변동성이 크고 진화하는 암호화폐 시장 속에서 암호화폐 거래소는 사용자 데이터와 자금을 침해하려는 더 큰 적대자에 직면해 있습니다. 이번 주, 우리는 플립스터의 최고정보보안책임자(CISO)인 저스틴 홍과 독점 인터뷰를 가졌습니다. 홍은 암호화폐 거래 플랫폼이 인증, 제품 혁신 및 실시간 위협 대응을 통해 어떻게 자신을 강화하는지에 대해 공개했습니다.
홍에 따르면 플립스터은 올해만 해도 15개 이상의 제품 수준 보안 업데이트를 출시했습니다. 이러한 업데이트는 ISO/IEC 27001 인증과 CER.live의 'AA' 등급과 결합되어 사용자에게 안전하고 보안된 거래 환경을 보장합니다.
플립스터에서의 근무
Q: 안녕하세요 저스틴, 자기 소개와 최고정보보안책임자로서의 역할, 그리고 왜 이것이 Web3 기업들에게 필수적인지 알려주세요.
A: 저는 지난 16년 동안 사이버 보안 분야에서 경력을 쌓아왔으며, 은행, 핀테크, 블록체인 전반에 걸쳐 경험을 쌓았습니다. 각 분야는 고유한 도전을 안겨주며, 이러한 경험들은 특히 위험도가 독특한 Web3에서 보안에 접근하는 방식을 형성했습니다. 여기서 노출 수준은 전통 금융에서 본 적 없는 수준입니다. 더 많은 사용자 통제, 더 많은 혁신, 그리고 불행히도 나쁜 행위자들의 더 많은 관심이 있습니다.
플립스터에서 저는 리스크 관리와 규정 준수부터 사고 대응, ISO/IEC 27001과 같은 국제 프레임워크를 운영에 통합하는 것까지 모든 것을 아우르는 글로벌 보안 기능을 이끌고 있습니다. 암호화폐는 빠르게 움직이며 위협도 마찬가지로 빠르게 진화합니다. 우리는 이를 염두에 두고 구축하며, 항상 대응하는 것이 아니라 앞서 생각합니다.
Q: 빠른 속도와 높은 위험을 특징으로 하는 암호화폐 거래 플랫폼 세계에서 플립스터에서 일하는 것은 어떤가요?
A: 걸려 있는 것이 많기 때문에 이 일이 매우 보람차게 느껴집니다. 이 공간의 보안은 수동적이지 않습니다. 당신은 기술계에서 가장 창의적이고 결단력 있는 적대자들과 맞서고 있습니다. 그것은 당신을 날카롭게 유지하게 하고, 진화하도록 강요합니다.
플립스터에서 돋보이는 점은 모든 사람이 얼마나 잘 맞닿아 있는지입니다. 미션은 명확합니다. 우리는 사람들이 신뢰할 수 있는 안전하고 신뢰할 수 있는 거래 플랫폼을 구축하기 위해 여기 있습니다. 우리는 긴밀한 협력, 빠른 피드백 루프, 지속적인 테스트를 통해 그 집중력을 작업 방식에서 봅니다.
Q: 플립스터에서 신뢰를 어떻게 정의하며, 팀은 이를 구축하고 유지하기 위해 어떻게 노력하고 있나요?
A: 신뢰는 일관성을 통해 시간이 지남에 따라 구축됩니다. 투명하고 명확하며 책임감 있게 행동하는 것입니다. 우리는 리스크 관리, 사용자 자금 보호, 사고 대응 방식을 소통합니다. 문제가 발생하면 사용자는 무슨 일이 일어났는지 그리고 어떻게 해결되고 있는지 알 권리가 있습니다.
백엔드에서는 제로 트러스트 모델을 운영합니다. 모든 시스템과 사용자는 내부이든 외부이든 동일한 주의 깊게 처리됩니다. 이러한 사고방식은 피싱 위협 및 기타 내부 위험에 앞서갈 수 있게 합니다. 하지만 보안이 사용자 경험을 희생해서는 안 됩니다. 우리는 더 안전하고 더 직관적으로 만들기 위해 기능을 지속적으로 개선하고 있습니다. 이 두 가지가 조화를 이룰 때 사용자는 안전성과 사용성 사이에서 선택할 필요가 없습니다.
플립스터의 ISO/IEC 27001 및 CER.live 인증
Q: 암호화폐 플랫폼은 보안 사고의 '온상'이 되고 있으며, 대부분의 경우 상당한 금액의 손실을 초래합니다. 플립스터에서 근무하는 동안 그러한 시도를 목격했나요? 어떻게 수습했나요?
A: 우리는 다양한 사고를 목격했습니다—DDoS 공격, 피싱 캠페인, 사칭 시도 등 몇 가지를 꼽아보자면 이러한 위협은 실제적이고 상시적입니다.
예를 들어 DDoS를 들어보겠습니다. 공격자들은 우리 플랫폼을 방해하려고 시도했고 심지어 몸값 요구까지 했습니다. 하지만 우리는 모든 계층에 내장된 탐지 및 완화 컨트롤을 갖추고 있으며, 대응 팀은 빠르게 행동하도록 훈련되어 있습니다. 피싱 시나리오에서는 악의적 행위자들이 채용 지원자나 파트너로 가장하여 우리 팀을 속여 해로운 파일을 열도록 시도했습니다. 우리의 시스템은 이러한 위협을 빠르게 포착하도록 설계되었으며, 사후 심층 분석을 통해 방어를 더욱 강화합니다.
Q: 플립스터는 최근 CER.live로부터 AA 인증을 받았습니다. 이 인증은 무엇을 포함하며, 사용자에게 어떤 의미를 가집니까?
A: 2018년 이후 CER.live는 18개 이상의 보안 지표를 기반으로 한 엄격한 방법론을 사용하여 수백 개의 거래소를 평가해 왔습니다. 이는 해당 공간에서 가장 신뢰할 수 있는 독립적인 벤치마크 중 하나입니다.
사용자에게 이러한 인증은 명확한 신호입니다. 제3자가 우리 플랫폼을 심사하고 보안의 품질을 검증했다는 것을 알려줍니다. 이를 ISO/IEC 27001 인증과 결합하면, 우리가 말하는 것뿐만 아니라 운영 방식에서도 신뢰를 진지하게 생각하는 회사의 모습을 볼 수 있습니다.
Q: CER.live 인증 외에도 플립스터가 최근에 구현한 주요 보안 관행이나 프로토콜이 있나요? 사용자가 알아야 할 사항입니다.
A: 우리는 올해 15개 이상의 제품 수준 보안 기능을 출시했습니다. 주요 업그레이드에는 패스키 지원, 출금 잠금, 주소 화이트리스트가 포함됩니다. 각각은 사용자에게 더 많은 통제권을 제공하고 보호 계층을 추가합니다.
저는 항상 패스키와 출금용 주소장을 모두 활성화할 것을 권장합니다. 이러한 간단한 조치가 실제 차이를 만듭니다. 우리는 또한 사용자가 자신의 계정에 접근하는 장치를 추적하고 관리할 수 있는 새로운 장치 관리 도구를 구축 중입니다. 이는 사용자가 통제권을 유지할 수 있도록 돕는 또 다른 방법입니다.
Q: 일부 플랫폼은 CER.live로부터 AAA 등급을 받았습니다. 이것이 플립스터의 목표인가요? 이를 위해 어떤 보안 조치를 준비 중이신가요?
A: 우리의 관심사 목록에 있으며, 우리는 꾸준한 진전을 이루고 있습니다. 우리는 현재 서버 보호를 강화하고, 피싱 방지 도구를 출시하며, 향상된 장치 관리 기능을 통해 사용자에게 더 많은 통제권을 제공하는 데 집중하고 있습니다.
결국 우리는 배지를 쫓는 것이 아니라 사용자를 위해 실제로 플랫폼을 개선하는 것을 쫓습니다. 실제 가치를 더하고 방어를 강화하는 것이면 우리는 그것을 구축합니다. AAA 등급은 마일스톤이지 종착점이 아닙니다.
버그 바운티 및 기타 보안 기능
Q: 플립스터는 화이트햇 해커들이 거래소의 장기적 신뢰와 투명성 목표와 일치하는 방식으로 인센티브를 받을 수 있도록 어떻게 보장합니까?
A: 우리는 해켄프루프와 공개 버그 바운티 프로그램을 진행 중이며, 연구자들이 자신의 발견을 우리에게 공유할 수 있는 명확하고 신뢰할 수 있는 경로를 제공합니다. 그들의 팀은 제출물의 영향력과 품질을 검토하며, 우리는 심각도에 따라 공정한 보상을 제공합니다.
버그를 찾는 것을 넘어, 이는 전 세계 보안 커뮤니티를 우리의 미션에 참여시키는 것입니다. 연구자들이 자신의 노력이 가치 있고 행동으로 이어진다는 것을 알면, 생태계를 더 강하게 만드는 데 도움을 줄 가능성이 높아집니다. 이는 모두를 위한 승승입니다.
Q: CISO이자 해당 분야의 사상이 리더로서, 보안 기준을 개선하려는 다른 기업들에게 어떤 조언을 해주고 싶으신가요?
A: 기본을 먼저 제대로 하십시오. 대부분의 침해는 누락된 패치, 열린 권한, 약한 접근 제어와 같은 기본적 과실로 인해 발생합니다. 이를 제대로 처리하면 위험의 상당 부분을 제거할 수 있습니다.
그 외에도 사람과 프로세스에 투자하십시오. 세상에 모든 도구를 갖추고 있더라도 팀이 훈련되지 않았거나 사고 대응 매뉴얼이 테스트되지 않았다면 취약합니다. 보안을 CISO만의 일이 아닌 모두의 업무로 만드는 문화를 구축하십시오. 이러한 사고방식의 전환에는 시간이 걸릴 수 있지만 모든 노력을 기울일 가치가 있습니다.
Q: 마지막으로, 사회 공학 공격도 해당 공간에서 만연해 있습니다. 사용자가 계정을 침해하려는 시도에 대해 보호되거나, 오히려 경고받을 수 있도록 어떤 조치를 구현했나요?
A: 우리는 사회 공학을 계정 탈취와 사기성 이송이라는 두 가지 범주로 고려합니다. 먼저, 우리는 패스키, 2FA, 실시간 로그인 알림, 주소 화이트리스트와 같은 강력한 보호 장치를 내장했습니다. 곧 장치 관리 기능도 추가될 예정입니다.
사용자 교육은 사기 예방에서 중요한 역할을 합니다. 우리는 정기적인 보안 업데이트를 공유하고 있으며, 의심스럽거나 알려진 사기 주소에 대한 경고를 표시하는 도구를 개발 중입니다. 목표는 사용자에게 지식과 도구를 모두 제공하여 안전하게 지낼 수 있도록 하는 것입니다. 잘 informed된 사용자는 최고의 방어선 중 하나입니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com 본 페이지에 제공된 정보를 바탕으로 이루어진 투자에 대해 어떠한 책임도 지지 않습니다. 투자 결정을 내리기 전에 반드시 독립적인 조사나 자격을 갖춘 전문가의 상담을 강력히 권장합니다.
Brian Koome
브라이언 쿰은 2017 년 이후 블록체인 및 암호화폐 업계에서 활동해 온 7 년 이상의 경험을 보유하고 있습니다. BlockToday.com 을 포함한 주요 출판사에 기고했으며, BitDegree.org 에서 이더리움 101 과정을 개발한 후 Cryptopolitan 의 전속 작가로 합류했습니다. 브라이언은 에버그린 가이드 (EG), 심층 분석, 인터뷰, 가격 분석을 다루며 DeFi, 블록체인 혁신, 그리고 신흥 암호화폐 프로젝트에 집중하여 독자들에게 큰 호응을 얻고 있습니다.
