사이버 보안의 미래: 내년에 일어나지 않을 일들

이 기사의 원문은 Dark Reading에 게재되었습니다. 본 버전은 신디케이션을 위해 업데이트되었습니다.

업계의 많은 보안 전문가들은 매년 다가올 주요 이슈를 예측하는 것을 관례로 삼아왔습니다(저 또한 예외는 아닙니다). 하지만 2019년에 50억 건 이상의 민감한 데이터 기록이 유출된 상황을 고려할 때, 2020년은 물론 가까운 미래의 사이버 보안 분야에서 일어나지 않을 일을 예측하는 것이 더 정확할 것이라고 생각했습니다.

공동 창업자인 마티아스 마두(Matias Madou)와 함께 앉아 이 목록을 작성하며 즐거운 시간을 보냈습니다. 다소 가벼운 마음으로 준비한 전망이지만, 모든 조직을 악의적인 사이버 공격으로부터 보호하기 위해 가야 할 먼 길을 다시금 생각하게 합니다.

이제 수정 구슬을 들여다보고 우리의 예측을 밝혀보겠습니다. 다음은 일어나지 않을 일들입니다:

모든 소프트웨어에서 SQL 인젝션이 완전히 사라지는 것

전 세계의 모든 보안 전문가들은 SQL 인젝션 버그를 식별하느라 지치지 않고 시간을 낭비하는 일이 끝날 날을 기다려왔을 것입니다.

안타깝게도 우리는 20년 넘게 이 날을 기다려왔으며, 적어도 앞으로 1년은 더 기다려야 할 것입니다. 이 취약점은 바퀴벌레처럼 지금까지의 모든 근절 시도에서 살아남았습니다.

해결책이 거의 같은 기간 동안 알려져 왔다는 점을 생각하면 답답할 따름입니다. 그러나 소프트웨어 개발의 모든 단계(특히 초기 단계부터)에서 보안 모범 사례를 우선시하는 태도는 여전히 부족하며, SQL 인젝션 발견 이후 폭발적으로 증가한 코드 생산량을 고려할 때 확실히 불충분합니다.

(SQL 인젝션으로 이어질 수 있는 코딩 패턴에 대해 더 알고 싶으신가요? 여기에서 챌린지에 참여해보세요).

개발자와 앱 보안(AppSec) 팀이 최고의 친구가 되는 것

아, 개발자와 앱 보안 팀이라니요. 과연 그들이 록키와 아폴로처럼 라이벌 관계를 벗어나 잘 지낼 수 있을까요? 짧게 답하자면 가능은 하지만, 현재로서는 두 팀의 우선순위가 너무나 다릅니다.

프로젝트 환경에서 만날 때마다 그들은 서로 다른 생각을 하며 마지막 관문에서 충돌합니다. 앱 보안 전문가들이 개발자의 코드를 샅샅이 뒤질 때 말이죠. 개발자는 자신의 최우선 과제인 아름답고 기능적인 기능을 구현했지만, 보안 취약점이 발견되면 그 노력은 물거품이 됩니다. 사실상 소프트웨어 보안 전문가가 그들의 결과물을 깎아내리고, 개발자에게 버그를 수정하라고 강요하며 배포를 지연시키는 셈이니까요.

현재 상황에서는 개발자와 앱 보안 팀이 '보안 소프트웨어 개발'이라는 공통의 목표를 향해 나아가지 않는 한 이 문제는 해결되지 않을 것입니다. 2020년에 바로 기본 프로세스로 자리 잡지는 않겠지만(많은 기업에서는 그 이후로도 꽤 오랜 시간이 걸릴 것입니다), 데브섹옵스(DevSecOps) 운동 등이 확산되면서 개발자들도 보안 역량을 강화하고 초기 단계부터 보안 목표를 포함하는 더 높은 수준의 표준을 따라야 할 필요성을 인식하고 있습니다.

보안 전문가의 공급 과잉

2020년, 2025년, 2030년이 되어도 전 세계적으로 보안 전문 인력은 부족할 것이 거의 확실합니다.

ISC(2) 보고서에 따르면 현재 약 293만 개의 사이버 보안 일자리가 채워지지 않은 상태입니다. 이 상황은 개선되기 전에 더 악화될 것이 확실하며, 앞으로 몇 년 안에 우리를 구하러 올 숨겨진 보안 군대는 없습니다.

가까운 미래에 이 기술 부족 문제를 해결할 최선의 방법은 보안을 조직의 우선순위로 삼고 기존 인력의 역량을 강화하는 것입니다. 즉, 개발자에게 안전하게 코딩할 수 있는 교육과 도구를 제공하고 전사적인 보안 문화를 조성하는 것이죠. 현재 대부분의 앱 보안 팀은 잘 알려진 오래된 보안 버그들과 싸우느라 시간을 보내고 있습니다(위의 1번 항목 참조). 그들이 이러한 일반적인 문제를 해결하는 데 소중한 시간과 노력을 낭비하지 않게 된다면, 더 어려운 보안 문제(현재로서는 API 관련 문제나 개발 파이프라인에 맞는 도구 구축 등)에 집중할 여력이 생길 것입니다.

코드 생산량이 줄어드는 것

세상은 놀라운 속도로 디지털화되고 있으며 사회적 수요는 꺾이지 않을 것입니다. 매년 약 1,110억 줄의 코드가 작성되고 있으며, 이 숫자는 앞으로 더욱 커질 것이고(이미 한계에 다다른 앱 보안 팀에게는) 공포스러운 일이 될 것입니다.

코드 양의 증가는 필연적으로 잠재적 보안 취약점을 증가시킵니다. 따라서 2020년이 소프트웨어 생산과 침해 사고 측면에서 더 조용한 해가 될 것이라는 생각은 마치 그랜드 내셔널 경마 대회에서 유니콘 경주가 열릴 것이라고 믿는 것만큼이나 비현실적입니다.

데이터 기록 도난 감소

앞서 언급했듯이, 코드의 양이 늘어나면 취약점도 증가하며, 이는 공격자가 데이터를 훔칠 기회를 더 많이 제공하게 됩니다.

2019년 전 세계적으로 최소 53억 건의 기록이 도난당했습니다, 그리고 공격자에 대한 방어는 여전히 다소 절박하고 수동적인 대응에 머물러 있습니다. 이 수치가 향후 12개월 안에 두 배가 되지는 않더라도, 그에 근접할 것으로 생각합니다.

예를 들어, 미국에서 보고된 데이터 도난의 연도별 추이를 살펴보겠습니다.

2005년부터 2010년까지의 기간을 보면, 연도별로 약간의 등락은 있지만 꾸준한 증가세를 보입니다. 이는 흥미로운 점이지만, 주목해야 할 중요한 요소는 2009년에 보고된 침해 건수가 2008년에 비해 급격히 감소했다는 사실입니다. 그러나 침해 건수가 줄었음에도 불구하고 도난당한 기록의 수는 오히려 뚜렷하게 증가했습니다.

데이터 기록은 새로운 금과 같습니다. 공격자에게는 가치가 있기 때문입니다. 이 차트는 침해 건수와 도난당한 기록 수의 전반적인 상승 추세를 반영하며, 2017년에 정점을 찍었습니다. 2018년에는 더 강력한 보안 조치 덕분인지 공격 횟수가 감소하는 추세를 보였으나, 탈취된 기록의 수는 역대 최고치를 기록했습니다. 사이버 공격은 점점 더 정교해지고 대규모화되고 있으며, 조만간 사라질 기미가 보이지 않습니다. 기업들이 그 어느 때보다 빠르게 소프트웨어를 생산하고 있는 만큼, 전 세계적으로 2020년에 감소세를 보일 가능성은 낮습니다. 기업은 우리 데이터의 문지기이며, 우리의 개인정보를 보호하기 위해 더 현명하게 대처해야 합니다.

더 길고 잦은 동영상 기반 보안 교육을 요구하는 개발자들

개발자들이 좋아하는 것이 하나 있다면, 그것은 바로 몇 시간이고 계속되는 컴퓨터 기반 교육(CBT) 영상을 보는 것입니다. 사실, 이러한 매력적인 콘텐츠에 대한 수요가 워낙 높아서 넷플릭스가 일반 보안 교육 영상 전용의 새로운 하위 카테고리를 발표할 정도입니다.

어, 아니요. 지금도, 2020년에도, 앞으로도 절대 그럴 일은 없습니다.

개발자들에게 보안이란 대개 직장 내 규정 준수 교육을 통해 처음 접하게 되는 분야입니다. 정규 교육 과정에서 보안 코딩을 배우는 경우는 드물며, 실무 교육이 소프트웨어 보안을 처음 접하는 계기가 되기도 합니다. 당연하게도, 개발자들은 이런 교육을 별로 좋아하지 않습니다.

개발자가 보안을 진지하게 받아들이고 교육이 실질적인 도움이 되려면, 교육 내용이 그들의 업무와 관련이 있고 흥미로우며 맥락에 맞아야 합니다. 일회성 규정 준수 교육이나 끝없이 이어지는 지루한 영상은 개발자의 마음을 얻을 수 없으며, 취약점을 줄이는 데도 도움이 되지 않습니다.

개발자들이 일반적인 취약점에 맞서 보안 의식을 갖춘 방어군이 되길 바란다면, 그들이 일상 업무에서 마주할 법한 실제 코드 예제를 다루게 하십시오. 학습 내용을 잘게 나누어 쉽게 이해할 수 있도록 하고, 재미 요소를 더해 동기를 부여하십시오. 보안 문화가 정착하려면 조직 전체에 긍정적이고 참여를 유도하며 실질적인 기술과 해결책을 개발하는 분위기가 형성되어야 합니다.

누가 알겠습니까? 적절한 교육을 통해 개발자가 내면의 보안 챔피언을 발견하고 보안 코딩의 이점을 널리 퍼뜨릴지 말입니다.

사이버 보안 관련 사고로 인한 사망자 제로

Okay, so this is clearly no laughing matter. I've said many times that the world simply won't care about cybersecurity until people start dying from a cyberattack-related incident.

The problem is that this has already happened, and it went largely unnoticed.

미국 병원을 대상으로 한 사이버 공격이 2019년 심장마비 사망자 증가와 연관이 있다는 연구 결과가 있습니다. 물론 공격자가 환자에게 직접 치명적인 심장 질환을 일으킨 것은 아니지만, 병원 시스템과 장비를 대상으로 한 랜섬웨어 공격이 중환자 치료 시간을 지연시켰습니다.

센트럴 플로리다 대학교의 이 연구는 3,000개의 병원을 분석했으며, 그중 311곳이 데이터 침해를 경험했습니다. 보안 사고의 영향을 받은 병원에서는 심장마비 의심 환자에게 심전도(ECG) 검사를 실시하는 데 평균 2.7분이 더 소요되었습니다. 이는 절차 변경, 새로 도입된 보안 조치, IT 지원 문제 등으로 인해 이전보다 더 많은 시간이 걸렸기 때문일 가능성이 큽니다. 심장마비 환자를 식별하고 치료하는 것은 시간과의 싸움이며, 해당 병원들은 연간 심장마비 환자 1만 명당 평균 36명의 추가 사망자가 발생했습니다.

이는 충격적인 사실이며, 안타깝게도 상황은 더 나빠질 것으로 보입니다. 이번 일은 우리 모두가 소프트웨어 보안 수준을 높이고 모든 비즈니스에서 보안을 최우선 과제로 삼아야 한다는 점을 일깨워주는 엄중한 경고가 되어야 합니다.

"후드 쓴 해커"의 천편일률적인 스톡 이미지 줄이기

이미지 검색창에 "해커"를 입력하면, 노트북을 두드리는 후드를 쓴 얼굴 없는 인물이나 가이 포크스 가면을 쓴 인물 같은 사진이 수천 장씩 쏟아져 나옵니다.

이런 전형적인 해커 이미지는 이제 너무 식상할 뿐만 아니라, 모두를 악당처럼 보이게 만듭니다. 보안 분야에는 훌륭한 전문가들이 많으며, "해커"라는 단어에 씌워진 부정적인 이미지는 모두에게 도움이 되지 않습니다.
이런 인식이 조만간 바뀔까요? 아마 어렵겠지만, 꿈꿔볼 수는 있겠죠. 지금은 보안이 반드시 무서운 것만은 아니라는 사실을 기억하는 것이 중요합니다.