은행에서 사이버 보안에 대한 최신 접근 방식인 제로 트러스트 모델을 채택하는 이유
오늘날 많은 은행에서는 악의적인 공격으로부터 데이터를 보호하기 위해 여전히 “성과 해자”(“경계 보안”이라고도 함) 접근 방식을 사용합니다. 돌벽, 해자, 문으로 보호되는 중세 성처럼, 경계 보안을 사용하는 은행은 방화벽, 프록시 서버, 허니팟 및 기타 침입 방지 도구를 사용하여 네트워크 경계를 강화하는 데 주로 많이 투자합니다. 경계 보안은 조직의 네트워크에 들어오고 나가는 데이터 패킷과 사용자 ID를 확인하여 네트워크에 대한 진입점과 출구점을 보호한 다음, 강화된 경계 내에서 작업이 비교적 안전하게 수행된다고 가정합니다.
요령 있는 금융 기관들은 현재 이러한 패러다임을 벗어나 사이버 보안에 대한 최신 접근 방식인 제로 트러스트 모델을 이용하고 있습니다. 제로 트러스트의 핵심 원리는 기본적으로 내외부의 누구도 신뢰하지 않으며 액세스 권한을 부여하기 전에 모든 사람 또는 디바이스의 엄격한 확인을 요구하는 것입니다.
성의 경계는 여전히 중요합니다. 하지만 더 강력한 벽과 더 넓은 해자에 더 많은 투자를 쏟는 대신, 제로 트러스트 모델은 유명한 성 내의 ID, 데이터 및 디바이스에 대한 액세스 관리에 좀 더 초점을 맞춘 접근 방식을 사용합니다. 그러므로 내부자가 악의적으로 또는 부주의하게 행동하든, 베일에 싸인 공격자가 성벽을 통과하든, 데이터에 대한 자동 액세스 권한이 제공되지 않습니다.
성과 해자 접근 방식의 한계
오늘날 엔터프라이즈 디지털 자산 보호에 관해서는, 사이버 위협의 출현으로 인해 공격 회피와 방지의 의미가 변했기 때문에 성과 해자 접근 방식에는 중대한 한계가 있습니다. 은행 같은 대규모 조직은 직원, 고객 및 파트너가 현장 또는 온라인에서 액세스하는 데이터 및 응용 프로그램의 분산된 네트워크를 다룹니다. 이는 성의 경계를 보호하는 일을 더 어렵게 만듭니다. 그리고 해자가 적으로부터 지키는 데 효과적일지라도, ID가 손상된 사용자나 성벽 내에 숨어 있는 다른 내부자 위협에는 소용이 없습니다.
다음은 모든 노출 원인이자 보안에 성과 해자 접근 방식을 사용하는 은행에서 일반적으로 발생하는 사례입니다.
- 응용 프로그램에 대한 직원 액세스 권한에 대해 1회 연간 검토
- 관리자 재량에 따른 모호하고 일관적이지 않은 액세스 권한 정책 및 직원 이동 시 발생하는 충분하지 않은 거버넌스
- IT에서 관리 권한 계정 남용
- 여러 파일에 저장된 고객 데이터 공유 및 누구에게 액세스 권한이 있는지 잘 모름
- 사용자 인증에 암호를 과도하게 의존함
- 어떤 데이터가 어디에 있는지 파악하기 위한 데이터 분류 및 보고가 없음
- 아주 중요한 데이터가 포함된 파일 전송에 USB 플래시 드라이브를 자주 사용함
제로 트러스트 모델이 은행가와 고객의 역량을 강화하는 방법
제로 트러스트 접근 방식의 이점은 잘 문서화되어 있으며, 점점 증가하는 실제 예에서는 이 접근 방식이 정교한 사이버 공격을 예방할 수 있음을 보여 줍니다. 그러나 오늘날 많은 은행이 여전히 제로 트러스트 원칙을 벗어나는 관행을 고수하고 있습니다.
제로 트러스트 모델을 채택하면 은행이 보안 상태를 강화하는 데 도움이 되므로, 직원과 고객에게 더 많은 유연성을 제공하는 이니셔티브를 자신 있게 지원할 수 있습니다. 예를 들어 은행 임원은 관계 관리자와 재정 자문가처럼 고객을 상대하는 직원이 책상에서 벗어나 은행 밖에서 고객을 만나게 하고 싶을 것입니다. 오늘날 많은 금융 기관에서는 종이 인쇄물이나 정적인 상담 자료 같은 아날로그 도구를 사용하여 이러한 지리적 민첩성을 지원합니다. 그러나 은행 직원과 고객은 모두 실시간 데이터를 사용하는 좀 더 동적인 경험을 바라게 되었습니다.
보안에 성과 해자 접근 방식을 사용하는 은행은 물리적 네트워크 밖으로 데이터를 분산하기를 주저합니다. 이처럼 고객을 은행에서 만난다면 은행가와 재정 자문가는 입증되고 규정된 투자 전략의 동적인 모델만 이용할 수 있습니다.
지금까지는 적어도 VPN 없이 이동 중인 은행가나 재정 전문가가 실시간 모델 업데이트를 공유하거나 다른 은행가나 거래자와 활발하게 공동 작업하기는 힘들었습니다. 그러나 이러한 민첩성은 타당한 투자 결정과 고객 만족에 중요한 동인입니다. 제로 트러스트 모델을 사용하면 관계 관리자나 분석가가 시장 데이터 제공자의 인사이트를 활용하고, 자신만의 고유한 모델과 결합하며, 언제 어디서나 여러 가지 고객 시나리오에서 동적으로 작업할 수 있습니다.
좋은 소식은 지금이 은행의 보안과 준수를 간소화하고 현대화할 수 있는, 클라우드와 제로 트러스트 아키텍처가 제공하는 지능형 보안의 새로운 시대라는 것입니다.
은행 보안을 혁신하는 데 도움을 주는 Microsoft 365
Microsoft 365를 사용하면 은행은 세 가지 주요 전략을 사용하여 즉시 제로 트러스트 보안으로 전환할 수 있습니다.
- ID 및 인증—무엇보다도 은행은 사용자 신원을 확인하고 역할에 따라 액세스 권한을 부여해야 합니다. Azure AD(Azure Active Directory)를 통해 은행은 SSO(Single Sign-On)를 사용하여 인증된 사용자를 어디서나 앱에 연결할 수 있으며, 이동 중인 직원의 생산성을 손상하지 않고 이동 중인 직원이 안전하게 리소스에 액세스할 수 있도록 할 수 있습니다.
또한 은행은 2단계 또는 암호 없는 MFA(다단계 인증) 같은 강력한 인증 방법을 사용할 수 있습니다. 그러면 위반 위험을 99.9 퍼센트까지 줄일 수 있습니다. Microsoft Authenticator는 푸시 알림, 일회용 암호, 모든 Azure AD 연결 앱에 대한 생체 인식을 지원합니다.
Windows 디바이스의 경우 은행 직원은 디바이스에 로그인하기 위한 안전하고 편리한 얼굴 인식 기능인 Windows Hello를 사용할 수 있습니다. 마지막으로, 은행은 Azure AD 조건부 액세스를 사용하여 적합한 액세스 정책을 적용함으로써 의심스러운 요청으로부터 리소스를 보호할 수 있습니다. Microsoft Intune과 Azure AD는 관리되는 규정 준수 디바이스만 전자 메일, 온-프레미스 앱 등 Office 365 서비스에 액세스할 수 있도록 함께 작동합니다. Intune을 통해 디바이스의 준수 상태를 평가할 수도 있습니다. 조건부 액세스 정책은 사용자가 데이터에 액세스하려고 할 때 디바이스의 규정 준수 상태에 따라 적용됩니다.
조건부 액세스 일러스트레이션
- 위협 방지—Microsoft 365를 사용하면 은행은 Microsoft Threat Protection의 통합 자동화 보안을 통해 보호하고 공격을 탐지하고 대응하는 능력을 강화할 수도 있습니다. Microsoft Intelligent Security Graph에서 제공하는 세계 최대의 위협 신호와 AI(인공 지능)가 제공하는 고급 자동화를 활용하여 인시던트 식별 및 대응을 향상하고, 보안 팀에서 정확하고 효율적으로 즉시 위협을 해결하도록 할 수 있습니다. Microsoft 365 보안 센터는 ID 및 액세스 관리, 위협 방지, 정보 보호 및 보안 관리를 위해 Microsoft 365 지능형 보안 솔루션을 관리하고 충분히 이용할 수 있는 중앙 집중식 허브와 전문 작업 영역을 제공합니다.
Microsoft 365 보안 센터
- 정보 보호—ID와 디바이스가 사이버 공격 취약성의 주요 벡터인 반면, 데이터는 사이버 범죄자가 궁극적으로 원하는 것입니다. Microsoft Information Protection을 통해 은행은 중요한 정보의 저장 위치나 이동 중인 상태와 상관없이, 해당 정보의 보호를 향상할 수 있습니다. Microsoft 365를 사용하면 고객은 1) 중요한 데이터를 식별 및 분류하고, 2) 유연한 보호 정책을 적용하고, 3) 위험에 처한 중요한 데이터를 모니터링 및 수정할 수 있습니다.
분류 및 보호 시나리오의 예
제로 트러스트를 사용하여 보안 관리 간소화
Microsoft 365는 사이버 범죄를 방지하기 위해 필요한 가시성, 규모 및 인텔리전스를 활용하여, 최신 제로 트러스트 아키텍처에서 보안 관리를 간소화하는 데 도움을 줍니다.
현대적인 “성”을 보호하는 방법을 고려할 때 제로 트러스트 환경은 최신 사이버 보안 위협에 가장 적합합니다. 제로 트러스트 환경은 누가 언제 어디서 무엇에 액세스하는지, 액세스 권한이 있어야 하는지 여부에 대한 최첨단 관리를 요구합니다.
Microsoft 365 보안 및 준수 기능은 조직이 사용자나 디바이스를 신뢰하기 전에 확인할 수 있도록 도와줍니다. 또한 Microsoft 365는 완전한 팀워크 및 생산성 솔루션을 제공합니다. 전체적으로, Microsoft 365는 은행 임원이 고객과 혁신에 집중하는 데 도움이 되는 포괄적인 솔루션을 제공합니다.
