보안에 관해서는 사일로를 위한 공간이 없습니다
모든 것은 DevOps로 시작되었습니다. 그리고 NetOps가 있었습니다. 이제는 보안 작전부입니다. 아니면 DevSecOps일까요? 아니면 SecDevOps는 어떨까?
무엇이라고 부르든, 종종 최종 결과는 반짝이는 새 이름을 붙인 기존의 사일로에 불과할 뿐입니다. 우리는 "이 사람들을 뭐라고 부를까"에만 너무 집중해서 "우리가 무엇을 성취하려고 하는지"를 잊어버리는 경우가 많습니다.
위대한 시인은 장미에 대한 그의 해설에서 처음으로 이 말을 했습니다. 장미는 어떤 이름으로 불러도 향기는 똑같습니다. 오늘 이를 운영 게임에서 증가하는 파벌의 수에 적용해 보겠습니다. 이름을 바꾸는 것만으로는 근본적인 행동과 관행을 바꿀 수 없습니다.
클라우드가 처음 등장했을 당시(의도한 말장난), 많은 전문가들은 기업이 프라이빗(온프레미스) 클라우드를 구축하려는 노력을 무시했습니다. 클라우드에 대한 정확한 정의에 맞지 않았기 때문입니다. 그들은 결과가 성공의 척도라는 사실을 무시했고, 다른 사람의 엄격한 정의에 부합하지 못했습니다. 그들은 인프라의 프로비저닝, 구성 및 관리 방식을 변경하여 민첩성, 효율성 및 속도를 추구했습니다. 그들은 기술을 사용하여 행동 과 관행을 바꾸었습니다.
오늘날 용어 전쟁은 X-Ops와 우리가 최신으로 부르는 보안에 집중되어 있습니다.
저는 제가 그 용어들을 사용했다는 걸 알고 있고, 때로는 모든 용어를 동시에 사용하기도 합니다. 하지만 아마도 우리에게 필요한 것은 구별을 줄이는 것일 것이다. 아마도 행동과 관행 측면에서 "현대적 작전"을 채택하느냐, 아니면 "전통적 작전"을 고수하느냐 둘 중 하나라고 말해야 할 겁니다.
현대적 운영은 클라우드와 자동화와 같은 기술을 활용하여 프로세스를 체계화하고 애플리케이션의 전달 및 배포를 가속화하는 파이프라인을 구축합니다.
그리고 그들은 행동과 관행을 바꿈으로써 그것을 실행합니다. 그들은 협력적이고 소통적입니다. 그들은 수십 년 동안 이어져 온 전달 및 배포를 방해하는 프로세스를 현대화하고 최적화하기 위해 기술을 활용합니다. 그들은 더 빠르고 빈번한 릴리스를 통해 비즈니스에 가치를 제공하고 소비자에게 기쁨을 제공한다는 목표를 달성하기 위해 고립된 X-Ops 팀이 아니라 함께 협력합니다.
현대적 운영에 착수하면서 "보안"이라고 부르는 것에만 집중하는 것은 협력적인 접근 방식을 통해서만 빠른 속도로 전달 및 배치가 성공할 수 있다는 기본 전제에 해로울 수 있습니다. 새로운 전담 팀에 새로운 라벨을 붙이는 것은 서로 다른 부서 간의 갈등을 만들 뿐입니다. 부서 간 갈등을 해소하지도 않고, 빠른 속도와 규모로 운영하는 데 필요한 의사소통 경로를 열어주지도 않습니다.
또한 의도치 않게 다른 비보안 운영팀에게 보안 책임을 <SecDevOps | DevSecOps> 팀에 넘길 수 있는 권한을 부여하게 됩니다. 그게 이름에 적혀 있으니까요, 그렇죠?
애플리케이션 보안은 스택이며, 따라서 올바른 보호 기능을 구현하려면 전체 스택이 필요하다는 점을 고려하면 이는 점점 더 나쁜 생각입니다. 네트워크 보안과 전송 보안이 필요하고, 애플리케이션 보안도 꼭 필요합니다. 앱의 공격 영역에는 7개 계층이 모두 포함되고, 운영 환경을 구성하는 스택도 점점 더 많아지고 있습니다. 보안에 있어서는 고립의 여지가 없습니다.
IT가 디지털 혁신을 거치면서 중점을 두어야 할 것은 기술에서부터 이를 사용하여 혁신하고 비즈니스에 가치를 제공하는 팀에 이르기까지 운영을 현대화하는 것입니다. 현대의 운영진은 직함에 대한 걱정에 얽매이지 않고 결과를 내는 데 열정을 쏟습니다. 현대적 운영팀은 서로 협력하고, 자유롭게 소통하고, 여러 관심사에 걸쳐 협업하여 효율적이고 적응력 있는 전달 및 배포 파이프라인을 구축합니다.
그러기 위해서는 네트워크, 보안, 인프라, 스토리지, 개발에 대한 전문 지식이 함께 필요합니다.
네트워크에서 라벨을 사용하여 트래픽에 태그를 지정하고 어떤 장치가 어떤 인프라 및 애플리케이션과 통신할 수 있는지 제어하는 정책을 적용합니다. 컨테이너 클러스터에서는 라벨을 사용하여 격리하고 제한하며, 제약하고 금지합니다.
조직 내의 라벨도 같은 영향을 미칠 수 있습니다.
그러니 그냥 현대적 작전인지, 전통적 작전인지 말하는 게 나을지도 몰라요. 그리고 일부는 둘 사이의 과도기 상태에 있습니다. 서로를 부르는 호칭에 너무 많은 시간을 허비하여, 앱을 더 빠르고 더 자주, 무엇보다도 안전하게 제공 및 배포할 수 있는 협업 환경을 조성할 기회를 놓치는 일은 그만두자.