보안 실패의 진짜 원인은 기술이 아니라 '조정 게임'이다

보안 사고의 근본 원인은 기술 부족이 아니라 '조정 실패'인 경우가 많다. 게임 이론의 조정 게임(coordination game)에서 플레이어들은 서로 호환되는 같은 선택을 할 때 최대 이득을 얻는다. 보안도 마찬가지다. 한 조직이 아무리 애써도 생태계 전체가 함께 움직이지 않으면 안전한 균형에 도달하기 어렵다. 핵심은 인센티브 정렬이다. '안전한 선택'을 가장 쉽고 기본적인 길로 만들어야 사람들이 자연스럽게 그 길을 택한다. 위험을 만든 당사자가 아니라 사용자가 보안 비용을 떠안는 '외부효과' 구조를 바꾸고, 안전한 기본값(secure-by-default)과 플랫폼 차원의 책임 이동을 통해 더 나은 균형으로 옮겨가야 한다. 결국 보안은 개인의 의지나 처벌의 문제가 아니라, 시스템 설계와 협력으로 풀어야 할 집단적 조정의 문제라는 것이 이 글의 메시지다. 개발자와 보안 담당자가 곱씹어볼 관점의 전환이다.