'IoT 보안' 우려 현실화…1분기 취약점 신고건 최다

KISA 집계 IoT 취약점 건수, 애플리케이션의 '두 배'…정부, '보안 내재화'·'보안인증제' 추진

/사진제공=한국인터넷진흥원

사물인터넷(IoT)으로 인한 정보 유출 위협이 현실로 다가오고 있다.

28일 한국인터넷진흥원(KISA)이 집계한 지난 1분기 신고포상제 통계에 따르면 전체 취약점 접수 건수 696건 중 IoT 분야가 362건(52%)으로 가장 많은 부분을 차지했다. 이는 두 번째로 취약점 신고가 많이 된 애플리케이션(21%)의 두 배를 웃도는 것이다.

IoT 취약점이 가장 많이 발견되는 기기는 공유기(57%)였고 IP카메라(17%), 네트워크스토리지(9%) 등이 뒤를 이었다. IoT 컨트롤러 취약점도 이번에 처음으로 접수됐다.

공유기의 경우 취약점을 해킹하는 것이라기보다 기기에 기본으로 적용된 비밀번호를 바꾸지 않은 기기를 노리는 방식이 주를 이뤘다는 설명이다.

IoT는 센서와 통신 기능이 내장된 각종 사물이 인터넷으로 연결된다는 점 때문에 해킹 위협에 늘 노출돼 있다. 가트너에 따르면 IoT 기기 수는 올해 84억대, 2020년에는 204억대에 이를 전망이다.

IoT 보안시장 규모도 급속히 확대 중이다. KT경제경영연구소는 전 세계 IoT 보안시장이 2020년 이후 빠른 속도로 증가할 것으로 내다봤다. 이에 따른 IoT 공격으로 인한 피해액도 2015년 13조4000억원에서 2020년 17조7000억원으로 늘어날 것이란 관측이다.

이에 미국이나 유럽 정부 등은 IoT를 중심에 둔 보안정책을 활발히 논의 중이다. 유럽위원회(EC)는 '유럽 IoT 연구단'을 통해 IoT와 관련된 전반적인 기술연구를 진행하고 있다. 미국은 IoT를 중심으로 한 보안 정책이나 법 제도는 아직 없지만 특정 분야에 대한 사이버보안 강화 정책을 지속적으로 추진 중이다. 중국도 'IoT 12차 5개년 계획'을 세우고 보안기술 개발에 힘 쓰고 있으며 일본 역시 IoT 컨소시엄을 주축으로 IoT 보안위협에 대비하는 정책을 펴고 있다.

우리 정부도 2009년 IoT 분야 경쟁력 강화 및 서비스 촉진을 위한 기본계획을 수립하고 2015년 'IoT 공통 보안 7대 원칙'을, 2016년 'IoT 공통 보안 가이드라인'을 발표했다. 특히 제품과 서비스 생산 전 단계에서 보안을 내재화하는 방안에 힘을 쏟고 있다. 중장기적으로는 소비자가 안심하고 IoT 제품을 쓸 수 있도록 국제표준에 기반을 둔 IoT 보안 인증제도를 도입할 계획이다. 보안 인증제도는 자율인증제로 시작해 차츰 의무화할 예정이다.


KISA 관계자는 "궁극적으로 국내 업체들이 해외시장을 공략해야 한다는 점에서 미국, 영국 등과 상호인증체계를 수립, 우리나라에서 제조한 IoT 제품이 세계에서 통용될 수 있게 하고자 한다"며 "IoT 산업 발전과 함께 이용자 보안을 강화할 수 있도록 정부, 제조사 등과의 지속적으로 논의해 나갈 것"이라고 말했다.