기업의 정보보안 전략에 있어서 시스템, 정책도 중요하지만 이 보다 앞서 선행되어야 하는 것이 정보보안의 개인 의식 변화다. 즉, 각 기업에 설치되는 하드웨어, 소프트웨어들도 중요하지만 개인의 의식 변화가 따라주지 않는다면 이런 것들을 무의미하게 만들지도 모른다.

이러한 것에 동조를 할 수 있는 것이 바로 “Human Vulnerability” 이다. 아무리 좋은 시스템과 전략, 정책이 있다 하더라도 개인의 정보보안 의식의 부족으로 인한 문제는 항상 발생할 수 있다.

예를 들어, 방화벽에 의해 보호 받고 있는 내부시스템의 클라이언트 PC 중 하나가 보안패치가 되어 있지 않아 내부 전체에 웜을 감염시키는 상황이나, 사용자가 다운 받은 파일을 무심코 실행시켜 보는 행동과 같이 한 사람에 의해서도 보안체계를 무력화 될 수 있는 상황이 발생할 수 있는 것이다. 물론 이것은 극단적인 상황의 예로, 분명 보안 체계가 잘 갇추어져 있는 곳은 피해를 최소화 할 수가 있다.

“Human Vulnerability”로 인하여 발생 가능한 예로, 웜 바이러스를 들어보도록 하겠다. 웜은 소수의 사람들에 의해 순식간에 다수의 사람들에게 병이 옮겨지는 것과 같은 전염병의 특성을 가지고 있다. 이러한 전염병을 연구한 의학 전문가들이 만들어 낸 용어 중에 티핑포인트(Tipping Point)라는 것이 있다. 전염병이 이 티핑포인트 시점에 도달하면 그 직후부터 폭발적인 확산을 하게 된다는 것으로 마치 시소의 한 지점과 같이 생각할 수 있다.

Malcolm Gladwell 이 집필한 "The Tipping Point" 에서는 티핑포인트 앞쪽으로 압력이 가해지는 경우 그 영향은 한정적이게 되지만, 티핑포인트를 넘어서서 B 점과 같이 압력이 주어지는 경우에는 결과가 매우 극명하게 차이 난다는 것이다.

웜 바이러스 또한 마찬가지로 이 티핑포인트 개념을 적용할 수 있는데, 일정한 수의 사람들이 감염이 되면 그 순간부터 감염 매개체에 따라 달라지지만 급속히 확산될 수 있으며, 이런 감염이 점진적인 형태가 아니라 급속하게 이뤄진다는 것이다.

이렇게 누군가에 의해 감염된 웜은 전체에 큰 피해를 가져다 줄 수 있게 되며, SQL Slammer웜과 RPC 의 취약점을 이용한 Blaster웜이 일부 초기 감염 이후에 급격하게 확산되었던 것을 하나의 예로 들 수 있다.

재난포커스 - 이정직 기자(jjlee@di-focus.com)

출처:DRJ뉴스