요약
세계적으로 저명한 학자이자 미국 국가 사이버 보안 정책의 설계자 중 한 명인 Richard J. Harknett은 국내외 정부 지도자들에게 국가가 가장 우선시해야 할 사이버 위협에 대해 정기적으로 조언을 제공합니다. 이전 에피소드에서 그는 오늘날의 새로운 사전 예방적 사이버 보안 접근 방식과 기업이 이를 통해 어떻게 혜택을 받을 수 있는지 설명했습니다.
이 대화는 오늘날 가장 시급한 사이버 위협 중 일부에 대해 비즈니스 리더들을 위한 구체적인 조언과 함께 여기서 계속됩니다. 다음은 브랜드가 실제로 집중해야 할 사항과 그들이 생각하는 것만큼 심각하지 않은 문제에 대한 솔직한 이야기입니다. 오늘날 헤드라인을 장식하는 사이버 뉴스에 대한 그의 관점이 여러분을 놀라게 할 수도 있습니다.
진행자: Mike Curran, Tanium 글로벌 인재 담당 부사장 게스트: Richard J. Harknett, 신시내티 대학교 사이버 전략 및 정책 센터 소장 겸 오하이오 사이버 레인지 연구소 공동 소장
쇼 노트
미국 사이버 보안 정책 및 자율 엔드포인트 관리가 어떻게 여러분을 사후 대응이 아닌 능동적으로 유지할 수 있는지에 대한 자세한 내용은 Tanium의 수상 경력에 빛나는 온라인 사이버 뉴스 매거진인 Focal Point의 기사와 다음 유용한 리소스를 확인하세요.
- 기업이 새로운 미국 사이버 보안 전략에 대해 알아야 할 사항 | Focal Point
- 지속적 관여에 대해 많은 사람들이 잘못 이해하는 것과 비즈니스에 중요한 이유 | Focal Point
- 외과의사협회장의 소셜 미디어 경고가 논란을 불러일으키다 – 그리고 비즈니스 리더들을 위한 기회 | Focal Point
- EU AI 법에 대비하는 방법: 위험 수준부터 시작하세요 | Focal Point
- 자동화와 AI가 소프트웨어 공급망을 방어하는 방법 | Focal Point
- 사이버 보안의 달에서 얻은 이 팁들은 연중 어느 때나 유용합니다 | Tanium
- 엔드포인트 관리의 다음 진화는 자율적입니다 | Tanium
- 지속적인 엔드포인트 관리의 이점 (및 바이러스 백신 소프트웨어와의 차이점) | Tanium
- Tanium Automate 소개: 손쉽게 생성 가능한 대규모 오케스트레이션 및 자동화 | Tanium
다음 인터뷰는 명확성을 위해 편집되었습니다.
"대부분의 미국인들은 마케팅 대상이 되는 것을 괜찮게 여기죠, 그렇죠? 하지만 우리는 조종당하는 것도, 통제받는 것도 좋아하지 않습니다. 사이버 공간에서는, Mike, 마케팅을 받는 것과 조종당하는 것, 그리고 통제받는 것 사이에 정말 미묘한 경계선이 있습니다."Richard J. Harknett, 신시내티 대학교 사이버 전략 및 정책 센터 소장 겸 오하이오 사이버 레인지 연구소 공동 소장
Mike Curran: 안녕하세요, 저는 Tanium의 글로벌 인재 담당 부사장 Mike Curran입니다. 오늘 Let's Converge에서는 "비즈니스를 앞서 방어하기"에 대해 이야기합니다.
이번은 미국 국가 사이버 보안 전략 설계를 도운 Richard Harknett와의 두 파트로 구성된 대화 중 두 번째입니다.
우리나라의 "전방 방어" 사이버 정책은 지속적 관여 원칙을 따르며, 이는 국가에만 국한되지 않는 선제적 입장입니다. 기업들도 지속적이고 선제적으로 대응할 수 있습니다.
첫 번째 에피소드에서 Richard와 저는 기업들이 이 전략을 어떻게 채택하고, 계약 협상과 제3자 공급업체에 대한 의사결정에서 이를 어떻게 활용할 수 있는지 논의했습니다. Richard는 신시내티 대학교 사이버 전략 및 정책 센터 소장이자 오하이오 사이버 레인지 연구소의 공동 소장입니다. 그는 미국 사이버 사령부와 국가안보국 최초의 상주 학자였으며, 옥스퍼드 대학교 출판부에서 출간된 Cyber Persistence Theory: Redefining National Security in Cyberspace,라는 주목할 만한 책을 공동 집필했습니다.
다시 시작해 보겠습니다. 우리가 마지막으로 이야기를 나눴을 때, Richard는 사이버 보안이 여자 축구 코칭과 매우 유사하다고 설명하고 있었는데, 이는 그가 직접 경험한 것입니다.
Richard J. Harknett: 저는 여자 고등학교 축구를 코칭하고 있으며, 몇 년 전 주 챔피언십을 달성하는 데 도움을 줄 수 있는 행운을 얻었습니다. 만약 제가 그들에게 책을 주며 여기 축구하는 방법에 관한 책이 있다고 말했다면. 토너먼트 때 만나서 주 타이틀을 딸 수 있는지 봅시다. 그런 일은 일어나지 않을 겁니다. 그렇죠?
Curran: 맞습니다.
Harknett: 그것은 게임을 직접 해보고, 플레이하면서 배우는 것에서 비롯됩니다. 그리고 사이버는 전적으로 실행에 관한 것입니다. 따라서 조직 내에서 사람들이 어떻게 악용될 수 있는지에 주의를 기울이도록 하는 지속적인 보안 프로토콜이 없다면, 그들은 착취에 대해 백 퍼센트의 시간을 쏟고 있는 적에게 이 게임에서 패배하게 될 것입니다.
그래서 제 인생의 목표 중 하나는, Mike, 사이버보안의 달을 없애는 것입니다. 사이버보안 전문가로서 왜 그 집중을 없애고 싶냐고 물으실 수 있겠죠? 우리에게는 사이버보안 시간이 필요합니다. 즉, 지속성에 관한 것이라는 제 이론을 받아들인다면, 일 년에 한 달을 따로 떼어내어 직원들에게 일 년 전에 봤던 20분짜리 영상을 다시 보게 하고 이제 준비가 됐다고 말할 수는 없습니다.
Curran: 공격 표면이 계속 증가하고 있는 상황에서, 국가 행위자들과 악의적인 행위자들이 몇 년 전과 같은 맹렬함으로 기업들을 공격하고 있을 것 같습니다. 정부는 그 두 가지 측면을 해결하기 위해 어떻게 자원을 배분합니까?
Harknett: 그 부분에 대해서는 신중하게 말씀드리겠습니다. 저는 미국 정부를 위해 일하지 않습니다. 저는 그들에게 자문을 제공합니다. 저는 긴급 신호가 올라올 때 도움을 드립니다. 그래서 신중하게 말씀드리고 싶습니다. 저는 내부 관계자가 아니며, 어떤 미국 정부 기관을 대표하여 발언하는 것이 아닙니다. 그러니까, 이것은 밀물과 썰물처럼 변동이 있습니다. 저는 우리의 적들을 과대평가하고 싶지 않습니다. 모든 사람은 자원 배분에 한계가 있습니다. 물론, 선거에 영향을 미치려는 자들은 선거 기간에 맞춰 준비하고 그 후에는 사라집니다.
선거 보안 측면에서 청취자들이 처음에 생각할 것 중 하나는 그들이 들어가서 투표를 바꿀 수 있느냐는 것입니다. 그들이 투표를 조작할 수 있을까요? 그것에 대해 팟캐스트 전체를 할 수도 있지만, 간단한 답은 아니오, 그리고 실질적으로는 불가능합니다. 그것이 일어나지 않는 데는 여러 가지 이유가 있습니다. 그리고 우리는 2020 이후와 2016 이후에도 그것을 더 개선하기 위해 정말 좋은 작업들을 해왔습니다.
우리의 적들도 그것을 알고 있습니다. 그래서 그들이 시간을 쏟는 곳은 우리가 사이버 기반 분열적 정보 캠페인이라고 부르는 것입니다. 미디어에서는 허위 정보와 잘못된 정보에 대한 이야기가 많습니다. 우리의 적들이 실제로 하고 있는 것은 우리가 분열적 정보라고 부르는 것입니다. 그들은 우리를 분열시키는 것을 찾고 있습니다.
안타깝게도 지금 우리 대부분은 소셜 미디어와 전통 미디어에서 우리와 의견이 같은 사람들하고만 시간을 보냅니다. 그들은 그 분열을 더욱 증폭시킬 뿐입니다.
예를 들어 당신과 나, 우리가 같은 가족이라면, 형제라면, 정말 중요한 문제에 대해 의견이 다를 수 있지만, 만약 외부에서 누군가가 와서 우리의 논쟁에 개입하려 한다면, 우리 둘 다 그 사람을 보며 이렇게 말할 겁니다. "이봐, 여기서 꺼져. 우리가 의견이 다를 수는 있지만, 우리는 가족이야. 당신은 이 일에 끼어들 자격이 없어."
그래서 제가 주장해온 것은, 우리가 바로 그런 마음가짐으로 이러한 캠페인에 실제로 맞서 방어해야 한다는 것입니다.
이들은 정말 정교한 행위자들이며, 소셜 미디어의 일반 사용자들이 인식하지 못하는 저류가 존재합니다. 이것이 바로 우리가 틱톡을 걱정하는 이유입니다. 왜냐하면 틱톡은 매우 다른 형태의 정부를 가지고 있으며 자국 국민을 매우 다르게 바라보는 특정 국가 행위자, 즉 중국과 연계되어 있기 때문입니다. 이것은 개인의 역량 강화에 관한 것이 아니라, 개인이 국가를 어떻게 섬기는가에 관한 것이며, 그들은 우리의 삶의 방식에 진정으로 동의하지 않습니다. 그래서 우리를 향한 확성기를 갖는 것은….
나이가 좀 있는 청취자들은 냉전 시대의 미국의 소리(Voice of America)를 기억할 수도 있습니다. 우리는 철의 장막 너머로 라디오를 보내 민주주의가 여러분이 가진 것보다 더 나은 생각이라고 설득했습니다. 그리고 70 년 동안 우리는 그렇게 했고, 러시아인들과 소련은 그 신호를 차단하려 했습니다. 그들은 라디오를 압수하고 그 모든 것을 더 어렵게 만들었지만, 우리는 계속해서 그 정보를 그들에게 전달했습니다. 그것이 언제 변화를 만들었습니까? 소련이 붕괴되었을 때 사람들이 공허함 속으로 빠져들지 않았다는 점에서 변화를 만들었습니다. 그들은 실제로, 오, 이 민주주의 같은 대안이 있다고 말했습니다. 우리 한번 시도해 보는 건 어떨까요?
내가 시진핑 주석이라면, 내가 중국 공산당을 이끌고 있다면, 누군가 나에게 와서 이렇게 말했다고 해봅시다. "주석님, 저희가 미국인들의 150 백만 개의 주머니 속에 들어가 있습니다. 그들이 하루에 누적으로, 일부는 10 시간 이상을 사용하는 기기에요." 만약 내가 실제로 미국식 생활 방식이 중국의 이익에 부합하지 않는다고 생각한다면, 그 기기를 활용하지 않는 것은 지도자로서 극도로 무책임한 일일 것입니다. 따라서 이것은 양방향 기기로, 내가 동영상을 클릭하는지 여부가 아니라, 동영상 위에 얼마나 오래 머무르는지를 감지할 수 있으며, 그에 따라 나에게 전송되는 콘텐츠를 맞춤화하고 내가 보는 것을 형성하기 시작하는 알고리즘이 있습니다.
대부분의 미국인들은 마케팅 대상이 되는 것에 괜찮아하죠, 그렇죠? 하지만 우리는 조종당하는 것도, 통제받는 것도 좋아하지 않습니다. 사이버 공간에서는, 마이크, 마케팅을 당하는 것과 조종당하는 것, 그리고 통제당하는 것 사이에 정말 미세한 경계선이 있습니다.
커런: 조종당하고 있더라도 아무도 자신이 조종당하고 있다는 것을 인정하지 않을 겁니다. 그렇다면 결국 큰 논의로 이어지는 것 같은데요, 금지해야 하는지, 틱톡을 금지해야 하는지에 대한 문제 말이죠? 그에 대해 어떻게 생각하시나요?
하크넷: 네, 제가 고등학교 여학생들을 코치한다고 말씀드렸던 거 기억하시죠. 그래서 이건 그들 입장에서는 그다지 인기 있는 견해가 아닙니다. 이것이 미국의 소리(Voice of America)와 같은 선전 도구와 유사한 장치라는 것을 시사하는 증거가 너무 많지만, 우리는 그것을 단순히 차단할 방법이 없습니다. 우리는 사람들의 휴대폰을 압수하러 가지 않을 것입니다. 우리는 이 모든 것을 하지 않을 것입니다. 우리가 미국인들에게, 즉 이 앱을 재구성해야 한다고 말하는 우리 진영에 속한 사람들에게 뭔가를 거부하려는 것이 아닙니다. 우리는 우리 사회의 조직 방식을 그다지 좋아하지 않는 누군가에게 너무 많은 데이터를 넘겨주고 있습니다.
저는 짧은 동영상을 캡처하고 다양한 유형의 것들을 소통하는 데 있어 이 장치보다 사용하는 코드에 대해 더 투명하고 시민 자유 보호에 대해 더 투명한 앱을 개발할 수 있는 정말 영리한 기업가가 있을 것이라고 확신합니다.
그래서 의회를 통과한 것은, 틱톡이 코드의 투명성, 데이터 저장 위치, 누가 볼 수 있는지 등 특정 사항들을 변경한다면 미국 정부는 괜찮다는 것입니다. 그래서 공은 모회사인 바이트댄스에게 다시 던져졌습니다. 그것은 정말 과도하고 지나친 정부 개입처럼 들립니다. 하지만 세계 정치라는 것이 있고, 불행히도 나라들은 여러 가지 이유로 서로 전쟁을 벌이며, 여러분은 일어나고 있는 일로부터 미국 국민을 보호해야 합니다.
그래서 네, 일부 14세 아이들에게는 고통스러운 전환이 될 수 있지만, 저는 우리가 기업가 정신으로 그것을 극복할 수 있다고 생각합니다.
Curran: 알겠습니다. 주제를 바꿔서, AI를 언급하지 않으면 소홀히 하는 것이라고 생각했습니다. 분명히 지난 18 개월 동안 매우 널리 퍼졌습니다. 그것이 전략, 즉 선제적 방어 전략에 어떤 영향을 미쳤습니까?
Harknett: 제가 푸틴 대통령과 동의하는 한 가지가 있습니다. 그는 인공지능을 지배하는 자가 21세기 후반을 지배할 것이라고 말했으며, 저는 그가 옳다고 생각합니다.
제 견해는 우리가 그것을 코드와 도구로 생각하는 것을 멈추고 의사결정 모델의 관점에서 생각해야 한다는 것입니다. 따라서 비즈니스 관점에서, 내 조직의 맥락 안에서 어떻게 배포할 것인가?
그렇다면 나는 그것에 어떤 역할과 책임을 부여할 것인가? 데이터를 수집하기만 할 건가요? 데이터를 수집하고 분석해 줄 건가요? 데이터를 수집하고 분석하고 정리해서 내가 결정을 내릴 수 있게 할 것인지, 아니면 AI에게 결정을 내릴 수 있는 권한을 줄 것인지의 문제입니다. 이것은 코드나 기술적 도구의 관점이 아니라 역할과 책임의 관점에서 이해한다면 선택할 수 있는 옵션들입니다. 그래서 저는 제가 도움을 준 작업이 억지력에서 선제적 사이버보안으로의 패러다임 전환을 이끌어냈기를 바라는 만큼, 제가 다음으로 도전하고 있는 과제는, Mike, AI를 도구의 관점에서 생각하는 것을 멈추고 의사결정 역할과 책임의 관점에서 이해해야 한다는 것입니다.
Curran: 네, 저도 동의합니다. 우리 모두 전쟁에서 이겨야 한다는 데 동의할 수 있다고 생각합니다. 그리고 지금 돌아보면, 잠재적 결과를 알 수 없더라도 AI를 과도하게 규제할 수는 없으며, 가능한 결과들을 규제할 수는 없다고 항상 생각합니다. 우리는 AI를 앞단에서 규제하려 하기보다는 AI가 성장하도록 어느 정도 내버려 두고, 그런 다음 여기서 조금 되돌리고, 저기서 조금 되돌리는 방식으로 접근해야 할 것 같습니다.
Harknett: 네, 그에 대해 두 가지 빠른 생각이 있는데요, 하나는 AI의 무분별한 도입으로 인해 꽤 빠르게 에너지 문제가 발생할 것이라는 점입니다. 실제로 처리를 지원할 전력망이 갖춰져 있지 않습니다. 따라서 이것은 실제로 깊이 생각해야 할 문제이며, 정부와 기업이 상당히 빠르게 이 문제를 해결해야 합니다.
그리고 "말들을 달리게 하자"는 주장에 대한 저의 우려는, 일부 훈련 환경이 지나치게 멀리 나아갈 수 있다는 것입니다. 그리고 그들이 너무 멀리 가버렸을 때, 어떻게 다시 끌어당길 수 있을까요?
저는 지금 한 그룹에 속해 있습니다. 저는 어느 정도 방 안의 자극제 역할을 해야 하는데, VP 수준의 소셜 미디어 회사들, 통신 회사들과 함께하며, 규제가 그 자체로 제약이라는 이분법적 사고방식에서 벗어나도록 계속 촉구하고 있습니다. 규제는 단지 매개변수일 뿐입니다. 그것들은 도로의 규칙입니다. 제 오래된 축구 비유로 말하자면, 그것들은 게임을 하는 방식입니다.
이제, 저는 그 주장을 이해합니다. 즉, 중국은 다른 규칙 아래에서 다른 게임을 할 것이라는 것입니다. 러시아는 다른 규칙 아래에서 게임을 할 것이고, 기타 등등입니다. 저는 말합니다, 좋습니다 – 우리의 돌파구는 시민의 자유를 보호하고 경제적 기회를 극대화하는 최적의 지점을 찾는 사람이며, 그것이 우리가 개발해야 할 AI입니다. 우리는 권위주의자들을 위한 AI를 개발할 필요가 없습니다. 우리는 [전 세계] 자유민주주의 국가들을 위한 AI를 개발해야 합니다. 왜냐하면 그곳에 시장 경제가 있고, 그러한 시장 경제를 원하는 나라들이 있기 때문입니다. 그렇다면 최고를 추구하지 않을 이유가 있을까요? 권위주의 국가들은 그것을 개발하지 못할 것입니다.
따라서 잘못된 방향의 버전으로 그들과 경쟁하지 맙시다. 모든 사람이 수학을 알고, 대부분의 사람들이 슈퍼컴퓨팅을 보유하고 있거나, 이 분야의 리더가 될 사람들은 대부분 그렇습니다. 중요한 것은 데이터의 질과 훈련 환경에서 데이터를 어떻게 활용하느냐입니다. 그들의 강점은 시민 자유에 대한 제한이 없기 때문에 모든 것을 빨아들이고 있다는 점입니다. 하지만 그것은 개인의 역량 강화가 아닌 국가 권력 보호에만 초점을 맞춘 특정 훈련 알고리즘을 만들어낼 것입니다.
따라서 저에게 있어 이것은 다른 방식으로 훈련을 모델링하는 것에 관한 문제입니다. 시장 경제에서 사회 내 개인을 어떻게 자리매김하고 역량을 강화할 것인가? 그것은 권위주의적 알고리즘이 될 것과는 다른 알고리즘입니다. 그리고 그것은 우리가 어떤 매개변수 안에서 살고 일할 것을 요구할 것입니다. 우리가 접근하지 못할 특정 수준의 데이터가 있습니다. 그것은 단지 기술적인 훈련 과제일 뿐입니다. 그리고 저는 우리가 그것을 받아들이고 "우리는 실제로 시민의 자유를 보호하고 시민의 자유 측면에서 선을 긋는 매우 효과적인 알고리즘 에이전트를 가질 수 있다"고 말해야 한다고 생각합니다.
그리고 우리에게는 그에 대한 한 가지 사례가 있습니다. 우리는 기본적으로 사람들이 의료 데이터를 수익화하는 것을 허용하지 않겠다고 명시한 의료법인 HIPAA [건강보험 이동성 및 책임에 관한 법률]를 시행했습니다. 모두가 어느 정도 동의했습니다. 그래요, 그것은 좋은 생각이 아닙니다. 우리는 내가 어떤 질병으로 어떤 약을 복용하는지가 광고주들에게 판매되는 것을 원하지 않습니다. 그래서 우리는 분리했습니다—정부가 의료 데이터 측면에서 개인을 보호하는 적절한 규제를 도입했습니다. 그리고 세상은 끝나지 않았습니다.
저는 우리가 두 마리 토끼를 다 잡을 수 있다고 생각합니다. 저는 우리가 AI 분야에서 매우 혁신적이면서도 동시에 안전과 보안을 그 안에 도입할 수 있다고 생각합니다.
Curran: 말씀하신 대로 그것이 이상적일 것입니다. 하지만…
Harknett: 네. 저는 이 대부분에 대해 절반은 낙관적입니다.
Curran: 네, 정말 좋습니다. 정말 좋아요. 자, 오늘 마무리하면서, Richard, 당신은 사이버 전략에 관해 국가들과 우리 동맹국들, 그리고 미국 정부에도 조언을 해오셨습니다. 만약 기업에 대해 이야기하신다면 – 이제 구체적으로, 모든 자원을 갖춘 대기업이 아닌 곳에 대해 이야기해 봅시다. 예를 들어 Target만큼 크지 않은 중간 규모의 지역 소매업체라고 해봅시다.
그들이 한두 걸음 앞으로 나아가기 위해 취할 수 있는 선제적 전략의 초기 단계는 무엇일까요?
Harknett: 저는 CIO와 최고 정보 보안 책임자를 마케팅 및 제품 개발 부사장만큼 중요하게 여기라고 말하고 싶습니다. 즉, 그들은 반드시 의사결정 테이블에 있어야 하며, 효율성을 통해 비용을 절감해야 하는 복도 끝의 직원들로 취급받으면서 모든 지적 재산을 보호할 자원조차 제공받지 못하는 상황이 되어서는 안 됩니다. 따라서 기술적으로 할 수 있는 것들의 목록을 드릴 수도 있지만, 조직적 비즈니스 계획의 관점에서 보면, 사이버보안 포트폴리오를 책임지도록 신뢰받은 사람들이 비즈니스 관행의 핵심 일부가 되도록 하는 것이 중요합니다.
그리고 경영진 및 관리자 수준에서 이것이 IT 문제가 아님을 인식해야 합니다.
사이버보안은 기술적으로 유동적인 환경에서의 경제적·조직적·행동적 과제입니다. 그것이 제 핵심 메시지입니다. 범퍼 스티커에 붙이기엔 너무 길군요. 하지만 이것을 기술적 문제로만 취급한다면, 핵심을 놓치는 것입니다. 이것은 조직에 관한 것이고, 행동에 관한 것입니다. 따라서 조직의 흐름을 재정비해야 합니다.
그리고 만약 CEO로서 랜섬웨어 공격에 직면했을 때 예측 및 복원력 계획이 무엇인지 모른다면, 그것이 무엇인지 파악해야 합니다.
Curran: 충분히, 적어도 그 정도는 길게 가세요. 네. 정말 훌륭한 조언이었습니다, Richard. 대화가 정말 즐거웠습니다…
Harknett: 네, 저도 그랬습니다.
Curran: 저는 신시내티 대학교 사이버 전략 및 정책 센터 소장이자 오하이오 사이버 레인지 연구소 공동 소장인 Richard Harknett와 이야기를 나눴습니다.
사전 예방적 사이버 보안 전략에 대해 더 알고 싶으시다면, Tanium의 수상 경력에 빛나는 온라인 사이버 뉴스 매거진인 Focal Point를 확인해 보세요. 쇼 노트에 기사 링크가 있으며, 또는 tanium.com/p에서 출판물을 방문하세요.
오늘날 최고의 비즈니스 리더 및 보안 전문가들과의 더 많은 대화를 들으시려면, 즐겨 사용하시는 팟캐스트 앱에서 Let's Converge를 구독하세요. 이 에피소드가 마음에 드셨다면, 별 다섯 개 평점을 남겨 주세요.
들어주셔서 감사합니다. Let's Converge의 다음 에피소드에서 더 많은 사이버 인사이트를 공유하기를 기대합니다.
