저자 : 브루스 슈나이어
\"세계 최고의 보안 전문가\"([와이어드]) \"보안 구루\"([이코노미스트])로 불리는 저명한 보안 기술자이자, 암호학 분야의 명저 [응용 암호학(Applied Cryptography)]을 비롯하여 열세 권의 책을 낸 베스트셀러 작가다. 보안에 관해 수십 년간 꾸준히 의견을 발표해왔으며 솔직하고 명쾌한 평가와 해설로 인기가 높다. 그가 발행하는 뉴스레터인 '크립토그램'과 그의 블로그 '슈나이어 온 시큐리티'의 구독자는 전 세계에 걸쳐 25만 명이 넘는다. 에드워드 스노든의 NSA 내부고발 당시 [가디언]을 위해 스노든이 유출한 최고기밀문서를 분석하는 데 도움을 주기도 했다. 하 버드 대학교 로스쿨 산하 버크만 인터넷사회연구소 연구원이자 뉴아메리카재단 오픈테크놀로지연구소 연구원, 전자프런티어재단 이사, 전자개인정보센터 자문위원으로 활동하고 있다. 현재 보안 기업 리질리언트 시스템의 최고기술경영자로 재직 중이다.

★ 옮긴이의 말 ★

“모두를 죽이려면 여기를 클릭하세요.(Click Here to Kill Everybody)”
책 제목으로 이만큼 강렬한 낚시성 제목도 드물 듯싶다. 저자인 브루스 슈나이어도 이를 인정했다. 하지만 그런 센세이셔널한 제목에도 불구하고, 그것이 경고하는 내용의 핵심은 여전히 유효하다. 머지않아 제목과 같은 상황이 발생할 위험성도 충분히 존재한다는 것이다. 우리의 컴퓨터와 인터넷 환경은 클릭 한 번으로 수많은 인명을 -‘모두’는 아니더라도- 살상할 수 있는 세계로 나가고 있다.
그런 흐름의 중심에 ‘모든 것의 컴퓨터화’가 자리 잡고 있으며, 더 구체적으로는 ‘인터넷에 연결된 컴퓨터화’이다. 우리 삶의 질과 편의성을 더 높이기 위해 이런 흐름에 이른 것이지만 그 이면의 부작용도 만만찮다. 모든 것이 인터넷에 연결돼 원격 조종이 가능한 만큼 악의적인 해커나 정부의 스파이가 이를 악용할 위험성도 그에 비례해 증폭된다. 브루스 슈나이어가 주목하는 것은 바로 이런 이면이다. 인터넷에서 클릭 한 번이면 수많은 인명이 살상될 수 있는 위험이다. 이 위험은 온갖 기기의 컴퓨터화 속도를 미처 따라잡지 못하는 보안의 취약성 때문에 더욱 높아진다. 설상가상으로 기업이나 정부는 무엇이든 컴퓨터화하고 인터넷에 연결하려 계획하는 초기 단계에서 ‘보안’이라는 중대 변수를 경시하거나 아예 무시해버리기 일쑤다. 때로는 의도적으로 보안에 허점을 만들기까지 한다.
슈나이어는 우리의 인터넷과 컴퓨터가 이제는 자동차업계나 항공업계, 제약업계처럼 인명 살상의 잠재적 위험성을 갖게 됐다고 지적한다. 이처럼 새롭게 발전되고 확장된 소위 ‘인터넷 플러스(Internet+)’ 환경은 더 이상 방임 상태로 내버려 둘 수 없다고 강조한다. 3D 프린터를 통해 간단히 권총을 제조하고, 자율 주행 차를 해킹해 사고를 유발하고, 생체 프린터로 치명적인 바이러스를 유포하는 등 책 제목과 직결되는 몇 가지 사례는 그런 주장의 적실성을 잘 보여준다.
슈나이어는 ‘모든 것의 컴퓨터화’는 보안 패러다임에도 결정적인 변화를 몰고 올 것으로 전망한다. (1) 먼저 소프트웨어나 시스템의 취약점이 발견되면 온라인으로 패칭(patching)하던 방식은 사물인터넷 환경에서 제대로 통하지 않을 것이다. 패치 과정이 해킹 채널로 악용되는 상황을 막기도 더 어려워질 것이다. (2) 내가 다른 서비스나 객체를 인증하는 방식도 근본적으로 바뀔 것이다. IoT는 ‘나(사람)’의 개입 없이 기계와 기계, 장비와 장비끼리, 이를테면 자동차와 도로 신호등이 서로를 인증하는 상황이다. 이 과정에 어떤 위험이 도사리고 있는지 제때 파악해 해결하기는 더욱더 어려울 수밖에 없다. (3) 최초 디자인부터 제조, 조립, 운송, 판매, 유통의 출처가 모두 다른 상황, 더욱이 부품 하나하나까지 그 출처가 각기 다른 나라인 상황에서 ‘공급망’ 관리는 더욱 어려워질 것이다. 러시아의 보안회사 카스퍼스키(Kaspersky), 중국의 화웨이(Huawei)와 ZTE를 과연 어느 정도까지 믿을 수 있을까?
이렇게 보면 ‘인터넷 플러스’의 신세계는 결코 장밋빛만은 아니다. 혜택이 큰 만큼 부작용도 커 보인다. 부작용을 최소화할 수 있는 해법은 무엇일까? 슈나이어는 표준, 규제, 국제 협약, 국가 단위의 법률 같은 ‘정책’으로 풀 수밖에 없다고 주장한다. 그리고 그런 정책 수립의 기반으로 ‘방어 우선’ 원칙을 강조한다. 지금의 사이버 전쟁과 사이버 스파이 활동은 의심할 바 없이 공격 우선이다. 방어보다 공격이 훨씬 더 쉬운 사이버 스페이스의 특성도 한몫한다. 그 때문에 시스템이나 소프트웨어의 보안 취약점이 발견되면 정부기관이나 해커들은 이를 공개해 패치를 유도하기보다 발견 사실을 숨기고 공격 무기로 활용한다. 이런 흐름은 공격의 악순환으로 이어진다.
슈나이어는 ‘모두를 죽이려면 여기를 클릭하세요’의 시나리오가 더 이상 허황하게 보이지 않는 요즘 상황에서 정부의 관여 여부는 이미 논란거리가 아니라고 강조한다. 인명 살상의 위험이 있는 것은 정부가 규제할 수밖에 없고, 인터넷 플러스는 바야흐로 이 범주에 들어가고 있기 때문이다. 이제 정부의 규제는 불가피해 보이고 중요한 것은 규제 대책을 얼마나 영리하게, 혹은 어리석게 내놓느냐에 달려 있다고 저자는 말한다.
브루스 슈나이어는 IT 보안 분야에서 최고의 ‘공공 지식인’이라고 할 만하다. 복잡하고 자칫 지루할 수 있는 컴퓨터 보안 문제를 평이하면서도 흥미진진하게 풀어내는 솜씨가 대가 급이다. 이 책 또한 예외가 아니다. ‘스마트’ 기기, ‘머신 러닝’, AI, IoT 같은 신조어가 봇물 터지듯 나오는 요즘 상황에서 대체 뭐가 어떻게 된다는 것인지 갈피를 잡기가 쉽지 않다. 이 책은 독자로 하여금 제대로 방향을 잡을 수 있게 해줄 뿐 아니라, 낙관적이고 멋지게만 보이는 일방적 미래상 대신 현실에 발을 딛고 그런 장밋빛 미래를 만들기 위해 각자가 어떻게 일익을 담당할 수 있는지 친절하게 일러준다.

★ 옮긴이 소개 ★

김상현
개인정보보호와 프라이버시 전문가로, 캐나다 온타리오 주정부와 알버타 주정부 등 여러 부처에서 정보공개 담당관, 개인정보 보호 책임자, 프라이버시 관리자 등으로 일했다. 2013년부터 브리티시콜럼비아주의 공공 의료서비스 기관 중 하나인 퍼스트네이션 보건국(First Nations Health Authority, FNHA)의 정보공개 담당관 겸 프라이버시 관리자로 일했고, 최근 캐네디언 웨스턴 뱅크(CWB)의 최고프라이버시책임자(CPO)로 이직했다. 개인정보보호와 프라이버시 분야의 자격증인 CIPP/C(캐나다), CIPT(IT 분야), CIPM(관리), FIP(정보 프라이버시 펠로) 등을 취득했고, 현재 요크대학교 오스굿홀 로스쿨 대학원에서 프라이버시와 사이버 보안을 공부하고 있다.
2001년 캐나다로 이주하기 전까지 10여 년 동안 「시사저널」, 「주간동아」, 「동아닷컴」, 「한경닷컴」 등에서 기자로 일했다. 저서로 『인터넷의 거품을 걷어라』(미래M&B, 2000), 『디지털 프라이버시』(커뮤니케이션북스, 2018), 『유럽연합의 개인정보보호법 GDPR』(커뮤니케이션북스, 2018)이 있고, 번역서로 『디지털 휴머니즘』(에이콘, 2011), 『통제하거나 통제되거나』(민음사, 2011), 『불편한 인터넷』(에이콘, 2012), 『똑똑한 정보 밥상 Information Diet』(에이콘, 2012), 『디지털 파괴』(문예출판사, 2014), 『보안의 미학 Beautiful Security』(에이콘, 2015), 『공개 사과의 기술』(문예출판사, 2016), 『에브리데이 크립토그래피』(에이콘, 2018) 등이 있다.