????? ??? ?? ??? ??????? ?? ??? ??? ??? ??? ?? ?? ??? ????? ????????? ?? ?? ???? ????. 결함이 있는 업데이트로 인해 크라우드스트라이크의 팔콘 사이버 보안 소프트웨어 윈도우 버전을 실행하는 850만 대의 컴퓨터가 다운된 사실을 대부분 알 것이다. 그러나 한 회사의 소프트웨어 테스트 실패가 IT 업계에 큰 영향을 미치는 상황이 또 발생할까? 전문가들은 기술 분야의 특수성 때문에 이런 일이 쉽게 다시 발생할 수 있다고 말한다. 품질 대 속도크라우드스트라이크는 7월 19일 충돌이 발생하기까지의 개요를 나름대로 제시한 바 있다. 그러나 독립 IT 전문가인 페르난도 말도나도는 크라우드스트라이크의 실패 원인 중 하나가 사이버 보안 업계가 사이버 범죄자들과 경쟁하는 방식에 있다고 진단했다. 그는 “최신 위협에 대응하기 위한 경쟁이 벌어지고 있다. 따라서 위협이 발견되는 시점과 이를 커버하는 시점 사이의 간극을 좁히기 위한 속도 압박있다”라며, 그러다 보니 업데이트의 품질이 떨어질 수 있다고 말했다. 말도나도는 이어 “이전에 이런 일이 발생하지 않았다는 것이 오히려 이상할 정도다. 소프트웨어 품질의 문제다. 하지만 현실에서는 속도가 우선이다. 품질 테스트가 부실할 수밖에 없다”라고 덧붙였다. 그는 이 사건의 역설적인 측면을 강조했다. 크라우드스트라이크의 경우 기술적 우수성과 속도로 명성을 쌓아온 기업이라며, 그는 “크게 성장하면서 어느 순간 민첩성을 유지하기 위해 단계를 희생해야 했고, 그 결과 이런 일이 벌어진 것 같다. 어느 정도 규모가 커진 회사라면 이런 일이 발생하지 않도록 소프트웨어 품질에 대해 추가 작업 필요할 듯하다. 특히 중요한 인프라라면 더욱 그렇다”라고 말했다. 보증 없는 소프트웨어: 법적 공백 상태제품과 서비스에 대한 보증이 부실한 가운데 기술 산업에서 이와 같은 사고는 앞으로도 발생할 수 있다. 규제 당국은 소위 빅 테크의 반발을 사지 않고 혁신을 늦추지 않기 위해 수십 년 동안 이러한 상황을 외면해 왔다. 변호사이자 사이버 보안 컨설턴트인 팔로마 라네자에 따르면, 기업이 기술 제공업체와 체결하는 계약은 대부분 소프트웨어 사용불능 시간을 기준으로 계산된 서비스 중단에 대한 최소한의 보상금을 지급하도록 규정하고 있다. 즉, 7월 19일에 발생한 크라우드스트라이크 장애와 같은 치명적인 결과는 일반적으로 해당 소프트웨어를 판매하는 회사가 법적 책임을 지지 않는다. 라네자는 “소프트웨어의 경우 ‘있는 그대로’ 판매ㄱ된다. 워드 프로세싱 프로그램을 구입했는데 워드 프로세싱에 적합하지 않다면 구매자의 실수다. 사이버 보안 회사가 공격보다 더 나쁜 결과를 초래하는 패치를 배포했다는 역설적일 상황이 펼쳐지기도 했다”라고 말했다. 다른 경제 분야에서 이런 종류의 ‘법적 공백’은 상상할 수 없는 일이다. 라네자는 “모든 규정과 안전 표준을 준수하지 않는 자동차를 구매하겠는가? 많은 사람들은 시스템 관리자가 배포하기 전에 몇 대의 컴퓨터에만 [업데이트]를 다운로드하고 테스트할 수 있는 환경을 갖춰야 한다고 말한다… 판매하는 제품에 문제가 있다고 가정하고 사용해봐야 한다는 이야기다”라고 말했다. 달리 말해 현행 법규상 크라우드스트라이크와 같은 사례는 피할 수 없다. 단 미국에서는 이미 인체 이식형 장치와 같은 특정 사례에 대해 느리게나마 이에 대한 연구가 진행되고 있다고 라네자는 전했다. 미국 식품의약국(FDA)은 심장박동기와 같은 이식형 하드웨어에 배포되는 소프트웨어를 규제하여 이러한 기계에 직간접적으로 영향을 미칠 수 있는 취약점과 사이버 공격을 업데이트할 때 제조업체가 사전 예방적 책임을 지도록 하고 있다. 하지만 이는 극히 일부일 따름이다. “이 원칙(보증의 부재)이 절대적으로 만연하기 때문에 모든 사람이 완전히 다른 방향을 바라보게 된다”라고 라네자는 덧붙였다. 상호 운용성이 문제일까?사건 발생 며칠 후 마이크로소프트는 시스템 충돌을 규제하는 또 다른 이슈, 즉 을 언급했다. 회사 대변인은 월스트리트 저널에 마이크로소프트가 체결한 상호 운용성 약정(Interoperability Commitment)으로 인해 보안상의 이유로 윈도우 운영 체제를 완전히 잠그는 조치를 수행할 수 없었다고 말했다. 빅테크의 반경쟁적 행위에 맞서기 위한 노력의 일환으로, 마이크로소프트는 보안 소프트웨어 제조업체에 마이크로소프트와 동일한 윈도우 액세스 권한을 부여해야 했다. 그러나 유럽연합은 애플이나 구글과 비슷한 합의를 이끌어내는 데 실패한 바 있다. IDC는 웹사이트에 게시한 에서 이 점에 대해 마이크로소프트의 의견에 동의했다. “생태계의 독립 소프트웨어 공급업체[ISV]에게 시스템 커널에 대한 직접 액세스 권한을 부여함으로써 운영체제 공급업체는 본질적으로 신뢰 가치 사슬에서 스스로를 제거하고 있다”라고 이 분석 회사는 말했다. IDC의 관점에서는 주요 운영체제 공급업체가 처한 상반된 입지가 드러난다. 마이크로소프트는 최소 12개 이상의 ISV가 최신 엔드포인트 보호 소프트웨어를 제공할 수 있는 보다 개방적인 접근 방식을 채택할 수밖에 없었다. 반면, 애플은 엔드포인트 보호에 대해 보다 규범적이고 폐쇄적인 ‘벽으로 둘러싸인 정원’ 방식을 채택하고 있어 어떤 공급업체도 iOS 또는 맥OS 커널에 잠재적으로 치명적인 영향을 미칠 수 있는 구성 변경을 도입하는 것이 불가능하다. 이로 인해 불공정 경쟁 혐의로 유럽 위원회와 충돌하기도 했다. 물론 가격, 품질 또는 다른 제품과의 상호 운용성 측면에서 시장에서 지배적인 위치를 점하고 있는 특정 소프트웨어 공급업체에 대한 집중은 소규모 기술 회사가 제품을 개선하고 시장 점유율을 축적하는 것을 더 어렵게 만든다. “그렇다고 해서 [빅 테크]가 법적 관점에서 지배적 지위를 남용한다는 것은 아니다. 어디에서나 소프트웨어를 개발하는 사람들이 있고 이를 수행할 수 있는 충분한 인재가 있다. 또 다른 한 가지는 특정 공급업체의 서비스와 제품이 더 경쟁력이 있기 때문에 집중이 발생한다는 것”이라고 라네자는 설명했다. “마이크로소프트는 경쟁을 제한하는 시스템 내 다양한 통합으로 인해 수년 동안 유럽연합으로부터 제재를 받아왔다. 오랫동안 이 분야에 종사해 온 기업들은 지배적 지위에 근접하기 위해 가능한 모든 방법을 동원하고 경보가 울리지 않을 정도로만 이를 남용한다”라고 그는 말했다. 이러한 맥락에서 말도나도는 크라우드스트라이크 사례가 시사하는 바에 대해 “우리가 일을 하는 방식과 우리가 생성하는 의존성에 대한 성찰이 필요하다”라고 말했다. 그에 따르면 많은 상호 의존성이 있다. 모든 은행에 영향을 미칠 필요는 없다. 12개 은행에 영향을 미치는 것으로 충분하다. 모든 은행이 서로 연결되어 있기 때문에 모든 은행에 영향을 미칠 수 있는 셈이다. 이는 소프트웨어 의존적 경제에 존재하는 취약성을 해결할 실마리를 제공한다. 인공지능 시대 속 인간의 역할크라우드스트라이크의 실패와 기술 산업에 영향을 미치는 시스템적 문제에 그치지 않는다. 이번 전 세계적인 컴퓨터 정전 사태는 인공지능(AI)이 모든 것을 지배하는 시대에 인간은 소모품이 아니며, 세상은 중요한 결정을 기계의 손에 맡길 준비가 되어 있지 않다는 점을 분명히 보여줬다는 평가도 있다. 말도나도는 공항에서 승객의 화면이 파란색으로 변했을 때 수동으로 체크인을 해야 하는 것은 사람일 뿐만 아니라, 각 PC나 서버를 고쳐야 하는 것도 사람이라고 말했다. 그는 “이런 문제가 발생하면 자동화로 해결할 수 있는 것이 아니라 사람이 직접 해결해야 한다. 이번 정전 사태는 ‘이봐, 우리는 정말 이 모든 것을 특정 자동화에 맡길 준비가 되어 있는가’라는 반성을 불러일으켰다. 지금은 플랜 B가 있어야 한다. 내일은 두고 보아야 하겠지만 말이다”라고 말했다. 라네자에게 이러한 사례는 기술 부문에 대한 더 강력한 규제의 필요성을 반영한다. 규제가 혁신을 억압한다는 일부의 가설을 뒤집는 증거라는 이야기다. “모든 기술 발전에서 항상 유지되어 온 입장이 있는데, 이는 마치 서부 개척시대처럼 먼저 사람들을 풀어놓고 서로 죽이고 죽여서 영토를 정복한 다음 사람들이 정착하면 보안관을 임명하고 규칙을 정하자는 것이다. 18시간 일하고 쉬지 않고 공장에서 살던 사람들이 산업혁명과 함께 일어났다. 미국이나 유럽에서는 전혀 규제되지 않았고 혁신이 무엇보다 우선시됐다. 그 결과가 나타나고 있으며 재앙적인 결과를 낳고 있다”라고 이 변호사는 말했다. “따라서 인공지능은 분명히 규제되어야 한다. 기술은 인간을 위해 존재하는 것이지 인간을 위해 존재하는 것이 아니라는 사실을 우리는 계속 잊고 있는 것 같다”라고 라네자는 결론지었다.dl-ciokorea@foundryco.com ???? ???? ??? ??? IT ??? ???? ??? ????! ??? ??? ??? ?????. ????