보안 운영: 자동화와 인간 전문성의 균형

인시던트 대응은 머신러닝과 AI가 프로세스 전체를 더 효율적으로 만드는 데 큰 잠재력을 가지고 있어 점점 더 자동화될 것입니다. 하지만 자동화는 신중하게, 일정한 지점까지 수행되어야 하며, 인간 요소를 포기하지 않고 CISO가 모든 사이버 보안 이벤트를 통제할 수 있도록 해야 합니다. 그들이 가진 대체 불가능한 지식과 전문성, 그리고 아직 해결되지 않은 이 기술들의 명백한 단점 때문입니다.

머신러닝과 AI 분야의 발전이 최근 몇 년간 사이버 보안 산업에서 점점 더 눈에 띄게 되었습니다. 인시던트 대응 노력을 간소화하고 더 효과적으로 만들기 위해 설계된 다양한 솔루션이 현재 이러한 기술을 활용하고 있습니다.

인시던트 대응 프로세스 내 특정 작업, 특히 일상적이고 기계적인 작업을 자동화하는 것이 조직을 사이버 공격에 더 탄력적으로 만드는 데 도움이 된다는 데는 의심의 여지가 없습니다. 하지만 일부 사이버 보안 전문가들은 프로세스의 일부 측면을 자동화하는 것을 프로세스 전체를 자동화하는 것과 동일시하는 경향이 있는데, 이는 사실 두 가지 다른 개념입니다.

사이버 인시던트 대응과 관련해 자동화(automation)와 자동적(automatic)은 동의어로 간주되어서는 안 된다는 점이 중요합니다.

CISO가 '새로운 자동화 대 자동적 세계'를 탐색하는 방법

자동 대응 아이디어가 점점 더 견인력을 얻는 이 새로운 환경에서, 사이버 보안 전문가 커뮤니티 내에서 발생하는 주요 질문 중 하나는 CISO가 이를 어떻게 탐색하고 있는지, 그리고 완전 자동화를 구현하려는지 아니면 잠재적 위험을 인지하고 오케스트레이션된 접근법을 고수하려는지입니다.

많은 CISO가 자동 인시던트 대응을 수용하려 하지만, 그렇게 하기 전에 알아야 할 것은 그러한 이동과 관련된 수많은 도전과 장애물이 있다는 것입니다.

예를 들어, 이런 유형의 시나리오에서 특정 컴플라이언스 위험이 발생할 수 있습니다. 데이터 유출 알림 법규 준수는 인시던트 대응 영역에서 최우선입니다. 조직은 고객에게 유출을 알리고, 적절한 당국에 해당 유출에 대한 보고서를 주어진 기간 내에 제출해야 합니다.

자동 인시던트 대응 시스템에만 의존해선 그런 유형의 준수를 달성할 수 없습니다. 유출의 범위, 심각도, 영향을 평가하는 과정에서 사람의 개입이 필요하며, 이는 조직이 특정 유출이 알림 법규의 적용을 받는지 결정하기 전에 완료되어야 합니다.

2018년 5월 발효 예정인 일반 데이터 보호 규정(GDPR)은 인지 후 72시간 내 특정 조직이 데이터 유출을 보고하고, 유출이 부정적 영향을 미쳤다고 판단되면 영향을 받은 개인에게 알리도록 요구하는 엄격한 규제의 예입니다.

이러한 사실을 판단하고 유출을 보고할지 결정하려면, 그런 규정의 존재를 알고 세부 사항을 자세히 아는 사이버 보안 전문가가 필요하며, 그 규정에 따라 반응해야 합니다. 자동 인시던트 대응 시스템은 할 수 없는 일입니다. 이러한 규정을 준수하지 않을 경우 제재는 꽤 심각할 수 있으며, 조직의 수익을 심각하게 해칠 수 있는 고액 벌금이 포함됩니다.

사이버 보안이 미래에도 인간 요소를 유지할 것인가?

사이버 보안 커뮤니티에서 제기되는 또 다른 주요 질문은 인시던트 대응에 여전히 인간 요소가 필요한가입니다. 머신러닝과 인공지능 분야의 급속한 발전이 이 질문을 수면 위로 올렸으며, 자동화 지지자들은 이것이 사이버 보안의 논리적이고 불가피한 다음 단계라고 주장합니다.

자동 인시던트 대응 아이디어가 매력적으로 들릴 수 있지만, 더 합리적이고 근거 있는 의견은 인간 요소가 여러 중요한 이유로 사이버 보안에서 중요한 역할을 계속할 것이라는 것입니다. 첫째, 위에서 언급했듯 인간 판단은 인시던트 대응의 많은 핵심 측면에서 여전히 필요합니다. 규제 준수 보장 등이 그 예입니다.

경험 많고 고숙련된 사이버 보안 전문가들은, 그리고 계속되어야 할 것입니다. 인시던트 대응 오케스트레이션 프로세스에서 떼려야 뗄 수 없는 요소입니다. 오케스트레이션은 보안 팀이 준비 및 사후 분석 등 사람의 입력이 필요한 필수 측면을 통제하지 않고 전체 인시던트 대응 프로세스를 효과적이고 효율적으로 수행할 수 있게 합니다.

또한 CISO는 직원들의 사이버 보안 인식 제고, 조직의 미래 사이버 공격에 대한 탄력성 강화 등 인시던트 대응과 관련된 더 광범위한 활동의 일부로 남을 것이 확실합니다.

간단히 말해, 인시던트 대응은 머신러닝과 AI가 프로세스 전체를 더 효율적으로 만드는 데 큰 잠재력을 가지고 있어 점점 더 자동화될 것입니다. 하지만 자동화는 신중하게, 일정한 지점까지 수행되어야 하며, 인간 요소를 포기하지 않고 CISO가 모든 사이버 보안 이벤트를 통제할 수 있도록 해야 합니다. 그들이 가진 대체 불가능한 지식과 전문성, 그리고 아직 해결되지 않은 이 기술들의 명백한 단점 때문입니다.

출처: DFLabs 설립자 겸 CEO 다리오 포르테(Dario Forte)