IoT 보안 위협은 예상치 못한 작은 것에서부터 시작
지난해 미국 동부를 강타한 디도스(DDoS) 공격 이후, 사물인터넷(IoT) 보안에 더 많은 관심이 집중되고 있습니다. 이 디도스 공격은 인터넷에 연결된 카메라의 암호만 재설정했어도 충분히 예방할 수 있었다고 하는데요. 대부분의 보안 사고는 우리가 간과하는 취약점을 이용해 발생한다는 점을 다시 한 번 상기시켜 주는 계기가 되었죠.
또, 한 가지 더 명확해진 점은 IoT 환경에서는 보다 포괄적인 보안이 필요하다는 것입니다. IoT 시대의 보안은 어느 한 부서나 기업만의 역할이 아니라, 사용자와 제조사, 시스템 통합 업체(SI), 보안 업체, IT 부서, 운영기술(OT) 부서, 그리고 회사 직원까지 모두가 관심을 갖고 각자의 역할을 해야지만 지킬 수 있습니다.
그렇다면 우리는 각자의 위치에서 과연 ‘무엇을’, ‘어떻게’ 해야 할지 지금부터 함께 알아보겠습니다!
IoT 보안 위협에 대처하기
사실 ‘완벽한’ IoT 보안을 기대하는 것은 무리입니다. 물리적으로 떨어진 환경에서도 악성코드가 USB를 통해 중요 산업시설에 침투한 사례도 있었으니 말입니다. 하지만 기본 원칙들을 잘 적용한다면, 미리 예측해 적절한 대처를 할 수 있습니다.
· 위험 평가를 통해 각 시스템과 비즈니스 프로세스의 위험 수준을 분석하십시오. 그 다음에는 해당 평가 결과를 바탕으로, 기업 내 IT 시스템이 우선 순위를 기준으로 공격에 대처하고, 위협을 방어할 수 있도록 정책ㆍ애널리틱스ㆍ자동화 기능을 적용하세요.
· 아키텍처에 기반한 접근방식을통해현존하는 사일로(silo)를 없애고, 통합된 정책 기반의 보안 아키텍처로 보안을 설계하세요.
· “쉐도우 IT(Shadow IT)”를 최소화하세요. IT/보안 부서의 승인 없이 각 사업부에서 임의로 사용하는 애플리케이션이나 기기들은 보안을 위협합니다.
· 공격 전-중-후에 걸친 보안 대책 마련이 필요합니다. 공격이 일어나기 전에는 승인되지 않은 접근을 방지하고, 공격 발생 중에는 빠르게 위협을 파악해 중지시키며, 공격이 발생한 후에는 분석을 통해 피해를 최소화하는 것이 중요합니다.
· 대부분의 IoT 보안 공격은 조직 내에서 발생합니다. 물리 보안과 디지털 보안을 통합하세요. 권한에 따른 데이터 접근 관리뿐만 아니라 사무실 불법 침입도 방지해야 합니다.
· 업계 지원 표준을 도입해 더욱 강력하고 호환성이 높은 보안 환경을 만드십시오.
· 엔드투엔드(end-to-end)로 자동화하고 모니터링하세요. 수작업을 통한 보안 분석은 작은 규모의 조직에서조차 제 역할을 못하게 될 것입니다. 인텔리전스와 사전 예측형 애널리틱스로 디지털 시대에 맞는 보안 환경을 조성하세요.
· 트래픽을 세분화하고멀티테넌트(multitenant) 네트워크 인프라를 활용하세요. 그럼 인사관리시스템의 접속을 방해하는 디도스 공격을 받게 되더라도, 기업에 중요한 생산 라인은 지킬 수 있습니다.
· 마지막으로 모든 관계자들이 회사 보안 정책과 절차를 충분히 인지하도록교육하는 것이 중요합니다!
IoT 보안 환경은 확실히 기존의 IT 보안 환경보다는 더 분산되어 있고, 복잡하고, 역동적입니다. 무엇보다 이러한 기술 발전에 따라 보안에 대한 새로운 접근 방식을 필요로 하지요. 하지만 모두가 각자의 위치에서 보안을 위해 기본 원칙을 준수하고, 정책에 기반한 아키텍처형 보안 방식을 도입한다면 우리는 더욱 안전한 IoT 시대를 누릴 수 있을 것입니다.
이번 포스팅은 시스코 Corporate Technology Group을 총괄하는 마첵 크란즈(Maciej Kranz)부사장이 작성한 Securing the Internet of Things is Everybody's Responsibility를 바탕으로 준비되었습니다.
