[취재수첩] 자만하면 끝, `완벽한 보안`이란 없다

실시간
뉴스

보안

[취재수첩] 자만하면 끝, '완벽한 보안'이란 없다

디지털데일리 발행일 2024-07-31 09:10:31

김보민 기자

URL복사

[디지털데일리 김보민기자] 올 7월 정보기술(IT) 업계를 뒤집은 사건을 하나 꼽아보자면 '대규모 대란'을 빼놓을 수 없다. 공항부터 방송, 통신, 금융까지 주요 인프라가 먹통이 되면서, 사태 원인으로 지목된 보안업체 크라우드스트라이크를 향한 비난의 목소리가 사그라들지 않고 있다.

크라우드스트라이크는 자체 사고 조사 결과 예비 보고서를 통해 콘텐츠 검증기 오류로 인해 문제가 된 데이터가 포함된 두 템플릿 예제 중 하나가 검증을 통과했다고 설명한 바 있다. 내부 품질 관리 과정에서 허점이 생겨, 업데이트 오류를 사전에 방지하지 못했다는 설명이다.

일각에서는 이번 대규모 IT 대란의 책임 공방에 집중할 필요가 있다고 보지만, 보안 업계에서는 "양가감정이 든다"는 이야기가 나온다. 물론 크라우드스트라이크의 경쟁사 입장에서 새로 노려볼 기회요인이 있겠지만, 반대로 보안 제품 자체에 대한 신뢰가 떨어지는 것이 아니냐는 우려도 공존한다는 취지다. 마치 인공지능(AI) 기술에 대한 낙관론과 파괴론이 동시에 떠오르는 것과 같다고 보는 관계자도 있다.

그러나 이들 기업이 한목소리로 공감하는 말이 있다. 이번 사태로 '완벽한 보안은 없다'는 사실을 또 한 번 각인시켰다는 것이다. 엔드포인트탐지및대응(EDR) 시장에서 선두를 달리는 크라우드스트라이크에서 문제가 발생한 만큼, 유명 제품이라 한들 무조건적인 신뢰를 경계해야 할 필요가 커진 분위기다.

특히 국내에서는 제품 도입 하나 만으로 보안 태세를 완비했다고 믿는 기업들이 존재한다는 점을 고려했을 때, 이번 사태를 반면교사 삼아야 할 필요가 있다. 단일 솔루션이나 서비스로 제로트러스트를 구현할 수 있다고 말하는 일부 보안 기업들에 속아 넘어가는 기업도 허다하다. 이번 사태로 연관 없는 방화벽 전문업체들의 주식가치(이하 주가)가 상승했던 것 또한 이러한 인식에서 기인했다고 보는 시선도 있다.

국내의 경우 이번 IT 대란에 대한 여파가 크지 않아 운이 좋았다는 말이 나온다. 다만 크라우드스트라이크나 마이크로소프트(MS) 클라우드 도입률이 다른 국가에 비해 저조한 덕이지, 보안 태세가 완벽했기 때문이라고 자만할 수 없는 상황이다. 반대로 국내 도입률이 높았던 보안 제품으로 인해 이러한 사태가 벌어졌더라면, 한국 또한 영향권에서 벗어나기 어려웠을 것이다.

완벽한 보안이란 없다. 업데이트 오류와 같이 모든 보안 제품에는 장애가 발생할 수 있는 허점이 존재한다. 이러한 허점을 노린 사이버 공격자도 늘고 있는 추세다. 보안 제품을 공급하는 기업 입장에서도, 그리고 그 제품을 사용하는 입장에서도 모두 완벽한 보안에 대한 믿음을 뒤로하고 다음 보완책을 꾸리는 작업이 필요한 때다.