[EXPERT COLUMN] 보안 기준 2% 높이는 손쉬운 방법

철벽 곳간 이야기

옛날 한 고을 관아 쌀 창고에 쥐가 드나들어 쌀을 축내는 일이 잦자 사또가 이를 조치하라 일렀다. 이에 이방이 곳간 벽을 강철로 바꿔 세우니 전보다 쥐가 드는 일이 한결 줄었다. 허나 철벽 하나가 불량하여 아이 주먹만한 구멍이 있는지라 쥐로 인한 폐해가 아주 그치지는 아니했다. 역정이 난 사또가 쥐잡이꾼을 불러 방법을 찾으라 하니, 쥐잡이꾼이 곳간을 둘러보고 이방에게 "작은 구멍이 하나 있으니 그 구멍을 막으소서" 하였다. 이방은 이를 경시하고 '작은 구멍 따위가 무슨 큰 해가 있으랴' 여긴지라, 사또에게 고하기를 “지금보다 나으려면 철벽의 두께를 곱절로 하면 되리라 싶나이다” 하는 것이었다. 어리석다, 이방이여! 쥐는 철벽을 뚫고 오는 것이 아니라 작은 구멍으로 드나들 뿐이나니 어찌 큰돈과 노력을 들여 무익한 대책을 꾀하는가!

 

 

2% 부족한 보안 시스템

“이 곳처럼 직원 보안이 잘 되어 있는 곳은 처음 봤어요. USB 메모리로 복사는커녕 접근 시도만 해도 로그가 남고요, 외주 직원들과 개발자들은 인터넷에 전혀 연결되지 않아요.”
“와! 그럼 여기는 보안 문제를 지적할 게 없겠군요.”
“그게 그렇지만도 않아요. 일반 직원들은 그렇듯 엄청나게 통제하지만 시스템 관리자나 DRM 관리자 등 권한 있는 직원들은 모니터링을 하지 않고 별다른 통제도 없어요.”
“왜 그렇죠?”
“DRM 관리자는 최고 권한이 있는 담당자니 통제하지 못한다는 거고, 시스템 관리자는 관리해야 할 시스템이 너무 많은데 통제하면 업무를 제대로 할 수 없다는 거죠. 장애에 제때 대응하지 못해서 사고 나면 책임질 거냐고 따지는데 어떻게 보안 통제를 하겠어요?”
“그래도 올해 보안 투자를 엄청 늘렸잖아요?”
“그 투자는 전부 시스템에 대한 투자이고, 직원들 통제 수준도 높아졌어요. 하지만 보안 예외의 문제나 웹 개발할 때 소스코드의 보안 점검을 못하고 허겁지겁 오픈하는 등의 문제점은 여전히 남아있어요. 투자를 늘리면 뭐해요, 어쩔 수 없이 예외를 적용하는 일은 남아있는데. 늘 2%가 부족한 거죠.”

 

 

‘최고점’보다 ‘최저점’을 살펴라

2011년에 대형 보안 사고가 봇물처럼 터진 덕(?)에 많은 기업들이 보안 투자를 늘리고 있다. 개인정보보호법 대응을 위해 DB를 암호화하겠다, 직원들 메일이나 웹 접속을 모니터링해서 정보 유출을 통제하겠다는 등 내용인즉슨, 바람직하고 그 자체론 흠잡을 데가 없다. 문제는 무엇이 선행되어야 하는가다. 천장에 비가 새면 비 새는 틈을 메우는 게 우선이고, 곳간에 쥐구멍이 있으면 쥐구멍을 막는 게 먼저 할 일이다. 비 새는 틈도 쥐구멍도 그대로 둔 채 지붕을 높이고 곳간의 철벽을 두껍게 쌓는 것이 무슨 소용인가?

 

기업 전체의 규모로 보나, 구축된 보안 시스템으로 보나 어디서도 빠지지 않을 대기업이라 하더라도 실질적인 보안 상태에서는 자신 있게 ‘최고’ 평가를 받지 못하고 있는 게 현실이다. 막대한 투자는 물론 직원들의 불편을 감수하며 보안을 강화해도 2%의 ‘구멍’은 여전히 메워지지 않고 있기 때문이다.

 

최근에 부각되고 있는 APT(Advanced Persistent Threat)는 해커가 기업의 내부에 잠입한 후 장시간에 걸쳐 권한 있는 내부자를 탐색하고 권한을 탈취하는 것이 특징이다. 해커가 좀비로 삼으려는 타깃은, 군대로 치면 장군들이고 국가로 치면 정부각료급이다. 그에 도달하기 위해 비교적 틈을 내기 쉬운 일반 병사나 평범한 시민을 이용하는 것뿐이다.

 

이쯤 되면 ‘아, 내부의 권한 있는 직원들을 강력하게 통제하라는 것이군’하고 생각할지 모르겠다. 아니다! 글머리에서 말한 것처럼, 중요한 것은 쥐구멍을 막는 것이다.

 

어떤 쥐구멍이 있는지는 각 관아(기업이나 기관)에서 직접 찾든지, 전문 쥐잡이꾼을 불러 찾든지 상관없다. 요는, 발견된 쥐구멍은 예외 없이 막아야 하고 전문가의 충고는 철두철미하게 적용해야 한다는 점이다. 곳간 철벽 두께와 상관없이 구멍이 있는 한 쥐는 드나들기 마련이고, 첨단 보안 시스템에 얼마를 투자하든 기업의 보안 수준은 최고선(Top Line)이 아니라 최저선(Bottom Line)을 기준으로 평가된다.

 

엄격한 비밀번호 설정과 주기적인 변경, 웹 소스코드의 보안 검증 등 사소한 업무 관행을 고치는 것만으로도 보안의 최저점을 한층 끌어올릴 수 있다. 모처럼 활발해진 보안 투자가 헛되지 않도록 하기 위해서는 작은 틈을 살피는 혜안(慧眼)이 필요하다.@