익명의 보안전문가, 그들이 익명을 고집하는 이유

익명 요청 이유 5가지 유형으로 정리해보니...
가급적 지양해야 하지만...보안분야 특성상 불가피한 측면도

[보안뉴스 민세아] 최근 보안관련 기사를 다루는 언론매체에서 주요 사안을 언급할 때 자주 쓰이는 표현이 있다. 바로 ‘익명의 보안전문가’라는 말이다. 최신 이슈가 되는 사항, 취약점, 혹은 민감한 주제에 대한 기사를 다룰 때 많이 등장하는 이들은 도대체 누구일까? 이들은 왜 자신을 드러내지 않고 익명을 요구하는 것일까? 이에 본지에서는 보안전문가들이 익명을 사용하는 이유에 대해 직접 취재해봤다.

유형 1. 내 생각이 회사 견해로 비춰질까봐 ‘두려워’

첫 번째로 개인의 의견이 기업을 대표하는 입장이 될까봐 익명을 요구하는 경우다. 예를 들어 A라는 기업의 관계자가 백신으로 유명한 B업체의 백신 성능에 문제가 있다는 내용으로 인터뷰를 했다고 치자. 그런데 그 다음날 ‘A기업이 B기업 보이콧!’이라는 기사가 나왔다면?

그저 개인의 의견을 말했을 뿐인데 소속과 함께 실명이 밝혀지면 회사에 직·간접적인 영향이 있을 수 있다. 기사에 대문짝만하게 기업을 대표하는 입장으로 나오면 서로 난처해지고 상대 기업에서도 굉장히 기분 나빠할 수 있다. 만약 A기업과 B기업이 함께 진행하려던 사업이 있다면 차질이 생길 수도 있다.

위와 비슷한 이유지만 공공기관이나 관공서 혹은 이미지 관리에 민감한 기업의 경우 언론에 오르내리며 시끌시끌해지는 것을 싫어하는 경우가 있다. 북한 등 민감한 정보에 관한 얘기를 할 경우 더욱 밝히기를 꺼려한다.

유형 2. 난 공공기관에 속한 힘없는 임직원일 뿐

국가기관에 소속된 보안전문가는 기관에서 공식적으로 발표하는 경우를 제외하곤 대부분 비공개를 원한다. 개인이 의견을 밝히더라도 기관의 공식적인 입장이 아니라 사견이라는 꼬리를 달게 된다.

또한 공직자는 이익을 내기 위해 일하는 사람이 아니다. 개인 입장에서는 좀 튀어서 이름을 알리고 강의도 하고 싶겠지만, 업무 외적인 활동에 대한 대가성이 없다는 사실을 일일이 증명해야 되고, 대가성이 있다면 세금폭탄도 맞게 된다.

유형 3. 사실 보안이 뭔지 잘 몰라서

많은 사람들이 전문가로 알고 있지만 실제로는 TCP/IP는커녕 메모리가 뭔지도 제대로 모르는 허울 좋은 보안전문가인 경우다. 실제로 주위에 몇몇 사람은 실체를 알고 있어 나중에 소문이 돌면 자신의 정체가 밝혀질 것을 우려해 익명을 요구하는 것이다.

유형 4. 너 죽고 나 죽기에는 보안시장이 너무 좁다

산업 전반에 영향을 미치는 취약점 이슈가 있을 때 이를 공개적으로 밝히는 데 있어 조심스러운 부분이 있기 때문이다. 해당 취약점 하나로 관련 업계가 큰 손해를 입을 수도 있을 뿐더러 공개 이유를 오해해 잘못된 소문이 확대되고, 결국 피해가 자신에게 돌아올 수 있어서다. 한마디 잘못했다가 꼬투리 잡히거나 긁어부스럼 만들 일 없게 아예 익명을 요구하는 것이다.

또 다른 사례로는 연관성이 높은 기업 양쪽 일을 모두 수행중인 경우가 있다. 예를 들면 보안회사와 SI(시스템 통합) 업체의 프로젝트를 동시에 수행하는 경우 혹은 보안회사와 IT 기업의 프로젝트를 동시에 수행하고 있는 경우다. 소속이나 실명을 밝히면 곤란해지기 때문에 익명을 요구하기도 한다.

유형 5. 알려지면 피곤해서! 그냥 편하게 살고 싶다

이러니저러니 해도 결국엔 귀찮아지는 게 주요 이유다. 기사에 자주 언급되면 유명해질 수 있지만 추후 다른 기자들로부터 계속해서 연락을 받고, 보안을 꿈꾸는 꿈나무들에게 끊임없이 연락을 받아 심지어는 일할 틈도 없게 된다는 것.

익명이 성행하게 된 데는 한국의 유별난 ‘눈치보기’ 문화도 단단히 한몫하고 있다는 지적도 나온다. 훈수 두는 것을 달가워하지 않고 가만히 있으면 반이라도 간다는 옛말 때문인지 우리나라 사람들은 자신을 잘 드러내려 하지 않는 경향이 있다.

특히, 보안 분야는 민감한 부분이 많기 때문에 다른 분야보다도 익명의 보안전문가라는 표현을 사용하는 경우가 더 많다. 물론 취재원이 요청하고 취재원을 보호해야 할 필요가 있을 경우에 한해서 말이다. 그러나 익명의 보안전문가라는 표현은 기사의 신뢰성을 떨어뜨리는 요인이 되기도 한다. 취재원이 익명을 악용해 사실이 아닌 내용을 말할 수도 있고, 언론사 또는 기자들이 익명성을 무기로 자신들이 원하는 방향으로 발언을 유도하는 경우도 생길 수 있기 때문이다.

그렇기에 취재원과의 신뢰가 전제되지 않으면 익명의 보안전문가라는 표현은 가급적 지양해야 한다는 건 명백하다. 그럼에도 불구하고 익명의 보안전문가는 어떤 측면에서는 진실에 보다 가까이 다가가기 위해 불가피한 필요악일지도 모르겠다.
[민세아 기자(boan5@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)