1조 9천억 달러 규모의 미국 구조 계획은 정부 기관의 애플리케이션 현대화 이니셔티브에 상당히 긍정적인 영향을 미칠 것으로 보입니다. 이 계획에는 기술 현대화법에 따른 자금 지원 수단에 10억 달러를 투입하는 내용이 포함되어 있습니다.
정부 기술 현대화법(MGT Act)은 사이버 보안을 비롯한 IT 현대화 활동에 기관들이 활용할 수 있는 자금을 지원하기 위해 2017년에 제정되었습니다. 기관들은 레거시 시스템에서 벗어나 민첩하고 혁신적인 기술에 투자할 수 있도록 마련된 기술 현대화 기금에 자금 지원을 신청할 수 있었습니다.
각 기관에는 애플리케이션 현대화 이니셔티브를 가속화할 절호의 기회가 있습니다. 일례로 노동부는 의회가 이 역사적인 계획을 시행한 지 하루도 채 지나지 않아 엔터프라이즈 데이터 플랫폼을 업데이트하기 위해 기술 현대화 기금으로부터 이미 960만 달러를 지원받았습니다.
현재의 레거시 및 모놀리식 애플리케이션은 노후하고 복잡한 연방 네트워크 아키텍처와 앱 개발 프로세스, 시민과 공무원이 겪는 열악한 디지털 경험, 끊임없이 변화하는 보안 취약점 등의 문제를 야기하며 많은 기관의 임무 달성을 저해하고 있습니다. 따라서 기관들이 해결해야 할 과제는 매우 다양합니다. 다음은 임무 달성에 미치는 효과를 극대화하기 위해 앱 현대화 작업에서 중점을 두어야 할 부분에 대한 제안입니다.
어디서부터 시작할 것인가
일반적으로 자금 확보가 가장 어려운 부분이지만, 어느 분야에 노력을 집중할지 결정하는 것 역시 그다음으로 넘어야 할 과제입니다. NIST 사이버 보안 프레임워크는 위험 관리에 전체 수명 주기 관점을 적용하여 기관이 더 나은 위험 관리 관행을 확립하도록 안내합니다. 기관은 NIST가 제시한 지침에 따라 식별, 보호, 탐지, 대응, 복구라는 다섯 가지 핵심 기능을 통해 위험을 지속적으로 평가하고 완화합니다. 이 프레임워크는 조직이 적응력이 뛰어난 보안 프로그램을 구축할 수 있도록 표준화된 구조를 제공한다는 점에서 유용합니다. 또한 조직이 각자의 고유한 요구 사항에 맞게 프레임워크를 조정할 수 있는 유연성을 제공하는 동시에, 위험을 관리하고 취약점을 해결하기 위한 공통 청사진을 제시합니다.
지난 한 해 사이버 보안과 관련해 분명해진 점이 있다면, 어디에 노력을 우선적으로 기울일지 결정할 때 사이버 보안을 최우선으로 고려해야 한다는 것입니다. 최근 발생한 일련의 사이버 보안 사고를 통해 신규 시스템과 레거시 시스템 모두 보안 지원이 충분하지 않았음이 드러났습니다. CISA가 '.gov' 네트워크를 보호하기 위한 사이버 보안 위험 완화에만 6억 5천만 달러를 지원받는다는 사실은 시사하는 바가 큽니다. 하지만 그렇다고 해서 정부 산하의 모든 네트워크와 모든 애플리케이션의 보안이 보장되는 것은 아닙니다.
디지털 전환으로 API 기반 트랜잭션과 같은 ‘새롭고’ 다소 눈에 띄지 않는 기술이 등장했습니다. 이러한 API는 대부분 사용자와 애플리케이션에 드러나지 않지만, 여전히 공격과 오용의 대상이 됩니다. 많은 기관이 각자의 환경 전반에서 API를 안전하고 확장 가능한 방식으로 관리할 수단을 갖추지 못하고 있습니다. API를 안전하게 배포하고 관리할 수 있는 솔루션에 투자하는 것을 최우선 과제로 삼아야 합니다.
애플리케이션 취약점은 여전히 공격자들이 흔히 악용하는 공격 경로입니다. 잘 알다시피 소프트웨어는 사람이 만들며, 사람은 완벽하지 않습니다. 공급업체가 결함 없는 코드를 만들기 위해 노력하더라도 실수는 발생합니다. 그 어느 때보다 지금, 신속하게 대응하고 방어하며 보안을 유지하는 역량이 중요합니다. 이러한 전환기에는 레거시 애플리케이션과 차세대 애플리케이션을 모두 보호하기 위해 양쪽을 동시에 관리하기가 어려울 수 있습니다. 이로 인해 도구가 난립하고 여러 지점에서 조정 작업이 필요해질 수 있습니다. 애플리케이션 제공을 자동화할 뿐만 아니라 애플리케이션이 어디에 있든 보호할 수 있는 도구를 도입하는 것이 매우 중요합니다. 확인해야 할 곳이 많을수록 무언가를 놓칠 가능성도 커집니다. 어떤 환경, 어떤 클라우드, 어떤 생태계에서든 안전하게 자동화하고 운영할 수 있는 도구에 집중해야 합니다.
마지막으로, 공급망이 매우 중요하다는 사실을 다시 한번 깨닫게 됩니다. 어쩌면 그저 새삼 확인한 것일 수도 있습니다. SUNBURST는 탐지, 보안, 방어 역량으로 잘 알려진 조직조차도 공격에 완전히 안전하지 않으며, 업계 전반에서 인프라 보안을 더욱 강화할 여지가 있음을 보여주었습니다.
지금이 바로 IT 서비스를 개선할 때입니다
미국 구조 계획(American Rescue Plan)은 정부 기관이 정부 지원을 활용하여 향후 수년간 지속될 IT 서비스를 개선할 수 있는 세대에 한 번뿐인 기회를 제공합니다. F5는 개선이 필요한 영역을 파악하고 예산의 우선순위를 정하여 배정된 자금에서 최대한의 가치를 얻을 수 있도록 지원합니다.
자세한 내용을 알아보려면 정부 솔루션 페이지를 방문하거나, 무료 평가판을 신청하거나, 문의해 주세요.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.