필립 소우 프루프포인트 SAK 시스템엔지니어 총괄

제로트러스트 기반 데이터 보호 관건…DSPM 중요성↑

[디지털데일리 김보민기자] 클라우드를 넘어 인공지능 전환(AI Transformation·이하 AX)을 논하는 시대가 왔다. 산업 전반에 걸쳐 클라우드 환경을 기반으로 AI 기술을 도입하려는 움직임이 빨라지면서, 촘촘한 보안 체계가 필요하다는 목소리에 힘이 실리는 분위기다.

주요국이 '제로트러스트 보안'을 주목하는 이유다. 제로트러스트는 외부뿐만 아니라 내부에서도 위협이 발생할 수 있다고 가정하고, 공격이 발생할 수 있는 구간에 보초병을 세우는 보안 방법론이다. 미국을 필두로 제로트러스트 도입이 빨라지고 있고, 한국도 이달 두 번째 가이드라인을 발표하며 흐름에 동참했다.

글로벌 사이버 보안 및 컴플라이언스 기업 프루프포인트 또한 제로트러스트를 기반으로 새 전략을 짜야 할 시점이 왔다고 진단하고 있다. 특히 조직과 리소스를 보호하기 위해 기존 재료인 '데이터' 영역에서부터 선제 대응책을 확보하는 것이 관건이 될 것으로 전망했다.

◆ 침해 한 번으로 기업 보안 '흔들'…"고급 보안조치 필요"

필립 소우(Philip Sow) 프루프포인트 SAK(동남아시아 및 한국) 지역 시스템엔지니어 총괄은 <디지털데일리>와의 인터뷰에서 "클라우드 시대 가장 중요한 보안 요건은 경계를 넘어 사람과 리소스를 보호하는 것"이라고 밝혔다.

AI를 비롯해 서비스형소프트웨어(SaaS)를 적용하는 움직임 또한 빨라지고 있다고 평가했다. 소우 총괄은 "한국의 경우 금융 서비스, 스마트 시티, 자동차 등 주요 분야에서 디지털 혁신이 진행되면서 사이버 보안 수요가 급증하고 있다"며 "산업 전반에 걸쳐 클라우드 및 SaaS 플랫폼이 도입되면서 고급 보안 조치에 대한 필요성 또한 중요해지고 있다"고 말했다.

이러한 가운데 제로트러스트 보안에 대한 관심이 커질 수밖에 없다고 강조했다. 소우 총괄은 "사이버 공격 방식을 살펴보면, 주로 사람과 조직 인프라를 노린다는 특징이 있다"며 "조직원 한 명의 침해가 기업 전체 피해로 이어지는 경우가 많은 이유"라고 설명했다. 이어 "급속한 기술 발전으로 인해 개발팀이 결과물에 집중하고 필수 보안 정책(거버넌스)을 무시하는 경우가 많아지면서, 복잡성이 증가하고 데이터를 부적절한 방식으로 처리할 가능성도 높아졌다"며 "사람과 기계에 더 많은 데이터 접근(액세스) 권한이 부여되고 있는 만큼, 적절한 거버넌스와 통제 없이는 가시성과 제어에 공백이 생길 수 밖에 없다"고 지적했다.

소우 총괄은 제로트러스트 보안을 실현하려는 한국의 노력이 두드러지고 있다고 봤다. 다만 어려움 또한 부각되고 있는 시점이라고 평했다. 그는 "제조업 등 주요 분야에서 기존 네트워크 인프라에 제로트러스트 원칙을 통합하는 문제가 있어 개선의 여지가 있다"며 "이니셔티브를 강화할 때"라고 말했다.

이니셔티브를 강화할 방안을 논할 때라는 것이다. 소우 총괄은 "정부는 최근 발표한 제로트러스트 가이드라인 2.0을 바탕으로 공공과 민간 부문에서 원칙 도입을 장려해야 한다"며 "AI 및 양자암호화 등 첨단 기술을 도입하는 작업도 필요하다"고 말했다. 이 밖에도 보안 인력 양성, 지역 파트너십 강화 등도 수반돼야 한다고 강조했다.

◆ 미션명 : 공격표면을 줄여라…"데이터 보호가 시작"

그렇다면 제로트러스트 보안을 구현할 방법은 무엇일까. 프루프포인트는 데이터 보호가 시작이 될 수 있다고 진단한다. 조직 운영에 있어 가장 밀접한 재료가 되는 데이터를 보호해야 보안 위협이 발생할 수 있는 구간을 파악하고 대응할 수 있다는 취지다.

소우 총괄은 "오늘날 데이터는 인간의 행동으로 인해 위험에 처해 있다"고 표현했다. 그는 "최신 애플리케이션은 마이크로 서비스와 다양한 데이터 소스에 의해 빠르게 변화하고 있고, 이로 인해 데이터가 폭발적으로 증가하고 있다"며 "최신 애플리케이션은 서로 밀접하게 연결돼 있어, 보안팀이 각 데이터를 관리하기 쉽지 않은 상황"이라고 부연했다.

실제 데이터 관리에 대한 어려움은 커지고 있는 실정이다. 소우 총괄은 "진화하는 환경은 데이터를 검색, 분류, 보호하는 데 복잡한 문제를 야기하고 있다"며 "잘못 분류된 데이터로 인해 유출 위험이 발생할 수 있고, 권한이 없는 액세스로 데이터 유출 위험 또한 증가할 수 있다"고 꼬집었다.

프루프포인트가 데이터보안태세관리(이하 DSPM)를 주목하기 시작한 이유다. DSPM은 데이터 보안 상태를 평가, 유지, 개선하는 보안 솔루션이다. 데이터 무단 접근, 사용, 공개 등을 관리하고 보안 정책 효과성을 평가하는 데 활용되고 있다. 소우 총괄은 "조직은 DSPM 기술을 구현해 복잡한 데이터 환경의 상호 작용을 구현하고, 보안 격차를 메워 공격 표면을 줄일 수 있다"고 밝혔다.

프루프포인트는 올 10월 DSPM 전문 기업 노멀라이즈(Normalyze) 인수를 위한 본계약을 체결하며 역량 강화에 뛰어들었다. 소우 총괄은 "이번 인수는 AI 기반 DSPM 기술을 통해 사람 중심의 보안 플랫폼을 강화할 수 있게 됐다는 점에 의의가 있다"며 "SaaS, 서비스형플랫폼(PaaS), 퍼블릭 또는 멀티 클라우드, 구축형(온프레미스) 및 하이브리드 환경에서 대규모로 데이터를 검색, 분류, 보호할 수 있도록 지원할 것"이라고 말했다.

제로트러스트 보안을 완성하기 위해 외부 파트너사들과의 협력도 강화 중이다. 소우 총괄은 "(일례로) 사이버아크와 아이덴티티 보안에서 파트너십을 강화하고 있다"통합과 파트너십을 통해 이메일 보안, 엔드포인트 보호, ID 관리 및 클라우드 보안을 포괄하는 제로트러스트 보호를 제공할 예정"이라고 강조했다.

경쟁사와도 차별화된 전략을 보일 것으로 자신했다. 소우 총괄은 "프루프포인트는 최신 공격자 동향에 대한 투자를 통해 머신러닝 및 AI를 구축하고 있다"며 "위험을 식별하고 완화하는 AI, 행동 및 위협 탐지 전문 '프루프포인트 넥서스(Nexus)', 협업 보안 전문 '프루프포인트 젠(Zen)'이 대표적인 예"라고 강조했다. 그러면서 "복잡한 데이터 환경에서도 보안을 유지하고, 데이터와 보안 팀 간 협업을 간소화할 수 있도록 지원하고 있다"고 설명했다.

한편 프루프포인트는 내년에도 진화한 사이버 위협을 목격할 수 있을 것으로 전망하고 있다. 소우 총괄은 "공격자들은 AI를 활용해 코드와 그럴듯한 미끼를 만들고, 위협을 자동화하고, 사람을 정밀하게 표적으로 삼고 있다"고 말했다.

이어 "공격 기법만 진화하는 것이 아니다"라며 "조직은 디지털 ID 관리, 멀티 클라우드 환경, 새 데이터 전략 복잡성을 극복해야 하는 상황을 직면하고 있다"고 강조했다. 이어 "데이터가 분산되고 새 규정이 시행되면서 다양한 애플리케이션과 환경에서 데이터를 보호할 수 있는 도구를 확보하는 것이 보안팀의 최우선 과제가 될 것"이라고 진단했다.

소우 총괄은 앞으로 '사람 중심(human-centric)' 접근법이 보안 울타리를 강화할 핵심 열쇠가 될 것으로 내다봤다. 조사 결과에 따르면 2023년 34% 수준에 불과했던 인적 실수 및 취약점은 올해 81%로 증가했다. 그는 "오늘날 공격은 '사람'을 노리고 있다"며 "랜섬웨어, 비즈니스 이메일 침해, 데이터 손실에 이르기까지 가장 큰 피해를 주는 사이버 위험은 모두 사람과 신원을 중심으로 발생한 만큼 인간 중심 보안을 개척해 보안을 재정의할 때"라고 조언했다.

Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지