2020.12.31

IDG 블로그ㅣ원격근무부터 제로트러스트까지… 2021년 ‘보안’ 전망

Ben Carr | IDG Connect
2020년은 ‘최고정보보안책임자(Chief Information Security Officer, CISO)’가 끊임없는 도전과 과제에 직면해야 했던 한 해였다. 2021년에는 CISO가 그 영향력을 더욱더 확대하는 동시에 위험과 보상을 모두 마주치게 되리라 전망한다. 

CISO의 역할이 바뀌고 있다. 점차 보안을 사일로처럼 취급하지 않게 되면서다. 기업들은 조직을 보호하기 위해 이 역할에 진정한 리더가 필요하다는 사실을 깨닫기 시작했다. 전례 없는 위기 속에서 CISO는 적절한 위험 허용치와 정책을 관리하는 동시에 비즈니스에 부합하는 많은 결정을 신속하게 내려야 했다. 

이러한 변화는 계속될 것으로 예상된다. CISO가 예산 압박, 새로운 위험, 새로운 워크 이코노미 등의 과제에 직면하게 될 내년에도 말이다.  CISO들은 2021년 어떤 성과를 거두게 될까? 어떤 부문에 관심을 기울여야 할까? 
 
ⓒ Getty Images Bank

예측 1. 팬데믹 이후 ‘정리(cleaning up)’는 기본으로 돌아가는 것을 의미한다
올 한 해 코로나19 사태에 대처하고자 고군분투했던 CISO들은 2021년 기본 작업을 두 배로 늘리고자 할 가능성이 크다. 악성코드(Malware)를 사전에 방지하기 위해서는 이른바 ‘보안 위생(security hygiene)’이 매우 중요하다는 점을 실감했기 때문이다. 적절한 보안 프로그램을 갖추지 않았던 CISO라면 위협을 스캔 및 조사하고, 우선순위를 정하며, 이를 무력화하는 방법을 다루는 워크플로우를 필요로 할 것이다. 

이 작업을 수행한다는 것은 정확한 자산 인벤토리 목록을 갖는다는 의미다. 이는 많은 기업이 코로나19 위기에 신속하게 대응하고자 했을 때 없었던 것이기도 했다. 정확하게 자산 인벤토리 목록을 작성하고, 최신 상태로 유지하는 것은 2021년의 핵심 업무가 될 것이다. 

이와 함께 레거시 기술 문제(예: 자산 관리)가 대두될 것으로 예상된다. ‘클라우드 퍼스트(Cloud first)’ 접근법이 대중화되면서, 이는 공급업체 모델의 변경사항에 반영될 것으로 보인다. 또한 코로나19 여파로 기업들은 예산을 줄이고, 현재 보유하고 있는 보안 프로그램의 효율성을 평가하고자 할 가능성이 크다. 이는 공급업체를 통합하는 가운데, 비용 이점을 누리면서 비즈니스와 정렬된 CISO 입지를 입증할 수 있는 영역이다. 

팬데믹에서 벗어나더라도 여전히 불확실성이 크고, 이에 따라 기업들은 불필요한 지출을 줄이려고 할 것이다. 이에 따라 기업들의 지갑이 빠르게 열릴 것 같지는 않을 전망이다. 내년에 기업들은 이미 가지고 있는 자산에 초점을 맞추길 원할 것이다. 

새로운 프로젝트를 추진하기는 어려울 수도 있지만 필수 생존 전략으로써 클라우드로의 전환은 계속될 것이다. 실제로 그렇지 않았던 기업들의 이동 속도가 빨라지고 있다.  

예측 2. 원격근무가 일상화된다
클라우드로 완전히 전환하지 않은 기업은 가시성을 확보하고 자산 및 공격 표면을 파악하는, 새롭고 비용 효율적인 방식에 대응해야 한다는 압박이 있을 것이다. 여기에 사무실로 복귀하지 않기로 결정하는 회사들도 보이고 있다. 더 다양하고, 더 이질적이며, 더 분산된 인력으로 향하는 이러한 추세는 사이버보안에 큰 영향을 미칠 것이다. 

봉쇄조치로 인한 재택근무 기간에 확인한 것처럼, 직원들은 모든 곳에서 보호를 필요로 한다. 여기에는 네트워크에 초점을 맞춘 보안, 위치에 상관없이 각 장치에 있는 네트워크 에이전트를 찾는 것 등이 포함된다. 

원격 호스트를 모니터링하는 것은 보안 위생에서 중요하다. 그 이유는 첫째, 이를 통해 자산 및 사용자의 다운타임을 최소화할 수 있기 때문이다. 둘째, 악성코드 및 APT 공격에 기업이 노출되는 것을 줄일 수 있다. 셋째, 이 모니터링은 컴플라이언스 및 위험 감사의 증거로 사용될 수 있다. 2021년, CISO들은 어디서나 보안을 확보하고자 모든 곳의 가시성을 고려해야 할 것이다. 

예측 3. 제로 트러스트가 2배 증가할 것이다
공급업체들이 두 배로 늘리고 있는 것처럼 보이는 기술이 있다면, 바로 제로 트러스트다. 이것은 데이터 분류의 우선순위를 정하고 조직 내 데이터 흐름을 이해하는 보안 프로그램 및 인프라를 실행하는 방법에 관한 모델을 설명한다. 그리고 이름에서 알 수 있듯이, 조직의 경계 내·외부를 신뢰하지 않고 기본적으로 모든 액세스를 차단하는 모델이다. 

과거에는 이를테면 밥이라는 사람이 신뢰할 수 있는 사무실 환경에 있고, 필요한 것에 액세스할 수 있다고 말했지만 그는 더 이상 사무실에 오지 않는다. 이에 따라 제로 트러스트가 더욱 인기를 끌고 있다. 

이제 밥은 집에서 일하거나, 카페에서 일할 수 있고, 콜로라도의 스키 리조트로 떠나 한 달간 머물며 그곳에서 일할 수도 있다. 이처럼 서로 다른 설정 하에서는 사용자를 식별하고 다른 일이 발생하기 전에 사용자 권한을 확인해야 한다. 

권한 부여와 관련해 CISO는 사용자 이름과 비밀번호뿐만 아니라 위치, 시간, 심지어는 속도와 같은 변수를 기반으로 인증을 고려해야 한다. 또 제로 트러스트가 성공적으로 작동하려면, CISO가 자신의 접근법과 지원 인력에 관해 신뢰를 가져야 할 것이다. 

보안 업체들은 이미 시장 기회와 가치를 파악하고, 이 분야에서 입지를 다투고 있다. 그렇다면 기업들은 이 모델에 따라 미리 계획을 세워야 한다는 결론을 빠르게 내릴 수 있을 것이다. 

예를 들면 기업은 특정 보안 요구사항을 처리하는 별도의 에이전트 10개를 장치에 배치하는 걸 원치 않을 가능성이 높다. 시스템 속도가 느려지고 생산성이 저하되기 때문이다. 여기에 예산 삭감까지 감안한다면, 기업들은 적은 비용으로 더 많은 작업을 수행하면서 가시성과 통제를 달성하고자 할 것이다. 

예측 4. 랜섬웨어가 계속해서 심각한 위협이 될 것이다
2020년의 가장 큰 사이버위협을 꼽으라면 단연 랜섬웨어였다. 안타깝게도, 이는 2021년에 더욱더 증가할 것으로 예상된다. 이는 주로 데이터를 금전적 수익 창출에 활용하는 ‘모네타이제이션(Monetization)’에 기인한다. 

코로나19 사태 동안 국가 및 주정부의 후원을 받는 APT(지능형 지속 위협) 그룹과 범죄 조직 등이 상당한 금전적 수익을 거뒀다. 특히, 랜섬웨어는 의료 부문을 계속해서 주요 공격대상으로 삼을 가능성이 높다. 생명과 연관되는 분야이므로 랜섬웨어가 요구하는 몸값을 지불할 확률이 크다고 보기 때문이다.  

이와 관련해 미국 재무부 산하 해외자산통제국(OFAC)은 랜섬웨어 감염으로 복호화 비용을 지불하기 전에 OFAC의 승인을 받아야 한다는 내용의 지침을 지난 10월 1일 발표했다.

이는 복호화 비용, 이른바 몸값을 지불하는 것을 단속하기 위한 지침으로, OFAC는 특별제재대상(SDN List) 및 거래금지대상(Blocked Persons List) 명단에 올라있거나 금수조치가 적용된 국가 및 지역의 개인이나 단체의 거래에 응해선 안 되며, 간접적으로라도 응한다면 민사상 책임을 물을 수 있다고 밝혔다. 

필자는 내년에 이를 준수하지 않아 발생할 세간의 이목을 끄는 사례들을 보게 되리라 예상한다. 이에 따라 CISO는 한층 개선된 자산 가시성과 함께 데이터에 관한 깊이 있는 비즈니스 연속성 계획을 통해 랜섬웨어 공격에 대비해야 한다. 백업과 복구 계획 및 절차를 다시 검토하는 것도 좋은 생각이다. 

2020년에는 통제할 수 없는 사건들이 너무 많았다. 하지만 적절한 보안 프로그램을 갖추고 있었던 CISO들은 비교적 쉽게 원격인력으로 전환했다. 그렇지 않았던 CISO들은 올 한 해 어려움을 겪어야만 했다. 내년에는 말 그대로 이러한 프로젝트들이 어떻게 진행됐는지를 살펴볼 기회가 제공될 것이다. 

보안에 영향을 미칠 비즈니스 과제가 2021년에도 잇따라 대거 등장할 것이다. 자산 가시성 확보, 보안 위생, 효과적인 솔루션 통합 등 기본의 중요성에 다시 집중하면서 CISO는 기업이 위기를 극복할 수 있도록 지원할 것이다. 

* Ben Carr는 美 클라우드 보안 회사 퀄리스(Qualys)의 최고정보보안책임자(Chief Information Security Officer)다. ciokr@idg.co.kr


2020.12.31

IDG 블로그ㅣ원격근무부터 제로트러스트까지… 2021년 ‘보안’ 전망

Ben Carr | IDG Connect
2020년은 ‘최고정보보안책임자(Chief Information Security Officer, CISO)’가 끊임없는 도전과 과제에 직면해야 했던 한 해였다. 2021년에는 CISO가 그 영향력을 더욱더 확대하는 동시에 위험과 보상을 모두 마주치게 되리라 전망한다. 

CISO의 역할이 바뀌고 있다. 점차 보안을 사일로처럼 취급하지 않게 되면서다. 기업들은 조직을 보호하기 위해 이 역할에 진정한 리더가 필요하다는 사실을 깨닫기 시작했다. 전례 없는 위기 속에서 CISO는 적절한 위험 허용치와 정책을 관리하는 동시에 비즈니스에 부합하는 많은 결정을 신속하게 내려야 했다. 

이러한 변화는 계속될 것으로 예상된다. CISO가 예산 압박, 새로운 위험, 새로운 워크 이코노미 등의 과제에 직면하게 될 내년에도 말이다.  CISO들은 2021년 어떤 성과를 거두게 될까? 어떤 부문에 관심을 기울여야 할까? 
 
ⓒ Getty Images Bank

예측 1. 팬데믹 이후 ‘정리(cleaning up)’는 기본으로 돌아가는 것을 의미한다
올 한 해 코로나19 사태에 대처하고자 고군분투했던 CISO들은 2021년 기본 작업을 두 배로 늘리고자 할 가능성이 크다. 악성코드(Malware)를 사전에 방지하기 위해서는 이른바 ‘보안 위생(security hygiene)’이 매우 중요하다는 점을 실감했기 때문이다. 적절한 보안 프로그램을 갖추지 않았던 CISO라면 위협을 스캔 및 조사하고, 우선순위를 정하며, 이를 무력화하는 방법을 다루는 워크플로우를 필요로 할 것이다. 

이 작업을 수행한다는 것은 정확한 자산 인벤토리 목록을 갖는다는 의미다. 이는 많은 기업이 코로나19 위기에 신속하게 대응하고자 했을 때 없었던 것이기도 했다. 정확하게 자산 인벤토리 목록을 작성하고, 최신 상태로 유지하는 것은 2021년의 핵심 업무가 될 것이다. 

이와 함께 레거시 기술 문제(예: 자산 관리)가 대두될 것으로 예상된다. ‘클라우드 퍼스트(Cloud first)’ 접근법이 대중화되면서, 이는 공급업체 모델의 변경사항에 반영될 것으로 보인다. 또한 코로나19 여파로 기업들은 예산을 줄이고, 현재 보유하고 있는 보안 프로그램의 효율성을 평가하고자 할 가능성이 크다. 이는 공급업체를 통합하는 가운데, 비용 이점을 누리면서 비즈니스와 정렬된 CISO 입지를 입증할 수 있는 영역이다. 

팬데믹에서 벗어나더라도 여전히 불확실성이 크고, 이에 따라 기업들은 불필요한 지출을 줄이려고 할 것이다. 이에 따라 기업들의 지갑이 빠르게 열릴 것 같지는 않을 전망이다. 내년에 기업들은 이미 가지고 있는 자산에 초점을 맞추길 원할 것이다. 

새로운 프로젝트를 추진하기는 어려울 수도 있지만 필수 생존 전략으로써 클라우드로의 전환은 계속될 것이다. 실제로 그렇지 않았던 기업들의 이동 속도가 빨라지고 있다.  

예측 2. 원격근무가 일상화된다
클라우드로 완전히 전환하지 않은 기업은 가시성을 확보하고 자산 및 공격 표면을 파악하는, 새롭고 비용 효율적인 방식에 대응해야 한다는 압박이 있을 것이다. 여기에 사무실로 복귀하지 않기로 결정하는 회사들도 보이고 있다. 더 다양하고, 더 이질적이며, 더 분산된 인력으로 향하는 이러한 추세는 사이버보안에 큰 영향을 미칠 것이다. 

봉쇄조치로 인한 재택근무 기간에 확인한 것처럼, 직원들은 모든 곳에서 보호를 필요로 한다. 여기에는 네트워크에 초점을 맞춘 보안, 위치에 상관없이 각 장치에 있는 네트워크 에이전트를 찾는 것 등이 포함된다. 

원격 호스트를 모니터링하는 것은 보안 위생에서 중요하다. 그 이유는 첫째, 이를 통해 자산 및 사용자의 다운타임을 최소화할 수 있기 때문이다. 둘째, 악성코드 및 APT 공격에 기업이 노출되는 것을 줄일 수 있다. 셋째, 이 모니터링은 컴플라이언스 및 위험 감사의 증거로 사용될 수 있다. 2021년, CISO들은 어디서나 보안을 확보하고자 모든 곳의 가시성을 고려해야 할 것이다. 

예측 3. 제로 트러스트가 2배 증가할 것이다
공급업체들이 두 배로 늘리고 있는 것처럼 보이는 기술이 있다면, 바로 제로 트러스트다. 이것은 데이터 분류의 우선순위를 정하고 조직 내 데이터 흐름을 이해하는 보안 프로그램 및 인프라를 실행하는 방법에 관한 모델을 설명한다. 그리고 이름에서 알 수 있듯이, 조직의 경계 내·외부를 신뢰하지 않고 기본적으로 모든 액세스를 차단하는 모델이다. 

과거에는 이를테면 밥이라는 사람이 신뢰할 수 있는 사무실 환경에 있고, 필요한 것에 액세스할 수 있다고 말했지만 그는 더 이상 사무실에 오지 않는다. 이에 따라 제로 트러스트가 더욱 인기를 끌고 있다. 

이제 밥은 집에서 일하거나, 카페에서 일할 수 있고, 콜로라도의 스키 리조트로 떠나 한 달간 머물며 그곳에서 일할 수도 있다. 이처럼 서로 다른 설정 하에서는 사용자를 식별하고 다른 일이 발생하기 전에 사용자 권한을 확인해야 한다. 

권한 부여와 관련해 CISO는 사용자 이름과 비밀번호뿐만 아니라 위치, 시간, 심지어는 속도와 같은 변수를 기반으로 인증을 고려해야 한다. 또 제로 트러스트가 성공적으로 작동하려면, CISO가 자신의 접근법과 지원 인력에 관해 신뢰를 가져야 할 것이다. 

보안 업체들은 이미 시장 기회와 가치를 파악하고, 이 분야에서 입지를 다투고 있다. 그렇다면 기업들은 이 모델에 따라 미리 계획을 세워야 한다는 결론을 빠르게 내릴 수 있을 것이다. 

예를 들면 기업은 특정 보안 요구사항을 처리하는 별도의 에이전트 10개를 장치에 배치하는 걸 원치 않을 가능성이 높다. 시스템 속도가 느려지고 생산성이 저하되기 때문이다. 여기에 예산 삭감까지 감안한다면, 기업들은 적은 비용으로 더 많은 작업을 수행하면서 가시성과 통제를 달성하고자 할 것이다. 

예측 4. 랜섬웨어가 계속해서 심각한 위협이 될 것이다
2020년의 가장 큰 사이버위협을 꼽으라면 단연 랜섬웨어였다. 안타깝게도, 이는 2021년에 더욱더 증가할 것으로 예상된다. 이는 주로 데이터를 금전적 수익 창출에 활용하는 ‘모네타이제이션(Monetization)’에 기인한다. 

코로나19 사태 동안 국가 및 주정부의 후원을 받는 APT(지능형 지속 위협) 그룹과 범죄 조직 등이 상당한 금전적 수익을 거뒀다. 특히, 랜섬웨어는 의료 부문을 계속해서 주요 공격대상으로 삼을 가능성이 높다. 생명과 연관되는 분야이므로 랜섬웨어가 요구하는 몸값을 지불할 확률이 크다고 보기 때문이다.  

이와 관련해 미국 재무부 산하 해외자산통제국(OFAC)은 랜섬웨어 감염으로 복호화 비용을 지불하기 전에 OFAC의 승인을 받아야 한다는 내용의 지침을 지난 10월 1일 발표했다.

이는 복호화 비용, 이른바 몸값을 지불하는 것을 단속하기 위한 지침으로, OFAC는 특별제재대상(SDN List) 및 거래금지대상(Blocked Persons List) 명단에 올라있거나 금수조치가 적용된 국가 및 지역의 개인이나 단체의 거래에 응해선 안 되며, 간접적으로라도 응한다면 민사상 책임을 물을 수 있다고 밝혔다. 

필자는 내년에 이를 준수하지 않아 발생할 세간의 이목을 끄는 사례들을 보게 되리라 예상한다. 이에 따라 CISO는 한층 개선된 자산 가시성과 함께 데이터에 관한 깊이 있는 비즈니스 연속성 계획을 통해 랜섬웨어 공격에 대비해야 한다. 백업과 복구 계획 및 절차를 다시 검토하는 것도 좋은 생각이다. 

2020년에는 통제할 수 없는 사건들이 너무 많았다. 하지만 적절한 보안 프로그램을 갖추고 있었던 CISO들은 비교적 쉽게 원격인력으로 전환했다. 그렇지 않았던 CISO들은 올 한 해 어려움을 겪어야만 했다. 내년에는 말 그대로 이러한 프로젝트들이 어떻게 진행됐는지를 살펴볼 기회가 제공될 것이다. 

보안에 영향을 미칠 비즈니스 과제가 2021년에도 잇따라 대거 등장할 것이다. 자산 가시성 확보, 보안 위생, 효과적인 솔루션 통합 등 기본의 중요성에 다시 집중하면서 CISO는 기업이 위기를 극복할 수 있도록 지원할 것이다. 

* Ben Carr는 美 클라우드 보안 회사 퀄리스(Qualys)의 최고정보보안책임자(Chief Information Security Officer)다. ciokr@idg.co.kr


X