보안 인증

기업이 새 도구를 들일 때 원래 하던 일은 파는 쪽에 직접 묻는 것이었습니다. 담당자가 질문지를 보내 데이터를 어느 나라 서버에 두는지, 누가 그 데이터를 열어 볼 수 있는지, 사고가 나면 몇 시간 안에 알려 주는지를 확인했습니다. 파는 쪽은 그때마다 답을 새로 썼습니다. 묻는 내용은 비슷한데 회사마다 양식이 달라서, 지난주에 한 곳에 낸 답변을 이번 주에 다른 곳의 표로 옮겨 적는 일이 계속됐습니다.

사는 쪽도 답변서를 받고 나면 더 할 수 있는 일이 없었습니다. 접근 권한을 정기적으로 점검한다는 한 줄을 읽어도 정기가 몇 달인지, 마지막으로 점검한 날이 언제인지, 점검해서 무엇을 찾아냈는지는 알 수 없습니다. 되물으면 또 한 줄짜리 문장이 돌아옵니다. 쓰는 도구가 스무 개인 회사가 스무 곳을 이런 식으로 확인할 방법은 없습니다.

질문지가 한꺼번에 늘어난 데는 이유가 있습니다. 회사들이 쓰던 프로그램을 자기 서버에 설치해 두던 시절에는 데이터가 회사 담장 안에 남았습니다. 같은 일을 남의 서버에서 돌아가는 서비스로 옮기면서 고객 명단과 계약서가 처음 보는 회사의 데이터베이스에 얹히게 됐고, 그때부터 도입을 결정하는 자리에 보안팀이 들어오기 시작했습니다. 파는 쪽에서 보면 설득해야 할 사람이 한 명 늘어난 셈입니다.

페이지덱이 걸린 자리도 여기였습니다. 수아가 처음 받아 온 기업 고객의 보안 점검표는 항목이 백 개가 넘었습니다. 태오가 기술 항목의 절반을 채우고 규원이 계약 쪽을 채웠지만, 나머지는 회사 안에 답을 아는 사람이 없어 비워 둔 채로 돌려보냈습니다. 고객사 보안팀이 빈칸마다 추가 질문을 달아 다시 보냈고, 그 왕복이 세 번 오가는 동안 석 달이 지났습니다. 계약은 기능이나 가격이 아니라 이 표 하나 때문에 밀렸습니다.

보안 인증은 이 왕복을 한 번으로 줄이려고 만든 제도입니다. 무엇을 확인할지 기준표로 미리 정해 두고, 그 표에 따라 회사 밖의 심사원이 한 번 점검한 뒤 결과를 증명서로 냅니다. 손님이 주방에 들어가 볼 수 없으니 위생 등급을 문에 붙여 두는 것과 같은 구조입니다. 사는 쪽은 증명서 한 장으로 스무 곳의 주방을 대신 들여다보고, 파는 쪽은 스무 개의 양식 대신 한 번의 심사를 받습니다. 제도가 없애 준 것은 의심 자체가 아니라 확인에 드는 시간입니다. 증명서를 어디까지 믿을지는 여전히 사는 쪽이 정하지만, 백 개의 항목을 처음부터 되묻는 대신 보고서를 읽고 남은 몇 개만 묻게 됩니다.

이 이름 아래 묶인 용어는 세 갈래입니다. 무엇을 지키기로 했는지 적어 둔 것이 구성이고, 적어 둔 대로 하고 있는지 확인하는 일이 절차이고, 확인이 끝나 밖에 내보이는 결과가 인증입니다. 순서는 반대로 보이기 쉽습니다. 인증이 목적이고 나머지는 준비처럼 보이지만, 실제로 시간을 잡아먹는 쪽은 앞의 둘입니다.

구성은 심사의 재료가 되는 갈래입니다. 둘입니다.

1. 통제 항목 — 위험 하나를 줄이려고 정해 둔 개별 관리 조치입니다. 퇴사자 계정을 마지막 근무일에 잠근다, 운영 데이터베이스 접근은 두 사람의 승인을 받는다처럼 한 문장으로 적히고 지켰는지 아닌지로 갈립니다. 기준표는 이런 항목 수십 개에서 백여 개를 묶어 둔 목록이고, 회사는 항목마다 우리는 이렇게 한다를 적어 냅니다.
2. 증적 — 그 항목을 실제로 지켰다는 것을 보여 주는 기록입니다. 계정을 잠갔다는 말이 아니라 잠근 날짜와 처리한 사람이 남아 있는 화면, 승인을 받았다는 말이 아니라 승인 요청과 승인이 찍힌 이력이 증적입니다. 심사원이 보는 것은 정책 문서가 아니라 이쪽입니다. 준비가 늦어지는 회사는 대개 규칙이 없어서가 아니라 규칙대로 한 흔적이 남지 않아서 늦어집니다. 인정되는 형태도 정해져 있습니다. 사람이 손으로 옮겨 적은 표보다 시스템이 자동으로 남긴 기록이 강하고, 언제 뽑아도 같은 값이 나오는 기록이 그때그때 찍어 둔 화면 그림보다 강합니다.

절차는 확인하는 방식을 다루는 갈래입니다. 둘입니다.

1. 감사 — 정해 둔 대로 운영되는지 확인하는 절차입니다. 회사가 스스로 돌려 보는 내부 감사와 자격을 가진 외부 심사원이 하는 외부 심사로 나뉩니다. 순서는 대개 안쪽이 먼저입니다. 미리 한 번 돌려 보면 증적이 비어 있는 항목이 드러나고, 같은 항목이 외부 심사에서 나오면 고쳐도 결과 보고서에 지적으로 남기 때문입니다.
2. 협력사 보안 점검 — 우리가 쓰는 외부 도구와 업체를 우리가 점검하는 일입니다. 고객이 우리에게 던진 질문을 우리가 다시 아래로 넘기는 구조입니다. 고객 데이터가 우리 서버에서 끝나지 않고 알림 발송 업체나 고객 문의 도구로도 흘러가기 때문에, 우리 인증은 그 업체들까지 묶어서 봅니다. 새 도구를 붙일 때 계약서와 함께 그 회사의 증명서를 받아 두지 않으면, 심사 두 달 전에 스무 곳에 메일을 돌리게 됩니다.

절차에서 가장 먼저 정하는 것은 범위입니다. 회사가 가진 모든 시스템을 한꺼번에 심사받지 않고, 어느 서비스와 어느 시스템까지를 볼지 먼저 그은 다음 그 안에서 항목을 확인합니다. 좁게 잡으면 준비가 빨리 끝나는 대신 고객이 물어본 바로 그 기능이 증명서 밖에 남을 수 있고, 넓게 잡으면 사내 실험용 서버까지 같은 기준으로 관리하게 됩니다. 선을 어디에 긋는지는 기술 결정이 아니라 어느 고객에게 무엇을 보여 줄지의 결정입니다.

인증은 결과로 받는 증명서의 갈래입니다. 셋이 있고 기준은 어느 지역에서 누구를 상대로 쓰이느냐입니다.

1. ISMS-P — 국내 제도입니다. 정보보호 체계와 개인정보 보호 체계를 함께 봅니다. 매출이나 이용자 수가 일정 기준을 넘으면 법이 받으라고 요구하는 경우가 있어서, 국내에서는 고를지 말지의 문제가 아니라 해당되는지 확인하는 문제일 때가 많습니다.
2. SOC 2 — 미국에서 쓰이는 기준입니다. 합격과 불합격이 아니라 회계법인이 쓴 보고서 형태로 나오고, 통제가 잘 설계돼 있는지만 한 시점에서 보는 유형과 여섯 달에서 열두 달 동안 실제로 지켜졌는지를 보는 유형으로 나뉩니다. 기업 고객이 요구하는 것은 대개 뒤쪽이라, 준비를 시작한 날부터 보고서를 손에 쥐는 날까지 일 년 가까이 걸립니다.
3. ISO 27001 — 국제 표준입니다. 어느 나라 고객에게든 이름만으로 설명이 통하는 것이 이 표준의 쓸모입니다. 한 번 받고 끝나지 않고 해마다 유지 심사를 받으며, 몇 년에 한 번은 처음부터 다시 받습니다.

셋은 서로를 대체하지 않습니다. 묻는 내용은 절반 넘게 겹치지만 기준표의 이름과 증적의 형식이 달라서, 파는 시장이 여럿이면 여러 개를 받게 됩니다. 어느 것을 먼저 받을지는 지금 계약이 막혀 있는 고객이 어느 나라에 있는지가 정합니다. 다만 두 번째가 첫 번째만큼 오래 걸리지는 않습니다. 접근 권한 점검이나 퇴사자 계정 회수처럼 겹치는 항목의 증적은 그대로 다시 쓰고, 기준표끼리 어느 항목이 어느 항목에 해당하는지 대응표를 한 번 만들어 두면 그다음부터는 같은 자료를 형식만 바꿔 냅니다.

세 갈래가 함께 가리키는 대상은 보안 관리 체계입니다. 인증은 없던 체계를 만들어 주지 않습니다. 회사가 이미 돌리고 있는 규칙과 절차를 밖에서 읽을 수 있는 형태로 옮겨 적고, 그것이 종이 위에만 있는지 실제로 도는지를 확인해 줄 뿐입니다.

"이 건은 SOC 2 없으면 다음 단계로 못 넘어갑니다. 로드맵이라도 보내 달라네요."

증명서가 아직 없어도 언제까지 무엇을 받을지 적은 계획을 내면 거래를 이어 갈 수 있다는 뜻입니다.

"그 항목은 정해 놓긴 했는데 증적이 없어요. 지난 반년치를 다시 모아야 합니다."

규칙은 있지만 지켰다는 기록이 남지 않아 심사에서 그대로 걸린다는 말입니다.

"인증 범위에 이번에 새로 낸 기능은 안 들어가 있습니다."

증명서가 회사 전체가 아니라 심사 때 정한 서비스와 시스템에만 붙는다는 뜻입니다.

석 달짜리 왕복을 한 번 겪은 뒤 페이지덱은 순서를 바꿨습니다. 수아가 지난 두 분기에 막힌 거래를 세어 보니 열한 건 중 일곱 건이 같은 이유였고, 그중 다섯 곳이 미국 고객이었습니다. 규원이 SOC 2 를 먼저 받기로 정한 근거가 그 숫자입니다. 태오는 기준표의 항목을 기능처럼 백로그에 올려 스프린트마다 몇 개씩 처리하고, 지현은 새 기능 기획서에 이 기능이 인증 범위 안인지 묻는 줄을 하나 넣었습니다.

가장 자주 어긋나는 지점은 증적입니다. 규칙을 지키는 일과 지켰다는 기록을 남기는 일이 다른 일이라는 것을, 대개 심사가 코앞에 온 뒤에 알게 됩니다. 페이지덱도 접근 권한을 분기마다 점검하고 있었지만 점검 결과를 메신저 대화로만 주고받아서, 첫 내부 감사에서 지난 세 번의 점검이 통째로 없는 일이 됐습니다. 그 뒤로는 점검을 끝낼 때마다 누가 무엇을 확인했는지를 같은 자리에 남깁니다.

증명서가 나온 뒤에 달라지는 것은 답변의 내용이 아니라 답변에 걸리는 시간입니다. 수아는 같은 질문지를 받아도 항목의 대부분을 보고서에서 그대로 옮겨 답하고, 보고서가 다루지 않는 몇 개만 태오에게 넘깁니다. 석 달이 걸리던 왕복이 한 주로 줄어든 자리가 여기입니다.

증명서가 있으면 뚫리지 않는다고 읽는 경우가 가장 많습니다. 심사를 통과했다는 말이 안전하다는 말과 거의 같게 들리니 자연스러운 오해입니다. 그러나 인증이 보는 것은 정해 둔 절차가 있고 그대로 돌아가느냐이지, 실제 공격을 막아 내느냐가 아닙니다. 코드에 남은 약점이나 설정 실수는 애플리케이션 보안 쪽에서 따로 다루고, 그쪽 점검을 하지 않은 회사도 인증은 받을 수 있습니다. 문에 빗대면 더 분명합니다. 인증은 문이 잠기는지, 열쇠를 누가 몇 개 갖고 있는지, 잃어버렸을 때 누가 자물쇠를 바꾸는지를 확인하는 제도이지 문을 부수려고 달려드는 사람을 실제로 상대해 보는 제도가 아닙니다. 이 오해를 그대로 두면 사고가 났을 때 설명할 말이 없어집니다. 고객에게 남는 질문은 인증받은 회사에서 어떻게 이런 일이 나느냐이고, 증명서는 그 질문에 아무 답이 되지 못합니다.

한 번 받으면 끝난다고 보는 것도 흔합니다. 시험처럼 생겼으니 합격하면 마무리되는 것으로 보입니다. 실제로는 증명서에 유효 기간이 붙고 해마다 유지 심사가 있으며, 그사이에도 증적은 매달 쌓여야 합니다. 심사 뒤에 새로 만든 기능과 새로 붙인 외부 도구는 다음 심사에서 처음 보는 대상으로 올라옵니다. 이것을 모르고 지내면 다음 심사 두 달 전에 반년치를 몰아서 만들게 되고, 그때부터는 하지 않은 일의 기록을 만들고 싶은 유혹이 생깁니다. 그렇게 만든 증적은 심사원이 원본 로그와 대조하는 순간 드러나고, 그 결과는 항목 하나를 놓치는 것보다 훨씬 무겁습니다.