기술의 발전으로 세상이 변했고, 기술의 역할 또한 달라졌습니다.
인터넷의 역할은 진화해 왔습니다.
20년 전 처음 등장했을 당시 사람들은 인터넷을 현실 세계와 단절된 별개의 공간, 즉 사이버 공간으로 여겼지만, 이제 인터넷은 현실 세계를 연결하고 있습니다.
이는 Microsoft Corporation의 사장 겸 최고법무책임자인 Brad Smith가 샌프란시스코 Moscone Center에서 열린 RSA Conference 기조연설에서 강조한 내용입니다. 그의 기조연설 전체 영상은 여기에서 시청하세요.
오늘날 보안 자체뿐만 아니라 보안 관련 기술도 모든 비즈니스 환경과 정치권, 각종 조직에서 중요한 화두로 떠오르고 있습니다. 보안은 광범위한 영역을 아우르기 때문에 다소 모호한 개념일 수 있지만, 이와 관련된 몇 가지 핵심 주제와 생각을 정리해 보고자 합니다.
주제 1: 보안 교육이나 경험이 부족하면 사람들(직원, 사용자, 고객 등)은 기술을 사용할 때 자연스럽게 잘못된 보안 결정을 내리게 됩니다
많은 기조연설자와 발표자, 업계 분석가들이 동의하고 인정했듯이, 이 문제와 관련해서는 다양한 배경 이론이 있습니다.
Intel Security Group의 수석 부사장 겸 총괄 책임자인 Christopher D. Young은 인디애나 주의회와 협력하여 대학생들의 교육 및 인턴십 기회를 개선하기 위한 자사의 이니셔티브 중 하나를 소개했습니다. 동영상은 여기에서 시청하세요.
일부 분석가들은 이러한 인재 부족 현상이 업계 전반에서 자동화, 오케스트레이션 및 관리 솔루션에 대한 관심이 높아지는 것과 관련이 있을 수 있다고 언급했으며, 이는 아래의 두 번째 주제로 이어집니다.
주제 2: 오케스트레이션 및 자동화 솔루션에 대한 관심 증가는 보안 업계의 인력 부족과 관련이 있을 수 있음
2015년 말 ISACA와 RSA Conference가 실시한 "사이버 보안 현황: 2016년의 시사점"이라는 설문조사에 따르면, 응답자의 50% 이상이 사이버 보안/정보 보안 직책의 인력을 채용하는 데 3~6개월이 걸렸다고 답했습니다. 더욱 중요한 점은 59%가 채용된 지원자 중 절반이 자격 요건을 충족하지 못했다고 지적했다는 것입니다. 자세한 보고서는 여기에서 확인하세요.
이는 많은 조직이 직면한 중대한 과제이며, 업계 전문가들은 이러한 과제와 오케스트레이션/자동화 솔루션에 대한 관심 증가가 서로 연관되어 있다고 언급했습니다. 기존 보안 솔루션이 문제나 사고를 제대로 보고하더라도 적절한 조치를 취하는 것은 담당 인력에게 달려 있습니다. 특히 담당자의 경험이 부족한 경우 자동화는 대응을 표준화하거나 관련 위험을 줄이는 데 도움이 될 수 있습니다. 교육 개선도 해결책 중 하나이지만, 조직은 학생들이 기업에 채용될 준비가 될 때까지 기다릴 여유가 없을 수 있습니다.
주제 3: 어디에나 존재하는 인사이트 및 가시성 솔루션
Hewlett Packard Enterprise의 수석 부사장 겸 최고 기술 책임자인 Martin Fink는 기조연설에서 "이제 실시간 모니터링은 보안의 토대입니다"라고 말했습니다. 그의 연설은 여기에서 확인할 수 있습니다.
분명 많은 솔루션 전시 부스에서 모니터링, 보고, 인사이트 및 분석과 관련된 솔루션을 선보였습니다.
네, 앞서 살펴본 주제에서 알 수 있듯이 이러한 영역은 운영 효율성 향상과 인재 부족 해소를 비롯한 여러 요구 사항을 충족하는 데 기여할 수 있습니다.
하지만 이 주제에 초점을 맞춘 솔루션이 워낙 많다 보니, 일부 기업은 혼란을 겪으며 자사에 가장 적합한 솔루션을 선택하는 데 어려움을 느끼고 있다는 이야기도 들었습니다.
예를 들어, 위험 완화를 구상하고 계획하는 주요 방식에는 위협 중심, 위험 중심, 데이터 중심, ID 중심의 네 가지 접근 방식이 있다고 합니다.
물론 모든 조직에 적용할 수 있는 하나의 정답은 없습니다. 하지만 여기서는 한 가지 아이디어를 공유하고자 합니다. 그렇습니다. 사용자 ID는 중요합니다. 데이터는 IT 시스템과 리소스를 움직이는 원동력입니다. 그렇다면 오늘날 개인 생활과 비즈니스 환경에서 이 모든 것을 어떻게 활용하고 계십니까? 이러한 IT 시스템과 ID, 데이터를 활용하기 위해 실제로 사용하는 것은 무엇입니까? 바로 애플리케이션입니다. 여러분이 사용하는 것도 애플리케이션이고, 소비자가 중요하게 여기는 것도 애플리케이션입니다. 따라서 애플리케이션 중심 접근 방식은 기업이 고려해 볼 만한 좋은 선택지가 될 수 있습니다.
다음 참고 자료 섹션에서 오늘날 유용하게 활용할 수 있는 논의의 예를 확인하실 수 있습니다. 유익하게 읽으시고, 보안 과제를 해결해 나가는 데 도움이 되기를 바랍니다.
참고 자료: https://f5.com/security-octagon-debate
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.