피앤피시큐어 “자산 찾는 데 보안 인력 소모해선 안 된다”
”이학수 피앤피시큐어 이사 “디비세이퍼 섀도우 컨트롤 통해 자산 관리 문제 해결”
온디맨드 스캔·오토 디스커버리 병행해 지속적인 섀도우 자산 식별
자산의 단순 발견을 넘어 위험 분석·접근통제까지 연결
출처 : 데이터넷, 김선애 기자 (2026.08.05)
보안 업계의 제1 원칙은 ‘보이지 않는 것은 보호할 수 없다’이다. 보안을 위해서는 가장 먼저 보호해야 할 자산을 식별하고, 보호 정책을 설정해야 한다. 그러나 AI·클라우드 전환으로 인해 이 원칙을 지키기가 더 어려워졌다. 생산성과 효율성을 이유로 승인되지 않은 자산을 무단으로 사용하거나, 면밀한 점검 없이 승인되는 자산, 승인 후 관리되지 않은 자산이 더욱 증가하고 있다.
자산 관리가 보안의 출발이지만, 현실에서는 자산 현황을 파악하는 것 조차 쉽지 않다. 대부분의 자산 관리를 위한 솔루션은 네트워크 부하를 일으킬 위험이 있고, 해당 솔루션이 지원하지 못하는 레거시 장비는 섀도우 자산으로 남을 수 밖에 없다.
대부분의 기업·기관은 자산관리 업무를 담당하는 직원이 각 부서에 자료를 요청하고, 지연된 회신을 재촉하며, 취합된 자료가 실제 운영 환경과 일치하는지 다시 확인하는 수동 점검에 의지한다. 또한 점검 후 새롭게 생성되는 자산은 다시 섀도우 자산으로 남는다.
피앤피시큐어 전략기획팀의 이학수 이사는 “연계정보(CI)를 포함한 중요 개인정보 유출 사고는 기업이 어떤 데이터를 보유하고 있으며, 해당 데이터가 어느 시스템에 저장돼 있는지 파악하는 것이 보안의 출발이라는 점을 확인시켜줬다. 존재와 위치를 알지 못하는 데이터에는 적절한 접근제어와 모니터링 정책을 적용하기 어려우며, 보호하지 못하고 피해로 이어지게 된다”고 지적했다.
이학수 이사는 “이 문제를 ‘자산관리’라는 기술만으로 해결할 수는 없으며, 실제로 사용중인 자산을 정확하게 파악하고, 보안 담당자의 운영 부담과 내부 보안 공백을 줄여야 해결할 수 있는은 문제”라며 “온디맨드 스캔과 오토 디스커버리를 병행하고, 발견된 자산의 위험 분석과 접근통제까지 연결하는 ‘디비세이퍼 섀도우 컨트롤(DBSAFER Shadow Control)’이 그 해법이 될 수 있다”고 설명했다.
이학수 이사를 만나 피앤피시큐어가 제안한 새로운 관점의 자산관리 접근법의 구체적인 내용을 들어봤다.
Q. ‘디비세이퍼 섀도우 컨트롤’을 기획하게 된 배경은.
고객사의 보안 운영 현장을 살펴보면 자산관리대장과 실제 운영 환경 사이에 차이가 발생하는 경우가 적지 않았다. 개발이나 테스트 과정에서 임시로 생성된 서버와 데이터베이스가 정식 관리 절차에 포함되지 않거나, 담당자 변경 이후 소유자와 용도가 불분명한 상태로 남는 사례도 있었다.
이러한 자산을 확인하려면 보안 담당자가 개발, 인프라, 데이터 등 여러 부서에 현황을 요청해야 한다. 회신이 늦어지면 다시 확인하고, 제출된 자료가 실제 환경과 일치하는지도 검증해야 한다. 그러나 점검이 끝나는 순간에도 IT 환경은 계속 바뀌어 상당한 노력을 들여 모든 자산을 완벽하게 파악하는 것이 매우 어렵다. 게다가 사고나 감사가 발생하면 관리 누락에 대한 책임은 보안 조직에 돌아간다는 부담이 이어진다.
피앤피시큐어는 자산을 찾는 데 보안 인력을 계속 소모하는 구조를 바꿔야 한다고 봤다. 반복적인 조사 업무는 기술로 보완하고, 담당자는 실제 위험을 판단하고 통제하는 업무에 집중하도록 하는 것이 제품 기획의 출발점이었다.
Q. 기존 자산관리 방식의 본질적인 한계는 무엇이라고 보는가.
기존 방식은 특정 시점의 현황을 조사해 목록을 갱신하는 스냅샷 방식에 가깝다. 그러나 클라우드 자원은 수시로 생성되고 삭제되며, 애플리케이션과 데이터베이스의 연결 관계도 계속 달라진다.
부서별 보고 역시 작성자의 인지 범위와 제출 시점에 영향을 받는다. 테스트용 시스템을 정식 보고 대상으로 생각하지 못하거나, 담당자 변경 과정에서 자산 정보가 인수인계되지 않을 수 있다. 전수조사를 완료하더라도 직후에 새로운 자산이 생성되면 실제 환경과 관리 정보 사이에 다시 차이가 생긴다.
정기 점검과 자산 대장이 불필요하다는 의미는 아니다. 다만 그것만으로 변화하는 환경을 계속 따라가기에는 한계가 있다. 정기 조사에 지속적인 자산 발견 체계를 결합해야 관리 정보의 최신성을 유지할 수 있다.
Q. 이러한 문제를 제품 요구사항으로 구체화할 때 무엇을 가장 중요하게 봤나.
두 가지 원칙을 세웠다.
첫 번째는 자산 식별을 일회성 조사로 끝내지 않는 것이다. 초기 환경을 폭넓게 확인하는 방식과 운영 과정에서 발생하는 변화를 지속적으로 확인하는 방식이 함께 필요하다고 판단했다.
두 번째는 자산을 발견한 뒤 목록만 제공하지 않는 것이다. 발견된 자산이 어떤 위험을 가지고 있는지 분석하고, 보안 담당자가 대응 우선순위를 판단할 수 있어야 한다. 이후 접근제어와 계정관리 등 실제 보호 정책으로 연결되어야 한다.
자산을 많이 찾아내는 것 자체가 목표라면 담당자에게 또 다른 업무를 만들어 줄 수 있다. 그래서 ‘디비세이퍼 섀도우 컨트롤’은 ‘발견–분석–통제’가 하나의 운영 흐름으로 이어지도록 방향을 잡았다.
Q. 온디맨드 스캔과 오토 디스커버리를 병행하는 이유는 무엇인가.
한 가지 방식만으로는 기업 내부 환경을 지속적으로 파악하기 어렵기 때문이다.
온디맨드 스캔은 관리자가 필요한 시점에 내부 환경을 폭넓게 점검하는 방식이다. 초기 자산 현황을 파악하거나 정기 점검을 수행하고, 특정 영역을 집중적으로 확인하는 데 활용할 수 있다.
오토 디스커버리는 운영 과정에서 새롭게 나타나는 자산과 변경 사항을 지속적으로 확인하는 역할을 한다. 정기 점검 이후 신규 시스템이 추가되거나 기존 자산의 사용 상태가 달라지는 경우에도 실제 환경과 관리 정보 사이의 차이를 줄일 수 있다.
온디맨드 스캔으로 기준이 되는 자산 현황을 확보하고, 오토 디스커버리로 이후의 변화를 보완하는 구조다. 특정 시점의 가시성과 지속적인 변화 관리를 함께 확보하는 것이 핵심이다.
Q. 기존 자산 식별 솔루션과 비교했을 때 차별점은 무엇인가.
단순히 미등록 자산을 찾아 목록으로 제공하는 데서 끝나지 않는다는 점이다.
자산이 발견되더라도 해당 자산의 위험 수준을 판단하지 못하면 보안 담당자는 다시 여러 자산 목록과 로그를 직접 비교해야 한다. 발견 이후 접근제어나 계정관리 정책을 적용하려면 별도의 연동과 운영 절차도 필요하다.
‘디비세이퍼 섀도우 컨트롤’은 발견된 자산의 사용 현황과 접근 상태, 데이터 중요도 등을 분석해 대응 우선순위를 판단할 수 있도록 지원한다. 보안 담당자는 모든 미등록 자산을 동일한 수준으로 검토하지 않고, 위험도가 높은 대상부터 확인하고 조치할 수 있다.
또한 ‘디비세이퍼 유니파이드 IAM(DBSAFER Unified-IAM)’과 연계하면 발견된 자산을 보호 대상으로 편입해 접근제어와 계정관리, 고위험 행위 제한 등의 정책을 적용할 수 있다. 자산 발견을 실제 위험 감소로 연결한다는 점이 가장 큰 차이다.
Q. 구축과 운영 측면에서 고객이 체감할 수 있는 변화는 무엇인가.
일반적인 자산관리 프로젝트는 솔루션 구축 전에 각 부서의 자산 현황을 취합하고, 전체 목록을 정리한 뒤 실제 환경과 대조하는 사전 작업이 필요하다. 자료 제출이 지연되거나 누락된 내용이 발견되면 구축 일정도 함께 늦어질 수 있다.
‘디비세이퍼 섀도우 컨트롤’은 온디맨드 스캔으로 초기 현황을 확보하고, 오토 디스커버리를 통해 운영 과정에서 확인되는 자산과 변경 사항을 지속적으로 보완한다. 모든 자산을 사전에 수작업으로 완벽하게 정리한 뒤 제품을 가동하는 것이 아니라, 제품 구축과 자산 현행화를 병행할 수 있다.
이를 통해 보안 담당자가 각 부서에 자료를 반복적으로 요청하고, 취합된 결과를 다시 대조하는 업무를 줄일 수 있다. 현업 부서 역시 대규모 사전 조사에 장기간 참여해야 하는 부담을 낮출 수 있다.
위험 분석을 통해 대응 우선순위도 제공한다. 보안 담당자에게 필요한 것은 경고의 수가 아니라 무엇부터 조치해야 하는지 판단할 수 있는 정보다. 반복적인 확인 업무와 인지 부하를 줄여 실제 취약점 조치와 정책 개선에 집중하도록 하는 것이 중요하다.
Q. 최근 CI 유출 사고와 같은 사례를 고려할 때, 향후 자산관리는 어떤 방향으로 발전해야 한다고 보는가.
최근 개인정보 유출 사고는 기업이 보유한 데이터의 종류와 위치를 정확히 파악하는 일이 얼마나 중요한지를 보여준다. CI와 같은 중요정보가 어느 시스템에 저장돼 있는지 알지 못하면 적절한 접근통제와 모니터링 정책을 적용하기 어렵다.
과거 업무를 위해 생성된 데이터가 장기간 남아 있거나, 공식 관리 대상에서 누락된 시스템에 중요정보가 보관될 가능성도 계속 점검해야 한다. 서버와 데이터베이스의 존재만 확인하는 것이 아니라 해당 자산의 관리 상태와 데이터 중요도까지 함께 파악해야 한다.
CISO와 경영진 관점에서 관리되지 않는 자산은 단순한 목록 누락이 아니다. 취약점 점검과 패치, 접근제어, 계정관리, 감사 정책에서 빠질 수 있는 통제 공백이자 경영 리스크다.
앞으로의 자산관리는 정기적으로 목록을 작성하는 수준에서 벗어나야 한다. 온디맨드 스캔과 오토 디스커버리를 통해 자산의 변화를 지속적으로 확인하고, 발견된 위험을 분석과 통제로 연결해야 한다.
보안성과 업무 효율성은 별개의 목표가 아니다. 반복적인 조사 업무를 줄여야 보안 담당자가 중요한 위험에 집중할 수 있고, 보호 대상을 정확히 파악해야 효과적인 통제 정책을 적용할 수 있다. ‘디비세이퍼 섀도우 컨트롤’이 지향하는 것도 바로 이러한 지속 가능한 보안 운영 체계다.
