새로운 연구에서 밝혀진 TLS 1.3 도입의 촉진 요인과 제약 요인

Rachael Shah수석 제품 마케팅 매니저 | F5

4년 전, 메건 마클은 해리 왕자와 결혼했습니다. 한편 시어스는 파산을 신청했고, 전 세계에서는 보기 드문 슈퍼 블루 블러드문이 관측되었습니다. 토이저러스도 모든 매장의 문을 닫았으며, 애플은 미국 상장 기업 최초로 기업 가치 1조 달러를 달성했습니다.

2018년에는 TLS 1.3이 인터넷 엔지니어링 태스크 포스(IETF)의 승인을 받았다는 사실도 잊지 말아야 합니다.

그 이후로 조직들은 TLS 1.3 도입의 이점과 과제를 충분히 평가할 시간을 가졌습니다. TLS 1.3은 인터넷에서 데이터 보안과 개인정보 보호를 지원하는 가장 널리 사용되는 암호화 프로토콜 중 하나의 최신 버전입니다.

기업들이 TLS 1.3을 도입한 이유 또는 아직 도입하지 않은 이유를 파악하기 위해 Enterprise Management Associates(EMA)는 연구 보고서 「TLS 1.3 출시 4주년: 구현 및 네트워크 모니터링에 대해 무엇을 알게 되었는가?」를 작성했습니다.

F5가 후원한 EMA 연구에는 기술 서비스, 금융, 의료 등 다양한 산업에 종사하는 북미 지역 기술 및 비즈니스 리더들의 견해가 담겨 있습니다. 참가자들은 기업이 정보 보안 및 규정 준수 과제의 우선순위를 어떻게 정하고 있는지, 그리고 데이터 보안 및 개인정보 보호 관련 규제가 보안 우선순위의 방향에 어떤 영향을 미쳤는지를 조명합니다.

보고서에서 도출한 세 가지 결론은 다음과 같습니다:

1. 규제 및 공급업체 통제, 향상된 데이터 보안, 원격 근무가 도입을 촉진

지난 몇 년간 데이터 보안 및 개인정보 보호 표준은 비즈니스 및 기술 리더들의 최우선 관심사였습니다. 따라서 연구 참여자들이 데이터 보안 및 개인정보 보호 강화를 TLS 1.3 도입의 주요 동인으로 꼽은 것은 그리 놀라운 일이 아닙니다. 실제로 설문 응답자의 85%는 데이터 보안을 TLS 1.3 도입의 가장 큰 이점으로 꼽았습니다.

또한 기업들이 코로나19 팬데믹에 적응하는 과정에서 원격 근무로의 전환과 그 지속적인 정착, 그리고 민감한 데이터와 기업의 지적 재산을 안전하게 처리해야 할 필요성이 TLS 1.3 도입에 영향을 미쳤습니다. 그림 1에서 볼 수 있듯이 응답자의 76%가 원격 근무자의 업무 트래픽에 TLS 1.3을 사용하고 있습니다.

그림 1: TLS 1.3을 도입한 설문 참여 조직이 원격 근무 직원의 업무 트래픽을 TLS 1.3으로 암호화하는지에 대해 응답한 결과

2. 가시성 및 모니터링 관련 고려 사항이 가장 큰 장애 요인

HIPAA 및 EU의 일반 데이터 보호 규정(GDPR)과 같은 공급업체 및 규제 기관의 통제에도 불구하고, 그림 2에서 볼 수 있듯이 조직들은 TLS 1.3이 자사 환경의 보안 및 모니터링 계획에 미칠 것으로 예상되는 영향 때문에 도입을 추진하는 데 어려움을 겪고 있습니다. 게다가 이러한 유형의 통합이 쉽지 않다는 것은 이미 잘 알려진 사실입니다. 따라서 많은 조직이 도입을 확정하는 대신 마이그레이션 계획을 수립할 시간을 확보하면서 TLS 1.3보다 구현이 쉽고 기존 환경에 미치는 영향이 적은 임시방편을 검토하고 있습니다.

가시성 상실은 설문조사 참여자의 96%가 도입을 주저하게 만드는 요인이기도 합니다. 실제로 TLS 1.3을 구현한 응답자의 44%는 트래픽 가시성 상실로 인해 구현을 되돌려야 했으며, 응답자의 4분의 1 이상은 이 프로토콜 사용 시 트래픽 가시성이 부족해 보안 침해를 겪었을 가능성이 있다고 생각합니다.

그림 2: TLS 1.3을 구현하지 않은 설문 참여 조직이 자사와의 관련성을 기준으로 평가한 TLS 1.3 배포 시 발생 가능한 문제

3. 리소스 및 구현 비용이 상당하다

그림 3에서 볼 수 있듯이, 설문조사에 참여한 조직 중 TLS 1.3을 구현한 조직의 87%는 통합을 위해 일정 수준의 인프라 변경이 필요했습니다. 네트워크 토폴로지를 업데이트하는 일은 많은 조직에 분명 부담스러운 과제입니다. 시간과 비용이 많이 들기 때문입니다. 이미 과중한 업무에 시달리는 보안 인력의 제한된 인적 자원을 이 정도 규모의 프로젝트에 투입하는 것은 쉽지 않습니다. 특히 다른 비즈니스 요구 사항과 비교했을 때 체감되는 비즈니스 가치가 매우 낮다는 점(81%)을 고려하면 더욱 그렇습니다.

그림 3: TLS 1.3을 구현한 설문 참여 조직을 대상으로 TLS 1.3 활성화에 네트워크/보안 아키텍처 변경이 필요했는지 조사한 결과

앞으로도 여러 변수가 TLS 1.3 도입에 영향을 미치겠지만, 한 가지는 분명합니다. 권장 데이터 개인정보 보호 프로토콜로서 TLS는 앞으로도 계속 사용될 것입니다.

또한 현재 전체 인터넷 트래픽의 약 90%가 암호화되어 있고 그 비율이 계속 증가하는 상황에서, 보이지 않는 것이 위협이 될 수 있습니다. 사이버 범죄자들은 TLS 버전에 관계없이 악성 페이로드를 숨기기 위해 암호화된 트래픽을 끊임없이 악용하고 있습니다. 이를 검사하지 않으면 조직이 취약한 상태로 방치됩니다.

기술 및 비즈니스 리더들이 TLS 1.3 구현에 대해 어떻게 평가하는지 EMA 전체 보고서에서 자세히 알아보고, 오늘날 SSL/TLS 암호화 트래픽에 대한 가시성과 오케스트레이션—특히 TLS 1.3으로 암호화된 인바운드 및 아웃바운드 트래픽에 대한 가시성과 오케스트레이션—이 왜 그토록 중요한지 확인해 보세요.

작성자 소개

Rachael Shah수석 제품 마케팅 매니저 | F5

Rachael Shah의 다른 블로그 게시물