3D 업무에 한숨짓는 보안인력의 현실 : 안철수연구소 CEO가 바라본 DDoS 대란 (3)
매번 보안 사고가 터질 때 마다 여러 가지 대책이 논의된다. 각 기관은 대책을 마련하고, 위원회를 만들고, 보안이 중요하다고 구호를 외친다. 언론사들은 경쟁적으로 세미나를 주최하고, 새로운 포럼과 협의회가 생겨 난다. 이번에도 예외는 아닐 것이다.
업계는 어떠할까? 혹시 특수는 있지 않을까, 이 기회에 어떻게 돈을 벌까 혈안이 될 것임은 불 보듯 뻔하다. 무늬만 보안인 업체들이 나올 것이고, DDoS 전용 장비라고 그럴듯하게 포장을 한 제품들이 봇물을 이룰 것이다. 물론 이익을 추구하는 기업의 속성상 이해할 수 있다. 그러나, 공격을 제대로 막지 못하고 안전을 지킬 수 없는 허위 제품도 많이 보아 왔다.
오늘 투자 설명회(IR)에 갔더니 "공익적인 일을 많이 한 반면, 돈은 엉뚱한 이들이 벌어가는 것 아닙니까?"하고 애널리스트들이 걱정을 한다. 보안 업체들이 무료로 봉사하는 공공재처럼 일하는 것에 대한 투자가의 우려이기도 하다.
그렇다면, 보안 사고를 막기 위한 근본 대책은 무엇일까? 정보보호산업을 지원해야 한다, IT 보안의 투자를 늘려야 한다, 처벌할 규제를 강화해서 의무화해야 한다, 등등. 그러나, 이러한 백화점식 처방을 나열한다고 해서 문제가 해결되는 것은 아니다. 오히려 문제의 본질은 단순할 수 있고, 이를 정확히 짚어야 한다.
물론 ‘보안 인력 양성’은 10년 전부터 모든 정책 프로그램과 보안 이벤트의 인사말에서 빠지지 않고 등장했다. 그러나, 의지를 가지고 실행하지 못했기에 오히려 후퇴하고 있다. 오늘날 보안 인력, 크게 보아 소프트웨어 인력의 이탈과 사기 저하는 아주 심각하다. 심하게 말해서 하드웨어적 사고와 기업 문화 속에서 정보화 사회의 기반인 소프트웨어는 급격하게 허물어지고 있다. 소프트웨어가 무너지는데 보안이 논의될 수는 없다. 이런 상황에 대한 진지한 성찰이 없이 문제의 해결은 요원하다.
왜 보안 전문 인력이 부족한가?
왜 보안 인력이 부족한가? 왜 보안 인력이 되려고 하지 않는가? 한 마디로 비전이 없고 힘들기 때문이다. 업무의 난이도와 양에 비해 보수도 적고 사회에서 인정도 받지 못한다. 그러다 보니, 이제는 정말 보안이 좋아서 하는 사람이나 사명감을 갖고 보안전문가의 길을 걷는 사람을 제외하고는, 오래 몸담고 싶은 마음이 적다. 이러한 근원적 요소를 해결하지 않으면, 전문 인력이 태부족인 상황에서 사이버 테러는 계속 발생할 수 밖에 없다. 그 원인을 몇 가지 생각해 본다.
첫째, 우리 나라에서 소프트웨어 인력과 기업은 수직적 가치 사슬에서 가장 밑바닥에 있다. ‘갑’의 절대적 파워 속에 ‘을’의 업무 범위는 한정되어 있지 않다. 대형 IT 서비스 업체는 고객에게 시달리고, 중소기업은 IT 서비스 업체에 시달린다. 보안은 소프트웨어 중에서도 보이지 않는 부분을 다루는 밑바닥 일이기 때문에 더욱 시달리게 된다. 문제는 그러한 지적 노동이 제대로 가치를 인정받지 못한다는 것이다.
미국에서는 보안 소프트웨어를 판매할 때 제품만 제공한다. 만일 설치를 원하면 출장비에 추가 설치료가 부과되기 때문에, 대부분 고객들이 직접 설치한다. 그런데, 우리 상황은 어떠한가? 한밤중에 잠도 못 자고 설치를 하고 나오지만, 그 비용을 별도로 받겠다는 것은 언감생심(焉敢生心)이다.
실제로 우리가 멕시코의 어떤 은행에 소프트웨어를 팔고 지원을 하는데, 국내에 비해 몇배 더 받는다. 원격 지원으로 한계를 느낀 고객사는 기술자의 항공편을 비즈니스 클래스로 보내왔다. 물론 서비스 비용은 별도다. 한국에서 고객이 부르면 한 밤중에도 들어가곤 했던 담당 기술자는 어리둥절해 했다. 우리보다 못하다고 생각하는 멕시코가 그렇다.
둘째, 정보 보안을 누군가가 담당해 주기를 바라는 귀찮은 존재로 인식한다. 사업 계획을 짤 때는 보안 투자 비용을 삭감하면서 정작 문제가 터지면 “사고가 나도록 뭐하고 있었느냐?”고 담당자에게 불호령을 내리는 최고책임자의 후진적 사고는 여전히 많이 발견된다. 어떤 IT 보안 담당자는 매일 아침 일찍 보안 상황을 보고서로 만들어 보고할 때마다 항상 조마조마 하다고 한다. 두려움이 있으면 숨기게 마련이고, 숨기면 사실 공유가 되지 않고, 정확한 정보 공유가 이루어지지 않으면 대처가 늦어져서 보안 사고를 키운다.
또한 자신들이 일을 시키기 위해 보안 업체들의 현장 지원을 요구하는 경우도 많다. 말이 파견이지 보안에 관련된 귀찮고 힘든 업무를 던지는 것이다. 보안 기업 CEO들이 모이면 이런 형태를 ‘노예 계약’이나 다름없다고 한탄하면서 술잔을 기울인다. 부르면 언제라도 달려갈 수 있어야 그나마 생존할 수 있는 열악한 상황이 오늘날 IT 강국의 단면이다. 어떤 보안업체 기술자는 정신적 스테레스가 심해서 병원에 입원했다고 한다. 문제는 더 이상 이런 3D 업무를 하려는 인력이 없다는 현실이다. 하긴 이런 상황에서 누가 보안 전문 인력을 하려고 하겠는가? 보안은 밑바닥부터 실행(execution)하는 것이지 우아하게 앉아서 시키는(order) 것이 아니다.
예전에 대책회의를 갔을 때 정책 담당자가 이런저런 조치를 취해야 한다고 방대한 계획을 발표하는 것을 들었다. 하도 답답해서 “그런데 그런 일을 누가 하지요? 보안 인력은 절대적으로 부족한데. 정작 필요한 기술자는 없이 정책만 있으면 어떡합니까?”라고 업계의 현실을 토로한 적이 있다. 법이나 규제를 만드는 것은 어렵지 않다. 그러나, 그것을 지킬 수 있는 체제는 기술 전문가 없이는 불가능하다. 기술을 모르는 논의는 탁상공론일 뿐이다.
셋째, 소프트웨어가 제 값을 받지 못한다. 하드웨어 장비를 사는 것은 투자로 인정받지만, 소프트웨어를 사거나 개발을 맡기는 것은 값을 쳐 주기 아깝다는 인식이 여전하다. 조직의 상사들도 눈에 보이는 제품을 사야 마음이 든든하다. 그러다 보니, 해커의 공격은 눈에 보이지 않고 역동적으로 변화하는 소프트웨어인데, 수비는 하드웨어 장비와 마인드에 머무른다. 그 결과는 뻔하다.
이를테면, 단일 DDoS 전용 장비 만으로 공격을 막겠다는 것은 지극히 하드웨어적 발상이다. 물론 DDoS 전용 장비는 필요하다. 그러나, DDoS는 장비만으로 막을 수 없다는 것은 엄연한 기술적 사실(fact)이다. 가장 중요한 것은 네트워크 환경을 24시간 운용할 수 있는 체제와 전문 인력이다. 다단계 네트워크 방어 계층 구축, 서버의 유연한 분산 능력, 악성코드 동향의 실시간 모니터링과 신속하게 대처하는 운용 능력이 결합되어야 실질적인 대책이 된다.
보안을 하면 돈을 벌 수 있다는 확신을 줄 수 있어야 한다
국내 보안산업을, 더 나아가 소프트웨어 산업을 키워야 한다. 기업들이 돈을 못 벌면 직원들에게 희망이 생길 리 없다. 결국 보안 소프트웨어의 공정한 거래가 이루어지고, 서비스가 공정히 대가를 받아야 한다. 밤새 일에 시달려도 존중 받지 못하고 야단만 맞는 현실에서 우수한 인력들이 올 리가 만무하다.
보안 전문성이 높은 가치로 인정되지 않는 한 보안은 또다시 헛구호가 될 뿐이다. 우수한 인력이 자조의 웃음을 지으며 편한 직장으로 옮기는 것을 계속 보아 온 필자의 마음은 너무나도 아프다.
전세계적으로도 보안 인력은 절대적으로 부족하다. 그러나, 공급이 부족하면 당연히 값이 오르는게 원리다. 그런데, 우리는 실제 보안을 할 수 있는 인력은 점점 줄어드는 현실임에도 불구하고, 여전히 전문 기술에 대한 가치는 제대로 인정받지 못한다.
국가적으로 아주 심각한 상황임을 모두가 인지해야 한다. 이를 반전하는 열쇠를 찾는 것에 향후 우리 사이버 공간의 안전성 여부가 달려있다. 국가적으로 필요한 것은 보안 기술 인력이다.
'CEO 칼럼' 카테고리의 다른 글
| CEO가 취업을 준비하는 젊은이들에게(1) - 커리어를 먼저 생각해야 (13) | 2009/09/27 |
|---|---|
| 미국에서 살았다고 해서 미국 전문가인가? (11) | 2009/07/23 |
| 3D 업무에 한숨짓는 보안인력의 현실 : 안철수연구소 CEO가 바라본 DDoS 대란 (3) (27) | 2009/07/17 |
| 마이클 잭슨의 죽음이 우리 가족에게 허전한 이유 (4) | 2009/06/27 |
| 특목고 열풍, 절름발이 인생이 안되려면 : 사교육 논의를 바라보는 시각(4) (6) | 2009/06/08 |
| 학벌과 간판보다 기본 소양이 중요한 이유 : 사교육 논의를 바라보는 시각(3) (13) | 2009/05/21 |