MITRE CTO, 중국이 3년 안에 미국 인프라를 공격할 것으로 예상

미국은 산업 제어 시스템을 네트워크에서 분리하는 방법을 빨리 찾아야 한다고 국방 R&D 비영리 단체의 최고 책임자는 말했다.

MITRE 최고 기술 책임자 찰스 클랜시는 2019년부터 정보 커뮤니티를 위한 비영리 정부 R&D 대기업의 기술 및 혁신 전략을 이끌며 사이버 보안과 기술이 교차하는 여러 주제에 대한 전문가가 되었다.

클랜시는 2월 6일 하원 패널에서 해커로부터 수도 시스템 보안에 관한 증언을 한 후 최근 미국 사이버 보안 뉴스 헤드라인과 주요 인프라에 대한 위협에 대해 Defense One 자매지인 Nextgov/FCW와 이야기를 나니다. 이 인터뷰는 길이와 명확성을 위해 편집되었다.

Nextgov/FCW: 오늘 상수도 시스템 보안 청문회를 어떻게 준비했는지, 그리고 청문회에서 얻은 주요 시사점에 대해 말씀해 주세요. 

클랜시: 청문회를 앞두고 다수당과 소수당 의원들을 만나 그들의 목표를 파악했습니다. 물론 MITRE에는 이 분야의 다양한 후원자가 있기 때문에 이들과 협력하여 각 분야 전반에 걸친 정부 전체의 견해를 대변할 수 있도록 노력했습니다.

저의 중요한 메시지는 제가 개회사에서 말씀드린 것입니다. 변두리에 있는 이러한 많은 정책 수정은 우리가 직면한 위협의 규모를 다루지 못할 것입니다. 따라서 국가를 대상으로 한 괴롭힘 캠페인에 계속 맞서 싸우고 싶다면... 사람들이 이야기하는 해결책도 괜찮을 수 있지만, 충분한 방송 시간을 얻지 못한 제가 전달하고 싶은 큰 요점은 위협이 실제로 변했다는 것입니다.

중국이 우리의 핵심 인프라에 대한 전면적인 공격을 감행하기 전까지 3년 정도는 이 문제를 해결해야 합니다. 우리는 중국의 대규모 공격에 앞서 우리의 운영 기술 시스템을 정보 기술 시스템과 분리할 수 있도록 훈련하고 준비해야 할 것입니다.

Nextgov/FCW: 작년에 EPA는 상수도 시스템 운영자에게 위생 조사를 수행할 때 사이버 방어를 평가하도록 명령하는 메모를 철회했습니다. 이것이 올바른 조치였나요?

클랜시: 업계 대표들이 반발한 것은 놀라운 일이 아닙니다. 하지만 업계가 여전히 사이버 보안 규정을 포함하는 해결책을 찾는 데 관심이 있다는 사실에 마음이 든든합니다. 한 가지 제안은 EPA가 비정부기구 역할을 하는 [북미 전기 신뢰성 공사]와 유사한 기관을 관리하는 접근 방식입니다.

Nextgov/FCW: 지난주 미국은 중국과 연계된 볼트 타이푼 해커에 대한 공격에 나섰다고 밝혔습니다. 이에 대한 대응책은 무엇인가요?

클랜시: 훌륭했다고 생각합니다. 지난주 이란에서 보았듯이 미국의 중요 인프라에 대한 사이버 공격에 대한 비례적인 대응이 제재였다면 매우 강력한 신호를 보냈는지 모르겠습니다. 제재와 다른 대응 수단을 통해 우리가 해온 모든 일들이 적들의 속도를 늦추지 못하고 있으며 적들이 두 번 생각하게 만들지 못하고 있습니다.

해커에 대한 억제 효과를 얻으려면 개별 해커 그룹과 그들의 인프라에 대한 공격으로 대응을 강화해야 한다고 생각합니다. 볼트 타이푼의 경우가 좋은 예입니다.

Nextgov/FCW: 작년에는 기록적인 랜섬웨어 활동이 있었습니다. 백악관은 각국 정부에 몸값을 지불하지 않겠다고 서약할 것을 요청하고 있습니다. 동의하시나요?

Clancy: 100% 동의합니다. 이에 영향을 미칠 수 있는 가장 좋은 방법은 보험사와 협력하는 것이라고 생각합니다. 보험사들이 몸값을 지불할 의향은 없지만 비용이 조금 더 들더라도 중재 비용을 지불할 의향이 있다면 몸값 지불에 대한 흐름을 바꿀 수 있다고 생각합니다. 

Nextgov/FCW: 국무부는 스파이웨어 남용과 관련된 사람들의 비자를 제한할 것이라고 밝혔습니다. 구글은 이번 주에 민간 부문이 스파이웨어 활동에 큰 영향력을 행사하고 있다고 말했습니다. 이에 대해 어떻게 생각하시나요?

클랜시: 저희는 도구 상자에 있는 모든 도구를 사용할 것입니다. 제재는 도구 중 하나이지만, 이것이 유일한 도구는 아니라는 점을 인식해야 한다고 생각합니다. 저는 이러한 스파이 활동 및 사이버 기업과 관련된 개인에 대한 제재를 확실히 지지합니다.

법적 조치를 취하는 데 사용할 수 있는 보다 전통적인 기반의 법 집행 메커니즘이 있다고 생각합니다. 예를 들어, 스파이웨어 배후에 있는 행위자와 관련된 개인을 추적할 수도 있고, 스파이웨어를 호스팅하는 국가를 추적할 수도 있고, 공격을 위해 활용하는 IT 인프라를 추적할 수도 있습니다.

Nextgov/FCW: 바이든 행정부는 대통령이 SEC 사이버 사고 공개 규칙을 취소하려는 노력에 거부권을 행사하지 않을 것이라고 밝혔습니다. 이에 대해 어떻게 생각하시나요?

클랜시: 투명성을 위해 사람들이 보안 인프라를 배포하고 운영하도록 시장 기반 인센티브를 제공하는 데 도움이 될 것이라고 생각합니다. 제가 본 공개 사례에 따르면, 해커가 [기업을] 악용하는 데 도움이 될 만한 특별한 기술 데이터는 보이지 않습니다.

Nextgov/FCW: FCC는 지난달 인공지능으로 생성된 바이든 로보콜과 연관된 것으로 추정되는 한 통신 사업자에게 중단 요청 서한을 보냈습니다. 이는 선거 보안 상태에 대해 무엇을 말하나요?

클랜시: 로보콜은 여전히 우리 통신 인프라의 고질적인 문제입니다. 지난 몇 년 동안 통화 기록에 디지털 서명을 제공하는 STIR/SHAKEN 프로토콜을 배포한 선거관리위원회의 노력에 박수를 보냅니다. 이번 선거 주기가 다가오면서 제너레이티브 AI가 여러 가지 흥미로운 방식으로 활용될 것이라고 생각합니다. 기존의 선전 캠페인에 도움을 줄 수 있을 뿐 아니라, 우리가 이 문제를 해결하려면 그 근원을 파악하고 AI 배후에 있는 선동가에게 책임을 물을 수 있는 것이 내년을 위한 최선의 전략이라고 생각합니다.