보안에 대한 13가지 흔한 오해 '그리고 진실'

보안 미신 1 : 안티 바이러스가 우리를 보호해준다 트렌드 마이크로(Trend Micro)의 CTO 래이먼드 제네스는, 사업체들이 안티 바이러스 SW를 사용하는 이유에 대해 “안티-바이러스를 실행하지 않을 경우 회계사들이 학을 떼기 때문”이라고 말했다. 그에 따르면 실상 그 어떤 안티바이러스 소프트웨어도 정교하게 감행되는 타깃형 공격에 별다른 방어력을 발휘하지 못한다.

보안 미신 2 : 정부들이 강력한 사이버 공격 기법을 개발하고 있다 SANS의 이머징 보안 트렌드의 책임자 존 페스카토레(John Pescatore)는, 대부분의 정부 공격들은 범죄자들이 소유했던 공격 자원들을 단순히 재활용하는 것들에 불과하다고 진단했다. 그는 이어 미 국방부가 이런 위협들을 과장함으로써 예산을 부풀리고 싶어한다고 말했다.

보안 미신 3 : 모든 계정이 액티브 디렉토리 내에 있으며 통제되고 있다 SSH의 투자자이자 SSH 커뮤니케이션 시큐리티(SSH Communications Security)의 CEO 타투 일로넨은, 대부분의 조직들이 애플리케이션과 자동화 프로세스가 사용하는 기능 계정들을 설정하고서는 많이들 잊어버렸으며, 이들이 종종 키로 관리된다고 전했다. 더욱이 대부분 전혀 감사받지도 않는다고 그는 설명했다.

보안 미신 4 : 위험 관리 기법이 IT 보안에 필요하다 IT-하비스트(IT-Harvest)의 최고 연구 분석가 리처드 스타이넌은, 위험 관리가 “널리 수용되는 경영 기술이 되었지만, 실제로 IT 보안 분야의 위험 관리는 불가능한 작업에 집중하고 있는 현실이다. 바로 IT 자산을 식별하고 그 가치의 우위를 따지는 작업이다”라고 이야기했다. 그에 따르면 "IT 보안에서의 위험 관리는 공격자들이 지적 재산에 부여한 가치를 제대로 반영하지 못하기 십상이다. 어떤 방식으로 실행되더라도 마찬가지다.”

보안 미신 5 : 애플리케이션 보안 베스트 프랙티스가 있다 화이트햇 시큐리티(WhiteHat Security)의 CTO 제레미아 그로스먼은 ‘베스트 프랙티스’ 개념이 “누구에게나 효과적”으로 간주되기 때문에 보안 전문가들이 흔히 무조건적으로 지지하곤 한다고 지적했다. 여기에는 소프트웨어 보안 훈련, 보안 검증, 위협 모델링, 웹 애플리케이션 방화벽, 그리고 “이외 수백 가지 행동들”이 포함된다. 그러나 이런 관점은 각각의 작업 환경의 독특한 성질을 전형적으로 간과하는 문제가 있다고 그는 설명했다.

보안 미신 6 : 제로데이 버그는 효과적으로 대응하거나 예측하기 불가능하다 래피드7(Rapid7)의 HD 무어 CSO는 그러나, 보안 전문가들이 문제가 있는 소프트웨어를 예측하고 제거하는 일을 충분히 잘 수행해낼 수 있다고 생각한다. 그는 “만약 기업이 필수불가결한 소프트웨어에 의존하고 있다면, 그 소프트웨어에 보안 위험이 닥친 경우를 대비한 계획이 있어야 한다. 소프트웨어 수령인의 특권 제한과 선택적 권한 부여 모두 좋은 전략이다”라고 말했다.

보안 미신 7 : 美 전력 그리드는 CPI 요건 아래 잘 보호되고 있다 어플라이드 컨트롤 솔루션(Applied Control Solutions)의 전무 이사 조 와이스는, 업계 자체에서 규정한 CIP(Critical Infrastructure Protection)는 전체 분산 시스템이 아닌 오직 전력의 대규모 배급에만 적용되고, 또한 전력 생산의 특정 규모만을 명시하기 때문에 그것이 잘못된 정보라고 주장했다. 그는 “미국내 전력 생산의 80%는 CIP의 감독을 받을 의무가 없는 상태다”라고 말했다.

보안 미신 8 : 나는 준수한다. 고로 나는 안전하다 PCI 시큐리티 스탠다드 카운실(PCI Security Standards Council)의 국장 밥 루소는 사업체들이 지불 카드의 데이터-보안 규칙을 한번 준수하고 나면, 그들이 “앞으로도 계속 안전할 것”이라고 믿는 일이 흔하다고 말한다. 그러나 준수 여부 항목을 체크하는 것은 오직 “그 당시 한순간” 만을 대변할 뿐이다. 반면, 보안은 사람, 기술, 프로세스와 연결된 연속적인 프로세스라는 차이가 있다고 그는 강조했다.

보안 미신 9 : 보안의 CISO의 문제다 녹 녹 연구소(Nok Nok Labs)의 회장이자 CEO인 필 던켈버거는, 데이터 유출일 발생한다면, 정책이나 기술적 경로를 설정하는 CISO(최고 정보 보안 책임자)가 비난을 받게 될 것이라고 말했다. 그는 그러나 조직의 다른 많은 사람들, 특히 IT 운영쪽 사람들 역시 보안에 대한 책임을 나눠야할 필요가 있다고 강조했다.

보안 미신 10 : 데스크톱에서보다 모바일 기기에서 안전하다 RSA 컨퍼런스 프로그램 위원회 위원 (RSA Conference Program Committee Chair) 휴 톰슨 박사는 이 흔한 오해에 어느 정도 설득력이 있지만, 가장 암호(masked password)와 URL 미리보기 같은 컴퓨터의 몇몇 전통적인 보호조치들이 과소평가되고 있으며, 그래서 이들 기능들이 모바일 기기에 현재 적용되지 않는다고 주장했다. 그는 “모바일 기기들이 더 많은 보안 보호조치들을 제공되고 있기는 있기는 하다. 그러나 배제된 몇몇 전통적인 보안 조치들 때문에 여전히 사용자를 위험에 빠트릴 수 있다”라고 말했다.

보안 미신 11 : 100% 안전할 수 있다. 자유를 포기하기만 한다면 창업기업 사이랜스(Cylance)의 CEO이자 회장인 스튜어트 맥클루어는, "악당들을 온라인상에서 퇴치하기위해, 모든 우리의 트래픽을 정부에 제출하여 정부가 처리하도록” 해야 한다는 주장을 믿지 말라고 말했다. 그에 따르면 악당들을 더 잘 이해하고 “그들의 움직임과 툴을 예측하여 그들을 괴롭히는 것”이 더 나은 전력이다.

보안 미신 12 : 맬웨어 방어를 위해 특정 시점의 보안만으로 충분하다 소스파이어(Sourcefire)의 창업자 마틴 로쉬는, 보안 방어가 특정 유형의 공격을 잡아내느냐 아니냐로 국한되는 일이 너무 잦다고 지적했다. 그에 따르면 새로운 보안 모델은 지속적으로 동작하는 것이다. 공격의 범위를 이해하고 이를 억제하기 위하여 비록 네트워크에 대한 최초 공격 감지에 실패했다 하더라도 정보를 업데이트하기 위해서다.

보안 미신 13 : 올바른 방어를 통해 공격자를 차단할 수 있다 마이크로소프트의 신뢰 컴퓨팅(Trustworthy Computing) 부회장 스콧 차니는, “보안에 대한 생각 자체를 바꿔야 한다"라고 강조했다. 그는 "우리는 종종 보안을 사람을 배제하고, 문을 걸어잠그고 컴퓨터의 방화벽을 치는 것과 결부시키고 있다. 그러나 세련된 보안 전략과 훌륭한 운영을 펼치더라도, 끈질기고 의지력있는 공격자는 이를 돌파할 방법을 언젠가 찾아내는 것이 현실이다. 그 현실을 인정해야 한다”고 말했다. 그 말은 보안을 “보호하고, 억제하고, 복구하는” 접근 방식으로 바라보는 것을 의미한다.