[김홍선의 보안이야기]규정은 가볍되 엄격히 적용해야

보안에 대한 관점 (5) : 보안은 실용적이어야 한다

어떤 기업의 보안 담당자를 만난 적이 있다. 그는 자랑스럽게 “우리가 만든 보안 가이드라인을 보십시오”하며 두꺼운 책자를 보여주었다. 그 책은 아주 꼼꼼하게 직원들이 지켜야 할 정책이 상세히 기술되어 있었다. 그러나, 그런 가이드라인이 있다고 해서 과연 보안이 잘 지켜질까?

만일 직원들이 보안 정책을 지키기 위해 그렇게 방대한 가이드라인을 익혀야만 한다면, 보안 정책을 지키지 말라는 말과 무엇이 다르겠는가? 자신의 패스워드도 기억하기 어려워서 전화번호나 가족의 생일, 결혼 기념일을 사용하는 판에 어떻게 그 많은 보안 가이드라인을 숙지할 수 있는가?

가장 취약하고 리스크가 큰 요소는 사람

사실 보안 문제에서 가장 취약한 것은 사람이다. 기계나 컴퓨터는 주어진 규칙(rule)에 따라 정직하게 일 처리를 할뿐이다. 항상 문제를 일으키는 것은 사람이다. 자신의 암호가 주위 사람이 쉽게 예측할 수 있을 정도로 기본적인 관리도 못하고 있든지, 인터넷에서 신뢰할 수 없는 소프트웨어를 다운로드했다가 악성코드에 감염되든지, 의도적으로 정보를 빼내려고 공모를 하든지... 항상 원인의 제공자이자 위협의 주체는 사람이다.

그런데, 바로 그렇게 취약한 사람이 보안 정책을 어렵게 공부해서 따라야 한다고 강요하면, 그들은 흉내만 낼 것이고 그럴수록 리스크(risk)는 더욱 커지게 된다. 가이드라인을 100% 숙지한다 하더라도, 실제 상황에서의 판단은 사람의 몫이기 때문이다.

정보 보안은 최종 목표가 아니다. 우리가 IT를 사용하는 이유는 업무를 돕기 위함이다. IT의 패러다임이 인터넷으로 변하다 보니 정보 보안 문제가 발생했을 뿐이다. 그러나, 아무리 정보 보안이 중요하다고 해도 목적이 바뀔 수는 없다. 다시 말해서, 정보 보안의 궁극적 목적은 IT를 사용하는 이유와 맥을 같이하며, 업무에 자연스럽게 스며들어야 한다.

그런 까닭에 정보 보안이 불편하고 골치 아픈 별도의 고민거리가 된다면 보안의 본질적인 개념에 위배되는 것이다. 보안은 우리의 모든 업무에, IT 환경과 접목되어 체화(體化)해야 한다. 그러므로 정보 보안이 업무에 지장을 줄 정도로 거부감이 있지는 않은지, 얼마나 실용적인지 항상 점검해야 한다.

예를 들어, 어떤 기업에서 보안에 대한 우려 때문에 외부와의 커뮤니케이션을 철저하게 통제한다고 하자. 인터넷 방화벽은 얼마든지 이런 통제를 할 수 있다. 그런데, 어떤 사람이 업무상 급히 파일을 보내야만 할 경우 어떻게 하겠는가? ‘목마른 사람이 우물 판다’는 속담처럼 급한 사람이 일단 보안 담당자를 직접 찾아가서 신신부탁을 하게 된다. 개인적으로 잘 모르는 사이면 아는 사람을 통해 소개를 받아서라도 자신의 딱한 사정을 하소연할 것이다. 보안 담당자는 내키지 않으면서도 인정에 끌려서 파일을 보내도록 정책을 임시로 바꿔 줄 것이다.

그런데, 이런 예외 사항이 또 발생하게 된다면? 혹은 예외를 적용했는데 담당자가 갑자기 다른 업무가 생겨서 정책을 되돌리지 못했거나, 깜박 잊어버렸다면? 이는 보안 정책이 너무 보안만을 고려하여 적용되었을 때 충분히 벌어질 수 있는 상황이다.

정책이 너무 경직되어 있어서 도저히 그 정책에 따라 업무를 수행하지 못할 정도가 된다면 앞의 예에서 볼 수 있듯이 예외가 발생하게 된다. 예외가 많아지면 정책은 실효성을 상실한다. 따라서 정책은 사람들이 따를 수 있도록 합리적이고 실용적으로 구현되어야 한다. 보안을 지켜야 하는 사람들을 적으로 만들거나 불편하게 해서는 안 된다.

가이드라인은 가벼울수록, 솔루션은 편리할수록 좋아

한편, 보안 가이드라인은 가벼울수록 좋고 보안 솔루션은 사용하기에 편해야 한다. 자사에 맞는 정책을 세우기도 전에 서둘러서 솔루션을 도입하다 보니 난감해지는 경우가 있다. 일례로 최근 정보 유출이 심각한 사회 문제로 부각되자 기업/기관에서는 관련된 보안 솔루션을 많이 도입하고 있다. 그런데, 이를 추진했던 기업이나 기관이 너무 불편하다며 호소하는 것을 많이 보게 된다. 너무 사용하기가 어려워서 일을 못하겠다는 곳도 있고, 자사가 사용하는 각종 애플리케이션과 잘 맞지 않는다고 불평하는 경우도 있다. 또한 속도가 느려졌다는 곳도 있다.

정보 유출은 광범위한 분야에서 발생하는 문제라서, 특정 부분에 적합한 제품으로 전체의 문제를 해결하려면 무리가 따르게 마련이다. 따라서 본연의 목적에 따라 충실하게 기획되고 개발된 기술 제품을 섣불리 일반화하면 낭패를 당할 수가 있다. 게다가 아직 정보 유출 차단 분야는 종합적인 대책을 포괄적으로 제공할 만큼 시장이 성숙되어 있지도 않다. 따라서, 자신에게 중요한 정보와 자산이 무엇인지 일단 정의하고, 그 조직의 업무 형태와 문화에 맞는, 직원이 따를 수 있는 방향을 정립하는 것이 우선이다. 그 후에 사용 가능한 기술의 성숙도에 따라 로드맵을 가지고 구축해야 한다.

특히 최근 개발되는 보안 기술은 맞춤형 성격이 강하다. 일상화된 제품(commodity)과 달리 맞춤형 제품은 기업의 업무 프로세스, 개인의 보안 인식, 국가의 문화적 요소, 법과 규정의 준수 정도에 따라 단계적으로 적용될 수 있어야 한다. 정보 보안 업체들이 더욱 지능적이고 사용자 편의성에 초점을 맞춘 기술을 개발하는 이유가 여기에 있다. 보안 가이드라인을 최소화하는 것이 보안 기술의 역할인 것이다.

상식적으로 따를 수 있는 규정을 만들어야

보안 규정이 실효성을 얻으려면 모든 구성원이 상식적으로 따를 수 있어야 한다. 어떤 원로 법조인과 대화를 할 기회가 있었다. 그는 “우리 나라 법률은 땜질식으로 만들어져서 특정 법 조항에 대해서도 법조인간에도 논쟁의 요지가 많다. 한 마디로 체계화가 안 되어 있다”라며 법률 체계 전반을 한번 정리할 필요가 있다고 강조했다. 법률 전문가가 아닌 필자로서는 이에 대해 뭐라고 언급할 자격은 없지만, 우리 나라 법이 일반인의 상식으로는 이해가 잘 안 되고 상충되는 규정들이 있다고 느낄 때가 가끔 있다.

법은 법치 국가의 중심을 잡아주는 중요한 틀이다. 그런데, 이 법이 해석하기에 따라 다르고, 국민이 이해하기 어렵다면 사회는 혼란스러울 수밖에 없다. 변호사의 도움을 받아야만 법의 해석이 가능하다면, 다시 말해 상식적으로 해석이 안 된다면 국민이 따르기에 얼마나 불편한가? 그럴 경우 목소리 큰 사람이 득세하는 ‘떼법’의 사회가 되는 것이다.

보안 정책도 마찬가지다. 상식적이고 합리적이어야 많은 이들이 따를 수 있다. 우리 나라와 선진국의 보안 정책을 비교해 보면 근본적인 차이가 있다. 선진국은 ‘종합적인 보안 정책은 있되 최소한의 의무를 지키도록 하는 것’이 중심 철학이다. 그러나, 그 원칙을 벗어나면 그에 따른 처벌은 아주 엄격하고 예외가 없다. 이와 달리 우리 나라는 ‘최대한의 보안을 규정해서 의무화하는 것’이 전반적인 흐름이고, 자의적인 잣대로 처벌하는 양상을 많이 띤다.

미국의 프라이버시 전문가와 대화를 나누다가 우리 나라의 어떤 회사가 개인 정보 유출로 인해 사상 최대의 벌금을 물었다고 설명해 주었더니, 그는 부과된 금액을 듣고 깜짝 놀랐다. 미국은 한국에서 부과한 액수의 수십 배에 달하며, 어떤 경우는 회사가 휘청거릴 정도다. 그렇다고, 모든 경우에 대해 규제를 하는 것은 아니어서 최고 경영진의 의지와 관심이 있다면 충분히 따를 수 있는 정도다. 단, 의도적으로 정보 관리를 소홀히 했거나, 최고 경영진에서 무시했을 경우에는 용서가 없다.

원칙은 실용적으로, 적용은 예외 없이

글로벌 표준은 상식적으로 따를 수 있을 정도의 최소한의 원칙(minimum requirement)을 정하고, 여기에 어긋나면 엄격한 제재를 가하는 것이다.

우리 나라가 이렇게 복잡한 규정을 가지게 된 배경은(지난 회에 설명한 것처럼) 보안은 100% 완벽해야 한다는 인식이 있어 자신의 역량과 무관하게 보안 정책을 일단 높게 잡기 때문이다. 또 한편으로는 우리 사회가 가지고 있는 법의 수준과 인식에 기인하는 바가 크다. 이처럼 법률 규정이 구조적으로 복잡하고, 그 복잡한 규정을 어겼을 경우 원칙이 없는 관행은 우리 나라의 고질적인 병폐다. 한 마디로 말해서 우리의 문화는 서구 사회의 원칙과, 지극히 한국적인 인정의 경계선을 넘나든다. 이런 배경이 정보 보안 정책에도 영향을 주는 셈이다.

법이 일관성이 없고 복잡하며 상식적으로 판단이 어렵게 되어 있으면 고급 변호사를 고용할 수 있는 부자나 권력층이 항상 유리할 수밖에 없다. 그래서, 체계화되지 않은 법, 상식적으로 판단이 어려운 법 속에서 살아가는 국민의 고통은 크다. 마찬가지로 보안 정책이 실용성이 없으면, 그 피해는 고스란히 직원과 고객에게 간다. 정보 보안 전문가 없이도 보안 정책을 따를 수 있고 업무에 불편함이 없는 환경이 되어야 가장 안전하다.

더욱이 정보가 범람하고 현란할 정도로 기술 제품이 쏟아져 나오는 정보화 사회에서는 합리적인 원칙이 중심을 잡아주는 것이 무엇보다 중요하다. 높은 보안 수준을 가진 척하면서 정책에 욕심을 부리기보다 정직하고 실용적인 방안을 세우는 것이 효과적인 대책이다.