제로 트러스트: 무죄가 입증될 때까지 유죄

격리를 기반으로 하는 제로 트러스트가 작업을 안전하게 보호하는 유일한 방법입니다.

지난 달 정보 보안 미디어 그룹 (ISMG) 의 톰 필드와 제로 트러스트에 대해 이야기를 나눌 수 있는 좋은 기회가 있었습니다.그는 멘로가 어떻게 사이버 보안에 대한 이러한 새로운 사고 방식을 가능하게 하는지, 그리고 우리의 격리 접근법을 성숙한 금융 서비스 부문에 어떻게 적용할 수 있는지 알고 싶어했습니다.

먼저 제로 트러스트란 무엇일까요?

Zero Trust를 사용하면 단순한 마케팅 슬로건이 아니라 모든 웹 콘텐츠가 유해하다고 가정하고 웹 사이트가 사용자 장치에서 코드를 실행하는 것을 방지할 수 있습니다.이는 분명 일리가 있습니다.저는 CISO로 일하면서 수년간 실리콘 밸리 전역의 CISO에 자문을 제공했습니다.대부분의 공격은 사용자가 우리가 완전히 신뢰할 수 없는 웹사이트에 접속할 때 발생한다는 것을 알고 있습니다.하지만 이러한 신뢰 부족에도 불구하고 당사는 이러한 웹 사이트에 로컬 브라우저를 통해 엔드포인트에 대한 액세스 권한을 부여하고 이들이 Google 시스템에서 코드를 실행할 수 있도록 합니다.보안 측면에서 보면 이건 미친 짓입니다.하지만 비즈니스 관점에서 볼 때 인터넷을 통한 자유로운 무료 액세스는 매우 중요할 수 있습니다.

멘로는 제로 트러스트를 신뢰할 수 없는 행위자의 업무 수행 능력을 방해하지 않으면서 사용자를 보호하는 방법으로 정의합니다.

대화 중에 톰은 제로 트러스트가 '무죄가 입증되기 전까지는 유죄'와 같다고 말했고, 어떤 면에서는 그가 전적으로 옳다고 말했습니다.신뢰할 수 없는 외부 주체가 사용자 기기에서 코드를 실행하도록 허용할 이유가 있을까요?그렇다면 왜 모든 사람들이 제로 트러스트를 받아들이고 악성코드 및 기타 웹 기반 위협을 역사의 쓰레기통으로 몰아내지 않는 것일까요?

답은 기술과 문화적 관점 모두에서 어렵다는 것입니다.우리는 인간이며, 태어날 때부터 다른 사람을 신뢰하도록 굳게 타고났습니다.사람들에게 갑자기 신뢰할 수 없는 태도를 기본 사고방식으로 바꾸라고 요구하는 것은 많은 것을 요구합니다.둘째, 사람들이 자신이 말하는 그대로의 모습을 확인하는 것은 어렵습니다.악의적인 행위자는 자신이 접근할 수 없는 시스템에 접근하기 위해 거짓말을 하고, 속이고, 훔칩니다.이들은 동료, 친구, 가족으로 가장합니다.이들은 사용자를 속여 현관문을 통과하는 데 필요한 열쇠를 주도록 합니다.악당들은 우리를 무기로 몰아넣고 도구 상자에 있는 도구로는 충분하지 않습니다.

많은 조직에서 기술적 결함을 보완하기 위해 사용자 교육을 활용합니다.하지만 우리는 이 곤경에서 벗어날 방법을 찾을 수 없습니다.네, 교육을 통해 사람들이 제로 트러스트를 받아들이는 사고방식을 바꿔야 합니다. 하지만 멀웨어가 기기에 접근하지 못하도록 막을 수 있는 도구 모음도 필요합니다.

물론 답은 인터넷 격리입니다.사용자가 작업을 수행하려면 웹 사이트를 방문해야 한다는 것을 알고 있지만 웹 사이트에서 사용자의 컴퓨터에 액세스해야 할 이유는 없습니다.대신 클라우드에서 가상 브라우저를 가동하여 사용자의 웹 사이트와 상호 작용하고 안전하고 좋은 콘텐츠만 장치에 렌더링할 수 있습니다.웹사이트가 좋은지 나쁜지 알 수 없습니다. 솔직히 그건 중요하지 않습니다.CISO로서 저는 외부 주체가 제 네트워크에서 코드를 실행할 권한을 갖고 있지 않다는 것을 확신할 수 있습니다.

Tom과의 인터뷰를 듣고 멘로의 제로 트러스트 솔루션에 대한 자세한 정보를 확인해 보세요.그때까지는 언제든지 부담없이 문의해 Menlo가 업무상 어디에 있든 사용자의 작업을 보호할 수 있는 방법에 대해 논의하세요.