‘예외 없는 원칙’과 ‘리더의 솔선수범’으로 보안체계를 구축, 운영해 나가야

[보안뉴스= 황민주 맥아피코리아 엔터프라이즈사업부문 대표] 무관중 경기, 메달 또한 셀프 시상을 해야 하는 우스꽝스러운 올림픽이지만 더위와 코로나 외엔 별 이야깃거리가 없는 요즘 시기엔 잠시 올림픽 이야기로 지친 마음을 달랠 수 있을 듯하다.


일요일에 있었던 ‘여자 양궁 올림픽 9연패’ 소식은 더위를 한 방에 날려주는 시원한 소식이었다. 여자 양궁 단체전은 1988년 서울올림픽에서 정식 종목으로 채택되고 난 후, 지금까지 한 번도 금메달을 놓친 일이 없다. 이러한 성과를 낼 수 있었던 핵심 요인에는 여러 가지가 있겠지만, 많은 이들이 ‘무엇보다 원칙에 입각한 선수 선발 시스템 운영에 있다’고 공통적으로 꼽는다.

실제로 선수들조차 국가대표팀에 선발되는 것이 올림픽에서 금메달을 목에 거는 것보다 더 힘든 일이라고 한다. 그렇기에 이전 대회에서 금메달을 딴 선수라고 하더라도 국가대표 선발전에서 탈락하는 일이 비일비재하다. 이번에도 선수 선발에 대한 공정함은 원칙대로 적용되었다. 어떤 선수도 특혜 없이 ‘제로 베이스’에서 시작한다.

도쿄올림픽에서 처음으로 도입된 ‘혼성전’에도 누구를 내보낼지를 두고 고민했지만, 기존의 경력을 고려하지 않고, 당일 최고의 점수를 기록한 선수에게 출전 기회를 주는 것으로 결정했다. 결과는 혼성 경기도 금메달이었다. ‘원칙이 있는 시스템’이 만들어낸 결과라고 할 수 있다. 이처럼 구성원 간에 정해진 원칙이 잘 운영될 때 구성원 개인이 가지고 있는 역량이 제대로 발휘될 수 있다.

원칙은 스포츠에서만 중요한 것은 아니다. 보안 또한 외부 공격으로부터 안전하기 위해서는 ‘예외가 없는 원칙’이 필요하다. 가끔 고객 컨설팅을 진행하다 보면 C-level의 구성원에 대해서는 보안 예외 정책을 두고 운영하고 있는 것이 확인이 된다. 이런 태도는 ‘보안은 불편하다’라는 전제를 경영진 스스로 인정하는 꼴이 된다. 이렇게 해서는 제대로 된 보안정책을 만들 수 없다. 보안사고가 일어난 회사들의 공통점은 ‘원칙이 없는 정책’에 있다. 따라서 보안정책 역시 ‘솔선수범의 리더십’이 요구된다. 리더가 먼저 실천해야 구성원의 공감을 끌어낼 수 있으며, 이는 보안팀이 조직 전체의 보안정책을 주도적으로 운영하는 것에도 큰 도움이 된다.

‘정책, 기술, 프로세스’를 보안체계의 3박자라고 한다. 세 요소 중에서 경중을 따질 수는 없는 일이지만 ‘정책’이 보안체계를 만들어가는 데 무엇보다 중요하다고 할 수 있다. URL Filtering 솔루션이 있는 것과 관련 정책을 예외 없이 적용해서 사용하는 것에는 상당한 차이가 있다. Web Proxy가 웹으로부터의 악성코드 유입을 막는 것이 아니라, Proxy 정책에 따라서 악성코드 유입을 막는 것이다. SIEM (Security Information Event Management) 솔루션만으로 보안 이벤트나 인시던트를 분석해 주는 것이 아니라 정책에 따라서 분석해야 할 내용의 우선순위가 달라지는 것이다. 정책이 없는 기술이나 프로세스는 무의미하다.

선수 선발에 대한 공정한 원칙이 있는 시스템이 여자 양궁 9연패의 신화를 기록한 것처럼 보안도 ‘예외 없는 원칙’과 ‘리더의 솔선수범’으로 보안체계를 구축, 운영해 나가는 지혜가 필요하다.
[글_황민주 맥아피코리아 엔터프라이즈사업부문 대표]

[필자 소개]
황민주_ 20년 간 보안업계에 몸담고 있지만 보안이 필요 없는 세상을 꿈꾸고 있다. 시만텍, 마이크로소프트를 거쳐 현재 맥아피코리아 엔터프라이즈 사업부문 대표로 재임 중이다.

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>