결정은 사용자에게, 단 결정에 도움이 되는 정보는 적극 제공
리스크 파악, 데이터 분석, 상황 판단 모두 훈련할 수 있는 기회

[보안뉴스 문가용] 어떤 분야나 노력으로 채울 수 있는 부분이 있는가 하면, 재능이나 타고난 성향이 개입하는 부분이 있다. 지식이 부족한 건 공부를 통해 보충이 가능하다. 하지만 순간순간의 대처 같은 ‘번뜩임’은 훈련으로 키우는 데에 한계가 있기 마련이다.


▲ 분석? 너도 할 수 있어!

페이스북이 그룹 기능을 새로 추가했을 때, 문제가 엄청나게 발생하기 시작했다. 사람이 몰리는 여느 사이트, 여느 기능이 그렇듯 스팸과 스팸봇이 성행했기 때문이다. 페이스북은 이에 적극 대처했고, 잘 처리했다. 특이할만한 건 해결 과정에 사용자들을 적극 참가시켰다는 것이다.

먼저 그룹의 관리자는 가입 신청자를 받아들일 것인가 아닐 것인가 직접 선택을 하도록 되어 있다. 페이스북은 이 선택에 도움이 될 만한 매개변수들을 노출시키기 시작했다. 신청자의 이름은 물론, 당사자의 페이스북 페이지 링크, 판단에 즉각 반영시킬 수 있는 여러 요소들이 관리자에게 보이기 시작한 것이다.

그 요소 중 하나가 겹치는 페이스북 친구가 있는지 보여주는 것이다. 내가 아는 누군가와의 친구라면 이 신청자가 진짜 사용자인지 봇인지 판단할 수가 있다. 심지어 어떤 사람이냐고 물어보는 수동적인 방법도 가능해진다.

또 다른 요소로는 ‘해당 사용자의 프로파일이 만들어진 날짜’가 있다. 대체적으로 한 달이 지난 계정이라면 안전하다고 판단하던 시절도 있었지만 이젠 연단위로 판단을 해야 한다. 만들어진 지 1년이 넘지 않았다면 위험할 가능성이 존재한다.

그밖에 해당 신청자가 다른 그룹에 가입되어 있는지, 그렇다면 어떤 성격의 그룹인지도 알려준다. 너무 적은 그룹에 속해 있거나, 너무 많은 그룹에 속해 있다면 이상하다고 볼 만 하다. 물론 이는 절대적인 기준이 될 수는 없다.

만약 관리자가 결정을 즉각 하지 않으면 어떤 일이 일어날까? 가입 신청을 수락할 때까지 며칠 걸렸다면? 페이스북이 해당 계정이 진짜인지 가짜인지 판단할 수 있는 시간을 주는 것과 같다. 가입 신청이 이루어진 계정이 가짜라면 페이스북 사용자들 중 누군가 페이스북에 신고를 할 수도 있다. 그런 경우 신청자 이름은 클릭이 가능한 파란색이 아니라 검은색으로 표기된다.

이렇게 최종 판단은 사용자에게 맡기되, 최대한 올바른 판단을 할 수 있도록 자료를 제공하는 방식은 꽤나 성공적이다. 개인적으로 이 방법이 굉장히 마음에 드는데, 단지 성공적이어서만이 아니다. 알게 모르게 여기에 참여하게 되는 페이스북 사용자들이 데이터를 읽고, 분석하고, 판단을 내리는 법을 익힐 수 있기 때문이다. 즉, 잠재된 위협이 무엇인지 이해하고, 관련 데이터를 분석하는 훈련을 공짜로 시켜주는 것이나 다름없다.

그리하여 페이스북 그룹의 관리자는 물론 멤버들까지 보안 분석을 자연스럽게 일상생활에 접목시키고 있다. 이런 작은 훈련의 반복이 ‘성향’을 만들고, 이것이 재능까지는 몰라도 순간의 번뜩임으로 이어질 가능성은 매우 높다. 바라는 건 페이스북 그룹 관리자 및 멤버들이 사이버 공간의 다른 곳에서도 자신들이 몸에 익힌 보안 습관을 적용할 수 있었으면 좋겠다.

글 : 가디 에브론(Gadi Evron)
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

- 국내 최대 규모의 개인정보보호 컨퍼런스 PIS FAIR 2016 - 6월 9일(목)~10일(금) 개최
- 공공·금융·민간 CPO, 개인정보처리자, 보안담당자 등 4,000여명 참석
- 공무원상시학습, CPPG, CISSP, CISA 등 관련 교육이수(최대 16시간) 인정
- CPO, 개인정보처리자, 보안담당자 등 사전 무료 참관등록(www.pisfair.org/2016/)