조규곤 파수 "보안제품 수만 늘리는 제로트러스트는 틀렸다"

"제로트러스트를 원칙으로 보안을 재설계해야 하지만, 컨트롤 포인트가 늘어나면 복잡성이 커져 오히려 보안에 해가될 수 있다. 결국 제로트러스트라는 원칙 아래 제품들이 서로 통합돼는 시큐리티 플랫폼으로 진화해야 한다."

조규곤 파수 대표는 21일 서울 여의도 콘래드호텔에서 개최한 '파수디지털인텔리전스(FDI)2022' 미디어 간담회에서 파수의 제로트러스트 구현 전략을 소개하며 이같이 말했다.

제로트러스트는 암묵적인 신뢰를 없애고 (no implicit trust), 모든 단계에서 항상 검증해야 한다는 새로운 보안 원칙이다. 이전에는 사용자를 인증하고 네트워크에서 보안 검증을 거친 이후에는 더 이상 보안 검증을 요구하지 않는 경우가 많았다. 제로트러스트 원칙에서는 검증을 통해 네트워크에 안에 들어온 사용자도 계속적으로 모니터링하고 워크로드, 애플리케이션, 데이터에 접근할 때마다 추가로 검증할 것을 권장한다.

조 대표는 이날 제로트러스트 원칙을 적용해 실질적으로 보안성을 강화하려면 반드시 복잡성을 줄이는 단순화(simplify)를 함께 고려해야 한다고 강조했다.

"제로트러스트를 개념을 채택하면 컨트롤 포인트가 많아질 수밖에 없는데, 그러면 보안 제품이 많아지고 보안 정책의 일관성이 떨어지며 로그 통합도 어려워져 오히려 보안을 해칠 수 있다"는 설명이다.

조 대표만 이런 관점을 제시하는 것은 아니다. 이달 초 가트너가 미국 메릴랜드 내셔널하버에서 개최한 '가트너 시큐리티 서밋 2022'에서도 보안의 재정의와 단순화(reFRAME and simplify)가 핵심 주제로 다뤄졌다. 파수는 국내 기업 중 유일하게 이번 서밋에 참가했다.

조 대표는 "가트너 역시 올해 시큐리티 서밋을 통해 제로트러스트 관점으로 보안을 다시 보면 점검단계가 굉장히 많아지기 때문에 솔루션이 많아질 것 같지만, 결국 솔루션은 통합돼야 한다는 메시지를 전달했다"고 소개했다.

이어 조 대표는 "제로트러스트라는 원칙으로 보안을 다시 디자인하면서도 정책은 통합되고 로그는 연계될 수 있어야 한다"며 "결과적으로 '시큐리티 플랫폼'으로 복잡성을 줄이는 것이 중요하다"고 강조했다.

파수의 데이터보안 제품 라인업도 제로트러스트 관점에서 재정비했다. 6개 제품인 ▲통합문서보안 솔루션(FED) ▲데이터 식별·분류 솔루션(FDR) ▲사용자 행동기반 위험관리 솔루션(FRV) ▲문서추적 및 통합로그관리 솔루션(FILM·필름) ▲차세대 문서관리 솔루션(랩소디) ▲외부협업솔루션(랩소디 에코)를 데이터 라이프사이클에 따라 하나의 제품처럼서로 연계해서 쓸 수 있도록 했다.

조 대표는 "파수는 데이터보안 제품을 제로트러스트 관점으로 재설계했고, 그 결과 '파수 데이터 시큐리티 플랫폼'으로 구성했다"고 소개했다.

파수는 데이터 솔루션을 '데이터 시큐리티 플랫폼'으로 묶으면서 ▲콘텐츠ID ▲로그 ▲정책을 기반이 되는 핵심 기능으로 구성했다.

콘텐츠ID는 파일 하나 하나에 부여되는 고유한 식별정보다. 데이터 라이프 사이클 상 데이터를 사용하는 단계마다 검증이 가능하도록 하는 장치로 작동한다. 조 대표는 "데이터가 저장돼 있을 때나 네트워크를 통해 트랜잭션이 일어날 때, 열람이 됐을 때도 검증이 필요하다. 이런 데이터 라이프 사이클 상에서 데이터를 통합 관리할 수 있게 하는 핵심 기능이다"고 설명했다.

로그 통합도 중요하다. 파수 데이터 시큐리티 플랫폼에서 가장 중요한 역할을 맡은 솔루션은 로그관리 기능을 제공하는 '필름'이됐다. 조 대표는 "제로트러스트 관점에서 로그통합 관련 제품인 '필름'을 가장 강조하고 있다"며 "이제 다른 제품을 도입한 기업에 필름을 무조건 제공하하고 있다"고 했다.