모든 연방 기관에 엔터프라이즈 애플리케이션 전략이 필요한 이유와 구축 방법

소개

미국 연방 기관의 IT 임원들은 낭비를 줄이고 사이버 공격으로 인한 손실을 최소화하는 동시에 더 큰 가치를 창출해야 하는 까다로운 균형을 유지해야 합니다. 한편으로 IT 리더들은 최신 기술을 도입하여 효율성을 높이고, 더 큰 가치를 제공하며, 납세자의 세금을 절감해야 합니다. 다른 한편으로는 완화에 상당한 자원이 필요한, 끊임없이 진화하고 확대되는 위협 환경에 직면해 있습니다. 요컨대 모든 이니셔티브와 의사 결정에서 혁신과 보호를 동시에 추구해야 합니다. 이처럼 상충하는 듯한 목표를 달성하기 위해 연방 기관의 IT 리더들은 조직의 임무에 맞춘 엔터프라이즈 애플리케이션 전략을 수립해야 합니다.

애플리케이션 시대의 개막

설문 응답자의 65%는 F5 2019 애플리케이션 서비스 현황 보고서에서 자신이 속한 조직이 디지털 혁신을 진행 중이라고 답했습니다. 디지털 혁신은 조직이 기술을 활용하여 성과와 사용자 생산성을 획기적으로 향상하는 새로운 방식입니다.

요컨대, 애플리케이션 자체가 곧 비즈니스 또는 조직의 사명이 되고 있습니다.

이러한 급격한 변화를 기회로 활용하기 위해 조직들은 다음과 같은 새로운 비즈니스 및 IT 운영 모델을 도입하고자 대대적인 변화를 추진하고 있습니다:

• 클라우드 기반 이메일 및 생산성 도구와 같은 SaaS 서비스 활용
• 맞춤형 애플리케이션을 컨테이너화하여 관리를 간소화하고 비용 절감
• 클라우드 보안 서비스를 사용하여 공격을 신속하게 탐지하고 조직의 규칙에 따라 정책을 적용합니다.

애플리케이션은 다양한 유형의 여러 디바이스에 제공되고 있습니다. 애플리케이션에 액세스하는 사용자는 기존의 기업 환경 내에만 머물지 않으며, 이동 중이거나 재택근무를 합니다. CRM, ERP를 비롯한 모든 비즈니스 핵심 기능은 기존 기업 네트워크 외부에서도 액세스할 수 있도록 제공되어야 합니다.

The 2018 F5 Labs 애플리케이션 보호 보고서에 따르면, 평균적으로 공공 부문 조직은 680개의 애플리케이션을 사용하며, 이 중 32%가 미션 크리티컬 애플리케이션으로 간주됩니다.

이처럼 애플리케이션이 폭발적으로 증가하는 가운데, 조직들은 이러한 애플리케이션을 새로운 아키텍처와 서비스에 배포하고 있습니다. 2019년 애플리케이션 서비스 현황 조사에 따르면, 조사 대상 조직의 14%가 컨테이너를 기본 애플리케이션 워크로드 격리 방식으로 채택했으며, 응답자의 87%가 멀티 클라우드 아키텍처를 도입하고 있습니다. 미국 관리예산처(OMB)도 안전하고 보안이 강화된 클라우드 네트워크로 마이그레이션하기 위한 "클라우드 스마트 전략"을 지지하고 있습니다.¹ .

빠르게 확대되는 위협 표면 영역 이해

기술을 활용해 불편을 줄이고 새로운 서비스를 제공하며 가치를 높이는 것은 정부와 기업만이 아닙니다. 사이버 범죄자, 무장 단체, 국가 배후의 위협 행위자들 역시 무서운 속도로 사이버 공격 역량을 고도화하고 있습니다. 네트워크와 인프라를 보호하는 능력이 향상됨에 따라 사이버 공격자들은 상대적으로 방어가 취약한 표적으로 눈을 돌리고 있습니다.

이러한 취약한 표적은 인사 정보나 기밀 정보를 저장하고 있을 수 있는 고가치 자산에 침투하는 데 이용됩니다. F5 Labs의 연구에 따르면 전체 사이버 공격자의 86%는 애플리케이션을 직접 공격하거나, 주로 피싱을 통해 사용자 신원 정보를 탈취합니다.²

공격자들은 때로는 간접적으로 공격하는 것이 더 쉽다는 사실을 깨닫고 있습니다. 한 가지 방법은 IoT 기기처럼 중요도가 낮은 애플리케이션을 공략해 접근 권한을 확대하는 것입니다. 실제로 범죄자들은 미국의 한 카지노 로비에 있는 수족관 온도계를 해킹한 뒤, 이를 발판으로 거액 베팅 고객 데이터베이스에 침투했습니다.³ 마찬가지로 막대한 피해를 초래한 2013년 Target 침해 사고는 Target의 HVAC 공급업체를 악용하면서 시작되었고, 결국 POS 시스템 침해와 4천만 건의 신용카드 정보 유출로 이어졌습니다.⁴

오픈 소스와 기타 타사 구성 요소 및 서비스를 관리하지 않고 방치하면 위험이 발생할 수 있습니다. Sonatype의 「2018년 소프트웨어 공급망 현황」 보고서에 따르면, 오픈 소스 구성 요소 다운로드 8건 중 1건에는 알려진 보안 취약점이 포함되어 있습니다.⁵ 공공 부문을 비롯한 여러 조직은 개발 및 배포 속도를 높이기 위해 오픈 소스를 활용합니다. 그러나 이러한 조직은 보안 검사 및 검토 프로세스에서 오픈 소스 구성 요소를 누락하는 경우가 많습니다. 이러한 구성 요소는 애플리케이션 포트폴리오의 일부가 되므로 사용자 지정 코드와 동일한 수준으로 면밀히 검토해야 합니다. 여기에는 서버 측 구성 요소(예: NPM 패키지, 라이브러리)와 클라이언트 측 구성 요소가 모두 포함됩니다.

이제 애플리케이션이 조직의 목표 달성에 더욱 중요한 역할을 하면서, 애플리케이션의 증가 속도가 대부분의 조직이 운영 규모를 확장할 수 있는 역량을 앞지르고 있습니다. 경계 보안에 의존하는 기존 모델은 확장성이 부족하며 위협 방지 효과에도 한계가 있습니다. 보안이 취약한 대상이 침해되면 고가치 자산이 위험에 처하게 됩니다. 새로운 아키텍처와 배포 모델은 기존 보안 체계에 또 다른 과제를 안겨 줍니다. 애플리케이션은 여러 지역에 분산 배포되고 있으며, 성능 향상을 위해 멀티 클라우드 애플리케이션 서비스를 사용하고 있습니다. 한편, 애플리케이션과 관련된 공격 표면은 기하급수적으로 확대되고 있습니다.

애플리케이션과 보안에 취약한 대상 가까이에서 지속적으로 모니터링하는 것은 성능을 유지하면서 보안을 확보하는 데 중요합니다. 지능형 클라우드 보안을 통합하면 애플리케이션과 연계하여 위협을 신속하게 완화하고 민감한 데이터를 보호할 수 있습니다. 소규모 데이터 유형을 클라우드로 전송한 후, 클라우드에 저장된 수백만 개의 아티팩트와 비교하여 잠재적 위협을 식별할 수 있습니다. 이를 통해 클라이언트가 봇인지 실제 사용자인지 판단할 수 있습니다.

A 사기 감소 서비스는 애플리케이션과 연동하여 악의적 행위자와 상호 작용하고, 더 다양한 유형의 데이터를 확보하며, 대규모 사기를 방지할 수 있습니다. 전체 사기 프로필을 조직의 지속적 모니터링 시스템에 전달하여 조치를 취하고, 공격의 확산을 막고, 침해된 시스템의 위치를 파악하며, 감염된 시스템에서 위협을 제거하기 위한 절차를 제공할 수 있습니다. 분석가는 추가 분석을 위해 해당 정보를 운영팀에 제공할 수 있습니다.

멀티 클라우드와 SaaS를 유리하게 활용하세요

상황이 이미 충분히 복잡한 가운데, 연방 기관들은 유연성을 높이고 가용성을 향상하며 특정 공급업체에 대한 종속성을 줄이는 한편, 경우에 따라 비용 절감 효과까지 누리기 위해 멀티 클라우드 및 SaaS 배포로 전환하고 있습니다. 문제는 예산 범위를 초과하지 않으면서 하이브리드, 멀티 클라우드 및 SaaS 아키텍처 전반에서 표준화되고 안전하며 원활한 애플리케이션 경험을 어떻게 제공할 것인가입니다.

기관은 신뢰할 수 있는 인터넷 연결 지점에서 경계 보안 솔루션을 사용하여 SaaS 및 멀티 클라우드 환경과의 연결을 보호할 수 있습니다. 그러나 기관이 사용할 수 있는 연결 지점이 제한되어 있어 성능 문제가 발생할 수 있습니다. 외부에 공개된 애플리케이션은 보안을 위해 이러한 지점을 통과해야 하므로 지연 시간이 늘어납니다. 보안을 위해 트래픽이 우회하는 이른바 "트롬본" 방식이 요구되면서 확장 가능한 고성능 애플리케이션의 이점이 사라집니다.

경계 보안 솔루션 역시 정적 시그니처에 의존합니다. 새로운 위협이 발생하여 보안 클라우드 제공업체에서 해당 위협을 분석했더라도, 공격을 방지하는 데 필요한 정보가 경계 보안 시스템으로 전달되지 않습니다. 시그니처가 업데이트되기까지 하루 또는 일주일이 걸릴 수 있습니다. 시그니처가 최종적으로 개발되어 경계 보안 시스템에 업데이트될 때쯤에는 중요 자산이 이미 침해되었을 수 있습니다.

애플리케이션 서비스 표준화

애플리케이션을 보호, 관리 및 최적화하기 위해 도입하는 솔루션인 멀티 클라우드 및 SaaS 애플리케이션 서비스를 표준화하면 멀티 클라우드 아키텍처에 수반되는 운영 복잡성을 줄일 수 있습니다.

예를 들어, 공급업체별 메시지 큐잉 서비스를 사용해야 하는 것처럼 특정 플랫폼에 종속된 서비스보다 코드 기반 API 호출 및 이벤트 기반 시스템과 같이 엔터프라이즈 애플리케이션 수준에서 작동하는 서비스가 관리하기도 더 쉽고 기능도 더 강력합니다. 모든 애플리케이션에 동일한 기능 세트를 적용하면 운영 부담을 줄일 수 있습니다. 조직은 가능한 한 많은 애플리케이션 서비스에 표준 플랫폼을 도입함으로써 자동화를 확대하고 코드를 더 많이 재사용하여 일관되고 예측 가능하며 반복 가능한 운영 프로세스를 구현할 수 있습니다.

엔터프라이즈 애플리케이션 전략 수립

클라우드 네이티브 조직 중 상당수가 IT 부서조차 두지 않는 시대에, 기존의 IT 아키텍처와 운영 프로세스는 애플리케이션 개발자와 DevOps 팀의 기대에 크게 미치지 못합니다. 애플리케이션을 더 빠르게 출시하려다 보면 기존 네트워크 및 보안 팀은 물론, 관련 보안 및 운영 프로세스까지 우회하는 경우가 많습니다. 실제로 기업의 애플리케이션 포트폴리오를 보호하려면 기술뿐만 아니라 인력과 프로세스도 그만큼 중요합니다.

이처럼 무분별하게 확장된 멀티 클라우드 환경 전반에서 성능과, 더 중요하게는 위험을 관리하기 위해 조직들은 해결책을 절실히 찾고 있습니다. 애플리케이션이 어디에 있든 솔루션은 일관된 정책의 배포, 위협 관리, 가시성 확보, 애플리케이션 상태 및 성능 모니터링을 지원해야 합니다. 적합하지 않은 솔루션으로 인해 애플리케이션 개발팀과 DevOps 팀의 혁신성과 민첩성이 저해되면 디지털 트랜스포메이션의 이점이 쉽게 퇴색될 수 있습니다.

애플리케이션의 가치와 위험이 갈수록 커짐에 따라, 모든 연방 기관은 엔터프라이즈 포트폴리오 내 애플리케이션의 구축/도입, 배포, 관리 및 보안 방식을 포괄하는 엔터프라이즈 애플리케이션 전략을 수립해야 합니다.

0단계: 애플리케이션 전략 목표를 조직의 사명에 맞게 조정

요약: 이 기회를 활용하여 연방 기관의 사명과 목표에 부합하는 엔터프라이즈 애플리케이션 전략을 수립하세요.

디지털 혁신의 핵심은 번거로운 수작업 프로세스를 효율적이고 데이터가 풍부한 애플리케이션으로 대체하는 것입니다. 따라서 엔터프라이즈 애플리케이션 전략의 궁극적인 목표는 조직이 임무를 수행하는 데 필요한 디지털 역량을 직접 강화하고 가속화하며 보호하는 것이어야 합니다. 이 목표에 부합하지 않는 애플리케이션이나 관련 애플리케이션 서비스는 우선순위를 낮춰야 합니다. 우선순위가 높은 애플리케이션에는 추가 리소스와 보안을 제공하고, 우선순위가 낮은 자산에는 공유 리소스를 사용할 수 있습니다.

이러한 조율은 현 상태를 고려하는 것도 의미하며, 여기에는 현재의 엔터프라이즈 데이터 전략, 규정 준수 요구 사항, 조직의 전반적인 위험 프로필을 면밀히 검토하는 것이 포함됩니다.

많은 경우, 이러한 다양한 요인으로 인한 제약과 그것이 애플리케이션 개발 팀의 민첩성에 미치는 영향은 충분히 파악되지 않았을 가능성이 큽니다. 귀 기관의 엔터프라이즈 애플리케이션 전략은 혁신, 민첩성, 위험이라는 상충하기 쉬운 요소들 사이에서 어느 정도의 균형을 추구할 것인지 명확히 해야 합니다.

1단계: 애플리케이션 인벤토리 구축

요약: 현대화를 시작하기 전에 전체 애플리케이션 인벤토리를 구축해야 합니다.

엔터프라이즈 애플리케이션 전략을 수립할 때 대부분의 팀은 처음부터 새롭게 시작할 수 있을 만큼 운이 좋지 않습니다. IT 업계의 거의 모든 조직은 수십 년에 걸쳐 서로 다른 시스템을 계속 작동하도록 간신히 유지해 온 레거시 시스템 위에 억지로 결합한 결과물인 기술 아키텍처를 물려받습니다. 이러한 문제는 민간 부문보다 미국 연방 정부에서 특히 심각할 수 있습니다. 이처럼 서로 조화를 이루지 못하는 기술 요소를 원하는 목표 상태로 깔끔하게 마이그레이션하기란 결코 쉽지 않습니다. 따라서 더 면밀한 현황 파악과 분석이 필요합니다.

지나치게 단순한 이야기처럼 들릴 수 있지만, 무언가를 제대로 보호하려면 먼저 그것이 존재한다는 사실을 파악한 다음, 그 상태를 정확하게 모니터링할 수 있어야 합니다. 하지만 일부 예외를 제외하면 대부분의 조직은 보유한 애플리케이션의 수조차 확신을 갖고 보고하지 못하며, 해당 애플리케이션이 정상적이고 안전한지는 더더욱 파악하지 못합니다. F5 Labs 2018 애플리케이션 보호 보고서에 따르면 IT 보안 리더의 62%는 조직 내 모든 애플리케이션을 파악하고 있다는 데 거의 또는 전혀 확신이 없는 것으로 나타났습니다.

애플리케이션 인벤토리에 포함할 항목

애플리케이션 인벤토리는 모든 애플리케이션 전략의 가장 기본적인 요소입니다. 이는 내부용, 유관 기관용(예: 다른 정부 기관) 또는 외부용(예: 일반 대중)으로 제공되는 모든 애플리케이션을 정리한 목록으로, 다음 항목을 포함합니다:

• 애플리케이션 또는 디지털 서비스가 수행하는 기능에 대한 설명
• 애플리케이션의 출처(예: 자체 개발, 패키지 소프트웨어 또는 타사 서비스)
• 애플리케이션이 액세스하거나 조작해야 하는 주요 데이터 요소
• 애플리케이션이 통신하는 기타 서비스
• 애플리케이션의 일부를 구성하는 오픈 소스 및 기타 타사 구성 요소
• 애플리케이션에 대한 책임을 지는 개인 또는 그룹

인벤토리 구축 방법

애플리케이션 인벤토리를 처음 구축하는 작업은 대개 많은 수고와 시간이 필요합니다. 미승인 애플리케이션을 손쉽게 찾아내는 한 가지 방법은 애플리케이션 인벤토리를 허용 목록으로 활용하는 것입니다. 허용 목록에 없는 애플리케이션은 네트워크와 같은 기업 리소스에 접근할 수 없도록 하는 방식입니다. 조직 외부에서 사용되는 애플리케이션을 추적하려면 클라우드 액세스 보안 브로커(CASB)와 같은 도구가 매우 유용할 수 있습니다. CASB는 사용자와 인터넷 사이에서 모든 애플리케이션 활동을 모니터링하고 보고합니다. 이를 통해 직원들이 가장 많이 사용하는 애플리케이션과 그 접근 방식을 파악할 수 있을 뿐만 아니라 섀도 IT 애플리케이션의 사용 현황도 확인할 수 있습니다.

DevOps 아키텍처 모델을 도입하고 애플리케이션을 여기에 통합하면 향후 인벤토리 관리 프로세스를 간소화할 수 있습니다. 애플리케이션의 우선순위가 결정되고 멀티 클라우드 또는 SaaS 환경에 배치되면 개발자는 오픈 소스 도구(예: Ansible, GitHub)를 사용하여 배포를 패키징할 수 있습니다. 이후 보안 서비스, 패치 관리 및 코드가 포함된 이러한 도구를 통해 배포가 관리됩니다. 인벤토리 정보는 중앙 집중화되어 신속하게 제공될 수 있습니다. 따라서 애플리케이션이 클라우드 또는 SaaS 환경에 있더라도 조직에서 이를 식별할 수 있습니다.

FedRAMP 고려 사항

애플리케이션 인벤토리의 정확성을 확보하는 데 들이는 모든 시간은 FedRAMP 시스템 경계를 신속하게 정의하는 역량 향상에 직접적으로 기여합니다. 또한 인증 기관의 요청이 있을 때 애플리케이션 인프라 또는 애플리케이션의 개별 구성 요소를 담당하는 주체를 훨씬 더 정확하고 신속하게 파악할 수 있습니다.

마지막으로, FedRAMP 대응은 지속적으로 수행해야 하며, 경우에 따라 연 1회 이상 실시해야 합니다. 이는 현재 사용 중인 애플리케이션과 데이터 저장소를 파악하고, 사용자의 요구 사항을 모니터링하며, 개발 환경이 어떻게 변화하고 있는지 평가하는 상시 프로세스입니다.

2단계: 각 애플리케이션의 사이버 위험 평가

요약: 보안 조치를 결정할 때 각 애플리케이션의 개별 위험 수준을 살펴보고, 적용되는 모든 규정 준수 요건을 함께 고려하세요.

사이버 위험은 미국 정부 기관의 IT 리더들에게 갈수록 커지는 중대한 우려 사항입니다. 이에 대응하려면 먼저 각 애플리케이션의 사이버 위험을 평가해야 합니다.

인벤토리에 포함된 각 애플리케이션은 다음 네 가지 주요 사이버 위험 유형을 기준으로 검토해야 합니다:

1. 민감한 내부 정보(예: 군사 기밀) 유출
2. 민감한 고객/사용자 정보(예: 인사 기록, 납세 이력) 유출
3. 데이터 또는 애플리케이션 변조
4. 데이터 또는 애플리케이션에 대한 서비스 거부

사이버 위험과 관련하여 디지털 서비스의 중요도는 위의 범주에 따라 사이버 공격이 해당 서비스에 미칠 재정적 또는 평판상의 영향을 고려해 평가해야 합니다. 조직마다 특정 서비스의 잠재적 손실 수준을 다르게 판단하므로, 각 조직은 정의된 임무를 바탕으로 자체적으로 추정해야 합니다. 예를 들어 FISMA는 임무 또는 비즈니스 사례에 대한 기관 차원의 위험을 판단하도록 요구합니다. 그러나 임무에 적용되는 규정 준수 기준이 필연적으로 강화될 때에 대비하려면 애플리케이션 수준의 위험도 함께 검토하는 것이 실용적인 경우가 많습니다.

규정 준수 고려 사항

조직의 위험을 산정할 때 관련 규정, 지침 및 계약을 준수하지 않을 위험이 포함되기도 합니다. 연방 기관에는 수많은 규정과 표준이 적용되므로, 애플리케이션과 디지털 서비스를 평가할 때 이를 모두 고려해야 합니다. 애플리케이션과 연계된 사이버 위험 평가 모델을 구축하면 서비스 범위를 관리 가능하고 적절한 세분성의 그룹으로 좁힐 수 있어, CDM/ConMon 요구 사항부터 FedRAMP 규정 준수에 이르는 요건을 충족하는 과정이 수월해집니다.

SaaS를 통한 규정 준수 간소화

SaaS 서비스를 사용하면 조직의 규정 준수 부담을 줄일 수 있습니다. 애플리케이션 위험 및 규정 준수에 대한 책임은 SaaS 제공업체에 있습니다. 따라서 조직은 맞춤형 애플리케이션에 집중할 수 있습니다.

사용자 계정, 금융 데이터 및 개인 정보를 보호하기 위해 애플리케이션에 클라우드 보안 서비스를 통합하는 방안을 고려하세요. 클라우드 보안 서비스에는 수백만 개의 데이터 포인트가 있으며, 애플리케이션은 이를 활용해 클라이언트가 악의적인 행위자인지 실제 사용자인지 판단할 수 있습니다. 데이터 포인트가 지속적으로 업데이트되므로 새로운 위협을 식별할 수 있습니다. 규칙을 애플리케이션에 실시간으로 적용할 수 있으며, 기존 엔터프라이즈 보안 전략과 연계할 수도 있습니다.

3단계: 필요한 애플리케이션 서비스 결정

요약: 애플리케이션이 보이지 않는 곳에서 실행되도록 지원하는 솔루션인 애플리케이션 서비스 중 조직에 필요한 것이 무엇인지 파악하세요.

애플리케이션은 단독으로 운영되는 경우가 드물기 때문에 애플리케이션 인벤토리와 함께 앱을 구동하는 애플리케이션 서비스도 관리하고 추적해야 합니다. 애플리케이션 서비스는 애플리케이션의 속도, 이동성, 보안 및 운용성을 향상하기 위해 애플리케이션 개발자에게 제공되는 패키지형 솔루션입니다. 앱 서비스는 애플리케이션 워크로드에 다음과 같은 몇 가지 중요한 이점을 제공합니다:

• 속도: 애플리케이션 워크로드의 성능과 신속하게 제공할 수 있는 능력.
• 이동성: 애플리케이션 워크로드를 한 물리적 또는 논리적 호스팅 사이트에서 다른 사이트로 손쉽게 이동할 수 있는 능력.
• 보안: 애플리케이션 워크로드 및 이와 관련된 데이터를 보호하는 기능입니다.
• 운영성: 애플리케이션 워크로드를 쉽게 배포하고 지속적으로 원활하게 실행하며, 장애 발생 시 쉽게 문제를 해결할 수 있도록 보장하는 것입니다.

종속 애플리케이션 서비스를 찾는 좋은 방법은 해당 환경의 FISMA 또는 FedRAMP 시스템 보안 계획에서 통제 항목을 살펴보는 것입니다. 이를 통해 보안 중심의 애플리케이션 서비스와 이에 종속된 기타 서비스가 있는지 파악할 수 있는 경우가 많습니다.

모든 애플리케이션이 애플리케이션 서비스의 이점을 누릴 수 있지만, 모든 애플리케이션에 동일한 애플리케이션 서비스가 필요한 것은 아닙니다.

일반적인 애플리케이션 서비스는 다음과 같습니다:

• 부하 분산
• DNS 전송
• 글로벌 서버 부하 분산
• 웹 애플리케이션 방화벽
• DDoS 예방/보호
• 애플리케이션 모니터링 및 분석
• ID 및 액세스 관리
• 애플리케이션 인증
• API 게이트웨이
• 컨테이너 인바운드 및 아웃바운드 트래픽 제어
• SSL 암호화

비용, 보안 및 성능 간의 균형

모든 애플리케이션 서비스에는 서비스 자체에 드는 직접 비용과 운영 유지 관리에 드는 간접 비용이 어느 정도 발생합니다. 우선순위가 낮은 애플리케이션은 공유 기능을 사용하여 비용을 절감할 수 있습니다. 공유 기능은 보안을 제공하고 성능을 유지합니다. 고가치 자산은 조직의 생산성에 매우 중요하므로 더 많은 리소스가 필요합니다.

많은 앱 서비스가 특정 범주의 애플리케이션만 지원하도록 특별히 설계되었다는 점에 유의해야 합니다. 예를 들어 IoT 앱을 제공하도록 설계된 애플리케이션에만 IoT 게이트웨이가 필요합니다. 기존 아키텍처로 제공되는 애플리케이션에는 컨테이너화된 환경을 대상으로 하는 앱 서비스가 필요하지 않으므로, 인그레스 제어 및 서비스 메시 애플리케이션 서비스가 적용되지 않을 수 있습니다.

경우에 따라 규정 준수를 보장하거나 위험을 줄이기 위해 새로운 애플리케이션 서비스를 도입해야 할 수 있습니다. 최소한의 기준 통제만으로도 기술적으로는 규정 준수 표준을 충족할 수 있지만, 이에 안주하려는 유혹을 항상 경계하고 사이버 위험에 대한 대응 역량을 강화하는 애플리케이션 서비스를 선택해야 합니다.

4단계: 애플리케이션 범주 정의

요약: 애플리케이션을 유형, 우선순위 및 요구 사항에 따라 논리적으로 그룹화합니다.

애플리케이션 인벤토리 작성이 완료되면, 다음 단계는 서로 다른 관리 및 애플리케이션 서비스 접근 방식이 필요한 특성(예: 민감한 데이터에 대한 액세스, 더 많은 위협에 대한 노출)을 기준으로 애플리케이션을 논리적인 범주로 그룹화하는 것입니다.

애플리케이션을 분류한 후에는 각 애플리케이션의 중요도와 엔터프라이즈 분류에 따라 애플리케이션 유형별로 적용할 성능, 보안 및 규정 준수 프로필을 엔터프라이즈 애플리케이션 정책에 명시해야 합니다.

먼저 네 가지 기본 등급으로 시작하는 것이 좋습니다.

티어 1

애플리케이션 특성
중요 자산으로 간주되며 민감한 데이터를 수집하고 변환하는 미션 크리티컬 디지털 서비스이기도 한 애플리케이션

필수 애플리케이션 서비스
부하 분산, 글로벌 서버 부하 분산, 웹 애플리케이션 방화벽, DDoS 보호/방지, 봇 탐지, SSL 암호화 및 복호화, 사용자 ID 및 액세스 관리, 애플리케이션/서비스 ID 및 인증, 애플리케이션 가시성/모니터링

추가 특성
애플리케이션 서비스는 애플리케이션과 가까운 위치에 배치되며 애플리케이션 배포에 통합됩니다. 지능형 클라우드 서비스를 사용하여 사용자 계정, 신용카드 정보 및 개인 정보와 같은 민감한 데이터를 보호합니다.

2단계

애플리케이션 특성
민감한 데이터에 대한 액세스를 제공하는 미션 크리티컬 디지털 서비스

필수 애플리케이션 서비스
부하 분산, 글로벌 서버 부하 분산, 웹 애플리케이션 방화벽, DDoS 보호/방지, 봇 탐지, SSL 암호화 및 복호화, 사용자 ID 및 액세스 관리, 애플리케이션/서비스 ID 및 인증, 애플리케이션 가시성/모니터링

추가 특성
지능형 클라우드 서비스를 사용하여 사용자 계정, 신용카드 정보 및 개인정보와 같은 민감한 데이터를 보호합니다.

3단계

애플리케이션 특성
민감한 데이터를 수집하거나 이에 대한 액세스를 제공하지 않는 미션 크리티컬 디지털 서비스

필수 애플리케이션 서비스
부하 분산, 글로벌 서버 부하 분산, DDoS 방어/차단, 애플리케이션 가시성/모니터링

추가 특성
공유 서비스를 사용하여 비용을 절감할 수 있습니다. 지능형 클라우드 서비스를 활용해 사용자 계정, 신용카드 정보 및 개인 정보와 같은 민감한 데이터를 보호하세요.

티어 4

애플리케이션 특성
기타 디지털 서비스

필수 애플리케이션 서비스
부하 분산, 애플리케이션 가시성/모니터링

추가 특성
공유 서비스를 사용하여 비용을 절감할 수 있습니다.

분류에서의 가치

애플리케이션이 직면하는 위협은 호스팅되는 환경에 따라 달라지므로, 이 분류를 배포 환경(예: 온프레미스, 퍼블릭 클라우드)에 따라 구분하도록 더욱 세분화할 수 있습니다.

이러한 방식으로 목표의 우선순위를 정하면 배포하는 애플리케이션을 적절한 FISMA/FedRAMP 수준으로 손쉽게 사전 분류할 수도 있습니다. 이 단계에서 약간의 시간을 들여 임무 목표의 체계를 수립해 두면 나중에 감사자와 논의하는 데 드는 시간을 크게 줄일 수 있습니다.

어떤 조직도 원하는 모든 일을 적절한 기간 내에 수행할 만큼 충분한 리소스를 보유하고 있지는 않습니다. 애플리케이션의 우선순위를 정하면 애플리케이션 서비스로 보강해야 할 앱, 현대화하거나 교체해야 할 앱, 노력할 가치가 없는 앱을 선별해 대응할 수 있습니다. 마지막 범주에 속하는 앱은 네트워크에서 분리하여, 무해해 보이는 IoT 온도 조절기가 전체 네트워크 침해로 이어지는 상황을 방지해야 합니다. 또한 이 과정에는 새로운 가치 흐름을 창출할 수 있는 신규 애플리케이션을 검토하고, 이를 내부에서 개발할지 아니면 타사에서 조달할지 결정하는 작업도 포함됩니다.

5단계: 애플리케이션 배포 및 관리를 위한 매개변수 정의

요약: 배포 및 사용 매개변수를 정의합니다.

모든 IT 전략의 근간에는 항상 배포 및 운영 관리가 자리해 왔으며, 현대적인 엔터프라이즈 애플리케이션 전략에는 몇 가지 새로운 고려 사항(예: 최종 사용자 경험의 중요성)이 추가됩니다. 여기에는 다음 사항에 대한 검토가 포함됩니다:

• 지원되는 배포 아키텍처(예: 하이브리드 클라우드, 멀티클라우드)
• 각 애플리케이션 범주별 배포 모델 옵션
• 애플리케이션의 액세스 지점 역할을 할 수 있는 퍼블릭 클라우드
• 퍼블릭 클라우드 네이티브 서비스를 서드 파티 서비스와 비교해 어느 정도까지 활용할 수 있는지

애플리케이션마다 배포 및 사용 모델에 대한 요구 사항이 다릅니다. 애플리케이션 전략을 수립하는 이 단계에서는 다양한 배포 옵션을 명확히 파악해야 합니다. 각 옵션은 사용 모델, 비용 영향, 규정 준수/인증 프로필이 서로 다를 수 있습니다.

배포 모델을 선택할 때는 보유한 기술 역량과 인재를 파악하여 의사 결정에 반영하는 것도 현명합니다. 예를 들어 AWS를 관리할 사내 인력이 부족하고 외부 계약 인력을 활용하기도 어려운 상황에서 AWS 배포를 선택하면 진행 속도가 느려지고 위험이 커질 수 있습니다.

배포 및 관리 메커니즘 자체도 기관이 임무 수행을 위한 표준으로 사용하는 FISMA 또는 FedRAMP ATO/P-ATO에 따른 승인을 받아야 할 수 있다는 점을 절대 잊지 마십시오.

6단계: 역할과 책임 명확히 하기

요약: 엔터프라이즈 애플리케이션 전략의 각 요소에 대한 책임 소재를 명확히 하세요.

목표와 우선순위를 명확히 제시하는 것 외에도, 엔터프라이즈 애플리케이션 전략에는 역할과 책임에 관한 요소도 포함되어야 합니다.

다음 사항을 숙지해야 합니다:

• 애플리케이션 포트폴리오의 최적화 및 보안과 관련된 의사결정 권한(예: 기술 선정, 애플리케이션 처분, 사용자 액세스 관리)은 누구에게 있습니까?
• 각 애플리케이션에 대한 권한 있는 사용자 액세스 권한은 누가 보유하고 있습니까?
• 각 환경에서 각 애플리케이션의 배포, 운영 및 유지 관리는 누가 담당합니까?
• 엔터프라이즈 애플리케이션 정책 준수에 대한 책임은 누구에게 있습니까?
• 엔터프라이즈 애플리케이션 전략 목표의 준수 여부는 누가 모니터링합니까? 그리고 관련 지표는 누구에게 보고합니까?
• 오픈 소스 및 타사 구성 요소/서비스 제공업체를 포함한 공급업체의 규정 준수 여부는 누가 모니터링합니까?
• 애플리케이션과 서비스가 계속 변경되고 추가/제거되는 상황에서, 모든 애플리케이션과 애플리케이션 서비스가 빠짐없이 파악되도록 누가 관리할 것인가요?

이러한 책임은 개인이나 여러 부서로 구성된 위원회, 또는 부서 전체에 부여될 수 있습니다. 어떤 경우든 책임을 명확하게 규정해야 합니다. 실제로는 규정 준수 체계에서 요구하는 수준보다 더 구체적으로 정의해야 할 수도 있습니다.

더 성숙한 조직은 애플리케이션을 처음 구상하는 개발 초기 단계부터 이러한 책임을 할당하기 위해 운영 프로세스와 자동화를 도입할 것입니다. 핵심 기능을 지원하는 수백 개, 나아가 수천 개의 애플리케이션이 존재하는 멀티클라우드 환경에서는 애플리케이션 전략과 관련 정책을 통해 책임 소재를 명확히 해야 합니다.

엔터프라이즈 애플리케이션 전략 시행

엔터프라이즈 애플리케이션 전략을 수립한 후에는 그 목적을 달성할 수 있도록 전략을 철저히 이행해야 합니다. 이행 메커니즘에는 프로세스 자동화에 내장된 ‘강제적’ 안전장치(예: 사용자 접근 제어, 코드 체크인 시 취약점 검사)뿐만 아니라 직원 교육, 역량 강화 또는 인식 제고와 같은 ‘유연한’ 조치도 포함되어야 합니다.

강력한 액세스 제어 구현

액세스 제어 정책은 엔터프라이즈 애플리케이션 전략에 정의된 운영 역할과 책임을 지원하고, 온프레미스와 클라우드의 모든 애플리케이션에 적용되어야 합니다. 권한 있는 사용자는 애플리케이션에 대한 관리자 또는 루트 권한을 보유하고 있어 정교한 APT의 표적이 되는 등 애플리케이션에 위험을 초래할 수 있으므로, 이들의 액세스에 각별한 주의를 기울여야 합니다.

권한 있는 사용자에게 권장되는 특별 조치는 다음과 같습니다:

• 권한 있는 사용자는 항상 별도의 그룹으로 분리해야 합니다. 액세스 제어 솔루션 내에서 이들을 “고위험”으로 정의하고, 모든 사용자 또는 모든 애플리케이션 분류 등급에는 적용하지 않을 수도 있는 보안 제어를 적용해야 합니다.
• 원격 인증에는 다중 인증 요소를 요구해야 합니다. 유효한 자격 증명을 사용했지만 두 번째 인증 요건을 충족하지 못한 액세스 시도가 발생하거나(공유된 자격 증명이 유출된 사고를 통해 공격자가 유효한 자격 증명을 확보한 경우), 마지막으로 유효하게 로그인한 위치를 기준으로 물리적으로 이동이 불가능한 장소에서 액세스를 시도한 경우(예: 미국에서 로그인에 성공한 지 2시간 후 동일한 사용자가 동유럽에서 로그인을 시도하는 경우), 추가 보안 검토가 완료될 때까지 해당 계정을 잠가야 합니다.
• 관리자 액세스 권한은 업무 수행을 위해 정기적으로 이 수준의 액세스가 필요한 적절한 교육을 받은 인력에게만 부여해야 합니다. 긴급 상황이나 특별 프로젝트를 위해 부여하는 임시 액세스 권한은 별도의 사용자 그룹을 통해 제공해야 하며, 액세스 권한을 회수하지 않은 경우 시스템 관리자에게 알림을 보내도록 자동 사용 모니터링을 설정해야 합니다. 이해 상충을 방지하기 위해 액세스 권한의 적절성을 정기적으로 검토해야 하며, 이 검토는 애플리케이션을 담당하거나 애플리케이션에 대한 액세스 권한을 부여하는 팀과 독립적으로 수행해야 합니다. 권한 있는 사용자가 장기간 계정에 액세스하지 않는 경우, 해당 액세스 권한이 실제로 필요한지 검토해야 합니다.
• 애플리케이션에 대한 모든 권한 있는 사용자의 접근 내역을 적절히 기록해야 합니다. 여기에는 해당 사용자 계정으로 수행된 모든 변경 사항이 포함됩니다.

클라우드에서 액세스 제어에 대해 이 정도 수준의 가시성과 자동화를 확보하는 것은 쉽지 않고 비용도 많이 들 수 있습니다. 일반적으로 이러한 기능은 기본으로 제공되지 않기 때문입니다. 하지만 타사 라이선스를 통해 구현할 수 있으며, 그 중요성을 고려하면 충분히 투자할 가치가 있습니다.

직원 및 관련 이해관계자를 지속적으로 교육하세요

애플리케이션이 꾸준히 증가하고, 공격자가 어떤 애플리케이션을 표적으로 삼을지와 누가 해당 애플리케이션에 접근할 수 있는지를 파악하는 데 활용할 수 있는 정보가 미디어에 넘쳐나는 상황에서 보안 인식 교육은 그 어느 때보다 중요합니다.

스피어 피싱은 공격자들이 주로 사용하는 수법이므로 피싱 교육에 중점을 두어야 합니다. 2018 F5 Labs 피싱 및 사기 보고서에 따르면 직원들에게 10회 넘게 교육을 실시하면 피싱 성공률을 33%에서 13%로 낮출 수 있습니다. 하지만 적절한 자료를 활용한 보안 인식 교육이 충분히 자주 실시되는 경우는 드뭅니다. 규정 준수 요건을 형식적으로 충족하기 위해 만들어진 획일적인 인식 교육 서비스는 직원들이 정보 보안에서 자신의 역할을 이해하지 못하고 이에 대한 개인적인 책임감을 갖지 못하게 할 위험이 있습니다. 침해 위험을 줄이는 것이 목표라면 조직에 맞게 개인화된 교육을 자주 실시하는 것이 바람직합니다.

공격자에게는 쉬는 시간이 없으므로 직원들은 항상 경계를 늦추지 않아야 합니다. 지속적으로 의문을 제기하고 탐구하는 문화는 모든 조직, 특히 연방 정부 부문이나 연방 정부에 제품과 서비스를 공급하는 기업에서 기본 원칙으로 자리 잡아야 합니다. 직원들은 자신이 애플리케이션과 데이터에 접근할 수 있기 때문에 공격 대상이 된다는 사실을 인식해야 합니다. 또한 이러한 접근 권한이나 데이터가 적대국에 의해 어떻게 악용되는지, 또는 영리를 추구하는 사이버 범죄자에게 판매된 뒤 적대 세력이 이를 구매하는 방식으로 어떻게 유통되는지도 알아야 합니다.

결론

모든 조직은 디지털 혁신을 성공적으로 추진하기 위해 엔터프라이즈 애플리케이션 전략과 이에 상응하는 정책을 수립하고, 직원들에게 관련 교육을 제공해야 합니다. 레거시, 하이브리드 및 최신 애플리케이션이 광범위하게 혼재하는 연방 정부 환경에서는 이것이 특히 중요합니다. 안정적이고 안전하며 승인된 디지털 서비스를 성공적으로 제공하려면 반드시 필요합니다.

애플리케이션은 모든 조직의 디지털 혁신에서 핵심적인 역할을 하며, 소프트웨어 개발 및 배포 방식이 빠르게 변화함에 따라 조직에 가장 큰 가치를 창출하는 원천인 동시에 가장 큰 취약점의 원천이기도 합니다. 여기에서 설명하는 애플리케이션 전략 및 정책 구성 요소는 모든 조직이 디지털 비전을 안전하게 실현하는 데 필요한 필수 기반을 제공합니다. 애플리케이션 포트폴리오의 위험 수준이 날로 높아지고 있는 만큼, 조직은 신속하게 전략과 정책을 공식화해야 합니다.

_{¹ 미국 관리예산처의 클라우드 스마트 전략
² F5 Labs: 10년간의 데이터 침해에서 얻은 교훈
³ 범죄자들이 카지노 데이터를 훔치기 위해 어항을 해킹하다, Forbes
⁴ 기본적인 네트워크 세분화 오류로 발생한 Target 침해 사고, ComputerWorld
⁵ 2018년 소프트웨어 공급망 현황, Sonatype}

2021년 1월 11일 게시