암호화와 백도어, 시기적절한 사건으로 큰 관심 모아
첩보, 더 이상 언급하는 곳 없어 - 유행 지났나

[보안뉴스 문가용] RSA 컨퍼런스가 끝났다. 4만 명의 보안 전문가들과 벤더들이 모인 이번 행사에서 나오는 말들은 가장 최근 시점의 트렌드를 굉장히 정확하게 반영하고 또 앞으로의 시장 변화를 예측하게 해주는 근거가 되어준다. 공식 강연과 키노트는 물론이고 복도에서 자유롭게 이루어지는 자유토론과 칵테일 나누며 농담 반 진담 반 섞인 이야기들을 종합해 가지를 치고 쳐 핵심 키워드를 꼽아보았다.



1. 암호화화 백도어
하필 이 타이밍에 애플 vs. FBI 사건이 터지는 바람에 암호화와 백도어에 관한 이야기가 가장 많았다. 물론 RSA측은 그 사건과 상관없이 해당 주제를 준비해왔다고 하는데, 그렇다면 행사 주최 측 입장에선 천운이 따른 것이나 다름없는 상황이었던 것. 브로미움(Bromium)이라는 보안 전문업체의 현장설문에 따르면 86%의 응답자가 애플을 지지한다고 밝혔다고 한다.

전 미국 국토안전부 장관이었던 마이클 처토프(Michael Chertoff)는 “백도어든 수사 보조 장치든, 생화학 무기와 같다. 왜냐하면 한 번 만들어지기만 하면 존재 자체로 사람들에게 상호의심과 불안을 심어줄 수 있기 때문이다”라고 말해 큰 호응을 받았다.

2. 버그 바운티
위에서 언급한 애플과 FBI의 사건은 단순히 암호화나 프라이버시 문제로만 그치지 않는다. 하필이면 민간부문을 대표하는 기업과 기관의 싸움이기 때문에 민관의 사이가 벌어지는 일까지 염려하는 목소리가 진작부터 나왔었다. 그러나 한 편에서는 싸워도 다른 한 편에서는 서로 협력하고 있기도 하다. 먼저 미국 국방부의 ‘핵 더 펜타곤(Hack the Pentagon)’ 버그 바운티가 좋은 사례다. 버그 바운티 자체야 새로울 것도 없는 것이지만 정부 기관이 민간부문의 협조를 구하는 방향성을 가지고 있다는 점에서 둘 사이는 악화일로를 밟을 것 같지는 않아 보인다.

국방부장관인 애슈턴 카터(Ashton Carter)는 벤처캐피탈 회사인 KPCB의 테드 슐레인(Ted Schlein)과 함께한 대담을 통해 “버그 바운티 실시하는 회사는 이미 많이 있다”며 “재능과 기술력을 크라우드소싱하는 대단히 괜찮은 방법이라고 생각한다”고 밝혔다. “국방부도 버그 바운티 제도의 장점을 크게 보았고, 사상 최초의 버그 바운티를 시작했습니다. 이는 ‘사람들이 모였을 때’ 얼마나 큰 힘을 발휘할 수 있는지를 이해했고, 또 경험해보고 싶다는 소리입니다.”

3. 위협 첩보
이전 해와 다른 것이 있다면 위협 첩보 제공 및 공유 능력을 자랑하는 서비스나 솔루션들이 눈에 띄지 않았다는 점이다. 이는 그만큼 위협 첩보를 발견하고 나누는 게 기본 소양이 되었다는 뜻이거나 보안 업계에서 ‘첩보’라는 유행이 지나갔다는 뜻으로 볼 수 있다. 즉, 첩보라는 게 만연하다는 뜻인데 이는 보기에 따라 성공일 수도 있고 실패일 수도 있다는 것. 한 업자는 비공식적인 자리에서 “요즘은 솔루션이나 제품 설명마다 ‘첩보 제공’ 능력이 끼워 팔기처럼 들어 있다”며 “솔직히 말해 첩보다운 첩보는 하나도 없다고 본다”고 말했다.

이러나저러나 확실한 건 ‘첩보’라는 게 더 이상 보안 업계의 화두가 아니라는 것이다. 이런 문제에 대해서는 약 한 달 전 드라고스 시큐리티(Dragos Security)의 CEO인 로버트 리(Robert Lee)는 “한 가지 용어나 개념을 시장에서 남발하는 바람에 소비자들 사이에 잘못된 인식이 심겨지는 건 어느 산업에서나 일어나는 일”이라며 “그런 경우 시간이 경과하면서 소비자들에게 배척을 받거나 거품이 꺼지듯 사그라진다”고 말한 바 있다. 하지만 “그렇다고 해서 그 개념 자체가 잘못된 건 아니다”라고 했는데, 이를 첩보에 대입해보면 ‘첩보가 더 이상 소비자의 관심을 끌지 않는다고 해서 첩보 자체가 잘못된 개념은 아니’라고 정리할 수 있다.

로버트 리는 이번 행사에서 “많은 사람들이 첩보와 데이터를 혼용해왔다”고 이 현상을 진단했다. “데이터와 정보, 첩보에는 큰 차이가 있는데 그걸 온전히 이해하는 사람이 아직도 드문 것 같습니다. 첩보를 공유하자고 커뮤니티를 만들었지만 데이터와 첩보를 구분하지 못하니 사실 아무 것도 이루지 못했다고 봐도 무방합니다. 그 증거로 공유 법안이 통과되기도 하고 산업 내 움직임이 일어나고 있어도 정보보안 사건사고는 똑같은 패턴으로 일어나고 있죠.”

학술적으로 봤을 때 정보(information)와 첩보(intelligence)의 차이는 다음과 같이 정리가 가능하다.



[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>