[ IT Security ] Zero Trust Secutiry Model

 

 

 

언제나 무슨 일이 발생하면 그에 대한 모델이 생성되고 제조사들은 그 모델을 이용하기 시작한다. 컨설팅이나 패션부분에서 종종 나타나지만, 아마도 가장 많은 모델화를 보이는 것은 IT 가 아닐까 한다.

 

Zero Trust Security Model

 

 

손실은 유출자의 처벌로 복구되지 않음을 경험으로 알 수 있다.

 

뭔가 있어 보이고 멋있어 보이지만... 쉽게 말해 세상에 믿을 놈 하나 없다... 로 요약된다.

이 문제는 에드워드 스노든이 NSA 의 정보 감시 활동을 폭로하기 위해서 문서를 반출한 사건에서 비롯된다.

 

즉, 기업에서 이전의 형태인 '보안서약서' 등은 아무런 소용이 없으며, 보안 서약서 등으로 법적인 조치를 강구함에도 불구하고, 이미 유출된 Data  는 기업의 유무형의 손실을 입히며, 그에 대한 손실은 유출자의 처벌로 복구되지 않음을 경험으로 알 수 있다.

 우리의 경우에도 GS 그룹의 개인 정보 유출 사건이 IT 아웃소싱 인원의 유출로 인해 발생했다.

 유출 상황을 인지하는 즉시, IT 아웃소싱 인원의 신병을 확보하고 민/형사상 책임을 물었지만, 실제로 발생한 기업 이미지의 저하는 복구 불가능한 수준이었다.

 

가장 위험한 보안의 취약점은 외부의 뛰어난 해커가 아니라, 고의건 아니건 간에 합법적인 접근 권한을 가지고, 불법적인 목적으로 사내 주요 Data 에 접근하는 내부 인원

 

 Zero Trust Security Model 은 새로운 것이 아니라, 기존의 보안 담당자들이 모두 알고 있었던 이야기다.

 가장 위험한 보안의 취약점은 외부의 뛰어난 해커가 아니라, 고의건 아니건 간에 합법적인 접근 권한을 가지고, 불법적인 목적으로 사내 주요 Data 에 접근하는 내부 인원이다.

 

 

 스노든의 사건과 거기에 더하여 클라우드 형태의 외부 저장소를 사용하므로 인해 더더욱 그 위험이 부각되어진 것 뿐이다.

 알고 있지만 애써 무시하던 취약점은...

 

1. 클라우드를 사용하는 경우, 클라우드 업체에서  Data 를 고의적으로 넘기거나 공공의 요청으로 사용자의 동의 없이 제공하는 경우

2. 클라우드 업체의 시스템 관리자가 임의로 Data 에 접근하거나 유출하는 경우.

3. 내부 인원 중 시스템 관리자 또는 Data 의 관리 권한을 가진 인원 또는 IT  아웃소싱 인원이 업무상 불필요한 Data 에 접근하거나 유출하는 경우.

 

먼저 클라우드의 취약점을 해결할 수 있는 방안을 생각해 보자.

1. Data 암호화

 이미 대부분의 클라우드 사용자들은 클라우드 스토리지로 전송되기 전의 Data 는 암호화 하는 구간별 암호화는 많은 부분 적용되어 있다.

 

 

 

 하지만, 문제는 클라우드 상에서 저장된 Data 가 암호화 되는 경우는 많지 않다.

 

 

 저장된 Data 를 암호화 하므로서 해킹, 시스템 관리지의 비 정상적 접근시에도 암호화된 Data 는 키를 획득하기 전까지 안전하게 보호할 수 있다.

2. 암호화 키 관리

 Data 가 암호화 되어 있더라도 키가 유출된다면 아무런 소용이 없다. 특히 공공의 수사 목적을 위한 경우 클라우드 업체에서는 암호화 키를 넘겨 주어야 한다.

 

 

 

 따라서 암호화 키의 배포와 암호화의 주체는 기업이 되어야 하며, 클라우드 업체에 맡겨 져서는 안된다.

 쉽게 말해 암호화 키를 탑재한 Private CA 를 기업 로컬에 두고, 해당 키로 암호화한 DRM 문서만 클라우드에 저장을 허용하는 것이다.

 

 

 

 이 방법이 힘들다면, 클라우드 시스템으로 저장하는 모든  Data 를 암호화 하고, 클라우드에서 전송되는 경우 복호화 하는 게이트 웨이 기술을 사용할 수 있다.

 물론 신기술이기에 아직은 신뢰성이 떨어지지만 시장의 요구가 있다면, 높은 성능과 신뢰성을 가진 제품들이 등장할 것으로 보인다.

 

3. 클라우드 서비스 지역화

 원래 클라우드 라는 것은 내가 저장한 Data 의 스토리지가 지역적, 국가적으로 어디에 있건 관심이 없고, 내가 지금 사용하는 CPU 파워가 지역적, 국가적으로 어디에 있는지 관심이 없는 서비스가 바로 클라우드 서비스이다. 하지만, 이제는 클라우드 서비스도 보안 이슈로 인하여 지역적인 중요도가 증가하고 있다. 이로 인해 전 세계적인 클라우드 서비스 업체들은 영업시에 특정 지역에 위치한 Data Center 에서 서비스하는 클라우드 임을 명시하여야 할 것이다.

 

 

4. 내부 인원 감사

 모든 인원의 접근 이력이 감사되어야 한다. 보안의 기본인 'Need to Know' 의 원칙에 준하여 불필요한 접근에 대한 감사가 실시간으로 이루어 져야 하며, 특히 IT  아웃 소싱 인원이 시스템의 Super User 권한을 가진 경우 해당 인원의 로그인 이력, 권한 사용 이력에 대한 모든 감사과 감시가 이루어 져야 할 것이다.