탈중앙화와 사이버 보안의 교차점

2020년 4월 23일

디지털 혁신으로 인해 IT는 데이터 중력 장벽을 제거하고 유비쿼터스 및 온디멘드 방식 운영을 수용하는 분산형 인프라를 향해 재설계해야 합니다. 그러나 이로 인해 더 많은 진입 지점과 함께 새로운 보안 문제가 발생할 수 있습니다.

변화하는 IT 보안 환경에 대비하기 위해 준비해야 할 것은 무엇일까요? 기업이 물리적 및 사이버 보안 전략을 수립할 때 고려해야 할 모범 사례에 대해 자세히 알아보기 위해 PwC의 사이버 전략, 혁신 및 위험 책임자인 Don Freese를 Digital Realty의 CIO인 Ed Diver와 함께 2019년 11월 뉴욕시에서 열린 MarketplaceLIVE 이벤트에서 라이브 Q&A에 초대했습니다. FBI의 글로벌 데이터 개인 정보 보호 부서에서 22년 이상의 경험을 쌓은 Don은 풍부한 지식과 경험을 바탕으로 다음과 같은 생각을 공유했습니다.

• 클라우드가 보안 전략에 제공하는 이점
• 곳곳에 흩어져 있는 데이터와 관련된 위험에 대해 사고하는 방법
• 데이터 중력 장벽과 관련된 보안 관점에서 고유한 과제를 극복하고 분산형 환경으로 이동
• 위기 상황에 대처하는 방법
• 물리적 보안과 가상 보안의 융합에 대한 전망

ED: 클라우드 도입과 관련하여 CEO와 CSO에게 어떤 조언을 해주시겠습니까? 클라우드에 어떻게 접근해야 하며 클라우드가 보안 전략에 제공할 수 있는 이점은 무엇입니까?

DF: 첫 질문으로 시작하기에 좋은 질문입니다. 저는 그것이 바로 여러분과 제가 이 자리에 모이게 된 원인이라고 생각합니다. 여러분과 제가 무대에 올라 서로 이야기를 나누게 된 상황을 만들어 준 것이죠.IT 세계를 이끄는 방법에는 여러 가지가 있지만 그 중 하나는 관계가 중요하다는 것이며 우리는 모범을 보이려고 노력하고 있다는 것입니다. CIO로서, 그리고 항상 CSO와 함께 일하며 그 역할을 맡아왔던 사람으로서 여러분과 저는 혁신을 이끌어 나가는 사람들을 저지하고 보안 분야 종사자들과의 큰 간극을 메우지 못하고 예산과 전략을 둘러싸고 대립해 왔습니다.

클라우드 문제는 우리 모두를 압박하는 질문입니다. 가상화할 것인지 아니면 온프레미스 환경에 머물 것인지 말입니다.클라우드는 보안을 위한 훌륭한 원동력이며 대부분의 기업이 특히 데이터 스토리지 측면에서 기술적 결함을 포함하는 레거시 네트워크 상황에서 벗어나는 데 도움이 될 것입니다. 회사가 구식 장비로 이러한 것들을 스스로 관리하려고 하면 패치 책임만으로도 수명 종료 문제가 있습니다.

"클라우드는 보안을 위한 훌륭한 도구이며 대부분의 기업이 레거시 네트워크 상황에서 벗어나는 데 도움이 될 것입니다."

클라우드 공급업체와 매우 책임감 있고 강력한 관계를 맺는 것은 보안 프로그램을 발전시키는 동시에 많은 비즈니스 전략 요소를 충족할 수 있는 좋은 방법입니다. 바로 가치를 더해주죠. 또한 데이터를 보다 중앙 집중화된 위치로 가져오기 시작할 때마다 특정 영역에서 위험이 확실히 추가됩니다. 그러면 공격 표면이 약간 변경됩니다. 그러나 ID를 통해 액세스를 제어하고, 누가 언제 어디서 어떤 데이터를 가져가는지 이해하는 더 많은 전략을 사용할 수도 있습니다. 또한 매우 빠른 방식으로 액세스를 중단시킬 수 있는 기능을 갖추어야 합니다. 솔직히 말하자면 대부분의 레거시 네트워크에서 이는 불가능합니다.

이 전략은 CIO, 전체 전략 기업, 비즈니스 리더십, 사업 부문, 그리고 제품과 협력하여 수행되어야 합니다. 그렇다면 바로 보안이 비즈니스를 쫓아가거나 뒤처지는 것이 아닌 비즈니스를 실현시키는 것이 보이기 시작할 것입니다.

ED: 데이터는 도처에 흩어져 있습니다. 컴퓨팅은 클라우드 및 온프레미스 애플리케이션과 관련하여 어디에나 존재합니다. CIO 또는 CSO는 이와 관련된 위험에 대해 어떻게 생각해야 할까요? 정확한 지점에서 보안 문제를 해결하기 위해서는 작업을 어떻게 분류하고 우선순위를 지정해야 할까요?

DF: 데이터가 도처에 흩어져 있다는 점에서 질문의 첫 번째 부분으로 돌아갑니다. 데이터를 구성하고 데이터가 어디에 있는지, 왜 저장하는지, 어떻게 이동하는지, 내외부의 어떤 고객이 해당 데이터에 액세스해야 하는지 이해하지 못하면 이러한 데이터를 중심으로 네트워크를 보호하려는 시도는 일관성을 잃게 됩니다.

따라서 보안 전략을 데이터 중심 전략으로 전환하는 것은 기업 전체의 데이터를 정리하는 데에도 도움이 됩니다. GDPR이나 CCPA와 같이 변화하는 규제 환경에서 도움이 됩니다.

저는 그 질문을 역으로 초점을 맞추고 싶습니다. 바로 그러한 데이터 세트를 중심으로 얼마나 많은 프라이버시 문제가 존재하는가 입니다.그래서 저는 CIO 업계, 보안 업계, 개인정보 보호 책임자, 일반 위원회, 제품 환경과 함께 한 팀이 되어 "우리 환경에 실제로 얼마나 많은 데이터가 필요한가?"에 대해 이야기할 수 있는 자리를 정말 좋아합니다. 그러면 데이터를 체계화하고 분류하고 신원과 타당한 사항을 기반으로 데이터에 대한 액세스를 제어해 봅시다.

지금은 데이터가 저장되는 위치를 현대화하거나 현대화를 검토해야 할 때이며, 클라우드 환경은 이를 위한 완벽한 방법입니다.

ED: 데이터 중력을 둘러싼 장벽으로 인해 IT 리더는 보다 분산된 환경으로 이동해야 합니다. 이는 보안 관점에서 몇 가지 고유한 과제를 제기합니다.

DF: 우리와 함께 일하는 대부분의 회사는 글로벌 영향력을 가지고 있습니다. 국가별 데이터 거버넌스를 제외하고는 아키텍처를 국가별로 살펴보는 것은 다소 관련성은 적지만 부차적인 접근 방식으로 볼 수는 있습니다.그리고 이를 토대로 수많은 다양한 측면에서 회사에 다음과 같은 이의를 제기할 수 있습니다.

• 이렇게 많은 데이터를 저장하는 이유는 무엇인가요?
• 왜 특정 기간 동안만 사용하나요?
• 운영 측면에서 어떤 유용성이 있나요?

이러한 질문은 기업들이 스스로에게 묻지 않는 질문입니다. 대개 기업은 디지털 혁신 프로젝트나 클라우드 환경으로의 마이그레이션에 대해 논의할 때, 기업이 처리해야 하는 데이터의 양과 현재 저장하는 양에 대해 바로 가정을 취하고 클라우드 환경에 들 비용만 계산합니다. 거기에서 몇 단계 더 나아가 개인정보 보호 규정을 살펴보고 데이터의 비즈니스 용도가 무엇인지 살펴보면, 그 부분을 고려하지 않고 있다는 사실이 놀라울 따름입니다. 그 중에는 저장할 데이터를 줄이거나 정기적인 아카이브(장기 보관)를 최소화하면 효율성을 엄청나게 높일 수 있는 사례가 많습니다.그런 다음에 최신 위협 환경에서 데이터를 복원하는 방법과 그 계획을 세우는 방법과 같은 주제를 살펴보는 겁니다.

실제로 운영에 필요한 데이터에 집중해 보는 것은 어떨까요? 조직에 실제로 수익성이 있는 데이터는 무엇인가요? 아카이브할 수 있는 다른 데이터도 함께 이전하면 어떨까요? 다른 이유로 필요할 수도 있지만, 이제 훨씬 더 저렴하게 저장할 수 있습니다. Digital Realty가 제공하는 환경에서도 마찬가지입니다. 당사는 다양한 회사와 많은 사업을 협업하고 있으며 엄청난 가능성을 열어주는 훌륭한 전략을 보유하고 있습니다.

ED: 많은 CSO와 CEO는 데이터 유출과 유출 시나리오에서 데이터를 복구하는 방법을 걱정하는 데 많은 시간을 할애합니다. 저는 그들이 왜 사전에 계획을 세우지 않았는지 항상 궁금합니다. 이에 대한 의견이 있으신가요?

DF: 네, 걱정스럽습니다. 저희가 실제로 이 분야에서 많이 코칭하는 부분입니다.당사는 회사의 위기 운영을 처리하는 방법에 대해 경영진 및 이사회와 협력합니다. 아시다시피 항상 저와 같은 사이버 보안 전문가가 이러한 유형의 작업을 연습하고 준비하고 계획하는 것에 대해 이야기하죠.그러나 그로부터 두 단계 아래인 기술 수준이나 운영 수준에서 실제로 그러한 활동이 실행되는 것은 보기 힘듭니다.엔지니어링 팀과 인프라 팀 일원들은 어느 수준까지 이해하고 있을까요? 최신 위협이 시스템에 침입할 때 CIO는 무엇을 생각해야 할까요? 아마도 랜섬웨어에서 볼 수 있는 것처럼 빠른 속도로 데이터를 암호화하여 작업을 중단시키는 방식이겠죠.

어떤 종류의 논의와 완화 조치가 이루어지고 있을까요? 현존하는 몇 가지 클라우드 전략에 대한 첫 번째 질문으로 돌아가서 말씀드릴 수 있는 것은 일단 랜섬웨어와 같은 일이 발생하면 해당 환경을 100분의 1초 이내에 오프라인에서 해제할 수 있다는 것입니다. 아무도 사건이 발생했다는 사실조차 알지 못할 것입니다. 그리고 대부분의 레거시 네트워크 환경에서는 갖출 수 없는 기반 요소인 적절한 거버넌스, 적절한 위치, 적절한 스토리지를 통해 데이터를 정리하게 됩니다. 성공적인 클라우드 전략을 구현한 후에 이러한 요소들을 확립하면 그런 걱정은 사라집니다.

ED: 최근 수 년 이내 우리 분야는 물리적 보안만으로는 더 이상 충분하지 않고 가상 보안과 물리적 보안의 융합이 필요해지는 지형으로 바뀌었습니다. 업계에서 이러한 융합을 어떻게 바라보시나요?

DF 물리적 보안과 정보 보안 모델은 완전히 다른 팀인 경우가 많습니다.서로 대화를 나눌 일도 없고 문화적으로 아이디어도 잘 교환하지 않는 팀들입니다. 각 조직을 운영하는 사람들의 성격은 서로 매우 다릅니다. 이제 우리는 물리적 보안 세계에서 일어나는 일을 주도하는 운영 기술이나 IoT를 많이 보유하고 있습니다. 그리고 저는 이것이 좋은 질문이라고 생각합니다. 이러한 네트워크는 보호되는 시스템에 관계없이 대규모 네트워크 스토리지만큼 조직화되어야 하기 때문입니다.제대로 세분화되어 있는지, 아니면 데이터의 메인 백본에 바로 디지털 액세스 제어를 설치하는 방식으로 위협 벡터를 만들었는지도 살펴보아야 합니다.

"지금이야말로 데이터가 저장되는 곳을 사용하거나 현대화해야 할 때이며 클라우드 환경은 이를 위한 완벽한 방법입니다." 안타깝게도 위협 벡터를 만든 [created a threat vector] 경우가 많습니다. 이는 카드 리더기가 어떻게 작동하는지, 공급업체에서 어떻게 판매하는지와 같이 그저 이러한 다양한 요소가 작동하는 방식에 대한 이해가 부족하기 때문입니다. 따라서 물리적 보안팀이 이러한 유형의 작업을 구현하기에 앞서 잠시 멈춰 데이터를 전략적으로 살펴보고 이를 사용하여 논리적으로 액세스가 제어되고 있는지 확인해야 합니다. 그렇다면 이것은 무슨 뜻일까요? 데이터의 경우도 마찬가지입니다. 어떤 사람이 역할이나 적절한 입력 요소를 가지고 있지 않다면, 그에 대한 액세스가 주어져야 합니다.그러나 디지털 카드 리더를 기본 모드로 설정하는 가장 쉬운 방법은 해당 카드가 있으면 들어올 수 있게 하는 것입니다. 마찬가지로 이러한 물리적 공간도 세분화가 중요합니다.

MarketplaceLIVE에 대해 자세히 알아보고 최신 소식을 받아보려면 www.marketplacelive.com에 가입하세요.