성공하기를 원한다면 적의 입장에서 생각하라

‘악마의 변호인(Devil’s Advocate)’ 레드팀 어떻게 적의 입장에서 생각하고 예측하고 행동할 것인가?

레드팀은 중세시대에 성인으로 추대될 후보자의 흠집을 찾아내는 임무를 수행했던 로마 교황청의 ‘악마의 변호인’만큼이나 역사가 오래되었다. 하지만 냉전시대에 이르러서야 레드팀이라는 단어를 미국 군대에서 정식으로 사용하기 시작했다. 그리고 2000년대에 들어서야 레드팀 활동이 표준화되기에 이르렀다. 레드팀 활동은 검증되지 않은 기존의 가설에 도전하고 전략적 맹점을 파악하고 경쟁자의 반응을 모의실험하며 취약점을 알아냄으로써 사업성과를 발전시킬 수 있는 사고방식이자 접근법, 그리고 일련의 기술들이라 할 수 있다. 레드팀은 잠재적 경쟁 상대의 이해관계나 의도, 역량을 잘 이해하고 있으면서 조직 내 약점을 짚어내는 ‘반대자’의 역할을 수행한다. 시뮬레이션, 취약점 조사, 대체 분석과 같은 레드팀 기법들은 앞으로 있을 프로젝트나 기업 분쟁 혹은 합병, 악의적 사이버 공격, 특수 작전 등이 일어나기 전 잠재적 위협을 예측하는 데 도움을 준다. 하지만 모든 레드팀이 똑같이 활동하는 것은 아니다. 어떤 레드팀은 도움이 되기보다 피해가 되기도 한다. 국제 안보 전문가인 저자 마이카 젠코는 이 책을 통해 레드팀 활동의 면면을 심층적으로 다루며 현대판 악마의 변호인이라 할 수 있는 레드팀의 모범 사례, 가장 흔한 함정들, 그리고 가장 효과적인 활용 사례를 보여준다. 즉 레드팀을 어떻게 활용하는지의 여부는 기업들에 경쟁에서의 우위를 가져다주며, 중요한 정보 판단의 허점을 찾아주고, 위험한 군사 작전에서 그것을 실행하기 이전에 문제점을 찾아준다. 하지만 레드팀은 리더가 얼마만큼 그들의 활동을 용인해주는지에 따라 그 활동성과가 달라질 수 있다. 저자는 레드팀을 조직하고 레드팀에 권한을 부여하는 방법뿐만 아니라 그들이 생산해내는 정보를 활용하는 방법까지 보여주고 있다.

머리말
1장 레드팀 운용의 원칙
- 상관이 동의해야 한다
- 외부자의 객관적 시각을 유지하라
- 수완이 뛰어난 두려움 없는 회의론자들
- 다양한 도구들을 감추어 두라
- 나쁜 소식을 겁내지 말고 적극적으로 대응하라
- 레드팀을 너무 자주 활용하지는 마라
- 가장 최적의 방식

2장 기원: 군대의 레드팀
- 레드팀 대학교
- 카드 트릭: 계급 체계와 집단적 사고의 오류 줄이기
- 해병대 레드팀: 지휘 체계에 반기 들기
- 밀레니엄 챌린지: 확실히 혼쭐 내주기
- 군대 레드팀의 해외 사례
- 결론

3장 대체 분석: 정보공동체 레드팀
- B팀: 그들의 방식대로 세계를 바라보기
- 알시파: 잃어버린 기회
- 중앙정보국 레드셀: “신선한 자극을 원해요”
- 오사마 빈 라덴의 은신처: 0%의 신뢰도를 50%로 끌어올리기
- 결론

4장 적대 세력: 국가 안보 레드팀
- 9·11 테러 이전의 미 연방항공국 레드팀: “대중의 안전을 위협하는 위험”
- 항공기를 격추하는 방법: 맨패드 취약점 평가
- 뉴욕시 경찰국 도상훈련: “사람들이 문제가 해결됐다고 믿게 하지 말라”
- 정보설계보증 레드팀: 레드팀을 유용한 도구로 활용하기
- 결론

5장 경쟁업체: 민간 부문 레드팀
- 전략적 의사결정 시뮬레이션: 비즈니스 워게임
- 화이트햇 해커들과 쳇바퀴: 사이버 침투 테스트
- 누군가 엿듣고 있다: 버라이즌 해킹
- 당신의 건물도 안전할 수 없다: 물리적 침투 테스트
- 결론

6장 레드팀에 대한 오해와 전망
- 레드팀 활동의 현실적인 결과들
- 레드팀에 대한 오해와 잘못된 활용
- 정부 레드팀을 위한 제언
- 레드팀의 미래

이 과정은 마치 법정 공방과도 비슷하게 진행된다. 악마는 성인 후보자들이 성인으로 추대되지 못하도록 이를 저지하는 역할을 하게 되어 있다. 공정한 판단이 이루어지면 악마는 그에 상응하는 보수를 받게 될 것이다. 이는 성인 후보자의 가식적인 덕행을 반박하기 위해 변호인을 고용한 것이라 볼 수 있다. 그리고 그 역할로 고용된 사람은 대중에게 ‘악마의 변호인’으로 불리게 된다. 그는 성인 후보자가 온몸으로 행한 것으로 알려져 있는 기적들을 반박한다. _ 8쪽 중에서악마의 변호인이라는 직책은 ‘레드팀(Red Team)’이 최초로 정례적으로 활용된 시발점이라고 볼 수 있다. 하지만 미국 군대는 냉전시대에 이르러서야 레드팀이라는 단어를 정식으로 사용하기 시작했다. 그리고 2000년대에 들어서야 레드팀 활동이 표준화되기에 이르렀다. 오늘날 알려진 바와 같이 레드팀 활동은 상황 시뮬레이션, 취약점 조사, 대체 분석을 통해 조직이나 단체의 이익과 목적, 한계 능력, 혹은 잠재적 경쟁자를 더 잘 이해하기 위해 만들어진 조직화된 과정이다. _ 10쪽 중에서컴퓨터 네트워크와 시설물, 그리고 사람들은 잠재적 적대 세력으로부터 자신을 보호해야만 한다. 레드팀은 해당 조직의 방어 체계와 절차의 신뢰성을 시험하기 위해 ‘대리 적수’의 역할을 맡아서 약점을 파악하는 것을 돕는다. 취약점 조사는 예상되는 적의 능력과 동기를 가장 최근에 평가한 자료를 기반으로 독립적으로 이루어져야 하며 사전에 공지되지 않아야 한다. 또한 목표 조직이나 시스템의 방어벽을 뚫거나 피해를 주는 방법을 강구함에 있어 현실적인 태도로 접근해야 한다. _ 28쪽 중에서레드팀의 조사 결과는 실행에 옮기는 데 조심스러움이 따른다는 측면 때문에 마지막 단계에서 의사결정권자들에게는 외면당하기 쉽다. 2010년 미국 보건복지부는 맥킨지앤드컴퍼니(McKinsey&Company)에 환자보호법, 즉 오바마케어(ObamaCare)와 관련하여 기존의 연방 시장 상황에 대한 압력 테스트를 독립적으로 시행해줄 것을 의뢰했다. 이에 맥킨지의 레드팀은 보건복지부의 전략을 검토한 후, 2013년 10월 오바마케어가 발동하기 6개월 전 HealthCare.gov 웹사이트에 장애가 발생할 가능성이 높으며, 오바마케어의 시행 준비 기간 동안 완전한 시험이 이루어지기에는 시간이 불충분했다는 사실을 백악관에 은밀히 경고했다. _ 33쪽 중에서교황청이 시성 과정에서 활용했던 악마의 변호인 제도를 폐지한 것처럼 조직의 대표들은 반대 의견을 내놓지 못하도록 그들의 입을 막을 수도 있을 것이다. 당신은 이 책을 통해 적어도 그러한 접근 방식으로는 장기적으로 성공할 수 없다는 확신을 품게 될 것이다. 직장에서 반대 의견이 없는 완벽한 의견 일치가 이상적으로 보일 수도 있겠지만 리더가 반대 의견과 확산적 사고를 받아들이지 않을 때 그들은 실패가 현실화될 수 있는 환경을 만들어가고 있는 것이다. 레드팀은 그러한 실패를 예측할 수 있도록 해주어 궁극적으로 실패를 방지해주는 수단이 될 것이다. _ 45쪽 중에서

악마의 변호인’처럼 행동하는 레드팀
레드팀이란 무엇인가?최근 대검찰청에 피의자 인권 관련 업무를 총괄하는 인권부를 새롭게 꾸렸다는 기사가 보도된 적이 있었다. 이 부서 내에 피의자의 인권을 보호한다는 점에서 ‘악마의 변호인’ 또는 ‘레드팀(Red Team)’이라 불리는 인권수사자문관 5명을 배치하기로 했다는 것이다. 삼성증권 주식배당 사고가 났을 때도 금융계에 ‘레드팀’을 도입하라는 목소리가 높았다. 그리고 최근 몇몇 대기업 및 공기업에서 도덕적 해이 논란이 일 때도 “만약 레드팀이 있었다면” 하고 가정하는 칼럼이 신문 지면에 실리기도 했다. 도대체 이 레드팀이란 무엇인가? ‘레드팀’이라는 용어는 냉전시대에 미국 군대에서 생겨났지만 그 역사적 연원은 13세기 로마 교황청에 가닿는다. 일명 ‘악마의 변호인(Devil’s Advocate)’으로 더 잘 알려진 그들이 맡은 임무는 성인으로 추대될 후보자들의 덕행과 기적을 행했다는 평가에 대해 반대 의견을 제시하는 것이었다. 초창기 1,000여 년간 교회의 성인 추대는 다소 무계획적으로 이루어졌으며 그 결과 각 지역마다 성인의 수가 넘쳐나는 현상이 발생했다. 교황 그레고리오 9세(1145~1241)는 교황청 내부의 세력을 통합하고 성인 추대의 신성함과 정통성을 확보하고자 시성 과정에 직접 개입해 이를 통제하고자 했다. 즉 교회 밖의 시각으로 각각의 성인 후보자를 객관적으로 평가할 권한이 있는 악마의 변호인이 필요하다고 주장했다. 바로 이러한 배경 속에서 악마의 변호인이 탄생하게 된 것이다.악마의 변호인 개념을 이어받은 레드팀은 냉전 시기를 기점으로 군조직 내에서 자생적으로 활용되었다. 1960년대 초반, 워게이밍에 적용되는 게임이론 접근법과, 랜드(RAND) 연구소에서 개발하고 미 국방부의 ‘위즈키즈’(특별히 똑똑한 정책 분석가들을 지칭하는 조롱조의 용어)가 전략적 결정을 평가하기 위해 활용한 시뮬레이션 등을 통해 점점 구체화된다. ‘레드’는 구소련을 상징하는 색상인 동시에 넓은 의미에서 ‘일반적인 적수’ 또는 ‘적대적 관계’를 의미한다. 이후 2000년대에 들어서면서 혁신적인 변화가 일어났고 레드팀과 관련된 전문 용어도 생겨나게 되었다. 미국의 정보기관과 군대, 비즈니스 현장에서 관찰한
흥미롭고도 의미심장한 레드팀 활동 사례 국내 첫 소개서!사례 1. 2001년 9·11 테러로 미국에서 2,996명이 사망하는 대참사가 발생했다. 9·11 테러가 일어나기 전 미 연방항공국 산하에서 활동했던 레드팀은 민간 항공사에서 보안상의 시스템적 결함을 발견하고 수차례 개선점을 건의했다. 당시 레드팀을 이끌던 보그단 자코빅은 연방항공국이 테러 위협에 대응하는 민감도가 낮다는 인상을 받았다. 1996년 ‘‘마르코폴로 작전(Operation Marco Polo)’이라고 불리는 취약점 평가에서 레드팀은 프랑크푸르트 국제공항에서 미국행 항공기 폭탄 밀반입 가상 시험을 실시했는데, 총 44회의 폭탄 밀반입 시도 중 단 한 건도 탐지망에 걸려들지 않았다. 또한 자코빅 팀은 톱니 모양 칼날의 사냥용 칼을 바지 안에 찔러 넣은 채 뉴올리언스 국제공항에서 세 곳의 보안검색대를 통과할 수 있었고, 1998년과 1999년 사이 주요 공항의 보안 구역에 접근하는 데 95%의 성공률을 보이기도 했다. 하지만 미 연방항공국 관료들은 이 정보들을 묵살하고 말았다. 그리고 9·11 테러 항공기 납치범들은 미국 내 항공사들과 공항들의 전반적인 보안 제도 및 문화를 자신들에게 이롭게 이용하고 말았다(본문 213쪽 참조). 사례 2. 오사마 빈 라덴 사살작전. 2011년 빈 라덴이 파키스탄의 아보타바드에 은신해 있는지의 여부를 판단하기 위해 중앙정보국 산하에 개별적인 세 개의 레드팀을 꾸려 빈 라덴의 거처와 관련된 정보의 출처와 잠재적 행동 방침을 검토하고 그에 대한 반론을 생각해냈다. 처음 두 레드팀의 분석 방식과 결과는 비밀로 했고 세부사항들은 공개했다. 첫 번째 분석은 모든 자료를 재검토하고 대안적 가설이 있는지 고려했다. 두 번째 분석은 대테러센터장인 마이클 단드레아의 지휘하에 진행되었다. 그는 빈 라덴 관련 자료와 분석 과정에 대한 정보를 지속적으로 접해오지 않은 믿을 만한 분석가 네 명을 선발해, 개별적으로 그들에게 견해를 구했다. 몇 차례 이루어진 레드팀의 평가를 바탕으로 오바마 행정부의 고위 국가안보팀은 정보와 군사적 대응, 가능한 정치 외교적 영향을 검토하고 토론했으며 빈 라덴이 은신처에 있을 확률을 50%의 가능성으로 압축했다. 물론 이러한 과정은 급습이 실패할 경우 백악관에 과정상의 핑곗거리를 제공하기 위해 이루어진 측면도 있었다(본문 187쪽 참조). 사례 3. 밀레니엄 챌린지 2002 군사개념개발훈련. 2002년 미국 군 역사상 최대 규모로 기획된 이 가상합동훈련에는 레드팀 워게임 시뮬레이션이 포함되어 있었다. 육군 중장 벨이 지휘하는 350명 인원의 미국 블루팀(아군)을, 퇴역 해병대 중장 폴 밴 라이퍼가 지휘한 적국을 모델로 한 90명 인원의 레드팀에 대항하여 전투를 벌이도록 했다. 레드팀의 밴 라이퍼는 아군이 상상하지도 못할, 다소 기만적이며 기습 작전으로 “5분에서 10분 만에 모두 초토화”시켰다. 다가오는 미사일 공격을 추적하여 가로막아야 할 항공모함전투단의 이지스 레이더 시스템은 마비되어 제 기능을 하지 못했고 항공모함과 여러 척의 순양 전함, 다섯 척의 양륙 함정들을 포함해 19척의 미 함선들이 침몰했다. 레드팀은 엄청난 일격으로 블루팀을 무너뜨리고 말았다. 미 해군함대를 굴복시킨 가상 적군의 놀라운 위력에 밀레니엄 챌린지 2002 참가자들은 모두 할 말을 잃고 말았다(본문 122쪽 참조). 당신의 조직에는 레드팀이 있습니까?이렇듯 이 책에서 분석한 17건의 사례들은 독자들에게 매우 다양한 레드팀 활동을 소개하려는 목적에서 선별된 것들이다. 국제 안보 전문가인 저자 마이카 젠코는 이 책을 통해 레드팀 활동의 면면을 심층적으로 다루며 현대판 악마의 변호인이라 할 수 있는 레드팀의 모범 사례, 가장 흔한 함정들, 그리고 가장 효과적인 활용 사례를 보여준다. 즉 레드팀을 어떻게 활용하는지의 여부는 기업들에 경쟁에서의 우위를 가져다주며, 중요한 정보 판단의 허점을 찾아주고, 위험한 군사 작전에서 그것을 실행하기 이전에 문제점을 찾아준다. 하지만 레드팀은 리더가 얼마만큼 그들의 활동을 용인해주는지에 따라 그 활동성과가 달라질 수 있다. 반복하자면 레드팀은 한 조직의(혹은 잠재적 경쟁자의) 이익, 목적, 능력을 ‘시뮬레이션, 취약점 조사, 대체 분석’ 등의 기법을 통해 더 잘 이해하고자 하는 체계화된 과정이라 할 수 있다. 정부 고위 관리, 군 장성과 고위 관료, 기업의 경영진은 중대한 결정을 앞두고 그들 앞에 놓인 복잡한 정보를 제한된 시간 내에 분석하는 것이 점점 더 어려워진다고 시인한다. 그것이 외국의 군대가 되었든 경쟁 업체나 악의적 해커가 되었든 각각의 결정을 내리는 데 고려해야 할 사항과 변수들은 너무나도 많다.실제로 레드팀 활동은 핵심 사업과 관련된 활동이라기보다는 검증되지 않은 기존의 가설에 도전하고 전략적 맹점을 파악하고 경쟁자의 반응을 모의실험하며 보안 취약점을 알아냄으로써 사업성과를 발전시킬 수 있는 사고방식이자 접근법, 그리고 일련의 기술들이라 할 수 있다. 저자는 레드팀을 조직하고 레드팀에 권한을 부여하는 방법뿐만 아니라 그들이 생산해내는 정보를 활용하는 방법까지 보여주고 있다. 《레드팀》은 기업의 리더들과 정책 담당자들, 이 분야에 관심 있는 독자들이라면 반드시 읽어야 할 필독서이다. 이 책은 조직이 그들의 강점과 약점에 대해 생각해보고 그것을 보충하고 시정할 수 있는 혁신적인 길을 제시할 것이다.