호주 정부가 국가 사이버 보안 회복 탄력성을 구축하고 위협에 당당히 맞서는 방법

2020년은 원격 근무가 폭발적으로 증가했을 뿐만 아니라, 대규모 데이터 유출 사고가 지속되고 온라인 개인정보 침해에 대한 우려가 커지면서 사이버 보안에 대한 대중의 관심이 그 어느 때보다 높아진 한 해였습니다. 그 결과, 전 세계 정부는 기업이 가장 소중한 디지털 자산을 다룰 때 준수해야 할 전략과 규정을 포함하여 사이버 보안 계획 및 인프라를 재정비하고 업데이트하는 조치를 취했습니다.

사이버 보안을 위한 전략적 보호 가이드라인은 새로운 개념이 아니며, NIST와 같은 기관은 수년 동안 전 세계 정부 부처의 정책 수립에 지침을 제공해 왔습니다. 디지털 기술이 급격하게 발전함에 따라, 끊임없이 변화하는 환경 속에서 수많은 위협과 공격 경로, 그리고 규정 준수 요구 사항을 모두 파악하고 대응하기가 점점 더 어려워지고 있습니다.

최근 제3자 서버의 S3 버킷 설정 오류로 인해 뉴사우스웨일스주 운전면허증 54,000건이 유출되는 사고가 발생하여 수천 명의 개인정보가 침해되었습니다. 이를 제보한 보안 연구원은 해당 데이터가 이미 다크웹에서 거래되었을 가능성이 있다고 밝혔습니다. 안타까운 점은, 이는 캐시를 설정할 때 보안을 조금만 더 신경 썼더라면 충분히 예방할 수 있었던 간단한 문제였다는 것입니다.

호주 정부는 최근 2020 호주 사이버 보안 전략(Australian Cyber Security Strategy 2020)을 발표했습니다. 이 전략은 향후 10년간 16억 7천만 달러를 투입하여 "호주 국민과 기업, 그리고 우리 모두가 의존하는 필수 서비스를 위해 더욱 안전한 온라인 세상을 만들겠다"는 비전을 제시합니다. 특히 핵심 목표 중 하나가 다음과 같다는 점에서 이번 계획의 개정과 업데이트는 매우 환영할 만한 일입니다.

"기업이 자사의 제품과 서비스를 안전하게 보호하고 알려진 사이버 취약점으로부터 고객을 보호하기 위한 조치".

정부 기관은 국가의 핵심 인프라(조직적인 대규모 공격에 취약한 분야)와 관련된 보안 조치에 집중하는 경향이 있으며 이는 당연한 일이지만, 과거에는 우리가 매일 사용하는 데이터를 수집하고 활용하는 기업들을 위한 가이드라인이 부족했습니다.

이러한 공식 전략이 항상 완벽한 것은 아닙니다. 때로는 해석하기 어렵고 세부 사항이 모호하여, 구체적이지 않은 가이드라인을 바탕으로 보안 계획을 수립해야 하는 기업 보안 팀에 부담을 주기도 합니다. 이러한 문제는 호주 정부만의 사례는 아니지만, 이번에 발표된 새로운 전략을 분석해 보겠습니다.

예방이 아닌 대응에 치중된 초점.

업데이트된 호주 사이버 보안 전략은 2016년 발표된 이전 전략보다 개선된 내용을 담고 있으며, 특히 중소기업(SME)을 위한 포괄적인 계획을 포함하고 있습니다. 주요 내용은 다음과 같습니다.

"정부와 대기업은 중소기업(SME)이 성장하고 사이버 보안 인식과 역량을 강화할 수 있도록 지원할 것입니다. 호주 정부는 대기업 및 서비스 제공업체와 협력하여 위협 차단, 백신, 사이버 보안 인식 교육 등 보안 서비스 패키지 형태로 중소기업에 사이버 보안 정보와 도구를 제공할 것입니다."

이는 중소기업이 사이버 위협으로부터 비즈니스를 보호할 수 있는 기본적인 토대를 마련해 주겠지만, 대체로 사후 대응적인 접근 방식에 머물러 있으며, 사이버 보안의 전체 영역에서 비교적 작은 부분인 탐지 도구에만 초점을 맞추고 있습니다.

또한 대기업이 스스로를 보호하고 공격 경로를 줄이는 방법에 대한 정보는 놀라울 정도로 부족합니다. 통신, 교통 등 핵심 인프라 보호 계획에는 많은 기업이 포함될 수 있지만, 금융 서비스, 소매업 등 다른 많은 산업 분야 역시 사이버 공격 성공 시 막대한 피해를 입을 수 있습니다. 향후 입법 과정에서 보완될 수도 있겠지만, 기업 차원에서 철저한 사이버 보안 모범 사례를 강조하는 것은 데이터 유출과 사이버 범죄를 획기적으로 줄이기 위한 근본적인 변화의 시작입니다.

전반적으로 이번 전략은 사후 대응적인 접근 방식을 기반으로 합니다. 사이버 공격에 대응하고, 활동 중인 사이버 범죄자를 저지하여 기소하며, 국제 동맹국과 정보를 공유하는 것도 중요하지만, 국가적인 보안 표준이 '예방'에 초점을 맞춘다면 어떨까요? 핵심 인프라 보호 조치와 더불어 모든 기업이 보안을 최우선으로 생각하고, 디지털 세상을 만드는 코드를 다루는 모든 사람이 공격을 사전에 차단할 수 있는 역량을 갖춘다면, 피해자가 겪을 시간과 비용, 고통을 헤아릴 수 없을 만큼 줄일 수 있을 것입니다.

회복 탄력성은 가능하지만, 반드시 계획이 필요합니다.

호주 정부가 사이버 보안을 국가적 차원의 핵심 위험 요소로 규정하고 진지하게 대응하려는 움직임은 분명합니다. 우리의 삶을 방해할 수 있는 다른 악의적인 공격과 마찬가지로, 회복 탄력성은 단순히 공격을 견뎌내는 것뿐만 아니라 공격 자체를 억제하는 데 매우 중요합니다. 결국 공격자들도 게으를 수 있으며, 성공하기 위해 너무 많은 장벽이 가로막고 있다면 더 쉬운 목표물을 찾아 이동할 것입니다.

현재 우리는 전 세계적인 사이버 보안 인력 부족 문제에 직면해 있으며, 이는 전 세계 CISO들의 고민거리입니다. 수십억 줄의 코드, 끊임없는 대규모 데이터 유출, 그리고 그 어느 때보다 커진 처벌 위험(메리어트 호텔은 2018년 데이터 유출 사고로 1억 2,300만 달러의 GDPR 과징금을 부과받았으며, 올해 또 다른 유출 사고를 겪었습니다)으로 인해 보안 전문가에 대한 수요가 급증하고 있으며, 현실적으로 이 격차를 해소하기는 어렵습니다. 코드는 너무 많고, 모든 각도에서 이를 보호할 자원은 턱없이 부족하기 때문입니다.

그렇다면 사이버 위협 앞에서 우리가 당당히 맞설 수 있다는 생각을 포기해야 할까요? 절대 그렇지 않습니다. 회복 탄력성을 갖추려면 가용한 모든 자원을 활용하고 한발 앞서 생각해야 합니다. 많은 기업에서 개발자들은 코드가 작성되는 즉시 강력한 보안 체계를 구축할 수 있습니다. 기업 전반에 걸쳐 가시적이고 긍정적인 보안 문화가 뒷받침된다면, 공격자가 쉽게 흔들거나 뚫을 수 없는 견고한 기반이 마련됩니다. 다만, 이러한 방법을 효과적으로 적용하려면 호주 사이버 보안 전략과 같은 제안을 바탕으로, 각 기업의 상황에 맞게 어떻게 맞춤화하여 실질적인 변화를 이끌어낼지 깊이 고민해야 합니다.

이를 위해 몇 가지 팁을 자세히 살펴보는 것이 중요합니다.

• 보안 인식 교육: 중소기업을 위해 특별히 언급된 이 교육은 전체 보고서의 맥락에서 볼 때, 주로 모든 직원에게 기본적인 보안 수칙(예: 피싱 이메일 식별, 출처 불분명한 링크 클릭 금지 등)을 교육하는 데 중점을 둡니다. 현실적으로는 여기서 더 나아가 개발자와 같이 코드를 다루는 직무별 맞춤형 교육으로 발전해야 합니다. 보안 인식 교육은 예방 조치와 회복 탄력성 구축의 핵심 요소가 되어야 합니다.
• 교육: 다행히도 향후 10년간 초·중등 교육부터 고등 교육에 이르기까지 사이버 보안 교육을 강조하여 사이버 보안 인력 부족 문제를 해결하려는 심층적인 계획이 마련되었습니다. 미래의 보안 인재를 양성하기 위해서는 반드시 필요한 일이지만, 당면한 비즈니스 요구 사항을 해결하는 관점에서는 개발자 그룹을 위한 실무 중심의 보안 코딩 교육이 필수적이며, 이는 기능적인 보안 프로그램의 일부가 되어야 합니다.

보안 전문가로서 우리는 전 세계 기업들이 단순한 기초 인식 교육을 넘어선 내부 보안 프로그램을 구축하는 것이 얼마나 중요한지 이해하도록 더 많은 노력을 기울여야 합니다. 개발자의 역량을 강화하는 데 시간을 투자하면 과중한 업무에 시달리는 앱 보안(AppSec) 전문가들의 부담을 덜 수 있으며, 조직 전체가 각자의 역할에 맞춰 보안 의식을 갖추도록 하는 것은 소프트웨어의 공격 표면을 줄이는 데 매우 중요합니다.

개발자 역량 강화는 가치 있는 투자임에도 불구하고, 왜 많은 기업이 이를 간과하고 있을까요?

최근 DDLS가 실시한 설문조사에 따르면 호주 기업들은 사이버 보안 교육을 우선순위로 거의 고려하지 않는 것으로 나타났습니다. 실제로 사이버 보안 교육은 3대 교육 우선순위에도 포함되지 않았으며, 응답자의 77%가 사이버 보안 인식을 비즈니스에서 "매우" 또는 "극도로" 중요하다고 평가한 것과는 대조적입니다.

따라서 호주가 벌어지는 기술 격차를 해소하는 데 어려움을 겪고 있으며, 필수 서비스부터 소매업에 이르기까지 모든 분야에서 더 탄력적인 인프라를 구축하기 위해 노력해야 한다는 점은 놀라운 일이 아닙니다.

이 분야에는 정부가 보안 기술 기준 인증이나 규제를 마련할 수 있는 엄청난 기회가 있으며, 전략 문서에서도 한정된 자원을 활용하는 방법으로 이를 언급하고 있습니다. 하지만 이 역시 미래 지향적인 제안으로 보이며, 영향력이 큰 분야부터 우선 공략한다면 훨씬 더 빨리 시작할 수 있는 도구들이 이미 우리에게 있습니다. 저에게 있어 희망의 등불은 각 조직 내의 개발팀입니다. 그들에게 성공에 필요한 도구와 지식을 제공한다면, 그들은 일반적인 취약점을 사전에 차단하고 조직 내 데이터 유출 위험을 크게 줄일 수 있습니다.

2019년, 전체 데이터 유출 사고의 24%가 인적 오류로 인해 발생했으며, 이는 주로 코드 수준에서 비교적 간단하게 수정할 수 있는 보안 설정 오류였습니다. 교육을 우선순위로 두고 전사적인 보안 인식 제고와 병행한다면, 수천 명의 고객이 피해를 입었다는 통보서에 서명해야 하는 CISO의 수는 줄어들 것이라 확신합니다.