▲ [사진 = 트러스트키]

연일 사이버범죄가 증가함에 따라, 보안의 새로운 접근방식이 등장하고 있다. 그 중 하나가 바로 ‘제로트러스트’다. 제로트러스트는 현재 기업 핵심 보안전략으로 주목을 받고 있는 패러다임의 변화 중 가장 대표적인 예로 손꼽힌다. 제로트러스트 모델은 쉽게 말해 ‘아무도 믿지 않는다’는 전제 하에, 누군가 시스템망 및 내부데이터에 접근하려 할 때 철저한 신원 검증과 최소한의 권한만을 부여하는 방식이다. 글로벌 기업들 사이에서는 이미 제로트러스트 모델의 중요성을 깨닫고 직접 실천에 옮기고 있다. 코카콜라, 넷플릭스, 구글 등 선두기업들이 제로트러스트 모델을 보안 전략의 핵심으로 전격 채택하며 긍정적인 결과를 얻어내고 있는 것이다. 특히 미국 정부기관에서 다단계 인증, 사용자 모니터링 등 제로트러스트를 기반으로 한 보안 정책을 대대적으로 수립한 영향이 매우 큰 것으로 해석된다. 이 같은 세계적인 흐름에 대한민국 보안시장도 결코 변하지 않을 것만 같았던 변화의 길을 걷기 시작했다. 윤석열정부가 ‘디지털플랫폼정부’를 표방하며 선진기술을 적극적으로 받아들이고 탄탄한 시스템을 구축하기 위한 첫발을 떼기 시작한 것이 바로 좋은 예다.

▲ [사진 = 트러스트키]

보수적 금융권에서 강력한 보안을 꿈꾸다,
역할 강조되는 트러스트키
거두절미하고 표현하자면, 디지털플랫폼정부의 중심에 있는 기술은 바로 FIDO(Fast IDentity Online)다. 이 FIDO를 가장 잘 구현하는 국내 기업은 어디일까. 국내 FIDO의 원천기술사는 바로 국내 보안 팹리스 반도체기업인 eWBM과 자회사 트러스트키가 꼽힌다. 이번 기획지면에서 트러스트키는 올해 금융감독원의 생체인증 인프라 구축 의무화에 대한 의견을 밝히며, 국내 금융권 생체인증 보안시스템 구축에 더욱 전력투구할 것임을 공고히 했다. 트러스트키 이진서 대표는 “최근 제1금융권 중심으로, 생체인증 기술력이 탑재된 FIDO 인증방식에 대한 문의가 쇄도하고 있다”고 말하며 “이는 곧 지난 상반기, 생체정보를 활용한 비대면 본인인증 활성화와 더불어, 은행권 생체인증 도입 의무화의 영향인 것으로 해석된다”고 밝혔다. 이 대표는 “이 같은 규제화로 국내 은행권에서의 FIDO 확산 또한 기대되고 있는 시점이다. 실제로 미국을 비롯한 유럽권, 동남아시아 국가들에선, 제로 트러스트라는 기조 하에 빅테크기업 및 금융권에서 빠르게 FIDO를 도입하고 있다. 현재의 우리나라 역시 그러한 흐름을 감지하고 있는 상황이라 판단되며 국내 다양한 산업 중, 특히 내부 통제 및 보안이 가장 시급한 금융권에서 가장 속도감 있게 생체인증 도입을 추진하고 있다”고 덧붙였다.
eWBM의 트러스트키 솔루션은 이미 지난해부터 국내 시중은행들과 FIDO 보안키 도입을 확정하거나 도입을 전제로 사업을 시작한 바 있다. 즉, 트러스트키 로그인 솔루션이 정부공공기관 기술로 채택되며, 인증서를 FIDO키에 적용시키는 ‘원키 원패스’에 대한 시중은행의 니즈가 잘 맞아떨어진 셈이다. 다시 말해, 몇해 간 금융권과 긴밀히 소통하며 준비했던 보안키 솔루션이 비로소 빛을 발하게 될 시점인 것이다. 트러스트키 관계자는 “올해 자사는 제2금융권 은행들을 대상으로, FIDO 생체인증과 관련된 설명회를 진행한 바 있다. 무엇보다도 국내 생체인증 방식의 확산에 있어, 금융권은 가장 높은 폭발력을 갖고 있다고 생각된다”고 말하며 “금융시장에서 선제적으로 보안인증에 관심을 갖고 투자한다는 것에 대해 매우 고무적으로 생각된다. 그 외 산업 및 공공분야에 있어서도 좀 더 빠르게 확산될 수 있을 거라 본다”고 밝혔다. 지난 몇 년간 트러스트키가 가장 주력해온 부분은 FIDO였다. 제로트러스트를 전면에 내세운 미국 시장과 대비해, 아쉽게도 국내시장은 속도감이 더딘 것 또한 사실이었으나, 앞서 이 대표가 밝혔듯 보수적이었던 금융권에서 강력한 보안을 인지하고, 국내 확산에 앞장을 선다는 것 자체가 트러스트키에겐 매우 의미있는 행보다.

참고로, 일부 시중은행 및 금융관리기관 등에 도입된 바 있는 트러스트키 솔루션은 금융권이 좀 더 안전해질 수 있는 방편인 FIDO 기술의 교두보를 마련했다는 평가를 받아왔으며, 강력한 FIDO 보안키를 발판으로 다양한 산업 분야에서의 높은 활약이 기대되고 있다. 이진서 대표는 “지난 3월 금융보안원에서 발간한 금융권 생체정보 인증·관리 안내서 내용을 살펴보면, 금융회사 등이 생체인증 시스템 구축 시 참고할 수 있도록 대표적 생체인증 시스템 구축방식인 FIDO 방식과 중앙저장방식에 대한 장단점 등을 비교 설명하는 내용이었다. 즉, 민감한 정보들을 다루는 금융권에서만큼은 확실히 FIDO 방식을 채택하라는 지침인 셈이다. 제로트러스트 시스템 구축에 더욱 집중하기 위한 환경 조성이 이뤄지고 있다는 느낌을 강하게 받았다”고 밝혔다. 이어 이 대표는 “이미 금융권에서 FIDO 채택을 한 상황에서, 생체인증 등 여러가지 솔루션 중 트러스트키 솔루션에 대해 보다 호의적인 반응을 이끌어낼 수 있었다. 기업 입장에선 강력한 인증을 제외하더라도 비용 또한 결코 무시할 수 없는 상황에서 값비싼 생체인증 단말기 및 시스템을 입히기 부담스러운 부분이 있다. 좀 더 가볍게 활용할 수 있는 보안키에 전체 시스템을 굳이 뒤집지 않더라도 간단한 방법을 추가활용한 수준에서, 보안을 더욱 강화할 수가 있다는 것이 트러스트키 솔루션의 특징이다”라고 밝혔다.

▲ [사진 = 트러스트키]

안전한 교육 시스템 구축 기대되는
TKL 솔루션
한편, 금융권 이외에도 트러스트키 솔루션의 활약이 기대되는 분야는 바로 교육현장이다. 일례로, 몇 해간 발생했던 시험지 유출 사건은 교육계 사이버보안 관점에서 매우 우려되었던 문제이기도 했다. 전문 해커가 아닌, 온라인을 통해서 해킹방법을 습득한 어린 학생들이 시험지에 직접 접근하여 불법적으로 획득하고, 유출한 사례들이기 때문이다. 트러스트키 양희식 박사는 “지난해 벌어진 대동고 시험지 유출 사건 이후, 전국 각지의 교육청 및 교육기관에서 자사 측으로 많은 요청이 들어왔다”고 기자에게 밝혔다. 지난 대동고 시험지 유출사건은 대규모 공간 재배치 공사가 시작되며, 보안시스템이 제대로 운영되지 않았던 점이 요인으로 꼽힌 바 있으며, 유출을 한 해당 학생이 교사 노트북에 악성코드를 심어 시험지를 빼돌린 것으로 알려졌다. 양 박사는 “지난해 벌어진 대동고 시험지 유출 사건 이후, 전국 각지의 교육청과 깊은 소통을 나눴다. 당연히 사건 이후, 교육정보 유출에 대한 공감대가 있고, 확실한 솔루션을 찾고 계시더라. 심지어 인터넷에 떠돌아다니는 해킹방식(시험지 유출 사건의 참고가 된)을 그대로 시연하며 보여드리기도 했었는데, 이렇게 쉽게 보안이 뚫릴 수 있다는 것에 다들 짐짓 놀랐던 반응이었다”고 밝히며 “시험지 유출과 같은 사건을 방지하기 위해선, 철저한 보안 및 감시 시스템을 도입해야 함이 자명하다. 자사 입장에선 교사가 가장 최초로 로그인하는 입장에서부터 보안키 적용으로 해킹 시도를 사전에 차단해야 한다는 의견이다”고 덧붙였다.

실제로, 대부분의 보안 사고는 패스워드 사용으로 인해 발생되고 있는 것이 현실이다. 패스워드가 해킹에도 취약한 한편, 서비스를 제공하는 입장에서도 사용성을 떨어지게 만드는 요인 중 하나로 꼽히게 되면서, 교육현장 역시 패스워드를 사용하지 않는 방향에 대해 고민이 요구되는 시점이 찾아온 것이다. 양 박사는 “의외로 교육현장에서 빈번히 패스워드를 기재한 포스트잇을, 시야적 노출이 쉬운 환경에 붙여놓았다가 허무하게 해킹으로 이어지는 경우가 많다. 이를 다수의 교육청 기관에서도 이미 공감하고 계시더라. 아무리 비밀번호 관리체계가 잘 되어 있어도, 방심하면 결국 허망하게 뚫리게 되는 것”이라고 밝히며 “실제로 몇몇 기관에 트러스트키 보안키와 시스템을 대책으로 제안하여 긍정적인 반응을 얻었다. 하반기엔 소통 범위를 더욱 넓혀 부산, 전라도, 경상남도, 세종시로 확장하여 보안키 및 보안시스템에 대한 시연과 교류를 이어가는 중이다”라고 전했다. 양 박사에 의하면, 대체적인 반응은 매우 좋다. 특히 한 교육기관의 경우 보안에 대한 인지 수준이 매우 높을 뿐더러, 보다 적극적으로 일선 학교보다 해당 기관에서 먼저 보안시스템을 활용하고 싶어 할 정도로 호응도가 높은 한편, 해당 청에 IDC 또한 마련되어 있어 트러스트키가 직접 어레인지를 맡기로 한 상황이다.

양희식 박사는 “교육부는 그간 OTP 및 패스워드 등을 강화되는 부분에 초점을 맞춰왔지만, 현 시점에선 패스워드를 무조건 강화시킨다는 것이 결국 취약성을 낳게 되는 구조에 닿게 되었다”고 의견을 밝히며 “본 목적인 패스워드 강화와는 반비례하여 정작 업무환경에서 패스워드를 모니터에 붙여놓는 등의 한순간 방심이 최근 이어진 사고로 이어진다는 것, 더불어, 사소한 사고가 더 큰 피해를 낳게 된다는 심각성에 대해 교육계 역시 공감을 하고 있다”고 밝혔다. 이어 양 박사는 “같은 이유로 현장에서 만약에 보안키 등 보안솔루션을 활용하게 되었을 때, 가장 강력한 보안을 직접 체감하게 되리라 생각한다. 모니터링에 대한 니즈를 충족함과 동시에 편리함과 효용성을 함께 갖출 수 있기 때문이다. 특히, 효용성적인 측면에서 감히 자신하고 싶다”고 전하며 “앞서 보안에 대한 인식이 가장 높으며, IDC 코로케이션 환경이 구축되어 있는 교육기관 쪽에 선제적으로 보안솔루션을 먼저 도입하게 될 예정이다. 또한, 선 사례를 레퍼런스로 연내 1~2곳을 추가로 성사시킬 예정이다. 트러스트키의 보안솔루션을 대한민국 교육계에 빠르게 확대시켜 더욱 안전한 교육 시스템을 이루게 할 것”이라고 덧붙였다.

▲ [사진 = 트러스트키]

FIDO를 가장 잘 이행하고 파악하며 잘하는 기업
트러스트키는 지난 8월 말 베트남에서 개최된 FIDO APAC 2023 서밋에서도 높은 평가를 받은 바 있다. 간편터치인증 토큰으로 유명한 미국 유비키(YubiKey)는 ‘보안키와 관련하여 경쟁할 수 있는 유일한 기업은 트러스트키’라는 평가를 내리기도 했다. 그만큼, 글로벌 보안기업들 사이에서 경쟁력 있는 선호 보안키 솔루션으로 각광받고 있는 시점이다.

FIDO 대외협력 파트를 맡고 있는 양희식 박사는 “TKL 솔루션과 관련해선 무엇보다도 유연함을 강조하고 싶다. 일례로 보안이 중요한 금융권에선 인증솔루션들을 사용하고 있지만, 실제로 시스템 덩치도 크고 가격 또한 만만치 않기에, 역으로 자사 쪽으로 문의가 오고 있다. 기존보단 조금 더 가볍게 활용할 수 있는 보안키에 관심을 갖게 된 것이라 생각된다. 결국, 강력한 인증을 제외하더라도 값비싼 비용 또한 결코 무시할 수 없는 상황이 부담스러운 셈”이라며 “만일 기존 패스워드 베이스의 인증솔루션을 사용 중이더라도 충분히 트러스트키와 콜라보가 가능하다는 것이 특징이다. 추가된 형태의 애드온으로도 활용이 가능하다. 즉, 전체 시스템을 굳이 뒤집지 않더라도 간단한 방법을 추가활용한 수준에서, 보안을 더욱 강화할 수가 있다”고 설명했다.

이진서 대표는 제로트러스트 구축 방안에 있어, 보다 국가의 전방위적인 협력이 중요할 것이라 강조했다. 이 대표는 “지난 FIDO APAC 2023 서밋에서 느꼈던 점은 오로지 안전성 만이 이슈가 아닌, 편리성과 안전성이 병행해서 가야 한다는 것이다. 미국 유비코의 경우엔, 지난해에만 보안키를 약 천 만개 이상 판매했다. 한 국가에서 전방위적으로 패스워드 리스를 지향하며 높은 호응도를 얻고 있는 것이다. 가까운 동남아시아의 경우에도 이미 글로벌기업들과 손잡고 제로 트러스트로 향하는 중”이라고 말하며 “우리나라 역시, 정부 측에서부터 사이버안보가 위협받으면 경제와 금융에 심각한 교란이 생길 수 있다며 즉각 대응하겠다고 발표했지만, 업계인으로서 아직 제로트러스트로 가는 길은 험난하기만 한 것이 사실”이라고 밝혔다. 이어 “국내 보안업계에 대해서도 보다 국가적인 주목과 지원이 병행되길 바란다. 디지털플랫폼정부 추진에 본격적인 시동을 건 상황인 만큼 선진기술을 충분히 검토하며 목소리가 나와줬으면 한다. 대한민국 보안솔루션이 글로벌 시장에서 더욱 폭을 넓히기 위해선 자국 보안브랜드를 푸시해줄 수 있는 활동들이 많아져야 한다”고 밝히며 “트러스트키는 적어도 국내에선 FIDO를 가장 잘 이행하고 파악하며 잘하는 기업으로 발전해가는 중이다. 결국 제로트러스트로 가야 하는 흐름 속에서 보안키 대중화 및 시스템 구축에 막중한 책임을 갖고 활동해나갈 것”이라고 덧붙였다. 한편, K방산에 대한 높은 관심 속에 지난해 연말부터 국책연구기관과 손잡고, 순차적으로 국방보안 사업수행 프로젝트를 진행 중인 트러스트키는 빠르면 올해 하반기, 국방부 납품을 위한 보안인증 제품 조달등록을 마무리할 예정이다. 또한, 자사의 로라(LoRa) 기반 기술로 미국 스마트팜 솔루션 시장에도 진출한 트러스트키는 다음 달 완료 예정인 UL인증을 마무리하고 본격적인 수주에 들어갈 계획이며, 초도 물량은 적지 않은 물량이 될 것으로 알려졌다.