[NES 2019⑥] 클라우드 보안사고 예방하기 위해 확인해야 할 4가지

실시간
뉴스

서비스

[NES 2019⑥] 클라우드 보안사고 예방하기 위해 확인해야 할 4가지

디지털데일리 발행일 2019-04-23 09:33:14

홍하나

URL복사

인공지능(AI), 클라우드, 블록체인, 빅데이터, 5세대(G) 통신 등 신기술이 본격적으로 상용화되면서 전 산업에 걸쳐 IT 인프라 혁신과 디지털전환(Digital Transformation)이 강화되고 있다.

이와 함께 금융, 통신, 공공, 제조 등 각 분야의 디지털전환에 위한 보안 인프라의 강화도 동시에요구되고 있다. 디지털전환 시대에 걸맞는 IT 인프라의 지능화(Intelligence)가 핵심이다.

<디지털데일리>는 오는 4월 24일(수) 개최되는 ‘NES 2019, 디지털트랜스포메이션 & 지능형 보안전략’ 컨퍼런스에 맞춰 보안분야 최신 동향과 함께 현안을 분석하고 전망해본다.<편집자>

[디지털데일리 홍하나기자] 공공, 민간 부문에서의 클라우드 도입 활성화가 예고되고 있다. 정보통신산업진흥원(NIPA)에 따르면, 지난해 국내 전체 클라우드 시장은 약 1조5000억원 규모인 것으로 나타났다. 올해는 이보다 성장한 약 1조9000억원으로 전망된다.

이에 따라 아마존웹서비스(AWS), 마이크로소프트(MS), 네이버비즈니스플랫폼(NBP), NHN, KT 등 클라우드서비스제공자(CSP)의 경쟁이 치열해지고 있다.

반면 클라우드 보안은 상대적으로 무방비한 상황이다. 특히 클라우드에서의 보안 사고는 CSP가 전적으로 책임지지 않기 때문에 이로 발생한 피해와 책임은 상당부분 기업이 떠안을 수 밖에 없다. 따라서 클라우드를 도입할 계획인 기업이나 공공에서는 클라우드 보안 솔루션 도입에 대해 진지하게 고민해 볼 필요가 있다.

실제로 지난해 11월 AWS 서울 데이터센터(리전)의 도메인네임서버(DNS) 오류로 인해 AWS 클라우드를 사용하는 기업들이 서비스 장애를 겪었다. 다행히 국내에서는 이와 관련된 보안 사고는 없었으나, 클라우드가 만능이 아니라는 것을 방증해주는 사건으로 남았다. 따라서 이제는 기업들이 클라우드를 도입하는 것에서 그치지 않고, 이를 위한 보안 체계를 확립해야 한다는 조언이 잇따르고 있다.

IBM은 IT 동향 보고서 ‘IDG Summary’를 통해 기업들이 클라우드 보안을 위해 ▲CSP가 제공하는 보안 기능 ▲접근관리 ▲데이터 보호 ▲가시성확보의 네 가지 요소를 확인해야 한다고 제언했다.

우선 클라우드를 보호할 수 있는 가장 기본적인 방법으로, CSP가 제공하는 다양한 보안 옵션을 활용할 수 있다. 웹방화벽(WAF), 디도스(DDoS) 대응 솔루션, 네트워크 보안, 계정 및 접근관리, 보안 모니터링 옵션 등 다양한 옵션을 이용할 수 있다.

대표적인 예로, 최근 AWS는 자체 보안 서비스를 강화하고 있다. 현재 AWS는 보안과 관련해 침입 테스트, 자격증명 및 엑세스 제어, 모니터링 및 로깅, 인벤토리 및 구성, 데이터 암호화, 디도스 완화, 인프라 보안 등의 서비스를 제공하고 있다.

국내 보안 업계 관계자는 “AWS에서 자체 보안 솔루션을 하나 둘 내놓고 있다”며 “물론 아직까지 기본적인 기능이긴 하지만, 보안 기업 입장에서는 AWS의 이러한 행보에 대해 긴장감을 늦출 수 없다”고 밝혔다.

두 번째로 클라우드에서의 접근 권한 관리다. 이때 기업에서 흔히 사용하는 시스템인 싱글사인온(SSO)를 통해 다양한 조건과 정보를 기반으로 접근 통제에 대한 정책을 수립, 적용할 수 있다. 예를 들어 클라우드 상에서의 사용자 인증은 기존의 아이디와 비밀번호가 아니라, ‘아이디+모바일 OTP'나 ’아이디+생체인증‘ 등 강화된 인증을 사용할 수 있다.

IBM은 “보안이 강화된 아이덴티티 프로바이더 서비스 활용을 통해 사용자는 간편하고 빠르게 다양한 클라우드 서비스를 활용할 수 있다”고 설명했다. 또 운영관리 측면에서도 효율적이다. 접근 정책을 관리하고 강제화할 수 있으며, 사용자 행위에 대한 가시성을 확보할 수 있다.

세 번째로 클라우드 상의 가상 서버나 데이터베이스(DB) 상의 데이터에 대한 보호다. 이에 IBM은 클라우드 데이터 보호를 위해 고려해야 하는 구성요소로 ▲데이터 암호화 ▲데이터 식별 및 모니터링 ▲개인정보보호 및 규제준수를 지목했다.

클라우드 상에 저장되는 파일, 오브젝트, 스토리지 등 다양한 종류의 주요 데이터에 대해 암호화를 해야 한다. 사용 목적이 완료된 데이터는 클라우드 상에서 폐기해야 한다. 또 중요한 데이터의 침해를 막기 위해 클라우드 상에서 데이터를 검색하고 분류하도록 프로세스를 자동화해야 한다. 모니터링은 데이터에 접근하는 정보를 알 수 있으며, 이를 통제할 수도 있다.

마지막으로, 클라우드 보안에 대한 통합 보안관제를 통한 가시성을 확보하는 방안도 있다. 기존의 보안관제센터(SOC)는 네트워크 경계, 시스템의 보안에 중점을 뒀다. 반면 차세대 SOC는 클라우드와 같은 멀티 환경에 대응한다. 현재 IBM, 삼성SDS, SK인포섹, 안랩, 시만텍 등이 클라우드 보안관제와 관련 서비스를 제공 중이다.

공통적으로 클라우드 보안관제 서비스는 내외부에서 발생하는 모든 보안 위협을 학습해 분석하고 빠르게 정보를 제공한다. 정보를 다각적으로 보고 판단할 수 있는 시각화를 제공해 분석 시간을 단축하고, 빠른 대응을 통해 조기에 위협을 차단할 수 있도록 하는 것을 추구한다.

IBM은 “핵심적인 토대가 되는 클라우드 접근 관리, 데이터 보호와 가시성 확보는 어떤 환경에서든 공통적으로 필요하며 필수적인 보안 통제 영역”이라며 “현재 클라우드를 도입했거나, 도입을 검토하는 기업이라면 우선적으로 SOC 보안기능, 접근관리, 데이터 보호, 가시성 확보에 대해 검토하고, 첫 단계에서부터 적용할 수 있도록 고려해야 한다”고 강조했다.

<홍하나 기자>hhn0626@ddaily.co.kr