[ 전문가 시각 2 ] 김승주 고려대 정보 보호 대학원 교수 “ 美 , 제품 보안 기준 높여 ‘ 제조업 부활 ’ 꾀할 가능 성 수출 기업 , 상품 기획 단계 부터 해킹 안전 고려 해야 ” 조선 비즈 가 만드 는 프리미엄 경제 주간지 - 이코노미 조선 
 [ 전문가 시각 2 ] 김승주 고려대 정보 보호 대학원 교수 
 “ 보안 경쟁력 이 떨어지 는 기업 은 4 차 산업 혁명 시대 에 낙오자 가 될 수 밖에 없 다 . 보안 경쟁력 이 곧 제품 경쟁력 이 라는 인식 하 에 제품 기획 단계 부터 보안 기능 을 극대 화 해야 한다 . ” 
 김승주 고려대 정보 보호 대학원 교수 는 현재 대검찰청 과 헌법 재판소 , 중앙 선거관리위원회 , 카카오 , 러시아 보안 업체 카스퍼스키 랩 등 다양 한 국내외 기관 의 자문 위원 을 겸하 고 있 는 국내 최고 의 보안 전문가 다 . 2006 년 네이트 온 메신저 를 직접 해킹 하 며 암호 화 기술 의 한계 를 지적 해 주목 받 았 다 . 이듬해 에 는 국가 보안 경쟁력 제고 에 기여 한 공로 를 인정받 아 국가 정보원 으로부터 ‘ 국가 사이버 안전 업무 유공자 ’ 표창 을 받 기 도 했 다 . 그 는 미국 제조업 부활 의 기치 를 내건 트럼프 행정부 가 보안 기준 강화 를 통해 새 판 을 짤 수 있 다며 “ 국내 기업 들 이 ( 보안 관련 ) 문제 가 생길 때 마다 땜질 식 으로 대응 하 는 관행 에서 벗어나 지 못한다면 미국 시장 을 잃 을 수 도 있 다 ” 고 경고 했 다 . 김승주 교수 를 서울 안암동 고려대 정보 보호 대학원 에서 인터뷰 했 다 . 
 4 차 산업 혁명 시대 에 보안 기술 이 절실 한 이유 는 . 
 “ 4 차 산업 혁명 시대 의 대표 적 인 특징 중 하나 는 초 고속 인터넷 과 첨단 센서 기술 의 발달 로 사이버 공간 과 물리 적 공간 의 경계 가 허물 어 진다는 것 이 다 . 항공기 를 예 로 들 면 엔진 을 비롯 한 주요 부분 에 센서 가 장착 돼 이 륙 순간 부터 제 조사 PC 로 관련 정보 가 들어간다 . 예전 에 는 해킹 공격 을 받 으면 피해 범위 는 사이버 공간 에 그쳤 지만 , 이제 는 실생활 에 도 큰 피해 가 불가피 해졌 다 . ” 
 자동차 와 가전제품 등 에 ‘ 스마트 ’ 기능 이 강화 된 것 도 관련 이 있 나 . 
 “ 미국 의 경우 2015 년 피아트 크라이슬러 가 해킹 가능 성 을 이유 로 지프 체로키 140 만 대 를 리콜 한 것 을 계기 로 ‘ 해킹 취약점 이 곧 제 조물 의 결함 ’ 이 며 , 따라서 집단 소송 과 대 규모 과징금 징수 의 대상 이 될 수 있 다는 공감대 가 형성 됐 다 . 이 같 은 인식 전환 이 미국 제조업 경쟁력 을 향상 시킬 것 이 다 . ” 
 보안 기준 과 제조업 경쟁력 은 무슨 관계 가 있 나 . 
 “ 제조업 부활 의 기치 를 내건 트럼프 행정부 가 미국 에 들어오 는 자동차 와 스마트 가전제품 에 엄격 한 보안 기준 을 요구 할 수 있 기 때문 이 다 . 미국 은 소방차 · 구급차 와 관용차 의 보안 기준 강화 를 위한 10 년 짜리 기준 개발 로드맵 을 시행 중 이 다 . 관용차 제조사 대부분 이 민간 차량 도 만들 기 때문 에 결국 미국 자동차 시장 의 보안 기준 이 높 아 질 가능 성 이 크 다 . 가전 시장 은 어차피 미국 주도 시장 이 아니 기 때문 에 엄격 한 보안 기준 을 요구 해서 미국 업체 가 재 도약 하 는 계기 로 삼 을 수 도 있 다 . 우리 기업 이 보안 품질 을 높이 려는 노력 을 게을리 할 경우 미국 시장 을 잃 을 수 도 있 다 . ” 
 국내 기업 들 은 보안 강화 를 위해 어디 부터 점검 해야 할까 . 
 “ 우리 기업 들 은 제품 을 처음 부터 완벽 하 게 만들 어 출시 하 기 보다 는 일단 내놓 고 문제 가 생기 면 땜질 식 으로 처리 하 는 경향 이 있 다 . 그런데 ‘ 다 품종 전략 ’ 이 일반 적 이 어서 애플 과 테슬라 등 미국 의 선도 기업 에 비해 생산 설비 를 뜯어고치 기 도 쉽 지 않 다 . 제품 기획 단계 부터 보안 전문가 들 이 함께 참여 해 안전 성 에 신경 을 쓰 면 장기 적 으로 불 필요 한 비용 발생 을 최소 화 할 수 있 다 . 마이크 로 소프트 ( MS ) 가 이 부분 에서 는 최고 모범 사례 다 . 무엇 보다 기업 오너 와 최고 경영자 의 인식 전환 이 시급 하 다 . ” 
 미국 걸프스트림 사 가 제작 한 항공기 에 장착 된 카메라 센서 . < 사진 : 블룸버그 > 
 국내 대 기업 들 도 실력 있 는 해커 를 고용 하 는 등 보안 강화 를 위해 노력 하 고 있 다 . 
 “ 국내 대 기업 관계자 를 만나 면 ‘ 실력 있 는 해커 들 을 고용 했 는데 도 제품 의 보안 관련 품질 이 향상 되 지 않 는다 ’ 고 걱정 한다 . 당연 하 다 . 해커 가 ‘ 테 스팅 ’ 전문가 는 될 수 있 지만 보안 은 그 보다 광범위 한 개념 이 다 . 테스 팅 전문가 만 잔뜩 뽑 는다고 보 안 품질 이 좋 아 질 리 없 다 . ” 
 정보 보호 최고 책임자 ( CISO ) 의 위상 강화 등 직제 개편 노력 도 필요 하 지 않 을까 . 
 “ 국내 기업 에서 는 개발 총괄 임원 아래 CISO 가 있 는 경우 가 많 다 . 사실 둘 은 최소한 동급 이 거나 CISO 가 위 에 있 는 것 이 맞 다 . 개발 에 지장 을 준다고 해서 보안 이 무시 되 면 큰일 아닌가 . 금융 권 만 봐도 우리 나라 와 서구 선진국 에서 CISO 의 위상 에 큰 차이 가 있 다 . 영국 계 인 SC 제일은행 의 경우 CISO 는 부 행장 급 이 다 . 보안 위협 을 회사 전체 의 리스크 매니지먼트 차원 에서 관리 하 기 때문 이 다 . ” 
 보안 경쟁력 강화 를 위해 정부 차원 의 노력 도 필요 할까 . 
 “ 해야 할 것 들 을 지정 하 는 ‘ 포지티브 ’ 규제 에서 하 지 말 아야 할 것 들 을 제외 하 고 나머지 는 자유 를 주 는 ‘ 네거티브 규제 ’ 로 보안 관련 규제 방향 을 바꿔야 한다 . 문재인 정부 들 어서 그런 흐름 으로 가 고 있 기 는 하 다 . 포지티브 규제 는 보안 전문 기업 의 국제 경쟁력 도 약화 시켰 다 . 기업 들 이 지정 된 것 만 따르 다 보 니 천편일률 적 인 비즈니스 모델 에서 탈피 하 기 어려워졌 기 때문 이 다 . ” 
 하드웨어 중심 에서 소프트웨어 중심 으로 정책 을 바꿔야 하나 . 
 “ 정책 만 으로 가능 한 건 아니 다 . 서구 선진국 소프트웨어 경쟁력 의 중요 한 원천 은 ‘ 잉여 문화 ’ 다 . 5 ~ 6 시 에 ‘ 칼퇴근 ’ 하 고 나 면 시간 이 많이 남 기 때문 에 이것저것 하 다 보 면 새로운 아이디어 도 생기 고 그 중 에서 ‘ 대박 아이템 ’ 도 나온다 . 우리 나라 에서 는 그게 어렵 다 . 시간 이 남 아도 당장 ‘ 돈 되 는 ’ 일 이 아니 면 ‘ 쓸데없 는 짓 ’ 으로 여기 는 경우 가 많 다 . ” 
 보안 강화 를 위해 일상 에서 할 수 있 는 것 들 이 있 을까 . 
 “ 제일 중요 한 건 업데이트 다 . 모든 종류 의 업데이트 는 공지 가 뜨 면 즉각 적 으로 해야 한다 . 관련 공지 를 해커 가 보 는 순간 취약점 이 노출 되 기 때문 이 다 . 업데이트 만 제대로 해도 언론 에 보도 된 해킹 공격 의 90 % 는 막 을 수 있 다 . 회사 에서 보안 프로그램 을 한 가지 만 쓰 는 건 좋 지 않 다 . 서너 가지 를 쓰 면 해킹 공격 을 받 아도 그 중 하나 는 잡아낼 가능 성 이 있 다 . 비밀 번호 를 자주 바꾸 는 것 도 좋 지만 잊어버릴 우려 가 있 어서 은행 에서 고액 거래 등 에 쓰이 는 일회용 비밀 번호 생성기 ( OTP ) 를 사용 하 는 것 도 좋 은 방법 이 다 . 무엇 보다 ‘ 보안 은 공짜 ’ 라는 생각 을 버려야 한다 . 무료 백신 은 한계 가 있 을 수 밖에 없 다 . ” 
 ▒ 김승주 
 성균관 대 정보 통신 공학부 교수 , 교육부 유해 정보 차단 자문 위원 , 대검찰청 디지털 수사 자문 위원 
 “ 매일 80 조 회 넘 게 점검 … 신고 포상금 만 수백만 달러 입사 후 6 주간 집중 보안 교육 … ‘ 신속 한 대응 ’ 이 생명 ”