코로나19 팬데믹은 의심할 여지 없이 금세기 노동 환경에 가장 큰 혼란을 초래한 사건 중 하나였습니다. 조직들이 원격 근무 인력에 대응해야 하는 상황에 놓이면서 이러한 변화가 시작되었고, 원격 근무가 가능할 뿐만 아니라 생산적일 수도 있다는 사실을 알게 되었습니다.
지난 18개월 동안 원격 근무에 대한 조직의 인식은 크게 달라졌지만, 앞으로도 이러한 모델을 전면적으로 수용할 정도는 아닙니다. 물론 현재 "완전 원격" 방식으로 운영 중이며 앞으로도 이를 유지할 계획인 조직도 있습니다. 하지만 더 현실적인 모델은 하이브리드 방식입니다. 일부 직원은 재택근무를 하고, 다른 직원은 사무실에서 근무하며, 또 다른 직원은 두 방식을 병행하는 모델입니다.
직원들이 특정일에 어디에서 근무할지, 그리고 일주일에 며칠을 사무실에서 근무할지를 누가 결정해야 하는지를 두고 논쟁이 치열하지만, 전반적으로 이를 지원할 수 있는 업계에서는 전면적인 하이브리드 근무 방식이 받아들여지고 있습니다.
11월 24일부터 12월 5일까지 설문조사에 참여한 근로자 1,200명 중 절반 이상(55%)이 일주일에 3일 원격 근무하는 것을 선호한다고 답했습니다. 한편, 미국 기업 임원 133명 중 68%는 전면 원격 근무 체제에서는 기업 문화가 유지되기 어렵다는 우려를 이유로 직원들이 일주일에 최소 3일은 사무실에 출근해야 한다고 답했습니다.
(출처: SHRM)
개인적으로 저는 이런 논의를 한발 떨어져 흥미롭게 지켜봅니다. 왜냐하면 저는 애초에 사무실에서 근무한 적도 없고, 장담하건대 앞으로도 그럴 일은 없을 테니까요. I94에서 시애틀까지는 정말, 정말 먼 길이거든요.
솔직히 말해, 하이브리드 근무 모델을 어떻게 구현하느냐는 결과만큼 중요하지 않습니다. 일주일 내내 매일 재택근무를 하는 직원과 사무실에서 근무하는 직원이 공존하게 될 것입니다. 이제 하이브리드 근무가 새로운 표준입니다.
겉보기에는 단순한 이 말이 향후 액세스 전략에 지대한 영향을 미칩니다.
IP 기반 액세스
기존의 IP 기반 기술은 대체로 고정된 네트워크 범위와 주소 집합에 의존합니다. 정책은 IP를 기준으로 네트워크 및 애플리케이션 리소스에 대한 액세스를 거부하거나 허용합니다.
VPN의 목적이 바로 이것입니다. 즉, 사내 네트워크를 자유롭게 돌아다닐 수 있도록 허용된 IP 주소 범위에 속하는 "로컬" IP 주소를 사용자에게 사실상 할당하는 것입니다.
물론 지금처럼 계속할 수도 있습니다. 하지만 적어도 대부분의 직원에게는 그렇게 하지 않을 것입니다. VPN이 제공하는 수준의 네트워크 액세스가 필요한 운영 담당자와 엔지니어는 언제나 있겠지만, 솔직히 말해 Confluence나 SharePoint를 둘러보거나 Slack에서 아키텍트들에게 이것저것 물어보기 위해 VPN까지 필요하지는 않습니다. 업무 생산성과 커뮤니케이션에 필요한 모든 것이 애플리케이션으로 충족된다면, 굳이 네트워크에 액세스할 필요가 없습니다.
그리고 솔직히 말해, 멀웨어와 랜섬웨어를 비롯한 각종 악성 소프트웨어로 인한 사고가 증가하는 현 상황에서 네트워크 접근을 제한하는 것은 지금 우리가 취할 수 있는 최선의 보안 전략 전환일 것입니다. 이러한 파괴적인 요소가 접근할 수 있는 리소스는 적을수록 좋습니다.
이는 실질적인 위협입니다. 대부분 일시적으로 근무하는 하이브리드 인력이 악성 소프트웨어에 감염된 뒤 어느 날 VPN에 로그인하는 순간, 쾅! 문제가 터질 가능성이 높기 때문입니다. 우수한 VPN 솔루션이 무엇보다 먼저 검사와 상태 점검을 수행하는 것도 이러한 이유에서입니다. 하지만 모든 VPN 솔루션이 우수한 것은 아니며, VPN 솔루션이 검사 기능을 제공하더라도 이를 의무화하지 않는 조직도 있습니다.
그렇다고 애플리케이션 액세스 솔루션이 마냥 순탄한 것도 아닙니다. 그중 상당수가 IP를 기반으로 하며, 기업에서는 관리해야 할 IP 주소가 매우 많기 때문입니다.
NetOps 담당자 한 명이 관리해야 하는 네트워크 장치의 수만 해도 상당합니다. 절반 이상이 251~5,000대의 장치를 관리하고 있습니다. (NetDevOps 연례 설문조사)
여기에 제 개인용 사설 홈 IP 주소와 오늘 재택근무를 하고 있을지도 모르는 다른 모든 사람의 개인용 사설 홈 IP 주소까지 더해집니다. 아, 그리고 보안이 필요한 기기 간 통신이 갈수록 늘어나고 있다는 점도 잊어서는 안 됩니다. Cisco 연례 인터넷 보고서에서는 "2023년이 되면 지구상의 네트워크 연결 기기 수가 인구의 3배를 넘을 것이며, 전 세계 연결의 약 절반이 기기 간 연결이 될 것"이라고 예측합니다.
그 결과 운영자와 보안 팀은 물론, 궁극적으로 정책을 집행해야 하는 서비스와 시스템까지 감당할 수 없는 모델이 됩니다.
아이덴티티가 해답입니다
하이브리드 근무와 관련된 보안 과제는 빠른 디지털화로 인해 발생하는 기존 과제에 더해지고 있습니다. 이러한 과제들이 맞물리면서 보안 모델은 ID 중심 접근 방식으로 전환될 것입니다. 이 접근 방식은 사람 사용자뿐만 아니라 워크로드, 디바이스, 스크립트 형태의 머신 사용자까지 고려합니다. 결국 워크로드도 사람만큼이나 일시적인 존재가 되어가고 있습니다. 그리고 어떤 IP를 사용하든 워크로드 A는 여전히 워크로드 A입니다. 제가 자택 사무실에 있든, 미니애폴리스 공항에 있든, 시애틀 사무실에 있든 여전히 저인 것과 마찬가지입니다.
물론 IP가 ID 중심 보안 정책의 일부가 될 수는 있지만, 리소스에 대한 액세스 허용 여부를 결정하는 주된 요인이나 결정적 요인은 아닙니다. 오히려 어느 수준의 ID 검증이 필요한지를 판단하는 데 도움이 되는 속성으로 활용됩니다.
VPN/사내 네트워크에 접속해 있다면 자격 증명만으로 충분할 수 있습니다. 하지만 그렇지 않다면 자격 증명과 2차 인증이 필요할 수 있습니다. 또한 이전에 사용한 적이 없는 IP 주소에서 접속을 시도한다면 3차 인증이 필요할 수도 있습니다.
IP 주소를 어떤 방식으로 사용하든, 이제는 IP 주소만 단독으로 사용해서는 안 됩니다. 워크로드의 경우에도 마찬가지입니다. 악성 소프트웨어가 기업 네트워크 "내부"에 있을 수는 있지만, 애플리케이션과 리소스에 대한 접근은 절대 허용되어서는 안 됩니다.
또한 ID에 대한 이해의 범위를 사람뿐만 아니라 우리가 점점 더 의존하고 있는 워크로드, 애플리케이션 및 디바이스까지 확장해야 합니다.
SolarWinds 사태는 굳이 언급하지 않아도 잘 아실 겁니다. 하지만 Siloscape와 같은 위협에 대해서도 알고 계셨나요? 이는 "웹 서버와 데이터베이스의 알려진 취약점을 파고들어 Kubernetes 노드를 침해하고 클러스터에 백도어를 설치하는 악성코드"로 설명됩니다. 또한 잘못 구성된 관리 콘솔도 위협이 됩니다. 많은 관리 콘솔은 주로 IP 기반 제어로 보호되지만, 오늘날의 하이브리드 근무 환경에 필수적인 원격 액세스를 방해한다는 이유로 이러한 제어가 비활성화되곤 합니다. 보다 강력한 ID 기반 액세스 제어 체계를 도입하면 접속 위치와 관계없이 탈취 및 무단 사용을 방지할 수 있습니다. 또한 강력한 ID 중심 보안은 침해된 시스템이 "기업 네트워크"라는 안전지대에서 다른 리소스를 감염시키거나 탈취하거나 그 밖의 방식으로 악용하려는 시도로부터 보호해 줍니다.
우리는 오랫동안 ID 기반 보안으로 서서히 전환해 왔습니다. 하지만 자동화와 디지털화의 폭발적인 성장에 하이브리드 근무 모델로의 전환 추세까지 더해지면서 이러한 움직임은 더욱 가속화될 것이며, 결국 IP 주소를 주요 접근 제어 수단으로 사용하는 방식에서 벗어나게 될 것입니다.
ID 중심 보안이 해답입니다.
작성자 소개
Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.
Lori Mac Vittie의 다른 블로그 게시물관련 블로그 게시물
AI 시대의 새로운 애플리케이션 제공 원칙으로 복잡성 극복하기
보안, 일관성, 완전 자동화에 중점을 둔 애플리케이션 제공의 새로운 6가지 원칙을 도입하여 복잡성 없이 하이브리드 멀티클라우드의 유연성을 누리세요.
디지털 혁신을 가속화하는 6가지 기술 역량
오늘날의 엔터프라이즈 아키텍처에는 기술 변화를 주도하는 데 핵심적인 민첩성, 확장성, 보안 및 관찰 가능성이 부족하지만, 이 여섯 가지 핵심 역량은 기업이 디지털 혁신 전반에 걸쳐 위험과 과제를 관리하는 데 도움이 될 것입니다.
하이브리드 근무가 ID 중심 보안으로의 전환을 이끌고 있습니다
자동화와 디지털화의 폭발적인 성장에 하이브리드 근무 모델로의 전환 추세가 더해지면서, IP 기반 보안에서 벗어나 ID 기반 액세스 전략으로 전환하는 움직임이 더욱 가속화될 것입니다.
관점의 현대화: 애플리케이션에서 경험으로
그리스와 로마의 신들처럼, 여러 신화에서도 동일한 존재가 다양한 모습으로 나타나는 것을 볼 수 있습니다. 본질적으로 각각의 화신은 기존 존재가 새로운 얼굴로 드러난 것입니다. 디지털 세계에서도 이와 비슷한 양상이 나타납니다. 우리가 ‘애플리케이션’이라고 부르는 것들은 흔히 기존 기능이 새로운 형태로 구현된 것이라 볼 수 있습니다.
코로나19 이후 기업 결제의 디지털 전환
디지털 결제는 과거의 현금만큼이나 보편화되었습니다. 코로나19 팬데믹으로 인한 봉쇄 조치는 소비자의 디지털 결제 서비스 의존도를 더욱 빠르게 높였습니다. 기업의 디지털 결제 도입 역시 가속화되었습니다. 대중을 상대로 영업하든 하지 않든 기업에는 여전히 지급해야 할 대금과 받아야 할 대금이 있기 때문입니다.
공급망 해킹과 보안에서 하드웨어의 역할
수석 아키텍트 Dave Schmitt와 CTO 오피스가 최근 Bloomberg의 Super Micro 관련 기사를 계기로 하드웨어 보안 전문성의 중요성을 되짚어봅니다. 또한 이 글에서는 시스템이 안전하게 보호되고 있는지 확인하기 위해 공급업체에 물어봐야 할 질문도 소개합니다.