보안 프로그램이 사고 대응에만 치중되어 있나요? 잘못된 방향입니다.

이 글은 포브스 기술 위원회(Forbes Technology Council)에 기고된 내용을 바탕으로 작성되었습니다. 업데이트를 거쳐 이곳에 게재합니다.

‍

데이터 유출 사고를 겪는 것만큼 끔찍한 일은 없습니다. 처음에는 부정하고 싶고, 그다음에는 공포가 밀려옵니다. 온갖 욕설이 오가고 CISO가 새벽 2시에 홍보팀과 긴급 회의를 마친 뒤에는, 이제 소매를 걷어붙이고 엔드포인트와 시스템을 보호하며 잠재적인 공격 경로를 신속하게 제거하는 작업에 착수해야 합니다. 결코 쉬운 일이 아닙니다.

그럼에도 불구하고, 이는 앞으로 많은 조직이 직면하게 될 현실이며, 포괄적인 사이버 보안 사고 대응 계획을 통해 반드시 대비해야 할 문제입니다. 하지만 문제는 이러한 사후 대응 전략에 너무 많은 시간과 자원, 노력이 집중되어 있다는 점입니다. 사이버 공격을 사전에 예방하거나 피해 규모를 줄이려는 노력은 뒷전으로 밀려나기 일쑤죠. 이는 마치 심장마비가 의심될 때 구급차를 부르는 것과 비슷합니다. 예방적 건강 조치를 미리 취했을 때보다 결과가 훨씬 좋지 않을 뿐만 아니라, 피해도 훨씬 큽니다.

그렇다면 예방 중심의 계획은 어떤 모습이어야 할까요? 보안 전문가들이 가용 자원을 총동원하여 날로 증가하는 사이버 위험을 매일 어떻게 완화할 수 있는지 살펴보겠습니다.

앞으로 해결해야 할 과제의 범위를 파악하십시오

당연한 이야기처럼 들리겠지만, 사이버 위험을 완화하기 위한 '올바른' 계획은 산업 분야마다 미묘한 차이가 있으며, 원하는 결과를 얻기 위해 무엇이 필요한지 사전에 파악하는 것이 중요합니다.

현재 어떤 보안 문제가 존재합니까? 그 문제를 해결하는 데 얼마나 많은 시간과 자원이 소요되고 있습니까? 반복되는 문제는 얼마나 됩니까? 이러한 요소들은 중요한 출발점이 됩니다. 충원해야 할 역할, 도구의 부족한 점, 엔드포인트를 보호하고 공격 표면을 줄이며 잠재적 위험 영역을 선제적으로 방어하기 위해 필요한 전문성과 도구는 무엇인지 고려하십시오.

최근 보고서에 따르면, 11개 산업 분야에서 지난 1년간 매일 전체 애플리케이션의 최소 절반 이상에서 심각한 취약점이 발견되었습니다. 특히 유틸리티, 공공 행정, 전문 서비스 분야는 알려진 취약점을 패치하는 데 평균 288일이 걸렸습니다. 이는 매우 느린 속도로, 공격자가 패치가 적용되기 전에 취약점을 발견하여 심각한 피해를 입히기에 충분한 시간입니다. 여기에 조직이 데이터 유출을 겪을 확률이 30%에 육박한다는 사실은 사후 대응만으로는 충분하지 않으며, 대규모 사이버 공격의 충격을 감당하며 운에 맡기기에는 위험이 너무 크다는 점을 뼈저리게 일깨워 줍니다.

조직 문화 변화를 위한 공감대 형성을 준비하십시오

현상 유지를 깨뜨리는 것은 다소 반발을 살 수 있지만, 사실 보안 프로그램은 끊임없이 개선되어야 합니다. 모든 구성 요소는 최신 상태를 유지해야 하며, 새로운 변화를 평가하고 반영해야 합니다.

사후 대응이 아닌 예방 중심의 접근 방식은, 특히 대규모 보안 사고가 발생하지 않은 경우 보안 팀 외부에서는 그 중요성을 충분히 이해받지 못할 수 있습니다. 문제가 없는데 굳이 고칠 필요가 있느냐는 시각으로 비춰질 수 있기 때문입니다. 이럴 때 경영진의 지지를 얻는 것이 필수적입니다. 경영진이 고려해야 할 핵심 사항은 다음과 같습니다.

• 역할 기반 교육 및 관련 도구와 같은 예방 조치에 드는 시간과 비용이, 치명적인 사고 발생 시의 잠재적 비용보다 훨씬 적다는 점
• 취약점을 조기에 발견하고 수정함으로써 보안 팀의 제동 없이 릴리스 일정을 준수할 수 있다는 점
• 개발 단계부터 릴리스까지 잠재적 보안 위험을 준비하고 선제적으로 대응하는 것이 전체적으로 더 많은 시간(그리고 상당한 비용)을 절약하는 이유. 예를 들어, 테스트 단계나 더 나쁘게는 프로덕션 이후에 발견된 후기 단계의 취약점은 평균 3000%까지 비용을 증가시킬 수 있습니다.
  

제안된 문화적 변화가 처음에는 불편하게 느껴지더라도 비즈니스 목표와 일치시키는 것이 중요합니다.

보안 인식은 기본이고, 보안 기술은 전부입니다

업계에서는 보안 인식의 중요성을 자주 이야기하며, 이는 조직의 모든 구성원에게 점점 더 중요한 요소가 되고 있습니다. 하지만 단순히 말뿐인 구호나 수동적인 교육에 그쳐서는 안 되며, 특히 기술 직군에게는 더욱 그렇습니다.

간단히 말해, 코드를 다루는 모든 사람은 안전하게 코딩하는 기술을 갖추지 못하면 잠재적인 보안 위험 요소가 됩니다. 기본적인 보안 매개변수에 대한 일반적인 인식은 좋은 출발점이지만, 올바르고 안전한 코딩 패턴에 대한 맥락적 지식이 없으면 나쁜 습관이 고착화됩니다. 공격자들은 바로 이러한 개발 역량의 부족을 노려 악행을 저지릅니다.

개발자를 배제하지 마십시오.

태도가 변화하고는 있지만, 여전히 많은 조직이 보안 완화 계획에서 개발자를 고려하지 않는 구조로 운영됩니다. 은행이나 금융과 같은 일부 산업은 엄격한 규정 준수 및 규제 요건을 갖추고 있어 모든 직원을 대상으로 강화된 보안 관행과 교육을 실시합니다. 다른 분야보다 앞서 있는 것은 분명하지만, 지구상의 거의 모든 조직은 공통적인 보안 버그를 커밋 전에 찾아낼 수 있는 기본 능력을 갖춘 '보안 의식을 가진 개발자 군단'을 사내에 보유함으로써 혜택을 볼 수 있습니다. 대부분의 조직은 보안 프로그램의 이 중요한 퍼즐 조각을 맞추는 데 한참 뒤처져 있습니다. 매년 기하급수적으로 늘어나는 방대한 코드를 안전하게 보호하려면 이러한 변화가 반드시 필요합니다.

예방적 보안은 소프트웨어 개발을 위해 키보드에 손을 올리는 순간부터 시작되어야 하지만, 개발자에게만 보안 역량 격차를 해소하라고 기대할 수는 없습니다. 개발자가 더 높은 수준의 코드 품질을 달성하려면 적절한 도구와 상황에 맞는 가이드가 필요하며, 연례 규정 준수 요건에 맞춰 가끔씩 시행하는 부차적인 작업이 아니라 일상적인 업무의 일부로 통합될 때 최고의 결과를 얻을 수 있습니다.