CFOLDER

1990년대 중반 삼성그룹 내에는 '타임머신팀'이라는 조직이 있었다.
각 분야의 상품, 기획, 디자인 등 우수 MBA 인력 등을 주축으로 해 1년 동안 상상할 수 있는 모든 것을 각자 준비해 제출하는 조직이었다. 2기 정도까지 운영돼다 90년대 후반 사라졌지만 삼성내 아이디어 뱅크의 역할을 했다.
10여년이 흐른 올해 삼성그룹이 5~10년 후의 먹거리만을 찾아 다니는 별동대를 만든다. 성격은 다소 차이가 있지만 '제2의 타임머신팀'이라고 부를만하다.
삼성은 5~10년 뒤를 먹여 살릴 신사업 발굴을 구체화하기 위해 태스크포스(TF)를 이달 중 출범시킨다고 19일 밝혔다.

◆신수종 태스크포스 구성과 역할=임원급 3명과 간부급 6~7명 등 총 10명 정도로 구성되는 TF는 앞으로 △계열사들이 하지 않았던 새로운 블루오션 창출, △각사 경영진이 결정하기 어려운 중장기 사업 발굴, △사업 강화 등의 업무를 담당하게 된다.
삼성은 지난 6월 각 계열사에 신수종 사업을 발굴하기 위한 TF 구성을 지시한 바 있다. 그럼에도 삼성이 그룹 차원에서 별도의 TF를 구성하는 것은 계열사들의 작업만으로는 전혀 새로운 먹거리를 찾기 어렵기 때문이다.
삼성 고위 관계자는 "계열사들의 신수종 사업 발굴은 스스로 할 수 있는 것들만을 찾게 되는 한계가 있다"고 지적했다. 삼성이 지금 하는 사업과 상관없이 새로운 사업을 찾기 위해서는 별도의 조직이 필요하다는 얘기다.
결국 그동안 삼성이 추진했던 신사업 발굴 작업이 '그룹 내에서 찾기'였다면 TF가 앞으로 할 일은 '그룹 밖에서 찾기'가 될 전망이다.

◆태스크포스 주축-그들은 누구=신수종 사업을 찾기 위해 TF팀도 전혀 다른 이력을 가진 인물들로 구성돼 있다.
TF는 임형규 삼성종합기술원장이 팀장을 맡고 임원급으로는 삼성토탈의 K전무, 삼성전자의 Y상무, 종합기술원의 K상무 등이 참여하는 것으로 알려졌다.
임 원장은 삼성반도체의 공채 1기로, 삼성이 지급한 장학금으로 박사학위를 받은 '삼성 장학생'으로 낸드플래시 개발의 주역이다. 이후 종합기술원장을 맡아 삼성그룹의 미래기술을 책임지고 있다.
삼성토탈의 K전무는 화학 분야 전문가로 관련 박사 및 경영학석사(MBA) 학위까지 받은 수재다. 그는 특히 과거 삼성과 토탈의 합작 당시 제휴 및 법인 설립의 실무를 담당했던 대표적인 기획통으로 꼽히는 인물이다.
삼성전자의 Y상무는 삼성전자 사업운영그룹에서 전사 사업을 조율하는 업무를 담당해 왔다. 종합기술원의 K상무는 피 몇 방울로 수십가지의 혈액검사를 한시간만에 마칠 수 있는 초소형 혈액검사기의 개발 주역으로 아이디어 뱅크로 통한다.

◆해외 대형 M&A 주력 가능성=TF 가동으로 삼성이 M&A(인수합병)에도 나설 가능성이 점쳐지고 있다.
삼성을 비롯해 국내에서 아직 하지 않는 사업을 발굴해 진출하는 과정에서 M&A가 주요한 전략으로 활용될 가능성이 크기 때문이다.
삼성 관계자도 "국내 기업을 대상으로는 M&A를 하지 않겠지만 해외 기업 중 국내에서 하지 않는 사업에서는 M&A가 가능할 것"이라고 말했다.
TF가 삼성의 오랜 고민이었던 '5~10년 뒤의 먹거리 찾기'의 가시적인 성과를 가져올지 관심이 모아지고 있다.

이학수 부회장 산하 최우수 S급 인재 모아
계열사별 추진현황 점검해 공조토대 구축
나노·컨버전스등 신사업 육성에 힘실릴듯

“보통사람들이 아니다. S급 인재들이 모인다.”(삼성그룹 관계자)

삼성그룹의 미래 먹을 거리를 찾아낼 ‘신수종사업 태스크포스(TF)’에서 일할 전무ㆍ상무급 연구임원들을 두고 그룹 내에서 나온 말이다. 아직 인선이 다 끝나진 않았지만 새로 출범하는 신수종사업 TF의 위상과 역할을 짐작하게 해준다.

특히 S급 인재들이 이학수 전략기획실(부회장) 산하에 한데 모여 전계열사의 신수종 사업을 종합 조정하게 됨에 따라 삼성의 미래 첨단산업 발굴ㆍ육성작업이 한층 힘을 받을 전망이다.

삼성그룹이 그룹 전략기획실 내 별도 팀으로 신수종사업 TF를 본격 가동하기로 한 것은 무엇보다 미래 신성장동력 육성에 그룹의 명운을 걸고 있다는 의미를 담고 있다. 향후 100년을 먹고 살 미래 신수종사업을 적극 육성, ‘시황에 연동돼 리스크가 노출될 수밖에 없는 현재의 사업포트폴리오’를 개선 보강해야 하기 때문이다.

이번에 구성하는 신수종팀의 핵심 업무는 ▦각 계열사별로 진행하고 있는 신수종사업 추진 현황을 점검 ▦중복ㆍ누락된 사업들을 찾아내 교통정리하고 ▦융합 프로젝트에 대한 밑그림을 그려 계열사 간 공조체제의 토대를 놓는 것이다.

이와 함께 TF의 주축을 이루게 될 각 임원들은 독자적으로 핵심 신수종사업 발굴ㆍ육성에 나설 전망이다. 이들 연구임원은 그동안의 경험과 기술지식으로 각자 새로운 사업을 기획, 추진할 능력이 갖추고 있는 것으로 평가받고 있다.

이들은 프로젝트의 밑그림이 그려지는 대로 이학수 부회장을 거쳐 이건희 회장에게 추진경과를 보고하는 등 특별 조직으로서의 활동을 가속화해나갈 것으로 예상된다.

그동안 삼성은 ‘사업 포트폴리오가 반도체 등 시황에 따라 실적이 크게 변하는 전자 부문에 편중, 취약점을 드러냈다’는 평가를 받아왔다. 그룹 주변에선 “삼성이 새로운 도약기로 진입하려면 미래 성장동력을 확보하는 게 급선무”라는 지적이 공공연히 나올 정도였다.

신수종사업 TF는 이 같은 위기감지 상황에서 ‘창조경영’을 주창한 이 회장의 요구에 부응, 지난 6월 초 전략기획실이 각 계열사에 ‘경쟁력 강화방안’을 마련하라고 지시한 후부터 출범의 필요성이 제기된 것으로 보인다.

이후 계열사별로 CEO 직속의 신수종사업 TF팀을 구성, 새로운 성장사업 발굴에 착수했으나 이 과정에서 계열사별 신수종사업이 중복돼 역량이 낭비되거나 계열사 간 사각지대에 놓여 유망 아이템들이 제대로 조명을 받지 못한 채 사장되는 문제점이 발견됐다는 것이 그룹 주변의 이야기다.

삼성의 한 관계자는 “삼성전자와 삼성SDIㆍ삼성전기 등 각 계열사별로 신수종 아이템들을 사업화하는 노력을 펼쳐왔다”며 “하지만 여러 계열사의 역량을 한데 아울러 추진해야 하는 융합형 프로젝트들도 등장하면서 그룹 차원의 거시적인 조정 능력이 절실해졌다”고 전했다.

한편 삼성그룹은 신수종사업 TF를 앞세워 미래 성장동력을 확보해나가는 동시에 금융계열사 글로벌화, 유화 부문 사업재편 등 그룹 전반의 사업 재조정도 함께 추진해나갈 전망이다.

▲ 이재용 전무 /전기병 기자 gibong@chosun.com

올들어 ‘독자 출장’ 늘고 계열사 人事 입김설도 솔솔… “내년 창립 70돌 맞아 본격 승계” 전망도 美 거래처 중시… 李회장과 스타일 달라 · 에버랜드 CB문제등 여론 극복 과제로

요즘 삼성그룹 내부에서 변화의 조짐이 확연하게 드러난 게 하나 있다. 바로 이재용 전무의 발걸음이 빨라지고, 또 힘이 들어가 있다는 사실이다. 아울러 삼성 사장단의 세대교체 주장도 거세지고 있고, 신세대의 CEO군(群) 발탁 등에 대한 얘기도 파다하다. 그 핵심과 정점에는 이재용 전무가 서 있다. 이 전무는 지난 7일부터 12일까지 그룹 전용기 편으로 중국·베트남을 다녀왔다. 삼성전자의 공식 설명은 “이 전무가 최고 고객책임자(CCO)로서 고객사 관리를 위해 출국했다”는 것이다. 하지만 한 삼성 관계자는 “이 전무는 세계 최대 시장 중국, 떠오르고 있는 시장인 베트남 방문을 통해 그룹의 아시아 시장전략을 구상했을 것”이라고 말했다. 일각에서는 1억 대 규모의 휴대폰 공장 신설을 최종 결정하기 위해 현지를 둘러봤다는 관측도 있다. 어쨌든 간에 그가 단순한 CCO 임무 이상의 일을 하고 있는 것은 분명하다.

◆강남 삼성타운 시대 맞아 ‘이재용 시대’ 가시화 작업 본격화할 듯
이 전무는 올 들어 독자 출장 기회를 크게 늘리고 있다. 올 1월 미 라스베이거스 국제가전전시회(CES) 참관을 시작으로, 유럽·중국·인도·중남미·동유럽 시장을 점검했다. 7월 과테말라에서 진행됐던 평창 동계올림픽 유치 지원 활동, 4월 중국에서 열렸던 올림픽 후원 연장 계약식 때에만 부친(이건희 회장)과 함께했다. 이 때문에 그룹 내에서 ‘이재용 시대의 본격화’를 예견하는 목소리가 커지고 있다. 특히 내년(3월 22일)은 삼성그룹(삼성상회가 모태) 창립 70주년의 해다. 동시에 태평로 시대를 마감하고 ‘강남 신사옥 시대’로 바뀌는 원년(元年)이다. 1968년생인 그는 내년에 만 40세가 된다. 그룹 관계자는 “마흔이라는 나이면, 이제 일을 맡겨도 될 시기가 아니냐”라고 말했다. 이건희 회장은 45세 때 그룹 회장직을 맡았다.

◆그룹 내부 영향력 확대할 듯

이 전무와 부친의 스타일 차이도 조금씩 드러난다. 우선 그는 미국 거래처와의 관계를 중시한다. 소니 등 일본 회사와의 연대를 강조했던 이 회장과는 다른 방향이다. 이 전무는 지난 1월 CCO 취임 이후 미국·유럽 출장 때 애플사 CEO(최고경영자) 스티브 잡스를 만나 삼성전자의 기술개발 현황과 세계 IT업계 전반에 대한 이야기를 나눴다. 이 전무는 이어 ‘3GSM 세계회의’가 열린 스페인에서 고객사인 HP·AT&T의 최고 경영진과도 만났다. 그는 미 하버드대 비즈니스스쿨에서 경영학박사(DBA) 과정을 수료했다.
계열사를 현장에서 챙기는 모습도 자주 거론되고 있다. 이 전무는 반도체·LCD·PDP 등 장치 산업 외에도 내비게이션·블루투스 스피커폰 등 IT 기기 분야에 대한 관심이 큰 것으로 알려지고 있다.
지난 여름 실적이 저조했던 전자 계열사 조직 개편 때에도 이 전무 입김이 작용했던 것으로 알려졌다. CEO급 가운데 이 전무와 가까운 인사가 중용됐다는 얘기도 흘러나왔다.

◆남은 과제들
그룹 고위 관계자는 “이 회장이 이 전무가 아직 훈련을 더 받아야 한다고 생각하는 걸로 알고 있다”고 말했다. 이 회장은 1966년 삼성그룹에 입사해 1978년 부회장으로 승진, 1987년 회장을 맡았다. 이 전무의 경우 1991년 입사 후 유학을 떠나 2001년 삼성전자 상무보로 복귀, 올 초 전무로 승진했다. 삼성에버랜드 전환사채(CB) 발행에 대한 대법원 판결이 남아 있고, 이 전무의 경영권 승계에 대한 여론의 시선도 곱지만은 않다.
그룹 내부의 한 고위 관계자는 “이 전무의 영향력 확대는 올해 말이나 내년 초로 예정된 삼성그룹 인사와 조직 개편이 큰 고비가 될 것”이라며 “이 회장이 5년 후면 일흔이 되기 때문에 내년부터는 후계 문제가 본격적으로 떠오를 가능성이 큰 것은 분명하다”고 말했다. 삼성그룹은 지금 이재용 시대의 공식화 작업에 은밀하게 착수하는 단계임이 분명하다.

▣ 이원재 한겨레경제연구소 소장 timelast@hani.co.kr
▣ 사진 박승화 기자 eyeshot@hani.co.kr

몇 가지 퀴즈. 가장 먼저 달에 도착한 사람은 누구일까? 닐 암스트롱이다. 그럼 두 번째로 달에 도착한 사람은? 세계 최초의 금속활자본은? 직지심경. 그럼 두 번째의 금속활자본은? 세계에서 가장 높은 산은? 히말라야산맥의 에베레스트. 그럼 두 번째로 높은 산은? 예상한 대로, 두 번째는 늘 어렵다.

“1등만이 살아남는다”는 경영자들의 말은 인정하기 싫지만 자꾸만 사실로 확인된다. 인간의 의식 속에서는 적어도 그렇다. 최초의 무언가는 모두가 기억하지만, 2등은 아무도 기억하지 못한다. 소비자도 마찬가지다. 당연히 어떤 영역에서든 가장 먼저, 가장 크게 사업을 벌이는 1등 기업이 소비자 의식의 대부분을 장악하게 된다.

에이비스 “우리는 더 열심히 일한다”

‘1등 효과’는 어쩌면 인간의 의식구조에서 비롯된 물리적 현상인지도 모른다. 자연현상에서도 이런 효과가 발견된다. 하버드대학 교수이자 사회생물학의 대부로 꼽히는 에드워드 윌슨이 동물 세계에서 발견한 ‘각인학습’이 이와 비슷하다. 윌슨은 조류 군집의 행동을 관찰하다가, 오리와 거위 새끼들이 부화한 직후 어떤 결정적인 시기에 처음 목격한 동물을 친부모인 양 따르고 배운다는 사실을 처음으로 밝혔다.

생물에게 첫 번째 경험이란 이처럼 중요하다. 젊은이들의 술자리에서는 서로의 첫사랑 이야기만으로도 웃음꽃이 핀다. 그런데 두 번째 사랑은 거론되지도 않는다. 그래서 마케팅의 대부 잭 트라우트는 저서 <포지셔닝>에서 이렇게 언급하기도 했다. “결혼이란 가장 좋은 사람과 하는 것이라기보다는 상대적으로 좋은 맨 처음 사람과 하는 것이라고 봐야 옳다. …성공을 하려면 상대방의 마인드에 최초로 들어가는 것의 중요성을 이해하지 않으면 안 된다.”

비즈니스 거래 관계도 마찬가지다. 상대적으로 좋은 첫 번째 대상과 거래를 트기 마련이다. 그래서 사업에 성공하려면, 목표 고객의 마음속에 누구보다 먼저 도달한 다음, 그 마음이 바뀌지 않도록 최선을 다하는 것이 중요하다.

여기서 드는 의문. 그럼 2등은 어떻게 살아남아야 할까? 그대로 죽어가야 할까? 물론, 방법이 있다. 그 방법을 이미 보여준 기업들도 있다.

첫째는 대항마 전략이다.

미국 렌터카 시장에서 1위는 언제나 허츠였다. 에이비스를 비롯한 다른 많은 렌터카 회사들은 모두 비슷한 규모였는데, 허츠보다 훨씬 못한 실적으로 늘 적자에 허덕였다. 그런데 에이비스가 “우리는 더 열심히 일한다”(We try harder)라는, 매우 창의적인 마케팅 슬로건을 하나 생각해내면서 상황이 반전됐다. 구호의 내용은 이랬다.

“우리는 언제나 2등입니다. 그런데 소비자는 왜 우리를 이용할까요? 우리가 더 열심히 일하기 때문입니다.”

아무도 1등을 따라잡기는커녕 근처에조차 가지 못할 때, 에이비스는 과감하게 2등임을 인정하면서 1등과 자신들을 연결시켰다. 겉보기에는 2등을 인정한 겸손한 전략 같지만, 실은 야심찬 전략이었다. 아무도 범접할 수조차 없던 1등 기업과 자신을 연결시키겠다는 전략이었기 때문이다.

결국 에이비스는 이 캠페인 이후 흑자로 돌아섰고 성장하기 시작했다. 반면 허츠는 이런 마케팅 슬로건으로 맞서야만 했다. “허츠가 있고, 그리고는 없습니다.”

이런 ‘대항마 전략’은 2등 기업의 성장 전략으로 흔히 애용된다.

세븐업이 성장하게 된 배경도 이 전략에 있었다. 세븐업은 처음에 ‘비콜라’ 포지셔닝 전략으로 성공했다. 코카콜라와 펩시콜라가 음료시장을 놓고 치열한 경쟁을 벌이면서 음료시장 전체에서 콜라의 점유율이 빠르게 늘고 있는 가운데, “콜라가 아닌 음료”라는 마케팅 슬로건으로 소비자의 마음속에 “콜라 바로 다음에는 세븐업”이라는 인식이 자리잡도록 하는 데 성공했다. 버거킹이 맥도널드에 대해 벌이는 “맛있잖아!”(It just tastes better)도 비슷한 개념을 사용한 사례다. 맥도널드보다 값도 비싸고 점유율도 낮지만 ‘맛’은 더 좋다고 주장하면서 1등 기업과 자신을 연결시킨 것이다.

왜 IBM은 컴퓨터의 대명사가 되었나

2등이 사용할 수 있는 두 번째 전략은 체계화 전략이다.

북미 대륙을 가장 먼저 발견한 사람은 크리스토퍼 콜럼버스다. 우리 모두는 그를 기억한다. 그러나 그가 받은 보상은 보잘것없었다. 대륙 이름조차 5년이나 뒤늦게 신대륙에 도착한 아메리고 베스푸치의 이름을 따서 ‘아메리카’라고 정해졌다.

아메리고 베스푸치는 어떻게 북미 대륙을 자신의 것으로 만들었을까? 그는 콜럼버스와 달리 북미 대륙에 어설프게 ‘인도’라는 이름을 붙이지 않았다. 확실히 ‘신대륙’이라고 명명해 학계에 파문을 일으켰다. 그리고 자기가 발견한 것과 그 이론에 대해 열심히 글을 써서 널리 알렸다. 탐험 내용도 낱낱이 기록했다. 그 결과 유럽 사람들은 아메리고 베스푸치를 아메리카의 발견자로 믿게 되어 이름을 선사한 것이다.

아메리고 베스푸치의 전략은 IBM이 사용한 것이기도 하다. IBM은 컴퓨터를 발명하지 않았다. 그러나 전세계 대부분의 소비자가 ‘컴퓨터’라는 말을 들으면 가장 먼저 IBM을 떠올린다. 뒤늦게 뛰어들었지만, 그 제품을 체계적으로 소비자에게 알리는 역할을 충실하게 수행한 덕이다.

마지막으로, 대항마든 체계화든 자신에게 꼭 맞는 전략을 채택해 성공한 2등 기업이 반드시 기억해야 할 일이 있다. 자신이 성공한 원인을 끝까지 잊지 말라. 에이비스는 “1위가 되려고 합니다”라는 마케팅 슬로건을 내걸기 시작하면서부터 사업이 다시 정체됐다. 세븐업은 “미국은 세븐업으로 돌아서고 있습니다”라는 슬로건과 함께 기울었다.

< O'Reily의 Web 2.0 Image>

실제 문제 사례 :

- Myspace script 코드를 활용한 서비스 내의 사용자 정보의 유출과 전파
- Yahoo Messenger를 통한 웜의 출현
- Web 2.0 서비스 기업을 타켓팅화한 Application 취약성 공개의 일반화 [ XSS 등]
- Youtube , Yahoo ,naver등의 동영상 저작권 및 국가간 규정에  따른 불법적인 동영상  [ 음란 , 폭력  등등 ] 을 통한 사회적인 파급효과 , 3.19일 야후 음란 동영상 게재로 인해 동영상 서비스의 일시 중단 시행.
- 동영상을 파일을 통한 악성코드 유포 [ ActiveX 설치 이외에 사용자 정보를 유출 하기 위한 Script 코드등 다수 해당] Flash , 이미지 파일을 통한 정보 유출
- 사용자 계정의 도용 [ 아바타 및 아이템의 분실, 강탈 증가]
- 부정확한 게시물을 통한 광고 [ 게시물 , 덧글 등]
- 광고를 하기 위한 목적 혹은 사용자 PC를 조정하기 위한 ActiveX [ 사회공학적인 해킹 부분]
- 악성코드의 문제 [ 사용자 접근성 확대에 따른 악성코드 노출 영역의 극대화]

1. 서비스 기업으로서의 보호:
UCC 에 대한 보안성 검증 : 기술적인 보안성을 검증 하여야 함. 게시물에 포함된 악성코드 및 HTML을 허용하여 사용자의 자유도를 높이는 만큼 그 위험성 ( XSS 및 Code Running)에 대해서 보호 방안을 수립 하여야 함. 보호 방안으로서는 Filtering 메소드의 필수적인 환경 구축 및 활용이 필요. 

1) Filtering Method

- 개인정보 침해 관련 사안의 조정 – 댓글 ,게시글
- 악성코드 실행 부분 – 게시물 , HTML 파일 , Image , Flash , 동영상
- 악성코드 위험 요소 판별을 위한 자동 판별 시스템 도입 및 수작업에 의한 모니터링 필수 [ 모니터링 대상 항목 – 성인, 개인정보 침해 , 악성코드 설치 , 광고글 , 개인정보 유출 관련 실행 코드 , Virus , Worm ]

2) Platform 의 체계화
- Filtering 시스템에 대한 체계적인 구성
- 전체 사용자 입력에 대한 Filtering 구조의 수립
- 전문 보안인력에 의한 Filtering Rule의 추가 및 빠른 변화에 대한 대응 능력 재고 필요
- 사용자의 직접 입력 시에 빠른 모니터링이 안될 경우 기업 입장에서는 치명적인 문제에 노출 될 가능성 증대 됨

3) 개인정보 보호 관련 대응 방안 수립 필요
- 개인정보 관련 이슈는 기술적 방안으로 최소화 시키는 것이 필요 . Filtering과 연계하여 구성 하는 것이 필요
- 개인 정보 오남용 관련된 모니터링 필수
- 개인정보 오남용시의 필수 대응 프로세스의 수립 – 고객센터부터 실 서비스 부서까지 빠른 대응 필요

4) Web service에 대한 기술적인 보호
- 보안성 검수 프로세스의 일반화 – 전문인력 및 보안 전문가 집단을 활용한 최신 취약성에 대한 검수 체제 수립
- Web Service를 구성하는 최신 기술 동향에 대한 취약성 연구
- Web 2.0의 요소 기술간의 정보 전달 부분의 암호화 및 외부 노출 최소화
- 비정상 행위 탐지를 위한 Anomaly Detection 부분의 구축
- 현재 당면한 SQL Injection 및 XSS [ Cross Site Scripting]에 대한 전면적인 대책 수립 이후의 프로세스화
- 서비스 보호를 위한 전문가 집단의 수시 활용 또는 전문가 집단의 보유 필수
- 사용자 ID/ Password에 대한 보호 방안 수립과 시행 [ ex : password의 단방향 암호화등 ]

5) 사용자에 대한 Security awareness 강화
- 서비스 차원에서의 게시물에 대한 악성코드 , 위법성 여부에 대한 Awareness 강화
- 불법 악성코드 및 개인정보 유출 관련된 사용자에 대한 합리적인 처벌 방안 마련
- 보안상의 문제 해결을 위한 서비스 기업 차원의 정보 제공 확대 및 위험 여부 , 법적인 위배 사항에 대한 명확한 가이드 수립

2. 사용자 관점에서의 보호
사용자 관점에서의 보호는Client 상에서의 Web 2.0관련된 일련의 기술 흐름에 대한 보호 대책을 언급 한다. 향후 발생 가능할 부분에 대한 Security Awareness 측면에서의 사용자 보호 방안

1) 개인 PC 차원의 보호 방안 수립
- 메일 및 게시물의 링크 선택 시 접근에 유의
- 첨부 파일등에 의한 바이러스, 웜등의 감염 주의
- AV 백신 및 각 운영 체제별 보안패치 및 설정
- ActiveX 의 시스템 설치 제한 및 확인
- 주기적인 보안설정 검사 [ AV 체크 , 보안설정 체크 ]

2) 사용자 정보 보호
- 주기적인 패스워드의 변경
- 사이트별 분류에 따른 등급 관리 및 ID / 패스워드의 분리 활용
- 사이트 가입시의 보안 등급의 확인 [ 일정 수준 이상의 정보보호 수준을 인증 – 기존의 안전진단 및 보안컨설팅 , ISMS 인증 등에 네트워크 보안 및 ID/PASS 보호 방안에 대한 확인 이후 일정수준의 등급 부여 필요]
- 정부기관 및 신뢰된 사이트로부터 배포되는 보안 솔루션에 대한 선별 설치 필요 [ 키보드 보안 , 보안패치 , AV 솔루션 등등]

올해 년초의 보안 전망에서 너도나도 할 것 없이 UCC의 위험에 대해서 언급을 하고 있습니다.

해외 보안 업체 뿐 아니라 국내 보안 업체들도 마찬가지의 목소리를 내고 있는데 실상 얼마 만큼의 위험요소가 있을까요?

실제 가벼운 예를 통해서 풀어 보도록 하겠습니다.

http://www.etnews.co.kr/news/detail.html?id=200701080117

Web 2.0은 사용자 중심의 UI를 통한 사용자에 의한 컨텐츠 제어로 규정 할 수 있을 것 같습니다. 물론 제 나름의 정의입니다. ^^

이 관계에서 AJAX든 UCC든 다양한 사용자 중심의 컨텐츠 구성이 핵심이 될 수 있을 것 같습니다. 이 중에서도 UCC [ 사용자 저작 컨텐츠]라고 칭할 만한 것은 매우 많이 있지만 국내외적으로 통용되는 부분은 동영상 부분을 언급 할 수 있습니다. 구글에 인수된 유튜브를 비롯하여 국내에도 다양하고 많은 동영상 서비스 제공 업체들이 있으며 현재도 활발하게 서비스를 하고 있는 상황입니다.

동영상이 핵심이 된 UCC 부분에 다가올 위협은 어떤 것들이 있을까요? 그리고 우리에겐 어떤 영향들이 있을까요?

Myspace 를 통한 Application 웜의 전파는 이미 시일이 지난 뉴스 입니다만 매우 손쉽게 기업이나 사용자들이  다양한 타격들을 받았습니다. 05년도에는 Javascript를 통한 이용자의 정보 도용 및 임의 전파가 가능한 가벼운 수준의 Application worm이 출현 하였습니다만 기업 입장에서는 개발 코딩의 변경 및 여러 관계 부분을 고치느라 고생을 하였을 것입니다.   이후 지난 연말 즈음에 Applie의 QuickTime 파일에서 임의적인 코드를 실행하게 하는 악성코드가 발견 되었고 해당 유형으로 인해 사용자의 피해가 다수 있었습니다. 앞으로도 계속 이어지겠죠. 온라인 상에서 서비스를 하는 기업이라면 말입니다.

QuickTime 포맷의 경우 편집기를 통해 중간 부분에 스크립트를 밀어 넣는 것이 가능해 집니다. 스크립트를 밀어 넣는다는 것은 원격지의 웹서버에서 악의적인 코드를 실행 시키게 하는 것이 가능하다는 것이죠. XSS [Cross site scripting] 취약성의 문제는 외부 링크를 허용하게 하거나 임의의 스크립트 코드를 실행 시키게 함으로써 사용자 PC에 악의적인 행위 혹은 사용자가 이용하는 웹사이트에 악의적인 행동을 할 수 있게 됩니다.

그렇다면 멀쩡한 게시판 및 링크들을 올릴 수 있는 부분을 제외하고 왜 동영상인가? 할 수 있습니다. 그 동안 XSS 취약성은 게시판 및 댓글 ..등등 사용자가 작성 할 수 있는 유형의 게시물에 많은 부분 발생이 되었고 많은 권고와 문제의 지적에 따라 상당부분 해결이 되었습니다.  즉 악의적인 코드의 실행을 유도 할 수 있는 원천 문제들이 다수 수정이 되었으므로 사용자가 직접 제작하여 올릴 수 있는 컨텐츠에 집중이 되는 것으로 볼 수 있습니다.

원천적인 악성코드 설치를 유도하는 소스의 변경은 다음과 같이 가볍게 볼 수 있습니다.

게시물의 XSS 취약성 이용 -> Jpeg 파일 변조를 통한 악성코드 설치 ->Flash내에 임의 코드 실행 루틴 추가 -> 동영상내에 악성코드 실행 루틴 첨가

현 재의 위험요소는 동영상 편집의 일반화 및 동영상 업로딩의 일반화에 따라 보다 더 많은 대중에게 노출이 가능한 컨텐츠가 보다 큰 효과를 얻을 수 있다고 판단을 하였을 것입니다. Mpeg 계열뿐 아니라 모든 동영상이 마찬가지의 문제를 안고 있습니다. 다만 문제의 해결은 이런 동영상들을 플레이 하는 플레이어의 판단에 따라 외부 코드가 실행이 되거나 되지 않거나 할 뿐입니다.

서론이 길었습니다. 간단하게 나타날 위험을 짚어 보겠습니다.

* 동영상 편집을 통해 중간이나 시작 부분등에 치료툴 [ 그동안 지긋지긋 하게 봐왔던 유형] 설치 및 광고가 들어 갈 수 있고 이런 유형은 매우 손쉽게 사용자 정보 유출 및 사용자 PC에 악의적인 코드를 실행 시키게 하여 원격에서 제어가 가능한 형태로  쉽게 전환이 될 것입니다.

* 동영상 플레이어의 경우 자체 제작한 동영상 플레이어 및 Media Player등을 거의 대부분 사용하고 있을 것인데 Media Player에 포함된 외부 URL , 스크립트에 대한 허용/ 비허용 기능의 Default On 기능이 Media Player 버전에 따라 들쭉날쭉 일관성이 없습니다.  Media player의 경우에는 허용/비허용이라도 있지만 대부분 자체 개발한 부분에는 해당 옵션 조차 없습니다.

* 자체 동영상 파일 원본을 보유한 곳은 패턴에 따른 검수라도 가능 하겠으나 단순 스트리밍 서비스를 제공 받는 곳은 치명적인 타격을 받을 수 있습니다.  [ MMS 프로토콜을 이용할 경우 버퍼링을 통해 방송이 됩니다. ] 파일 원본속에 포함된 악의적인 코드를 검출 하는 것이 불가능 하며 알려진 악성코드의 유형에 대해서만 다양한 보호장치를 통해 일부 판별하는 것이 가능합니다.

* 악성코드의 사용자 PC 공격 유형은 일반인들의 상상을 초월합니다. 보안장비나 패턴을 찾아내는 탐지기를 피하기 위해 다양한 변형기법들을 사용 하고 있으며  현재에도 널리 사용이 되고 있습니다. 단순하게 패턴을 찾는 유형으로는 일차적인 대응외에는 더 할 수 있는 일이 없다고 볼 수 있습니다. encoding 단계를 넘어선 상황입니다.

- 최악이라 볼 수 있는 것은 이슈성이 매우 큰 폭발력이 있는 동영상에 신규 취약성을 공격하는 코드 실행 루틴이 숨겨져 있을 경우 [ 일반적인 패턴매칭으로는 찾을 수 없을때] 한번에 몇백만개의 백도어가 설치된 PC들을 동시에 제어하는 것이 가능해 질 수도 있다고 생각 됩니다.

대책은 무엇일까요?

- 자체개발 동영상 Viewer에서의 외부 URL 링크 및 스크립트 실행 부분을 비허용으로 설정 [ 이럴 경우 광고등에 문제가 있을 것이므로 적당하게 현명한 대책이 필요합니다.] Media Player의 경우 버전에 따라 오락가락함.

- 전체 동영상 원본에 대한 발생 가능한 패턴의 발견 및 검증 절차 수립 [ 동영상 원본 자체내의 패턴을 검사하여 비정상 패턴을 걸러내야만 합니다. ]

- Streamming 서비스시에는 Streamming 서비스 원본을 제공하는 주체에서 명확하게 검증을 수행 하여야 하며 단순한 스트리밍 서비스를 중계하는 업체의  경우 에는 인력을 동원한 검증작업 이후나 검증 루틴을 소스제공 주체에 제공하여 보안을 강화하는 방식이 효과가 있을 것입니다.

여 담으로 IPTV가 활성화 된다고 합니다. 생방송 도중 악성코드가 삽입이 된다면 어떻게 될까요? 발생할 일이 없을까요? 장담하기 어려울 것입니다. 주문형 VoD의 경우에도 매우 큰 문제가 될 것이구요. 비단 UCC만의 문제가 아니라 전체 웹 및 서비스 산업의 발전에 따른 비용입니다. 서비스의 발전에는 그만큼의 그늘이 존재 할 수 밖에 없습니다. 모든 것은 발전을 지향하고 이상적인 모델을 추구합니다. 또한 공격자들도 이상적인 모델을 꿈꿉니다. 발전은 병행하며 공격기술의 발전은 무어의 법칙을 넘은 수준입니다. ^^;

모 든 서비스의 발전에는 물밑의 수없이 많은 다리의 움직임이 있어서 유지가 되는 것이라 할 수 있습니다. 많은 부분 노출이 되고 숨길만한 게재가 없는 "UCC"의 흐름에서 작은 문제 하나가 종종 만사를 어렵게 만들기도 합니다. 보안이라는 부분은 더이상 여유가 있을때 노력을 해야만 하는 충분조건이 아닌 필요충분조건으로서의 폭발력을 이미 가지고 있다고 봅니다.

앞으로 곧 현실화 될 문제이고 현재 당면한 문제입니다.

출처: http://blog.naver.com/p4ssion?Redirect=Log&logNo=50012928081

《Round 1》
네이버, 다음 격침하다

2000년 하반기. 메일과 커뮤니티를 앞세운 다음은 이전 3년간 포털 챔피언 자리에 앉아 있던 야후코리아를 끌어내고‘2대 챔피언’에 등극했다. 하지만 오래갈 것 같았던 정상의 영예는 채 3년을 가지 못했다. 검색서비스를 주무기로 내세운 포털 신예 네이버의 공격에 대처하지 못한 채 2002년 하반기에 챔피언 벨트를 물려줘야 했기 때문이다.

둘의 싸움에서 승부를 가른 것은‘인터넷 트렌드’에 대한 포착과 대처능력이었다.

적어도 2000년 하반기까지 다음은 ‘무료 웹메일’이라는 시대적 트렌드를 잘 읽어 포털시장을 장악했다. 95년 2월 자본금 5000만원에 직원 3명 규모였던 다음은 97년 5월 ‘핫메일(hotmail)’에서 아이디어를 얻어 국내 최초로 무료 웹메일인 ‘한메일(hanmail)’을 선보이면서 네티즌들로부터 폭발적인 인기를 끌었다. 이후 99년에는 PC통신 동호회와 차별화한 사용자 중심의 커뮤니티 서비스 ‘다음 카페’까지 주목받으면서 코스닥 시장에 등록하는 등 승승장구했다.

하지만 커뮤니티에 치중했던 다음은 인터넷 유저들이‘검색’에 대한 새로운 욕구를 갖고 있다는 사실을 알고도 발빠르게 대처하지 못한 채 네이버에 정상 자리를 내주고 말았다.

네이버의 도전이 거세지기 전 소위‘잘나가던’때인 2000년 다음도 자체 검색서비스 도입을 검토한 적 있으나 카페 시장에만 전념하며 검색시장 진출을 차일피일 미뤄왔던 것.

이 때문에 네이버는 검색서비스 시장의 80%를 선점하며 다음을 물리치고 매출 1위의 포털 기업으로 치고 올라갈 수 있었다. 다음은 뒤늦은 2005년에야 카페검색 등을 통해 검색 서비스 강화에 나섰지만 네이버와의 격차를 줄이는 게 쉽지 않게 됐다.

그렇다면 네이버를 1위 업체로 만든 검색서비스의 힘은 얼마나 클까.

인터넷 시장 조사업체인 코리안클릭에 따르면 지난 7월 국내 검색서비스 시장의 78%를 네이버가 차지했다. 97년 창사 이후로 최고치다. 이는 인터넷 검색 10건 중 8건이 네이버를 통해 이뤄진다는 의미다.

업계에서는 네이버의 검색서비스 중 특히 이용자들이 스스로 묻고 답하는 형식의 ‘지식iN 서비스’를 네이버 성장의 견인차로 분석하고 있다. 네이버 전체 검색이용량의 30%를 차지하는 이 서비스는 이용자가 많아 정보가 많아지고 정보가 많아져 이용자가 더 늘어나는 선순환 구조를 지녀 정보 집중화 구조를 뛰어넘는 서비스가 나오지 않는 한 네이버의 독주를 이끄는 핵심 서비스가 될 것으로 보여진다.

이 같은 검색서비스의 인기를 등에 업고 네이버는 모기업인 NHN의 코스닥시장 시가총액이 최근 10조원을 돌파하는 등 공룡기업화되고 있다. 현재 네이버에 방문하는 인터넷 유저는 1600만 명(1일기준). 이 중 900만 명이 네이버 검색창에 약 1억 건의 질문을 넣고 있다.

《Round 2》
네이버 ‘위기’ vs 다음 ‘도전’

유저들의 트렌드에 민감한 포털시장에서 영원한 1위 기업은 있을까. 그동안 인터넷 업계에선‘3의 법칙’이 있어왔다. 3년마다 포털 1위 자리가 바뀐다는 뜻이다. 지난 97년 1위였던 야후는 3년 뒤인 2000년 다음에 정상 자리를 내줬으며 다음 역시 3년이 다된 2002년 하반기 네이버에 1등 자리를 뺏겼다. 비록 네이버가 3년을 넘기기는 했지만 업계 일각에서는 네이버가 전사회적인 견제 때문에 정상의 자리를 놓칠 수도 있다며 경고하는 목소리가 높다.

실제로 ‘포털 3대 챔피언’인 네이버에 이 같은 징후가 포착되고 있는 듯하다.

정부의 규제가 먼저 들어왔다. 공정거래위원회는 불공정거래 혐의와 관련해 네이버가 콘텐츠제공업체(CP)와의 관계에서 지배적 지위를 남용했는지에 대한 여부를 조사 중이다. 여기에 국세청이 네이버를 포함한 포털업체에 대한 세무조사를 벌이고 있고, 정보통신부 역시 인터넷 포털사이트의 문제점을 조사하고 이를 종합적으로 규제할 법적 근거를 만들기 위한 태스크포스팀(TFT)을 운영 중이다.

정치권에서도 대형 포털의 불공정거래와 관련한 법안을 만들기 위해 토론회를 개최하는 등 1위 기업인 네이버를 타깃으로 한 규제의 분위기가 무르익고 있다.

이와 관련해 최내현 한국인터넷콘텐츠협회장은“한국 네티즌의 70~80%는 네이버가 보여주는 세상만 보게 되는 것이 문제”라며 네이버의 잣대에 맞춰진 검색결과는 자칫 정보의 왜곡화를 가져올 수 있다고 경고하기도 했다.

엎친 데 덮친 격으로 네이버는 최근 무료 실시간 보안 서비스를 시행하려다 안철수연구소 등의 보안업체와도 갈등을 빚고 있다. 모기업인 NHN마저 한게임의 웹보드 게임이‘제2의 바다이야기’로 사행성을 조장하고 있다는 비난에 직면한 상태다.

1위 기업에 위기가 닥친다는 것은 역으로 2위 기업엔 기회가 온다는 뜻. 2위의 다음은 지금을 정상탈환의 중요한 시기로 보고 틈새시장에 주목하고 있다. 다음의 핵심 키워드는 바로 ‘사용자제작콘텐츠(UCC)’. UCC 중에서도 동영상UCC에 올인하고 있다. 앞으로 인터넷 검색시대가 가고 동영상 UCC가 주류를 이룰 것이라는 전망에 따른 조치다.

다음 관계자는 “UCC는 새로운 인터넷 트렌드”라고 자신하며“현재 전체 포털에서 UCC서비스 점유율이 60%가 될 정도로 좋은 평가를 받고 있다”고 소개했다.

실제로 다음의 대표 UCC 서비스인 ‘tv팟’은 지난 8월 기준으로 주간 순 방문자 수(UV)만 350만, 페이지뷰(PV)는 3394회를 기록했으며 포털 내 시장점유율 65%(업계 1위)를 나타내고 있다. UCC와 더불어 다음은 네이버의 주력 서비스인 검색분야에 다시 도전장을 냈다. ‘전문영역 검색’이라는 틈새를 노려 유저들을 빼앗아 온다는 전략의 일환이다.

이를 위해 다음은 지난 5월 자체 검색엔진을 개발, 완료해 대용량 데이터를 처리할 수 있도록 하고 CPC(클릭당 과금) 검색광고 대행사도 세계 최고의 검색 기술력을 보유한 구글로 교체하며 네이버에 ‘맞불’을 놓고 있다.

효과는 조금씩 현실화되는 듯하다. ‘동영상’‘지역’‘사전(일본어)’등 전문 영역의 검색에서 오히려 네이버를 앞지르거나 대등한 트래픽을 나타내고 있는 것.

코리안클릭에 따르면 지난 6월 동영상 검색에서 다음의 1인당 페이지뷰(PV)가 17.5회로 네이버의 13.5회를 앞질렀다. 또 일본어 사전의 경우 올 3월부터 사전검색에 강하던 네이버를 추월하기 시작했다.

김진욱 기자(action@ermedia.net)

삼성전기 휴대전화 연료전지용 초소형 수소 발생장치 개발

(서울=연합뉴스) 윤종석 기자 = 물만 있으면 작동하는 휴대전화를 쓸 수 있는 시대가 성큼 다가오고 있다.

삼성전기[009150]는 11일 휴대전화용 연료전지의 핵심 부품인 초소형 수소 발생장치(이하 카트리지)를 세계 최초로 개발했다고 밝혔다.

연료전지는 물이나 메탄올 등에서 수소를 추출해 에너지원으로 활용하는 차세대 전지를 말하며, 삼성전기가 개발한 이 제품은 메탄올 없이 물만 이용한다.

이 카트리지는 크기가 40㏄에 불과한 초소형이지만 최대 3W의 출력을 낼 수 있어 휴대전화 등 모바일 기기에 사용할 수 있다.

삼성전기는 이 카트리지가 장착된 연료전지를 사용하면 기존 2차 전지의 2배 이상인 10시간 동안 연속 통화가 가능하다고 설명했다.

삼성전기 관계자는 "이 기술이 실용화되면 소비자가 하루 평균 4시간씩 휴대전화를 이용할 경우 5일에 한 번씩만 카트리지를 교체하면 된다"며 "기술 개발이 더 진전다면 카트리지를 교체하지 않고 물만 카트리지에 다시 채워넣어도 될 수 있는 때가 올 것"이라고 말했다.

이 제품은 폭발할 위험이 있는 메탄올이 아닌 물에서 수소를 추출해 안전하고 무엇보다 친환경적인 것이 장점이다.

또한 이 제품은 순수한 수소만을 연료로 공급하기 때문에 고분자전해질연료전지(PEMFC: Polymer Electrolyte Membrane Fuel Cell) 방식의 모든 마이크로 연료전지에 장착할 수 있다.

특히 주요 업체들이 개발 중인 메탄올과 물의 혼합물을 연료로 사용하는 직접메탄올연료전지(DMFC) 방식과 비교해도 별도의 기계 장치가 필요 없어 50％ 이상 소형화할 수 있다.

삼성전기는 이번 제품과 관련해 30여 건의 국내외 특허를 출원했으며, 이 기술을 일산 킨텍스(KINTEX)에서 열린 '2007 한국전자전'에서 처음으로 외부에 공개했다.

삼성전기 관계자는 "이 카트리지를 휴대전화 외에 PDA, 디지털카메라 등 다양한 휴대용 기기에 접목해 시장을 선도해 나갈 계획"이라고 말했다.

노무라연구소에 따르면 휴대용 연료전지 시장은 2008년에 2천500억원, 2010년 6천억원, 2012년 1조6천500억원 등으로 연평균 300％ 이상 성장할 것으로 전망된다.

banana@yna.co.kr

국내 대표적인 게임 아이템거래 사이트들에서 잇따라 접속장애사고가 나고 있는 가운데, 아이템플포와 아이템베이가 분산서비스거부공격(DDoS)에 따른 접속장애로 발생한 것이라고 시인했다.

이에 따라 다른 아이템거래 사이트들도 이와 유사한 방식의 해킹 공격에 당했을 것으로 관측된다.

아이템거래업체 아이템플포의 한 관계자는 10일 오전 "추석부터 지속된 접속 장애의 원인은 접속과다로 사이트 장애를 일으키는 해킹에 의한 것"이라고 밝혔다. 이 관계자는 "하지만 개인정보나 개인 마일리지에는 전혀 문제가 없다"고 말했다.

아이템베이 측도 이날 오후 6시 이번 접속장애가 DDoS(분산 서비스 거부) 공격에 의한 것이라고 밝혔다.

DDoS 공격은 불특정 다수의 PC에 숨어있는 봇(Bot)들을 이용해 특정 사이트에 과부하를 걸어 서비스를 중단시키는 해킹 공격으로, 내부 정보를 조작하거나 유출해가는 서버 해킹과는 다르다.

당초 보안 전문가들은 특정 서버에 과도한 트래픽을 보내 서버를 다운시키고 돈을 요구하는 분산서비스거부(DDoS) 가능성을 제기했으나 아이템베이를 비롯한 업체들은 "해킹은 아니다"라며 부인해왔다.

아이템매니아와 아이템베이, 아이템플포 등 국내 주요 아이템거래 사이트들은 지난달 추석 연휴 이후 지속적인 접속장애를 겪어왔다.

특히 아이템매니아는 10일 저녁까지도 회선에 따라 네트워크 접속장애가 지속되는 등 제대로 된 서비스가 이루어지지 않고 있다. 아이템베이는 네트워크 망의 대역폭이 모두 소모돼 서비스가 불가능한 상태다.

현재 접속이 제대로 되고 있는 아이템플포 역시 언제 또 다시 접속 폭주를 동반하는 해킹 공격으로 사이트가 마비될 지 모르는 상황이다.

올들어 화상채팅사이트나 중소 IDC(인테넷데이터센터)를 상대로 과도한 트래픽을 일으켜 서비스를 다운시킨 뒤 `서비스 정상가동'을 조건으로 금전을 요구하는 `중국발 해킹'에 당한 사례들이 지속적으로 보고되고 있다.

아이템거래사이트인 아이템리아는 최근 공지사항을 통해 "해커들에게 보안이 부족해 협박을 받는 등 많은 고충이 있어, 부득히 서버점검을 실시하게 됐다"고 밝히기도 했다.

하지만 소규모 사이트인 아이템리아를 제외한 주요 업체들은 트래픽 폭주로 인한 서비스 장애는 맞지만 해킹은 아니라며 구체적 원인을 함구해왔다.

아이템거래업체 연합체인 디지털자산유통협회 역시 "회원사들이 구체적인 상황을 얘기하고 있지 않으며 다만 해당 업체들이 서버 교체나 이동 등 관련 조치를 취하고 있다고 들었다"고 말했다.

해킹은 그 가능성 만으로도 해당 업체의 공신력에 큰 타격을 준다. 특히 금전이 오고가는 온라인 거래 사이트라면 불안은 배로 가중될 수 밖에 없다. 정확한 이유를 모른 채 아이템 거래가 정지된 유저들의 반발도 거세지고 있다.

한 게이머는 "사이트 거래가 안돼 답답하다. 개인정보와 마일리지에는 문제가 없다고 하지만, 이런 사태가 반복된다면 중개사이트를 어떻게 믿겠느냐"고 불만을 터트렸다.

美 스프린트넥스텔社 게리 포시 CEO의 사임으로 同社의 가장 야심찬 프로젝트인 50억 달러 규모의 전미 와이맥스 네트워크 구축 사업의 미래가 불확실해졌다.

同社 이사회는 포시 CEO의 후임자를 외부에서 물색 중인데, 신임 CEO는 고객 서비스, 가입자 유지, 2년전 넥스텔社 인수 이후 어려움을 겪고 있는 네트워크 통합 등 핵심 분야 개선에 주력할 것으로 보인다.

애널리스트와 업계 전문가들은 후임자가 美 AT&T社 이통사업부 및 美 버라이즌와이어리스社 등 업계 선도업체들과의 경쟁 전략을 면밀히 검토할 것이며, 'Xohm'으로 불리는 와이맥스 프로젝트와 와이맥스 부문 선구자인 美 클리어와이어社와의 파트너십을 신중히 재검토 할 것으로 전망했다.