Offcanvas
Some text as placeholder. In real life you can have the elements you have chosen. Like, text, images, lists, etc.
Offcanvas
1111Some text as placeholder. In real life you can have the elements you have chosen. Like, text, images, lists, etc.

제로 트러스트

블로그 | 제로 트러스트 혼란의 해법은 '최소 권한 액세스' 원칙

‘제로 트러스트’는 제품이 아니라 심층 방어(Defense in Depth; DiD) 및 최소 권한 액세스(Least-privileged access) 개념을 기반으로 하는 보안 방법론이다. 필자의 눈에는 제로 트러스트와 그 구현에 관해 모두가 ‘유행어 빙고(buzzword bingo)’를 하는 것처럼 보이며, 이는 미국 정부의 지침에서 시작됐다고 생각한다.  모든 연방기관과 부서가 관리예산국(OMB; Office of Management and Budget)의 ‘연방 제로 트러스트 전략(Federal Zero Trust Strategy)’으로 전환해야 한다는 지난 1월 백악관의 발표는 실용적이면서도 야심에 차 있었다. 정부는 로그4j 취약점을 예로 들면서, “이 제로 트러스트 전략을 통해 기관들이 이러한 유형의 위협을 더 신속하게 탐지, 격리, 대응할 수 있다”라고 밝혔다. 하지만 제로 트러스트 전략이 성공하려면 이를 구현하는 사람들이 ‘제로 트러스트 전략이 무엇인지’, ‘제로 트러스트의 기본 원칙은 무엇인지’를 제대로 이해해야 한다.       제로 트러스트가 새로운 것인가?  트렐릭스(Trellix)의 수석 엔지니어 겸 취약점 연구 책임자 더글라스 맥키는 글로벌 보안 컨퍼런스 블랙햇(Black Hat)에서 ‘심층 방어’와 ‘최소 권한 액세스 원칙’이 새로운 유행어인 제로 트러스트의 이면에 있는 핵심 요소라고 말했다. 그에 따르면 비즈니스 운영팀과 협력하는 CISO는 현업이 업무를 원활하게 수행할 수 있도록 필요한 정보 액세스를 조정해야 한다. CISO에게 필요하지 않은 것은 (현업이) 필요하지 않을 때도 방해 없이 계속해서 정보에 액세스하는 것이다.  이를 막기 위해서는 기업 생태계 전반의 요구사항을 지속적이고 동적으로 모니터링해야 한다. 개인의 역할이 변경되면 요구사항도, 허용된 액세스도 조정돼야 한다. 직원이 그만두면 (해당 직원에게 허용됐던) 액세스도 중단돼야 한...

제로 트러스트 심층 방어 최소 권한 액세스 2022.09.01

IDG 블로그ㅣ원격근무부터 제로트러스트까지… 2021년 ‘보안’ 전망

2020년은 ‘최고정보보안책임자(Chief Information Security Officer, CISO)’가 끊임없는 도전과 과제에 직면해야 했던 한 해였다. 2021년에는 CISO가 그 영향력을 더욱더 확대하는 동시에 위험과 보상을 모두 마주치게 되리라 전망한다.  CISO의 역할이 바뀌고 있다. 점차 보안을 사일로처럼 취급하지 않게 되면서다. 기업들은 조직을 보호하기 위해 이 역할에 진정한 리더가 필요하다는 사실을 깨닫기 시작했다. 전례 없는 위기 속에서 CISO는 적절한 위험 허용치와 정책을 관리하는 동시에 비즈니스에 부합하는 많은 결정을 신속하게 내려야 했다.  이러한 변화는 계속될 것으로 예상된다. CISO가 예산 압박, 새로운 위험, 새로운 워크 이코노미 등의 과제에 직면하게 될 내년에도 말이다.  CISO들은 2021년 어떤 성과를 거두게 될까? 어떤 부문에 관심을 기울여야 할까?    예측 1. 팬데믹 이후 ‘정리(cleaning up)’는 기본으로 돌아가는 것을 의미한다 올 한 해 코로나19 사태에 대처하고자 고군분투했던 CISO들은 2021년 기본 작업을 두 배로 늘리고자 할 가능성이 크다. 악성코드(Malware)를 사전에 방지하기 위해서는 이른바 ‘보안 위생(security hygiene)’이 매우 중요하다는 점을 실감했기 때문이다. 적절한 보안 프로그램을 갖추지 않았던 CISO라면 위협을 스캔 및 조사하고, 우선순위를 정하며, 이를 무력화하는 방법을 다루는 워크플로우를 필요로 할 것이다.  이 작업을 수행한다는 것은 정확한 자산 인벤토리 목록을 갖는다는 의미다. 이는 많은 기업이 코로나19 위기에 신속하게 대응하고자 했을 때 없었던 것이기도 했다. 정확하게 자산 인벤토리 목록을 작성하고, 최신 상태로 유지하는 것은 2021년의 핵심 업무가 될 것이다.  이와 함께 레거시 기술 문제(예: 자산 관리)가 대두될 것으로 예상된다. ‘클라우드 퍼스트(Cloud first...

CISO 최고정보보안책임자 보안 2020.12.31

VPN은 죽어가고, 제로 트러스트가 살아난다

VPN은 유서 깊은 기술이다. 수십 년 동안 원격지 작업자에게 기업 네트워크로의 안전한 통로를 제공했다. 그러나 기업들이 제로 트러스트라고 불리는 보다 기민하고 미시적인 보안 프레임워크로 이동함에 따라 VPN이 쇠락하고 있다. 오늘날의 디지털 비즈니스 세계에서는 제로 트러스트가 더 적합한 기술이다.    VPN은 네트워크 경계라는 개념을 근거로 하는 보안 기법이다. 신뢰할 만한 직원이 내부에 있고, 신뢰할 수 없는 직원이 외부에 있음을 전제한다. 그러나 이 모델은 직원이 모바일 기기를 가지고 다양한 내부 또는 외부 장소로부터 네트워크에 접속하는 현재의 비즈니스 환경에 맞지 않다. 또한 기업 자산은 기업 데이터센터 안이 아니라 멀티 클라우드 환경에 존재한다.  가트너는 2023년까지 60%의 기업이 VPN으로부터 점진적으로 탈피해 제로 트러스트 네트워크 접속으로 이동할 것이라고 예측하고 있다. 제로 트러스트는 기기와 이용자를 동시에 인증하는 관문 또는 중개자로서 기능한다. 이후 사용자는 역할과 맥락에 따라 접근할 수 있다.  경계 보안 접근법은 결함이 많다. 이는 내부자 공격에 대처하지 않는다. 협력업체, 외부자, 공급망 협력업체를 식별하는데 서툴다. 공격자는 누군가의 VPN 인증 정보를 훔치기만 하면 네트워크에 접속해 자유롭게 돌아다닐 수 있다.  게다가, VPN은 시간이 가면서 복잡해지고 관리하기 어려워졌다. 아이오와 주 에임스에 소재한 기업 보안 회사인 워키바(Workiva)의 수석 보안 아키텍트인 매트 설리반은 “VPN은 상당히 고통스럽다”면서 “투박하고 시대에 뒤떨어졌고, 관리할 것도 많다. 그리고 솔직히, 좀 위험하다”라고 말했다.  오늘날의 기업 보안 현실을 아는 사람은 이 접근법의 효과가 거의 없다는 것을 안다. 포레스터의 수석 애널리스트인 체이스 커닝험은 “경계 기반 보안 모델은 간단히 말해 실패했다”면서 “노력이 부족하다거나 투자가 부족한 것이 아니라, 단지 부실한 기반 위에 구축되었...

VPN 제로 트러스트 경계선 2019.12.09

'최대 23.5억 달러' 2018~2019년 사이버보안 업계 대규모 M&A 총정리

사이버보안 제품과 서비스 시장이 성장하는 데 발을 맞춰 이를 제공하는 기업들의 가치도 상승하고 있다. 이를 알려주는 증거가 2018년 한 해 동안 벌어진 여러 사이버보안 회사들의 인수합병 거래다. 기술 M&A 컨설팅 회사인 햄플턴 파트너스가 제공한 자료에 따르면, 2018년 한 해 사이버보안 인수합병 거래는 140여 건에 달한다. 이 가운데 미화 5억 달러(5,642억 원)가 넘는 대형 M&A는 9건 이상이다. 10억 달러가 넘었던 거래도 4건이나 있었다.   햄플턴 파트너스의 액셀 브릴 디렉터는 “현재 사이버보안은 기술 산업 곳곳에 위치하고 있다. 모든 것이 연결되면서, 모든 분야와 영역에서 보안 강화에 대한 목소리가 높다”고 말했다. ID 및 액세스 관리(IAM), 네트워크 보안, 금융/트랜젝션(거래) 관련 사이버보안 부문의 규모가 가장 크다. 사이버보안 M&A 컨설팅 회사인 모멘텀 사이버(Momentum Cyber)의 디렉터 디노 부쿠리스는 “제로 트러스트(zero-trust) 방식이 확산되고, 경계선 개념이 퇴색되면서 IAM에 대한 관심이 높아지는 추세다. 하이브리드 클라우드 인프라 도입 속도가 빨라지면서 클라우드 인프라 보안도 크게 성장했다”고 말했다. 다음은 2018년 한 해 가장 규모가 컸던 사이버보안 M&A 거래 9건과 2019년 지금까지의 현황이다.   1위. 시스코가 듀오 시큐리티를 23억 5,000만 달러에 인수 네트워킹 분야의 ‘거인’인 시스코가 제로 트러스트 보안 회사인 듀오 시큐리티(Duo Security)를 23억 5,000만 달러(2조 8,784억 4,000만 원)에 인수, 2018년 한 해 가장 규모가 큰 보안 M&A 거래가 되었다. 이는 모든 것을 적용 대상으로 하는 클라우드 보안이 중요하다는 인식이 높아지고 있음을 보여주는 증거다. 인수 직후 어닝 콜에서 시스코의 CEO 척 로빈스는 듀오 인수로 ...

맥아피 바라쿠다 네트웍스 CA 2019.03.08

화산미디어, <기업 정보보안 가이드 2019 v.14: 보안의 시작, 제로 트러스트> 발간

새로운 IT 환경을 보호할 수 있는 새로운 보안 모델로 '제로 트러스트' 구축 모델이 관심을 받고 있다. 화산미디어는 ‘제로 트러스트’ 기반 보안 모델에 대해 심층 분석하고, 올해 등장할 사이버 공격 방법 및 대응 방안을 소개하는 <기업 정보보안 가이드 2019 v.14: 보안의 시작, 제로 트러스트(Zero Trust)>를 발간했다. 14번째 <기업 정보보안 가이드>는 화산미디어가 매년 2월 발간하는 연례 보안 백서로, 보안 분야 전문 기자와 업계 전문가들이 참여해 제작됐다. 470여 페이지의 분량으로 제작된 2019년 버전 <보안의 시작, 제로 트러스트>에서는 새로운 보안 전략으로 부상하고 있는 ‘제로 트러스트 기반 보안 모델’을 소개하고, 이를 구현하기 위해 필요한 보안 기술을 소개한다. <기업 정보보안 가이드 2019>에서는 멀티 클라우드 환경의 보안 문제를 해결하면서 클라우드 민첩성을 강화할 수 있는 보안 전략을 제시한다. 또한 AI를 활용해 지능적인 공격을 방어하고 탐지·대응할 수 있는 최신 기술을 상세히 설명하고 있다. 데이터 산업의 발전과 함께 개인정보 보호와 활용 문제도 높은 관심을 받고 있다. 특히, 우리나라 개인정보보호법, 유럽 일반개인정보보호법(EU GDPR) 등 국내외 개인정보 보호 관련 규제가 강화되고 있어 멀티 클라우드 전반을 아우르는 ‘데이터 중심 보호 전략’ 마련이 시급한 시점이다. <기업 정보보안 가이드 2019>에서는 이에 대해서도 집중적으로 설명하며 멀티 클라우드를 포함한 모든 비즈니스 환경에서 데이터를 안전하게 보호하면서 활용할 수 있는 방법에 대해 설명한다. <기업 정보보안 가이드 2019>는 정보보안 전문가라면 반드시 알아야 할 정보보안 업계 동향과 새로운 보안 기술, 보안 전략을 소개하고 분석할 뿐 아니라 업계에서 주목할만한 보안 기술과 솔루션, 서비...

화산미디어 제로 트러스트 2019.02.19

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2022 International Data Group. All rights reserved.