SolarWinds에서 성공적인 기업 CISO로 활동하던 팀 브라운은 모든 것을 다 가진 듯 보였다.
의 최고정보보안책임자(CISO)인 마이클 J. 윌리엄스( , 오른쪽)는 이 소프트웨어 개발 회사의 인프라 관리 도구 전체 포트폴리오를 보호할 책임을 맡고 있었으며, 여기에는 약 33.000 개의 민간 및 공공 부문 고객에게 제공된 ‘오리온(Orion)’이라는 IT 모니터링 플랫폼도 포함되어 있었다.
그러자 모든 것이 바뀌었다.
2020년 말, 러시아 정보기관( )의 ‘ ’와 연계된 것으로 알려진 해커들이 Orion() 소프트웨어 패치()에 ‘Sunburst’라는 악성 코드를 삽입한 것으로 알려졌다. 이 악성 업데이트는 미국 정부 기관과 포춘 500 대 기업을 포함한 약 18.000 개 기관에서 다운로드하여 설치했다. 이는 역사상 가장 정교하고 독창적인 사이버 공격 중 하나였으며, 공급망 보안의 한 현실에 대한 경종을 울렸다..
IT 보안 분야에서 30년 경력을 쌓은 베테랑인 브라운은 이번 정보 유출 사고로 영향을 받은 정부 기관의 수를 고려할 때 법적 문제가 발생할 수 있다고 보았다. 하지만 2023년 10월에서 그가 취리히에서 열린 컨퍼런스에 참석 중이었을 때, 미국 증권거래위원회( , SEC) 가 텍사스에 본사를 둔 솔라윈즈(SolarWinds) 와 브라운 본인에게, 이미 알려진 것으로 추정되는 사이버 보안 위험 및 취약점과 관련된 사기 및 내부 통제 실패 혐의로 기소했다는 소식이 전해지자, 그조차도 놀라지 않을 수 없었다.
제기될 예정인 고소장에 따르면, 2018 부터2020년 12월에 이르기까지 SolarWinds와 브라운은 해당 소프트웨어 회사의 보안 관행을 과장하고, 알려진 위험 요소를 축소하거나 공개하지 않음으로써 투자자들을 기만했다고 주장하고 있다.
격동의 한 해를 보낸 뒤, 브라운은 미국 연방 지방법원의 로버트 J. 윌리엄스( ) 판사가 ‘ 2024년 7월’ 사건에서 증권거래위원회(SEC)가 제기한 청구 사항 대부분을 기각 하자 안도감을 느꼈다. SolarWinds와 미국 증권거래위원회(SEC)는 최근 잔여 혐의에 대해 에서 예비 합의에 도달했습니다. 올가을에 최종 확정될 것으로 예상되는 이번 합의의 구체적인 조건은 공개되지 않았다.
현재 61세인 브라운은 SEC가 CISO를 상대로 제기한 전례 없는 기소와 이것이 해당 직종에 어떤 의미를 지니는지에 대해 공개적으로 소회를 밝히고 있다. ‘포컬 포인트’의 는 최근 그와 만나, 그 경험이 그에게 어떤 영향을 미쳤는지, 그리고 그 경험을 통해 무엇을 배웠는지에 대해 이야기를 나누었습니다.
(다음 인터뷰 내용은 이해하기 쉽고 분량을 조절하기 위해 편집되었습니다.)
SEC가 소송을 제기한 직후 그 초창기 시절에 어떤 일을 겪으셨나요?
법적 문제는 예상된 일이었습니다. 우리 변호사들은 이 문제에 전력을 다해 대응했으며, SEC와 같은 정부 기관으로부터 집단 소송이나 그와 유사한 조치가 제기될 것으로 예상했습니다. 그 공격 사실을 알게 된 지 하루나 이틀 뒤, 우리 회사의 외부 자문 변호사 중 한 명이 저에게 말을 걸어왔고, 윤리적 요건에 따라 “저희는 회사를 대리하고 있다는 점을 상기시켜 드리고자 합니다.”라고 말했습니다. “저희는 귀하를 대리하지 않습니다.”
”저희는 해당 회사를 대리하고 있음을 다시 한번 알려드립니다. “저희는 귀하를 대리하지 않습니다.”사이버 공격이 발각된 지 하루나 이틀 뒤, 솔라윈즈(SolarWinds) 측 변호사가 CISO 팀 브라운에게 보낸 2020호 문서
그들이 그렇게 말해야만 했다는 건 알겠지만, 시작하기에는 다소 어색한 방식이었다. 그들은 모든 사실을 파악하고, 당신의 입장에서 무슨 일이 있었는지 확실히 알고 싶다고 말합니다. 하지만 다시 한 번, 그들은 자신이 회사를 대표한다고 강조합니다. 당신은 아니에요. 결국 저는 제 자신을 위해 변호사를 선임했고, 회사와 공동으로 활용하는 변호사도 한 명 두게 되었습니다. 다행히도 회사 측에서 제가 고용한 개인 변호사의 수임료를 부담해 주었습니다. 저를 대리하는 데 드는 전체 비용은 결국 SolarWinds에 100만 달러 이상을 부담하게 했습니다.
제 경험을 바탕으로 볼 때, 저는 항상 CISO들이 고용주와 간단한 대화를 나누기를 권장합니다. 그들에게 가서 이렇게 말하세요. “팀도 이런 일을 겪어야만 했어요.” 그는 소송을 당했다. 그는 개인 변호사를 선임해야만 했다. 그 변호사 수임료는 꽤 비싸네요. 그에게는 다행히도, SolarWinds가 그가 개인 변호사를 선임할 수 있도록 비용을 부담해 주기로 했다. “만약 이런 일이 발생한다면 우리는 어떻게 대처해야 할까요?”
[함께 읽어보세요: 사이버 보험에 관한 5 가지 오해와 진실]
D&O[이사 및 임원 책임보험]은 보험 약관의 작성 방식에 따라 특정 사항을 보장할 수 있습니다. 하지만 그렇지 않을 수도 있다. 그러니 그런 대화를 나누고, 만약 이런 문제에 휘말리게 되면 어떻게 될지 미리 정해 두는 것이 중요합니다. 제 경우, 그 회사는 정말 대단했습니다. 전 과정에 걸쳐 저희는 의견이 매우 일치했기 때문에, 제 개인 변호사의 비용을 부담해야 할지 걱정할 필요가 없었습니다. 하지만 확인해 보고 싶으시겠죠.
그래도 SEC로부터 개인적으로 기소를 당한 것은 분명 큰 타격이었을 것이다. 스트레스를 어떻게 극복하셨나요?
네, 처음 몇 년 동안은 꽤 잘하고 있다고 생각했어요. 하지만 기소된다는 통보를 받은 바로 그 주에 심장마비를 일으키고 말았습니다. 그러니까, 내가 생각했던 것만큼 잘하고 있지는 않았던 것 같네요.
“기소된다는 통보를 받은 바로 그 주에 결국 심장마비를 일으켰습니다.” “아, 내가 생각했던 것만큼 잘하고 있지는 않았나 보네요.”
우리 대부분은 스트레스를 해소하는 나름의 방식 을 가지고 있습니다.: 어떤 사람들은 말을 많이 하는 편입니다. 어떤 사람들은 출판업자입니다. 다른 사람들은 일을 마음속에 담아두거나 분리해 놓기도 합니다. 저는 일을 구분해서 처리하는 편입니다. 저는 일과 사생활을 철저히 구분합니다. 그게 제 스트레스 해소에 도움이 돼요. 저는 텍사스의 한 목장에서 말, 미니 당나귀, 그리고 그런 동물들과 함께 살고 있습니다. 그게 항상 제 스트레스 해소법이었어요. 그 방법은 나한테는 항상 잘 통했어, 적어도 나는 그렇게 생각했지.
2023년 9월 년 취리히에서 열린 컨퍼런스에 참석 중이었을 때, 요금이 청구될 것이라는 사실을 알게 되었습니다. 토요일에 비행기를 타고 집으로 돌아왔는데, 공항에서 차까지 걸어가던 중 잠시 멈춰서 쉬어야 했을 때 뭔가 이상하다는 걸 직감했다. 집에 돌아와서 아내에게 그 일을 말했더니, 아내는 당장 병원에 가라고 강하게 권했다. 의사들은 심근경색임을 확인했다.
그 경험을 통해 무엇을 배웠나요?
그 일 덕분에 상황을 객관적으로 바라볼 수 있게 되었습니다. 그 일은 건강만큼 중요하지 않다는 것을 깨닫게 됩니다. CISO라는 직책은 스트레스가 매우 큽니다. 우리 대부분은 그것 덕분에 활기를 띱니다. 우리는 그 한계점이 어디인지 도저히 알 수가 없습니다. 저의 경우, 그날 딱 맞췄어요. 그 순간, 나는 스트레스의 한계에 다다랐다.
상황이 어느 정도 정상으로 돌아오자, 그 일을 객관적으로 바라보는 데 도움이 되었습니다. “최악의 상황은 무엇일까?”라고 스스로에게 물어보는 것이 도움이 되었습니다. 제 경우, 그 혐의가 형사 범죄가 아니라는 것을 깨달았습니다. 그래서, 나는 감옥에 가지 않게 된 셈이었다. 최악의 경우 벌금형과 함께 상장기업의 임원 또는 이사로 활동하는 것이 5년간 금지될 수 있었다. 그 정도는 견뎌낼 수 있겠지?
[함께 들어보세요: 관련 팟캐스트에서 전직 CISO가 보안 전문가들이 경력을 확장하고(동시에 정신 건강을 지키는) 방법에 대해 이야기합니다.]
제 주변에는 정말 훌륭한 사람들이 있었습니다. 제 변호사분들은 정말 훌륭하셨습니다. 그들은 모든 일을 하나하나 처리해 나가고 있었다. 나는 그들을 믿었고, 우리가 그 과정을 무사히 헤쳐 나갈 수 있을 거라고 확신했다. 그런 사실을 깨닫게 되면 스트레스 수준이 낮아집니다.
SEC가 귀하를 기소했다는 소식에 사이버 보안계는 큰 충격을 받았습니다. 일각에서는 당신이 부당하게 표적이 되었다고 생각했습니다. 다른 이들은 자신들이 다음 차례가 될까 봐 걱정했고, ‘ ’는 ‘’에서 하차할까 고민했다. 어떻게 생각하세요?
지역 사회의 지원은 정말 놀라웠습니다. 사람들은 제 처지에 공감해 주었고, 저와 같은 CISO들이 그저 모든 것을 지키려고 애쓰고 있을 뿐이라는 점을 이해해 주었습니다. 저희는 최선을 다하고 있습니다. 때로는 국가와 맞서 싸우는 것만으로는 충분하지 않을 때가 있다.
”사람들은 제 처지에 공감해 주었고, 저와 같은 CISO들이 그저 모든 것을 보호하려고 노력하고 있을 뿐이라는 점을 이해해 주었습니다. “우리는 최선을 다하고 있습니다.”
사건이 발생한 지 처음 며칠, 몇 주, 혹은 몇 달 동안은 당신에게 긍정적인 말을 듣는 일이 거의 없습니다. 게다가 여기저기서 친구들이 나타나서 “넌 이겨낼 수 있을 거야.”라고 말하기도 하죠. 그냥 고치고 넘어가세요. “그냥 일이나 해.” 그리고 그런 격려는 정말 큰 도움이 됩니다.
하지만 그 반대도 마찬가지입니다. 자신이 겪은 일을 이야기하고 목격한 내용을 솔직하게 공유하면, 커뮤니티가 이러한 유형의 공격에 더 잘 대처할 수 있게 됩니다. 여러모로, 우리는 이론에 그치던 것을 모든 사람에게 진정으로 현실로 만들어 냈습니다. 네, 러시아인들이 저기 있습니다. 네, 러시아 측이 미국 기업들을 공격하고 있습니다.. 네, 러시아는 작전을 훌륭하게 수행하는 법을 잘 알고 있으며, 다른 국가들도 마찬가지입니다. 다음은 그 모습이 대략 이럴 수 있으며, 바로 이 점을 주의해야 합니다.
[관련 기사: 공급망 보안은 어려운 과제입니다. 그렇다면 이상적인 모습은 어떤 모습일까요?]
SolarWinds가 이를 명확한 모델로 설명해 주었을 때, 전 세계의 많은 사람들에게 큰 도움이 되었다고 생각합니다. 따라서 어떤 사건에서 긍정적인 결과를 더 많이 이끌어낼수록 더 큰 가치를 얻을 수 있고, 그러면 그 모든 노력이 보람 있게 됩니다.
이 모든 일이 있었음에도 불구하고, 당신은 여전히 SolarWinds의 CISO이며 그 역할을 매우 좋아하는 것 같습니다. 그동안 겪어온 모든 일에도 불구하고, 왜 그 직장을 계속 다닐 가치가 있을까요?
이 직업은 여러분이 맡을 수 있는 직업 중에서도 가장 큰 영향력을 발휘하는 직업 중 하나입니다. 회사를 책임지고 있는 입장에서, 무슨 일이 생기면 그 책임이 바로 당신에게 돌아온다는 점을 생각해 보세요.
“그동안 겪은 모든 일에도 불구하고, 저는 여전히 CISO의 역할이 매우 중요하다고 믿습니다. “우리의 다음 세대가 기꺼이 그 일을 맡고 책임을 지도록 충분한 안전장치를 마련해야 합니다.”
회사를 적절한 수준으로 안정적으로 이끌어 나가며, 뒤에서 조용히 일하면서 적들을 물리치고 한 발 앞서 나가기 위해 온갖 노력을 기울일 때, 그 자체로 짜릿한 매력이 있습니다. 그 나름의 흐름이 있다. 결코 지루할 틈이 없다. 매일 들어와서 똑같은 일만 하는 건 아니잖아요.
이 직책은 여전히 가장 도전적이면서도 보람 있는 직책 중 하나로 꼽힙니다. 네, 다른 사람들이 그게 답답하다고 말하는 걸 듣게 될 거예요. 그리고, 네, 힘들긴 해요. 하지만 를 통해 훌륭한 팀을 구성할 수 있습니다.. 게다가 팀이 성공하는 모습을 지켜보며 큰 보람을 느낄 수 있습니다. CISO로 일하면 많은 훌륭한 기회가 주어지며, 이 분야는 끊임없이 변화하고 있습니다.
지금까지 겪어온 모든 일에도 불구하고, 저는 여전히 CISO의 역할이 매우 중요하다고 믿습니다. 우리의 다음 세대가 기꺼이 그 일을 맡아 책임을 지고 의무를 다할 수 있도록 충분한 안전장치를 마련해야 합니다. 우리가 책임에서 자유롭다는 말은 아닙니다. 또한 사람들이 우리가 이 역할을 맡을 때 그에 따른 책임을 지게 된다는 점을 이해하는 것도 중요합니다. 그리고 책임에는 때로 법적 책임이 따르기도 합니다.
우리가 노력해야 할 점은 책임이 적절하게 관리되도록 하는 것입니다.
