IT 자산 관리를 넘어 보안 가시성(Security Visibility)으로

기업의 IT 환경은 온프레미스(On-Premises) 중심에서 클라우드, SaaS, 원격 근무 환경으로 빠르게 변화하고 있습니다. 이에 따라 관리해야 할 IT 자산의 종류와 수는 지속적으로 증가하고 있으며, 자산을 정확하게 파악하는 일은 보안 운영의 가장 중요한 출발점이 되었습니다.

이 과정에서 많이 언급되는 개념이 CMDB(Configuration Management Database)와 CAASM(Cyber Asset Attack Surface Management)입니다.

두 기술 모두 IT 자산을 관리한다는 공통점이 있지만, 목적과 관리 방식에는 분명한 차이가 있습니다.

이번 글에서는 CMDB와 CAASM의 차이점을 살펴보고, 현대 기업 환경에서 왜 CAASM이 중요한지 알아보겠습니다.

CMDB(Configuration Management Database)란?

CMDB는 기업의 IT 서비스를 구성하는 서버, PC, 네트워크 장비, 애플리케이션 등 다양한 구성 항목(Configuration Item, CI)을 저장하고 관리하는 데이터베이스입니다.

주요 목적은 IT 서비스 운영을 안정적으로 유지하는 것입니다.

대표적으로 다음과 같은 정보를 관리합니다.

• 서버 및 네트워크 장비

• 애플리케이션

• 운영체제

• 소프트웨어

• 자산 간의 의존 관계(Relationship)

• 변경 이력(Change Management)

CMDB는 ITSM(IT Service Management)의 핵심 요소로 활용되며, 장애 관리와 변경 관리 업무에서 중요한 역할을 수행합니다.

CAASM(Cyber Asset Attack Surface Management)이란?

CAASM은 기업 내부에 존재하는 모든 IT 자산을 다양한 보안 시스템과 IT 관리 시스템으로부터 수집하고 통합하여 현재 기업이 실제 보유하고 있는 자산을 정확하게 식별하고 관리하는 보안 플랫폼입니다.

CMDB가 "등록된 자산"을 관리하는 데 초점을 맞춘다면,

CAASM은

• 등록되지 않은 자산

• 관리되지 않는 자산

• Shadow IT

• 클라우드 자산

• SaaS 자산

• 보안 솔루션마다 다르게 인식되는 자산

까지 함께 식별하여 보안 가시성을 확보하는 것이 목적입니다.

즉, "모든 자산을 알고 있어야 모든 자산을 보호할 수 있다."는 개념이 CAASM의 핵심입니다.

CMDB와 CAASM의 차이

다음 표는 두 기술의 주요 차이점을 비교한 것입니다.

CMDB와 CAASM은 경쟁 관계가 아니라 서로 다른 목적을 가진 기술입니다.

CMDB는 IT 운영을 위한 기준 정보를 제공하고, CAASM은 보안 운영을 위한 자산 가시성을 제공합니다.

왜 CMDB만으로는 부족할까?

과거에는 대부분의 IT 자산이 데이터센터 내부에서 운영되었기 때문에 CMDB만으로도 자산 관리가 가능했습니다.

하지만 최근에는 다음과 같은 환경 변화가 발생하고 있습니다.

• 퍼블릭 클라우드(AWS, Azure, GCP)

• SaaS 서비스 사용 증가

• 원격 근무 확대

• BYOD(Bring Your Own Device)

• 컨테이너 및 쿠버네티스 환경

• 계열사 및 협력사 시스템 연계

이러한 환경에서는 신규 자산이 매우 빠르게 생성되고 삭제됩니다.

만약 CMDB가 갱신되지 않는다면 실제 운영 중인 자산과 관리 목록 사이에 차이가 발생하게 됩니다.

결국 보안팀은 존재하는 자산을 모르거나, 반대로 이미 사용하지 않는 자산을 계속 관리하는 문제가 발생할 수 있습니다.

CAASM이 해결하는 문제

CAASM은 여러 시스템의 정보를 통합하여 자산 정보를 지속적으로 최신 상태로 유지합니다.

예를 들어 다음과 같은 정보를 하나의 플랫폼에서 연계하여 분석할 수 있습니다.

• Endpoint 관리 솔루션

• Active Directory

• 취약점 진단 솔루션

• EDR

• 클라우드 플랫폼

• CMDB

• 네트워크 장비

• 보안 구성 관리 시스템

이렇게 수집된 데이터를 기반으로

• 누락된 자산

• 중복 자산

• 관리되지 않는 자산

• 취약점이 존재하는 자산

• 보안 정책이 적용되지 않은 자산

등을 빠르게 식별할 수 있습니다.

CMDB와 CAASM은 함께 활용되어야 한다

CMDB와 CAASM은 서로를 대체하는 기술이 아닙니다.

CMDB는 IT 서비스 운영을 위한 기준 데이터를 관리하고, CAASM은 다양한 시스템에 흩어져 있는 자산 정보를 통합하여 보안 관점에서 전체 자산을 식별합니다.

특히 최근에는 자산 관리와 보안 운영이 점점 긴밀하게 연결되고 있어 두 시스템을 함께 활용하는 사례가 늘어나고 있습니다.

CMDB가 운영의 기준이라면, CAASM은 보안의 기준이라고 할 수 있습니다.

마치며

오늘날 기업 환경에서는 "자산을 모르면 보호할 수도 없다."는 말이 더 이상 과장이 아닙니다.

클라우드, SaaS, 원격 근무 환경이 확대되면서 IT 자산은 더욱 다양해지고 있으며, 기존의 관리 방식만으로는 모든 자산을 파악하기 어려워졌습니다.

CMDB는 IT 운영의 기반을 제공하는 중요한 시스템이며, CAASM은 이러한 자산 정보를 다양한 보안 및 IT 시스템과 연계하여 기업의 전체 공격 표면을 가시화하는 역할을 수행합니다.

효율적인 보안 운영의 첫걸음은 취약점 관리가 아니라 정확한 자산 식별과 가시성 확보입니다. 이를 위해 많은 기업들이 CMDB와 CAASM을 함께 활용하여 보다 체계적인 IT 자산 관리와 보안 운영 체계를 구축하고 있습니다.