자동화 도구 하나에 필요한 두 번의 기안과 보안 절차

21일 밤, 공공AX 네트워크에 다른 사람들의 업무 환경이 어떤지 궁금하다는 질문이 올라왔다. 질문한 참가자는 파이썬이나 VBA, GAS로 간단한 업무 자동화 도구를 만들고 쓸 때 IT 부서의 승인 절차가 있느냐고 물었다. VBA는 엑셀 등에 쓰는 매크로 언어, GAS는 구글 문서 도구용 스크립트 환경으로, 대화에는 풀이가 없고 이 글의 설명이다. 이 참가자의 곳에서는 기안을 두 번 올리라고 한다는 것이다.

계획 검토 요청 기안 1번, 제작 완료 후 사용 요청 1번

질문한 참가자는 간단한 HTML이나 자바스크립트 작업도 여기에 포함된다고 덧붙였다. 앞서 쉽지 않네요라는 말을 한 뒤였다. 기안은 결재를 받기 위한 문서를 올리는 일로 읽힌다.

도구보다 도구가 기대는 것

25분쯤 뒤, 공공기관에서 인프라를 다룬다고 밝힌 다른 참가자가 답했다. 이 참가자는 개발 환경에서 IDE(코드를 짜는 개발 도구로, 이 글의 풀이다)로 도구를 만드는 일 자체보다, 도구를 만들 때 쓰는 오픈소스의 보안 이슈와 도구가 계속 통신하는 서버의 무결성이 더 중요하지 않겠느냐고 했다.

자신의 방식도 이야기했다. 개인 컴퓨터에서 개발해 설치 없이 도는 포터블 형태(설치 과정 없이 실행되게 묶는 방식, 이 글의 풀이)로 묶고, 실행 파일만 내부로 들여오며, 쓴 오픈소스는 명세해 둔다는 것이다. 웹 DB는 최대한 없애는 쪽이라고 했다.

전 그래서 제 개인 컴퓨터에서 개발하고 포터블로 말아서 exe만 내부로 들여오고 오픈소스는 명세합니다(웹 DB는 최대한 없게끔..)

같은 참가자는 기관이 직접 개발할 때 따라오는 일도 길게 늘어놓았다. 보안팀 입장에서 고민하면 할 것이 너무 많다는 이야기였다.

소스코드 형상관리 개발 운영 배포 네트워크 분리도 필요하고 등등 보안팀 입장에서 고민하면

이 참가자는 스스로 지적하는 입장(물음표를 붙여 말했다)이었다가 업무 부서에 와서 개발하려니 알면서 모르는 척 지나가기도 눈치가 보인다는 말도 했다. 정식으로 가려면 과제로 사업을 만들어 다음 해 예산을 요청하는 길이라는 이야기를 농담조로 풀어 보였고, 사업이 실제 가동되기까지는 2년쯤 걸린다는 식의 우스갯소리도 섞여 있었다.

예산은 같은데 따라오는 것이 늘었다

이 대목에서 인프라 담당 참가자가 요즘엔 N2SF 때문이라고 말을 꺼냈다. N2SF는 방에서 예산 부담의 원인으로 거론된 보안 체계 이름으로, 대화에는 정의가 나오지 않았다. 곧이어 다른 참가자가 예산은 그대로인데 N2SF와 CSO가 함께 딸려 온다고 했다. CSO 역시 방에서 N2SF와 함께 딸려 온다고 불린 것일 뿐 대화에 정의는 없다.

예산은 같은데 뭐 n2sf랑 cso가 다 딸려오니까

같은 참가자는 N2SF가 붙으면 유지보수로 책정할 금액이 거의 없다고 했다. 인프라 담당 참가자는 다들 비슷하다며, 기관에서 EDR을 준비하라고 말했다. EDR은 단말에서 위협을 탐지하고 대응하는 보안 도구를 가리키는 말로, 이 글의 풀이다.

다들 기관에 EDR 준비하십시오

이어진 말은 단말 보안과 백신 이야기였다. 인프라 담당 참가자는 사용자 VDI(가상 데스크톱)에 백신을 설치해 쓰는 기관이 있는지 물었다. 마스터 이미지에 설치해 배포하니 호스트 메모리가 가득 찬다고 했고, 이미지 업데이트를 월 단위로 배포하는데 무엇이 충돌하는지 잘 안 풀린다고도 했다.

사용자 VDI에 백신 설치해서 쓰는 기관 혹시 있으신가요

다른 참가자는 엔진 패턴 업데이트 시간을 분산하는 식으로 쓴 것 같다고 답했고, 또 다른 참가자는 리눅스도 백신 설치 이야기가 나온다며 결국 전부 돈으로 귀결된다고 했다. 이들의 말은 각자 속한 곳의 체감이며, 어느 한 기관의 방침이 아니다.

역할이 넓어진다는 이야기

대화는 일의 범위 쪽으로도 번졌다. 한 참가자는 요새 신종 트렌드 같다며 개발자에게 디자인과 기획 업무를 주고 디자이너에게 개발을 해 보라고 한다는 이야기를 꺼냈다.

개발자한테 디자인 기획 업무 주고.. 디자이너한테 개발 좀 해보라고 하고..

그 뒤로 분업이 없어지는 세상이라는 말이 이어졌다. 다만 이 말들은 농담과 푸념이 섞인 분위기에서 나왔고, 실제 인사 방침을 말하는 것은 아니다.

읽을 점

질문은 승인 절차 하나였지만 답은 보안 체계 쪽으로 쏠렸다. 자동화 도구를 만드는 일이 쉬워질수록, 도구를 쓰기 위해 통과해야 하는 검토와 단말 보안의 무게가 눈에 더 잘 들어온 것으로 보인다. 이 대화에서 확인되는 것은 참가자 몇 사람의 경험이며, 기관 전반의 일반적인 절차로 받아들이기는 어렵다. 같은 도구라도 기안 두 번을 요구하는 곳이 있고, 개인 PC 개발과 과제 사업화로 돌아가는 길을 말하는 곳이 있다는 점이 눈에 띈다.