선제적 보호: 국가 사이버 보안 전략을 활용한 지능형 위협 예방

이 기사는 포브스 기술 위원회(Forbes Technology Council)의 일환으로 작성되었습니다. 업데이트를 거쳐 이곳에 게재합니다.

‍

2022년에 유출된 데이터 기록이 얼마나 된다고 생각하시나요? 약 5억 건 정도라고 추측하셨다면 정확한 방향입니다. 공개된 침해 데이터에 따르면 작년에만 약 4억 8,014만 3,23건의 기록이 도난당했으며, 실제 수치는 이보다 훨씬 클 가능성이 높습니다. 어쨌든 이는 일반 시민에게는 정신이 번쩍 드는 통계이며, 기업 보안 전문가에게는 매우 우려스러운 일입니다.

선진국 대부분의 사람들은 이미 사이버 공격으로 인해 자신의 개인 정보 중 일부가 범죄자의 손에 넘어가는 경험을 했을 가능성이 높습니다. 따라서 각국 정부가 이러한 온라인 범죄 활동의 흐름을 막기 위한 해결책을 모색하는 것은 당연한 일입니다. 최근 바이든 행정부가 내놓은 국가 사이버 보안 전략을 저는 깊은 관심을 가지고 지켜보고 있습니다. 이 전략에는 제가 요즘 가장 중요하게 생각하는 주제 중 하나인 '보안 책임'에 관한 지침이 포함되어 있습니다.

CISA의 사이버 보안 및 인프라 보안 담당 국장인 젠 이스터리(Jen Easterly)의 중요한 발표 이후 공개된 이 전략은 보안 커뮤니티 내에서 어느 정도 의견이 갈리고 있습니다. 하지만 저는 이 전략이 전반적인 소프트웨어 표준을 높이고, 마침내 보안 역량을 갖춘 개발자들의 새로운 시대를 열 수 있는 최고의 기회라고 생각합니다.

소프트웨어 공급업체는 항상 보안이 취약한 소프트웨어에 대해 책임을 져야 했습니다.

수십 년 동안 소프트웨어 보안 측면에서 책임은 어느 팀도 맡고 싶어 하지 않는 뜨거운 감자였습니다. 경영진과 팀들은 누가 최종적으로 소프트웨어 보안을 책임져야 하는지에 대해 격렬하게 의견이 갈리곤 합니다. 베나피(Venafi)의 한 보고서에 따르면, IT 고위 임원의 97%가 소프트웨어 빌드 프로세스가 충분히 안전하지 않다는 데 동의하면서도, 보안 모범 사례를 실행할 최종 책임자가 누구인지에 대해서는 의견이 엇갈렸습니다. 임원의 61%는 IT 보안 팀이 소프트웨어 보안을 책임져야 한다고 답했고, 31%는 개발 팀이 짊어져야 할 몫이라고 답했습니다. 이는 방정식의 일부일 뿐입니다. 소프트웨어 빌드에 포함된 오픈 소스 및 타사 상용 구성 요소 문제는 공격 표면을 끊임없이 확장하고 있습니다. 업데이트, 모니터링, 테스트에 대한 지속적인 경계가 필요함에도 불구하고, 앱 보안(AppSec) 팀과 보안 팀 사이에서도 명확한 '소유자'를 찾기란 쉽지 않습니다.

또한 같은 설문조사에서 소프트웨어 보안 및 무결성에 대한 책임 소재를 두고 내부 갈등이 있음에도 불구하고, 임원의 94%는 빌드 파이프라인을 위협 행위자로부터 보호하지 못해 고객과 최종 사용자를 위험에 빠뜨리는 소프트웨어 공급업체에 페널티를 부과해야 한다고 생각하는 것으로 나타났습니다.

2016년 발생한 치명적인 사이버 공격을 제대로 관리하지 못한 것과 관련하여 최근 우버(Uber)의 CISO가 기소된 사건과 GDPR과 같은 규제 이니셔티브를 통해, 보안을 뒷전으로 미루는 공급업체에 대한 위험 부담이 서서히 커지고 있습니다. 하지만 이것만으로는 충분하지 않습니다. 우리는 사이버 범죄자와의 싸움에서 지고 있으며, 받아들이기 힘들겠지만 그들이 번성할 수 있는 무한한 기회를 제공하는 것은 바로 소프트웨어 공급업체의 안일한 관행입니다.

국가 사이버 보안 전략은 선을 긋고, 보안이 취약한 소프트웨어에 대한 모든 책임을 공급업체에 부여함으로써 소모적인 책임 공방을 멈추고자 합니다.

살펴보겠습니다:

전략적 목표 3.3 — 보안이 취약한 소프트웨어 제품 및 서비스에 대한 책임 전환:

“너무 많은 공급업체가 보안 개발 모범 사례를 무시하고, 보안 설정이 취약하거나 알려진 취약점이 있는 제품을 출시하며, 출처를 알 수 없거나 검증되지 않은 타사 소프트웨어를 통합하고 있습니다.

우리는 가장 진보된 소프트웨어 보안 프로그램조차 모든 취약점을 예방할 수는 없다는 점을 인정하면서도, 소프트웨어 보안을 위해 합리적인 예방 조치를 취하지 않는 주체에게 책임을 전가하기 시작해야 합니다.”

이로 인해 당연히 반발이 있었습니다. 하지만 대부분의 산업에서 표준과 규제가 발전하는 결정적인 순간들이 그러했듯, 더 나은 장기적 결과를 보장하기 위한 중기적인 고통입니다. 저 역시 소프트웨어 공급업체로서 보안에 관한 최종 책임은 우리에게 있다는 것이 타당하다고 생각합니다. 빌드 파이프라인, 프로세스, 품질 관리는 모두 우리의 몫이며, 실수가 발생한다면 이를 해결할 책임도 우리에게 있습니다.

게다가 우리는 최고 품질의 소프트웨어를 만들기 위해 노력해야 하며, 보안 코딩은 성공적인 결과를 정의하는 지표의 일부가 되어야 합니다. 속도를 최우선으로 하는 세상에서 이를 달성하기란 어려운 일이지만, 미래를 이끄는 보안 리더들은 소프트웨어 개발 과정의 모든 사람이 자신의 역할에 맞춰 보안 모범 사례를 실천할 수 있도록 충분히 교육받았는지 확인해야 합니다. 특히 개발자들은 더욱 그렇습니다.

우리는 여전히 장기적인 모범 사례에 대한 방향성을 찾지 못하고 있습니다.

전략적 목표 3.3은 일반적인 모범 사례의 근거로 잘 정립된 NIST 보안 소프트웨어 개발 프레임워크를 참조하고 있으며, 이는 포괄적이고 전방위적인 지침입니다. 이 지침은 "조직 차원에서 안전한 소프트웨어 개발을 수행할 수 있도록 조직의 인력, 프로세스, 기술이 준비되어 있는지 확인"해야 할 필요성을 명시하고 있지만, 예를 들어 보안 인식 관리자가 활성화 솔루션을 선택할 때 고려해야 할 요소에 대해서는 구체적인 지침을 제공하지 않습니다.

이 접근 방식이 진정으로 혁신적이려면 개발자를 보안 프로그램의 필수 요소로 간주하고, 그들이 역량을 높여 취약점 탐지 및 제거에 대한 책임을 공유할 수 있는 모든 기회를 제공해야 합니다. 초맥락적 학습과 도구 없이는, 그리고 이를 연례적인 규정 준수 연습이 아닌 지속적인 기술 개발 경로로 보지 않는다면 측정 가능한 성과를 거둘 수 없습니다.

개발자는 보안이라는 수수께끼를 푸는 데 있어 강력한 퍼즐 조각이며, 보안 역량을 갖춘 개발자 팀은 사실상 대부분의 조직에서 빠져 있는 핵심 요소입니다. 그들은 보안과 속도를 동시에 실현할 수 있게 해주지만, 이는 팀의 역량을 끌어올리기 위해 시간과 자원을 투자할 때만 가능합니다. 그렇지 않다면 세상의 모든 일반적인 모범 사례 지침도 아무런 변화를 만들어내지 못할 것입니다.

소프트웨어 보안의 이상향으로 가는 긴 여정.

바이든 행정부는 CISA에 30억 달러의 자금을 지원하기로 약속했으며, 핵심 인프라 전반에 걸쳐 신속한 복원력을 확보하는 것을 목표로 하고 있습니다. 정부 최고 수준의 자금 지원과 지원도 중요하지만, 위협 행위자를 저지하기 위해서는 보안 문화에 대한 이야기를 다시 쓰기 위한 전 세계적인 노력이 필요합니다.

앞으로 갈 길이 멀지만, 모든 소프트웨어 공급업체가 조직 차원에서 보안 책임을 다하기 위한 첫 번째 용기 있는 발걸음을 내딛는 것에서부터 시작됩니다.