GS네오텍 클라우드팀 박제호 과장
아이티데일리 성원영 기자 = 최근 연이어 발생하는 보안 사고로 인해 기업과 기관의 정보 보호가 중요한 화두로 떠오르고 있다. 이 가운데 아마존웹서비스(AWS)가 보안을 주제로 개최한 ‘AWS 아시아태평양-일본(APJ) 게임데이(Gameday)’에서 GS네오텍이 2위 수상자를 배출해 업계의 눈길을 끌었다. 수상의 주인공인 GS네오텍 클라우드팀 박제호 과장을 만나 대회 참여 소감과 현업에서 체감하는 클라우드 보안 동향에 대해 들어봤다.
보안 문제는 사소한 것에서 출발한다
‘AWS 아시아태평양-일본(APJ) 게임데이(Gameday)’는 보안 부문에 초점을 맞춘 실전형 클라우드 실습 대회다. APJ 지역 참가자를 대상으로 하며, 대회는 온라인으로 진행됐다. 참가자들은 실제와 유사한 클라우드 환경에서 주어지는 과제와 시나리오를 제한된 시간 내에 해결해야 한다. 이 과정에서 AWS의 다양한 서비스와 최신 기술을 경험할 수 있다는 게 특징이다.
이번 대회에서는 AWS의 다양한 보안 서비스를 실무에 가깝게 활용하는 과제가 주어졌다. 예를 들어 △‘가드듀티(GuardDuty)’와 ‘람다(Lambda)’를 활용해 자동으로 공격IP를 차단하는 이벤트 기반 보안 대응 한 이벤트 기반 보안 대응 △‘인스펙터(Inspector)’와 ‘EC2 이미지 빌더(Image Builder)’를 이용한 골든 이미지 보안 강화 △’IAM 액세스 애널라이저(IAM Access Analyzer)‘를 통한 액세스 패턴 분석 △’AWS 시크릿 매니저(AWS Secrets Manager)’를 활용한 민감 데이터 보안 등이 출제됐다.
박제호 과장은 “실제로 일어날 법한 시나리오들이었다”며 “사소해서 놓치고 넘어갈 법한 것들이 문제로 나오기도 했다”고 말했다. 그는 “데이터베이스(DB)는 원래 외부에서 접속하면 안 되는데 처음부터 열려있는 상태로 문제가 나온 경우도 있었다”며 “기본적인 사항이지만 중소기업 등 현장을 확인해 보면 열려있는 경우가 많다. 실제 보안 현장에서는 이렇게 기본적인 것을 놓쳐서 문제가 생기는 경우가 많다”고 설명했다.
클라우드 시대, 보안 담당자 역량 확대
온프레미스에서는 보안 담당자가 보안만 하면 됐었다. 이 서버에 접근하는 대상에 대해서 방화벽을 조정한다거나 취약점을 점검하면 됐다. 물론 규모가 매우 큰 대기업의 경우는 예외지만. 클라우드 시대로 넘어오니까 보안 담당자임에도 불구하고 네트워크, 각종 서비스별 보안 설정, 자동화, 코드 작성 등 다양한 역량이 요구되기 시작했다. 박 과장은 “이제 보안 담당자는 단순히 보안만 아는 것이 아니라 회사가 사용하는 AWS 서비스 전체를 이해하고, 서비스별로 적절한 대응을 할 수 있어야 한다”고 설명했다.
서비스마다 암호화나 로깅 등 별도의 보안 설정을 직접 켜야 하며, 보안 기능이 서비스별로 분산돼 있어 전체 아키텍처를 이해하는 능력이 중요해진 것이다.
보안의 핵심 키 ‘인공지능(AI)’
최근 보안 업계에서는 ‘시프트 레프트(Shift-Left)’ 전략이 새로운 표준으로 자리 잡고 있다. 개발 주기의 가능한 가장 앞단, 즉 기획 단계부터 보안을 고려해야 한다는 개념이다. 서비스가 이미 배포된 이후에 문제를 수정하면 비용과 시간이 훨씬 더 많이 들기 때문이다.
박 과장은 “기획 단계에서부터 보안을 함께 고민하지 않으면 비즈니스 전체 속도를 늦추는 결과로 이어진다”고 말했다. 빠른 시장 대응이 중요한 시대이기 때문에 보안도 단순히 위험 차단에 초점을 맞추는 것이 아닌, 서비스 속도를 유지하면서도 안전한 구조를 만드는 것에 집중해야 한다는 것이다.
이러한 흐름 속에서 AI는 보안의 핵심 키로 부상하고 있다. 개발 생명주기(SDLC, Software Develop Life Cycle)에 보안을 내재화한 SSDLC(Secure Software Development Life Cycle) 개념이 확산되는 추세다. 여기에 AI를 결합한 AI-DLC(AI Development Lifecycle)가 주목받고 있다.
또한 클라우드 환경에서 복잡하게 분산된 보안 기능을 통합 관리하려는 흐름도 있다고 덧붙였다. CNAPP(Cloud-Native Application Protection Platform)처럼 여러 보안 기능을 하나의 플랫폼에서 통합 관리하려는 접근이 늘고 있다. 박 과장은 “여기에 AI를 더해 하나의 솔루션으로 최대한 많은 걸 커버할 수 있도록 AI를 활용한다면 업무 효율성 더 확대될 것”이라고 내다봤다.
한편 박제호 과장은 이번 대회를 통해 “2등이라는 결과에 만족하지만 다음에는 꼭 1등을 하고 싶다”며 도전 의식을 드러냈다. 이어 그는 “GS네오텍도 AI를 활용해 업무처리를 효율화하기 위한 개발을 이어가고 있는데, 보안 영역에서도 마찬가지로 AI를 접목해 우리가 제공하는 솔루션을 고객이 충분히 만족할 수 있도록 준비하고 있다”며 보다 고도화된 보안 전략 수립에 집중하겠다고 포부를 밝혔다.
출처 : 아이티데일리 성원영 기자 swy0418@itdaily.kr
GS네오텍 클라우드팀 박제호 과장
아이티데일리 성원영 기자 = 최근 연이어 발생하는 보안 사고로 인해 기업과 기관의 정보 보호가 중요한 화두로 떠오르고 있다. 이 가운데 아마존웹서비스(AWS)가 보안을 주제로 개최한 ‘AWS 아시아태평양-일본(APJ) 게임데이(Gameday)’에서 GS네오텍이 2위 수상자를 배출해 업계의 눈길을 끌었다. 수상의 주인공인 GS네오텍 클라우드팀 박제호 과장을 만나 대회 참여 소감과 현업에서 체감하는 클라우드 보안 동향에 대해 들어봤다.
보안 문제는 사소한 것에서 출발한다
‘AWS 아시아태평양-일본(APJ) 게임데이(Gameday)’는 보안 부문에 초점을 맞춘 실전형 클라우드 실습 대회다. APJ 지역 참가자를 대상으로 하며, 대회는 온라인으로 진행됐다. 참가자들은 실제와 유사한 클라우드 환경에서 주어지는 과제와 시나리오를 제한된 시간 내에 해결해야 한다. 이 과정에서 AWS의 다양한 서비스와 최신 기술을 경험할 수 있다는 게 특징이다.
이번 대회에서는 AWS의 다양한 보안 서비스를 실무에 가깝게 활용하는 과제가 주어졌다. 예를 들어 △‘가드듀티(GuardDuty)’와 ‘람다(Lambda)’를 활용해 자동으로 공격IP를 차단하는 이벤트 기반 보안 대응 한 이벤트 기반 보안 대응 △‘인스펙터(Inspector)’와 ‘EC2 이미지 빌더(Image Builder)’를 이용한 골든 이미지 보안 강화 △’IAM 액세스 애널라이저(IAM Access Analyzer)‘를 통한 액세스 패턴 분석 △’AWS 시크릿 매니저(AWS Secrets Manager)’를 활용한 민감 데이터 보안 등이 출제됐다.
박제호 과장은 “실제로 일어날 법한 시나리오들이었다”며 “사소해서 놓치고 넘어갈 법한 것들이 문제로 나오기도 했다”고 말했다. 그는 “데이터베이스(DB)는 원래 외부에서 접속하면 안 되는데 처음부터 열려있는 상태로 문제가 나온 경우도 있었다”며 “기본적인 사항이지만 중소기업 등 현장을 확인해 보면 열려있는 경우가 많다. 실제 보안 현장에서는 이렇게 기본적인 것을 놓쳐서 문제가 생기는 경우가 많다”고 설명했다.
클라우드 시대, 보안 담당자 역량 확대
온프레미스에서는 보안 담당자가 보안만 하면 됐었다. 이 서버에 접근하는 대상에 대해서 방화벽을 조정한다거나 취약점을 점검하면 됐다. 물론 규모가 매우 큰 대기업의 경우는 예외지만. 클라우드 시대로 넘어오니까 보안 담당자임에도 불구하고 네트워크, 각종 서비스별 보안 설정, 자동화, 코드 작성 등 다양한 역량이 요구되기 시작했다. 박 과장은 “이제 보안 담당자는 단순히 보안만 아는 것이 아니라 회사가 사용하는 AWS 서비스 전체를 이해하고, 서비스별로 적절한 대응을 할 수 있어야 한다”고 설명했다.
서비스마다 암호화나 로깅 등 별도의 보안 설정을 직접 켜야 하며, 보안 기능이 서비스별로 분산돼 있어 전체 아키텍처를 이해하는 능력이 중요해진 것이다.
보안의 핵심 키 ‘인공지능(AI)’
최근 보안 업계에서는 ‘시프트 레프트(Shift-Left)’ 전략이 새로운 표준으로 자리 잡고 있다. 개발 주기의 가능한 가장 앞단, 즉 기획 단계부터 보안을 고려해야 한다는 개념이다. 서비스가 이미 배포된 이후에 문제를 수정하면 비용과 시간이 훨씬 더 많이 들기 때문이다.
박 과장은 “기획 단계에서부터 보안을 함께 고민하지 않으면 비즈니스 전체 속도를 늦추는 결과로 이어진다”고 말했다. 빠른 시장 대응이 중요한 시대이기 때문에 보안도 단순히 위험 차단에 초점을 맞추는 것이 아닌, 서비스 속도를 유지하면서도 안전한 구조를 만드는 것에 집중해야 한다는 것이다.
이러한 흐름 속에서 AI는 보안의 핵심 키로 부상하고 있다. 개발 생명주기(SDLC, Software Develop Life Cycle)에 보안을 내재화한 SSDLC(Secure Software Development Life Cycle) 개념이 확산되는 추세다. 여기에 AI를 결합한 AI-DLC(AI Development Lifecycle)가 주목받고 있다.
또한 클라우드 환경에서 복잡하게 분산된 보안 기능을 통합 관리하려는 흐름도 있다고 덧붙였다. CNAPP(Cloud-Native Application Protection Platform)처럼 여러 보안 기능을 하나의 플랫폼에서 통합 관리하려는 접근이 늘고 있다. 박 과장은 “여기에 AI를 더해 하나의 솔루션으로 최대한 많은 걸 커버할 수 있도록 AI를 활용한다면 업무 효율성 더 확대될 것”이라고 내다봤다.
한편 박제호 과장은 이번 대회를 통해 “2등이라는 결과에 만족하지만 다음에는 꼭 1등을 하고 싶다”며 도전 의식을 드러냈다. 이어 그는 “GS네오텍도 AI를 활용해 업무처리를 효율화하기 위한 개발을 이어가고 있는데, 보안 영역에서도 마찬가지로 AI를 접목해 우리가 제공하는 솔루션을 고객이 충분히 만족할 수 있도록 준비하고 있다”며 보다 고도화된 보안 전략 수립에 집중하겠다고 포부를 밝혔다.
출처 : 아이티데일리 성원영 기자 swy0418@itdaily.kr