Offcanvas
Some text as placeholder. In real life you can have the elements you have chosen. Like, text, images, lists, etc.
Offcanvas
1111Some text as placeholder. In real life you can have the elements you have chosen. Like, text, images, lists, etc.

보안

Workday의 단일 보안 모델

Workday의 특별한 보안 접근 방식이 고객에게 향상된 안전성과 기능을 제공하는 방법을 본 비디오를 통해 확인하십시오. <4분 17초> 주요 내용 - Power of One - 단순성 유지 - 외부 평가 - Workday의 약속

보안 워크데이 2019.09.30

"보안을 실제 금액으로 정량화하라" 보안의 가치를 입증하는 3가지 전략

보안 책임자 리카르도 곤잘레스는 IT 보안을 비용 센터로 보지 않는다. 대신 곤잘레스는 “보안은 기업 위험 상쇄를 위한 전략적 투자와 비즈니스 가치 실현에 긍정적인 기여"라고 설명했다.   이는 전체 경영 이사진들이 생각해야 할 것이다. 하지만 이제 겨우 CISO와 보안팀의 임무가 경영진들에게 전파되고 있는 시점이다.      실제 국제 보험업체 취리히 스페인(Zurich Spain)의 운영 위험 및 제어 책임자이자 비즈니스 탄력성 관리자인 리카르도 곤잘레스는 더 많은 CISO가 자신의 생각을 공유해 보안 가치를 정량화하려고 노력하고 있다고 말했다. 곤잘레스는 "CISO는 자신의 기여도를 측정하는 것에 점점 더 관심을 기울이고 있다”고 말했다.  중요하고 가치있는 생각이지만, 많은 CISO가 보안이 제공하는 것을 재무적인 관점에서 표현하는 방법에 대해 어려움을 겪고 있다. 그러나 전문가들은 해야 하는 일이라고 말한다.  곤잘레스는 “영업, 생산, 조달, IT 부서의 경우는 비즈니스 가치를 증명하는 것이 훨씬 쉬울 수 있다. 그러나 규정 준수, 위험 관리, 또는 정보 보안과 같은 기능의 가치를 입증하는 것은 훨씬 어려울 수 있기 때문에 이를 만드는 것이 중요하다”면서, “보안 전문가들은 일반적으로 비즈니스 비용의 일부로써 단순히 “필수”라고 생각하는 유혹에 빠질 수 있다”고 설명했다.  곤잘레스는 "하지만 이는 실수다. 가능한 한 최소한의 비용으로 비즈니스 목표와 최고 수익을 효과적으로 달성하는 것을 도와야 한다. 아무도 기여도를 측정하지 않는다면 스스로 이를 어떻게 입증할 것인지를 고려해야 한다"고 조언했다.    이는 CISO의 새로운 영역이다. 지금까지는 구현된 패치 수 또는 서비스 거부 공격 방어와 같은 전술적 개선을 측정하는데 중점을 뒀다. 보안 투자에 대한 투자 수익을 계산하는 것은 매우 어렵기 때문에 상당한 난제일 수 있다. 결국 나쁜 상황이 발생하지...

보안 CISO 보안가치 2019.09.18

“공공 부문 경계 보안 강화로 생체 인식 시장 성장 기회 증대” 프로스트 앤드 설리번 발표

APAC 지역 국가 정부들이 신분증이나 전자여권 등 신원 확인용 생체인식 기술에 많은 투자를 하고 있는 것으로 나타났다. 프로스트 앤드 설리번은 공공분야에 생체인식 기술이 활용되면서 안면 인식 기술과 감시 카메라 설치가 크게 늘어 2018년 53억9,000만 달러를 기록했던 APAC 생체인식 시장이 2025년이면 211억9,000만 달러에 달할 것으로 전망된다고 밝혔다. 2018년 APAC 생체인식 시장 전체 매출에 공공용 생체인식 부문이 79.4%, 상업용 생체인식 부문이 나머지 20.4%를 차지했다. 이 두 부문에서 가장 큰 비중을 차지한 기술이 지문 인식으로, 공공용 부문에서 25억달러, 상업용 부문에서는 7억110만 달러의 매출을 기록했다. 프로스트 앤드 설리번 한국 지사 박세준 대표는 “모바일 기기 사용이 급증하고 모바일 트랜잭션 수용범위 폭이 확대되면서 기기 제조업체들이 모바일 기기에 생체 인식 기능을 통합하기 위한 설계 변경에 나설 것”이라며, “이에 기술 및 솔루션 제공업체들은 모바일 생체인식 부문에서 상당한 기회를 찾을 수 있을 것이며, 금융기관과 결제 플랫폼 제공업체, 생체인식 기술 제공 업체간의 전략적 파트너십이 생체인식 결제 플랫폼 영역과 활용 확장에 도움이 될 것”이라고 말했다. 프로스트 앤드 설리번 한국 지사가 최근 발표한 ‘2025 APAC 생체인식 시장 분석 보고서(Asia-Pacific Biometrics Market, Forecast to 2025)’는 공공 및 상업부문 전반의 생체인식 기술 시장을 조사했다. 수요가 높은 수직 시장을 조사해 어떠한 성장 기회들이 있는지에 대해 분석했다.  그뿐만 아니라 신흥 시장 소개와 한국과 중국 일본 호주-뉴질랜드 인도 싱가포르 말레이시아 인도네시아 필리핀 대만 태국 등 APAC 지역의 기술 동향을 조사했다. 박세준 대표는 “신분 도용과 사이버 범죄가 크게 늘어나 다중인증 및 멀티모달 기술 시스템 도입에 박차를 가하고 있다”며, “더욱이 산업 및 정부 부처에 사물...

생체인식 보안 프로스트 앤드 설리번 2019.09.11

'독이 되는' 기업의 보안 문화 5가지와 해결법

한 회사에서 기업 문화가 조직의 심장이자 영혼이라면 보안 문화는 회사 내 어디에나 존재하는 수호자다. 실제로 기업에서 보안 문화는 실행 정책과 절차 그 이상의 의미가 있다. 직원의 일상생활에 보안 인식과 행동이 자리 잡을 수 있도록 영향을 미치고 인도하는 일종의 '사회적' 운영체제라고 할 수 있다.   보안 팀 내부에서나 타 부서와의 관계에서 보안 문화가 무너지기 시작하면 사이버 업무 기강이 해이해지고 냉소주의와 책임 회피가 지배하는 환경이 만들어진다. 업계 리더가 말하는 불건전한 보안 문화의 5가지 특징과 기업이 원하는 보안 문화 구축 방법을 살펴보자. 불건전한 보안 문화의 5가지 특징 1. 책임 전가에 바쁘다 이번 가을에 발간 예정인 ISACA의 연례 사이버 보안 문화보고서 작성 과정에 참가했던 ISACA 이사장 겸 전 의장 롭 클라이드는 불건전한 환경에서는, 중대한 사건이 발생하면 그 즉시 누구 책임인지를 밝히는 것에 집착하는 특징이 있다고 지적했다. 기업 차원에서 희생양, 즉, 해고 대상을 찾는 것이다. 그는 “경영진의 평균 재임 기간이 3년이 채 안 된다면 문제가 있는 것이다”라고 말했다. 노미넷(Nominet)이 CISO 408명을 대상으로 실시한 2019년도 설문조사를 보면 CISO의 평균 재임 기간은 3년 미만이다. 2년 미만이라고 밝힌 응답자도 3분의 1에 가까운 30%였다. 클라이드는 “자칫하면 물갈이가 계속되는 기업이 될 수 있다”라고 말했다. 2. 냉소주의가 커진다 W리스크 그룹의 CEO이자 IT 전문직 여성을 위한 모조 메이커(MOJO Maker)의 창업자 캐런 워스텔은 불건전한 행동 중 가장 쉽게 눈에 띄는 것은 냉소주의라고 지적했다. 그는 “사람들이 경영진이나 인생에 대해 냉소적인 이야기를 하는 것이 들린다면 전반적인 적신호라고 봐야 한다. 압박감과 고충이 있다는 신호이자 책임져야 할 결과를 좌지우지할 힘이 없어 무력감을 느끼고 있다는 신호이기 때문이다. 그런 상황을 감당하고 방지할 방법이 없으면 사람의 관점은 부정...

기업문화 보안 2019.09.05

글로벌 칼럼 | '머신러닝 기반의 자율 보안', 설득이 되지 않는 이유

아주 스마트한 최신 머신러닝을 사용해 알려진, 알려지지 않은 침입 위험을 제거하는 새로운 첨단 네트워크 침입 탐지 장치에 대해 들어봤을 것이다. 네트워크의 정상 동작 및 비정상 동작에 대해 학습해, 비정상 동작을 확인하면 즉시 알려줄 정도로 IDS(Intrusion Detection System)는 확실히 스마트해졌다.  또한 모든 악성 트래픽을 차단하는 침입 방지 시스템(Intrusion Prevention System, IPS)에 대해서도 들어봤을 것이다. 이런 AI 기반 솔루션은 99%의 정확도로 공격을 탐지한다고 주장한다. 심지어 기존에 알려지지 않았던 공격도 탐지할 수 있다고 강조한다.  대단히 놀라운 주장이다. 그리고 멋진 '마케팅 홍보’다. 그러나 정말 그럴까? 필자는 이런 주장에 설득되지 않는다. 2가지 중요한 이유 때문이다. 1. 앞서 언급한 마케팅 주장은 공격 탐지와 침입 탐지를 혼동하고 있다. 공격에는 성공 못해도, 침입에는 성공할 수 있다. 5개의 새로운 공격을 탐지했다고 가정하자. 그러나 단 1개가 진짜 침입이다. 4개의 실패한 공격이 아닌, 1개의 성공한 침입에 초점을 맞추고 싶지 않은가? 2. 머신러닝으로 강화된 보안이 견고하지 않을 수도 있다. 공급업체에 해당되는 경우가 많은 1개 데이터 세트에는 잘 작동하지만, 사용자의 진짜 네트워크에는 효과가 없다는 의미다. 간단히 말해, 공격자는 탐지 회피를 중시한다. 그런데 머신러닝 관련 조사 결과에 따르면, 탐지를 회피하는 것이 어렵지 않은 경우가 많다. 머신러닝 알고리즘은 일반적으로 활성 공격자를 이기려는데 목적을 두고 있지 않다. 사실 공격자 관련 머신러닝 분야는 학술 연구조차 아직 '유년기’이다. 머신러닝 기술이 적용된 실제 제품은 두 말할 나위 없다. 오해는 하지말기 바란다. 멋진 연구, 훌륭한 연구원이 많다. 그러나 완전한 ‘자율 보안’에 대한 준비가 되었다고 생각하지 않는다. 자율 보안(autonomous security)은 머신이 탐지, 대응, 방어...

IPS ML IDS 2019.09.04

IDG 블로그 | 사이버보안 사고 대응 전문가가 필요한 이유

수만 개의 기업과 조직, 도시가 랜섬웨어에 의해 잔인하게 다운되고 있다. 일부 피해는 상대적으로 잘 대응해 하루 혹은 3일 안에 복구한다. 그러나 일부는 수 주 동안 다운되고 때로는 다시 피해를 보기도 한다. 이처럼 신속한 복구와 만성적인 문제의 차이는 '누구에게 도움을 요청하는지'에 달려 있다.   필자는 최근 게임 부문 최고 전문가와 대화를 나누었다. 뮬런 콜린(Mullen Coughlin, LLC)의 파트너 존 F. 뮬런이다. 그는 직업상 수천 건의 사이버보안 사건 대응에 참여했다. 그의 기업은 지난해 1,200건을 처리했다. 많은 이가 뮬런 콜린에 대해 들어본 적이 없을 것이다. 필자도 한 도시의 CISO로 근무하는 친구와 대화를 나누기 전까지는 몰랐다. 사이버보안 사건이 있고 사이버 보험에 가입했고 보험사에 기술적인 사이버보안 사건 대응을 처리할 전문가가 없다면 보험사는 허리케인이 지나간 후에 배의 구멍을 때우는 수준밖에 되지 않는다. 보험사는 보험 및 보험 인수를 수행한다. 청구가 이루어지고 피해가 결정되면 끝이다. 전문적인 사건 대응 업체를 이용하는 이유 존은 사이버보안 사고 후 뮬런 콜린 같은 기업을 이용해야 하는 이유로 3가지를 제시했다. 우선 경험이 있다. 뮬런에 전화하는 기업이 이미 사건 대응을 진행하고 있지만 알고 있는 지역 IT 기업을 이용하는 경우가 많다. 그것도 상관없지만 현지 기업은 일반적으로 뮬런 콜린이 이용할 수 있는 포렌식팀과 같은 경험이 없다. 존은 "우리는 전문가다. 많은 경우 기업이 해킹을 당한 이유는 패치 누락이나 잘못된 구성 설정 등 지역 IT 서비스의 조언에 따랐기 때문이었다"라고 말했다. 둘째, 존의 팀은 모두 변호사다. 그들이 고객을 대신해 논의하고 하는 모든 것이 면책된다. 즉, "그들이 논의하는 모든 것은 다른 사람과 공유될 가능성이 작다"는 의미다. 존이 고용하는 모든 이들이 면책 소통을 적용받는다. 지역 IT 기업은 이를 제공할 수 없다. 셋째로 가장 중요한 것은 존과 보험사가 이미 고객...

사고대응 보안 해킹 2019.09.04

'IoT 시대' 데이터 프라이버시 위험을 줄이는 4단계

지난 2008년 버니 메이도프는 800억 달러 규모의 폰지(Ponzi, 다단계) 사기를 인정했다. 그러나 이 엄청난 사기 사건은 많은 투자자에게 '충분한 의심'을 심어주지 못했다. 이후에도 은퇴자 여러 명을 포함한 많은 폰지 사기 희생자가 이 위험 신호를 간과해 의심 없이 범죄에 노출됐고 재정적으로 큰 손해를 입었다. 손실액 대부분을 되찾지 못했다.   폰지 사기는 아니지만 사물인터넷(IoT) 기기도 정보 보안과 데이터 프라이버시 측면에서 일정 정도 의심이 필요해 보인다. 기업 내부에 이 기술을 적용한 소형 기기를 설치하는 것은 위험 관리 영역에 포함되지 않을 것 같지만, 허술하게 설정된 IoT 기기는 결국 범죄자가 기업을 제멋대로 드나드는 출입문이 될 수 있다. 연결된(스마트) 기기는 비즈니스 프로세스와 산업용 시스템에서 자신만의 방식으로 업무를 처리한다. 이러한 IoT 기기가 급속히 확산하면서 기업이 공격받을 수 있는 요소가 전례 없이 늘어나게 됐고, 이는 고스란히 기업 보안 팀의 어려움으로 이어졌다. 특히 프라이버시 규제 준수와 보안 취약점 관리 측면에서 상황이 심각해졌다. IoT 위험 이해하기 기술은 언제나 기업 운영 방식의 변화를 주도해 왔다. 이러한 기술의 효과를 표현할 때는 으레 '파괴적인(disruptive)'이라는 말이 쓰이곤 했다. 그러나 이미 기업 현장에서 사용되는 IoT 기기의 수가 휴대폰과 태블릿을 빼고도 약 70억 개에 달한다. IoT 애널리틱스(IoT Analytics)는 2025년에는 210억 개에 달할 것으로 전망하고 이러한 IoT 시대로의 전환은 사전적 의미로 '파괴적인' 상황일 수도 있다고 분석했다. 이처럼 방대한 IoT 기기의 기업 운영 환경에 통합에 따른 위험을 상상하는 데는 2025년까지 기다릴 필요도 없다. 최근 포네몬 인스티튜트(Ponemon Institute)의 IoT 위험 분석 결과를 보면, 보안이 취약한 IoT 기기로 인한 데이터 유출이 2017년 이후 15%에서 26%로 증가했다. 더 심각한 ...

보안 IOT 사물인터넷 2019.09.03

데이터 침해로 인한 비용, "어느 정도일까"

데이터 침해와 보안 사고로 인한 비용이 갈수록 커지고 있다.   최근 캐나다 대출업체 데스자딘스 그룹(Desjardins Group)은 올해 초 290만 명의 회원 개인 정보가 유출된 침해 사고로 인해 7,000만 캐나다 달러(약 642억 원)의 비용이 발생했다고 밝혔다. 제조업체 노스크 하이드로(Norsk Hydro)는 심각한 사이버 공격으로 인한 최종 비용이 최대 7,500만 달러(약 908억 원)에 이를 수 있다고 발표했으며, 브리티시 에어웨이(British Airways)와 매리어트(Marriott)는 GDPR 관련 문제로 인해 각각 1억 달러(약 1,200억 원)를 추가로 지출해야 했다. 이런 사례는 사고 중에서도 규모가 가장 큰 극단적인 사례에 해당하지만 데이터 침해로 인한 금전적 손실은 기업의 형태 및 규모와 관계없이 해마다 증가하고 있다. IBM과 포네몬 연구소(Ponemon Institute)는 최근 보고서에서 데이터 침해에 따른 평균 비용이 392만 달러(약 47억 5,000만 원)로 늘어났다고 전했다. 이 보고서에 따르면, 이 비용은 2018년에 1.6% 증가했으며 지난 5년 사이 12% 늘었다. 여기에는 침해에 대처하기 위한 시간 및 노동과 관련된 직간접 비용, 평판 하락에 따른 고객 이탈과 같은 기회 손실, 벌금이 모두 포함된다. 갈수록 커지는 데이터 침해 규모와 비용 전세계 조직의 약 30%가 향후 24개월 이내에 최소 한 번의 침해를 경험할 가능성이 높다. 미국에 소재한 조직의 침해 비용이 가장 높아서 침해당 평균 819만 달러(약 99억 원)에 이른다. 특히 침해 통지와 관련해서 주마다 다른 복잡한 규제 환경도 이러한 높은 비용의 원인 중 하나다. 영국의 경우 전세계 평균보다 약간 낮은 388만 달러(약 47억 원)다(한국의 경우 2019년 기업들이 2018년에 비해 13.3% 증가한 35억 5,300만 원의 데이터 침해 비용을 지출했다.(2018년: 31억 1,000만 원). 편집자 주). 침해된 레코드 수를...

비용 보안 데이터침해 2019.09.02

"이유없는 해킹을 방어하라"··· '캐피털원' 보안사고가 남긴 숙제

소프트웨어 엔지니어인 페이지 톰슨이 지난 7월 말 체포됐다. 대형 금융사인 캐피털 원(Capital One)에서 신용카드를 발급받은 1억 명 이상의 개인 데이터가 담긴 클라우드 서버를 해킹한 혐의였다.   체포 당시 톰슨은 네트크레이브 커뮤니케이션즈(Netcrave Communications)라는 호스팅 업체를 운영하고 있었다. 2015~2016년에 아마존 웹 서비스에서 근무한 것을 비롯해 엔지니어링 경력을 갖고 있었다. AWS에서 일하는 동안 캐피털 원의 AWS 서버에 있는 신청서 방화벽의 취약점을 악용할 기술을 습득한 것으로 추정된다. 톰슨이 1억 명의 고객 기록, 14만 명의 사회보장 번호, 8만 명의 은행 관련 정보를 빼낸 것은 그의 많은 해킹 가운데 일부일 뿐이었다. 연방 검찰은 구속 영장을 신청하면서 그가 기업과 교육기관을 포함한 30개 이상의 다른 기업을 해킹했다고 설명했다. 월스트리트저널이 입수한 톰슨의 온라인 게시물에 따르면, 포드자동차, 유니크레디트(이탈리아 최대 은행), 미시간 주립대 등이 해킹 목표에 포함된 것으로 보인다. 톰슨의 해킹은 지난 10년 간 주요 해킹 사례와 차이가 있다. 해킹 동기가 정치적, 재정적 혹은 국가적인 목표가 아니었기 때문이다. 그의 행동은 다른 주요 유출 사고나 데이터 도난과도 구별된다. 대부분의 '블랙 햇' 해커와 달리 그는 이러한 악의적인 활동에 자신이 관여했을 뿐만 아니라 특별히 캐피털 원을 노렸다는 증거를 공개적으로 광범위하게 남겼기 때문이다. 예를 들어 지난 6월 18일 그는 자신의 트위터 계정에 "폭탄 조끼를 칭칭 감고서 빌어먹을 캐피털 원의 문서를 노릴 것이다"라고 적었다(이 글은 지금은 삭제됐다). 7월 5일에는 "나는 세계로부터의 비자발적인 구속을 보장할 수 있는 모든 것을 가지고 있다. 무시해버리거나 ‘희망의 전화’와 같은 위기 대응 상담소에 털어버릴 수 없는 그런 부류들 말이다. 나는 다시는 돌아오지 않을 것이다"라고 썼다. 톰슨의 이와 같은 '지나친' 정보 노출은 트위터에...

보안 캐피털원 해킹 2019.08.30

"보안 신뢰성을 확보하라" 4차산업혁명위원회 김승주 교수, 제5회 시큐리티 월드 성료

"장애없는 초연결 사회 실현을 위해 신뢰성(Trustworthiness)을 확보하라."  4차산업혁명위원회 위원이자 고려대학교 김승주 교수는 한국IDG가 개최하고 300여 명의 보안 관계자들이 참석한 제 5회 시큐리티 월드 컨퍼런스 기조연설에서 '4차산업혁명 시대의 보안 패러다임의 변화'에 대해 설파했다.  김승주 교수는 "세상은 전세계 인구의 52%인 41억 명이 인터넷을 사용하고 인터넷과 연결된 기기의 수가 403억 개로 증가하는 초연결 사회로 진화한다. 4차산업혁명시대에서 디지털 시스템에 대한 해킹이나 장애는 국가적으로 매우 중차대한 일이기 때문에 정보보호에서 사이버보안/사이버안보로 패러다임이 변화한다"고 말했다. 문제는 기존의 여러 보안 대책들이 더이상 통용되지 않는다는 것이다.    김승주 교수는 "우리나라는 그동안 신뢰성보다 주로 보안성만을 위주로 하는 정책을 수립하고 시행해왔다"면서 "4차산업혁명위원회에서는 보안정책 비전을 '신뢰할 수 있는 초연결 사회'로 제시하고 도메인 중심의 보안정책에서 데이터 중심으로, 보호 수준을 보안성에서 신뢰성으로, 보호 주체를 폐쇄형에서 개방형으로 전환할 것을 대통령에게 제안하고자 한다"고 밝혔다.  도메인 중심의 보안 정책은 일정부분 보안에 도움이 되는 것은 사실이지만, 모든 것이 네트워크에 연결되어 있고, 데이터는 활발하게 공유, 활용되어야 한다는 4차산업혁명의 기본 철학과 상충된다. 기존 보안 정책은 인공지능, 빅데이터 등 4차산업혁명 시대와 관련한 산업 육성에 심각한 걸림돌이 될 수 있으며, 보안 산업 자체로 망 분리 솔루션과 망 연계 솔루션이 동시에 잘 팔리는 모순된 시장을 형성하게 된다.  특히 4차산업혁명 시대에서는 5G 통신망과 이와 연동한 IoT 기기의 끊김없는 안정적 운영은 필수불가결한 요소다. 그러나 심장박동기와 같은 소형 IoT 기기의 경우, 보안을 포함하 여러 기능이 제한된 크기의 기기에서 서로 간섭하거나 방해를 일으킬 가능성이 ...

신뢰성 idg 보안 2019.08.29

외부 해킹도, 내부자 위협도 ‘원천 봉쇄’··· ‘토큰화 시대’ 디지털 자산 인프라의 조건 - IDG Summary

현실의 자산을 블록체인 네트워크 속 토큰으로 바꿔 자산에 대한 권리를 디지털화하고 이를 이용해 거래할 수 있도록 하는 것을 토큰화(tokenization)라고 한다. 일단 토큰화가 이루어지면 마치 온라인 쇼핑몰에서 물건을 구매하듯 간편하게 자산을 사고팔 수 있다. 주식이나 부동산, 광산 채굴권, 미술 경매품 등 잠재적 토큰화 시장은 전 세계적으로 1,200조 달러에 달한다.  그렇다면 이 막대한 디지털 자산을 안전하게 보관하는 시스템을 어떻게 구축해야 할까. 핵심 요건은 바로 보안이다. 성능과 확장성이 아무리 좋아도 토큰을 해킹당하면 의미가 없기 때문이다. 오늘날 점점 더 큰 위협으로 부상하는 ‘특권자 제어’를 비롯해 디지털 자산 인프라의 필수 보안 요건을 살펴보자. 주요 내용 - ‘1,200조 달러’ 디지털 토큰화의 거대 잠재력 - 디지털 자산 서비스도 빠르게 확산 중 - 디지털 토큰 서비스 인프라의 조건 - 디지털 토큰 서비스 인프라에서 보안이 전부인 이유 - 디지털 토큰화 시대 여는 전제 조건

보안 토큰화 블록체인 2019.08.29

IDG 블로그 | 사이버보안 RSO가 되는 방법

RSO란 무엇인가? 미국 밴더빌트 대학 교수 랑가라지 라마누잠의 저서 <신뢰성을 위한 조직(Organizing for Reliability)>에 따르면, RSO는 “신뢰성을 추구하는 조직(Reliability Seeking Organization)”이다. 우리는 사이버보안을 흑백논리, 즉 침해냐 침해가 아니냐로 생각하는 경향이 있고 아키텍처, 위협, 방어에 초점을 맞추는 경우가 많다. 그러나 사실은 보안 프로그램의 신뢰성에 대해서도 신경을 써야 한다. 여기서 말하는 신뢰성의 정의에는 성능 일관성(performance consistency)과 탄력성(resiliency)이 포함된다. “내고장성(Fault tolerant)” 역시 이를 기술하는 또 다른 용어다.   많은 유형의 조직이 이미 고신뢰성 비즈니스 프로세스를 개발했다. 목표 달성에는 전략과 실행이 모두 포함된다. 필자는 이러한 조직으로부터, 그리고 보안 버블을 벗어난 모험에서 많은 것을 배울 수 있다고 생각한다. 보안 = 신뢰성 이 글은 원래 필자가 내슈빌에서 라마누잠 교수에게 들었던 강의 내용에서 시작됐다. 이 글의 핵심은 보안 사일로 외부로부터의 학습이다. 내슈빌의 ACP(Association of Contingency Planners)가 주관한 이 강의의 주제는 고신뢰성 조직이었다. 오늘날의 보안 아젠다는 ACP와 같은 단체와도 상호 겹치는 부분이 있다. 예를 들어 랜섬웨어 공격과 DDOS 공격을 생각해 보자. 필자는 강의를 들은 이후 라마누잠의 책도 읽었다. 강의와 책의 내용은 정보 보안에 적용된다. 이 글은 강의와 책의 내용을 압축한 버전이다. 좋은 보안 프로그램의 목적은 비즈니스 신뢰성이다. 우리가 원하는 것은 기밀성(confidentiality), 데이터 무결성(data integrity) 또는 가용성(availability)의 침해 등 이유가 무엇이든 그로 인한 계획되지 않은 일들을 방지하는 것이다. 디지털 데이터와 기술이 모든 비즈니스 프로세스에 통합되는 상황에...

신뢰성 사이버보안 탄력성 2019.08.28

VM웨어 가상화 기술의 미래··· "보안·클라우드에 6조 원 투자"

VM웨어의 VM월드(VMworld) 사용자 컨퍼런스에서는 클라우드가 핵심 주제가 될 전망이다. VM웨어는 48억 달러를 들여 클라우드 개발 업체 피보탈(Pivotal)과 보안 업체 카본 블랙(Carbon Black)을 인수한다.   이미 VM웨어는 최근 열린 분기 실적 발표회에서 피보탈과 클라우드 파운드리(Cloud Foundry) 하이브리드 클라우드 개발 기술을 27억 달러에 인수할 계획이라고 밝혔다. 또한 프리딕티브 시큐리티 클라우드(Predictive Security Cloud)와 다른 엔드포인트 보안 소프트웨어를 포함한 카본 블랙의 보안 기술을 확보하는 데도 21억 달러를 책정했다. 전문가들은 구체적인 실제 인수 금액은 변경될 가능성 있다고 분석했다. VM웨어는 그동안 이들 기업과 긴밀한 관계를 맺어 왔다. 예를 들어 카본 블랙 기술은 VM웨어의 앱디펜스(AppDefense) 엔드포인트 시큐리티 제품의 일부로 사용되고 있다. 피보탈도 VM웨어, 델 제품과 긴밀하게 통합돼 있으며, 지난 2013년 VM웨어의 모회사인 델에서 분사한 바 있다. 실적 발표회 당시 VM웨어 CEO 팻 겔싱어는 "이번 인수는 오늘날 모든 기업이 가장 중요하게 생각하는 핵심 기술 2가지를 확보하기 위한 것이다. 하나는 현대적인 기업용 애플리케이션을 만드는 것이고, 다른 하나는 기업 워크로드와 고객을 보호하는 것이다. 이번 인수를 통해 우리는 구독과 SaaS 사업 성장을 가속하고 고객의 디지털 트랜스포메이션을 지원하는 역량을 크게 확장할 수 있을 것으로 기대한다"라고 말했다. 피보탈 인수에 대해서는 전체 컴퓨터 스택을 확보할 적기라고 판단했다.  겔싱어는 "앞으로 우리는 기업 고객이 클라우드 환경을 구축, 실행, 관리할 수 있도록 우리만으로 독자적으로 지원하는 업체로 자리매김해 나갈 것이다. 이제 기업 고객은 이에 필요한 모든 기술을 한 업체로부터 지원받을 수 있다. 이번에 인수한 기술은 VM웨어 핵심 플랫폼에 통합된다. 곧 열리는 VM월드 행사에서 더 자...

VM월드 가상화 보안 2019.08.28

"보안팀의 수동 프로세스 개선이 필요하다" 위협 탐지 및 대응의 과제

사이버보안팀은 맞서 싸우고 있으며, 여전히 수동 프로세스에 의존한다. 한편 공격 표면은 계속 커지고 있기 때문에 프로세스 개선이 절실한 상황이다.    사이버 위협을 신속하게 탐지하고 이에 대응하는 것은 사이버보안의 골치꺼리와 값비싼 데이터 유출 간의 차이로 나타날 수 있다. 따라서 위협 탐지 및 대응(threat detection and response)은 주요 비즈니스 요구 사항이 된다.  이를 감안할 때, 위협 탐지 및 대응은 스위스 시계처럼 효율적으로 실행되는 고도로 조정된 프로세스가 중요하다고 생각할 것이다. 하지만 불행히도 이는 현실과 거리가 멀다.  ESG 리서치에 따르면, 위협 탐지 및 대응에는 수많은 문제가 있다. 372명의 기업 사이버보안 및 IT 전문가에게 질문한 결과, 기업의 위협 탐지 및 대응에는 다음과 같은 5가지 주요 문제가 있다.    - 36%는 조직의 사이버보안팀이 전략 또는 프로세스 개선에 시간이 충분하지 않고 우선 순위가 높거나 긴급한 문제를 해결하는 데 대부분의 시간을 소비한다고 응답했다. 다시 말해 SOC(Security Operations Center)팀은 지속적인 전투 모드에 있다. 이는 아무것도 개선되지 않는 자체 영속적인 사이클 속에서 직원들의 극도의 피로와 높은 마모율로 이어진다.   - 30%는 조직이 새로운 네트워크/클라우드 기반 호스트, 애플리케이션 및 사용자를 추가해 사이버보안 팀이 인프라 규모를 따라가기가 어려워졌다고 응답했다. 이는 공격 영역이 확장되는 전형적인 사례이며, 거의 모든 조직이 워크로드를 퍼블릭 클라우드로 옮기고 SaaS 애플리케이션을 수용하며, IoT 장치를 배포하고 있기 때문에 공격 영역의 확장은 계속될 것으로 보인다.  - 30%는 네트워크에 하나 또는 여러 개의 사각지대(blind spots)가 있다고 응답했다. 사이버보안 문제와 관련해 오래된 “측정할 수 없는 것을 관리할 수 없다”는 문제가 있었다....

프로세스 보안 대응 2019.08.26

회사명:한국IDG 제호: ITWorld 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아00743 등록일자 : 2009년 01월 19일

발행인 : 박형미 편집인 : 박재곤 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2022 International Data Group. All rights reserved.