Nadya Bartol: Better cybersecurity starts with honesty and accountability | TED

Transcriber:

번역: 혜지 장 검토: JY Kang

Today, I'm going to talk about a shameful topic.

오늘은 부끄러운 얘기를 해보려고 합니다.

This has happened to many of us, and it's embarrassing,

우리 대부분에게 해당되는 것이고 당황스러운 얘기예요.

but if we don't talk about it, nothing will ever change.

하지만 우리가 이 얘기를 하지 않으면 아무것도 바뀌지 않습니다.

It's about being hacked.

바로 해킹에 대한 것입니다.

Some of us have clicked on a phishing link and downloaded a computer virus.

우리 중 몇몇은 피싱 사기 링크를 클릭하거나

컴퓨터 바이러스를 다운받은 적 있을 겁니다.

Some of us have had our identities stolen.

개인정보를 도난당한 분도 있겠죠.

And those of us who are software developers

우리 같은 소프트웨어 개발자들 중에는

might have written insecure code with security bugs in it

보안에 오류가 있는 위험한 코드를 썼을지도 모릅니다.

without realizing it.

그런 줄도 모르고 말이죠.

As a cybersecurity expert,

사이버보안 전문가로서

I have worked with countless companies on improving their cybersecurity.

저는 수많은 기업과 사이버보안을 개선하는 일을 해왔습니다.

Cybersecurity experts like me have advised companies

저 같은 사이버보안 전문가들은 기업들에게 여러 조언을 해줍니다.

on good cybersecurity practices,

바람직한 사이버보안 활동,

monitoring tools

감시 도구와

and proper user behaviors.

적절한 사용자 행동에 대해서요.

But I actually see a much bigger problem that no tool can fix:

하지만 어떤 도구로도 고칠 수 없는 매우 심각한 문제를 발견했죠.

the shame associated with the mistakes that we make.

바로 우리가 저지르는 실수에 대한 수치심입니다.

We like to think of ourselves as competent and tech savvy,

우리는 우리 스스로를 유능하며 최신기술을 잘 안다고 생각합니다.

and when we make these mistakes that can have a really bad impact

우리와 회사에 막대한 영향을 주는 살수를 저질렀을 때도 그렇습니다.

on us and our companies --

anything from a simple annoyance,

성가신 사소한 실수에서

to taking a lot of time to fix,

수정에 많은 시간이 필요한 실수나

to costing us and our employers a lot of money.

막대한 비용이 필요한 경우에 이르기까지 말이죠.

Despite billions of dollars that companies spend on cybersecurity,

기업이 사이버보안에 수십 억을 들였음에도 불구하고,

practitioners like me see the same problems over and over again.

저 같은 전문가들은 같은 문제를 계속해서 발견합니다.

Let me give you some examples.

예를 들어 보겠습니다.

The 2015 hack of Ukrainian utilities

2015년 우크라이나에 있었던 전력시설 해킹으로

that disconnected power for 225,000 customers

225,000개 고객들의 전기 공급이 끊겼고

and took months to restore back to full operations

복구에만 몇 달이 걸렸습니다.

started with a phishing link.

피싱 사기 링크를 통한 해킹이었죠.

By the way, 225,000 customers is a lot more 225,000 people.

하지만 225,000개 고객 수에 비해 피해자 수는 그 이상입니다.

Customers can be anything from an apartment building

고객은 아파트 빌딩에서부터

to an industrial facility

산업 시설,

to a shopping mall.

쇼핑몰까지 다양하니까요.

The 2017 data breach of Equifax

2017년 에퀴팩스사의 정보 유출 사건으로

that exposed personally identifiable information

개인정보를 도난당한 사람만

of 140 million people

1억4천만 명에 달하고

and may ultimately cost Equifax something on the order of 1.4 billion dollars:

에퀴팩스사는 14억 달러에 달하는 손실을 입게 될 것입니다.

that was caused by an exploitation of a well-known vulnerability

그것은 이미 잘 알려진 취약성을 이용한 것이었습니다.

in the company's customer consumer complaint portal.

그 기업의 고객 불만 게시판에 이미 올라온 내용이었죠.

Fundamentally, this is about technology and innovation.

이것은 근본적으로 기술과 혁신에 관한 것입니다.

Innovation is good; it makes our lives better.

혁신은 좋습니다. 우리 삶을 더 좋게 만드니까요.

Most of the modern cars we drive today are fundamentally computers on wheels.

오늘날 우리가 타고 다니는 최신 자동차들 대부분은

바퀴 달린 컴퓨터입니다.

They tell us where to go to avoid traffic, when to take them in for maintenance

교통혼잡을 피해 어디로 가야하는지, 언제 수리가 필요한지 알려주고

and then give us all kinds of modern-day conveniences.

많은 최신의 편의성들을 제공합니다.

Many people use connected medical devices like pacemakers

많은 사람들이 몸에 연결된 의료 장치를 사용합니다.

심박조절기와 인슐린 주사기가 있는 당뇨 감시 장치같은 것들이요.

and glucose monitors with insulin pumps.

These devices make these people's lives better

이런 장치들은 우리 삶을 더 좋게 만들고

and sometimes even extend their lives.

때로는 생명을 연장해주기도 합니다.

But anything that can be interconnected can be hacked when it's connected.

하지만 상호연결될 수 있는 어떤 것이든 연결됐을 때 해킹될 수 있습니다.

Did you know that the former US Vice President Dick Cheney

예전에 미국 부통령 딕 체니가 심장이식을 받기 전에

kept his pacemaker disconnected from Wi-Fi before he received a heart transplant?

심박조절기의 와이파이 연결을 끊어뒀던 것 알고 계신가요?

I will let you figure out why.

왜 그런지 알려드리겠습니다.

In a digitally interconnected world, cyber risks are literally everywhere.

디지털로 상호연결된 세상에서

사이버 위협은 말그대로 어디에나 있습니다.

For years, my colleagues and I have been talking about

지난 몇 년간, 저와 제 동료들은

this elusive notion of cybersecurity culture.

사이버 보안 문화의 모호한 개념에 대해 다루어 왔습니다.

Cybersecurity culture is when everybody in the organization

사이버 보안 문화는

한 기관에 속한 모든 구성원이 사이버 보안을 자신의 일처럼 생각해서

believes that cybersecurity is their job,

knows what to do and what not to do

해야 할 것과 하지 말아야 할 것을 알고

and does the right thing.

적절한 조치를 취하는 것입니다.

Unfortunately, I can't tell you which companies do this well,

안타깝게도 어떤 기업이 잘 하고 있는지 말씀드릴 수는 없습니다.

because by doing so, I would put a juicy target on their backs

만약 그걸 공개하면 그 기업들은 달콤한 먹잇감이 되어

for ambitious attackers.

야심찬 해커들이 공격할 테니까요.

But what I can do is make cybersecurity less mysterious,

하지만 제가 할 수 있는 것은

사이버 보안의 신비감을 없애고

bring it out into the open and talk about it.

그에 대한 논의의 장을 여는 것입니다.

There should be no mystery or secrecy within an organization.

조직에서는 어떠한 숨김도 비밀도 없어야 합니다.

When something is invisible and it's working,

무언가 보이지 않는 것이 작동하고 있을 때,

we don't know that it's there until it's not there.

그것이 없어질 때까지는 그런 게 있었는지도 모릅니다.

Kind of like toilet paper.

화장실 휴지나 마찬가지죠.

When the COVID-19 pandemic began,

코로나19 대유행이 시작될 떄,

what has been there all of a sudden became super important

갑자기 생겨나고는 엄청나게 중요한 것이 되었습니다.

because we couldn't find it anywhere.

어디에서도 찾을 수 없었기 때문이죠.

Cybersecurity is just like that:

사이버보안도 마찬가지입니다.

when it's working, we don't know, and we don't care.

우리는 그것이 작동하는 걸 모르고 신경도 쓰지 않습니다.

But when it's not working,

하지만 작동하지 않을 때,

it can be really, really bad.

정말 정말 나빠질 수 있습니다.

Toilet paper is pretty straightforward.

화장지는 꽤 단순하지만

Cybersecurity is mysterious and complex.

사이버보안은 이해하기 힘들고 복잡하죠.

And I actually think it starts with the notion of psychological safety.

저는 그것이 심리적 안전 개념에서 시작한다고 봅니다.

This notion was popularized by an organizational behavior scientist,

이 개념을 대중화시킨 분이

조직행동학자인 에이미 에드먼슨입니다.

Amy Edmondson.

Amy studied behavior of medical teams in high-stakes situations like hospitals,

그녀는 병원 같은 급박한 상황에서 의학 팀들의 행동을 연구했습니다.

where mistakes could be fatal.

그런 곳은 실수가 치명적 결과를 낳죠.

And she found out that nurses were not comfortable

그리고 그녀는 간호사들이 의사에게 뭔가를 제의할 때

bringing up suggestions to the doctors

불편함을 느끼는다는 걸 알았습니다.

because of the fear of questioning authority.

권위에 도전하는 것에 대한 공포감 때문이죠.

Amy helped improve medical teams

에이미는 의료팀 개선을 통해

to make nurses more comfortable bringing up suggestions to the doctors

간호사들이 환자 치료에 대해 의사에게 더 편하게 제의할 수 있게 했습니다.

for patient treatment

without the fear of being scolded or demeaned.

야단 맞거나 창피당하는 두려움 없이 말이죠.

For that to happen, doctors needed to listen and be receptive --

이를 가능케 하려면, 의사는 듣고 받아들일 줄 알아야 합니다.

without judging.

미리 판단하지 않고 말이죠.

Psychological safety is when everybody is comfortable speaking up

심리적 안정은 모두가 편하게 말하고

and pointing things out.

편하게 지적힣 수 있을 때 생깁니다.

I want cybersecurity to be the same.

저는 사이버보안도 같았으면 합니다.

And I want cybersecurity practitioners to be comfortable bringing suggestions up

그리고 사이버 보안 종사자들이 편하게 의견을 제시하면 좋겠습니다.

to senior executives or software developers,

고위 임원들이나 소프트웨어 개발자들에게요.

without being dismissed as those people who continue to talk about

그들에게 해고당하는 일도 없으면 좋겠습니다.

그들은 공포와 오류 얘기만 반복하고

horrors and errors,

and say no.

안 된다고만 하죠.

Not doing so is really hard

그렇게 하지 않는 것이 정말 힘든 이들도 있습니다.

for the individuals who are responsible for the creation of digital products

디지털 제품 개발을 담당하는 사람들이죠.

because fundamentally, it's about their pride and joy in their creations.

왜냐하면 그들은 개발하는 것에 대한 자부심과 즐거움이 있기 때문입니다.

I once tried talking to a senior software development executive

한번은 소프트웨어 개발 고위 임원과 대화를 시도한 적이 있습니다.

about the need to do better security.

더 나은 보안의 필요성을 얘기하자

You know what he said?

그가 뭐라고 말했을까요?

"Are you telling me we're developing insecure code?"

“우리가 보안이 취약한 프로그램을 개발하고 있다는 말인가요?”

In other words, what he heard was, "Your baby is ugly."

말하자면, 그에게는 이렇게 들린 거죠. “당신 아기는 참 못 생겼네요.”

What if instead of focusing on what not to do,

하지 말아야 할 것에 집중하는 대신에

we focused on what to do?

해야 할 것에 초점을 맞추면 어떨까요?

Like, how do we develop better software

예를 들어, 어떻게 하면 더 나은 소프트웨어를 개발하고

and protect our customer information at the same time?

동시에 고객의 정보를 보호할 수 있을지에 대해서요.

Or how do we make sure that our organization is able to operate

또는 어떻게 하면 우리의 조직이 잘 돌아갈지에 대해서요.

in crisis, under attack or in an emergency?

위기, 해킹 공격 또는 비상상황에서 말이죠.

And what if we reward good things that people do in cybersecurity in some way

그리고 사이버보안 종사자들의 성과에 어떤 식으로든 보상을 주고

and encourage them to do so,

일을 잘 하도록 격려하면 어떨까요?

like reporting security incidents,

보안 사고를 보고하고,

reporting potential phishing emails,

피싱 사기 의심 메일을 알리거나,

or finding and fixing software security bugs

자신이 개발한 소프트웨어의 오류를 찾아내고

in the software that they develop?

수정하도록 하는 거죠.

And what if we tied these good security actions to performance evaluations

또 이러한 우수한 보안 조치를 업무 평가에 반영하면 어떨까요?

to make it really matter?

그러면 정말 신경 쓰겠죠?

I would love for us to communicate these good cybersecurity things

저는 훌륭한 사이버보안에 대해 함께 소통하길 원하고

and encourage them in some sort of company-wide communications

회사 전체가 소통하도록 장려하고 싶습니다.

like newsletters, blogs, websites, microsites --

소식지, 블로그, 웹사이트, 마이크로사이트 등등

whatever we use to communicate to our organization.

조직과 소통할 수 있는 모든 수단을 통해서요.

What if a company announced a competition for who finds the most security bugs

회사에서 대회 같은 걸 열면 어떨까요?

누가 보안 버그를 많이 찾아내고

and fixes them in a two-week development sprint

2주 개발 기간 내에 오류를 고치는 대회 말이죠.

and then announces the winner of the competition for the quarter

그리고 분기별로 대회 우승자를 뽑아서

가상공간의 회사 대강당에서 발표하고

at a large company virtual town hall,

and then rewards these people, these winners, with something meaningful,

그 우승자들에게 상을 주는 겁니다. 의미있는 것들로요.

like a week's vacation or a bonus.

일주일 간의 휴가라든가 보너스 같은 거 말이죠.

Others will see the celebration and recognition,

그렇게 축하받고 인정받는 걸 보는 사람들은

and they'll want to do the same.

자신들도 그렇게 하고 싶을 것입니다.

In the energy industry,

에너지 산업계에는

there is a really strong culture of safety.

안전에 대해 아주 강한 문화가 존재합니다.

People care about this culture, are proud of it,

사람들은 이 문화에 관심을 가지고, 자랑스러워합니다.

and there is a collective reinforcement of this culture

그리고 이 문화에는 집단적인 강화가 존재하는데,

to make sure that nobody gets hurt.

이를 바탕으로 절대 그 누구도 피해를 입게 두지 않습니다.

One of the ways they exhibit and keep this safety conscious culture going

안전 인식 문화를 드러내고 유지하는 방법 중 한 가지는

is by counting and visibly displaying days since the last safety incident.

마지막 안전 사고로부터 날짜를 세고 눈에 띄게 게시하는 것입니다.

And then everybody works really hard not to have that count go back to zero

그러면 모두가 열심히 일하며

그 숫자가 다시 0으로 돌아가지 않도록 노력하죠.

because that means that somebody did get hurt.

그렇게 됐다는 건 누군가 다쳤다는 뜻이니까요.

Cybersecurity is the same as safety.

사이버보안은 안전과 똑같습니다.

What if we all agree

우리 모두가 한마음으로

to keep that count of days since the last cybersecurity incident

마지막 사이버보안 사고로부터 경과일을

going on forever

영원히 유지하고

and then work really hard not to have it reset to zero?

0으로 돌아가지 않도록 열심히 일하기로 하면 어떨까요?

And then certain things are a no-no,

그리고 절대 하면 안 되는 것을 정하고

and we need to clearly communicate to our organizations what they are

그것들이 무엇인지 조직에 명확하게 전달할 필요가 있습니다.

in an easily digestible and maybe even fun way,

이해하기 쉽고 재밌는 방식으로요.

like gamification or simulations,

게임이나 시뮬레이션 같은 방식으로

to make sure that people can remember this.

사람들이 확실하게 기억할 수 있도록 하는 겁니다.

And if somebody does something they're not supposed to do,

누군가가 하지 말아야 할 것을 했다면

they should face some sort of consequences.

그 댓가를 치러야 할 것입니다.

So, for example, if an employee buys equipment on Amazon or eBay

예를 들어, 한 직원이 아마존이나 이베이에서 장비를 구매했거나

or uses personal Dropbox for their company business,

회사 업무에 개인적으로 웹하드 서비스를 사용한다면

then they should face some sort of consequences.

처벌을 각오해야 할 것입니다.

And when this happens, executives should get the same treatment

그리고 그런 일이 일어나면

임원들도 일반 사원과 동일한 처벌을 받아야 할 것입니다.

as regular employees,

because if they don't, then people won't believe that it's real

그렇게 하지 않으면, 사람들은 실제로 처벌 받지 않는다고 생각하고

and will go back to their old behaviors.

예전의 행동으로 돌아가기 때문입니다.

It's OK to talk about mistakes,

실수라고 할 수도 있습니다.

but just like a teenager who violates the rules tells us about it,

하지만 규칙을 위반한 십대가 잘못을 고백하듯이

we appreciate that they told us about it,

스스로 밝히는 것은 고맙지만

but there should still be some sort of consequences.

여전히 일종의 댓가를 치러야 할 것입니다.

Cybersecurity is a journey.

사이버보안은 여정입니다.

It's not a destination,

목적지가 아니므로

and we need to keep working on it.

우리는 계속해서 노력해야 합니다.

I would love for us to celebrate cybersecurity people

사람들이 사이버보안 종사자들을 기념하면 좋겠습니다.

like the heroes that they are.

영웅처럼 말이에요.

If we think about it, they are firefighters,

생각해보면, 그들은 소방관과

emergency room doctors and nurses,

응급실 의사와 간호사,

law enforcement, risk executives and business strategists

법 집행관, 위험 관리 책임자와 사업전략가,

all in the same persona.

그런 사람들과 다름없습니다.

And they help us protect our modern life that we like so much.

그들은 우리가 그토록 좋아하는 현대 문물을 지키는 데 도움을 줍니다.

They protect our identities, our inventions, our intellectual property,

우리의 개인정보, 발명품, 지적 재산,

our electric grid, medical devices,

전력망과 의료기기,

connected cars and myriad other things.

커넥티드 카, 그리고 수많은 것들을 지켜주죠.

And I'd like to be on that team.

저는 그런 팀에 있고 싶습니다.

So let's agree that this thing is with us to stay,

그러니 그것이 우리와 함께한다는 것을 인정합시다.

let's create a safe environment to learn from our mistakes,

우리의 실수로부터 교훈을 얻어 안전한 환경을 만듭시다.

and let's commit to making things better.

더 나은 환경을 만들겠다고 약속합시다.

Thank you.

감사합니다.