Binary HACKs

Travel Guide - SASAN HAMID

Interval International 여행사의 CISO로서 마이애미에 거주하고 있다.

Interval International의 여행서비스 회사에 정보책임자로 있는 Hamidi는 적은 인원과 빠듯한 예산으로, IT와 비즈니스 파트너들을 협력하기 위해 보안을 강조하고 있다. “보안은 항상 우리가 협력한 것처럼 보인다. 그러나 실제로는 마치 우리는 복도를 따라 걷고, 사람들은 숨으려고 하는 듯 하다. 그렇지만 나의 직업은 사람들을 모으고 그들에게 결론적으로 보안이 중요하다는 것을 확신시키는 일이다.”

Hamidi의 IBM과 AT&T의 이전 동료이며 AT&T Government Solutions의 정보보안 기술자인 Robby Fussell는 “그는 항상 각 부서의 특정한 사람들의 다양한 기술들을 찾아내어 그런 기술 세트들에 영향을 주었다”고 말한다.

“그는 내가 직면했던 대부분의 중요한 문제들에 신속히 대응하는데 주도적인 역할을 했다.” 그 증거는 결과를 살펴보면 쉽게 알 수 있는데, Hamidi는 단지 2명의 보안담당 직원과 전체의 3%를 결코 넘지 않는 보안예산을 가진 정보책임자로 6년 동안 근무하면서 환상적인 보안센터를 구축했고 이중 인증을 실시했으며, 모든 모바일 장치의 보안과 SOX에서 부터 PC에 이르는 확실한 인증 규정을 만들었으며 많은 다른 프로젝트를 수행했다.

또한 Hamidi의 상관인 Interval의 CIO인 Marie Lee는 “그는 정말 비즈니스와 IT 및 다른 부서들과 함께 협조하고자 노력한다. 그리고 그들이 위험과 책임에 대해 확실히 인지할 수 있도록 노력한다”며 “그는 비즈니스 매니저와 이야기할 때마다 비즈니스에서 보안의 중요성에 대해서 충분히 설명하고 그들과 의견조율을 하기를 원한다”고 말한다.

“나의 어머니는 나에게 정치가가 되어야 한다고 말씀하셨다”고 Hamidi가 말했다. 그렇지만 그는 때론 정치가보다 훨씬 더 뛰어나다. 그의 보안정책, 과정, 기술에 대한 지식은 정말이지 깊음도 없고 광대하고 깊다.

그는 CISSP, CISA, CISM 등 자격증을 비롯하여 석사학위와 박사학위를 가지고 있고, IBM Global Network Security와 AT&T Global Network Security에서 네트워크 보안분석 및 프로젝트 매니저로서 일했으며, General Electric Power Systems에서 기반시설의 보안을 담당하는 관리자로서 근무했다. 그의 역할들은 모든 IBM 네트워크를 테스트하는 것에서부터 국제적 위험평가 팀을 이끄는 것에 이르기까지 폭 넓고 다양하다.

Fussell은 “그가 남들보다 효율적으로 일을 할 수 있는 이유는 단지 그가 광범위한 지식을 가지고 있어서가 아니라 다양한 분야에 대한 폭넓은 지식을 가지고 있기 때문이다”며 “그는 내가 아는 사람 중에 가장 많은 지식을 가지고 있다”고 말한다.

또한, Hamidi는 개인적인 인간관계를 매우 중요하게 생각한다. 몇 년 전 그는 한 회사의 정보보안 간부가 회사의 분기별 IT 회의에서 10분 동안 자신의 경력과 군대 시절, 아내와 아이들에 대해 말한다는 것을 듣고 감명받았다는 Hamidi는 이렇게 말한다. “나는 이메일과 전화받는 것을 줄이기 위해 노력했다. 그것이 더 인간적이고 친밀감을 갖게 만들기 때문이다.”

Hamidi의 지역사회로 보안을 확장하는데 대한 열의는 플로리다 오렌지 카운티의 중·고등학교 학생들에게 정보보안의 기본 컨셉트를 만드는 소개한 것에서 찾아볼 수 있다. “나는 내 조직을 위해서 포괄적인 정보보안 훈련과 인지 프로그램을 개발했다”고 말하는 Hamidi는 컴퓨터 앞에서 인터넷을 사용하며 많은 시간을 보내는 11살 딸을 가진 아버지로서 아이들을 위한 유사한 공간을 두는 것이 좋겠다고 생각했다고 한다.

그리고 그가 지금은 기업에서 중요한 위치를 차지하고 있지만, 더 단순한 생활을 하고 싶어지는 날이 올 것이다. 그것은 그가 주변의 많은 요구에도 불구하고 박사학위를 위한 시간을 투자한 이유이다. Hamidi는 “나는 바쁘고 복잡한 업계에서 벗어나 언젠가 내가 예전부터 하고 싶었던 학생을 가르치고 연구하는 일에 매진할 수 있을 것이라고 생각한다”고 말한다.

<글: Neil Roiter>

 Copyright ⓒ 2006 Information Security and TechTarget

 

[월간 정보보호21c 통권 제87호(info@boannews.com)]

             

             <저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

이올린에 북마크하기

보안자격을 수여하는 기관의 윤리정책은 윤리적인 목적이 아니라 기관의 자격을 보호하기 위해 사용된다

사베인-옥슬리(SOX : Sarbanes-Oxley) 법과 같은 규제는 모든 회사의 모든 직원에게 가장 효과적인 윤리선언에 서명하도록 한다. 그러나 보안자격증 시험을 주관하는 기관은 회원이나 구성원의 윤리적 행위를 증진하는 것 보다 자신의 자격증을 보호하는데 중점을 두는데 윤리적인 요구사항을 활용하는 것으로 보인다.

이들은 고용을 위한 자질보다 지식을 책임진다고 말하지만, 조사과정에서 잠재적인 윤리적 충돌을 알아내는 능력을 요구하는 ASIS에서 나온 전문인증조사관(PCI)를 제외하고는 전형적인 정보보안인증(CISSP, GIAC 혹은 ISACA) 중 어느 누구도 그들의 커리큘럼에 윤리적인 면을 지니지 않는다. 그들은 윤리를 기업의 구성원들이 일을 하기 위해 꼭 가져야 할 일상적인 지식이나 기술의 일부라고 인식하지 않는다.

보안자격 그룹은 보안관련 인력이 신뢰받을 만한 위치를 차지하고 있기 때문에 법조인이나 의사처럼 자격 인정을 받아야 한다고 말한다. 그러나 의사와 법조인들이 윤리의식에 대한 재교육 과정을 정기적으로 밟고 있는 것과 달리 보안자격 그룹은 보안윤리에 대한 재인증 교육을 요구하지 않는다. 심지어 매년 도덕률에 재서명하는 간단한 절차조차 요구하지 않는다. 윤리가 그토록 중요하다면 왜 보안전문가에게 윤리를 가르치지 않는지 생각해 볼 필요가 있다.

윤리가 중요한 문제가 되지 않는다는 것은 기업의 윤리정책이 견고하지 않다는 것을 의미한다. 모든 보안정책과 마찬가지로 윤리정책도 수준 높은 안내서의 기능을 지녀야 한다. ASIS와 ISACA는 훌륭한 윤리강령을 지니고 있으며, 이 사실을 자신의 웹사이트에 게시해 놓았다. (ISC)2는 말이 좀 많고 순서가 혼란스럽다. GIAC은 특별히 ‘자격에 대한 존중’을 강조한 나머지 직원과 기업 스스로에 대한 존중보다 높게 생각하고 있어 직업보다 자격을 더 보호하는데 활용한다.

자격증에 대한 또다른 문제는 윤리범죄를 다루는 과정이 투명하지 않은 점이 있다는 것이다. 4개 기관 모두 불평처리 과정을 알리고 있지만, ASIS만 항소를 포함한 전 과정을 모두 설명하고 있다. GIAC이 최소한 인증을 부여하는 팀과 윤리관련팀을 분리했다는 소문이 있지만, 공식적으로 발표된 것은 아니다.

이와 유사하게 이 그룹의 웹사이트는 얼마나 많은 직원이 혹은 몇 퍼센트가 훈련 과정을 거치는지를 공개하지 않는다. GIAC는 ‘표절이나 다른 윤리범죄에 대한 과정을 마치거나 재수강한 사람의 숫자’를 게시하지만, 이것이 공인회원과 어떻게 연관되는지는 불분명하다. 게다가 이 사이트는 그 인증이 실패하거나 폐지된 개인들을 구별해내지 못하고 있다.

전문인으로서의 존중과 윤리정책을 가지기 원하는 기업은 있지만, 실제로 윤리적 행위를 장려하기 위해서 하는 일은 없다. 전문인으로서 우리는 윤리에 대해 2가지 선택을 할 수 있다. 우리를 적절히 훈련시키든지, 아니면 우리의 지위에 대해 말하는 것을 멈추는 것이다.

<글: 데이비드 모트만(David Mortman)>

 데이비드 모트만은 정보보안연구 및 자문업체인 에켈론 원(Echelon One)의 전임 CSO이다.

Copyright ⓒ 2006 Information Security and TechTarget

[월간 정보보호21c 통권 제88호 길민권 기자(info@boannews.com)]

             

             <저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

이올린에 북마크하기

[Interview] 손원장 세이퍼존 정보보안기술연구소 기술이사

세이퍼존은 지난 2006년부터 지난해 발표된 국정원의 USB메모리 등 보조기억매체 보안관리지침과 유사한 솔루션을 개발, 판매하고 있었다. 이에 따라 이번 국정원 지침에 맞는 솔루션 개발을 위해 지난해 초부터 발빠르게 움직였으며 그동안의 경험과 기술력으로 이번 사업에 뛰어 들었다.

손원장 세이퍼존 정보보안기술연구소 기술이사는 “일부 공공기관에서 일반 USB 메모리 스틱만을 다량 구매해 놓고 관리 솔루션을 구축해달라는 요청이 있었다. 그러나 이는 보안 USB에 대해 잘 모르고 하는 말이다. 보안USB에 대해 정확히 말하면, 먼저 관리 솔루션이 구축되어야하고 이에 통제되는 보조기억장치 즉, USB 메모리 스틱이 필요한 것”이라고 설명했다. 즉, 보안 USB는 메모리 스틱만 구입하면 되는 것이 아니라, 먼저 중앙관리시스템을 구축해야 하고 그에 맞는 USB 메모리가 결합돼야 한다는 것.

이와 같이 국가정보원의 관리지침에도 불구하고 중앙행정기관 외의 다른 각급 산하기관 및 지자체 등에서는 보안USB가 무엇이지, 왜 도입해야하는지도 그 내용을 잘 모르고 있다는 것을 지적했다.

손 이사는 “아직 공공기관에서 이러한 보안USB 솔루션이 구축 완료되어 사용되는 사례는 없는 것으로 안다”며 “관련 업체에서 올 1월부터 적극적으로 많이 움직일 것으로 예상한다. 세이퍼존도 마찬가지로 1월부터는 더 많은 계약이 이루어 질것으로 전망하고 있다”고 말했다. 이미 세이퍼존은 기업용 보안USB 솔루션을 현대자동차와 계열사 등에 납품했으며 현대자동차 등에서는 내부정보유출방지를 위해 활용하고 있다.

손 이사는 최근 공공기관을 대상으로 보안USB 구축에 대한 제안을 하면 일반 USB도 사용하게 해달라는 요구를 많이 하고 있다고 밝혔다. 또한 그는 국정원 관리지침을 준수하는 것 외에도 로그관리 통계의 편리성, PC 설치 소프트웨어와 타 프로그램 충돌이 없을 것, 관리 소프트웨어의 강제 종료 및 삭제 불가능 등, 관리자가 편리하게 사용할 수 있도록 해달라는 요구를 많이 하고 있다고 밝혔다.

그는 또 “고객사가 보안USB 솔루션 선택시 고려할 점은 무엇보다 안정성이다”고 강조했다. 손 이사는 안정성을 기준으로 본다면 기존 PC보안업체가 기술력과 노하우를 충분히 갖고 있기 때문에 유리하다고 말했다. 그가 말하는 또 한 가지 중요하게 고려해야 할 것은 유지·보수다. 장애 발생시 발 빠른 대응과 조치는 필수 요건이다. 이러한 기능 외에도 다른 저장매체 CD, 블루투스 등의 통제를 위한 PC 보안 기능으로 확장성이 중요하다고 강조했다.

손 이사는 “보안USB는 차후 내부정보유출방지에 꼭 필요한 보안 솔루션으로 보안 분야에서 일익을 담당하게 될 것”이라며 향후 보안USB가 금융, 기업 시장 등으로 확대될 것으로 전망했다.

[월간 정보보호21c 통권 제89호(info@boannews.com)]

             <저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

이올린에 북마크하기