보안에 독이 되는 7가지 고정관념

직업으로 대하는 사이버 보안이 사람을 지치게 만든다는 것은 이미 잘 알려진 사실이다. 보안 전문가에 대한 요구는 매일 조금씩 더 늘어나고 있으며 여기에 따른 중압감도 크다. 이유는 여러 가지가 있지만, 그 바탕은 보안에 대한 보편적인 사고방식이다. 이 같은 잘못된 사고방식을 인식하고 바꾸면 모두가 성공을 위해 더 유리한 대열을 갖출 수 있을 것이다.

 

 

사고방식이 중요한 이유

사이버 보안은 고도로 기술적인 분야다. 어떤 면에서는 엄격한 과학이지만 또 다른 면에서는 심리와 사기가 크게 작용하는 인간적인 싸움이다. 보안 전문가가 가진 역량의 기저에는 마음가짐이 있다. 이 마음가짐은 보안과 비즈니스에서 보안의 역할에 대한 업계 전반적인 여러 전제의 영향을 받는다.
 
다음 7가지 편견은 건강한 보안 환경을 조성하기 위해 더 자주적이고 협조적인 신념으로 바꿔야 할 대표적인 잘못된 마음가짐이다. 
 

1. 보안은 목적지다

의식하지 못한 사이 사람들의 인식에 뿌리깊게 박힌 사이버 보안에 대한 믿음은 보안은 우리가 도달할 수 있는 목적지, 끝내고 옆으로 치워 둘 수 있는 일이라는 인식이다. 의식적인 믿음은 아니다. 의식적으로는 디지털 비즈니스 보호가 지속적인 과정임을 알고 있다. 그러나 무의식에서는 보안 작업을 완료하고 최소한 한동안은 마음을 놓아도 될 것이라고 생각하기 쉽다.
 
이 사고방식은 모두에게 불필요한 스트레스를 줄 뿐이다. 보안을 위한 노력에 끝이 있다는 생각을 갖게 되면, 해야 할 일이 항상 더 있다는 사실을 마주할 때마다 실망감 또는 실패감을 느끼게 된다. 목적지에 도달하는 못했다는 죄책감을 느끼게 된다. 하지만 사실 보안의 속성이 원래 그렇다.
 
보안은 여정이고 지속적인 과정이라는 것을 받아들이면 현실을 직시하고 쓸데없는 스트레스 요인, 즉, 편히 쉴 수 있는 사이버 보안의 종점은 영원히 오지 않을 것이라는 불쾌한 생각을 없앨 수 있다. 답은 해결의 희망이 없는 스트레스를 짊어지지 않는 것이다. 그 대신 다양한 지형을 거치는 모험이라고 생각하면 된다. 오르막길도 나오고 내리막길도 나온다. 힘든 구간도 있고 쉬운 구간도 있다. 중간중간 쉼터도 많으므로 잠시 쉬었다가 다시 여정을 이어가면 된다.
 

2. 보안은 담당 전문가의 일

많은 경우 우리는 보안 전문가가 보안의 소유자라고 생각하지만 이는 잘못된 생각이며 두 가지 부정적인 결과로 이어진다. 첫째, 보안 전문가 이외의 모든 사람들이 보안에 대해 책임감을 느끼지 않게 된다. 둘째, 마치 보안 담당자만 해야 할 일인 듯 이들을 고립시킨다.
 
소프트웨어 개발자는 소프트웨어를 최종적으로 인도할 때까지 보안을 무시할 것이 아니라 수명 주기의 모든 단계에서, 항상 보안에 대해 생각해야 한다. 다른 모든 사람들도 마찬가지다. 항상 의식하고 있어야 피싱을 비롯한 공격을 식별할 수 있다.
 
물론 보안 전문가는 리더이자 가이드지만 궁극적으로 보안은 모두의 책임이며, 모든 직원은 조직의 전반적인 보안 태세에 자신이 기여할 힘이 있다고 느껴야 한다. 보안을 모두의 소유로, 공동의 노력으로 보면 더 강력한 커뮤니티를 만들 수 있다.
 

3. 보안은 갈수록 어려워진다

끝이 없으면서 갈수록 더 어려워지는 일만큼 의욕을 꺾는 일은 없다. 기업을 보호한다는 것은 때로는 시시포스가 언덕 위로 바위를 밀어 올리는 일처럼 보이기도 한다. 심지어 매일 바위가 조금씩 더 커지기까지 한다. 범죄자들은 갈수록 교묘해지고 더 나은 툴과 조직을 사용하며, 보호해야 하는 디지털 인프라는 갈수록 더 확장되고 복잡해지고 상호 연결된다.
 
사실 공격자와 방어자의 싸움은 밀물과 썰물처럼 오간다. 선량한 사람들이 앞설 때도 있지만 뒤쳐질 때도 있다. 랜섬웨어가 좋은 예다. 한동안은 범죄자들이 주도권을 쥔 듯이 보였다. 그러나 그에 대응해서 업계가 발전했고 측정 가능한 성과를 거두며 반격에 나섰다. 물론 이 같은 전진과 후퇴는 앞으로도 계속되겠지만 전반적으로 보면 우리가 훨씬 더 안정적인 위치에 있다.
 
이 같은 주기적 속성을 받아들이면 위협이 증가할 때 단단히 대비하고, 약화될 때는 적절한 수준으로 경계를 풀 수 있는 태도를 취할 수 있다. 항상 경계는 하지만 항상 데프콘 1, 적색 경보 수준인 것은 아니라는 의미다. 장기적인 성공을 위해서는 정신적인 균형이 절대적으로 중요하다.
 

4. 보안은 제품이다

보안을 인프라에 나사로 고정하는 독립적인 기능이나 부가적인 제품, 또는 최종적으로 완성해서 인도해야 하는 개별적인 요소로 보는 경우가 많다. 이는 소프트웨어 개발의 오랜 관점으로, 개별적인 구성요소로 본다는 면에서 과거 품질에 대해 생각했던 것과 비슷하다.
 
아리스토텔레스가 한 유명한 말로 “품질은 행동이 아닌 습관”이라는 말이 있다. 품질과 마찬가지로 보안도 완성된 제품이 아니라 지속적인 훈련이다. 보안을 지속적으로 정제하고 연마해야 하는 관행으로 보면 그런 방식으로 보안을 다루기 위한 에너지가 생긴다. 사람들이 정기적으로 운동을 하고 매일 식단을 모니터링함으로써 더 건강해지듯이, 보안도 마찬가지다. 기타 또는 무술을 잘하려면 끊임없이 연마해야 하지만, 아무리 해도 더 개선할 여지는 항상 있다. 보안도 마찬가지다.
 
한탄하는 대신 그 사실에 기대서 노력을 위한 원동력을 만들어내자. 항상 성장의 여지가 있고 역량을 완전히 발휘할 수 있는 분야에서 일을 한다는 것은 사실 축복이다. 이 관점을 회사 전체와 공유해서 모두가 보안을 실천한다는 사고방식을 갖추도록 해야 한다. 전문가를 스승으로 두고, 모두 함께 항상 배우면서 보안을 실천하는 것이다.
 
보안은 만들어서 전달되는 하나의 제품이 아니라 습관이 되어야 한다. 제품과 툴은 필연적인 결과이자 보조 수단일 뿐이다. 보안을 통해 구축해야 하는 것은 문화, 태도, 인식이다. 간단히 말해 보안은 매일 개인적으로, 조직적으로 실천하는 것이다.
 

5. 보안은 범죄가 주도한다

범죄자와 두더지 잡기 게임을 하다 보면 게임의 주도권을 쥔 것이 저쪽이라고 느껴질 때가 있다. 보안 전문가는 끝없이 불을 끄거나 공격자들이 시스템에 침해하는 데 사용할 수 있는 새로운 방법을 찾는다. 보안을 범죄자의 활동에 대응하는 작업으로만 생각한다면 스스로를 무력감과 좌절감 속에 밀어 넣을 뿐이다.
 
그러나 진실은 비즈니스가 주도권을 갖고 있다는 것이다. 기업의 가치와 창의성은 비윤리적인 사람들을 끌어들이는 매력적인 표적이 된다. 사이버 범죄자들을 과소평가하려는 것이 아니다. 실제로 이들의 공격 수법은 매우 교활하므로 심각하게 받아들여야 한다.
 
가치는 합법적인 비즈니스가 있기에 존재한다. 범죄는 기생할 뿐이다. 확실히, 보안을 주도하는 주체는 비즈니스이며 비즈니스가 없으면 사이버 범죄가 기생할 대상도 없다. 보안 전문가들은 합법적인 기업의 수호자이며 범죄자들은 외부에서 할 수 있는 무엇이든 훔치려 든다. 침투 스캔과 같은 선제적 조치를 취함으로써 이 점을 인식시킬 수 있다.
 

6. 보안은 100% 달성 가능하다

측정 가능한 요소는 강력한 보안을 위해 매우 중요하다. 평균 탐지 시간(MTTD)과 같은 지표는 상황을 모니터링하고 프로그램의 효과를 가늠할 수 있게 해준다. 문제는 지표가 항상 긍정적인 방향으로만 움직여야 한다고 생각하거나 심지어는 거의 완벽한 영역에 머물러야 한다고 생각할 때 발생한다.
 
지표는 달성 가능한 목표가 아니라 표지판이다. 핵심은 올바른 방향으로 움직이기 위한 단계를 수행하고 지표가 문제를 나타낼 때 정보를 사용해 조치를 취하는 것이다. 보안을 위해서는 측정을 정직하게 받아들여야 한다. KPI를 볼 때 우리는 이를 유기체의 면역 체계의 상태를 관찰하기 위한 대시보드 모니터링이라고 생각해야 한다. 항상 완벽을 향해 나아가고 그 자리에 머물러야 한다는 비현실적인 요구는 사실 왜곡된 지표의 원인이 된다. 정직한 평가가 핵심이다.
 

7. 보안은 인정받지 못하는 분야다

오래전부터 보안은 실패할 때만 관심을 받는다는 말이 있다. 더 심하게는 보안을 혁신 또는 업무 수행에 방해가 되는 필요악으로 보는 경우도 있다. 모두가 보안에 대해 잊을 수 있다면 훨씬 더 빠르게 움직일 수 있을 것이다. 마찬가지로, 품질과 고객 만족에 대해 잊고 소프트웨어를 구축하는 데만 집중하면 된다. 터무니없는 소리다. 개발의 모든 단계에서 보안을 고려해야 한다는 사실에 불평하는 것 역시 터무니없다.
 
무언가 잘못되고 중대한 침해가 발견되면 법석을 피우는 경향이 있다. 도대체 어떻게 이런 일이 일어났을까? 누가 실수했나? 누군가는 해고되어야 한다. 그러나 모든 것이 원활하게 굴러가고 있을 때는 그렇게 해주는 사람들을 무시하거나 더 심하게는 방해물로 취급한다.
 
보안이 실패할 때만 관심을 갖는 경향을 바꿔야 한다. 보안은 항상 인정받아야 한다. 모든 사람들이 가능한 최상의 조건에서 업무를 수행할 수 있게 해주는 작업으로 인식해야 한다.
editor@itworld.co.kr