[특별 기고] 가상자산사업자를 위한 ISMS 개편과 암호키 관리 중요성 증대

2020년 11월, 과학기술정보통신부(이하 과기부)는 ISMS(정보보호 및 개인정보보호 관리체계)를 개편하였다. 주요 개편내용은 크게 두 가지로 가상자산사업자에 대한 심사 기준 강화와 중소기업용 인증체계 마련이 그것이다. ISMS가 이렇게 개편되는 까닭은 무엇일까?

결론부터 말하자면 가상자산사업자에 대한 법적 규제를 두기 위함이다. 근래까지 가상자산은 익명성의 특성 때문에 자금세탁이나 범죄 등에 악용되어 온 것이 사실이며 이를 근절하기 위해 작년 6월 FATF(국제자금세탁방지기구)는 가상자산 및 가상자산사업자에 대한 지침서(클릭)를 발표하면서 각국이 이들 가상자산사업자들에 대한 자금세탁방지 체계를 구축해야 한다고 명시했다.

이에 우리나라도 동참하여 지난해 3월 특정 금융거래정보의 보고 및 이용 등에 관한 법률(이하 특금법)이 국회 본회의를 통과하였다. 특금법에는 가상자산사업자에 신고의무를 부과하였는데 ISMS 구축 및 실명확인입출금계정 사용을 신고요건으로 두었다.

◈ 가상자산거래 서비스 이용자 보호 위해 ISMS 개편...암호키 관리가 핵심

ISMS 구축 강제는 가산자산사업자를 제도권으로 두기 위한 기본 취지가 담겨있지만 더욱 중요한 것은 사이버 위협으로부터 서비스 이용자의 자산을 보호하기 위한 최소한의 규제로써의 의미가 더욱 크다. 또한 실명확인출금계정 사용은 자금세탁 등 범죄 악용 방지에 방점이 있다.

이 두 요건을 갖추지 못한다면 신고가 수리되지 않는다. 하지만 ISMS 구축과 관련해서는 그 실효성에 대한 의문이 적지 않았다. 기존 ISMS는 소수 관리자에 의한 통제만을 기반으로 하고 있어 분산원장을 관리하는 가산자산사업자에 대한 고려가 전혀 되어있지 않았기 때문이다.

이에 과기정통부는 가상자산사업자에 대한 고려가 되어있지 않던 기존 ISMS를 개편하여 가상자산사업자에 특화된 신규 세부항목들을 추가한 것이다. 이번에 추가된 신규 심사 세부항목은 지갑 암호키, 전산원장 관리, 비인가자 이체탐지 등 총 56개이며 이 중 주목해 볼만한 항목은 보호대책요구사항 중 가장 많은 5개의 세부항목이 추가된 암호키 관리 부분이다. 새로 추가된 암호키 세부항목은 아래와 같다.

가상자산거래소에 있어서 암호키 관리는 사용자 자산과 직결되는 부분이라 관리의 중요성이 무엇보다도 높으며 따라서 이번에 개편된 추가 항목들도 위와 같이 많은 내용을 담고 있다. 실제로 그동안 발생되었던 크고 작은 암호화폐 해킹사고는 블록체인 자체의 취약성이 아닌 허술한 암호키 관리에 의해 발생된 것이 대부분이었다. 암호키 관리 부분의 신규 항목들을 살펴보면 그 주요 내용은 월렛 개인키의 유출 방지 및 사용 권한 그리고 안전한 백업 복구에 대한 통제 방안을 다루고 있다.

이러한 암호키 보호 및 관리 요건 사항들을 완전히 구현하기란 사실 쉬운 것이 아니다. 단순히 정책을 정의해서 끝나는 것이 아니라 기술적인 부분에서 앞에서 정의된 정책의 시행을 보장할 수 있어야 한다. 또한 기술적인 부분에서 암호화키 관리는 사실 암호화 연산을 담당하는 암호화 모듈과 떼어놓을 수 없는 관계이며 암호화 모듈 구현의 기술 난이도는 매우 높은 편에 속한다.

◈ HSM, 암호키 관리에 대한 많은 기능 제공…도입 확대 전망

따라서 보통 암호키 관리 부분은 전문 외부 솔루션을 도입하여 사용하는데 특히 어플라이언스 형태의 HSM(하드웨어 보안 모듈)을 많이 도입하여 사용하는 추세이다. HSM은 물리적으로 독립된 어플라이언스 형태의 하드웨어 보안 모듈로써 암호키 관리에 대한 많은 기능들을 내장하고 있다.

특히 암호키 사용 권한/생성/백업/유출 방지 등에 대한 평가 기준은 이미 국제표준(ISO 19790:2007 및 ISO 24759:2007)이 제정되어 있으며 HSM은 기본적으로 이러한 국제표준을 따르는 암호모듈평가 프로그램 중 대표격인 미국 NIST FIPS 140-2 인증의 레벨2 이상을 획득하고 있다. 따라서 기업은 HSM을 도입하여 운용하는 것만으로도 암호키 관리 요건의 상당 부분을 간단히 만족시킬 수 있으며 동시에 보안적으로도 가장 안전한 키 관리 방안을 갖추게 된다.

이러한 HSM의 규제 준수의 이점은 예전부터 보안 운영자들에게 매우 매력적으로 다가왔으며 암호키 관련 규제 준수에 어려움을 느끼던 많은 기업들 특히 은행과 같은 금융 업체들은 실제로 사실상 필수적으로 HSM을 도입하여 운용 중에 있다. 가상자산사업자도 마찬가지로 HSM을 도입하여 암호키 관련 심사 항목들은 상당부분 간편하게 만족시킬 수 있을 것이라 사료된다. 실제로 이미 많은 가상자산사업자들이 서비스 초기부터 HSM을 도입 운영 하고 있다.

더욱이 이번 새로 추가된 ISMS의 암호키 관리 세부항목들은 HSM이 기존 보다 더욱 강력히 작용될 수 있어 HSM의 도입 및 운영이 더욱 확대될 것으로 보인다. ISMS 신규 확인사항 중 “개인키 접근 권한 자에 의한 유출 및 권한 오남용 방지 대책”과 “월렛의 개인키 보안강화를 위한 MFA 등의 추가 인증수단을 적용하고 있는가” 항목에서 특히 그렇다.

전자는 권한을 가진 내부 공격자에 대한 대응방안을 요구하는 내용인데 이 부분은 단순히 HSM이나 또는 다른 키 관리 솔루션을 사용해서 해결될 수 없다. 물리적인 관리감독을 수행하여 내부자 위협을 경감할 수는 있지만 이는 어디까지나 보완책이지 근본적인 해결책은 되지 못한다.

◈ HSM, 블록체인 및 CBDC 생태계 보호에 중요한 역할 담당

이를 해결하기 위해서는 기술적으로 방지할 수 있어야 하는데 엔트러스(Entrust)의 코드세이프(CodeSafe) 기능과 같은 HSM의 사용자 커스텀 로직 탑재기능이 이를 가능하게 한다. 내부자 조차도 침해할 수 없는 정책을 로직화하고 이를 구현한 사용자 코드를 HSM에 탑재하여 HSM 내부에서 이 로직을 수행하게 하면 권한을 지닌 내부자 조차도 HSM 내 하드코딩된 정책에 위배되는 행위 시도가 불가능하다. 이는 HSM의 보안 경계 내에서 실행되므로 HSM의 보안 수준인 FIPS 140-2 level 3 수준에 의해 보장받을 수 있다.

후자에 언급된 개인키 보안강화에 대한 추가 인증 수단은 HSM이 기본적으로 제공하는 추가 인증수단을 사용하여 간단히 요구사항을 만족할 수 있다. 또한 신규 세부항목 중 마지막으로 언급된 핫·콜드 월렛에서 사용되는 키, 페스프레이즈는 물리적으로 안전한 장소에 소신하여 보관하고 있는가에 대한 요건은 어플라이언스 형태의 HSM을 사용하면 그 자체로 만족하게 된다.

이와 같이 HSM은 블록체인 생태계를 보호하는데 있어서 많은 이점을 제공할 수 있으며 이는 가상자산사업자 뿐만 아니라 향후 국가 기관에 의해 운영될 CBDC(중앙은행디지털화폐)사업에서도 빛을 발할 수 있을 것으로 기대된다.

특히 사용자 키의 백업 및 복구에 있어서 앞서 말한 HSM의 사용자 커스텀 로직 탑재 기능이 적절히 활용될 수 있다. CBDC 사업의 해결 과제 중 하나인 사용자 키 분실 복구 방안에서 사용자 키 복구 시 비대면 방식의 매우 안전한 사용자 인증기술이 필수적이다. 사용자 키의 복구는 사용자의 자산과 직결되기 때문이다. 따라서 이 또한 내부자 조차도 사용자 인증 과정을 침해할 수 없어야 하며, 때문에 HSM 내부에서 사용자 인증 로직을 동작하게 하는 것은 내·외부 모두로부터의 위협을 방지하는데 매우 효과적으로 작용될 수 있다.

지금은 그야 말로 인증기술의 춘추전국 시대와 같다. 지난 20여년간 사용자 인증시장에서 독점적인 권한을 지녔던 공인인증제도가 폐지되고 다양한 인증 기술을 기반으로하는 사설인증의 시대가 열렸다. 위에서 언급된 가상자산의 블록체인도 이러한 사설인증기술 중 하나로써 역할 할 수 있다. 중요한 것은 사용자 인증은 곧 사용자의 개인정보나 자산과 직결되는 것이 보통이기에 높은 보안성 제공이 필수적이다. 물론 사업적인 측면에서 사용자 편의성을 빼놓을 수는 없지만 적절한 수준의 보안이 우선되지 않으면 나머지는 무의미 하다.

이번 ISMS의 개편은 가상자산사업자에 특화되었지만 사실 앞으로 계속해서 출현할 사설인증사업자에 있어서도 ISMS 구축은 필수이며, 이는 사설 사용자 인증서비스 제공자로써 갖추어야 할 기본일 것이다.