보안팀의 통제 아래 이런 이메일에 대한 응답을 정량화하고, 직원들의 보안 인식 수준을 확인한다. 얼마나 많이 첨부 파일을 열어보고, 링크를 클릭했는가? 얼마나 많은 이메일을 의심스러운 메일로 표시하거나, 무시했는가? 다른 것들에 비해 가장 큰 영향을 미친 이메일 제목은 무엇인가? 피해자가 될 확률이 더 높은 특정 부서나 사용자가 있는가? 이런 데이터는 사이버보안 인식 트레이닝 및 교육을 더 효과적으로 맞춤화하고, 해결해야 할 잠재적인 취약점을 파악하도록 한다.
피싱 테스트에 제기된 윤리적 문제
하지만 몇몇 사건으로 인해 피싱 테스트의 핵심 요소에 대한 윤리성이 논란이 되고 있다. 최근 논란의 여지가 있는 주제를 사용해 피싱 테스트를 진행한 영국 웨스트 미들랜즈의 한 철도회사가 대표적인 예다.WMT(West Midlands Trains)은 코로나19 팬데믹 위기 동안의 노고를 치하하기 위해 보너스를 지불한다는 내용으로 피싱 테스트를 진행했다. 발신인은 재무팀으로 가장했다. 또한 수신자가 WMT의 상무이사 줄리안 에드워즈에게 개인 메시지를 보낼 수 있는 마이크로소프트 오피스 365 링크를 클릭하도록 유도했다. 이 링크는 마이크로소프트가 피싱 테스트를 위해 설정한 셰어포인트 사이트로 연결되었고, 링크를 클릭한 사람에게는 HR 팀으로부터 로그인 정보를 요구하는 이메일을 주의하라는 충고 이메일을 받았다. 말할 필요도 없이 보너스는 지급되지 않았다.
윤리적인 피싱 테스트
일정액을 지불하겠다고 약속하는 방법은 사이버 범죄자들이 피해자를 속이기 위해 많이 사용하는 효과적인 전술이다. 그러나 피싱 테스트에서 이런 전술을 사용하는 것은 공정한 것과 공정하지 않은 것, 윤리적인 선을 넘지 않도록 만드는 방법에 대한 의문을 제기한다. 또 피싱 테스트가 유용하고 효과적이며 이익이 되는 사이버보안 교육이 되고, 득보다 실이 되는 위험을 초래하지 않도록 만들려면 어떤 조치를 취해야 할까?보안 업체 사이젠타(Cygenta)의 CEO 제시카 바커는 “기업은 피싱 테스트 때 윤리적 경계를 지켜야 한다. 피싱 시뮬레이션이 지나칠 때 초래될 수 있는 피해 때문이다. 특히 팬데믹 상황인 점을 감안할 때 보너스나 의료 같은 감정과 크게 관련된 부분으로 대상의 감정적 ‘웰빙’을 자극하면 심리적인 안정, 신뢰, 문화 등에 해가 될 수 있다”고 설명했다.
이는 사이버보안 팀의 노력을 훼손시키고, 이들이 참여시키려는 사람들과의 관계를 소원하게 만든다. 그는 “사람들은 일반적으로 속는 것을 좋아하지 않고, 자신을 속이는 사람을 신뢰하지 않는다. 내가 자주 듣는 반론 중 하나는 ‘범죄자들은 피싱에 감정적인 부분들을 이용하는 데 우리는 왜 그러면 안 되는가?’라는 주장이다. 범죄자들은 실제 재산 피해를 야기하고, 시스템을 무력화시키고, 서비스를 중단시키지만, 소셜 엔지니어와 침입 테스트 담당자는 그러지 않는다. 선의의 목적에서 이런 일을 한다. 시뮬레이션이 실제 피해를 초래해서는 안 된다”고 말했다.
또 다른 보안업체인 사이브세이프(CybSafe)의 행동 과학 책임자인 존 브라이스 박사에 따르면, 기업은 직원들을 화나게 만들 가능성이 있는 주제를 피하는 등 이메일 템플릿을 신중하게 선택해야 한다.
디지털엑스레이드(DigitalXRAID)의 릭 존스 CEO는 “심지어 레빌(REvil) 같은 일부 범죄 조직들조차 특정 기준을 강조한다. 자신들의 SaaS 랜섬웨어로 정부와 공공부문, 의료 및 보건부문, 교육기관을 타깃으로 삼는 것을 금지하고 있다. 다크사이드(DarkSide) 또한 최근 콜로니얼 파이프라인(Colonial Pipeline) 공격으로 정치, 경제, 사회적 혼란을 야기할 의도는 없었다. 금전적인 이득을 염두에 두고 작전을 펼쳤다고 언급했었다. 피싱 시뮬레이션을 수행하는 사람들은 실제 작전을 펼치는 범죄 집단과 동일한 스킬을 갖고 있지만, 이들에게는 반드시 지켜야 할 기준과 윤리가 있다”고 강조했다.
다음은 피싱 테스트를 더 낫게 만들기 위해 고려해야 할 5가지 사항들이다.

피싱 테스트의 목적 이해
바커에 따르면, 피싱 시뮬레이션을 윤리적이면서 생산적으로 만들기 위해서는 먼저 피싱 테스트의 목적과 목표를 이해해야 한다. 바커는 “피싱 시뮬레이션을 ‘단속(Gotcha)’을 위한 훈련으로 생각하고 있다면 다시 생각하는 것이 좋다. 이는 교육이 아닌 속임수이기 때문이다. 테스트를 교육으로 생각한다면, 가르쳐야 할 행동은 무엇일까? 이를 생각해야 한다”고 말했다.존스는 테스트 시나리오는 피싱 이메일의 형태에 대한 기준선을 만들어, 사용자가 신호를 파악하는 능력을 확실히 터득하는 것에 목적이 있다고 설명했다.
바커는 “여전히 클릭률에 초점을 맞추고 있는 피싱 시뮬레이션들이 아주 많다. 사람들은 잘 만들어진 피싱 이메일을 중심으로 항상 링크를 클릭할 것이다. 피싱 테스트를 더 효과적으로 만들기 위해서는 클릭률을 낮추는 것보다 보고율을 높이는 것에 초점을 맞춰야 한다. 궁극적으로 조직과 관련된 맥락을 이해하고, 이를 지켜야 적절한 피싱 시뮬레이션을 만들 수 있다”라고 강조했다.
커뮤니케이션을 통한 신뢰 구축
브라이스는 피싱 테스트에서 다음으로 중요한 요소는 투명성이라고 주장했다. 그는 “기업은 직원들에게 투명해야 한다. 시뮬레이션 피싱 테스트를 실시하는 시기에 대한 정보를 제공하고, 교육 목적의 피싱이라는 점을 강조해야 한다. 신뢰를 쌓지 않으면, 직원들은 금방 분개하게 된다. 자신이 감시를 받고 있고, 회사가 자신을 적발할 기회를 보고 있다는 생각을 하게 된다”고 말했다.존스 또한 이런 투명한 접근법에 동의했다. 그는 “사용자에게 피싱에 대해 점진적으로 소개하고, 주의야 할 부분과 여기에 대응하는 방법을 가르쳐야 한다. 이런 과정을 통해 커뮤니케이션 문화를 구축해야 한다”고 말했다.
긍정적인 강화
긍정적인 강화(Positive reinforcement)는 피싱 테스트의 단기, 장기 효과성에 아주 중요한 역할을 한다. 또 조직이 여기에 접근하는 방식이 윤리적인지 여부에 큰 영향을 미칠 수 있다.예를 들어, 피싱 테스트를 통과하지 못한 직원을 비난하거나 처벌하지 않는다. 이는 부정적인 감정이나 환멸을 초래할 수 있다. 대신 장려하고 싶은 대응이나 행동을 공개적으로 칭찬한다. 바커는 “긍정적인 강화가 훨씬 더 효과가 크다. 사회적 증명의 원칙을 바탕으로 사람들을 훨씬 더 효과적으로 관여시킨다”고 말했다.
다크타워(DarkTower)의 인텔리전스 디렉터인 개리 워너에 따르면, 피싱 시뮬레이션에는 ‘막대가 아닌 당근’과 유사한 방식을 사용하는 것이 좋다. 그는 이와 관련, 자신이 IT 디렉터로 일하던 때의 사례를 소개했다.
그는 “상사에게 100달러에 의심스러운 이메일에 대한 보고율을 향상시킬 수 있다고 말했었다. 우리가 가장 최근 받은 보고들을 가져와 아주 상세히 분석했다. 그리고 전사적으로 이메일 한 통을 보냈다. ‘서비스 센터의 조는 이런(스크린샷) 의심스러운 이메일을 받았습니다. 조는 자신이 할 일을 알고 있었습니다! 이메일을 phishing@myoldjob.com으로 전달한 것입니다. 조가 이메일을 전달하는 대신 링크를 클릭했다면, 그의 컴퓨터는 XYZ 바이러스에 감염이 됐을 것이고, 우리 네트워크에서 러시아로 데이터가 유출되었을 것입니다! 회사를 지켜준 조에게 레스토랑에서 2명이 스테이크를 즐길 수 있는 사례를 했습니다. 조, 회사를 지켜줘서 고맙습니다! 의심스러운 이메일을 받으셨나요? Phishing@myoldjob.com으로 전달해주십시오! 그러면 엄청난 사이버 공격에서 회사를 구하고, 이에 대한 사례도 받을 수 있습니다!’ 보고율은 1,000% 향상되었고, 여기에 투자한 비용은 월 100달러의 저녁 상품권이었다”고 말했다.
위 사례에서 가너가 사용한 방법은 WMT가 피싱 테스트에서 사용한 방법과 비교된다. 두 방법은 크게 다르다. 명확히 커뮤니케이션을 하고, 정보를 많이 제공했다. 그러나 철도 회사처럼 아주 감정적인 ‘지금 클릭’ 형태의 언어와 표현을 사용하지 않았다(또 가짜 약속이 아닌, 실제 무료 식사를 제공). 긍정적 강화를 활용, 사용자가 좋은 보안 행동을 체득하도록 유도한 아주 좋은 사례이다.
피싱 테스트 실패를 보안 성과로 전환
테스트 과정에 데이터를 획득한 후의 후속조치는 테스트 계획 및 시행 단계만큼 중요하다. 사용자에게만 초점을 맞추면 안 된다. 시뮬레이션 결과가 전사적으로 도움이 될 수 있는 방법에 초점을 맞춰야 한다.존스는 “진부한 이야기이지만, 사이버보안에서는 데이터가 정말 중요하다. 보안 로그나 장치의 기술 데이터부터 사용자의 정보에 이르기까지 모든 것이 아주 중요한 지식을 제공한다. 직원들은 기업의 ‘제일선’ 이다. 따라서 의사결정자들이 이들로 인해 초래될 수 있는 위험을 인식하는 것이 중요하다. 무엇보다 피싱 공격이 성공하면 악성코드가 구축된 모든 보안 도구를 뚫고 들어올 수 있다”라고 강조했다. 시뮬레이션에 통과하지 못한 사람들의 경우, 비난보다는 장려, 보안 교육이 앞서야 한다.
브라이스는 “누군가 시뮬레이션한 피싱 이메일을 클릭했다면, 적시에 도움이 되는 피드백을 제공해야 한다”라고 말했다. 피드백은 긴 의무 교육이나 처벌의 형태가 아닌, 짧고 몰입도가 높은 형태여야 한다. 그래야 최상의 결과가 나온다. 그는 “인적 사이버 위험에 대한 우리의 접근법은 공감에 토대를 두고 있다. 직원들이 행동을 변화시키도록 돕고, 힘을 보태는 더 이해심 있는 방법이 시뮬레이션 공격에 굴복한 사람들을 비난하는 방법보다 장기적으로 더 큰 성과를 거둘 확률이 높다”라고 말했다.
존스는 영국 ICO(Information Commissioner’s Office) 같은 정부 당국과 연락할 때 피싱 시뮬레이션 데이터를 이용할 수도 있다고 덧붙였다. 그는 “기업은 이런 방법으로 내부 위협을 인식하고 있으며, 이를 경감하기 위한 조치를 취했다는 증거를 제시할 수 있다”라고 덧붙였다. 직원들이 조직에 초래할 수 있는 위협의 수준을 드러내고, 격려와 커뮤니케이션을 통해 긍정적인 변화를 견인하는 증거를 제시하는 것은 아주 중요한 성과다.
적시에 적합한 도구 활용
조직이 살펴봐야 할 중요한 마지막 고려사항은 특정 시점에 피싱 테스트가 올바른 훈련인지 여부이다. 바커는 “피싱 시뮬레이션이 전혀 도움이 되지 않는 경우들도 있다. 사이버보안에 대해 두려워하는 문화가 이미 형성되어 있는 경우를 예로 들 수 있다. 피싱 시뮬레이션은 도구에 불과하다. 따라서 적시에 적합한 방법으로 활용되어야 한다”라고 강조했다.이와 관련, 영리한 사이버 범죄자가 공격에 사용하는 더 까다로운 전술을 조금 더 부드럽게 소개하기 위한 방편으로 약화시킨 피싱 테스트를 사용할 수도 있다. 그는 “직원들이 실제 위험에 대해 교육이 되지 않은 상태로 방치되지 않도록 만들기 위해, 시뮬레이션에서 직접 노출시키지 않고 사이버범죄자들이 사용할 수도 있는 전설에 대해 건설적으로 대화를 하는 방법을 활용할 수도 있다”라고 말했다.
어느 쪽이든, 시뮬레이션 피싱은 장기간에 걸쳐 직원들이 좋은 보안 행동을 체득하도록 만드는 전략의 일부에 불과하다. 그는 “피싱 공격의 피해자가 되는 직원들의 수를 줄이는 것이 궁극적인 목적이라면 해결해야 할 다른 보안 행동들이 있다”라고 설명했다.
궁극적으로 피싱 테스트의 목적이 사용자를 속여 클릭하도록 만드는 수단을 활용, 이들이 더 나은 행동을 하도록 나무라는 것이라면, 이는 사용자에게 피싱 공격의 위험에 대해 교육하는 효과가 없을 가능성이 있을 뿐만 아니라, 의욕을 떨어뜨리고, 더 나아가 감정을 상하게 만들 수도 있다. 대조적으로 윤리적이고 공감할 수 있는 방법을 사용하고, 조직의 문화를 여기에 부합시키고, 긍정적인 강화와 건설적인 접촉으로 이메일 기반 공격이 초래하는 실제 위협에 대해 가르치고, 직원들에게 더 안전한 행동을 연습하도록 유도하고 장려한다면, 이때 피싱 테스트는 조직의 보안 인식 태세를 높이도록 도움을 주는 유용한 도구가 될 수 있다. editor@itworld.co.kr
함께 보면 좋은 콘텐츠
Sponsored
GTPlus
가치와 속도에 중점 둔 글로벌 클라우드 3사의 데이터 복제 기술
ⓒ GTPlus 최근 기업은 의사결정에 필요한 전체적인 그림 확보를 위한 민첩성과 탄력성을 높이고자 조직의 데이터를 클라우드 데이터 레이크 및 데이터 웨어하우스로 이동시키고 있다. 그 과정에서 기존의 데이터 통합 솔루션은 수동적이고 복잡한 프로세스로 인해 효율성이 떨어지며, 진행한다 하더라도 정작 데이터를 적용해야 하는 비즈니스 단계에 적합한 데이터가 아닌 경우가 발생한다. 따라서 이런 기존 솔루션의 한계를 보완한 모던 CDC 솔루션(Change Data Capture)이 주목받고 있다. 대표적인 모던 CDC 솔루션인 ‘클릭 리플리케이트(Qlik Replicate)’는 효율적인 데이터 전송 및 자동화된 데이터 변환 생성을 통해 소스 시스템 데이터 스트림 생성부터 분석 준비 데이터 세트 생성에 이르기까지 데이터 파이프라인을 가속화하는 솔루션으로 기존 데이터 통합 솔루션의 문제를 해결한다. 전 세계 수백 개의 기업이 사용하는 ‘클릭 리플리케이트(Qlik Replicate)’ 클릭 리플리케이트의 특징을 알아보면, 시스템의 중지 없이 데이터를 복제해 클라우드로 이동해(zero-time) 클라우드 환경의 데이터에서 보다 쉽고, 안전하며, 효율적으로 가치를 얻어낼 수 있게 지원한다. 또한, 소스에서 대상으로 실시간으로 데이터를 이동하며, 모든 데이터는 엔드 투 엔드 복제를 완전히 자동화하는 간단한 그래픽 인터페이스를 통해 관리된다. 데이터 엔지니어는 간소화되고 에이전트가 없는 구성을 통해, 선도적인 변경 데이터 캡처(CDC) 기술을 기반으로, 데이터 파이프라인을 쉽게 설정, 제어 및 모니터링할 수 있다. 아래 화면과 같이 수동으로 정보를 입력할 필요 없이 필터, 단일 테이블/뷰에 대한 변환 정의 및 전역 변환을 정의하는 GUI 대화 상자를 제공하는 Expression Builder 기능을 통해 규칙을 쉽게 작성할 수 있는 특징을 가진다. ⓒ GTPlus 클라우드별 베스트 프랙티스 제공, 어떤 클라우드 선택해도 지원 가능 클릭(Qlik)은 대표적인 클라우드 3개사 (Amazon Web Services(AWS), Microsoft Azure, Google Cloud Platform)의 기술 파트너로 모든 주요 데이터베이스, 데이터 웨어하우스에서 데이터 복제, 수집 및 스트리밍을 가속화하는 데 도움이 되는 솔루션을 제공한다. 따라서 사용자가 어떤 클라우드를 선택하든 지원할 수 있도록 Amazon Redshift, Azure Synapse, Google Big Query 및 Snowflake에 대한 베스트 프랙틱스를 제공하고 있다. 이러한 클릭의 기술력을 기반으로 클릭 리플리케이트는 다양한 원천 데이터 소스에서 AWS의 S3, Azure의 ADLS 및 GCP의 GCS로 실시간으로 데이터를 복제할 수 있으며, AWS의 RedShift 또는 EMR, Azure의 SQL데이터 웨어하우스 또는 HDInsight와 같은 다양한 특수 분석 환경에서 직접 변경된 데이터를 로드할 수 있다. ⓒ GTPlus 클라우드 환경에서의 데이터 복제에 대한 더 자세한 정보가 필요하다면 2월 10일부터 4회에 걸쳐 진행되는 ‘케이스로 알아보는 모던 CDC 세미나’ 참석을 추천한다. 온라인으로 진행되는 이번 세미나는 ‘데이터 복제 사용 케이스’를 중심으로 소스 설정과 타깃 정의 등 데이터 전문가가 궁금해할 실전 정보를 다뤄 복잡한 데이터 환경에서 스크립팅하는 데이터 관리자(DBA)들에게 매우 유용할 것이다. 지티플러스 블로그에서 행사 참여 신청을 할 수 있다.
Daliworks
확산하는 ESG 경영, 그 중심에 ‘IoT’가 있다
ⓒ Getty Images Bank 오늘날 모든 기업이 ESG(Environmental, Social and Governance) 경영에 주목하고 있다. 국내 주요 기업의 2022년 신년사의 공통 키워드는 ESG였으며, 정부는 대기업을 대상으로 오는 2025년부터 ESG 공시를 의무화했다. 기업이 ESG 경영을 해야 하는 이유가 규제에만 있는 것이 아니다. 앞으로 ESG는 기업 가치 및 평가에 더욱 중요한 역할을 담당하게 될 전망이다. 투자 업계에서는 이미 ESG를 우선순위 투자 지표로 삼았다. 2020년 기준 ESG 기반 자산의 가치는 45조 원에 달한다. 또한 ESG는 전 세계적인 트렌드이기 때문에 GVC(Global Value Chain)에서 낙오하지 않으려면 협력 업체 및 이해관계 그룹도 ‘ESG’라는 흐름에 발맞추어야 한다. ⓒ Daliworks ESG는 환경(Environmental), 사회(Social), 지배구조(Governance)의 약자로, 기업이 매출이나 이익 같은 재무적인 지표에만 관심을 두는 것이 아니라 환경과 사회를 생각하고 기업 지배구조의 투명성을 추구하는 패러다임을 의미한다. 기본적으로 ESG는 3가지 요소를 원칙으로 지속가능성을 추구한다는 ‘가치’이지만, 의무 공시를 해야 하는 기업의 입장에서는 일종의 ‘기준’이다. 여러 전문가는 ESG가 규제보다는 비즈니스 관점에서 잘 조율된 시스템으로 이어질 때 좋은 결과를 얻을 수 있다고 조언한다. 결국 장기적으로 ESG를 비즈니스 전략에 얼마나 잘 구현하느냐가 관건이다. 각 기업은 저마다의 방식으로 ESG 경쟁력을 높이기 위해 노력하고 있으며, 대표적인 방법으로 IoT 기술을 선택하고 있다. ESG 추진을 위한 전략적 방안으로서의 IoT 투자 지표로 삼든, 규제를 위한 기준이든, 경영 전략으로 쓰이든 ESG는 정량화되고 계량화된 수치를 요구한다. 때문에 ESG를 실현하려는 기업에는 디지털 트랜스포메이션이 필수적이고 IoT가 필요하다. IoT는 ESG 지표의 수집 및 보고를 보다 정확하고 간소화하는 데 도움이 된다. 탄소 배출량, 에너지 효율, 수질 및 폐기물 관리, 실내 공기 질 관리와 같은 환경 관련 지표를 IoT 센서를 사용해 정밀하게 측정하고 대조할 수 있다. 따라서 기업이 목표를 달성하고 있는지, 효율성 개선을 위한 조치가 필요한지를 쉽게 판단할 수 있다. 또한 IoT는 ESG 성능 향상에도 유용하다. IoT 센서로 정확한 데이터를 확보하고 모니터링함으로써 개선사항을 발견하고 최적화할 기회를 확보할 수 있기 때문이다. 최적 영역에서 벗어날 때 알람을 설정하면 사전에 조치를 취할 수 있다. ⓒ Daliworks ESG와 관련한 제조 분야의 주요 이슈는 환경에 미치는 영향을 줄이는 것이다. IoT 기술을 적용하면 탄소 배출량을 감소시키고 저전력 운영과 에너지 효율을 극대화하는 시스템을 개발할 수 있다. 구체적으로 IoT 기기를 통한 공장의 제조 환경 모니터링 및 제어로 설비의 효율성을 개선해 온실가스를 감축하며, 주요 설비의 전력량을 계측하여 전기 에너지 사용량을 분석하고 전력피크를 모니터링하는 EMS(Energy Management System)를 도입해 에너지 효율을 높일 수 있다. 물류 분야 역시 IoT를 이용한 스마트 운송 시스템 도입으로 탄소 배출량을 절감할 수 있다. 예컨대 운송 차량의 트래픽 상황을 관리하고, 적재량 및 운송 경로 최적화를 통해 친환경 물류로 전환할 수 있다. 최근 ‘뜨거운 감자’로 떠오른 안전 문제에 대한 해결책도 제시한다. 잇따른 물류창고 화재로 물적 피해와 사회적 우려가 높아진 상황에서 근무자를 위한 안전한 노동환경으로의 개선이 필요하다는 목소리가 높다. IoT 센서를 도입하면 물류창고 내 작업자의 출입 여부를 자동으로 확인하고, 이에 따라 전원을 차단해 에너지 절약과 화재 예방을 동시에 이룰 수 있다. 나아가 온도 변화에 따라 화재를 감지하고 자동 소화하는 IoT 서비스로 비즈니스 위험 요소를 선제적으로 관리할 수 있다. IoT는 사회 문제 해결에도 적극적으로 활용할 수 있다. 홀몸노인 고독사 예방을 위한 노인 돌봄 IoT 서비스, 소방관과 경찰의 눈이 되어주는 IoT 관제 솔루션, 지자체 빈집 관리 IoT 시스템과 같은 활용영역으로 빠르게 확산되고 있다. 대한민국 대표 IoT 솔루션 업체 달리웍스는 IoT 플랫폼 씽플러스를 기반으로 적극적으로 ESG 지원 솔루션을 개발하고 있다. 환경 분야에 특화된 스마트팩토리, 스마트에너지는 탄소 배출량 감소, 저전력 운영, 에너지 효율 극대화를 이룰 수 있도록 고안됐다. 또한 달리웍스는 노동환경을 개선하고 지역사회에 기여하며 사회적 약자를 보호하는 사회공헌 서비스도 지원한다. 예컨대 작업자 체온을 측정하고 실시간 모니터링하는 스마트패치 서비스, 도로나 하천의 빗물받이에 쌓인 비점오염퇴적물의 하중을 실시간으로 모니터링하는 배수 모니터링 서비스, AI 분석으로 탑승자의 안전 상태 및 장비의 이상 유무를 탐지하는 전동 휠체어 안전 관리 서비스가 대표적이다. 달리웍스 이순호 대표는 “IoT 네트워크를 사회 안전망으로 활용하면 물리적인 투입이 부족한 현재 사회 안전망을 훌륭히 보완할 수 있다. 앞으로 ESG 경영이 심화하면서 기업의 혁신과 지속 가능한 발전을 실현하기 위해 IoT를 활용하려는 움직임도 더욱 속도를 낼 전망이다”라고 말했다.
HPE Aruba
SD-WAN 아키텍처로 전환할 때의 경제적 이점과 효과
ⓒ Getty Images Bank 전세계적인 펜데믹으로 기업의 디지털 트랜스포메이션이 가속화되면서 애플리케이션의 클라우드 전환도 피할 수 없게 됐다. 국내 기업도 애플리케이션과 IT 인프라를 클라우드로 이전 중이다. 한국IDC가 발표한 ‘2021년 클라우드 IT 인프라 시장 전망 보고서’에 따르면, 지난 2021년 국내 클라우드 IT인프라가 전체 IT인프라 시장의 50%를 돌파하면서 오는 2025년에는 60%가 클라우드 환경이 될 것이라고 전망했다. 그럼에도 불구하고 클라우드의 이점을 제대로 파악하지 못한 채, 현재도 클라우드 이전을 고민하는 기업이 많다. 하지만 기존의 라우터 기반 네트워킹 방식은 애플리케이션 연결 작업이 복잡하여 고객이 빠른 변화에 대응하는데 어려움을 준다. 네트워크에 대한 가시성도 없으므로 문제를 해결하는 운영상의 효율에도 한계가 있어 결과적으로 경제적 손실이 불가피하다. 대다수 기업들은 대역폭이 낮은 고가의 전용회선 MPLS WAN 회로에 의존하고, 수명이 다한 네트워크 장비 그리고 관리가 어려운 WAN 아키텍처를 함께 사용하고 있다. 기업이 애플리케이션의 성능을 높이고 양질의 일관된 사용자 경험을 얻기 위해서는 민첩성과 복원력이 우수하고 복잡성은 낮으며 처리량이 많은 네트워크가 필요할 것이다. 라우터 중심의 기존 네트워킹 한계를 보완한 Aruba EdgeConnect SD-WAN 엣지 플랫폼 아루바는 이러한 문제를 해결하기 위해 아루바 엣지커넥트(Aruba EdgeConnect) SD-WAN 엣지 플랫폼을 출시했다. 비용은 더 낮고 처리량은 더 많은 광대역 연결로 MPLS를 보다 유연하게 교체하여 모든 가용 링크를 적극 활용할 수 있도록 했다. 즉, 가용 대역폭은 늘어나고 네트워크 전송 비용을 절감시킬 수 있으며 애플리케이션 성능은 향상된다. 아루바는 솔루션을 도입하기 이전에 자사의 고객 가치 평가를 통해 기존의 라우터 중심 네트워크에서 공통적으로 나타나는 문제점을 확실하게 분석하고, 이를 바탕으로 기업 중심 WAN 아키텍처가 필요한 근거를 제시한다. 다음은 아루바의 고객 가치 평가를 통한 일반적으로 기업이 갖고 있는 문제를 여섯 개의 주요 영역으로 세분화하고 각 영역의 문제를 해결할 SD-WAN 지원 기능을 서로 맵핑한 것이다. 사업 문제와 SD-WAN 지원 기능 ⓒ HPE 아루바 SD-WAN은 기존의 기업이 사용하던 고가의 MPLS 회로를 상업용 대역폭으로 바꾸며 일괄적으로 SLA 요건까지 충족한다. 기업은 이전의 라우터 중심 WAN 대비 복원력과 성능은 더 높이고, 신뢰할 수 있는 기업 애플리케이션에 더 적은 비용으로 액세스할 수 있게 됐다. SaaS 애플리케이션과 PaaS 환경에 훨씬 더 효율적으로 접근하게 된 것이다. 라우터 중심 MPLS 네트워크 ⓒ HPE Aruba SD-WAN ⓒ HPE Aruba SD-WAN 솔루션만의 특장점 아루바의 SD-WAN은 다음과 같이 기존의 라우터 중심 WAN 아키텍처에 비해 확실한 운영과 재정 이익을 제공한다. 이는 비단 특정 업체만의 결과가 아닌 거의 모든 조직에 해당되는 결과라고 해도 과언이 아니다. 캐리어 다양성 증가 : MPLS 캐리어보다 광대역 제공자의 다양성이 더 크고, 적은 비용으로 더 많은 광대역 링크를 추가 조정 비용 절감 : 조직 내 여러 부서의 통신과 협업이 수월하게 진행 생산성 개선 : 네트워크 가동 정지 시간이 단축되어 최종 사용가 작업 중단 없이도 작업에 계속해서 집중 가능 이 밖에도 유연한 프로비저닝, 보안 연결, 다중 경로 제어, 신뢰할 수 있는 성능, 중앙 집중식 조정 기능을 갖추고 있으며, 현재의 기업에 가장 완벽하고 경제적인 SD-WAN 솔루션을 제공한다. 더욱 자세한 내용은 ‘SD-WAN의 사업 가치 및 재정 영향 파악’ 보고서에서 확인할 수 있다.
레인보우브레인
2022 업무혁신, AI에 RPA 접목한 하이퍼오토메이션 시대가 온다
하이퍼오토메이션을 위한 방법 ⓒ 2019 Gartner 2022년 새해를 맞이하여 여러 기업과 기관에서는 클라우드, AI, RPA 기술을 활용해 혁신을 준비하고 있다. AI에 RPA를 접목한 하이퍼오토메이션이 조직에서 한 차원 높은 자동화 단계를 구현하는 과정을 알아보자. 하이퍼오토메이션(Hyper-automation) 조직마다 고유의 업무 프로세스가 존재하기 마련이다. 이때의 업무 프로세스는 조직의 일하는 방법 또는 일의 흐름을 의미한다. 조직이 성장하고 더욱 중요한 목표를 성취하려면, 끊임없이 업무 프로세스를 개선하고 혁신할 필요가 있다. 업무 프로세스 일부를 자동화해 생산성을 높이고, 기존 인력의 남는 시간을 부가가치가 더 높은 분야에 투입해 조직을 고도화하는 것은 RPA를 도입할 때 가장 먼저 고민하는 내용이기도 하다. 하이퍼오토메이션은 현업이 실행하는 거의 모든 반복작업을 자동화할 뿐만 아니라, 업무 프로세스를 동적으로 탐색하고 자동화하는 봇을 생성하는 수준까지 확장된 디지털 트랜스포메이션 기술이다. 2020년 12월 가트너 보고서에 따르면 비즈니스 중심 하이퍼오토메이션은 현업과 IT 프로세스를 신속하게 식별, 진단, 자동화하는데 사용하는 체계적인 접근법으로 다양한 기술, 도구, 플랫폼 조율이 필요하다. 하이퍼오토메이션에는 AI/ML, RPA, 자연어 처리, 로우 코드, SaaS형 통합 플랫폼, ERP 연동과 같은 다양한 기술이 포함된다. 하이퍼오토메이션의 주요 구성 요소는 크게 4가지로 나뉜다. 지능형 프로세스 디스커버리 : 자동으로 업무 프로세스를 찾아서 봇을 배치하는 기술 로보틱 프로세스 자동화 : 소프트웨어 로봇을 이용해 구조화된 비즈니스를 오류 없이 반복적으로 수행하는 RPA 기술 지능형 문서 처리 : 컴퓨터 비전과 광학 문자 인식(OCR) 기술을 활용해 비정형 정보를 캡처해서 추출한 다음에 이를 분류하는 기술 분석과 통찰력 : 봇이 수행하는 작업과 작업 중 발생하는 여러 활동에 대한 정보를 토대로 미래를 예측하는 기술 하이퍼오토메이션을 통해 얻는 장점은 매우 분명하다. 우선 복잡한 작업을 가속화할 때 사람의 지식이 투입되어야 하는 작업을 자동화해 누구나 빠르고 정확하게 비즈니스를 혁신하는 기회를 제공한다. 또한 지능형 RPA를 투입해 반복 작업을 자동화하는 디지털 워크포스를 생성함으로써 직원 능률을 개선한다. 여기에 더해 하이퍼오토메이션은 지금까지 접근하기 곤란했던 데이터와 프로세스를 발견하고 자동화해 조직의 디지털 트윈을 생성하는 방식으로 통찰력을 제공한다. RPA를 활용한 하이퍼오토메이션 적용 사례 RPA를 활용한 하이퍼오토메이션의 국내 적용 사례 중에 빠지지 않고 올라오는 이름이 있다. 바로 삼양그룹의 RPA 도입 사례다. 삼양그룹은 식품과 화학 계열사에 RPA를 선제적으로 도입해서 상당한 효과를 얻은 후, 홀딩스, 패키징, 의약바이오 등의 다른 사업에까지 RPA를 확대하고 있다. 특히 챗봇과 AI 기반의 문자 솔루션을 활용해 채팅으로 필요한 정보를 공유하고, 문자 인식 솔루션으로 그림 형태로 된 문서 업무도 자동화에 나섰다. 데브멘토가 주최한 2020 RPA 쇼케이스 행사의 ‘삼양그룹의 RPA 도입 이후 효과는? 삼양그룹 RPA 사례’ 발표에서는 삼양그룹이 추진한 하이퍼오토메이션 여정을 확인할 수 있다. 특히 삼양그룹의 디지털 혁신 추진 과정은 단순한 자동화가 아니라, 디지털 트랜스포메이션의 일부로 프로세스 최적화와 비즈니스 트랜스포메이션을 목표로 해 하이퍼오토메이션의 핵심 개념과 궤를 같이 하고 있음을 알 수 있다. 삼양그룹의 디지털 혁신 추진 배경 ⓒ 삼양그룹 삼양그룹의 RPA 도입 추진 현황의 목표 방향성 열을 보면, 1차(식품)로 단순 업무 자동화에서 출발해, 2차(화학)로 프로세스 혁신을 거쳐, 3차(의약, 패키징)에서 AI 기반 자동화(챗봇과 OCR)로 발전되는 양상을 확인할 수 있다. 이런 과정을 통해 대상 업무의 자동화 수준을 높이고 업무 시간을 절감할 수 있었다. 직원은 직접 업무 수행에서 RPA를 활용해 로봇을 관리하고 운영하는 업무로 전환하게 되므로 진정한 의미의 디지털 트랜스포메이션을 달성할 수 있게 된다. 삼양그룹의 RPA 도입 추진 현황 ⓒ 삼양그룹 오토메이션애니웨어와 함께 하는 하이퍼오토메이션과 RPA 고도화 전략 그렇다면 조직이 하이퍼오토메이션을 도입하려면 구체적으로 어떻게 해야할까? RPA 선도 업체인 오토메이션애니웨어는 하이퍼오토메이션을 위해 다양한 기술을 제공하고 있다. 대표적인 네 가지 기술을 정리하면 다음과 같다. 디스커버리 봇 : 디스커버리 봇은 앞서 언급한 지능형 프로세스 디스커버리를 위해 사용자 활동을 기록하고, 비즈니스 프로세스를 탐색해서 문서화하며, 프로세스 분포를 분석하여 비즈니스에 가장 큰 영향을 미치는 자동화 대상 업무의 식별을 돕고, 해당 업무를 자동화하는 봇 블루프린트를 생성하여 조직 전체에 걸쳐 자동화를 가속화하고 확산하는 과정에 도움을 주는 제품이다. 봇 인사이트 : 봇 인사이트는 앞서 언급한 분석과 통찰력를 얻기 위해 실시간 상태와 성능을 모니터링하고, 대시보드로 사업 통찰을 얻도록 시각화하며, 디지털 워크포스를 앱으로 모니터링하는 기능을 제공하므로 사업의 영향도 평가나 사업 결과를 예측함으로써 의사 결정 과정에 도움을 주는 제품이다. 엔터프라이즈 RPA : 엔터프라이즈 RPA는 앞서 언급한 로보틱 프로세스 자동화를 위한 종합적인 솔루션으로 로봇 프로세스 자동화를 위한 각종 개발 도구, 로봇 실행 환경, 모니터링 환경을 온프레미스와 클라우드에서 운영 가능하게 지원하는 제품이다. IQ 봇 : IQ 봇은 앞서 언급한 지능형 문서 처리를 위해 컴퓨터 비전, NLP(자연어 처리), 퍼지 로직, ML(머신 러닝)과 같은 AI 기술을 RPA와 결합하여 비즈니스 문서와 이메일에서 정보를 자동으로 분류, 추출, 검증하는 제품이다. 반정형 데이터를 자유롭게 처리할 수 있으므로 사람을 대신해 자동화 수준을 한 단계 높일 수 있다. 하이퍼오토메이션과 RPA 도입 전 확인 사항 수작업이 많은 기업의 경우 하이퍼오토메이션을 구현하기 위해 많은 노력이 필요하다. 특히 기존 자동화 솔루션과 자사의 자동화 성숙도가 어느 수준에 도달해 있는지를 명확하게 이해해야 한다. 뛰기 전에 먼저 걷는 연습을 해야 하듯, 하이퍼오토메이션으로 가기에 앞서 RPA를 확실하게 도입∙구축해야 한다. 자동화할 수 있는 모든 것이 자동화되는 현재 상황에서 하이퍼오토메이션으로 가는 여정은 너무나도 명백해 보인다. 하지만 가트너에 따르면 하이퍼오토메이션과 RPA를 도입하기 앞서 다음과 같은 몇 가지 필수 조건이 존재한다. 자동화할 수 있는 것은 모두 자동화하는 계획을 수립할 것 자동화를 사용해 새로운 가치 흐름의 실험을 최적화하고 가속할 것 사업 중심의 하이퍼오토메이션 이니셔티브를 포함해 IT 투자의 우선 순위를 지정할 것 운영탄력성, 효율성, 민첩성, 생산성을 높이는 이니셔티브를 설계할 것 하이퍼오토메이션 로드맵을 설계, 구축, 확장, 관리하는 전반적인 과정에서 구성원을 정렬하고 같은 목표를 바라보게 만들 것 이상의 목표를 달성하기 위해서는 RPA/하이퍼오토메이션 솔루션을 제대로 이해하고 구축하는 데 필요한 경험은 물론이고, 분야별 사업의 부가가치를 높이는 프로세스 분석과 설계 역량을 갖춘 좋은 파트너가 가장 필요하다. 레인보우브레인은 금융, 제조, 공공, 유통 분야에서 다년간의 경험을 바탕으로 오토메이션애니웨어의 RPA 제품의 기업 내 활용을 돕는 업무 분석 컨설팅과 봇 구축 업무를 제공하면서 기업의 하이퍼오토메이션 도입 과정에서 가장 신뢰할 수 있는 동반자로 자리잡고 있다.
ServiceNow
구축 성공 사례 | 로우코드 넘어 디지털 트랜스포메이션까지
전 세계적으로 많은 기업이 로우코드 전략을 추진하는 가운데 한 독일 제조 기업의 사례가 특히 주목을 받고 있다. 로우코드 개발 플랫폼을 구축하는 것에서 한발 더 나아가 ESM(Enterprise Service Management)을 함께 구축해 디지털 트랜스포메이션의 속도와 확장성은 물론 직원의 만족도와 생산성 향상을 동시에 달성했기 때문이다. 이 기업은 주력인 제조와 기기 사업에서 인더스트리 4.0 디지털 서비스로의 전환을 위해 대규모 디지털 트랜스포메이션 프로젝트를 시작했다. 다양한 레거시 시스템과 연계하고 인공지능, RPA 등 새로운 기술을 수용할 수 있는 통합 허브 역할을 담당할 플랫폼이 필요했다. 디지털 세대가 원하는 개인화된 사용자 경험과 셀프서비스 자동화를 지원하는 것도 숙제였다. 프로젝트 이전에는 여러 어려움이 혼재했다. 업무 영역별로 수십 개 포털이 각각 레거시 시스템과 연계돼 사용자 환경이 매우 복잡했고, 사내 하드웨어 정보만 15개 시스템에 이를 정도로 통합된 기준 정보가 없었다. 이들 서비스를 디지털 전환해야 했지만 개발자 리소스는 턱없이 부족해 운영 유지보수 요구를 감당하기도 어려웠다. 39만 명에 달하는 전 세계 직원과 한달 1,000명 이상의 신규 입사자, 200명의 글로벌 전근 등을 지원하는 직원 서비스를 수작업으로 처리해 효율성이 떨어지는 것은 물론 직원 만족도도 낮았다. 이 기업은 이런 문제를 해결하기 위해 서비스나우의 로우코드 솔루션을 기반으로 디지털 서비스 플랫폼 구축에 나섰다. 먼저 PLM, ERP, SCM, SLM 등 원류 시스템과 기준 정보를 통합하는 통합 계층을 만들어 빠른 서비스에 대한 요구에 대응했다. 또한, 단일 서비스 플랫폼으로 모든 엔터프라이즈 비즈니스 워크플로우를 디지털 전환해 기업 전체의 민첩성을 개선하고 리소스 재배치 역량을 강화했다. 직원과 고객에겐 서비스 포털, 챗, 모바일로 개인화된 서비스 경험을 제공하고 그들의 피드백을 받아 다시 서비스를 개선하는 데 반영했다. 이런 혁신은 사용자 경험의 변화에서 단적으로 확인할 수 있다. 사용자 여정 설계를 통해 인터랙티브한 사용자 경험을 구현해 콜센터 콜과 수작업 업무가 많이 줄었다. 기능과 사용성을 조화시킨 단순한 웹과 모바일 대화형 인터페이스를 통해 직관적인 디지털 사용자 경험을 제공한다. 사용자의 역할과 업무, 사용하는 서비스와 지식 등의 데이터를 기반으로 더 개인화된 사용자 경험을 구현해 고객과 직원 모두로부터 좋은 평가를 받았다. 프로젝트 이후 이 기업은 제품에서 디지털 서비스로의 전환을 실현하고 사내외 서비스의 디지털 트랜스포메이션 속도와 확장성을 확보했다. 강력한 로우코드 개발 플랫폼 덕분이었다. 또한, 직원과 고객 접점을 단순화하고 실시간 인사이트와 엔드 투 엔드 비즈니스 밸류체인을 연결해 개인화된 경험을 제공했고, 이는 곧 직원 만족도 제고로 이어졌다. IoT, AI/ML, RPA 등을 활용해 사내외 공정 관리를 자동화하고 생산성도 개선했다. 나우 플랫폼이 통합 허브 역할을 하면서 기업의 모든 서비스를 단일 플랫폼에서 개발, 운영, 관리하는 것이 가능해졌다. 나우 플랫폼이 제공하는 통합적 사용자 경험과 여정은 다음 백서에서 더욱 자세히 알아볼 수 있다.
ServiceNow
디지털 트랜스포메이션 시대, 다시 주목받는 ‘ITAM’
하이브리드 클라우드 환경에서 어떻게 IT 자산 거버넌스를 원활하게 관리할 수 있을까? 직원들이 분산된 환경에서 근무하고 있다면 사용하고 있는 디바이스가 최적의 상태인지 어떻게 파악할 수 있을까? 코로나 여파로 IT 비용 절감 및 최적화가 중요해지는 가운데 어떻게 하면 IT 예산을 효율적으로 관리하고 통제할 수 있을까? ‘IT 자산 관리(IT Asset Management; ITAM)’에 주목하는 기업들이 늘고 있는 이유다. 팬데믹 위기로 디지털 트랜스포메이션이 가속화되면서 IT 환경에 다양한 기술 및 플랫폼이 도입되고 있다. 아울러 원격근무가 확산되면서 분산된 인력이 사용하는 IT 자산도 빠르게 증가하고 있다. 더 많은 리소스 도입은 IT 복잡성으로 이어지기 마련이다. 포브스는 글로벌 경제 혼란, 변화하는 업무 환경, 기술 변화 등으로 CIO가 IT 자산 관리 문제에 직면할 가능성이 크다고 강조했다. 이에 따라 IT 자산을 보호하고 조직 전반에 효율적인 업무 환경을 제공하기 위한 ‘ITAM’이 기업들의 관심사로 떠오르고 있다. 실제로 기업들은 실효성 있는 ITAM의 필요성을 체감하고 있는 것으로 드러났다. 딜로이트의 2021 글로벌 ITAM 설문조사 결과에 의하면 전체 응답자의 84%는 기업에 효과적인 ITAM 전략이 없다고 말했다. ITAM은 IT 시스템 및 여타 자산 관리에 대한 ‘중앙화된 접근법’이라고 할 수 있다. 제대로 된 ITAM 전략은 비즈니스 곳곳에 산재한 여러 기술 자산을 효율적으로 관리할 수 있게 해준다. 새로운 개념은 아니다. 하지만 IT 자산의 가시성을 확보하기가 갈수록 어려워지면서 점차 중요하게 부상하고 있다. 가트너는 “IT 조직 전반에 걸쳐 확인하지 못하고 있는 것을 파악해, 혼란을 야기할 수 있는 부분에 대해 사전 계획 및 조치를 취하는 것이 매우 중요하다”라고 언급했다. ⓒ Getty Images Bank ‘ITAM(IT Asset Management)’이란 무엇인가? ITAM은 기업이 보유하고 있는 IT 시스템, 하드웨어, 소프트웨어, 프로세스, 데이터, 클라우드 인스턴스, 네트워크 등 다양한 IT 자원에 대한 관리, 감독뿐만 아니라 이를 최적화하기 위한 활동 및 전략이다. IT 부서는 ITAM 전략을 통해 IT 자산을 배포, 추적, 유지관리하는 한편 IT 자산에 최적화가 필요한지, 이를 더 저렴한 옵션으로 대체할 수 있는지 또는 최신 기술로 업그레이드가 필요한지 등을 평가할 수 있다. 가트너의 리서치 부문 이사 스테판 화이트는 비즈니스 활동을 지원하기 위해 디지털 정보를 생성, 수신 및 처리할 수 있는 대상으로 기술 자산을 정의한다고 밝혔다. 그는 “더 이상 자산의 소유권, 구독 상태, 위치 등은 중요하지 않다. 보다 중요한 것은 모든 자산이 기업이 수립한 ITAM의 기본 원칙과 베스트 프랙티스에 따라 통제되고 관리된다는 것이다”라고 설명했다. ITAM으로 누릴 수 있는 이점 ITAM은 기업의 IT 자산에 심층적인 인사이트를 제공한다. 이를 통해 IT 리더는 IT 자산 투자에 대한 ROI를 시각화하고, 이러한 자산 투자가 기업의 비즈니스 목표에 어떤 효과를 제공하는지에 대한 데이터를 다른 주요 이해관계자에게 제공할 수 있다. 또한 성공적인 ITAM 전략은 비즈니스 니즈와 현재 보유하고 있는 IT 자산 및 기술 요건 간의 격차를 파악하여 필요한 조치를 취할 수 있는 통찰력을 제공하기 때문에 조직 내의 모두가 같은 목표를 향해 나아갈 수 있도록 지원한다. 성공적인 ITAM 전략을 위해서는 무엇보다 기업이 조직 내의 모든 IT 자산을 신속하게 확인할 수 있는 IT 인벤토리가 필요하다. 여기에는 데이터센터에 있는 하드웨어 및 소프트웨어부터 직원들이 원격에서 사용하는 워크스테이션, 네트워크, 클라우드 기반 자원뿐만 아니라 직원들까지도 포함된다. ITAM의 주된 목표는 계약, 구매, 배포, 폐기 등을 모두 포함한 IT 라이프사이클 전반에 걸쳐 각종 자산 현황을 추적하고, 이를 통해 비용을 절감하며, IT 환경을 효율적으로 통제하는 것이다. 비용 절감, 소프트웨어 컴플라이언스 개선부터 거버넌스 위험 감소, 부서 간 커뮤니케이션 개선 등 다양한 효과가 있는 ITAM 접근법은 다음 링크에서 더욱 자세히 살펴볼 수 있다.