뚫리기 전에 우리를 시험한다
1년에 한 번 점검하는 보안으로는, 매일 바뀌는 위협을 따라잡을 수 없던 조직이 있었다. 공격받기 전에 끊임없이 스스로를 시험해 약점을 미리 메우기까지. CHANSWER가 설계한 견고함의 구조.
일 년에 한 번으로는 부족했다
클라우드 전환과 마이크로서비스, 외부 서비스 연동이 가속되면서 기업이 지켜야 할 영역은 기하급수적으로 넓어졌다. 공격이 들어올 수 있는 문과 창이 끝없이 늘어난 것이다. 그런데 그 문과 창을 점검하는 방식은 여전히 과거에 머물러 있었다.
우리가 만난 조직도 그랬다. 그들은 전통적인 보안 점검에 의존하고 있었다. 외부 전문가를 불러 일 년에 한 번, 혹은 분기에 한 번 시스템의 약점을 점검받는 방식이다. 문제는 이 점검이 주기적이고 수동적이라는 데 있었다. 점검과 점검 사이의 긴 공백 동안, 시스템은 끊임없이 바뀌었다. 새 기능이 배포되고, 새 서비스가 연결되고, 설정이 변경될 때마다 새로운 약점이 생겼다. 그러나 그 약점은 다음 점검 때까지 발견되지 않았다.
게다가 정교한 위협 시나리오를 반복해서 검증할 수 있는 숙련된 보안 인력은 희소하고 비쌌다. 이 조직 같은 규모에서는, 필요할 때마다 그런 전문가를 부르는 것 자체가 부담이었다. 위협은 매일 변하는데 점검은 일 년에 한 번뿐이던 상태. 이것이 우리가 함께 풀어야 할 문제였다.
위협의 속도와 방어의 속도가 어긋나 있었다. 그 간격이, 바로 위험이 자라는 자리였다.
점검은 한 장의 사진이 아니다
이 고민은 한 조직만의 것이 아니다. 그리고 보안 업계는 분명한 방향으로 움직이고 있다.
핵심 전환은 점검의 주기에 있다. 업계는 이제 보안 점검을 연간이나 분기 일정이 아니라, 지속적인 주기로 돌려야 한다고 말한다. 시스템이 업데이트되거나 새 도구와 데이터가 연결될 때마다, 그 변화에 맞춰 점검이 따라붙어야 한다는 것이다. 이유는 단순하다. 변화의 속도 때문이다. 한 번의 점검은 그 순간의 사진일 뿐, 다음 날 바뀐 시스템을 보증하지 못한다. 점검은 사진이 아니라, 끊임없이 도는 피드백 루프여야 한다.
그 필요는 비용으로도 증명된다. 한 보고서에 따르면, AI 관련 침해 한 건의 평균 비용은 약 449만 달러에 이른다. 더 주목할 것은, 침해를 겪은 조직의 97%가 취약한 접근 통제를 갖고 있었다는 점이다. 반면 성숙한 보안 프로그램을 가진 조직은 더 빠른 발견과 대응으로 사건당 평균 190만 달러를 절감한다. 배포 전에 약점을 찾는 비용은, 그 약점이 배포 후 악용됐을 때 치러야 할 수습 비용의 일부에 불과하다.
먼저 우리를 시험하는 것이, 가장 싼 방어다.
공격받기 전에 우리가 먼저 공격해본다
CHANSWER가 이 조직과 함께 설계한 것은 더 두꺼운 방어벽이 아니었다. 공격이 들어오기 전에, 스스로를 끊임없이 시험하는 구조였다.
안전한 복제 환경에서 시험한다
가장 먼저 분명히 한 것은 안전이었다. 실제 운영 시스템을 직접 건드리는 것이 아니라, 그것을 본뜬 격리된 복제 환경 — 디지털 트윈 — 안에서 모든 시험을 수행하게 했다. 실제 환경을 모방하되 실제에는 영향을 주지 않는 무대다. 여기서는 어떤 시나리오를 돌려도 운영에 위험이 없고, 그러면서도 재현 가능한 증거를 확보할 수 있다.
표준 위협 시나리오를 자동으로 점검한다
이 복제 환경 위에서, 알려진 위협 시나리오들을 체계적으로 점검하게 했다. 보안 업계가 표준으로 정리해둔 공격 전술과 기법의 지도(MITRE ATT&CK)를 기준으로, 우리 시스템이 각 시나리오에 얼마나 견디는지를 자동으로 확인하는 것이다. 사람이 일 년에 한 번 손으로 하던 점검이, 변화가 생길 때마다 자동으로 돌아가는 지속적 점검으로 바뀌었다.
약점에 우선순위를 매긴다
점검의 목적은 약점을 찾는 데서 끝나지 않는다. 발견된 약점들 중 무엇이 가장 위험한지, 무엇을 먼저 고쳐야 하는지를 가려내는 것이 핵심이다. 그래서 각 약점에 위험도를 매겨 우선순위를 세우고, 그 결과가 곧바로 수정 작업으로 이어지도록 했다. 막연한 불안이 아니라, 무엇을 먼저 메워야 하는지에 대한 객관적인 지도를 갖게 된 것이다.
발견을 방어로 잇는다
여기서 가장 중요한 설계 원칙이 있다. 점검은 그 자체로 끝나면 절반의 일이라는 것이다.
약점을 찾는 것과 그것을 막는 것은 다른 일이다. 업계의 표현을 빌리면, 자동화된 점검은 약점을 찾고, 방어 장치는 그 약점이 실제로 악용될 확률을 줄인다. 그리고 가장 강력한 보안 프로그램은 이 둘을 잇는다 — 점검에서 발견된 것을, 곧바로 탐지 규칙과 승인 게이트, 권한 축소, 회귀 테스트로 전환하는 것이다. 그래서 우리는 발견에서 수정, 그리고 재검증으로 이어지는 닫힌 고리를 설계했다. 한 번 메운 약점이 다시 열리지 않았는지를, 다음 점검이 또 확인한다.
그리고 자율성에는 반드시 사람의 자리를 두었다. 점검 과정의 모든 판단, 특히 위험이 큰 결정은 사람의 승인을 거치게 했다. 자동화가 끊임없이 점검하되, 중요한 결정의 방아쇠는 사람이 쥐는 것이다. 이것은 앞서 다룬 가디언 에이전트와 SWARM의 원리 — 빠른 자동화를 사람의 통제로 감싸는 구조 — 와 같은 자리에 있다. 보안만큼 책임이 무거운 영역에서는, 설명할 수 없고 통제할 수 없는 자동화는 오히려 또 다른 위험이기 때문이다.
위협의 속도를 따라잡다
전환 이후 가장 크게 달라진 것은, 점검과 점검 사이의 공백이 사라졌다는 점이다.
시스템이 바뀔 때마다 점검이 따라붙으면서, 새로 생긴 약점이 다음 연례 점검까지 방치되는 일이 없어졌다. 위협이 매일 바뀌어도, 방어가 그 속도를 따라가기 시작했다. 막연하게 “우리는 안전할까”를 걱정하던 자리에, “지금 우리의 약점은 무엇이고 무엇을 먼저 고쳐야 하는가”라는 구체적인 답이 놓였다.
보안 투자의 우선순위도 객관화되었다. 어디가 실제로 뚫릴 수 있는지를 사전에 측정하니, 한정된 자원을 가장 위험한 곳에 먼저 쓸 수 있게 되었다. 감이 아니라 증거에 따라 방어를 설계하게 된 것이다.
그리고 보안팀의 일도 더 높은 곳으로 옮겨갔다. 반복적인 점검을 자동화가 맡으면서, 사람은 자동화가 찾아낸 약점을 해석하고, 더 정교한 위협을 설계하고, 전략적인 방어를 고민하는 일에 집중하게 되었다. 도구가 사람을 대체한 것이 아니라, 희소한 보안 전문성을 더 가치 있는 곳에 쓰게 만든 것이다.
조직에 남는 것은 견고함의 구조다
CHANSWER의 모든 작업에는 하나의 원칙이 있다. 우리가 만든 것이 고객의 자산으로 남아야 한다는 것.
이 프로젝트가 끝난 뒤 조직에 남은 것은 보안 점검 도구 하나가 아니다. 스스로를 끊임없이 시험해 약점을 미리 메우는 견고함의 구조가 남았다. 어떻게 안전하게 자신을 시험할지, 발견된 약점을 어떻게 수정과 재검증으로 이을지, 그리고 어디에 사람의 승인을 둘지에 대한 기준이 조직 안에 자리 잡았다.
이 구조를 가진 조직은, 새로운 위협이 등장할 때마다 다음 연례 점검을 기다리지 않는다. 변화가 생기는 즉시 스스로를 시험하고, 약점이 자라기 전에 메운다. 견고함은 한 번 쌓고 끝나는 벽이 아니라, 끊임없이 자신을 시험하며 유지되는 상태이기 때문이다.
가장 좋은 방어는 공격을 기다리는 것이 아니다. 공격받기 전에, 먼저 스스로를 시험하는 것이다. 그리고 그 시험이 사람의 통제 위에서 끊임없이 돌 때에만, 견고함은 한순간의 점검이 아니라 지속되는 상태가 된다.
적용을 고민하는 분들께
지금 조직에서 보안 태세를 고민하고 계신다면, 우리의 경험에서 세 가지를 권한다.
하나, 점검을 사진이 아니라 흐름으로 만드세요. 일 년에 한 번의 점검은 그 순간의 사진일 뿐입니다. 시스템이 바뀔 때마다 점검이 따라붙는 지속적인 구조여야, 점검과 점검 사이에 자라는 약점을 막을 수 있습니다.
둘, 발견을 수정과 재검증으로 이으세요. 약점을 찾는 것만으로는 절반의 일입니다. 발견된 것을 곧바로 수정하고, 그 수정이 제대로 됐는지 다시 점검하는 닫힌 고리가 있어야 보안이 실제로 단단해집니다.
셋, 자동화에 사람의 통제를 새기세요. 보안처럼 책임이 무거운 영역일수록, 모든 판단이 추적 가능해야 하고 위험이 큰 결정은 사람의 승인을 거쳐야 합니다. 설명할 수 없는 자동화는, 그 자체로 또 다른 위험이 됩니다.
가장 싼 방어는 공격받은 뒤의 수습이 아니라, 공격받기 전의 점검입니다. 스스로를 먼저 시험하는 조직이, 위협의 속도를 따라잡고 견고함을 유지합니다.
이 사례와 연결된 프로그램
- SWARM · 하이퍼오토메이션 구축 — 지속적 점검을 자동화하되 사람의 승인 게이트로 감싸는 구조
- HELM · 리더십 AX — 보안 투자의 우선순위를 증거에 따라 결정하는 리더의 자리
- STRUCTURE · 지식 온톨로지 — 시스템 구성과 위협 지식을 점검 엔진이 이해할 자산으로 구조화
CHANSWER는 기회를 답으로, 답을 역량으로 옮기는 일을 합니다. 당신의 조직에서 보안 점검과 점검 사이에 어떤 공백이 있는지 들려주세요. 스스로를 끊임없이 시험하는 구조부터 함께 설계하겠습니다.
Comments are closed.