정보 보안은 가장 빠르게 성장하고 IT 영역에서 가장 역동적인 분야 가운데 하나다. 이 분야는 지능적 공격이 빠르게 증가하면서 정보보안 전문가들을 새로운 도전에 임하게 만드는 점이 흥미롭다.
2016년이 다가오면서 여러 보안 전문가들에게 자신의 정보보안 부문 소원이 무엇인지 물어보았다. 새해를 맞이해 전문가들은 '세계 평화'에 상응하는 사이버 안전을 희망했지만, 어떤 이들은 자신만을 위한 디지털 레드 라이더 공기총을 바라기도 했다. editor@itworld.co.kr
실제 책무(Real accountability)를 다하는 의사결정권자들
아머(Armor) 사이버 위협 연구 및 혁신 부문 책임자 체이스 커닝햄은 이사진들과 고위 간부들이 지난 수년간의 데이터 유출사고로부터의 경고와 경험을 무시한 부주의한 행동으로 인해 회사의 인프라스트럭처를 위험에 빠트리는 결과를 초래했을 때 실제 책무를 다할 수 있기를 희망했다. "산업계에서 실제 이런 상황이 이뤄져 더이상 큰 유출 사고가 일어나지 않길 바란다."
이미지 출처. U.S. Naval Forces Central Command/U.S. Fifth Fleet
사용자이름/비밀번호의 진정한 대체물
비욘드트러스트(BeyondTrust) 기술 부사장 모리 하버는 "사용자이름/비밀번호 문제를 진정으로 대체할 수 있는 솔루션은 존재하지 않지만, 현재 생체 인증(biometric authentication)이 신원 확인과 인증 분야에서 기존 접근법을 버리고 성배(Holy Grail)로서 자리잡고 있다"고 말했다.
이런 접근법은 만약 미국 인사처(OPM) 데이터 유출 사고 때처럼 생체 데이터 그 자체가 유출된다면 엄청난 보안 사태를 가져올 수 있다.
생체 데이터를 특정인을 승인하고 허가하는 수단으로 쓰인다면 생체 데이터 유출 문제과 관련된 위험이 없고 지금까지 경험해왔던 데이터 유출 문제를 해결할 수 있다.
이미지 출처. Alfred Shum
가치있는 모든 것을 암호화
시트릭스 위협 및 취약점 관리 부문 조이 펠로퀸 부장은 "공격자들을 막기 위한 차선책은 그들의 목표와 표적, 즉 데이터에 접근할 수 있는 해킹 환경을 제거하는 것이다. 조직들은 APT의 쳇바퀴에서 벗어나 공격자의 표적에서 벗어나는 첫번째는 그들이 원하는 것이 무엇인지 파악하고 그것을 암호화하고 접속 권한을 제대로 관리하는 것이다"고 말했다.
이미지 출처. brewbooks
쉽지 않은 표적
익시아(Ixia) 애플리케이션 및 위협 인텔리전스 책임자 스티브 맥그레고리는 "우리의 보안 방어가 낮게 매달린 과일을 찾는 스크립트 키즈 또는 해커들에게 견뎌내기에 충분한 수준을 유지했으면 한다"고 말했다.
"자사의 네트워크가 어떠한 지에 대한 깊은 이해도와 지능적인 표적 공격을 재빨리 알아낼 수 있는 가시성을 보유해 해킹으로부터 우리의 네트워크를 방어해 회사 자산을 보호할 수 있었으면 한다."
이미지 출처. Roberto Verzo
PEBKAC(사용자 문제) 버그 패치여, 이뤄져라
팔로알토 네트웍스 유닛 42 위협 인텔리전스 책임자 라이언 올슨은 "수년동안 무수한 경고와 교육이 있었음에도 불구하고 사용자들은 이메일 링크를 클릭하고 첨부파일을 열어보는 일을 계속한다. 그 결과 그들의 시스템들은 악성코드에 감염되고 신원 정보는 공격자들의 손에 넘어간다"고 말했다.
"PEBKAC(Problem established between keyboard and chair 컴퓨터 문제가 아닌 사용자 잘못으로 인한 문제) 버그를 위한 패치가 이뤄진다면 우리의 네트워크를 잠입하는 가장 기본적인 요소 가운데 하나를 제거하는 것이다."
이미지 출처. Magnus Hagdorn
좀더 효율적인 티켓팅 플랫폼
록 시큐리티(Rook Security) 보안 운영 관리자 톰 고럽은 "보안 분석가들의 삶을 좀더 윤택하게 만들어주는 티겟팅 플랫폼이 있었으면 한다"고 말했다.
과거의 티켓팅 시스템은 보안 분석가, 책임자 또는 CSO들의 부담을 가볍게 하기 위함이 아니었다. 대부분 플랫폼에서 각 부문별 지표와 리포팅은 부족하며, 특히 프로세스 변경에서 신원 확인까지 효율성을 증가시키는 방법을 찾고 있다면 더욱 그럴 것이다.
이미지 출처. Paul Sableman
적절한 정보보안 예산
화이트햇 시큐리티(WhiteHat Security) 창업자 제레미야 그로스먼은 "정보보안에서는 부족한 자체 자원을 조정하는 것이 필요하다. 예를 들어, IT 예산이 네트워크를 구축하기 위해 10%를 쓴다면 정보보안을 위해 그 예산의 10%를 사용해야 한다. 만약 IT 예산에서 소프트웨어에 50%를 쓴다면 소프트웨어 보안 예산의 50%를 정보보안에 써야 한다"고 말했다.
이미지 출처. Frankieleon