사스터(SaaStr)는 전 세계 기업용 서비스형소프트웨어(SaaS)를 다루는 대형 연례 컨퍼런스다. 올해는 지난 9월 6일부터 3일간 실리콘밸리에서 진행됐다. 사스터는 참가자 대부분이 SaaS 서비스 창업자나 일반 기업의 임원급(C level) 인사로 업계 동향에 관해 매우 실질적인 토론과 발표가 이뤄지는 행사다. 일례로 한 세션에서 발표자가 참석자들의 직종을 묻자 80%가 넘는 사람들이 SaaS 창업자라고 대답했을 정도다. 행사장 부스 참여 기업들도 기업용 SaaS 기업들이 서비스를 쉽고 빠르게 만들 수 있는 일종의 툴체인(toolchain) 같은 SaaS 업체들이 대다수였다. 필자는 투자자 입장에서 부스에 참가한 업체들을 만난 후 2023년 이후 글로벌 SaaS 시장을 관통할 핵심 트렌드를 정리해봤다.
미국에서 브랜드 제품을 절도하는 행위가 조직화하면서 유통가가 떨고 있다. 높은 재판매 수익으로 재테크 수단이 된 나이키(Nike)의 한정판 운동화를 비롯해 월마트(Walmart), 타겟(Target), 홈디포(Home Depot), 월그린(Walgreens) 등 소매 매장 상품이 주요 표적이 되고 있다. 이때 유통가에서 빈번한 절도(retail theft)는 조직형 범죄로 커지는 추세다. 치밀한 계획하에 매장뿐만 아니라 제품을 생산한 후 매장까지 곳곳에서 절도가 이뤄지면서 기업들의 수익에도 영향을 끼쳤다. 이에 기업들은 인공지능(AI)을 도입해 분실을 방지하기 위한 감시 시스템을 고도화하고 있지만, 이는 소비자에게도 압박을 가할 수 있다는 점에서 딜레마다.
양자컴퓨터와 인공지능(AI) 기술 개발이 가속화하고 있다. 신기술들로 오늘날 컴퓨터로 풀 수 없는 문제도 빠르고 정확하게 할 수 있다는 기대가 나오지만, 이에 대한 우려도 크다. 특히 현 보안 시스템의 근간인 공개키기반시스템(PKI)을 양자컴퓨터가 파괴할 수 있다는 주장이 나오면서 사이버보안 업계는 술렁이고 있다. 신기술과 함께 보안 기술도 따라오고 있을까? 새로운 기술로 인한 부작용은 어떻게 방어할 수 있을까? 25일(현지시각) 미국 샌프란시스코에서 열린 사이버보안 컨퍼런스 ‘RSAC2023’ 암호패널 세션이 열렸다. 위필드 디피(Whitfield Diffie) 암호학자의 진행 아래, 클리포드 컥스(Clifford Cocks) 전 영국 정부 커뮤니케이션 본부 수석 수학자, 앤 데임스(Anne Dames) IBM 인프라 엔지니어, 라디아 펄만(Radia Perlman) 델테크놀로지스 연구원, 아디 샤미르(Adi Shamir) 이스라엘 와이즈만연구소(Weizmann Institute) 컴퓨터과학과 교수 등이 참석해 기술 개발과 보안의 속도 차이를 논했다.디피 박사는 1970년대 초 공개키 암호 분야를 개척한 인물 중 하나로 컴퓨터 보안 분야의 선구자다. 그가 마틴 힐만(Martin Hellman)과 공동 개발한 공개키는 현재 전자상거래 보안의 근간이 됐다. 통신 프라이버시를 주장하는 학자이기도 하다. 클리포드 컥스는 정부에서 활동하기 전에는 학계에서 공개키 암호화와 신원 기반 암호화를 구현하는 방법을 개발한 인사다. 앤 데임스 연구원은 IBM 하드웨어보안모듈(HSM) 제품군 및 금융 서비스를 포함하는 일반암호화구조(Common Cryptographic Architecture) 개발을 주도한다. IBM 양자 보안 암호화 활용 부서인 z시스템즈(zSystems)에서 업계 최초로 양자 보안 시스템인 ‘IBM Z16’을 도입했다. 샤미르 교수는 론 리베스트(Ron Rivest), 레너드 애들먼(Leonard Adleman)과 함께 현대 RSA(Rivest Shamir Adleman) 암호를 공동 개발했다. RSA의 S가 그를 뜻한다. 이 암호는 금융·국방 등 사회 각 분야에서 가장 널리 사용되는 인터넷 암호화 인증시스템이 됐다.
히든레이어가 24일 미국 샌프란시스코 모스코니센터에서 열린 RSAC2023 이노베이션 샌드박스 올해의 가장 혁신적인 사이버 보안 스타트업 타이틀을 거머줬다. 18년째를 맞은 RSAC 이노베이션 샌드박스 콘테스트는 사이버 보안 산업을 변화시킬 수 있는 획기적인 기술을 선보인 기업을 발굴한다.이노베이션 샌드박스 상위 10개 결선 진출 기업은 총 125억 달러 이상의 투자를 유치했다. 이전 수상 기업은 임퍼바, 에이프리오, 시큐리티에이아이, 탈론사이버시큐리티 등이 있다. 기업은 최근 머신러닝 알고리즘과 선별된 데이터 세트를 활용해 새로운 서비스를 만든다. PWC는 AI 시장에 2030년까지 162조 달러로 성장할 것으로 예측했다. 인공지능(AI), 머신러닝(ML)을 채택하는 기업은 늘어나고 있지만 이에 대한 취약성을 인지하고 사이버 보안 대책을 세우는 곳은 드물다. 대부분의 소프트웨어 에코시스템과 마찬가지로 진입 장벽이 낮을수록 보안 장벽도 낮아진다. 최근 해커는 머신러닝 모델의 취약점과 특수성을 악용하는데 집중하기 시작했다. ML이 새로운 공격 표면으로 등장한 것. 히든레이어는 머신러닝 보안 플랫폼 기업이다.
인공지능(AI)은 기업의 화두다. 오픈AI와 마이크로소프트를 필두로 구글, 메타, 엔비디아 등 빅테크는 물론이고 스타트업이 AI 대전을 펼치고 있다. DALL-E와 스테이블디퓨전(Stable Diffusion)은 창의적 영역을 재정의하고 있으며 알파텐서(AlphaTensor)는 50년 된 수학 기록을 뛰어넘는다. 챗GPT는 생성AI 분야를 선도하는 서비스로 자리잡았다. ML은 모바일 웹, IoT, Web3와 마찬가지로 완전히 새로운 애플리케이션이자 기본 인프라다. IT 분석기업인 테크인포리서치 그룹은 민간 기업 44%가 2023년 AI 시스템에 투자할 계획이라고 보고했다. 기업 비즈니스에 AI와 머신러닝(ML)이 채택이 급증한다. 자율주행자동차, 로봇, 디지털 비서, 얼굴인식 시스템, 온라인 추천시스템 등은 ML에 의존해 작동한다. 신기술 채택이 늘면 함께 나타나는 현상이 사이버 위협이다. 공격자는 방어자보다 언제나 빠르고 창의적이다. 공격자는 기업이 도입하는 ML의 취약점을 찾아내 사이버 공격 통로로 악용하기 시작했다. AI인재와 리소스가 부족한 상황에서 많은 조직은 사전 훈련된 모델이나 온라인 ML 서비스를 사용해 작업을 아웃소싱한다.
손재권 더밀크 대표는 “CTA(미국소비자기술협회)가 집계한 ‘글로벌 혁신 스코어카드(2023 Global Innovation Scorecard)'에서 한국이 26위를 기록했다”며 이같이 말했다. 글로벌 혁신 스코어카드는 CTA가 집계해 발표하는 국가별 혁신 순위다. 올해는 조세 제도(tax friendliness), 환경(environmental quality), 무역 정책(trade policy), 인터넷·통신(broadband access) 등 17개 범주에 걸쳐 총 40개의 지표를 측정, 점수가 산정됐다. 미국, 캐나다, 스위스, 영국, 네덜란드, 노르웨이, 독일, 프랑스, 싱가포르, 일본 등 25개국이 포함된 ‘혁신 챔피언(Innovation Champion)’ 그룹에 한국이 들어가지 못한 것이다. 세계지식재산기구(WIPO)가 발표한 ‘2022 글로벌 혁신지수(6위), 2021년 발표된 ‘블룸버그 혁신 지수(1위)’ 등 다른 평가 기관의 결과와 비교하면 상이한 결과다. 특히 이번 결과는 CES2023에서 한국 기업들이 맹활약을 펼치며 '혁신 국가'로서의 위상을 한층 끌어올렸다는 평가도 제기된 시점에서 나온 리포트여서 충격을 주고 있다. CES를 주최한 CTA에서 선정한 것이다. 왜 이런 결과가 나온 걸까? 혁신을 위해 지금 대한민국에 가장 필요한 것은 무엇일까?
지난 15일 SK C&C 판교 데이터센터에서 발생한 화재는 블록체인 인프라에 대한 관심을 불러일으켰다. 사태 재발을 막기 위한 데이터센터 투자, IT 재난복구(Disaster Recovery, DR)의 중요성이 커진 가운데, 일각에서 데이터 자체를 분산 저장·처리하는 블록체인 기술이 향후 비슷한 문제를 막는 대안이 될 수 있다는 관측이 나왔다. 이번 화재로 ‘국민 메신저’로 불리는 카카오톡이 멈췄고, 카카오 계열사인 카카오모빌리티 택시를 이용할 수 없게 됐으며 카카오뱅크·카카오페이 등 금융 서비스까지 일부 장애를 겪었다. ‘단일 장애 지점(Single point of failure)’이 전체의 문제로 번지자 ‘분산 컴퓨팅·데이터베이스’ 및 탈중앙화 시스템이 다시금 주목받은 것이다. 블록체인 업계 전문가들은 그러나 현재의 블록체인 기술과 인프라로는 문제를 해결할 수 없다고 분석한다. 개념적으로는 탈중앙화가 더 안전한 게 맞지만, 이 개념을 현실로 구현하려면 여러 가지 제약이 따른다는 설명이다. 다만 장기적 관점에서 볼 때 문제 해결 가능성 및 기회는 존재한다고 전망했다. 블록체인 기술이 계속 발전하고 있으며 다양한 시도가 이뤄지고 있다는 이유에서다.
트위터가 또 다시 사이버 보안 문제로 떠들썩하다. 2020년 대규모 해킹 사고 후 보안을 강화했다던 트위터. 그러나 실제는 그렇지 않다는 폭로가 나왔다. 일론 머스크가 트위터 인수를 번복한 후 법정 공방이 오가고 있는 가운데 나온 내부고발자의 폭로다. 머스크와 트위터간 소송은 10월 델라웨어 주 법원에서 다뤄진다. 심지어 고발자는 트위터의 보안을 총 책임졌던 피터 자코 최고보안책임자(CISO)다. 그는 전설의 해커 '머지(Mudge)'로 알려진 인물이다. 그는 2020년 당시 대통령 후보였던 조 바이든, 버락 오바마 대통령, 빌 게이츠 마이크로소프트 창업자를 비롯해 일론 머스크 테슬라 CEO 등의 트위터 계정이 해킹된 후 사기에 연루된 사건이 발생했을 때 트위터 보안담당자로 합류했다. 당시 킴 카사디안과 일론 머스크는 해킹 사고와 관련해 트위터와 합의했다. 사상 최악의 소셜미디어 해킹 사건 뒤 잭 도시 트위터 CEO는 보안 강화를 위해 '전설의 해커' 자코를 CISO로 영입했다. 그는 트위터 보안을 책임지던 사람에서 트위터 보안 문제를 세상에 알린 내부고발자로 돌아섰다. 👉 2020년 트위터 해킹 전말은?
기업 보안 담당자는 직원들이 안전하게 사내 시스템에 접속하고 사이버 위협에 노출되지 않게 노력한다. 팬데믹으로 재택과 원격 근무가 늘어나면서 보안 담당자 고민은 더 커졌다. 회사에 출근해 내부 네트워크에 접속하던 직원들이 집에서 기업 중요 데이터에 접근하기 때문이다. 사이버 범죄자는 이런 틈을 노린다. 피싱, 악성코드, 자격 증명 도용, 랜섬웨어 등 다양한 위협을 시도한다. 사이버 범죄자는 가짜 웹사이트를 만들어 악성코드를 숨긴다. 해당 사이트에 방문하는 사람 PC 등 단말기에 악성코드를 감염시키고 중요 사이트 접속 정보(ID와 비밀번호) 등을 빼돌린다. 사이버 범죄자는 사회공학기법으로 표적이 관심있어할 만한 문서 등을 첨부해 클릭을 유도한다. 이 같은 사이버 공격의 최전선이 바로 웹이다. 글로벌 보안 기업은 웹을 통한 사이버 공격을 최소화할 수 있는 방법으로 '원격 브라우저 격리(RBI: Remote Browser Isolation)'에 주목한다. 코로나 바이러스에 감염된 환자를 격리해 더 이상의 확산을 막는 것처럼 악성코드에 감염 됐을 가능성이 높은 사이트를 아예 별도 웹 브라우저에서 실행한다.
구글(안드로이드), 애플(iOS), 마이크로소프트 등 인터넷 플랫폼의 사실 표준을 만든 3대 빅테크 기업이 사실상 처음으로 하나의 목표를 향해 손을 잡았다. 비밀번호 없이 인터넷에 로그인을 할 수 있게 한다는 정책이다. 플랫폼에 관계없이 스마트폰이나 태블릿에서 일명 FIDO(Fast Identity Online) 인증을 사용해 앱이나 웹사이트에 로그인할 수 있게 하겠다는 것이다. 이 정책이 실현되면 인터넷 이용에 획기적 변화가 예상된다. 구글은 지난 11일(현지시간) 마운틴뷰 구글 본사와 온라인으로 동시 개최된 '구글 I/O'에서 "암호 없는 기술을 제공한다"고 밝혔다. 구글은 그동안 비밀번호 사용 문제를 인식해 2단계 인증과 구글 비밀번호 관리자 기능 등을 만들었지만 암호 문제를 해결하려면 비밀번호가 완전히 사라져야 했다. 구글은 안드로이드와 크롬에서 FIDO 로그인 표준에 따라 비밀번호 없는 로그인을 구현할 계획이다.이에 앞서 애플과 구글, 마이크로소프트는 FIDO얼라이언스와 월드와이드웹(WWW) 컨소시엄에서 암호없는 로그인 표준 만들기에 협력하기로 했다. 플랫폼에 관계없이 스마트폰이나 태블릿에서 FIDO(Fast Identity Online) 인증을 사용해 앱이나 웹사이트에 로그인하는 형태다. 비밀번호 대신 생체인식 기술로 빠르게 인증을 수행할 수 있다. 주로 지문, 홍채, 얼굴 등 생체정보가 이용되지만 동작 등 행동적 특성도 활용한다.
미국이 기업의 데이터 유출 사고 등에 대한 규제를 수위를 높인다. 미 하원 국토안보위원회(House Homeland Security Committee)는 9월1일(현지시각) 주요 인프라를 운영하는 기업이 사이버 공격을 받으면 보고하게하는 보안법(Security Bill)을 논의한다. 이 법안은 바이든 행정부가 빅테크에 대해 강경한 입장을 취하고 있는 가운데 나왔다. 행정부는 8월 말 빅테크 기업에게 국가 사이버 방어를 강화하기 위해 수십억 달러 투자를 약속받았다. 바이든 정부는 각종 독과점 문제에 대해 빅테크를 압박하면서 사이버 보안쪽에서는 협력을 이야기하고 있다. 월스트리트저널(WSJ)은 규제 기관이 사이버 공격을 받아 데이터를 유출한 기업에 대한 조사를 강화하고 있다고 보도했다. 미 증권거래위원회(SEC)는 8월 30일(현지시각) 세테라 파이낸셜 그룹(Cetera Financial Group Inc)에 일부 고객에게 데이터 유출과 관련된 잘못된 정보를 제공한 것에 대해 30만 달러 벌금을 부과했다. 세테라 사업부는 중개 서비스(brokerage services)와 투자 조언 등을 한다.
