한가지 중요한 질문

 

Steven J. Ross, CISA, CISSP, MBCP

ISACA Journal Volume 1, 2011

이 글이 쓰여졌던 2010년10월 경에는, 일부 국가들과 블랙베리® 라는 개인사무기기(PDA)의 제조사인 ‘리서치인모션’ 및 구글, 페이스북 그리고 스카이프 같은 정보 전달 회사들 사이에 암호 메시지 전달과 관련한 논쟁 기사가 수없이 쏟아져 나오고 있었다.1 이러한 신문기사들은 급속히 확산되고 있으며, 그리고 현재 나의 지식은 이 글이 출판될 즈음에는 시대에 분명 뒤떨어져 있을 것이다. 더구나 협회 저널은 지정학적 이슈에 대해서는 어떠한 입장도 취하지 않으며, 그리고 지금 나도 그러한 입장을 취할 의도는 전혀 없다. 그러나, 내 생각에 다음 이슈는 정보 보안의 중요 이슈로 부각된다: 회사는 자신들의 정보를 보호할 권리를 가지는가? 달리 바라보면, 국가 (혹은 지방정부)의 안전이 위험하다고 느낄 경우, 각국 정부는 회사로 하여금 정보를 공개하도록 강제할 권리를 가지는가?

철학 및 윤리

이것은 여러 나라에서 법으로 정한 데이터 프라이버시 같은 개인의 권리에 관한 질문이 아니다. 그것은 정보를 보호하기 위하여 정부 기관의 니즈(needs)에 적용하는 것도 아니다; 그것은 정부는 정부가 이미 보유하고 있는 데이터를 볼 권리를 가지는가 하는 질문에 대한 자가-참조가 된다. 하나의 그룹으로서 회사들은 엄청난 양의 정보를 보유하고 있다. 어떤 정부-반드시 그 회사가 본사를 두고 있는 혹은 데이터를 보관하고 있는 소재지의 국가일 필요는 없다- 회사의 정보를 보자고 요청하면, 회사가 정보를 넘겨주는 것 이외의 의지할만한 것에는 어떤 것들이 있겠는가?

회사의 정보 가운데 일부는 자신들의 고객, 납품업체 그리고 직원들과 관련된 것이어서, 회사는 그 정보의 비의도적 사용을 예방할 무조건적인 책임을 갖는다. 나머지 정보는 기업 자체의 일상 업무를 다루는 것이다; 회사의 주주는 지적 재산이 안전하게 보관될 것이라는 합리적인 기대를 갖고 있다. 동시에, 기업은 세계의 일부이고 국가 및 법률 집단 속에서 존재한다. 회사 내에는 회사가 사업을 영위하고 있는 국가의 정부에게 답변해야만 하는 임직원들이 있다. 그래서, 정부에서 기업 자체 혹은 다른 개체에 관한 회사 정보에 대해서 접근을 요구할 때, 무엇이 회사의 도덕적 책무인가?

이것은 정보 보안과 관련된 질문 보다 훨씬 철학적 질문이다. 고대 철학자들 역시 같은 것을 고민했었지만 아리스토텔레스 시대에는 회사는 전혀 없었다.2 수천 년이 지난 후, 실용주의자들은3 최다 대중을 위하여 가장 많이 좋은 것(good)이 (소수의) 개개인만을 위한 최선(best)에 우선해야 한다고 깨달았지만, 아리스토텔레스, 제레미 벤트 햄 그리고 존 스튜어트 밀은 결코 우리가 보는 오늘날의 회사를 보지 못했다. 정부와 기업의 역할에 관해 쓰여진 대부분의 것은 서로 함께 일하는 경우에 (발생하는) 문제(역자 추가: 예를 들면, 정경유착에 따른 문제)를 다루는 것이지4, 정보 보호에 관한 서로 간의 논쟁을 다루는 것은 아니었다.

요즈음 회사들, 특히 글로벌 기업들은 20 세기 및 근래에 생겨난 것이기에 이를 안내하기 위한 경제, 철학 또는 윤리적인 문헌이 많지 않다. 본 컬럼을 포함해 그리 많지 않은 조언도 작가 개개인의 사견에 불과한 것이다. 정보 접근에 대한 강요를 알리는데 있어서 오늘날 일부 기업들이 직면한 딜레마는 대부분의 정보 보안 전문가들의 일상적 활동을 벗어난다. 그러한 딜레마가 발생할 경우, 해결해야만 하는 사람은 보통 고위 경영자 혹은 고문 변호사이다. 그러나, 마찬가지로 그러한 딜레마는 실무적인 측면도 내포하고 있다: 정보는 얼마나 단단하게 보호되어야 하는가? 시스템 및 데이터베이스에 대한 접근이 누구도 그 통제 수단을 통과할 수 없도록 엄격히 통제되어야 하는가, 또는 정부-나아가 범죄자-에 의해 이용될 수 있는 침입수단(trapdoor)을 두고 설계되어야 하는가?

선량한 사람과 나쁜 사람

이것은 결코 학문적인 토론이 아니다. 그것은 통신, 금융 서비스 산업 그리고 국가의 핵심 인프라를 형성하는 기타 산업에 영향을 주는 문제이다. 암호화가 더욱 강력하고 그리고 널리 보급되어 있기 때문에, 정부는 테러리스트 및 다른 범죄자들이 범죄를 저지르기 위한 안전 수단으로 암호화를 이용할 것인지에 점점 관심을 가지게 되었다. 미국 정부는 모든 서비스용 통신에 기술적으로 암호화된 메시지를 가로채서 해독할 수 있는 것을 포함해 도청 지시를 받으면 이행하도록 강제하는 것을 모색하고 있다. 5 최근에 독일과 영국 정부는 암호화된 파일 및 통신에 대해 접근할 수 있도록 키 에스크로우(key escrow: 암호화 키 임치제도) 제도를 강하게 요구하고 있다. 6, 7 많은 보안 실무자에게는 역설적으로 들리겠지만, 정보 보호가 (선량한 사람을 위해서는) 더욱 효과적인 것과 마찬가지로, (나쁜 사람들을 저지하기 위해서) 보안수단을 우회하도록 하는 정부의 요구가 더 거세질 것으로 보인다.

실제로 많은 다국적 기업들은 해당 정부가 나쁜 사람들 사이에서 표적으로 여기는 나라에서 사업을 영위하고 있다. 슬프게도, 지구상의 많은 곳에는 억압하는 제도들이 있다. 그러한 나라들에게 회사 정보에 대한 접근이 허용되고 있다면, 그런 나라들은 자기들의 국경 안에서뿐만 아니라 사업하고 있는 모든 곳에서 그 정보를 회사에 반하여 이용할 수 있다. 그 정부는 자국 경쟁업자의 이익을 위해서나 더 나쁜 경우는 자국 시민들을 해치는데 기업 정보를 이용할 수 있을 것이다. 그러한 상황에서 사회윤리적인 태도는 무엇인가? 사실적으로 이야기하면, 회사 고위임원, 그 가운데 특히 최고 정보담당 임원은 무슨 일을 할 것인가?

전략적 의사결정

나에게는 정보 보안에 대한 근본적 중요성을 지닌 것으로 여겨지는 이러한 질문들은 본질적으로 매우 전략적인 것이다. 회사가 사업을 영위하는 모든 사법 관할 지역에서는 그런 질문은 위험으로 간주될 필요가 있다. 간단히 말해서, 회사의 이사회와 고위 경영진은 보호된 정보에 대해서 정부 요구를 들어줄 수준과 거부할 범위를 결정해야만 한다. 그리고, 따르지 않을 것을 선택한다면, 벌금이나 해당 국가에서의 영업 중지의 위험까지도 대비해야만 한다.

기업의 정보보안담당 임원은 이러한 검토사항에 대한 전략적 의사결정이 연루된 보안 시스템에 대해 가능한한 보다 많은 실질적 이해를 하고 난 후에만 이루어지도록 하기 위하여 공헌하여야 한다. 정보보안담당 임원이 경영진에게 정보를 가능한 엄격하게 보호하되 합법적인 국가의 요구가 있을 때에는 정보 접근에 대한 보다 낮은 장벽을 준비하도록 조언하라는 것이 나의 권고이다. 내가 이 글을 쓰면서도 이것이 부적절한 답변이라고 느끼지만, 아마 그것이 유일한 답이 아닐까 한다. 회사는 그렇지 말아야 할 경우를 제외하고는 높은 보안을 유지해야 할 것이다.

그렇다면 누가 우회 침입 경로를 여는 것과 같은 보안 장벽을 낮추는 시기를 결정할 것인가? 나는 이것이 그 해결방안의 중요한 요소라고 생각한다. 이런 특수한 경우에 보안 축소는 변호사 혹은 최고 재무담당 임원 같은 극소수의 고위 임원에 의해서만 실행되어야 한다. 그것은 위임을 받은 보다 낮은 직책에 의해서, 심지어는 정보보안담당 임원에 의해서 조차 실행되어서는 아니 된다. 보안에 관한 예외적인 메커니즘은 회사 내에 가장 높은 사람들 손에 있을 경우라야 아래에서 남용되지 않고 관련 이슈들에 대한 중요하고 필요한 시험한 후 사용될 것 같다.

Endnotes
1 Savage, Charlie; “U.S. Tries to Make It Easier to Wiretap the Internet,” New York Times, 27 September 2010
2 See my earlier ISACA Journal article, “There Ought Be a Law,” volt. 6, 2006, in which I quote Aristotle’s Encroachment Ethics. He concludes that the interests of the state outweigh those of the individual.
3 Bent ham, Jeremy; An Introduction to the Principles of Morals and Legislation, 1780
4 For example, see Emblem, Thor stein; The Theory of the Leisure Class:  An Economic Study of Institutions, 1899.
5 Op cit, Savage
6 Van Burden, Jelled; “Dutch Government Puts Trusted Third Parties Under Pressure,” 8 May 2001, www.heise.de/tap/r4/Ariel/7/7571/1.html
7 Park ins, Keith; “UK Proposals for a Key Escrow Encryption System,” July 1996, http://home.clara.net/eureka/sunrise/ukescrow.asc

Steven J. Ross, CISA, CISSP, MBCP
is executive principal of Risk Masters Inc. He can be reached at st ross@riskmastersinc.com

________________________________________
ISACA Journal, formerly Information Systems Control Journal, is published by ISACA, a nonprofit organization created for the public in 1969. Membership in the association, a voluntary organization serving IT governance professionals, entitles one to receive an annual subscript-xion to the ISACA Journal.
Opinions expressed in the ISACA Journal represent the views of the authors and advertisers. They may differ from policies and official statements of ISACA and/or the IT Governance Institute and their committees, and from opinions endorsed by authors, employers or the editors of this Journal. ISACA Journal does not attest to the originality of authors’ content.
Instructors are permitted to photocopy isolated articles for noncommercial classroom use without fee. For other copying, reprint or republication, permission must be obtained in writing from the association. Where necessary, permission is granted by the copyright owners for those registered with the Copyright Clearance Center (CCC), 27 Congress St., Salem, Mass. 01970, to photocopy articles owned by ISACA, for a flat fee of US $2.50 per article plus 25¢ per page. Send payment to the CCC stating the ISSN (1526-7407), date, volume, and first and last page number of each article. Copying for other than personal use or internal reference, or of articles or columns not owned by the association without express permission of the association or the copyright owner is expressly prohibited.
Subscript-xion Rates:

US: one year (6 issues) $75.00
All international orders: one year (6 issues) $90.00
Remittance must be made in US funds.