'아무 일도 없었다'는 성과에 대한 관찰

보안 일을 오래 하다 보면 이 직무만의 묘한 구조를 실감하게 됩니다. 일이 잘될수록 조용하다는 것입니다. 영업은 계약이 쌓이는 것이 보이고, 개발은 만든 기능이 화면에 남는데, 보안의 가장 좋은 결과는 '아무 일도 없었다'입니다. 그런데 아무 일도 없는 날은 아무에게도 기억되지 않습니다. 점검을 다니다 보면 비슷한 장면을 반복해서 봅니다 — 몇 해째 사고 없이 운영해 온 보안 담당자가 예산 논의 자리에서는 '그래서 보안팀이 한 게 뭐냐'는 질문 앞에 서는 장면입니다. 성과가 없어서가 아니라, 성과가 눈에 보이지 않는 형태라서 생기는 일입니다.

이 구조는 조직과 개인 양쪽에 같은 함정을 만듭니다. 조직에서는 조용한 시간이 길어질수록 보안이 비용으로만 보이기 시작하고, 개인에게는 '여태 아무 일 없었으니 괜찮은가 보다'라는 안심이 습관을 느슨하게 만듭니다. 여기서 갈리는 지점이 하나 있다고 저는 생각합니다. 그 '아무 일 없음'이 운이 좋았던 결과인지, 방어가 작동한 결과인지를 구분할 수 있느냐는 것입니다. 구분할 근거가 없으면 조용함은 그냥 침묵이고, 근거가 있으면 조용함은 성적표가 됩니다.

그 근거를 만드는 방법이 결국 기록이었습니다. 차단된 시도가 얼마나 있었는지, 어떤 점검을 언제 돌았는지, 복구 시험이 실제로 성공했는지 — 이런 기록이 쌓여 있으면 '아무 일 없었다'는 말이 '이만큼의 시도가 있었지만 막혔다'로 바뀝니다. 같은 조용함인데 전달되는 무게가 완전히 다릅니다. 개인의 생활 보안에서도 축소판을 경험할 수 있습니다. 낯선 곳에서 내 계정에 로그인이 시도되었다는 알림을 받고 2단계 인증이 그것을 막아 준 것을 확인해 보면, 눈에 안 보이던 방어가 실제로 일하고 있었다는 것을 처음으로 체감하게 됩니다. 그 순간의 안심은 꽤 큽니다.

그래서 저는 보안 담당자에게도 입문자에게도 같은 방향을 권하게 됩니다. 조용한 날을 그냥 흘려보내지 말고, 조용함의 근거를 남기고 확인하는 쪽으로요. 막힌 시도를 세어 보고, 복구가 되는지 시험해 보고, 그 결과를 한 줄이라도 적어 두는 것입니다. 이 습관이 자리 잡으면 두 가지가 함께 좋아집니다. 남에게는 보이지 않던 성과를 보여줄 수 있게 되고, 스스로는 오늘의 무사함이 우연이 아니라 설계의 결과라는 확신을 갖게 됩니다. 아무 일 없는 하루하루를 자신의 성과로 읽을 수 있게 되는 것 — 조용한 직무를 오래 지치지 않고 하게 해 주는 힘도 결국 거기서 나온다고, 지금은 생각합니다.