흔히들 보안을 지키는 데 가장 문제가 되는 것이 ‘사람’이라고들 한다. 요즘 들어 각종 다양한 디바이스(Device) 기술이 선보이고 이를 기반으로 한 여러 가지 형태의 디바이스가 시장에 판매되면서 기업이 직면하는 여러 보안 이슈들은 점점 더 ‘사람’의 문제에서 비롯되는 경우가 많아지고 있다. 또한 근무 환경의 변화에 따른 모빌리티, BYOD(Bring Your Own Device; 노트북, 태블릿PC, 스마트폰과 같은 본인 소유의 개인 기기를 업무에 활용하는 것)와 원격 및 재택근무의 확대, 긱 이코노미(gig economy)의 성장 등은 앞으로 더욱 기업이 직면할 보안 이슈에 큰 영향을 줄 것으로 보인다. 많은 기업이 비록 악의를 가진 행동이 아니었더라도 보안에 덜 민감하거나 이를 잘 이해하지 못하는 직원으로 인해 비롯되는 보안 노출을 통해 재정적 손실, 기업 이미지에 막대한 타격을 겪고 있으며 앞으로의 그 연관성은 더욱더 깊어지게 될 것이다. 특히 소위 ‘디지털 네이티브’는 개인 데이터에 접근하고 이용하는 기술에 이미 익숙해져 있기 때문에 이 익숙함으로 말미암아 디지털 환경에서 규정을 준수하는 것보다 편의성 및 진보된 기술의 이용을 우선시하는 실수를 저지를 가능성이 높다고 할 수도 있다. 또한 이 세대는 획일적 하드웨어의 사용 및 고정 근무 환경에서 벗어나 더 적합한 디바이스의 사용을 선호하고 모빌리티를 통한 워라밸 밸런스(Work and life balance)에 큰 비중을 두게 될 것이다. 마찬가지로 우리의 IT 환경도 변화하고 있다.
우리는 클라우드(Cloud) IT 환경으로의 변화와 변화된 클라우드 환경에서의 IT를 얼마 동안 지속해야 할 것이다. 이것은 기존의 폐쇄적인 온 프레미스(On premise) 환경으로부터 개방적인 네트워크(Network) 환경으로의 변화라고 이야기할 수도 있다. 그러나 이러한 근무 환경의 변화와 변화되는 네트워크 환경에서는 데이터와 디바이스의 자율성이 어느 정도 보장되어야 하므로 네트워크상의 모든 데이터가 보안 위협의 원인이 될 수 있고 클라우드로 전달되는 모든 데이터는 반드시 더 까다로운 검증과 의심의 과정을 통해야만 한다.
이러한 환경 변화 속에서 도출된 것이 바로 제로(Zero trust) 개념이라 할 수 있다. 이제는 신뢰할 수 있는 데이터는 없으며 모든 데이터는 의심과 검증의 단계를 걸쳐야 한다는 개념으로 모든 데이터에 대한 보안상의 불신이라 간단히 정리할 수 있다. 이러한 논리 속에 데이터를 검증하는 기업 및 최종 사용자는 기업의 클라우드를 방어하고 개인과 기업의 보안 위협을 감소시키기 위하여 필수적으로 집중/검증해야 할 사항들이 존재한다.
그중 가장 중요해 보이는 4가지로 ▲데이터 ▲신원 ▲온라인 ▲디바이스를 꼽아봤다.
예를 들어, FIDO (Fast Identity Online) 얼라이언스와 같은 보안 업계 기관이 MS 윈도우 헬로우와 통합되어 더욱더 안전한 인증을 지원하듯 개인 장치에도 2단계 인증에서 다중 인증으로 이어지는 트렌드가 지속될 것이다. 또한 기존의 디바이스에서도 제공되던 지문 인식 장치나 카메라 등은 이 장치들의 본래의 용도 즉 개인의 디바이스 분실 시 데이터 보호, 온라인 미팅(On-line meeting) 등에 초점이 맞춰져 있었다면 앞으로 이러한 부가적인 장치들은 보안 위협의 해소와 관련된 생체 인식 쪽으로 무게가 실릴 것으로 생각한다.
정리하자면 클라우드와 연결되어 사용하는 디바이스를 사용하는 유저에 대한 철저한 신원의 확인이 시작점이 되어야 하며 디바이스를 통해 유입되는 데이터도 각종 보안 절차를 통해 철저한 검증이 되어야 할 것이다.
물론 현재는 주로 아이디·비밀번호(ID/password) 기반의 인증 절차를 통해 보안 위협을 감소시키고 있지만 앞으로는 이보다 훨씬 강력한
물리적·논리적 검증 절차를 통해야만 계속 진화하는 보안 위협을 최소화할 수 있을 것이다.
여기에서 중요한 측면은 보안·디바이스 기술의 변화뿐만 아니라 실제 사용자의 행동 패턴 분석을 통해 경험적 지식을 얻고 이를 통해 발생할 수 있는 위협을 미리 도출해 내는 것도 매우 중요하다. 이를 바탕으로 기업은 사용자 행동 패턴 위협을 예측해 디바이스를 더 잘 관리하고 보호할 수 있는 강력한 보안 기술과 정책을 개발 수립할 수 있다.
또한 모빌리티가 추구되는 앞으로의 근무 환경에서는 다양한 업무 장소 및 디바이스의 다양함이 인정되고 이에 따른 여러 형태의 IT 보안을 추구해야 하므로 기업은 획일적인 디바이스 구매를 유지할 수 없게 될 것이다.
현재 많은 기업들이 유지하는 일괄적인 교체 주기 및 단일화된 모델 구매는 기업 및 기업 근로자가 추구하는 모빌리티를 가져올 수 없고 현재 추구되는 트렌드와도 거리가 멀어 보인다. 따라서 기업의 보안 정책을 수립하고 각각의 다양한 디바이스들이 보안 정책 내에서 허용되기 위해서 기업은 사용자별 환경에 맞는 커스터마이제이션(Customization)이 필요할 것이다.
이에 따라 디바이스의 획일적 대량 구매의 패턴을 벗어나 최대한 커스터마이제이션이 보장되는 DaaS(Device-as-a-Service; 모바일 기기나 노트북을 서비스 형태로 이용할 수 있는 모델)가 향후 기업 디바이스 구매의 대안이 될 것으로 보인다. 현재의 대량 구매에서는 정해진 디바이스 외에 필요한 모바일 기기들이 개인 소유 디바이스의 보안 허용을 통해 이뤄지기 때문에 향후 더욱 광범위해지는 모빌리티 환경과 위협 속에서 이로 인해 상상할 수 없는 재앙을 불러올 수도 있다.
따라서 기업의 구매 부담을 줄이고 다양한 디바이스를 허용하면서 강력한 보안 통제를 실현할 수 있는 DaaS는 현명한 접근 방법이다. 이와 함께 기업이 커스터마이징 솔루션 및 에코시스템에 대한 제어 능력을 함께 배양한다면 앞으로의 보안 위협 감소에 많은 도움이 되리라 생각한다.
증가하는 트렌드에 맞춰, 2018년 가트너 연구에 응답한 CIO(Chief Information Officer, 최고 정보 책임자) 중 약 30%는 DaaS를 향후 5년 동안 자사의 디바이스 전략의 일부로 고려하고 있다고 한다. 또한 현재와 2020년 사이에 DaaS 관련 시장의 총 가치가 3배 증가할 것이라는 IDC의 최근 연구 결과도 있다.
물론 그사이 해결해야 할 본질적인 문제도 존재한다. IDC 최근 보고서에서는 디바이스 수명 주기 관리와 관련해 조직이 직면하게 되는 문제점을 지적했지만, 절반 이상의 응답자가 개선 가능성이 있음을 이야기하기도 했다. 이 개선 가능성에는 최신 정보 유지, 커스터마이제이션 이슈 및 BYOD 유입을 안전하게 관리
하는 것에 대한 우려가 포함되어 있다.
업무 환경의 유연화에 따라 점점 더 커지는 보안 위협을 대처하기 위해 기업은 업무 공간과 업무 문화, 인력이라는 3가지 주요 원칙을 가지고 여러 방면에서 디지털 기술을 활용한 고민을 지속해야 할 것이다.
(출처 : 이두형 한국레노버 상무)
