“보안영역 확대 절실한 시기...보안에도 철학이 필요!”

[인터뷰] 민진규 국가정보전략연구소 소장

[보안뉴스 김정완] ‘국가정보학-역사와 혁신’, ‘민진규 국가정보학’, ‘비즈니스 정보전략’ 등 10여 권의 저서를 써 낸 민진규 국가정보전략연구소 소장이 이번엔 ‘직업이 인생을 결정한다’라는 신간을 써 냈다. ‘10년 후 뜨는 직업 선택전략’이란 부제로 써낸 이 신간을 통해 그는 “평생직장이 아닌 평생직업을 찾아라!”고 조언한다.

20여 년 동안 보안, 게임, 컨설팅 회사 등 여러 회사를 거쳤으며 기획·영업·마케팅·R&D·컨설팅 등 다양한 업무와 공무원, 직장인, 경영자, 강사, 저자 등 여러 직업을 섭렵한 그는 사회적으로는 보안전문가로 통하기도 한다. 하지만 그는 자신이 ‘보안전문가’가 아닌 ‘정보전문가’로 인식되길 바란다. 이에 그를 만나 이 시대가 요구하는 보안전문가는 무엇이며, 그런 보안전문가를 꿈꾸는 후배들에게 전하는 조언 등을 들어봤다.

- 현재 국내 보안시장이 지닌 문제점은 무엇이라고 생각하나?

보안 영역에 대한 포지셔닝을 잘못하고 있는 것 같다. 즉 보안이라는 것이 어디까지의 업무인지에 대한 명확한 개념과 기준을 가지고 있지 못하고 있다는 말이다.

현대 사회는 단순히 기술을 가지고 있다고 해서 모든 것이 해결되는 것이 아니라 보유한 기술을 포장하는 것 외에도 다양한 조건들이 맞물려 어우러져야 한다는 점에서, 보안업무 역시 제대로 수행하려면 보안지식 이외에 법률, 회계, 마케팅, 인사 등 폭넓은 지식을 필요로 한다.

눈에 보이는 것만이 경쟁 대상이 아니다. 눈에 보이지 않는 미래의 잠재적인 경쟁 대상을 파악하는 것이 무엇보다 중요하다. 보안 분야에 있어서도 마찬가지로 미래의 잠재적인 업무 경쟁자를 파악하기 위해서는 현재의 ‘보안전문가’ 업무로는 한계가 있다. 그런 점에서 보안보다 넓은 개념인 정보를 접목해 ‘정보전문가’의 위치에 ‘보안전문가’가 포지셔닝돼야 한다.

- ‘보안전문가’의 자리를 대체해야 하는 ‘정보전문가’란 무엇인가?

무한경쟁의 기업환경에서 살아남기 위해서는 어떠한 능력이 필요한지에 대해 생각해 볼 필요가 있다. 시대의 흐름, 경영환경의 변화에 따라 기업이 원하는 능력은 차이가 있는 것이다. 1980년대까지만 해도 기업에서 한 가지만 잘해도 먹고 사는 것은 문제가 없었다. 소위 말하는 ‘스페셜리스트’의 시대로서 ‘I’형 인재를 원했다. 그러나 기업환경이 복잡해지면서 한 분야의 전문가이면서 다른 분야에 대해서도 일반적인 이해를 하고 있는 사람이 필요하게 됬다. 보안전문가에게 필요한 것도 그것이며, 즉 ‘제너럴 스페셜리스트’, ‘T’형 인재인 ‘정보전문가’가 그것이다.

보안전문가는 기업을 위협하는 다양한 리스크에 대해 대처능력을 보여 줬어야 했는데, 기업 경영자의 기대수준을 충족해 주지 못했다는 점에서 보안전문가 스스로 자신의 역할을 제대로 수행했는지 자문해 봐야 한다. 많은 보안전문가가 자신이 모든 일을 완벽하게 처리할 수 있다고 자만하는데, 그것은 새로운 지식과 경험을 쌓을 수 있는 기회를 원천적으로 봉쇄하는 것이다.

지난 세월동안 키우지 못한 보안영역을 넓혀야 한다. 그러기 위해서는 보안영역에만 한정지을 것이 아니라 다양한 외부 전문가와 토론과 자문을 받아 새로운 보안개념을 확립해야 한다. 즉 보안을 하는 사람들 스스로가 새로운 일을 두려워하지 말아야 한다. 절대 현실에 안주하지 말고 개척자 정신을 가져야 한다.

현재 보안시장은 제품을 팔기 위한 생각만 하는데, 왜 해당 보안제품을 설치해야 하고, 어떻게 설치해야 하는지에 대한 논리를 만들어야 한다. 제품을 개발할 때도 개발을 위한 기능추가가 아니라 왜 새로운 기능이 추가되었는지 소비자를 설득할 수 있는 논리를 만드는 노력이 선행되어야 한다. 그렇기 위해서 정보마인드를 가진 보안전문가의 업그레이드된 ‘정보전문가’가 돼야한다.

- 보안영역의 확대를 위해 필요한 것은 무엇이라고 생각하나?

보안영역에서 IT보안영역이 차지하는 부분은 20% 밖에 되질 않는다. 미개척 영역은 보안정책 분야다. 결국 보안의 핵심은 사람인데, 사람을 통제할 수 있는 개별 상황에 따라 다른 정책이 적용할 보안 매뉴얼이 없다.

내부통제는 기업보안에 있어 상당히 중요한 부분을 차지하는데, 아쉽게도 이 영역에서 활동하는 것은 보안컨설팅 기업이 아니라 글로벌 회계법인들이 담당하고 있는 실정이다. 글로벌 외국 기업 제품이 전세계적으로는 1위의 판매를 하고 있음에도 불구하고 유일하게 대한민국에서는 그렇지 못한 이유가 기술력이 아니라 단가문제라는 점에 보안업계는 심각하게 고민을 해 봐야 한다. 제품을 판매할 때도 투자수익률(ROI) 계산을 계산해 고객을 설득해야 한다. 외산은 10억인데 우리는 5억에 팔겠다가 중요한 것이 아니라 5억에 팔더라도 어떤 경제적 기대효과가 나오는지 명쾌하게 제시해야 한다.

솔루션은 경영 철학이 들어가야 한다. 보안 역시 마찬가지다. 백신프로그램을 예를 들자면 백신을 만드는 게 중요한 게 아니라 제품기능의 로직(논리)을 먼저 개발해야 한다. 바이러스 파일만 확보해 대응하는 것은 결국 임기응변 밖에 되질 않는다. 바이러스 체계를 이해하고, 보안에 대한 철학을 담아야 한다.

- 마지막으로 덧붙여 주실 말씀?

먼저 보안분야 종사자에게는 보안전문가로서 실력을 키우라고 말하고 싶다. 보안영역에서는 30대 말만 넘어도 현업에서 떠나려고 한다. 박사 학위를 받고서도 5~10년 이상은 현업 종사를 해야 전문가가 될 수 있음에도 불구하고 말이다.

그런 점에서 기술자 본연의 자세로 돌아가 실력을 키워나가야 한다. 제품의 개발 로드맵을 그리는 등의 노력이 필요한데, 보안영역에서는 일반적인 관리업무를 하다가 업계를 떠나는 전문가를 종종 보게 된다. 미국은 60살이 넘은 프로그래머들이 있다. 왜 이 제품이 세상에 필요할까? 등에 대한 철학적 사유를 통해 자기개발을 하면서 장기간 노력해 전문가가 되려는 자세가 잃지 않아야 한다.

다음으로 보안기업에 대해서는 “장기적인 안목을 가질 수 있는 철학을 가져라”고 말하고 싶다. 보안기업이 자신의 위치, 환경을 인지하고, 사회적 환경에 적응해야 한다. 현재 국내 보안기업이 만들고 개발한 솔루션은 국내실정에만 맞춰져 있을 뿐 글로벌 시장에는 적합하지 않은 경우가 많다. 솔루션에 글로벌 소비자를 설득할 수 있는 철학이 담겨있지 않은 것이다. 글로벌 시장에 맞게 진입하기 위해 선결해야 할 과제가 무엇인지에 대해 심각하게 고민해야 한다.

거기에 덧붙여 기업은 투웨이(Two-Way) 접근법이 필요하다. 지금 현재 보안업계가 처한 상황처럼 먹고 살기 위해 근시안적인 제품개발과 기술력이 필요 없는 프로젝트에 기업의 리소스를 100%를 투자 하는 것은 잘못된 것이다. 기업의 생명만 연장할 뿐이지 언젠가는 망하게 된다. 80%는 투자를 하되 나머지 20%는 기술개발과 철학을 정돈하는데 힘을 기울여야 한다. 장기적인 안목을 가지고 투자를 지속해야 기업이 생존할 수 있다.

[김정완 기자(boan3@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)