F5 블로그를 자주 읽는 분들은 이미 알고 계시겠지만, 애플리케이션 딜리버리 현황(State of Application Delivery, SOAD) 보고서 제3판이 발간되었습니다. 2017년 보고서는 약 2,200명의 경영진과 IT 전문가를 대상으로 한 설문조사 결과를 담고 있으며, 온프레미스, 하이브리드 클라우드, 클라우드를 비롯한 애플리케이션 딜리버리의 모든 측면을 다룹니다. 보고서의 여러 조사 결과에서는 응답자들이 보안 환경을 어떻게 인식하고 있는지도 살펴봅니다. 응답자 약 5명 중 1명은 보안 관련 직책을 맡고 있으며, 이 글에서는 이들의 동료들이 가장 중요하게 생각하는 몇 가지 사안에 초점을 맞추겠습니다.
조사 결과: 클라우드 및 보안 전문성에 격차가 있습니다.
놀랍게도 응답자 5명 중 4명이 2017년에 멀티 클라우드 전략을 도입할 예정입니다. 또한 이들 5명 중 1명은 이미 애플리케이션의 절반 이상을 클라우드에서 운영하고 있습니다! 하지만 오늘날 조직에 단일 클라우드조차 제대로 다룰 수 있을 만큼 충분한 클라우드 전문가가 있을까요? 제가 아는 AWS 전문가들은 Azure에 대해서는 전혀 모르고, 그 반대의 경우도 마찬가지입니다.
아마도 제 칼럼 (또는 Jon Oltsik의 칼럼)을 읽는 분이라면 놀랍지 않겠지만, 조직 세 곳 중 한 곳은 보안 인력의 역량 부족을 중대한 보안 과제로 꼽습니다. 전 세계에서 스스로 실력을 키우는 수많은 블랙햇 해커를 따라잡기에는 화이트햇 해커를 충분히 양성하지 못하고 있습니다. 머신러닝과 자동화의 마법 같은 조합으로 보안 역량 격차가 해소될 가능성도 있습니다. DEF CON 24에서 발표된 DARPA 사이버 그랜드 챌린지는 이미 그러한 방향을 가리키고 있습니다. 하지만 그때까지는 보안 업계에서 쌓은 실전 경력이 최고입니다.
대표적인 예로, SOAD 보고서에서는 응답자들에게 향후 12개월 내에 어떤 애플리케이션 서비스를 배포할 계획인지 물었으며, 가장 많은 40%가 보안을 꼽았습니다.
조사 결과: 보안 애플리케이션 서비스 배포가 더욱 고도화되고 있습니다.
이 보고서는 설문조사 참여자들에게 새롭게 부상하는 위협에 대응하고, 애플리케이션의 보안을 강화하며, 데이터를 보호하기 위한 전략을 물었습니다. 올해의 긍정적인 소식은 전반적으로 조직들이 주요 보안 과제에 대처할 수 있는 역량에 대해 지난해보다 더 큰 자신감을 보인다는 점입니다.
기술 격차를 제외한 모든 과제 영역에서 조직들이 느끼는 불안감은 다소 줄었습니다. 그 이유를 보고서 공동 저자 중 한 명인 Lori MacVittie에게 물었습니다:
“이는 전반적으로 두려움이 줄었다는 의미라고 생각합니다. 보안 예산이 계속 증가하면서 당면 과제를 해결하는 데 필요한 솔루션을 도입할 수 있게 된 것이 그 이유일 수 있다고 봅니다. 공개 보고서에는 포함되지 않았지만, 보안 과제로 ‘예산 부족’을 꼽은 비율이 2016년 41%에서 2017년 30%로 감소했기 때문에 이렇게 추정한 것입니다.”
전 세계적으로 공격을 견뎌낼 역량에 가장 큰 자신감을 보이는 조직들은 단순한 경계 보안 방식에서 벗어나 보안 체계를 확장했습니다. 이들 중 다수는 향후 1년 내에 DDoS 완화 솔루션(21%), DNSSEC 보호(25%), 웹 애플리케이션 방화벽(20%)을 도입할 계획입니다.
조사 결과: 앱을 배포할 때 절대 빠뜨려서는 안 되는 것은…
매년 SOAD 설문조사에서는 참가자들에게 애플리케이션을 배포할 때 없어서는 안 된다고 생각하는 것이 무엇인지 묻습니다.
보안은 1년 전보다 훨씬 더 큰 격차로 최우선 순위를 차지했습니다. 2016년에는 가용성이 보안보다 근소하게 앞섰습니다. 어쩌면 조직들이 보안 침해가 서비스 중단보다 훨씬 더 오래 부정적인 영향을 미칠 수 있다는 사실을 마침내 깨닫기 시작한 것인지도 모릅니다. 끊임없이 이어지는 보안 침해 소식이 이러한 인식을 높이는 데 영향을 미치고 있는 듯합니다. 이는 긍정적인 변화입니다.
애플리케이션 보안을 위한 가장 일반적인 해법은 물론 웹 애플리케이션 방화벽(WAF)입니다. 클라우드 우선 전략을 채택한 응답자의 절반 이상이 WAF를 배포했다고 답했습니다. 그리 놀라운 결과는 아니지만, 나머지 48%는 무엇을 하고 있는지 궁금해지기는 합니다...
2017년 애플리케이션 딜리버리 현황 보고서
관심 있는 분들은 2017년 애플리케이션 딜리버리 현황 보고서 전문을 여기에서 확인할 수 있습니다.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.