[CIOCISO매거진 홍상수 기자] CIOCISO매거진은 최근 서울 더플라자호텔에서 ‘2023년 디지털 변환과 사이버 보안 전망’을 주제로 제21회 CISO 컨퍼런스를 개최했다. 이날 CIO, CISO, 보안부서장, IT기획부서장，개인정보보호부서장, 팀장, 실무자 등 60여명이 참석해 성황리에 열렸다. 

장명국 CIOCISO매거진 대표는 인사말에서 “코로나19 이후 가속화된 디지털 전환에 따른 데이터, 인공지능, 클라우드, 비대면 디지털화로 빠르게 진화하고 있으며 그에 따른 보안에 대한 이슈가 계속 증가되고 있다”며 “2023년 보안시장의 핵심 흐름을 조망하고, 최신 기술과 솔루션을 점검할 수 있는 기회가 되길 바란다”고 말했다.

이날 발표는 ▲금융보안 측면에서 전자금융거래법 개정 추진 동향과 쟁점(법무법인 광장 김시홍 전문의원) ▲진화하는 Hybrid 인프라 환경에서 지속적이고 하계적인 보안 강화전략(투비닉스 이익준 공학박사) ▲사칭 악성 이메일, 어떻게 대응할 것인가(효성 ITX 주창오 부장) ▲디지털혁신을 위한 차세대 실시간 데이터보안 전략(STN 인포텍 옥지웅 부장) ▲침해대융율 통한 보안인식 강화(마블시스템 김미정 대표) ▲CNAPP는 어떻게 애플리케이션을 보호하는가(아쿠아시큐리티 박인우 수석) ▲대포폰 불법이체 차단 FDS 적용 사례(부산은행 박철호 차장) ▲국내 IT Security Risk Management 구축사례(ARCHER 정정화 이사) ▲랜성웨어로부터 계정 침해 사고콜 막기 위해 Active Directory (AD) 보안은 필수(퀘스트소프트웨어 채흥소 이사) ▲미리보는 2023년 디지털 금융 및 사이버보안 전망(금융보안원 이성욱 수석)가 했다. 

'CNAPP는 어떻게 애플리케이션을 보호하는가'

아쿠아시큐리티 박인우 수석

박인우 수석은 대규모 사이버 공격 사례가 등장해 이버보안의 필요성이 증가했다며 구체적으로 다음과 같이 밝혔다. 

먼저 공격자가 SolarWind의 빌드 서버를 침해하고 수만 명의 고객에게 푸시되는 악성 코드를 추가하고 종속성 혼동 기술을 통해 Apple, Microsoft 및 기타 수십개의 업체를 해킹했고 수백 명의 MSP를 대상으로 랜섬웨어의 페이로드를 배포했다. 또 세 가지 인기 있는 오픈 소스 패키지, UA-Parser-JS, COA 및 RC는 중독돼 수백만 환경에서 악성 페이로드를 실행하는 데 사용돼기도 했다. 

CNAPP 플랫폼은 이러한 다양한 클라우드 네이티브 환경에 적용되는 보안 지침의 통제 항목을 지원한다.

먼저 중요 서비스 자산과 네트워크 트래픽 그리고 위험 요소 식별한다. 이어 식별된 공격 표면 완화하고(컴플라이언스 감사 대응 및 하드닝 점검) 자동화 빌드 프로세스 개선한다. Time-to-Market을 단축시키는 전구간 위협에 대한 대응체계 수립해 런타임 서비스에 대한 무결성을 제공한다.

아쿠아시큐리티는 국내 금융, 엔터프라이즈 기업을 대상으로 CNAPP 플랫폼 프로젝트를 수주했다. 

국내 금융사들이 Legacy 인프라에서 Cloud Native로 전환해 MSA 환경의 효과적인 CNAPP을 통한 보안 통합 관제 체계 수립함으로 기존 서버보안, 서버 백신, 보안관제, 소스코드보안, 취약점 진단 부분을 효율적으로 통합했다.

‘국내 IT Security Risk Management 구축사례’

ARCHER 정정화 이사

정정화 이사는 IT 보안 리스크 관리 성공적인 구축을 위한 Lessons Learned로 먼저 목표 시스템에 대한 정확한 정의를 내리고 컨텐츠 생성해야 한다고 강조했다.

이어 IT 보안 리스크와 관리 컨텐츠 식별하고 IT 보안 리스크 관리에 대상 선정해 표준화 및 간소화한 뒤 기존 컨텐츠, 관리 프로세스 최적화 방안을 단계적 구성해 가장 중요한 부분에서 시작해 단계적으로 확장해야 한다고 설명했다.

ARCHER는 IT보안 리스크에 대한 가시성을 제공한다. IT 보안 투자계획에 대한 근거 자료 산출를 산출하고 산업표준에 근거한 보안 취약 부분 식별 및 데이터 기반 개선 사항을 도출한다.

비즈니스 우선순위 결정해 의사결정에 필요한 핵심 데이터 도출 및 투자 비용을 최적화한다.

다양한 위험 영역 관리, 기존 인프라에 통합. 내부 및 외부 이해 관계자 참여, 정량화 구현을 통한 비즈니스 통찰력 확보가 특징이다.

'랜성웨어로부터 계정 침해 사고콜 막기 위해 Active Directory (AD) 보안은 필수'

퀘스트소프트웨어 채흥소 이사

채홍소 이사는 AD 보안전략으로 4단계를 제시했다. 먼저 Prevent(예방)으로 위협이 될 수 있는 정책위반에 대한 탐지를 통해서 사전에 위협 탐지 및 대응해야 한다. 둘째 Protect(보호)단계로 위협이 될 수 있는 요소를 보호하여 위협요소 사전에 차단해야 한다. 

셋째 Detect(탐지)단계로 AD에 알려진 위협 등을 통한 공격을 실시간으로 탐지하여 피해를 최소화해야 한다. 넷째 Diagnostic(분석)단계에서는 운영과정에서의 분석 및 위협발생에 대한 원인분석을 위한 데이터를 구축하고 검색 체계를 갖춰야 한다.

퀘스트의 AD 위협탐지 및 보호 솔루션은 온프라미스와 클라우드에서 위의 4단계 솔루션을 제공하고 있다. 

전문 복구 기능(Recovery Manager DRE)과 함께 자체 Agent기반의 완벽한 가시성과 DR(Disaster Recovery 재해복구 시스템)의 언제부터 복구해야 하는지에 대한 해결책까지 지원한다.

채홍소 이사는 "EDR이 있는데 AD보안이 없다면 단말 보안의 마지막 퍼즐이 남아 있"며 "렌섬웨어로 부터 안전하기 위해선 AD 가시성을 확보해야 할 때"라고 강조했다.

‘미리보는 2023년 디지털 금융 및 사이버보안 전망’

금융보안원 이성욱 수석

이성욱 수석은 금융보안원의 2023년 이슈 전망 추진 과정으로 영역별로 10가지 이슈를 소개했다.

먼저 보안 위협 및 대응영역으로는 ▲사이버 공격 경로로 악용될 수 있는 엔데믹 취약점 ▲랜섬웨어, 피싱 앱 등 사이버 위협의 끝없는 진화 ▲오픈소스 이용 활성화와 강조되는 공급망 보안 ▲디지털자산의 당면 과제, 리스크 관리체계 마련이다.

디지털 신기술 및 리스크 영역으로는 ▲대세로 자리잡은 클라우드와 보안 고려사항 ▲인공지능 활용, 공정성∙보안성 확보를 통한 이용자 보호 필수 ▲디지털 신원증명 활용에 따른 기대와 우려를 선정했다.

컴플라이언스 및 전략으로는 ▲금융보안 규제 합리화, 전제되는 자율보안 ▲마이플랫폼 시대, 데이터 확보와 보호 ▲금융권 채널 변화의 핵심 디지털 연결을 주제로 잡았다.

그는 “최근 사이버 위협의 진화 속도가 디지털 금융의 발전 속도만큼 빠르므로, 디지털 혁신 추진 전 과정에서 금융 안정과의 균형을 고려해야 한다”며 “내외부 경계가 분명하지 않은 디지털 환경을 고려하여 엄격한 인증 절차와 권한 부여, 보안 가시성 확보 등을 기반으로 하는  제로 트러스트 체계가 필요하다”고 강조했다.

이어 “금융권 내 클라우드, 인공지능, 데이터 등을 활용한 디지털 전환, 플랫폼을 이용한 비대면 서비스 고도화 등 과정에서 다양한 리스크에 직면할 가능성이 높다. 금융회사는 디지털 사업 추진 전 과정에서 예상가능한 리스크를 선제적으로 식별하고 대응방안을 설계하는 등 전사적인 보안 역량을 강화해야 한다”고 밝혔다.

(발표 자료 중 일부는 하단 첨부파일로 제공했습니다.)