신기술의 등장, 온갖 약속으로 우리를 열광하게 하지만 그늘진 부분도 있어
신기술의 위험할 수 있는 측면, 보안이 먼저 검토하고 알려야...전사적 노력 필요
[보안뉴스 문가용 기자] 최고의 아이디어와 의도를 가지고 진행한 일이 예기치 않은 결과를 낳을 때가 있다. 예를 들어 이메일을 보자. 인간의 통신을 급격히 진화시킨 놀라운 발명품이다. 그러나 각종 피싱, 소셜 엔지니어링, 스팸 공격의 창구가 되고 있는 것도 사실이다. 소셜 미디어는 어떤가? 역시 인간의 소통 방법을 크게 바꿨지만, 이제는 가짜뉴스의 온상지다.
오늘 날 숨 쉴 새 없이 등장하는 신기술들에도 이러한 양면성이 존재한다. 정보의 수집과 분석, 통찰 제공, 높은 이동성과 확장성 등 이 기술들이 하는 약속들이 거짓은 아닐 것이다. 다만 여기에는 분명 우리가 예상하지 못하는 부작용들이 존재한다. 실제로 이런 부작용들 중 일부는 모습을 드러냈고, 우리는 부랴부랴 이런 신기술들의 윤리적 측면을 검토하기 시작했다. 신기술을 도입하려는 지도자들이라면, 약속과 더불어 윤리적인 문제들도 알고 있어야 한다.
고급 신기술이 갖는 장점은 참으로 다양하다. 이 기술들은 의료 분야에서 수술 성공률과 진단 정확성을 높여줄 것으로 기대 받고 있다. 데이터로 좌지우지 되는 산업들에서는 인공지능과 머신러닝이 빛을 발할 것으로 예상된다. 인간이기 때문에 저지를 수밖에 없는 실수들은 희박해지고, 따라서 사업적 행위에 따른 리스크가 줄어들 것이라고 전문가들은 입을 모은다. 하지만 정말 그런 면모들만 있는 걸까?
로봇이 사람 대신 수술하면, 사람의 실수가 없어지지만, 기계이기 때문에 발생하는 사고들이 일어난다. 그 로봇 역시 사람이 제작에 참여한 물건이기 때문이다. 또한 기계들에 의존했을 때 랜섬웨어 공격에 얼마나 취약해지는지, 의료 산업이 지난 몇 년 동안 몸소 보여 왔다는 것도 잊으면 안 된다. 무인 자동차가 가지고 있는 잠재적 위험성 역시 숱하게 제시되어 왔다.
국가와 시대를 막론하고 정부들은 앞서간 기술의 뒤를 헐레벌떡 좇아가는 형국으로 발전해왔다. 그 바쁜 걸음에 윤리와 보안, 안전이라는 짐이 무게를 더하기도 했다. 지금도 이 순서는 변하지 않고 있다. 다만 사이버 보안이라는 분야가 앞서가는 기술의 바로 뒤에서 ‘위험하다’를 외친다는 점에서 과거와는 조금 다르다. GDPR이 시행되기 전부터 보안은 각종 신기술을 활용한 프라이버시 침해와 정보 유출에 대해 경고했었다.
어쩔 수가 없는 현상이다. 법을 만들고 다루는 사람들 중 신기술에 빠르게 노출되는 사람은 극소수이기 때문이다. 기술을 온전히 이해하기도 전에 사회적 파장이 클 수 있는 법과 제도를 만들 마음이 들 리가 없다. 그래서 IT와 기술 분야는 산업 내에서 스스로 규정을 정해 지킨다든가 하는 식으로 시간을 벌고 있다.
그렇다면 기술과 법 사이에 새롭게 끼어들게 된 보안 담당자 혹은 리스크 관리자들은 어떻게 생각하고 행동해야 할까? 신기술을 마주할 때 먼저 다음 세 가지를 생각해야 한다.
1) 이 기술을 도입했을 때 일어날 수 있는, 예상치 못한 결과에는 어떤 게 있나?
2) 이 기술을 가지고 수익을 늘린다는 것에는 윤리적, 법적 측면에서 아무런 이상이 없나?
3) 이 기술을 가지고 얻을 수 있는 이득이, 리스크보다 충분히 큰가?
이 질문에 대한 답을 찾아가는 것에 대해 필자는 다음과 같이 권장한다.
1) 진지하게 도입을 고려해야 하는 신기술이 생겼다면 C레벨 임원들이 최대한 초기에 참여하도록 유도해야 한다. 신기술 평가 프로젝트를 담당할 팀을 구성할 때 높은 분들을 모셔야 한다는 것이다. 이걸 실무자들끼리 끙끙대면 답이 나오질 않는다. 이미 할 일이 산더미처럼 쌓여 있기 때문이다. 실무자라고 반드시 신기술을 더 잘 알고 있는 것도 아니다.
2) 보안 환경과 데이터에 대해 잘 이해하고 있어야 한다. 환경 데이터 모델과 보안 프로토콜을 정립하고, 유지하고, 또한 그 현황을 임원진들, 운영 팀, 사이버 사건 대응 팀들과 공유해야 한다. 그래야 보다 위험성과 윤리성에 대한 넓은 시야를 확보할 수 있다.
3) 신기술에 대한 윤리성 검토 작업을 전사적으로 진행해야 한다. 태스크 포스 팀을 따로 만들어 구석방에서 탁상토론으로만 이뤄내는 작업이 아니다. 조직 내 모든 부서들이 리스크를 고민하고 의견을 제시해야 한다.
4) 그러나 윤리성 문제를 검토하는 게 복잡한 작업이어서는 안 된다. 모든 코드를 한 줄 한 줄 분석할 필요는 없다는 것이다. 우리는 데이터 분석을 하는 게 아니다.
기술 연구에 특화된 사람이 법과 규정, 윤리의 측면을 검토한다는 건 그리 쉬운 일이 아니다. 그렇기에 많은 산업에서 ‘자율’에 기반한 장치를 도입하고 싶어 한다. 자신들의 자정 작용을 믿고 신뢰한다. 그러나 지나온 과거를 분석했을 때, 자정 작용이나 자율 규제가 올바로 작동한 사례는 거의 없다. 필자는 개인적으로 신기술을 ‘자율’적으로 안전하게 사용할 수 있는 사회나 조직은 없다고 생각한다.
대신 우리는 지금부터라도 신기술의 기술적 측면에 열광하면서 동시에 윤리적인 부분까지도 충분히 검토할 수 있어야 한다. 처음부터 ‘이 기술을 완벽히 아름답고 안전하게 사용할 거야’라는 거창한 목표를 가질 것이 아니라, ‘이렇게 좋은 기술이, 나쁘게 변할 수 있을까?’라는 기초적인 부분부터 더듬어가야 한다.
글 : 폴 이바라(Paul Ybara), Fusion Risk Management
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]
신기술의 위험할 수 있는 측면, 보안이 먼저 검토하고 알려야...전사적 노력 필요
[보안뉴스 문가용 기자] 최고의 아이디어와 의도를 가지고 진행한 일이 예기치 않은 결과를 낳을 때가 있다. 예를 들어 이메일을 보자. 인간의 통신을 급격히 진화시킨 놀라운 발명품이다. 그러나 각종 피싱, 소셜 엔지니어링, 스팸 공격의 창구가 되고 있는 것도 사실이다. 소셜 미디어는 어떤가? 역시 인간의 소통 방법을 크게 바꿨지만, 이제는 가짜뉴스의 온상지다.
[이미지 = iclickart]
오늘 날 숨 쉴 새 없이 등장하는 신기술들에도 이러한 양면성이 존재한다. 정보의 수집과 분석, 통찰 제공, 높은 이동성과 확장성 등 이 기술들이 하는 약속들이 거짓은 아닐 것이다. 다만 여기에는 분명 우리가 예상하지 못하는 부작용들이 존재한다. 실제로 이런 부작용들 중 일부는 모습을 드러냈고, 우리는 부랴부랴 이런 신기술들의 윤리적 측면을 검토하기 시작했다. 신기술을 도입하려는 지도자들이라면, 약속과 더불어 윤리적인 문제들도 알고 있어야 한다.
고급 신기술이 갖는 장점은 참으로 다양하다. 이 기술들은 의료 분야에서 수술 성공률과 진단 정확성을 높여줄 것으로 기대 받고 있다. 데이터로 좌지우지 되는 산업들에서는 인공지능과 머신러닝이 빛을 발할 것으로 예상된다. 인간이기 때문에 저지를 수밖에 없는 실수들은 희박해지고, 따라서 사업적 행위에 따른 리스크가 줄어들 것이라고 전문가들은 입을 모은다. 하지만 정말 그런 면모들만 있는 걸까?
로봇이 사람 대신 수술하면, 사람의 실수가 없어지지만, 기계이기 때문에 발생하는 사고들이 일어난다. 그 로봇 역시 사람이 제작에 참여한 물건이기 때문이다. 또한 기계들에 의존했을 때 랜섬웨어 공격에 얼마나 취약해지는지, 의료 산업이 지난 몇 년 동안 몸소 보여 왔다는 것도 잊으면 안 된다. 무인 자동차가 가지고 있는 잠재적 위험성 역시 숱하게 제시되어 왔다.
국가와 시대를 막론하고 정부들은 앞서간 기술의 뒤를 헐레벌떡 좇아가는 형국으로 발전해왔다. 그 바쁜 걸음에 윤리와 보안, 안전이라는 짐이 무게를 더하기도 했다. 지금도 이 순서는 변하지 않고 있다. 다만 사이버 보안이라는 분야가 앞서가는 기술의 바로 뒤에서 ‘위험하다’를 외친다는 점에서 과거와는 조금 다르다. GDPR이 시행되기 전부터 보안은 각종 신기술을 활용한 프라이버시 침해와 정보 유출에 대해 경고했었다.
어쩔 수가 없는 현상이다. 법을 만들고 다루는 사람들 중 신기술에 빠르게 노출되는 사람은 극소수이기 때문이다. 기술을 온전히 이해하기도 전에 사회적 파장이 클 수 있는 법과 제도를 만들 마음이 들 리가 없다. 그래서 IT와 기술 분야는 산업 내에서 스스로 규정을 정해 지킨다든가 하는 식으로 시간을 벌고 있다.
그렇다면 기술과 법 사이에 새롭게 끼어들게 된 보안 담당자 혹은 리스크 관리자들은 어떻게 생각하고 행동해야 할까? 신기술을 마주할 때 먼저 다음 세 가지를 생각해야 한다.
1) 이 기술을 도입했을 때 일어날 수 있는, 예상치 못한 결과에는 어떤 게 있나?
2) 이 기술을 가지고 수익을 늘린다는 것에는 윤리적, 법적 측면에서 아무런 이상이 없나?
3) 이 기술을 가지고 얻을 수 있는 이득이, 리스크보다 충분히 큰가?
이 질문에 대한 답을 찾아가는 것에 대해 필자는 다음과 같이 권장한다.
1) 진지하게 도입을 고려해야 하는 신기술이 생겼다면 C레벨 임원들이 최대한 초기에 참여하도록 유도해야 한다. 신기술 평가 프로젝트를 담당할 팀을 구성할 때 높은 분들을 모셔야 한다는 것이다. 이걸 실무자들끼리 끙끙대면 답이 나오질 않는다. 이미 할 일이 산더미처럼 쌓여 있기 때문이다. 실무자라고 반드시 신기술을 더 잘 알고 있는 것도 아니다.
2) 보안 환경과 데이터에 대해 잘 이해하고 있어야 한다. 환경 데이터 모델과 보안 프로토콜을 정립하고, 유지하고, 또한 그 현황을 임원진들, 운영 팀, 사이버 사건 대응 팀들과 공유해야 한다. 그래야 보다 위험성과 윤리성에 대한 넓은 시야를 확보할 수 있다.
3) 신기술에 대한 윤리성 검토 작업을 전사적으로 진행해야 한다. 태스크 포스 팀을 따로 만들어 구석방에서 탁상토론으로만 이뤄내는 작업이 아니다. 조직 내 모든 부서들이 리스크를 고민하고 의견을 제시해야 한다.
4) 그러나 윤리성 문제를 검토하는 게 복잡한 작업이어서는 안 된다. 모든 코드를 한 줄 한 줄 분석할 필요는 없다는 것이다. 우리는 데이터 분석을 하는 게 아니다.
기술 연구에 특화된 사람이 법과 규정, 윤리의 측면을 검토한다는 건 그리 쉬운 일이 아니다. 그렇기에 많은 산업에서 ‘자율’에 기반한 장치를 도입하고 싶어 한다. 자신들의 자정 작용을 믿고 신뢰한다. 그러나 지나온 과거를 분석했을 때, 자정 작용이나 자율 규제가 올바로 작동한 사례는 거의 없다. 필자는 개인적으로 신기술을 ‘자율’적으로 안전하게 사용할 수 있는 사회나 조직은 없다고 생각한다.
대신 우리는 지금부터라도 신기술의 기술적 측면에 열광하면서 동시에 윤리적인 부분까지도 충분히 검토할 수 있어야 한다. 처음부터 ‘이 기술을 완벽히 아름답고 안전하게 사용할 거야’라는 거창한 목표를 가질 것이 아니라, ‘이렇게 좋은 기술이, 나쁘게 변할 수 있을까?’라는 기초적인 부분부터 더듬어가야 한다.
글 : 폴 이바라(Paul Ybara), Fusion Risk Management
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
.jpg)
