앱 보안의 황무지에서 필요한 변화: 2019년 전망

2018년은 사이버 보안 전문가들에게 매우 힘든 한 해였습니다. 보안을 더 진지하게 생각하라는 경고에도 불구하고, 보안 업계 인재 양성과 조직의 사이버 보안 인식 제고를 위한 일반적인 노력에 대한 끊임없는 보도에도 불구하고, 우리는 수많은 사이버 공격이 남긴 폐허를 목격하고 있습니다. 이는 대규모 데이터 유출과 유명 기업들에 대한 소비자들의 불신으로 이어졌습니다. 2018년 상반기에만 45억 건의 데이터 기록이 유출되었으며 이는 945건의 개별 사건을 통해 발생했습니다.

전에도 여러 번 말했지만, 우리는 더 잘할 수 있습니다. 하지만 우리가 직면한 진짜 싸움은 스크립트 키디, 위험한 조직적 사이버 범죄 집단, 혹은 노트북 앞에서 타이핑하는 후드티를 입은 미스터리한 인물들과의 싸움이 아닙니다. 진정한 싸움은 이러한 유출 사고가 실제로 일어나고 있다는 사실에 더 많은 사람이 관심을 갖게 만드는 것입니다.

GDPR 준수는 좋은 시작이지만, 단기적으로 큰 효과를 보기는 어렵습니다.

유럽연합의 일반 데이터 보호 규정(GDPR)이 본격적으로 시행되면서 데이터 보호를 가볍게 여기는 조직들에게 큰 위협이 되고 있습니다. 규정을 준수하지 않을 경우 막대한 벌금이 부과되기 때문에, 이는 기업들이 보안 관행을 강화하고 고객 데이터를 더 존중하며 사이버 공격을 완화하기 위한 전략을 마련하도록 자극하는 계기가 되었습니다.

일부 조직은 막대한 벌금을 부과받을 것이라는 경고를 받았지만, 아직 GDPR 미준수로 인한 실질적인 타격은 나타나지 않았습니다. 기업이 파산할 정도의 처벌은 없었고, 웹 사용자로서 우리는 수많은 팝업창을 클릭해야 했을 뿐입니다. 이는 부분적으로 법적 절차에 시간이 많이 소요되고 항소 기회가 많기 때문입니다. 본보기가 될 만한 기업들은 아마도 수개월 또는 수년이 걸리는 법적 공방을 벌이고 있을 것입니다. 페이스북은 악몽 같은 한 해를 마무리하며 최근 또 다른 데이터 유출 사고를 보고했습니다. API 버그로 인해 680만 명의 사용자 개인 사진이 1,500개의 승인되지 않은 애플리케이션에 노출된 것입니다. 이 문제는 2주 만에 발견되어 수정되었지만, 데이터 보호 기관과 대중은 몇 달이 지나서야 이 위반 사실을 알게 되었습니다. GDPR 법은 유출 발생 시 72시간 이내에 통지할 것을 요구하고 있으므로, 현재 이 법이 실제로 얼마나 영향력이 있고 효과적인지에 대해 많은 의문이 제기되고 있습니다.

물론 다른 곳에서의 유출 사고도 멈추지 않았습니다. 11월에 발생한 메리어트 유출 사고로 무려 5억 건의 데이터 기록이 유출되었으며, 더 우려스러운 점은 공격자들이 발견되기 전까지 4년 동안이나 시스템에 접근해 있었다는 사실입니다. 하지만 메리어트는 나름의 피해 수습에 나서고 있는 것으로 보입니다. 피해자들에게 12개월 무료 WebWatcher 구독권을 제공했는데, 이는 신용 모니터링 도구입니다. 하지만 해커들이 5억 건의 기록을 샅샅이 뒤질 수 있는 상황에서 1년이라는 기간이 대부분의 사용자에게 의미 있는 모니터링을 제공할 수 있을지는 미지수입니다. 결국 데이터가 악용되는 것이 드러나기까지는 몇 년이 걸릴 수도 있기 때문입니다.

장기적으로 볼 때, GDPR과 같은 규정은 제대로 시행된다면 긍정적인 변화를 이끌어낼 것입니다. 기업들이 상당한 재정적 페널티를 받거나(데이터가 유출된 고객들로부터 집단 소송을 당하는 경우도 포함), 장기적으로 수익이 감소하는 상황에 직면하게 되면, 대부분의 기업이 온라인 데이터베이스 보안 강화에 필사적으로 매달리게 될 것이라고 믿습니다.

금융 기관들은 단기적인 긍정적인 변화를 계속해서 주도할 것입니다.

전 세계의 소중한 자산을 관리하는 금융 기관들이 가장 엄격한 사이버 보안 모범 사례 정책과 위험 감소를 위한 엔드투엔드 프로세스를 갖추고 있다는 사실은 그리 놀라운 일이 아닐 것입니다.

이러한 규정 준수를 이끄는 중요한 동력은 PCI 보안 표준 위원회입니다. 이들은 금융 조직이 실행 가능한 보안 정책을 구현하고 모든 영역에서 가이드라인을 준수하도록 돕는 데 전념하고 있습니다. 이들은 금융 업계가 결제 소프트웨어 분야에서 최고 수준의 보안을 달성하도록 돕는 긍정적인 역할을 해왔습니다.

그렇다면 금융 기관들은 다른 곳과 무엇을 다르게 하고 있을까요? 제 경험상 그들은 일반적으로 보안 인식이 더 높으며, 앱 보안 전문가나 모의 해킹 담당자뿐만 아니라 (보통 규모가 매우 크고 전 세계에 흩어져 있는) 개발 팀 전체를 위한 종합적인 교육 프로그램에 자원을 투자합니다. 그들은 최고 의사 결정권자들이 보안 프로세스가 '한 번 설정하면 끝나는' 것이 아니라는 점을 이해하도록 합니다. 보안은 사용되는 기술만큼 빠르게 진화해야 하며 변화하는 위험에 적응해야 합니다.

더 많은 조직이 보안 파이프라인을 혁신할 것입니다.

다른 IT 분야와 비교했을 때 앱 보안은 비교적 젊은 분야입니다. 신입이라는 것은 힘든 일입니다. 쉽게 오해받을 수 있고 아직 필요한 핵심 관계를 형성하지 못했을 수도 있습니다. 하지만 해가 갈수록 변화를 거부하는 가장 보수적인 조직에서도 앱 보안이 자리를 잡기가 점점 더 쉬워지고 있다고 생각합니다.

기업들이 보안 준수를 소프트웨어 프로세스의 마지막 단계로 미뤄서는 안 된다는 점이 더욱 분명해졌습니다. 처음부터 끝까지 점검과 조치가 이루어져야 하며, 데이터를 통합하고 비즈니스 경영진에게 더 많은 가시성을 제공하는 데 집중해야 합니다. 그렇지 않으면 보안은 대부분의 사람에게 '눈에서 멀어지면 마음에서도 멀어지는' 존재로 남을 것입니다. 그런 상황에서는 위험에 대비하는 데 필요한 자원을 확보하는 것이 사실상 불가능합니다.

좋은 소식은 그 어느 때보다 많은 조직이 스스로 사이버 공격을 발견하고 해결하기 위해 노력하고 있다는 점입니다. 나쁜 소식은 그 과정에 평균 85일이 걸린다는 것입니다.

기술 분야에서 빠른 혁신과 기능 생산이 필수적인 시대에 모의 해킹 도구와 수동 코드 검토는 힘들고 비용이 많이 들며 느립니다. 보안 인식은 처음부터, 즉 개발자가 코드를 작성하는 바로 그 순간부터 시작되어야 합니다.

우리 업계는 핵심 문제를 인식하게 될 것입니다. 바로 사람들이 더 많은 관심을 가져야 한다는 것입니다.

제 주변 지인 중 지난 4년간 메리어트 호텔을 이용한 사람이 최소 20명은 됩니다. 그 기간 동안 5억 건의 개인정보가 유출되었으니, 이들의 데이터도 포함되었을 가능성이 큽니다. 현재 연락처부터 유효한 신용카드 번호, 여권 정보까지 모든 것이 지금 다크 웹에서 거래되고 있을지도 모릅니다. 하지만 정작 당사자들은 이 문제에 거의 무관심했습니다.

대규모 데이터 유출 사고가 발생하면, 수많은 피해자 중 한 명일 뿐이라는 생각에 안일해지기 쉽습니다.

하지만 진짜 문제는 고객의 데이터를 안전하게 보호하지 못한 기업들이 별다른 책임을 지지 않는다는 점입니다. 사고 직후 주가가 하락하냐고요? 물론입니다. 타겟, 에퀴팩스, 그리고 메리어트가 이를 증명하죠. 하지만 1년 정도 지나면 주가는 금세 회복됩니다. 몇 년이 지나면 재정적으로는 모든 것이 용서되는 분위기입니다.

거액의 벌금, 강력한 규제, 그리고 실질적인 매출 타격과 같은 심각한 후속 조치가 따르지 않는 한, 앱 보안(AppSec) 업계는 기업이 직면한 사이버 위험의 심각성을 알리기 위해 끊임없이 싸워야 할 것입니다.

상황이 나아지기 전에 더 악화될까 우려됩니다. 따라서 조직의 기술 팀 최전선에서 보안 의식을 갖춘 개발자를 양성하고 탄탄한 보안 문화를 구축하는 것이 무엇보다 중요합니다. 보안을 항상 최우선으로 생각하고, 더 높은 수준의 소프트웨어 보안을 위해 끊임없이 노력하십시오.