ZERO TRUST

2023년은 사이버 보안 환경 전반이 격변하는 해였다. 지정학적, 경제적 발전으로 기업과 소비자 모두에게 더욱 복잡하고 불확실한 환경이 조성됐다. 이에 따라 효과적인 글로벌 위협 인텔리전스의 필요성이 커지고 있다. 세계적으로 새로운 플레이어들과 위협이 등장하면서 사이버 범죄 영역은 계속 진화하고 있다. 보안 전문가들은 사이버 위협으로부터 안전한 조직이나 개인은 없으며, 빠른 속도와 규모로 진화하는 위협에 대한 연구와 대비가 시급하다는 점을 인식해야 한다. 랜섬웨어는 그 규모와 정교함이 점점 더 커지면서 전 세계 많은 조직에게 위협이 되고 있다. 랜섬웨어는 컴퓨터 시스템을 감염시켜 접근을 제한하고 일종의 몸값을 요구하는 악성 소프트웨어의 한 종류다. 개인 정보를 유출하기 위한 사회공학적 수법은 점점 더 교묘해지고 있으며, 이를 포착하고 식별하기는 더욱 어려워지고 있다. 우크라이나, 이스라엘 등에서 볼 수 있듯이 국가 간 스파이 활동, 전쟁 및 허위 정보를 이용해 사이버 공격하는 추세도 이어지고 있다.체크 포인트 리서치(Check Point Research, CPR)에 따르면 2023년 2분기 전 세계 주간 사이버 공격이 8% 증가해 2년 만에 가장 많은 양을 기록했다. 쉐임 사이트(Shame-sites)에서 공개한 데이터에 따르면 2023년 상반기 총 48개의 랜섬웨어 그룹이 2200명 이상의 피해자를 공격하고 공개적으로 금전을 갈취한 것으로 나타났다. 사이버 보안 분야는 생성AI의 등장, 무기화 된 딥페이크 기술 및 피싱 공격, 핵티비즘 등을 중심으로 더욱 정교해지고 표적화 되고 있다. 2024년 사이버 보안 분야의 지형은 어떻게 달라질까.

세계 최대 사이버 보안 행사인 RSAC2023이 4월 24일 미국 샌프란시스코 모스코니 센터에서 개막했다. 오프닝 기조 연설자로 나선 RSA시큐리티 로힛 가이(Rohit Ghai) 최고경영자(CEO)는 '다가오는 정체성 위기(The Looming Identity Crisis)'라는 주제로 행사의 시작을 알렸다.  로힛 가이 CEO는 "인공지능(AI) 시대는 아이덴티티(Identity, 이하 ID) 보호가 사이버 보안의 핵심이 될 것이다"며 ID 보안에 대한 새로운 접근방식을 강조했다. ID를 보호하기 위해서는 제로 트러스트 전략이 필수적이며, 제로 트러스트는 인공지능의 도움 없이는 성공적으로 구현될 수 없다. 인공지능을 훈련시키는 것은 결국 인간이며 좋은 인공지능을 구현하는 것도 인간이다.

기업 보안 담당자는 직원들이 안전하게 사내 시스템에 접속하고 사이버 위협에 노출되지 않게 노력한다. 팬데믹으로 재택과 원격 근무가 늘어나면서 보안 담당자 고민은 더 커졌다. 회사에 출근해 내부 네트워크에 접속하던 직원들이 집에서 기업 중요 데이터에 접근하기 때문이다. 사이버 범죄자는 이런 틈을 노린다. 피싱, 악성코드, 자격 증명 도용, 랜섬웨어 등 다양한 위협을 시도한다. 사이버 범죄자는 가짜 웹사이트를 만들어 악성코드를 숨긴다. 해당 사이트에 방문하는 사람 PC 등 단말기에 악성코드를 감염시키고 중요 사이트 접속 정보(ID와 비밀번호) 등을 빼돌린다. 사이버 범죄자는 사회공학기법으로 표적이 관심있어할 만한 문서 등을 첨부해 클릭을 유도한다. 이 같은 사이버 공격의 최전선이 바로 웹이다. 글로벌 보안 기업은 웹을 통한 사이버 공격을 최소화할 수 있는 방법으로 '원격 브라우저 격리(RBI: Remote Browser Isolation)'에 주목한다. 코로나 바이러스에 감염된 환자를 격리해 더 이상의 확산을 막는 것처럼 악성코드에 감염 됐을 가능성이 높은 사이트를 아예 별도 웹 브라우저에서 실행한다.

지난해 코로나 팬데믹으로 온라인 재택근무와 회사에 출퇴근을 혼합하는 일명 '하이브리드 근무' 형태가 보편화됐다. 감염률이 증가하고 도시가 락다운이 되자 보수적인 국가들도 하이브리드 근무를 도입한 것. 당분간 하이브리드가 주요 기업들의 근무 형태가 될 전망이다. 집에서도, 사무실에서도, 세계 그 어느 곳에서도 인터넷만 되면 일을 할 수 있다. 지금, 사이버 보안은 그 어느 때보다 중요하다.지난 12일(미 현지 시각), ‘인터넷의 아버지’ 빈트 서프(Vint Cerf) 구글 부사장은 벤처비트(VentureBeat)가 주최한 트랜스폼 2021(Transform 2021) 컨퍼런스에 참석, 공공 부문과 민간 부문 모두 보안에 대한 새로운 책임에 대비해야 한다고 강조했다. 그는 “집에서 가상사설망(VPN, virtual private network)을 사용하는 것만으로는 충분하지 않다”며 주거 환경에 다른 잠재적인 위험과 취약성 많다고 설명했다. 서프 부사장에 따르면 구글은 제로 트러스트(zero trust, 모든 네트워크를 신뢰하지 않음)를 가정한다. 취약성은 모든 곳에 있고 그 어디도 안전하지 않다는 것이다. 그는 “하이브리드 근무를 안전하게 만들려면, 신원 확인 및 인증 작업이 매우 중요하다”고 전했다. 또한 사용자가 웹을 사용할 때 더 조심스럽게 생각하고 행동해야 한다며 “마치 우리가 차도를 건널 때, 양방향을 확인하고 걷는 것처럼 온라인 환경에서도 그렇게 행동해야 한다”고 말했다.다음은 서프 부사장이 “공공 및 민간 부문 사이버 보안 리더가 하이브리드 근무를 안전하게 만들기 위해 알아야 할 5가지” 세션에서 전한 5가지 사항이다.