집착증이 있어야 위협에 빠르게 대응할 수 있고

회의주의가 있어야 지나친 패닉에 빠지는 걸 방지해

[보안뉴스 문가용] 날이 더워 쓸데없는 상상을 많이 하게 된다. 그러다 최근 보안담당자의 마음가짐에 제일 잘 어울리는 특성은 무엇일까 고민하게 되었는데 결론은 회의주의가 곁들린 집착증이었다. 왜 그런지 한번 설명해볼까 한다.

당신이 만약 충분한 기간 보안담당자로서 근무해왔다면 아마 이미 편집증 증상이 약간은 있을 것이다. 이는 근거를 대고 자시고 할 것도 없는 자연스러운 현상이니 그렇다고 하고 넘어가고 싶지만 약간의 설명을 곁들인다면 다음과 같다.

새로운 취약점이 발견되고, 그걸 또 조사해야 하는데 알고 보면 어제 발견된 취약점에 대한 조사도 다 마치지 못한 상태이고, 그래서 책상 위에 할 일은 쌓여 가는데, 이걸 마냥 쌓아놓자니 내가 미처 다 마치지 못한 조사 때문에 유출 사고가 터지기라도 하면 감당할 수도 없으니 신경은 곤두서는, 이런 상태가 매일매일 지속된다면 나무늘보라도 빠릿빠릿해질 수밖에 없다. 근데 이런 일이 실제 거의 매일처럼 일어나는 게 우리의 현장이다.

그래서 보안담당자로서 근무 연수가 늘어나면 늘어날수록 편집증, 바꿔 말해 의심의 수준이 점점 높아질 수밖에 없다. 그래서 갑자기 프로그램에 오류가 나면서 닫히거나 이유 없이 화면이 깜빡이거나 시스템이 0.05초 느려지면 “해커가 침투했다!”고 경고음을 목청껏 외치는 것이다.

물론 진짜 의학 용어로서의 집착증 환자라면 보안을 담당할 수 없다. 스스로의 망상 속에서 발생한 공격에 대해 고래고래 고함을 지르는 것으로 대응한다면 누가 그 사람을 보안담당자로서 신뢰할 수 있을까. 하지만 적정한 편집증은 좋은 보안담당자를 만드는 훌륭한 양념이요 재료가 된다. 적정한 편집증(혹은 의심증)이 있다면 민첩해져서 대응이 빨라지기 때문이다. 그렇다면 어느 정도가 적정선일까? 바로 회의주의가 제동을 걸 때까지이다.

회의주의라니, 이건 또 무슨 말인가? 일단 여기서 말하는 회의주의란 무차별적인 부정주의를 말하는 건 아니다. ‘과학적’인 회의를 뜻한다. 즉 새로운 툴이나 개념, 혹은 원리가 개발되었을 때 철저히 검증을 해보고 받아들이는 태도를 말하는 것이다. 기억해야 할 것은 ‘기존에 없던 것’이라고 배제해서는 안 된다는 것. 지금 당장에 여러 가지 이유로 받아들이기 어렵다고 해서 그것이 곧 ‘나쁜 것’이 되는 건 아니다. 과학적인 회의주의란 확실한 증거를 보기 전까지 아무 것도 쉽게 믿지 않는 것이다.

자, 그렇다면 이런 이론을 과학적인 회의주의에 입각해 한 번 증명해보도록 하자. 다들 배드바이오스(BadBIOS) 사건을 기억하시는지? 한 유명한 보안전문가가 공상과학 영화에나 나올 법한 무시무시한 성능의 멀웨어에 대해 경고한 사건 말이다. 그 어떤 컴퓨터라도 침투해 바이오스를 감염시키는 게 가능할 뿐만 아니라 지우는 것도 불가능에 가깝다고 했었다. 게다가 고주파수 음파를 통해서도 퍼진다고 주장했다. 그 사람이 유명하지 않았다면 아무도 이런 얼토당토 하지 않은 주장에 귀 기울이지 않았을 것이다.

당신이 만약 회의주의를 가진 편집증 보안담당자라면 이 주장에 어떻게 반응했을까? 먼저 편집증이 도져서 온 몸에 긴장감이 돌았을 것이다. 그러면서 ‘아, 맞아, 바이오스를 오염시키는 멀웨어라는 게 있긴 했어’라는 기억이 나며 과거 사건에 대한 데이터가 머릿속에 촤르륵 펼쳐졌을 것이다. 어쩌면 소리를 통해 전달되는 멀웨어에 대한 최근 연구보고서를 읽었을지도 모르겠다. 이런 갖가지 정보들 때문에 당신은 이 가상의 멀웨어에 대해 공부하지 않을 수 없을 것이다.

그런데 이런 긴장감이 패닉으로 발전하기 전에 회의주의가 ‘잠깐’이라고 외친다. 그리고는 묻는다. 혹시 이 멀웨어라는 것이 증명되었나? 증거가 발견되었나? 샘플이라도 구해볼 수 있나? 로그 파일 등 이 멀웨어를 유추해볼 수 있는 자료가 존재하는가? 그래서 그런 증거 자료를 하나하나 구해서 납득을 했다면, 그런 다음에 다시 긴장 상태에 돌입했다면 당신은 지극히 정상이다. 그러나 그런 증거가 전혀 존재하지 않는다면 과학적 회의주의를 고수해야 한다.

집착증이 있어 빠르게 대응할 수 있지만 회의주의가 있어 ‘오버액션’을 막을 수 있다. 또한 냉철한 논리를 유지하면서 현실에 맞는 대응전략을 꾸릴 수 있게 된다. 어느 영화에 나왔던 대사를 하나 인용해보자면, “당신이 집착증에 걸렸다고 해서 공격이 전부 ‘허상’이 되는 건 아니다.” 당신이 관리하는 시스템은 어떤 상태인가? 아니, 당신은 지금 어떤 상태인가?

[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>