CIO가 보안 우선순위를 재설정하는 이유

본지의 연간 전세계 정보 보안 설문 결과 CIO가 직면한 위험과 난제는 작년에도 크게 달라지지는 않았지만 CIO들은 기업 데이터와 네트워크를 보호하기 위한 더 나은 방법을 찾고 있는 것으로 나타났다.

CIO 및 자매지 CSO를 대신해 이번 조사를 실시한 프라이스워터하우스쿠퍼스(PricewaterhouseCoopers)의 자문 서비스 부문 책임자인 마크 로벨은 “올해 결과에서는 긴장감을 볼 수 있다. 바로 경제 여건이 변화함에 따라 기대치를 다시 설정해야 한다는 긴장감”이라고 말했다.

설문에 참여한 전세계 1만 2,847명의 비즈니스 및 기술 경영진 중 67%는 조직에 대한 위험을 최소화하기 위한 보안 대책을 중요시한다고 답했다. 그러나 CIO들은 기술 비용 지출을 더욱 선별적으로 집행하면서 내부 IT 직원이 할 수 없는 일은 외부 보안 전문가에게 맡겨야 한다는 사실을 인식하고 있다. 그 이유는 다음과 같다.

클라우드 컴퓨팅을 도입하는 이유는 클라우드 컴퓨팅이 IT 운영을 더 가볍고 저렴하게 해주기 때문이다. 그러나 클라우드 보안에 대한 이해는 작년에도 그다지 나아지지 않았다. 클라우드 보안에는 주의를 기울여야 한다.

고객들은 온라인에서 돈을 쓸 곳을 찾고, 이 과정에서 더 다채로운 애플리케이션을 사용하고자 한다(모바일 기기에서도 마찬가지). 따라서 고객의 개인적인 데이터와 기타 중요한 자산을 훔치기 위해 공격자가 악용할 수 있는 취약점으로부터 고객을 보호해야 한다. 게다가 정부와 산업 규제 기관에서 이러한 보호 기능을 의무화하는 경우가 많다. 한편으로 점차 복잡해지는 비즈니스 관계로 인해 여러분은 외부 사용자의 내부 시스템 접근 범위를 넓힐 수밖에 없다. 즉, 비즈니스 파트너를 대상으로 한 공격이 여러분의 네트워크까지 흘러들 수 있으므로 이에 대한 대비책도 필요하다.

2년 전의 금융 시장 붕괴로 인해 일부 보안 전략에는 다소 차질이 생겼을 수 있지만 응답자의 56%는 위험의 증대로 인해 결과적으로 회사에서 보안의 역할과 중요성이 높아졌다고 답했다. 즉, 보안에서 후퇴된 부분은 없다는 이야기다.

클라우드에 도사린 위험

응답자의 62%는 클라우드에 배치하는 자산의 보안에 대해 전혀 확신하지 못하는 것으로 나타났다. 응답자의 49%는 클라우드 컴퓨팅으로의 모험을 실제로 감행했는데, 이들 중 39%는 보안에 대해 심각하게 걱정하고 있다고 답했다.

클라우드 컴퓨팅 전략에 있어서 가장 큰 위험을 묻는 질문에 대해 응답자들은 공급업체 현장에서 보안 정책을 강제할 수 있는지에 대한 의구심, 부족한 교육과 IT 감사 등을 꼽았다.

로스엔젤레스 카운티 퇴직자 협회(Lacera: 라세라)의 CIO인 제임스 푸는 회의적인 사람 중 하나다. 그는 클라우드 컴퓨팅이 제공하는 융통성과 민첩성은 좋지만 가용성 및 보안 측면의 본질적인 위험은 우려된다고 말한다.

라세라의 정보 보안 관리직을 겸하고 있는 푸는 “현재로서는 근거리 통신망(LAN)에 비해 안정성이 떨어진다”며 “서드파티가 연루되는 부분이 우려된다”고 말한다. 그는 클라우드 공급업체는 서드파티를 통해 데이터 센터와 하드웨어를 호스팅한다는 점을 지적한다. 그리고 이러한 호스팅 업체들은 충분한 검증 없이 직원을 채용할 가능성이 있다. 푸는 “데이터를 클라우드에 둘 경우 소프트웨어 버그 하나만으로도 이 데이터가 유출될 수 있다”고 지적한다.

반면 미국 테니스 협회(USTA) CIO인 래리 본판테는 조심스럽게 클라우드로 전환 중인 IT 리더 중 한 명이다. 보안 측면에서 본판테가 가장 신경을 쓰는 부분은 소비자 데이터 보호인데, 미국 오픈 경기 표의 약 80%가 온라인으로 판매된다는 점을 감안하면 결코 쉽지 않은 일이다. 그는 아직 이러한 거래가 클라우드에서 이루어지도록 할 생각은 없다. 안전하게 거래를 처리하는 데 필요한 모든 기술이 완벽히 준비되었다고 생각하지 않기 때문이다. 그러나 백 엔드 재무 및 보고 시스템에 대해서는 다른 시각을 갖고 있다.

본판테는 아마존의 보안 리소스가 조직 리소스를 보완하리라는 생각에 모든 내부 백 엔드 시스템을 아마존 웹 서비스 플랫폼으로 옮겼다. 덕분에 비용이 절감되고 IT 직원이 관리해야 할 서버 수가 줄었으며 결과적으로 새 솔루션을 더 신속하게 배포할 수 있게 됐다. 또한 클라우드를 통해 USTA의 탄소 발자국도 줄였다. 내부 하드웨어가 줄었다는 것은 IT를 위한 에너지 소비도 그만큼 줄었음을 의미하기 때문이다.

구체적 지침과 규정 확립 필요

보스턴 소재 대형 뮤추얼 펀드 회사의 CSO이자 금융 업체인 캐피탈 IQ 및 미라디언트(Miradiant)의 전 CSO인 켄 페일은 클라우드 컴퓨팅이 안전한 옵션으로 광범위하게 채택되려면 몇 가지 과제가 해결되어야 한다고 말한다(현재 소속 회사 이름은 페일의 요청으로 밝히지 않음).

그는 먼저 보안 전문가들이 고객 정보 또는 지적 자산 등 클라우드에 저장해도 괜찮은 데이터 유형에 대해 더 구체적인 지침을 마련해야 하며, 증권거래위원회와 같은 규제 기관이 클라우드와 관련된 재무 보고 규정에 대해 명확한 입장을 밝혀야 한다고 말한다.

그는 특히 클라우드에 저장해도 괜찮은 금융 데이터의 유형을 비롯해서 아직 이러한 부분에 대한 답이 명확하게 나오지 않았다고 생각한다. 페일이 속한 회사에서 현재 클라우드를 피하는 것도 이러한 이유 때문이다.

사업 파트너와의 관계

클라우드 공급업체에게 데이터 관리를 믿고 맡길지 여부는 여러분이 선택할 문제다. 사업 파트너와의 관계는 더 복잡하다.

설문 응답자들은 경기 침체로 인해 비즈니스 파트너와 납품업체들의 보안이 불안정해졌기 때문에 그들 자신의 보안도 작년에 비해 위협에 더 크게 노출될 수 있다는 데 다소 우려를 표시했다. 응답자의 77%가 파트너와 납품업체의 보안이 경기 침체로 인해 약화되었다고 답했다. 이는 전년도의 67%에 비해 증가한 수치다.

로벨은 “기업들은 싫든 좋든 서드파티에 대한 의존도를 높이고 있으며, 이러한 파트너에게 기업의 IT 인프라와 데이터에 대한 접근을 허용해야 한다”며 “이는 경기가 좋을 때는 어려운 일 정도지만 경기가 나쁠 때는 두려운 일이 된다”고 말한다. 서드파티들은 자사의 사업 문제로 인해 기업과 마찬가지로 비용을 줄여야 하고, 이 과정에서 보안과 관련된 부분을 삭감할 수 있기 때문이다.

패밀리 달러의 부사장겸 CIO인 조쉬 쥬이트는 비즈니스 파트너가 보안을 약화시키지 않도록 조치를 취했다. 그는 “우리는 계약적인 측면뿐만 아니라 운영 측면에서도 믿을 수 있는 업체들을 보유하고 있다”며 “이 업체들은 우리 회사 내부에 사용되는 것과 동일한 보안 표준을 충족해야 한다”고 말한다.

패밀리 달러의 파트너들은 패밀리 달러 또는 독립 회계 업체로부터 정기적인 감사도 받아야 한다. 또한 패밀리 달러는 이들의 행위가 회사의 데이터 또는 비즈니스 연속성을 위험에 노출시킬 경우 관계를 종료할 계약상의 권리를 가진다.

IT 감사 자격증을 보유한 라세라의 푸는 로널드 레이건 대통령이 전 소비에트 연방과 핵무기 조약을 할 때 사용했던 방법을 사용한다. 즉, 신뢰는 하되 확인하는 것이다. 푸는 “많은 경우 서드파티들은 보안 절차를 문서화해야 하지만 이를 확인하기 위한 후속 조치는 없는 경우가 많다. 우리는 직접 확인한다”며 “업체에게 많은 질문을 던지고, 이들이 접근할 수 있는 요소를 제한한다. 이들이 회사로 들어오면 우리는 항상 사람을 옆에 붙인다”고 말한다. 또한 사업 파트너는 승인된 보안 수단을 사용해야만 라세라의 네트워크에 있는 컴퓨터에 대한 연결이 허용되며, 데이터의 사용 방법을 다루는 명확한 규칙을 준수해야 한다.