소프트웨어 보안은 무법지대나 다름없으며, 이는 우리에게 치명적인 결과를 초래할 것입니다.

CSO Online에 최초 게재됨

(준은퇴 상태의) 화이트 해커이자 보안 전문가, 그리고 자타공인 컴퓨터 덕후로서 저는 기술에 대해 남다른 관심을 가지고 있습니다. 기술이 어떻게 만들어졌는지, 어떤 기능을 하는지, 그리고 우리 삶의 어떤 부분을 더 낫고 효율적으로 만들어 줄지에 대해 고민하죠. 저는 항상 기기의 '내부'를 들여다보며 시중에 나와 있는 코드 중 가장 뛰어난 사례와 최악의 사례를 모두 확인합니다. 최근에는 제 에어컨 시스템을 안드로이드 앱으로 원격 제어할 수 있다는 사실을 알게 되었는데, 인증 절차 없이도 WiFi 네트워크에 연결된 사람이라면 누구나 에어컨을 조작할 수 있다는 것을 발견하고는 적잖이 놀랐습니다.

소프트웨어 보안은 항상 제 머릿속을 떠나지 않는 화두입니다. 점점 더 디지털화되고 개인 정보를 공유하며 살아가는 우리 일상이 직면한 실질적인 위험도 마찬가지죠. 결국 우리는 규제도, 감독도 없이 방치된 무법지대, 즉 서부 개척 시대와 같은 환경에 살고 있습니다.

우리 사회는 우리가 매일 사용하는 기술의 내부를 제대로 들여다보지 않고 있습니다. '미스터 로봇'과 같이 대중적이고 호평받는 TV 시리즈가 보안에 대한 인식을 높이는 데 도움을 주기는 하지만, 여전히 우리는 보안 의식이 부족합니다. 사실 우리 대부분은 우리가 구매하고 사용하는 수많은 애플리케이션, 서비스, 그리고 점점 더 연결성이 강화되는 기기 속 소프트웨어가 얼마나 안전한지 전혀 알지 못합니다. 우리가 이들을 본질적으로 신뢰해서가 아니라, 아예 보안 문제에 대해 생각조차 하지 않기 때문입니다.

소니 플레이스테이션 네트워크(PSN), 티켓마스터, 야후!, 페이스북, 타겟 등 널리 사용되는 이 모든 기업이 데이터 유출 사고의 피해자가 되었습니다. 이들의 소프트웨어 취약점이 악용되어 수천만 건의 고객 기록이 노출되었습니다. 이러한 사례는 지난 10년간 전 세계에서 발생한 유출 사고의 극히 일부에 불과합니다. 이는 악의적인 공격자들이 우리의 소중한 정보를 훔칠 수 있게 만드는 부실한 소프트웨어 보안이 초래한 값비싼 대가입니다.

대부분의 사람들은 데이터 유출을 생각할 때 정보 보안 사고를 떠올립니다. 이는 유출 사고를 겪은 기업에게는 악몽이고, 개인 정보가 유출된 당사자들에게는 불편한 일로 여겨지지만, 솔직히 그게 그렇게 큰 문제일까요? 보안을 계속 무시한다면 정말 심각한 결과가 초래될까요? 지금까지 그렇게 큰일은 일어나지 않았습니다. 데이터 유출이 해당 기업에 심각한 타격을 주는 것은 사실이지만, 그건 그들의 문제 아닐까요? 기업은 비즈니스와 고객의 신뢰를 잃게 되며, 결국 이를 해결하고 피해를 보상하는 것은 그들의 몫이니까요.

소프트웨어 보안은 모든 조직의 최우선 과제가 되어야 합니다.

개발팀을 보유한 모든 조직에서 소프트웨어 보안이 최우선 순위가 아닌 데에는 꽤 단순한 이유가 있습니다. 아직 보안 사고로 인해 목숨을 잃은 사람이 충분히 많지 않고, 위험성에 대한 지식도 부족하기 때문입니다.

섬뜩하게 들리나요? 그럴지도 모릅니다. 하지만 이것이 냉혹한 진실입니다. 규제나 구축 표준, 법 개정과 같은 관심은 실질적인 인명 피해가 발생했을 때 비로소 정부 기관 등으로부터 나오기 때문입니다.

교량을 예로 들어보겠습니다. 수백 년의 역사를 가진 토목 공학 분야에서 안전은 교량 건설의 핵심 요소입니다. 그들의 접근 방식은 미관이나 기본적인 기능을 훨씬 뛰어넘습니다. 모든 교량은 엄격한 안전 규정을 준수해야 하며, 토목 공학계와 사회 전체는 시간이 흐르면서 높은 수준의 안전을 기대하게 되었습니다. 오늘날 안전 요건을 충족하지 못하는 교량은 위험하고 사용할 수 없는 것으로 간주됩니다. 이것이 바로 소프트웨어 공학 분야에서도 우리가 도달해야 할 발전 방향입니다.

더 현대적인 예로 장난감 산업을 살펴보겠습니다. 1950년대에는 전후 베이비붐으로 인해 장난감 생산과 판매가 폭발적으로 증가했습니다. 흥미롭게도 이 시기에 장난감 관련 사고로 응급실을 찾는 사례도 함께 늘어났습니다. 장난감 화살이 눈 부상을 입히거나, 작은 장난감(또는 큰 장난감에서 분리된 부품)을 삼키는 사고가 발생했으며, 어린 소녀들을 겨냥한 장난감 오븐은 일반 가정용 오븐보다 더 높은 온도로 가열될 수 있었습니다.

당시는 그야말로 '무법지대'였으며, 가장 심각한 상황에서만 간헐적으로 제품 판매 금지나 리콜이 이루어질 뿐 규제는 거의 없었습니다. 장난감 제조사들은 사실상 원하는 장난감을 자유롭게 생산할 수 있었고, 안전에 대한 우려는 보통 여러 건의 사고가 보고된 후에야 제기되었습니다. 리처드 닉슨의 1969년 장난감 안전법과 같은 법안이 통과되고 나서야 미국을 비롯한 전 세계에서 위험한 장난감에 대한 테스트와 판매 금지가 표준화되었습니다. 여전히 사고는 발생하지만, 오늘날 장난감 제조 과정은 '안전 제일' 정책을 채택하고 있으며, 우리 아이들은 과거보다 훨씬 적은 위험에 노출되어 있습니다.

현재 소프트웨어 보안 분야는 서부 개척 시대와 같습니다. 개인정보 보호(특히 최근의 GDPR) 및 고객 데이터 보호와 관련된 명백한 법률과 일부 국가의 의무적 유출 신고 법안을 제외하면, 소프트웨어에 내재된 보안 수준에 대해 주류 비즈니스나 커뮤니티에서 논의되는 것은 거의 없습니다. 그 법률조차도 실제 소프트웨어에 대한 규제나 필수 보안 표준을 강제하기보다는 기업의 책임에 더 초점을 맞추고 있습니다.

우리는 결국 그 단계에 도달하겠지만, 그 과정에서 파괴적인 대가를 먼저 치러야 할지도 모릅니다.

가트너는 2020년까지 84억 개의 인터넷 연결 기기가 사용될 것으로 추정했습니다. 이는 2016년 대비 31% 증가한 수치입니다. 여기에는 가전제품뿐만 아니라 의료 기기 및 산업용 장비도 포함됩니다. 해커에게는 엄청난 기회가 열린 셈입니다.

누군가의 심박 조율기를 구동하는 소프트웨어가 보안에 취약하다고 상상해 보세요. 해커가 침입하여 피해자의 심장을 멈추게 할 수도 있습니다(말도 안 된다고 생각하시나요? 의사들은 해킹을 통한 암살 가능성을 차단하기 위해 딕 체니의 심박 조율기에서 WiFi 기능을 비활성화했습니다). 연결된 전자레인지나 주전자가 원격으로 폭발하거나(우리가 가정에서 즐겨 사용하는 모든 사물인터넷 기기와 마찬가지로), 연결된 전기차의 브레이크가 작동하지 않을 수도 있습니다. 이는 할리우드 액션 영화 속 이야기처럼 들릴지 모르지만, 이러한 첨단 연결 기술의 소프트웨어가 해킹당한다면 우리는 잠재적인 재앙을 맞이하게 될 것입니다. 이미 살펴본 석유 및 가스 산업의 사이버 공격으로 인한 폭발적 파급 효과와 같은 위협처럼 말이죠.

우리는 디지털 의존도가 높아짐에 따라 발생하는 악의적인 해킹의 끔찍한 결과를 미리 예방할 수 있습니다. 그 시작은 개발자들이 보안 코딩에 더 흥미를 느끼게 하고, 개발팀 내에 강력한 보안 마인드와 문화를 조성하는 데 진지하게 임하는 것입니다.

소프트웨어 혁신은 여기서 시작됩니다. 금융 업계는 기존의 지루한 교육 방식을 완전히 뒤집는 혁신적인 접근법인 게임화된 교육을 도입하여 잘못된 코드와의 전쟁을 선도하고 있습니다. 실제로 호주 6대 은행 모두가 현재 이러한 방식으로 개발자들의 참여를 유도하며 보안 의식을 고취하고 있습니다. 저희 고객사인 IAG 그룹이 진행한 차원이 다른 토너먼트를 확인해 보세요.