보이지 않는 위협

66가지 이야기로 풀어낸 사이버 보안의 전장

김홍선 저 | 한빛미디어

저자 김홍선은 한국을 대표하는 보안전문가이다.

현재는 SC제일은행 부행장으로서 CISO를 맡고있다.

벤처 창업을 통하여 네트워크 보안제품을 개발 보급하는 일로 국내 보안분야의 최 전선에서 고군분투한 경험과, 안랩의 CTO, CEO로서 다양한 보안 문제를 해결하며 경험한 일들을 회고하며, 보안시장과 보안정책의 여러 불일치들을 이야기하며 대안을 제시하고 있다.

최고 경영자, 관리자, 은행원들의 보안문제 의식 변화를 이끌어내고자 전했던 ‘66가지 이야기로 풀어낸 사이버보안의 전장’으로 전세계적으로 그 동안 발생한 세기적 큰 보안문제들을 누구나 쉽게 이해할 수 있도록 재미있는 영화를 예로 들어 새로운 관점에서 풀어내고 있다.

보안전문가, 임원, 관리자, 누구나 읽으며 보안에 대해 새로운 인식을 갖게 될 것이다.

어려운 보안문제들을 쉽게 풀어 들려준 저자의 노고에 고마움을 전한다.

읽으며 느낀 점은 이 도서는 국내뿐 만 아니라

세계 모든 국가와 기업에서 직면하고 있는 보안문제에 대해 새로운 인식을 줄 수 있다고 본다.

‘보이지 않는 위협’을 통하여 보안인식 개선 효과를 위해

몇 가지 제안을 하고자 한다

1. 영문판 출판

2. ‘시나리오 공모전’개최

저자와 출판사가 협업을 이루어 영문판 출판과 글로벌 보급을 이루었으면 한다.

‘보인지 않는 위협’을 읽고 보안문제와 관련된 다양하게 참여할 수 있는

‘시나리오 공모전’개최 (최고의 상금을 걸고 글로벌 공모)

좋은 시나리오 발굴 및 드라마, 영화 제작으로

K-Drama, K-Movie 발전에 기여하였으면 좋겠다.

출판사에서 큰 그림을 그려보면 어떨까?

"한빛미디어 ＜나는 리뷰어다＞ 활동을 위해서 책을 제공받아 작성된 서평입니다."

#보이지_않는_위협 #66가지 #이야기로 #풀어낸 #사이버_보안의_전장 #김홍선 #한빛미디어

'사이버 보안을 향한 막연한 근심은 도움이 안 된다.'

요즘 우리가 살아가는 이 사회에는

많은 위험이 도사리고 있다. 

요즘 활개를 치는 흉악한 범죄자로부터의 위험은 물론

질병에 걸릴 수 있다는 위험, 그리고 한 시도 우리와 멀어지는 것을 허용하지 않는 

때로는 목숨만큼 소중하게 취급되는

스마트폰, PC 속 사이버 공간상에서의 위험 등 

이렇듯 많은 위험들과 공존하며 살아가고 있다. 

이처럼 수 많은 위험들 중 가시적인 위험등에 대해서는

실질적인 예방을 할 수 있다.

예컨대, 헬스체크를 통해 발생할 수 있는 건강상 위험을 예견하여

의료적 조치를 취하는 것 처럼 말이다.

그러나 우리는 '너무 어렵고', '확연하게 보이지 않는다.'는 이유로

조금의 관심만 기울인다면 

큰 피해를 방지할 수 있을 '사이버 공간 상의 위험'에 대해서는

다소 등한시하는 경향이 있는 것 같다. 

부끄럽지만, 필자도 보이지않는 위험에 대해서는 

'뭐, 백신 프로그램 한 두번 업데이트하면 그만 아니야?'

라는 안일한 생각 속에 살고 있었고, 

때로는 자각하지 못 한 큰 위험들에 노출될 뻔 한적도 있다.

그러던 중 맞이했던 김홍선님의 '보이지 않는 위협'은 

IT 보안 분야의 최고 수준에 계시는 분이 쓰신 책이라 그런지

상당한 신뢰를 가지고 독서에 임할 수 있었다. 

본 책은 '66가지의 에피소드'로 이루어져 있다. 

에피소드 중에는 "이 이야기가 도대체 사이버 보안과 무슨 상관이지?"

싶은 다소 주제와는 동떨어진 주제들도 있었다.

하지만 염려가 무색할 만큼, 모든 이야기들은 결국 

우리와 맞닿아 있는 '사이버 보안' 이야기로 귀결되었다. 

이러한 본 도서의 특징이 전공자가 아니더라도 

저자가 알려주시는 정확한 전공지식을 쉽고 재미있게 이해하는데 

매우 큰 도움이 되었다. 

특히, 사이버 보안이라는 분야는 

단순히 IT계열은 전공한 자들의 전유물이 아닌 

경영, 경제, 법학, 등의 모든 인문, 사회 분야를 망라하는 

총 집합체라는 점이 인상깊었다. 

한 때, 법학전공자 이지만 사이버 보안에 지대한 관심을 가지고 있던 사람으로써

"나도 사이버 보안 업계에 기여할 수 있을까?" 라는

희망과 자신감을 얻을 수 있었다.

현존하고 있는 전공 한 분야 분야 모두가

it강국에 걸맞는 보안체제를 구성하는데

큰 기여를 한다는 것의 의미는

우리의 사회를 구성하는 

모든 유기체적 요소가 사슬 처럼 얽혀

'건강한 사이버 공간, 강력한 사이버 보안'을 형성한다는 것에 있는 것 같다.

점점 책의 내용에 깊이 들어가면 들어갈수록

많은 전공용어가 등장했다. 

그 때 마다 저자는 친절히 

어려운 용어를 아주 쉽고 재미있게 

풀어서 설명해주셨으며

누구나 쉽게 이해할 수 있도록

한 눈에 들어오는 가시적인 도표를 적절히 배치하시여

비 전공자에게도 사이버 보안의 체계를 

한 눈에 이해할 수 있게끔 하였다. 

결국 '사이버 보안'의 실현은 

 더 이상 미시적 차원의 

개인에 대한 보호뿐만이 아니라 

사회 전반에서 고려되는 '리스크'를 최소화 하는 과정을 포함하는 것을

 알 수 있었고

이러한 결론은 매우 유쾌하고 논리적인 과정들을 통해 

이루어질 수 있었다. 

사이버 보안에 많은 관심이 있지만

도대체 it가 뭔지, 화이트 해커가 무슨일을 하는 직업인지 

감이 안 잡히는 분들이라면

이 책을 통해서 사이버 보안과 

친밀해질 수 있는 기회를 마련하실 수 있을것이다.

 yes24 리뷰어클럽 서평단 자격으로 작성한 리뷰입니다.

내가 처음 컴퓨터를 접해 본 것은 아~주 오래전 중학생 때였다.
그때 처음 가져본 컴퓨터가 애플II였던 것으로 기억된다.
이후에 다시 장만한 컴퓨터가 386 컴퓨터였다.
 5.25인치 플로피디스크에 들어있는 DOS로 구동되는 지금 세대는 무슨 소린지 전혀 모를 그런 컴퓨터였다.
500원이면 컴퓨터 전문점에서 오락이나 프로그램들을 담아줬다.
그때까지는 컴퓨터 바이러스라는 것은 아예 없었던 것 같다.
그 당시에는 인터넷도 없고 오로지 컴퓨터만 단독으로 구동되던 시대였으니까.
그러다가 모뎀에 전화선을 연결해서 사용하는 PC통신이 나오면서 여러 사람이 올린 자료들을 공유하고 정보의 바다에 빠지게 되었다.
점점 컴퓨터가 일반인들에게 보급되고 컴퓨터끼리 전화선으로 연결되면서 바이러스라는 것이 나타나게 되었다.
그때 처음 나온 백신이 바로 안철수 박사가 만들어서 배포한 V3라는 백신이었다.
의사라는 신분으로 컴퓨터를 치료하는 백신을 만들어서 배포한다고 해서 더욱 유명해졌다.
시간이 점점 흘러 IT산업이 발전하면서 컴퓨터도 사양이 점점 좋아지게 되었다.
예전에는 서버급이나 중형 컴퓨터로 사용되는 사양이 이제는 일반 개인용 컴퓨터로 사용되고 있다.
거의 모든 산업 분야에서 컴퓨터가 주요 자원이 되면서 모든 기업에서는 보안 문제에 신경을 많이 쓰게 되었다.
모든 자료가 전자화되어 보관되다 보니 해커들에 의해 자료가 유출되거나 바이러스로 인해 자료가 훼손되면 큰 타격을 받기 때문이다.
하지만 우리나라 기업들은 사이버 보안이나 자료 유출 등에 크게 비중을 두지 않는 것 같다.
가끔 뉴스를 보면 대기업에서 고객 정보가 대량 유출되었다는 보도가 나와도 기업 총수가 나와서 죄송하다고 사과하고 고개 한번 숙이면 모든 게 끝이었다.
우리 속담에 소 잃고 외양간 고친다는 말처럼 해커에게 기업이 유린당한 다음에야 보안에 부랴부랴 신경을 쓴다고 호들갑을 떤다.
하지만 한 기업을 책임지는 CEO는 모든 책임을 오로지 보안책임자에게만 지운다.
저자가 책 안에서도 얘기했듯이 기업 임원들과의 모임에서 보안에 관해 이야기하다 보면 보안에 대해 알고 있는 사람들이 거의 없었다는 것이다.
보안은 보안 담당자가 다 알아서 잘하겠거니 하고 맡겨두고 있었던 것이다.
물론 CEO가 보안 전문가는 아니다. 그래서 전문가 수준의 보안지식을 요구하는 것은 아니다.
응당 한 기업의 책임자라면 모든 분야에 대해서 어느 정도의 지식은 필수라고 생각된다.
그래야 문제가 생기면 지시를 내리고 보고받고 문제점을 지적할 수 있는 것이다.
식당 사장이 요리에 대해 아무것도 모르고 주방장에게 일임한다면 그 식당에서 주방장에게 문제가 생기면 그 식당은 그날로 어떻게 될지 모르는 것이다.
날로 기업과 개인의 정보가 중요해지면서 사이버 보안이 점점 더 중요해지고 있다.
사이버 보안은 보안 담당자 한두명만이 지킬 수 있는 것이 아니다.
모든 사람들이 사이버 보안에 대해 경각심을 가지고 서로 조심해야지만 내 정보, 회사의 정보를 지킬 수 있는 것이다.
더 이상 소를 잃기 전에 외양간을 미리미리 고치자. CCTV도 달고 경보장치도 달아두자.
백신이 100% 막아주지는 않지만 심각한 상황으로 번지는 것은 막아준다.

YES24 리뷰어클럽 서평단 자격으로 작성한 리뷰입니다

사이버 전쟁, 사이버 위협, 랜섬웨어, 보안 업데이트, 패치, 백신, 등 자주 듣는 용어다. 수년전 카이스트 특별강연에서 화이트 해커라고 할 수 있는 전문가들의 보안 시스템 해킹 영상과 사례들을 본 적이 있다. 사이버 보안 분야는 눈에 보이지 않는 부분이다. 그래서 책 제목도 '보이지 않는 위협'인가 보다. 저자도 강조한 부분인데 사이버 공격의 위험성의 경우 눈에 보이지 않기 때문에 그 위험성이 심각한 수준임에도 불구하고 국민 대다수가 불감증에라도 걸린듯 하다는 것이다. 사이버 위협이나 그 위험성을 보여주는데 시연만큼 좋은게 없다는 것이 그분의 설명 중 하나였다.

세상은 인터넷 망을 통해 월드와이드웹(www)으로 연결되어 있다. 물리적으로 어느 정도의 공간인지 상상조차 할 수 없는 공간이다. 이런 웹의 이면에는 다크웹이 존재하고 그들만의 다른 세상이 존재한다고 한다. 얼마전 회사의 보안 강의에서 들은 내용이다.

어린시절 막연하지만 해커가 멋지다고 생각해 본 적도 있다. 화이트 해커, 해커, 크래커 등의 용어도 그때 들었었다. 사실 그 정도가 내가 아는 대부분이다.

이 책의 저자는 안랩의 대표, 금융 보안 전문가 등 화려한 이력을 가진 이 분야의 전문가, 김홍선 대표다. 이 책은 일반인들도 쉽게 이해할 수 있도록 쓰여져 있다. 저자가 재직 당시 일반 직원들을 위해 쉽게 사례 위주로 작성한 글들을 기반으로 저술을 했기 때문일 것이다. 간혹 튀어나오는 낯선 전문 용어가 어렵다고 생각할 수도 있다. 그럼에도 이렇게 이해하기 쉽게 쓰여진 책은 드물것 같다.

저자는 종종 바이러스와 컴퓨터 바이러스를 비교하며 설명한다. 무척 공감하는 바이다. 코로나 같은 바이러스를 예방하기 위한 약도 백신이고 컴퓨터 바이러스를 막기 위한 프로그램도 백신이다. 예방, 치료, 백신, 등 용어나 원리도 비슷하다.

인공지능 시대, 챗GPT라는 대화형 인공지능이 나온 이 시대, 사이버 보안의 중요성에 대한 일반 대중의 이해를 돕기 위해 잘 쓰여진 책이다. 많은 분들이 읽어보면 좋겠다.

그런데 불쑥불쑥 마음이 답답함을 느낀다. 우리만 따로 떨어져 있는 느낌이다. 보안 사고가 발생하면 애써 축소하고 지구촌 어딘가에 심각한 사고가 나도 남의 일 취급한다. 법의 요건인 CISO와 CPO를 임명하지만 권한을 주지 않고 1년~2년간 책임만 지게 하는 회사가 대다수다. 뛰어난 인재가 해외로 떠나거나 전공을 바꾸는 모습을 볼 때면 착잡하다.

 

이스라엘 보안 기업 체크포인트사의 세르게이 시케비치는 게임 체인저 기술의 위험성을 경고한다.

“ChatGpT는 훨씬 속기 쉬운 피싱 메일을 만들어낼 것이다. 그리고 ChatGPT는 더 많은 사람을 코더로 만들겠지만 가장 큰 리스크는 더 많은 사람이 악성코드 개발자가 될 것이라는 점이다.”

'YES24 리뷰어클럽 서평단 자격으로 작성한 리뷰입니다'

   디지털 시대의 IT기술발전은 우리에게 많은 기회와 성장을 기반을 마련해주었으며 눈에 보이지 않는 사이버 영역은 더 깊고 넓게 우리의 삶의 다양한 방법으로 영향을 미치고 있습니다. 이런 현상에서 보자면, 모든일이 그러하듯이 양이 있으면 음이 있듯이 사이버 보안 영역에서의 기존과는 다른 새로운 위기와 위협을 맞이하고 있습니다. 이는 특히 광범위한 경제적인 측면에서 발생하게되면 심각한 사회적 문제를 일으키는 불안요인으로 자리잡아가고 있습니다.

   개인적인 측면서 보자면 최근 뉴스에서 보도된 바와 같이 휴대전화 문자메시지를 보고 인터넷 주소 링크를 눌렀다가 몇 억의 금전적 사기를 당한 예는 이런 문제가 단순히 남의 이야기가 아님을 잘 설명해 주는 예라 할수 있겠습니다. 또한 국가적인 차원에서 보자면 북한의 해킹(군사적, 경제적 측면등), 산업기밀을 빼가려는 외국의 다양한 해킹사례, 그리고 현실적으로 눈에 보이는 더욱 강력해진 디지털 금융관련 사이버 보안 사고의 경제적 피해등은 우리들이 방송을 통해 접하고 있는 사이버 보안의 주요한 사례라 생각이 됩니다. 그러나 기업이나 조직차원에서는 아직도 사이버 보안에 대한 CEO와 담당 실무자간의 많은 견해의 차가 존재하고 있어 전략적 의사결정에 상당부문 영향을 받고 있는 것도 사실이며 특히 대기업과 금융관련 조직에서의 사이버 보안관련 담당조직의 위상과 영향력의 영향력을 본다면 아직 초기의 단계로 보여집니다. 중견기업이나 중소기업등은 더욱 열악한 상황이 아닌가 싶습니다.

   막상 우리나라 현실에서의 사이버 보안에 대한 대응과 미래지향적인 준비는 그리 희망적이지 않은 것 같습니다. 예를들어 정부가 북한발 사이버 위협 등에 대응하기 위해 '10만 사이버 보안 인재 양성'을 기치로 내세웠지만 정작 정보보호 인력 관리 체계는 미비하다는 지적이 나오기도 하는 것은 우리 한국사회의 자화상이 아닐수 없습니다. 구체적인 사이버 보안의 인력수요 조사 및 예측부터 특정 분야(금융IT 인력수급난)의 인력 확보 및 유지, 더나가서 민관의 협동하여 인력과 기술을 관리하는 단계적 시스템 구축등 해결해야 할 많은 과제들이 산적해 있는 것으로 보여집니다.

   이 책은 저자가 들어가며라는 초반부에 "사이버 보안을 기술중심으로 설명하기 않고 새로운 관점으로 접근하고 있으며 평생 현장에서 있으면서 느낀, 특히 리더가 반드시 인식했으면 하는 사이버보안의 문제를 강조하고자 한다"라고 명확하게 제시하고 있습니다. 전체적으로 풀어가는 방식은 두가지 축을 통해 설명을 하고 있는 것으로 보여집니다. 시간축(과거-현재-미래)과 글로벌한 관점으로 풀어서 전개하고 있으며 독자의 타겟을 전문가로 국한시키기 보다는 사이버 보안에 관심있는 독자라면 읽을수 있게 범용성을 가지고 기획하지 않았는가 하는 생각을 해봅니다(어려운 내용을 쉽게 풀어내는 작업은 고난도작업으로 어렵습니다.). 저자의 글로벌한 경험과 통찰은 흥미로운 사건과 사례를 조화롭게 설명하여 쉽게 접근할수 있었던 포인트가 되었으며 특히 영화 관련한 이야기가 중간 중간 배치되어있는데 재미있고 관심을 집중시키는데 좋았던 점으로 생각됩니다. 전체적인 구성이 비교적 쉽지만 결코 가볍지 않은 본질과 핵심의 통찰을 담아내고 있는 좋은 책이라 생각됩니다.

   독자로서의 바람과 욕심이지만 저자가 마지막 에필로그에 책을 쓴다는 것이 얼마나 어려운지를 언급하고있지만 실무 차원의 운영 메뉴얼 같은 깊이있는 책도 내주셨으면 하는 바램을 조심스럽게 가져봅니다. 내공이 깊이 묻어나는 좋은 책 감사합니다.^^*

YES24 리뷰어클럽 서평단 자격으로 작성한 리뷰입니다

이 책을 읽기전엔 과연 내가 내용을 이해할 수 있을까 우려하며 읽기 시작했다 하지만 이러한 나의 우려는 기우였다. 이 책은 보안 전문가인 저자가 일반인도 알기 쉽게 여러 사례와 비유를 들어 설명해주어 너무나 재미있게 읽을 수 있었다.

다양한 사례들을 제시 하는데 즐겨보던 미드 블랙리스트가 떠올랐다. 미드 블랙리스트에서 일어난 일들이 실제 현실에서도 가능하단것을 알게 되었다.

디지털 시대에 사이버 보안은 굳이 누가 설명하지 않더라도 그 중요성에 대해선 누구나 잘 알고 있다. 단순하게는 개인정보 유출부터(아마 개인정보 유출 문제를 겪어보지 않은 사람은 없을 것이다) 해킹과 결합되어 유포되는 가짜뉴스와 댓글조작 같은 문제는 민주주의 체제를 흔들기도 하며, 기업간의 공정한 경쟁을 방해하기도 한다. 실제 중국의 기업내 스파이 활동 및 정보 빼돌림은 국가의 안보를 위협하고 있다.

저자는 이러한 사이버 위협에 대해 그 심각성을 알리며 국제 관계속에서의 사이버 보안의 의미와 그 위상의 중요성을 얘기한다. 더불어 이러한 디지털 시대에 한국이 소프트웨어 인력과 생태계가 약한 구조적인 문제를 지적하고 나아갈 길을 제시한다.

이 책은 사이버 보안의 중요성을 깨닫게 하고 또한 사이버 위협의 위험성과 심각성을 여러차례 강조해 경각심을 갖게 만든다. 영화처럼 흥미진진한 얘기가 많으니 꼭 읽어보길 바란다.

- yes24 리뷰어클럽 서평단 자격으로 작성한 리뷰입니다.

보이지 않는 위협

김홍선 글

 ＜보이지 않는 위협＞은 아래와 같이 총 9장으로 구성되어 있으며 66가지의 보안과 관련되 이야기가 각 목차 안에 들어있습니다.

1장 피해의 현장

2장 리더의 미션

3장 위협의 근원

4장 보안의 퍼스펙티브

5장 빌드업

6장 한국이 부족한 것은

7장 융합의 마인드

8장 보안의 특성

9장 미래를 위한 고민

 1장에서는 사이버 공격 사례를 통해 그러한 역사적 사건이 갖는 의미를 이야기하고 있으며, 2장에서는 정부 또는 기업의 리더들이 사이버 문제를 직면하고 이를 사이버 안전을 위한 역할이 제시되어 있습니다.

 3장에서는 폭발적으로 성장한 디지털 기술로 인해 그만큼 사이버 위협도 커졌다는 것을 위협의 근원이라고 짚고 있으며, 4장에서는 사이버 보안의 접근 방식을 두 관점으로 나눠 보여주고 있습니다. 

 사이버 위협에 대한 대처 방안 마련도 필요하지만 그에 앞서 안전한 사이버 환경 구축이 우선이라는 것을 5장에서 말하고 있고, 6장에서는 다른나라와 비교했을 때 우리나라의 부족한 점을 객관적 시각에서 서술하고 있습니다.

 7장에서는 융합적 마인드를 통해 유연한 사고를 가지고 사이버 리스크를 다뤄야 함을, 8장에서는 문제를 파악하기 위해 가장 기본적인 특성 파악이 중요하다는 것을 말하며 보안의 특성에 대하여 소개하고 있으며, 마지막으로 9장은 미래를 전망하며 생기는 고민들을 나누고 있습니다.

 쉽지 않는 주제를 다양한 사례와 이야기들을 소개하며 잘 풀어나간 책이라고 생각합니다. 사이버 보안과 관련한 대처 방안과 보안 환경 생성에 대하여 정부와 기업들의 꾸준한 노력이 필요하며, 시민들 또한 사이버 보안에 대한 인식을 갖추고 있어야 한다는 것을 다시 한 번 깨닫게 되었습니다.

YES24 리뷰어클럽 서평단 자격으로 작성한 리뷰입니다

9월 한빛출판사의 '나는 리뷰어다'에서 선정된 도서는 '보이지 않는 위협'입니다.

이 책에 대해 한줄평을 하자면 '경영진에게 추천하고 싶은 보안 이야기' 입니다.

전체적으로 기술적인 내용보다는 경영적인 관점에서의 보안 이야기에 가까운 내용이고
단순히 보안담당자나 기술담당자에게만 필요한 내용이 아닌 모든 임직원이 생각해볼만한 내용이 많은 책입니다.

책의 구성을 보면

1장. '피해의 현장'에서는 다양한 공격에 대한 설명을 하고 있습니다. 개인적으로 직원 교육에서 너무 자극적인 공격에 대해 소개하는 방식을 선호하지는 않습니다만 확실히 이목을 집중시키는데 이보다 효과적인 방법이 없는 듯 합니다.

2장. '리더의 미션'에서는 제목 그대로 리더는 어떤 자세를 취해야 하는가에 대한 이야기를 하고 있습니다. 2장에서 가장 와닿은 이야기는 CEO의 평가에 IT와 사이버보안이 포함되어야 한다는 이야기였습니다. 다양한 회사를 경험해보고 ISMS 인증심사를 하면서 보안담당자 입장에서 우리나라 기업 특히 중소기업의 가장 큰 문제점으로 느껴지는 것은 경영진의 관심 부족이었습니다. 거대 기업은 CISO의 겸임 금지 규제가 생기기는 했지만 여전희 대다수의 중소기업(중견기업 포함)의 경우 CTO가 CISO를 겸임하는 경우가 많습니다. 이런 현실에서 경영 관점에서 보안을 어떻게 바라볼 것인가를 얘기하는 2장이야말로 관점에 따라 기술적인 영역보다 중요하게 여길 수도 있지 않을까 싶습니다.

3장. '위협의 근원'에서는 사이버 위협의 원인이 되는 영역에 대해 이야기 하고 있습니다. 네트워크로 모든 컴퓨터가 연결되고 인터넷을 통해 모든 정보가 공개되어 있는 세상에서 그리고 끊임없이 새로운 기술이 나오는 현 시대에서 우리는 무엇을 봐야 하는가를 생각해볼 수 있는 챕터였습니다. 특히 시대의 변화에 따라 PC는 해커가 장악했다는 것을 전제로 정책을 세우는 식의 발상의 전환을 기술 발전에 따라 이뤄야 한다는 내용은 현재 흐름인 동시에 개인적으로 가장 큰 고민거리인 제로트러스트를 어떻게 구현할 것인가에 대해 한번쯤 더 생각해보는 시간을 가져다 주었습니다.

4장. '보안의 퍼스펙티브'에서는 보안을 어떤 관점에서 바라보고 어떻게 지킬 것인가에 대해 이야기 하고 있습니다. 이 장에서는 주로 리스크 관리에 대해 이야기 하고 있는데 10여년을 ISMS 인증을 중심으로 보안 활동을 하다가 ISO27001을 처음 접했을 때 두개의 인증 기준에서 리스크를 바라보는 관점이 달랐던 것을 생각해보면 자신만의 리스크 관리 방법을 정립하는 것이 보안의 시작이 아닐까 생각해봅니다.

5장. '빌드업'에서는 어떻게 빌드업을 해나갈 것인가를 다루고 있습니다. 책에서도 얘기하듯이 100% 조치되는 취약점은 존재하지 않는 현실에서 어떻게 우선순위를 정하고 처리해 나갈 것인가에 대해 얘기합니다. 간혹 비싼돈 들여 보안팀을 꾸리고 컨설팅을 받았으면 회사에 취약점도 없어야 하고 어떤 해커가 들어와도 대응이 되어야 한다고 주장하는 경영진도 있습니다. 그런 분들께 보안 담당자가 어떻게 일해야 하는것인가에 대해 이 챕터에서 얘기하는 바를 들려주고 싶습니다.

6장. '한국이 부족한 것은'에서는 필자가 바라본 국내 보안의 현실에 대해 꼬집고 있습니다. 빠른 기술 변화를 따라오지 못하는 규제가 오히려 최우선 고려대상이 되고 실무자의 목소리보다는 정치인이나 기술을 모르는 경영진의 목소리가 보안을 하는데 우선되는 현실에서 경영진은 보안을 어떻게 바라봐야 하고 본인의 역할과 실무 조직의 역할을 어떻게 구분해야 하는가에 대해 이 내용을 보면서 한번쯤 고민해봤으면 합니다.

7장. '융합의 마인드'에서는 입체적으로 변화하는 현실 속에서 보안은 어떤 방향으로 나아가야 하는가에 대한 얘기를 하고 있습니다. 이 시대는 온라인과 오프라인이 구분되지 않고 공급자와 소비자가 구분되지 않은 시대가 되었습니다. 마이데이터가 이슈화 되면서 내 개인정보는 누구의 것인가에 대한 고민도 한층 깊어졌습니다. 아직 보안업계에는 이것들을 따로 놓고 보는 사람이 많은 것이 현실입니다. 하지만 이제 하루라도 빠르게 발상의 전환이 필요한 시점이 아닐까 싶습니다.

8장. '보안의 특성'에서 두가지 내용이 특히 다가왔습니다. 첫번째는 조직의 보안수준은 가장 취약한 연결고리에 있다는 것입니다. 이를 나무로 짜여진 물통으로 많이 비유하는데요 다른 벽을 아무리 높게 세워놓아도 나무판 하나를 낮게 세운다면 모든 물은 그 나무판을 통해 빠져나간다는 이야기 입니다. 동일하게 보안 역시도 다양한 영역 중 하나만 낮은 수준을 안고 간다면 그 영역을 통해 모든 정보는 빠져나갈 수 있습니다. 두번째는 예방과 방지가 비용이 훨씬 적게 든다는 내용입니다. 어느 조직이나 마찬가지겠지만 보안조직이 가장 어려워하는 사람이 CFO입니다. 많이 변하긴 했습니다만 아직도 보안은 돈을 버는 조직보다는 쓰는 조직이라는 인식이 강한 상황에서 적지않은 비용이 들어가는 보안조직이 적절한 예산을 따내기란 쉬운일이 아닙니다. 특히 아직 사고도 안났는데 그게 왜 필요하냐는 질문에 설득하는 일은 때로는 차라리 작은 사고 하나 났으면 하는 생각까지 들게 합니다. 이런 현실에서 경영진이 예방이 오히려 싸게 먹힌다는 것을 인지해줬으면 하는 바램입니다.

9장. '미래의 고민'에서는 어떤 기술, 어떤 관점에서의 얘기보다는 필자가 미래를 바라보며 어떻게 나가야 하는가에 대한 고민을 담은 챕터입니다. 환경도 변화하고 기술도 변화하고 사람들의 생각도 변화하는 이 시대의 흐름에서 중요한 것은 무엇일까에 대한 고민을 하게 합니다. 이 챕터의 마지막이자 이 책의 마지막에 경영진에게 들려주고 싶은 한 문장이 있었습니다.
'IT도 아웃소싱할 수 있고 보안관제도 아웃소싱할 수 있다. 그러나 책임은 아웃소싱할 수 없다.'
보안이 허술해졌을 때 그 책임은 보안담당자가 지는게 아닙니다. 물론 경영진이 충분히 지원한 상황에서 보안담당자가 업무를 허술하게 해 문제가 생겼다면 보안담당자의 책임이 크겠지만 보안담당자의 역할은 경영진의 지원을 받아 보안 업무를 수행하고 주요 결정사항에 대해 경영진이 적절한 결정을 내릴 수 있도록 근거를 마련하는데 있습니다. 그럼에도 불구하고 예산도 인력도 충분하지 않은 상황에서 모든 책임은 보안팀이 져라 라고 하는 경영진을 수도없이 접하곤 합니다.
보안에 대한 책임은 경영진 그리고 구성원 모두의 것이고 아무리 모든것을 아웃소싱한다고 해도 책임만큼은 아웃소싱할 수 없다는 것을 항상 염두에 두었으면 하는 바램을 이 책을 덮으면서 또한번 가져봅니다.

이 책을 보면서 우리나라의 모든 CISO님들이 보안에 필자의 반만이라도 관심을 가져주신다면 얼마나 좋을까 하는 생각을 많이 해봤습니다. 동시에 우리의 보안 현실에 대해 또한번 아쉬운 마음을 갖게 해주는 책이었습니다. 하지만 이런 책들이 계속해서 나오고 경영진들이 읽는다면 우리의 미래는 조금이나마 밝아지지 않을까 하는 기대를 해봅니다.

"한빛미디어 ＜나는 리뷰어다＞ 활동을 위해서 책을 제공받아 작성된 서평입니다."

온라인으로 거의 모든 업무를 하고 있는 디지털 노마드 생활을 하고 있다. 외국에서 돌아다니기도 하고, 국내에서도 종종 이동하면서 업무를 처리하기도 한다. 이럴때마다 마음 한 구석에 걱정되는 한 가지가 바로 보안 문제다. 특출난 프로그램 전문가도 아니여서 문제가 생겨도 바로 알아차리지 못할 수도 있고, 시스템이 다운되는 상황이 온다면? 과 같은 생각을 아주 가끔 하기도 한다.

이런 것들을 예방해주고 문제해결을 해주는 것이 사이버 보안일텐데, 어렵게만 느껴지는 이 분야를 알기 쉽게 설명해주고 있는 책을 만났다. 부제가 ‘66가지 이야기로 풀어낸 사이버 보안의 전장’ 인, ＜보이지 않는 위협＞ 이다. 저자는 대한민국 벤처 신화의 주역이자 보안 1세대의 대명사로 이름을 날린 전자공학 전공의 김홍선이다.

사이버 공격 사례를 지정학적, 역사적으로 설명해주는 것으로 1장을 열고, 정부와 기업 리더들이 가져야하는 생각들, 사이버 위협이 발생하게된 그 원인을 짚어주면서 사이버 보안을 비즈니스와 리스크의 관점으로 재구성하면서, 건강한 빌드업에 대하여 조언해주고 있다.

여기에서 그치지 않고, 한국의 특징에 비추어서 분석을 하고, 인문학과 기술, 물리적 공간과 사이버 공간, 프라이버시 문제 등 우리 삶 속에서 이뤄지는 사이버리스크를 통합해서 해석해주면서 읽는 재미도 더해주고 있었다.

마무리는 사이버 보안의 특성을 소개하면서 사이버 보안이 미래에 미칠 영향 등으로 하고 있었다.

단순히 기술적인 문제만을 열거하지 않아서 완독할 수 있었고, 읽는 재미 알아가는 재미도 많은 책이였다. 기본 지식이 없더라도 충분히 이해할 수 있으며, 사회적, 국제적 정세, 역사적인 내용까지 알아가는 것 또한 기대할 수 있는 내용이다. 사이버 세계에 살고 있는 이라면 다 읽어보았으면 한다.

_이제 사이버 공간은 엄연히 전쟁의 한 축이며 국가 안보를 위한 주춧돌이다._p26

_한편 빠른 네트워크로 연결된 디지털 문명 속에서 컴퓨터 결함을 노린 인간의 탐욕과 범죄가 인간 사회를 치명적 상황에 빠뜨리고 있다. 컴퓨터로 연결된 세상은 인간 사회를 단번에 위험을 빠뜨릴 수 있다._p275

_사이버 보안은 우리가 피할 수 없는, 반드시 책임지고 갖추어야 할 핵심 리스크다._p287