한국의 보안 기술만이 살길이다

시장의 규모를 언론에서 발표하는 것 외에, 좀더  확실한 시장규모를 알아내어 분석해야 한다.. 다 나누어 먹고 아무것도 없는 시장에 뛰어들면 곤란할 것이다.

솔루션의 개발을 외국의 제품과 기호를 살려서 개발하길 바란다. 현재 국산 제품들도 외산에 비교하여 손색이 없지만 외국산 통합제품들이 인기가 있는 이유를 분석해내어 적용 시키는 것이 바람직하다. 무조건 베끼는 식이 아니라, 우리 스스로의 창조적인 모듈을 만들어 내는 것이 급선무이다.

과감히 베타버전을 릴리즈하여 공개적으로 사용자들의 심사를 받는 것이 제품의 명성과 미래를 볼 때 바람직하다. 새로운 해킹기법이 계속 나오고 있는 시점에서 소비자들의 공개심사를 먼저 받는 것이, 급히 제품을 출시하여 판매하거나 투자를 유치하는 것 보다 훨씬 미래지향적이 될 것이다.

우수한 외국인력을 과감히 수입하는 공격적인 인력보급 계획으로 도약의 시기를 한층 더 당길 기회를 마련한다. 얼마 전 인도 인력이 우수하다고 하니 전부들 인도 인력들만 수입하는 현상이 벌어졌다. 그러나  우수한 사람은 2%도 안 되는 우리의 실정과 별반 차이가 없음이 밝혀졌다. 어느 나라의 인력이 우수하고 경쟁력이 있는가에 대한 정확한 정보를 얻어내야 한다.

현재 우리나라의 정보보안 분야의 문제점은 아래와 같이 크게 두가지로 대별할 수 있다.

첫째 : 정보보안업체의 난립 

이들이 이렇게 된 이유는 정보보안분야에 대한 과대평가를 부추기는 입방아나 기타 뚜쟁이 세력 때문이었다

철저한 통계와 정보에 의해서 뛰어 들어야 하는 것이 정보보안회사의 특성이 있음에도 불구하고, 우리나라가 정보보안분야의 시장이 넓기 때문에 얼마든지 은행,기업,관공서를 클라이언트로 잡을 수 있을 것이라는 발상이 큰 문제점으로 대두되고 있다.

그러나 현실은 그렇지 않다.
증권회사나 은행, 관공서, 기업등에서 수주를 따내는 회사는 극히 소수로 제한 되어있다.

나머지는 굴러 떨어지는 떡고물을 먹고 있는 경우를 많이 볼 수가 있다.
떡고물을 먹고 있는 회사들은 현실을 원망할 것이 아니라 직시해야 할 것이다.

수주가 안들어 올 때는 충분한 이유가 있기 때문이다.
한마디로 " 그 회사에다 뭘 믿고 보안관제를 맡기나! " 
현재 우리나라의 보안/해킹 실력은 선진국 수준이며, 4~5년 내로는 가장 많은 최고의 보안인력을 보유하는 유일한 나라가 될 것이며,  정보보안기술과 솔루션들은 전 세계 곳곳에 수출이 될 것이다..

이 대열에 동참하기 위해서는 지금 다시 한번 문제점을 분석하여 재정비에 들어가야 할 것이다.


둘째 : 정보보안인력의 부족현상과 질적인 문제점

정보보안인력 또한 마찬가지이다. 
아무것도 모르는 완전 무식 수준의 인력을 보안회사의 연구요원, PT요원, 관제요원 등등으로 채용하다 보니, 결정적인 영업에 있어서 망신당하기 일수이다.

hack.co.za, ltbug 같은 곳에서 제공하는 해킹코드나 기타 CIS, SNORT, SOLARWINDS 같은 스캐너 가지고 보안점검이라고 하는 사람들을 상당히 많이 보아왔다. 
여기서 나온 결과물을 한글로 슬쩍 번역하여 점검했다고 하는 곳이 있다는 것은 이 계통 사람이면 대부분 알고 있는 사실이다.

이들은 자신들이 제작한 exploits하나 가지고 있지 않으며 모두 외세(?)에 의존하고 있었다.

하지만 물론 자신들의 독자적인 프로그램과 기법을 가지고 있는 실력 있는 전문 인력들도 있다.

그러나 지금의 외국 보안/해킹의 추세는 어떻게 돌아가고 있는가 ? 

외국에서는 올해부터 whitehat이나 blackhat도 마찬가지로 exploits제공을 거부하는 쪽으로 기울고 있다.

아마도 앞으로는 더욱더 exploits는 보기 힘들어 질 것이며, 심지어는 Advisory도 곧 사라지게 될 것이다.

현재 이 때문에 PT(모의침투) 서비스를 하는 업체들도 상당히 타격을 입고 있는 실정이다.

왜냐하면 보안업체에서 유료 점검을 받았다는 모 기업의 서버가, 어느 지방의 대학 동아리에서 재점검을 해보니 사방에 보안구멍(보안 취약점)이 송송 뚫려 있는 것이다. 정말 큰 문제가 아닐 수 없다.

다행히도 우리나라에서도 13명이 넘는 보안/해킹 최정예 전사(아시는 분들은 아실 것이다)들이 계속해서 익스플로이트를 발표해 외국의 보안/해킹 관계자들을 놀라게 하고 있다. 

심지어는 세계 최고 권위의 해킹잡지인 Phrack지에 우리나라의 "리얼어택"에 기고해 국가의 위상을 더해주고 있다.

그러나 이들은 사실상 그다지 금전적이나 시간적으로 여유가 있어 익스플로이트를 제작하는 것이 아니다.

우리는 이들로 하여금 후학들을 양성하고, 각종 지원과 혜택을 주면서 활성화 시키는 것도 급선무라고 생각한다.
이것은 정부에서 정책적으로 이들에 대한 지원을 적극적으로 해주어야 한다는 것과 일맥상통하는 이야기다.

최근 정보보안회사들이 지속적으로 해킹대회를 개최하고 있다 
사실 이러한 대회에서 우승하는 해커들이야 말로 최고의 실력자라로 말해도 과언이 아니다. 

이런 대회가 자주 열리는 것도 보안 인력을 발굴하는데 기여를 할 것이지만, 이들에 대한 체계적인 지원방법을 연구해야 할 것이다.

이들은 이론과 실전으로 중무장된 명실공히 증명된 우리나라의 정보보안분야 대표선수들인 것이다.

얼마 전 해커스랩의 왕중왕 대회에서 2등과 3등을 나란히 차지한 "널루트"와 "아이넷캅" 같은 곳은 계속적인 지원을 아끼지 않음으로써 이러한 그룹이나 회사들이 많이 나오도록 활성화를 유도해야 한다. 

그 외에도 최고의 실력을 갖춘 보석들이 많이 있다..
이들은 어떻게 발굴해 낼 것인가.

필자도 이 점에 대해서는 단적으로 말하기 힘들다.

이들은 어쩔 수 없이 돌아다니는 소문보다는 테스트에 의해서 발굴하는 것이 좋다.
관련 자격증도 소지하고 있으면 좋지만 너무 의존하지 않는 것이 바람직하다고 생각한다.

그러나 필자의 경험에 의하면 일단 사회 적응력을 테스트한 후 실력을 테스트하는 것이 가장 바람직하다.
실력이 아무리 좋아도 사회성이 따르지 않으면 회사에도 절대 도움이 되지 않는 상황을 필자는 보아왔다.

또한 필자의 경우에, 사회성이 떨어지는 실력을 가진 전문가는 지금껏 본적이 없다.
그저 스크립트나 돌리면서 자체 발전력이 전혀 없는 사람들이 자칭 전문가라고 하고 있는 것을 보면 씁쓸하다.

아무튼  인적자원의 옥석여부를 골라내는 안목 또한 정보보안 전쟁에서 승리할 수 있는 중요한 요인이라 생각한다.

결론 : 
오로지 전문인력의 확보만이 살길이며...
또한 전문인력의 양성에 힘을 써야 할 것이며...