|
관리되지 않은 클라우드는 공격자에게 공격 통로를 활짝 열어두는 것과 같은 위험성을 갖고 있다. 특히 하이브리드 클라우드 환경에서 이러한 위험이 높아진다. 하이브리드 클라우드를 안전하게 운영하기 위한 보안 기술 ▲클라우드 접근 보안 중개(CASB) ▲API 보안 ▲통합계정접근관리(IAM)를 알아본다.<편집자>
클라우드, 디지털 디스럽션 도구로 활용
클라우드의 가장 중요한 혜택은 비즈니스 민첩성이다. 퍼블릭 클라우드를 사용하면 IT 장비나 애플리케이션을 구입하고 구축하는 과정 없이 즉시 서비스를 할당받아 사용할 수 있다. 필요 없게 된 서비스는 이용을 중단하면 되므로 폐기 과정에서의 중요정보 유출 우려도 없다. 필요한 만큼 사용하고 비용을 지불하면 되므로 예산을 효율적으로 사용할 수 있으며, 비즈니스 확장이나 축소를 고민하지 않고 시장 상황에 따라 자유롭게 서비스를 추가하거나 축소할 수 있다.
지진, 홍수와 같은 재난이 발생했을 때에도 클라우드는 확실한 장점이 된다. 퍼블릭 클라우드 서비스를 이용하면 서비스 공급업체와 맺은 서비스 수준 준수 협약(SLA)에 따라 데이터와 서비스의 연속성을 보장받을 수 있어 재난 상황에서도 비즈니스를 안전하게 보호할 수 있다. 클라우드 서비스 사업자들은 원격지에 DR을 구동하고 있기 때문에 주 센터가 재난으로 피해를 입었다 해도 서비스를 DR센터로 이관해 서비스 중단 없이 이어갈 수 있다.
비즈니스 민첩성과 연속성을 감안하면 퍼블릭 클라우드가 확실한 이점이 있다. 기업/기관이 IT를 운영하지 않아도 되기 때문에 재해, 재난, 해킹 등 외부 위협으로 인한 피해를 피할 수 있으며, 높은 수준의 전문가들이 운영하는 IT 서비스를 이용하기 때문에 기업/기관 내 IT 조직 인력의 실수로 인한 비즈니스 리스크도 줄일 수 있다.
그러나 모든 업무를 퍼블릭 클라우드로 이관하는 것은 현실적이지 않다. 업무 특성에 따라 기업 내에서 관리해야 하는 경우가 있으며, 때로는 레거시 인프라만을 사용해야 하는 애플리케이션도 있을 수 있으며, 규제에 의해 클라우드 이관이 어려운 업무도 있다.
개발된 지 오래된 서비스 중 가상환경을 지원하지 않는 경우, 클라우드 이관이 불가능한 경우도 있으며, 클라우드에 별도의 라이선스를 부과하는 소프트웨어는 클라우드 이용시 라이선스가 급증할 수도 있다.
빌 맥기(Bill McGee) 트렌드마이크로 하이브리드 클라우드 보안 담당 부사장은 9월 서울에서 열린 ‘클라우드섹2016’ 행사 기조연설에서 “IT는 클라우드로 가는 여정에 있다. 기업은 클라우드를 통해 디지털 디스럽션을 이루고 있으며, 이를 통해 쉽게 비즈니스 가치를 높일 수 있다”며 “클라우드로의 여정은 온프레미스, 프라이빗·퍼블릭 클라우드를 혼용하는 하이브리드 환경으로 가고 있으며, 이 환경을 운영하기 위한 관리·보안 정책이 반드시 고려돼야 한다”고 강조했다.
| |
 |
|
| ▲엔터프라이즈 IT의 중요 고려 사항(자료: 라이트스케일 ‘2016 클라우드 리포트’) |
“클라우드 장애 95%, 사용자 실수에 의한 것”
클라우드는 거스를 수 없는 대세이지만, 클라우드로 인해 보안위협이 높아진다는 점을 반드시 염두에 두어야 한다. 클라우드 보안은 양면성이 있다. 전문 IT 서비스 조직이 운영하는 서비스를 이용하기 때문에 보안이 더욱 강화될 수도 있지만, 이를 운영하는 과정에서 발생하는 보안위협을 간과할 수 없다.
클라우드 사업자들이 SLA를 통해 서비스 안전성을 보장하고 있지만, 이를 준수하지 못했을 경우를 고려하지 않을 수 없으며, 보안을 소홀히하는 클라우드 사업자의 서비스를 사용했을 때 발생하는 문제도 감안해야 한다.
클라우드 보안에서 가장 우려되는 것은 사용자의 실수다. 가트너가 지난해 10월 발표한 ‘2016년 이후 세계 IT시장 10대 전망’ 보고서에서는 클라우드 공급자가 책임져야 하는 보안 취약점 보다 사용자에 의한 보안위협이 더 높다고 분석했다.
가트너는 전체 클라우드 보안 장애의 95%가 사용자의 실수에 의해 발생할 것이라고 전망했으며, 클라우드 사용에 익숙하지 않은 사용자들이 보안정책을 제대로 지키지 않거나 규제를 충분히 검토하지 않아 문제가 발생할 것이라고 내다봤다.
포티넷이 라이트스피드 GMI에 의뢰해 기업의 IT의사결정권자 1399명을 대상으로 진행한 설문조사에서도 클라우드 보호 문제를 가장 심각하게 생각했다. 이 조사는 13개국 250명 이상 직원을 보유한 조직의 CIO, CTO, 책임자를 대상으로 설문조사 한 것으로, 응답자의 64%는 ‘보안 공격이 날로 증가하는 비즈니스 환경에서 가장 적절한 대응은 위협 라이프사이클 전체를 보호할 수 있는 새로운 사이버 보안 기술에 투자하는 것’이라고 답변했다. IT 의사결정권자의 가장 큰 보안과제로 응답자의 67%가 클라우드 보호를 꼽았으며, 69%는 IT 시스템 내 취약성 보호라고 답했다.
클라우드 보안 위협에 대한 관심이 높아지면서 클라우드 시장에서 입지를 다지고자 하는 기업들의 클라우드 보안 전문기업 인수도 잇따르고 있다. 가장 대표적으로 시만텍이 블루코트를 인수한 사례를 꼽을 수 있으며, 구글의 클라우드 API 보안 전문기업 아피지 인수, 시스코의 클라우드 접근 보안 중개(CASB) 업체 클라우드락 인수, 오라클의 클라우드 보안 자동화 기업 팔레라 인수, MS의 클라우드 데이터 보안 업체 시큐어아일랜드 인수 등의 소식이 이어졌다. |
iyamm@datanet.co.kr
KT, ‘28GHz 기업전용 5G 네트워크’ 개발 성공
