IT 보안, 원래는 IT 기술 분야에서 파생됐지만 “달라도 너무 달라”
둘이 갈라졌을 때 해머토스 공격 성공...합쳤을 때는 운영 비용 절감

[보안뉴스 문가용 기자] 현대의 모든 조직들은 IT에 크게 의존하여 각자의 사업을 진행한다. 그렇기 때문에 IT 인프라인 네트워크와 클라우드 등의 안전에 촉각을 곤두세운다. 안전이 매우 중요하다는 것에 모두가 동의한다. 그러나 안전이 중요하다는 게 안전만 중요하다는 뜻은 아니다. 업체 입장에선 안전한 것도 중요하지만 활동을 벌여 수익을 내는 것도 중요하다. 하지만 이 둘 – IT 기술과 IT 보안 - 을 함께 생각하는 것에 우린 아직 익숙하지 않다.


▲ 아니, 이런 그림이 아니야...

IT 분야에서 일하는 사람치고 기술과 보안의 좁혀지지 않는 간극에 대해 이상하게 생각하는 사람은 없을 것이다. IT 분야라는 게 처음 막 사람들의 입에 오르내리기 시작하고, 막 태어난 이 분야로 돈을 버는 사람들이 조금씩 늘어날 무렵, 업체들은 당연히 안전보다는 생산과 수익에 더 집중했다.

IT 부서는 바빠졌다. 웹사이트를 만들고, 애플리케이션을 만들고, 통신 시스템을 만들고, 유지 보수하느라. 생산, 생산, 생산만 반복되었다. 그런 틈을 타 슬그머니 사이버 공격들이 시작됐다. 사소하고 작아 보이는 이런 사건들에 화들짝 놀라 부서를 창설하는 조직은 없었다. 한 사람 정도 IT 부서 일원으로 고용되는 것이 전부였다. 즉 일반 사무 환경에서 IT 보안 부서란, IT 기술 부서에서 파생된 혹 덩어리 같은 거였다.

IT 보안의 출생 스토리를 보면 의아해진다. 어찌됐든 하나의 조직 혹은 부서에서 출발했는데, 지금 우리가 느끼는 그 엄청난 간극은 어떻게 생긴 것일까? 그건 오히려 하나의 조직 혹은 부서에서 출발했기 때문에 생긴 것이라고 볼 수 있다. 보안을 담당하는 IT 전문가를 데려다 놨는데, 기존 IT 부서 근무자들과 전혀 다른 용어와 툴, 개념을 가지고 있었고, 이게 그냥 ‘다른’ 정도가 아니라 일상의 업무에서 충돌을 일으킬 정도로 뿌리 깊은 차이를 품고 있었기 때문이다. 같은 줄 알았는데, 달라도 너무 달랐다. 반목만 거세졌다.

그러니 리더급들은 이 둘을 중재하기 위해 고민을 해야 했다. 안전하면서 이윤 창출에 지장이 없는 그 적정선을 찾아야만 했다. 지나치게 안전을 꾀해 투자가 비효율적으로 이뤄지는 건 아닐까? 혹은 너무 생산과 이윤 창출에만 신경 쓴 나머지, 치명적일 수 있는 리스크를 무시해오고 있는 건 아닐까?

아직 답이 나오지도 않았는데, 그 틈을 해커들이 빠르게 비집고 들어와 있다. 가장 좋은 예가 해머토스(Hammertoss)라는 툴이다. 해머토스는 정상적인 사용자의 행동을 그대로 따라하는 기능을 가지고 있다. 네트워크 가시성을 충분히 확보하지 못한 기업에서는 깜빡 속을 수밖에 없다. 게다가 뒤로는 아주 천천히 데이터를 빼낸다. 대역폭을 너무나 적은 양만 사용하기 때문에 이 역시 이상하게 보이지 않는다. 하지만 IT 기술 부서와 IT 보안 부서가 업무를 공유하고 네트워크 상황에 대해 함께 파악하고 있다면 충분히 막을 수 있다고 한다.

물론 IT 기술 부서와 IT 보안 부서를 따로 운영함으로써 얻는 이득도 있다. 둘의 ‘전문 분야’가 다른 건 분명하기 때문에, 각각의 부서에 전문가를 꽂아두고 조직 입장에서 가장 필요한 스킬을 연마하도록 하면, 생산적이고 효율적이며 무엇보다 평화롭다. 하지만 이 장점을 살린다고 반드시 둘을 섬처럼 따로 분리해내야 할 필요는 없다. 요는, 독립된 특수 분야의 장점도 살리며 어느 정도 공조의 장도 마련할 수 있는 절충안도 존재한다는 것이다.

둘의 협업이나 공조가 거창하기만 한 것은 아니다. 솔직히 두 부서의 소통만 조금 도와줘도 문제의 상당수가 해결되고, 간극이 좁혀든다. IT 보안 담당자들 입장에서 기업 내 네트워크 및 시스템에 대한 이해가 깊어지면 깊어질수록 이상 현상을 발견하기가 더 쉬워진다. 기업 네트워크 운영 등 IT 기술 부서원들의 업무 아는 만큼 보인다는 건 단지 미술관에 걸린 예술품 얘기만이 아니다. 해머토스가 아무리 은밀해도 두 부서가 공조하면 찾아낼 수 있다는 말이 이런 맥락에서 의미를 찾는다.

그렇다면 IT 기술 부서는 IT 보안 부서와 소통을 했을 때 어떤 도움을 받을까? 예를 들어 네트워크 확장 및 이전 작업을 진행해야 했을 때, 좀 더 현실에 맞는 분석을 진행할 수 있게 된다. 확장과 전진, 생산에 거의 모든 초점을 맞추고 있는 IT 기술 부서원들에게 IT 보안은 굉장히 새로운 시각을 제공한다. 예를 들면, 뼛속까지 IT 기술 출신인 사람은 시스템이 많으면 많을수록, 용량이 크면 클수록 좋다고 생각하는 경향이 있다. 하지만 대부분의 경우 네트워크 전체 용량의 40%는 전혀 사용되고 있지 않다는 연구 조사 결과가 있다. 쓰지도 않는 공간이 괜히 공격의 경로나 공격자의 은신처로서 악용될 가능성이 높다. 아니면 괜히 네트워크 구조가 더 복잡해진다는 것 자체만으로도 보안에 있어서는 ‘마이너스’ 요소가 된다. 이런 시각은 경제적으로도 도움이 된다.

여기서 살짝 개인적인 이야기를 덧붙이고자 한다. 정부 기관에서 일을 하던 때였다. 여러 정부 기관들의 사이버 방어 체제를 분석하고 근본 원인 분석(root cause analysis, RCA)을 실시하는 부서에서 근무했었다. 당시 평가팀과 사건 대응팀과 협업을 진행하며 사람, 프로세스, 기술, 정책 사이의 좁혀지지 않는 격차를 파악해나가는 일을 했다. 시간의 흐름과 함께 한 가지 패턴이 눈에 띄었다. IT 기술 조직과 IT 보안 조직이 긴밀히 협조하는 기관일수록 결과가 좋게 나왔다는 것이다.

IT 기술과 IT 보안이 지향하는 바는 다르다. 해야 하는 일이 다르고 툴도 다르고 관점도 다르다. 그럼에도 이 둘처럼 시너지를 크게 내는 분야도 없다. 조직의 수장들이 고민에 고민을 거듭하여 둘의 관계를 긴밀하게 가져갈 가치가 분명히 있다. 억지로라도 자리를 만들어 프로젝트를 같이 진행하도록 하고, 회의에도 같이 참석하게 하라. 최대한 말을 많이 나누게 하고, 서로의 특기와 전문성을 공유하도록 계기를 만들어줘야 한다. 그렇다고 술자리를 마련하고 노래방을 어울려 가라는 게 아니다. 좀 더 업무적으로 부딪히도록(혹은 만나도록) 해주는 게 중요하다. 분명히 비용절감이라는 가시적인 효과부터 눈에 띌 것이다.

글 : 트라비스 로지엑(Travis Rosiek)
[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>