API 보안과 웹 방화벽의 진화

이 메일을 아웃룩으로 확인하시나요?

24년 5월 3주 <VOL 457>

웹으로 보기 │ 구독하기

이번 주 PICK

⚡ API 보안과 웹 방화벽의 진화 - WAAP의 등장

⚡ 망분리 규제 대안이 있을까?

API 보안은 웹 방화벽으로 대응할 수 있을까요?

API 보안과 웹 방화벽의 진화 - WAAP의 등장

최근 웹 애플리케이션과 API(Application Programming Interface)의 사용이 급증하면서 API 보안이 중요한 과제로 대두되고 있어요. 이에 따라 웹 방화벽(WAF)을 활용한 API 보안 대응 방안이 주목받고 있는데요.

현재 API는 우리 일상생활 속 다양한 디지털 기기들 사이의 통신을 지원하고 있어요

휴대폰, 스마트워치, 뱅킹 시스템, 쇼핑 사이트 등 거의 모든 디지털 기기들이 API를 통해 서로 연결되어 있죠. API는 이커머스 사이트에서 결제를 수락하고, 의료 시스템에서 환자 데이터를 안전하게 공유하며, 택시와 대중교통에서 실시간 교통 데이터에 접근할 수 있도록 해주는데요. 이처럼 API는 우리 생활 전반에 걸쳐 활용되고 있어요.

거의 모든 기업들이 API를 활용해 더 나은 사이트, 앱, 서비스를 구축하고 소비자에게 제공하고 있습니다. 개발자들은 API를 통해 쉽게 데이터와 기능을 통합할 수 있게 되었죠.

API는 웹 애플리케이션과 외부 시스템 간의 데이터 교환을 가능하게 하는 핵심 기술이라고 할수 있겠어요. 하지만 API에 대한 보안 위협이 증가하면서 API 보안이 중요해진 것 같아요. 이에 대응하기 위해 등장한 것이 WAAP(Web Application and API Protection)라고 해요.

WAAP를 통한 API 보안 강화

WAAP는 웹 애플리케이션과 API에 대한 종합적인 보안 솔루션을 제공해요. WAAP는 API 트래픽 모니터링, API 인증 및 권한 관리, API 취약점 관리 등의 기능을 통해 API 보안을 강화할 수 있어요.

웹 방화벽과 WAAP의 차이

전통적인 웹 방화벽(WAF)은 웹 애플리케이션 보안에 초점을 맞추었지만, WAAP는 웹 애플리케이션과 API 보안을 모두 다루는데요. 따라서 WAAP는 웹 애플리케이션과 API에 대한 보안을 통합적으로 관리할 수 있어, 기존 웹 방화벽의 기능을 확장한 차세대 보안 솔루션이라고 볼 수 있어요.

일부 웹 방화벽 솔루션에서도 API 트래픽 모니터링, API 인증 및 권한 관리, API 취약점 관리 등의 API 보안 기능을 일부 포함하고 있어요. 하지만 WAAP와 같은 통합 솔루션을 사용하면 보다 포괄적이고 효과적인 API 보안을 달성할 수 있다고 해요.

웹 방화벽의 API 보안 기능

API 트래픽 모니터링: 웹 방화벽은 API 트래픽을 모니터링하여 비정상적인 활동을 탐지할 수 있어요.
API 인증 및 권한 관리: 웹방화벽은 API 사용자의 인증과 권한 관리를 지원할 수 있어요.
API 취약점 관리: 웹방화벽은 API의 알려진 취약점을 관리하고 패치를 지원할 수 있어요

따라서 기존 웹 방화벽 솔루션을 활용하여 일부 API 보안 기능을 구현할 수 있지만, WAAP와 같은 통합 솔루션을 사용하면 보다 포괄적이고 효과적인 API 보안을 달성할 수 있겠죠.

결론적으로, API 보안을 위해서는 WAAP와 같은 통합 보안 솔루션을 활용하는 것이 가장 효과적일 것 같아요. WAAP는 웹 애플리케이션과 API에 대한 종합적인 보안 기능을 제공하여, 다양한 API 보안 위협에 효과적으로 대응할 수 있어요. 이를 통해 비즈니스 연속성을 보장하고 데이터 유출 및 불법적인 접근을 방지할 수 있는데요.

앞으로 API 보안은 더욱 중요해질 것이며, WAAP와 같은 통합 보안 솔루션이 핵심적인 역할을 할 것으로 기대되네요!!

<관련기사>

○ 부상하는 API 보안 (2023.10.23.)

○ 씨디네트웍스 “랜섬웨어, WAAP로 차단” (2023.12.26)

○ 전산업 마이데이터 전제조건 'API 보안' (2024.04.01.)

망분리 규제 대안이 있을까?

인터넷망을 분리하여 사이버공격을 막아보자

국가·공공기관의 망분리 제도 개선 논의가 활발하게 이루어지고 있다고 해요.

윤석열 대통령의 지시에 따라, 국가정보원 주도로 망분리 제도 개선을 위한 태스크포스(TF)가 구성되어 구체적인 방안 마련에 집중하고 있는다고 해요. 이러한 망분리 제도 개선을 통해 데이터 활용과 보안성의 균형을 이루고자 노력하고 있는 이유는 인공지능(AI), 클라우드 등 디지털 기술 확산에 따른 업무 효율성 제고와 혁신을 지원하기 위한 것으로 생각돼요.

개선 필요성

클라우드 전환: 현재의 망분리 제도는 클라우드 서비스 도입에 제약이 됩니다. 클라우드 서비스는 인터넷 기반으로 운영되기 때문에 망분리 환경에서의 활용이 어려운 점이 있어요.
AI 기술 확산: AI 기술의 발전과 확산에 따라 대량의 데이터를 처리하고 분석해야 하는데, 망분리 환경에서는 이러한 작업이 제한적일 수 있어요.
업무 효율성: 망분리로 인해 업무 처리 속도와 효율성이 저하되는 경우가 있으며, 이는 빠른 의사결정과 업무 수행을 요구하는 현대 행정 환경에 부적합할 수 있어요.

망분리 제도 개선 논의 현황

개선 방향: 데이터 보안 중요성에 따라 망분리 정도를 달리하는 'C·S·O' 체제가 유력하게 검토되고 있습니다. 기밀(Confidential), 민감(Sensitive), 공개(Open) 정보로 3등급을 나누어 망분리를 적용할 계획이라고 해요.
논의 쟁점: 중간 등급인 S 등급에 대한 논리적 망분리 적용 여부가 주요 쟁점입니다. 이 등급은 정보의 기밀성이 낮지만 개인정보가 일부 포함되어 있어 망분리 방식 결정이 애매한 상황이라고 해요.

태스크포스의 역할과 목표

현황 분석: 현재 망분리 제도의 문제점과 개선이 필요한 부분을 분석해요.
방안 마련: 클라우드 전환과 AI 기술 도입을 촉진하면서도 보안을 유지할 수 있는 구체적인 방안을 마련해요.
시범 사업: 일부 기관에서 시범 사업을 통해 새로운 망분리 방안을 시험하고, 그 결과를 바탕으로 제도를 보완해요.
법적제도적 개선: 필요한 법적, 제도적 변경 사항을 제안하여 망분리 제도의 개선을 지원해요.

기대 효과

업무 효율성 증대: 클라우드와 AI 기술을 보다 효율적으로 활용하여 업무 처리 속도와 효율성을 향상시킬 수 있어요.
보안 강화: 보안을 유지하면서도 최신 기술을 도입할 수 있는 환경을 조성해요.
행정 서비스 개선: 보다 신속하고 정확한 행정 서비스를 제공할 수 있게 돼요.

IT·보안 업계 반응

긍정적 기대: IT·보안 업계에서는 망분리 제도 개선을 새로운 사업 기회로 보고 있습니다. 특히 서비스형데스크톱(DaaS) 공급 업체와 데스크톱가상화(VDI) 솔루션 제공 업체에서 큰 기대를 안고 있어요.
제로트러스트 아키텍처 확산: 망분리 완화에 따른 보호 장치로 제로트러스트 적용 방안이 논의되고 있으며, 이는 인증 시장 확산의 계기를 주고 있어요.
제로트러스트는 네트워크 위치나 ID를 신뢰하지 않고, 인증암호화분할을 통해 리소스를 보호하는 방식이예요.

금융 분야 클라우드 및 망분리 규제 완화

금융위원회는 클라우드 서비스 도입 기준 완화, 업무 중요도에 따른 클라우드 사용 절차 차등화, 망분리 규제 점진적 완화 등을 추진하고 있어요.
이를 통해 금융권의 디지털 혁신과 핀테크 기업과의 협력을 지원할 계획이예요.

이번 태스크포스의 활동이 성공적으로 이루어진다면, 망분리 제도의 개선을 통해 국가 및 공공기관의 디지털 전환이 가속화되고, 업무 효율성과 보안이 함께 강화될 것으로 기대되네요.

또 향후 이러한 규제 개선 방안들이 실제로 어떻게 적용되고 효과를 발휘할지 지켜볼 필요가 있을 것 같습니다!

○ 망분리 규제 완화 속 '제로트러스트' 확장 가속 (2024.05.09.)

○ AI시대 망분리 정책 변화,왜 필요한가 (2024.05.16.)

🍀이번 뉴스레터가 여러분에게 유익한 정보가 되었기를 바랍니다🍀.

Edited by 사무국 박민지

(사)한국CPO포럼
서울시 서초구 서초중앙로 56, 블루타워 7F
수신거부 │ 지난레터보기 │ 구독정보변경