[사이언스칼럼] 더하기 사고로 바꾸는 사이버보안 패러다임

진승헌 ETRI 인공지능데이터보안연구실 책임연구원

진승헌 ETRI 인공지능데이터보안연구실 책임연구원

우리가 사는 지금은 기회와 위기가 공존하는 초연결 시대이다. 스마트폰 하나로 언제 어디서나 일을 처리하는 원격·모바일 업무가 일상이 되면서 접속 지점이 기하급수적으로 늘었고, 그에 따라 연결의 취약점을 노린 사이버공격도 급증했다. 인증 과정의 작은 실수 하나가 금전적 손실은 물론 평판까지 깎아내리며, 소셜미디어는 사소한 잘못을 실시간으로 증폭시키고 있다. 이런 불안한 상황에서 방어적 사고가 우선되는 것은 자연스럽다. 회의에서는 '틀린 점 빨리 찾기'가 우선되어 신중한 탐색보다 날카로운 한 줄 반박이 더 큰 주목을 받는다. 비판적 사고가 불필요하다는 뜻은 아니다. 문제는 타이밍이다. 씨앗이 막 싹을 틔우는 순간 가위를 들이대면 자라보지도 못하고 잘려나가듯, 아이디어가 막 태어난 단계에서부터 칼을 들이대면 혁신의 가능성은 사라진다. "태양 아래 새로운 것은 없다"는 말처럼, 처음부터 완벽한 해법은 드물다. 초기 스마트폰은 기능이 제한적이었고 앱스토어도 없었지만, "무엇을 더 보태면 잘 쓰일까"를 반복하며 지금의 혁신에 이르렀다. 출발선에서 완벽함을 요구하는 태도는 스스로 개선의 가능성을 차단한다. 지금 필요한 것은 '더하기 사고(plus thinking)'다. 새로운 아이디어를 접할 때 "왜 안 되는가?"보다 "무엇을 더 보태면 실현 가능해질까?"를 먼저 묻는 접근방법이다. 비판을 없애자는 게 아니라, 비판에 앞서 보강을 먼저 시도하자는 것이다. 이 순서를 지키면 사이버보안의 '편의 또는 보안'이라는 이분법에서 벗어나, 둘을 동시에 높이는 길이 열릴 수 있다. 물론 '빼기 사고'도 여전히 필요하다. 불필요한 권한을 줄이고 과도한 개인정보 수집을 멈추는 결정이 바닥을 단단히 만든다. 다만 연결이 촘촘하고 변화가 빠른 환경에서는 빼기만으로 한계가 드러난다. 그래서 더하기는 그 기초 위에 상황에 적응하는 방법과 운영 규칙을 더해서 예측하기 어려운 상황 변화에서도 서비스가 멈추지 않고, 사용자 불편과 위험을 함께 낮추도록 만드는 일이다. 위험 요소를 제거하는 데 그치지 말고, 장면별 상황 정보와 안전장치, 가용성 확보 방안을 전략적으로 추가해야 한다는 것이다.

이러한 관점은 사용자 인증, 즉 로그인을 예로 들어 설명할 수 있다. 과거에는 새로운 로그인 흐름이 제안되면 "이용이 불편하다", "안전하지 않다"라는 말로 토론이 끝나곤 했다. 이제는 질문을 바꾸자. 초기엔 어떤 사용자와 기능에 한정하면 불편이 감내 가능한지, 어떤 정보를 더하면 위험을 실질적으로 낮출 수 있는지부터 묻는 것이다. 예컨대 내부 직원이 낮 시간대에 사내 네트워크에서 등록된 기기를 사용할 때는 원터치 승인으로 인증 흐름을 가볍게 하고, 그 밖의 상황에서는 일회용 코드, 짧은 세션 등을 추가로 요구한다. 이후 로그인 성공률·실패율·이탈률 등을 함께 보며 조정하면, 결과는 '편의 또는 보안'이 아니라 '편의 그리고 보안'에 가까워질 수 있다. 평균적 불편을 키우지 않으면서 실제 위험 구간의 보안을 두껍게 만들자는 것이다.

현실 적용을 위해 다음과 같이 PLUS 전략을 제안한다. 먼저 무엇을 지키고 언제 위험해지는지, 위협 시나리오와 허용할 수 있는 마찰 수준 등을 살피고(Probe), 기기·위치·시간대·행동 패턴 같은 정보 등을 인증 절차에 잇고(Link), 필요할 때만 추가 인증·로그인 알림·짧은 세션 등을 보강하고 필요시에는 재인증을 요구한 뒤(Upgrade), 마지막으로 첫 시도 성공률은 올리고 불필요한 추가 인증은 낮추는 조합을 시험데이터를 통해 선택한다(Select).

결국 처음부터 완벽한 해법은 없다. 빼기로 기초를 다지고, 더하기로 적응하는 보호층을 추가해 현실의 제약 속에서도 작동하는 해결책을 만들어야 한다. 익숙한 상황에서는 빠르게, 낯선 상황에서는 한 겹 더 꼼꼼하게 대응하는 지능적 설계가 필요하다. "무엇을 하나 더 보태면 편의와 보안을 함께 높일 수 있을까?"라는 한 줄의 질문이 회의의 분위기와 조직의 협업 문화를 바꾸고, 초연결의 불확실성을 건너는 실용적 생존 전략이 될 것이다. 진승헌 ETRI 인공지능데이터보안연구실 책임연구원