칼럼 | 기업 보안, 접근법부터 틀렸다

네트워크를 이야기하건, 빌딩에 대해 이야기하건 보안에 대해 경계선 통제라는 방식으로 접근하는 것은 이제 더 이상 적절하지 못하다. 맥아피가 이번 주 RSA 컨퍼런스에 주장한 바와 같이 접근을 제어하는 방법으로는 보안을 확보할 수 없다. 데이터와 인명을 보호하기 위해서는 모든 종류의 보안을 재고해야만 한다.

이번 주 샌프란시스코에서 치러진 RSA 컨퍼런스에서 맥아피가 지적한 핵심은 기업들의 보안 환경이 노후됐다는 것이었다. 특히 최근 대두되고 있는 타깃형 위협은 권한 없는 접근이나 맬웨어, 그리고 기타 내, 외부 접근 방어만으론 기업을 안전히 보호할 수 없음을 잘 보여주는 사례라 할 수 있다.

기업들은 현재의 방어 전선에서 한 걸음 물러서 기업의 시스템에 가해질 수 있는 위협 요소를 보다 면밀히 파악하고, 그것이 실제 피해로 이어지기 이전에 선행적으로 이를 억제해야 한다.

물론 이러한 보안 과정은 절대 손쉽게 달성되지 않을 것이다. 이제 전통적 비즈니스 공간뿐 아니라 사용자들의 가정까지 그들의 관리 영역에 포함 시켜야 할 것이며, 활동에 이용되는 도구 유형 역시 전자적, 물리적 방식을 고루 활용할 필요가 있다.

오늘날 기업과 공격자의 관계를 비유해보자면, 기업들은 나름의 튼튼한 담장과 잠금 장치를 마련해두고 사는 노인과 같은 상황이다. 유효한 방법이지만, 무기를 앞세워 문을 뚫고 들어온 침입자에겐 어떻게 대처할 것인가?

필자의 아내는 이러한 맥아피의 프레젠테이션에 많은 흥미를 보였다. 그녀는 이러한 교훈이 현대 사회의 많은 보호 체계에 폭 넓게 적용될 수 있을 것이라 이야기했다.

맥아피는 기업 보안을 냉전 시대 군비 경쟁에 비유했다. 보안 체계의 확립은 어떠한 결과가 아닌, 기업 경쟁력 확보를 위한 근간이라는 것이다.

맥아피는 블랙베리에 동의한다
맥아피의 CTO 마이크 페이가 진행한 발표 내용 가운데 특히 필자의 관심을 끈 내용이 있었다. 모바일 기기에 대한 블랙베리의 주장이 기업 보안이라는 영역에 어떻게 적용될 수 있을지에 관한 설명이었다. 페이는 더 이상 ‘보호막'의 개념으로써의 보안은 유효하지 않으며, 보안은 솔루션이나 환경의 설계 과정에서부터 고려되어야 하는 하나의 토양으로 이해돼야 한다고 강조했다.

별도 층으로써의 보안 체계는 공격자가 해당 층을 침투할 방법을 발견하기만 한다면 더 이상 유효한 효과를 담보할 수 없게 된다. 인체를 예로 들어보자. 심각한 면역 질환을 가진 아기가 있다. 멸균 처리가 잘 된 특수 공간에서 아기를 기른다면 물론 아이가 병에 걸릴 일은 없을 것이다. 하지만 아이를 언제까지 그 안에서만 기를 수는 없다.

면역 체계는 인간을 구성하는 필수적 요소이기에 이것의 관련 문제를 해결하는 것이 우리가 취해야 할 가장 올바른 해결책인 것이다.

우리가 세상을 살아갈 수 있는 이유는 우리의 주변을 멸균막이 감싸고 있는 덕분이 아닌, 우리 내부에서 면역 체계가 온전히 작동하고 있는 덕분이다. 이 면역 체계는 우리 몸 속에 침입한 바이러스나 병균에 대항하고, 또한 학습 능력을 지니고 있어 우리가 태어났을 때에는 존재하지 않았던 병균들로부터도 인간의 몸을 보호할 수 있다.

맥아피와 블랙베리는 모두 자체적 보안 능력을 갖춘 시스템을 개발하는 노력을 진행하고 있다. 맥아피의 경우에는 인텔과의 협업을 통해 보안 솔루션으로써의 기능을 수행하는 프로세서 개발 작업을 진행할 예정이며, 블랙베리는 자사의 모든 휴대전화 및 서비스가 보안을 핵심 요소로써 다룰 수 있도록 설계 단계에서부터 노력을 진행하고 있다.

물리적 보안에도 이론은 적용된다
우리의 가정과 회사, 학교, 정부 기관을 생각해보자. 이러한 구조들이 설계 과정에서 주요하게 고려하는 사항 중 하나는 외부의 누군가가 시스템 안에 마음대로 진입하지 못하도록 하는 것이다. 그러나 일단 진입이 이뤄질 경우, 이러한 방어 체계는 한심할 정도로 무능력해지고 만다.

잊을만하면 들려오는 교내 총기 난사 사고나 앞서 예를 든 노인의 사례, 혹은 최근의 에드워드 스노우든(Edward Snowden) 사태를 생각해보라. 모두 경계 보안이 전자 자산 보호에도, 물리적 자산 보호에도 완벽히 적절한 방법이 아님을 보여주는 사례들이다.

학교나 기업은 소속되지 않은 인물을 확인할 수 있는 추적자를 두고 있어야 할 것이다. 관리 공간에는 화재 경보기와 같은 원리로, 총격이나 비명 소리를 감지할 수 있는 마이크도 설치될 필요가 있다. 전자적 보안과 관련해서는, 문제 단위가 아닌, 솔루션 단위로 인력의 배치가 이뤄지는 것이 보다 유용한 방식일 것이다. 의심 활동에 대한 보고 혹은 대응 방법에 대한 교육 역시 필요한 과정이다.

경찰 등의 공권력, 혹은 전자 보안에의 무조건적 의존은 더 이상 유효하지 않은 방식이다. 우리는 한 걸음 더 나아가 집단의 모든 구성원들이 자기 자신과 주변의 이들을 보호할 수 있도록 해야 한다.

기업 부지만이 보호의 대상은 아니다. 캘리포니아에서 벌어진 구글과 애플의 직원들을 대상으로 한 공격을 상기해보라(피해자 가운데는 구글의 고객도 있었다). 직원들이 어디에서나 공격의 피해자가 될 수 있음을 상기하고, 그에 대한 보호책을 생각해봐야 할 것이다.

세상은 변화했다. 세상이 더 험난한 곳으로 바뀌었음을 솔직히 인정하고, 위협들로부터 스스로를 보호할 전자적, 물리적 보안 체계를 새로이 고민할 필요가 있다.

이제는 보안을 새로이 고민해볼 때
개인적으론 기업과 가정의 보호를 위한 물리적, 전자적 방법론에 대한 재고의 필요성은 진작 제기되었어야 하는 사안이라는 입장이다. 그러한 와중에 발표된 맥아피와 인텔이 발표한 전자적 보안 접근법은 상당히 인상 깊은 것이었다. 하지만 이들의 구상에 물리적 보안 문제는 포함되어있지 않았다.

물리적 보안에까지 주목하는 사례로는 생태 건축학의 개념을 생각해볼 수 있겠지만, 이 역시 충분한 수준은 아닌 것이 사실이다. 그럼에도 이러한 구상에 기초해 사회를 보다 안전한 공간으로 재건하려는 노력은 곳곳에서 이뤄지고 있다.

필자가 강조하고자 하는 핵심은 이제는 전자적 보안을 넘어 물리적 보안의 문제까지 생각해봐야 할 시점이며, 우리의 기업 혹은 가정 내부에 침입하는데 성공한 공격자에 대응할 방안을 모색하고 그것을 집단의 구성원들에게 명확히 인지시킬 필요가 있다는 사실이다. 물리적, 전자적 보안에 대한 인식은 분명 확산되고 있다. 하지만 이는 단기적 활동이 아님을 기억해야 한다. 보안은 언제나 우리와 함께해야 하는, 면역 체계다.

*Rob Enderle은 엔덜 그룹(Enderle Group)의 대표이자 수석 애널리스트다. 그는 포레스터리서치와 기가인포메이션그룹(Giga Information Group)의 선임 연구원이었으며 그전에는 IBM에서 내부 감사, 경쟁력 분석, 마케팅, 재무, 보안 등의 업무를 맡았다. 현재는 신기술, 보안, 리눅스 등에 대해 전문 기고가로도 활동하고 있다. ciokr@idg.co.kr