사이버 보안 컨퍼런스 내용 정리(2023년 영문/한글)

사이버 보안 컨퍼런스 내용 정리(2023년 영문/한글)

zero-trust 시나리오 1 --> zero trust 가 work productivity를 저해하는 것에 대한 대처방법

-- 1st Day -- 

 DK: Hi, guys. Good to be able to see you guys here. I feel this zero-trust network session is informative to me. So, I would like to know which one of you guys does a zero-trust policy in your organization?

YK: Well, good to see you guys. I am YK from BOK. I also think this zero trust session is helpful to me. Regarding what DK said, I think my company has been adopting zero-trust security. Not the whole of it, though. As an example, when I try to log in on a new device, the log-in system of BOK warns me that I am trying to log in on a new device. This might be a small part of zero-trust, but yes. My bank puts some effort into improving the cybersecurity using zero-trust security.

DK:I agree with YK. It seems zero-trust security is already with us, more or less. Anybody else? Like to add some more wisdom to this conversation?

Sam: I like what you guys mentioned about it is already here. I believe it is so true. I also would like to say a zero-trust network should or will be the choice when it comes down to cybersecurity. But also, zero-trust should do something on work productivity. I mean that zero-trust seems to have too many layers of multi-factor verifications on every step of the way to necessary applications, databases, and systems whatsoever.

YK: That is so true.It seems inevitable. I am not sure if this can be a proper metaphor. But, once a wall is getting higher then, it gains more security. The downside of it is it takes people more time to get over the wall, right? Hopefully, I guess there might be a midpoint that we might be able to meet. If we divide data, applications, information or systems, etc., into some security levels, then it might boost work-productivity to an ideal level we expect. To be a bit more detailed, let systems that need the highest security go to zero-trust security and shove the other so-so systems into the hole of so-to-speak traditional id/password security area.

마이클: 만나서 반갑습니다 여러분. 제로 트러스트 세션에서 많이 배운거 같아요. 혹시 어느 회사에서 실제로 제로 트러스트 정책이 시행 되고 있을까요?

와이씨: 안녕하세요? 비오케이에서온 와이씨케이 입니다. 저도 이번 세션에서 도움 많이 받으거 같아요. 마이클씨가 말한것에 대해 생각해보면, 저의 회사에서 조금 진행을 하고 있는 거 같아요. 가령, 새 장비에서 로그인을 시도하면 경고성 메세지가 나오거든요. 이게 아마 제로 트러스트의 일부겠죠. 저의 회사에서는 이와같이 제로트러스를 사용해서 보안을 향상하는 노력을 하고 있어요.

샘: 여러분 말씀처럼 이미 제로트러스트가 이미 현재 시점에 적용되고 있다는 것이 마음에 드네요. 저도 그렇게 믿어요. 제로 트러스트가 사이버 보안에서는 선택의 여지가 없어보여요. 하지만 작업성에 있어서는 뭔가가 이루어 져야 할 거 같아요. 그러니까, 제로트러스트는 필요한 시스템에 접급하기 위해 보안층이 너무 많다는 문제가 있어요.

와이씨: 맞아요. 피할수 업는 것 처럼 보여요. 이게 맞는 비유인지 모르지만, 담이 높으면 보안이 강해지지만, 사람들이 담을 넘는데에는 더 오랜 시간이 걸리게 되지요. 그래도 혹시, 중간 지점이 있을듯 합니다. 데이타나 정보 시스템을 보안 레벨로 나누면, 작업성이 좋아 질수 있어요. 좀 자세히 말하면, 최고 보안을 요하는 시스템은 제로 트러스트 보안에 분류하고, 나머지 그저 그런 시스템은 예전의 아이디/암호 보안 범위에 넣는거죠.

zero trust 시나리오 2  -->  authentication based on context(상황별 인증) - bring your own device (BYOD) 

-----------2nd day ---------

   포인트: authutication based on context (상황별 인증)

yk I have a question about authentication on context.

dennis Yes, as we all know, covid-19 has been wiping all over the world.  In the COVID-19-induced norm of remote working, the wave of unrequested BYOD is far greater than it used to be. This changes our security posture rapidly and the need for context too. Not only are we interested in knowing ease of device management, but also, the device. Can we have something on that device that can give a validation of pattern of access or its current location with respect to time or security state. And, can we verify the application that runs on Mac and Windows and iOS and Android? Metrics like these are driving richer hardware-based context that help us with quick contextual decisions.

(출처: https://www.wipro.com/cybersecurity/the-core-of-a-successful-zero-trust-strategy/)

yk So, metrics will be differ from organizations to organizations depending 

on what situations in they are, won't they?

dennis Yes, that is anther art of zero trust networking. So, zero trust networking cannot be fixed

 but it would be fair to say

it is alive and keeps chanings its form.

yk Thank you. It is very clear.

yk 강연중에 언급한 맥락에 기반한 인증의 실제적인 예를 좀 들어주세요.

dennis 예, 우리 모두 알다시피, 코로나 19는 전 세계적를 휩쓸어버렸죠.

코로나 19로 인한 원격 근무 에서

요청되지 않은 BYOD는 예전보다 훨씬 큽니다. 이러한 변경이 보안 태세를 변화시켰고

 맥락의 이해를 요구하지요. 우리는 장치의 용이성 자체에 대해 아는 데 관심이 있습니까?

관리뿐만 아니라 devcie 그 자체에 말이죠. 우리는 그 장치에 줄 수있는 무언가가 있나요?

시간 또는 보안 상태와 관련하여 액세스 패턴 또는 현재 위치의 유효성 확인 같은거요.

그리고 Mac과 Windows, iOS 및 Android에서 실행되는 애플리케이션을 확인할 수 있습니까?

이와 같은 메트릭은 빠른 상황 별 결정에 도움이되는 풍부한 하드웨어 기반 상황을 유도합니다.

yk 기업의 처한 상황에 따라 메트릭스가 다르다는 거군요?

dennis 예, 그게 바로 제로트러스트 네트워키의 예술이지요. 

어떤 정해진 솔루션이라기 보다는 계속 변화하는 생물체같아요.

yk 명확한 답변 감사합니다.