![[DT광장] `클라우드 보안`에 눈을 떠라](http://contents.dt.co.kr/images/201601/2016012902102351812001[1].jpg "[DT광장] `클라우드 보안`에 눈을 떠라")
지난해는 글로벌 IT 공룡들도 사이버 공격으로 인해 몸살을 앓던 해였다. 아이클라우드를 이용하던 연예인의 개인적인 사진이 노출된 애플의 유명인사게이트(celebgate)는 전세계를 떠들썩하게 했고, 영국의 코드 스페이스(Code Spaces)는 디도스(DDoS) 공격과 계정 탈취, 데이터 손실 등으로 결국 사업을 접어야 했다.
이처럼 클라우드 보안에 대한 우려의 목소리가 여전히 높다. 클라우드 보안 업체인 얼럿 로직(Alert Logic, lnc.)은 클라우드 애플리케이션 공격이 지난해에 비해 무려 45%나 증가했다고 밝혔으며, 포레스터 리서치는 기업들이 향후 5년간 클라우드를 방어하는데 20억 달러의 비용을 지불하게 될 것이라고 보고했다.
클라우드를 처음 시작하는 사용자들은 새로운 환경에 익숙지 않고 사용자, 데이터, 보안을 관리하는 새로운 방법을 익히는 과정 중에 더 많은 위험에 노출될 수 있다. 이들이 반드시 고려해야 할 5가지 보안 이슈를 짚어보고자 한다.
첫째, 클라우드 영역에 대한 정확한 이해가 필요하다. 클라우드 구축에는 3개의 주요한 영역이 있다. 클라우드 벤더, 네트워크 서비스 프로바이더, 그리고 엔터프라이즈다. 먼저, 보안 서비스 및 정책이 이 3개의 영역에 공통적으로 적용되는지 살펴봐야 한다. 벤더 선택 시에 클라우드 벤더가 어떤 보안 서비스를 제공하는지, 그리고 협업하고 있는 보안 벤더가 어디인지를 반드시 확인해야 한다. 클라우드는 매우 역동적인 환경이기 때문에 최신 위협에 효과적으로 대응하려면 보안 아키텍처에 대한 정기적인 업데이트가 반드시 요구된다. 클라우드 벤더가 새로운 보안 익스플로잇과 제로-데이 취약성에 효과적으로 대응할 수 있는지 파악해야 한다. 또한, 클라우드 벤더가 어디까지 보안을 책임질 것인지 정확하게 따져봐야 한다. 일부 클라우드 서비스의 경우, 클라우드 내 애플리케이션과 데이터를 보호하는 것은 오로지 해당 기업의 몫인 경우도 있다.
둘째, 새로운 방어 체계의 추가를 고려해봐야 한다. 애플리케이션을 클라우드로 이동시키기 전에 애플리케이션의 인증 및 로그인 프로세스에 대한 기존의 보안 시스템에 새로운 방어체재를 추가할 것을 고려해 보라. 클라우드 애플리케이션 접근 시에 보안을 강화하기 위해서는 보다 세밀한 데이터 액세스 계획이 있어야 한다. 역할, 프로젝트별로 액세스 권한에 제한을 두거나, 공격자가 직원의 로그인 인증을 탈취할 것에 대비해 보호 계층을 하나 더 만들 수도 있다. 로그인 프로세스에 대한 보안을 강화하기 위해 이중 인증, 일회용 패스워드의 사용 등을 고려해 볼 수도 있다.
셋째, 데이터 암호화에 대해 면밀히 검토해 봐야 한다. 데이터 암호화는 클라우드에서 가장 중요한 보안 기법 중 하나이며, 파일 이동 및 이메일에 대해서는 반드시 요구되는 부분이다. 해킹 시도나 데이터 도난을 막지 못한다 해도 데이터 암호화를 통해 비즈니스를 보호할 수 있기 때문이다. 클라우드 벤더의 데이터 암호화에 대한 계획을 정확히 따져보고, 데이터가 사용 중이거나 이동 시 또는 미사용 시에 어떻게 암호화되는지 파악하는 것이 필요하다.
넷째, 가상화 환경에 대한 보안 정책에 대해 파악해야 한다. 클라우드로의 이동은 기업이 가상화의 이점을 누릴 수 있다는 것을 뜻한다. 그러나 가상화 환경은 데이터 보호 측면에서는 또 다른 과제를 가져올 수 있다. 클라우드 제공업체의 구체적인 가상 환경 보호 방안을 확인하고 어떤 가상 보안 애플리케이션을 사용할 것인지 면밀히 파악해야 한다. 프라이빗 혹은 하이브리드 클라우드를 구축한다면, 세부적인 컨트롤이 가능한 보안 제품을 구축할 것을 권한다.
다섯째, 쉐도우 IT에 대해 고려해야 한다. IT 팀에서 승인하지 않은 애플리케이션이나 클라우드 서비스를 사용하는 경우, 잠재적인 보안 위협으로 작용할 수 있는 '쉐도우 IT(shadow IT)'에 대한 위험성이 커지고 있다. 새로운 클라우드 애플리케이션은 '쉐도우 IT'로 인해 위험에 노출될 수 있다. 어떤 직원이 스마트폰 상에서 파일을 여는 간단한 시나리오를 생각해보자. 핸드폰은 파일 복사본을 만들 것이며, 핸드폰이 규칙적인 자동 백업을 실행할 때 이 파일은 승인 받지 않은 온라인 스토리지에 저장될 것이다. 기업 데이터가 보안을 보장할 수 없는 위치로 옮겨지는 것이다. 그러나 '쉐도우 IT'에 대한 우려로 비인증 클라우드 애플리케이션에 대한 모든 액세스를 막는 것은 조직의 성장을 저해하는 결과를 낳을 수도 있다. 이에 직원들을 교육시키고 그 문제를 해결할 수 있는 기술을 도입하는 편이 훨씬 효과적이다. 클라우드 앱을 처음 시작하는 사용자들에게 암호화, 네트워크 모니터링, 보안 관리 툴은 쉐도우 IT의 위험으로부터 보호하는데 상당한 도움을 줄 것이다.
조현제 포티넷코리아 대표
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
