IT 현대화: 보안에서 리스크 관리로의 전환

Lori MacVittie 작성

위험 기반 보안 접근 방식을 수용하려면 보안과 디지털 자산을 바라보는 관점을 크게 전환해야 합니다. 하지만 디지털 위협이 빠르게 진화하고 있으며 기존 보안 모델로는 이러한 위협의 진화 속도를 따라가기는커녕 완화하는 것조차 어렵다는 점을 고려하면, 이러한 전환은 반드시 필요합니다.

패킷에서 페이로드를 거쳐 프로세스로

기존의 엔터프라이즈 아키텍처 프레임워크는 보안을 고려하지 않은 채 만들어졌습니다. 일반적으로 보안은 사후에 고려되는 요소이며, 대부분 대응 중심의 모델로 발전해 왔다는 것은 분명한 사실입니다. 즉, 악의적인 행위자가 공격을 만들어 내면 공급업체와 기술 리더들이 이에 대한 완화책을 구축하는 방식이었습니다. 이는 디지털 전환의 특성에서 비롯됩니다. 디지털 전환 초기에는 애플리케이션을 통해 생산성과 효율성을 높이는 데 중점을 두었습니다. 이러한 애플리케이션은 대부분 고정적이고 정적인 형태로, 외부와 격리된 데이터 센터에 위치했습니다. 인터넷 시대가 열리기 전까지는 데이터 센터로 들어가는 진입점이 없었기 때문에 외부 공격의 위험이 거의 없었습니다.

초기 형태의 보안은 기술 스택의 최하위 계층인 네트워크에서 인터넷에 노출된 애플리케이션을 보호하는 데 중점을 두었습니다. 초당 패킷 수가 지나치게 많으면 일종의 서비스 거부 공격으로 간주했습니다. 이에 대한 보안 대응은 무엇이었을까요? 바로 공격의 발원지를 차단할 수 있는 방화벽이었습니다. 포트와 프로토콜은 보안 정책의 기반이 되었으며, 특정 애플리케이션을 사용하려는 패킷의 양과 속도를 기준으로 임계값을 설정했습니다. 이 단계에서 보안의 핵심은 단순하고 정적인 규칙을 사용해 공격을 차단함으로써 서비스 중단을 방지하는 것이었습니다.

강력한 방어 체계에 맞서 공격도 빠르게 진화했습니다. 애플리케이션의 기능이 더욱 풍부하고 강력해지면서 공격자들은 소프트웨어 스택의 취약점을 빠르게 찾아냈습니다. 업계에서는 사용자와 애플리케이션 간에 교환되는 메시지의 페이로드에 공격을 삽입해 서비스 중단을 일으키거나 무단 액세스를 허용하거나 데이터를 유출할 수 있는 알려진 취약점을 악용하려는 시도가 나타나기 시작했습니다. 보안 업계는 이러한 새로운 형태의 공격에 다시 대응하여 삽입된 공격을 탐지하고 무력화할 수 있는 솔루션을 구축했습니다. 이 단계에서 보안의 초점은 트랜잭션에 삽입된 공격을 탐지하고 무력화하는 것이었습니다.

디지털 경제가 확장되어 우리 삶의 모든 측면에 더 깊고 폭넓게 자리 잡으면서 공격자들에게도 더 많은 기회가 생겼습니다. 데이터와 소비자 및 기업 계정에 대한 접근 권한의 가치는 기하급수적으로 증가하고 있습니다. Steam, EA Sports, Epic 등의 비디오 게임 계정 수천 개가 매달 도난당하고, 대량의 계정 데이터베이스가 비공개 Telegram 채널에서 10,000달러에서 40,000달러 사이의 금액에 거래되고 있는 것으로 추정됩니다”(BitDefender). 오늘날 계정 탈취는 게임, 금융, 의료, 정부 서비스에 이르기까지 모든 산업에서 만연해 있습니다. 2021년 한 해 동안 사기로 인해 미국 정부가 지급한 연방 지원금 중 약 870억 달러의 손실이 발생했습니다(CNBC). 이러한 손실은 주로 디지털 서비스를 통해 운영된 팬데믹 실업 지원 프로그램에서 발생했습니다.

한정 수량으로 출시되는 제품을 소비자가 구매할 수 있도록 돕는 특수 봇의 개발이 증가하고 있습니다. 이러한 봇은 기술과 속도를 활용해 사람이 적절한 크기와 색상을 선택하는 데 걸리는 시간보다 더 빠르게 온라인에서 제품을 구매할 수 있도록 합니다. 소비자를 위한 보조 기술로 소개되었지만, 악의적인 행위자들은 거의 즉시 이러한 봇을 이용해 재고를 빠르게 소진시킨 뒤 더 높은 가격에 되팔기 시작했습니다. 스니커 봇, 그린치 봇을 비롯한 특수 봇은 수요가 많은 특정 제품과 공급업체를 점점 더 집중적으로 노리고 있습니다.

“StockX와 GOAT 같은 재판매 사이트 덕분에 수집용 스니커즈는 하나의 자산군이 되었으며, 가격은 대체로 상품이 얼마나 빨리 매진되는지에 따라 결정된다. 수천 달러에 달하기도 하는 정교한 스니커즈 봇은 스니커즈의 가치를 높이고, 나아가 브랜드를 멋져 보이게 만드는 인위적 희소성을 조성하는 핵심 요소다.” (뉴욕 타임스)

보안 업계는 이제 네트워크 서비스와 애플리케이션을 겨냥한 기존 공격뿐만 아니라 서비스 로그인이나 제품 구매와 같은 비즈니스 프로세스를 표적으로 삼는 공격에도 대응해야 합니다. 기존의 검사 및 평가 방식으로는 정상적인 비즈니스 프로세스를 악용하는 공격을 탐지할 수 없습니다. 이는 취약점도 아니며 프로토콜 익스플로잇의 대상도 아닙니다. 디지털 기능으로 제공되는 이러한 프로세스는 적절한 자격 증명을 확보할 수 있거나 이를 구매할 자금이 있는 사람에게 악용될 수 있습니다.

프로세스를 보호하는 도구는 소프트웨어와 실제 사용자를 구분할 수도 있어야 합니다. 효율성을 추구하는 소비자와 이점을 노리는 공격자 모두가 소프트웨어(예: 봇)를 사용한다는 현실 때문에 이러한 구분은 더욱 어려워집니다. 보안은 다시 한번 진화해야 하며, 이번에는 위험 관리 중심으로 전환해야 합니다.

위험 관리 접근 방식을 수용한다고 해서 기존의 보안 체계를 포기해야 하는 것은 아닙니다. 실제로 기술 스택의 모든 계층에서 공격이 끊임없이 발생하므로 이에 대응해야 합니다. 위험 관리 접근 방식에서도 대규모 트래픽 공격이나 악성 콘텐츠를 통해 이루어지는 공격을 방지하는 기술을 사용할 수 있습니다. 위험 관리 접근 방식은 구현 세부 사항보다는 위협을 어떻게 식별하고 위험을 판단하는지에 더 중점을 둡니다.

목표가 기업 리스크를 줄이는 것이라면, 리스크 감소 측면에서 투자 대비 효과가 가장 큰 활동에 가장 많은 자원을 투입해야 합니다. (McKinsey)

조직은 위험 기반의 관점에서 보안에 접근함으로써 공격에 대한 다급한 대응에서 벗어날 수 있습니다. 대신 비즈니스 성과에 부합하고 기업의 위험 감수 수준을 고려하여 신중하게 보안 관련 의사 결정을 내릴 수 있습니다.

보안 현대화: 위험 관리 중심으로의 전환

오늘날의 디지털 기업은 최신 애플리케이션을 통해 제공되는 디지털 경험으로 고객 및 파트너와 연결됩니다. 따라서 애플리케이션 보호는 보안 현대화에서 무엇보다 중요합니다. 이러한 애플리케이션과, 한층 더 세분화하면 그 구성 요소인 워크로드 및 서비스는 기업의 디지털 자산을 생성하거나 강화하고 이에 대한 액세스를 제공하는 등의 방식으로 가치를 창출합니다. 따라서 이들은 현대적인 보안 사고방식의 핵심입니다. 오늘날 일반적으로 사이버 보안이라고 부르는 분야는 모든 유형의 사용자를 디지털 비즈니스의 원동력인 디지털 자산에 연결하기 위해 애플리케이션을 외부에 노출하는 애플리케이션 및 API를 보호하는 데 중점을 둡니다.

기술 리더들은 사후 대응형 및 사전 예방형 보안을 구현하는 데 필요한 도구와 기법을 잘 알고 있습니다. 문제는 “ID와 자산에 크게 의존하는 위험 평가 기반 접근 방식으로 조직을 어떻게 전환할 것인가?”입니다.

이러한 전환의 핵심에는 인증과 액세스 제어라는 두 가지 주요 기술이 있습니다. 인증은 정책에 ID 요소를 제공하고, 액세스 제어는 디지털 자산을 관리합니다.

인증은 기본적으로 애플리케이션 사용자의 신원을 확인하고 검증하는 과정입니다. 과거에는 주로 프라이빗 데이터 센터에 있는 모놀리식 애플리케이션에 액세스하려는 사람이 그 대상이었습니다. 따라서 모든 인증 시스템과 서비스를 동일한 데이터 센터 내에 둘 수 있었습니다. 오늘날의 최신 애플리케이션은 분산 아키텍처와 외부에 공개된 API를 사용하므로 인증도 발전해야 합니다. 이제 인증은 사람인 사용자뿐만 아니라 자동화된 에이전트와 같이 사람을 대신하는 주체도 식별해야 합니다. 또한 분산 애플리케이션은 여러 클라우드에서 제공되는 서비스로 구성되므로, 인증은 여러 기업에 걸쳐 연동되는 통합 ID 저장소 환경에서 이루어져야 합니다. 요컨대 인증은 여전히 기본적인 방어의 핵심 요소이지만, 오늘날 디지털 서비스의 범위가 확대됨에 따라 ID와 그 검증 방식에 대한 진화된 관점이 필요합니다.

액세스 제어는 기업 리소스에 액세스할 수 있는 주체가 누구인지 또는 무엇인지를 판단하는 프로세스였으며, 지금도 마찬가지입니다. 그러나 인증과 마찬가지로 액세스 제어에 요구되는 기능도 기업 애플리케이션과 함께 발전해 왔습니다. 초기의 액세스 제어는 네트워크 계층에서 이루어졌으며, 잠재적인 애플리케이션 사용자는 네트워크 IP 주소로 정의된 경계의 ‘내부’ 또는 ‘외부’에 있는 것으로 구분되었습니다. 하지만 오늘날에는 모바일 사용자가 여러 제공 지점에 분산된 애플리케이션에 액세스하므로 내부와 외부를 구분할 수 있는 명확하고 고정된 경계가 없습니다. 따라서 액세스 제어는 인증을 통해 검증된 사용자 ID를 기준으로 이루어져야 합니다. 이제 최신 애플리케이션 사용자는 네트워크 위치를 기준으로 구분할 수 없으며, 대신 사용자 자신의 ID를 기준으로 분류됩니다. 

이러한 기술을 모든 주요 디지털 자산의 전체 인벤토리와 결합하면 특정 자산에 대한 액세스를 허용할 때의 위험을 고려해 내린 결정을 실행하는 데 활용할 수 있습니다. 이러한 결정은 해당 자산이 어떻게 노출되는지와 더불어 누구에게 노출되어야 하는지 또는 노출되지 않아야 하는지에 대한 이해를 바탕으로 합니다.

따라서 보안을 현대화하기 위한 첫 단계는 자산에 액세스하는 방식과 그 이유에 중점을 두고 자산 인벤토리를 구축하거나 개선하는 것입니다. 또한 기술 리더는 애플리케이션이 모든 데이터에 액세스하는 주요 수단이라는 점을 염두에 두어야 합니다. 따라서 인벤토리에서는 자산과 해당 자산을 사용하는 애플리케이션 간의 관계도 파악할 수 있어야 합니다.

다음으로, 기술 리더는 비즈니스 리더와 협력하여 핵심 자산에 대한 위험/보상 프로필을 수립해야 합니다. 이렇게 도출된 위험/보상 프로필은 보안 조치가 비즈니스 성과에 부합하도록 해야 합니다. 예를 들어, AiteNovarica의 연구에 따르면 “판매자가 잘못된 거래 거절로 인해 잃는 매출은 사기로 인한 손실보다 75배 더 많습니다.” 따라서 잘못된 거래 거절로 알려진 위험이 거래를 허용하는 위험보다 더 클 수 있습니다.

따라서 해당 거래와 관련된 상호작용의 허용 또는 거부 여부는 조직의 위험 감수 수준에 따라 결정해야 합니다. 이러한 결정에 영향을 미칠 수 있는 요인으로는 거래 금액과 사용자가 정당한 사용자라는 확신의 정도가 있습니다. 시스템은 해당 사용자가 정당한 사용자라고 50% 확신합니까? 그보다 더 확신합니까? 아니면 덜 확신합니까? 각 조직은 자체적인 위험 감수 수준을 정하고, 이를 바탕으로 해당 범위 내에서 보안을 적용하도록 프로필을 조정합니다. 위험/보상 프로필은 잠재적 위험에 대응하는 방법을 결정할 수 있도록 사람과 시스템에 지침을 제공합니다. 위험 회피 성향이 강한 조직은 위험에 더 큰 비중을 두고 이를 방지하기 위한 통제를 적용하는 경향이 있습니다. 반대로 위험 감수 수준이 높은 조직은 보안 통제 적용 방식을 결정할 때 보상을 더 중요한 요인으로 평가합니다.

여기서 트랜잭션 수준으로 평가한다는 세분성은 디지털 상호작용을 지속적으로 평가하고, 정책에 따라 평가된 실시간 컨텍스트를 기반으로 보안 결정을 조정할 수 있음을 의미합니다. 이러한 접근 방식은 제로 트러스트의 핵심 역량이며, 결정을 집행하는 데 사용되는 핵심 기술인 인증(누구)과 액세스 제어(무엇)도 마찬가지입니다. 자세한 내용은 백서 “제로 트러스트 보안: 제로 트러스트가 중요한 이유(단순한 액세스 그 이상)”에서 확인할 수 있습니다.

디지털 상호작용을 지속적으로 평가하는 역량은 엔터프라이즈 수준의 데이터 및 옵저버빌리티 전략, 즉 조직이 전략을 보유하고 있으며 데이터를 단일 저장소에 중앙 집중화하지 않는 경우 풀스택 옵저버빌리티와 서로 다른 저장소에 분산된 상호작용을 연결하고 연계 분석할 수 있는 수단을 마련하는 방향으로 나아가고 있는지에 달려 있습니다.

따라서 위험 관리로의 전환은 실행 전반을 관장하는 제로 트러스트 접근 방식을 기반으로 ID, 옵저버빌리티, 액세스 제어라는 세 가지 핵심 기술을 도입하는 데 달려 있습니다.

IT 현대화에는 보안이 반드시 포함되어야 합니다

디지털 비즈니스의 핵심 역량 중 하나는 보안입니다. 즉, 디지털 자산과 데이터, 고객의 금융 및 개인정보를 안전하게 보호하는 것입니다.

디지털 비즈니스에서는 거의 모든 상호작용이 디지털 방식으로 이루어지므로, 보안은 비즈니스의 핵심 요소이자 IT 측면에서는 엔터프라이즈 아키텍처의 핵심 요소로 자리 잡아야 합니다. 대부분의 조직은 증가하는 공격과 새롭게 등장하는 위협에 대응하기 위해 임시방편으로 도입한 경우가 많은 보안 관행, 도구 및 정책이 디지털 중심 환경에서도 여전히 유효한지 검토해야 합니다. 조직이 디지털 경제에서 성공하는 데 필요한 모든 디지털 자산과 상호작용을 완벽하게 보호하려면 더욱 체계적이고 포괄적인 접근 방식이 필요합니다.

조직이 엔터프라이즈 아키텍처 형태로 기술 기반을 구축할 당시에는 디지털 비즈니스 운영의 여러 측면이 고려되지 않았습니다. 보안은 이처럼 충분히 고려되지 않은 측면 중 하나입니다.

디지털이 기본이 되는 세상으로 빠르게 나아가는 가운데, 조직이 미래에 성공하는 데 필요한 변화의 속도와 데이터 기반 의사결정을 지원하고 실현하려면 IT를 현대화해야 합니다. 이를 위한 중요한 단계는 엔터프라이즈 아키텍처를 현대화하는 것입니다. 여기에는 보안에 대한 더욱 광범위하고 포괄적이며 궁극적으로 적응 가능한 접근 방식, 즉 위험 관리 접근 방식이 포함되어야 합니다.

디지털 비즈니스를 지원하기 위한 아키텍처 현대화, 특히 보안 현대화에 대해 자세히 알아보려면 O’Reilly의 신간 “디지털 비즈니스를 위한 엔터프라이즈 아키텍처”를 읽어보세요.