|
[데이터넷] 대부분의 클라우드 보안 사고는 외부 해킹이 아니라 관리 실수와 설정 오류로 인해 발생한다. 링크드인 정보보안 커뮤니티(Information Security Community on LinkedIn)에서 발표한 ‘클라우드 보안 리포트 2018’에 따르면 클라우드 보안 사고의 62%는 잘못된 설정에 의해 발생한 것이었다. 가트너는 2023년까지 최소 99%의 클라우드 보안 실패는 고객사 잘못에 의한 것이라고 내다봤으며, 2021년까지 기업 50%는 관리자 실수로 인해 중요 정보가 인터넷에 노출될 것이라고 전망했다.
실제로 설정오류로 인한 대형 보안사고는 끊임없이 발생하고 있다. 지난 4월 페이스북이 사용자 정보 5억여건을 암호화하지 않고 아마존 클라우드 서버에 올려둔 사실이 알려졌다. 공개된 정보는 사용자 비밀번호와 정보공유기록 등 페이스북 사용 기록 대부분이었다. 고객정보가 저장된 클라우드 서버는 누구나 접근할 수 있는 상태였다.
데이터 관리 솔루션 기업 루브릭은 수십만 기가바이트 분량의 암호화되지 않은 고객DB를 아마존 엘라스틱서치 서버에 업로드한 채 몇 개월을 방치했다는 사실이 드러났다. 이 때 노출된 데이터에는 미국과 유럽의 여러 기관·기업 고객의 민감한 정보가 포함돼 있었다.
클라우드는 간단한 구성 변경만으로도 데이터를 모두 공개모드로 바꿀 수 있기 때문에 이처럼 어처구니 없는 사고가 쉽게 발생할 수 있다. 클라우드에 중요 데이터를 올리고 접근제한을 풀어두거나 잘못된 설정으로 권한 없는 사람들의 무단 접속을 허용할 수도 있다.
위수복 안랩 MSS본부 부장은 “클라우드에서 설정오류와 관리자 실수로 인한 리스크가 매우 크다. 특히 여러 클라우드를 사용하는 환경에서는 위협의 가시성을 확보하지 못하고, 복잡한 관리 이슈로 인해 실수가 발생하기 쉽다”며 “포괄적인 클라우드 가시성 확보와 설정 오류를 바로잡아주는 클라우드 보안 형상관리(CSPM)가 멀티 클라우드를 사용하는 환경에서 필수적인 솔루션으로 부상하고 있다”고 소개했다.
| |
 |
|
| ▲CSPM 개요(자료: 가트너) |
지속적인 컴플라이언스 보장하는 CSPM
CSPM은 가트너가 “컴플라이언스 또는 기업 보안 정책에 따라 클라우드 인프라의 위험요소를 예방, 탐지 대응 및 예측하여 클라우드 위험을 지속적으로 관리하는 솔루션”이라고 정의했으며 “클라우드 서비스 구성의 위험·신뢰도·계정설정 및 암호화 같은 보안설정을 즉각적으로 발견·평가해 규정위반과 과도한 위험일 경우 자동 조정 조치를 취할 수 있어야 한다”고 설명했다.
CSPM이 빠르게 성장할 조짐을 보이자 글로벌 보안 기업들은 CSPM 전문기업을 인수하면서 경쟁을 시작했다. 팔로알토네트웍스가 지난해 에비던트아이오와 레드락을 잇달아 인수하면서 CSPM 시장 공략 시동을 걸었으며, 체크포인트가 돔나인(Dome9)을 인수하면서 시장에 뛰어들었다. 소포스는 아비드시큐어를 인수하고 클라우드 보안 역량 강화에 나섰다.
김용 소포스코리아 이사는 “멀티 클라우드는 전체 가시성 확보가 어려우며, 클라우드 서비스마다 관리 환경이 달라 설정 및 관리가 까다로우며 컴플라이언스 요건을 만족시키는 것도 어렵다”며 “가트너는 클라우드 설정 오류로 인한 보안 사고 위험을 경고했으며, 데브옵스에 CSPM을 적용해 보안 사고를 줄여가야 한다고 지적한 바 있다. CSMP은 이러한 문제를 해결할 수 있는 솔루션으로 각광 받는다”고 설명했다.
CSPM을 쉽게 이해하기 위해 컴플라이언스 지원 기능을 강조하지만, CSPM은 컴플라이언스 전용 솔루션은 아니다. 멀티 클라우드 전체에서 보안 취약점을 탐색하고 설정오류나 정책 충돌을 방지하고 클라우드 전반의 가시성을 제공한다.
또한 세계 각국의 주요 보안 규제 요건을 위반하거나 충돌하는 부분이 있는지도 체크해 관리자에게 알린다. CSPM은 EU GDPS이나 HIPPA, PCI-DSS 등 글로벌 주요 보안 컴플라이언스를 만족할 수 있도록 지원하며, 우리나라 개인정보보호법과 같이 각국 고유의 보안규제는 쉽게 커스터마이징 해 사용할 수 있도록 한다. |
iyamm@datanet.co.kr
KT, ‘28GHz 기업전용 5G 네트워크’ 개발 성공
