인증서 장애, 기업에 25만 달러 이상 비용 초래 가능

2029년까지 공개 TLS 인증서의 유효 기간이 47일로 단축됨에 따라, DigiCert의 인증서 관리 전망 보고서(Certificate Management Outlook)에 따르면 기업의 인증서 관리 업무 부담이 크게 증가할 것으로 예상된다. 기업은 기존 인증서 생애주기 대비 8배 이상 자주 인증서를 갱신해야 하며, 도메인 유효성 검증도 40배 더 많이 수행해야 한다.

인증서 관리 관련 우려 사항 중 '매우 우려' 또는 '극도로 우려'로 꼽힌 항목은 무엇인가? (출처: DigiCert)

인증서 장애, 큰 비용을 동반한 서비스 중단 유발

인증서 장애는 비즈니스 운영을 심각하게 방해할 수 있다. 조사 대상 기업의 34%는 만료된 인증서로 인한 서비스 장애를 경험했으며, 40%는 인증서 오관리로 인한 다운타임을 보고했다.

응답자의 거의 4분의 3은 지난 한 해 동안 인증서 문제로 인해 최소 5시간 이상의 다운타임을 경험했으며, 그중 21%는 25시간 이상의 다운타임을 겪었다. 인증서 만료는 서비스 중단의 흔한 원인으로 남아 있으며, 수작업 추적 및 갱신 프로세스에 의존하는 조직에 위험을 초래한다.

응답자 4명 중 1명은 가장 심각한 인증서 사고 한 건의 비용이 25만 달러를 초과했다고 답했다.

응답자의 57%는 인증서 장애를 IT 인프라 문제로 분류하는 반면, 17%는 보안 사고로 분류한다. 따라서 인증서 관리는 서비스 가용성과 비즈니스 운영 전반에 영향을 미칠 수 있는 인프라 책임 영역이다.

인증서 물량 증가로 IT 업무 부담 가중

늘어나는 인증서 물량이 IT 팀에 더 많은 업무를 만들어 내고 있다. 조직의 절반 이상이 1,000개 이상의 디지털 인증서를 관리한다. 응답자의 49%는 연간 12회 이상 인증서 관리 및 관련 보안 업무를 수행하며, 39%는 연간 6~10회 수행한다. 인증서 물량이 증가할수록 수작업 발급·갱신·배포·복구 작업에 소요되는 IT 자원도 늘어난다.

인증서 만료, 고객 신뢰, 규제 준수, 여러 클라우드 및 플랫폼에 걸친 인증서 관리가 조직의 주요 우려 사항으로 꼽힌다.

내부 시스템과 외부 시스템을 동시에 관리하는 것은 응답자의 52%가 우려하는 사안이다. 인증서는 서로 다른 플랫폼과 환경에 분산되어 있는 경우가 많아, 수작업을 줄이기 위한 중앙화된 관리 및 자동화의 필요성이 높아지고 있다.

47일 인증서 시대 준비

IT 및 보안 리더의 거의 4분의 3은 향후 2년간 인증서 물량이 증가할 것으로 예상한다. 응답자의 70%는 인증서 유효 기간 단축에 대비하고 있는 반면, 나머지 응답자들은 변화를 인지하고 있으나 아직 준비를 시작하지 않았다.

DigiCert의 글로벌 부사장 겸 현장 CTO인 마이크 넬슨(Mike Nelson)은 "만료된 인증서는 다른 인프라 장애만큼이나 빠르게 중요 서비스를 마비시킬 수 있다"며 "인증서 생애주기가 47일로 단축되면 스프레드시트와 캘린더 알림으로는 감당할 수 없다. 조직은 보유한 모든 인증서의 위치와 소유자를 파악하고, 간과된 만료가 비즈니스 중단으로 이어지기 전에 생애주기를 자동화해야 한다"고 말했다.

일부 기업은 인증서 물량이 대폭 증가할 것으로 예상하며, 환경 전반에 걸쳐 더 빠른 속도로 인증서를 탐색·검증·발급·배포해야 하는 상황에 처할 것이다. 인증서 생애주기의 더 많은 부분을 자동화함으로써 이에 대비할 수 있다.

준비 수준은 시장별로 차이가 있으며, 미국 기업이 영국·호주 기업보다 앞서 있다. 수작업 프로세스에 계속 의존하는 팀에게는 인증서 유효 기간 단축이 업무 부담을 더욱 가중시킬 것이다.

CA/Browser Forum은 웹 PKI(공개키 기반구조) 보안 강화를 위해 인증서 유효 기간을 단축하고 있다. 유효 기간이 짧아지면 인증서 및 검증 정보가 더 최신 상태로 유지되고, 유출되거나 오래된 자격 증명이 유효한 상태로 남아 있는 기간이 줄어든다. 이에 따라 기업은 갱신을 더 자주 관리해야 한다.

인증서 자동화, 갱신을 넘어 전 생애주기로 확장

자동화된 인증서 생애주기 관리는 AI 기반 보안 운영, 소프트웨어 위협 탐지 및 대응에 이어 세 번째로 높은 사이버보안 우선순위로 꼽혔다.

향후 12개월간 인증서 관리 개선 우선순위에서는 DevOps 통합이 1위를 차지했다. 가시성 확보, 컴플라이언스, 소프트웨어 공급망 보안, 수작업 감소도 자동화된 인증서 갱신보다 높은 순위를 기록했다. 따라서 인증서 자동화는 생애주기 전반을 아우르고, 인증서를 활용하는 시스템·팀·워크플로우와 연계되어야 한다.

호주는 컴플라이언스 프로그램 확대를 우선시하는 반면, 미국과 영국 기업은 인증서 가시성 확보를 최우선 과제로 삼고 있다.

레거시 시스템, 인증서 자동화의 발목을 잡다

기업들은 보안 예산의 일부를 인증서 관리에 할당하고 있으며, 비용은 자동화 확대의 장벽으로 작용하고 있다. 절반 이상이 인증서 관리 및 관련 솔루션에 보안 예산의 10% 이상을 투자하지만, 예산 제약은 여전히 추가 자동화의 걸림돌이 되고 있다.

그 외 장벽으로는 레거시 시스템과의 호환성 문제, 경영진의 지지 부족, 비즈니스 사례 또는 투자 대비 수익(ROI)에 대한 불확실성이 있다. 기술 전문 인력 부족도 도입을 제한하는 요인이다.

자동화 도입 장벽을 묻는 질문에 이미 자동화를 갖추고 있다고 답한 응답자는 10%에 불과했다. 자동화 확대를 위해서는 기존 시스템과의 통합 및 서비스 중단·수작업 감소 효과에 대한 비즈니스 사례 마련이 필요하다.