늘어나는 보안사고,「피할 길 없다」

기술 창업자인 브루스 쉬네이어는 미국에서 가장 유명한 보안 전문가 중 한 명이다. 지난 1999년 美 상소법원은 암호화 알고리즘이 제1 수정조항(First Amendment)이 보장하는 표현의 자유에 따라 보호받는다고 결정했다. 이 때 그가 의회에서 행한 증언은 암호화 기법을 법적으로 규제하려는 FBI와 국가 보안국의 계획을 무산시키는데 도움이 됐다 

쉬네이어는 보안서비스 기업인 CIS (Counterpane Internet Security)의 공동창업자며, 이 회사에서 기술 총 책임자로 일하고 있다. 그는 기술이 아니라 지속적인 경각심이 컴퓨터 침입에 대한 최고의 방어라고 주장하지만 네트워킹 시스템이 점점 복잡해짐에 따라 보안사고는 증가할 수 밖에 없다고 본다.

3년후 인터넷과 네트워크 보안은 얼마나 변해있을까
마치 마술가루처럼 적절한 제품군만 구입하면 네트워크는 ‘안전’할 것이라고 믿던 시기를 사람들이 드디어 탈출할 것이라고 생각한다. 보안은 절차며 긴 여행이다.

보안사고는 감소할 것인가 증가할 것인가
증가할 것이다. 인프라스트럭쳐가 점점 온라인화 될수록, 그리고 접근하고 싶거나 훔치고 싶은 것들이 온라인으로 옮겨 갈수록 보안사고는 증가할 것이다. 네트워킹 시스템이 복잡해지면 보안사고는 증가할 것이고 컴퓨터가 더 강력해지고 유용해질수록 보안사고는 증가할 것이다. 컴퓨터 네트워크에 관한 모든 것은 미래에 보안사고가 늘어날 것임을 시사한다.

보안기업들이 사이버 침입자들에 대항해 불법 해킹을 기억에만 존재하는 것으로 만들 비밀 무기를 개발할 수 있을까
개발만 가능하다면 … 하지만 비밀무기는 없고 앞으로도 없을 것이다. 사람들은 기술이 언젠가 마술처럼 안전한 세상을 만들 것이라는 환상을 갖고 있다. 몇 개월 전 누군가 내게 다음과 같이 질문했다. “컴퓨터 해킹은 언제쯤 방지할 수 있을까?” 나는 잠시 생각한 후 다른 질문을 던졌다. “문명의 나이는 4000살이다. 우리는 언제 살인을 방지할 수 있을까? 영원히 불가능하다. 미래의 어떠한 제품이 나오더라도 살인을 방지할 수는 없다. 사이버공간도 마찬가지이다. 사이버공간에서 할 수 있는 최선의 일은 실세계에서 할 수 있는 최선의 일과 동일하다. 위험을 관리하기 위해 최선을 다해야 한다.

당신은 최근 발송한 크립토-그램(Crypto-Gram)에서 연방정부의 사이버 보안 계획이 종이호랑이에 불과하며 정부는 입법을 통해 이를 강화해야 한다고 말했다. 어떤 규제가 필요하다고 보는가
법이 좋을 수도 나쁠 수도 있다. “기업들은 자신의 행동에 대해 책임을 져야 한다”는 것은 좋은 법률일 것이다. 하지만 “기업들은 시큐어프로덕트 2.0을 사용해야 한다”다는 것은 좋은 법률일 수 없다. '법률'이 반드시 '규정'일 필요는 없다고 본다. 그냥 간단하게 '자유시장'을 의미하면 된다.

소프트웨어 산업이 타 산업분야처럼 그들의 제품이 끼치는 영향에 대해 동일한 책임을 졌으면 좋겠다. 파이어스톤이 전체적으로 문제가 있는 타이어를 만든다면 이에 대해 책임을 진다. MS는 일주일에 평균 세 개의 시스템 결함을 내놓는 운영체제를 만든다고 해도 이에 책임을 지지 않는다. 이건 옳지 않다.

이런 조치가 없다면 우리는 가까운 미래에 인터넷 혹은 다른 컴퓨터 네트워크를 대상으로 하는 엄청난(devasting) 공격을 받을까? 여기서 엄청나다는 것은 공항이나 기업의 폐쇄와 같은 혼돈상태를 의미한다
당신이 제시한 두가지 예가 엄청난 것인지 확신이 가지 않는다. 일기변화에 의해 공항과 기업은 늘 폐쇄된다. 그래 맞다, 온갖 문제를 야기할 많은 공격이 있을 것이다. 하지만 엄청나다는 것은 정부가 표현하는 것보다 수위가 낮다.

당신이 다른 크립토-그램에서 사이버테러리즘이 큰 위험이 아니라고 말했다. 그렇다면 정말 큰 위협은 무엇인가
범죄다. 사기, 도난과 같이 실 생활에서 관찰되는 것과 동일한 것들 말이다. 
　 
왜 사람들이 인터넷 보안을 우려하는가
프라이버시와 금융보안이 예전만 못할 수 있기 때문이다. 테러리즘은 미국에서 아주 드물기 때문에 사람들이 국토보안을 걱정할 이유는 없다고 본다. 다른 종류의 공격은 수도 없이 많다. 9.11테러가 일어났지만 테러리스트의 공격에 의해 죽을 확률은 여전히 0에 가깝다는 것을 기억할 것이다. 하지만 당신이 알고있는 사람들 대부분은 주위에 자동차사고로 사망한 사람의 소식을 접한 바 있다.

국가간 사이버전쟁이 10년내 처음으로 일어날까
의미에 따라 다르다. 이미 우리는 사이버적 요소를 가진 전쟁을 경험했다. 사이버공간에서만 일어나는 전쟁을 의미한다면 21세기에도 이는 일어나지 않을 것이다.

인터넷 보안에서 가장 큰 변수는 무엇인가? 통제나 예측이 가장 어려운 측면이나 요소는 무엇인가
사람이다.

운전면허처럼 인터넷 이용을 위한 면허가 필요할까
물론 아니다. 바보같은 질문이다. 사람은 자녀를 갖기 위한 면허가 필요한가?

네트워크 보안이 소규모 기업, 아니 대기업마저도 스스로 해결하기에 너무 복잡한가
그렇다. 항상 그랬다. 대부분의 파이어월은 설정이 잘못돼 있고, 너무 엉망이라 공격을 차단시킬 수 없다. 거의 대부분의 네트워크가 수백가지의 결점을 갖고 있어 공격자가 보기에는 많은 구멍이 뚫린 스위스 치즈처럼 보일 것이다. 기업들은 시간, 전문성이 모두 없다. 하지만 이것이 현대사회가 돌아가는 방식이다. 사람들은 자가진단을 할만한 전문성도 없고 시간도 없다. 그들은 대신 아웃소싱을 이용한다. 사람들은 범죄를 스스로 조사할 만한, 집을 스스로 지을 만한, 혹은 자동차를 스스로 수리할 만한 시간이나 전문성이 없다. 같은 문제를 겪고 있으며 같은 해결방식을 공유하기 위해 우리는 아웃소싱을 한다. 네트워크 보안도 이와 다른점이 없다.