[글로벌 밥상토크] 정보보안 대선배와 함께한 화요일

호드 팁턴 : 사물인터넷? 어차피 받아들일 수밖에 없는 것

질 슬레이 : 포렌식은 진심으로 즐길 줄 아는 게 중요

▲ 어때? CSI스럽지?

[보안뉴스 문가용] (ISC)2라면 현재 거의 유일하게 세계적으로 인정받고 있는 보안 관련 자격증을 관리하는 비영리 단체로 수많은 정부 기관 및 단체와 함께 손을 잡고 있는 곳이다. 그곳의 수장인 호드 팁턴(Hord Tipton) 회장이라면 한 달에 평균 두 번씩 비행기를 타고 세계 방방곡곡을 누비는, 마패만 없지 동에 번쩍 서에 번쩍 암행어사 같은 일정을 가진 사람이다.

호주뉴사우스웨일즈 대학에서 호주 사이버 보안센터장을 맡고 있으며 지금까지 16명의 박사를 혼자서 배출한 질 슬레이(Jill Slay) 교수는 손자손녀도 둔 나이에 젊은이들도 따라가기 벅찬 디지털 포렌식 분야에 세계적인 명망을 가지고 있는 사람으로 호드 팁턴 회장만큼 항공사 마일리지를 본의 아니게 쌓고 있다.

이번 ISEC 2014에 각각 공동 주관자와 키노트 강연자로 참가한 이 두 걸출한 보안 선배는 그러나 아직도 장난기를 지워내지 못한 표정과 행동으로 행사장을 돌아다니는가 하면 된장찌개에 밥을 말아 먹는 게 맞는지, 밥에 된장찌개를 끼얹어서 먹어야 하는지 시시한 논쟁을 벌이기도 했다. 이러했든 저러했든 밥 한 공기 가볍게 비워낸 이들과의 점심식사는 입고 간 양복이 무색할 정도의 자유롭고 화기애애한 분위기였다.

보안뉴스(이하 보) : 아무리 매운 음식을 좋아한다고 해도 청량고추를 따로 주문해서 먹는 사람은 흔치 않은데, 왜 일부러 혀를 괴롭히는가?

호드 팁턴(이하 팁) : 미국 남부에서 태어나 자랐기 때문에 매운 음식에 굉장히 익숙하다. 한국에 오면 청량고추를 꼭 따로 시켜서 먹는다.

질 슬레이(이하 슬) : 난 매운 거 질색이다. 입도 못 댄다.

보 : 한국에 자주 오는가?

팁 : 자주 오다마다. 한국 뿐 아니라 한 달에 두 번은 세계 여러 곳으로 움직인다. 어딜 가도 매운 고추 같은 걸 따로 시킨다.

슬 : 난 작은 아들 부부가 부산에 살고 있다. 나 스스로도 홍콩에서 꽤나 오랜 기간 거주했었고. 매운 음식은 잘 못 먹지만 동양 음식 자체는 익숙하다. 집에 밥솥도 있어서 밥도 해먹는다.

▲ 정보보안 뿐 아니라 한국 음식에도 익숙한 모습

보 : 두 분 다 살인적인 스케줄을 가지고 계신데, 전문성을 잃지 않기 위해 부단히 노력하지 않으면 안 될 것 같다. 노하우가 있는지.

슬 : 사실 그래서 디지털 포렌식 분야에 있으려면 읽는 것을 좋아해야 한다. 계속 읽지 않으면 금방 뒤처진다. 나도 끊임없이 읽는 편이다. 그리고 어제도 인터뷰 때 말했지만 혼자서는 할 수 없다. 팀을 꾸려야 한다.

팁 : 전문분야에서 사람들을 만나다보면 만남 자체로도 배움이 되는 때가 많다. 언제나 그런 자세를 유지하는 게 힘들지, 배움의 기회 자체가 흔치 않은 건 아니다.

보 : 디지털 포렌식이 한국에서는 아직 대중적으로 널리 알려진 개념은 아니다. 해외에서 이 산업은 아직 정착기에 있는가, 아니면 이미 정착되어 있는가?

슬 : 해외에서는 이미 정착되어 있다. 미국 드라마 중 CSI 시리즈를 알지 않은가? 그게 다 포렌식이다. 현실성이 가끔 없어서 문제지만.

팁 : 미국에는 CSI 효과라는 말도 한다. 그 말 뜻이 특별히 정의되어 있진 않지만, 뭐랄까, 사람들이 우리 같은 사람들은 다 CSI처럼 생각하고 말하고 움직이는 줄 오해하는데, 그런 걸 지칭하는 말이다.

보 : 그렇다면 CSI 시리즈를 콧방귀 끼면서 보는가?

팁 : 그럴 리가. 난 CSI 즐겨 본다. 재미있다. 물론 사실과 맞지 않는 부분이 나오기도 한다. 하지만 그건 TV 드라마일 뿐이다. 그리고 사실과 맞지 않는 부분만큼 맞는 부분도 꽤나 많다.

슬 : 공상과학처럼 비현실적이란 말이 아니다. 가끔 보다보면 우리가 가야할 방향을 제시해준다는 느낌도 든다. 혹은 이미 존재하긴 하지만 널리 쓰이지 않는 기술이 등장할 때가 있어 재미있다. 학교에서 끝까지 학위를 따는 학생들을 보면 새로운 것을 굉장히 두근두근 신나하면서 받아들이는 부류들이 대부분이다. 새로운 걸 즐길 여유가 없으면 포렌식 일 못한다.

보 : 현실 이야기가 나와서 말인데, 포렌식 분야는 크게 ‘IT 기술’과 ‘법 지식’을 다 요구하는 분야다. 이 둘 중 한 분야도 제대로 알기 어려운데 둘을 다 아는 게 과연 현실적인가?

팁 : 제대로 안다는 것의 정의가 필요하다. 사실 ‘전문가’라는 타이틀은 많지만 그 ‘전문가’ 그룹 안에서도 정말 다양한 레벨이 존재한다. 얼마나 잘 알고 있는가, 얼마나 많이 알고 있는가도 중요하지만 전문가를 양성할 때는 오히려 ‘최소한 이 정도는 알고 있어야 한다’는 하한선을 정할 필요가 있다. 그래서 시험을 보고 자격증을 주는 것이다.

슬 : 그런데 그 시험조차 계속해서 바뀐다. (ISC)²에서 주는 자격증을 받았다고 한들 그게 평생 유지되는 게 아니다. 누구도 처음부터 완벽한 전문가가 될 수는 없다. 어느 기본선만 넘어가면 거기서부터 경험을 쌓아 더 많은 전문성을 갖춰가야 한다. 나조차도 처음부터 컴퓨터 쪽에서부터 시작한 게 아니라 기계공학으로 공부를 시작했고 지금도 더 나은 전문가가 되어가는 중이라고 생각한다.

보 : (ISC)²자격증을 취득하려면 정말 다양한 분야를 공부해야 한다. 프라이버시, 윤리, 정보학 등의 기본 학문도 포함된다. 그런데 나라마다 윤리의식, 법 정서가 다 다른데 어떻게 ‘국제 자격증’을 지향할 수 있는가? 이건 조금 모순된 거 아닌지.

팁 : 그래서 현지화가 제일 어렵고 까다로우며 비싼 작업이다. 일단 우리는 다양한 나라와 문화권에서 전문가를 모집한다. 그래서 어떤 문제나 분야에서 최대한 많이 겹치는 ‘핵심 가치’를 끄집어내고, 그것만을 교과과정과 시험문제에 반영한다. 이때 나라마다 내용에도 차이가 나지만 표현 방식에도 차이가 존재하기 때문에 내용을 살리는 것만큼 표현을 정중하고 조심스럽게 하는 것에도 엄청나게 신경을 쓴다. 예를 들어 프라이버시에 관한 법을 지칭하는 이름도 각양각색이다. 하지만 나라마다 문제를 달리 내지는 않는다.

슬 : 진짜 문제는 요즘 서양 학생들이 이렇게 어려운 분야에 기꺼이 들어오려고 하지 않는다는 것이다. 내가 가르치는 학생들 중 대다수가 동양권 출신이다. 당연히 동양권 출신들이 더 많이 배운다고 해서 문제될 것은 없다. 다만 그 동양권 중엔 소위 말하는 테러리스트 국가들 출신이 있기 때문에 개인적으로 서양 IT 분야의 앞서간 지식이 혹여 테러리스트를 간접적으로 돕는 게 아닐까 우려스럽긴 하다. 아마 내가 정부 기관과 가까이 일하다보니 더 그런 느낌을 갖는 것도 같다. 물론 내 학생들 중에는 테러리스트는 없었다.

※ 슬레이 교수는 중국계 입양아를 두 명이나 길러낸 어머니로 인종차별과는 거리가 먼 사람이다.

팁 : 그래서 정보보안은 윤리의식과 연결될 수밖에 없다.

보 : 사물인터넷 시대로 본격적으로 들어서면 그런 점이 더더욱 강조될 것이 틀림없다. 지금보다 더 많은 정보가 더 빠르게 생성될 것이기 때문이다. 우리는 준비가 되어 있는가?

팁 : 준비가 되어 있든 아니든 이미 막을 수 없는 흐름이다. 받아들이는 수밖에 없다. 게다가 사물인터넷이란 것이 말처럼 새로운 것이 아니다. TV 세트도 사물인터넷이었고 아날로그 전화도 따지고 보면 사물인터넷이었다. 다만 그런 용어가 최근에 와서 생겼을 뿐이고 언론들이 이제야 그런 게 있다고 인지했을 뿐이라고 생각한다.

슬 : 그렇기 때문에 앞으로 포렌식 분야가 더욱 뜨거워질 것이라고 본다. 직업군으로서 재미도 있고 경쟁력도 있을 것이 분명하다. 지금부터 준비해두면 언젠가 도움이 될 것이 틀림없다.

팁 : 보통 사물인터넷을 두려워하는 사람들이 있는데, 그런 사람들은 대부분 인공지능 기계가 인간을 정복하는 그림을 머릿속에 그리고 있는 듯하다. 그런데 나는 그것 역시 적자생존의 일부라고 본다. 만약 기계가 인간을 지배한다면, 그건 인간이 기계보다 약해서 그렇게 된, 자연스러운 현상일 뿐이다. 우리가 자연현상을 어떻게 막을까. 에볼라도 못 막고 있지 않은가. 인간은 원래 재해를 만들어내고 또 살아남는 존재다.

보 : 부모가 되기 미안한 시대다.

팁 : 나 역시 기자 나이 때는 내 아이들을 보면서 그런 생각을 했다. 한 40년 전이었나. 그런데 지금은 다들 알아서 잘 살고 있다. 각자 자기가 감당해야 할 몫만큼의 인생을 살기 마련이다. 우리는 우리 시대를 살아왔고 그들에겐 그들의 몫이 있다.

슬 : 자식 둘을 낳고 입양 둘을 했는데 자식은 정말 절대 마음대로 할 수 없고, 그래서도 안 된다. 나와 남편은 아이 넷을 키울 때 번갈아가면서 공부를 하고 석사와 박사 학위를 늦은 나이에 취득했다. 즉, 우리 역시 아이들을 키우는 것과는 별개로 우리의 삶과 시대에 충실했다는 거다. 다만 우리가 아이들에게 꼭 후원해주고 싶었던 건 ‘교육’이었고, 그렇게 했다. 공부는 하고 싶은 대로 시켰던 것 같다. 지금 아이들도 자기 아이들에게 그렇게 하고 있다.

팁 : 보안은 전문 분야라고 생각들 하지만 생각보다 생활의 여러 측면과 밀접하게 연관되어 있다. 부모가 자식들을 보면서 지금 시대를 걱정스럽게 보듯 말이다. 정보의 보안은 나라와 나라의 관계, 기업과 기업의 관계, 그 관계 속에서 형성되는 정서와 공감대와 상관없을 수가 없다. 그 정서와 공감대 사이에서 개인의 감정과 관계가 복잡하게 파생되고 얽힌다.

자식을 위해 자연스럽게 유행하는 질병을 알아보게 되고 자식을 위해 요즘 좋다는 학교를 알아보게 되고 자식을 위해 놀러가기 좋은 곳을 알아보는 것처럼, 보안 분야를 충분히 즐긴다면 필요한 정보는 다 취해가며 살 수 있게 된다.

슬 : 그러니 틈틈이 CSI도 볼 수 있는 것이다. 내가 사는 캔버라는 정말 여유가 넘치는 곳이다. 그곳에 살면서 교통체증이란 걸 한 번도 경험해보지 못했다. 너무 조용해서 배달을 시키면 아주 멀리서부터 물건이 오고 있는 것을 알 수 있을 정도다. 그런 환경에서 사는 사람이 온종일 부지런하게 정보를 소화하고 공부하고 또 그걸 응용하면서 살지는 못한다. 나나 우리 학생들의 공통점은 포렌식이나 정보보안이 정말로 즐겁고 재미있다는 것이다. 새로운 정보나 위협을 발견하면 우린 마치 우리 자신이 최신 얼리어답터가 된 기분이다.

보 : 좋은 말씀 굉장히 감사하다. 사진을 찍어야 하니 마치 기분 좋은 대화 중인 것처럼 설정해 달라.

팁 : 기꺼이.

▲ NG! 설정 샷 연기를 하다 웃음이 터졌다.

[국제부 문가용 기자(globoan@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)