새로운 제로 트러스트 및 디지털 주권 제어로 Workspace에서 Google AI 확장

*본 아티클은 2023년 8월 24일 Google Workspace 블로그(영문)에 게재되었습니다.

보안, 기밀성, 규정 준수는 민간 및 공공 분야 조직에서 여전히 가장 중요한 요소로 간주됩니다. 그 이유는 명확합니다. 지난해 사이버 보안 공격이 38% 증가했으며 각 정보 유출로 조직에 발생한 피해 금액은 평균 435만 달러에 이릅니다. 최근 일어난 공격의 막대한 규모와 동기를 가진 공격자들의 치밀함은 기존 생산성 솔루션으로는 대처하기에 역부족입니다. 제로 트러스트 원칙에 뿌리를 두고 AI 기반 위협 방어로 보강된 클라우드 기반 아키텍처를 대신 사용하면 더 나은 대처가 가능합니다. Google Workspace는 바로 이와 같은 방식으로 설계되었으며, 고객을 위해 다음과 같은 실질적인 이점을 제공합니다.

• 알려진 악용된 취약점 0개로, 기존 생산성 제품군의 40여 개와 크게 대조됨(미국 사이버 보안 및 인프라 보안국, 2021년 11월~2023년 8월)
• 다른 이메일 솔루션 대비 보안 사고가 평균 41% 더 적게 발생(At-Bay, 이메일 보안 솔루션 순위, 2023년 2월)
• 사이버 보안 보험료 최대 50% 절감(At-Bay, 이메일 보안 솔루션 순위, 2023년 2월)

보안 관련 작업에는 끝이 없기 때문에 Google은 조직이 데이터를 안전하게 보호할 수 있도록 지원하는 Google AI 기반의 새로운 제로 트러스트, 디지털 주권, 위협 방어 제어 기능을 공개합니다.

AI 기반 제로 트러스트 제어로 어디서나 더 안전한 업무 지원

제로 트러스트 보안 모델은 분산된 인력의 보안 위험을 줄이는 데 있어 필수적인 요소가 되었습니다. Workspace는 데이터 손실 방지(DLP) 및 컨텍스트 인식 액세스(CAA)와 같은 제어 기능을 기본적으로 제공하여 조직에서 제로 트러스트 채택을 가속화하고 CISA의 제로 트러스트 성숙도 모델과 같은 업계 프레임워크를 충족할 수 있도록 지원합니다. 

Roche는 Workspace의 제로 트러스트 기능을 사용하여 업무 안전성 향상을 실현한 많은 고객 중 하나입니다. Roche의 정보 보안 부문 도메인 책임자인 팀 에르하트는 "조직이 VPN과 사무실 네트워크 연결에서 벗어나기 위해 수년간 노력했습니다."라고 말했습니다. “컨텍스트 인식 액세스(CAA)는 액세스를 이분법적 선택으로 만드는 것이 아니라 액세스 정책의 유연성을 높이고 적합한 사용자, 애플리케이션, 데이터에 이러한 정책을 적용함으로써 위험 관리에 도움을 주었습니다. CAA를 사용하면서부터 Roche는 사용자가 업무 안전성에 대한 확신을 가지고 보다 폭넓은 시나리오에서 Google Workspace 사용을 늘리도록 허용할 수 있게 되었습니다.”

현재 Google에서는 IT 및 보안팀에 데이터 사용과 액세스에 대한 더 세밀한 제어 기능을 제공하기 위해 다음을 포함한 새로운 기능을 도입하고 있습니다.

• 데이터의 적절한 공유와 무단 반출 방지를 위해 Google AI를 활용하여 Google Drive의 데이터를 지속적으로 자동 분류 및 라벨 지정: 이제 관리자는 조직을 위해 맞춤설정된 기밀유지 AI 모델을 사용하여 Drive에서 새 파일과 기존 파일을 자동으로 분류하고 라벨을 지정할 수 있습니다. 이후에는 보안 정책을 기반으로 DLP 또는 CAA와 같은 데이터 보호 제어 기능을 적용할 수 있습니다. 현재 미리보기 버전으로 제공됩니다.
  

• Drive에서 컨텍스트 인식 DLP 제어 기능 실행: Workspace 관리자는 사용자가 Drive의 민감한 콘텐츠를 공유하려는 경우 충족해야 하는 기기 위치 또는 보안 상태와 같은 기준을 설정할 수 있습니다. 이 새로운 기능은 의도하지 않은 데이터 손실을 차단하는 데 도움이 되도록 보다 세분화된 제어 기능을 제공하며, 올해 하반기에 미리보기 버전으로 제공될 예정입니다.
• 향상된 DLP 제어를 Gmail로 확장: 보안팀이 조직 안팎의 민감한 정보 공유를 제어할 수 있도록 Google Chat, Drive, Chrome에서 이미 제공되고 있는 향상된 DLP 제어 기능이 Gmail에도 적용될 예정이며 올해 하반기에 미리보기 버전으로 제공됩니다. 

데이터 상주에서 더 나아가 디지털 주권 제어 구현

기업과 공공 부문 조직은 디지털 주권의 중요성을 인식하고 있지만 데이터 상주의 한계에 대한 충분한 이해 없이 데이터 상주에 안주하는 경우가 많습니다. Workspace는 보안 기능이 기본 제공되는 인프라, 기술 데이터 액세스 제어, 업계 인증을 모두 클라우드 인스턴스 한곳에서 제공하여 입증 가능한 디지털 주권 측면에서 큰 변화를 일으킬 수 있습니다. 

PwC UK는 까다로운 규제 요구사항을 충족하기 위해 Workspace의 주권 제어에 대한 파일럿을 진행했습니다. "PwC UK는 CSE Gmail 파일럿에 참여했는데 Google이 PwC와 PwC의 요구사항뿐만 아니라 PwC 고객을 위한 기술 데이터 경계의 중요성을 이해하고 있음을 직접 확인하는 계기였습니다."라고 숀 북햄 PwC UK 영국 운영 및 기술 부서 책임자는 말했습니다. “이러한 CSE 및 액세스 관리 기능 개발에 영향을 끼치면 Google이 빠르게 변화하는 규제 요구사항에 지속적으로 대응하고, 이를 통해 PwC가 주권과 규정 준수의 최전선을 지키면서도 업무 방식을 혁신할 수 있으리라 확신합니다."

오늘 Google은 조직의 데이터 제어를 향상하여 다음과 같은 부분에 도움이 되는 새로운 기능을 도입합니다.

• 민감한 정보에 대한 서드 파티 액세스 차단: 클라이언트 측 암호화(CSE)는 암호화 키 소유권을 통해 조직이 추가적인 데이터 보호 레이어를 더하고 Google 또는 외국 정부와 같은 외부 주체의 서드 파티 액세스를 차단할 수 있도록 지원합니다. 오늘 Google은 Google Calendar, Gmail, Meet의 모바일 앱 지원(정식 버전), 일부 조직 단위에서 CSE를 기본으로 설정하는 기능(올해 말에 미리보기 버전으로 제공), Meet의 게스트 액세스 지원(올해 말에 미리보기 버전으로 제공), Docs에서 댓글 기능 지원(올해 말에 미리보기 버전으로 제공), 사용자가 Microsoft Excel 파일을 확인하고 수정하고 변환할 수 있는 기능(미리보기 버전으로 제공) 등 CSE의 여러 향상된 기능을 도입합니다. 
• 암호화 키의 위치 선택: Google은 글로벌 보안 제공업체인 Thales, Stormshield, Flowcrypt와의 전략적 파트너십을 통해 CSE 고객이 원하는 국가의 신뢰하는 파트너에게 암호화 키를 저장할 수 있도록 설정을 간소화하고 현지 규정 준수를 지원합니다.

• 데이터가 저장 및 처리되는 위치 선택: 오늘부터 조직은 저장 데이터의 스토리지 위치를 선택할 수 있습니다. 올해 말에는 적용되는 데이터가 처리되는 위치(EU 또는 미국)를 조직에서 선택할 수 있는 기능이 미리보기 버전으로 제공됩니다. 또한 조직은 원하는 국가에 Workspace 데이터의 복사본을 저장하는 옵션도 사용할 수 있습니다.

• 지역 지원 담당자의 액세스 제어: 오늘부터 전 세계의 고객은 액세스 승인을 사용하여 문제 해결을 위한 Google 지원팀의 액세스를 제어하고 액세스 투명성으로 Google의 작업을 모니터링할 수 있습니다. 또한 고객은 액세스 관리를 사용하여 승인된 액세스를 미국 기반 지원으로 제한할 수 있습니다. 아울러 올해 말에는 고객이 EU 기반 지원으로 액세스를 제한할 수 있는 기능이 미리보기 버전으로 제공됩니다.

사이버 위협이 발생하기 전에 예방하기

피싱과 같은 소셜 엔지니어링 공격은 정보 유출의 가장 일반적인 진입점 중 하나입니다. Workspace의 위협 방어 제어 기능은 고객이 소셜 엔지니어링 및 기타 ID 기반 공격이 발생하기 전에 예방하고, 감지하고, 대응하는 데 도움이 됩니다. 오늘 Google은 보안팀이 계정 탈취 위험을 방어하는 데 도움이 되는 다음과 같은 부가적인 기능을 도입합니다.

• 일부 엔터프라이즈 관리자에 대해 2단계 인증(2SV)을 의무화: 침해된 관리자 계정은 엄청한 영향을 미칠 수 있으며, 2SV를 사용하면 계정 침해를 50% 줄일 수 있습니다. 올해 말부터 Google 리셀러와 대기업 고객의 일부 관리자 계정은 보안 강화를 위해 계정에 2SV를 단계적으로 추가해야 합니다.
• 민감한 관리자 작업에 대해 복수 사용자 승인 체계 의무화: Workspace 관리자는 사용자에 대한 2SV 설정 변경과 같은 민감한 작업을 완료할 때 다른 관리자의 부가적인 승인을 요구하여 악의적인 행동에 대한 추가적인 방어 레이어를 제공할 수 있습니다. 이 기능은 올해 말 미리보기 버전으로 제공됩니다.

• Gmail의 민감한 작업에 대한 추가적인 보호 제공: Google의 AI 기반 방어를 더 확장하여 이메일 필터링 또는 전달 등 Gmail의 여러 민감한 작업에 대해 자동화된 보호 기능을 제공합니다. 이 보호 기능은 미리보기 버전으로 제공됩니다.
  
• 클릭 몇 번으로 Chronicle에 로그 내보내기: 이제 Workspace 관리자는 Workspace 로그를 Chronicle로 내보내 이상 징후를 식별하고 위협에 대응하는 시간을 단축할 수 있습니다. 이 통합 기능은 미리보기 버전으로 제공됩니다.

시작하기

Google은 소규모 기업부터 대기업, 학교, 정부에 이르기까지 모든 고객이 보안과 규정 준수 태세를 강화하고 데이터를 안전하게 보호할 수 있도록 지원하기 위해 계속 노력하고 있습니다. 자세히 알아보려면 무료 체험판을 사용하고, Google 기술 문서를 확인하고, Next ‘23에 예정된 Google 세션에 참석하고, 새로운 기능을 사전 체험할 수 있도록 등록하세요. 

AI 시스템 보호에 대한 자세한 내용은 AI 기술이 지속적으로 발전함에 따라 실무자들이 AI 기술 보호를 위한 공동의 노력을 기울이는 데 도움이 되는 개념적 프레임워크인 Google SAIF를 참조하세요.