ARM, 보안보다 출시 시간 우선순위 책정에 따른 높은 대가

ARM, IoT 보안 부실 문제 심각… "보안 부채" 쌓이는 기업들

[서울=뉴스핌] ARM은 최근 발표한 보고서를 통해 사물인터넷(IoT) 기기 보안에 대한 기업들의 안일한 태도가 심각한 '보안 부채(security debt)'를 야기하고 있다고 지적했습니다. 많은 기업들이 출시 시점과 비용 절감을 우선시하며 제품의 기능 개발에만 집중하고, 지속적인 관리 및 보안 강화에는 소홀한 결과, 장기적으로는 더 큰 손실을 초래하고 있다는 분석입니다.

보고서에 따르면, 기업들은 IoT 솔루션의 보안 투자와 시장 출시 시점 연장 또는 설계 복잡성 증가 사이에서 전자를 택하는 경우가 많습니다. 이는 단기적인 이익을 위해 장기적인 위험을 안고 가는 행태로, 시간이 지남에 따라 기기 및 서비스는 현재 표준에서 멀어지고 보안 취약점 발견 및 해결 속도를 따라가지 못하게 됩니다.

특히, 지원 중단(orphaned)되거나 지원이 종료된 기기는 최종 사용자에게 피해를 주고 브랜드 신뢰도를 하락시켜 결국 기업의 수익 감소로 이어지는 악순환을 반복합니다.

ARM은 "보안은 선택이 아니다"라며, 명확한 기기 관리 접근 권한과 수명 주기 종료(end-of-life)에 대한 계약 지원을 통해 기업과 IoT 지원 기업이 소유권 이전, 구성 변경, 기기 방치로 인한 보안 위험 발생을 방지할 수 있다고 강조했습니다. 또한, 기기의 보안 노출 현황을 정기적이고 일관되게 파악하는 것은 소비자에게 안심을 주고 기기 폐기까지의 명확한 경로를 제공한다고 덧붙였습니다.

하지만 소비자 신뢰도는 여전히 낮은 수준입니다. ARM의 '2020 Predictions Report'에 따르면, IoT 솔루션 보안에 대해 응답자의 4분의 1 미만이 기술 기업들이 충분히 노력하고 있다고 느끼는 것으로 나타났습니다. 소비자들이 진정으로 안전한 기기에 더 많은 비용을 지불할 의향이 있음에도 불구하고(응답자의 3분의 2), 여전히 엄격한 보안 요건을 충족하지 못하는 기기들이 시장에 출시되고 있다는 지적입니다.

이러한 문제점을 조명하기 위해 ARM은 IoT 보안 전문가이자 Copper Horse Ltd의 설립자인 David Rogers MBE에게 의뢰하여 'Securing IoT Solutions by Design'이라는 백서를 발표했습니다. 이 백서는 GSMA 사기 및 보안 그룹 의장, 사물인터넷 보안 재단(IoT Security Foundation) 이사회 임원을 역임하고 사이버 보안 공로로 MBE를 수상한 David Rogers가 IoT 솔루션 보안 설계에 대한 객관적인 가이드를 제공합니다.

백서에서 제시된 주요 문제점들은 다음과 같습니다.

보안 부채: 기기를 안전하게 보호하고 싶지만 방법을 모르는 기업들이 많습니다. 시스템 아키텍트, 운영 임원, 제품 관리자, 개발자들은 기기 관리 플랫폼의 중요성을 인지하지만, 왜 중요한지, 어떻게 안전하고 효율적이며 확장 가능한 방식으로 접근해야 하는지에 대한 이해는 부족합니다.

단순한 해킹의 위협: 기기 해킹은 점점 더 빈번해지고 있으며, 일부 공격은 놀라울 정도로 단순합니다. 반면, 다양한 기기 유형을 보호하는 것은 쉽지 않으며, 기업의 책임은 판매 시점을 넘어 기기의 전체 수명 주기에 걸쳐 지속됩니다.

다양한 기기 유형을 위한 단일 표준: 백서는 다양한 산업과 IoT 솔루션에서 채택될 균질화된 표준의 등장을 예측합니다. ETSI 기술 사양 TS 103.645(소비자 사물인터넷 사이버 보안)는 소비자 제품을 위해 설계되었지만, 모든 IoT 배포를 보호할 수 있는 원칙들을 통합하고 있습니다.

위험 없는 더 많은 것을 원함: 전 세계 정부와 소비자들은 기업들이 IoT 솔루션 보안에 충분히 노력하지 않고 있다고 인식하고 있으며, 정부는 기기 규모가 기하급수적으로 증가함에 따라 위험을 완화하기 위한 규제 및 인증 제도를 준비하고 있습니다. Copper Horse는 2025년 이전에 느슨한 보안을 이유로 입법자 또는 소비자 자체에 의해 거부되는 첫 번째 기기가 나올 가능성이 매우 높다고 예측합니다.

기본조차 지키지 못하는 IoT 제품들: 최근 DAB 라디오 100만 대 이상에서 불필요하고 오래된 프로토콜인 텔넷이 공격에 노출되어 있거나, 60만 대 이상의 GPS 추적기가 '123456'이라는 동일한 기본 비밀번호로 작동하는 사례가 있었습니다. 기기가 해킹되고 있다는 사실이나 시도조차 인지하지 못하는 것은 태만이며, 이러한 기기를 관리하는 기능이 올바르게 구현되지 않으면 또 다른 보안 허점이 될 수 있습니다.

가장 중요하지만 어려운 과제: IoT 솔루션 보안에서 기업이 달성하기 가장 어렵지만 중요한 과제는 기기 프로비저닝 및 IoT 시스템 등록입니다. 이는 원격으로, 간단하지만 안전한 방식으로 수행하는 것이 가장 좋습니다. 고객의 자체 등록이나 다른 회사 또는 유지보수 엔지니어의 시운전 프로세스를 통해 프로비저닝이 이루어질 수 있습니다.

매우 많은 기업, 매우 적은 접점: Copper Horse가 2018년 IoT Security Foundation을 대신하여 수행한 연구에 따르면, IoT 기기를 배포하는 기업이 증가하고 있음에도 불구하고, 보안 연구자들이 기기와 안전하게 상호 작용하거나 관리 또는 업데이트할 수 있는 명확한 방법을 가진 IoT 기업은 10% 미만에 불과했습니다. 이는 대규모 침해 발생 시 사용자 및 제조업체 모두를 노출시키는 결과를 초래합니다.

백서는 개발 중 시스템의 장기적인 보안을 저해하는 무의식적인 결정이나, 출시 후 지원이 거의 또는 전혀 제공되지 않아 안전한 출시 후 수명 주기를 훼손하는 방식에 대해서도 상세히 설명합니다.

ARM은 Copper Horse의 'Securing IoT Solutions by Design' 백서를 통해 기업들이 확장성, 보안성, 수명 주기를 갖춘 기기 생태계를 구축하면서 설계 단계부터 안전한 기기 수명 주기를 개발하는 방법을 배울 수 있다고 안내했습니다.