해킹 대비, IoT 보안가이드 나왔다

[김국배기자] 사물인터넷(IoT) 기술의 성장과 함께 보안 위협에 대한 우려도 커지고 있는 가운데 IoT 제품과 서비스 개발자를 위한 지침인 'IoT 공통 보안가이드'가 나왔다.

정부는 향후 관련 산업계, 학계 등에 가이드를 배포하고, 교육을 추진할 예정이다. 특히 2017년에는 스마트홈·가전, 스마트의료, 스마트카, 스마트공장 등 산업별 가이드까지 마련한다는 계획이다.

가트너에 따르면 올해 IoT 보안 지출은 전년대비 23.7% 증가할 것으로 전망된다. 2020년까지 식별된 기업 공격의 25% 이상이 IoT와 관련될 것으로 예상되지만 IoT 보안 예산은 전체의 10%에 그칠 전망이다.

미래창조과학부는 27일 서울 중구 프레스센터에서 'IoT 보안 얼라이언스 제3차 정기회의'를 열고 IoT 공통 보안가이드에 대한 주요 내용을 발표했다.

가이드는 IoT 기기의 설계부터 폐기까지 전 주기에 걸쳐 발생할 수 있는 보안위협에 대응하기 위해 고려해야 하는 기본적인 보안 요구사항을 제시한다. 다만 이번에 나온 보안가이드는 법적 준수 의무사항을 포함하지 않으며 강제력은 없다.

이날 회의에 참석한 손경호 한국인터넷진흥원(KISA) 보안산업단장은 "가이드는 지난해 6월 나온 'IoT 공통보안 7대 원칙'을 구체화한 것"이라며 "IoT 공통 보안 원칙을 기반으로 실제 구현에 활용할 수 있는 다양한 사례와 정보를 제공하는 것이 목적"이라고 말했다.

가이드에 따르면 IoT 제품·서비스 개발자들은 IoT 장치의 저전력, 저성능 특성을 고려해 보안 서비스를 경량화해 구현해야 한다.

또 IoT 제품과 서비스에 대해 서비스 운영 환경에 맞는 접근권한 관리 및 인증, 종단간 통신보안, 데이터 암호화 등의 방안을 제공해야 한다.

IoT 제품과 서비스 수준에 따라 소프트웨어나 하드웨어 보안 기술의 적용 가능성을 검토하고 실제 적용할 때에는 안전성이 검증된 보안기술을 활용해야 한다.

IoT 제품과 서비스가 수집하는 혹은 수집된 개인정보 등 민감 정보를 보호하기 위해선 암호화, 비식별화, 접근관리, 무결성 확보 등을 지원해야 한다.

아울러 보안가이드는 소스코드 구현단계부터 내재될 수 있는 보안 취약점을 사전에 예방하기 위해 IoT 제품과 서비스 개발 시 시큐어코딩을 적용할 것을 권고하고 있다.

개발에 사용되는 다양한 SW에 대한 보안 취약점 점검을 수행하고, 취약점 발생 시 안전한 방법으로 보안 패치를 적용할 수 있어야 한다.

이와 함께 IoT 서비스 수준과 하드웨어 보안성을 고려해 부채널 공격, 역공학 기반 공격 등 다양한 HW 공격에 대응하는 수준별 보안 기법을 적용해야 한다.

IoT 장치 제조사와 서비스 제공자는 IoT 제품과 서비스에서 보안 취약점이 발견되면 이에 대한 분석을 수행하고, 보안 요구사항을 반영한 보안패치를 신속히 배포할 수 있도록 사후조치 방안도 마련해야 한다.

보안 취약점 정보와 해결 방법을 홈페이지, SNS, 이메일 등 다양한 방법으로 사용자에게 알려야 한다.

미래부는 산업별 보안가이드를 마련하기 위해서 관련부처와 협의를 진행중이다. 손경호 단장은 "국민 생활, 안전과 밀접한 분야에 우선해 산업별 보안가이드를 만들 계획"이라고 말했다.

송정수 미래부 정보보호정책관은 "보안가이드를 통해 IoT·융합산업의 지속성장을 위한 기본적인 안전판이 확보됐다"며 "미래부도 최근 급속히 확산되는 ICT 융합산업의 발전 속도에 맞춰 보안성 강화를 위한 정책을 적극적으로 추진해 나갈 예정"이라고 전했다.