[박나룡 보안칼럼] 우왕좌왕하는 축구 경기를 보는 고역

"N2SF, 중요도 기반 망분리 완화, 금융권 보안 프로그램 3종 제거...축구 경기에서 이기려면 축구공을 잘 안다고 해결되지 않고, 경기장에서 뛰고 있는 플레이어들의 이야기를 들어야 한다."

최근 사석에서 만난 정보보호 담당자들의 공통된 인식이다.

정보보호 정책이 현장의 상황을 충분히 이해하지 못한 채 개념적으로 접근하면서, 축구장 상태나 선수 역량, 상대방의 전술을 충분히 이해하지 못한 채 진행되고 있다는 의견이 많다는 것이다.

과거에는 정보보호 인력 자체가 절대적으로 부족했고, 전문성을 축적할 시간도 충분하지 않은 상황에서 축구공 만드는 사람, 축구 골대 만드는 사람들의 도움을 받으며 플레이한 측면이 있었다.

그러나 지금은 상황이 달라졌다.

정보보호에 대한 지속적인 경험과 노하우를 통해 축구의 흐름과 공격·방어 방식을 이해하는 전문 인력이 늘어났고, 현장의 문제 역시 더 구체적으로 이해하고, 해결 방안을 고민하고 있는 수준에 이르렀다.

축구공을 만드는 능력과 실제 경기장에서 팀을 운영하고 상대를 이기는 능력은 전혀 다른 영역이라는 점을 이해해야 하고, 아무리 뛰어난 축구공이라도 그것을 사용하는 경기장의 환경과 수비 상황, 그리고 플레이어들을 고려하지 않는다면 승리라는 결과를 만들어내기 어렵다.

정보보호 역시 다르지 않다.

연구자들과 정책 설계자는 더 안전한 구조와 정교한 기준을 만든다고 생각한다.

반면 실제 공격을 막고 사고를 수습하는 것은 현장의 보안 담당자들이다. 문제는 이 두 영역의 균형이 무너질 때 발생한다. 정책은 점점 ‘이상적으로는 이렇게 해야 한다’는 개념 중심으로 정교해지지만, 현장은 이를 감당하지 못한 채 오히려 더 큰 위험에 노출되는 역설적인 상황이 만들어진다.

최근의 정책 흐름은 이러한 우려를 점점 더 현실로 만들고 있다. 새로운 기술과 환경 변화에 대응하기 위해 제로트러스트, 클라우드 보안, AI 보안과 같은 개념들이 빠르게 제도화되고 있다. 다양한 인증과 규제 역시 더욱 촘촘하게 설계되고 있다. 제도적 측면에서 보면 정보보호 수준은 계속 높아지고 있는 것처럼 보인다.

그러나 현장의 체감은 다르다.

정책은 사회적 요구사항이라는 이유로 치밀하게 강화되고 있지만, 실제 보안 리스크는 크게 줄어들지 않는다. 이는 정책의 방향이 틀렸다기보다, 정책이 작동해야 할 현실 환경을 충분히 반영하지 못했기 때문으로 봐야 한다. 축구공만 강조한 채, 그라운드의 잔디 상태나 선수들의 역량, 경기 규칙 등을 고려하지 않고 경기를 운영하는 것과 같다.

정책은 이상적인 목표를 기준으로 설계하려 하는 경향이 있다.

하지만 현장은 언제나 제약된 환경에서 운영된다. 인력은 부족하고, 시스템은 복잡하며, 조직의 보안 성숙도는 제각각이다. 이 간극이 커질수록 정책은 현실과 멀어진다. 마치 모든 조건이 완벽한 경기만을 전제로 전략을 세우는 것과 같고, 결국 실제 경기에서는 구현하기 어려운 목표가 되면서 경기의 승리에 도움이 되지 않는 상황이 발생한다.

N2SF, 중요도 기반 망분리 완화 정책

이 문제는 최근 논의되고 있는 망분리 완화 정책에서 분명하게 드러난다.

망분리는 오랜 시간 국내 정보보호의 네트워크 접점에 대한 효과적인 축으로 기능해 왔다. 물리적 또는 논리적 분리를 통해 외부와 내부를 단절시키는 방식은 단순하지만 강력한 통제 수단이었다. 불편함이 따르더라도, 최소한의 안전선을 유지하는 역할을 해왔다.

최근 클라우드 환경과 AI 기반 업무가 확대되면서 기존 망분리 구조가 업무 효율을 제한하는 측면에서 변화의 필요성은 커지고 있다. 다만 그 변화의 핵심은 ‘완화’ 자체가 아니라, 실제로 더 안전한지에 대한 확신에 있어야 한다.

그 변화로 인해 공격 표면이 급격히 확장되고, 중요도에 따른 복잡한 구조를 충분히 고려하지 못한다면, 그동안 차단되어 있던 수많은 경로가 다시 열리게 될 수 있다. 계정 탈취를 통한 내부 침투, 외부 연동 시스템을 통한 우회 공격, 공급망을 통한 간접 침입과 같은 시나리오가 비교적 쉬운 현실적 위협으로 바뀐다.

더 중요한 문제는 이를 대체할 방어 체계가 충분히 준비되지 않은 상태라는 점과 이보다 더 중요한 우선순위가 있음에도 불구하고 예산과 인력, 시간을 낭비하고 있다는 점이다.

중요도에 따라 조직이 스스로 판단하여 제로트러스트, 행위 기반 통제, 지속적 인증과 같은 개념을 적용하도록 유도하는 것은 분명 방향성으로서 타당해 보인다. 그러나 이를 실제로 작동시키기 위해서는 고도화된 네트워크 구조를 만들고, 로그 수집과 분석 체계, 실시간 대응 역량, 충분한 보안 인력, 조직 전반의 높은 보안 성숙도가 전제되어야 한다.

하지만, 대부분의 조직은 이러한 조건을 갖추지 못한 상태다. 결국 망분리가 완화되는 분위기에서 이를 대체할 통제는 충분하지 못한 상황에 머무를 수밖에 없다. 이는 보안을 효율화하거나 더 강화하는 방향이 아니라, 기존에 존재하던 최소한의 안전선을 스스로 낮추는 결과로 이어질 수 있다.

금융권 보안 프로그램 3종 제거

최근에는, 국내 금융·공공기관에서 오랜 기간 사용되어 온 이른바 ‘보안 프로그램 3종’을 둘러싼 논쟁이 정보보호 정책의 본질적인 질문을 던지고 있다.

최근 연구에서 이러한 보안 프로그램이 오히려 새로운 공격 경로로 악용될 수 있으며, 다수의 구조적 취약점을 내포하고 있다는 점이 지적됐다. 취약한 PC를 사용하는 이용자의 키로깅 보호, 위변조 방지, 거래 보안 강화를 위해 도입된 엔드포인트 기능들이 공격자가 개입할 수 있는 지점을 늘렸다고 보는 것이다.

사실 모든 소프트웨어는 이러한 위협에 노출되어 있다고 보는 것이 현실적이다. 완전히 안전한 보안 솔루션이나 소프트웨어가 존재한다고 보장하기는 어렵다.

그런 점에서, 단순하게 ‘취약하니까, 불편하니까 제거해야 한다’는 결론으로 이어지는 것은 경계할 필요가 있다.

이들 보안 프로그램은 분명 한계를 가지고 있을 수 있지만, 동시에 국내 금융 환경에서 취약한 이용자 PC를 대상으로 한 일종의 ‘최전방 방어 수단’으로 기능해 온 것도 사실이다. 완벽하지는 않더라도 공격 난이도를 높이고, 1차적인 공격 필터링 역할을 수행해 온 측면을 간과해선 안된다.

보안은 단일 수단으로 완성되는 것이 아니라, 여러 레이어에 대책들이 각자의 역할을 적절하게 수행할 때 전체적인 보호 수준이 높아진다는 건 기본적인 상식이다.

실제 현장에서 정보보호는 기술만의 문제라기보다, 운영의 영역이고 경기를 뛰는 플레이어들의 영역이다.

이러한 운영은 문서가 아니라 플레이어들의 경험과 기량, 팀워크에서 완성된다.

실제 공격을 겪어보고, 사고를 수습해 본 조직만이 무엇이 필요하고 무엇이 실패하는지를 이해할 수 있다.

지금의 정책 결정 과정을 보고 있는 정보보호 담당자들은, 점점 더 우선순위 낮은 부담만 커지는 것 같은 상황이 불안하기만 하다. 실제 국민의 안전한 사이버 세상에 도움이 되는지 검증하고 충분한 의견을 듣고 있는 것인지 알기 어렵다. 이런 상황에서 나중에 문제가 발생하기라도 하면 그 부담은 책임의 형태로 다시 현장의 플레이어에게 돌아온다.

정보보호 정책은 축구공을 잘 만드는 사람들의 의견으로만 해결되지 않는다.

그 축구공을 플레이어들이 경기장에서 어떻게 사용하는지, 어떤 조건에서 골을 넣을 수 있는지, 어떤 상황에서 상대팀에게 실점을 유도할 수 있는지를 이해해야 한다.

이를 위해서는 정책 설계 과정에 축구공 만드는 사람과 함께, 현장의 플레이어 경험을 적극적으로 반영할 수 있어야 한다.

이상적인 기준이 아니라, 적용 가능한 기준을 중심으로 설계해야 하며, 단계적 적용과 피드백을 통해 지속적으로 개선하는 구조를 만들어야 한다.

정보보호는 잘해야 한다는 선언과 좋은 개념만으로 완성되지 않는다.

현장에서 목표한 대로 작동할 때 비로소 의미를 갖는다.

현장을 반영하지 않은 정책은 보안을 강화하는 것이 아니라, 위험의 위치만 바꿀 뿐이다.

정책이 현장을 이해하고 그 기반 위에서 설계된다면, 보안 수준은 한 단계 도약할 수 있지만, 그렇지 않다면 우리는 더 많은 시간과 비용을 들이고도, 오히려 더 취약한 구조를 만들어낼 수 있다.

그로 인한 피해는 우리팀이 축구 경기에서 패배하는 것이고, 실제 세상에서는 이용자에게 피해가 돌아간다는 사실을 잊어서는 안 된다.

박나룡 보안전략연구소장

[글. 박나룡 보안전략연구소 소장 / isssi.org]