팬데믹이 닥쳤을 때, 137년 역사를 자랑하는 산업용 코팅 및 페인트 제조업체인 PPG 인더스트리즈( ,)는 사업을 계속 운영할 준비가 되어 있었다. 10년 전, ‘ G8 서밋’이 피츠버그에서 열렸을 때, 시 당국은 보안상의 우려를 이유로 해당 기업에 도심 사무실에 근무하는 직원 12.000 명에게 재택근무를 하도록 요청했다.
“사무실에서 근무할 수 없는 모든 직원들을 제대로 지원할 수 있을지 정말 걱정스러웠습니다.”라고 회사의 원격 접속 업무를 총괄하는 댄 코넬리(Dan Connelly, ) 는 말합니다.
이에 회사는 다음과 같은 고민에 빠졌다. 만약 또 다른 갑작스러운 사태로 인해 재택근무로의 전환이 훨씬 더 확대된다면 어떻게 해야 할까? 그 결과, 회사는 당시 필요했던 양보다 7배나 많은 원격 접속 용량을 구매하게 되었다. 또한 보안 절차를 강화하여, 로그인할 때마다 신원을 증명하고 기기의 정상 작동 여부를 확인할 수 있는 사용자만 네트워크에 접근할 수 있도록 제한했습니다.
코로나19가 닥쳤을 때, “우리는 한발 앞서 있었기 때문에 별다른 난관을 겪지 않아도 되었다”고 코넬리는 말한다.
현재 PPG는 보안에 있어 ‘위험을 절대 감수하지 않는’ 접근 방식을 점점 더 채택해 가고 있다. ‘제로 트러스트’로 알려진 이 모델은 팬데믹 상황에서 모범 사례로 빠르게 자리 잡고 있다. 이 시스템의 목표는 로그인을 시도하는 모든 장치를 잠재적 위협으로 간주함으로써 컴퓨터 네트워크를 악의적인 침입으로부터 보호하는 것입니다.
매일 수백만 명의 원격 근무자가 조직 네트워크에 접속하고 있으며, IT 팀은 막대한 트래픽과 수많은 미확인 기기로 인해 업무에 지쳐 있는 상황에서, 제로 트러스트는 갑자기 최고 경영진에게 시급한 과제로 대두되고 있다.
SANS 연구소의 신흥 보안 동향 담당 이사인 존 페스카토레(John Pescatore, )는 “오늘날 재택근무가 보편화된 세상에서 제로 트러스트는 필수적입니다”라고 말합니다. “마치 공공장소에서 마스크를 쓰는 것과 같아요.” 그렇게 하지 않으면 자신이 죽거나 다른 사람을 죽게 만들 위험이 있습니다. “그 어느 때보다 보안 관리가 소홀하면 재앙적인 결과를 초래할 수 있습니다.”
많은 기업 경영진과 IT 팀은 이미 그 사실을 깨달았습니다. 2020년 9월 ()와 딜로이트(Deloitte)가 실시한 설문조사에 따르면, 제로 트러스트 보안 이니셔티브를 도입한 조직의 임원 중 약 37%가 관련 노력을 가속화하고 있는 것으로 나타났다. 그 이유 중 하나로, 엔터프라이즈 매니지먼트 어소시에이츠(EMA)가 실시한 설문조사 응답자의 60% 역시 팬데믹 기간 동안 보안 문제 발생 건수가 증가했다고 답했습니다.
오늘날 원격 근무는 더 이상 특정 임원이나 현장 직원들에게만 주어지는 드문 특권이 아닙니다. 요즘은 거의 모든 사람이 업무를 보려면 네트워크에 원격으로 접속해야 합니다. EMA의 설문조사에 따르면, 주로 원격 근무를 위해 로그인하는 직원의 비율은 팬데믹이 시작된 이후 두 배로 증가해 62%에 달했다. 또한 설문조사에 참여한 기업의 3분의 2는 사내 네트워크에 직원이 소유한 기기의 접속을 더 많이 허용했다고 답했다.
이처럼 기기의 범위가 확대됨에 따라 악의적인 행위자들에게 잠재적으로 취약한 표적이 더 많이 생겨나게 됩니다. 팬데믹이 시작된 이후, 엔터프라이즈 스트래티지 그룹(Enterprise Strategy Group)이 에서 실시한 설문조사 에 응답한 사이버 보안 전문가의 63%가 사이버 공격 시도가 증가했다고 보고했습니다. 통계적으로 볼 때, 전체 공격의 90% 이상이 피싱 과 관련되어 있으며, 이 경우 직원들이 교묘하게 작성된 이메일을 클릭함으로써 발신자가 인증 정보를 훔치거나 더 심각한 피해를 입히게 됩니다. 하지만 배우자, 자녀, 반려동물과 함께 재택근무를 하며, 때로는 보안이 취약한 Wi-Fi 네트워크를 통해 업무를 처리하다 보니 문제가 더욱 심각해집니다. “온갖 일이 일어날 수 있습니다.” 중앙정보국(CIA)의 전 최고기술책임자(CTO)인 거스 헌트는 이렇게 말합니다. “제 아이가 보안이 취약한 애플리케이션을 제 PC에 다운로드하는 일도 포함해서요.”
제로 트러스트 모델 구축
아무리 조건이 좋더라도 제로 트러스트 환경을 구축하는 것은 어려운 일입니다. 이를 위해서는 다양한 분야의 많은 사람들이 사전에 계획을 세워야 합니다. 여기에는 직원들이 어느 정도까지 참아줄 수 있는지 잘 이해하는 최고 경영진뿐만 아니라, 이러한 경영진의 통찰력을 오류 없는 프로세스로 자동화하여 모든 사람이 보안 규칙을 준수하도록 하면서도 업무 속도를 지나치게 늦추지 않는 코드를 작성할 줄 아는 소프트웨어 개발자들도 포함됩니다.
이를 실현하기 위해서는 제로 트러스트가 기업들로 하여금 또 다른 유행어인 ‘DevSecOps’를 그만큼 진지하게 받아들일 것을 요구합니다. 해당 개발자들은 각자 고유한 전통과 관행을 가진 별개의 팀으로 활동하기보다는, 네트워크와 그 위에서 실행되는 애플리케이션을 관리하는 IT 담당자, 그리고 새로운 위협을 파악하고 대응하는 방법을 잘 아는 보안 전문가들과 지속적으로 협력해야 합니다.
제로 트러스트 보안을 구현하는 것은 어렵지만, 그 작동 원리의 기본 개념은 상당히 간단합니다.
- 절대 믿지 말고, 항상 확인하라: IT 부서는 모든 사업 부서와 협력하여 각 직원과 계약직 근로자가 적절히 관리되고 있는지, 또한 회사 내 어떤 부분과 어떤 애플리케이션에 대해 어느 수준의 접근 권한을 가져야 하는지까지 철저히 확인해야 한다. 그래야만 사용자가 로그인할 때마다 신원이 인증될 수 있습니다. 인증 없이는 누구도 제로 트러스트 네트워크에 접근할 수 없습니다.
- 자신의 기기를 파악하라: 제로 트러스트 보안이란 단순히 누가 접근을 시도하는지뿐만 아니라, 어떤 기기를 통해 접근을 시도하는지도 파악하는 것을 의미합니다. 이 모델에서는 사전에 인증된 기기에만 접근 권한이 부여됩니다. 하지만 그 전에 시스템은 몇 가지 사항을 확인해야 합니다. 기기가 올바르게 구성되어 있습니까? 회사 소유인가요, 아니면 직원 소유인가요? 후자의 경우라면, 업무 관련 활동을 안전하게 보호하면서 개인 데이터는 비공개로 유지할 수 있는 적절한 파티션 분할 소프트웨어가 마련되어 있습니까? 운영 체제와 응용 프로그램이 최신 버전으로 업데이트되어 있나요? 최신 보안 패치가 모두 적용되어 있나요? 승인되지 않은 애플리케이션을 실행하고 있거나, 승인되지 않은 웹사이트에 접속하는 데 사용된 적이 있습니까?
놀랍게도 이러한 예방 조치를 취하는 기업은 거의 없는데, 특히 팬데믹이 시작된 후 재택근무(WFH)를 서둘러 도입한 기업들의 경우 더욱 그렇다. IBM이 실시한 ‘재택근무(Work From Home) 보안 현황 조사( )’ 에 따르면, 현재 직원의 절반 이상이 업무에 개인 노트북과 PC를 사용하고 있지만, 고용주가 이를 적절히 보호하기 위한 보안 장비를 제공받은 직원은 39%에 불과한 것으로 나타났다.
헌트는 “모든 기기의 현황, 즉 기기에 어떤 파일이 다운로드되었는지와 사용자가 누구인지 등을 항상 파악하고 있어야 한다”고 말한다. “그때서야 비로소 누가 어떤 일을 할 수 있는지에 대해 올바른 자동화된 결정을 내릴 수 있는 시스템을 구축할 수 있습니다.”
- 지금 바로 행동하세요: 제로 트러스트 아키텍처는 단순히 잠재적인 위협을 탐지하는 데 그치지 않습니다. 예를 들어, 자동 소프트웨어 업데이트를 실행하거나, 보안 담당자에게 악성코드를 알리거나, 시스템을 격리하여 해당 기기가 민감한 데이터에 접근하지 못하도록 차단하는 등의 방식으로 이에 대응할 수 있습니다.
좋은 거버넌스부터 시작합시다
헌트는 제로 트러스트 모델을 구현하는 데 있어 가장 어려운 과제는 누가, 언제, 어떤 이유로 접근 권한을 부여받을지에 대한 정책을 수립하는 것이라고 말합니다. 그는 이 첫 단계가 가장 자주 잘못 처리되는 단계라고 덧붙입니다. 이는 조직들이 직원들이 기술을 어떻게 활용하는지 파악하는 데 충분한 시간을 할애하지 않기 때문입니다. 예를 들어, 헌트는 사용자가 평소와 다른 장소에서 로그인하거나 알 수 없는 기기를 사용해 로그인한다고 해서, 그 사용자가 반드시 위협이 되는 것은 아니라고 말합니다. 그 근로자를 배려하기 위해서는 규칙이 필요한 것뿐입니다.
“일요일 아침에 거스가 스타벅스에서 로그인하는 게 정말 이상하다면, 시스템이 나를 로그인시키되 근무 기록표만 작성하게 하고 인사 시스템이나 그 밖의 민감한 데이터에는 접근할 수 없도록 제한해야 할지도 모른다”고 헌트는 예를 들어 설명했다.
다시 말해, 맥락이 매우 중요합니다. 따라서 기기에 알 수 없는 웹사이트로 연결되는 링크가 포함되어 있더라도, 해당 사용자가 회사의 CEO로 확인된 경우라면, 여전히 CRM 시스템에 접속할 수 있도록 규칙을 설정하는 것이 좋습니다. 한편, 사업 이력이 거의 없는 하도급업체는 바로 격리 조치될 수 있다.
이러한 세부 정책을 수립하려면 기업들이 예상하는 것보다 더 많은 협력이 필요합니다. 일반적으로 제로 트러스트 도입을 시작하기 위해 기업들은 데이터 거버넌스 위원회를 구성하지만, 직원들의 업무 방식을 잘 아는 인력을 위원회에 배정하지 못하는 경우가 너무 많습니다. 즉, IT 및 소프트웨어 개발 담당자뿐만 아니라, 각 팀을 잘 파악하고 있는 사업부 책임자들도 포함시켜야 한다는 뜻입니다.
“이 부분이 가장 어렵습니다,”라고 헌트가 말한다. “정책과 거버넌스 관련 사안들은 훨씬 미리부터 신중하게 검토해야 합니다.” “제로 트러스트를 도입하겠다고 마음먹었다고 해서 대충 엮어놓을 수는 없는 법입니다.”
제로 트러스트를 원활하게 구현하기
PPG의 코넬리 씨는 “수년 동안 이 문제를 해결하기 위해 노력해 왔음에도 불구하고, 피츠버그 플레이트 글래스조차도 아직 갈 길이 멀다”고 말했다. 어떤 면에서 보면, 그의 부서는 보안 소프트웨어가 미리 설치된 회사에서 지급한 노트북만 사내 네트워크에 접속하도록 허용함으로써 쉬운 길을 택한 셈입니다. 즉, 직원들은 개인 소유의 PC, Mac 또는 스마트폰을 사용할 수 없습니다.
하지만 다른 면에서는 충분히 신중하지 못했습니다. 예를 들어, PPG 직원들이 일단 네트워크에 접속하게 되면, 대부분의 애플리케이션을 자유롭게 사용하고 대부분의 데이터를 열람할 수 있습니다. 완벽한 제로 트러스트 시스템은 사용자가 승인받은 항목에 대해서만 접근 권한을 부여할 것입니다.
코넬리는 앞으로 직원들이 다양한 기기 선택권을 기대하게 될 것이며, 기업들은 이러한 기기가 어떻게, 언제, 어디서 사용되는지에 대해 더욱 세밀하게 통제해야 할 것이라고 말합니다.
“사람들의 재택근무에 대한 열망은 결코 사라지지 않을 것이라고 생각합니다.”라고 코넬리는 말합니다. 그의 회사는 자체 데이터 센터에서 클라우드 기반 인프라 및 서비스로 점차 전환하고 있습니다. “클라우드로 전환해 나가는 과정에서 제로 트러스트는 우리에게 최우선 과제가 될 것입니다,”라고 그는 말합니다.
재택근무 환경에서 안전을 유지하는 일이 더욱 복잡해진 만큼, 기업들은 보안과 직원 경험 간의 균형을 맞추는 데 각별한 주의를 기울여야 할 것입니다. IT가 지나치게 많은 장벽을 세워 사람들의 업무 방식을 뒤흔들고 있는 것일까? 식당 손님이 매번 문을 들어설 때마다 코로나19 검사를 해야 하는 식당에는 가고 싶지 않을 수 있는 것처럼, 근로자들도 업무를 시작하기 전에 지나치게 번거로운 로그인 절차를 거치거나 상태 확인을 위해 너무 오래 기다리고 싶어 하지 않습니다.
단순히 로그인하는 데 따르는 일상적인 보안 번거로움이 너무 부담스러워지면, 기업은 직원들에게 회사를 떠나려는 생각을 하게 만들 위험이 있으며, 더 나쁘게는 직원들이 보안 취약점을 다시 노출시키는 지름길을 찾게 할 수도 있습니다. “사람들은 좌절감을 느낄 때 우회책을 찾게 된다”고 헌트는 말한다.
그럼에도 불구하고, 기업과 근로자들은 더 이상 ‘제로 트러스트’를 무기한 보류할 수 없다. “단순히 자신에게 보안 침해 사고가 일어나지 않기를 바랄 수는 없습니다.” SANS 연구소의 분석가인 페스카토레는 “그건 제대로 된 삶이 아니에요”라고 말했다. “제로 트러스트는 회사 전체를 마비시킬 수 있는 공격을 막아줄 수 있습니다.” “더 이상 선택 사항으로 간주될 수 없다.”
