[IT월드]점증하는 리스크 실시간 관리해야

　스티브 비팅어 가트너 아태 지역 리서치 담당 이사

　steve.bittinger@gartner.com

　

　인터넷이 갈수록 위험한 장소가 돼가고 있지만 e비즈니스로의 이동은 더욱 가속화되고 있다. 기업들은 실시간으로 운영되는 방어용 글로벌 보안 체계를 형성하기 위해 새로운 관계와 아키텍처를 채택함으로써 이러한 상호 모순되는 추세에 대처하고 있다.

　최근에 유행됐던 코드레드와 님다 바이러스는 한 시간이면 수십만대의 컴퓨터를 공격할 수 있다. 기업들은 이러한 공격을 방어하기 위해서 취약점을 얼마나 빨리 찾아낼 수 있는지, 인터넷에 노출된 모든 시스템에 보안 패치를 얼마나 신속히 설치할 수 있는지를 검토해야 한다.

　이제 해커들은 자동화된 취약점 확인 툴을 이용해 인터넷에서 IP 어드레스를 지속적으로 검사한다. 이로 인한 리스크 증가는 기업이 자사의 인프라를 검사하는 횟수를 늘리도록 만들었다. 가트너는 외부로부터의 침입 테스트를 최소한 분기에 한 번은 수행하고 이와 함께 취약점 확인 툴이나 취약점 평가 서비스를 하루 일회 이상 사용할 것을 권장하고 있다.

　인터넷은 역설적이게도 더욱 많은 리스크의 발원지가 돼가고 있지만 이와 동시에 기업의 방어력를 강화시켜주는 힘이 되기도 한다. 이러한 상반되는 힘을 조율하는 것이야말로 인터넷의 위험에 굴복하는 대신 인터넷의 무한한 힘을 활용하는 기업이 보유하고 있는 핵심 기술이다.

　분명 다음에도 바이러스나 기타 형태의 공격이 발생할 것이다. 하지만 인터넷의 통신 및 협업 기능으로 인해 세계 최고 수준의 보안 전문가들은 문제의 핵심을 제대로 찾아내 신속히 대응할 수 있는 능력을 갖추고 있다. 기업이 이러한 전 세계 전문가들과 능동적이고 효과적으로 연계하고 최상의 대응 방안을 찾아내 적용할 수 있는 상태를 유지한다면 기업의 위험은 최소화될 수 있다.

　오늘날 많은 기업들은 심각한 위협 요인을 찾아내고 패치 파일을 확보했을 때 이를 즉시 영향을 받은 모든 시스템에 설치하는 일이 결코 쉽지 않다는 점을 알고 있다. 많은 시스템들이 연중 무휴로 24시간 작동돼야 하며 소프트웨어 업그레이드를 수행할 수 있는 숙련된 관리자가 부족한 현상이 발생하곤 한다. 하지만 점점 더 커지는 리스크는 기업들이 현재와 같은 온라인 세상에서 소프트웨어의 업그레이드를 제외하고는 거의 선택의 여지가 없도록 만들고 있다.

　보안과 위협의 관계는 생물학적 생태계와 많이 닮았다. 보안에 대한 이러한 시각은 우리 주변에서 발생하고 있는 진화 과정을 이해하는 데 도움이 된다. 계속되는 공격은 기업이 이에 대한 관심을 갖고 방어 체계를 개선하도록 만든다. 최신 방어 절차를 따르지 않거나 뒤쳐지는 기업들의 리스크는 매우 높다.

　님다와 코드레드는 기업이 널리 사용하는 소프트웨어에 결함이 많고 바이러스 감염 가능성이 높다는 것을 증명했다. 이러한 리스크를 완화시키기 위해서는 다음 절차에 따라 리스크를 실시간으로 관리해야 한다.

　1. 구태의연하고 소모적인 리스크 분석 방식을 버리고 지속적인 리스크 관리 방향으로 선회해야 한다. 효과적인 컴퓨터침해사고대응팀(CIRT)을 구성한 뒤 지속적으로 리스크를 관리하도록 해야 한다. CIRT는 글로벌 보안 리스크를 실시간으로 파악해 해커들과 같이 신속하게 새로운 노출 부분에 대응하면서 기본적인 취약 부분들에 능동적으로 대처해야 한다.

　2. 최상의 보안 대응 시스템 업체와 공고한 제휴 관계를 구축해야 한다. 이러한 협력 업체로는 전세계의 다양한 컴퓨터침해사고대응팀(http://www.auscert.org.au 참조), 메이저 보안 서비스 제공업체 등이 포함된다. 대부분의 기업들은 보안 전문 업체만큼 신속하게 보안 문제를 감지하고 이의 핵심과 기술을 파악하지 못하기 때문에 외부 업체와의 제휴는 매우 중요하다.

　3. CIRT가 위험을 감지하고 대처하는 속도를 크게 향상시킬 수 있도록 기업 인프라와 경영진의 의사 결정 과정을 구축하라. 초기에는 다수의 데스크톱, 서버와 네트워크 인프라 요소들에 필요한 패치 파일을 설치하는 등 활용도가 높은 기능에 초점을 맞추어 비용과 비즈니스 프로세스에 미치는 영향을 최소화해야 한다.