[화두 이야기] 정보보안 분야의 화두(10)
누구나 안전하게 하라
뉴스를 보다 보면 종종 접하게 되는 소식 중 하나가 안타까운 산업재해 안전사고이다. 공장에서 기계를 다루던 사람들이 기계에 끼어 다치거나 소중한 목숨을 잃는 안타까운 일들이 그런 안전사고의 상당 부분을 차지한다. 이런 사고의 원인은 오직 하나다. 안전을 고려하지 않고 오직 작업능률만 중시해 만들어진 장비의 구조와 역시 사람을 배려하지 않고 작업능률만 중시하는 사람의 사고방식이 만들어낸 합작품이다.
다행히도 점차 비용이나 작업능률보다 사람의 생명을 중시해야 한다는 국민적 공감대가 사회 전반에 걸쳐 강하게 확대되고 있다. 그 결과 안전을 중시하는 문화가 정착되면서 산업안전보건법의 강화로 이어지고 있음은 다행이 아닐 수 없다.
기계를 만들 때 사람의 안전을 중시하는 설계를 한다는 것은 아주 특별한 기능을 요구하는 것이 아니다. 뜨거운 커피물이 나올 땐 커피잔을 꺼내려고 손을 넣지 못하도록 하는 것, 세탁기가 동작중일 때는 세탁기 문이 열리지 않도록 만드는 것, 압착기와 같은 무거운 기계를 동작시킬 때는 실수로라도 사람의 손이 끼는 사고가 생기지 않도록 두 손으로 버튼을 눌러야만 동작하도록 만드는 것, 세탁기 문을 안에서도 열 수 있도록 만드는 것 등이 해당된다. 이러한 개념들은 모두 사람의 안전을 배려하고 생명을 중시하는 바탕에서만 나올 수 있는 설계이다.
이 모든 설계의 기본이 되는 원칙은 오직 하나. "바보도 안전하게 하라"는 것이다. 설령 다소 이해력이 부족하고 사회성이 떨어지는, 흔히들 말하는, '바보'라고 해도 다치는 것을 걱정하지 않고 안전하게 사용할 수 있도록 배려하고 설계해야 함을 뜻한다.
정보보안 분야에도 이와 비슷한 화두가 하나 있다. "누구나 안전하게 하라"는 것이 그것이다.
사실 우리 주변의 보안은 철저히 빈익빈 부익부를 따르고 있다. 대기업들은 너무도 많이 도입된 보안제품들로 인해 보안 포화상태에 이른 반면 중견기업 및 중소기업, 스타트업의 경우 자본이 없어 충분한 보안제품을 도입하지 못한 보안 빈곤상태로 사업을 영위하고 있는 상태다. 따라서 이들 작은 기업들의 서비스를 이용하는 이용자들은 대기업에서 제공하는 서비스에 비해 상대적으로 높은 보안사고의 위험에 노출되어야만 한다.
대기업에서 제공하는 서비스는 다르다. 인터넷 서비스만 사용해 봐도 보안제품들의 경우 그 존재를 모를 수 없을 정도로 열심히 존재감을 홍보하고 있다. 시도 때도 없이 설치되는 보안제품들, 수시로 뜨는 팝업창, 클릭을 강요하는 버튼들 등등. 안전을 담보로 다소의 불편함을 이용자들에게 강요하는 것들이다. 오히려 불편함을 참다못해 이용자들이 스스로 안전을 포기하고 보안제품의 설치를 거부하며 위험을 감수하는 경우까지 생겨날 정도이다.
이 모든 것들의 발단은 보안제품들 중 상당수의 가격이 비싸다는 것에 기인한다. 가격 부담으로 작은 회사들이 도입하기 어렵다는 문제가 생기는데, 전적으로 보안회사들이 대기업 위주의 제품들을 개발하고 있어 발생하는 현상이다. 작은 기업들은 도입하기 어렵기 때문에 빈익빈 부익부다.
또 하나의 원인으로 서비스 개발 과정에서 비용 절감이나 개발기간 단축을 이유로 충분한 보안기능을 설계에 반영하지 않고 있기 때문이다. 설계 미비로 인한 구조적 결함을 외부의 보안제품 도입을 통한 임시방편으로 조치하기 때문이다. 그래서 몇 겹의 보안을 둘렀다는 대기업의 서비스를 이용함에도 개인정보가 유출되는 사고가 발생하는 것이다.
사실 이용자의 입장에서 가장 좋은 보안은 그런 게 있는지도 모르는 보안이다. 언제 설치되었는지도 모르고, 동작하는지도 모르고, 뭘 하는지도 모르는. 그러나 조용히 이용자를 보호하는 기능을 묵묵하게 수행하고 있는 그런 보안말이다.
만약 보안제품의 가격이 내려가고, 기업들이 서비스 개발 시 보안기능을 더 많이 반영한다면 지금보다는 더 많은 이용자들이 더욱 안전해질 것임은 확실하다. 하지만 설령 그렇다고 해도 누구나 안전하게 하지는 못할 것이다. 지금처럼 안전을 담보로 불편함을 강요한다면 말이다.
남녀노소 구분 없이 누구라도 아무런 불편함과 제약 없이 이용할 수 있는 그런 보안, 누구라도 안전하게 하는 그런 보안. 이용자들이 원하는 보안이다.
그리고 안타깝지만 그런 보안을 제공하고자 노력하는 기업은 찾기 어렵다.
