나경아빠의 스케치북 - 고통은 희망의 씨앗이다

지금까지 주 재테크 수단은 아파트에 의하 "집테크" 이었다.

앞으로는 수익형 재테크를 하고 싶어 예전부터 작은 빌딩이 꿈이여서 읽게된 책. 

2011년 첫 출간한 책이라 시점이 조금 다른 게 있었다.

1. 빌딩의 수익증대 방법

ㅇ 임대료를 올릴 수 있는 타이밍은 빌딩의 주인이 바뀔 때와 계약기간이 만료돼 재계약을 할 때다.

-> 한 주인이 오래 소유하고 있던 빌딩들이 노려야 할 물건들임. 

ㅇ 무슨 일이 있어도 '성장'하는 상권에 있는 '5년 미만'의 빌딩에 투자해야한다.

-> 성장하는 상권의 빌딩이어야 하는 이유는 상권이 뒷받침되지 않으면 아무리 임대료를 올리고 싶어도 올릴 수가 없기 

    때문임.

-> 5년 미만의 신축 빌딩은 임차인 구하기가 쉽기 때문. 새 아파트를 선호하듯, 임차인들도 새 빌딩을 선호한다.

ㅇ 돈 이야기를 할 수 있는 친구가 필요하다.

-> 투자에서 수익을 남기려면 투자금이 50~150억원 정도는 돼야 하고 이중 절반은 현금이 필요하다.

   자산가들 중에서도 현금을 수십억 쌓아놓기란 쉽지 않기에 동업이 필요하다.

ㅇ 처음 재테크를 시작하는 사람들에게 월급의 10퍼센트 정도 임대수익을 목표료 하는게 좋다.

ㅇ 코너에 있는 건물이 좋은 것은 건물을 지을 때 높에 제한 규제를 덜 받는 장점이 있기 때문이다.

ㅇ 모텔은 손님들의 동선 파악이 중요하다

-> 운전자들은 습관적으로 핸들을 왼쪽으로 돌린다든지, 대로변에 보이는 첫 번째 모텔은 심리적으로 부담스럽다든지

   등의 사소한 습관, 심리를 파악해야한다.

ㅇ 모텔 영업이 잘 되려면 특히 시설이 중요하다.

ㅇ 초보자가 모텔을 임대할 때 핵심은 '5년 계약'과 '낮은 월세'이다. 

-> 통상 2년 계약이 일반적이지만 5년으로 계약기간을 늘리면 투입한 리모델링 공사비를 다 뽑을 수 있다.

ㅇ 수익형 부동산으로 돈을 버는 방법은 두 가지다. 임대료 수입과 시세차익이다.

ㅇ 치밀한 '지역선택'과 '수익률 계산' 이 투자의 성공 비결이다.

-> 지역을 선택할 때는 투자에 실패하더라도 직접 들어와 살 수 있겠다는 생각이 드는 지역이어야 한다.

ㅇ 경매 주의할 점

-> 전략없이 구분등기된 물건은 손대지 말아야 한다. 법적인 문제가 힘들기 때문

-> 신규 상가는 절대 분양받지 않는다. 신규 상가는 시세 상승이 쉽지 않고 수익성이 검증되지 않았기 때문

ㅇ 역세권 경매로 나온 여관

-> 330제곱미터(100평) 전후의 여관은 대출이 어려워 경매로 나오는 물건이 많다.

-> 용도를 도시형 생활주택으로 변경해 은행에서 대출을 받으면 된다.

-> 모텔에서 도시형 생활주택으로의 용도변경은 쉬운 편

ㅇ 자루형 땅 매입

-> 자루형 땅이란 입구만 대로변에 접해 있고 나머지는 안쪽으로 들어가 자루처럼 생긴 땅을 말한다.

-> 대부분 이런 땅들은 대로변 땅보다 가격이 저렴하다. 일부만 대로변과 접하고 있기 때문

-> 다가구, 오피스텔 등을 짓고 임대하는 것도 한 방법

ㅇ 대지 매입 시 중시하는 요소는 크게 세 가지

-> 유동인구를 유발할 수 있는 횡단보도

-> 접근성을 높일 수 있는 진입도로

-> 에너지를 절감할 수 있는 남향

ㅇ 전략적인 임차인 선정

-> 신규로 생긴 업체는 들이지 않는다.

-> 음식, 음료 등 외식업체도 피한다. 음식이 건물을 망가뜨리고 또 냄새가 다른 임차인들의 쾌적한 근무환경을

   방해한다.

-> 연예기획사 등 엔터테인먼트 업종 종사자들도 피한다.

-> 광고회사, 인터넷 업종 등 일반 사무실을 선호

ㅇ 임차 용도를 미리 고려

-> 무조건 멋있고 특색 있는 빌딩만 지어 놓으면 임차인들이 줄을 설 것으로 생각했지만 그건 착각

-> 상권에 대한 고려 없이 무조건 예쁘게만 지어놓은 건물은 임차인 구할 때 애를 먹기 마련

-> 임차인이 원하는 규모를 미리 조사해야 한다. 업종별로 원하는 바가 다르다.

-> 특정 업종이 사업 허가를 얻으려면 일정 규모 이상의 면적이 필요

2. 빌딩부자 DNA

ㅇ 매입경로

-> 빌딩부자들이 가장 선호한 방법은 공인중개사를 통해서.

-> 그 다음이 지인을 통해서.

ㅇ 공실관리

-> 공실률을 줄이기 위해 가장 중요한 요소는 "건물 위치 및 설계"가 최우선.

ㅇ 안목

-> 저평가 된 물건의 미래가치를 보고 투자해야 한다.

-> 임대주택으로 지을 수 있는 부동산, 빌딩으로 지을 수 있는 땅, 상가를 지을 수 있는 땅,

    1층 단독을 4~5층으로 지을 수 있는 땅, 주거지가 상업지로 바뀔 지역의 땅 등 정확한 자료수집으로

    종합분석, 검토한 후 미래가치가 있는 부동산에 투자해야 한다.

ㅇ 수익률 계산 능력

-> '5년 후 빌딩의 시세가 두 배로 뛴다면 현재 이 빌딩의 가격은 얼마다' 라는 개념이 확실히 잡혀 있다.

-> 전문적인 용어로 '현가'에 대한 개념인데, 이 현가에 대한 개념은 투자를 할 것인가 말 것인가를 결정하는데

   중요한 판단기준을 제시한다.

ㅇ 플래 B

-> 빌딩부자들은 항상 '최약의 경우'를 미리 계산해둔다.

-> 빌딩부자들은 투자를 결정할 때 리스크를 상정하고 대안을 마련한 뒤 투자의 첫 샵을 뜬다. 

   이들은 최악의 상황에 대처하는 방법을 공부하고 투자에 나서기 때문에 일반적으로 위험이 일어나지 않는다.

ㅇ 계약서 한 줄

-> 표준계약서에는 분쟁이 발생했을 때 해결을 위한 규정이 완비돼 있지 않다.

-> 사소한 부분이나 구체적인 법 규정은 서로 간의 합의에 의해 보충해야 한다.

2014년 많은 팀원들이 떠나고 난 뒤 남은 일을 챙기면서 스스로 부족한 면을 많이 느끼면서 약자, 무능한자의 위치에서

대처하는 법을 알고 싶어 읽게된 책

1. 자리가 바뀌면 사람들은 변한다.

사보나롤라는 이상주의자였다. '불을 토하는 것 같았던' 그의 설교는 사람들의 심금을 울리기에 충분했다. 종교의 본질로 돌아가자나는 그의 호소는 피렌체 시민들을 열광시켰다. 그러나 대중의 열광적인 인기를 등에 업고 권력을 잡았을 때, 그는 변하기 시작했다. 아니, 더 정확하게 말하자면 현실의 문제에 눈을 뜨게 되었기 때문에 그는 변할 수 밖에 없었던 것이다.

정치인들은 총선, 대선 전후로 많이들 변하는 것을 봐왔다. 그것이 자리와 위치가 바뀌면서 자기가 뱉은 말이 결코 실행될 수 없는 현실을 봤고 그 현실에서 움직일 수 밖에 없기에 대중들은 변했다고 판단하는 경우가 많다.

회사에서도 이런 경우는 볼 수 있다. 

팀원, 파트장이었던 사람이 팀장이 되면서 조직의 운영 방향이 과거에 했던 발언과 다르게 운영하는 것을 볼 수 있다.

(팀장이 되었다면 아랫 사람들에게 했던 발언과 다르게 상사들이 원하는 말과 정책의 동조를 했을지도)

비단 권력을 가진 자리로 이동, 변화가 아니더라도 책임의 무게가 무거운 쪽으로 이동하게 되면 이전의 발언과 본인이 현실에서 해야하는 행동이 서로 다를 수 있다. 예를 들어 책임이 가벼운 사람이 이런 정책은 현실적으로 저런 문제로 하기 힘들거나, 하더라도 형식적으로밖에 되지 않는다라고 말을 하는데 상사로부터 책임을 부여받은 사람 입장에서는 그것을 알고도 형식적이든 포장이든 결과를 만들어 내야 한다. 그런데 이전에 반대 입장을 내세웠던 사람이 책임이 무겁거나 직접 질책을 받는 자리로 옮겨지면 결국 "현실"의 벽에 부딪쳐 과거의 자기 생각과는 반대로 일을 하는 경우가 있다. 또 한가지는 사례는 과장까지는 절대 술을 안 먹겠다는 사람이 40 중반이 되어가는 차장이 되어서는 상사가 권하는 술을 먹는 경우도 이런 것과 비슷하다.

2. 이성을 가진 약자, 울보가 되어야 한다.

난세의 한가운데를 지나고 있던 피렌체 정국에서 마키아벨리가 국가의 중대사를 결정하는 권력의 핵심으로 등장할 수 있었던 것은, 본인 스스로가 '얼빠진 짐승'처럼, 대중처럼 행동하지 않았다는 말이다. 자기 이익을 쫓아 쉽게 분노를 폭발시킨 아라비아티처럼 행동하지 않았다. 마키아벨리는 스스로에게 이렇게 다짐했을 것이다. 울지도 말고, 분도하지도 말자. 역사는 울보에게도, 분노한 자에게도 맡겨지지 않는다.

대중은 왜 늘 소수의 지배자에게 당하고 사는 것일까? 그것은 그들이 울보이기 때문이며, 쉽게 분노하면서 이성을 잃기 때문이다.

지배를 하는 사람은 이성을 가진 반면, 지배를 받는 사람은 비이성적으로 행동하기 때문이다.

이성을 가지고 울보가 되지 말라는 것은 자기 감정을 쉽게 내 보이면 상대방에게 그 패를 보여지기 때문일까?

가장 흔한 케이스는 회의와 자기 업무에 대한 투덜이 아닐까한다. 

여러 부서간의 회의에서 대변인인냥 나서서 목소리를 높이거나 노골적으로 비협조적으로 나오는 경우와 자기 일이 가장 힘들고 많고

투덜거림이 많은 사람들이 다소 이런 부류가 아닐까 생각이 든다.

그들을 대하는 현명한 방법은 무엇이 있을까? 

대충 떠오르는 방법이 있긴 하지만 맞는지는 모르겠다.

3. 모략만이 성공의 비결

나는 비천하게 태어난 자가 정정당당하게 실력으로 출세한 예를 지금까지 한 번도 들어 보지 못했다. 오히려 내가 목격한 것은 조반니 갈레아초가 그의 큰아버지인 베르나르도 각하의 손에서 롬바르디아의 지배권을 빼앗은 것과 같은 사건들이다. 즉, 모략만이 성공의 비결이라는 것을 나는 확고하게 믿고 있다.

마키아벨리는 공직에 오르기 위해서 강력한 후원자를 얻었다. 예나 지금이나 '내가 무엇을 아는가' 보다 더 중요한 것이 있다. 그것은 '내가 누구를 아는가', 또 '누가 나를 아는가' 이다. 실력은 나에게 맡겨진 업무를 처리할 능력이지만, 그 능력을 발휘할 수 있는 기회는 내가 가진 인적 자원으로부터 출발한다.

모략이라고 표현했지만 결국은 자기 목표를 이루기 위한 접근방법을 말하는 것인데 과거나 현재나 결국 그 접근방법의 시작은 인맥이다.

고려대학교 정보보호학과 김승주 교수님 포스팅으로 알게된 책.

구체적으로 글로 표현못하는 여러가지 이면을 생각하게 된 책.

형광펜으로 칠한 부분만 발췌해서 요약(?)

1장. 형제 격돌, 엘리트주의에 칼을 대다

- 평소에는 엄청나게 폼을 잡던 강남좌파 진보 교수들이 막상 보금자리주택이나 행복주택처럼 저소득층을 위한 아파트가 자기 동네에 들어서면

   완전히 침묵하잖아요. 찬성도 반대도 아니고 그냥 침묵이야!

- 미국은 흑인과 백인을 나누어 교육하던 분리정책을 철폐할 때 앨라배마주에서 반대하니깐 케네디 대통령이 주방위군을 투입했어요. 진짜 진보

   라면 옳은 일에 그 정도 의지를 보여줘야 합니다.

- 단적으로 말해서 지금 진보니 운동권이니 큰 목소리 내는 사람중에 서울대, 연고대 안 나온 사람이 몇명이나 됩니까? 다른 대학 출신들은 모두

   어디를 갔냐고요. 저는 그걸로 얘기는 끝났다고 생각해요. 시대의 억압에 맞서서 감옥에 간 걸 얘기하지만, 다른 대학 애들은 감옥에 갈 기회도

   갖지 못한 거예요.

- 근본적으로 상대가 누구든 한수 가르쳐주겠다고 달려드는 태도가 문제

- 진보가 가진 계몽주의적 태도의 배후에는 엘리트주의와 위선이 함께 자리 잡고 있습니다.

- 박정희는 옛 경기고를의기득권을 평준화로 무너뜨린 사람입니다.

- 사람이 진영에 갇히는 순간 생각의 독립성을 잃게 됩니다. 자기 목소리를 잃는거죠

- 원래 정부나 국가기관은 형법상 명예훼손의 피해자가 될 수 없습니다. 대법원의 표현을 따르자면 '공직자 개인에 대한 악의적이거나 심히 경솔

   한 공격으로서 현저히 상당성을 잃은 것으로 평가되지 않는 한' 공직자 개인에 대한 명예훼손죄는 성립하지 않습니다

- 명예훼손이 범죄가 되려면 고의가 존재해야 합니다

- 보도 당시까지 밝혀진 사실을 기초로 보도했으면 그건 처벌대상이 아니에요. 그만큼 범죄 성립에는 고의가 중요해요

- 아무리 옳은 소리를 해도 그게 자기 머리에서 나온 게 아니면 아무 소용이 없어요. 그런데 우리나라에는 온통 남의 이야기를 하는 사람들만 있

   습니다.

- 제가 볼 때 박근혜는 20대를 불행하게 보낸 약자입니다.

- 민주당은 그냥 기득권 엘리트 집단일 뿐이에요. 새누리당보다 나을 게 하나도 없습니다. 하나는 강남좌파고 다른 하나는 강남우파일 뿐이에요

- 기득권층은 사람들의 무관심을 먹으면서 자신의 배를 불려값니다. 비슷한 기득권 엘리트 집단처러 보이더라도 누가 더 나은지 구별하려는 노력

   을 포기해서는 안 돼요.

- 자유와 평등을 내세우는 운동권 사람들의 95%가 서울대, 연고대 출신이라면 뭔가 이상하지 않나요? 저는 그런 측면에서 이석기 같은 경기동부

   연합 사람들은 높이 평가하고 싶어요. 서울대 아닌 사람들이 운동권 안에서 니치를 만들어낸 거잖아요

- 유권자들에게는 선거결과가 자기 삶에 어떤 영향을 줄 것인지가 중요해요. 박근혜는 적어도 자기가 집권하면 어떤 나라를 만들 것인지에 대해

   몇가지 인상이라도 남겼어요

- 청계천을 복원해 대통령까지 간 건 이미 이명박으로 끝난 길이에요. 그걸 흉내 낸다고 해서 대통령이 될 수는 없습니다.

- 박시장은 인권이라든지 시민운동이라든지 자기만의 고유한 브랜드를 가진 사람이라 그걸로 승부를 걸잖아요. 자기 브랜드가 있기 때문에 자신

   감도 있는 거겠죠. 누구라도 엘리트주의에서 벗어나기는 힘듭니다. 그래서 거기서 얼마만큼 벗어났느냐가 그 인물의 크기를 결정해요

- 대학교육은 일방적으로 정답을 가르쳐주는 것이어서는 안 돼요. '네가 지금까지 생각하던 걸 원점에서 다시 검토해보자'는 것이어야 해요

- 독립적인 사고는 더 어려워졌어요. 인터넷이 과연 생각의 다양성이나 독립적 사고에 도움을 주는지 모르겠어요.

- 보수는 한두마디 폭력적이고 감정적인 언설로 쉽게 사람들의 마음을 얻는 데 반해, 진보는 자꾸 긴 설명을 하게 되거든요. 어떻게 더 간명한

   논리로 대중을 설득할 것인지는 오늘날 진보에 주어진 중요한 과제에요. 그러지 못하면 논리에서는 이기고 투표에서는 지는 패턴이 반복될

   테니까요.

2장 괴짜 과학자 형과 삐딱한 법률가 동생

- 보통 수준의 SCI 저널은 똑같은 논문이 와도 심사하는 입장에서 '그냥 해주지 뭐' 이렇게 돼요. 반면에 "네이처"에서 심사 부탁이 오면 심사자

   들이 무시무시한 눈으로 공격적인 심사를 하죠

- 저쪽과 비슷한 결과를 내가 갖고 있을때 좀 후진 저널에 우리 결과를 먼저 내버리는 것도 방법이에요. 막말로 같이 죽는 거죠. 나도 후진 저널에

   내서 손해를 보지만, 저쪽 그룹은 몇년 준비한 내용을 우리 쪽에서 먼저 내버려서 어디에도 그 결과를 내지 못하게 되니까요.

- 상황에 따라서 처음에는 제대로 인정받는 걸 포기하고 일단 코너에다 자기 돌들부터 넣어놓는 거예요. 파운데이션 스톤들을 몇 개 넣어 그물을

   쳐놓으면 세계적인 그룹들이 나중에는 인정을 안 할 수 없는 경우가 생기죠

- 황교수는 자기 기술이 있었던 사람이에요. 그 점에서 훌륭한 사람이고요. 우리나라 여건에서 앞으로 세계적으로 뜰 분야가 뭔지를 예측했다는

   것만 해도 굉장한 거에요. 성급하게 조작만 하지 않았어도 곧 세계로 나아갈 수 있었죠

3장 악동 출신의 31세 서울대 교수

- 안 그런 척했지만 공부 못하는 게 서러웠겠지. 주눅이 들고, 초등학교 5,6학년 때 수학경시대회 나가는 애들만 밤늦게까지 학교에 따로 남아

   공부를 했는데, 그게 부러워졌어요. 그게 부러워졌다는 게 이미 제 내면의 어떤 변화를 의미하는 거죠. 거기다가 맨날 놀다보니깐 지겨워지기도

   했겠지. 친구 집을 하루에 열군데씩 찾아다녀도 같이 놀아줄 친구가 없어요. 다들 공부하니까. 그때 느끼 외로움. 성인만화 보고 집에 늦게

   들어갈 때, 겨울밤에 혼자 집에 돌아올 때 느끼는 외로움. 쓸쓸함.

- 그런데 금방 선생들의 트릭이 눈에 보이더라구요. 절대로 풀 수 없는 말도 안 되는 문제를 내서 애들한테 겁을 주면서 엄마들한테 돈을 왕창

   뜯어내는 전략

- 교회 다니는 친구들한테 물어보면 다들 회색이었거든요. 신앙 때문에 창조론이 옳고 진화론이 틀리다고 생각하면서도 시험 칠 때는 진화론을

   쓰는 거예요. 그러면서 "나중에 우리가 훌륭한 과학자가 되면 그때 가서 창조론을 퍼뜨리자" 식으로 자기 합리화를 했어요

- 왜 내세가 없다고 보냐? 간단해. 사자한테 쫓겨 도망가는 물소를 생각해보세요. 물소는 내세가 없다는 걸 아는 거야. 죽으면 끝이다 생각하니까

   죽을 힘을 다해 도망가거든

4장 대한민국이 노벨상을 받지 못하는 이유

- 이걸 계속하면 지루해서 죽을 수도 있겠다 싶으면 던지고 나오는 거죠

- 일본은 자기 연구실 출신 박사 중에 제일 잘하는 사람을 교수로 뽑아요. 그후에 정교수가 되기 위한 치열한 경쟁이 시작되죠. 일단 전임강사나

   조교수가 되면 이변이 없는 한 모두 정교수가 되는 우리나라와 달리 일본과 독일은 아주 소수의 사람들만 정교수가 돼요. 정교수가 되기 위해서

   목숨 걸고 50대까지 연구를 하지만 80퍼센트는 실패해요. 이와 같은 피라미드 구조에서 살아남은 소수의 정교수들이 일본만의 DNA를 가지고

   학문을 이끌어 가는 거예요

- 한국 '사람'이 노벨상을 받는 게 중요한 게 아니에요. 한국 '박사'가 노벨상을 받아야 해요

- 학생들을 대학원생으로 뽑아 박사학위는 계속 주면서, 막상 교수 뽑을 때가 되면 해외유학한 박사들에게 우선권을 주는 건 옳지 못해요.

   대학원 오라고 꼬드길 때하고 나중에 교수 뽑을 때 말이 달라지는 거잖아요. 

- 제일 나쁜 것은 미국에서 박사학위 받은 사람들끼리 한국에 들어와서 서로 인브리딩을 하는 거야. 자기가 배출한 국내 박사는 교수로 뽑지

   못하면서 미국에서 자기에게 학위 준 스승의 제자들을 데리고 와서 끼리끼리 해먹어요.

- 자기가 그 지도교수와 수십년 전 연구한 걸로 함께 노벨상을 타기를 기대해요. 노벨상이 수십년 후에 주어지는 경우도 많으니까요. 그래서 평생

   그렇게 미국 지도교수와의 인연을 이어가죠. 그런 생각이 결국은 학문의 노예를 만들어요. 평생 한번도 자기 집을 짓지 못하고 늘 지도교수 집의

   한 귀퉁이만 지어주는 역할을 하는 거죠

5장 하버드대 한국 분교 교수들

- 미국은 원래 순수과학이 약하고 공학이 강했던 나라예요

- 유럽은 놀랍게도 공학이 완전히 물리학의 일부예요. 공학을 다 합친 거랑 물리학의 규모가 비슷해요. 유럽은 자기네가 물리학을 시작했잖아요

- 우리나라에 미국 박사들밖에 없다보니 미국식이 무슨 절대적 진리인 줄 아는 게 문제예요. 새로운 분야를 하려고 하면 "그건 물리가 아니다" 이러

   면서 제동을 걸어요. 왜 물리가 아니냐고 하면 "미국에서 아니니깐 아닌 거다" 이러고 있어요

- 새로운 걸 만들고 난관을 돌파하는 데는 모범생들의 태생적 한계가 있잖아요. 워낙 선생님이 시키는 것만 성실하게 수행해온 사람들라서요. 미국

   에서 지도교수 아래 있을 때에는 그저 시키는 대로 성실하게 일해서 좋은 결과를 만들다가, 귀국해서는 위에서 뭘 지시하는 사람이 없으니 오히려

   더 힘들 거예요

- 일본에는 기본적으로 과거제도에 의해 선발된 엘리트 선비집단이 없없어요. 사무라이는 싸움을 하는 사람이지 공부를 하는 사람이 아니에요. 

   도쿠가와 막부에서 성장한 중인계급은 그야말로 장인집단이었고요. 장원급제를 통해 입신양명하는 우리나라 선비들에게 공부는 신분 상승의

   수단이지만 일본의 중인들은 신분적으로 더 올라갈 일이 없어요. 유학자든 장인이든 그냥 공부하는 게 자기 일이고, 그 자리에서 끝장을 보는

   거예요. 올라가기보다는 깊이 더 깊이 아래로 계속 파는 과정이었죠. 열심히 한다고 해서 과거를 통해 최고 관료가 될 방법이 없었기 때문이에요

- 유학자들은 국가를 경영하 우리나라에서 과거제도가 신분 상승의 중요한 통로가 되었던 것과는 근본적으로 다르죠. 우리나라나느 조선의 과거

   제도가 일정강점기의 고등문관 시험을 거쳐서 거의 그대로 사법시험과 행정고시로 계승되었다고 볼 수 있어요. 시험에 통과해서 관료가 되면

   권력과 부가 보장되는 씨스템이죠. 시험의 공정성이 보장되는 대신 전국민이 거기 매달리게 되는 문제가 있었고, 장인이라고 할 만한 저눈 집단

   이 만들어지지 못했어요. 

- 그 나라들이라고 자르고 싶어서 교수들을 잘랐겠냐고? 질적인 우수성을 유지하기 위해서는 그 방법밖에 없으니까 그렇게 한 거예요. 그걸 무서워

   하면 안 돼. 누군가는 대승적으로 생각하고 새로운 틀을 짜야 해. 가야 하는 길이 분명하다면 힘들어도 가야죠

- 우리나라에서 세계 수준으로 간 게 뭐가 있나? 딱 하나, 대기업이 있어요. 우리 대기업이 어떤 씨스테이냐 하면 독일, 일본의 대학과 같아요. 센 놈

   만 올라가는 정말 잔인한 씨스템이야

6장 장원급제 DNA, 장인 DNA

- 입시에서 1등은 연구도 당연히 잘하게 되어 있다는 거죠. 등수가 만들어낸 신분을 그대로 받아들인 거예요. 조금 뒤에 있는 학생이 물리학과에 온

   다고 해서 이공계 위기라고 떠들어요. 평소에 우리나라 입시제도를 그렇게 욕하면서 왜 전교 1등의 성적, 수능 성적의 실력은 그대로 믿는지

   모르겠어요. 우리 교육은 창의성을 죽이고, 미국보다 못하고 어쩌고 저쩌고. 만약 우리 입시가 그렇게 잘못되었다고 한다면 전교 1등이 물리학과에

   오지 않는 건 정말 다행이라고 여겨야죠

- 영재교육받아서 잘된 사람을 떠올려보세요. 역사에서 거의 찾아볼 수 없습니다. 특히 과학 분야에서 공헌하 사람들 대부분은 일반적인 과정을

   밟아 성장한 사람들이예요. 노벨상을 받은 사람도 90퍼센트 이상이 일반 고등학교를 나온 사람들입니다.

- 대학입시 개선한답시고 입학사정관이니 뭐니 하는 제도를 새로 도입했는데 결국 교수 집 애들이게 유리한 결과만 낳았어요. 고등학생 애들에게

   재대로 된 논문을 요구하는 게 말이 됩니까? 아버지가 대신 써주라는 얘기밖에 안 돼요.

- 주입식 교육이 싫다면서 왜 그 결과는 그대로 받아들이느냐는 말이에요. 또 주입식 교육이 무조건 나쁘다는 이유는 뭐죠? 우리가 주입식 교육으로

   여기까지 온 나라입니다. 그렇다면 주입식 교육을 좋다고 생각해볼 수도 있잖아요. 

7장 경기고, 뺑뺑이, 특목고

- 스티브 잡스를 만들고 싶다면서 공부 잘 하는 애들 중에서 잡스를 찾으려면 그게 되겠습니까. 스티브 잡스는 생물학적 아버지가 시리아 사람이거든

   요. 우리나라면 잡스는 아예 싹도 못 틔웠을 겁니다.

- 독일도 일본도 그래서 기초과학 분야에 폭넓은 투자를 하는 겁니다. 한두명에게 돈을 쏟아붓는 엘리트 과학이 아니라요. 그런 엘리트주의 정책을

   만드는 사람들이 하나같이 평준화 이전의 경기고 출신들이예요. 자기만 망하지 않고 잘못된 믿음으로 나라 전체를 망치고 있는 겁니다.

- 스티브 잡스, 빌 게이츠 모두 탈락입니다. 윤송이 박사 같은 사람을 창의성의 상징으로 삼는 것 자체가 난센스예요. 그렇게 하면 벤처는 망해요.

- 우리나라는 왜 이렇게 빨리 인생이 결정 나는 씨스템을 갖게 됐을까요. 조선시대 평균수명을 생각해보면 답이 나와요.

   조선시대 평균수명이 35세인 상황에서 누군가가 15세에 장원 급제해서 팔자를 고치는 것은 별로 이상한 일이 아닙니다. 인생의 정확히 절반쯤

   되는 시기에 승부수를 던진 셈입니다. 조선시대와 비교할 때 수명이 두세배가 늘어난 거에요. 15세에 인생이 결정되는 게 정말 말도 안 되는

   시대가 오고 있는 거죠. 평균수명을 기준으로 역산한다면 인생이 결정되는 시기를 40세 정도로 늦춰야 합니다

8장 새로운 공부를 제안한다

- 자신들이 다녔던 학과가 없어진다는 이유만으로 교수들이 인문학의 위기라고 말하는 건 동의하기 힘들어요. 지나치게 교수 위주로만 생각하는

   거죠

- 미국에서 박사학위를 받고 미국 인프라를 가지고 연구해서 노벨상을 받는다 해도 우리 학문의 발전과는 아무 상관이 없다는 이야기죠

- 고등학교 2학년 때 카이스트나 서울대 가는 애들은 우리가 흔히 생각하는 과학계의 천재가 아니라 우리 입시제도에서 번아웃된 희생자들입니다

- 근본적으로 대입 전형을 교수와 대학에 맡긴 게 문제예요. 고양이에게 생선을 맡기 격이죠. 교수 자제들에게 유리한 입시 제도를 만들어놓고

   그게 들킬까봐 생색내려고 빈곤계층을 위한 여러 제도를 찔끔찔끔 마련하다보니 제도만 복잡해졌어요. 대학입시는 최대한 단순화해야 합니다.

   점수 한 방으로 끝내야 해요

- 서울대가 우리 교육에서 차지하는 높은 위상은 대학원에서 연구를 잘해서 획득하 게 아니에요. 고등학교 성정이 좋은 학생들을 학부에 받아들임

   으로써 유지되어온 위상일 뿐이에요

- 애 키우기가 힘든 게 아니라 애를 명문대 보내기 힘든 시대일 뿐이에요

최근 임원 업무 관련 메뉴얼을 생각하고 있었고 작년에 개인적인 일로도 관계가 있어서 집어들게 되었다.

과거에 읽었던 직장 처세 관련 책과 비슷하겠거니 했는데 읽고 나서 보니 최근 나의 현실과 공감되는 부분이 많았다.

개인적으로 공감가는 부분만 발췌한다.

1. 누구도 내일을 장담할 수 없다.

현재 35세, 길게 잡아 25년 뒤면 정년이다. 평균 수명을 감안하면 20년을 특별한 소득 없이 살아야 한다. 연봉이 갑자기 200%가 올라 연봉의100%를 저축하는 특별한 반전이 없는 한, 그들 가정의 미래는 매우 절망적이다.

새벽부터 일어나 폐지를 줍는 노인이 20년 후 당신의 모습일 수도 있다.

이제 40대에 들어서 직장인들은 언제 명예퇴직을 당할지 모른다는 불안감 속에서 살아가고 있다.

을지로 4가역 개찰구를 나오면 신문 등 폐지를 모으는 노부부가 있다. 매일 보면서 나도 운좋게(?) 50세에 명퇴를 하게 되어 어떤 일을 해서라도 60까지 일을 한다고 치더라도 60 이후부터는 무엇을 할까 고민을 하게되면 등에 식은땀이 흐른다. 

강연, 강의, 사업, 경비, 고깃집에서 불탄 갈아주는 일 등 60 이후 어느 것 하나 자신있게 할 수 있는게 있을까 싶다.

최근 그룹사태로 회사에서 구조조정을 했는데 내 주위에는 30 후반에서 40 초반의 한창 일할 분들이 나가셔야 하는 모습을 보고 또 한달 좀 넘게 지난 지금을 보면 참 무섭구나 하는 생각이 든다. 

그들이 꼭 못해서가 아니지만 과연 나는 위에서 말한 것처럼 10년이라도 더 보호할 수 있는게 있을까?

2. 직장인이라면 삼성의 임원처럼

삼성의 임원 자리는 머리가 좋은 사람 혹은 학력이 높은 사람이 올라가는 자리가 아니라, 열정과 책임감을 가지고 장기적으로 좋은 성과를 내는 사람에게 주어지는 자리인 것이다.

1) 강한 책임감

스스로 강한 책임감을 가지고 원하는 성과를 이루어야겠다는 생각을 하고 있기 때문에 성과를 이루지 못하고 조직을 떠나야 하는 상황이 되어도 전혀 물만을 표출하지 않는다. 그것이 책임감이 강한 사람들의 특징이다. 모든 게 자신의 탓이라는 것, 핑계는 없다는 것이 그들의 제1철칙이다.

2) 무서운 적응력

능력은 가르쳐서 습득시키면 되지만, 조직 적응력은 오랜 시간이 필요하기 때문에 교육을 통해 만들어지는 것이 어렵다

주위에 삼성그룹에 일하는 대리, 과장, 차장들이 있다. 책임감인지 모르겠지만 업무 강도가 낮지는 않다고 느껴졌다. 

그것을 보면서 솔직히 속으로 '받은 만큼 해야지' 그런 생각도 했다.

그런데 한편으로 내가 그들보다 더 적은 연봉으로 주말에 회사를 나가고 2013년에는 고려대 정보보호대학원을 다니면서 풀타임 학생들과 경쟁도 하고 주중 야간과 주말에는 미래부 최정예 사이버 보안 인력 교육을 다닌 것을 보면 삼성 그룹에 있는 분들도 결국 책임감, 열정 등으로 다른 기업들보다 높은 업무 강도를 버티는 것이 아닌지 싶다.

어쩌면 책의 내용처럼 삼성의 업무 강도가 높은 게 아니라, 반대로 다른 기업들의 업무 강도가 낮은 것일 수도 있겠다.

3. 끝없는 목표 의식

신문을 보라는 부장의 말에 신입 사원들이 신문을 보고 싶기는 하지만 신입사원이 회사에서 신문을 보면, 다른 부서 사람들이 논다고 생각한다고 한 일화.

한 직원은 '어떻게 하면 다른 부서 사람들에게 안 좋은 말을 듣지 않으며 신문을 볼 수 있을까?'에 대해 고민했고, 출근 시간을 30분 앞당기자는 결론을 내렸다.

목표가 분명하다면 시간은 얼마든지 만들 수 있다. 간단하다. 평소 즐겼던 여유를 포기하면 된다.

정말 열심히 산다는 것은 내가 할 수 있는, 달성 가능한 목표를 이루는 것이 아니다. 누가 봐도 불가능할 것 같은 목표를 세우고, 결국 그것을 해내는 것이다.

2004~2006년 영어 회화 공부를 해야겠다는 생각이 들었지만 점심, 저녁 등 시간을 만들 수 없어 결국 1년 반동안 6시에 시작하는 영어 회화반을 다닌 적이 있었다. 그 당시는 어렵다는 생각을 많이 못했는데 지금 생각해보면 다시 할 수 있을까 생각이 든다.

결국 이것도 내가 무엇을 포기해야 할 수 있는 것을 몸소한 케이스였던거 같다.

2013년 하반기는 정말 살인적인 일정이었던거 같다.

2013년 9월부터 고려대 정보보호대학원 수업이 시작되어 수목금토를 나가야 했고

2013년 8월부터 12월까지는 미래부 최정예 사이버 보안 교육으로 화, 토 주중 야간과 토요일에 나가야 했다.

대학원 선배는 하나만 해라 했지만 기술 지식 습득이 간절했던 나는 결국 강행을 했고 비로 최정예 교육은 수료로 끝났지만 대학원 성적도 A+, A, B+ 등으로 아주 만족스럽진 않지만 주어진 환경내에서는 최선을 다했었다. 

목표가 있으니 몸에 다소 무리가 왔지만 결국은 마친거 같고 상황도 그에 따라 도와주는 쪽으로 흘렀던걸 느꼈다.

4. 직장인의 변신은 불가피하다

임원이 되기 전에는 다른 부서에 양보하는 것을 죽도록 싫어했는데, 임원이 되니 우리 사업부가 양보해 전체의 이익을 키울 수 있다면 그렇게 해야 한다는 발상을 가능해진 것이죠. 개인이 아니라, 회사를 생각하는 넓은 시각을 갖는 것이 정말 중요합니다.

부장까지의 승진은 그 사람의 장점이 무엇이냐가 중요했지만 임원으로서의 승진은 장점이 아닌 단점이 중요하다. 얼마나 단점이 없는 사람인지, 그것이 바로 임원 승진의 가장 중요한 포인트가 된다.

여러 부서 팀장과 임원이 참여한 회의 이야기를 들었다. A팀 부장이 자기 상사가 아닌 다른 부서 B 임원한테 자기 일을 떠넘기는 이야기를 했는데 B 임원이 발끈할 줄 알았는데 오히려 그런 말을 한 A팀 부장을 두둔한듯 말을 하고 A팀 부장쪽이 지금 아주 중요한 일을 하고 있으니 자기 부서 사람들에게 전달해서 일을 덜어주겠다고 해서 해당 부서 사람이 실망하는 이야기를 들었다.

처음엔 나도 이해가 되지 않았지만 A팀이 맡고 있는 일의 영향도를 보고 그리고 당장 지금 무엇이 우선순위일까 보니 B 임원이 한 말이 이해가 되었다.

단순하게 보면 건방지게 부장이 임원한테 일을 떠 넘겨 뒤에 백이 있나 싶기도 했지만 그 팀장도, 임원도 지금 무엇이 중요한지를 서로 아는 상태서 말이 서로 된 것이다.

임원은 결국 그런 자리인 것이다.

 5. 게으름의 행태

1. 뚜렷한 방향성을 정해 놓지 않고 똑같은 일을 반복하는 것

2. 중요한 일을 뒤로한 채 사소한 일에 매달리는 것

3. 스스로 완벽주의라는 덫에 걸려 끊임없이 결정을 미루는 것

4. 늘 바빠 보이지만 실속은 없는 것

5. 능력이 되면서도 도전하지 않는 것

대부분 할 일 없이 놀고 있는 것을 게으르다고 하는데 똑같은 일을 반복하고, 결정을 미루고, 실속은 없고, 도전하지 않는 것도 게으름이라고 한다.

결국 고민하지 않는 것은 모두 게으른 것이다.

 6. 초심을 기억하라

어떤 일을 하든지 초심이 가장 중요하다. 일이 잘되지 않는 이유는 처음 시작했을 때의 그 간절하고 초조했던 마음이 잃어 버렸기 때문이다.

초심을 기억하라 그리고 삶에 대한 두려움을 가져라. 그것이 바로 진짜 내공을 가진 사람의 자세이다. 교만을 경계하고 두려워하라. 두려워하지 않으면 두려운 일을 당하게 될 것이다.

2주전에 말콤 글래드웰의 '다윗과 골리앗' 책을 읽었듯이 두려움은 결국 약자라는 것과 통한다. 내가 약자라는 것을 인정함으로써 두려움을 알고 그 두려움을 이기기 위해, 초심을 갖는 것이다.

서울 시내 적당한 집이 있다고, 금융회사 과장으로 재직하고 있다고 해서, 구조조정을 피했다고 해서, 맞벌이 한다고 해서 54만원을 첫 월급을 받아 30만원을 청약적금을 넣었던 그 시절을 잊어버리면 결국 한방에 훅 간다.

7. 끊임없이 자신을 변화시켜라

일만 열심히 잘하는 사람은 당장은 반짝일 수 있다. 하지만 인풋이 없으면 그 반짝임은 오래가지 않는다. 자신을 소모하며 살아가다가 결국 별똥별처럼 세상 어딘가로 사라질 것이다.

삼성의 임원은 대부분 그들 자신의 무지와 맞딱뜨리면서 괴로워했고, 괴로움에서 탈출하기 위해 치열하게 자기계발을 했다.

보안 업무도 기존 솔루션 등을 잘 관리하고 운영하면 잘 할 수 있다. 하지만 그 보안 솔루션을 우회하는 것을 스스로 의문을 가지지 않거나 업체가 해주길 바란다면 인풋없는 반짝임과 같다.

별똥별이 되지 말고 항성이 되어야 한다.

8. 15시간 몰입의 법칙

영국의 수학자였던 뉴턴은 건강이 좋지 않아 요양을 하며 휴식을 하던 시기에 떨어지는 사과를 보며 만유인력의 법칙을 발견했다. 철학자이자 수학자였던 데카르트는 건강이 좋지 않아 침대 생활을 할 때, 침대에 누워 천장을 바라보며 X-Y 직교좌표계를 고안했다.

중요한 것은 사과가 떨어지는 평범한 광경을 보고 특별한 것을 만들어 낸 뉴턴의 생각과 몰입의 힘이다. 평범한 일상도 특별한 시선으로 보라보고 생각하면 특별한 것을 얻을 수 있다.

보안도 마찬가지이다.

그저 솔루션만 사면 된다는 막아진다는 생각은 버려야 한다.

솔루션의 원리가 무엇인지, 솔루션을 자체적으로 구축할 수는 없는지, 솔루션이 왜 필요한지, 지금 무엇이 문제가 있는지 등을 다른 시각으로 바라봐야 솔루션으로 구축을 한다고 해도 우리 상황에 맞는 솔루션이 되는 것이다.

9. 사색이 최고의 차별화이다

괴테

인간은 사회에서 여러 가지를 배울 수 있다. 그러나 영감을 얻는 것은 오직 고독에 의해서만 가능하다.

세계 최대 소프트웨어 업체인 미국 마이크로소프트의 빌 게이츠 회장은 1년에 두 차례씩 자신의 별장에서 집중적으로 사색하는 생각 주간(Think Week)을 갖는다. 생각 주간에 그의 별장을 찾는 사람은 하루 두차례씩 간단한 음식을 넣어주는 관리인뿐이다. 스스로 외부와 단절할 채 고독한 시간을 갖는다

새로운 것을 만들어 내고 싶다면 고독을 어떻게 활용하느냐가 중요하다. 따라서 직원과 다른 생각, 다른 해법을 제시해야 하는 리더는 자발적인 격리가 필요하다. 다른 생각을 위해서는 다른 공간과 시간, 감정이 필요하기 때문이다.

최근 출퇴근시 스마튼폰을 덜 하기 위해서 음악을 듣고 있다. 그리고 차음을 위해서 다소 비싼 헤드폰을 통해서 음악을 듣는다. 그러다보니 음악에 더 집중하게 되고 그러면서 나를 격리시키고 여러 가지 생각을 하게 된다. 

현실속에서 나를 격리시키고 사색할 수 있는 방법을 찾는 것이 중요하겠다.

출처 : 말콤 글래드웰의 "다윗과 골리앗"

원서를 읽지 않았지만 이미지는 원서를 넣었다. ^^

보안 직무를 맡은 지 2년이 안된 '약자' 입장이라 보안 카테고리에 리뷰를 쓰고 싶지만 사례를 드는 내용들이 많고 길어 몇가지만 추려서 해야겠다. 잘 시간도 되었고 안 하면 찜찜해서 적당한 선에서 타협을 ㅜㅜ

1. 농구 이야기 

대부분의 농구 게임을 보면 A 팀이 골을 넣으면 B 팀은 B 팀 골대 아래 라인에서 동료 선수에게 공을 주면서 상대방 코트로 전진해나가고 A 팀은 자기 골대 근처에서 수비를 시작한다.

28.7 미터 농구 코트에서 양 끝의 7.3 미터 내에 상대방이 올 때까지 가만히 기다리며 농구를 하고 있는 것이다.

내가 맡고 있는 팀이 약팀이라면 이렇게 해서 강팀을 이길 수 있을까?

상대팀이 내 코트로 올 때까지 아무것도 아니 하고 그들에게 생각할 시간을 준다면 결과는 뻔하다. 

체력만 받쳐준다면 상대방이 골대 아래서 패스를 시작할 때부터 한 사람씩 맡아 그들 앞에 서서 공을 못 받게 하고 나머지 한 명은 드리볼이 뛰어난 에이스를 추가로 맡는다면 어떠할까? 그것이 약팀이 할 수 있는 최선의 방법이다.

골대 아래서 동료에게 패스를 5초안에 안 하면 공격권이 넘어가는 룰이 있고 10초 안에 하프라인을 넘어가지 못하면 또 공격권이 넘어간다. 약팀이 그동안의 관습대로 하지 않고 규칙은 규칙대로 지킨다면 강팀도 당황함을 느끼고 실수를 하게 된다. 

실수를 하게 되면 상대팀의 코트내에서 공을 잡았으므로 우리팀 코트에서 오는 거리를 줄일 수 있고 운이 좋으면 골대 밑에서 공격해서 슛 성공율을 올릴 수 있다.

그런 기술이 약하고 조직력이 약하고 오합지졸인 약팀에게 단순함을 강조한다면 그것이 그들만의 장점이 될 수 있다.

금융 관련 개발은 오래 해봤지만 해커, 컨설턴트의 지식과 경험이 없어 모의 해킹 수준의 진단을, 보안 전문가 수준의 체계를 단시간내에 이룰 수 없다.

그렇다고 그들처럼 흉내를 내야 할까? 흉내를 낼 수는 있지만 강한 농구팀을 상대하는 약팀처럼 농구 기술적으로는 그들처럼 점수를 내거나 수비를 할 수는 없다.

그럼 농구 룰을 지키면서 공격을 막고 점수 획득이라는 내 목적을 달성하기 위해서는 어떻게 해야할까?

막무가내여야 한다. 

강자에게 익숙한 방법으로 접근을 하고 상대를 한다면 그들의 의도대로 놀아줄 뿐이다. 

막무가내는 무엇일까? 돌아이와 비슷할거 같다.

막무가내란 것은 주어진 환경에서 보안을 최대한 단순화 방법으로 접근하는 것이라 생각한다.

최초 생성되는 곳, 외부로 나가는 접점, 업무적으로 필요 여부 등을 따져 최대한 단순화해야 보안 약자는 강자에게 대처할 수 있다.

그런데 이러 전략은 아주 약팀이 받아들일 수 있다.

강팀도 아니고 약팀도 아닌 팀은 이렇게 힘든 플레이를 할 수 있도록 코치진이 선수들을 설득하지 못하고 선수들도 체면(?)때문에 하려고 하지 않는다. 이런 그들에게는 '필사적이지 않다' 는 것이다.

패스와 드리블, 슛 능력이 빵점인 선수들을 볼 때 우리는 그것이 가장 큰 약점이라고 생각하지만 그것은 약점이 아니다. 그 약점이 바로 승리의 전략을 가능하게 만드는 "장점" 이 될 수 있는 것이다.

경험, 지식이 없는 보안 약자는 필사적이야 한다.

경험해보지 않은 지식과 경험으로 부족한 티가 나고 무시도 당할 수 있다. 하지만 그것을 견디어야 악자는 경험이 쌓이고 배울 수 있는 기획가 오는 것이다. 아마추어적이고 세련되지 않은 노가다라도 해야 내 농구의 점수 획득이라고 할 수 있는 보안 직무를 수행할 수 있다.

경영진과 책임자는 체계, 전문가적인 진단 방법 등에 의미를 두지 않는다. 

"결국 막았어? 찾았어? 꼭 솔루션을 사야해? 이거면 돼?" 이렇게 물어보는 것이 다반사이므로...

2. 큰 연못의 물고기

우리는 명성과 자원을 얻고, 엘리트 기관에 소속되는 게 우리를 더 잘 살게 하는 길이라고 생각하는데 많은 시간을 쓴다. 반면 물질적인 이점이 우리의 선택을 제한한다는 방향으로 생각하는 데에는 충분한 시간을 쓰지 않는다.

150년전에 프랑스 인상파 화가들은 당시 국가에서 관리하는 미술 전시회 "살롱" 에 작품을 내고 싶어했지만 인상파 그림들이 그 당시 주류가 아니었기에 작품을 낼 수도 없었다. 설령 심사를 통과해서 살롱에 걸려진다고 해도 사람들의 눈높이가 아닌 천장 등에 걸려 전시가 끝나면 폐기가 되곤 했다.

그래서 그들은 그들만의 전시회를 만들었다. 작품의 주제, 개수에 제한없이 표현하고 싶은 내용을 마음껏 그림으로 표현하였다.

살롱이 '큰 연못' 이라면 인상파 화가들만의 전시회는 '작은 연못' 이었던 것이다. 큰 연못에서 보잘것 없고 경쟁이 치열한 물고기가 되는 것보다는 작은 연못에서 큰 물고기가 되는 것을 선택한 것이었다.

3. 엘리트 대학의 진학

화학을 좋아하는 학생이 있다.

그녀에게는 지역 내 아주 좋은 대학과 그렇지 않은 대학 진학의 선택권이 생겼고 그녀는 좋은 대학을 선택을 했다.

고등학교에서는 공부를 잘 하는 축에 들었지만 좋은 대학에서는 그녀보다 훨씬 잘 하는 동기생들 때문에 그녀는 도저히 따라갈 수 없었다. 

자연히 그녀가 좋아했던 과학, 화학 과목에 관심은 줄어들고 논문 통과가 힘들어짐에 따라 이공계가 아닌 다른 분야로 전환하여 취직을 할 수 밖에 없어졌다.

그녀의 성적으로 상위권을 유지할 수 있는 대학으로 진학을 했다면 어떻게 되었을까?

그녀는 계속 좋아하는 과목을 공부할 것이고 상위권을 유지하고 있을것이므로 논문 통과도 엘리트 대학보다는 쉽게 되었을 것이다.

보안 직무를 수행하면 연봉이 더 좋은 회사, 네임벨류가 더 높은 회사를 가고 싶은건 누구나 바라는 것일 것이다.

대한민국에서 IT 는 일부 업종을 제외하면 대우를 못 받는 현실이고 보안도 다르지 않다. 

보안 전담 부서가 없는 회사는 그럴 경우가 덜 하지만 이미 전담 부서가 있는 - 연봉이 좋고 네임 벨류가 있는 회사 - 회사에 갈 경우 그 부서의 작은 업무의 담당자가 될 수 밖에 없는 경우가 많다.

구현해보고 싶은 체계, 개발, 방법 등이 의도대로 할 수 없는 경우가 많을 수 있다. 이미 그 곳은 큰 연못이고 엘리트 직원들이 차 있는 대학일 경우가 많다. 

그런 곳에서 잔챙이 물고기와 같은 그런 저런 직원이 될 수도 있고 아니면 그들보다 더 큰 물고기가 될 수가 있지만 일반적으로 회사 문화란 것이 있어 쉽지 않을 수 있다.

연봉은 좀 더 작고 네임 벨류는 좀 떨어지지만 내가 흥미를 잃지 않고 여러가지 방법을 접목하면서 문제점을 스스로 찾고 보안의 이상과 현실을 경험하는 곳을 택한다면 인상파 화가들의 작품이 나중에는 살 수 없는 값어치가 되고, 논문을 통과한 대학교 졸업장으로 원하던 회사로 입사하는 것과 같지 않을까? 

우리는 최상의 것을 얻으려고 분투하고, 할 수 있는 한 가장 좋은 기관에 들어가는 일에 큰 중요성을 부여한다. 그러나 인상파 화가들이 그랬듯, 가장 명성있는 기관들이 항상 우리에게 가장 이익이 되는지를 곰곰이 생각해보지는 않는다.

4. 난독증

버진 그룹의 리처드 브랜슨, 증권중개회사의 창립자인 찰스 슈워브, 시스코의 CEO 존 체임버스 그리고 골드만 삭스 회장 개리 콘.

이들의 공통점은 난독증을 갖고 있다.

난독증이 있으면 학업 진도를 따라가기 힘들다.

그들은 그들의 단점을 정확히 알고 그것을 극복하기 위해 방법을 찾아야했다.

그래서 수업 시간에 모든 수업을 듣고 바로 암기하거나 다른 정상인 친구들보다 점수가 항상 낮으니 점수를 한 단계라도 더 높이려고 자신의 난독증을 선생님을 설득했다.

즉 그들은 치열했고 필사적이었다. 그리고 단점을 단점으로만 바라보지 않고 다른 장점을 점점 키워나간 것이다.

보안 약자들은 보안 강자/고수/전문가보다 속칭 말발도 없고 문서 작성력, 발표력 등 모든 면에서 약하다.

어떻게 해야할까?

앞서 말한대로 치열하게 세련되지 않게 단순하게 노가다로 보안 직무를 수행해야 할 것이며 또한 보안 정책을 직접 적용받는 고객/직원들을 고충(?)을 좀 더 가까이 공감할 수 있다.

그리고 그들이 가지고 있지 않은 신선하고 이용자들의 불편할 수 있는 시각이 있고, 사내 환경을 더 알 수 있었던 경험이 있었다면 종합 셋트처럼 구축되는 솔루션의 사내 적용시 문제점을 먼저 알 수 있을 수 있다. 

보안의 난독증이 있겠지만 그것이 약점은 아니다. 

그 약점이 최적화된 보안을 구성할 수 있는 장점이 될 수 있고 찾을 수 있다.

왜? 보안 난독증 약자는 절박하니깐!!

2013년 보안 교육을 들으면서 강사들의 언급으로 알게된 파이썬이라는 랭귀지.

2014년 증권회사 보안팀 아는 분으로부터 또 한번 듣게 되어 어떤 언어인지 궁금해서 읽게된 책.

혹시나 이 글을 보는 본들을 위해 미리 말씀드리지만

아주 깊은 내용의 리뷰를 포스팅하는 것은 아닙니다. 그저 개발을 몇년간 해봤던 경험자로서, 보안에 무지한 보안 초보자로서 입장에서 알고 싶어 책을 읽었고 해킹의 사례를 통해 기업 보안 업무에 활용할 수 있는 무엇인지(공격을 알아야 방어도 할 수 있기에) 알고 싶었을 뿐, 책의 전체 내용을 요약, 리뷰도 아니고 저의 잘못된 지식/정보일 수 있습니다.

1. 파이썬 라이브러리의 상세 정보

- http://docs.python.org/2/library/

2. 유닉스 패스워드 크래커 예제

- 유닉스 패스워드를 저장할 때 내부적으로 crypt() 해시 라이브러리를 사용

- 이 함수에 패스워드와 salt 를 전달하면 된다 

회사내 유닉스 서버 계정의 패스워드 규칙 적정성을 검사하기 위해서

1. 회사내 유닉스 서버의 /etc/shadow 파일의 해시화된 패스워드를 수집하고

2. 미리 알고 있는 salt 값과 딕셔너리 파일 정보로

3. 패스워드 크래커 프로그램을 만들어서

4. 딕셔너리내 단어와 일치하는 패스워드를 - 간단한 조합의 패스워드 - 추출하는 

   방법을 하는 것은 비효율적일까?

서버 담당자들을 믿고 패스워드 규칙만 전달하는 것만이 맞을까?

아님 보안 담당자가 root 계정으로 전체 서버를 일일히 검사하는게 맞을까?

3. 포트 스캐너 예제

- 정보수집은 모든 사이버 공격의 첫번째 단계

- 공격대상에서는 웹 서버를 TCP 포트 80번에서, 메일 서버를 TCP 포트 25번에서 그리고 파일 서버를 

   TCP 포트 21번에서 사용하고 있을 가능성이 높다. 이러한 서비스들 중 어느 하나에 연결하기 위해서 

   공격자는 IP 주소와 해당 서비스에서 사용하고 있는 TCP 포트를 반드시 알아야 한다.

- 파이썬 nmap 자료 : http://xael.org/norman/python/python-nmap/

- 여러 종류의 포트 스캔 방법    

① TCP SYN SCAN

- 하프 오픈(half-open scan)이라고도 알려져 있는데, 이 종류의 스캔은 SYN 패킷으로 TCP

   연결을 시작하고 응답을 기다린다. RST 패킷은 포트가 닫혀있는 것을 의미하고, SYN/ACK 는

   열려있는 것을 의미한다.

② TCP NULL SCAN

- 널 스캔은 TCP 플래그 헤더를 0(ZERO)으로 설정한다. 만약 RST를 받으면 포트가 닫혀있는 것

   을 의미한다.

③ TCP FIN SCAN

- TCP FIN 스캔은 FIN을 전송하여 현재 활성화되어 있는 TCP 연결을 종료시키려고 한다. 그리고 

   종료되기를 기다린다. 만약 RST 를 받으면 포트가 닫혀있는 것이다.

④ TCP XMAS SCAN 

- XMAS 스캔은 PSH, FIN 그리고 URG TCP 플래그를 활성화한다 만약 RST를 받으면 포트가 닫혀

   있는 것이다.

관련 규정에 따라 정기적으로 외부 위탁업체를 통해 취약점 점검을 해서 미사용 포트의 오픈 여부를 점검한다.

보안팀 자체적으로 해서 외부 점검에만 의존하지 말고, 보안 시스템에 사용되는 서버는 정작 포트 스캔을 하지 않는 경우가 있어 보안사고가 발생하는 경우를 미리 차단할 수 있지 않을까?

1. 전체 서버 호스트명과 IP 리스트과

2. 해당 서버에서 사용중인 서비스 포트를 예외로 해서

3. 자동적으로 정기적으로 포트 스캔할 수 있는 내부 서버 스캐너를 만들어서 사용하는 

   건 어떨까?

4. 익명 FTP 스캐너

- 파일 전송 프로토콜(FTP : File Transfer Protocol) 서비스는 TCP 기반의 네트워크에서 사용자들이 서로

   파일을 전송할 수 있도록 해준다

- 일부 사이트에서는 익명으로 인증을 할 수 있는 기능을 제공한다.

- 이 경우 사용자는 사용자 이름에 "anonymous" 라고 입력하고 패스워드 대신에 이메일 주소를 입력한다.

- 많은 사이트가 정당한 이유로 익명 FTP 접근을 허용하고 있다. 예로 소프트웨어 업데이트를 좀 더 원활하

   게 하기 위한 용도가 있다.

- 또한, 홈페이지가 조작된 해킹 사고는 결국 공격자가 악성코드가 담긴 웹페이지를 대상 서버로 업로드

   했기 때문에 발생한 것이다.

회사내 대 고객 서비스를 위해 FTP 서버를 운영하는 곳이 있다. 

그리고 FTP 서버에서 웹 서비스도 한다면 공격자에 의해 변조된 웹 페이지가 업로드되어 이용자들이 악성코드에 감염될 수 있다.

1. 회사내 FTP 서비스 제공 서버 또는 포트 스캐너에서 21번 포트를 오픈한 서버 리스트에서

2. 회사내 서버 계정과 패스워드 조합 리스트를 통해 접속 확인

3. FTP 서버에 있는 인증정보로 서버에서 웹 접속을 제공하는지 확인하기 이해 FTP 서버의

   디렉토리에 컨텐츠의 목록을 가져오고

4. 그 목록에서 디폴트 웹 페이지를 검색 (.php, .htm, .asp 등)

5. 악의적인 서버로 방문자가 리다이렉트 되도록 악성코드를 심기 위해 iframe 삽입을 하므로

   웹페이지내에 iframe 있는지 검사하여 정상적인 것인지 점검

* FTP 로 파일을 업로드 코딩할 때 "STOR" 을 사용한다

  해당 명령어가 로그에 남는지 모니터링하는 것도 참고할만하지 않을까?

5. TTL 필드 

- IP 주소의 TTL(time-to-live) 필드는 패킷이 최종 목적지에 도착하기 전까지 얼마나 많은 홉(hop)을 사용

   할 수 있는지 결정하고, 패킷이 라우팅 기기를 지날 때마다 라우터는 TTL 필드의 값을 하나 감소시킨다.

- 만약 8.8.8.8 이라는 주소에 TTL 값 64를 가지고 ping 을 전송했는데 돌아온 값을 보니 TTL 의 값이 53

   이었다면 해당 패킷이 11개의 라우팅 기기를 거친 것이다.

- 리눅스/유닉스 계열의 시스템은 보통 TTL의 초기 값을 64로 설정하고 시작

- 윈도우 기반의 시스템들은 128 로 설정

6. TCP 세션 하이재킹

- 순서

① 서버가 신뢰하는 컴퓨터를 찾고

② 신뢰하는 서버를 "침묵"시키고

- TCP 목적지 포트를 513 으로 고정하고

- TCP 소스 포트의 숫자를 증가시키면서 IP 패킷 생성해서 전송

③ 서버로부터의 연결을 스푸핑하고

- 각 네트워크 연결을 추적하는데 사용하는 TCP 일련번호에는 무작위성이 없다

- A 사이트/서버에서 대상 서버로 여러 개의 SYN 패킷을 전송

- 대상 서버는 SYN 패킷을 전송 받은 다음에 TCP 일련번호와 함께 SYN-ACK 로 응답

- 각각의 SYN-ACK 는 일정한 값만큼 증가하는 것이 보임

④ TCP 3방향 핸드쉐이크와 ACK를 스푸핑

- 다음 ACK 을 예상되면 그 보다 1 작은 값인 SYN 패킷값을 전송해서 스푸핑

일반적인 보안 책에서 TCP 세션 하이재킹이 나오는데 개요로만 설명되어 있었지만 코딩으로 직접 예제를 볼 수 있어 이해에 다소 도움이 되었다

- IDS 공격하기

- 침입탐지시스템(IDS)은 IP 네트워크에 있는 패킷을 로깅하면서 실시간으로 트래픽을 분석할 수 있다.

- 시그니처에 해당하는 툴 이름이나 악성코드를 공격대상으로 패킷을 전송

IDS 뿐만 아니라 웹방화벽, Anit DDOS, IPS 등 시그니처 기반 시스템을 도입할 때 BMT 할 때 사용할 수 있을 거 같다.

7. 웹서버의 사용자 식별방법

① 웹 서버는 사용자를 식별하는 첫 번째 수단으로 요청의 IP 주소를 기록

② 웹 사이트는 브라우저의 user-agent 문자열로 사용자를 식별

- 커널정보, 브라우저 버전, 사용자에 대한 다른 정보도 포함

- 악의적으로 사용되면 해당 브라우저에 가장 적합한 공격코드를 식별하는 데 사용될 수 있다.

- 이 정보를 사용하여 NAT 을 사용하는 컴퓨터를 구분하는 데 사용하기도 한다.

③ 웹 사이트들은 브라우저의 쿠키를 사용하여 사용자를 식별하기도 한다.

기업내 홈페이지로 접속하는 이용자 브라우저의 user-agent 정보를 통해서 이전에 접속한 브라우저 버전과의 비교 또는 중국 등 악성 공격이 많은 지역에서 사용하는 브라우저 버전, 커널정보 등을 비교해서 이용자가 피싱, 해킹 피해자인지 판단하는데 도움이 되지 않을까?

피싱, 해킹 사고가 났을 때 브라우저 정보와 매핑을 하면 실마리가 잡히지는 않을까?

사이버 세계에 대한 공격의 속성

(1) 자동화

- 여러 사람의 계좌보로부터 거래가 있을 때마다 일 원씩 훔쳐가는 Salami Attack 은 컴퓨터를 이용하는

   공격의 대표적인 예

(2) 원격활동

- 인터넷에서는 모든 컴퓨터들이 연결되어 있고 논리적인 거리가 동일하기 때문에 전 세계에 있는 예상 공

   격자들을 모두 고려해야 한다.

- 인터넷에 일어나는 범죄는 인터넷의 초국가적인 특성 때문에 범죄자를 조사하거나 기소하기가 어렵다.

(3) 기술의 전파

- 인터넷은 공격 도구를 빠르게 널리 퍼뜨릴 수 있는 완벽한 공간

- 단 한 사람의 공격자만이 기술을 가지고 있으면 되고 나머지는 그 소프트웨어를 사용하기만 하면 된다.

사이버 세계에서 공격의 유형과 목적

1) 범죄적 공격

(1) 온라인 상거래 사기

(2) 파괴적인 공격

- 테러리스트, 회사에 앙심을 품고 복수하려는 직원들 또는 악의적인 해커

(3) 지적재산권 도난

(4) 신상정보 유출

(5) 브랜드 침해

2) 사생활 침해

(1) 개인정보 데이터베이스 누출

- 데이터베이스들의 네트워크화가 원인

(2) 통신 패턴 분석

- 1991년 미국의 이라크 침공 전날, 국방부에서는 평소에 비해 약 100배나 많은 피자 배달 건수

- 한 기업이 특정 상장 기업과 최근  들어 갑자기 통신하는 횟수가 증가 -> 인수합병 또는 제휴

- 통신 패턴 분석의 목적은 대상자가 어떤 정보를 주고받는지 그 내용을 볼 수는 없지만 어떤 상대자와

   언제, 얼마나 자주 하는가라는 정보를 얻어 추가 분석에 활용

(3) 감청 및 도청

3) 명성을 얻기 위한 공격

공격에 이용되는 악성 프로그램

악성 프로그램들의 주요 전파 경로

네트워크 공격의 전조 - 포트 스캐닝

- 포트 스캐닝은 현재 서비스 중인 포트의 종류와 사용 중인 운영체제의 종류, 응용 프로그래의 종류와

   버전에 대한 정보를 알려준다.

- TCP/IP 프로토콜에서 제공하는 ICMP 서비스 이용

- ICMP 는 기본적으로 합법적인 프로토콜이므로 스캐닝 과정이 공격인지 아닌지 판단해 내기 어려움

네트워크상에서 공격의 종류

- 중단(interruption) : 가용성에 대한 공격

- 변조(modification) : 무결성에 대한 공격

- 도청(interception, eavesdropping, wiretapping) : 기밀성에 대한 공격

- 위조 : 인증 또는 무결성에 대한 공격

(분산) 서비스 거부 공격 기술

- 무차별적으로 트래픽을 전송하여 네트워크나 성능을 급격히 저하

- 동작원리

- SYN flooding 공격 : 목적지 호스트를 half-open 으로 TCP 소켓 관련 리소스 고갈

- 폭탄 메일

- 공격 프로그램

- Trinoo

- TFN

- TFN2K

- Stacheldraht

- 방어

- 외부에서 들어오는 패킷 중 내부 주소를 가진 패킷을 차단하는 패킷 필터링

- ACL(Access Control List) 을 사용한 특정 IP 주소 공간에 대한 전체 필터링

- 정상 패킷을 잘못 버릴 수 있지만 공격을 상당히 감소시킴

산업기밀 유출을 시도하는 사람들의 행동 패턴 - 「이코노미스트」 2006년 12월호 참조

 1) 본인 업무와 관련 없는 다른 직원들의 업무에 대해 수시로 질문하는 사람

 2) 디지털카메라 등 업무와 관련 없는 영상장비를 사무실에 반입하는 사람

 3) 본인의 업무와 관련 없는 다른 부서 사무실을 빈번히 출입하는 사람

 4) 연구실, 실험실 등 회사 기말이 보관되어 있는 장소에 임무와 상관없이 접근하는 사람

 5) 평상시와 다르게 동료와 접촉을 회피하는 등 정서변화가 심한 사람

 6) 주요 부서에서 근무하다가 갑자기 사직을 원하는 사람

 7) 업무를 빙자해 주요 기밀자료를 복사, 개인적으로 보관하는 사람

 8) 주어진 임무와 관련 없는 DB에 자주 접근하는 사람

 9) 특별한 이유 없이 일과 후나 공휴일에 빈 사무실에 혼자 남아 있는 사람

10) 기술 습득보다 고위 관리자나 핵심 기술자 등과의 친교에 관심이 높은 연수생

11) 연구 활동보다 연구 성과물 확보에 지나치게 집착하는 연구원

12) 견학을 하면서 지정된 방문 코스 외 다른 시설에 관심을 갖고 있는 방문객

일반적인 회사에서 바로 적용할 수 있는 것들은 3, 7, 8, 9 등이 아닐까 한다.

이전의 직장 경험으로 본다면 IT 부서는 기본이고 금융상품 개발관련 현업부서, 인사부서, 각종 계약을 총괄하는 총무 부서 등을 위주로

3) RF 카드/지문인식 카드로 출입통제되는 곳의 출입 이력의 분석

7) 전산절차, 업무시스템에서 엑셀 자료 요청이나 다운로드시 이력 통제 절차를 구현해서 분석

8) DB 조회 로그 이력의 분석으로 select 문에 과도한 개인정보 컬럼, * 로 전체 조회 그리고 일상 작업이라

    할 수 없는 많은 조회량 등 분석

9) 야근일 경우 특정 시간 이후로 전체 소등을 하고 팀장의 승인이 포함된 야근 신청일 경우 소등 해제,

    휴일 근무일 경우 휴일의 출입 기록 분석

등은 현실적으로 가능한 조치라 볼 수 있다.

이런 것들이 현실적으로 불편함을 줄 수 있지만 사람은 불편 체감의 법칙이 있다. 더욱 중요한 것은 이런 통제가 예방통제, 저지와 직원들의 보안 인식 전환의 효과를 목적으로 한다면 나름의 목적을 달성할 수 있다.

산업기밀 유출의 원인

구조조정 또는 긴축재정 때 R&D 분야 인력을 우선 감축하고, 연구개발 성과에 대한 보상이 미흡한 현실도 산업기밀의 누설을 막지 못하는 원인이다.

유출 동기로는 금전적 유혹이나 개인 영리가 전체의 70%를 차지하며, 그 외 사내에서 처우나 인사에 따른 불만에 의한 유출도 상당수 있다.

기업에서는 직원들에 대해 직업윤리를 강조하기 이전에 연구원의 실적에 대한 확실한 보상을 해서 이들의 이탈과 배신을 근본적으로 막아야 한다.

회사의 영업, 존페 기반 기술과 관계된 부서에 일하는 사람들에 대해서는 자존감을 살려줄 필요가 있다. 정기적/비정기적으로 직원들이 경제적 위기에 처하지 않는지 지켜볼 필요가 있다.

회사를 위해 생각한 것이 다른 부서나 팀에서 인정은 커녕 화살이 날라오는 상황이 된다거나 퇴사하고자할 때 고의로 방해하거나 압박을 주는 상황이 생긴다면 곱게 나갈 사람도 악의적으로 변할 우려가 있다.

실패를 한 연구든 개선이든 악의적으로 한 것이 아니라면 패널티 보다는 긍정적인 피드백으로 보상을 해주는 환경이 필요하다.

해고제도

미국의 경우 정보보안에 대한 관리를 우리나라와는 비교가 안 될 정도로 철저히 하고 있다고 알려져 있다.

미국의 해고제도에서는 한국과는 달리 해당 직원에게 사전 해고 통지를 거의 하지 않는 것으로 알려져 있다. 극단적인 경우에는 해고 통보를 출근하는 당일에 받기도 한다고 한다. 이러한 제도는 정보보안의 관점에서는 회사의 비밀이나 직무상 기밀 사항들의 유출을 최소화시킬 수 있는 방법 중의 하나가 될 수 있다.

해고제도는 미국의 것을 따라가야 한다.

또한, 자발적인 퇴사제도에서도 우리나라는 인수인계라는 이유로 보통 2주 ~ 1달의 공백을 주는 경우가 많다. 공백 기간은 좋지만 그 사이 인력 충원이 아니된 점, 현실적으로 밀려드는 업무처리 등으로 퇴사 예정자가 이전과 같이 나가는 날까지 여러 업무시스템에 접속해서 업무를 처리하는 경우가 많다.

인수인계를 위해서 업무시스템, 전산시스템에 접속해야 할 수 있지만 그런 것들은 평상 시 자기 업무에 대한 메뉴얼 작성을 통해서도 가능한 것이다.

설령 만들지 않더라도 기본적인 제한 통제를 두지 않는 것이라면 전산소스, 계약서, 회사만의 노하우 등의 유출 위험이 존재한다.

당하는 사람이야 기분이 나쁠 수 있겠지만 일반적으로 적용되는 절차이고 최근의 유출 사례를 든다면 수긍못할 제도는 아니다.