IoT 보안 – 책임은 누가 지는가?

많은 이들이 여전히 사람을 보안의 가장 약한 고리로 보지만, 현실은 전체 생태계가 취약할 수 있다는 것이다. IoT는 거의 완전한 자동화로 인해 안전하다고 착각하기 쉽다. 그 가정은 위험하다: 사이버 공간에서 본질적으로 안전한 것은 없다.

IoT 기기는 사이버 범죄자의 자석이며, 위협 지형은 IHS 마킷(IHS Markit) 추산 연 15% 증가해 200억 대에 달한다. 참고로 글로벌 모바일 가입자는 GSMA 기준 49억 명을 넘는다. IoT의 막대한 규모는 P2P 모바일 연결을 훨씬 능가하며, 침해 잠재력을 증폭시킨다고 시스코 IoT(Cisco IoT) 글로벌 제품 마케팅 디렉터 산자이 카트리(Sanjay Khatri)는 지적한다.

가치 사슬은 길고 복잡하다. 모든 링크는 필수적이면서 상호 의존적이며, 각각은 잠재적 취약점을 나타낸다. 단일 공급업체가 모든 간극을 메울 수 없으므로 IoT 보안은 진정한 의미에서 '마을 전체의 노력'이 필요하다.

IoT 보안 마을 건설

기기 제조사(통신 모듈이나 센서 전문가)가 가장 가시적인 링크다. 이들은 반드시 '사물' 자체 제조사는 아니지만 연결을 가능하게 한다. 책임 소재 규명이 중요하다: 기술적 통제권을 가진 주체가 최종 사용자가 책임 있다고 인식하는 주체와 다를 수 있다. 궁극적으로 최종 사용자 대면 기업이 책임을 지는데, 침해 발생 시 그 결과에 직면하기 때문이다.

하드웨어 제공업체가 책임져야 한다고 볼 수 있지만, 소프트웨어가 종종 약점이다. 개발자는 엄격한 인증 제어를 내재화해야 하며, IoT 소프트웨어는 기기와 데이터를 보호하기 위해 사기 탐지 및 방지 메커니즘을 통합해야 한다.

네트워크 레벨 취약점은 기기가 인터넷에 닿는 곳 어디서나 발생한다. 셀룰러, 와이파이, 블루투스, LPWAN, 위성 등을 통해. 셀룰러는 이미 글로벌 표준, 암호 키, SIM 기반 암호화로 기본 보안을 제공하며, 기기 트래픽을 프라이빗 네트워크로 분리할 수 있다. 다른 무선 프로토콜은 추가 보호장치가 필요하다.

클라우드 플랫폼 제공업체(IBM, 마이크로소프트, 세일즈포스 등)는 중추적 역할을 한다. 이들은 클라우드에 저장된 데이터를 보호하고, 기기 연결을 관리, 모니터링, 보호한다.

기기 보안

리스크는 유스케이스에 따라 달라진다. 기기 보호는 계층적 접근이 필요하다: 인증, 사용자 및 애플리케이션 접근 제어, 수명주기 관리, 데이터 암호화. 수천 대 배포 시 비용-편익 트레이드오프가 두드러지며, 데이터 민감도 수준도 다르다. 어떤 기기가 사용 중이고 어떤 데이터를 수집하는지 아는 것이 맞춤형 보안 전략의 첫걸음이다.

네트워크와 데이터 보호

기기가 게이트웨이 역할을 할 때 네트워크는 클라우드 서비스로 데이터를 운반하는 고속도로가 된다. 이 채널 보호는 엔드포인트 보안만큼 중요하다. 각 네트워크 계층이 공격자 진입점을 도입하기 때문이다. 무선(와이파이, 셀룰러) 또는 유선 연결 선택이 필요한 보안 프로토콜을 결정한다. 전송 중 데이터 암호화, 프라이빗 네트워크 내 격리, 네트워크 인증 강제로 기기와 애플리케이션 검증 및 인가.

클라우드 커버리지

IoT의 핵심은 안전한 클라우드 링크에 의존하므로 견고한 클라우드 보안은 타협 불가능하다. 조직은 디지털 제어와 물리적 보호장치를 결합하고 ISO/IEC 27001 같은 표준을 준수해 견고한 정보 보안 기반을 형성해야 한다.

환경을 넘어, 세분화된 제어(역할 기반 접근, 이상 탐지)는 IoT 애플리케이션에 필수적이다. 신원 관리와 접근 제어 목록은 올바른 사람에게 올바른 권한을 부여해야 하며, 이상 탐지는 플랫폼이 의심스러운 행동을 포착하고 자동 복구할 수 있게 한다.

IoT 보안 체크리스트

IoT 성장은 거대하며, 기회와 함께 리스크도 온다. 전체적, 마을 스타일 접근이 필수적이지만 도전적이다. 전략을 다듬기 위해 다음에 집중하라:

• IoT 서비스 내 모든 엔티티(게이트웨이, 엔드포인트 기기, 홈 네트워크, 로밍 네트워크, 서비스 플랫폼)에 대한 엔드투엔드 식별 및 인증.
• 기기와 백엔드 서버 간 교환되는 모든 사용자 데이터 암호화.
• 개인 또는 규제 데이터 처리 시 지역 프라이버시 및 데이터 보호 법규 준수.
• 규칙 기반 보안 정책으로 이상 행동 시 즉각 조치하는 IoT 연결 관리 플랫폼 배포.
• 전체적 네트워크 레벨 보안 태세.

본 블로그의 저자는 시스코 IoT(Cisco IoT) 글로벌 제품 마케팅 디렉터 산자이 카트리(Sanjay Khatri)입니다.