[김정덕의 지속가능 보안-2] 보안의 ‘레드 헬리콥터’를 띄워라

통제와 감시의 덫을 넘어, 인간중심보안으로의 진화

[연재목차 Part 4. 지속가능 보안을 위한 거버넌스와 관리]
1. 신뢰_보안의 방패이자 아킬레스건
2. 보안의 레드 헬리콥터
3. 사이버보안의 다면적 보안가치
4. CISO 패러독스_큰 책임에 가려진 최소권한
5. CEO 보안의 최종 책임자
6. 최고경영층을 움직이는 설득의 기술
7. BISO 제대로 도입하려면
8. 규제와 리스크의 동행_통합 GRC
9. 사용자 지치게 하는 보안_그림자 노동과 보안관리
10. 하이브리드 조직문화와 보안
11. 보안에게 정의를 묻다
12. 아름다운 보안

[보안뉴스= 김정덕 중앙대 산업보안학과 명예교수/인간중심보안포럼 의장] 최근 여러 기업의 최고경영진과 보안 거버넌스 자문을 진행하며 공통으로 마주하는 하소연이 있습니다. “보안 솔루션에 막대한 예산을 쏟아부어도, 결국 임직원들의 사소한 실수나 편법 하나에 속수무책으로 무너집니다.” 기술이 고도화될수록 오히려 사람이라는 ‘가장 약한 고리’가 두드러지는 역설입니다. 철통같은 통제와 규제만으로는 한계에 봉착했다는 현장의 뼈아픈 자백 앞에서, 우리는 보안을 대하는 근본적인 태도를 되짚어보게 됩니다.

차가운 ‘수학’과 따뜻한 ‘정’, 그리고 주체성
이 답답한 교착 상태에 대한 실마리를 뜻밖의 곳에서 발견했습니다. 최근 리더십의 변화를 논하다 다시금 들여다보게 된 제임스 리(James Rhee)의 저서 《레드 헬리콥터》입니다. 이 책을 관통하는 핵심 철학은 전혀 어울릴 것 같지 않은 두 가지, 즉 차갑고 엄밀한 ‘수학(Math)’과 따뜻한 ‘친절과 정’의 결합에 있습니다. 저자는 파산 직전의 기업을 살려내는 과정에서, 투명한 회계와 객관적인 숫자(수학)를 통해 신뢰의 뼈대를 세우고, 그 위에 조건 없는 배려와 인간적 유대(정)를 불어넣었습니다.

수학적 투명성과 인간적 배려가 균형을 이룰 때, 비로소 구성원 개개인의 억압된 ‘주체성’이 깨어납니다. 저자는 이를 ‘비행기’와 ‘헬리콥터’에 비유합니다. 궤도를 이탈할 자유가 없는 비행기 안에서 우리는 철저히 수동적인 승객으로 전락합니다. 반면 헬리콥터는 다릅니다. 비좁은 공간에도 안착할 수 있고, 공중에 스스로 멈춰 서서 상황을 살피며(Hovering), 어떤 방향으로든 유연하게 움직일 수 있습니다. 타인이 정해준 활주로(비행기)를 맹목적으로 달리는 대신, 스스로 삶을 통제하는 조종사(헬리콥터)가 되어야 한다는 뜻입니다.

통제가 앗아간 주체성의 역설
이 날카로운 은유를 디지털 보안의 영역으로 가져와 보겠습니다. 지금 우리의 보안 시스템은 사용자들을 철저히 ‘비행기 승객’으로 취급하고 있지 않습니까? 정해진 보안 지침(활주로)을 조금이라도 벗어나면 요란한 경고음이 울립니다. 사용자는 그저 시스템이 지시하는 대로 비밀번호를 바꾸고, 접속을 차단당하며, 끊임없이 감시받는 수동적 통제의 대상으로 전락해 버렸습니다.

시스템이 인간의 주체성을 억압하고 불신할 때, 사람들은 심각한 ‘보안 피로도’를 느낍니다. 헬리콥터의 조종간을 빼앗긴 사용자들은 보안을 적극적으로 돕기보다, 오히려 편의를 위해 규정을 우회하는 ‘섀도우 IT(Shadow IT)’를 활용하거나 모니터에 비밀번호를 적어두는 방식으로 스스로를 위험에 노출시킵니다. 억압받는 인간은 시스템의 가장 치명적인 취약점이 되지만, 신뢰받고 권한을 부여받은 인간은 가장 훌륭한 방어선이 됩니다. 이것이 바로 ‘인간중심보안’이 주목하는 핵심입니다.

보안 시스템에 ‘친절’을 설계하는 법
그렇다면 촘촘한 통제망 대신, 보안 시스템에 제임스 리가 말한 ‘친절’을 어떻게 설계할 수 있을까요? 보안에서의 친절은 무조건적인 허용이나 방관을 의미하지 않습니다.

사용자의 업무 맥락을 깊이 이해하고 불편함을 최소화하는 직관적인 환경(UX)을 제공하는 것, 임직원의 실수를 징계와 처벌의 대상이 아닌 교육과 시스템 개선의 기회로 삼는 ‘심리적 안전감’(Psychological Safety)을 보장하는 것, 그리고 위협 정보를 투명하게 공유하는 태도가 바로 보안 조직이 베풀어야 할 진정한 의미의 친절입니다. 이러한 제도적 배려가 쌓일 때, 직원들은 시스템에 맹목적으로 순응하는 객체가 아니라 스스로 이상 징후를 감지하고 조직을 지키는 ‘주체적인 방어의 조종사’로 거듭납니다.

차가운 기술(Math)과 따뜻한 연대(情)의 융합
헬리콥터가 안정적으로 날아오르기 위해서는 따뜻한 정(情)뿐만 아니라 엄밀한 수학(Math)이 동반되어야 합니다. 디지털 비즈니스 환경에서 제로 트러스트(Zero Trust) 아키텍처나 암호화 기술 같은 차갑고 빈틈없는 ‘수학적 통제’는 절대적으로 필요합니다. 튼튼한 기술적 뼈대 없는 보안은 사상누각에 불과합니다.

하지만 치밀한 사이버 공격이 기술의 빈틈을 파고드는 위기의 순간, 조직을 구하는 마지막 보루는 다름 아닌 구성원들 간의 ‘연대와 책임감’입니다. 완벽한 기술적 통제(Math)와 성숙한 보안 문화(친절과 정)가 톱니바퀴처럼 맞물려 돌아가는 ‘사회기술 시스템’(Socio-techno System)이 구축될 때 비로소 진정한 사이버 복원력이 완성됩니다.

이제 기술 만능주의의 환상에서 벗어나 진화해야 할 때입니다. 가장 완벽한 보안은 사람을 옴짝달싹 못 하게 묶어두는 것이 아니라, 각자가 안전하게 자신의 비행을 책임질 수 있도록 돕는 것입니다. 보안 조직은 차가운 감시자의 얼굴을 지우고, 구성원 개개인의 손에 스스로 통제할 수 있는 ‘레드 헬리콥터’의 조종간을 쥐여주는 든든한 안내자가 되어야 합니다.

필자 소개_ 중앙대학교 산업보안학과 명예교수, 인간중심보안포럼 의장, 한국정보보호학회 부회장, 금융 정보보호관리체계 인증위원, 전 JTC1 SC27 정보보안 국제표준화 전문위 의장 및 의원, 전 ISO 27014(정보보안 거버넌스) 에디터 등 역임

[글_ 김정덕 중앙대 산업보안학과 명예교수/인간중심보안포럼 의장]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다