비대면 업무 일상화로 보안 패러다임 변화... 대응 위해서는 제로 트러스트 전략 세워야

[보안뉴스 이상우 기자] 올해 업무와 관련해 가장 많이 언급된 동향은 ‘재택근무’ 혹은 ‘원격근무’임을 부정하는 사람은 없을 것이다. 코로나19가 장기화됨에 따라 비대면 업무가 늘어나고, 업무 공간 역시 사무실을 벗어났다. 또한, 업무에 사용하는 기기는 사무실 PC 대신 개인용 기기를 활용하는 BYOD 환경으로 바뀌었고, 업무 역시 온프레미스에서 클라우드 혹은 하이브리드 클라우드 기반 서비스로 변화하고 있다.

10월 29일 열린 ISEC 2020 기조연설에서 한국마이크로소프트 박상준 매니저는 “이러한 동향은 기존의 보안 패러다임 역시 바꾸고 있다. 전통적인 보안은 회사 울타리에 경계선을 긋고, 경계선 외부에서의 침입을 차단하는 네트워크 방화벽이 중심이었다면, 이제는 기존의 경계선이 회사 밖으로 확대됐다”고 설명했다.


▲한국마이크로소프트 박상준 매니저[사진=보안뉴스]

포레스터가 발표한 자료에 따르면 52%의 기업이 지난 1년간 침해사고를 경험했다. 침해사고 유형은 외부공격이 33% 내부 공격이 25%를 차지했다. 이 밖에도 서드파티 공급자에 의한 공격이 21%, 자산유출 등의 사고는 21% 등이다. 이 조사가 내놓은 시사점은 과거에는 외부공격이 많았으나, 오늘날 다양한 유형의 공격이 등장하고 있다는 점이다. 또한, 공격 대상 역시 네트워크, 데이터, 애플리케이션, 데이터센터 등으로 다양하게 바뀌었다.

박상준 매니저는 “기존 방식의 보안도 필요하지만, 이것만으로는 충분치 않다는 것을 이야기하고 싶다. 기존 보안의 경우에는 보호하는 영역이 온프레미스에 집중돼 있지만, 오늘날 새로운 일하는 방식은 모바일 기기, 공급망, 파트너사, 센서 등등 다양한 영역으로 보안 패러다임을 확대해야 한다”고 말했다.

이어, “새로운 환경에는 새로운 보안원칙도 필요하다. 보안 원칙은 매우 명확해야 하고, 최소한의 접근권한만 부여하고, 침해사고를 가정한 전략을 세워야 한다”고 덧붙였다.

명확해야 한다는 것은 신원확인을 통해 올바른 접근 권한을 가진 사용자임을 밝혀야 한다는 의미이며, 최소한의 접근권한은 데이터에 접근한 사용자가 권한 이외의 행동을 할 수 없도록 시간과 장소를 규정해야 한다는 의미다. 마지막으로 침해 가정 전략은 혹시라도 사고가 발생하면 어떻게 대응해야 할지 미리 전략을 세워야 한다는 것이다.

박상준 매니저는 “여기서 핵심은 제로 트러스트(Zero Trust)다. 제로 트러스트 전략에서는 기존 방화벽이 아닌, 사용자 신원 인증이 새로운 경계선이 된다. 특히 신원 중심, 접근권한 중심의 보안에서는 지속적인 검증이 필요하며, 이를 위해 인공지능이 필요하다”고 말했다.


[이미지=마이크로소프트]

마이크로소프트는 신원인증, 기기, 데이터, 애플리케이션, 인프라, 네트워크 등 6가지 영역에서 제로 트러스트를 구축해야 한다고 강조했다. 우선 강력한 인증으로 신원을 확인하고, 이를 위해 2단계 인증 등 멀티팩터 인증 방식이 필요하다. 기기의 경우 개인용 기기를 업무에 사용하는 경우 컴플라이언스 준수 여부, 암호화, 보안 업데이트 등을 종합적으로 파악하고, 기기에서 업무용 서비스와 개인용 서비스를 구분하며, 상호 데이터를 전송하지 않도록 제한하는 등의 관리도 필요하다.

데이터에 관한 부분에서 암호화를 중시하고 있지만, 각 데이터 자산의 위치를 파악하는 것 역시 중요하다. 민감한 데이터가 어디에 보관돼 있는지, 노출되지는 않는지 파악하고 이에 대해 새로운 컴플라이언스를 적용하는 등의 후속조치도 필요하다. 애플리케이션 역시 마찬가지로 어떤 데이터를 다루는지 파악하고, 보안 취약점이 없는지 점검해야 한다. 또한, 이러한 과정에 자동화를 도입해 효율성을 높여야 한다. 이밖에 인프라나 네트워크에 대해서는 SIEM, SOAR 등의 자동화 솔루션을 도입하는 등의 보호조치를 적용해야 한다.


▲ISEC 2020[사진=보안뉴스]

한편, 제14회 국제 시큐리티 콘퍼런스 ISEC 2020은 과기정통부, 행안부 등 유관기관이 공동 후원하고, 한국인터넷진흥원, 더비엔, 세계 최대 규모 보안전문가 단체 (ISC)2 등이 주관하는 국내 최고 권위의 보안 콘퍼런스다. 올해 행사는 ‘Post-Pandemic Security’를 주제로 비대면 업무 환경 일상화 등 뉴 노멀 시대에 따른 보안 패러다임 변화와 최신 동향을 공유하고, 실질적인 보안 가이드를 제시하는 자리가 됐다.
[이상우 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>