물리적 보안 보장: 안심을 위한 사이버보안의 결정적 역할

연결된 디바이스의 시대는 많은 것을 약속합니다: 이전에 연결되지 않았던 아날로그 시스템의 디지털 데이터를 결합해 우리 집과 직장의 효율성과 안전을 개선하는 새로운 통찰과 혁신을 제공할 수 있습니다. 그러나 혁신의 제1원칙은 "해악을 끼치지 말라"여야 하며, IoT의 경우 이는 사이버보안 기초를 먼저 바로잡는 것을 의미합니다.

비디오 감시와 물리적 보안 분야에서 모멘텀이 급속히 이동하고 있습니다. 클라우드로의 여정이 다른 부문보다 느렸지만, 점점 더 많은 CCTV, 출입 통제, 오디오 시스템이 네트워크에 연결되고, 따라서 IT 네트워크와 프로세스에 통합돼 더 지능적인 물리적 보호를 제공합니다.

하지만 이 클라우드 이동은 더 많은 비즈니스 기회도 만듭니다. 예를 들어 네트워크 연결 카메라의 실시간 비디오 데이터를 다른 시스템 정보와 결합해 클라우드 분석으로 새로운 비즈니스 가치 원천을 개발할 수 있습니다.

이는 소매 매장에서 볼 수 있습니다. 흔히 네트워크 감시 카메라를 배치해 절도범을 예방하거나 식별합니다. 같은 카메라를 클라우드 분석 스위트에 연결하면 소매 관리자가 대기열 형성을 자동 탐지하고 알림을 생성하거나 매장 내 교통 흐름을 더 잘 이해할 수 있습니다.

연결된 시스템의 상존하는 위험

하지만 기업이 연결된 카메라를 경계하는 데는 타당한 이유가 있습니다. 2016년 말 드롭박스, 넷플릭스, 우버 등 많은 인기 인터넷 애플리케이션을 마비시킨 세계 최대 분산 서비스 거부(DDoS) 공격은 수백만 개의 손상된 네트워크 감시 카메라에서 부분적으로 실행되었습니다. 공격을 주도한 미라이(Mirai) 멀웨어는 admin:admin 같은 일반적인 기본 사용자명과 비밀번호 조합을 테스트해 네트워크 디바이스를 장악했습니다.

이 주요 사건들로부터 2년 반이 지났지만, 여전히 너무 많은 전문가급 물리적 보안 제품이 사이버보안 모범 사례에 대한 고려 없이 판매되고 있으며, 기본 자격 증명 같은 기본적인 감독 테스트에도 실패하고 있습니다. 초점은 여전히 시장 출시 속도와 비용 절감에 있습니다. 품질 관리, "설계 단계부터 보안(Secure by Design)" 제품 개발, 펌웨어 업데이트와 자산 관리를 위한 효과적인 사후 지원 프로세스에 충분한 관심이 기울여지지 않습니다.

이는 이러한 디바이스가 더 나은, 더 안전한 세상을 약속하는 IoT의 잠재력을 비판적으로 약화시킵니다. 장비가 고객 네트워크에 새로운 취약점을 도입할 수 있다면 물리적 보안에서의 IoT 약속인 더 나은, 더 안전한 세상은 달성될 수 없습니다.

OEM은 디바이스가 목적에 적합하고 혁신을 위해 신뢰할 수 있도록 많은 노력을 기울여야 합니다. 내부적으로 기술과 프로세스에 투자하고, 전체 공급망에 걸쳐 명확한 커뮤니케이션과 투명성이 필요합니다. 모든 구성 요소가 고객이 당연히 기대할 수 있는 엄격한 표준을 충족합니까?

마찬가지로 중요한 것은 최종 사용자 교육에 투자해야 한다는 것입니다. 시장은 가격에 매우 민감하며, 고객은 알 수 없는 공급업체에서 올바르게 구성되지 않은 장비를 구매할 때 수반되는 위험을 이해하기 위한 명확한 지침이 필요합니다.

그 이상으로 IT 부서를 넘어 인식을 확산해야 합니다. 조직의 모든 사람이 올바른 조달 프로세스의 중요성을 이해해야 합니다. 현대 IoT 디바이스의 비용 하락과 사용 단순함으로 통제가 어렵기 때문입니다. CIO가 최고의 전략을 가지고 있어도, 비즈니스 관리자가 신용카드로 장비를 구매해 기업 네트워크에 추가하면 누가 제품 안전을 책임집니까?

규제가 인식을 높이다

그렇긴 하지만, 기업들은 네트워크 연결 디바이스가 제시하는 사이버보안 위험을 더 인식하게 되고 있으며, 2018년엔 위협에 대응하는 많은 규제 변화가 있었습니다. 일반 데이터 보호 규정(GDPR)이 시행되기 시작했고, 네트워크 및 정보 시스템 보안 지침(NIS 지침)도 마찬가지였습니다.

두 지침 모두 미준수 시 상당한 재정적 벌금을 부과합니다. 큰 금전적 벌금은 기업을 약화시킬 잠재력이 있으므로, 관련 기업이 요구사항 충족에 실사를 다하는 것이 필수적입니다.

우리는 이미 CCTV 시스템 배포와 관련해 영국과 EU 전역에서 GDPR 벌금이 부과되는 것을 목격했습니다. 최근 영국 해커들이 학교 CCTV 시스템에 침입해 학생 영상을 인터넷으로 생중계한 것이 보도되었습니다. 이해하게도 이는 많은 부정적 홍보를 얻었습니다. 우리는 자녀를 안전을 기대하며 학교에 보내고, 보안 시스템은 그들을 위험에 빠뜨리지 않고 보호하기 위해 존재하기 때문입니다.

올바른 기술 파트너 선택이 중요하다

우리의 융합되는 보안 환경에서 올바른 기술 파트너 선택은 결코 이보다 더 중요했던 적이 없습니다. 보안 실무자들은 사이버보안이 단지 IT 문제가 아님을 인정하고, 물리적 및 전자 보안 시스템 배포와 관련된 비즈니스 사이버보안 위험을 이해해야 합니다. 물리적 보안의 디지털화는 현재 매우 흥미로운 공간이지만, 이것이 지속되려면 업계로서 사이버보안 문제를 더 잘 해결해야 하며, 곧 해야 합니다.