외부 업체에 정보보안을 아웃소싱하는 것이 상당히 합리적인 경우가 종종 있다. 최근 연발하고 있는 해킹 사건들로부터 최신 바이러스에 이르기까지, 기업들은 더욱 다양하고 복잡한 보안위협에 직면하고 있다.
또 이렇게 계속 진화하는 위협에 대응할 수 있을만한 인력을 제대로 보유한 IT 부서는 거의 없으므로 외부 전문가들을 활용하는 것이 좋다.
그러나 MSSP(매니지드 보안 서비스 업체)들이 충분한 솔루션을 제공하고 있는지는 확실하지 않다. 실제로 이런 업체들이 얼마나 효과적이고 믿을만하며, 재정적으로 안정돼 있는가에 대한 우려가 MSSP 활용을 가로막는 요인으로 작용해왔다. 그 결과 여전히 많은 기업들이 스스로 e-비즈니스의 보안을 책임져야 하는 어려운 과제와 씨름하고 있다.
<사례 연구>
♣ e-뱅킹 사이트 - 디지털 인사이트
하지만 상황이 변할 것이라는 기대감이 감돌고 있다. 대부분의 시장조사 업체들은 보안 서비스의 견실한 성장을 예상하고 있다. 양키 그룹에 따르면, 작년에 4억5,000만 달러 규모이던 이 시장이 2005년에는 26억 달러 규모로 증가할 전망이다. MSSP 활용에 당장은 관심이 없는 IT와 보안 매니저들도 MSSP들이 제공하는 서비스를 평가하고, 코어 기술과 어드민 문제들을 탐색하고 있다.
여러 가지 보안 문제를 상대하고 있는 IT 매니저의 한 예로 1,400개 소비자 신용조합과 은행들을 위한 e-뱅킹 사이트 관리 업체인 디지털 인사이트(Digital Insight)의 보안이사 스콧 매클프랭(Scott Mackelprang)을 들어 보자. 그는 자사 고객들이 의존하고 있는 3가지 대형 인터넷 데이터 센터(IDC)의 안전과 보안을 책임지고 있다.
그 일은 결코 쉬운 일이 아니어서 그는 누군가의 도움을 바라고 있다. 보안운영의 일정 부분을 아웃소스할 수도 있다는 생각을 하고 있다. 『우리 직원들은 몹시 바쁘기 때문에, 우수한 규모의 경제와 24x7 서비스를 제공하는 업체에 일부 업무를 나누어주는 것이 좋을 것』이라고 매클프랭은 생각하고 있다.
하지만 그는 MSSP와의 계약을 다소 망설이고 있다. 자사 방화벽들의 무결성 유지를 우려하는 탓이다. 디지털 인사이트는 자사의 네트워크에서 보안 도메인들간의 확실한 분리체제를 유지하기 위해 최선을 다해왔다.
그런데 MSSP에게 자사의 내부 네트워크에 대한 액세스를 제공하면 MSSP가 방화벽들을 통과하거나 우회할 수 있게 한다는 뜻이 되는데, 매클프랭은 이것을 원치 않고 있다. 『우리가 개인이나 기업을 신뢰하기 전까지는 반드시 따라야 할 프로세스가 있다. 제3자가 끼여들게 되면 상황이 정말 복잡해질 것이다』라고 그는 말한다.
상황을 복잡하게 만들지도 모르는 또 한 가지 문제가 있다. 디지털 인사이트는 금융기관이기 때문에 금융 감독기관의 여러 가지 감사를 받아야 한다는 것이다. 따라서 디지털 인사이트의 내부 네트워크를 위한 서비스를 제공하는 MSSP 역시 그런 감사의 대상이 될 것이다. 감사 기관들이 감사대상 업체에 긴밀히 연계돼 있는 하나 이상의 MSSP들을 상대할 준비가 되어 있는지는 아직 미지수다.
그럼에도 불구하고 매클프랭은 자사의 e-비즈니스 환경을 보호하기 위한 서비스 구입을 고려하고 있다. 네트워크 기반의 침입탐지가 그 중 하나가 될 가능성이 있다. 네트워크 기반의 침입탐지는 디지털 인사이트가 현재 내부에서 관리하고 있는 호스트 기반의 침입탐지를 보완해줄 것이다.
매클프랭은 MSSP에게 보안운영을 넘기는 것은 망설이고 있지만, 제품들의 감독과 평가를 도와줄 외부 컨설턴트를 이용하는 데는 관심이 있어서 원격 보안 스캔과 현장(온사이트) 감사를 실시하는 트루시큐어(TruSecure)를 고용했다. 『그들은 우리 비즈니스에 가장 큰 위험이 있는 곳이 어디인지 가려내 우리의 우선 순위를 정하는데도 도움을 주고 있다』고 매클프랭은 말한다.
