네트워크 / 보안

“네트워크 가시성 확보와 신속한 보안 조치 가능” 아일랜드 기업용 브라우저 사용 후기에 관한 인터뷰

Lucas Mearian | Computerworld 2022.02.08
지난 몇 년 동안 약 4,200명의 직원을 보유하고 있는 글로벌 특수 물질 및 화학 업체인 ASC(Ashland Specialty Chemicals)의 규모가 축소됐다. 물리적 데이터센터를 폐쇄하고 세일즈포스(Salesforce)와 워크데이(Workday) 등의 비즈니스 앱에 SaaS(Software as a Service) 전략을 추가로 도입했다. 이를 통해 ASC는 하이브리드 인력이 온라인으로 민감한 데이터에 액세스할 때 웹 트래픽도 안전하게 보호해야 했다.
 
ⓒ Getty Images Bank

ASC는 CASB(Cloud Access Security Brokers)와 SASE(Secure Access Service Edge)와 같은 보다 더 전통적이고 구축에 많은 비용이 드는 방화벽을 계속 사용하지만, 아일랜드(Island)라는 신생 업체의 기업용 브라우저를 테스트해왔다.

크로미움(Chromium) 기반 브라우저는 사용자가 온라인으로 액세스할 수 있는 대상을 통제하기 위해 다양한 세부 보안 역량을 제공한다. 관리자는 고급 보안 요구부터 복사, 붙여넣기, 다운로드, 업로드, 스크린샷, 임계 데이터를 노출할 수 있는 기타 활동 등 더욱 기본적인 데이터 유출 방지까지 모든 활동을 완벽하게 통제할 수 있다.

델라웨어에 위치한 애쉬랜드(Ashland) CISO 밥 슈터는 지난 6개월 동안 약 100명의 직원이 아일랜드 브라우저를 PC에 다운로드했고 4,000개의 라이선스를 구매했다. 슈터가 꼽은 브라우저 기반 보안의 가장 큰 장점은 데이터 입력 포인트 관리와 사용 편의성이다. 결국 슈터는 브라우저가 실행되면 보안 기능이 통합적으로 제공되기를 바라는 셈이다.

슈터와 진행한 인터뷰 내용은 다음과 같다.
 

아일랜드 브라우저를 시범 운영하게 된 계기는 무엇이었는가? 

“애쉬랜드는 약 5년 전에 데이터센터를 폐쇄했다. 갑작스럽게 훨씬 더 작은 기업으로서 SaaS를 많이 활용하는 것을 전략으로 삼았으며, 내부 개발을 줄이고 기업 고객이 소비할 수 있도록 신속하게 구매를 추진하고 있다. 이 점이 핵심이라고 생각한다. 그래서 애쉬랜드가 원하는 방향으로 작동하도록 애플리케이션에 강제성을 부여하는 것이 보안 활동의 일환이었다. 네트워킹 및 네트워크 흐름을 변경하며 가시성 확보, 즉 암호화를 풀기 위해 모든 방면으로 노력했다.”

“그래서 SaaS 업체는 포인트 암호화를 언급하고 있다. 포인트 암호화는 이들 업체에게 보안을 확보할 수 있어 좋지만, 우리는 아무것도 볼 수 없다는 점에서 매우 불리하게 작용한다.”

“하지만 포인트 암호화가 결국 보안을 우선시할 수 있는 기회였다. 우리는 항상 사용자를 애플리케이션에 연결하기 위해 노력했으며, 작업 방식에도 지속적으로 변화를 줬다. 이 점은 언제 어디서나 모든 장치 및 플랫폼을 허용하는 첫 번째 기회가 될 수 있다. 이를 위해 이들 데스크톱에 에이전트를 할당할 필요가 없다. 사용자는 이제 애쉬랜드의 네트워크 안에 있으며, 애쉬랜드가 직접 브라우저를 통제할 수 있기 때문이다.”
 

아일랜드 브라우저에 추가됐으면 하는 툴이 있는가?

“여전히 기회는 많다. 아일랜드 브라우저는 좋은 거버넌스와 데이터 프라이버시 툴로 시작됐다. 이들은 기본적인 핵심 요소이다. 우리는 이들 요소를 제대로 통합할 수 있는 방법을 모색하고 있다. 애쉬랜드는 대규모 탐지 기업이기 때문에 고급 위협 감지 기능이 필요하다. 이 기능이 어떻게 구현되는지 궁금하다. 우리는 사용자가 한 행위를 파악할 수 있기 때문에 더 이상 사용자가 무엇을 했는지를 추측할 필요가 없는 감지 플랫폼을 원한다. 아일랜드는 어디서나 이런 기능을 제공할 수 있을 것이라고 생각한다.”
 

아일랜드 이전에 존재했던 다른 네트워크 엣지 보안 기술은 무엇인가?

“우리도 타사처럼 모든 기술이 있었다. 그래서 좋은 CASB와 보안 엣지, SASE를 비롯해 다양한 핵심 기술을 보유하고 있었다. 하지만 이런 과정 전체가 트래픽 형성에 의해 이루어진다. 자연스러운 애플리케이션의 흐름을 바꾸고 원하는 곳에 배치되도록 한다. 또한, 암호화 및 검사 과정도 없으며 DLP(Data Loss Prevention)를 수행한 후 별도의 조치 없이 내버려 두면 된다.”

“나는 개인적으로 이 점이 마음에 든다. 번거로움을 줄이기 때문이다. 가시성을 확보하기 위해 애플리케이션 작동 방식을 계속 바꿀 필요가 없다.”

“따라서 보안을 입력 포인트, 사용자가 애플리케이션과 상호작용하는 방식에 삽입하기 때문에 별도로 관여할 필요가 없다. 이것이 바로 네트워크 기반 솔루션인 CASB의 일종이다. 네트워크를 통해 다른 사용자의 행위를 사전에 감지할 수 있다.”
 

아일랜드 기업용 브라우저의 주요 장점은 무엇인가?

“세일즈포스나 워크데이의 SaaS 애플리케이션을 보면 알 수 있듯이, 사용자가 외부에서 자신의 PC를 사용해 로그인할 수 없도록 방지하는 것은 매우 어려웠다. 이것이 바로 SaaS의 이점이다. 앱이 승인되면 아일랜드 브라우저를 통해서만 세일즈포스, 워크데이, 오피스 등을 사용할 수 있다. 따라서 우리는 이 브라우저를 통해 SaaS와 상호작용하는 사용자를 관리하게 된다.”

“이것이 롤아웃(Rollout)의 핵심이다. 그냥 배치만 하면 된다. 먼저 아일랜드의 기업용 브라우저 사용을 시작으로 더욱 민감한 독립 SaaS 애플리케이션을 사용하도록 강제하는 식으로 계속 확대할 수 있다. 결국에는 다른 브라우저가 필요 없는 수준에 이르게 된다.”
 

롤아웃 및 관리가 비교적 쉬운가?

“지금까지는 그렇다. 그래서 처음에 이런 질문을 받았을 때 웃음이 나왔다. 이제 브라우저는 어디서나 구매할 수 있을 정도로 매우 흔하다. 그 중에서도 아일랜드 브라우저는 크로미움 기반이며, 익숙한 경험에 기초하기 때문에 사용자가 거부감을 갖지 않는다. 사용자 기반으로 전환이 매우 쉽다. 우리는 이 브라우저를 1~2주 만에 롤아웃 했다.”

“현재 기업 내 모든 직원이 직면한 문제는 누가 책임을 지느냐이다. 기업은 네트워크와 방화벽의 많은 부분을 통합하고 있기 때문이다. 우리는 보안과 DLP를 브라우저와 결합하고 있다. 사용자는 브라우저에 대해 현재 책임자는 누구이며 보안 혹은 생산성 툴인지 여부에 관한 의문을 마음 속에 품고 있을지도 모른다. 또, 그런 툴이 아니라면 거부감을 갖지 않을 것이다. 외형이나 느낌 면에서 엣지나 크롬과 별반 다르지 않기 때문이다.
 

애쉬랜드에 가장 유용한 기능은 무엇이라고 생각하는가?

“현재로서는 애쉬랜드의 서드파티 위험을 심층적으로 분석하는 기능이다. 일부 신생 SaaS 업체가 등장했는데, 이들은 로그를 보여주거나 제공하지 않는다. 따라서 이 모든 정보를 초기에 출처에서 직접 확보하면 모든 것이 수월해진다. 새로운 비즈니스 프로젝트에서는 이전보다 훨씬 더 빨라진 속도를 경험할 수 있다고 답할 수 있다. 기업은 보안 조치를 기다릴 필요 없이 속도를 높일 수 있다. 거버넌스와 DLP를 수립하면 데이터 흐름이 확보된다. 아일랜드 브라우저를 사용하는데 별다른 문제가 없다면 바로 활성화해 사용하면 된다. 이처럼 빠른 속도는 우리가 높게 평가하는 아일랜드 브라우저의 장점 중 하나이다.”
 

어떻게 롤아웃 했는가?

“우리는 여전히 단계에 맞게 롤아웃을 진행하고 있다. 한 번에 모든 것을 진행할 필요는 없다. 포켓과 그룹을 선택하고 이에 천천히 적응하면서 롤아웃하는 것이 좋다.”
 

단계별로 진행한다는 것은 무슨 뜻인가?

“전통적인 CASB나 프록시, 방화벽의 경우, 환경 전체를 한 번에 도입해야 한다. 따라서 이를 활성화하고 모든 네트워크 트래픽을 구성하며, 제대로 작동하는지 확인하는 과정이 필요하다.

“하지만 이제 우리는 아일랜드 브라우저를 사용할 수 있다. 이 브라우저를 통해 세일즈포스나 워크데이 서비스를 사용할 수 있다면 매우 좋은 현상이다. 이제부터 아일랜드 브라우저만 사용한다고 해도 과언이 아니다.”
“따라서 기존 의사결정 과정은 그렇게 중요하지 않다. 굳이 해야 할 일을 꼽자면, 이번 주말에 아일랜드 브라우저를 사용해보고, 기업 내 다른 직원도 이 브라우저를 사용하도록 장려하는 것뿐이다."
 

차후 계획은 무엇인가? 더 많은 사용자에게 롤아웃하는 것인가?

“머지않아 그렇게 할 것이다. 승인된 애플리케이션을 더 많이 도입할 계획이다. 그러면 사용자는 기존 클라우드 서비스 유형에 대해 가시성을 확보할 수 있다. 즉, 통제하고 싶은 것과 그렇지 않은 것, 민감한 정보가 있는 것과 없는 것을 구별할 수 있다.”

“활용 사례의 시나리오를 고려하는 것이 그 다음에 해야 할 더욱 중요한 단계라고 생각한다. 그렇다면 BYOD(Bring Your Own Device)를 검토하거나 계약자에게 액세스 권한을 부여하는 방법에 관한 다른 시나리오를 생각해볼 수도 있다. 아일랜드 브라우저를 다운로드한 후 웹 인증을 사용해 게스트 VPN처럼 액세스할 수 있다. 앞으로 이런 사례를 늘려 나가는 것이 중요하다.”
 

현재 다른 네트워크 보안 조치도 유지하고 있는가? 

“지금은 그렇다. 여기서도 아일랜드 브라우저의 장점이 있다면, 다른 것에 영향을 주지 않는다는 것이다. 따라서 원하지 않음에도 무언가를 굳이 없앨 필요가 없다. 다만, 분명히 중복된 통제는 많을 것이다. 이 부분을 살펴보고 아일랜드가 사용자에게 본래 어떤 가치를 선사하는지가 아닌, 기존 툴이 지닌 가치를 파악해야 할 것이다. 여기서부터 기회가 오는 것이다. editor@itworld.co.kr

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.