1천여 명의 정보보안 담당자가 참석한 하반기 최대 정보보호 컨퍼런스 PASCON 2023에서 엔씨소프트 정보보안센터 박재민 팀장은 ‘제로트러스트를 활용한 기업의 보안강화 전략’에 대해 강연을 진행해 큰 관심을 끌었다. 이번 강연은 제로트러스트 도입을 고려하고 있는 기업들에게 디지털 변혁을 성공적으로 수행하기 위한 경험과 전략을 공유하는 의미있는 시간이었다.

박 팀장은 강연에서, 엔씨소프트가 왜 제로트러스트를 선택하게 되었는지에 대한 배경을 설명했다. 엔씨소프트는 보안에 민감한 사용자 데이터와 금융 정보를 다루는 게임 기업으로서, 제로트러스트를 도입해 최신 보안 위협에 대응하고자 했다.

엔씨소프트는 먼저, 제로트러스트 도입 전에 기업의 워크플로우를 정확히 파악하고 각 핵심 요소의 수준을 확인하는 작업을 진행했다. 이를 토대로 어떤 범위에서 어느 수준의 보안을 구현할 것인지를 목표로 하고, 구현 기술과 방식을 선택해 단계적인 구현 전략을 수립했다.

강연에서는 제로트러스트(ZT) 구현의 세부 사례도 공유되었다. "Stage-1"에서는 ZT 보안 아키텍처를 개발하고 구현했으며, 중앙의 엔터프라이즈 포인트(EPE)를 통해 사용자와 기기를 검증하고 접근을 조건부로 통제했다.

"Stage-2"에서는 데이터와 서비스를 중요도에 따라 분류해 보안 정책을 적용하는 "마이크로세그멘테이션(Micro-segmentation)"이 주요 목표 중 하나였다. 또한, 다양한 솔루션의 기능 한계를 극복하고 하이브리드 솔루션을 검토해 클라우드 및 온프레미스 환경을 함께 다룰 방안을 연구했다.

그는 제로트러스트 구현 외에도, 엔씨소프트는 보안 위협에 대응하는 다른 전략과도 함께 노력하고 있다고 전했다. 이 중 하나는 보안 진단 프로세스로, 보안성 검토와 취약점 점검을 통해 사전에 보안 위협을 제거하는 것을 목표로 한 것이다. 또한, 임직원의 보안 인식을 높이는 활동을 통해 보안 문화를 촉진하고 이상 행위 모니터링을 강화해 제로트러스트의 성숙도를 높이는 노력을 기울이고 있다.

마지막으로, 엔씨소프트는 AI 서비스의 활용을 적극적으로 검토하고 있으며, AI/ML을 활용해 보안 위협에 대응하고 제로트러스트 구현에도 적용하고 있다. 또한, AI 서비스를 활용할 때의 보안 요구사항과 SaaS 활용 시의 보안 위협에 대한 검토도 지속적으로 수행하고 있다.

이러한 노력을 통해 엔씨소프트는 디지털 전환을 성공적으로 이끄는 동시에, 보안 위협에 대비하는 민첩한 기업으로서의 역할을 수행하고 있다.

그는 제로트러스트를 활용한 엔씨소프트의 기업 보안 강화 전략을 상세히 설명하며 다음과 같은 핵심 메시지를 전달했다.

△기업의 워크플로우 파악: 제로트러스트 도입 전에 기업의 워크플로우를 정확히 식별하고, 각 핵심 요소별로 현재의 수준을 파악해야 한다.

△목표 및 전략 수립: 어떤 범위에서 어느 수준의 보안을 구현할 것인지 명확히 정의하고, 구현 기술과 방식을 선택하여 단계적인 구현 전략을 수립해야 한다.

△세부 구현 사례: 구현 과정에서 발생한 도전적인 영역과 해결책에 대한 구체적인 사례를 공유하였으며, Micro-segmentation과 하이브리드 솔루션 검토를 강조했다.

△보안 진단 프로세스: 보안성 검토와 취약점 점검을 통해 사전에 보안 위협을 제거하는 프로세스를 통해 보안을 강화한다.

△AI와의 통합: AI 및 ML을 활용하여 보안 위협에 대응하고, 제로트러스트 구현에도 적극 활용한다.

△보안 문화 확산: 임직원의 보안 인식을 높이고, 이상 행위 모니터링을 통해 보안 문화를 촉진하며 제로트러스트의 성숙도를 높인다.

△미래 지향적인 접근: 기존의 IT 환경을 고려한 제로트러스트 아키텍처를 개발하고, 미래에 대비하여 지속적으로 발전시켜 나간다.

박재민 팀장은 “이러한 전략과 노력을 통해 엔씨소프트는 제로트러스트를 효과적으로 활용해 보안을 강화하고, 디지털 변환을 성공적으로 이끌어내는 기업으로 나아가고 있다. 이 성과는 엔씨소프트를 글로벌 ESG 리스크 평가에서 상위 1%로 인정받게 되는 등 긍정적인 결과를 이끌어내고 있다”고 밝혔다.

엔씨소프트의 경험과 전략은 다른 기업들에게도 제로트러스트 도입과 관련된 가치있는 지침을 제공하고 있으며, 보안에 대한 인식과 대응 능력을 향상시키는데 도움이 될 전망이다.

★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading security media!★