[CISO 되기 프로젝트 6] 퀄리스의 CISO, 조나단 트럴

범죄학 전공에 교도관으로 사회 진출, “보호하는 건 내 운명”

사람을 통해 공부하고, 사람을 위해 공부하고

[보안뉴스 문가용] 퀄리스(Qualys)의 CISO인 조나단 트럴(Jonathan Trull)은 오래 전부터 ‘보호’와 연관이 있는 일을 해왔다고 한다. 그렇다고 그 동안 ‘CISO 되기 프로젝트’를 통해 인터뷰 한 여러 CISO와 달리 처음부터 정보보안 분야에서 경력을 쌓은 건 아니다. 조나단 역시 우연한 기회에 이 분야로 흘러 들어왔고, 흘러 들어온 김에 아예 자리를 잡은 경우다. 다른 게 있다면 다른 CISO들처럼 물리, 법, 수리, 자유미술 등 정보보안을 떠올리기조차 힘든 분야에서 출발한 건 아니라는 것이다. 조나단 역시 일단 명목상은 보안업계 출신이긴 하다. 조금 달라서 그렇지.

트럴은 대학교에서 범죄학을 공부했다. 그리고 행정학으로 석사를 마쳤다. 교도관으로 사회 생활의 첫 단추를 끼웠다. 그런 다음 미국 해군예비군의 정보 사무관으로 8년을 근무했다. “뭔가를 보호하고 간수하는 것을 계속 공부하고 해왔던 것입니다.” 그러면서도 시간이 빌 때면 컴퓨터와 서버를 가지고 놀았다. 친구들 혹은 친지들 대신 웹 사이트를 만들어주기도 했다. 리눅스를 이리 저리 물고 만지도 뜯고 즐기면서 오픈소스 커뮤니티에서의 활동량도 늘어났다. 하지만 이런 모든 컴퓨터 관련 활동은 취미에 불과했다.

하지만 컴퓨터를 통해 들어오는 여러 가지 위협이 군대에서도 점점 더 중요한 문제가 되었다. 때문에 정보를 다루던 그의 입지도 조금은 달라졌다. 2011년 그는 콜로라도 주 회계감사관 사무실로 근무처를 옮겼다. 그때서야 비로소 적성에 딱 맞는 일을 찾은 기분이었다. 공무와 IT를 함께 병행할 수 있는 직무였기 때문이다. 물론 100%는 아니었다. “사람들에게 ‘알려주는 것’에서 그치는 건 조금 불만이었습니다. 제가 직접 ‘하고’ 싶었거든요.”

그래서 콜로라도 주정부 사무실의 CISO 자리가 공석이 되었을 때 바로 지원을 했고 결과는 성공적이었다. 2500개의 서버와 2만 6천명의 직원들, 그리고 그 직원들이 벌이는 비슷한 숫자의 사업들을 관리하는 일에 곧바로 돌입했다. 제자리에 서서 불을 쪼여 바다를 비추는 것으로 모든 임무를 마치는 등대가 CISO의 롤모델이라고 생각했었다면 큰 코 다칠 뻔했다. “어떤 회사에서든 CISO가 되는 건 그저 기술적인 지식을 가지고 그런 일을 수행하는 것과는 크게 다릅니다. 자기가 속해 있는 사업에 대한 깊은 이해가 반드시 필요합니다. 보안이 그런 것입니다. 모든 곳과 연결되어 있고 상관이 있어요.”

다행히 트럴의 관심사가 컴퓨터를 물고 뜯고 맛보고 즐기는 것에만 있지는 않았다. 사람들과 이야기하고 관계를 쌓아가는 것, 그래서 함께 뭔가를 이뤄가는 것, 그렇게 하기 위해 필요한 정보를 다 접하지 못한 사람들을 가르치는 것 모두 그에겐 즐거운 일이었던 것이다. 하지만 그럼에도 한 가지 원하는 것이 있었으니, 좀 더 창의적인 일을 하는 조직으로 옮기고 싶었다. 그래서 지난 5월 퀄리스에 입사한 것이다.

보안 회사의 CISO가 되었으니, 아무리 CISO에게 기술적인 지식 외에 다른 것들도 요구된다 한들, 기술적인 공부를 해서 지식과 기술을 유지하는 데에 노력을 쏟아야 했다. 다행히 제품 개발진들부터 보안에 대한 인식이 철저해 시큐어 코딩이나 개발 단계에서의 보안 점검에 대한 교육을 할 필요가 전혀 없었다. “소프트웨어 개발자들의 보안 교육 상태가 아주 양호하더군요. 제가 여기서 누릴 수 있던 특권이었습니다.”

일을 해나가는 와중에 조나단은 감사 관련 자격증, 사기 범죄 수사 자격증, 공격적인 보안 자격증을 취득했다. “결국 교육이 전부라고 생각해왔거든요. 그것이 무슨 분야든, 내가 어느 위치에 있든 상관없이 말이죠.” 하지만 그렇다고 그런 자격증이 CISO가 되는 데에 꼭 필요한 건 아니라고 한다. 오히려 그런 공부를 하면서 많은 사람들을 자연스레 알아갈 수 있다는 것에 큰 가치를 두는 편이 더 도움이 될 거라는 게 그의 생각이다.

“전 소셜 네트워킹의 광팬입니다. 링크드인 등을 통해서 만난 사람들 혹은 온라인에서 벌어진 컨퍼런스 등에서 만난 사람들과의 관계가 큰 도움이 되었습니다. 대화를 하는 것만으로도 많은 정보를 얻어낼 수 있었고 사업을 같이 도모할 수도 있었습니다. 사람들이 곧 기회이더군요.” 하지만 새로운 사람을 만나는 것보다 더 중요한 건 좋은 멘토를 찾는 것이라고 그는 말한다. 시간과 여유가 있어 충분한 도움을 줄 수 있는 멘토라면 더욱 좋다고.

CISO가 아니라면 비영리 단체에서 사람들을 만나는 일을 했을 거라는 조나단 트럴은 “어딜 가도 사람만 있으면 살 수 있을 듯”하다.

@DARKReading

[국제부 문가용 기자(globoan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)