 단순히 취약점 목록을 나열하는 수준을 넘어, 침투 경로 분석과 내부 이동, 권한 탈취 가능성까지 종합적으로 확인한다는 점에서 기존 보안 점검과 차별화된다. 정부가 모의해킹을 강조하는 것은 “보안 체계가 서류상 존재하는지가 아니라, 실제로 작동하는지를 확인하라”는 정책 기조에 있다. 모의해킹은 이러한 기조에 정확히 부합하는 실전적 대책이다.

이 같은 배경에서 모의해킹 서비스를 제공하는 기업들은 지난해 하반기부터 성수기를 맞았다. 오펜시브(Offensive·공격자 관점의) 보안 전문기업 엔키화이트햇(대표 이성권)이 대표적이다. 이 회사는 공격표면관리(ASM)와 서비스형 모의해킹(PTaaS) 솔루션을 통합한 구독형 플랫폼 '오펜(OFFen)'을 서비스하고 있다. 엔키화이트햇 관계자는 "지난해 하반기 이후 공공부문과 금융권을 중심으로 모의해킹 문의가 늘기 시작했다"며 "올해 들어서는 예년 대비 2~3배 이상 수요 증가를 체감하고 있으며 실제 모의해킹도 바쁘게 수행하고 있다"고 말했다.

또 다른 오펜시브 보안 전문기업인 스틸리언(대표 박찬암)도 지난해 현대해상, E1, 삼성물산 래미안 아파트, 롯데면세점 등에 모의해킹과 및 보안 컨설팅 서비스를 제공했다. 올해도 늘어난 관심에 힘입어 모의해킹 사업을 꾸준히 확대하고 있다.

S2W(대표 서상덕)도 모의해킹 절차에 사이버 위협 인텔리전스(CTI) 기반 공격 시나리오 분석 역량을 결합한 통합 보안 모델을 제시하며 사업 확대에 나섰다. 양종헌 S2W 오펜시브연구팀장은 "S2W의 모의해킹 서비스는 노출 지표를 통합적으로 관리하고 취약점의 우선순위를 실시간으로 조정하는 등 지속적 위협 노출 관리(CTEM) 체계를 구축하는 데 필요한 기반을 제공한다"고 말했다.

이밖에 국내 최대 보안 기업인 SK쉴더스도 사내 화이트해커 조직인 '이큐스트(EQST)'를 통해 관제·컨설팅 서비스와 연계한 모의해킹을 제공하며, 이는 S2W의 ASM과도 연계된다. 안랩도 컨설팅 서비스와 결합한 모의해킹 서비스를 제공하고 있다.

다만 전문가들은 모의해킹으로 취약점을 점검하고 1차 조치를 했다고 해서 곧바로 보안 강화라는 성과로 이어진다고 생각해서는 안 된다고 조언한다. 모의해킹 과정에서 발견한 접근통제 미흡, 계정 관리 문제, 취약한 애플리케이션 구조, 탐지·대응 체계 공백 등을 해결하기 위해서는 조직 내부 체계 개선과 추가적인 보안 솔루션 도입 등에 지속적인 후속 투자가 이뤄져야 하기 때문이다. 보안 업계 역시 이러한 이유로 모의해킹 활성화 이후 보안 솔루션 투자 확대라는 선순환 구조가 형성되기를 기대하고 있다.

한 보안 기업 관계자는 "모의해킹은 취약점 패치와 애플리케이션 구조 개선 권유만으로 끝나는 경우가 드물다"며 "결국 VPN(가상사설망) 폐기, 데이터 암호화 추가 권유, 접근제어 정책 강화 또는 솔루션 교체, 나아가 EDR(엔드포인트 탐지·대응), XDR(확장된 탐지·대응), SOAR(보안 오케스트레이션·자동화·대응) 등 최신 솔루션 도입을 권고하는 경우도 생길 수밖에 없다"고 말했다. 이어 "모의해킹이 정기적인 보안 검증 절차로 자리 잡는다면 보안 솔루션 시장 전반의 수요 확대를 견인할 수 있을 것으로 기대한다"고 덧붙였다.

정종길 기자
jk2@chosunbiz.com