[기고] 사이버 보안과 회복탄력성 강화 위한 4가지 조건

매년 주요 기업 정보보호최고책임자나 정부 고위관계자는 미국 블랙햇이나 RSA 컨퍼런스 같은 행사에서 위협 환경과 사이버 보안 현황에 대한 의견을 공유한다.

보통 이런 행사에서는 사이버 전쟁에서 대규모 디도스 공격 증폭, 의료 및 주요 인프라 대상의 랜섬웨어 위협, API 보안의 부족과 소프트웨어 공급망 공격 우려, 음성 복제와 인공지능(AI) 기반 피싱 및 소셜 엔지니어링 공격의 증가와 같은 주제가 핵심 이슈다. 사이버 전선의 상황이 악화될 것이란 전망도 단골 주제다.

위와 같은 도전 과제를 마주하다 보면 혁신과 새로운 솔루션에 대한 기대에 사로잡힌다. 그러나 이런 상황일수록 보안 전문가는 전망과 추측에 휩쓸리기보다 현재를 직시하고 당면한 과제에 집중할 필요가 있다.

사이버 보안에 대해 논하다 보면 먼 미래의 위협과 새로운 보안 기능에 중점을 두는 경향이 있다. 하지만 현실을 들여다보면 다수 기업이 웹 애플리케이션 방화벽(WAF)이나 디도스 방어와 같은 기본적인 부분에서 도움을 필요로 하고 있다. 작년에 발생한 역대급 규모의 디도스 공격이나 최근 발생한 여러 대형 보안 침해 사건은 조직이 현재 사이버 보안 대책을 개선하는 데 집중해야 할 필요성을 시사한다.

오늘날 우리가 처한 현실적인 위협으로부터 스스로를 보호하기 위해서는 보다 신속하게 대응해야 한다. 너무 먼 미래를 내다보거나 해결책을 기다리기만 해서는 안 된다. 이미 기술을 보유하고 있는데도 기본적인 보안을 갖추는 데 어려움을 겪는 조직이 많다. 빠듯한 예산과 사이버 보안 인력난이 지속되는 상황에서, 조직이 보다 효과적으로 보안 노력을 강화할 수 있는 방법에는 무엇이 있을까?

기업은 사이버 보안을 강화하고 현 상황에서 회복탄력성을 갖추기 위해 다음의 네 가지 주요 이니셔티브에 우선순위를 둬야 한다.

우선 임직원 대상 보안 인식 교육을 강화해야 한다. 나날이 진화하는 위협에 대응하기 위해 AI 인식 모듈을 도입하는 방안을 고려할 수 있다. 물론 교육이 모든 걸 해결할 수 없다. 잠재적인 위협을 식별하거나 대응할 능력이 없는 직원을 그대로 방치하기에는 위험성이 너무나 높다. 교육을 시행할 때는 직원에게 책임을 전가하기보다는 직원을 해결책에 동참할 수 있도록 역량을 강화하는 데 목표를 둬야 한다. 주요 공격 타깃인 최고 경영진과 이사진도 교육 대상에 포함해야 한다.

강력한 다중 계층의 보안 제어로 뒷받침되는 제로 트러스트 원칙을 구현해야 한다. 특히 이메일 보관함을 피싱 공격 시도로부터 보호하는 것이 중요하다. 이런 공통 진입점을 보호하면 직원이 실수로 공격 매개체가 될 위험을 크게 줄일 수 있다.

레거시 네트워크 디바이스와 보안 장비를 폐기해야 한다. 이를 관리하는 데 시간과 자원이 소모될 뿐 아니라, 보안 스택에 취약성을 유발할 수도 있다. 보안 기술 스택을 간소화하고 공급업체를 통합해야 한다. 이미 보유하고 있지만 잘 활용하지 않았던 기능을 최대한 활용하는 것이 적합하다.

조직 전체를 점검해 전반적인 복잡성을 줄이고, 공격 표면을 제한하면서 사이버 보안의 기본을 충실히 실행하는 데 다시 초점을 맞춰야 한다. 지나치게 복잡한 시스템을 보호하는 과정에서 리소스가 불균형하게 소비될 수 있기 때문이다. 이런 부분을 파악하고 제거하거나 단순화할 수 있는 요소가 있을지 검토해보는 것이 좋다. 이처럼 보안에 대한 접근 방식을 단순화하고 회복탄력성에 집중할 때, 조직은 보다 효과적인 사이버 보안 조치를 마련하고 현재와 미래의 도전과제에 현명하게 대응할 수 있다.