'보안은 제품이 아니라 습관'이라는 말에 대한 관찰

보안 일을 하다 보면 예산 이야기를 자주 듣게 됩니다. '장비를 더 들이면 되지 않느냐', '그 솔루션을 도입했는데 왜 또 문제냐' 같은 질문입니다. 충분히 이해되는 질문이고, 장비와 솔루션이 필요 없다는 이야기를 하려는 것도 아닙니다. 다만 현장에서 반복해서 보이는 패턴은 이렇습니다 — 사고의 출발점은 대개 장비가 없어서가 아니라, 있는 장비의 설정이 처음 상태 그대로이거나, 경고가 울렸는데 아무도 보지 않았거나, 누군가 '잠깐만 편하게' 규칙을 우회한 지점에 있습니다.

그래서 저는 '보안은 제품이 아니라 습관'이라는 흔한 말을 조금 다르게 읽습니다. 제품을 사지 말라는 뜻이 아니라, 제품은 습관이 있는 조직에서만 제값을 한다는 뜻으로요. 방화벽은 정책을 검토하는 사람이 있을 때 방화벽이고, 로그는 읽는 사람이 있을 때 로그입니다. 같은 장비를 갖춘 두 조직의 보안 수준이 크게 다른 이유는 거의 언제나 장비 바깥 — 사람과 절차 — 에 있었습니다.

개인의 생활 보안도 구조가 같습니다. 비싼 보안 앱을 설치하는 것보다 비밀번호를 돌려쓰지 않는 습관 하나가, 최신 기기를 사는 것보다 모르는 링크를 한 번 더 의심하는 습관 하나가 실제 위험을 더 많이 줄입니다. 습관은 돈이 들지 않는 대신 시간이 듭니다. 그래서 대부분 제품 쪽이 더 쉬워 보이고, 그래서 대부분 제품만 사고 끝냅니다.

이 사이트가 제품 추천을 하지 않는 이유도 여기에 닿아 있습니다. 어떤 제품이 좋은지는 환경마다 다르고 금방 바뀌지만, 왜 그 제품이 필요한지와 어떻게 써야 의미가 있는지는 오래갑니다. 러브시큐의 글들이 겨냥하는 자리는 후자입니다. 장비 카탈로그가 아니라, 장비를 제대로 쓰게 만드는 이해와 습관 쪽 말입니다.