사이버 보안 모범 사례를 찾으려면 금융 업계를 주목하십시오

Regulation Asia에 최초 게재됨.

모든 산업 분야의 모든 조직에 영향을 미치는 사이버 공격이 증가함에 따라, 막대한 비용과 이미지 실추, 수익성 악화를 초래하는 데이터 유출의 위협은 매우 현실적인 문제가 되었습니다. 이 문제는 줄어들기는커녕 종양처럼 커지고 있습니다.

저는 종종 사이버 보안과 애플리케이션 보안(AppSec) 모범 사례라는 '무법지대'를 능숙하고 탁월하게 헤쳐 나가며 이 문제에 대응하는 조직의 사례를 소개해 달라는 요청을 받습니다. 그럴 때마다 저는 다른 어떤 분야보다 금융 업계가 이 일을 가장 잘 해내고 있다는 답변을 자주 하게 됩니다.

규제: 금융 업계의 사이버 보안 리더십을 이끄는 원동력

금융 부문이 애플리케이션 보안 분야에서 뛰어난 성과를 보이는 이유 중 하나는, 사이버 공격이나 데이터 도난으로 인해 발생할 수 있는 파괴적이고 보편적인 영향에 대한 글로벌, 지역 및 국가 규제 기관의 우려가 (적어도 부분적으로는) 이들을 움직이기 때문입니다.

바젤은행감독위원회(BCBS)는 지난 12월, 여러 관할 구역에 걸쳐 관찰된 은행, 규제 및 감독 기관의 사이버 복원력 관행을 상세히 담은 보고서를 발표했습니다. 이 보고서의 핵심 발견 중 하나는 사이버 보안 기술 인력 부족 문제였으며, 이를 해결하기 위해 구체적인 사이버 인증 제도를 도입한 관할 구역은 극소수에 불과했습니다.

보고서에 따르면 "일부 관할 구역에서는 IT 인력과 정보 보안 기능의 책임을 다루는 IT 관련 표준을 마련하고 있으며, 특히 사이버 보안 인력 교육 및 역량에 주목하고 있다"고 합니다. 그러나 대부분의 관할 구역은 은행의 사이버 보안 인력 기술과 자원을 모니터링하기 위한 감독 관행을 도입하는 '초기 단계'에 머물러 있습니다.

대부분의 경우 규제 체계는 규제 대상 기관에 위험 관리를 요구하지만, 이를 성공적으로 완화하기 위한 명확한 경로를 제시하는 경우는 드뭅니다. 규제 기관은 사이버 보안 인력의 기술과 자원을 해결하기 위한 구체적인 요구 사항이나 벤치마크를 설정하지 않습니다. 대부분의 규제 기관은 현장 점검을 통해 기관의 사이버 보안 인력을 평가하며, 이때 자가 진단 설문지를 사용하는 것이 일반적입니다. 교육 과정은 특히 면밀히 검토되지만, IT 직원의 역할과 책임을 규정에서 구체적으로 다루는 관할 구역은 소수에 불과합니다. 간단히 말해, 오류가 발생할 여지는 매우 크지만 올바른 교육과 그에 따른 기술 평가에 대한 강조는 상당히 부족한 실정입니다.

일본과 한국의 공공 당국은 적절한 사이버 보안 인력 관리에 대한 지침을 마련했습니다. 그러나 다른 대부분의 관할 구역에서 사이버 인력 관리에 대한 규제 요구 사항은 감독 기대치 수준에 머물러 있으며, 규제 대상 조직의 사이버 보안 기술 및 직원 교육에 대한 감독 기관의 평가는 거의 이루어지지 않고 있습니다.

홍콩, 싱가포르, 영국만이 사이버 보안 인력의 기술과 역량을 인증하기 위한 전용 프레임워크를 발행했습니다. '규정 준수'나 '인증' 같은 단어는 훌륭한 소프트웨어 기능을 개발해야 하는 창의적인 개발자들에게는 부담스럽게 느껴질 수 있지만(이들에게 보안은 종종 보안 팀의 몫인 '남의 일'로 여겨지곤 합니다), 규제 대상 기관이 보유한 방대한 양의 민감한 데이터는 기술이 제대로 검증되지 않은 사람들에게 맡기기에는 너무나 소중합니다.

다행히 많은 은행 및 금융 기관은 명확한 규제 경로에 의존하지 않고도 이를 인식하고 있습니다. 규제는 최종 결과(즉, 안전한 소프트웨어)에 대한 기대치를 개괄적으로 보여줄 뿐이지만, 금융 기관들은 이를 달성하기 위해 개발자를 교육하고, 기존 애플리케이션 보안 전문가와의 관계를 강화하며, 책임감과 주인의식을 고취하는 긍정적인 보안 문화를 구축함으로써 사이버 보안 기술 부족 문제를 해결해야 한다는 점을 파악했습니다.

금융 업계가 사이버 보안의 '엑스팩터(X-factor)'를 가진 이유는 무엇일까요?

은행, 금융 서비스 및 보험 업계 기업들이 사이버 보안 환경에서 리더십을 발휘할 수 있는 기반이 되는 몇 가지 핵심 요소가 있습니다.

당연하게도, 전 세계 금융의 문지기이자 수백만 건의 민감한 데이터 기록을 관리하는 이들은 규제 준수를 중시하는 조직입니다. 업데이트된 지침, 규정 및 요구 사항을 의미 있는 방식으로 계획하고 준비하는 것이 일상화되어 있습니다. 그 결과, 이들은 사이버 위험 완화라는 변화하는 요구 사항에 매우 빠르게 적응했으며, 가장 엄격한 사이버 보안 모범 사례 정책과 잠재적 공격에 대한 노출을 줄이기 위한 엔드투엔드 프로세스를 자랑하게 되었습니다.

그렇다면 금융 기관은 다른 곳과 무엇을 다르게 하고 있을까요? 제 경험상, 이들은 다른 조직보다 보안 인식을 높이기 위한 기반을 마련해 왔습니다. 애플리케이션 보안 전문가나 모의 해킹 담당자뿐만 아니라 (보통 규모가 크고 전 세계에 흩어져 있는) 개발 팀 전체를 대상으로 하는 종합적인 교육 프로그램의 필요성을 인식하고 자원을 투입하고 있습니다.

대부분의 조직에서 사이버 보안이 비교적 새로운 분야인 상황에서, 금융 기관이 안전하고 보안이 유지되는 소프트웨어를 제공하기 위해 진정으로 열린 마음으로 혁신을 추구한다는 점은 고무적입니다. 많은 금융 기관이 개발자들에게 참여형 교육을 제공하여 역량을 강화하는 것의 이점을 확인했습니다. 이는 단순히 교실 교육을 넘어 실무와 관련된 실습 경험을 제공함으로써, 개발자들이 문제를 해결하는 것을 넘어 보안 코딩의 중요성을 전반적으로 이해하도록 돕습니다.

결국 보안 코딩은 개발자와 애플리케이션 보안 팀 간의 강력하고 기능적인 관계를 구축하고, 비즈니스 내에 탄탄한 보안 문화를 유지하는 핵심 요소입니다. 성공적인 보안 프로그램을 이끄는 또 다른 핵심 요인은 보안 전문가가 아니더라도 주요 이해관계자들이 보안의 이점을 이해하고 적극적으로 참여하도록 하는 것입니다.

금융 기관은 경영진과 원활하게 소통하며, 보안 프로세스가 '한 번 설정하면 끝나는' 것이 아니라 기술 발전 속도에 맞춰 끊임없이 진화하고 변화하는 위험에 대응해야 한다는 점을 최고 의사결정권자들에게 확실히 인지시키고 있습니다.

당장은 시간과 비용이 들 수 있지만, 커밋된 코드의 취약점을 수정하는 비용이 초기 단계보다 30배나 더 많이 든다는 점을 고려하면, 기초부터 탄탄하게 다지는 보안 교육을 포함한 종합적인 보안 프로그램은 장기적으로 비용을 절감해 줍니다. 보안을 의식하는 개발자가 코드를 작성하는 단계에서 문제를 해결하는 것이 훨씬 경제적이기 때문입니다.

보안 표준이 증가하는 위험에 발맞춰 변화하고 있습니다

금융 업계의 사이버 규정 준수를 이끄는 중요한 동력은 PCI 보안 표준 위원회(PCI Security Standards Council)에서 나옵니다. 이 위원회는 금융 기관이 실행 가능한 보안 정책을 구현하고 모든 영역에서 가이드라인을 준수하도록 지원하는 데 전념하고 있습니다. 이들은 금융 업계가 결제 소프트웨어 분야에서 최고 수준의 보안 표준을 달성하도록 돕는 긍정적인 역할을 해왔습니다.

하지만 많은 금융권 고객사가 현재의 PCI 보안 표준 위원회 가이드라인을 뛰어넘는 성과를 보여주고 있다는 점도 주목해야 합니다. 가이드라인에서 개발자 교육을 권장하고는 있지만(앞서 언급한 다른 규제 정보 사례와 마찬가지로), 교육의 효과를 입증하기 위한 구체적인 교육 유형이나 특정 기준은 명시하지 않고 있습니다.

SQL 인젝션이나 크로스 사이트 스크립팅(XSS)과 같은 많은 취약점이 20년 넘게 지속되며 2019년에도 여전히 문제를 일으키고 있다는 사실은 모든 교육이 동일하거나 효과적이지 않다는 것을 보여줍니다. 은행 및 기타 금융 서비스 기업들은 실습 위주의 게임화된 보안 교육을 도입함으로써 훨씬 더 나은 성과를 거두고 있으며, 악용될 경우 큰 피해를 줄 수 있는 취약점을 실질적으로 줄여나가고 있습니다.

미국의 금융 기관인 캐피털 원(Capital One)이 혁신적인 '테크 칼리지(Tech College)' 및 인증 시스템의 일환으로 게임화된 교육 기법을 활용한 사례가 좋은 예입니다. 최근 웨비나에서 사이버 보안 및 클라우드 컴퓨팅 교육 담당 이사인 러셀 울프(Russell Wolfe)는 자발적인 교육 프로그램과 코딩 대회가 빠르게 자리를 잡았으며, 직원들의 전례 없는 참여 열기와 동료들끼리 서로 인증을 돕고 역량을 강화하려는 자발적인 동기가 매우 높았다고 밝혔습니다.

규제 당국은 사이버 보안 인력이 적절하게 교육받도록 하기 위해 무엇을 할 수 있을까요?

전 세계 규제 당국은 데이터 보호를 책임지는 이들이 충족해야 할 교육 방법론과 표준을 명확히 제시함으로써 기존의 사이버 규제 정책과 가이드라인을 한층 더 발전시킬 수 있습니다. 현재 대부분의 규제 정책에는 교육 요건에 대한 일반적인 언급은 있지만, 교육을 받는 사람들이 사이버 위협에 대응하는 데 필요한 내용과 기술을 제대로 습득하고 있는지 확인하는 후속 조치는 미흡한 실정입니다.

최근 싱가포르 통화청(MAS)이 기술 위험 가이드라인의 최신 개정판에 보안 인식 교육 프로그램 도입과 보안 소프트웨어 개발 모범 사례를 포함한 것은 고무적인 움직임입니다. 이 가이드라인이 시행되면 금융 기관은 소프트웨어 개발 시 보안 코딩, 소스 코드 검토 및 앱 보안(AppSec) 테스트 표준을 적용하도록 교육해야 하며, 이는 버그와 취약점을 최소화하는 데 크게 기여할 것입니다.

개인적으로는 실무와 직결된 실습 위주의 기술 교육이 개발자들에게 가장 흥미롭고 유용하다고 생각합니다. 이러한 교육은 모든 조직이 늦기 전에 반드시 구축해야 할 강력한 보안 문화의 토대를 마련해 줍니다.