하이브리드 클라우드 보안 강화를 위한 CISO 역할

CISOs는 다음과 같은 질문에 해답을 찾아야 한다는 어려움에 직면해 있습니다. "내가 더 안전한 조직을 만들기 위해 노력했던 것들이 효과를 보고 있을까?" 실제로 작년에 기가몬이 실시한 글로벌 조사에서 조직들의 보안 태세에 대한 인식과 현실 사이에 심각한 격차가 있음을 발견했습니다. 정보 보안 지출은 계속 증가하여 올해 전 세계 지출이 2,150억 달러를 넘어설 것으로 예상됩니다. 하지만 기가몬의 2024년 하이브리드 클라우드 보안 보고서에 따르면 기업들은 전년도보다 공격에 대한 대비가 훨씬 더 취약한 것으로 조사되었습니다. 2023년 보고서에서는 침해의 31%가 탐지되지 않은 것으로 나타났지만, 지난 12개월 동안 이 수치는 37%로 증가하여 매우 큰 문제점으로 드러났습니다.

​

그렇다면 현재의 보안 전략에서 누락된 것은 무엇일까요? 전 세계 1,000명 이상의 보안 및 IT 리더를 대상으로 한 광범위한 설문조사에서 약 234명의 CISO가 응답한 내용을 분석하여 오늘날의 진화하는 위협 환경을 어떻게 바라보고 있는지, 왜 60% 이상의 침해가 기존 정책과 통제를 계속 회피한다고 생각하는지 알아봤습니다.

​

물론 CISO에게 모든 책임이 있는 것은 아닙니다. 현대 사이버 보안의 고양이와 쥐 같은 특성으로 인해 조직들을 방어하는 일은 훨씬 더 어려워졌습니다. AI 기술을 적용한 공격이 눈앞에 다가오고 있고 이미 조직들의 41%에 영향을 미치고 있는 상황에서 보안 업계의 동료들은 강력한 보안 조치만으로는 미래의 사이버 범죄 수법을 방어하기에 충분하지 않을 수 있다는 사실을 모두 알고 있습니다. 이를 반영하듯 현재도 하이브리드 클라우드 인프라 전반에서 위협을 파악할 준비가 되어 있다고 생각하는 CISO는 절반에 불과하며, 기존 보안 도구로 침해 피해를 실시간으로 탐지하고 완화할 수 있다고 응답한 CISO는 5명 중 1명뿐입니다. 이는 보안 신뢰도에 대한 우려스러운 신호이기는 하지만, 대부분의 CISO가 숨겨진 공격의 확산을 막기 위해 항상 노력해야 할 일이 더 많다는 것을 이해하고 있음을 반영하는 것이기도 합니다.

​

새로운 환경에 적응하기

최신 사이버 보안은 허용 가능한 위험과 허용할 수 없는 위험을 구분하는 것입니다. 모든 조직은 운영을 위해 위험 감수 수준을 설정해야 합니다. 제로 리스크(zero risk)를 구현할 수 있는 세상은 존재하지 않습니다. 실제로 조직들의 41%는 이미 AI 관련 공격이 급증하고 있으며, CISO 10명 중 8명은 이 기술로 인해 전 세계적으로 랜섬웨어 위협이 증가할 것으로 예상하고 있습니다. 사이버 범죄자들은 조직들의 사각지대를 악용하기 위해 새로운 전술과 기술을 계속 사용할 것입니다. 이제 CISO는 점점 더 정교해지는 공격 방식에 대응할 수 있는 인텔리전스와 가시성을 확보하여 하이브리드 클라우드 환경과 조직들을 새로운 위협으로부터 보호해야 하는 과제를 가지고 있습니다.

​

그러나 규제를 통해서도 데이터를 충분히 보호하지 못하고 있다고 생각하는 조직들은 더욱 엄격하게 단속하고 경영진에 대한 단속을 강화하는 것은 물론, 비즈니스 리더가 더 높은 수준의 책임을 지게 만들면서 이러한 위험에 노출되는 상황은 확실히 줄어들고 있습니다. 실제로 CISO의 85%는 클라우드 보안이 이제 이사회 우선 순위라고 답했습니다. CISO 10명 중 6명이 사이버 위험에 대한 이사회 차원의 관심을 성공의 가장 큰 요인으로 꼽은 만큼, 이사회 참여에 대한 이러한 움직임은 희망적인 소식입니다. 하지만 모든 기업 운영에 사이버 리스크가 항시적이고 보편화되면서 IT 및 보안 리더가 책임져야 하는 일들이 급증하고 있습니다.

​

인공지능(AI)은 한 차원 높은 효율성을 약속하는 최신 기술이지만, CISO의 책임에 속하는 최신 블랙박스이기도 합니다. AI 구현, 특히 내부 위험 잠재력을 줄이는 책임이 점점 더 CISO의 어깨에 지워지고 있습니다. 이러한 이유 때문인지, 이번 보고서에서는 가시성 격차를 해소할 수 있는 AI의 잠재력에 대한 CISO의 열의가 낮은 것으로 나타났습니다. 전체 응답자의 절반 이상이 가시성 격차 해소를 위한 접근 방법으로 보안 자동화와 AI를 꼽았지만, CISO들 사이에서는 4위로 떨어졌습니다. 그 대신 보안에 가장 가까운 업무를 진행하는 사람들은 사각지대 해소, 도구 최적화, 향후 의무화될 제로 트러스트에 대한 준비 등 기본에 집중하고 있습니다.

​

사각지대 해결하기

실시간 가시성은 특히 동서 East-West 및 암호화된 트래픽과 관련하여 응답자들 사이에서 우려의 대상이 되고 있습니다. 위협 행위자들은 보안 제어를 피하기 위해 암호화된 트래픽 내에서 자신의 움직임을 숨기고 있으며, 현재 멀웨어 공격의 93%는 암호화로 마스킹(masking)되어 있다는 충격적인 사실이 밝혀졌습니다. 그럼에도 불구하고 CISO들은 암호화된 트래픽에 대해 암묵적인 신뢰를 보이고 있습니다. CISO 응답자 5명 중 4명은 여전히 암호화된 트래픽이 안전하다고 믿지만, 같은 기술 분야의 동료들은 71%만이 동의했습니다. 또한 62%의 CISO는 비용과 시간을 장벽으로 꼽으며 암호 해독 문제를 해결하지 않았다고 답했습니다. 암호화된 트래픽이 안전하다는 생각을 바꾸는 것은 진정한 가시성을 확보하고 보이지 않는 공격에 선제적으로 대응하기 위해 매우 중요합니다.

​

한편, 최근 LotL(Living off the Land, 시스템 내부의 합법적인 도구와 기능을 사용하여 악의적인 활동을 수행하는 사이버 공격) 공격이 급증하면서 악의적인 공격자들이 측면 트래픽(lateral traffic) 내에 얼마나 효과적으로 숨어들 수 있는지가 부각되었습니다. 그럼에도 불구하고 53%의 CISO만이 측면 트래픽에서 위협을 탐지할 준비가 되어 있다고 답했습니다.

​

CISO 10명 중 6명은 사각지대를 해결하기 위한 최우선 순위로 툴 통합 및 최적화를 꼽았으며, 그다음으로 점진적 툴 투자, 암호화된 트래픽 복호화 및 검사를 꼽았습니다. CISO 응답자의 약 70%는 기존 툴이 침해를 탐지하는 데 효과적이라고 생각하지 않는다고 답했으며, 이는 전 세계 응답자 전체의 65%에 비해 높은 수치입니다. 효율성만이 문제가 되는 것은 아닙니다. CISO 5명 중 4명은 팀이 방대한 툴 스택의 알림에 압도당하고 있다고 답했습니다. 도구 점검의 필요성은 분명하지만 이는 새로운 일이 아닙니다. CISO는 일반적으로 각 역할에 2년 정도 머무르며, 조직들은 새로운 리더가 신뢰할 수 있는 자체 솔루션을 도입하기 위해 도구 스택을 점검하는 데 익숙해져 있습니다. 새로운 도구 전략의 주기에도 불구하고 사이버 범죄자들은 계속해서 통제를 회피하고 있습니다. 이제 CISO는 새로운 도구에 집중하는 대신 네트워크의 자산과 데이터에 대한 보다 포괄적인 가시성을 확보하는 데 중점을 둔 다른 접근 방식을 시도해야 할 때입니다.

​

고려해야 할 한 가지 접근 방식은 기존 로그 기반 보안 도구를 네트워크에서 파생된 인텔리전스와 인사이트로 보강하여 보안팀에 모든 하이브리드 클라우드 인프라에 대한 실시간 심층 가시성을 제공하는 것입니다. 이렇게 탁월한 수준의 가시성을 확보하면 모든 도구 스택에서 효율성을 극대화하고 개별 도구를 최적화하여 암호화된 통신을 포함한 모든 트래픽을 캡처하고 분석할 수 있습니다. 조직이 새로운 법률에 따라 제로 트러스트를 달성하는 데 초점을 맞추면서 딥 옵저버빌리티는 제로 트러스트 아키텍처를 구축하는 데 있어 기본 구성 요소입니다.

​

우리는 이제 사이버 보안이 비즈니스 성공과 밀접하게 연관된 시대에 살고 있습니다. 조직들의 명성, 법적 지위, 수익성은 보안 태세와 너무 밀접하게 연결되어 있기 때문에 이사회에서 보안을 최우선 순위가 아니라고 부인하는 것은 어렵습니다. CISO는 비즈니스 관점에서 보안 위험을 알리는 동시에 경영진에게 정보 보안의 현실을 솔직하게 알리는 등 점점 더 확장되고 있는 역할을 적극적으로 수행해야 합니다. 사이버 보안의 특이점이나 침해로부터 안전하다고 보장할 수 있는 보안 수준은 존재하지 않습니다. 대신, 우리는 가능한 한 사이버 위험을 줄이고 우리의 보안 태세를 제대로 이해할 수 있는 힘을 확보해야 합니다. 우리는 매일 1% 더 나아지는 것을 목표로 계속 노력할 것이며, 이를 통해 우리의 과제가 이사회 의제로 올라가면 우리의 사명을 완수하는 데 필요한 지원을 확보할 수 있을 것이라고 확신합니다.