보안 운영이란 무엇인가요?
보안 운영(SecOps)은 실제 IT 환경에서 사이버 위협을 탐지, 조사 및 대응하는 지속적인 작업입니다 . 이는 인력, 보안 도구, 위협 인텔리전스 및 명확한 대응 프로세스를 결합한 것입니다. 목표는 유해한 활동을 조기에 발견하고 피해가 커지기 전에 조치를 취하는 것입니다.
보안 운영(SecOps)은 제품 수, 팀 규모 또는 공식 보안 운영 센터(SOC)의 존재 여부로 정의되는 것이 아닙니다. 핵심 질문은 조직이 보안 역량을 매일 적극적으로 운영하고 있는지 여부입니다.
기업은 방화벽, 엔드포인트 보호, 클라우드 보안 도구, 확장형 탐지 및 대응(XDR) 플랫폼 등을 보유하고 있을 수 있습니다. 그러나 경고를 일관되게 검토하지 않거나 리소스가 확보될 때만 조사를 진행한다면 보안 운영(SecOps)이 취약할 수 있습니다. 소규모 기업은 전담 내부 팀, 관리형 서비스 또는 하이브리드 모델을 통해 효과적인 보안 운영을 유지할 수 있습니다.
이 원칙은 정보 보안 지속적 모니터링에 관한 NIST SP 800-137 에 반영되어 있습니다. NIST는 지속적 모니터링을 통해 조직이 위험을 파악하고 적시에 대응할 수 있도록 충분한 가시성을 확보해야 한다고 설명합니다.
간단한 보안 운영 비유
카메라와 경보기를 설치하는 것만으로는 보안 운영이 저절로 이루어지는 것이 아닙니다. 보안 운영은 누군가가 해당 시스템을 감시하고, 의심스러운 활동을 확인하고, 대응을 조율할 때 비로소 시작됩니다. 보안 기술도 마찬가지입니다. 도구는 기능을 제공하고, 보안 운영(SecOps)은 그 기능을 실제로 활용하는 것입니다.
보안 운영을 "운영"으로 만드는 요소는 무엇일까요?
이 용어에서 가장 중요한 부분은 '운영'이라는 단어입니다. 이는 보안 기술을 소유하는 것과 능동적인 방어 체계를 운영하는 것의 차이를 나타냅니다.
보안 도구는 실질적인 조치로 이어져야 합니다.
많은 조직에서는 보안 도구를 사용하여 환경 전반의 로그를 수집 및 분석하고 경고를 생성하지만, 이러한 경고를 적시에 조사 및 조치로 전환하는 데에는 한계가 있습니다. 보안 운영(SecOps)은 탐지에서 의사 결정까지 이어지는 신뢰할 수 있는 경로를 구축합니다. SecOps 팀은 관련 신호의 우선순위를 정하고, 맥락을 파악하며, 위협이 확인되면 조치를 조율합니다.
자동화는 일상적인 작업을 처리할 수 있습니다. 경고를 보강하고, 관련 이벤트를 그룹화하고, 알려진 오탐을 필터링할 수 있습니다. 하지만 여전히 사람이 우선순위를 설정하고 심각하거나 불확실한 사건을 어떻게 처리해야 할지 결정해야 합니다.
팀 규모보다 지속성이 더 중요합니다.
규모가 큰 보안팀이 항상 강력한 보안 운영(SecOps)을 제공하는 것은 아닙니다. 팀 구성원 중 일부는 규정 준수, 아키텍처, 인식 제고 또는 취약점 관리에 집중할 수 있습니다. 이러한 역할은 가치를 더하지만, 지속적인 탐지 및 대응을 자동으로 보장하지는 않습니다.
더욱 중요한 기준은 조직이 허용 가능한 시간 내에 신뢰할 만한 위협을 식별, 조사 및 차단할 수 있는지 여부입니다. 이러한 업무는 내부 보안 분석가, 외부 업체 또는 양측 모두가 수행할 수 있습니다.
보안 운영(SecOps)은 폐쇄 루프를 형성해야 합니다.
효과적인 보안 운영(SecOps)은 단순히 경고를 닫는 것 이상의 역할을 합니다. 경고로부터 학습하는 것이죠. 탐지 실패는 탐지 로직 개선으로 이어져야 하고, 대응 지연은 플레이북 수정으로 이어져야 합니다. 반복되는 오탐은 관련 탐지 규칙의 정교화로 이어져야 합니다.
이러한 피드백 루프는 시간이 지남에 따라 운영을 개선하는 데 도움이 됩니다. 이것이 없다면 보안 팀은 바쁘게 일만 하는 동안 조직은 동일한 문제에 계속 노출될 수 있습니다.
보안운영(SecOps)과 사이버보안, 보안운영센터(SOC), 그리고 IT 운영
이 용어들은 서로 관련이 있지만, 상호 교환적으로 사용할 수는 없습니다.
보안운영(SecOps) vs. 사이버보안
사이버보안은 더 광범위한 분야입니다. 여기에는 거버넌스, 위험 관리, 아키텍처, 규정 준수, 예방, 취약점 관리 및 사고 대응이 포함됩니다.
보안 운영(SecOps)은 실제 운영 환경을 끊임없이 진화하는 위협으로부터 보호하는 역할을 합니다. 비정상적인 네트워크 트래픽, 계정 탈취, 민감한 데이터에 대한 의심스러운 접근 등 해당 환경 내에서 발생하는 활동에 집중합니다.
사이버 보안은 더 광범위한 보안 방향을 설정하고, 보안 운영(SecOps)은 그 전략의 일부를 매일 실행합니다.
보안 운영(SecOps)과 보안 운영 센터(SOC)의 차이점
보안 운영 센터(SOC)는 보안 운영을 체계화하는 한 가지 방법입니다. 물리적인 공간, 가상 팀, 외부 서비스 또는 이러한 모델의 혼합 형태 등 다양한 형태로 운영될 수 있습니다.
마이크로소프트는 SOC(보안 운영 센터)를 환경을 모니터링하고, 위협을 탐지하고, 사고에 대응하고, 보안을 개선하는 기능이라고 설명합니다 .
둘의 차이점은 명확합니다. SecOps는 역량이고, SOC는 제공 모델입니다. 조직은 자체적인 24시간 SOC를 구축하지 않고도 SecOps를 운영할 수 있습니다. 중요한 것은 신뢰할 수 있는 보안 체계와 명확한 실행 계획입니다.
보안 운영(SecOps) vs. IT 운영
IT 운영은 시스템의 가용성과 안정성을 유지합니다. 보안 운영은 악의적이거나 승인되지 않은 활동으로부터 시스템을 보호합니다.
보안팀과 IT팀은 사고 발생 시 종종 협력합니다. 보안팀은 IT팀에 기기 격리, 계정 비활성화 또는 서비스 복구를 요청할 수 있습니다. 신속한 보안 조치가 비즈니스 운영에도 영향을 미칠 수 있으므로 명확한 의사 결정 권한이 매우 중요합니다.
보안 운영은 어떻게 이루어지나요?
성숙한 SecOps는 네 가지 활동을 연결하며, 각 활동은 다음 활동을 지원합니다.
가시성과 맥락을 유지하세요
보안 운영 담당자는 실제 운영 환경에 대한 명확한 시각을 가져야 합니다. 유용한 신호는 엔드포인트, 네트워크 트래픽, ID, 이메일, 애플리케이션 및 클라우드 서비스에서 얻을 수 있습니다.
모든 가능한 사건을 수집하는 것이 목표는 아닙니다. 가치가 낮은 데이터를 과도하게 수집하면 운영상의 혼란과 저장 비용이 증가할 수 있습니다. 목표는 위협을 감지하고 발생 상황을 재구성하는 데 필요한 충분한 유용한 증거를 확보하는 것입니다.
위협 인텔리전스는 외부 맥락 정보를 제공합니다. 어떤 공격자가 어떤 취약점을 이용하거나 어떤 캠페인을 벌이고 있는지 보여줄 수 있습니다. 이를 통해 보안팀은 자사 시스템과 관련된 위협에 집중할 수 있습니다.
사이버 위협을 탐지하고 조사합니다.
잠재적인 사고는 악성코드, 비정상적인 로그인 시도 또는 사용자 행동 변화로 시작될 수 있습니다. 보안 분석가는 이러한 신호가 무해한지, 오탐지인지, 아니면 실제 위협인지 판단합니다.
효과적인 조사는 맥락을 파악하는 데 달려 있습니다. 분석가들은 누가 해당 행위를 저질렀는지, 어떤 시스템이 영향을 받았는지, 그리고 관련 징후가 다른 곳에서도 나타나는지 알아야 합니다.
최신 플랫폼은 기존에는 분리되어 있던 신호들을 연결할 수 있습니다. 확장형 탐지 및 대응(XDR)은 엔드포인트, 네트워크, 신원 정보, 이메일, 클라우드 서비스 등 다양한 소스에서 수집된 증거를 통합할 수 있습니다. 이를 통해 분석가는 개별 경고를 개별적으로 검토하는 대신, 보다 광범위한 공격 경로를 파악할 수 있습니다.
기술은 조사를 가속화할 수 있지만, 인간의 판단이 필요 없어지는 것은 아닙니다. 보안 운영팀은 여전히 비즈니스에 미치는 영향을 평가하고 언제 조치를 취해야 할지 결정해야 합니다.
격리, 교정 및 복구
사고가 확인되면 최우선 과제는 피해를 최소화하는 것입니다. 대응 조치에는 기기 격리, 유해 트래픽 차단 또는 손상된 계정 비활성화가 포함될 수 있습니다. 그런 다음 팀은 공격자의 접근 권한을 제거하고 영향을 받은 서비스를 복구합니다.
사고 대응팀은 거의 혼자 일하지 않습니다. IT 직원, 클라우드 팀, 애플리케이션 소유자 및 비즈니스 리더 모두가 역할을 수행할 수 있습니다. SecOps는 적시에 사고를 차단하고, 복구하고, 문제를 해결하는 데 필요한 증거를 제공하고 조정을 지원합니다.
NIST SP 800-61 개정 3 에서는 대비, 탐지, 대응 및 복구를 보다 광범위한 사이버 위험 관리의 범주에 포함시킵니다. 이는 중요한 점을 반영하는데, 즉 사고 대응은 별도의 비상 조치가 아니라 지속적인 운영 모델의 일부라는 것입니다.
배우고 발전하세요
각 조사는 향후 방어 체계를 개선하는 데 도움이 되어야 합니다. 조사팀은 탐지 기능을 업데이트하거나, 가시성 격차를 해소하거나, 대응 단계를 변경할 수 있습니다. 또한 다른 경고가 발생하기 전에 유사한 활동을 검색할 수도 있습니다.
바로 이 지점에서 보안 운영팀(SecOps)이 선제적인 접근 방식을 취합니다. 팀은 조사 및 위협 인텔리전스를 통해 얻은 정보를 활용하여 관련 활동을 검색하고, 보안 허점을 보완하며, 진화하는 위협에 대비합니다.
보안 운영 모델
조직은 다양한 방식으로 SecOps를 운영할 수 있습니다. 최적의 모델은 위험도, 내부 역량, 필요한 범위, 그리고 조직이 유지하고자 하는 통제 수준에 따라 달라집니다.
자체 운영 보안 운영
자체 운영 모델에서 조직은 기술, 분석가 및 대응 결정에 대한 소유권을 가집니다. 내부 보안 팀은 탐지 기능을 구축하고, 환경을 지속적으로 모니터링하며, 조치를 조정합니다.
이 모델은 직접적인 통제와 강력한 비즈니스 맥락을 제공합니다. 또한 인력, 교육, 통합 및 적용 범위에 대한 지속적인 투자가 필요합니다. 기술 도입은 단지 첫 단계일 뿐이며, 조직은 이를 효과적으로 활용하는 데 필요한 운영 역량을 지속적으로 유지해야 합니다.
완전 관리형 보안 운영(SecOps)
완전 관리형 모델에서는 외부 공급업체가 모니터링, 조사 및 대응 작업의 대부분을 처리합니다. 이는 일반적으로 관리형 탐지 및 대응(MDR) 서비스를 통해 제공됩니다.
이 모델은 전체 기능을 자체적으로 구축하지 않고도 숙련된 보안 분석가와 더 넓은 범위의 서비스를 제공할 수 있습니다. 고객은 여전히 주요 비즈니스 의사 결정 및 복구 권한을 보유합니다. 공급업체는 정의된 보안 작업을 수행하지만 모든 책임을 떠맡지는 않습니다.
하이브리드 보안 운영
하이브리드 모델은 업무를 분담합니다. 내부 팀은 전략 수립 및 비즈니스 관련 대응을 담당하고, 외부 업체는 모니터링, 전문 기술 또는 야간 지원 등의 업무를 추가할 수 있습니다.
이 모델은 전체 환경에 걸쳐 지속적인 관리를 유지하기 어려운 역량 있는 내부 팀원을 보유한 조직에 적합합니다. 이 모델의 효과는 명칭보다는 통합 모델이 명확한 책임 소재, 일관된 관리 범위, 그리고 시의적절한 조치를 제공하는지에 더 크게 좌우됩니다.
보안 운영(SecOps)이 중요한 이유는 무엇일까요?
보안 운영(SecOps)은 공격자의 활동과 효과적인 방어 조치 사이의 시간 간격을 줄여줍니다. 공격자는 이 시간을 이용하여 접근 권한을 확장하기 때문에 이 시간은 매우 중요합니다.
공격자에게는 시간이 필요합니다.
공격자는 시스템에 접근한 후 시스템을 탐색하거나, 자격 증명을 훔치거나, 민감한 데이터에 접근할 수 있습니다. 이러한 활동이 은밀하게 지속될수록 더 큰 피해를 초래할 수 있습니다.
Mandiant의 M-Trends 2025 보고서에 따르면 2024년에 조사된 사건의 전 세계 평균 체류 시간은 11일로 나타났습니다. 피해 조직이 악성 활동을 직접 감지한 경우 평균 체류 시간은 10일이었고, 외부 기관으로부터 통보받은 경우에는 26일이었습니다.
이번 연구 결과는 내부 운영, MDR 제공업체 활용 또는 하이브리드 모델 등 어떤 방식을 사용하든 신뢰할 수 있는 탐지 기능을 유지하는 것이 중요하다는 점을 강조합니다. 탄탄한 보안 운영 체계를 갖춘 조직은 고도화된 위협이 대규모 침해로 발전하기 전에 이를 식별하고 조사하는 데 더 유리한 위치에 있습니다.
보안 도구는 행동으로 이어질 때 비로소 가치를 창출합니다.
조직들은 흔히 보호 대상 기기 수나 연결된 데이터 소스 수를 세어 보안 범위를 측정합니다. 하지만 이러한 수치는 잠재적인 보안 범위를 나타낼 뿐, 실제 보안 성과를 보여주는 것은 아닙니다.
SecOps는 경고 범위를 실제 행동으로 옮깁니다. 어떤 신호가 중요한지, 그 의미는 무엇인지, 그리고 다음에 어떤 조치를 취해야 하는지를 결정합니다. 우선순위 지정이나 조사 기능을 개선하지 않고 경고량만 늘리는 플랫폼은 보안 성과 향상 없이 업무량만 증가시킬 뿐입니다.
운영이 진행됨에 따라 도구도 시간이 지남에 따라 개선됩니다. 탐지 정확도가 높아지고 오탐지가 줄어들며 자동화가 더 일상적인 작업을 처리할 수 있게 됩니다.
보안 운영(SecOps)은 복원력을 강화합니다.
예방만으로는 모든 공격을 막을 수 없습니다. 계정이 도용될 수 있고, 취약점이 악용될 수 있으며, 신뢰받는 시스템이 오용될 수 있습니다.
SecOps는 예방 조치가 실패했을 때 조직이 반복적으로 대응할 수 있는 방법을 제공합니다. 이를 통해 담당자는 사건을 이해하고, 피해를 최소화하며, 핵심 서비스를 복구할 수 있습니다. 따라서 SecOps는 보안 기능일 뿐만 아니라 비즈니스 회복력 강화 요소이기도 합니다.
보안 운영(SecOps)이 효과적으로 작동하는 것을 방해하는 요인은 무엇일까요?
효과적인 보안 운영(SecOps)의 주요 장애물은 기술 부족이 아니라, 보안 기술을 일관되고 지속적인 역량으로 운영하는 데 따르는 어려움인 경우가 많습니다.
제한된 기술, 역량 및 적용 범위
효과적인 보안 운영(SecOps)을 위해서는 적절한 시간 내에 신뢰할 만한 위협을 조사할 수 있는 충분한 분석가 역량과 전문 지식이 필요합니다. 기존 IT 직원에게 보안 책임을 부여하는 것만으로는 지속 가능한 운영 역량이 자동으로 확보되는 것은 아닙니다.
규모가 작은 팀은 지속적인 모니터링을 유지하는 동시에 사고 대응, 보안 도구 관리, 그리고 더 넓은 범위의 비즈니스 요구 사항 지원까지 처리해야 하는 어려움에 직면할 수 있습니다. 이러한 부담으로 인해 모니터링 범위에 공백이 생기거나, 숙련된 인력이 복잡한 조사에 투입할 시간이 부족해질 수 있습니다. 따라서 조직은 내부 자원을 자동화, 온콜 체계, MDR 서비스 또는 하이브리드 운영 모델과 결합해야 할 수도 있습니다.
단편적인 가시성과 단절된 워크플로
보안 정보는 종종 여러 엔드포인트, ID, 네트워크, 클라우드 및 애플리케이션 플랫폼에 분산되어 있습니다. 분석가는 사건의 범위를 파악하기 전에 여러 콘솔을 오가며 관련 이벤트를 수동으로 연결해야 할 수도 있습니다.
문제는 데이터 부족이 아니라, 파편화된 신호를 명확한 사건 개요와 체계적인 대응으로 전환하는 데 있습니다. 추가적인 도구는 조사 효율성을 높이지 못하면서 오히려 경고와 워크플로우를 늘려 문제를 악화시킬 수 있습니다.
소유권 및 의사결정 권한의 불명확
SecOps는 보안, IT, 애플리케이션 소유자 및 비즈니스 리더 간의 협업에 달려 있습니다. 경고에 대한 책임이 불분명하거나, 에스컬레이션 경로가 제대로 정의되지 않았거나, 대응 담당자가 확인된 위협을 차단할 권한이 부족할 경우 지연이 발생합니다.
이러한 지연이 항상 부실한 거버넌스의 결과만은 아닙니다. 운영 시스템을 격리하거나, 중요 계정을 비활성화하거나, 비즈니스 프로세스를 중단하는 것은 상당한 운영상의 결과를 초래할 수 있습니다. 따라서 조직은 비즈니스에 미치는 영향을 고려하면서 시기적절하게 문제를 해결할 수 있는 의사 결정 권한을 필요로 합니다.
운영상의 압박이 개선을 가로막는다
지속적인 운영 압박에 시달리는 팀은 눈앞에 닥친 경고나 사건에만 집중하는 경향이 있습니다. 그 결과 탐지 시스템 최적화, 위협 탐색, 플레이북 개발, 교육, 근본 원인 해결 등의 작업은 반복적으로 미뤄지게 됩니다.
이로 인해 팀은 계속 활동하지만 동일한 경고 메시지, 가시성 부족, 반복되는 취약점에 계속해서 직면하는 악순환이 발생할 수 있습니다. 효과적인 보안 운영(SecOps)은 현재의 위협에 대처할 수 있는 역량뿐만 아니라 미래의 위협을 탐지하고 대응하는 방식을 개선할 수 있는 역량도 필요로 합니다.
조직은 어떻게 효과적인 보안 운영(SecOps)을 구축할 수 있을까요?
효과적인 보안 운영(SecOps)을 구축하려면 조직이 필요로 하는 보안 성과와 이를 달성하는 데 필요한 운영 모델을 먼저 고려해야 합니다. 기술은 모델을 정의하는 것이 아니라 지원해야 합니다.
필수 성과 및 보장 모델을 정의하십시오.
조직은 우선 가장 중요한 시스템, 신원, 데이터 및 비즈니스 서비스를 파악해야 합니다. 그런 다음 어떤 위협을 탐지해야 하는지, 조사를 얼마나 빨리 시작해야 하는지, 그리고 어떤 수준의 대응이 필요한지 결정할 수 있습니다.
이러한 요구사항은 SecOps를 어떻게 구현해야 할지 결정하는 데 더 명확한 기준을 제공합니다. 일부 조직은 연중무휴 24시간 운영되는 SOC(보안 운영 센터)가 필요할 수 있습니다. 다른 조직은 내부 보안 체계와 자동화, 온콜 담당자, MDR(모바일 위험 대응) 제공업체 또는 하이브리드 모델을 결합할 수 있습니다. 적합한 모델은 허용 가능한 시간 내에 의미 있는 위험을 지속적으로 탐지하고 대응할 수 있는 모델입니다.
가시성 및 대응 워크플로 통합
SIEM, XDR, 엔드포인트 보안, 네트워크 모니터링, 자동화 및 위협 인텔리전스는 모두 SecOps에 기여할 수 있습니다. 이러한 도구와 프로세스는 서로 연결되지 않은 시스템을 통해 운영될 때보다 일관된 조사 및 대응 워크플로를 지원할 때 더 큰 가치를 창출합니다.
통합을 통해 중복 알림, 수동 검색 및 콘솔 간 불필요한 이동을 줄일 수 있습니다. 자동화는 신호를 보강하고, 관련 활동을 연관시키며, 예측 가능한 대응 단계를 실행할 수 있습니다. 이를 통해 분석가는 판단력, 비즈니스 맥락 이해 및 협업이 필요한 업무에 집중할 수 있습니다.
명확한 소유권 및 의사결정권을 확립하십시오.
조직은 보안 신호를 모니터링하는 사람, 조사를 주도하는 사람, 대응을 조율하는 사람, 그리고 확산 방지를 승인할 수 있는 사람을 명확히 정의해야 합니다. 중요 경고에는 담당자, 보고 절차, 예상 대응 시간이 명확하게 표시되어야 합니다.
사고 발생 전에 의사 결정 권한을 합의해야 합니다. 위험도가 낮은 조치는 자동화하거나 사전 승인을 받을 수 있지만, 시스템 운영에 지장을 줄 수 있는 조치는 시스템 소유자 또는 경영진의 의견을 수렴해야 할 수 있습니다. 이를 통해 조직은 사고 확산을 막는 데 따른 운영상의 영향을 간과하지 않고 신속하게 대응할 수 있습니다.
지속적인 개선을 위한 역량을 보호하십시오
효과적인 보안 운영(SecOps)은 사고 발생 사이사이에 개선되어야 합니다. 조직은 탐지 기능을 개선하고, 오탐을 줄이고, 플레이북을 업데이트하고, 통합을 강화하고, 분석가의 역량을 개발하고, 보안 이벤트의 반복적인 원인을 해결하는 데 시간을 할애해야 합니다.
이러한 작업을 위한 보호된 역량이 없다면, 팀은 매일 발생하는 알림에 시달리는 동안에도 동일한 가시성 부족, 비효율적인 워크플로, 그리고 반복되는 약점이 지속될 수 있습니다.
활동이 아닌 결과를 측정하세요
경고 건수, 사례 발생 건수, 분석가 업무량은 얼마나 많은 활동이 이루어지고 있는지를 보여주지만, 조직의 보안이 실제로 향상되고 있는지는 보여주지 않습니다.
보다 유용한 측정 지표는 신뢰할 만한 위협이 얼마나 빨리 탐지되는지, 얼마나 효율적으로 조사되는지, 확산 방지 조치가 그 영향을 제한하는지, 그리고 사건 발생 중에 발견된 취약점이 해결되는지를 평가해야 합니다. 또한, 각 단계 간의 지연 시간도 측정 지표에 반영되어야 합니다. 신속한 탐지는 승인으로 인해 확산 방지 조치가 지연될 경우 그 가치가 제한적이며, 신속한 사건 종결 역시 근본적인 문제가 해결되지 않으면 의미가 없습니다.
측정의 목적은 단순히 팀이 바쁘다는 것을 보여주는 것이 아니라, 전체 SecOps 운영의 성능을 평가하고 개선하는 데 있습니다.
결론: 보안 운영(SecOps)은 운영 역량이다
보안 운영은 도구의 수, 팀 규모 또는 공식적인 보안 운영 센터(SOC)로 정의되는 것이 아닙니다. 보안 운영은 사람, 기술 및 프로세스가 함께 작동하여 위협을 모니터링하고, 정보에 입각한 의사 결정을 내리고, 대응을 조율하고, 시간이 지남에 따라 방어력을 개선하는 지속적인 역량을 구축할 때 존재합니다. 이것이 바로 보안 기술을 소유하는 것과 조직을 보호하기 위해 보안 기술을 운영하는 것의 차이입니다.
보안 운영(SecOps) FAQ
보안 운영(SecOps)은 조직의 실제 IT 환경에서 사이버 위협을 탐지, 조사 및 대응하는 지속적인 기능입니다. 보안 전문가, 기술, 위협 인텔리전스 및 대응 프로세스를 통합하여 보안 신호를 정보에 기반한 조치로 전환합니다. 효과적인 SecOps는 탐지 기능을 개선하고, 대응 절차를 업데이트하며, 조사 과정에서 발견된 취약점을 해결함으로써 시간이 지남에 따라 더욱 향상됩니다.
보안 운영(SecOps) 팀은 조직 환경에서 의심스러운 활동을 모니터링하고, 잠재적 위협을 조사하며, 사고가 확인되면 차단, 복구 및 복원을 총괄합니다. 이 팀은 엔드포인트, ID, 네트워크, 이메일, 애플리케이션 및 클라우드 활동을 분석할 수 있습니다. 또한 탐지 규칙을 개선하고, 오탐을 줄이며, 위협 탐색을 수행하고, 대응 플레이북을 유지 관리하며, 보안 사고 발생 시 IT 및 비즈니스 팀과 협력합니다.
보안 운영(SecOps)은 지속적인 순환 과정으로 이루어집니다. 보안 도구는 환경 전반에서 데이터를 수집 및 분석하여 위협으로 의심되는 활동을 식별합니다. 보안 분석가는 이러한 신호를 조사하고, 범위와 비즈니스에 미치는 영향을 파악하며, 적절한 대응 방안을 마련합니다. 각 조사에서 얻은 교훈은 가시성, 탐지 정확도, 대응 워크플로 및 보안 제어를 개선하는 데 활용됩니다. 이러한 폐쇄 루프 프로세스는 단순히 보안 기술을 보유하는 것과는 달리 능동적인 보안 운영을 가능하게 합니다.
SecOps는 보안 운영 역량을 의미하며, 보안 운영 센터(SOC)는 이러한 역량을 조직하고 제공하는 한 가지 방법입니다. SOC는 내부 팀, 가상 기능, 외부 서비스 또는 혼합형 형태로 운영될 수 있습니다. 따라서 조직은 자체적인 물리적 SOC를 보유하거나 모든 인력을 배치하지 않고도 효과적인 SecOps를 운영할 수 있습니다. 중요한 것은 지속적인 모니터링, 명확한 책임 소재, 그리고 허용 가능한 시간 내에 조사 및 대응할 수 있는 능력입니다.
SecOps는 조직의 운영 환경을 현재 및 새롭게 발생하는 사이버 위협으로부터 보호하는 데 중점을 둡니다. DevSecOps는 소프트웨어 개발 및 배포 프로세스에 보안을 통합하여 소프트웨어 수명 주기 초기에 취약점과 보안 위험을 해결합니다. 두 기능은 겹치는 부분이 있지만 목적은 다릅니다. DevSecOps는 소프트웨어를 안전하게 구축하고 배포하는 데 도움을 주는 반면, SecOps는 시스템, 애플리케이션, ID 및 데이터가 운영된 후 이를 모니터링하고 방어합니다.
모든 조직이 24시간 연중무휴로 운영되는 자체 보안운영센터(SOC)를 필요로 하는 것은 아닙니다. 필요한 보안 수준은 비즈니스 위험, 운영 시간, 규제 의무, 그리고 조직이 위협에 대응해야 하는 속도에 따라 달라집니다. 일부 조직은 상근 직원을 둔 내부 SOC를 운영하는 반면, 다른 조직은 내부 팀과 자동화 시스템, 온콜 인력, 관리형 탐지 및 대응 서비스 제공업체를 결합하거나 하이브리드 모델을 사용합니다. 효과적인 보안 운영(SecOps)은 반드시 24시간 내부 직원을 배치하는 것이 아니라, 신뢰할 수 있는 보안과 시의적절한 조치를 요구합니다.
