위기 속 급속 디지털 전환, '설계에 의한 보안(Security-by-Design)'이 필수적인 이유

"계획하지 않으면 실패를 계획하는 것이다." —현대 속담

COVID-19 팬데믹이 헤드라인을 장악하면서, 기술 채택에 미치는 지속적 영향을 다룬 목소리는 적었습니다. 이 위기는 산업 기계, HVAC 시스템, 공급망을 아우르는 자동화와 원격 자산 관리로의 지속적 전환을 굳힐 가능성이 높으며, 헬스케어 분야에서 가상 진료와 원격 의료의 부상을 가속화할 것입니다.

3월 초 세계보건기구(WHO)가 COVID-19를 팬데믹으로 선언하자 기업들은 핵심 프로세스를 재고하기 시작했습니다. 가장 눈에 띄는 변화는 슬랙(Slack), 마이크로소프트 팀즈(Microsoft Teams) 같은 협업 도구 사용의 급증이라고 Grey Heron의 매니징 디렉터 크리스 코처(Chris Kocher)는 말합니다. 원격 회의와 원격 의료 플랫폼(텔라독(Teladoc) 등)도 급속히 채택되었습니다.

IoT World는 북미 최대 IoT 행사로 전략가, 기술자, 구현자가 모여 IoT, AI, 5G, 엣지를 산업 현장에 적용합니다. 지금 티켓을 예약하세요.

많은 조직에서 산업 제어 시스템(ICS) 원격 접근이 이전 감소세에서 급증했습니다. 쇼단(Shodan) 데이터에 따르면 미국 기반 IoT 디바이스 약 5만 개가 온라인 발자국을 노출하며, 과거 보안 우려에도 불구하고 원격 데스크톱 프로토콜(RDP) 사용이 증가했습니다.

"직원이 현장에서 기계를 점검할 때는 기본 수준 원격 모니터링으로 충분했습니다."라고 One Tech의 CEO 야세르 칸(Yasser Khan)은 말합니다. "오늘날 최소 인력으로 운영되면서 공장 관리자는 장비 건강에 대한 더 깊고 실시간 통찰을 원합니다. 자동화는 더 이상 선택이 아닙니다."

재해 복구 전략도 진화하고 있습니다. Appnomic의 CEO 니틴 쿠마르(Nitin Kumar)는 전통적 '수동 모드' 대응이 팬데믹으로 시스템 용량이 차단될 때 부족하다고 설명합니다. "더 많은 자동화가 필요합니다. 더 많은 사람이 아닙니다."라고 그는 말하며, 자동화에 투자하려는 조직이 연속성 계획을 강화할 것이라고 덧붙입니다.

브루스 슈나이어(Bruce Schneier)는 2016년 "인간 개입이 점점 불필요해지고 있다"며 "인터넷이 이제 감지하고, 생각하고, 행동한다"고 경고했습니다. 자동화가 확산됨에 따라 전 세계적으로 연결된 반자동 IoT 생태계의 보안 함의는 더 복잡해집니다.

리눅스 재단(Linux Foundation) 전략 프로그램 수석 디렉터 케이트 스튜어트(Kate Stewart)는 "시스템이 복잡할수록 잘못될 수 있는 일이 더 많다"고 경고합니다. "잠재적 실패를 이해하고, 피해를 완화하며, 소프트웨어 신뢰성을 높여야 합니다."

설계에 의한 보안(Secure by Design)

위기가 급속한 변화를 강요할 때, 설계에 의한 보안 원칙은 뒷전으로 밀릴 수 있습니다. 버라이즌(Verizon)의 존 러브랜드(John Loveland)는 "모두가 빠르게 움직일 때 설계에 의한 보안 준수는 어렵다"고 경고합니다. 그는 보안 팀이 새로운 기술이나 프로세스 관련 모든 결정에 내장되어야 한다고 촉구합니다.

산업 인터넷 컨소시엄(Industrial Internet Consortium) 소프트웨어 신뢰성 태스크 그룹 공동 의장 밥 마틴(Bob Martin)은 조언합니다: "이해관계자(비즈니스 리더, 운영자)를 처음부터 보안 논의에 참여시키세요."

UL의 보안 및 기술 디렉터 앤드류 제이미슨(Andrew Jamieson)은 보안이 기반이어야 한다고 강조합니다: "올바른 기반을 구축하면 재구축할 필요가 없습니다. 그렇지 않으면 예방할 수 있었던 것을 고치는 데 많은 시간을 씁니다."

독립 보안 컨설턴트 프랑크 히센(Frank Hißen)은 "빠른 원격 근무와 자동화 전환 시 설계에 의한 보안이 우선순위 리스트 상위에 오르는 경우는 드물다"고 지적합니다. 그는 안전한 기술이 간격을 피하기 위해 신속히 적용되어야 한다고 강조합니다.

설계에 의한 보안은 여러 하드웨어와 소프트웨어 구성요소를 포함하므로 통합이 복잡할 수 있습니다. One Tech의 솔루션 엔지니어링 디렉터 크리스 캐터턴(Chris Catterton)은 "퍼즐 조각을 파는 벤더들이 종종 견고한 보안 조치를 부족하다"고 경고합니다. VPN을 통해 접근되는 클라우드나 온프레미스 시스템에서 IoT 배포의 원격 접근 확대는 엔드투엔드 보안을 요구합니다.

보안 균형 찾기와 재발견

제품과 프로세스에 보안을 내재화하는 것은 필수적이지만, 어떤 설계도 모든 미래 위협을 예측할 수 없습니다. "오늘 내린 결정이 영원히 유효할 수는 없습니다." 제이미슨은 말합니다.

기능 추가와 보안 유지 사이에는 긴장이 존재합니다. 스튜어트는 많은 소비자 앱이 충돌을 용인하지만, 중요 애플리케이션에 쓰이는 오픈소스 소프트웨어는 신뢰할 수 있어야 한다고 관찰합니다. 실패가 사람을 해칠 수 있기 때문입니다.

보안은 궁극적으로 복원력과 민첩성에 달려 있습니다. 제이미슨은 복원력만을 위해 설계하는 것은 새로운 취약점이 등장할 때 불충분하다고 주장합니다. "신속하게 패치, 업데이트, 리팩토링할 수 있는 민첩성이 필요합니다."

처음부터 보안을 내재화하는 것은 복원력과 민첩성도 포용해야 합니다. "보안 없이 설계하면 실패를 설계하는 것입니다." 그는 결론 내립니다.