양치기 소년의 역할은 용맹한 전사가 아니라 늑대가 나타났음을 알리는 ‘경보기’ 역할

[보안뉴스= 황민주 맥아피코리아 엔터프라이즈사업부문 대표] 보안은 ‘취약성’과의 싸움이다. 전쟁의 양상과 비슷하다. 상대의 취약한 점을 찾기 위해 벌어지는 치열한 ‘정보전’이 전쟁의 시작이다. 상대의 약점을 알고 나면 승리의 7부 능선을 넘어섰다 해도 지나친 말이 아니다. 정보보안은 ‘시스템’에 대한 취약점과 ‘사람’에 대한 취약점을 동시에 생각해야 한다. 둘 중 하나라도 뚫리게 되면 위험하다. 그리고 상대의 취약한 면을 알게 되면 전략을 극대화 시킬 수 있다. 정보보안 설계 전 후, 취약한 점을 확인해야 하는 이유다.


▲평화로운 양떼들의 모습이지만 언제라도 늑대가 나타날 수 있기에 항상 대비가 필요하다[이미지=utoimage]

<양치기 소년과 늑대> 이솝우화가 주는 교훈은 ‘거짓말을 하면 안 된다’라고 배웠다. 그리고 모든 문제의 책임은 거짓말을 한 소년에게 있다고 배웠다. 정말 그럴까? 양치기 소년과 마을 사람들의 관계에서 이야기를 다시 보자. 양치기 소년의 역할은 무엇일까? 소년의 역할은 늑대를 물리치는 용맹한 전사가 아니라 늑대가 나타났을 때 마을 사람들에게 이를 알리는 것이다. ‘1차 경보장치’인 셈이다. 그런데 이 시스템이 한 번도 아니고 두 번씩이나 ‘오탐(False Positive)’을 일으킨다.

경보장치에 오탐이 발생하면 어떻게 해야 하는가? 더 이상 오탐이 생기지 않게 정책을 수정해야 한다. 그렇지만 마을 사람들은 첫 번째 상황이 벌어졌을 때, 어떠한 후속 조치도 없이 일상으로 돌아간다. 그리고 한 번이 아니라 두 번씩이나 그랬다는 것은 무엇을 의미할까? 과거, 늑대로부터 직접적인 피해를 받은 사실이 없거나 ‘양’의 가치가 반드시 지켜야 할 만큼 높지 않은 것으로 해석이 가능하다.

그렇다면 마을 사람들은 어떻게 대응해야 했을까? 첫째, 1차 경보장치가 오탐을 일으켰을 때, 이후에는 같은 일이 발생하지 않도록 방법을 강구해야 했다. 가령, 소년과 함께 할 사람을 한 명 더 올려 보내는 등 실질적인 조치를 취했어야 했다는 것이다.


▲황민주 맥아피코리아 엔터프라이즈사업부문 대표[사진=맥아피코리아]
둘째, 보호하고자 하는 ‘양’의 가치에 대해서 마을 사람들의 생각을 물었어야 했다. 그리고 모든 이가 ‘양’이 마을 사람들의 생존과 관계된 거라고 판단했다면, 늑대로부터 보호하는 시스템을 양치기 소년 한 명에 의존하지 않았을 것이다.

기업에서의 ‘보안’도 <양치기 소년과 늑대> 이야기와 크게 다르지 않다. 현재, 수시로 벌어지는 해킹 공격, 랜섬웨어 공격 등으로 기업의 브랜드뿐만 아니라 경제적 손실이 반복해서 일어나고 있는 것이 현실이다. 그럴 때마다 ‘보안’에 대한 중요성은 아주 잠시 부각될 뿐, 실질적인 방법을 강구하는 경우는 많지 않다.

지금 우리 기업에서 지켜야 할 것들은 무엇이고, 또 이것들의 가치는 어느 정도인지를 먼저 생각해보도록 하자. 그리고 그것을 지킬만한 충분한 안전장치가 되어 있는지 점검해봐야 한다. ‘소’는 잃었지만 같은 일이 되풀이되지 않도록 외양간을 제대로 고쳐야 할 것이다. 이같이 당연한 이치를 모르는 사람은 없다. 사고는 당연한 것을 당연하지 않게 생각할 때 생긴다. 당연한 것을 실제로 실천에 옮기는 기업은 얼마나 될까? 이 질문이 ‘인터넷 강국’을 넘어 ‘보안 강국’으로 가는 길이지 않을까 생각한다.
[글_황민주 맥아피코리아 엔터프라이즈사업부문 대표]

[필자 소개]
황민주_ 20년 간 보안업계에 몸담고 있지만 보안이 필요 없는 세상을 꿈꾸고 있다. 시만텍, 마이크로소프트를 거쳐 현재 맥아피코리아 엔터프라이즈 사업부문 대표로 재임 중이다.

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>