스카우 교수, '현대 정보보안은 1500년대 의학계와 비슷'

보안 업계에 만연한 암울한 소식들에 일희일비 하지 않아야

큰 방향의 표준을 정립하고 올바른 교육 지향해 미래를 대비해야

[보안뉴스 문가용] 아이다호 주립대학의 정보보호학과 교수이자 (ISC)²의 의장인 코리 스카우(Corey Schou)는 30여년을 정보와 데이터를 보호하느라 머리가 하얗게 샜다. 그리고 요즘은 후대 양성으로 하얀 머리가 더 하얗게 되고 있다고 한다. 그렇기 때문에 이번 ISEC 2015 두 번 째 날 키노트 강연으로 그가 선택한 주제 역시 ‘후대 양성’이었다.

키노트 프레젠테이션을 시작하며 자신이 한 젊은 사이버 보안 담당자와 찍은 사진을 청중에게 보인 스카우 교수는(그 사진 속에서 스카우 교수는 뒤편에, 젊은 담당자는 앞편에 있다) “이제 사이버 보안이라는 일을 앞장서서 하지 않아도 될 나이가 됐다고 생각합니다. 후대의 누군가를 앞세워 문제를 해결하게 하고 나는 뒤에서 그것을 뒷받침하고 조언을 해주는 역할로 돌아서서 계속해서 증가하는 사이버 범죄 및 사건들을 대처 해야지요”라고 설명했다.

그가 말하는 ‘뒷받침’과 ‘조언’이란 다름 아니라 ‘표준’과 ‘교육’이다. 스스로 교육가이면서 NIST 등의 중요 국가기관에서 표준 및 정책 정립을 계속해서 해온 스카우 교수는 인재들이 스스로의 재능을 발견하고 키울 수 있게 해주는 게 교육이라면 올바른 방향으로 자랄 수 있도록 해주는 게 표준이라고 한다. “표준 수립은 국가의 몫이기도 하지만 이제는 국가와 정부를 초월해 정보보안과 관련된 일이라면 어디에서나 도움이 될 수 있도록 하는 큰 틀의 수립이 필요하다”고 설명했다.

“또한 표준은 다른 환경에 있는 사람들이 서로 협조해서 일할 수 있게 합니다. 그렇기 때문에 네트워크 형성이 더 쉬워지고, 국제 공조가 한결 간편해질 수 있습니다. 그러면 이는 사람들 간 협조를 증진시키죠. 선순환이 만들어집니다.” 그러나 세상 일이 어디 그렇게 이상적으로만 흘러가는가? 그 반대급부에 있는 악순환도 충분히 만들어질 수 있다.

“그래서 여러 국제 인증서가 존재하는 것이죠. 인증서란 게 단순히 교육을 마쳤다는 증표가 아니라 다양하고 절실한 국제 표준 수립에 있어서 뭔가 의견 제시를 할 만한 최소한의 자격과 소양을 갖춘 사람이라는 걸 드러내기도 합니다. 게다가 사람만 인증하는 게 아니죠. 기업 시스템 혹은 조직의 시스템 전체를 인증하기도 합니다. 표준 마련과 인증의 생성은 이렇게 서로 맞물리는 관계에 있습니다.”

그가 정보보안 및 사건사고의 최전선에서 한 발 물러나 교육에 힘을 쓰게 된 건 시대의 필요 때문이기도 하다. 즉 갈수록 심해지는 범죄의 양과 수단 때문에 당장의 문제 해결보다 앞으로의 문제 해결이 중요한 것으로 부각되기 시작했다는 것. “현대의 보안 종사자들은 1500년대 의사들과 비슷한 역할을 하고 있다고 생각합니다. 당시 의사는 오늘처럼 대단한 존경을 받기는커녕 천대받는 곳도 많았죠. 또한 의학계 내부적으로는 각종 질병에 대해 획기적인 해결 방책이나 기준이 수립되지 않아 혼란스럽기도 했었고요. 지금 정보보안 종사자들이 딱 그런 시대의 의사와 같습니다.”

1500년대의 의학이 현대의학으로 변모하기까지 내부적인 기술발전은 물론 끊임없는 정책 및 기준 수립과 변경을 통한 사회적 요소로서의 역할 확장도 함께 있었던 것처럼 지금의 정보보안도 그래야 한다는 것이 그의 설명이다. “정보보안이 기술적으로 더 잘해야 한다, 해커들에게 지고 있다, 사건사고는 점점 더 많아진다는 등 안 좋은 소리가 많지만, 그건 다시 말해 정보보안이 송두리째 자라나야 할 시기라는 소리이기도 합니다. 그리고 그래야 하고요. 그래서 지금 학생들뿐 아니라 현직에 있는 분들, 심지어 관리자 레벨에 있는 사람들도 계속해서 공부해야 함은 물론, 그들이 올바른 방향으로 공부할 수 있도록 하는 국제적인 표준이 필요한 것입니다.”

또한 간과할 수 없는 건 ‘희망자들의 절대적인 수가 증가해야 한다’는 것이다. 의사가 되고싶어 하는 사람이 없어진다면 발전이고 표준의 수립이고 큰 효력을 발휘하기 힘들기 때문이다. “사이버 보안, 정보보안 업계도 앞으로 계속해서 사람을 필요로 할 것입니다. 지금도 업계에는 사람이 모자란다는 소리가 나오죠? 그건 바로 이정보보안을 위한 접근 방향이 늘어난다는 소리이기도 합니다.”

일기예보로 비유하자면 ‘맑음’으로 표현하기 힘든 요즘을 1500년대의 의학계로 빗댄 스카우 교수에게서 ISEC 2015 청중들은 희망을 볼 수 있었다. 나 혼자, 우리 회사 혼자 이런 때를 극복해나가는 게 아니라 다 같이 오랜 시간을 들여 몇 세대 후를 내다봐야 한다는 긴 안목을 선사받은 것이다. “표준과 정책의 수립 혹은 입법과정이 기술의 발전을 못 쫓아가도 하는 수 없습니다. 지금 세대는 지금 세대가 치러야 할 대가가 있는 것이고, 그것이 미래 보안 업계의 양분이 되기 위해서 이렇게 한 자리에 모여 이런 저런 이야기를 나누고 있으니 말입니다.”

[국제부 문가용 기자(globoan@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)