해커가 청소년들의 우상이 되어야 하는가?

해커, 사회적 공감대 명칭 찾아 범죄성 해커와 명확히 구별해야

[보안뉴스=노중구 한국CISSP협회 부회장] 연일 불법적인 해킹으로 인한 사건사고가 끊이지 않고 있다. 입찰프로그램을 조작해 공사를 따낸 건설업자들과 프로그래머의 구속, 매번 발표되는 정부의 사이버테러 종합계획 발표 중 화이트 해커 육성방안 등에 대한 기사를 접할 때마다 답답한 마음이 든다.

기사에서는 ‘화이트 해커’란 사이버 테러를 일으키거나 악성코드를 제작하는 ‘블랙해커’와 달리 뛰어난 해킹실력을 보유하고 있지만 양지에서 보안기술을 개발하거나 대응하는 실무형 보안전문가로 미화하고 있는 듯하다.

‘화이트 해커’ ‘블랙해커’ ‘크래커’ 등의 분류는 나름의 분류일 뿐이다. 사전을 찾아보면 해커(hacker)는 통신망 따위를 통해서 다른 사람의 컴퓨터에 무단 침입하여 데이터와 프로그램을 없애거나 망치는 사람이다. 크래커(cracker)는 다른 컴퓨터 시스템을 파괴할 목적으로 네트워크를 통해 시스템에 불법적으로 접근하는 사람이다. 결국 해커(hacker)든 크래커(cracker)든 무단침입, 불법적인 접근으로 현행법을 위반한 것이다.

일명 화이트 해커들은 모든 정보는 공유되어야 하며, 정보시스템의 취약점을 발견해주기 때문에 악의적인 해커인 블랙해커 또는 크래커와는 차원이 다르다고 하지만 이는 명백한 모순이다.

인가 하에 시스템에 들어가 취약성 체크나 새로운 기술개발을 한다면 그 행위는 이미 해커로서의 해킹이 아니며 보안전문가로서의 위험성 평가업무로 볼 수 있다. 만약 불법으로 비인가 하에 침투한다면 명백하게 현행법상 범죄행위인 것이다.

해커들이 말하듯 해킹이란 시스템의 취약성을 체크하기 위함이나, 새로운 보안기술의 개발에 도움이 된다는 등의 주장은 기술적 차원과 법적인 차원이 다르다는 것을 인식해야 한다. 기술적인 차원에서 합리성을 주장한다 하더라도 결코 법적인 위법성까지 정당화할 수는 없기 때문이다.

합법적으로 어느 조직이나 개인의 시스템에 들어가 취약성을 체크하는 행위는 해킹이라고 하지 않으며 이를 수행하는 이들을 해커라고 부르거나 해킹기술을 가진 인력을 채용할 때도 해커를 모집해서는 안 될 것이다.

사회적으로 공감대를 이루는 명칭을 찾아내서 범죄성 해커와 명확히 구별해야 한다. 그들 스스로, 언론이나 정부도 합법적인 업무수행을 위한 보안전문가를 왜 해커라는 명칭을 사용하는지 의문이다. 그렇다고 국가차원에서 해킹기술을 가진 범죄자를 양성하겠다는 의미는 아닐 것이다.

해커라는 명칭을 대신해 사이버전사(군), 사이버수사대(경찰)로, 그냥 보안전문가로 불리어도 무난할 것 같다. 다른 명칭을 쓰겠다면 국민들을 대상으로 명칭 공모도 한번 생각해 볼 수 있을 것이다.

국내외적으로 매일 해커와 해킹에 의한 피해가 보도되고 해킹의 불법성과 그 대응책에 대한 호소의 목소리가 높은 다른 한편에서는 해커양성론이 나오고 있어 사회적으로 많은 혼란을 느끼고 있다. 특히, 청소년들의 포탈게시판에 ‘해킹을 배우고 싶다’ ‘해커가 되고 싶다’라는 질문과 함께 방법을 문의하는 글들이 점점 많아지는 것도 같은 맥락이라고 볼 수 있다.

탐관오리들의 재물을 훔쳐다가 가난한 사람들을 도와주는 의적(義賊)이 우상화 되는 것은 어지러운 세상의 심리적인 위안일 뿐이며, 같은 길을 간다면 결국 범죄자가 될 뿐이다. 지금도 해커를 꿈꾸며 해커양성학원의 문을 두드리는 청소년들에게 올바른 인식을 심어줘야 할 때인 듯하다.

[글_한국CISSP협회 노중구 부회장(nojk1994@hotmail.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)