10월은 사이버 보안 인식의 달이 20주년을 맞는 달입니다. 이 연례 캠페인 기간에는 ‘사이버 보안에 능숙한 사람’이 되는 데 도움이 되는 정보를 많이 접하게 됩니다. 하지만 사이버 보안 인식의 달은 최신 위협에 대처하는 방법만을 다루는 것이 아닙니다. 미래를 보호하는 방법도 중요하며, 이를 위해서는 먼저 다음과 같은 우려스러운 현실을 인식해야 합니다. 바로 사이버 보안 분야의 성별 격차입니다.
사이버 보안 분야의 성별 다양성 증진을 위한 F5 블로그 시리즈인 ‘성평등을 향한 여정’ 제5편에서는 Angel Grant F5 Distributed Cloud Services 보안 부문 부사장과의 Q&A를 소개하게 되어 기쁩니다. Angel의 이야기는 장벽을 허물고 모두를 위한 더욱 안전한 디지털 미래로 나아가는 길을 조명합니다.
Angel은 사이버 보안, 전자상거래 및 금융 서비스 업계에서 20년 이상의 경력을 쌓았습니다. FS-ISAC 및 PCI 위원회 자문위원회, 연방준비제도 안전 결제 태스크포스, Nacha의 결제 혁신·위험·규제·보안 자문위원회에서 활동하며 다양한 업계 이니셔티브와 표준에 영향력을 발휘해 왔습니다. 디지털 세상을 더 안전하게 만들기 위한 사이버 보안 솔루션을 개발하고 알리는 일을 하지 않을 때면, 야외에서 시간을 보내거나 자녀들의 활동을 통해 대리 만족을 느끼며 삶을 즐기는 Angel을 만날 수 있습니다.
Rachael: 20년 동안 사이버 보안 분야에 몸담아 오셨는데요. 오늘날의 자리에 오기까지 어떤 과정을 거치셨나요?
Angel: 사이버 보안은 제가 처음부터 목표로 삼았던 진로가 아니었습니다. 여러 금융 기관에서 다양한 직무를 맡으며 경력을 시작한 뒤, 스타트업으로 옮겨 업계 최초의 온라인 결제 앱 중 하나를 담당하는 제품 관리자로 일했습니다. 당시 저는 금융 기관들을 찾아다니며 온라인 뱅킹과 결제라는 획기적인 신기술을 소개했습니다. 대부분은 우리가 제정신이 아니며 아무도 온라인으로 은행 업무를 보지 않을 거라고 했죠. 물론 온라인 결제는 크게 성장했지만, 사이버 범죄도 함께 늘어났습니다. 그래서 제 결제 앱에 여러 보안 솔루션을 통합하기 시작했고, 그중 하나가 RSA Security였습니다. RSA에서 자사 직책을 제안하며 저와 이야기를 나누기 시작했을 때, 저는 계속 이런 생각을 했습니다. 왜 나를 채용하려는 걸까? 나는 어두운 방에서 검은색 후드티를 입고 ‘올해는 PKI의 해’라고 외치는 ‘암호화 전문가’도 아닌데!
하지만 채용 담당자가 사이버 보안 업계에 가장 부족한 것 중 하나는 보안 관점에서 해결해야 할 실질적인 비즈니스 문제를 이해하는 사람들이라고 설명했을 때, 저는 제가 이 문제를 완전히 잘못된 시각으로 바라보고 있었다는 것을 깨달았습니다. 우리가 진정으로 보호해야 할 것이 무엇인지에 대한 이해 덕분에 저는 오늘날의 자리에 올 수 있었고, 이는 지금도 제게 북극성 같은 지침이 되고 있습니다.
Rachael: 금융 부문과 마찬가지로 사이버 보안 업계도 남성 중심의 세계로 여겨져 왔는데요. 또 다른 남성 중심 업계로 옮긴 경험은 어떠셨나요?
Angel: 제게는 저를 지지해 주고, 제 안에서 이미 발견한 잠재력을 실현할 수 있도록 새로운 관점에서 생각하게끔 독려해 준 훌륭한 남녀 멘토와 후원자들이 있었습니다. 그런 행운에 감사드립니다.
하지만 회의나 업계 협회 모임, 그리고 제가 참여하는 수많은 콘퍼런스 패널에서 여전히 저 혼자만 여성인 경우가 많습니다. 경력 전반에 걸쳐 다른 어려움도 겪었습니다. 한번은 사이버 보안 콘퍼런스에서 발표를 맡았을 때였습니다. 전시장에 있는 자물쇠 따기 체험관에 가서 직접 해보려 했죠. 제 옆에 앉은 남자가 제 명찰을 보더니 이렇게 말했습니다. “실제로 사이버 보안 회사에서 일하는 건 아니죠? 그 업체가 콘퍼런스 전시장을 돌아다니라고 고용한 건가요?” 저는 너무 당황해서 어떻게 대답해야 할지 몰랐습니다. 그래서 즉각적으로 반응하거나 사이버 보안 분야에도 여성이 있다는 사실을 항변하는 대신 화제를 바꿔, 휴식 시간이 끝난 뒤 어떤 발표를 들으러 갈 것인지 물었습니다. 아이러니하게도 제 발표였습니다! 덕분에 그의 처음 질문에 아주 멋지게 답할 수 있었죠. 저는 이렇게 말했습니다. “좋네요. 제 세션에서 뵙기를 기대하겠습니다.”
그 일을 겪은 후로는 누군가 편견이 담긴 말이나 행동을 할 때 문제를 정면으로 짚으며 이런 상황에 다르게 대처하려고 합니다. 당사자는 자신의 행동이 편향된 영향을 미친다는 사실조차 깨닫지 못하는 경우가 많기 때문입니다.
Rachael: 문제를 정면으로 다루는 이야기가 나와서 말인데, 꼭 묻고 싶어요. 왜 F5를 선택하셨나요? 일할 곳을 고를 때 선택지가 아주 많으셨을 텐데요.
Angel: 저는 F5의 문화와 사명에 이끌려 F5를 선택했습니다. 우리가 하는 모든 일은 디지털 경험을 안전하게 보호하여 고객의 신뢰를 강화하고 비즈니스 가치를 높이는 데 초점을 맞추고 있습니다.
친구가 채용 기회에 지원해 면접을 보라고 권하기 전까지 F5는 제가 입사를 고려하던 회사 목록에 없었습니다. 당시만 해도 F5는 로드 밸런싱만 하는 회사라는 예전 인식을 갖고 있었습니다. 하지만 완전히 잘못 알고 있었죠! 면접을 보면서 F5가 25년 넘게 업계를 선도해 왔으며, 지금도 여러 조직이 앱과 API의 보안, 가용성 및 성능을 보장할 수 있도록 지속적으로 지원하고 있다는 점에 깊은 인상을 받았습니다. 또한 F5가 지역사회와 STEM 교육, 선한 영향력을 위한 기술에 투자하는 수준과 다양성을 향한 진정성 있는 노력도 매우 돋보였습니다.
Rachael: 최신 직장 내 여성 보고서에서 McKinsey와 LeanIn.Org는 여성이 리더십 직책에서 여전히 현저히 적은 비중을 차지하고 있음을 강조합니다. 사이버 보안 분야의 리더를 꿈꾸는 과소대표 집단 구성원들에게 조언해 주실 말씀이 있나요?
Angel: 경험을 쌓는 유일한 방법은 직접 경험해 보는 것입니다. 자신만의 로드맵을 만드는 것부터 시작하고, 기존의 낡은 사회적 기준에 따라 정해진 로드맵과 자신을 비교하지 마세요. 지역 업계 단체에 가입하는 등 자신에게 맞는 로드맵을 손쉽게 구축하고 사이버 보안 지식과 커리어를 발전시킬 수 있는 방법은 많습니다. 또는 최고의 사이버 보안 블로그 100선을 읽고 무료 사이버 보안 강좌를 살펴보며 지식을 넓힐 수도 있습니다. 그리고 삶의 단계에 따라 우선순위와 행복의 기준이 달라질 때는 주저하지 말고 자신의 로드맵을 새롭게 작성하세요.
Rachael: 사이버 보안 전문가가 되는 것이 자신의 길이라는 걸 깨달은 ‘아하!’의 순간이 있었나요?
Angel: 아들의 컵스카우트 모임에서 신호 및 암호 기능장을 따는 활동을 돕고 있었습니다. 아이들에게 비밀 메시지를 작성한 다음 해독하는 방법을 가르쳐 주었죠. 모임 중에 아들의 친구 한 명이 제가 암호학을 어떻게 아는지 묻는 것을 우연히 들었는데, 아들이 이렇게 대답했습니다. “우리 엄마는 온라인에서 나쁜 사람들로부터 우리를 지켜 주시거든.” 그 순간 저는 사이버 보안 업계에서 일한다는 것이 단순한 직업 이상의 의미를 지닌다는 사실을 깨달았습니다. 우리가 하는 모든 일은 매일 사람들의 삶에 큰 영향을 미칩니다!
Rachael: 아드님이 얼마나 자랑스러워했을지 눈에 선하네요. 지금도 그만큼 자랑스러워할 거라고 확신해요. 당신은 기업가 정신을 갖춘 리더이자, 사이버 보안과 다양성의 중요성을 널리 알리는 저명한 전도사이며, 활발하게 활동하는 대변인이자 블로거이기도 하죠. 게다가 CISSP 자격증도 보유하고 있고요. 커리어에서 가장 자랑스러운 순간은 언제인가요?
Angel: 이상하게 들릴 수도 있지만, 제가 참여했다는 사실에 자부심을 느끼며 자주 되돌아보는 순간 중 하나는 제가 근무하던 회사에서 사이버 보안 침해 사고가 발생했을 때 이를 대응했던 경험입니다. 정부 및 군사 기관, 은행, 의료 서비스 제공업체를 비롯해 전 세계 수많은 조직의 사용자 수백만 명이 영향을 받은 만큼, 이는 겸손을 배우게 한 최고의 경험이었습니다. 이 침해 사고는 누구나 공격 대상이 될 수 있으며, 오늘날 대부분의 조직이 의존하는 방대하고 상호 연결된 제3자 공급망 생태계로 인해 공격 표면의 취약성이 계속해서 더욱 광범위해질 것이라는 사실을 일깨우는 강력한 경종이 되었습니다.
저는 이 침해 사고를 통해 두 가지 중요한 교훈을 얻었습니다. 첫째, 위기 상황에서 리더십을 발휘하려면 내부 및 외부 이해관계자와 명확하게 소통하는 것이 무엇보다 중요하다는 점입니다. 당시 CEO는 법적으로 허용되는 범위 내에서 최대한 많은 세부 정보를 공개하고 고객을 최우선으로 생각해야 한다고 단호하게 주장했으며, 모든 고객이 스스로를 보호하는 방법을 알 수 있도록 즉시 팀을 소집해 고객 한 명 한 명에게 연락하도록 했습니다.
둘째, 사이버 보안에는 진정한 공동체의 힘이 필요합니다. 이 업계에는 사명감에서 비롯된 진정한 공동체 의식이 존재합니다. 전직 직원과 글로벌 조직, 여러 기관이 힘을 모아 동료들이 공격자를 추적하도록 돕고, 궁극적으로 침해를 당한 조직을 가해자가 아닌 피해자로 바라보도록 인식을 바꾸는 모습은 놀라웠습니다.
Rachael: 공격 표면의 규모는 입이 떡 벌어질 정도입니다. 끊임없이 변화하는 위협 환경에 맞서려면 사이버 보안 분야의 성별 격차를 해소하는 데 더 큰 진전을 이루는 것이 매우 중요합니다. 다른 위협보다 특히 밤잠을 설치게 하는 위협 한 가지를 꼽는다면 무엇인가요?
Angel: 20년간 사이버 범죄와 싸우며 깨달은 것은, 사이버 범죄가 기술보다는 심리와 경제의 문제에 더 가깝다는 점입니다. 범죄자들의 동기는 대개 비슷한 심리적 요인에서 비롯되며, 이로 인해 범죄를 저지를 기회와 수단을 모색하게 됩니다. 그렇기 때문에 지금 제가 가장 우려하는 위협은 생성형 AI가 사이버 범죄의 진입 장벽을 급격히 낮추고 있다는 점입니다.
범죄자들은 범죄를 저지르는 데 따르는 경제적 장벽을 낮추기 위한 촉진제로 AI를 활용하고 있습니다. 예를 들어, ChatGPT 4가 CAPTCHA를 우회하고 계정을 탈취하기 위해 ‘시각장애인’인 척하며 사람을 사회공학적으로 조종할 수 있을 만큼 지능적이라는 사실이 입증된 바 있습니다. 또한 AI가 정교한 피싱 공격에 활용되어 글이나 딥페이크 음성으로 특정 인물을 사칭하고 개인 및 금융 정보를 탈취하거나, AI 기반 봇이 웹사이트와 앱에 접근하는 사례도 확인했습니다. 앞으로 범죄자들이 다형성 악성코드를 생성하는 데 AI를 광범위하게 활용할 것으로 예상해야 합니다.
AI 기반 사이버 공격을 통해 범죄자는 취약점을 신속하게 탐색하고 악용할 수 있으며, 각 공격에 대한 우리의 대응 방식에서 학습해 기존의 인간 공격자보다 훨씬 빠른 속도로 전술을 조정할 수 있습니다. 사이버 보안 업계 역시 AI가 주도하는 사이버 범죄에 맞서기 위해 AI를 선제적으로 도입해 나가야 합니다. F5는 수년간 방어 전략에 AI를 활용해 왔으며, 조직이 Distributed Cloud Bot Defense를 통해 원치 않는 자동화된 악성 트래픽과 정상적인 실제 사용자 트래픽을 구분하여 봇을 방어하고, 범죄자가 전술을 재정비하는 만큼 빠르게 방어 체계를 재정비할 수 있도록 지원합니다.
사이버 보안 인식의 달 20주년을 계기로 사이버 보안 업계 진출에 관심이 생기셨기를 바랍니다. 자세한 내용은 NIST 사이버 보안 경력 경로 자료와 현재 F5에서 채용 중인 직무를 확인해 보세요.
이 블로그 시리즈의 다른 Q&A
성평등을 향한 여정: 사이버 보안 분야 여성 역량 강화에 관한 Navpreet Gill과의 Q&A
성평등을 향한 여정: 사이버 보안에서 다양성의 중요성에 관한 Erin Verna와의 Q&A
성평등을 향한 여정: 사이버 보안 분야의 포용성 확대에 관한 Rachel Zabawa와의 Q&A
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 대한 Jenn Gile과의 Q&A
성평등을 향한 여정: 사이버 보안 분야에서 여성으로서 장벽을 뛰어넘은 카라 스프라그와의 Q&A
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.