보안 관련 판단, 안전한 ‘느낌’이 실효성보다 앞설 때가 있다
안전과 편의성의 균형, 아직도 갈팡질팡... 안전한 미래는 불투명

[보안뉴스 문가용] 지난 2001년 9.11 테러 직후, 공항 보안에 대한 논쟁에 불이 붙었다. 크게 두 가지 보안대책이 마련되었다. 하나는 기내 조종실 문에 강력한 잠금장치와 방탄 시스템을 마련해 테러리스트가 비행기 안에서 소란을 피워도 항로까지는 바꾸지 못하도록 하자는 것이었고, 다른 하나는 보안 검색대를 강화하는 것이었다.



결론만 말하자면 조종석을 강화하는 것이 훨씬 효과적이고 비용도 절감할 수 있는 방법이었지만, 채택된 것은 검색대를 강화하는 것이었다. 조종석 강화는 비행기 조종사나 승무원 외에는 볼 수 없는 부분이었고, 검색대는 공항을 이용하는 수많은 사람들이 눈으로 확인할 수 있는 방법이었기 때문이다. 이렇게 실질적인 효과는 배제하고 안전한 ‘느낌’만을 목적으로 마련하는 보안의 모든 방법들을 보안 연극, Security Theater라고 한다. ‘전시 행정’이란 말과 비슷한 어감이다. 보안의 명예롭지 않은 이름은 이 역사적인 보안사건의 사생아처럼 탄생했다.

그로부터 15년 후 3월 22일 브뤼셀 공항에서 자살 폭탄 테러가 발생해 32명이 사망했다. 공항 보안에 대한 이야기가 다시금 전파를 탔다. 이번엔 짐과 사람이 밀집되어 있으면 폭탄을 숨기기도 쉽고, 테러리스트 입장에선 굳이 비행기에 올라타지 않아도 터트리기에 좋은 지점이 마련된다는 주장이 힘을 받았다. 그래서 티케팅 시스템을 도입해 줄을 설 필요가 없게끔 하자는 방법론도 나왔고, 셀프서비스로 짐을 처리하는 등 공항 이용객들이 빨리 빨리 안전한 구역으로 들어갈 수 있도록 하자는 의견도 제기됐다. 사람이 덜 모이면 테러리스트의 타깃도 줄어들지만 보안 점검을 실시하는 것도 더 용이해지고 수상한 자의 활동도 더 눈에 띄게 된다.

단순히 보안인력을 늘리고 경비인원을 보강하며 경찰을 상주시키고 보안장비를 더 최신 것으로 바꾸자는 게 아니라 공항 운영 자체에 대한 변화를 지적했다는 점에 있어서 이런 논의들은 상당한 의미를 갖는다. 보안은 원래 환경에 종속되어야 하는데, 이는 상당수 많은 이들이 망각하는 부분이기 때문이다. 보안의 역사에 등장하는 오명, 보안 연극(Security Theater)을 드디어 벗어버릴 수 있을 것인가?

강화, 강화, 강화... 검색대만
그러나 사람은 쉽게 변하지 않는다. 화들짝 놀란 세계의 공항들이 대부분 9.11 때 했던 보안 연극을 되풀이하는 데에 그쳤던 것이다. 즉, 검색대와 검색 인력의 강화에 주력한 것이다. 사실 이번 사건이 비행기가 아니라 공항에서 발생한 것이기 때문에 어느 정도 이해가 가는 부분이 있다. 하지만 검색대 보안의 실효성은 여전히 증명되지 않은 상태고, 검색 강화 때문에 이용객들의 대기 시간이 길어질 수밖에 없어 군중 밀집 효과가 자연스럽게 발생한다. 그리고 이는 테러리스트들의 표적이 될 수밖에 없다. 문제가 원점으로 되돌아간 것.

게다가 사용자 편의가 심각하게 훼손되기 시작했다. 실제로 60여명의 보안인력을 증원한 시카고 오헤어 국제공항은 ‘Oh, Wait’ 국제공항이라는 불릴 정도로 줄을 선 사람들의 불평과 불만이 이어지고 있고, 미국의 공항 대부분 비슷한 상황을 겪고 있다. 각종 시사 언론지는 물론 패션지인 보그지에서도 이 문제에 대해 기사를 내보냈고 심지어 국회에서도 공청회가 열렸다. 구글에 airport long line을 검색해 첫 줄만 읽어도 이용객들의 분노가 느껴질 정도다.

미국만이 아니다. 말레이시아 쿠알라룸프르 국제공항에서도 ‘이 긴 줄 좀 해결해달라’고 이용객들은 외치고 있고, 러시아 모스크바의 브누코보 국제공항에서도 사람이 미어터졌다. 세계 곳곳의 공항들이 ‘검색대 보안’에 집중하면서 이용객의 불편이 이만저만이 아니게 된 것이다. 그러나 안전하다면야 이런 불편도 익숙해지면 된다고 설득해볼 건덕지라도 있는데, 과연 공항들은 안전하게 됐을까? 방금 언급한 브누코보 국제공항에서 무슨 일이 있었냐면, 10살짜리 소녀가 검색대를 그냥 통과해 비행기에 탑승하는 일이 벌어져 헤드라인을 장식하기도 했다. 4월 28일, 브뤼셀 공항이 일부 문을 열기 바로 직전의 일이었다.

브뤼셀 공항, 다시 문을 열다
세계 비행기 탑승객들이 줄을 길게 늘어서고 그 사이를 러시아의 10살 소녀가 웃으며 빠져나가는 상황 속에서 테러에 무너진 브뤼셀 공항은 약 한 달 반여의 시간 만에 다시 문을 열었다. 5월 2일의 일이었다. 운영 개선을 통해 사람들이 줄을 서지 않게끔 해야 한다는 목소리는 이 아픔 가득한 건물에 반영이 되었을까? 그렇지 않았다. 보안도 강력해지고 줄도 늘어났다는 것이 여행객 미디어인 에이펙스(APEX)의 첫 보도였다.

그러나 보안 관계자들은 ‘이것이 원래 표준이 되어야 한다’는 입장이다. 항공보안 전문가인 매튜 핀(Matthew Finn)은 “브뤼셀 공항에서 일어난 일이 어디 처음 있는 일인가?”라며 2011년 러시아 도모데도보 국제공항에서 일어난 테러 사건을 상기시켰다. 당시 37명의 이용객이 보안 검색대에 줄을 서 있다가 테러에 당해 사망한 사건이었는데, “그 후 도모데도보공항에 들어서는 순간부터 보안 검색대를 거치도록 해 놨다”고 덧붙였다. “그래야 맞죠. 이용객이 주차장에 차를 대는 순간부터 공항의 보안이 가동되어야 합니다. 터키, 이스라엘, 케냐의 공항들이 지금 그러한 상태입니다. 테러의 공포가 굉장히 실제적인 곳들이죠.”

안전하고 싶으면 어느 정도 불편할 수밖에 없다는 것이 그의 설명인 반면 에어포트리뷰(Airport Review)지의 편집장인 벤 보겔(Ben Vogel)은 “공항이 이런 식으로 느린 페이스로 운영될 때 발생하는 경제적 손실도 생각해야 한다”고 주장한다. “게다가 사람들이 몰려 있게 된다는 것 자체가 이미 ‘보안’에 위배되는 것 아닙니까? 불편과 불합리를 ‘안전’이라는 이름 아래 무조건 받아들여야 한다는 것, 그것도 어떤 의미에선 테러의 승리입니다.”

불편함과 안전의 균형, 보안의 오랜 질문
안전의 추구가 ‘편리함’과 대치되는 건 어제오늘 일이 아니다. 안전하려면 원래 불편해야 하기 때문인데, 사람에게는 어떻게 해서든 편한 쪽을 선택하려는 경향이 있기 때문이다. 묻지마 살인에 대비하려면 갑옷을 입고 다니면 안전할 텐데, 대신 걸음이 느려지고 앉고 서는 게 힘들어진다. 자동차 사고에 대비하려면 차가 최대한 다니지 않는 산책로나 골목길로 돌아돌아 가면 되겠지만, 이 경우 도착지에 도착할 수 있을지가 불투명해진다. 컴퓨터 해킹 범죄에 대비하려면 매일 암호를 바꿔주고, 내부자의 위협이나 배신(인간 해킹이라고도 한다)에 대비하려면 정말 믿을만한 소수의 사람들과 귓속말로만 대화하면 된다. 대신 자기가 설정한 암호에 가끔씩 스스로가 차단당하고, 귓속말 때문에 가슴에 답답함이 차곡차곡 쌓이는 건 어쩔 수 없다.

사물인터넷 보안전문가인 제이미 구치(Jamie Gooch)는 한 칼럼에서 안전과 편안함의 가치가 상충한다는 사실에 대해 “두 가치를 함께 가져가려면 시스템 전체가 바뀌어야 한다”고 썼다. 물건 하나하나, PC 한 대 한 대, 모바일 기기 하나하나를 다 따지고 들면, 그 자체로 매우 불편하며 효과적이지도 않다는 것이다. “결국 기획과 설계 단계에서부터 보안을 중심 가치로 두고 시작해야 합니다. 지금 사용자들이 느끼는 불편 중 상당 부분은 패치나 보안 업데이트 등 너무나 많은 후속 조치로부터 비롯됩니다.”

“그렇다면 그 시스템 전체라는 건 어떻게, 어떤 방향으로 바꿔야 하는가?”라는 질문이 생기는데, 바로 이 지점에서 보안의 논의는 멈춰 있다. 편안함의 가치가 목숨을 이어가는 것보다 중요하다고 외치는 극단의 주장에서 그 어떤 가치도 생명의 소중함보다 앞설 수 없다는 반대편 끝의 주장 사이에 수많은 생각들이 제각각 키 재기 중이다. 보안 대란이 예상되는 사물인터넷 시대가 다가오는데, 이 지리한 주제의 결론은 희미한 윤곽조차도 나오지 않은 상태다. 공항에서든 사이버 공간에서든 우리에게 안전한 미래가 허락될까?
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

- 국내 최대 규모의 개인정보보호 컨퍼런스 PIS FAIR 2016 - 6월 9일(목)~10일(금) 개최
- 공공·금융·민간 CPO, 개인정보처리자, 보안담당자 등 4,000여명 참석
- 공무원상시학습, CPPG, CISSP, CISA 등 관련 교육이수(최대 16시간) 인정
- CPO, 개인정보처리자, 보안담당자 등 사전 무료 참관등록(www.pisfair.org/2016/)