[인터뷰] 시만텍 CEO 존 W. 톰슨「보안은 반복해야 할 과정」

요즘 컴퓨터 보안은 저절로 팔린다. 그러나 그렇다고 해서 보안 소프트웨어 제조업체인 시만텍의 회장이자 CEO인 존 W. 톰슨이 보안 문제를 기업의 우선순위 목록에서 좀더 중요한 자리로 부각시키는데 들이는 노력을 게을리 하지는 않을 것이다.

IBM에서 28년 간 일해오다가 지금은 시만텍의 카리스마 강한 경영자로 일하고 있는 톰슨은 9월 11일 테러 사건이 있기 전부터도 늘 바빴다. IBM에 재직했을 당시 톰슨은 지칠줄 모르는 세일즈맨이라는 명성을 얻었다.

그의 능력이 탁월했기 때문에 루 거스너는 IBM의 OS가 MS 윈도우를 이길 수 없다는 것이 명백하던 당시에 아무도 떠맡고 싶지 않던 OS/2의 판촉을 그에게 맡겼었다. 톰슨이 그 조류를 바꿀 수는 없었지만, 한동안 사태를 매우 흥미롭게 이끌어간 적이 있었다.

1999년 4월 시만텍의 경영권을 맡게 된 이후, 톰슨은 이 회사가 데스크톱 PC 유틸리티 개발업체에서 보안 소프트웨어와 장비 시장의 중요한 경쟁업체로 전환하도록 하는데 큰 몫을 담당했다.

현재 시만텍은 월스트리트에서 만족할 만한 성과를 보이고 있다. 분석가들은 올해 시만텍이 매출 10억 달러에 이를 것으로 기대하고 있다. 한편, 기술 산업 역사상 가장 어려운 증시 침체 가운데 시만텍의 주가는 연중 최고치를 기록하고 있다.

그러나 이제 컴퓨터 보안은 국가적 차원의 과제로 부상했다. 톰슨은 이 기회를 최대한 이용하고 있다. 미국이 보안상의 갈림길에 섰다고 주장하는 그는 미국내의 핵심 시스템에 자물쇠를 채워야만 한다고 말한다. 거기서 더 나가 사람들에게 보안 이슈에 관해 교육시키기 위해 불조심 캠페인의 스모키 곰과 같은 종류의 국가적 캠페인을 만들자고 촉구하고 있다.

CNET 뉴스닷컴은 최근 캘리포니아 쿠퍼티노에 있는 톰슨의 사무실에서 시만텍이 보안을 단순화하기 위해 하고 있는 가장 최근의 사업 내용과 그의 인터넷 안전 캠페인 운동에 관해 얘기를 나눴다.

오늘날 보안 산업에서 가장 큰 이슈는 무엇이라고 생각하는가?
오늘날의 상황은 위협의 복잡성과 빈도가 더 커지고 있어 고객들은(그리고 솔직히 이 분야의 공급업체들과 판매업체들도) 정말이지 미칠 지경이라는 것이다. 그저 현상 유지만 하는 것도 대부분의 우리 고객들에게는 힘겨운 도전이 되고 있다.

위협의 진화가 현상 유지를 그다지도 어렵게 만들었는가?
잠시 동안 곱하기를 계속해보면, 이 세상의 어느 누구도 보안상의 허점이나 네트워크를 칠 가능성이 있는 위협의 빈도수에서 안전한 사람은 별로 없다는 것을 알게 된다. 그 숫자는 정말이지 엄청나다. 그리고 현 시점에서 고객들에게는 이같은 엄청난 양을 취급할 수 있는 계획도 없고, 이같은 양을 다룰 수 있는 계획을 세울만한 기술 조차도 없는 실정이다.

당신이 위협이 엄청나게 늘었다고 간주하는 것은 실제로 정말 엄청나게 늘어났다는 것을 의미하는가, 아니면 우리가 이미 알고 있는 여태까지의 위협의 여러 가지 크고 작은 변형을 말하는 것인가?
내 생각에 그 숫자는 문제의 복잡성에 비해 덜 중요하다. 최초의 바이러스들은 단순한 것들이었다. 데스크톱을 공격하거나 스크린을 깜빡이게 하는 정도였다. 지난 몇년 동안, 그 속도가 증가했을 뿐 아니라 멜리사와 그 후에 나온 러브 버그같은 것에서 시작해 그 복잡성은 더 심각해졌다.

빈번하게 일어나는 위협에 관한 정보의 필요성으로 인해 사업 방향은 어떤 영향을 받았나?
올해 우리가 크게 투자할 개발 분야는 우리가 대응(Response)이라고 부르는 것인데, 이것은 고객들에게 그때그때 위협에 대해 정보를 제공하고 우리 제품이 고객들이 우리에게 기대하고 있는 수준의 보호 장치를 제공할 수 있도록 하는 능력이다.

그래서 만약 우리가 예를 들어 올해 약 10% 정도로 개발 비용을 늘인다면, 그중의 상당 부분이 예를 들어 새로운 제품 개발 비용보다는 대응 인프라 투자에 들어가게 될 것이다.

당신이 '대응'에 관해 그런 식으로 말하는 것이 참 흥미롭다. 그것은 마치 전쟁에 비유하고 있는 것같다. "한없이 무료한 가운데 가끔씩 일어나는 공포의 순간들"이라고나 할까.
이같은 일들이 네트워크를 공격할 때, 보통 우리는 4∼6시간 내에 그것을 탐지해야할 뿐 아니라 그것을 해결해서 전세계 수억 대의 컴퓨터에 전달해야만 한다. 이것은 일종의 전투 전략이라고 수 있다.

당신은 아직도 고객들에게 보안 문제에 있어서 업데이트의 필요성을 더 이상 설명할 필요가 있다고 보고 있는가, 아니면 그런 문제는 지금은 다 이해된 사실인가?
그것에 대해서는 사람들이 점점 더 많이 이해하고 있다고 본다. 많은 회사에 있어 보안 환경 문제는 보통 그들이 기술을 보유하고 있는지의 여부가 아니다. 문제는 회사들이 바이러스에 대한 정의를 끊임없이 업데이트시키고 있는지, 또 회사의 서버나 시스템의 허점을 지속적으로 평가하는지, 또 주어진 운영체제나 애플리케이션에 최근 발행된 패치들을 반드시 적용하고 있는지 하는 것들이다.

그렇다면 당신이 말하는 것은 우리에게 보안 계통에 훈련받은 인력이 충분치 않다는 것인가?
전세계적으로 보안 전문가가 충분하지는 않다. 미국내에서 최근 3년 동안 컴퓨터 보안 분야에서 박사학위를 받은 사람은 25명 이하였다. 충분한 인력이 없는 것이다.

이 문제에 대해 기업들은 충분히 노력하고 있는지?
고객들은 새 애플리케이션에 대해 생각할 때 보안에 대한 생각도 함께 시작해야 할 것이다. 사업을 시작할 때 사업 계획의 일부로서 고려돼야만 한다. 내가 만약 공급 체인에 새로운 고리를 창출하려고 한다면, 그것이 안전한 고리일지 어떻게 확신할 수 있는가? 그리고 어떻게 내가 원하는 사람을 그 자리에 앉히고 내가 원하지 않는 사람을 그곳에 들어가지 않도록 했는지 확신할 수 있겠는가?

기업들과 경영자들은 9월 11일 이후로 보안에 관한 우려가 더 커졌는가?
우려라는 것이 적당한 용어인지 모르겠다. 인식 수준은 확실히 더 높아졌다. 그러나 우려한다고 해서 사람들이 보안 시장에 돈을 마구 써대는 것은 아니다. 중간 관리급 경영자들이 더 많은 질문을 하고 있다. 네트워크에 이름난 침해가 빈번해지면서, 도대체 뭐가 어떻게 된 일이냐는 질문을 하곤 한다.

심각한 바이러스 공격이 있을 때마다 사람들은 그 사용자들이 잘못한 것은 아니냐는 기사를 쓰는 것같다. 이 사람들을 교육시킬 수 있을까? 경영자들을 교육시킬 수 있을까?
나는 예전부터 안전한 컴퓨팅에 대한 전국적 계몽 캠페인의 주창자였다. 리차드 클락(대통령의 사이버 보안 관련 고문)과 컴퓨터 산업계의 몇몇 기업들이 함께 동참하게 돼 기쁘다.

그리고 현재는 사람들이 자신을 보호하기 위해 할 수 있는 간단한 작업들에 관해 교육시켜 주는 대대적 캠페인을 준비중이다. 오늘 우리가 처한 많은 문제들은 기술 때문이거나 기술 부족 때문에 아니다. 이것들은 인간적 실수에서 온다. 기술 문제가 늘 있지만, 일반의 의식 수준이 문제에 대해 대처할 만큼 올라가지 못했다는 것이다.

정부가 사람들이 컴퓨터 바이러스에 관한 정의를 업데이트시키도록 하는데 돈을 쓸 필요가 있는가? 그렇게 하면 시만텍같은 회사에는 도움이 되겠지만, 정말로 그렇게 하는 것이 문제에 대한 해답이 되겠는가?
나는 스모키 곰 캠페인을 기억할 정도의 나이가 든 사람이다. 과거에 미국에는 사람들이 담배를 많이 피웠고, 여름이면 사람들이 운전하며 가다가 담배 꽁초를 창밖으로 휙 던지곤 했다. 그렇게 되면, 다음 순간 엄청난 산불이 붙는 것이다. 그래서 스모키 곰의 불조심 캠페인은 "세상에, 저러면 안되죠. 조심하셔야 해요."라는 메시지로 국민들의 의식을 일깨워 줬다.

환경 문제가 생겼을 때, 과거에는 우리는 반응을 보여왔다. 현재 우리가 한 국가로서 던지게 되는 질문은 생산성과 네트워크 피해 문제를 이제는 우리가 반응을 보여야 될 만큼 큰 문제로 생각하는냐 아니냐라고 하겠다.

님다와 코드레드는 각각 30억 달러, 25억 달러를 낭비하게 했다. 지난 해의 경우 악의적인 공격으로 입은 피해액이 약 120억∼130억 달러 정도 소요됐다고 한다. 자, 그 정도면 이제 안전한 컴퓨팅을 위해서 우리가 사회적으로 안전 캠페인을 벌일 만한 때라고 할 수 있을까?

그러나 만약 어떤 사람이 보안에 관심이 없다면, 우리가 그 사람들을 강제로 관심을 갖게 해야만 하는가?
규칙을 만든다고 이 문제가 해결된다고 생각하지는 않는다. 바이러스가 네트워크에 침입해서 당신과 나의 개인 컴퓨터를 성가시게 한다고 해서 우리 국가의 국력을 좀먹는 것은 아니다. 그것은 성가신 일일 뿐이며, 국가 경제에 영향을 주지는 않는다. 이제 가장 영향이 크게 미치는 기업 세계에 도사리고 있는 문제를 해결해야 한다. 여기야말로 정말 국가의 경제력인 핵심적인 자산이 투자된 곳이다.

사람들은 당신이 말한 피해액수에 대해 의문을 던지고 있다. 위협은 정말 심각한가?
당신이 130억 달러가 아니라며 그것을 반으로 줄인다고 해도, 65억 달러다. 그것은 여전히 엄청난 액수다. 피해 가능성이 2000년에 비해 2001년에는 2배로 늘었다는 것은 다 아는 사실이다. 이 문제를 해결하자.

대부분 기업들은 보안 부서가 있더라도 인력 부족의 어려움을 겪고 있다. 당신을 그것을 문제로 보는가? 혹시 우리가 보안에 더 많은 돈을 쓰기보다는 보안이 더 관리하기 쉽게 돼야 하는 것은 아닌가?
자, 우리는 같은 생각을 갖고 있다. 그것은 고객들이 열렬히 원하는 바이기도 하다. 만약 내가 한 기관내에 100대의 PC를 보유하고 있다면, PC 보안을 전담할 수 있는 인력을 2∼3명 정도 쓰지 않으면 안된다. 그러니 복잡성과 해결하는데 드는 비용을 최소화하고 완화할 수 있으면서 가장 안전한 해결책을 달라는 것이다.

그렇다면 당신은 서버용 소프트웨어가 나올 것이며, 보안 제품들이 사용하기 쉬운 기기들로 만들어질 것이라고 생각하는가?
시장조사기관들은 그런 기구가 나오게 되면 이 문제를 간단히 해결할 수 있게 될 것이기 때문에 이 기구들은 보안 환경에서 점점 더 중요한 역할을 하게 될 것이라고 제안할 것이다.

여러 기업들이 보안 관리 분야로 진출하고 있다. 시만텍은 서비스 사업은 하지 않겠다고 말해왔다. 당신은 파트너들이 이같은 보안 서비스를 하도록 할 예정인가?

우리가 말한 뜻은 서비스 통합은 우리 분야가 아니라고 한 것이다. 우리가 원하는 것은 우리 파트너들이 우리 회사의 제품을 중심으로 그같은 통합 서비스를 구축했으면 하는 것이다.

다수의 고객들 혹은 고객중의 어느 정도는 소프트웨어 제품을 사고 싶어하지 않는 지점에 달했다. 그들은 안전한 환경을 사고 싶은 것이다. 그리고 그 말은 고객들이 시만텍을 향해서 "우리가 모르고 있는 것이 무엇인지 모르겠다. 그리고 우리에게 필요하지 않은 것이 무엇인지, 그리고 필요한 것은 무엇인지도 모르겠다. 당신들이 와서 우리 환경을 분석하고 필요한 제품을 골라주고 전체를 다 관리해 주시오"라는 것이다. 이런 경우가 좀더 많아지길 바란다.

그렇게 되면 시만텍은 보험업에 뛰어드는 것과 같지 않은가? 즉, 회사들은 시만텍에서 다 잘 해주겠다는 보장을 약속하기를 바라게 되지는 않겠는가? 그들은 누군가가 책임을 져 주기를 원하거나 혹은 적어도 서비스 차원의 계약을 원하게 될텐데.
책임에 대해서는 모르겠지만, 서비스 차원의 계약이라는 말은 확실하다. 우리가 태만하지만 않는다면, 이 회사에서 네트워크 침해 문제로 책임질 일은 결코 없을 것이다.

기업들은 보장을 원하지 않겠는가? 다른 회사들은 보험 회사들과 제휴 관계를 맺어 왔다. 당신도 그럴 것인지?
그렇게 생각하지 않는다. 어떤 보험 회사가 우리와 함께 일하기를 원한다면, 우리는 그 문제를 같이 토론할 마음은 있다. 그러나 그것은 문제가 발생하고 난 뒤의 일이다. 우리는 네트워크 침해가 일어나고 나서 어떻게 피해에 대해 보상을 받느냐하는 것보다는, 이같은 일이 노출되는 것을 막아줄 진짜 문제를 놓고 일하는 것이 더 좋다. 우리는 피해 보상같은 일과는 관계가 없다.

보안 신생업체들이 지금 현재 아주 잘되는 것처럼 보인다. 대부분의 업체들이 벤처 캐피털리스트들로부터 투자받는 데 있어 문제가 없다. 당신은 경쟁에 대해 우려하고 있지는 않는가? 아니면 보안 시장에 현재 약간은 2차 거품 현상이 일고 있다고 생각하는가?

현재 매달 약 200개 정도의 사업 계획은 보고 있는 것같다. 경제가 어려울 때면, 사람들은 같이 사업할 수 있는 신뢰도있는 브랜드와 재정적으로 탄탄한 회사를 찾게 된다. 많은 신생업체들이 테이블에 내놓는 것은 비공개리에 기술 혁신을 할 수 있다는 것이다.

그리고 시만텍은 어떤 기술 혁신을 하고 나서 그것의 덩치를 키우고자 하는 회사들을 위해 좋은 인큐베이터 역할을 해온 길고 긴 역사를 가지고 있다. 그래서 나는 회사들과 경쟁하는 것을 환영한다. 특히 그 회사들이 새로운 기술 혁신을 하게 되면, 그들은 시장에 나갈 준비를 하는 동안 그 규모를 키워줄 수 있는 합리적인 파트너로 시만텍을 보게 될 것이다.

당신에게는 네트워크 어쏘시에츠나 체크 포인트, 그리고 시스코 등 많은 경쟁업체들이 있다. 이제는 MS가 보안 사업에 눈길을 주고 있는 것 같은데, 걱정되지는 않는가?
아니다. 보안 업계에는 다시 관심을 보이기 시작하거나 아니면 새롭게 관심을 보이는 자본이 튼튼한 회사들이 많이 있다. 현재로서는(이제 빛이 보이고 있으므로), 보안 위협이나 노출 문제를 해결하는 데에 재정 및 인적 자원을 더 많이 투자하려는 회사들이 많다. 이것은 IT 산업계의 성격일 뿐이다.

올해 우리 회사는 규모면에서 10억 달러를 넘어설 것이다. 그리고 이것은 현재 보안 회사 가운데, 비교적 큰 규모다. 우리는 작은 회사, 큰 회사 모두와 경쟁할 것이다. 나는 53년 간 싸움에서 도망친 적이 없다.

OK. 우리는 보안에 있어서 두 가지 길로 가고 있는 것 같다. 하나는 확실히 안전하다고 생각되는 포인트에 이를 때까지 기능을 축소하는 식으로 기기에 자물쇠를 채우는 것이다. 다른 방법은 컴퓨터나 네트워크 주변에 여러 겹의 보안 장치를 함으로써 보안 문제를 관리하는 것이다. 당신은 그중 한 가지가 결국 채택될 것이라고 생각하는가?

그렇다. 현재 우리가 아는 것 한 가지는 보안은 과정이라는 것이다. 이것은 단일 제품과는 다르다. 이것은 한 대의 기기나 네트워크에 적절하게 가장 최선의 방법을 적용시키는 과정이다. 전 네트워크에 최고의 해답을 처방할 수는 없다.

당신은 들어가서 문제의 네트워크에 걸려있는 자산을 분석하고, 그 자산의 손실에 관련될 리스크와 그리고 그 손실이 가져올 결과를 분석해야 한다. 그리고 나서야 여러 대안들 중에 가장 합리적인 것을 처방해야 할 것이다.

그러나 거기에다가 "나는 지난 달에 그것을 보았다. 지난 번에 생각했던 것이 여전히 진실한지 확인하기 위해 그것을 다시 볼 필요가 있다"와 같은 계속적인 노력이 필요하다. 그리고 대개의 보안 과정이 여기에서 문제가 발생하는 것이다. 우리는 반복해야 된다는 사실을 잊는다.