기초부터 탄탄히 - 만들면서 배우는 생성AI

만들면서 배우는 생성 AI - 트랜스포머부터 GPT, DALL·E 2, 스테이블 디퓨전, 플라밍고까지
데이비드 포스터 지음, 박해선 옮김 / 한빛미디어 / 2023년 9월

 

만들면서 배우는 생성AI라고 하면 뭔가 생성모델 쪽 라이브러리를 가지고 실습만 하는 책으로 생각할 수 있겠지만 그렇지 않다. 이 책은 매우 기초적인 내용부터 하나하나 다루고 실무적인 팁까지 다루는 책이다. 

패딩이 무엇인지, 임베딩이란 무엇인지 기초개념까지 저자가 그리고 역자가 하나하나 가르쳐주면서 이끌어가는 책이다. 

사실 처음 AI를 접했을 때 임베딩이라는 단어를 많이 접했고 대충 느낌적인 느낌(?!)으로 임베딩이 뭐겠다 라고 알고는 있었지만, 임베딩이 무엇인지와 같이 기초를 잡고 가지 않아서 나중에 헷갈릴 때가 많았다. 그러니 아무리 활용 위주로 AI를 사용한다고 하더라도 기초적인 용어나 개념같은 건 이런 책을 통해 배우고 가면 좋을 거라고 생각한다.

책이 기초부터 다루고 있긴 하지만 쉬운 책은 아니다. AI가 쉬운 분야가 아니기 때문이다. 하나하나 가르쳐준다고 해도 원래 AI 자체가 어려운 것인데 어느 정도 고생은 해야한다.

그렇게 고생하고 이 책을 본다고 해서 바로 전문 엔지니어급이 될 수 있는 것도 아니고, 미래를 예측할 수 있는 것도 아니다. 다만, 조금 더 그럴 확률이 높아질 수 있을거라고 생각한다. 이 책의 초반부에서 생성모델은 결정론적 모델이 아닌 확률적 모델이라고 강조하듯, 확률적인 사고를 해본다면 이 책을 통해 얻을 수 있는 기대가치는 꽤나 크다고 할 수 있다.

밑줄긋기

p.34~35

생성 모델은 또한 결정적(deterministic)이 아니고 확률적(probabilistic)이어야 합니다. 매번 동일한 값을 출력하는 것이 아니라 다양한 출력 결과를 샘플링할 수 있어야 하기 때문입니다. 모델이 데이터셋에 있는 모든 픽셀의 평균값을 구하는 일처럼 고정된 계산만 수행한다면 생성 모델이 아닙니다. 생성 모델은 생성되는 개별 샘플에 영향을 미칠 수 있는 랜덤한 요소를 포함해야 합니다.

다른 말로 하면 어떤 이미지는 훈련 데이터셋에 있을 것 같고, 다른 이미지는 그렇지 않은 이유를 설명하는 알려지지 않은 확률분포가 있다고 가정합니다. 해야 할 일은 최대한 이 분포에 가깝게 흉내 내는 모델을 만드는 것입니다. 그다음 이 분포에서 샘플링하여 원본 훈련 세트(training set)에 있을 것 같은 새롭고 완전히 다른 샘플을 생성합니다. 

p.36

수학적으로 생성 모델링과 판별 모델링을 정의해보죠.

판별 모델링은 p(y | x)를 추정(estimation)합니다.

즉, 판별 모델링은 샘플 x가 주어졌을 때 레이블 y의 확률을 모델링하는 것이 목표입니다.

생성 모델링은 p(x)를 추정합니다.

즉, 생성 모델링은 샘플 x를 관측할 확률을 모델링하는 것이 목표입니다.

p.37

최근까지 판별 모델링은 머신러닝 분야에서 대부분의 발전을 이끈 원동력이었습니다. 그 이유는 판별 문제에 상응하는 생성 모델링 문제가 일반적으로 훨씬 해결하기 어렵기 때문입니다. 예를 들어 반 고흐 스타일의 그림을 생성하는 모델을 훈련하는 것보다 반 고흐의 그림인지를 예측하는 모델을 훈련하기가 훨씬 쉽습니다. 마찬가지로 찰스 디킨스 스타일의 문장을 생성하는 모델을 만드는 것보다 찰스 디킨스의 글인지 예측하는 모델을 훈련하기가 훨씬 쉽습니다. 최근까지만 해도 대부분의 생성 문제는 근접할 수 없는 영역이었으며 이를 해결할 수 있을지에 대한 의구심이 많았습니다. 창의성을 AI가 따라올 수 없는 순수한 인간의 능력으로 여겼기 때문입니다.

하지만 머신러닝 기술이 발전함에 따라 이러한 가정은 점차 약해지고 있습니다. 지난 10년 동안 이 분야에서 가장 흥미로운 발전은 생성 모델링 작업에 머신러닝을 새롭게 적용하면서 일어났습니다. 예를 들어 아래 그림은 2014년 이후 얼굴 이미지 생성 분야에서 일어난 놀라운 발전 과정을 보여줍니다.

p.41

생성 모델링 프레임워크

- 샘플 데이터셋 X를 가지고 있습니다.

- 샘플이 알려지지 않은 어떤 P_data 분포로 생성되었다고 가정합니다.

- P_data를 흉내내는 생성 모델 P_model을 만들려고 합니다. 이 목표를 달성하려면 P_model에서 샘플링하여  P_data에서 뽑은 것 같은 샘플을 생성할 수 있습니다.

- 따라서 P_model의 바람직한 속성은 다음과 같습니다.

     - 정확도

       생성된 샘플의 P_model이 높으면 P_data에서 뽑은 것처럼 보여야 합니다. 생성된 샘플의 P_model이 낮으면 P_data에서 뽑은 것처럼 보여서는 안 됩니다.

    - 생성

      P_model에서 새로운 샘플을 쉽게 샘플링할 수 있어야 합니다.

    - 표현

     데이터의 다양한 고수준 특성이 P_model로 어떻게 표현되는지 이해할 수 있어야 합니다.

p.43~45

당신의 외모를 모르면서 군중 속에서 당신을 찾고 있는 사람이 있습니다. 이 사람에게 당신 외모를 설명한다고 가정해봅시다. 당신 사진에 있는 픽셀 1의 색상부터 픽셀 2, 픽셀 3 등의 색상을 말하는 식으로 설명하지 않을 것입니다. 대신 상대방이 평균적인 사람의 외모를 안다는 합리적인 가정을 합니다. 그 다음 '나는 금발이다' 또는 '안경을 쓰고 있다'와 같이 픽셀의 그룹에 해당하는 특성으로 이 가정을 개선해갑니다. 이런 설명이 10개 정도만 있으면 상대방은 이를 다시 픽셀로 매핑하여 머릿속에 당신의 이미지를 생성할 수 있습니다. 이 이미지가 완벽하지는 않겠지만 당신을 본 적이 없는 사람도 수백 명의 사람 중에서 당신을 찾을 수 있을 정도로 실제 모습과 비슷할 것입니다.

이것이 표현 학습(representation learning) 이면의 핵심 아이디어입니다. 고차원 표본 공간을 직접 모델링 하는 방식이 아니라 대신 저차원의 잠재 공간(latent space)을 사용해 훈련 세트의 각 샘플을 표현하고 이를 원본 공간의 포인트에 매핑합니다. 다른 말로 하면, 잠재 공간의 각 포인트는 어떤 고차원 이미지에 대한 표현입니다.

실제로 이것은 무엇을 의미할까요? 회색 비스킷 깡통 이미지로 이루어진 훈련 세트가 있다고 가정해보죠.

깡통의 높이와 너비라는 두 가지 특성으로 각 깡통을 고유하게 표현할 수 있습니다. 즉, 훈련 세트의 이미지가 고차원 픽셀 공간으로 주어지더라도 각 깡통의 이미지를 2차원 잠재 공간의 한 포인트로 변환할 수 있습니다. 특히 아래 그림에서처럼 적절한 매핑함수 f를 잠재 공간의 새로운 포인트에 적용하여 훈련 세트에 없는 깡통 이미지를 생성할 수도 있다는 의미입니다.

원본 데이터셋을 간단한 잠재 공간으로 설명할 수 있음을 기계가 깨닫기는 쉽지 않습니다. 먼저 높이와 너비가 이 데이터셋을 가장 잘 설명하는 두 개의 잠재 공간 차원임을 알아야 합니다. 그 다음 이 공간의 한 포인트를 회색 비스킷 깡통 이미지에 매핑하는 매핑 함수 f를 학습해야 합니다. 머신러닝(특히 딥러닝)을 사용하면 사람의 개입 없이 이런 복잡한 관계를 찾도록 기계를 훈련시킬 수 있습니다.

잠재 공간을 활용하는 모델을 훈련하는 장점 중 하나는 의미 있는 잠재 공간에서 표현 벡터를 조작하여 이미지의 고수준 속성에 영향을 미치는 연산을 수행할 수 있다는 것입니다. 비스킷 깡통 이미지가 주어졌을 때 높이를 크게 하려면 개별 픽셀을 어떻게 조정해야 할지 알지 못합니다. 하지만 잠재 공간에서는 간단히 잠재 공간의 높이 차원에 1을 더하고 매핑 함수를 적용해 이미지를 얻을 수 있습니다. 이어지는 장에서는 비스킷 깡통 대신 얼굴 이미지에 적용한 구체적인 예제를 보겠습니다. 

이 책의 뒷부분에서 살펴보겠지만 훈련 데이터셋을 잠재 공간으로 인코딩하고 이 공간에서 샘플링한 다음 디코딩하여 원래 도메인으로 되돌아가는 개념은 많은 생성 모델링 기법에서 널리 사용합니다. 수학적으로 인코더-디코더 기법은 (예를 들면 픽셀 공간에) 데이터가 놓여 있는 고차원 비선현 매니폴드를 샘플링 가능한 단순한 잠재 공간으로 변환합니다. 아래 그림과 같이 이 잠재 공간의 모든 포인트가 잘 구성된 이미지의 표현이 됩니다.

p.48

가능도는 데이터가 아니라 파라미터의 함수입니다. 이를 주어진 파라미터 집합이 올바른지에 대한 확률로 해석해서는 안 됩니다. 다른 말로 하면 파라미터 공간의 확률분포가 아닙니다 (즉, 파라미터에 대해 적분(합)하면 1이 되지 않습니다)

p.49

모든 생성 모델은 궁극적으로 동일한 작업을 해결하는 것이 목표이지만 밀도 함수 p_theta(x)를 모델링하는 방식이 조금씩 다릅니다. 크게 세 가지 방식이 있습니다.

1. 명시적으로 밀도 함수를 모델링하지만 밀도 함수를 다루기 쉽도록 (즉, 계산할 수 있도록) 어떤 식으로 모델을 제약합니다.

2. 다루기 쉬운 밀도 함수의 근사치를 명시적으로 모델링합니다.

3. 데이터를 직접 생성하는 확률적 과정을 통해 밀도 함수를 암묵적으로 모델링합니다.

p.64

이 책의 많은 모델에서는 한 층의 출력이 여러 개의 후속 층으로 전달됩니다. 또는 그 반대로 한 층이 여러 개의 이전 층으로부터 입력받습니다. 이런 모델에는 Sequential클래스가 적합하지 않으며, 훨씬 더 유연한 함수형 API를 사용해야 합니다.

TIP_ 케라스로 처음 선형 모델을 만들 때도 Sequential 모델보다는 함수형 API를 사용하는 것이 좋습니다. 신경망의 구조가 점점 복잡해짐에 따라 장기적으로 더 나은 선택이 됩니다. 함수형 API를 사용하면 심층 신경망의 설계를 완전히 자유롭게 할 수 있습니다.

p.65

Flatten 클래스의 객체를 만든 다음 이 객체를 매개변수 input_layer로 호출했습니다. 파이썬의 객체는 함수처럼 호출할 수 있습니다. 이때 이 객체에 정의된 __call__() 메서드가 호출됩니다. 케라스에서는 이런 식의 객체 호출을 즐겨 사용합니다. 

p.65~66

Input 층은 네트워크의 시작점입니다. 네트워크가 기대하는 입력 데이터 크기를 튜플로 알려주어야 합니다. 배치 크기는 지정하지 않습니다. Input 층에 임의의 이미지 개수를 전달할 수 있기 때문에 배치 크기는 필요하지 않습니다. 따라서 Input 층을 정의할 때 배치 크기를 입력하지 않습니다.

그 다음 Flatten 층은 입력을 하나의 벡터로 펼칩니다. 결과 벡터의 길이는 3,072 (32 * 32 * 3) 입니다. 이렇게 하는 이유는 뒤따르는 Dense 층이 다차원 배열이 아니라 평평한 입력을 기대하기 때문입니다. 나중에 보겠지만 다른 종류의 층은 입력으로 다차원 배열을 사용해야 합니다. 언제 Flatten 층을 사용하는지 이해하려면 층마다 필요한 입력과 출력의 크기를 알아야 합니다.

Dense 층은 기본적인 신경망 구성 요소입니다. 이 층에는 이전 층과 완전하게 연결(fully connected)되는 유닛이 있습니다. 즉, 이 층의 각 유닛은 이전 층의 모든 유닛과 연결됩니다. 연결마다 하나의 (양수 또는 음수인) 가중치가 동반됩니다. 유닛의 출력은 이전 층에서 받은 입력과 가중치를 곱하여 더한 것입니다. 그 다음 비선형 활성화 함수 (nonlinear activation function)를 통과하여 다음 층으로 전달됩니다. 활성화 함수는 신경망이 복잡한 함수를 학습하는 데 아주 중요한 역할을 합니다. 그렇지 않으면 입력을 선형적으로 조합한 값만 출력할 것입니다. 

p.72

전체 데이터셋을 사용해 훈련 스텝마다 그레이디언트를 계산하는 작업은 너무 시간이 오래 걸리고 계산 비용이 많이 듭니다. 일반적으로 32에서 256 사이의 배치 크기를 사용합니다. 요즘엔 훈련이 진행됨에 따라 배치 크기를 증가시키는 방식을 권장합니다.

Samuel L. Smith et al., "Don't Decay the Learning Rate, Increase the Batch Size.", November 1, 2017. https://arxiv.org/abs/1711.00489. 옮긴이주 -> Adam, RMSProp과 같은 옵티마이저는 훈련이 진행됨에 따라 최솟값을 찾기 쉽도록 학습률을 줄여갑니다. 이 논문은 학습률을 줄이는 대신 배치 크기를 늘리는 방식으로 훈련 반복 횟수를 줄이면서 동일한 정확도를 얻을 수 있다고 소개합니다. 케라스 훈련 과정에서 배치 크기를 조정하려면 fit 메서드 대신 train_on_batch 메서드를 사용하세요. 

p.76

합성곱은 원래 계산하기 전에 필터를 뒤집습니다. 필터를 뒤집지 않고 계산하는 것은 교차 상관(cross correlation)입니다. 합성곱 층은 처음에 필터를 랜덤하게 초기화하기 때문에 뒤집는 것이 의미가 없습니다. 실제로 합성곱 층은 교차 상관을 수행하지만 관례적으로 합성곱이라 부릅니다. 

p.79

padding = "same"으로 지정하면 여러 개의 합성곱 층을 통과할 때 텐서의 크기를 쉽게 파악할 수 있기 때문에 유용합니다. padding = "same"인 합성곱 층의 출력 크기는 다음과 같습니다.

(입력 높이 / 스트라이드, 입력 너비 / 스트라이드, 필터 개수)

p.81

입력의 크기는 (None, 32, 32, 3)입니다. 케라스는 None을 사용해 한꺼번에 임의 개수의 이미지를 네트워크로 통과시킬 수 있음을 표현합니다. 네트워크는 텐서에 대해 대수학 계산을 수행하므로 이미지를 하나씩 전달할 필요가 없습니다. 대신 여러 개를 묶어 배치로 전달합니다.

p.82

손실 함수가 NaN을 반환하기 시작하면 가중치가 오버플로(overflow) 오류를 발생시킬 만큼 커졌다는 신호입니다.

p.82~83

신경망에 주입되는 입력 데이터를 스케일 조정하는 이유 중 하나는 처음 몇 번의 반복 훈련을 안정적으로 시작하기 위해서입니다. 네트워크의 가중치가 랜덤하게 초기화되었기 때문에 스케일이 조정되지 않은 입력은 큰 활성화 출력을 만들어 그레이디언트 폭주로 바로 이어질 가능성이 있습니다. 그래서 입력층으로 0~255 사이의 픽셀 값을 전달하는 대신 -1에서 1 사이의 값으로 스케일을 바꿉니다.

입력 스케일을 조정했기 때문에 모든 층의 활성화 출력도 비교적 스케일이 안정되리라 기대할 수 있습니다. 초기에는 맞는 말입니다. 하지만 네트워크가 훈련됨에 따라 가중칫값이 랜덤한 초깃값과 멀어지기 때문에 이런 가정이 무너지기 시작합니다. 이런 현상을 공변량 변화(covariate shift)라고 부릅니다.

배치 정규화(batch normalization)는 이 문제를 극적으로 줄이는 해결책입니다. 방법은 놀랍게도 간단합니다. 훈련하는 동안 배치 정규화 층은 배치에 대해 각 입력 채널별로 평균과 표준 편차를 계산한 다음 평균을 빼고 표준 편차로 나누어 정규화합니다. 채널로 학습되는 두 개의 파라미터가 있습니다. 스케일 파라미터(gamma)와 이동 파라미터(beta)입니다. 정규화한 입력을 gamma로 스케일 조정하고 beta로 이동시켜 출력합니다.

p.84~85

예측할 때는 이 층이 어떻게 동작하는지 궁금할 것입니다. 예측을 수행할 때는 하나의 샘플에 대해 예측을 만들기 때문에 평균과 표준 편차를 계산할 배치가 없습니다. 이 문제를 처리하기 위해 훈련 과정에서 배치 정규화 층이 채널별로 평균과 표준 편차의 이동 평균(moving average)을 계산하여 저장합니다. 테스트할 때 이 값을 사용하여 입력을 정규화합니다.

배치 정규화 층에는 몇 개의 파라미터가 필요할까요? 이전 층의 채널마다 스케일(gamma)과 이동(beta)을 위한 2개의 가중치가 학습되어야 합니다. 이 둘은 학습되는 파라미터입니다. 평균과 표준편차의 이동 평균은 채널마다 계산되지만, 역전파를 통해 훈련되는 것이 아니라 층을 통과하는 데이터에서 계산됩니다. 이 둘은 훈련되는 파라미터가 아닙니다. 종합해보면 채널마다 4개의 파라미터가 있고 2개는 훈련되고 2개는 훈련되지 않습니다.

p.86

p의 확률로 유닛을 드롭아웃하여 모델을 훈련하면 테스트할 때는 모든 유닛을 사용하기 때문에 1/(1-p)배 만큼 더 큰 출력이 만들어집니다. 이를 보완하려고 테스트할 때 출력에 (1-p)를 곱하여 감소시킵니다. 케라스와 같은 구현에서는 테스트할 때 출력을 보정하지 않고 훈련할 때 드롭아웃 층의 출력을 (1-p)로 나누어 증폭시킵니다. 두 방식이 완전히 같지는 않지만 잘 작동합니다.

p.97

인코더는 디코더가 정확하게 재구성할 수 있도록 가능한 한 많은 정보를 내포시키려 하므로 이 벡터를 임베딩(embedding)이라고도 합니다.

오토인코더(autoencoder)는 단순히 어떤 항목의 인코딩과 디코딩 작업을 수행하도록 훈련된 신경망입니다. 이 과정을 통해 출력이 가능한 한 원본 아이템에 가까워지도록 합니다.

p.99

오토인코더는 두 부분으로 구성된 신경망입니다.

- 인코더: 네트워크는 이미지 같은 고차원 입력 데이터를 저차원 임베딩 벡터로 압축합니다.

- 디코더: 네트워크는 임베딩 벡터를 원본 도메인으로 압축 해제합니다 (예를 들어 이미지로 되돌립니다).

기본에 충실하라 - 보이지 않는 위협

보이지 않는 위협 - 66가지 이야기로 풀어낸 사이버 보안의 전장
김홍선 지음 / 한빛미디어 / 2023년 8월

 

IT 보안에 대한 책이라 고도의 기술적 내용이 나올 것 같지만, 의외로 그런 내용에 대한 비중은 적다. 대중을 대상으로 한 책이기도 하거니와 저자가 생각하는 IT보안은 단순히 Hard Technology에만 머무는 것이 아니기 때문이다. 특히 경영을 하는 입장에선 더더욱 그렇다고 강조한다. 

그래서 저자는 CISO에게 가장 중요한 것이 무엇이냐는 질문에 이렇게 답한다.

"조직 장악력입니다."

물론 유능한 보안 전문가가 당연히 필요하고, 양성되어야 한다. 그걸 부인하는 것이 아니다. 다만 더 거시적인 시각을 가지고 바라볼 필요가 있다는 것이다. 모든 존재는 유한한 자원을 가지고 있기 때문에 유한한 자원을 효율적으로 사용하려면 어느 한 쪽면만 바라볼 것이 아니라 여러 면을 바라보고 자원배분을 해야하기 때문이다. 

보안에 대해서는 전혀 모르지만 IT 생태계에서 일어나는 경험들은 도메인을 가리지 않고 비슷하게 일어나고 있는 것 같아 씁쓸하게 이 책을 읽었다. 그렇기에 저자가 강조하는 최신 기술/솔루션만 보지 말고 기본에 충실하라는 말이 와닿았다. 

이렇게 조직/경영 적 관점에 대한 글이 많으면서도 의외로 잘 몰랐던 해킹 사건들에 뒷이야기에 대해서도 배울 수 있는 책이라 흥미로웠다. 미국이 어떻게 이란의 핵시설을 해킹하려고 했는지, 북한이 소니픽쳐스를 어떻게 해킹하고 미국은 어떻게 대응했는지 등을 이 분야의 전문가에게서 들으니 실감나고 깊이 이해되는 느낌이었다. 

밑줄긋기

p.23

낫페트야 사건은 고의로 제작된 악성코드가 원전 시스템을 기습적으로 침입해 발생했다. 원전 감독자가 전하는 당시 급박했던 상황을 들어보자.

"불과 7분만에 컴퓨터 2500여 대가 다운됐고 여기저기서 전화벨이 울렸어요. 가장 큰 문제는 방사선 수치를 모니터링하는 컴퓨터가 동작하지 않았다는 겁니다. 아무도 방사선 상태를 알 수 없었어요."

감독자는 급한 마음에 확성기를 들고 방사선 수치를 직접 눈으로 점검하라고 소리쳤다. 30여 년 전 체르노빌의 참사가 되풀이되면 안 된다는 절박한 마음이었을 것이다.

낫페트야로 인한 피해는 우크라이나에 국한되지 않았다. 세계 1위의 해운 기업 머스크, 세계적 제약 회사 머크 등 현지 법인을 통해 전 세계로 퍼져 나갔다. 심지어 러시아 기업도 피해를 입었다. 만일 러시아 해커가 우크라이나를 공격하려고 벌인 일이라면 그 공격이 자국의 기업에 피해를 주는 부메랑이 되어 돌아온 셈이다.

우크라이나를 향한 사이버 공격은 2014년으로 거슬러 올라간다. 2014년 2월 친 러시아 성향의 빅토르 야누코비치 대통령은 오랜 반정부 시위로 퇴진했다. 우크라이나 혁명은 일견 성공한 것처럼 보였다. 그러나 곧바로 러시아가 반격을 시작했다. 크림반도에 군대를 투입했고 3월 21일 크림자치공화국을 강제 합병했다.

이후 우크라이나는 국가 안보를 위협받는 극도의 사이버 공격을 받았다.

p.25-26

그런데 이상하지 않은가? 신기하게도 우크라이나 정부 시스템은 큰 차질 없이 운영되고 있다. 실제로 러시아는 우크라이나 정부 자료를 보관했던 데이터센터를 크루즈 미사일로 폭격했고 센터 밖 시스템까지 사이버 공격으로 무력화시켰다. 그로 인해 통신 시설이 파괴되고 지상 인터넷이 마비됐는데도 불구하고 어떻게 지속적으로 공공서비스르를 제공하고 전시 상황 대응이 가능했던 것일까?

그 이유는 러시아가 침공하기 직전에 우크라이나 정부가 신속하게 정부 시스템에 보관한 중요 자료를 클라우드로 분산해 백업하고 이를 다른 유럽 국가로 이송해두었기 때문이다. 러시아는 다른 나라의 시스템까지 공격할 수는 없었다. 

우리는 우크라이나가 보여준 유연한 대응을 타산지석으로 삼아야 한다. 만일 정부나 민간기업이 이용하는 데이터센터가 테러를 당하거나 사이버 공격을 받으면 어떻게 될까?

막연히 우크라이나가 IT에 취약할 거라고 생각했다면 큰 오산이다. 우크라이나에는 영어로 소통이 가능하고 비용 대비 탁월한 역량을 가진 IT 인력이 많아 구글, 삼성, 보잉 등 글로벌 기업의 R&D 센터가 설립되어 있다.

우크라이나는 기술 혁신으로 전쟁을 극복하기 위해 애썼다. 우크라이나의 디아(Diia)라는 전자정부 모바일 앱은 시민이 생성한 현장 사진과 동영상을 올리도록 오픈소스 집합지성 시스템을 갖추었고 스페이스X의 스타링크 위성과 연결할 수 있다. 구글 CEO를 역임한 에릭 슈미트는 우크라이나가 버티는 비결은 '혁신의 힘'이며 이것이 국제정치학의 힘이라고 주장한다. 

p.27-30

1979년 이란은 팔레비 왕을 쫓아내고 신정일치 체제의 이슬람 공화국을 수립했다. 과격해진 시위대는 테헤란에 있는 미국 대사관 직원 70여 명을 무려 444일 동안 억류했다. 팔레비 왕정을 지원한 미국에 대한 보복이었다. 그 후 이란과 미국의 적대적 관계는 평행선을 달렸다. 이란의 군사적 무장을 경계한 미국은 경제 제재와 외교적 압박의 고삐를 놓지 않았다.

그런데 미국을 경악하게 하는 사건이 발생했다. 이란이 은밀하게 핵무기를 개발하고 있었던 것이다. 이스라엘은 중동의 오랜 앙숙인 이란의 핵 보유를 용인할 수 없었기에 강력한 응징을 주장하고 나섰다. 하지만 당시 미국의 상황은 녹록치 않았다. 엄청난 사상자를 내는 이라크 전쟁을 종결하지 못하고 있었고 9.11 테러범을 잡기 위해 들어간 아프가니스탄에서는 주범인 오사마 빈 라덴의 행방조차 찾지 못하고 있었다. 조지 부시 대통령에 대한 여론은 최악이었다. 

이런 상호아에서 이란을 물리적으로 공격할 경우 제3차 세계대전으로 치달을 가능성이 농후했다. 이란의 핵무기 개발을 저지하되 또 다른 전쟁을 치를 수 없는 딜레마에 빠져 있을 때 전혀 새로운 옵션이 제시됐다. 바로 핵무기 개발을 은밀하게 방해하는 사이버 공격이다. 

핵무기를 제조하기 위해서는 우라늄을 원심분리기에 넣고 정제해서 동위원소 우라늄235 비율을 90% 이상으로 농축시키는 과정이 필수다. 문제는 우라늄 농축 과정에서 원심분리기를 돌리는 회전자다. 회전자의 속도가 너무 빠르거나 느리면 원심분리기가 이탈하거나 부서진다. 회전자의 오작동은 피하기 어렵기에 실패 확률을 줄이는 수밖에 없다. 바로 이 회전자의 오류성과 민감성에 공격 초점이 맞춰졌다.

만일 고의적으로 회전자가 오작동하도록 만들 수 있다면? 오작동이 감쪽같아서 이란 기술자들의 눈에 자신들의 기술 부족으로 비춰진다면? 폐쇄적인 국가인 이란에서 그것도 극히 소수만 들어갈 수 있는 격리된 시설에서, 눈 앞에 있는 장비를 지구 반대편에서 조작한다는 것을 누가 감히 상상하겠는가? 만일 작전이 성공한다면 우라늄 농축은 난항을 겪을 것이다. 이란은 그 원인을 자신들의 기술력 탓으로 돌리지 외부 소행으로 생각하지 않을 것이다.

사이버 공격 목표는 정해졌다. 은밀하게 기계 장애를 유발시키는 '사보타주', 작전명은 '올림픽 게임 Olympic game'이었다. 이 작전에는 몇 가지 전제 조건이 있었다.

첫째, 발각되면 안 된다. 회전자의 오작동으로 우라늄 농축에 실패하되 이란은 눈치채지 못해야 한다. 만일 회전자 오작동이 해킹에 의한 것으로 드러나면 이란은 장비의 취약점을 조치해버릴 것이다. 이렇게 되면 심혈을 기울여 개발한 공격 도구가 무용지물이 되고 만다.

둘째, 악성코드는 나탄즈 핵 시설 안에서만 동작해야 한다. 우라늄 농축 과정을 제어하는 장치를 '프로그래머블 로직 컨트롤러(PLC)'라고 한다. 문제는 PLC가 핵무기 개발 용도 이외에도 전력, 수도, 철도 등 각종 기반 시설에서 사용된다는 점이다. 만일 악성코드가 나탄즈를 벗어나 세계 여러 나라의 각종 기반 시설에 침입해 장애를 일으킨다면 민간인이 부수적 피해를 입을 수 있다. 이를테면 근처 병원의 의료 장비가 악성코드에 감염되면 환자의 생명이 위협받을 수 있다. 또한 사이버 공격의 실체가 밝혀지면 국제적 혼란을 키울 것은 명약관화하다.

올림픽 게임은 고난이도 기술과 시나리오로 구성된 종합 프로젝트였다. 우라늄 농축 시설에 대한 전문성이 있어야 했고 이란에서 사용하는 제품과 기술, 내부 인프라에 대한 첩보가 필요했다. 핵무기 시설은 외부와 완전히 분리돼 있으니 네트워크를 이용한 잠입은 불가능하다. 어떻게 악성코드를 나탄즈의 컴퓨터에 잠입시킬 수 있을까? 누가 내부 컴퓨터에 USB를 꼽을까? 망이 분리돼 있으니 원격 지원 없이 알고리즘 스스로 작전을 수행해야 한다. 이처럼 상상력과 기술력을 총동원해 차원이 다른 공격을 수행해야 했다.

악성코드를 제작하는 데 고도의 스킬과 역량이 필요했고 꽤 오랜 시간이 걸렸다. 프로젝트를 지시했던 부시 대통령은 끝내 마무리하지 못하고 정권을 넘겨주게 됐다. 그가 오바마 대통령 당선인에게 인수인계를 하며 올림픽 게임 프로젝트를 직접 브리핑했다고 하니 얼마나 중요한 프로젝트였는지 짐작이 간다. 결국 공격 명령은 후임인 오바마 대통령이 내렸다.

초기에는 꽤 효과가 있었다. 이란은 원인 모를 회전자 오작동으로 골치를 앓았지만 눈치채지 못했다. 2010년 초까지 이란이 보유하던 원심분리기 8700여 개 중 4분의 1에 해당하는 2000여 개가 수리할 수 없을 정도의 피해를 입었다. 올림픽 게임은 핵농축 프로그램을 지연시키는 데 성공했다.

그러나 결국 우려한 일이 벌어지고 말았다. 악성코드가 외부로 유출돼 전 세계로 급속히 퍼져나갔다. 어떤 연유로 이란의 나탄즈를 빠져나갔는지 알 수 없었지만 벨라루스의 한 보안 기술자가 제일 먼저 발견했고 이어 시만텍을 비롯한 보안 회사들이 악성코드를 탐지했다. 마이크로소프트는 악성코드의 처음 몇 글자를 조합해 '스턱스넷Stuxnet'이라고 명명했다.

스턱스넷이 알려지자 이란은 핵무기 개발이 은밀하게 제지된 사실에 경악했고 미국은 곤혹스러워했다. 이 사건은 이란이 사이버 해커를 집중 양성하는 계기가 됐다. 

스턱스넷은 사이버 영역에서 만들어진 디지털 신호가 물리적 공간에 피해를 입힐 수 있다는 '사이버 키네틱 공격'의 가능성을 현실로 만든 첫 케이스다. 그것도 핵무기 개발을 놓고 국가 간의 첨예한 대립이 전개되는 상황에서 일어난 것이다. 스턱스넷은 몰래 활동하는 스파이와 원심분리기를 작동하지 못하게 한 알고리즘의 합작품이었다.

미국 국가안보국(NSA)과 미국 중앙정보국(CIA) 국장을 지냈던 마이클 헤이든은 스턱스넷 사건의 의미를 다음과 같이 설명했다.

"이번 사건은 사이버 공격이 물리적인 파괴를 달성할 수 있는 속성이 있다는 것을 보여준 최초 사례입니다."

그의 말은 이어진다.

"누군가 루비콘 강을 건넌 겁니다."

스턱스넷은 특급 기밀이라 궁금증이 끊이질 않는다. 올림픽 게임은 미국이 이스라엘과 합동으로 벌인 사건이 맞는가? 나탄즈 핵 시설 안으로 어떻게 악성코드를 집어넣었고 어떤 경로로 나탄즈 밖으로 새나갔을까? 2039년에 올림픽 게임 관련 기밀이 공개된다고 하니 기다려본다.

p.32-33

앞서 스턱스넷이 자국의 핵무기 개발을 저지하려는 목적으로 탄생했다는 사실에 자극을 받은 이란은 사이버 전투 의지를 불태웠다. 삽시간에 사이버 공격 역량을 결집해나갔다. 그 결과가 나오기까지 오랜 시간이 걸리지 않았다. 이란의 첫 공격 대상은 미국의 우방이자 오랜 중동의 앙숙이던 사우디아라비아였다.

2012년 8월 15일 세계 최대 석유 회사인 사우디아라비아 아람코의 컴퓨터 3만 5000여 대가 먹통이 되는 사태가 발생했다. 어떤 컴퓨터 화면에는 불타는 성조기의 이미지가 나타났다.

스스로를 'Cutting Sword of Justice'라고 부르는 해커들은 이슬람교의 라마단 기간을 이용했다. 많은 IT 인력과 보안 전문가가 휴가를 가서 대응할 수 없었기 때문이다. 아주 파괴적이고 전혀 돈을 요구하지 않은 전형적인 국가 지원 공격이었다.

무엇보다 이란이 단기간에 사이버 전사를 양성했다는 사실이 우리를 놀라게 했다. 국가가 마음만 먹으면 얼마든지 사이버 공간에서 공격 역량을 갖출 수 있음을 보여준 사례다. 천문학적 투자와 절대적인 시간 확보가 필요한 군사력과 달리 사이버 역량은 사람과 의지에 좌우되는 영역이다. 이제 지능적이고 대담한 사이버 공격 뒤에는 국가가 은밀하게 후원한다는 사실은 더 이상 비밀이 아니다.

p.35-37

미국은 연간 약 200만 건의 신원 조사를 하는데 연방정부에 Standard Form(SF)-86을 작성해 제출해야 비밀취급인가를 받을 수 있다. 127쪽에 달하는 SF-86 질문서에는 채무 문제, 친지 현황, 범죄 경력, 약물 취급, 심리 상담 치료 등 민감한 내용이 담겨 있다. 당시 OPM은 약 1800만 장의 SF-86을 보관하고 있었다. 이렇게 국가 내 권한을 가진 사람만 볼 수 있는 고급 정보가 적에게 넘어간 것이다. 

또한 그 속에는 무려 560만 명의 지문 정보도 포함돼 있었다. 생체 정보는 사람마다 하나씩 보유한 고유 식별자로 패스워드처럼 마음대로 바꾸지 못한다. 그래서 중요 시설이나 시스템을 보호하는 강력한 인증 방법으로 쓰인다. 만일 적국의 스파이나 테러리스트가 훔친 생체 정보를 사용한다면 방어막은 손쉽게 뚫린다는 얘기다.

OPM 외에 앞서 다른 세 곳도 민감한 개인정보를 갖고 있다. 호텔에 머문 동선과 기록(메리어트 호텔), 건강 의료 기록이 담겨 있는 정보(앤섬 헬스케어), 신용평가기관이 보유한 채무 이력(에퀴팩스)은 가족조차 알기 어려운 사생활 정보다. 만일 OPM과 이 세 기업에서 탈취한 정보가 누군가의 손에 들어간다면 협박하거나 유혹하기에 좋은 수단이 되지 않겠는가?

예를 들어 경제적 어려움을 겪는 연방 공무원을 매수하려고 할 수도 있고, 불륜과 같은 약점을 이용해 협박할 수도 있다. 또한 CIA 직원 정보는 OPM에 들어 있지 않아서 만약 해외에 거주하는 외교관 신분의 직원 리스트를 전수조사하면 CIA 직원을 가려낼 수 있다. 이처럼 개인정보 유출 사건 하나하나를 보면 단편적인 일처럼 보이지만 훔친 정보를 조합해 적국이 악용한다면 이는 국가 안보를 위협하는 중대한 이슈다.

중국은 개인정보만 노린 것이 아니다. 중국의 사이버 공격은 한 가지 큰 차이점이 있는데 통상 무역과 관련된 비밀이나 지적재산권을 탈취한다는 것이다. 구글의 소스코드를 노린 오로라 공격(Operation Aurora)이 탐지되자 구글에 비상이 걸렸다. 소스코드는 IT 기업의 보석과 같은 자산이다. 바로 그 심장을 노린 것이다. 그렇지 않아도 중국 정부의 검열 때문에 중국 사업에 골치를 앓던 구글은 오로라 사건을 계기로 중국에서 철수하는 결정을 내렸다.

가장 충격적인 지적재산권(IP) 탈취는 군사 기밀이었다. 미국 일간 워싱턴포스트는 미국의 첨단 무기 시스템 설계도를 중국 해커가 탈취했다고 보도했다. 그 중에는 미국의 미사일 방어 시스템인 패트리어트, 사드, 이지스 등이 망라돼 있었다. 이와 같이 첨단 기술, 군사 장비, 하이테크 기업의 소스코드 등 IP라는 무형 자산을 향한 중국의 사이버 공격은 그칠 줄 몰랐다.

미국의 국가안보국 국장 겸 최초의 사이버 사령관으로 임명된 키스 알렉산더 장군은 매년 2500억 달러(약 327조 5000억 원) 상당의 지적재산권을 도둑맞고 있다며 미국이 당한 사이버 범죄를 한 문장으로 표현했다.

"역사상 최대의 부의 이동"

p.48-49

미국의 추수감사절 연휴를 앞둔 2014년 11월 24일, 소니 픽쳐스 직원들의 컴퓨터 화면에 'Hacked By #GOP'라는 제목과 함께 흉악한 해골이 나왔다. 스스로를 평화의 수호자(Guardians of Peace)라고 자처하는 해커 그룹이 소니 픽처스 네트워크와 시스템을 중지시키며 보낸 공포의 메시지였다. 소니 픽처스 임직원들은 즉각적으로 시스템을 복구하려고 노력했다.

그러나 공격은 이제 시작에 불과했다. 다음 날인 11월 25일부터 해커는 소니 픽처스가 아직 출시하지 않은 영화를 하나씩 온라인에 공개했다. 급기야 11월 28일에는 소니 픽처스의 내부 파일을 모조리 인터넷에 공개했다. 파일 안에는 소니 픽처스 임직원의 개인정보와 이메일, 민감한 급여 내역이 들어 있었다. 여러분이 다니는 직장의 CEO나 상사, 직장 동료가 받는 연봉이 만천하에 공개됐다고 생각해보라. 회사를 뒤흔드는 일이 일어난 것이다.

<디 인터뷰>를 크리스마스에 맞춰 상영하려던 극장들은 시민의 안전을 이유로 하나둘 발을 빼기 시작했다. 소니 픽처스도 시사회나 출시 일정을 조정하기에 이르렀다. 북한의 사이버 공격은 성공하는 것처럼 보였다.

오바마 대통령은 소니 픽처스가 내린 결정을 탐탁지 않아 했다. 소니 픽처스 해킹에 대한 기자의 질문에 "나는 소니 픽처스가 실수했다고 생각합니다"라고 단언한 뒤 반대 이유를 명확히 밝혔다.

"어딘가에 있는 독재자가 미국에서 만든 저작물을 검열하도록 방관하는 사회가 돼서는 안 됩니다. 풍자적인 내용을 다룬 영화의 출시를 막기 위해 누군가가 협박하게 둔다면 자기가 좋아하지 않는 다큐멘터리나 뉴스에 대해서도 그럴 겁니다. 그러면 제작사나 배급사는 자기 검열을 하게 됩니다."

오바마 대통령은 북한의 행위를 용인하는 태도가 미국의 헌법 정신인 언론과 사상의 자유를 해칠 수 있다고 본 것이다. 어떠한 콘텐츠이건, 어떤 상황에서도 헌법 정신을 훼손할 수 없다는 그의 원칙은 확고했다. 미국 시카고 대학에서 헌법학 강의를 했던 교수다운 면모가 드러나는 순간이었다. 그가 제시한 의견은 터닝 포인트가 됐다.

구글이 전격적으로 영화를 온라인에 출시하기로 결정한 것이다. 일부 극장이 결정을 뒤집기 시작하며 마침내 극장 상영이 확정되고 <디 인터뷰>는 오히려 주목받는 영화가 됐다. 돌이켜 보건데 북한은 소니 픽처스 해킹 공격으로 얻은 게 그다지 없다. 소니 픽처스의 내부 파일을 공개해 창피를 줬지만 <디 인터뷰> 출시를 막지 못했기 때문이다. 소니 픽처스는 초기에 당황하고 우왕좌왕했지만 시간이 흐르면서 신중해졌다.

p.55

7.7 디도스는 10만 대 이상의 컴퓨터를 악성코드로 좀비화하면서 발생한, 국가 차원에서 최초로 겪은 사이버 공격이다. 당시 악성코드를 먼저 수집해서 백신을 개발해 배포하고, 그 악성코드에 숨겨진 공격 대상과 시간을 해독하여 악성코드 구조를 실시간으로 공유한 곳이 안랩이었다. 워낙 안랩이 주도하다 보니 언론에서 '관군은 없고 민병만 있다'라는 타이틀이 나올 정도였다.

언론에서 온갖 스포트라이트를 받으니 시샘도 많이 받았다. 그렇지만 누구라도 해결해야 할 것 아닌가? 국가로부터 돈 한 푼 받지 않고 봉사 차원에서 한 일이고 안랩에 디도스 방어 제품이 없었기에 기대할 만한 사업적 이득도 없었다. 그저 대한민국을 위해 좋은 일을 했다는 자부심으로 만족하자고 직원들을 격려했던 기억이 난다.

그런데 7.7 디도스 공격의 처음부터 끝까지 중심에 있었던 기업에게는 물어보지도 않고 대책을 만들었다고 한다. 게다가 그 문서에는 신속한 사고 분석이 핵심 경로에 놓여 있었고 안랩이 대표적인 기업으로 적시돼 있었다. 안랩 CEO인 내가 전혀 내용을 모르는데 과연 그런 계획이 제대로 실행될 수 있을까? 정부라고 민간기업을 맘대로 동원할 수 있는 건가?

사이버 공격을 받으면 일단 당황하게 돼 생각할 시간이 없다. 아무리 훈련을 해도 잘될지 장담할 수 없다. 시시각각 환경이 변하면서 수많은 변수가 발생하기 때문이다. 책상 위에서 그려낸 이론과 실제 상황은 다르다.

그나마 디도스 공격은 외부에서 웹사이트로 트래픽을 쏘아대는 비교적 간단한 유형이다. 어렵게 내부망으로 침투할 필요가 없다. 이에 비해 사이버 공격은 이미 조직적인 범죄 단체나 국가 차원의 지원을 받아 치밀한 시나리오와 정교한 해킹 기법으로 전개되고 있었다. 디도스 공격에 맞춘 대비책 정도로 복잡하고 지능적인 사이버 공격에 대응할 수 있겠는가?

p.57-58

사이버 보안이 중요해지면서 전 세계적으로 정보보호최고책임자라는 새로운 자리가 생겨났다. CEO의 사이버 보안 미션을 일부 위임한 직책이다. CISO가 되려면 어떤 자질이 필요한지에 대한 질문을 받는다. 사이버 보안이라면 으레 기술 영역이라고 짐작하고 전문 스킬셋이나 자격증, 학위를 구비해야 할 것이라고 생각한다. 그러나 나의 답변은 그들의 예상을 벗어난다.

"조직 장악력입니다."

예를 들어 '모든 PC에서 USB 사용을 금지한다', '특정 인터넷 사이트 접근을 금한다', 'A사와의 비즈니스를 끊는다'와 같은 보안 정책을 내렸을 때 CISO의 지시가 조직 구석구석에 먹혀야 한다. 떄로는 보안을 위해 기존 절차를 바꿀 수도 있다.

물론 경영진이라면 합리적인 근거에 기반해 임직원을 설득하고 소통해야 한다. 그러나 일단 방향이 정해지면 단호하고 신상필벌이 명확해야 한다. 본래 의도한 방향대로 유지되는지 끊임없이 관찰하고 점검해야 하며 혹시 잘못된 방향이었다고 판단되면 솔직하게 인정하고 방향을 틀 수 있어야 한다. 리더의 역할과 책임은 그런 것이다. 불편하다고 예외를 인정하기 시작하면 실효성이 떨어진다.

p.78~79

조직을 이끄는 순간부터 크고 작은 결정을 내려야 한다. 지금껏 수많은 결정을 스스로 하고 결정 과정에 참여했다. 그런데 임시로 구성된 위원회에서 시원하게 결정을 내리는 모습을 본 적이 없다. 위원회는 정보를 공유해 결정을 추인할 순 있어도 과감한 전략을 추진하기 어렵다. 결국 사업 현장을 이끄는 리더의 판단이 중요하다.

p.98-99

요컨대 웹은 정보와 컴퓨터를 분리했다. 웹 이전 시대에는 정보르 다루기 위한 기술적 과정에 시간을 쏟아야 헀다면 웹 이후는 정보 자체에 집중했다. 다시 말해 웹 이전이 기술 중심 세계라면 웹 이후는 정보 중심 세계다. 인터넷은 정보의 넓은 바다로 보통 사람들을 끌어들인 게임 체인저다.

그러나 인터넷은 전혀 통제되지 않는 세상이다. 미국 국방부에서 인터넷을 만든 의도는 핵 공격을 당해도 커뮤니케이션할 수 있는 분산 네트워크를 확보하는 데 있었다. 인터넷 프로토콜, 월드와이드웹의 발명은 모두 미국 정부의 지원 덕택이다. 애당초 인터넷은 연구소나 학교에서 신뢰할 수 있는 사용자 간에 호환되는 프로토콜에 촛점을 맞추었지 보안은 관심 대상이 아니었다.

인터넷을 통제하는 주체도 없다. 그나마 미국 정부의 마지막 역할이었던 인터넷 도메인 관리가 1998년 ICANN이라는 비영리단체로 넘어가면서 그야말로 100% 민간에 의해 움직이는 인프라가 됐다. 보안의 핵심은 중앙 통제인데 통제 주체가 없는 정보의 바다, 그것이 인터넷이다.

p.104

산업이 발전하고 상거래가 확대되면서 금융은 경제의 혈관이 됐다. 여기에 IT가 도입되면서 거래량이 증가하고 거래 방식이 다양해졌다. 타 은행으로, 다른 금융권으로, 국제적 거래로, 파생 상품으로 확장되면서 금융 산업은 날로 커졌다. 문제는 거래가 급증하는 가운데 산업시대에 형성된 모델을 얼마나 유지할 수 있느냐였다. 그러던 중 2008년 금융 위기가 터졌다. 금융회사의 탐욕과 부도덕한 행태가 알려지면서 중개기관에 대한 불신이 극도로 팽배해졌다. 개인의 힘이 커진 디지털 시대인데 금융 회사를 제쳐놓고 거래할 수는 없을까?

이때 사토시 나카모토라는 신비한 인물이 비트코인 백서를 발간했다. 그는 첫 문장에 '중개 없이 온라인 지불이 이루어지는 전자 현금'을 천명했다. 전자적인 거래를 중개기관 없이 성사시키려면 디지털 데이터의 특성인 '복사'와 '이전'문제를 해결해야 했다. 이른바 '이중장부'의 문제다. A가 B에게 돈을 보낼 때 장부를 맞춰주는 중개기관의 역할을 어떻게 대체할 것인가? 만일 모든 사람이 동일한 장부를 갖고 거래할 때마다 맞출 수 있다면 가능하지 않을까? 그것이 분산장부와 암호 기술로 구성된 블록체인 개념이다.

블록체인은 중개기관 없이 디지털 정보를 교환하는 개인 간의 거래 구조다. 그 방식은 냅스터가 MP3 파일을 교환할 때 사용했던 P2P 기술에서 진화했다. 블록체인은 어느 날 갑자기 나타난 것이 아니라 이동이 안 되고 복사만 되는 디지털 데이터의 속성을 극복하려는 노력의 일환으로 탄생했다.

p.105

데이터는 디지털 시대의 재료이자 소통 수단이다. 수많은 모바일 기기, SNS, 사물인터넷, 로봇에서 발생하는 폭발적인 데이터르 안전하게 처리해서 보관하고 정확한 장부로 맞추는 것은 기본이다. 문제는 원본과 동일하게 무한 복사되는 디지털 데이터의 속성이다. 디지털의 이러한 속성을 고려해야 실효성 있는 보안 정책을 수립할 수 있다.

p.112-113

모르는 것을 지킬 수는 없다. 몇 대의 컴퓨터가 네트워크에 연결돼 있는지, 어떤 버전의 소프트웨어를 사용하는지, 데이터는 언제 누가 만들어서 처리하는지, 컴퓨터에 의해 작동하는 기계가 얼마나 되는지 모르고 대책을 세울 수 있겠는가. 하드웨어, 소프트웨어, 데이터베이스, 앱, 모바일 기기, 프린터 등을 IT 자산이라고 한다. 해커가 벌이는 공격을 막연히 걱정하기에 앞서 자신이 가진 IT 자산을 정확히 파악한 뒤 그것을 기반으로 보안의 틀을 세워야 한다.

구글은 대표적인 테크 기업이다. 당연히 보안 대책도 기술에 방점을 둘 것 같지만 오히려 구글 CISO인 필 베너블스의 권고는 기본에 중심을 둔다.

"대부분의 사이버 공격은 새로운 취약점을 노린 경탄할 만한 방법이라기보다 이미 운영 중인 통제 약점을 노린 것이 대부분입니다."

시시각각 변하는 IT 환경에서 현재 시점과 1시간, 2시간 후의 보안 상태는 전혀 다르다. 새로운 장비가 들어왔을 수도 있고 새로운 계정이 생성됐을 수도 있고 누군가 악성코드가 감염된 노트북 컴퓨터를 연결할 수도 있다. 매분 매초 수많은 데이터와 네트워크 패킷이 오가는 환경 자체가 도전이다.

아무리 세계적인 보안 제품을 가져다 놓아도 제대로 설정하지 않으면 무용지물이다. 좋은 약을 몽땅 먹으면서 바쁘다는 핑계로 체력 관리를 하지 않는 것과 같다. 사이버 보안은 자신과의 끊임없는 싸움인 셈이다.

자기 관리를 경영 용어로 표현하면 '거버넌스 체계를 세워서 가시성을 높이는 것'이라고 한다. 이를 위한 방법론이 IT 자산과 리스크를 식별하고 각종 위협에 대해 예측한 지표로 만드는 '리스크 관리 체계 Risk Management Framework RMF'다.

미국 국립표준기술연구소(NIST)에서 만든 사이버 보안 프레임워크(NIST CSF)나 국제표준기구(ISO)에서 만든 ISO/IEC 27001을 기반으로 전 세계 유수의 기업이 보안 거버넌스 체계를 운영하고 있다. 그런데 한국에서는 관심을 끌지 못한다. 사이버 보안을 기술적으로 대응해야 하는 이슈로, 즉 경영 관점에서 보지 않는다는 방증이 아니겠는가?

p.118-119

글로벌 은행에 일하다 보니 전 세계의 규제를 살펴볼 기회가 생기곤 한다. 미국이나 EU와 한국의 규제를 비교하니 확연히 다른 점이 있다.

한국에서는 정해진 가이드라인을 준수하는 체크리스트 방식이 일반적이다. '주민등록번호를 암호화하시오', '방화벽을 설치하시오',' 취약점을 점검해 조치하시오'같은 보안 점검 항목을 제시한다. 가이드라인을 잘 따르는 것만 해도 쉬운 일이 아니다. 그런데 문제는 가이드라인에만 촛점을 맞춘다는 점이다. 체크리스트에 없으면 아예 들여다보지도 않는다. 설사 사고가 나더라도 가이드라인을 충실히 따랐다면 책임이 경감된다. 그러다 보니 어떤 기업은 은근히 디테일한 규제를 원하기도 한다.

반면에 미국이나 EU의 규제 방식은 문제를 스스로 만들어 답을 찾아가는 형태다. 어떻게 보면 아주 영리한 접근 방식이다. 감독기관 입장에서는 구태여 힘들여 문제를 내느라 준비할 필요가 없지 않은가? 문제를 도출하고 해결하는 방법이 부실하면 따끔하게 지적하면 되고, 설계가 잘 됐으면 제대로 운영하는지 확인하면 된다. 전자를 설계 효과성 design effectiveness, 후자를 운영 효과성 operational effectiveness이라고 한다.

이처럼 스스로 문제를 내서 해결책을 찾는 방식, 즉 리스크를 파악해 처리하는 방법론을 앞서 말한 리스크 관리체계(RMF)라고 한다. RMF를 통해 내가 보유한 정보 자산은 어떤 것인지, 각 자산을 겨냥한 위협은 무엇인지, 위협을 받았을 때 비즈니스 영향은 어느 정도인지, 그런 위협을 막기 위해 어떤 보안 통제를 적용해야 하는지 등을 도출해낸다.

이를테면 체크리스트 방식은 PC에 백신이 잘 설치됐는지, 제대로 작동하는지를 점검하는 형태다. 반면에 어떤 유형의 PC(직원 업무용, 테스트용, 공장 라인 운영용 등)를 사용하는지, 각 PC에 어떤 위협(악성코드, 계정 탈취, 디스크 삭제 등)이 예상되는지, 그로 인한 피해가 얼마인지를 계량화한 뒤 리스크를 줄일 수 있는 통제방안을 마련하는 것이 RMF 방식이다.

p.138-139

이 과정을 한 장의 그림으로 표현하면 다음과 같다.

- 모든 IT 자산을 정확히 파악하는 것은 기초다. 모르는 것을 지킬 수는 없다.

- 자산에 대한 CIA 평가를 통해 어떤 관점(기밀성, 무결성, 가용성)에 무게를 두어야 할지 결정한다.

- 비즈니스 영향도는 정량적인 보안 등급과 더불어 비즈니스 측면에서 위협 시나리오를 예측한 정성적인 평가로 구성된다. 여기에서 조직이 가지고 있는 총체적인 리스크가 나온다.

- 리스크를 줄이기 위해 기술/제품, 프로세스, 사람의 3대 요소를 동원해서 보안 통제를 구성한다.

- 위협 모델에 대입해서 보안 통제의 효과성을 판단한다. 최종적으로 나온 잔여 리스크의 수준에 따라서 추가적인 보안 통제를 구축하거나 모니터링을 강화한다.

리스크 관리 프레임워크는 보안 거버넌스의 틀이다. 기업이나 정부는 물론 국가도 이런 체계를 구성할 수 있다. 단지 업의 특성이나 규모에 따라 차이가 있을 뿐이다. 요컨대 전체 구성원이 사이버 리스크에 대한 공동 지표를 갖추어야 한다. 일단 방향성이 정립되면 어떠한 신기술이나 신종 위협이 나오더라도 당황하지 않고 의연하게 대처할 수 있다. 서로 다른 기업과 국가가 소통할 수 있는 거버넌스 체계를 갖추어야 보이지 않는 위협에 공동으로 대처할 수 있다.

p.144-145

"프로젝트가 급하니 일단 건너뛰고 나중에 고칩시다."

이런 문화 속에서는 부실이 나올 수밖에 없다. 일단 마무리하고 나중에 할 것인가? 일은 끊임없이 밀려오고 일할 수 있는 인력은 항상 부족한 상황에서 검증할 여유는 나중에도 없다.

검증 단계는 아주 많다. 소프트웨어의 경우 개발한 코드를 반영하기 전에 취약점 점검을 돌리거나 동료에게 검증을 맡긴다. 만일 치명적인 취약점이 발견되었다고 하자. 그런데 이 서비스가 내일까지 출시되어야 한다면 어떻게 하겠는가? 신규 서비스가 바로 매출과 직결되는 상황이라면 CEO와 사업본부장은 어떤 판단을 하겠는가? 이러 때 원칙에 따라 출시를 연기하는 결정을 내릴 수 있어야 한다.

그렇지만 실상은 그 반대인 경우가 많다. 심지어 유명한 IT 기업에서도 적당히 타협하는 경우를 보았다. 해커는 단 하나의 취약점만 있어도 파고든다. 철저한 보안 정책으로 '괜찮겠지'라는 판단의 여지를 없애야 한다. 

공격 저지가 외부와의 전쟁이라면 안전한 빌드업은 조직 내부와의 싸움이다. 그래서 리더의 확고한 신념과 보안에 대한 인식이 필수다. 공격을 저지하는 것은 보안팀을 격려하고 지원해주는 정도가 리더의 역할이다. 이에 비해 안전한 빌드업을 위해서는 경영진과 전 직원이 철저하게 규칙을 준수하도록 조직 문화를 바꾸어야 한다. 그래서 빌드업에는 강력한 리더십이 요구된다. 

불안하니까 운동이다 - 운동의 뇌과학

운동의 뇌과학 - 불안장애에 시달린 뇌과학자가 발견한 7가지 운동의 힘 ㅣ 현대지성 테마 뇌과학
제니퍼 헤이스 지음, 이영래 옮김 / 현대지성 / 2023년 8월

이 글은 출판사의 지원을 받아 작성하였습니다.

운동을 해야 한다는 명제에 대해 부정할 사람이 있을까? 아마 없을 것이다. 

다만, 귀찮을 뿐이다. 

그렇기에 이런 책을 읽어보는 게 좋을 수 있다. 왜냐하면 책을 읽으면서 머릿속에서 한번 해볼까? 라고 생각하면서 마중물이 될 수 있기 때문이다. 이 책에 나온 어려운 연구자료들은 그저 이를 위한 재료일 뿐이고.

살다가 한 번쯤 운동을 하고나서 정말 개운한 날을 느껴본 날이 있을 것이다. 이 책은 그 점을 강조하는 책이다. 

매번 그런 감정을 느낄 수는 없겠지만, 확률적으로 그런 날을 느끼는 날을 늘리고 싶다면 결국 답은 하나밖에 없다. 운동을 해야 한다. 

동어반복이지만 이 책을 요약하면 한 문장이다. "운동하자"

매번 뉴스를 보면 안좋은 소식들과 불확실성이 증가하는 걸 목격한다. 그래서 누군가는 뉴스를 끊으라고 얘기하기도 한다. 하지만 그래도 의문이 남는다. 뉴스를 끊으면 뭘 해야돼? 

독서와 운동이다. 이 책을 읽고 운동하면 끝이다. 단순하고 확실하다.

물론 이 책의 서두에서 경고하듯이, 운동이 적절한 의학적 치료를 대체할 순 없다. 의학적으로 불안장애는 적절한 치료가 필요한 질병이고, 의학적인 치료를 받아야 한다. 운동만으로 모든 걸 이겨낼 수 있다고 하는 건 사기다. 

그렇지만 의학적 치료에 덧붙여 보조수단으로 활용하는 것에 있어서는 의사들도 아마 넘버원으로 추천하지 않을까? 

어떻게 하면 효과적으로 운동을 하지 않으려는 저항을 이겨내는 법을 알고 싶다면 이 책이 좋은 가이드가 될 것이다.

밑줄긋기

p.28

뇌는 당신이 생사의 갈림길에 서 있을 때만 운동하기를 원한다.생사가 운동에 영향을 받는 것은 명백한 사실이지만, 살고 싶다면 무조건 움직여야 했던 선사시대의 조상들과 달리 지금 우리는 움직이지 않아도 수십 년을 안전하게 살 수 있다. 정말로 필요한 때를 위해 에너지를 비축해두어야 했던 선사시대에 비해 현대의 삶에서 살기 위해 움직여야 하는 때는 거의 없다. 이 때문에 모든 것이 바뀌었다. 

과거에는 음식이 귀했기에 채집과 사냥에 엄청난 에너지를 써야 했다. 그때는 시상하부와 그곳에서 울리는 허기의 알람이 우리를 구하는 영웅이었다. 끊임없이 사냥하는 동안 얼마나 많은 에너지가 사용되었을지 상상해보라. 인류학자들은 초기 인류가 사냥감보다 더 빨리 달려서 사냥감을 잡았을 것이라고 추측한다. 사냥은 하루 중 가장 더운 시간에 시작되어 몇 시간씩 계속되었을 것이다. 이런 상황은 인간에게 유리하다. 인간은 동물보다 털이 적고 땀구멍이 많다. 또한 인간은 이족 보행 덕분에 에너지를 아주 효율적으로 활용할 수 있다. 그리하여 대부분의 동물보다 온열 스트레스에 더 오래 견딜 수 있고 몇 시간의 추적 끝에 동물은 결국 힘없이 지쳐 쓰러졌을 것이다.

p.30

뇌는 에너지를 쓴다는 생각만으로도 움찔거린다. 당신의 건강이 움직이는 것에 달려 있는 데도 말이다. 게으른 뇌는 이렇게 묻는다. "운동이라고? 왜 운동을 하려는 거야? 넌 지쳤어. 운동은 힘들어. 지금 운동을 할 시간이 있기나 해?" 운동을 반대하는 뇌는 놀라울 정도로 끈질기고, 심할 때는 무시하는 것조차 불가능하다. 정말 당황스러운 것은 우리가 운동을 '원할 때'에도 게으른 뇌는 계속해서 호소한다는 사실이다.

p.31

달력을 이용해 미리 운동 계획을 세워라. 달력 없이 일하는 것을 상상할 수 있는가? 나는 절대 하지 못한다. 내 달력은 약속으로 가득차 있다. 물론 예정에 없던 회의를 즉석에서 하는 것도 가능하다. 그러나 그러기 위해서는 많은 '노력'이 필요하다.

가장 큰 문제는 대부분의 사람들이 운동을 즉흥적인 회의 정도로만 취급한다는 데 있다. 마음이 내킬 때 스케줄에 운동을 끼워넣고 싶어 하지만 그럴 만한 시간은 절대 나지 않는 법이다. 그렇게 우리는 또 다시 운동을 미룬다.

답은 간단하다. 게으른 뇌가 "운동할 시간은 있고?"라고 저항할 때를 미리 대비해야 한다. 미리 달력에 운동 시간을 적어놓는 것만으로도 간단히 해결된다. 이제 당신은 "물론이지. 여기 달력에 시간을 마련해뒀어"라고 답하면 된다. 의지는 결정을 미룰수록 약해지고, 마지막에는 거의 남아 있지 않기 때문에 반드시 계획을 세워 방지해야 한다. 최소한 어디서, 누구와, 언제, 어떤 운동을 할지 미리 계호기을 세워 기록으로 남겨두자.

p.48

음악으로도 격려가 부족한 날에는 게으른 두뇌에게 지금은 자원이 풍부한 시대라는 점을 상기시켜주자. 뇌는 음식이 부족한 상황에 맞추어 진화했기에 움직이라고 설득하기 위해서는 몸에 필요한 칼로리 이상을 공급해주는 것이 좋다. 이때 당이 든 음료가 유용하다. 속임수이므로 실제로 마실 필요는 없다. 그저 입안을 헹구고 뱉어내는 것으로 충분하다. 입안에 남아있는 당만으로도 게으른 뇌를 자원이 풍부하다고 안심시킬 수 있다. 다만 음료는 반드시 진짜 당을 함유하고 있어야 한다. 인공 감미료는 효과가 없다.

p.55

어떤 일이든 해내기 전까지는 항상 불가능해 보이는 법이다.

- 넬슨 만델라

p.62-64

이상한 점은 트라우마를 경험한 모든 사람에게 PTSD가 생기는 것은 아니며, 공포를 경험한 모든 사람에게 불안장애가 발병하는 것도 아니라는 사실이다. 그들을 보호하는 것은 과연 무엇일까? 바로 회복을 도와주는 신경펩타이드 Y라는 신경 전달 물질이다. NPY는 사람에 따라 생산하는 양이 다르다. 이를테면 닉의 뇌는 폴의 뇌보다 NPY를 많이 만들기에 닉은 화난 남자를 봐도 크게 두려워하지 않는다. 즉, 공포 조건화에 덜 민감하다. 그래서 닉도 폴도 마찬가지로 전쟁터에 있었지만, 그는 PTSD를 겪지 않았다. NPY가 트라우마로부터 닉의 뇌를 보호한 것이다. 아마도 당신은 '내게도 NPY가 필요하다'라고 생각할 것이다. 다행히도 좋은 소식이 있다. 운동을 통해 NPY를 만들 수 있다는 사실이다. 어떻게 운동하면 NPY를 만들어 회복력을 기를 수 있을까? 

한 연구는 12명의 젊은 남성 조정 선수를 대상으로4 주간 훈련 프로그램을 진행하며 그들의 NPY 변화를 추적했다. 모든 운동은 가볍게 진행되었다. 실험 참가자들은 힘들지 않은 수준에서 노 젓기, 자전거 타기, 달리기를 수행했다. 근력 운동을 할 때는 최대 부하의 절반 정도 강도를 유지했다. 연구자들은 운동 전후로 NPY를 측정했고, 그 결과 일정한 강도로 운동하면 NPY가 즉각적으로 상승하며 30분 넘게 그 상태가 유지된다는 사실을 발견했다. NPY를 더 많이 생산하려면 반드시 운동을 해야 한다는 뜻이다. 

아마 당신은 궁금해할 것이다. "얼마나 운동을 해야 하나요?" 위 사례에서 그들은 숙련된 조정 선수였기에 2시간을 훈련하고 NPY를 측정했다. 실망하기에는 이르다. 다행스럽게도 마음을 안정시키는 데는 그렇게 오랜 시간이 필요하지 않았다.

우리 연구소는 운동에 대한 심리적 저항을 낮추는 방법을 줄곧 탐색한 결과, 일주일에 세 번, 약함에서 중간 강도로 30분 동안 운동하면 불안을 충분히 잠재울 수 있다는 사실을 발견했다. 실험에 참가한 모든 사람이 운동한 후에 불안 수치가 낮아졌고 안정감을 느꼈다. 그 중에서도 불안장애 증세가 가장 심했던 집단이 다른 이들보다 많은 효과를 보았다. 운동은 불안장애 증세를 완화시키는 것은 물론이고 일상에서 마주하는 사소한 불안까지 감소시켰다. 

좋은 교과서 - 데이터과학자를 위한 실전 머신러닝

Do it! 데이터 과학자를 위한 실전 머신러닝 - 13가지 핵심 머신러닝 모델을 직접 구현하며 레벨 업! ㅣ Do it! 시리즈
배기웅 지음 / 이지스퍼블리싱 / 2023년 8월

이 서평은 출판사의 지원을 받아 작성하였습니다.

결론부터 말하겠다. 좋은 책이다. 이유는 뭐냐? 어려워서다. 어려워서 좋은 책이라니 무슨 말인가. 

비유하자면 이런거다. 맵지만 맛없는 음식이 있고 매운데 맛있는 음식이 있다. 이 책은 매운데 맛있는 그런 음식과 같다.

맵지만 맛없는 음식의 대표적인 예는 번역을 이상하게 하는 경우다. 쉬운 책이든 어려운 책이든 번역을 이상하게 하면 가독성이 안좋아지고 어려워진다. 

이 책은 그와 반대로 국내 저자가 썼기 때문에 그런 번역 문제에서 자유롭다. 그리고 다루는 주제를 보면 일반적으로 머신러닝 서적에서 자주 다루는 내용을 다루고 있다. (당연한 이야기이긴 하다. 모든 분야가 그렇겠지만 일반적으로 머신러닝 서적에서 자주 다루는 내용을 실무에서 사용하지, 그렇지 않은 내용을 실무에서 사용하진 않을 거기 때문이다.)

하지만 깊이 들어간다. 보통 수식을 하나 넣을 때마다 독자 이탈율이 몇 퍼센트씩 높아지기 때문에 수식은 되도록 넣지 않고 코드만 넣는 것이 출판사 입장에선 판매량을 늘릴 수 있는 방법인데, 이 책은 그렇게 하지 않고 정면으로 승부했다. 그렇기 때문에 이 책은 그리 만만한 대중서적은 아니고 대학교에서 교과서로 활용해도 괜찮을만한 책이다. 

지금 이 글을 쓰고 있는 나 또한 사실 이 책을 완독하지 못한 상태다. 저자의 설명을 따라가면서 모르는 내용들을 찾아보고 하다보니 한 쪽 한 쪽 읽는데 오래걸린다. 

그렇기 때문에 입문자에게 이 책을 추천하기는 조금 힘들것 같다. 다만, 입문서는 너무 많고(게다가 거의 다 비슷한 내용만 다룬다) 입문서 다음 단계의 책이 부실한 현재에 추천할만한 책이다. 

ML 분야에서 필독서로 여겨지는 책 중 하나가 MML(Mathmatics for Machine Learning - https://mml-book.github.io/book/mml-book.pdf)인데, MML과 함께 이 책은 좋은 교과서가 될거라고 확신한다.

밑줄긋기

p.32

패키지에 따라 표준편차를 정의하는 방식이 다름에 유의해야 한다. numpy는 표준편차 함수 numpy.std()의 기본값이 모표준편차로 지정되어 있다. sklearn 또한 표준편차를 모표준편차로 정의하고, 이에 따라 표준 스케일링 또한 모표준편차를 1이 되도록 피처를 스케일링한다. 반면에 pandas의 표준편차 함수 pandas.DataFrame.std()는 표준편차를 표본표준편차로 정의한다. 이러한 패키지별 차이는 머신러닝 프로그래밍 과정에서 다양한 차이가 생길 수 있다. 예를 들어 학습된 StandardScaler 객체는 피처별 표준편차에 해당하는 scale_ 어트리뷰트를 가지는데, 이 값은 pandas.DataFrame.std() 함수값과 다르다.

이와 같은 이유로 표준편차를 사용할 때 패키지별 표준편차 함수 혼용은 지양하는 것이 좋다. 샘플 개수가 늘어남에 따라 모표준편차와 표본표준편차의 차이는 점점 줄어들지만 그럼에도 이러한 혼용은 분석을 왜곡할 위험이 있다.

p.44

n x p 차원 행렬 X는 열벡터 x_i (1 <= i <= p)를 이용하여 X = [x_1, ..., x_p]로 나타낼 수 있다. 이때 풀 칼럼 랭크 행렬이란 X의 열벡터가 선형적으로 독립인 것을 의미한다. 즉, 모든 w_1, ..., w_p => R에 대하여 다음 방정식을 만족하는 해는 w_1 = w_2 = ... = w_p = 0 뿐이다.

w_1 x_1 + ... + w_p x_p = 0

풀 칼럼 랭크 행렬이 아닌 경우 y = Xw의 해는 무수히 많이 존재하고 이 중에서 안정적인 최적해를 탐색할 수 없다. 풀 칼럼 랭크 행렬 조건은 OLS를 적용하기 위한 최소한의 필요 조건이다. 

다중공선성은 열벡터 사이의 종속성이 커서 한 열벡터를 다른 열벡터의 선형 결합으로 근사하기 쉬워지는 것을 의미한다. 다중공선성이 커질수록 OLS로 얻은 해는 불안정해져 OLS는 사용하기 부적절한 모델이 된다. 

기술보다 고객을 - IT 트렌드 읽는 습관

IT 트렌드 읽는 습관 - 기술의 흐름을 읽고 이용하는 법 ㅣ 좋은 습관 시리즈 30
김지현 지음 / 좋은습관연구소 / 2023년 5월

학교에서 E-biz 개론 시간에 교수님이 하셨던 말씀이 생각난다. 경영학을 전공하는 학생들인만큼 기술에 너무 얽매이지 말라는 조언이었다. 기술은 엔지니어가 해주는 일이고 경영학을 하는 사람의 관점은 그보다는 어떻게 활용하고 어떻게 가치를 만들어내는지 그 지점에 주목하라고 강조하셨는데, 이 책을 읽으며 저자가 해주는 조언은 교수님의 조언과 똑같았다. 

기술에 함몰되지 말고 고객과 시장을 바라보라는 내용이었다. 

물론 기술을 익히지 말라는 게 아니다. 이왕이면 그 기술을 직접 사용해보고 구현할 수 있는 기술이 있다면 금상첨화이지만, 너무나도 깊숙이 빠져 숲을 보지 못하는 오류를 범하지 말라는 이야기였다.

위에서 말한 교수님도 코딩을 예전부터 할 줄 아셨다(라떼는 얘기하시면서 천공카드가 있었다는 둥 학교에 컴퓨터가 1대였다는 둥 잘 기억은 안나지만 무튼 라떼 얘기하시면서 기술 습득도 많이 하셨음을 알 수 있었다). 그리고 학교를 다니면서 과제를 수행하기 위해 많은 자료를 읽고 소화해봤지만, 실제로 코딩을 하거나 기술을 접하면서 익히는 것이 훨씬 더 이해도가 높다는 것을 나중에서야 깨닫기도 했다. 

이런저런 얘기가 많지만 결론은 간단하다. 부지런해야 한다는 거다. 이 책에서 알려주는 팁들도 중요하지만, 생각해보면 결국 열심히 쫓아다니라는 얘기의 변주다. 어떤 마법의 비기가 있는게 아니라 열심히 읽고 행사도 다녀보고 유튜브도 보고 토론도 해보면서 익히라는 것에 다름아니다. 실망스럽겠지만 흐름을 읽는 방법은 그 수밖에 없다. 

만약 돈이 엄청 많은 빌게이츠나 워런 버핏이라면 관련 전문가들을 불러서 세미나를 열어달라고 할 수도 있겠지만 (이라고 하지만 이들 또한 엄청난 독서량을 자랑하지 않는가. 게다가 세계 최고의 전문가를 자기 방에 불러서 세미나를 열수도 있고) 그렇지 않다면 더 발품을 파는 수밖에...

다만 이런 습관을 가지기 시작하면 좋은 점은 시간은 '복리'의 성질을 가지기 때문이지 않나 싶다. 기술은 한 순간에 갑자기 뿅 하고 태어나는 게 아니라 책 제목처럼 흐름에 따라 어떤 요구가 발생하고 그 요구를 충족시키기 위해 탄생하기 때문에 흐름을 읽는다는 건 그 기술의 역사를 아는 것이고, 역사를 알기 위해선 꽤나 오랫동안 관찰해야 한다. 그렇기 때문에 꾸준히 관찰한 사람일수록 표면을 보는 것이 아니라 그 속에 담겨있는 맥락을 파악할 수 있다. 이 책은 그런 습관을 갖도록 도움을 주는 메뉴얼이다.

밑줄긋기

p.32~33

키워드의 의미 이해도 중요하지만 해당 키워드가 산업, 기업, 사회, 사용자 중 어느 영역에 해당하며, 누구를 위해 사용되는지, 어떤 역할을 하는지 등을 다각적으로 이해하는 것이 중요하다. 단순히 개념적 정의로만 알아서는 안 된다. 

p.34

콘퍼런스에서도 기술 자체보다 기술로 구현된 상품과 이것이 실질적으로 사용자에게 어떤 가치와 혜택을 주는지 생각해보는 것이 매우 중요하다.

p.34~35

내가 CES나 MWC 등을 여러 번 다녀보면서 얻게 된 팁이다.

첫 번째는 내부 전시장을 한눈에 담을 수 있는 높은 위치에 자리를 잡고 사람들 움직임을 보는 것이다. 사람들이 어느 부스에 가장 많이 몰리고 어떤 제품과 기술 관람에 오랫동안 시간을 쓰는지 살펴본다. 이렇게 보다 보면 언론 등에서 중요하게 다루지 않았지만 현장에서 화제가 된 부스 등을 파악할 수 있다. 현장에서 그런 곳을 알게 되었다면 호텔로 돌아와 해당 부스의 기업과 제품 등을 체크한 후 다음 날 실제 방문을 해본다. 그러면 먼 곳까지 가서 놓치는 포인트 없이 꼼꼼하게 관람하고 오는 게 된다.

두 번째는 행사 첫날과 마지막날 그리고 마지막 다음날, 행사장 주변의 식당과 10여명 이상의 단체 손님을 받을 수 있는 크기의 레스토랑에 혼자 머물며 식사를 하는 방법이다. 여기서는 귀동냥을 하는 게 핵심이다. 귀를 쫑긋 세우고 주변 손님들이 말하는 키워드에 집중해야 한다. 운이 좋다면, 이들이 술에 취해서 이야기하는 전시 속사정과 뒷이야기를 들을 수 있는데(취중진담이라고 하지 않던가) 화려하지만 실속이 없는 것은 무엇이며, 반대로 지금 당장 상용화가 가능하지만 여러 가지 이유로 주목받지 못한 것이 무엇인지 등 표면에 드러나지 않은 실질적인 정보를 얻게 된다. 

p.47

중요하게 봐야 할 포인트가 하나 더 있다. 자율주행의 보급 속도나 기술적 완성도가 아니라 자율 주행이 되는 차 내에서 운전자는 어떤 경험을 하느냐이다. 이는 동시에 어떤 비즈니스 기회가 만들어질 것인지 고민하는 것과도 연결된다. 닭의 모가지를 비틀어도 새벽은 오는 것처럼 자율주행은 이제 시간문제다. 가랑비에 옷 젖듯 언젠가는 우리 일상으로 들어올 것이다. 그런 시대가 도래한다면 과연 어떤 새로운 고객가치가 만들어질까? 이런 포인트에 주목해야 한다.

p.51~52

알파고 이후 기업 AI 시장에 대한 관심이 커졌고, 관련 AI 기업에 대한 투자도 커졌습니다. 기업을 위한 AI 솔루션 시장은 앞으로 어떻게 될까요? 라는 질문은 단답형으로 귀결될 수 있다. 그렇다면, 이 질문은 다음처럼 바꾸어야 한다. 알파고로 AI에 대한 대중적 관심이 커지면서, 이렇게 사람보다 더 빠른 계산을 할 수 있는 AI가 기업 현장에도 속속 적용되고 있습니다. 동시에 다양한 비즈니스 기회도 만들어지고 있습니다. 기업에서의 AI 도입은 비즈니스 관점에서 그간 어떤 성과가 있었고, 앞으로는 어떻게 진화할까요? 또 그런 기업에 AI를 공급하는 Ai 솔루션 기업의 미래는 어떻게 될까요? 이 정도 질문은 IT에 대한 식견이 없는 상태에서는 하기가 어렵다. 하지만 수준 높은 질문도 연습이라고 생각하고 자꾸 호기심을 갖고서 질문 만들기를 해볼 필요가 있다.

p.52~53

좋은 질문을 하려면 나는 어떤 답을 갖고 있는지 미리 생각해보는 것도 좋다. 내가 생각하는 답이 상식 수준이라면 그 이상의 답을 얻기 위해서는 질문을 어떻게 바꾸어야 할지 미리 고민해보게 된다. 메타버스가 앞으로 활성화된다면 AR과 VR 중 어떤 것 위주로 시장이 재편될까요? 라는 질문은 우선 메타버스가 활성화되지 않은 경우는 배제하고 있는데, AR과 VR 두 가지 선택지만 물어보는 것이라 좋은 질문이라고 말하기는 어렵다. 차라리 메타버스 시장의 활성화를 위해 필요한 필수 요건은 무엇이라고 생각하나요? 그런 조건이 달성되어 메타버스 시대가 도래했을 때 AR과 VR이라는 서로 다른 기술은 어떻게 진화될 것이라고 전망하나요? 이렇게 질문하는 것이 더 낫다.

p.94~95

삼성전자의 비스포크 큐커 오븐은 스마트싱스라는 앱을 이용해 구독 비즈니스를 운영한다. 삼성전자는 주요 식품업체들과 손잡고 밀키트 가정 간편식을 비스포크 큐커에서 쉽게 조리할 수 있도록 제휴하고 관련 레시피를 앱으로 제공한다. 2년 사용 약정을 하게 되면 매월 3만 9천 원으로 간편식도 제공받고 오븐은 공짜로도 이용할 수 있다. 이처럼 비즈니스 트렌드 역시 시기별 흐름이 있다. 이제는 상품을 만드는 것보다 만들어진 상품으로 어떻게 돈을 버느냐를 더 중요하게 본다. 그래서 누구에게 언제 무엇을 팔아 돈을 받을지, 어떤 기술이 활용되는지 살피는 것이 기본적인 체크 포인트다.