[이슈 칼럼] 보안 사고는 미식별 자산에서 시작된다

최근 보안 사고들, 보이지 않는 자산과 쉐도우 IT에서 시작
보안 관리 패러다임, 자산부터 파악하는 방향으로 변화

[보안뉴스= 조주한 다온기술 대표] 보안 사고는 취약점이 아니라 ‘보이지 않는 자산’에서 시작된다. 기업과 기관이 보안 사고를 분석할 때 가장 먼저 찾는 원인은 보통 ‘취약점’이다. 그러나 실제 보안 사고의 출발점은 취약점이 아니라 관리되지 않는 자산인 경우가 많다. 보안 시스템이 아무리 잘 구축되어 있어도 조직 내부에 어떤 자산이 존재하는지 정확히 알지 못한다면 보안 관리의 출발점 자체가 흔들릴 수밖에 없다. 최근 많은 보안 사고가 이와 같은 ‘보이지 않는 자산’(Unknown Asset) 또는 ‘쉐도우 IT’(Shadow IT)에서 시작되고 있다는 사실은 이러한 현실을 잘 보여준다.

조직은 자신의 자산을 정확히 알고 있는가
대부분의 기업과 기관은 이미 다양한 보안 솔루션을 운영하고 있다. EDR, 취약점 진단 도구, 패치 관리 시스템, 네트워크 접근제어(NAC) 등 솔루션들은 각자의 역할을 수행하며 조직의 보안 수준을 높이는 데 기여한다. 그러나 공통적인 한 가지 전제가 존재한다. “관리 대상 자산이 이미 식별되어 있다”는 가정이다.

문제는 현실의 IT 환경에서는 이 가정이 쉽게 깨진다는 점이다. 현대의 IT 환경은 다음과 같은 특징을 가지고 있다. △지속적으로 추가되는 신규 장비 △클라우드 기반 인프라의 확장 △다양한 부서에서 도입되는 SaaS △개인 장비의 업무 활용(BYOD) 등이다. 이러한 환경에서는 조직 내부에 존재하는 모든 IT 자산을 완벽하게 파악하는 것 자체가 매우 어려운 과제가 된다.

Shadow IT가 만드는 새로운 공격 표면
보안 관점에서 가장 위험한 자산은 취약한 자산이 아니라, 존재 자체를 모르는 자산이다. 관리되지 않는 자산은 다음과 같은 문제를 만든다. 예를 들면, △보안 솔루션이 설치되지 않은 상태로 운영되거나 △취약점 점검 대상에서 제외된다. 또한 △패치 관리에서 누락되거나 △접근 통제 정책이 적용되지 않기도 한다. 결국 이러한 자산들은 조직의 ‘숨겨진 공격 표면’(Attack Surface)이 된다.

특히 최근에는 다음과 같은 형태의 Shadow IT가 빠르게 증가하고 있다. △테스트용으로 임시 설치된 서버 △관리되지 않는 네트워크 장비 △클라우드에 생성된 개발 인프라 △개인이 설치한 업무용 소프트웨어 등 이러한 자산들은 대부분 관리 체계 밖에서 운영되기 때문에 공격자에게 매우 매력적인 목표가 된다.

보안의 시작점은 ‘자산 가시성’부터
이러한 문제를 해결하기 위해 글로벌 보안 시장에서는 ‘CAASM’(Cyber Asset Attack Surface Management)이라는 새로운 개념이 등장했다. CAASM은 단순한 자산 관리 도구가 아니다. 조직 내부에 존재하는 모든 IT 자산을 식별하고 통합적으로 가시화하는 보안 플랫폼이다.

CAASM의 핵심은 다음과 같다. 먼저 다양한 수집 방식을 통한 자산 식별과 분산된 보안 데이터를 통합하는 것. 그리고 통합된 데이터에서 중복 제거 및 단일 자산 뷰 제공하고, 공격 표면의 지속적 모니터링을 지원한다. 즉, 보안 관리의 출발점을 취약점 관리가 아니라 자산 가시성 확보로 이동시키는 접근 방식이다.

보안 관리 패러다임의 변화
전통적인 보안 관리 방식은 다음과 같은 흐름으로 이루어진다. ‘자산 식별 → 취약점 진단 → 패치 관리 → 모니터링’. 하지만 현대 IT 환경에서는 첫 단계인 자산 식별 자체가 가장 어려운 문제가 되고 있다. 따라서 보안 관리의 패러다임도 다음과 같이 변화하고 있다. ‘전체 자산 가시성 확보 → 공격 표면 식별 → 위험 기반 관리’로 말이다.

보안 관리의 핵심 질문도 바뀌고 있다. 과거의 질문은 이것이었다. “우리 시스템에는 어떤 취약점이 있는가?” 하지만 이제는 먼저 다음 질문에 답해야 한다. “우리 조직에는 어떤 자산이 존재하는가?” 이 질문에 대한 명확한 답이 없다면 취약점 관리 역시 완전할 수 없다.

보안 관리의 출발점
보안은 언제나 가장 기본적인 질문에서 시작된다. “우리는 무엇을 보호하고 있는가?” 조직이 보유한 모든 IT 자산을 정확히 식별하고 이해하는 것, 그것이 보안 관리의 출발점이며 현대 보안 전략의 핵심이 되고 있다. 앞으로의 보안 경쟁력은 얼마나 많은 보안 솔루션을 도입했는가가 아니라, 얼마나 정확하게 자산을 식별하고 관리할 수 있는가에 의해 결정될 것이다.

[글_ 조주한 다온기술 대표]

우리나라 정보보호 수준 향상을 위해 이재명 정부에게 가장 바라는 점은 무엇인가요?
	ISMS 등 보안 인증 제도 실효성 개선
	AI 보안, 양자보안 등 보안 기술 연구개발 지원 확대
	중소 기업 보안 지원 확대
	기업 보안 예산 비율 의무화
	국가 정보보호 거버넌스 체계 정비
	기타(댓글로)