CISO들은 스위스 치즈 네트워크 경계를 패치하려고 애쓴다.

“경계보안에는 미래가 없고, 산업은 그들이 속한 애플리케이션으로 보안기능을 옮기고 있다.”-폴 시몬즈(ICI)

“오늘날 비즈니스에서 신용관계는 모든 사람(직원, 고객, 공급자)이 동일한 기준을 지킬 때에만 유지된다.”-댄 블럼(BURTON)

구식의 네트워크 보안 방어책이 얼마나 더 살아남을 것인가?

보안은 엄격한 분리 기준을 적용시켜왔다. 기업은 직원만 중요한 리소스에 접근할 수 있도록 하고, 다른 사람들은 접근하지 못하도록 차단하기를 원한다. 방화벽 같은 네트워크 경계 보안제품은 내부자와 외부자간에 명확한 비무장지대를 구축하기 때문에 대중화되었다.

비즈니스가 인터넷으로 옮겨가면서 기업 리소스에 대한 액세스를 누가 가져야 하는가에 대한 시선은 희미해졌고, 어떤 경우에는 알아볼 수도 없다. 페인트, 접착제, 특수제품을 공급하는 영국 기업 ICI에서 국제 정보보안 담당이사를 맡고 있는 폴 시몬즈(Paul Simmonds)는 “기업의 네트워크 경계에는 스위스 치즈 한 조각보다 더 많은 구멍이 뚫려있다”고 말했다.

시몬즈는 차세대 기업 보안 시스템을 형성하기 위해 발족한 여리고 포럼(Jericho Forum)의 설립자이다.

이런 변화에도 불구하고 CISO들은 여전히 데이터의 안전을 확보하기 위해 합법적인 사용자와 불법적인 사용자를 구분할 수 있도록 분명한 경계선을 확보해야 한다. 모든 사람들이 네트워크 보안정책을 보완해야 한다는 사실에는 동의하면서도 얼마만큼의 변화가 필요한지, 기업 데이터를 보호하기 위해 얼마나 많은 비용을 치러야 하는지 밝히지 못하고 있다.

기업에서 보안의 경계를 무너뜨리는 몇 가지 요소가 있다. 가장 먼저 나타나는 문제점은 기업의 일터가 새로운 근무환경을 보이고 있다는 것이다. 직원들은 기업의 네트워크 경계 안에서만 일하는 것이 아니다. 직원들은 중앙 사무실에서 먼 거리에서 일을 하고 있다. 금융서비스 기관에게 통신기능을 제공하는 BT 래디안츠의 CSO인 로이드 헤시온(Lloyd Hession)은 “많은 기업들은 직원들이 가정이나 핫 스팟 같은 다른 장소에서 일하는 것을 허용하며 심지어 권장하기 까지 한다”고 말했다.

다음은 기업의 네트워크가 고객에게 개방된 것이다. 사업의 능률을 높이기 위해 기업은 고객들에게 네트워크를 개방하였다. 예를 들어 클라이언트는 기술지원 정보에 접근할 수 있고, 자체적으로 문제를 고칠 수도 있다. 이커머스 시스템은 잠재적인 고객들이 다양한 제품들을 살펴볼 뿐만 아니라 제품의 구매가능 여부와 선적시간까지 확인할 수 있도록 한다.

이런 변화는 정보가 기업에서 기업으로 자유롭게 흘러가는 B2B 공간에서 더 활발하다. 헤시온은 “기업들은 시스템의 전면 말단부에만 액세스를 제공하는 것이 아니라, 그들의 전사적 자원관리 시스템(ERP : Enterprise Resource Planning) 같은 백오피스 애플리케이션까지 개방하고 있다”고 지적했다.

아웃소싱이 증가하는 것 역시 기업의 경계를 무너뜨리는 요인이다. 예전에는 회사직원에게만 부여했던 직함이 외부인에게도 돌아가고 있다. 많은 경우 기업의 보안 정책을 설계하고 수행, 감시하는 외부 직원들이 기업의 모든 데이터에 접근할 수 있다.

이상과 같은 요소 때문에 기업 데이터에 누가 접근해야 하고, 누가 접근하지 말아야 하는지 분명한 구분을 정할 수 없다. 어떤 개인은 주문입력 시스템 같은 데이터의 일부분에 접근할 수 있다. 기업은 권한을 부여받지 않은 이들이 고객 신용카드 정보 같은 다른 정보를 통해서는 작업할 수 없도록 차단해야 한다.

이러한 문제에 봉착한 CISO들은 보안 거점을 구축할 수 있는 어떤 지점을 만들어야 한다. 접근권한에 대한 경계는 최소한 이론적인 부분에서 기업의 네트워크와 인터넷간의 분리선을 구축해야 한다. 이는 보안의 강화를 의미한다.

IT 시장조사 기관인 가트너의 부사장인 리치 모굴(Rich Mogull)은 “기업은 방화벽 상에 해킹이나 바이러스를 감지하기 위한 몇 가지 보안 애플리케이션을 운영하고 있다”고 말했다. 사실 지속적으로 기업의 네트워크를 침투하는 많은 양의 스팸과 스파이웨어를 방지하는데 도움을 주는 경계보안 시스템의 수는 꾸준히 증가하고 있다. ICI의 시몬즈는 “방화벽은 QoS(서비스 품질)같은 기능을 제공하는데 아주 좋은 장소이며, 기업 대역폭의 최대화를 보장한다”고 강조했다.

경계 관련 제품은 기업이 보안 필요성을 조사할 수 있도록 한다. 프로그레스 에너지(Progress Energy)의 프로그램 관리자인 브루스 우즈(Bruce Woods)는 “경계에서는 우리가 어떻게 작업을 수행하는지, 어떻게 보안허점을 확인하는지에 대한 정보를 수집한다”고 말한다.

이렇게 네트워크가 복잡해지면 벤더들은 제품의 성능을 향상시켜왔다. 방화벽은 네트워크 수준의 데이터 필터링에서 애플리케이션-레이어 보호 기능으로 업그레이드 되었다. 어떤 상품은 포트 80을 통과하는 HTTP 기반 트래픽을 검사해 그 내용에 따라 차단여부를 결정한다.

때로 기업은 보안 정책을 다시 구축하기도 한다. 경계 방어기능을 PC와 데이터센터 서버 같은 전송 단말기에 적용시키는 것이다. 시장조사 업체 버튼 그룹(Burton Group)의 선임부사장인 댄 블럼(Dan Blum)은 “직원에게 개인형 방화벽과 바이러스 확인 프로그램을 제공하는 기업의 숫자가 늘어나고 있다”고 밝혔다. 실제 기업에서는 데이터가 입력되는 곳과 데이터 센터를 빠져나가는 곳에는 더 많은 보안 확인을 하고 있다.

이런 환경은 CISO의 새로운 도전이다. 우선 보안제품의 폭이 더 광범위해지고 있으나 보안 소프트웨어가 비싸기 때문에 경영진은 추가 투자를 꺼린다. 늘어나는 제품을 관리하기 어려우며, 정기적으로 수 천 개의 단말기에 설치된 소프트웨어를 업데이트해야 한다.

여리고 포럼 같은 그룹은 보안의 측면에서도 경계가 중요하지 않게 될 것이라고 예측한다. ICI의 시몬즈는 “경계보안에는 미래가 없다. 산업은 그들이 속한 애플리케이션으로 보안기능을 이동시키고 있다”고 밝혔다.

장기적인 관점에서 안전한 애플리케이션을 개발하는 방향은 네트워크 경계를 보호하는 것 보다 데이터 자체를 방어하는데 더 의존하는 분배형 보안 모델이 출현할 것으로 전망된다. 이러한 신용기반 보안 시스템은 개인의 신분과 비용지불을 확인하면서 민감한 데이터로 액세스하는 것을 허용한다. 혹은 개별 서비스를 제공하거나 일을 처리하기 위해 클레임이라고 불리는 사용자에 대한 일련의 명령을 수행한다.

신용을 승인하는 것은 세 가지 요소에 따라 달라진다. 일반적으로 사용자를 위해 무엇을 할지 결정하기 위한 클레임을 요구하는 애플리케이션인 의존당사자와 클레임을 제공하는 신분제공자, 그리고 애플리케이션에 어떤 정보를 제공할지 결정하는 사용자가 그 요소가 된다. 통합된 신분관리와 안전한 웹 서비스를 위한 명세서를 개발해 온 리버티 얼라이언스(Liberty Alliance)에서 출시된 것과 같이 신용모델을 지원하는 다양한 명세서들이 출현하고 있다.

버톤 그룹의 블럼은 “오늘날 비즈니스에서 신용관계는 직원과 고객, 공급자 등 모든 사람이 동일한 기준을 따를 때 적용된다”고 말했다. 이는 각기 다른 접근법으로 허가하는 것이 아니며, 널리 퍼진 것 보다 특정시장을 선택하는 것이다.

경계가 사라지면 보안정책이 어떻게 변화해야 할지 분명하지 않다. 가트너의 모굴은 “보안 위협이 변화하기 때문에 기업은 전송업무를 보호하기 위해 다양한 제품을 사용한다. 나아가 방화벽 같은 경계 장비보호는 그 품목 중 하나가 되겠지만, 그것의 정확한 역할을 말하기는 이르다”고 말했다.

Copyright ⓒ 2006 Information Security and TechTarget