‘완벽한 보안은 없다’에 매몰되지 말자 — 정의하고 준비하면 ‘완벽’은 가능하다

By PLURA

한 줄 문구
“완벽은 선언이 아니라 증거다 — 문제를 정확히 정의하고 충분히 준비하면, 우리는 ‘완벽’을 운영할 수 있다.”

캠페인 선언 — Stop Fear Marketing in Security
이 글은 “완벽한 보안은 없다”식의 공포 마케팅을 중단하자는 캠페인의 일부입니다.

“완벽한 보안은 없다”는 말은 경계심을 주지만, 때로는 팀의 추진력을 꺾는 구호가 되기도 합니다.
핵심은 표현에 매몰되지 말고 무엇이 문제인지 정확히 이해하고, 그에 맞춰 충분히 준비하여 ‘정의된 완벽’을 운영하는 것입니다.

정의된 완벽

1) 왜 “완벽은 없다”가 반복될까? — 문제의 구조

  • 복잡성: 하드웨어→OS→런타임→라이브러리→클라우드→서드파티로 얽힌 현대 시스템은 상호의존 리스크를 키웁니다.
  • 인간 요소: 피싱·권한 남용·절차 우회 등은 기술만으로 제거가 어렵습니다.
  • 경제적 제약: 일정/예산/레거시 기술부채와의 트레이드오프가 존재합니다.
  • 이론적 한계: 일반 프로그램의 “결함 0” 증명, “모든 악성 행위 완전 탐지”는 이론상 불가능한 영역이 있습니다.

위 이유는 전면적·무한대의 ‘절대 안전’이 어렵다는 뜻일 뿐, 현실 세계의 특정 범위와 가정 하에서 ‘운영 가능한 완벽’을 만들 수 없다는 의미는 아닙니다.

2) 프레임 전환 — ‘정의된 완벽(Defined Perfection)’

정의

우리는 명시된 범위와 위협 모델에 대해 합의한 SLO(목표 수준)를 지속 충족하고, 그 사실을 증거로 입증한다. 이 상태를 ‘완벽’이라 부른다.

이렇게 정의하면,

  • 구호가 의사결정 기준으로 바뀌고,
  • “무엇이 완벽인가?”가 수치와 증거로 명확해집니다.

3) ‘완벽’을 가능하게 하는 5요소

  1. 범위(Scope): 어떤 자산/시스템/데이터에 대한 완벽인가?
  2. 위협 모델(Threat Model): 누구의, 어느 능력의, 어떤 공격인가?
  3. 목표 수준(SLO) & 금지되는 실패: “여긴 0건”과 “여긴 목표치”를 구분해 수치화.
  4. 증거(Assurance Evidence): 통제 구현·테스트·로그·감사·모의훈련·제3자 평가.
  5. 유효기간 & 회수 트리거: 기준 미달, 가정 변경, 커버리지 저하 시 ‘완벽 배지’ 자동 회수.

4) 현실적으로 강한 SLO 예시

예방(Prevent)

  • 인터넷 노출 CVSS 9.0+ 취약점 MTTR ≤ 72시간
  • 특권 계정 100% MFA, 하드코딩 시크릿 0건

탐지(Detect)

  • 핵심 ATT&CK 전술 탐지 시나리오 커버리지 ≥ 90%
  • P1 경보 정밀도 ≥ 80%, 평균 경보 지연 ≤ 5분

대응(Respond)

  • P1 MTTD ≤ 15분, MTTR ≤ 2시간(온콜/자동화 근거 포함)
  • 격리·차단 자동화율 ≥ 70%

복구(Recover)

  • RTO ≤ 4시간, RPO ≤ 15분, 분기 1회 복구 리허설
  • 백업 무결성 점검 주기 ≤ 7일

팁: “0건” 목표는 제한된 영역(예: 무단 외부 공개, 하드코딩 시크릿)에만, 나머지는 탐지·대응 SLO로 운영하세요. 현실적이면서도 강력합니다.

5) ‘완벽 선언 카드’ 템플릿


[시스템/제품명] 보안 ‘완벽’ 선언 (vYYYY.MM.DD)

1. 범위:

   * 예: 고객 PII 저장·처리 경로(ingest→store→export)

2. 위협 모델:

   * 외부 공격자(원격 RCE/자격증명 탈취/피싱), 악성 내부자 제외(별도 카드)

3. 목표 수준(SLO/금지되는 실패):

   * CVSS 9.0+ 취약점 MTTR ≤ 72h
   * 특권 계정 비인가 사용 0건/분기
   * ATT&CK 탐지 커버리지 ≥ 90%
   * P1 MTTD ≤ 15m, MTTR ≤ 2h
   * RTO ≤ 4h, RPO ≤ 15m

4. 증거/검증:

   * 주간 취약점 리포트, EDR 커버리지 스냅샷
   * 분기별 침투테스트 요약, 테이블탑/게임데이 결과
   * 비밀 회전 로그, 접근권한 리뷰 기록

5. 잔여 리스크와 승인:

   * 예: 공급망 라이브러리 X 임시 완화(서명 검증/격리), CISO 승인

6. ‘완벽’ 유지 조건/회수 트리거:

   * SLO 미충족 2주 연속
   * 커버리지 100% 미달
   * 미검증 변경 발생 → ‘완벽’ 배지 자동 회수

Owner: 보안 책임자/서비스 오너 | 다음 갱신일: YYYY.MM.DD

6) 왜 이 접근이 팀을 강하게 만드는가

  • “완벽은 없다”에 매몰되면 우선순위와 동력이 흐릿해집니다.

  • 반대로 정의·수치·증거로 운영하는 ‘완벽’은

    • 목표를 분명히 하고,
    • 예산·인력·자동화를 정당화하며,
    • 외부 이해관계자에게 검증 가능한 신뢰를 제공합니다.

7) PLURA‑XDR로 ‘완벽’을 운영하는 방법

PLURA‑XDR은 가시성(수집) → 탐지(분석) → 대응(자동화) → 증거(보존/감사) 흐름을 한곳에서 다루어, 위의 5요소와 SLO를 증거 기반으로 유지하게 돕습니다.

  • 가시성 100% 지향: 엔드포인트/네트워크/클라우드/애플리케이션 로그를 단일 타임라인으로 통합.
  • 탐지 시나리오 맵핑: MITRE ATT&CK 기준의 탐지 룰/유스케이스 운영으로 커버리지 수치화.
  • 대응 자동화: 격리·차단·키 회전·티켓 발행 등 런북 자동화로 MTTD/MTTR SLO 달성 지원.
  • 증거 포트폴리오: 경보 맥락, 아티팩트, 대응 이력, 리허설 결과를 감사 가능한 형태로 보존.

결과적으로, ‘완벽 선언 카드’의 증거 칸을 자동으로 채우고, 회수 트리거를 대시보드화하여 구호가 아닌 운영되는 완벽을 만듭니다.

8) 당장 시작하는 1주 플랜

  1. 핵심 경로 1개(예: 고객 결제/PII 처리)를 선택
  2. 위 템플릿으로 ‘완벽 선언 카드’ 작성
  3. 현재 잘하고 있는 SLO 5개만 먼저 넣기(패치·MFA·EDR·백업·탐지 1~2개)
  4. 이번 주 증거 링크 붙이고 팀 위키에 공개
  5. 회수 트리거 2개 자동화(예: 크리티컬 MTTR 초과, EDR 커버리지 미달)
  6. 다음 스프린트부터 주간 10분 점검으로 갱신

결론

“완벽한 보안은 없다”는 말에 매몰될 이유가 없습니다. 문제를 정확히 이해하고, 범위를 정의하고, 수치와 증거로 준비하면, 우리는 ‘완벽’을 운영할 수 있습니다. 그 ‘완벽’은 구호가 아니라 지속적으로 유지·검증되는 상태입니다.

한 줄 재확인
“완벽은 선언이 아니라 증거다 — 정의하고 준비하면, 보안의 완벽은 가능하다.”

Tags