보안(保安)은 비밀 따위가 누설되지 않게 보호한다는 뜻입니다. 디지털(Digital) 보안은 특히 디지털 시대에 비밀 따위가 누설되지 않게 보호하는 것을 뜻합니다. 여기에는 사생활이나 개인정보를 비롯한 각종 정보나 자료, 개인이나 단체의 명의, 어떠한 행동을 하거나 하지 않았음에 대한 증명 등이 포함됩니다.
많은 경우 디지털 보안은 해킹과 연결되어 설명되곤 합니다. 디지털 보안에서 해킹은 악의를 가진, 권한이 없는 사람이 보안 대상인 정보를 취득하거나 위, 변조하는 일을 말합니다. 여기에는 단순히 컴퓨터나 스마트폰을 고장내는 일, 데이터를 지워버리는 일, 유출한 데이터를 빌미로 협박하는 일 등 다양한 단계가 파생됩니다. 물론 좁은 의미의 해킹과 구분하여 피싱 사기 사이트 운영, 파밍 사기 등을 논하기도 합니다. 또한 디지털 보안은 국가기관 혹은 각종 기업 등의 사찰, 검열에 대한 저항을 뜻하기도 합니다. 내가 혹은 우리 단체가 인터넷, 디지털 기기를 사용하여 언제 무엇을 했는지에 대해 감시받지 않을 자유를 누릴 수 있어야 합니다.
위협이란 무엇인지, 전에 없었던 디지털 보안 위협은 무엇이 있는지, 어떤 원칙들을 알아야 하는지, 그래도 일단 애매하다면 예를 들어 어떤 판단을 참고할 수 있는지를 하나씩 차근차근 살펴보겠습니다.
1. 사례: 화상회의 참가자 모두가 딥페이크
영국계 건축회사 에이럽(ARUP) 홍콩지사는 제2롯데월드타워를 설계하는 등 여러 가지로 한국과 인연이 있는 회사입니다. 2024년 2월, 에이럽 홍콩지사에서는 영화 속에서나 볼 수 있을 법한 디지털 보안 사고가 일어났습니다. 회사의 재무 책임자(CFO)에게서 돈을 송금하라는 연락을 받고, 이어서 참석한 화상 회의에서 돈을 송금하라는 동료 직원들의 말을 들은 회계 담당자가 340억의 돈을 사기당한 사건입니다. 알고 보니 화상회의에 참석한 직원들의 얼굴 모습과 목소리 모두 가짜였습니다. 딥페이크(Deepfake)라는 기술에 속아 당한 것입니다.
‘보이스피싱’, ‘전기통신금융사기’ 피해자가 속출하고 있는 2024년, 시민들의 휴대폰에는 카카오톡, 문자 등 온갖 방법으로 사칭 연락이 찾아옵니다. 가까운 가족이나 친구, 동료 활동가를 사칭하면서, 지금 휴대폰을 잃어버려서 전화를 할 수 없는데 급한 상황이니, 지금 즉시 이 계좌번호로 돈을 송금해 달라는 이야기를 하면 의심부터 해야 하는 시대입니다. 하지만 만일 이런 연락이 메시지가 아닌 전화로, 심지어 영상통화로, 무려 여러 사람이 동시에 참여하는 화상회의의 형태로 온다면 속지 않을 수 있을까요?
물론 방법은 있습니다. 영상통화나 화상회의에서 눈에 보이는 영상, 소리뿐만 아니라 그들의 계정 정보를 확인하고, 별도의 채널로 참석자들의 신원을 확인하는 것입니다. 다소 불편하고 자칫 요식행위가 될 수도 있지만 시대가 변화하고 코로나19 등의 이유로 비대면 업무가 보편화되면서, 특히 생성형 AI 기반의 위협이 다가오면서 그렇게 되었습니다.
물론 여전히 어떤 위협은 과대평가되어 있고, 어떤 위험은 과소평가되어 있습니다. 디지털 보안 가이드와 함께 그 적절한 균형을 찾아봅시다.
2. 디지털 보안을 위한 7가지 원칙
디지털 보안을 위해 반드시 알아야 하는 7가지 원칙을 소개합니다. 가이드의 나머지 내용을 읽을 때 항상 염두에 두어 주세요.
아는 만큼 지킬 수 있다
디지털 보안에서 가장 중요한 것은 ‘아는’ 것입니다. 다른 그 무엇보다도 자신이 처한 상황을 정확히 알고, 이에 대한 대책을 세우기 위해 무엇을 아는 것이 필요한지 알아야 합니다.
어떤 정보를, 누가 왜 노리고 있는지, 얼마나 심각하고 일어남직한 위기인지, 이를 지키기 위해 누구를 믿을 수 있는지, 얼만큼의 노력을 투입할 수 있는지 알고 있나요? 최근 주변에서 발생하고 있는 디지털 보안 침해사고는 어떤 것이 있는지 알고 있나요?
이러한 질문에 대한 답변을 통해 자신의 디지털 보안 요구사항을 더 잘 평가하고, 적절한 보안 계획 또는 위협 모델을 수립할 수 있습니다. 이 과정에서 여러분은 생각보다 더 많은 통제력을 가지고 있다는 것을 깨달을 수 있습니다.
전체 과정에서 가장 취약한 지점을 찾아라
현재 디지털 보안의 취약 수준은 전체 시스템 중 가장 취약한 부분에 의해 결정됩니다. “쇠사슬의 강도는 가장 약한 고리에 달려있다”라는 격언처럼, 보안 시스템의 안전성도 가장 취약한 요소에 의해 결정됩니다.
집의 보안을 예로 들면, 현관문에 최신형 도어록(잠금장치)을 설치했어도 창문이 열려 있다면 도둑이 집으로 침입할 수 있겠습니다. 어디가 가장 튼튼한지보다, 어디가 가장 연약한지가 중요하다는 말입니다. 최신 보안 메신저를 써서 복잡한 암호화를 적용한 채 정보를 주고받았어도, 정작 메시지를 사진으로 찍어서 암호화 없이 스마트폰에 저장해 둔다면? 이메일을 암호화하여 주고받았지만 정작 이메일을 마지막으로 열어본 노트북에는 암호화되지 않은 상태로 저장되어 있다면? 기기 도난 시 정보 유출의 위험이 있습니다. 또한 ‘나’의 디지털 보안이 아무리 철저해도 ‘나’와 정보를 주고받는 상대방의 디지털 보안이 취약하다면 상대방의 실수로 정보가 유출되는 것을 막을 수 없습니다.
결국, 디지털 보안은 전체 과정에서 가장 취약한 지점을 지속적으로 찾아 단계적으로 보완해 나가는 작업임을 명심해야 합니다.
단순할수록 안전하고 쉬워진다
디지털 보안을 위한 실천은 일상에서 혹은 통상적인 업무 과정 전반에서 언제나 실행할 수 있어야 합니다. 최신 소프트웨어 수십 가지와 복집한 규칙을 사용하는 것보다, 앞선 원칙에서 이야기한 ‘가장 취약한 요소’를 찾고 보완하는 것이 훨씬 중요합니다. 디지털 보안 절차가 너무 복잡해지면 ‘전체 과정’의 구조, 즉 시스템이 복잡해져서 가장 취약한 요소가 무엇인지 찾기 어려워질 수 있습니다. 또 복잡성 때문에 절차를 생략하는 잘못된 습관이 들 수도 있습니다. 따라서 디지털 보안 대책은 가급적 단순하고 쉽게 유지하세요.
더 비싸다고 더 안전한 것은 아니다
디지털 보안에 대한 가장 큰 오해 중 하나는 값비싼 보안 대책이 더 높은 보안을 제공한다는 것입니다. 실제로 FBI에서 이런 심리를 노리고 광범위한 사찰을 위해 값비싼 보안 스마트폰을 판매했던 사례가 있습니다. 단순히 값이 비싸다, 업계에서 유명하다는 이유로 더 높은 보안 수준을 제공한다고 생각하지 않도록 유의하세요. 오히려 “종이에 인쇄한 디지털 정보는 반드시 회의 직후 파쇄기에 넣는다”같은 보안 대책이 나을 수도 있습니다.
현 시점에 누구를 얼만큼 믿을지 판단하라
현재 디지털 보안 업계에서는 제로 트러스트(Zero Trust)원칙을 이야기합니다. 이 말은 일견 자기 자신 이외에 누구도 믿지 말라는 것처럼 오해되곤 합니다. 하지만 실제로는 제로 트러스트 원칙은 그런 뜻이 아닙니다.
예를 들어 우리의 일상 속에서 우리는 가족, 동료, 지인 중 전문가의 의견을 신뢰하지요. 법적인 문제가 생기면 변호사에게 중요한 비밀을 털어놓기도 합니다. 물론 변호사들이 그 비밀을 누설할 가능성이 없지 않지만, 그렇기 때문에 우리는 상황에 따라 얼만큼의 믿음을 얼마간의 시간동안 가질지를 항상 판단합니다.
클라우드 협업 툴을 예로 들면, 드롭박스나 구글드라이브에 올려둔 문서는 편리하게 접근할 수 있다는 장점이 있지만, 드롭박스나 구글에서 그 문서에 접근할 가능성이 있다고 판단할 수도 있습니다. 따라서 이들을 얼만큼 믿을지를 항상 판단해야 합니다. 오늘 믿을 만한 보안 대책도 다음 달에는 믿지 못할 이유가 생길 수 있습니다.
완벽한 보안은 없고, 언제나 타협점이 있음을 명심하라
한 차례 디지털 보안 대책을 수립했다고 해서 완벽한 철통 보안이 완성된다고 생각하면 안 됩니다. 또한 많은 경우 디지털 보안 대책은 일정 수준 이상의 불편함을 감수하는 타협을 필요로 합니다. 이러한 타협은 나 자신, 우리 조직에서 전반적으로 이뤄져야 합니다. 이론상 완벽해 보이는 보안 정책도, <단순할수록 안전하고 쉬워진다> 원칙에서 이야기했듯 지키지 않는 버릇이 들면 바로 문제가 됩니다.
또한 디지털로 연결된 상대방의 모든 행동을 통제할 수 없다는 것도 주의해야 합니다. 상대방에게 우리의 보안 대책을 따를 것을 강제할 수 없다면, 이로 인해 어떤 위험이 생길 수 있는지는 통제 불가능한 타협의 지점으로 인식하고 디지털 보안 대책 수립 시 참고해야 합니다.
오늘 안전했다고 내일도 안전한 것은 아니다
디지털 보안 대책을 수립하는 과정은 한 번 하고 끝나서는 안 됩니다. 시간이 흐르면서, 과거 안전했던 것으로 알려진 방식들에 숨어있던 보안 취약점이 뒤늦게 발견되곤 합니다. 오늘 한 차례 보안 대책을 수립했다는 것에서 멈추지 말고, 시간이 흐르면 계속 재평가하도록 합시다.
3. 디지털 보안 대책 마련하기
모든 종류의 위협을 차단할 수 있는 마법같은 디지털 보안 대책은 없습니다. 특정한 도구를 사용하는 것 자체가 중요한 것이 아니라, 어떤 위협이 실존하는 위협인지, 얼마나 심각한 위협인지, 어떻게 대응하여 피해를 최소화할 것인지가 중요하기 때문입니다. 개인마다, 조직마다 상황이 다르기 때문에 각 개인 혹은 단체가 직접 자신만의 혹은 우리만의 ‘디지털 보안 대책’을 마련해야 합니다. 디지털 보안 대책을 마련하기 위한 과정을 ‘위협 모델링’이라고 부르기도 합니다.
또한 디지털 보안 위협은 새로운 기술의 도입 혹은 발전에 따라 나날이 달라지기 때문에, 디지털 보안 대책은 한 번 마련하고 끝날 것이 아니라 정기적으로 점검하고 개선해 나가야 합니다. ‘지켜야 할 대상’ 자체가 변화할 수도 있고, 이를 노리는 상대도 달라질 수 있기 때문입니다. 디지털 보안 대책을 마련하기 위해 아래와 같은 6가지 질문을 던져봅시다.
- 디지털 보안으로 보호할 대상은?
- 보호할 대상을 노리는 상대는?
- 위협에 따른 예상 피해의 수준은?
- 실제로 위협이 일어날 가능성은?
- 감당 가능한 불편, 투입할 자원의 규모는?
- 현 시점의 ‘우리 편’과 의논할 사항은?
디지털 보안으로 보호할 대상은?
디지털 보안 대책 마련의 시작은 무엇을 지키고자 하는지를 구체화하는 데서 출발합니다. 디지털 보안의 관점에서는 디지털 기기를 사용하여 오고 가는 ‘정보’가 주된 보호 대상이 됩니다. 그 중에서도 어떤 정보를 보호하고자 하는지 구체화할수록 좋습니다. 이메일, 메신저 대화 내용, 주소록의 연락처, 사진, 스크린샷, 문서, 파일 등 다양한 형태의 정보가 있습니다.
정보의 내용 자체가 유출 등의 형태로 알려지지 않게 보호해야 하는지, 아니면 정보의 내용이 제3자에 의해 위조나 변조되지 않는 것이 중요한지도 살펴야 합니다. 단체의 공식 홈페이지에 올라오는 공지, 입장문 등을 단체의 외부인이 게시할 수 있어서는 안 됩니다. 조직의 업무용 PC에 있는 지난 수 년간의 업무 파일이 갑자기 훼손되어도 곤란합니다.
정보가 저장되어 있는 기기, 정보에 접근할 수 있는 권한이 있는 계정 등, 디지털 보안으로 보호해야 할 대상은 정보와 관련된 여러 가지 대상으로 확대될 수 있습니다.
지키고자 하는 정보가 무엇인지, 어디에 저장되어 있는지, 누가 접근할 수 있는지, 다른 사람들이 접근하지 못하게 하는 현재의 방법은 무엇인지 정리해 봅시다.
보호할 대상을 노리는 상대는?
지켜야 할 대상이 구체화되면, 어떤 상대가 이 대상을 노리는지, 어떤 상대로부터 이 대상을 지켜야 하는지 알아야 합니다. 간단히, 과장하여 말하면 ‘적’이 되겠습니다. 지켜야 할 정보, 디지털 보안을 위협하는 적이 누구인지는 천차만별로 다릅니다. 대체로 이 정보를 손에 넣으면, 혹은 이 정보를 파괴하면 이익을 얻는 존재를 찾으면 됩니다
직장의 상사, 경쟁자, 정부 기관, 해커 등 다양한 적이 정보를 노릴 수 있습니다. 너무 범위를 넓히지 않기 위해서는 대상과 상대의 연관성을 잘 분석하는 것이 중요합니다.
이미 알고 있는 상대, 혹은 여러 가지 이유로 보호할 대상을 노릴 만한 상대가 누구인지 정리해 봅시다. 특정 개인, 정부 기관, 특정 기업일 수 있겠습니다.
위협에 따른 예상 피해의 수준은?
지켜야 하는 정보를 지키지 못했을 때 얼마나 큰 피해가 발생하는지를 판단하는 것은 디지털 보안 대책을 마련할 때 매우 중요한 요소입니다. 보호할 대상을 노리는 상대가, 그 상대로부터 지키고자 했던 정보를 성공적으로 손에 넣으면 이로 인해 구체적으로 어떤 피해가 일어나는지를 알아야 합니다.
이를테면, ‘적’은 이 정보를 이용해 협박을 해올 수도 있습니다. 혹은 ‘적’은 삭제되면 안 되는 정보를 삭제할 수도 있습니다. 그런 일이 실제로 일어났을 때 얼마나 큰 곤경에 처하는지를 명확히 알아야 합니다. 어떤 위협은 사실 큰 피해를 초래하지 않을 수도 있지만, 어떤 위협은 나 자신 혹은 우리 단체에 치명적인 피해를 입힐 수도 있습니다.
지키고자 하는 정보에 성공적으로 접근한 ‘적’이 이를 이용하여 취할만한 행동들을 정리해 봅시다. 금전적인 이익을 얻으려 하여 이로 인한 피해가 발생할 것인지 등을 알 수 있습니다.
실제로 위협이 일어날 가능성은?
‘위험’(Risk)은 보호 대상에 대해 특정한 위협이 실제로 발생할 가능성을 말합니다. 보호할 대상을 노리는 상대의 능력과 의지에 큰 영향을 받습니다. 예를 들어 이동통신사를 생각해 봅시다. 극단적인 가정에서 이동통신사는 우리의 모든 데이터에 접근할 능력이 있지만, 이동통신사가 직접 인터넷에 나 혹은 우리 조직의 명예를 훼손하기 위해 사적 정보를 올릴 위험성은 어떨까요? 이는 ‘위협’과 ‘위험’을 구분하는 것이 매우 중요하다는 것을 시사합니다.
일어날 수 있는 일 그 자체를 일컫는 것이 ‘위협’이라면, 그런 일이 정말로 일어날 가능성을 따지는 것이 ‘위험’입니다. 위험은 개인마다, 조직마다, 시기와 주변 여건의 변화에 따라 크게 달라질 수 있다는 점에 유의해야 합니다.
어떤 위협은 무섭지만 실제로 일어날 가능성이 매우 희박하고, 또 어떤 위험은 엄청나게 자주 일어나지는 않지만 치명적일 수 있습니다. 디지털 보안 대책을 마련함에 있어 위험에 대한 판단은 매우 주관적이며, 따라서 각자 자신만의 위험 판단 기준을 갖고 있어야 합니다.
진지하게 대응 방법을 고민해야 하는 위협을 정리해 봅시다. 이 과정에서 일어날 가능성이 희박하여 무시해도 되는 위협, 혹은 별다른 피해가 예상되지 않는 위협을 나눠 봅시다.
감당 가능한 불편, 투입할 자원의 규모는?
클라우드 협업 툴, 생성형 AI를 비롯한 디지털 기술의 발전은 다양한 업무 편의와 효율성을 가져오고 있지만, 그만큼 새로운 형태의 디지털 보안 위협을 가져오고 있습니다. 높은 수준의 디지털 보안을 위해선 그 무엇보다 평상시의 번거로움을 얼만큼 감당할 것인지 그 선을 정해야 합니다. <디지털 보안을 위한 7가지 원칙>의 <단순할수록 안전하고 쉬워진다>에서 이야기한 것처럼, 이 정도는 단순하고 쉬운 보안 절차라고 감당할 수 있는 수준이 어느 정도인지를 정해야 하는 것입니다
모든 종류의 정보, 모든 종류의 통신에 동일한 수준의 보안이 필요한 것은 아닙니다. 정부기관을 상대로 디지털 보안 사건 소송을 진행 중인 변호사가 소송 관련 정보를 안전하게 관리하는 경우와, 같은 변호사가 귀여운 고양이 영상을 친구들과 함께 보려고 공유하는 경우는 완전히 다를 수 있습니다.
대응해야만 하는 위협에 대응하기 위해 취할 수 있는 선택지를 정리해 봅시다. 편의성과 불편함의 경계, 비용의 측면, 기술적 한계 등을 명료하게 나눠봅시다.
현 시점의 ‘우리 편’과 의논할 사항은?
<디지털 보안을 위한 7가지 원칙>의 <전체 과정에서 가장 취약한 지점을 찾아라>에서 이야기했듯, 대부분의 디지털 보안 대책은 나 한 사람만의 문제가 아닌 경우가 많습니다. 이메일이나 메신저를 통해 정보가 전달된다면, 이미 그 때부터 정보를 전달받은 상대방의 보안 수준은 우리의 보안 수준에 영향을 줍니다. 마찬가지로 상대방의 디지털 보안 대책이 매우 큰 규모의 자원을 사용하여도 나 혹은 우리 조직의 디지털 보안이 취약하면 ‘우리 편’에게 폐를 끼치게 됩니다.
누구를 얼만큼 믿을지, 왜 믿어야 하는지를 판단하는 것은 중요한 문제입니다. 클라우드 협업 툴이나 생성형 AI 서비스에서 나 혹은 우리 조직의 정보를 유출할 가능성이 있는지, 혹시 대놓고 이용 약관에서 정보를 유출할 수 있다고 하고 있지는 않은지, 혹은 그 말을 얼만큼 믿을 수 있는지 판단해야 합니다.
디지털 보안 대책을 함께 고민할 ‘우리 편’과 무엇을 의논해야 하는지, 그리고 얼만큼 믿을 수 있는지 정리해 봅시다.
디지털 보안 대책을 정기적으로 점검하기
디지털 보안 위협은 디지털 기기의 변화 및 기술 발전에 따라 나날이 달라지기 때문에, 디지털 보안 대책 또한 한 번 마련하고 끝나서는 안 됩니다. 적당한 시간(6개월, 1년 등)을 두고 기존에 수립한 디지털 보안 대책에서 수정, 보완, 혹은 새로 수립해야 하는 지점이 있는지 반드시 확인하세요.
4. 실전! 디지털 보안 대책 시나리오: 시민단체 상근활동가 ‘A’의 디지털 보안 대책
‘A’는 한 시민단체에서 상근 활동가로 일하고 있는 사회운동가로, 집회와 시위를 직접 기획하고 홍보하며 참여하는 일상을 보냅니다. 상근활동가 ‘A’는 <디지털 보안 대책 마련하기>의 6가지 질문을 읽으면서, 자신만의 디지털 보안 대책을 마련하기로 하였습니다.
6가지 질문과 함께 보안 대책의 초안 잡기
‘A’의 업무 시간 대부분은 컴퓨터와 스마트폰을 이용한 온라인 활동과 집회, 시위 참여로 이뤄집니다. 구글 독스(Google Docs) 및 구글 드라이브(Google Drive)를 사용하여 문서를 만들고, 공유하고, 보관합니다. 카카오톡을 사용하여 시민단체의 동료들과 소통합니다. 홍보 활동을 위해 단체의 인스타그램 등 SNS 계정을 운영합니다. 물론 사적인 개인 SNS 계정도 운영합니다. SNS에는 활동에 관한 내용 뿐만 아니라 사적인 이야기를 올립니다.
‘A’는 온라인상의 활동 전반을 보호하기 위한 디지털 보안 대책을 마련할 생각입니다.
‘A’의 활동은 정부나 특정 기업과 마찰을 빚곤 합니다. 특히 집회나 시위 계획, 캠페인 계획이 이들에게 전달되지 않았으면 합니다. 또한 ‘A’는 인터넷 커뮤니티에서 건설적인 토론이 아닌 인신공격성 협박을 받는 경우도 있습니다. ‘A’를 위협하는 이들에게서 정보를 지키고 싶습니다.
‘A’의 활동과 ‘A’가 참석하고 기획하는 집회 및 시위는 때때로 불법의 여지가 있습니다. 불법의 여지가 없다 하더라도 정부기관이나 기업에게 빌미를 줄 수 있습니다. 이러한 법적 공방은 그 자체로 A의 생활과 활동에 지장을 줄 것입니다.
‘A’가 활동하는 단체는 오로지 시민들의 후원으로만 운영됩니다. 그렇기에 디지털 보안에 추가적인 돈을 투자하는 것은 쉽지 않습니다. 하지만 약간의 불편함을 감수하거나, 기존의 앱과 프로그램을 바꿀 의향은 있습니다.
메신저 바꾸기: 카카오톡 → 텔레그램 → 시그널
‘A’는 2014년 카카오톡 압수수색 사건 이후, 메신저 서비스를 제공하는 회사가 정부의 감시에 협조함으로 인해 발생할 수 있는 위험에 대비하고자 텔레그램 메신저를 사용해 왔습니다. 카카오톡과 대비해 상대적으로 한국 정부의 압수수색 등에서 안전할 수 있다는 판단에서입니다.
디지털 보안 대책 수립을 위한 정보 조사에서, ‘A’는 텔레그램에서 ‘비밀채팅’ 을 사용하지 않는 경우 종단간 암호화를 지원하지 않고, 텔레그램 서버에도 메시지가 무기한 저장된다는 점을 알게 되었습니다. 이는 스마트폰을 바꿔도 기존 대화내용을 전부 열람할 수 있는 점에서 편리해 보였지만, ‘A’는 과거의 대화 내용이 대화를 나눈 상대방 외에 텔레그램 서버에도 남아있는 것이 걱정되었습니다.
시그널 사용에 추가적인 비용이 필요하지 않고 기능 상 텔레그램과 큰 차이가 없다는 점을 고려하여, 활동과 관련된 소통은 시그널 메신저로 진행하기로 했습니다.
계정 분리와 2단계 인증(2FA) 활성화
‘A’의 활동은 특정 클라우드 회사(구글)에 의존적인 부분이 많았습니다. ‘A’는 하나의 구글 계정으로 다양한 서비스를 사용합니다. 서점, 쇼핑몰, 스트리밍 서비스, SNS 등에 로그인할 때 구글 계정을 사용하여 편리했습니다. 활동에 사용하는 여러 클라우드 협업 툴도 하나의 계정을 사용했습니다.
하지만 이로 인해, ‘A’의 디지털 보안은 구글 계정 하나만 유출되어도 큰 문제가 됨을 확인하였습니다. 특정 클라우드 회사에게 정부가 관계 법령에 따라 ‘A’에 대한 자료를 요구하거나, 해커가 오직 ‘A’의 해당 클라우드 계정만 집요하게 노릴 수도 있습니다.
찬찬히 검토한 결과, ‘A’는 해당 클라우드 회사 자체를 적으로 돌릴 가능성이 낮고, 해당 클라우드 회사 또한 먼저 나서서 ‘A’ 몰래 ‘A’가 주고받은 이메일, 문서 내용 등을 열람할 가능성은 낮다고 판단했습니다. 대신 클라우드 계정 자체의 보안은 높여야 한다는 결론에 이르렀습니다.
여러 고민 끝에 ‘A’는 구글 계정 로그인에 2단계 인증을 설정했습니다. 설령 ‘A’의 구글 계정 비밀번호를 누군가 알아내도, 2단계 인증에서 막을 수 있게 되었습니다.
그리고 ‘A’는 일상용 계정과 업무용 계정을 분리하기로 하였습니다. 구글 계정을 하나 더 만들고, 업무용 협업툴에는 새로 만든 구글 계정만 사용하기로 하였습니다.
스마트폰 암호화 강화
종단간 암호화 메신저를 이용해도 그 기록이 스마트폰 내에 암호화되지 않은 채 남아있다면, 혹은 스마트폰 화면을 제3자가 볼 수 있다면 문제가 될 수 있음을 알게 되었습니다. 또한 ‘A’의 스마트폰에서 USIM을 빼내 복제폰을 만들어 ‘A’에게 오는 연락을 가로챌 수 있다는 것도 알게 되었습니다.
이에 ‘A’는 스마트폰의 USIM에 비밀번호를 설정했습니다. 설령 누군가 ‘A’의 스마트폰을 몰래 빼내도 USIM 비밀번호 때문에 복제 폰을 만들기 어려워 졌습니다.
‘A’는 스마트폰 잠금 화면에도 비밀번호를 설정하였습니다. 설령 압수수색을 당하거나 도난을 당해도 ‘A’가 직접 잠금 화면을 풀지 않는다면 공격자가 함부로 스마트폰 안의 데이터에 쉽게 접근할 수 없게 되었습니다.
비밀번호 관리 도구 도입과 비밀번호 변경
‘A’는 비밀번호를 어딘가에 적어두지 말고 머릿속으로 외워야 한다는 조언을 듣고, 자신이 외울 수 있는 비밀번호를 사용해 왔습니다. 하지만 디지털 보안 가이드를 읽으면서, 영어와 숫자로만 구성된 8자리 비밀번호는 보안에 매우 취약함을 알게 되었습니다.
외우기 쉬우면서 길이가 매우 긴 비밀번호를 쓰고 싶었지만, 한국의 웹사이트 중 상당수는 비밀번호의 길이 자체에 제한이 있었습니다. 이에 ‘A’는 다음과 같은 결정을 내렸습니다.
짧은 길이의 비밀번호만 지원하는 경우에 대해, ‘A’ 대신 비밀번호를 외워주는 비밀번호 관리 도구(Password Manager)를 사용하기로 했습니다. ‘A’는 윈도우와 안드로이드를 사용하므로 KeePassXC와 KeePassDX를 사용하기로 했습니다.
‘A’의 비밀번호 관리 도구를 통제하는 마스터 비밀번호는 ‘A’가 좋아하는 노래 가사를 사용하여 50글자 정도로 길게 만들었습니다. 개별 웹사이트에 대한 비밀번호는 KeePassXC가 만들어 준 것을 사용하기로 하였습니다.
집회/시위 참석시 생체 인증 비활성화
‘A’는 집회 및 시위에 참석할 때 실시간 상황 공유와 SNS 활동을 위해 스마트폰을 들고 다녀야 합니다. 하지만 연행 가능성, 분실 가능성, 압수 가능성 등의 위험에 충분히 대비해야 함을 알게 되었습니다.
이에 ‘A’는 집회 참석 전에 스마트폰의 보안 설정 중, 특히 ‘A’가 원하지 않더라도 보안이 풀릴 수 있는 상황을 항상 점검하기로 하였습니다. 평상시 지문 인식을 사용하여 스마트폰을 빠르게 잠금 해제하던 ‘A’는 집회 참석 중에는 이를 비활성화하기로 하였습니다.
사진, SNS에 위치정보 남기지 않기
‘A’는 스마트폰으로 사진을 촬영할 때 사진에 위치 정보가 저장되고, 카카오톡 등의 메신저에서 사진을 원본 파일로 공유하면 이러한 위치 정보가 그대로 파일에 남은 채 전달됨을 알게 되었습니다. ‘A’는 ‘A’의 집에서 찍은 사진에 담긴 위치정보로 인해 ‘A’가 원치 않는 개인정보(집의 위치)가 유출될 수 있음을 알게 되었습니다.
이에 ‘A’는 위치정보 및 기타 개인정보와 관련된 설정을 모두 공유하지 않기로 하였습니다. 구체적으로 개인적인 사진을 공유하기 전, 메타데이터가 남아있지 않도록 만들고 의도치 않게 실시간 위치를 알리지 않게끔 주의하기로 하였습니다.
링크와 첨부파일은 검증된 경우에만
‘A’는 메신저나 SNS에서 신원이 확실하게 보증되지 않은 이로부터 받는 링크, 첨부파일을 열지 않기로 했습니다.
5. 실전! 디지털 보안 대책 시나리오: 시민단체 상근활동가 ‘A’의 디지털 보안 대책 2
시간이 흘러 ‘A’는 정기적으로 해 오던 디지털 보안 대책 점검의 시간을 갖게 되었습니다. ‘A’의 상황이 많이 달라졌고, 달라진 상황에 맞추어 ‘A’의 디지털 보안 대책에도 변화가 생겼습니다.
노션 계정을 역할에 맞게 분리
‘A’가 새로 옮겨간 시민단체는 하나의 노션 계정을 여러 활동가가 공유하고 있었습니다. 노션 계정에 단체 내부용 회의록, 단체 외부에 공개할 공지 페이지를 편집할 권한이 모두에게 있었습니다. 이에 ‘A’가 합류하면서, ‘A’는 새로운 시민단체에서의 노션 계정 사용이 잠재적인 위험을 가짐을 느꼈습니다.
‘A’와의 논의 끝에, 새로 옮긴 시민단체는 노션 계정을 역할별로 분리하고 각 계정마다 적절한 권한을 부여하게 되었습니다.
시그널 메신저 보안 강화
‘A’는 최근 시그널 메신저를 통해 소통하던 활동가 두 사람의 채팅창에 “OOO 님과의 안전 번호가 변경되었습니다.”라는 메시지가 뜨는 것을 확인했습니다. 한 활동가는 실제로 휴대전화를 바꾼 상황이었고, 다른 활동가는 휴대전화를 분실하면서 새로운 스마트폰에는 시그널 메신저를 아직 설치하지 않은 상황이었습니다.
‘A’는 시그널 메신저의 ‘안전 번호 검증’ 기능을 사용하여 두 활동가를 개별적으로 만나 시그널 메신저의 대화 상대가 본인이 맞는지 확인하였고, 앞으로도 확인 작업을 항상 진행하기로 하였습니다.
새로운 휴대전화에 맞는 디지털 보안 도입
‘A’는 기존에 사용하던 휴대전화가 너무 오래되어 새로운 휴대전화를 사용하기로 하였습니다. A는 새로운 휴대전화를 고민하면서 디지털 보안과 관련된 옵션을 검토했습니다.
새로운 아이폰은 집회, 시위 참석 시 유용해 보이는 ‘차단 모드’(Lockdown Mode)를 지원하고, 새로운 삼성 안드로이드 스마트폰은 이와 비슷한 ‘최대 제한 기능’을 지원함을 알게 되었습니다. 차단 모드와 최대 제한 모드는 스미싱 공격 등이 집중될 때 휴대전화 보안 수준을 높이는 데 도움이 된다는 것을 알게 되었습니다.
‘A’는 새로운 아이폰에 도입된 ‘차단 모드’(Lockdown Mode)에 대해 충분히 검토하고, 스미싱 공격이 집중되고 있는 시기나 집회 시위 참석 시 차단 모드 사용을 추가하기로 하였습니다.
6. 실전! 디지털 보안 대책 시나리오: 시민단체 상근활동가 ‘B’의 선택
‘A’는 다른 시민사회단체 상근활동가 ‘B’를 만나 서로의 디지털 보안 대책을 비교해보는 시간을 갖게 되었습니다. 이 과정에서 ‘A’와 다른 가치판단을 하는 ‘B’의 사례들을 살펴보게 되었습니다.
블루투스 및 ‘내 기기 찾기’ 기능에 대한 입장 차이
‘B’는 블루투스 기기를 전혀 사용하지 않기 때문에 언제나 블루투스 기능을 비활성화해두고 있습니다. 블루투스 이어폰 등을 사용하는 ‘A’와 달리, ‘B’는 블루투스 기기를 전혀 사용하지 않습니다. 또한 ‘B’는 빅테크 기업이 ‘잃어버린 기기 찾기’, ‘내 기기 찾기’등의 명목으로 전원이 꺼져 있는 휴대전화 근처를 지나가는 다른 사람의 위치 정보를 수집하는 것에 대해 원론적인 문제의식을 갖고 있습니다.
‘A’는 기기를 잃어버린 경우 해당 기기를 찾을 수 있거나, 아니면 최소한 원격으로 해당 기기에 저장된 정보를 삭제할 수 있기를 바랍니다. 이런 관점에서 ‘A’는 빅테크 기업이 이용약관 등에 명시한 내용을 준수한다는 전제 하에, 기기를 잃어버렸을 때 이를 찾아주거나 혹은 원격으로 데이터를 삭제하는 기능을 활성화해두고 있습니다. 반면 ‘B’는 스마트폰 등 휴대하는 기기에 저장하는 정보를 최소화하고, 기기를 분실하여도 기기를 되찾을 필요성 자체를 최소화하는 삶의 양식을 따르고 있습니다.
블루투스 기기를 사용하는지, 그리고 블루투스 신호에 기반한 위치 정보의 수집에 대해 원론적으로 얼마나 강경한 입장을 취할 지에 대해 ‘A’와 ‘B’는 서로 다른 가치판단을 하고 있습니다.
생성형 AI를 비롯한 AI 기술 사용에 대한 입장 차이
‘B’는 빅테크 기업이 생성형 AI 등의 학습 및 훈련에 임의로 데이터를 사용할 가능성이 높다고 판단합니다. 설령 그들이 악의를 갖지 않더라도 그들의 실수로 인해 기밀성이 높은 데이터가 유출될 가능성이 조금이라도 있다면 안심할 수 없다고 보고, 생성형 AI를 비롯한 AI 기술을 사용하지 않습니다.
한편 ‘A’는 생성형 AI 서비스를 제공하는 업체들의 이용약관을 면밀히 살핍니다. 이용약관 자체에 거짓을 명시하지는 않았을 것으로 가정하고, 이용약관에서 밝히는 입장을 신뢰합니다. 빅테크 기업 ‘C’는 이용약관을 통해, 자사의 생성형 AI 서비스의 학습 및 훈련을 위해 ‘C’의 서비스를 사용하는 고객들의 데이터를 익명화하여 활용한다고 명시하고 있습니다. A는 빅테크 기업의 익명화 기술의 수준이 높지 않다고 보고, ‘C’의 생성형 AI 서비스를 통해 원치 않는 데이터가 유출될 가능성이 있다고 판단합니다. 빅테크 기업 ‘D’는 이용약관에서 ‘유료서비스’의 경우 사용자의 데이터를 학습이나 훈련에 사용하지 않는다고 명시합니다. A는 업무생산성 등에 대한 고민 끝에, 필요한 경우 제한적으로 빅테크 기업 ‘D’의 생성형 AI 유료서비스를 사용하는 것으로 입장을 정리합니다.
‘A’는 빅테크 기업들이 이용약관을 어기지 않게 하고, 이용약관 자체에서 드러내고 있는 기술적 한계를 잘 이해하는 데 초점을 두고 있고, 활동가 ‘B’는 빅테크 기업들에 어떠한 악용의 여지도 주지 않는 데 초점을 두고 있습니다.
클라우드 사용에 대한 입장 차이
‘B’는 생성형 AI 이외에도 대부분의 클라우드 협업 도구를 사용하지 않습니다. 디지털 기기를 사용함에 있어 어떠한 정보도 클라우드 업체에 전달되지 않기를 희망합니다. 마이크로소프트의 윈도우나 애플의 맥은 기기를 사용하려면 마이크로소프트나 애플의 클라우드 계정을 기본적으로 만들어야 합니다. ‘B’는 이러한 상황에 동의하지 않습니다.
이에 ‘B’가 사용하는 PC는 리눅스 OS만을 사용하고, ‘B’는 마이크로소프트나 애플 아이클라우드 계정 같은 것을 전혀 만들지 않고 있습니다. 또한 안드로이드 스마트폰에도 구글의 플레이 스토어를 사용하지 않습니다. ‘B’는 스마트폰에 앱을 설치할 때에도 구글의 플레이 스토어에 의존하지 않고 설치할 수 있기를 원합니다.
활동가 ‘B’는 이런 측면에서 애플의 스마트폰을 사용하지 않고, 좀더 빅테크 기업 등에 의존적이지 않은 방법으로 스마트 기기를 사용할 수 있기를 희망합니다.
보안 메신저에 대한 입장 차이
‘B’는 한동안 ‘종단간 암호화’를 보장하는 파일 공유 메신저로 Keybase 라는 메신저를 사용해 왔습니다. 2020년에 Keybase 가 Zoom에게 인수된 뒤로, ‘B’는 더 이상 Keybase를 사용하지 않습니다. 굳이 Keybase를 사용하지 않더라도 Matrix 같은 대안을 찾을 수 있다는 판단에서입니다. 활동가 ‘B’는 Zoom을 불신하고, 자신이 불신하는 회사가 소유한 Keybase 서비스를 사용하는 것보다는 협업하는 동료들의 IT 전문 지식 수준을 좀더 높여서 동료들이 직접 Matrix 서버를 운영하는 것이 바람직하다고 생각합니다.
특정한 회사의 과거 이력에 따른 신뢰, 불신의 이유를 각자 판단하고, 활동가마다 시민마다 판단의 차이가 있음을 이해해야 합니다.