복면 기고ㅣ준비된 자가 예산을 확보한다··· 한 금융기업 CSO의 내년 밑그림

최고 경영진이 보안의 중요성을 잘 알고 있는가? 그렇다고 할지라도 보안 담당자는 예산 회의를 잘 준비해야 한다.


예산. 출처 : Ken Teegardin, CC BY-SA 2.0 / Flickr

예산 계획 시기가 왔다! 금융업체의 보안 담당자에게는 엄청난 일이다. 필자도 다른 보안 담당자와 마찬가지로 예산 계획 발표에 필요한 자료를 준비해야 한다. 금융업계 경영진은 유출 사고가 벌어지면 큰 손실을 입고, 고객과 감사팀이 보안 실태를 계속해서 집요하게 조사한다는 점을 잘 알고 있다. 이들은 불안한 보안 때문에 대형 거래나 감사에 문제가 생기는 것을 바라지 않는다. 따라서 금융업의 경우 예산 요구가 합리적이라면 다른 산업보다는 잘 수용되는 편이다.

트러블 티켓
이슈 : 예산 계획 시기다. 늘 그렇듯 우리 관리자의 위시 리스트는 길기도 길다.

실행 계획 : 현재의 문제와 이를 적절히 해결하지 않았을 때 발생하는 리스트를 설명할 수 있도록 준비하기.

일단 예전부터 그래온 것처럼 필자는 주로 제품 보안을 담당하고 있는 보안 엔지니어에게 예산을 편성할 예정이다. 그는 보안 취약점과 버그를 식별하고 해결하는 업무, 보안 관련 기능과 성능을 관리하는 업무, 직원들의 내부 보안 툴 활용 태도를 교육하는 업무 등을 담당하고 있다. 작년에는 그가 업무에 활용하도록 꽤 비싼 소스 코드 분석 툴도 구입했다. 올해 그는 써드파티 애플리케이션 침입 테스트 툴과 서비스가 추가적으로 필요하다고 요청했다. 기쁜 마음으로 수용해 줄 수 있었다.

그러나 이것만으로는 부족하다. 대부분의 조직이 그렇겠지만 우리 조직의 보안 약점 중 하나는 IT보안 또는 기업보안이다. 기술 발달로 이제는 대부분의 기업 애플리케이션이 클라우드 기반 또는 SaaS 툴이다. 전처럼 사업에 중요한 수많은 서버를 기업 네트워크에 연결하지 않는 것이다.

그렇다고 해서 패치 컴플라이언스, 엔드포인트 보안, 네트워크 세그멘테이션, 보안 환경설정 관리 등의 기본적인 보안 점검을 무시해도 된다는 뜻은 아니다. 상당수의 조직이 그렇겠지만 직원들에게 자기 컴퓨터에 접속할 수 있는 권한을 부여하고 있다. 전담부서가 그룹 정책을 통해 컴퓨터 보안에 애쓰지만 직원들은 써드파티 프로그램을 설치한다.

즉 OS 패치를 실시하고 기본 환경설정에 맞추는 것 외에도 써드파티 애플리케이션 패치에도 능해야 하는 것이다. 현재 80개 이상의 SaaS 앱을 사용 중인데, 전부 벤더 관리와 애플리케이션 환경설정이 중요하다. 이런 이유로 필자는 이번 예산 계획에 기업보안에 초점을 맞출 전담 IT 보안 전문가 고용을 포함시킬 예정이다.

감사와 컴플라이언스 요건 업무를 맡을 수 있는 사람을 고용했으면 하는 희망도 있다. 관리해야 할 업무가 많아지고 있기 때문이다. 물론 SSAE 16과 PCI 요건도 따르고 있으며, 써드파티 평가와 침입 테스트, 내부 감사도 실시하고 있다. 고객들이 애플리케이션에 저장하는 헬스케어 정보를 보호하는 작업과 관련해 협약을 체결하고자 현재는 HIPAA 컴플라이언스도 고려하고 있다. 그리고 이 모든 감사와 평가에는 개선책이 뒷받침돼야 한다. 보안 및 컴플라이언스 애널리스트가 그래서 필요하다는 것이다.

사실 앞서 언급한 사항을 위해 한 사람을 고용하기는 부담스러울 수 있다(감사의 경우 보통 계절에 한 번 시행한다). 하지만 필자는 새로 고용된 인력이 각종 보안 관련 업무 외에도 데이터 처리 및 분석을 돕고, 보안 문제를 모니터링하는 역할도 해줄 수 있을 것으로 기대한다. 

한편 현재 사용하고 있는 보안 관련 툴의 상당수, 예컨대 방화벽 규정 감사 툴, 기초 보안 평가 툴, 스캐닝 서비스 등은 어쩌면 소소한 부분이라고 생각한다. 그래도 SIEM(security information and event management) 툴 투자를 고려하고 있다.

이 툴은 방화벽 데이터와 유닉스의 시스템 로그, 윈도우 이벤트 로그, 각종 애플리케이션 로그 등 온갖 데이터를 유의미하게 활용할 수 있도록 도와줄 것이다. 전에 일할 때는 비싸더라도 SIEM를 사용해서 좋았는데 이번에는 그때처럼 이 최고급 툴을 구입할 예산이 마땅찮다.

이로 인해 필자는 온프레미스 솔루션과 관리형 서비스 제공업체를 비교해 장단점을 살펴봐야 하는 상황이다. 후자인 관리형 서비스 제공업체의 경우 즉시 로그 분석을 할 수 있어 써드파티 툴로 데이터를 분석하고, 이벤트를 식별하고, 어떤 이벤트가 반드시 사고로 이어지는지 확인할 수 있다는 장점이 있다. 하지만 24시간 일주일 내내 가동되는 보안 센터를 운영하려면 비용이 많이 든다. 그래서 온프레미스 쪽으로 마음이 간다.

생각을 정리하고 나면, 현재의 문제와 이를 대처하지 않았을 때 일어날 수 있는 위험성을 임원진들에게 설명하는 슬라이드를 준비할 계획이다. 모든 부서가 자금을 얻기 위해 치열하게 싸워야 한다는 점에서 예산 계획은 사실상 ‘기브 앤 테이크’다. 만약 준비도 하지 않고 회의에 간다면 원하는 만큼 얻지 못 하고 끝나게 될 것이다.

본 기고문은  실제 보안 관리자 Mathias Thurman(가명)이 썼다. 부득이한 사정으로 실명과 회사명을 밝히지 않는다. 이메일 : mathias_thurman@yahoo.com
ciokr@idg.co.kr