TCP/IP의 보안적 한계와 기존 보안 솔루션(방화벽, 침입탐지시스템, 안티바이러스)의 맹점을 해결하기 위한 방법으로 ‘네트워크 분리 기술(Gap)’을 적극 설파하고 있는 전덕조 한매기술 보안사업 부문장 겸 이사는 ‘보안 인력 부족’이야말로 국내 기업, 나아가서는 .kr이 신뢰성을 잃어가는 가장 결정적인 이유라고 말한다.
자원봉사 활동 통해 ‘보안 인재’ 양성
이미 본지를 통해 수 차례 네트워크 분리 기술의 필요성을 강조한 그이지만, 현재로서는 보안 솔루션을 하나 더 구축하는 것보다 제대로 된 인력을 갖추는 것이 급선무라는 것이다. 이를 위해 보안 전문가들이 할 수 있는 일은 ‘양질의 정보를 보다 많은 사람들과 공유하는 것이 시발점’이라고 그는 설명한다.
그는 “약 10만명의 시스템 관리자, 보안 전문가, 네트워크 관리자로 구성된 연구, 교육 조직인 SANS(SysAdmin, Audit, Network, Security)가 자발적으로 멘터(mentor; 자원봉사자)를 육성하는 정책을 지원하는 것은 상당히 본받을만한 점이다”라고 강조했다.
사실 그 역시 포스데이타 재직 시절부터 SANS의 멘터 활동을 해왔었다. 현재로서는 업무에 대한 부담으로 휴지기를 갖고 있지만, 그의 제자만 해도 이미 20여명에 달한다. 그래서일까? 그는 현재 맡고 있는 업무가 안정화되면 다시 멘터 활동을 재기할 생각이다. SANS에서 네트워크 보안 분야 패컬티로 활동중인 스테판 노쓰컷을 통해 ‘훌륭한 정신을 가진 사람이 아름답다’는 진리를 새삼 깨우쳤기 때문이다.
공짜 방법론 ‘OSSTMM’을 활용하라
최근 전덕조 이사가 국내 기업들에게 적극 설파하고 있는 OSSTMM(Open Source Security Testing Methodology Manual) 역시 그의 멘터 정신에서 비롯된 셈이다. OSSTMM은 각 기업이 구축한 보안시스템의 보안성을 시험할 때 무엇을 어떻게 지켜봐야 하는지, 어디가 잘못되고 약점은 무엇인지, 공개 소스를 이용해 보안성을 시험하는 방법론이다.
현재 유럽 금융기관, 미국 정부기관, 미군, 미국 컨설팅 회사인 KPMG, 영국의 유니팜에서 사용중인 이 방법론은 지금까지 보안 업체가 제공하지 못했던 보안성 테스트의 일관성 있는 프레임워크와 정략적인 데이터를 보여주자는 취지이기 때문에, 무료로 공개돼 있다. 전 이사는 국내 세미나에서 이미 이 방법론을 소개한 바 있으며, 실질적으로 현재 국내 OSSTMM의 한국 대표인 셈이다.
그는 “국내 보안은 아직 의식 수준이나 지식의 결핍에서 비롯되는 경향이 있다. 정부에서 정보보호문화운동을 벌이는 것도 이러한 배경에서다. 방화벽이나 IDS 설치만으로 보안시스템 구축을 완료했다고 믿는 기업들이 있는데, 이들이 자사의 보안시스템을 재정비할 수 있도록 돕는 것, 그것이 OSSTMM이 바라는 부분이다”라고 말했다.
네트워크 분리 기술 국내 적용 앞장
이처럼 봉사활동에 적지 않은 시간을 투자하고 있지만 그는 사업에도 열심이다. 스피어헤드의 네트워크 분리 솔루션인 ‘넷갭(Net Gap)’은 그가 국내 시장 적용을 위해 적극 육성하는 종목이라고 할 수 있다. 그는 최근 스피어헤드에서 이 제품을 침입방지시스템(IPS)과 통합하는 작업이 한창이라고 귀뜸한다. 전체 보안 시장이 ‘하드웨어’와 ‘능동 보안’으로 이동함에 따라 이에 보조를 맞춘다는 것이다. 그는 이 제품을 국내 시장에 성공적으로 안착시킴으로써 안정적인 사업 기반을 마련하는 한편, 국내 기업들이 인프라만큼이나 안정적인 보안 시스템을 구축할 수 있도록 멘터 활동도 지속할 예정이다. 
