컴플라이언스가 곧 보안은 아니지만, 대응표는 둘 다에 도움이 됩니다

이 분야에서 가장 오래된 관찰 중 하나는 이것이다. 컴플라이언스는 보안이 아니다. 침해 보고서에는 올바른 인증서를 보유하고 감사를 통과했던 조직이 자주 등장한다. 이 관찰은 사실이지만, 흔히 내려지는 결론인 '컴플라이언스는 형식적인 쇼에 불과하다'는 틀렸다. 컴플라이언스와 보안은 상당 부분 겹친다. 문제는 그 경계에서 무슨 일이 일어나는지, 그리고 컴플라이언스가 시간을 얼마나 잡아먹는지에 있다.

일치하는 지점

프레임워크들이 기본 사항에 대해 의견이 일치하는 이유는 그 기본 사항이 효과가 있기 때문이다. 우리가 매핑하는 11개 프레임워크는 모두 자산 관리, 취약점 관리, 백업 및 복구, 사고 대응, 사고 보고를 요구한다(공통 핵심 요구사항). 대부분은 MFA, 로깅, 접근 검토, 공급업체 보안도 요구한다. 인증서 보유 여부와 관계없이, 이러한 사항을 실제로 수행하는 조직은 그렇지 않은 조직보다 침해당하기가 훨씬 어렵다.

차이가 나는 지점

• 범위. 감사는 정의된 시스템만 다룬다. 공격자는 범위를 존중하지 않는다. 침해는 회사 노트북, 잊혀진 테스트 서버, 경계 밖의 공급업체를 통해 들어온다.
• 시점. 감사 표본에서 작동하는 통제가 모든 곳에서, 매일 작동하지는 않을 수 있다.
• 설계 대 실효성. 통제는 존재하고 문서화되어 있으며 테스트를 거쳤더라도, 의도했던 공격을 막지 못할 수 있다. 피싱에 뚫리는 MFA, 전체 환경의 절반을 보지 못하는 스캐너가 그 예다.
• 프레임워크가 빠뜨리는 것. 가장 많이 악용되는 공격 경로 중 몇 가지(API, 웹 애플리케이션, DNS)는 소수의 프레임워크만 요구하는데, 이는 프레임워크가 놓치는 주제에 대한 우리의 분석에서도 확인된다.

진짜 비용은 시간이다

더 큰 문제는 컴플라이언스가 잘못되었다는 것이 아니라 비용이 많이 든다는 것이다. 프레임워크를 3~4개 보유한 조직은 보안 업무의 대부분을 매핑, 증거 수집, 감사에 쓸 수 있으며, 그중 상당 부분이 중복된다. 같은 접근 검토를 세 가지 형식으로 작성하는 데 쓰는 매 시간은 위협 탐지, 보안 강화, 어떤 감사자도 들여다보지 않는 공격 표면에 쓰지 못한 시간이다.

대응표가 둘 다를 돕는 방식

매핑이 제 역할을 하는 지점이 바로 여기다. 하나의 통제가 ISO 27001, SOC 2, PCI DSS, NIS2를 동시에 충족한다는 것을 알면, 한 번만 구현하고 증거도 한 번만 마련하면 되므로 컴플라이언스 부담을 세 번 치를 필요가 없다. 절약한 시간이 바로 보안에 필요한 시간이다. 좋은 대응표는 프레임워크가 침묵하는 지점도 보여 주는데, 바로 그곳이 자체 위험 평가가 나아가야 할 방향이다.

방향	매핑됨	느슨하게 관련됨	매핑 없음
ISO 27001 보유 → SOC 2 필요	41 / 61 (67%)	0	20	보고서 →
SOC 2 보유 → ISO 27001 필요	98 / 123 (80%)	21	4	보고서 →

프로그램이 컴플라이언스 중심으로만 굳어졌다는 신호

• 보안 작업이 위협이 아니라 감사 일정에 맞춰 계획된다.
• 통제는 감사 범위 안에만 존재하고, 나머지 환경은 손대지 않은 상태다.
• 측정 지표가 패치 소요 시간이나 탐지 소요 시간 같은 성과가 아니라, 문서 수와 완료율을 측정한다.
• 팀은 특정 통제가 어떤 프레임워크 요구사항을 충족하는지는 말할 수 있지만, 어떤 공격을 막는지는 말하지 못한다.
• 발견 사항은 시스템을 바꿔서가 아니라 문서를 바꿔서 종결된다.

이 중 여러 항목이 익숙하게 느껴진다면, 해결책은 컴플라이언스를 버리는 것이 아니라 이를 자동화하고 절약한 시간을 다른 곳에 돌리는 것이다.

핵심 요약

• 컴플라이언스와 보안은 기본 사항을 공유하지만 경계에서 갈라진다.
• 컴플라이언스의 가장 큰 비용은 중복된 작업이다.
• 한 번 매핑하고, 증거 수집을 자동화하며, 절약한 시간을 보안에 투입하라.

실행 방안

1. 하나의 통제 세트를 구축하라. 응답해야 하는 모든 프레임워크에 매핑하고, 프레임워크마다 별도의 프로그램을 운영하지 마라.
2. 증거 수집을 자동화하라. 시스템이 증거를 생성할 수 있는 곳이라면 어디서든 자동화하라.
3. 절약한 시간을 감사가 보지 않는 영역에 투입하라. 공격 표면 관리, 탐지 엔지니어링, 테스트가 여기에 해당한다.
4. 컴플라이언스와 별도로 보안을 측정하라. 사고, 패치 소요 시간, 피싱 대응력, 복구 시간을 측정하라.

컴플라이언스는 바닥이지 천장이 아니다. 대응표를 활용해 최대한 저렴하게 바닥을 확보한 다음, 그 위에 쌓아 올려라. 격차 분석과 커버리지 매트릭스가 시작점이다.

질문

규정을 준수하는 조직은 안전한가?

꼭 그렇지는 않다. 컴플라이언스는 특정 통제가 존재하며 정해진 범위 안에서 작동한다는 것을 보여줄 뿐이다. 공격자는 범위 안팎을 가리지 않고 가장 취약한 곳을 노린다.

컴플라이언스가 보안을 조금이라도 개선하는가?

그렇다. 프레임워크는 많은 조직이 그렇지 않으면 건너뛸 기본 사항, 예컨대 자산 목록, 패치, 접근 검토, 사고 계획을 강제한다. 문제는 컴플라이언스가 프로그램 전체가 되어 버릴 때다.