화이트해커(보안전문가) 양성 위해 가장 필요한 것은?

최근 몇 년간 연이은 개인정보 유출이나 대규모 DDoS 공격과 같은 사고가 발생하자 정부의 각 부처는 실전 보안 전문가인 화이트해커를 양성하겠다는 의지를 밝힌바 있다. 그렇다면 화이트해커를 양성하기 위해 가장 필요한 것은 무엇일까? 보안 실무자들의 의견을 들어봤다.

김남형 서울디지털대학교 정보관리실 팀장

지난 7.7대란과 개인정보 유출 등과 같은 크고 작은 보안 이슈들이 발생할 때면 정부 주도의 보안전문가 양성의 필요성을 외치는 기사들을 심심치 않게 볼 수 있었다. 하지만 보안전문가에 대한 사회전반적인 인식과 인프라가 확충돼 있다면 양성이라는 것이 필요할까라는 반문을 가져 본다. 따라서 이슈에 따른 이벤트성 제도보다는 정부 주도의 지속적인 관심을 통해 사회전반의 인식을 제고할 수 있는 법/제도의 개선과 이를 통한 인프라 확충이 필요하다고 본다.

김완집 서울시 정보화기획단 정보통신담당관실 사이버보안팀 팀장

해킹 콘테스트 등 공식적인 행사를 통해 유망주를 발굴하고 공공기관 해커크라트로 채용하며 공식적인 해커커뮤니티에 대한 예산을 지원하는 등 지속적인 관리를 통해 엘리트해커를 양성시켜야 한다. 이와 함께 기존 해커(화이트, 그래이, 블랙)들이 공식적으로 활동할 수 있는 화이트해커동아리, 화이트해커포럼 등 창립을 도와주고 관리해 기존 다양한 종류의 해커들을 화이트해커로 전환시켜야 할 것이다. 아울러 정부기관(국방, 외교, 행정, 지방자치단체 등)에서 화이트해커를 적극적으로 채용할 수 있도록 제도적 장치를 마련하고 고도의 전문가에 걸맞는 대우를 해줘야 할 것이다.

남궁록 구미개발 선산컨트리클럽 보안 담당

해킹이라는 것이 백지의 양면과 같아서 어떠한 목적이 없다면 악의적 해커와 같을 수 있다고 생각한다. 바로 화이트 해커를 가장한 블랙해커들의 활동이다. 해킹의 테크닉을 익히다 보면 어느새 높아진 자신의 실력을 검증하거나 테스트 해보고 싶은 개인의 욕망이 생길 것이다. 이러한 문제를 예방하기 위해서라도 윤리의식이 꼭 필요하며 이를 법률적으로나 사회적으로 제한을 두고 인정해 주는 분위기가 이어져야 할 것이다. 화이트해커를 올바른 사람으로 인정해주는 사회인식, 화이트해커의 이탈을 방지하기 위한 법률적 제도가 반드시 마련돼야 한다.

백광호 SK텔레콤 IT보안팀 매니저

가장 중요한 문제는 동기부여다. 양성된 보안전문가가 정당한 대우를 받고 일을 할 수 있는 자리를 마련하는 것이 중요하며 보안의 특성상 이 문제에 대해서 기업에게만 의지하기는 힘들기 때문에 정부가 나서야 한다. 양질의 보안전문가가 마음껏 일할 수 있는 환경 제공도 매우 중요하다. 아울러 보안의 기본은 S/W(OS, App, Network Protocol 등)에 대한 자세하고 정확한 이해다. 이를 바탕으로 보안 관련 지식을 쌓아야 진정한 보안 전문가가 될 수 있다고 본다.

이영균 현대약품 혁신전략팀 팀장

국내 대부분의 기업에서 보안은 중요시 하면서도 별도의 보안인력을 두고 있지 않은 것으로 알고 있다. 별도의 보안전문가를 두더라도 타 업무와 병행해 부수적으로 보안 업무를 겸하고 있는 실정이다. 이들의 경우 보안과 관련된 전문지식과 교육이 부족해 문제발생시 및 사전 점검에 적절한 대응능력확보 측면에서 애로사항이 많다. 사회측면에서는 전문가를 양성하는 프로그램이 많이 활성화 되고 기업입장에서도 보안전문가 양성을 비용이 아닌 투자로 생각하는 인식의 전환이 절실하다.

허종오 한국CISSP협회 이사

화이트 해커(보안전문가)를 위해서 국가적으로 공인된 교육 프로그램과 화이트 해커 인증 프로그램이 필요하며 화이트 해커는 기본적으로 기술보다 강력한 도덕적 의식이 먼저야 한다. 기술은 그 다음 문제다. 자신이 사용하는 기술이 어떻게 사용돼야 하며 무엇을 위한 것인지를 제대로 알고 있어야 한다. 하지만 현재 화이트 해커를 위한 교육은 단순히 기술적 지식만을 가르치는 사설 교육기관이 많다. 이에 국가적으로 검토해 승인한 공인교육 프로그램이 개발돼야 한다. 최소 교육기간의 20% 이상은 보안의식 교육이 포함돼야 하며 지속적으로 교육이 돼야 한다.

6명의 보안 실무자들은 화이트해커 양성을 위해 정부의 경우 사회전반의 인식을 제고할 수 있는 법ㆍ제도의 개선을 마련해야 하며 기업은 보안전문가들에게 정당한 대우를 통해 이들이 최대한 능력을 발휘할 수 있는 환경을 조성하는 것이 필요하다는 데 입을 모았다 아울러 화이트해커를 양성할 수 있는 교육적 기반과 함께 윤리 의식의 함양이 이뤄져야 한다는 의견을 피력했다.

<글 : 정우영 퓨쳐시스템 전략기획팀(jungwy1002@future.co.kr)>

[월간 정보보호21c 통권 제118호(info@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)