패치하거나 죽거나 (번역)
원문: https://www.a16z.news/p/patch-or-die
Joel과 Zane, 그리고 a16z 인프라 팀이 어제 포트폴리오 회사들에 보낸 메시지다. 현재의 사이버보안 상황에 관한 내용이다. 다들 안전하게 보내길 바란다.
지난 한 주를 보면 상황이 바뀌었다는 사실이 분명해진다. 취약점이 전례 없는 속도로 발견되고 악용되고 있다. 새 취약점이 쏟아지는 동안 AI 에이전트가 대규모로 도입되면서 잠재적 위험은 배로 커진다. 에이전트는 공격자의 생명주기를 자동화하는 데 일조할 뿐 아니라, 모든 AI 에이전트는 잠재적 내부 위협이다. 여러분의 환경은 외부의 공격을 견디도록 설계되었지 내부의 공격을 견디도록 설계되지 않았다. 그래서 회사 리더들에게 다음과 같은 과감한 변화를 고려하라고 권한다:
-
보안 작업에 투입하는 자원을 크게 늘려라. 평균적인 기업은 기술 지출의 약 10%를 보안에 배정한다. 그 두 배를 고려하라. 환경에는 고쳐야 할 취약점이 수천 개 있을 것이다. 은폐를 통한 보안(security through obscurity)은 더 이상 통하지 않는다. 악용될 수 있는 것은 결국 악용된다.
-
신규 기능과 제품 출시에 대해 무관용 정책을 세워라. 출시 일정을 다시 검토하고, 모든 취약점이 패치된 후에 새 기능이나 제품을 배포하도록 출시를 연기하는 것도 고려하라.
-
좀비를 두 번 쏘라. 방치된 오래된 레거시 환경을 전부 찾아서 꺼라. 실험실, 테스트 환경, 좀비가 된 CI/CD 프로젝트 같은 것들이다. 일단은 꺼두라. 매출과 연결되지 않았다면 없애라.
-
리스크 수용 프로세스를 끝내라. 지난 10년 동안 리스크 수용 프로세스는 비즈니스를 가능하게 하려고 리스크를 받아들이는 방법에서, 보안 문제를 영영 고치지 않아도 된다고 정당화하는 방법으로 변질되었다. 보안 문제와 리스크에 대해 무관용 정책을 채택하라.
-
앞으로는 사람이 아니라 에이전트를 늘려라. 위협은 기계 속도로 움직이고, 대응도 그에 상응하는 속도로 이뤄져야 한다. 보안 팀에게 탐지와 대응 프로세스를 최대한 자동화하라고 요청하라. 보안 팀은 리스크를 회피하는 경향이 있고, 일부는 새 기술 도입이 느렸다. 적응하라고 압박하라.
이는 일반적인 조언이다. 후속 질문이나 기술적 문의가 있으면 우리 팀이 여러분의 보안 팀에 도움을 줄 수 있는 자원으로 활용될 수 있다.