[기고] 해킹 사고, 결국 상상력의 실패

리스크 예측이 기본인 시대
해킹은 곧 평판 직결되는데
경영진은 늘 '남의 일' 인식
기업 이젠 '내 일'로 챙겨야

1960년대 냉전시대에 미국과 소련은 치열하게 우주 경쟁을 벌이고 있었다. 정확히 말해서 쫓기는 미국은 아폴로 프로그램으로 반전을 노리고 있었다. 그러나 아폴로 1호는 발사되지 못했다. 테스트 과정에서 불의의 화재 사고로 우주비행사 세 명이 캐빈에 갇혀 모두 죽는 비극이 발생한 것이다.

전 세계의 이목이 집중된 대형 프로젝트였기에 그 충격은 컸다. 케네디 대통령의 유지라며 말을 아껴왔던 정치권은 천문학적인 예산이 투입된 미국 항공우주국을 겨냥했다. 의회 청문회에선 책임 소재를 놓고 갑론을박이 오갔다.

우주비행사 프랭크 보먼이 마지막으로 증언대에 섰다. 의회 청문회를 주관하던 의장은 "무엇이 화재 사고의 원인입니까?"라고 단도직입적으로 물었다.

그는 잠시 생각에 잠기더니 분명하게 답변했다. "상상력의 실패(failure of imagination)입니다. 우리는 우주 상공에서 화재가 날 모든 상황에 대비했지만 누구도 지상에서 그런 상황이 일어날지 상상하지 않았습니다. 만일 누군가 생각했다면 위험 상황으로 분류해 충분히 테스트했을 겁니다."

현장 전문가의 통찰력으로 아폴로 프로젝트는 살아났고, 결국 1969년 아폴로 11호의 선장인 닐 암스트롱은 인류 최초로 달에 첫발을 내디뎠다.

'상상력의 실패'라는 표현은 리스크를 바라보는 관점을 바꾼 역사적 모멘텀이 됐다. 우리는 과거의 경험과 지식을 바탕으로 체크리스트를 만든다. 그리고 체크리스트를 점검해 문제가 없으면 안전하다고 본다. 과연 그럴까?

만일의 경우를 상상해서 준비하는 역량, 전문 용어로 리스크를 예측하고 식별하는 방법론이 다양한 기술과 프로세스가 복잡다단하게 얽혀서 돌아가는 현대사회를 지키는 기본양식이다. 과연 우리는 이런 시대에 대비하고 있는가?

최근 우리는 크고 작은 해킹 사고를 겪고 있다. 수많은 보안사고를 접하면서 살아왔지만, 이를 대하는 대처 방식은 크게 바뀌지 않았다. 언론의 질타, 강력한 규제, 투자 강화, 인력 육성 등. 우리는 비슷한 대책을 반복하고 있는데 왜 상황은 더 악화하고 있을까?

문제의 본질은 경영진이 사이버 보안을 자신의 문제로 생각하지 않는다는 것이다. 기업의 대부분 업무가 컴퓨터로 돌아가는 시대에 사이버 보안은 단지 기술의 문제가 아니라 비즈니스 리스크다. 온갖 법률적·비즈니스적 피해는 물론 엄청난 평판 리스크다. 그런데 여전히 보안은 기술자들의 영역이라는 인식에 머물러 있다. 심지어 '우리는 잘하고 있겠지'라는 막연한 기대감에 젖어 있다.

"자는 척하는 사람은 깨울 수 없다." 이는 미국 원주민 나바호족의 속담이다. 우리는 자족하면서 흉내만 내고 있는 것은 아닐까? 최고경영진이 자신의 문제라고 직접 들여다봐야 냉철하게 현실을 파악할 수 있다.

디지털 환경은 급변하고, 인공지능은 사이버 공격과 방어를 이끌고 있다. 체크리스트와 규제 준수, 정보보호관리체계(ISMS) 인증은 최종 목표가 아니라 최소한의 조치일 뿐이다. 조직의 잠재적인 사이버 리스크를 상상할 수 없는 기업은 살아남기 힘든 시대다.

[김홍선 김앤장법률사무소 고문]