해커의 잘못에 대한 책임은 누구에게 있는가?

지난 달에 발표된 보안 논문에서 NAS(National Academy of Sciences)는 '그렇다'고 대답한다. 그러나 필자는 미국에서 가장 똑똑하다고 여겨지는 사람들이 이 문제를 충분히 검토했는지 확신이 서지 않는다.

첫째, 한 가지를 분명히 짚고 넘어갈 것이 있다. 왜 안티바이러스나 보안 소프트웨어를 구입해야만 하는지 이해가 가질 않는다. 이 제품을 만드는 회사에게 반감이 있어서가 아니다. 사실 필자는 맥아피와 특히 노턴이 일을 잘하고 있다고 생각한다.

그러나 이런 소프트웨어들의 역할이 대부분 MS의 운영체제, 기술, 애플리케이션의 약점으로부터 필자를 보호하는 일이라면, 왜 MS는 무료로 보호장치를 제공하지 않는가? 아니라면 운영체제 업데이트나 업그레이드를 포함하는 가입 서비스로 제공할 수도 있다. 참고로 필자는 독자들이 '가입'이라는 말을 혐오한다는 것을 안다.

분명히 MS는 보안 문제에 부딪힐 때마다 다수의 무료 패치와 픽스를 제공한다. 또한 문제 발견 시점부터 픽스를 배포하는 시점까지의 대응 시간도 아주 빠른 편이다. 안티바이러스 판매업체들도 마찬가지다. 아침에 바이러스를 발견하면, 오후쯤에는 치료법을 내놓기 마련이다(어떻게 이럴 수 있는지 놀라울 따름이다!).

물론 사용자들이 픽스를 다운받아 적용하지 않는다면, 이 모든 것은 아무 소용이 없다. 이에 관해 쓴 일이 있지만, 사용자가 윈도우 업데이트를 수행하면 MS는 사용자가 필요로 하는 픽스를 자동으로 보내준다. 그러나 이것으로 안티바이러스 소프트웨어(모든 컴퓨터가 필요로하는 기본 보호 장치) 문제가 해결되는 것은 아니다. 이런 프로그램들도 자동 다운로드를 제공한다.

그러나 만약 침입자나 바이러스가 당신의 이메일 시스템을 망쳐놓고, 회사의 생산성을 하루나 그보다 오랫동안 엉망으로 만든다면 소프트웨어 회사가 일말의 책임을 져야하지 않겠는가?

현재의 법률 상황으로는 그렇치 않은 것 같다. 이 문제에 관해 테크 업데이트와 앵커데스크 컬럼니스트인 데이빗 벌린드와 필자는 라디오 프로그램에서 얘기를 나눈 적이 있다.

이 주제에 관한 데이빗의 컬럼도 읽어야만 한다. 왜냐하면 필자가 다음과 같이 요약한 것이 그의 주장을 제대로 반영했는지 확신이 서질 않기 때문이다.

벌린드의 입장은 입법(소프트웨어 제조회사가 자사 제품에 취하는 조치의 수준을 좀더 증가시키는), 소비자의 경각심, 그리고 통제의 결합으로 보안 문제들을 해결할 수 있다는 것이다. 이론상 만약 소프트웨어 회사에 대한 소송이 비교적 쉬워진다면, 그들은 더 좋은 제품을 만들 것이며 특히 일차적으로 보안이 잘된 제품을 소비자가 선택하는 것이 궁극적으로 그들을 돕는 것이다.

이러한 접근법의 두번째 부분(소프트웨어 업체보다 사용자가 그들의 시스템을 통제할 수 있는 보다 많은 권한을 갖는 것, 예를 들어 이메일에서 좀더 공개적인 표준인 POP3나 IMAP을 지향하는 것)이 갖는 문제점은 MS의 표준 중에서 많은 것을 잃어버릴 수 있다는 것이다. 여기에는 아웃룩에서 달력과 일정 관리를 해주는 기능이 포함된다.

벌린드가 소비자들이 좀더 많은 선택권(약점이 적은 클라이언트로 전환하는 것 포함)을 가질 것이라고 지적한 것은 옳지만, 이것이 클라이언트쪽의 약점을 치유하지는 못한다.

이러한 논쟁으로 인해 너무 많은 생각을 하게 되면 결국은 다시 제자리로 돌아오게 된다. 마치 MS보다 작은 기업이 소프트웨어의 결함을 빨리 고칠 수 있을 것인가 따위의 문제말이다. MS가 아닌 기업들이 생산하는 소프트웨어에도 해커들이 관심을 갖고 공격할 것인가? 단지 사람들의 데이터만을 원하며, 그들이 무엇을 사용하는지에는 관심이 없는 해커들은 또 어떤가?

워싱턴 타임즈의 컴퓨터 컬럼니스트인 마크 켈너는 라디오 프로그램에 출연해 더욱 보수적인 견해를 드러냈다. 그는 입법이 아니라 시장이 컴퓨터 보안을 향상시켜야 한다고 말했다.

그의 입장을 입증하기 위해 켈너는 1월 15일에 빌 게이츠가 기념비적으로 작성한 '신뢰성있는 컴퓨팅' 메모의 결과로, MS가 자사의 프로그래머들이 좀더 보안이 잘된 코드를 작성할 수 있도록 교육하고 있다는 사실을 언급했다.

필자의 생각은 양쪽 입장 모두 어느 정도 필요하다는 것이다. 이점에서 NAS는 빗나갔다고 생각한다. 소프트웨어 기업들은 그들의 소프트웨어가 고장난 경우 좀더 많은 책임을 져야한다. 그러나 꼭집어서 이들을 비난하는 것은 문제가 될 수 있다.

예를 들어 모든 데스크톱 다운에 대해 MS가 책임을 진다고 상상해보자. 이를 위해선 특히 드라이버를 포함한 데스크톱에서 수행되는 모든 소프트웨어에 대해 MS가 일단의 책임과 권한을 가져야 한다. MS에게 이러한 권한을 준다면, 이미 여러분은 필자가 무슨 말을 하려는지 알 것이다.

게다가 피해 규모의 산정에 관한 문제가 있다. 해커들을 엄하게 처벌하는 것을 지지하는 것에 관해서는 필자가 전에 언급한 바와 같이 그들이 입힌 총 피해는 엄청나지만 절대적인 숫자는 계산할 수 없다.

고객의 메일 서버가 웜에 의해 고장이 나서 하루 동안의 일을 망쳤다면, 소프트웨어 회사가 책임을 져야 하는가? 이것은 강도가 들어 집주인을 총으로 살해한 경우 집을 지은 건축업자를 처벌하는 것과 비슷할 것이다. 결국 사람들을 보호하기 위해 할 수 있는 일은 한정돼 있다.

어떻게 해야 충분한 것인가? 자유와 보안 사이에서 적절한 균형은 어떻게 찾을 수 있는가? 이런 문제는 우리 모두가 염려해야 하는 것이며, 소프트웨어에만 국한된 것이 아니다.

책임의 정도가 증가한다면 개발 싸이클에 끼치는 영향은 무엇일까? 만약 연방정부가 벌금을 크게 매긴다면 특정 수화물이 다시는 분실되거나 연기되지 않도록 확실한 조치를 취할 수 있다고 한 항공사 CEO가 말하는 것을 들은 적이 있다.

물론 비행기에 짐을 싣는데 두 시간이나 걸릴 것이다(공항에 일찍 나와야 겠지). 그리고 다시 짐을 부리고 모든 가방을 확인하는데 다시 두 시간이 걸릴 것이다. 항공표의 값은 올라갈 것이다. 문제보다 해결책이 경제적으로 더 큰 손실이 될 수도 있지만 문제 그 자체는 해결될 것이다.

반대의 경우, 심지어 빌 게이츠도 MS나 다른 기업의 잠정적인 책임의 정도가 MS 프로그래머들에 있어서 제일의 걱정거리는 아니었다고 말했다(필자의 생각에 세번째 걱정거리도 아니었다). 이 발언으로 문제 해결에 한발짝 다가선 것 같다.

MS로부터 당장 무료로 안티바이러스 소프트웨어를 얻을 수는 없겠지만, 앞으로는 필자가 사용하고 있는 소프트웨어보다 보안이 잘된 소프트웨어를 사용할 수 있을 것이다.