하버드비즈니스리뷰

ARTICLE

능동적 방어와 ‘보복해킹’에 관한 입문서

인터넷상에서 악당들의 공격을 막을 수 없다면 우리가 맞서 싸워야 할까?

스콧 베리나토

위 사진: 러프 요새와 같은 요새들은 바다로 옮겨와 물속에 고정시키고 30분 이내에 가동준비를 완전히 갖출 수 있어서, 그 시절 방어공학의 경이로움을 보여줬다.

이번 패키지 기사의 첫 번째 아티클에서, INL의 앤디 보흐만은 도발적인 아이디어를 내놓았다. 그는 많은 돈을 들여서 기술적 보호 조치를 취한다 해도, 조직의 중요한 시스템의 안전을 담보하거나 해커의 진화 속도를 따라잡을 수 없다고 주장한다. 또 조직의 핵심 정보를 보호하려면, 이른바 사이버 위생의 개념을 벗어날 필요가 있다고 말한다. 사이버 위생에서 말하는 보안 소프트웨어와 네트워크 모니터링 프로세스 배치는 물론 필요한 일이지만, 그것만으로는 부족하기 때문이다.

보흐만은 효율화가 안겨주는 혜택에서 눈을 돌려, 효율화가 초래하는 비용에 초점을 맞춘 새로운 프레임워크를 제시한다. 이 프레임워크는 시스템의 인터넷 연결을 끊고, 자동화된 시스템을 과거로 되돌려 놓고, 프로세스에 믿을 만한 인력을 다시 투입하는 등 감히 상상조차 할 수 없었던 발상을 오히려 현명한 조치로 간주한다.

이뿐만 아니다. ‘능동적 방어^{active defense}’ 역시 관심을 받고 있다. 능동적 방어라고 하면 언뜻 조지 오웰의 이중화법처럼 들리지만, 실제로 이런 전략이 있다. 수동적 모니터링을 넘어, 조직의 네트워크를 겨냥해 거듭되는 공격을 저지하기 위한 선제적 조치를 수반하는 전략이다.

단 문제가 하나 있다. 능동적 방어 전략이 인기를 얻으면서 이 용어의 정의와 원칙이 모호해지고 있다. 특히 능동적 방어가 공격자에게 반격하는 ‘보복해킹^{hacking back}’과 구분 없이 사용되고 있다. 이 둘은 동의어가 아니다. 윤리, 적법성, 효과 측면에서 중요한 차이가 있는 별개의 용어다.

능동적 방어 전략은 모든 기업의 주요 기반시설 보호 계획에 포함돼 있다. 그러나 제대로 이해해야만 전략을 효과적으로 적용할 수 있다. 하지만 이는 생각보다 어려운 일이다.

우리는 능동적 방어에 대한 믿을 만한 정의를 제공하고, 그 원칙과 적용 방법의 기초 이해를 돕기 위해 이 문제에 관한 최고전문가 두 명에게 도움을 요청했다.