클라우드 이전 시 'CSO가 주도적으로 해야 할 일'

주도적으로 나서기 위한 결단 내리기 보안 담당 임원은 다음의 3가지를 선택할 수 있다. • 좀 더 안전하게 클라우드로 이전하고자 프로젝트에 주도적으로 나서기 • 자신의 원하는 바가 아닌, 다른 임원이 내린 결정을 따르기 • 클라우드 이전에 대해 전혀 개입하지 않고 모르는 척 하기 이 시리즈를 ‘리딩 시큐리티 체인지’라고 한 데에는 이유가 있다: 변화를 통해 리더십을 보여주기 위해 필요한 사고방식과 행동을 공유하기 위함이다. 이 첫 프로그램은 CSO/CISO가 자신의 조직을 클라우드로 이끄는데 필요한 것들을 모색하고자 한다. 이 프로그램에는 로드맵, 보안 임원들의 통찰력, 패널의 의견, 요약 등이 포함돼 있다.

클라우드 이전 시 CSO가 고려해야 할 3가지 이 시리즈의 로드맵에는 클라우드로의 접근방식을 구조화하는 방법이 나와 있다. 당신의 전략은 다음 3가지 핵심 분야를 포함할 필요가 있다. • 선택: 정보를 보호하면서도 회사에 도움이 되는 솔루션으로 안내하기 위한 정보와 규정 규준 • 보호: 특정 솔루션을 결정한 후 정보를 안전하게 지키기 위한 최선의 방법을 고안하고 환경을 이해하는 프로세스 • 운영: 변화하는 요구사항과 가능 옵션에 기반을 두어 제어, 접근방식, 혹은 솔루션을 측정, 평가, 채택하는 프로세스 각 단계의 질문에 답하고 추가 통찰을 위해서는 로드맵을 읽어야 한다. 그리고 당신의 접근방식을 향상시키기 위한 전문가들의 공유내용을 참고하라.

로리 맥비티: 주도적으로 나서던지, 따라가던지, 아니면 클라우드에서 발을 빼라 로리 맥비티는 클라우드 분야의 선구자로 항상 알려져 있으며 클라우드에 대한 질문이 있을 때 필자가 가장 먼저 떠올리는 사람 중 하나다. 다음은 경험을 통해 얻은 로리의 조언이다. “길을 이끈다는 것은 당신이 무엇을 바꿀 수 있고 무엇을 바꿀 수 없는지를 구분하고 이행에 기반한 전략에서 결과에 기반한 전략으로 바꾸는 것을 의미한다. 업무 지원 애플리케이션에 대한 접속을 통제하기 위해 네트워크 방화벽을 강제하는 대신 결과의 관점에서 정책을 규정해야 한다. 업무 지원 애플리케이션을 확인하고 감시할 수 있어야 한다. ‘어떻게’를 규정하는 접근방식에서 벗어나 ‘무엇’을 규정하는 접근방식으로 바꾸면, IT리더들이 각각의 모델에 맞는 솔루션을 찾고 차후에 대응하려 하기보다는 변혁을 주도할 수 있게 해줄 것이다. 어떻기를 규정하는 것은 전술이며, 무엇을 규정하는 것은 전략이다.”

조안 페핀: CSO가 클라우드 업체를 평가하는 기준이 있어야 한다 조안 페핀은 클라우드-기반 회사의 CISO 겸 보안담당 부회장이다. 이는 그녀가 다른 클라우드 서비스를 사용하면서 동시에 고객들의 요청을 해결함을 의미한다. 조안의 소비자이면서 제공자가 되는 독특한 경험은 다음과 같이 보안 리더의 클라우드 제공자 평가를 위한 내부 비밀의 기반이 되었다. “클라우드 서비스의 제공과 소비를 함께 하는 독특한 위치에서 나는 우리가 선택한 표준을 이해하고 부합하는데 많은 시간의 작업을 투자해왔다. 나는 우리 팀이 왜 어떤 결정들을 내렸는지 설명하고 규제를 준수하기 위해 준비시켜 왔다. 다른 이들을 평가하는 차례에서는 IT업체가 규제 준수를 주장하는 까다로운 상황에 자주 부딪혔다. 좀더 알아보니 이들이 줏대 없이 IaaS 제공업체의 주장에만 의존하는 것을 흔하게 봤다.”

스콧 윌슨: 클라우드 이전 시 보안을 개선하기 위해 CSO가 기회를 잡아야 하는 이유 스콧 윌슨은 기존 기업들을 클라우드로 안전하게 이전하도록 안내하는 특별 임무를 맡아 선망의 대상이 되었다. 그런 배경으로 스콧은 CSO/CISO들이 클라우드 이전 시 보안을 향상시키기 위해 기회를 잡아야 하는 이유를 다음과 같이 설명했다. “이해하기 쉬운 한 가지 전략적 접근방식은 클라우드 혜택이 운영 업무를 줄이는 데 있다고 규정하는 것이다. 일상적인 보안 작업 기능을 클라우드 서비스 업체로 이전하는 것은 현명한 움직임이다. 위임을 통해 IT보안 임원들은 보안 패칭, 취약점 스캐닝, 준수 인증, 사용자 재인증, 기타 반복적 작업들에 크게 집중 해왔을 팀 멤버들에게 자유를 줄 수 있다. 보안 담당 인력들은 이제 좀더 전략적인 역할, 패치 관리 프로세스 운영, 지속적 모니터링의 결과 평가, 사용자 관리와 사업의 목적 부합시키기 등으로 업무를 전환할 수 있다. 우리는 지속적으로 더 적은 자원으로 더 많은 일을 해내도록 요청 받아온 상황 속에서 우리의 정규직원들을 사업적 가치를 더해주는 프로젝트와 전략 실행을 통해 적절히 활용하는 게 타당하지 않을까?”

필자 의견: 클라우드는 모두에게 더 나은 보안을 강제한다 실제 경험을 담은 ‘리딩 시큐리티 체인지 프로그램 시리즈’에서 많은 것들이 명확해 졌다. 그 중 한 가지는 강력한 기능으로서 ‘클라우드의 힘’이다. 이는 클라우드가 전반적인 보안을 어떻게 향상시키는가에 대한 것이다. 결국 클라우드의 혜택을 모두가 받게 된다. 클라우드 솔루션으로의 이전은 우리가 다른 방식으로 행동하고 생각하도록 한다. 그게 필요하고 또 좋은 점이기도 하다. 기능에 대해 다시 생각하고 이 생각을 바꿔야 한다. 결과에 초점을 맞춰라. 필자가 가장 좋아하는 질문인 “우리가 해결하려고 하는 문제가 뭐지”부터 상정하고 시작하라. 클라우드가 모두를 위해 보안을 향상시키는 방법을 읽으면 이 질문이 어떻게 발전으로의 길을 드러내는지에 대해 자세히 알 수 있다.

보안을 향상시키기 위해 필요한 변화를 주도하라 저항이 헛되건 그렇지 않건, 클라우드-기반 솔루션은 보안 변화를 주도하고 있다. 방식은 다르지만 이것은 우리가 원했던 변화다. 그리고 이는 우리가 필요로 했던 변화다. 우리는 첫걸음을 뗐을 뿐이다. 당신의 조직을 안전한 클라우드 솔루션으로 이끄는 것은 보안 향상의 잠재력을 갖게 해준다. 당신이 바래왔던 통제 권한을 실제로 얻을 수도 있다. 게다가 당신의 시간과 에너지를 잡아먹던 기본적인 책임들을 다른 누군가가 대신 맡고 당신은 더 가치 있는 높은 단계에 집중할 수 있다. 리딩 시큐리티 체인지의 목적은 과제들을 해결하기 위한 구체적인 방안을 재구성하기 위함이다.