ZEROTRUST

세계 최대 사이버 보안 행사인 RSAC2023이 4월 24일 미국 샌프란시스코 모스코니 센터에서 개막했다. 이번 컨퍼런스의 키노트 중 하나인 '칩스(CHIPS) 제정에 따른 하드웨어 보안 - 공급망의 새로운 시대'는 2022년 통과 된 칩스 앤 사이언스 법안과 관련된 내용이다.  'CHIPS(Creating Helpful Incentives to Produce Semiconductors) Act'는 2021년 미국에서 제안된 법안이다. 미국 내 반도체 산업을 지원하기 위해 반도체 제조와 연구 개발에 대한 정부 지원을 강화하고자 한다. 칩스법(Chips Act)이라고 한다. 해당 법안은 반도체 산업이 전략적으로 중요한 역할을 하고 있으며, 글로벌 반도체 부족 상황에서 미국이 반도체 수급을 확보하는 것이 중요하다는 인식에서 출발했다. 이를 위해 칩스법안은 연방 정부에서 5년 동안 5000억 달러(약 668조 원)를 반도체 산업에 투자하고, 제조업체에 대한 세제 지원 및 연구 개발 지원을 제공하도록 한다. 'Science Act(National Science Foundation for the Future Act)'는 2022년 미국에서 제안된 법안으로 미국 국립과학재단(NSF)의 역할을 강화하고, NSF가 과학 기술 분야에서 혁신을 이끌어낼 수 있도록 지원하고자 한다. 이 법안은 NSF 예산을 10년 동안 81억 달러(약 10조 8256억 원)로 늘리고, NSF의 연구 분야를 다양화하며, 대학 연구 인프라 개선 등 다양한 분야에서 역할을 강화하도록 한다. 또한 NSF에서 다양성과 포용성을 강화하는 노력과 더불어 과학 기술 분야에서 다양한 인재가 참여할 수 있도록 지원한다. 칩스 앤 사이언스 법안 통과는 디지털 혁신을 뒷받침하는 기본 요소와 보안을 강화할 수 있는 중요한 기회를 제공할 것으로 보인다.RSAC에 참여한 전문가 패널은 수십억 달러의 연방 투자와 새로운 요구 사항들이 등장하면서 하드웨어 보안 정책의 최신 동향을 파악하고, 전 세계에 미치는 영향에 대해 논의했다. 키노트의 진행자로는 정보 기술 산업 협의회(ITI)의 신뢰, 데이터 및 기술 정책 담당 수석 이사 코트니 렁(Courtney Lang), 패널로는 인텔의 사이버 보안 정책 책임자 아밋 엘라자리(Amit Elazari) 박사, 미국 국립 표준 연구소 컴퓨터 과학 부문 부책임자 존 보웬스(Jon Boyens), 미국 대통령 특별 보좌관이자 미국 국가 안보 위원회 사이버 보안 및 신흥기술 디렉터 스티브 켈리(Steve Kelly)가 나왔다. 

세계 최대 사이버 보안 행사인 RSAC2023이 4월 24일 미국 샌프란시스코 모스코니 센터에서 개막했다. 오프닝 기조 연설자로 나선 RSA시큐리티 로힛 가이(Rohit Ghai) 최고경영자(CEO)는 '다가오는 정체성 위기(The Looming Identity Crisis)'라는 주제로 행사의 시작을 알렸다.  로힛 가이 CEO는 "인공지능(AI) 시대는 아이덴티티(Identity, 이하 ID) 보호가 사이버 보안의 핵심이 될 것이다"며 ID 보안에 대한 새로운 접근방식을 강조했다. ID를 보호하기 위해서는 제로 트러스트 전략이 필수적이며, 제로 트러스트는 인공지능의 도움 없이는 성공적으로 구현될 수 없다. 인공지능을 훈련시키는 것은 결국 인간이며 좋은 인공지능을 구현하는 것도 인간이다.

개발자들에게 오픈소스 이용은 이제 일상이 됐다. 개발자들은 시장에서 널리 알려진 오픈소스 운영체제, 오픈소스 생산성 소프트웨어 및 다양한 코드 라이브러리를 사용하며 시간과 비용을 절약한다. 수년동안 오픈소스의 인기가 올라가며 모든 산업에서 대부분의 기업들이 사용하고 있다. 특히 많은 IT기업들이 개발 즉시 피드백을 받아 유동적으로 개발하는 방법인 애자일 방법론(Agile Software Development)을 도입하며 오픈소스의 활용은 더욱 중요해지고 있다. 오픈소스는 개발환경에서 필수불가결한 요소이기 때문에 쉽게 주요 사이버 공격 대상이 된다. 지난해 말 발생한 로그4j 보안 취약점(로그4셀) 사태는 오픈 소스 생태계가 어떻게 한순간에 무너질 수 있는지 보여준 사례다. 로그4j는 자바 기반 프로그램을 개발할 때 로그의 기록 기능을 지원 및 관리하는 아파치 재단의 오픈소스 소프트웨어 라이브러리다. 해당 라이브러리는 민간 기업은 물론 금융, 의료 등 주요 정보통신기반시설 등에서 광범위하게 사용되고 있다. 이런 로그4j에서 취약점이 발견되며 전 세계가 비상에 걸렸다. 해커가 로그4j의 취약점을 공격하면 데이터를 탈취할 수 있고, 악성코드를 심으면 시스템을 마비시킬 수 있는 상황이 발생한 것이다. 오픈소스에서 취약점이 발견되면 그 소스를 사용하는 기관과 기업들에 피해가 가는 것은 물론이고, 국가 안보를 위협하는 수준까지도 갈 수 있다고 전문가들은 경고했다. 오픈소스 활용도가 높아지며 이를 둘러싼 보안 위협도 증가할 것으로 보인다. 오픈소스와 보안 모두에 강점을 가진 기업이 스닉(Snyk)이다. 개발자 보안의 선두주자 스닉은 "개발자에 의해, 개발자를 위한 설계를 한다"는 슬로건을 내걸고 오픈소스 코드의 취약성을 자동으로 찾을 수 있게 돕는다. 특히 개발 속도를 그대로 유지하면서 손쉽게 보안 및 컴플라이언스 이슈를 해결할 수 있도록 지원하는 게 목표다. 스닉은 업계 최초로 개발자 중심의 클라우드 보안 솔루션을 공개했다. 클라우드 시대를 위해 설계됐다는 스닉의 플랫폼을 사용하면 개발자와 보안 담당자는 전체 소프트웨어 개발 수명 주기(SDLC)에 걸쳐 클라우드 보안 태세를 모니터링하고 운영할 수 있다. 스닉의 플랫폼은 구글, 아마존, 몽고DB, 세일즈포스 등의 기업을 포함 전 세계 2000곳 이상의 고객사에서 이용되고 있다.  

젠 이스터리(Jen Easterly) 미국 사이버 보안 및 인프라청(CISA) 청장과 클라우드 기반 보안솔루션 기업 크라우드스트라이크(CrowdStrike)의 조지 커츠(George Kurtz) CEO가 5일(현지시각) 미국소비자기술협회(CTA)가 주최하는 세계 최대 가전IT박람회인 국제전자제품박람회(CES)2023에서 "새로운 사이버 시큐리티 시대를 건설하는 법"(GREAT MINDS: HOW TO BUILD A NEW CYBERSECURITY ERA)에 대해 토론했다.사이버 보안에 대한 위협이 계속 증가하고 있는 가운데, 예상치 못한 다음 문제는 어디에서 나올까? 이에 대비하기 위해 우리는 무엇을 해야할까?

안녕하세요 뷰스레터 독자 여러분,저는 최근 샌프란시스코와 모스코니센터(Moscone Center)를 방문했습니다. 모처럼 방문한 샌프란시스코는 여전히 코로나 팬데믹 여파를 피하지 못한 것으로 보였습니다. 샌프란시스코 유니언스퀘어 부근에 있던 상점 중 빈 곳이 많아졌습니다. 디즈니스토어와 GAP 등 유명 브랜드 매장도 문을 닫았습니다. 거리에 홈리스(집 없이 길에서 생활하는 사람)는 넘쳐 났습니다. 이런 와중에도 샌프란시스코 주중 호텔 숙박비는 평상시보다 3배 이상 비쌌습니다. 지난 2월 개최 예정이던 세계 최대 사이버 보안 이벤트 RSAC2022가 4개월 연기된 후 지난 6일부터 9일까지 모스코니 센터에서 개최됐습니다. 팬데믹 직전인 2020년 2월 행사를 끝으로 2년 만에 다시 오프라인 행사가 열렸는데요. 글로벌 사이버 보안 위협 동향과 기술, 비즈니스, 기업 동향을 한눈에 파악할 수 있는 좋은 기회였습니다. 로힛 가이 RSA 최고경영자(CEO)는 RSAC2022 기조 연설에서 "인간은 혼란에서 살아남기 위해 마지 못해 변화를 추구한다. 혁신은 의도적인 내부 변화다. 빠르지 않으면 변혁이 아니다"고 말했습니다. 보안 시장의 빠른 변화와 그에 적응하려는 기업들의 움직임을 느낄 수 있었습니다.

'아무 것도 신뢰하지 않는 보안'을 뜻하는 제로 트러스트가 세계 최대 사이버 보안 콘퍼런스 RSAC2022를 휩쓸고 있다. 제로 트러스트(Zero Trust)는 그 누구도 신뢰하지 않고 항상 확인한다는 원칙을 기반으로 한 사이버 보안 개념이다. 사용자(아이덴티티) 인증이 완료되기 전까지 어떤 단말기나 애플리케이션도 신뢰하지 않는 보안 방식이다. 존 크리스 잉글리스(John Chris Inglis) 미대통령실 국가사이버국장은 6일(현지시간) 미 샌프란시스코 모스콘 센터에서 열린 RSAC2022의 기조연설자로 나와 "제로 트러스트는 기술이나 제품이 아니다. 정부과 기업의 보안 프로세스를 바꾸는 것"이라고 말했다.실제 바이든 행정부는 올해 초 정부의 사이버 보안을 제로 트러스트 아키텍처로 전환키로 했다. 미 관리예산처(OMB)는 2022년 1월 연방 정부 디지털 인프라 보호를 위해 제로 트러스트로 전환한다고 밝혔다. 정부 기관이 제로 트러스트 체계로 전환하면서 기업 정책도 바뀌기 시작했다. 보안 기업은 이런 분위기에 맞춰 제로 트러스트 체계를 지원하는 다양한 보안 솔루션으로 시장 잡기에 한창이다. RSAC2022 전시장에 제로 트러스트 아키텍처를 지원하는 보안 솔루션이 대세를 이뤘다. 즉, 제로 트러스트는 주요 산업 트렌드이며 동시에 마케팅 용어가 된 것이다. 관련기사 미 정부 사이버 보안 '제로 트러스트'로 전환

세계 최대 사이버 보안 컨퍼런스 및 박람회 RSA컨퍼런스 2022가 6일 샌프란시스코에서 개막했다. 2020년 오프라인 행사를 끝으로 2021년 디지털로 전환했던 RSA컨퍼런스는 2년만에 다시 현장으로 돌아왔다. 올해로 31회를 맞아 사이버 보안 관련 정부와 비즈니스 리더가 모여 현재와 미래 사이버 위협을 해결할 방법을 논의한다. RSA 컨퍼런스2022에는 기조연설 외에 업계 전반에 걸쳐 600명의 연사, 25개의 트랙 세션, 350개 이상의 세션 및 400개 이상의 전시업체가 참가했다. 로힛 가이 RSA 최고경영자(CEO)는 기조 연설에서 '사이버 보안의 변화'를 강조했다. 올해 RSA컨퍼런스2022 주제가 '변화(Transform)'이다. 가이 CEO는 "인간은 혼란에서 살아남기 위해 마지 못해 변화를 추구한다. 혁신은 의도적인 내부 변화다. 빠르지 않으면 변혁이 아니다"고 말했다. 코로나19 팬데믹은 디지털 전환을 촉진했다. 랜섬웨어와 공급망 공격, 허위 정보 캠페인이 급증했다. 러시아 우크라나이나 전쟁은 글로벌 사이버 위협을 높였다. 가이 CEO는 보안 업계에 찾아온 변화를 강조했다.

미국이 정부 사이버 보안을 '제로 트러스트' 아키텍처로 전환한다. 제로 트러스트란 IT 보안 접근 방식 이름이다. 신뢰하지 말고 항상 검증해야 한다는 원칙에 기반한다. 신뢰할 수 있는 네트워크 경계는 존재하지 않는다. 신뢰라는 개념이 완전히 사라진다. 사이버 공간과 네트워크에서 누구도 믿을 수 없다는 것이다. 미 관리예산처(OMB:Office of Management and Budget)는 26일(현지시간) 연방 정부 디지털 인프라 보호를 위해 제로 트러스트 전략으로 전환한다고 발표했다. 정교한 사이버 공격 위협이 급증했다. 미국 연방정부는 중요한 시스템과 데이터를 보호하기 위해 기존 경계 기반 방어에 의존할 수 없다고 판단했다. 연방 정부 사이버 보안 패러다임이 전환하는 시점이다. 최근 가장 많이 사용하는 자바 오픈소스에서 로그4j(Log4j) 취약점이 발견됐다. 해커는 지속해서 취약점을 찾아 정부와 기업 등을 공격한다. OMB 국장 대행은 "행정부는 정교해지는 사이버 위협 방어를 강화해야 한다. 연방 정부는 제로 트러스트 전략에 모범을 보여야 한다"고 말했다. OMB는 제로 트러스트 전략을 통해 기관이 위협을 탐지하고 격리할 수 있는 능력이 향상될 것이라고 설명했다. 연방 기관은 26일부터 향후 한달 간 제로 트러스트 전략 이니셔티브를 설계해야 한다.