유럽연합(EU)의 사이버 복원력 법(CRA) 및 무선기기지침(CE RED) 등 글로벌 보안 규제가 제품 자체의 보안을 강제하는 방향으로 급변하고 있다. 사물인터넷(IoT)과 무선기기의 폭발적 증가로 '공격 표면'이 넓어지는 가운데, 소프트웨어(SW) 테스팅 전문 기업 와이즈스톤이 임직원의 선제적인 보안 테스팅 역량 강화를 위해 팔을 걷어붙였다.

와이즈스톤은 최근 본사 연구원들의 기술적 통찰력을 높이고 품질 검증 역량을 고도화하기 위한 ‘사내 테크 세미나’를 성황리에 마쳤다고 밝혔다.
이번 지식 공유 세션은 ‘사이버보안-무결성과 진위성 검증’을 주제로 진행됐다. 발표를 맡은 박성혁 주임 연구원은 “실무 현장에서 ‘데이터를 암호화(기밀성)했으니 변조(무결성)도 막을 수 있다’고 오해하는 경우가 빈번하다”며, 암호화와 별개로 데이터의 변경을 탐지하고 출처를 증명하는 기술에 대한 명확한 인지가 테스팅의 출발점임을 강조하며 발표를 시작했다.

◇ 환경에 맞춘 유연한 ‘무결성’ 방어 전략 모색=이날 세미나에서는 데이터가 전송 및 저장 중 변조되지 않았음을 확인하는 '무결성' 확보 방안이 집중적으로 논의됐다.
사내 발표 내용에 따르면, 우발적인 통신 오류를 잡아내는 단순 데이터 검사 방식은 공격자의 의도적인 조작 앞에서는 한계가 뚜렷하다. 이에 실질적인 변조 방어를 위해 자원이 풍부한 서버 환경과 제약이 많은 임베디드·IoT 기기 등 각각의 실무 환경을 철저히 고려해야 한다는 점이 강조됐다.
연구원들은 시스템 부하를 최소화하면서도 보안성을 유지할 수 있도록, 기존 환경에 구축된 다양한 암호학적 검증 메커니즘을 유연하게 취사선택하고 융합하는 효율적인 설계 방안들을 실무적 대안으로 활발히 다뤘다.

◇ 통신 상대부터 실행 코드까지… ‘진위성’ 검증의 다각화=데이터나 통신 상대가 정당한 출처인지 확인하는 '진위성' 검증에 대해서도 대상과 환경에 따른 맞춤형 접근법이 모색됐다.
공개키 암호와 인증 체계를 근간으로 하되, 기기의 연산 및 저장 부담을 고려하여 경량화된 보안 알고리즘을 도입하는 등 현장 적용을 고려한 기술적 통찰이 공유됐다. 이와 함께 위장 공격을 차단하기 위한 네트워크 통신 구간의 인증부터, 기기 구동 단계에서 승인된 소프트웨어만 실행되도록 강제하는 실행 코드 검증까지 진위성을 확보하는 다각적이고 체계적인 방안들이 논의되며 참석자들의 큰 호응을 얻었다.

와이즈스톤 관계자는 “이번 세미나에서 다뤄진 내용들은 특정 보안 기술이 절대적인 정답이라는 확정적 선언이라기보다, 자산의 종류와 위협 수준, 적용 환경에 따라 최적의 방식을 유연하게 판별해야 한다는 실무적 통찰을 나눈 자리”라고 설명했다.
이어 “무결성과 진위성은 눈에 띄게 화려한 기술은 아니지만, 이 기반이 무너지면 그 위의 어떠한 보안 기능도 신뢰할 수 없게 된다”며, “앞으로도 현장감 있는 사내 테크 세미나를 지속적으로 개최하여 임직원들의 전문성을 내재화하고, 고객사에 한 차원 높은 안전한 테스팅 서비스를 제공하는 굳건한 토대를 다져나가겠다”고 덧붙였다.