[CISO 되기 프로젝트 4] NC의 제닝스 아스크

영문학 전공에 첫 직장은 법조인 사무실, 기술은 취미로만

배우고 또 배울 수 있는 자세와 능력이 CISO의 필수 덕목

[보안뉴스 문가용] 90년대 후반과 2000년대 초반 규제 준수에 대한 바람이 불기 시작하면서 각종 분야의 사람들이 정보 보안 분야로 몰려들었다. 뉘앙스 커뮤니케이션즈(Nuance Communications)의 제닝스 아스크(Jennings Aske) 역시 그 중 하나였다. 그러나 당시만 해도 자신이 CISO의 위치에까지 올라올 줄은 꿈에도 몰랐고 상상도 못했다.

그렇다면 제닝스 아스크는 어떤 배경을 가지고 있을까? 많은 CISO도 그렇지만 기술이나 IT쪽과는 거리가 먼 분야였다. “정말 우연히 이 길에 들어섰습니다. 그리고 운이 좋아 잘 풀린 것이죠.”

제닝스는 영문학을 전공한 사람으로 컴퓨터 조립이나 크리스털 라디오 세트 조립을 취미로 간간히 하던 정도의 평범한 대학생이었다. 게다가 첫 직장은 영어 전공을 살린 것도 기술 쪽의 취미를 살린 것도 아니었다. 법 쪽으로 가닥을 잡은 것이다. 매사추세츠 주립 의료 및 인권 서비스 사무소의 최고정보보호책임자(Chief Privacy Officer)의 밑에서 법 관련 출판물을 편집하며 특별히 연방의료정보통상책임법(HIPAA) 텍스트와 친숙해졌다. 그러면서 개념과 관련 지식들을 자연스럽게 익힐 수 있었다.

“그러면서 정보 보안 분야에 법 지식을 갖춘 사람이 활동할 필요가 있다는 걸 느꼈습니다.” 기술이나 기계를 전공한 건 아니었지만 취미 생활을 하며 틈틈이 익혔던 지식들이 그의 이러한 새로운 경험과 자연스럽게 조화되기 시작했다. 그가 느꼈던 정보 보안 분야와 법 지식을 모두 갖춘 사람이 스스로 되어가고 있었던 것이다.

더 중요한 건 취미 생활로 했었던 기술 지식이 최신 툴이며 테크놀로지를 더 공부하게 하는 원동력이 되었다는 것이다. “그래서 취미 생활을 넘어 처음으로 진지하게, 학술적으로 접근하기 시작했습니다. 법조계에서 일하면서 사건 변호를 위해 준비하던 열심을 그대로 가지고 공부하니까 재미도 있고 금방 익혀지더라고요.”

제닝스는 정식 IT 교육을 받고 정보 보안 분야로 들어오는 사람들 역시 공부를 계속 해야 한다고 주장한다. 취직을 하고 정식으로 일을 시작하고 나서도 말이다. “너무나 빠르게 변하는 분야에요. 학교에서 배운 거, 졸업하면 금방 옛 것이 되어버립니다. 스스로를 업데이트 시키는 게 중요합니다. 출신 배경이 무엇이든 간에 말이죠.”

하지만 그게 잘 안 되는 현실도 제닝스는 잘 알고 있다. “보안 분야는 이상하게 훈련 쪽으로는 투자를 잘 안 하더군요. 다른 IT 분야는 안 그래요.” 회사가 지원을 안 해주는 것만이 문제가 아니다. “누가 시킬 때까지 기다리는 게 아니라 스스로 나서야죠. 자신에게도 투자를 해야 합니다.”

결국 제닝스는 자기가 최초로 근무했던 매사추세츠 주립 의료 및 인권 서비스 사무소의 CISO가 되기에 이르렀다. 거기서 정보 보안을 담당하고 16개의 매사추세츠 주 에이전시들을 관할했다. 그리고 나서 또 다른 의료 기관의 CISO로 근무하다가 올해 1월부터 뉘앙스 커뮤니케이션즈의 CISO로 근무 중에 있다.

“가장 중요한 건 CISO라고 해서 모든 분야의 전문가가 될 수는 없다는 것을 인지하고 또 인정하는 것입니다. 또한 기술 쪽에 너무 치우쳐 있는 보안 전문가들을 아직도 자주 보게 됩니다. 아예 경영진이나 일반 직원들을 포기하거나 그들과의 대화 및 교육을 시도조차 하지 않는 것이죠.”

CISO의 가장 큰 덕목은 계속해서 공부하는 것이라고 제닝스는 믿고 있다. 그리고 그 배움의 원천은 윗사람, 아랫사람, 동료 구분이 없어야 한다는 것도 그의 신조다. 심지어 그 자신이 정보 보안 출신이 아니듯, 다른 분야에서도 얼마든지 배울 수 있어야 한다.

“CISO는 보안 분야의 ‘왕’이 아닙니다. 왕의 태도를 가진 사람이 너무 많아요. 그래서 다들 CISO가 되고 싶어하는가 싶기도 하고요. 하지만 CISO는 귀를 잘 훈련해야 합니다. 겸손해야 하고요. 그래야만 배울 수 있습니다. 그리고 그래야만 사람들의 비협조에도 놀라지 않고 적응할 수 있습니다. 결국 CISO는 일반인의 협조를 이끌어와야 하는 건데, 그러려면 먼저 다가가서 협조를 할 수 있어야 합니다.”

@DARKReading

[국제부 문가용 기자(globoan@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)