The Coverage Gap: Chile's Cyber Disclosure Framework versus the USA, EU and UK
이 논문은 칠레의 사이버 보안 체계에서 발생하는 결정적인 '커버리지 격차(Coverage Gap)'를 식별하며, 미국의 거의 보편적인 준수율과 극명한 대조를 이루는, 지정된 915개 주요 인프라 운영사 중 단 1.7%만이 검증 가능한 취약점 공개 채널을 게시하고 있다는 사실을 밝히고, 이러한 다년간의 규제 지연을 해소하기 위한 4단계 로드맵과 오픈 소스 도구를 제안한다.
원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기
핵심 요약: "가려진 간극 (The Covered Gap)"
칠레가 가장 중요한 건물들(병원, 은행, 발전소, 수도 시스템 등)을 보호하기 위해 거대하고 최첨단 기술이 집약된 요새를 막 구축했다고 상상해 보세요. 이들은 새로운 법(Ley 21.663)과 새로운 보안 관리 기관(ANCI)을 갖추었습니다.
하지만 이 논문은 다음과 같은 단순한 질문을 던집니다: 만약 누군가 이 요새의 벽에서 구멍을 발견한다면, 그들은 주인에게 이를 알리기 위해 누구에게 연락해야 하는지 알고 있을까요?
저자들은 이를 **"가려진 간극(Coverage Gap)"**이라고 부릅니다. 이는 이 건물들이 대중에게 얼마나 잘 보이는지와, *"문제가 발견되면 여기로 메시지를 보내주세요"*라고 적힌 작동 가능한 "방해 금지(Do Not Disturb)" 표지판을 가지고 있는지 사이의 거리입니다.
주요 결과: 침묵하는 요새
연구진은 이 915개의 핵심 조직(OIVs)을 조사했습니다. 그들은 침입을 시도하거나 문을 두드리지 않고, 마치 길을 걸으며 건물의 앞문과 창문을 살펴보는 것과 같은 방식을 사용했습니다.
연구 결과는 다음과 같습니다:
- 초인종이 고장 났습니다: 915개 중 단 16개(약 1.7%)의 조직만이 연구자들에게 버그를 보고하는 방법을 알려주는 작동하는 공공 "방해 금지" 표지판(
security.txt라는 특정 디지털 파일)을 갖추고 있었습니다. - 주요 기업들은 침묵하고 있습니다: 칠레의 4대 주요 은행과 2대 통신사 중 그 누구도 이 표지판을 갖추고 있지 않았습니다.
- 결과: 만약 친절한 연구자가 이 98.3%의 핵심 시스템에서 보안 허점을 발견한다면, 그들은 보고할 곳이 없습니다. 그들은 그냥 발길을 돌리거나, 더 나쁜 경우 그 정보가 범죄자들에게 팔려 나갈 수도 있습니다.
"이메일" 문제: 열려 있는 우편함
논문은 또한 이 조직들이 이메일 주소를 제대로 보호하고 있는지도 확인했습니다. 만약 은행의 이 이메일 주소가 누구나 쉽게 가짜로 만들 수 있는 종이 위에 적혀 있다면 어떨지 상상해 보세요.
- 통계: 이 조직들의 **84%**가 이메일 보안 설정을 잘못 구성(misconfigured)했습니다.
- 비유: 이는 마치 은행이 누구나 복사해서 붙여넣을 수 있는 발신 주소가 적힌 편지를 보내는 것과 같습니다. 이로 인해 사기꾼들이 은행을 사칭하여 사람들을 속이기가 매우 쉬워집니다.
- 비교: 미국, 영국, 네덜란드에서는 거의 **100%**의 정부 및 핵심 시스템이 이 문제를 해결했습니다. 칠레는 이 특정 수정 사항에 있어 이들보다 약 8년 뒤처져 있습니다.
"오래된 소프트웨어" 문제: 녹슨 대문
연구진은 또한 이 조직들이 사용하는 소프트웨어도 살펴보았습니다.
- 통계: 약 **23%**가 "수명 종료(End of Life)"된 소프트웨어를 사용하고 있습니다 (마치 제조사가 10년 전에 부품 생산을 중단한 자동차 모델과 같습니다).
- 위험성: 해커가 그 오래된 소프트웨어를 뚫는 방법을 찾아내더라도, 제조사가 더 이상 지원을 중단했기 때문에 소유자는 이를 고칠 수 있는 패치를 받을 수 없습니다.
칠레와 세계의 비교
저자들은 칠레를 5개국(미국, 영국, EU, 네덜란드, 덴마크)과 비교했습니다.
- 격차: 이 국가들의 정부는 "이메일 보안을 수정하고 버그 보고 주소를 게시하라"는 엄격한 명령(mandate)을 내렸습니다. 그 결과 1~2년 안에 거의 모든 곳이 이를 해결했습니다.
- 칠레의 상황: 칠레는 서류상으로는 법을 갖추고 있지만, 이러한 기술적 세부 사항을 해결하라는 구체적인 명령을 아직 내리지 않았습니다. 저자들은 칠레가 이메일 보안 분야에서는 선두 국가들보다 약 8년, 다른 분야에서는 3년 뒤처져 있다고 말합니다.
제안된 해결책: 간단한 로드맵
이 논문은 새롭고 비싼 슈퍼 시스템을 구축하자고 제안하는 것이 아닙니다. 대신, 다른 나라들이 이미 수행한 것과 유사하게 칠레가 즉시 취할 수 있는 네 가지 간단한 단계를 제안합니다.
- "수정 명령": 보안 기관(ANCI)은 "내년까지 모든 핵심 조직은 이메일 보안을 수정하고 버그 보고 주소를 게시해야 한다"는 간단한 규칙을 발행해야 합니다. (이는 미국이 2017년에 했던 방식입니다.)
- 전화번호부: 누구나 915개 조직에 대한 올바른 버그 보고 이메일 주소를 찾아볼 수 있는 공개 목록을 만듭니다.
- 도움 서비스: 정부는 조직들이 비싼 전문가를 고용하지 않고도 이메일 설정을 확인할 수 있도록 무료 도구를 제공해야 합니다.
- 연례 보고서: 매년 누가 보안을 수정했고 누가 하지 않았는지 보여주는 보고서를 발표합니다. 만약 수정하지 않는다면, 왜 수정하지 않았는지 대중에게 설명해야 합니다.
결론
이 논문은 칠레가 법과 규제 기관은 갖추고 있지만, 이를 실제로 작동하게 할 운영 도구가 부족하다고 결론짓습니다.
현재로서는 친절한 해커가 칠레의 병원이나 은행에서 취약점을 발견하더라도, 소유자에게 알릴 방법이 없을 가능성이 높습니다. "가려진 간극"은 매우 큽니다. 좋은 소식은 해결책이 저렴하고 쉽고, 이미 다른 나라에서 효과가 입증되었다는 점입니다. 저자들은 칠레가 기다리는 것을 멈추고 즉시 이 간극을 메우기 시작해야 한다고 주장합니다. 왜냐하면 다음 대규모 사이버 공격은 바로 그 간극에서 발생할 것이기 때문입니다.
이 논문이 말하지 않는 것
- 이 조직들이 최근에 해킹을 당했다는 것을 의미하는 것이 아닙니다. 단지 현재 문제가 발생했을 때 "연락이 닿지 않는 상태"임을 말하는 것입니다.
- 악의적인 공격자로부터 보호하기 위해 보고서에서 특정 은행이나 병원의 이름을 명시하지 않았습니다.
- 칠레가 전반적으로 "안전하지 않다"고 주장하는 것이 아니라, 문제를 보고하는 시스템이 고장 났다는 것을 의미합니다.
연구 분야의 논문에 파묻히고 계신가요?
연구 키워드에 맞는 최신 논문의 일일 다이제스트를 받아보세요 — 기술 요약 포함, 당신의 언어로.