허술한 기업보안, 특히 중소기업 보안: 괜히 "ㅈ소기업"소리듣는 게 아니죠

북한 무기 연구소는 한국의 정부연구소와 기업체에 있었다는..
그리고 그 기관과 회사들이 쓴 개발비는 결국 우리 정부 국방예산에서 나갔죠.
북한놈들이 이상하게 무기개발이 빨랐던 이유는 여기에 있었다는 이야기입니다.

기가 막힐 일입니다.


기사 제목은 단독이 붙었지만, 내용은 최근 몇 년 간 북한에 털린 방산업체 기밀유출사건들을 종합한 것입니다.


北, 南 방산 핵심부품 기술 빼가… 정보당국 “보안 취약 중소업체 노려
항공-전차-위성-함정순 기술 훔쳐… 탈취기술 결합땐 더 치명적 위협”
천무-천궁 등 부품 생산업체 해킹
악성코드 활용 수년치 정보 탈취
또다른 10여곳 해킹 조직도 적발
美, 北사이버 범죄 대응 수위 높여
- 동아일보

https://naver.me/GqNykTro

[단독]北, 올초 국내 미사일-장갑차 핵심부품 기술 빼갔다

장갑차·미사일·레이더 등 우리 군 주요 무기체계의 핵심 부품을 생산하는 국내 방산업체의 기술 상당수가 올해 초 북한에 탈취당한 것으로 (......) 북한은 악성코드 등을 활용하는 방식으로 수년 치에 달하는 부품 관련 정보를 이 업체로부터 탈취 (......)

작은 회사라지만, 예를 들어 인체 혈관계 도면을 알면 인체 구조를 짐작할 수 있을테니..

핵심 무기의 완제품을 설계·생산하는 대형 방산업체뿐 아니라 주요 부품들을 생산하는 중소기업까지 (......) 대형 방산업체의 경우 그간 다수의 해킹 공격과 기술 유출 경험을 토대로 내부망과 외부망을 분리하거나 인가되지 않은 인터넷주소(IP주소)의 접속을 차단하는 등 보안 조치를 강화 (......) 상대적으로 영세한 중소 업체들은 보안에 집중 투자를 하기 어려운 형편 (......) “북한의 사이버 공격 역량은 이제 대형 방산업체들의 보안도 뚫을 만큼 집요하고 강력하다”(......) “중소 업체들의 경우 망 분리도 제대로 돼 있지 않은 경우도 상당수”

그냥 동네 맛집 취급입니다. ㅡ..ㅡ
그것도 돈도 안 내고 먹고 가는..

북한은 관영 매체를 통해 해군력 강화를 언급한 (......) 이후 국내 조선업체를 해킹해 도면과 설계 자료를 탈취 (......) 무인기 생산을 강화하라고 지시한 뒤엔 국내외 기업들의 무인기 엔진 자료를 해킹 (......) “최근 4년간 북한은 항공 분야에서 가장 많은 기술을 절취했고 전차, 위성, 함정 순으로 해킹 공격을 감행했다” (.....) 북한은 해킹으로 탈취한 방산 기술들을 자신들의 무기체계에 실제 적극적으로 적용 (......) 2016년 국내 방산업체에서 탈취한 콜드론치 기술 (......) 우리 정보 당국은 북한이 이 기술을 적용해 잠수함발사탄도미사일(SLBM) 개발 기간을 대폭 단축한 것으로 (......)

마치 시골 농산물 절도하듯이.. 어휴.

동아일보 기사였습니다.
https://naver.me/GqNykTro

[단독]北, 올초 국내 미사일-장갑차 핵심부품 기술 빼갔다

* 여담.

보안 노무 산업안전 이런 데 돈못쓰겠으니 허술해도 봐달라? 무슨 벼슬도 아니고, 저렇게까지 해버리면 책임자와 사장, 기관장 일가를 멍석말이해야 합니다. 중소기업이든 대기업이든 정부기관이든 말이죠.

설령 매년 10조씩 투자해봐야 이놈들이 저렇게 구멍내버리면 격차를 더 벌리기도 어렵고, 무엇보다 공격시도를 조기에 차단할 수가 없는 겁니다. 원래 공격보다 방어에 돈드는데 우리 돈으로 그놈들 무기개발을 도와주는 꼴이란.. 젠장.


보안이 요구되는 프로세스에 외국인노동자를 고용하지 못하게 하거나 임금체불못하게 하는 제도는 인간을 통한 간첩질(산업스파이포함)을 막을 수 있습니다. 거기 신경쓰는 만큼, 기업 전산 보안도 사업을 발주하는 과정에서 정부에서 조건을 달아 챙겨야할 것 같습니다.
그리고 방산업계는 특히 동종업계 유일한 회사인 경우가 있어 위반해도 불이익을 제대로 줄 수 없는 경우도 있으니, 경영권이나 지분 압류까지 포함해 강력한 처벌이 가능하도록 해서 보안에 투자하라는 돈빼서 딴 데 못 쓰게 강제해야겠습니다.
어쩌면, 능력이 없는 중소기업을 위해서는 사업발주할 때 보안예산을 더 챙겨주는 것보다는 차라리 방위사업청과 국가정보원이 대형 IT서비스회사들에게 의뢰해 그런 회사들의 기업보안체계를 맡기는 것도 알아봐야 할 것 같습니다. 능력없는 데 압박만 하면 스트레스만 받다 알고도 위반하거나 엉뚱한 사건이 터질 수 있을테니.