생산성 저하 없는 Santa 배 (새 탭에서 열림)
피그마(Figma)는 보안과 사용자 경험이 상충한다는 고정관념을 깨고, '제로 트러스트(Zero Trust)' 원칙에 기반한 현대적인 엔드포인트 관리 전략을 구축했습니다. 이들은 단순히 네트워크 경계를 방어하는 방식에서 벗어나, 접속 시점에 기기의 상태와 사용자의 신원을 실시간으로 검증하는 '기기 신뢰(Device Trust)' 모델을 핵심으로 삼았습니다. 그 결과 보안 수준을 획기적으로 높이는 동시에, 직원이 업무 흐름을 방해받지 않고 스스로 보안 문제를 해결할 수 있는 환경을 조성하는 데 성공했습니다. ### 제로 트러스트 기반의 기기 신뢰 모델 * 기존의 VPN 중심 보안 모델에서 탈피하여, 모든 접속 요청이 신뢰할 수 없는 환경에서 발생한다고 가정하는 제로 트러스트 원칙을 적용했습니다. * 사용자 신원(Identity) 뿐만 아니라, 접속에 사용되는 기기의 보안 상태(Posture)가 피그마의 기준을 충족할 때만 사내 자원에 접근을 허용합니다. * MDM(모바일 기기 관리)과 IDP(ID 제공자)를 연동하여 관리되지 않는 개인 기기나 보안 설정이 미비한 기기의 접근을 원천 차단합니다. ### 엔드포인트 관리 가시성 및 통제력 확보 * MDM 솔루션을 통해 모든 사내 기기의 구성을 표준화하고 최신 OS 업데이트, 디스크 암호화(FileVault 등), 방화벽 활성화 상태를 강제합니다. * EDR(엔드포인트 탐지 및 대응) 도구를 활용해 기기 내 실시간 위협을 감지하고, 이상 징후가 발견될 경우 즉각적으로 대응할 수 있는 체계를 갖추었습니다. * 플랫폼별(macOS, Windows, Linux) 특성에 맞는 관리 전략을 수립하여 개발자들의 다양한 작업 환경을 지원하면서도 보안 수준은 균일하게 유지합니다. ### 조건부 액세스와 실시간 인증 흐름 * Okta와 같은 IDP의 조건부 액세스 정책을 활용해, 기기 인증서(Device Certificate)가 설치된 기기만 로그인을 허용하는 하드웨어 수준의 검증을 수행합니다. * 로그인 시점에 기기의 보안 패치 수준이나 필수 보안 소프트웨어 실행 여부를 실시간으로 체크하여, 기준 미달 시 접근을 자동으로 차단합니다. * 단순히 차단하는 것에 그치지 않고, 어떤 항목이 규정을 위반했는지 사용자에게 명확히 안내하여 보안 사고를 예방합니다. ### 사용자 스스로 해결하는 셀프 리메디에이션(Self-Remediation) * 보안 문제가 발생했을 때 IT 지원 팀의 개입을 기다리는 대신, 사용자가 직접 문제를 해결할 수 있는 가이드와 도구를 제공하여 업무 중단을 최소화합니다. * 보안 정책 미준수로 접근이 차단된 경우, 무엇이 문제인지(예: OS 업데이트 필요)와 해결 방법(링크 등)을 팝업이나 대시보드로 즉시 알립니다. * 자동화된 스크립트를 통해 클릭 한 번으로 보안 설정을 복구할 수 있는 기능을 제공하여 개발자 경험(DevEx)을 향상시키고 운영 비용을 절감했습니다. 현대적인 엔드포인트 보안은 엄격한 통제와 자율성 사이의 균형이 핵심입니다. 피그마의 사례처럼 보안 정책을 코드화하고 이를 인증 시스템에 직접 통합한다면, 보안 팀은 수동적인 티켓 처리에서 벗어나 고차원적인 위협 방어에 집중할 수 있으며 구성원들은 안전하고 쾌적한 환경에서 창의적인 업무를 수행할 수 있을 것입니다.