인프라만 옮기면 끝일까 실무자가 전하는 클라우드보안 실패하지 않는 법

클라우드보안 설계를 인프라 구축보다 먼저 고민해야 하는 이유

클라우드로 전환만 하면 보안 문제가 절로 해결될 것이라 믿는 기업들을 자주 마주한다. 하지만 이는 큰 착각이다. 클라우드 사업자가 물리적인 서버 인프라를 지켜줄지는 몰라도 그 위에서 돌아가는 데이터와 애플리케이션의 안전은 온전히 사용자 책임이기 때문이다. 책임 공유 모델이라는 개념을 머리로는 이해해도 막상 구축 단계에 들어가면 비용 절감을 핑계로 보안 설계를 뒤로 미루는 경우가 허다하다.

보안 사고가 터진 뒤에 수습하려 들면 초기 구축 비용의 5배에서 10배에 달하는 복구 비용이 발생한다. 단순히 돈 문제가 아니라 브랜드 신뢰도 추락은 숫자로 환산하기 힘든 타격을 준다. 300명 규모의 중소기업이 그룹웨어를 도입하면서 보안컨설팅을 생략했다가 랜섬웨어로 전 직원의 메일 데이터가 암호화된 사례를 본 적 있다. 결국 인프라 설정 단계부터 보안 정책을 촘촘하게 짜지 않으면 클라우드는 편리한 도구가 아니라 가장 위험한 통로가 된다.

공공기관 클라우드 전환의 핵심 CSAP 등급제 확인과 도입 절차

공공 클라우드 시장을 노린다면 클라우드보안인증제도인 CSAP 개편안을 반드시 숙지해야 한다. 기존의 획일적인 망 분리 규제가 완화되면서 상, 중, 하 3단계 등급제로 개편된 점이 핵심이다. 특히 하 등급의 경우 개인정보를 포함하지 않는 시스템에 한해 논리적 망 분리를 허용하면서 민간 클라우드 기업들의 진입 장벽이 낮아졌다. 하지만 낮아진 문턱만큼 책임의 무게는 더 무거워졌음을 잊지 말아야 한다.

도입을 준비한다면 먼저 본인들의 시스템이 어떤 등급에 해당할지 자가 진단하는 과정이 필요하다. 첫째로 데이터의 민감도를 분석하여 상, 중, 하 등급 중 어디에 속할지 분류해야 한다. 둘째로 해당 등급에 맞는 보안 요건을 충족하는 클라우드 서비스 제공자(CSP)를 선정해야 한다. 셋째로 선정된 인프라 위에서 보안 가이드라인에 맞춘 아키텍처를 구성하고 KISA의 최종 승인을 받는 순서로 진행된다. 보통 이 과정에만 짧게는 3개월에서 길게는 6개월 이상의 기간이 소요되므로 사업 일정을 짤 때 충분한 여유를 두는 게 맞다.

경계 보안의 핵심인 SSLVPN과 WAF 선택 기준 비교 분석

원격 근무가 일상화되면서 VPN장비 도입 문의가 쏟아진다. 여기서 실무자들이 흔히 하는 실수가 SSLVPN 하나면 모든 통로가 안전할 것이라 믿는 점이다. SSLVPN은 외부 사용자가 내부 네트워크에 안전하게 접속하는 통로 역할을 할 뿐이지 웹 애플리케이션 자체에 대한 공격을 막아주는 도구가 아니다. 반면 WAF(Web Application Firewall)는 웹 서버 앞단에서 SQL 인젝션이나 크로스 사이트 스크립팅 같은 직접적인 웹 공격을 걸러내는 역할을 한다.

두 솔루션의 차이를 명확히 인지해야 중복 투자를 피할 수 있다. SSLVPN은 사용자 인증과 데이터 전송 구간의 암호화에 특화되어 있고 WAF는 비정상적인 트래픽 패턴을 탐지하여 서버를 직접 보호하는 데 강점이 있다. 따라서 직원의 재택근무가 잦다면 SSLVPN을 우선순위에 두고 대외적인 웹 서비스의 비중이 높다면 WAF 도입을 먼저 검토하는 것이 합리적이다. 물론 가장 이상적인 구조는 게이트웨이(Gateway) 단에서 이 두 가지를 상호 보완적으로 배치하는 형태지만 예산이 한정적이라면 우리 비즈니스의 트래픽이 어디서 더 많이 발생하는지를 따져봐야 한다.

데이터 유출 방지를 위한 문서중앙화 도입 시나리오별 단계별 가이드

클라우드 환경에서 내부 직원에 의한 자료 유출은 가장 뼈아픈 실책이다. 이를 막기 위해 파일암호화나 문서중앙화 솔루션을 고려하게 된다. 문서중앙화는 단순히 파일을 서버에 모으는 작업이 아니라 임직원의 업무 패턴 자체를 바꾸는 일이라 도입 과정에서 내부 저항이 상당히 심한 편이다. 따라서 기술적인 구현보다 정책적인 합의를 먼저 이끌어내는 과정이 선행되어야 한다.

성공적인 도입을 위해서는 3단계 과정을 거쳐야 한다. 1단계는 데이터 전수 조사다. 어떤 문서가 암호화 대상인지 혹은 외부 반출이 가능한지 분류 체계를 수립하는 단계다. 2단계는 제어 정책 설정이다. 부서별, 직급별로 접근 권한을 세분화하고 캡처 방지나 워터마크 적용 범위를 결정한다. 3단계는 모니터링 체계 구축이다. 이상 징후가 포착될 때 관리자에게 즉시 알림이 가도록 설정하고 정기적으로 보안 로그를 분석하는 프로세스를 안착시켜야 한다. 보안컨설팅을 진행해보면 이 정책 수립에만 보통 4주에서 8주 정도가 소요되는데 이 시간을 아깝게 생각하면 결국 유명무실한 솔루션이 되고 만다.

양자 암호 기술이 가져올 클라우드보안의 변화와 현실적인 타협점

최근 양자컴퓨터의 발전으로 기존 암호화 체계가 무력화될 수 있다는 우려가 나오면서 양자보안에 대한 관심도 뜨겁다. 하지만 현재로서는 중소기업이나 일반 기업이 양자 암호 기술을 당장 도입하기에는 비용과 인프라 측면에서 한계가 분명하다. 지금 당장 퀀텀 기술을 적용하겠다고 비싼 비용을 지불하기보다는 기존의 암호화 알고리즘을 최신 버전으로 유지하고 접근 제어 정책을 강화하는 제로 트러스트 관점의 접근이 훨씬 현실적이다.

클라우드보안에 완벽한 정답은 없다. 기술은 계속 발전하고 해킹 수법은 그보다 한발 앞서 나가기 마련이다. 가장 위험한 태도는 솔루션 하나 설치했으니 이제 안심해도 된다는 방심이다. 정보보호 공시 종합포털 같은 곳에서 우리 업종의 최신 침해 사고 사례를 주기적으로 살피는 태도가 필요하다. 지금 당장 우리 회사의 보안 수준이 궁금하다면 전문 기관의 보안 점검 가이드라인을 내려받아 자가 진단부터 시작해보는 것을 권한다. 보안은 기술의 영역이기도 하지만 결국은 관리와 관심의 연속이기 때문이다.