퍼블릭 클라우드 보안이란?

퍼블릭 클라우드 보안은 클라우드 환경 내 데이터, 애플리케이션 및 인프라를 보호하기 위해 함께 작동하는 정책, 제어 및 절차의 집합입니다.

퍼블릭 클라우드 보안 서비스 시장은 급성장 중이며, 2024년까지 지출 규모가 20.4% 증가한 약 6,754억 달러에 달할 것으로 전망됩니다. 이러한 성장은 주로 생성형 AI 개발 가속화와 애플리케이션 현대화의 빠른 속도에 기인합니다.

가트너 부사장 겸 애널리스트 시드 나그(Sid Nag)에 따르면:

"퍼블릭 클라우드 지출의 지속적인 성장은 범용 기반 모델의 지속적인 개발과 대규모로 생성형 AI 지원 애플리케이션을 제공하기 위한 준비 작업이 진행되면서 주로 생성형 AI 덕분이라고 할 수 있습니다... 이러한 지속적인 성장으로 인해 퍼블릭 클라우드 최종 사용자 지출은 이번 10년이 끝나기 전에 1조 달러를 넘어설 것으로 예상됩니다."

팬데믹 기간 동안 본격화된 추세로 기업들의 클라우드 전환이 가속화되면서, 클라우드 도입은 모든 규모의 기업에게 필수 요소가 되었습니다. 견고한 클라우드 마이그레이션 프레임워크는 빅데이터, AI, 머신러닝, IoT와 같은 핵심 기술을 지원합니다. 프리센스 리서치에 따르면 글로벌 클라우드 컴퓨팅 시장은 2032년까지 2조 2,973억 7천만 달러로 급증할 것으로 예상되며, 17%의 꾸준한 성장률을 보일 전망입니다.

이러한 전망은 클라우드 보안의 중요성을 강조합니다. 본 가이드에서는 프라이빗 클라우드와 퍼블릭 클라우드 보안의 핵심 요소를 다루고, 그 중요성을 설명하며, 이를 최대한 활용하기 위한 모범 사례를 공유하겠습니다. 시작해 보겠습니다!

퍼블릭 클라우드 보안이란 무엇일까요?

퍼블릭 클라우드 보안은 여러 사용자나 조직이 접근할 수 있는 퍼블릭 클라우드 환경에서 데이터와 애플리케이션을 보호하기 위한 정책, 통제, 절차 및 사이버 보안 조치의 조합으로 정의됩니다.

퍼블릭 클라우드 환경에서는 보안 책임이 공급자와 고객 사이에 분할됩니다. 서비스 공급자는 인프라 보안(네트워크, 스토리지, 물리적 데이터 센터)을 담당합니다. 고객은 클라우드 내 자신의 개인 데이터, 워크로드 및 애플리케이션 보안을 책임집니다.

책임 범위는 서비스 모델 유형(IaaS, PaaS, SaaS)에 따라 달라집니다.

잠재적 위협으로부터 데이터와 클라우드 인프라를 보호하기 위해 퍼블릭 클라우드 보안은 일련의 규칙, 프로토콜 및 도구에 의존합니다.

예를 들어, 개발 팀이 AWS에서 민감한 데이터를 처리하는 모바일 앱을 제작 중이라고 가정해 보겠습니다. AWS는 물리적 인프라를 보호하지만, 팀은 코드 보호, 앱의 안전한 구성, 고객 데이터 보호에 대한 책임이 있습니다.

다음과 같은 설정 시나리오를 가정해 보겠습니다:

• EC2는 백엔드 API를 실행합니다
• RDS가 데이터베이스를 처리합니다
• S3가 파일을 저장합니다
• CloudFront가 콘텐츠를 전달합니다

AWS는 기반 인프라를 보호하지만, 접근 제어 구성, 암호화 관리, 데이터 보호는 팀의 책임입니다. 공유 클라우드 환경에서 애플리케이션 데이터 보안은 전적으로 팀의 손에 달려 있습니다.

또한 이러한 구성은 확장성과 유연성을 제공하지만 다음과 같은 여러 과제도 동반합니다:

• 사용자 데이터의 전송 중 및 이동 중 보안 유지
• API 엔드포인트에 대한 무단 접근 차단
• 데이터 보호 규정 준수(예: GDPR)
• 데이터 노출을 초래할 수 있는 잘못된 구성 방지

퍼블릭 클라우드 보안은 다음과 같은 다양한 단계를 통해 이러한 문제를 해결합니다:

• 전송 중인 데이터(HTTPS) 및 저장 중인 데이터(S3 서버 측 암호화)에 대한 암호화 사용
• AWS Identity and Access Management(IAM)를 통한 리소스 접근 제어
• AWS Config 및 CloudTrail을 통한 감사 및 규정 준수 보장
• 보안 그룹 및 네트워크 액세스 제어 링크(ACL)를 사용하여 트래픽 제어

퍼블릭 클라우드 보안의 중요성

클라우드는 이미 민감한 데이터를 호스팅하고 소프트웨어를 서비스 형태로 제공하는 많은 비즈니스 운영의 핵심 부분이 되었습니다.

전 세계 인구의 상당수가 스마트폰을 소유하고 있는 상황에서 비즈니스 애플리케이션에 원격으로 접근할 수 있는 능력은 매우 중요합니다.

그러나 약 81%의 조직이 공개적으로 노출된amp;rsquo;s 인구 대부분이 스마트폰을 보유함에 따라, 원격으로 비즈니스 애플리케이션에 접근할 수 있는 능력은 매우 소중합니다.

그러나 약 81%의 조직이 위협 침투 및 악용에 취약하고 방치된 공개 노출 자산을 보유하고 있어 취약성은 여전히 높습니다.

클라우드 컴퓨팅은 하드웨어 제약 없이 새로운 혁신을 지원할 수 있는 능력, 물리적 인프라 확보에 대한 걱정 없이 높은 부하 수준에 대한 쉬운 확장성, 원격 위치에서 24시간 연중무휴로 더 빠른 협업 등 여러 이점을 제공합니다.

이러한 장점들로 인해 기업들은 운영 인프라의 상당 부분을 클라우드에 구축하는 것이 확실합니다.

이러한 클라우드 환경의 보안은 특히 민감한 고객 데이터를 다루는 중소기업에게 있어 타협할 수 없는 필수 사항입니다.

이러한 비즈니스 모델은 엄격한 보안 프로토콜을 요구하며, 중소기업은 비공개 환경에서 데이터를 보호하면서도 중요도가 낮은 애플리케이션에는 퍼블릭 클라우드의 확장성을 활용하기 위해 하이브리드 클라우드 솔루션을 도입해야 합니다.

퍼블릭 클라우드 보안을 우선시하면 조직이 다음을 더 효과적으로 수행하는 데 도움이 됩니다:

#1. 데이터 보호

퍼블릭 클라우드 보안은 민감한 데이터를 안전하게 보호하여 승인된 사용자만 중요 정보에 접근할 수 있도록 하고 유출 또는 침해를 방지합니다. 예를 들어, 클라우드에 소스 코드를 저장하는 소프트웨어 회사는 암호화와 접근 제어를 통해 경쟁사와 해커로부터 지적 재산을 보호합니다.

#2. 규정 준수

신뢰 유지와 조직 평판 보호는 특히 민감한 데이터를 다루는 산업에서 규제 준수를 보장하는 데 크게 좌우됩니다. 특히 민감한 데이터를 다루는 산업의 경우 더욱 그렇습니다.

AWS, Google Cloud, Microsoft Azure와 같은 퍼블릭 클라우드 제공업체는 GDPR 및 HIPAA와 같은 요구 사항을 충족하도록 지원하는 내장 도구를 제공합니다. 예를 들어, 의료 기관은 HIPAA를 준수하기 위해 저장 중인 환자 기록과 전송 중인 환자 기록 모두를 암호화해야 합니다.

#3. 비즈니스 연속성

서비스 중단으로부터 신속하게 복구하는 능력은 사소한 장애와 완전한 운영 붕괴의 차이를 만들 수 있습니다. 퍼블릭 클라우드 인프라스트럭처는 기업에 강력한 재해 복구 및 백업 솔루션을 제공하여 사이버 공격, 하드웨어 장애 또는 자연 재해로부터 보호합니다.

백업을 여러 지역에 분산함으로써 기업은 가동 중단 위험을 줄이고 높은 가용성을 보장합니다. 이 전략은 데이터 무결성을 유지할 뿐만 아니라 운영을 안정적으로 유지하여 예상치 못한 장애의 영향을 최소화합니다.

#4. 비용 효율성

퍼블릭 클라우드로의 마이그레이션은 기업이 온프레미스 보안 인프라에 필요한 막대한 투자에서 벗어나게 합니다. 고가의 하드웨어를 구매하고 사내 보안 시스템을 관리하는 대신, 기업은 확장 가능한 종량제 클라우드 보안 서비스를 활용할 수 있습니다.

예를 들어, 고가의 침입 탐지 시스템에 투자하는 대신 AWS GuardDuty와 같은 클라우드 기반 보안 서비스를 활용하면 실시간 위협 탐지 기능을 제공받을 수 있으며, 기업 성장에 따라 손쉽게 확장할 수 있습니다. 이러한 비용 효율적인 접근 방식은 최상위 수준의 보안을 제공할 뿐만 아니라 성장과 혁신을 위한 자원을 확보함으로써 경제적 이점을 극대화합니다. 클라우드의 경제적 이점을 활용함으로써 기업은 운영 비용을 최적화하고 핵심 사업에 집중하며 시장 변화에 더 빠르게 적응할 수 있습니다.

#5. 위험 완화

클라우드 보안 솔루션은 잘못된 구성이나 내부자 위협과 같은 위험이 확대되기 전에 이를 식별하고 해결합니다.

과도하게 허용적인 S3 버킷과 같이 잘못 구성된 스토리지는 종종 데이터 침해로 이어집니다. 여기에 더해, 제한된 가시성과 안전하지 않은 API 역시 위험을 가중시킵니다. 조직은 완전한 감독 없이는 중요한 취약점을 놓칠 수 있기 때문입니다.

인프라스트럭처-어즈-코드(IaC) 및 내장된 보안 점검과 같은 도구를 통해 기업은 이러한 취약점을 자동으로 탐지하고 수정할 수 있습니다.

조기 위험 탐지를 통해 기업은 위협 노출을 크게 줄여 재정적 안정성과 평판 모두에 피해를 줄 수 있는 비용이 많이 드는 침해를 방지할 수 있습니다.

#6. 평판 관리

데이터 유출은 기업의 평판을 심각하게 훼손하여 고객 신뢰를 약화시키고 장기적인 재정적 손실로 이어질 수 있습니다.

내부자 위협이나 해킹된 계정이 발견되지 않으면 민감한 고객 데이터가 노출되거나 도난당해 유출 사고로 이어질 수 있습니다.

이러한 신뢰 상실은 고객이 더 이상 안전하다고 느끼지 못하게 하여 기업 평판을 파괴할 것이며, 결과적으로 고객 이탈, 부정적인 언론 보도, 장기적인 재정적 손실을 초래할 수 있습니다.

퍼블릭 클라우드 제공업체는 암호화, 다중 인증(MFA), 지속적인 모니터링 등 엄격한 보안 관행을 시행하여 이러한 침해를 방지하고 고객에게 데이터 안전성을 보장합니다. 기업은 강력한 클라우드 보안에 투자함으로써 자산을 보호하고 고객, 파트너, 이해관계자와의 신뢰를 구축하며, 이는 견고한 시장 지위 유지에 필수적입니다.

#7. 운영 유연성

퍼블릭 클라우드 인프라를 활용하면 조직은 팀원들에게 어디서나 필수 리소스에 대한 안전한 접근 권한을 제공함으로써 운영 유연성을 손쉽게 강화할 수 있습니다. 작동 방식은 다음과 같습니다:

1. 클라우드 환경은 원격 근무 인력을 지원하여 분산된 팀 간 원활한 협업을 가능하게 합니다.
2. 이는 데이터 암호화, VPN, 접근 프로토콜과 같은 보안 조치를 통해 달성되며, 보안성을 저해하지 않으면서 비즈니스 운영이 지속될 수 있도록 보장합니다.
3. 또한 클라우드는 팀이 혁신 속도를 높이고 변화하는 수요에 신속히 적응할 수 있도록 지원하며, 동시에 핵심 데이터베이스를 보호하는 강력한 보안 프레임워크를 유지합니다.

유연성은 조직이 운영을 확장하고 수요 변화에 신속히 적응하며 혁신을 가속화하는 동시에 설정된 기준을 유지할 수 있도록 합니다.

유연한 접근 프레임워크 내에 보안을 내재화함으로써 기업은 데이터 보호를 희생하지 않고 지속적이고 일관된 민첩성을 보장하여 회복력과 생산성을 유지합니다.

퍼블릭 클라우드 보안 vs 프라이빗 클라우드 보안

데이터 보호 전략을 최적화하려는 조직은 퍼블릭 클라우드 보안과 프라이빗 클라우드 보안. 참고할 수 있도록 비교 분석을 제공합니다.

• 예산 제약으로 최신 보안 도구에 접근하지 못할 수 있음
• 공유 인프라, 멀티테넌시 또는 로컬 지연 시간 문제 없이 조직이 보안을 처리함

기능	퍼블릭 클라우드 보안	프라이빗 클라우드 보안
비용	인프라 비용 공유로 인해 더 저렴함 전용 하드웨어 및 유지 관리와 관련된 비용이 더 높음	전용 하드웨어 및 유지 관리와 관련된 높은 비용 상당한 초기 투자 필요
확장성	높은 확장성; 수요에 따라 리소스를 신속하게 조정 가능	제한된 확장성; 확장을 위해서는 추가 투자가 필요함
고급 보안 기술	AI 및 머신 러닝과 같은 첨단 기술 접근성 CSP는 첨단 보안 도구를 위한 R&D에 막대한 투자를 합니다
제어	인프라에 대한 제한된 제어권, CSP가 관리함.	인프라에 대한 완전한 제어권, 맞춤형 보안 가능.
데이터 프라이버시	강력한 격리 조치를 통한 공유 환경	전용 환경으로 더 높은 프라이버시 보장
규정 준수	CSP는 일반적인 규제 요건을 충족하기 위한 규정 준수 도구 및 인증을 제공합니다.	조직의 특정 정책 및 업계 표준에 부합하도록 규정 준수를 조직의 요구에 맞게 맞춤 설정할 수 있습니다.
신뢰성	내장된 중복성과 자동 백업으로 높은 신뢰성 보장.	신뢰성은 조직 자체 인프라에 따라 달라집니다.

퍼블릭 클라우드 보안은 어떻게 작동하나요?

조직은 제3자 CSP를 활용하여 데이터 센터 내 애플리케이션과 데이터를 관리할 수 있습니다. 퍼블릭 클라우드 보안의 작동 방식은 여섯 가지 부분으로 분류할 수 있습니다.

1. 공동 책임 모델

퍼블릭 클라우드 환경에서는 공유 책임 모델에 따라 보안 의무가 CSP와 고객 사이에 분담됩니다. CSP는 데이터 센터의 물리적 보안을 포함한 클라우드 인프라 보안을 책임지며, 고객은 접근 제어, 애플리케이션 보안, 데이터 암호화, 데이터 저장, 전송 및 백업을 관리합니다. 이러한 책임은 서비스 모델(IaaS, PaaS 또는 SaaS)에 따라 달라지며, 포괄적인 보안을 위해 양측의 협력이 필요합니다.IaaS, PaaS(Platform as a Service), SaaS(Software as a Service) 등 서비스 유형에 따라 달라지며, 포괄적인 보안을 위해 양측의 협력이 필요합니다.

2. 데이터 암호화

CSP는 저장 및 전송 중 데이터를 보호하기 위해 강력한 암호화 방식을 사용합니다. 예를 들어, AES-256 암호화가 널리 사용되어 데이터를 보호하며, 저장 중이거나 전송 중에 가로채여도 적절한 권한 없이는 읽을 수 없도록 보장합니다.

이 암호화 표준은 클라우드 네트워크 전반에 걸쳐 민감한 정보를 보호하며, 무단 접근, 데이터 유출 및 사이버 위협에 대한 강력한 방어 기능을 제공합니다. 또한 CSP는 암호화 키 관리 도구를 제공하여 프로세스에 추가 보안 계층을 더합니다.

3. 접근 제어

대부분의 조직은 클라우드 리소스에 대한 규칙 기반액세스 제어를 시행합니다. 이러한 시스템은 최소 권한 원칙을 구현하여 사용자에게 역할 수행에 필요한 최소한의 접근 권한만 부여합니다. 권한을 제한함으로써 무단 접근 및 잠재적 보안 침해 위험이 크게 감소합니다. 또한 MFA를 통합하면 접근 권한 부여 전에 여러 형태의 인증을 요구함으로써 보안을 더욱 강화하고 클라우드 환경에 추가적인 보호 계층을 제공합니다.

4. 방화벽 및 네트워크 보안

방화벽은 퍼블릭 클라우드 환경에서 클라우드 리소스와 외부 네트워크 사이의 보호 장벽 역할을 하며, 사전 정의된 보안 규칙에 따라 네트워크 트래픽을 모니터링하고 필터링합니다. 많은 퍼블릭 클라우드 공급업체는 가상 사설 클라우드(VPC)도 제공하는데, 이를 통해 조직은 퍼블릭 클라우드 내에서 격리된 네트워크 환경을 구축할 수 있습니다. 이는 조직이 자체 네트워크 구성을 관리하고 더 엄격한 접근 제어를 시행할 수 있도록 하여 데이터 흐름에 대한 통제력을 높이고 보안을 강화합니다.

5. 보안 모니터링 및 사고 대응

클라우드 환경의 지속적인 모니터링은 잠재적 보안 위협을 탐지하고 대응하는 데 필수적입니다. 조직은 인프라에 대한 실시간 가시성을 제공하는 클라우드 네이티브 보안 도구를 활용하여 비정상적인 행동이나 무단 접근 시도를 식별할 수 있습니다. 보안 정보 및 이벤트 관리(SIEM) 시스템은 다양한 클라우드 서비스의 보안 로그를 집계 및 분석하여 잠재적 취약점이나 침해 가능성에 대한 중앙 집중식 통찰력을 제공하고, 보안 사고에 대한 신속한 대응을 용이하게 함으로써 중요한 역할을 수행합니다.

6. 보안 패치 및 업데이트

클라우드 서비스 공급자(CSP)는 취약점을 해결하고 인프라 보안을 강화하기 위해 정기적으로 패치와 업데이트를 배포합니다. 그러나 고객 역시 보안 위험을 완화하기 위해 애플리케이션과 서비스를 최신 상태로 유지할 책임이 있습니다.

패치를 즉시 적용하지 않으면 클라우드 기반 애플리케이션이 알려진 취약점에 노출되어 공격 대상이 될 수 있습니다예를 들어, 클라우드 애플리케이션에서 보안 결함이 발견된 경우 공격자가 이를 악용하지 못하도록 시기적절한 패치 적용이 필수적입니다.

Cloud Security: 퍼블릭, 프라이빗, 하이브리드 모델이 전략에 미치는 영향

기업은 IT 계획을 개선하기 위해 퍼블릭, 프라이빗, 하이브리드 클라우드 컴퓨팅 모델 간의 차이점을 이해해야 합니다. 각 유형은 성장과 비용 절감부터 보안 유지 및 맞춤화 가능성에 이르기까지 다양한 비즈니스 요구에 맞는 장점을 가지고 있습니다.

퍼블릭 클라우드: 퍼블릭 클라우드는 여러 사용자와 기업이 타사 공급자가 온라인으로 제공하는 서비스와 인프라를 사용할 수 있게 합니다. 확장성이 뛰어나고 비용을 절감할 수 있지만, 사용자는 자원을 공유합니다.

예시: AWS, Google Cloud 또는 Microsoft Azure

프라이빗 클라우드: 프라이빗 클라우드는 한 기업이 사용하는 클라우드 환경입니다. 기업에 더 많은 통제권, 향상된 보안성, 필요에 따른 변경 가능성을 제공합니다. 사내 프라이빗 클라우드: 사내 프라이빗 클라우드는 기업 자체 건물 내에 구축되거나 다른 기업이 해당 기업만을 위해 운영하는 형태입니다.

예시: IBM이나 VMware와 같은 기업이 타사를 위해 운영하는 프라이빗 클라우드

하이브리드 클라우드: 하이브리드 클라우드는 퍼블릭 클라우드와 프라이빗 클라우드의 요소를 혼합한 형태입니다. 데이터와 프로그램이 양자 간에 이동할 수 있게 합니다. 이러한 구성은 기업이 필요에 따라 자원을 최적의 방식으로 확장하고 활용할 수 있도록 합니다.

예시: 기업은 AWS를 통해 확장 가능한 퍼블릭 클라우드 서비스를 이용하면서, Microsoft Azure Stack과 같은 솔루션을 통해 민감한 데이터는 프라이빗 클라우드에 보관할 수 있습니다.

퍼블릭 클라우드, 프라이빗 클라우드, 하이브리드 클라우드 네트워크 비교 개요

특징	퍼블릭 클라우드	프라이빗 클라우드	하이브리드 클라우드
접근	여러 사용자가 공유함	한 조직만 독점적으로 사용함	퍼블릭 및 프라이빗 클라우드 요소 결합
확장성	높음, 유연한 자원 할당 가능	조직 인프라에 제한됨	높음, 자원 관리 유연성
보안	공유 자원 기반 표준 보안	전용 리소스로 강화된 보안	퍼블릭 및 프라이빗 클라우드 간 보안 균형 유지
비용	공유 리소스로 인해 일반적으로 낮음	전용 인프라로 인해 높음	사용량 및 인프라에 따라 가변적
사용자 정의	제한된 맞춤 설정 옵션	높은 맞춤 설정 가능성	구성 방식에 따라 중간 수준의 맞춤 설정

퍼블릭 클라우드 보안 표준

퍼블릭 클라우드 보안 표준은 정부 기관, 글로벌 단체 및 산업 단체가 제정한 규칙, 모범 사례 및 지침으로, 기업이 클라우드 환경에서 기초적인 수준의 보안을 구축하는 데 도움을 줍니다.

이러한 규칙은 다양한 산업의 요구 사항과 사용하는 데이터 유형에 따라 달라집니다. 예를 들어, 은행 및 금융 기관은 결제 카드 정보를 보호하기 위해 PCI DSS 표준을 준수합니다. 마찬가지로 의료 기관은 환자 데이터를 보호하기 위해 HIPAA 규정을 준수해야 합니다.

해당 분야에 적합한 규칙을 따름으로써 기업은 퍼블릭 클라우드에서의 위험을 줄일 수 있습니다. 주요 퍼블릭 클라우드 보안 표준은 다음과 같습니다:

1. ISO 표준

• ISO/IEC 27001: ISO/IEC 27001는 정보 보안 관리 시스템(ISMS)을 구축하고 유지하기 위한 구조를 정립합니다. 모든 종류의 조직이 이를 활용하여 체계적으로 정보 보안을 관리할 수 있습니다.
• ISO/IEC 27017: ISO/IEC 27017은 클라우드 서비스에 대한 세부 지침을 제공하며, 클라우드 서비스 제공자와 고객 모두가 취해야 할 보안 조치를 명시합니다.

2. 결제 카드 산업 데이터 보안 표준(PCI DSS)

PCI DSS는 신용카드 결제를 처리하는 기업에 있어 핵심적인 역할을 합니다. 카드 소지자 정보를 보호하기 위한 강력한 보안 조치를 요구하며, 클라우드 인프라 내에서 해당 정보가 처리, 저장 및 전송될 때 안전을 보장합니다.

3. 건강보험 이동성 및 책임에 관한 법률(HIPAA)

HIPAA는 의료 분야에서 민감한 환자 데이터를 보호하기 위한 규칙을 정합니다. 퍼블릭 클라우드 서비스를 이용하는 기업은 환자 정보 보안을 위해 공급업체가 HIPAA 규정을 준수하는지 확인해야 합니다.

4. 미국 국립표준기술원(NIST) 가이드라인

NIST 는 클라우드 환경 보안을 위한 상세 지침을 제공합니다. 여기에는 공용 클라우드 서비스의 보안 및 개인정보 보호 문제를 다루는 NIST SP 800-144와 같은 문서가 포함됩니다.

5. 일반 개인정보 보호 규정(GDPR)

GDPR는 유럽 연합(EU) 시민의 데이터와 개인정보를 보호합니다. 퍼블릭 클라우드 서비스를 이용하는 기업은 EU 시민의 개인 데이터를 처리할 때 GDPR을 준수해야 합니다. 인터넷 보안 센터(CIS) 통제

CIS는 IT 시스템과 데이터를 보호하기 위한 모범 사례를 제공합니다. 여기에는 보안 조치를 강화하기 위한 클라우드 환경에 대한 구체적인 통제가 포함됩니다.

7. 클라우드 보안 연합(CSA) 표준

CSA는 클라우드 보안을 위한 다양한 프레임워크와 모범 사례를 제공합니다. 그중 하나인 클라우드 제어 매트릭스(CCM)는 클라우드 서비스 공급자의 보안 상태를 평가하는 데 도움이 됩니다.

8. 연방 위험 및 승인 관리 프로그램(FedRAMP)

FedRAMP는 미국 정부가 운영하는 프로그램으로, 연방 기관이 보안 목적으로 사용하는 클라우드 제품 및 서비스를 평가, 승인 및 모니터링하는 방식을 표준화합니다.

9. 서비스 조직 통제(SOC) 2

SOC 2는 서비스 제공업체가 고객 데이터를 처리하는 방식을 보장하는 감사 기준입니다. 보안, 가용성, 처리 무결성, 기밀성, 개인정보 보호라는 다섯 가지 핵심 영역에 중점을 둡니다.

10. 연방 정보 처리 표준(FIPS)

FIPS는 미국 정부가 제정한 표준입니다. 이 표준은 연방 기관이 사용하는 암호화 모듈에 대한 보안 요구 사항을 명시합니다. 민감한 정부 데이터를 처리하는 클라우드 서비스는 종종 FIPS를 준수해야 합니다.

퍼블릭 클라우드 보안 과제

퍼블릭 클라우드 서비스를 이용하는 기업들은 데이터와 애플리케이션을 보호하기 위해 해결해야 할 특정 보안 문제에 취약합니다. 다음은 가장 큰 8가지 문제점입니다:

1. 잘못된 구성

잘못된 구성은 퍼블릭 클라우드 환경에서 보안 취약점의 주요 원인입니다.

예를 들어, 지나치게 관대한 접근 권한으로 사용자에게 불필요한 권한을 부여하는 잘못된 IAM(Identity and Access Management) 설정, 부적절한 인증 설정으로 인한 무단 접근, 잘못 구성된 백업을 악용한 갈취 공격 등이 있습니다.

이러한 문제는 클라우드 서비스가 올바르게 설정되지 않았을 때 발생하며, 이로 인해 민감한 데이터가 노출될 수 있습니다. 예를 들어, 마이크로소프트 서비스 중단 사건는 해당 기업의 클라우드 서비스에서 발생한 실제 구성 오류 사례로, 전 세계적으로 광범위한 서비스 중단을 초래했습니다.

이 사건은 클라우드 구성에서 사소한 실수조차도 중대한 운영 및 보안 문제로 이어질 수 있음을 보여줌으로써, 클라우드 구조의 적절한 설정과 지속적인 모니터링의 중요성을 강조합니다.

2. 안전하지 않은 접근 지점

안전하지 않은 접근 지점은 취약한 인증 방법이나 잘못 구성된 접근 제어에서 비롯될 수 있으며, 이는 사이버 범죄자들이 클라우드 환경에 쉽게 침투할 수 있는 통로를 제공합니다.

예를 들어, 노턴 라이프록 침해 사건에서 해커들은 사용자 접근 제어의 취약점을 노려, 취약한 비밀번호 관리와 최소한의 제한을 악용하여 무단 접근을 시도했습니다.

또한, 보안이 취약한 API 구성은 과도한 권한 부여, 부적절한 암호화 사용 또는 속도 제한 미실시로 인해 클라우드 환경을 유사한 위험에 노출시킬 수 있으므로, 강력한 다중 인증 및 엄격한 접근 프로토콜은 클라우드 시스템을 무단 접근으로부터 보호하는 데 필수적입니다.

3. 계정 탈취

계정 탈취는 공격자가 피싱이나 도난된 인증 정보를 통해 사용자의 클라우드 계정을 장악할 때 발생합니다. 이는 민감한 데이터와 애플리케이션에 대한 무단 접근으로 이어질 수 있습니다. 실제 사례로는 공격자가 도난된 인증 정보를클라우드 계정을 탈취하는 것을 말합니다. 이는 피싱이나 도난된 자격 증명을 통해 발생하는 경우가 많습니다. 이로 인해 민감한 데이터와 애플리케이션에 대한 무단 접근이 가능해집니다. 실제 사례로는 Okta 사건이 있는데, 공격자들이 도난된 자격 증명을 악용해 사용자 계정에 접근했습니다. 이 침해로 인해 애플리케이션을 조작하고 민감한 정보에 접근할 수 있었으며, 이는 계정 탈취가 심각한 위협이 될 수 있음을 보여줍니다. 제대로 보호되지 않으면 조직 내에서 추가 공격으로 이어질 수 있습니다.

4. 서비스 거부(DoS) 공격

DoS 공격은 클라우드 서비스에 과도한 트래픽을 쏟아부어 정상 사용자의 접근을 차단합니다. 이는 비즈니스 운영을 방해하고 상당한 재정적 손실을 초래할 수 있습니다.

2022년 6월, 주요 콘텐츠 전송 네트워크(CDN) 및 DDoS 완화 서비스 제공업체인 Cloudflare는 역대 최대 규모의 HTTPS DDoS 공격 중 하나를 완화했다고 보고했습니다. 주요 콘텐츠 전송 네트워크(CDN) 및 DDoS 완화 서비스 제공업체인 Cloudflare는 역대 최대 규모의 HTTPS DDoS 공격 중 역대 최대 규모를 기록했다고 발표했습니다. 이 공격은 초당 2,600만 건의 요청으로 정점을 찍었으며, Cloudflare의 무료 플랜을 사용하는 고객 웹사이트를 표적으로 삼았습니다.

또 다른 주목할 만한 사례는 2024년 9월에 발생했는데, 클라우드플레어가 초당 3.8테라비트(Tbps)로 정점을 찍은 기록적인 DDoS 공격을 차단하여 금융 서비스 및 통신을 비롯한 다양한 산업의 네트워크 인프라를 압도했습니다.

5. 부적절한 접근 제어

부적절한 접근 제어는 특히 사용자에게 과도한 권한이 부여되거나 접근 권한이 정기적으로 검토되지 않을 경우 민감한 데이터에 대한 무단 접근으로 이어질 수 있습니다. 대표적인 예로 MGM 리조트 침해 사건이 있으며, 이 사건에서 공격자들은 접근 제어의 취약점을 악용하여 방대한 양의 고객 데이터를 유출했습니다. 이 사건은 데이터 노출 또는 오용 위험을 완화하기 위해 엄격한 접근 제어 정책을 구현하고 사용자 권한을 정기적으로 검토하는 것이 중요함을 강조합니다.

6. 보안 취약한 API 및 클라우드 인터페이스

적절히 보호되지 않은 보안 취약한 API와 클라우드 관리 인터페이스는 공격에 취약해 해커들이 이를 악용하여 무단 접근이나 데이터 조작을 할 수 있습니다. 대표적인 사례로 트위터 침해 사건이 있습니다. 이 침해 사고는 공격자들이 API와 클라우드 인프라의 취약점을 악용하여 접근 권한을 획득한 사례입니다. 이로 인해 공격자들은 계정을 조작하고 민감한 정보에 접근할 수 있었으며, 이러한 사고를 방지하기 위해 API와 클라우드 인터페이스 보안을 강화할 필요성이 절실함을 보여줍니다.

7. 가시성 및 모니터링 부족

많은 조직이 클라우드 환경에 대한 가시성 유지에 어려움을 겪고 있어 보안 사고를 신속하게 탐지하고 대응하기가 어렵습니다. 실제 사례로는 캐피털 원 해킹 사건입니다. 클라우드 리소스에 대한 적절한 모니터링과 가시성 부족으로 공격자가 민감한 고객 데이터에 접근했음에도 즉시 탐지되지 않았습니다. 이 사건은 포괄적인 모니터링 도구를 활용해 비정상적인 활동을 신속히 식별하고 대응함으로써 데이터 도난이나 무단 접근 같은 중대한 피해를 방지하는 것이 얼마나 중요한지 보여줍니다.

8. 내부자 위협

내부자 위협은 직원이 고의적이든 우발적이든 민감한 데이터를 노출할 때 발생합니다. 내부자는 일반적으로 침해하는 시스템에 합법적인 접근 권한을 가지고 있기 때문에 이러한 위험은 특히 해결하기 어렵습니다. 2023년의 사례로는 테슬라 직원이 기밀 비즈니스 데이터를 포함한 민감한 정보를 무권한 당사자와 공유하여 유출한 사건이 있습니다. 이 사건은 내부자가 유효한 접근 권한을 가지고 있더라도 중요한 정보를 고의적이든 우발적이든 유출하거나 잘못 처리함으로써 조직에 심각한 피해를 줄 수 있음을 보여줍니다.

퍼블릭 클라우드 보안 모범 사례

조직이 클라우드로의 여정을 시작함에 따라 반드시 고려해야 할 핵심 보안 사항들이 있습니다. 그중에서도 몇 가지 모범 사례가 가장 중요한 위치를 차지합니다. 따라서 고려해야 할 주요 퍼블릭 클라우드 보안 관행은 다음과 같습니다:

1. 신원 및 접근 관리(IAM)

다중 요소 인증(MFA) 및 생체 인식 확인과 같은 강력한 사용자 인증 방법을 구현해야 합니다. 사용자에게 필요한 권한만 부여하고, 접근 제어는 정기적으로 점검 및 업데이트해야 합니다.

또한 다음과 같은 조치를 취할 수 있습니다:

• MFA(예: TOTP 기반 또는 생체 인식)와 SSO(Single Sign-On)를 결합하여 계층적 인증을 구축하여 모든 신원 접점을 보호하십시오.
(예: TOTP 기반 또는 생체 인증)과 싱글 사인온(SSO)을 결합하여 모든 신원 접점을 보호합니다.
• 최소 권한 역할 생성, 특정 작업에 대한 임시 권한 상승 부여, 고위험 계정에 대한 세션 기록 및 키 입력 모니터링 시행을 통해권한 노출 최소화를 달성할 수 있습니다.
• 복잡한 암호 요구 사항(길이, 문자 다양성) 및 만료 주기를 시행하십시오. 피싱 위험을 줄이고 사용자 규정 준수를 개선하기 위해 비밀번호 없는 솔루션을 도입하십시오.
• 루트 접근을 비상 시에만 사용하도록 제한하고 각 세션에 대한 강력한 감사를 활성화하십시오. 추가 보호를 위해 하드웨어 보안 모듈(HSM)을 통합하고 루트 키 회전 정책을 수립하십시오.
• CIAM을 기업 IAM 프레임워크에 통합하여 고객 및 직원 신원 보호를 중앙 집중화하십시오.
• 신원 위협 탐지 및 대응(ITDR)을 배포하여 신원 기반 위협을 실시간으로 모니터링하십시오.

2. 데이터 암호화

민감한 정보를 보호하려면 저장 중인 데이터와 전송 중인 데이터 모두를 암호화하는 것이 필수적입니다. 이를 통해 적절한 복호화 키 없이 무단 접근이 발생하더라도 데이터가 읽을 수 없도록 보장합니다.

데이터 마이그레이션 각 단계별 수행 사항은 다음과 같습니다:

• 이전 전 암호화 및 데이터 분류: 데이터의 민감도를 평가하여 필요한 암호화 표준을 결정합니다(예: 고감도 데이터의 경우 AES-256). 마이그레이션 전에 클라이언트 측 암호화 도구를 사용하면 제로 트러스트 계층이 추가되어 데이터가 클라우드에 입력되기 전에도 암호화된 상태를 유지할 수 있습니다.
• 저장 중 및 전송 중인 데이터를 위한 클라우드 네이티브 암호화: 클라우드 공급자의amp;rsquo;의 내장 암호화(AWS KMS, GCP Cloud Key Management)는 높은 효율성을 위해 AES-GCM을 사용하는 경우가 많습니다. 전송 중인 데이터에는 TLS 1.3 이상을 적용하고, 비밀 키가 유출될 경우 향후 세션 키가 해독되는 것을 방지하기 위해 전방비밀성을 강제 적용하십시오.
• 마이그레이션 후 제어 및 키 관리: 자동화 도구를 사용하여 키의 수명을 제한하는 키 회전 정책을 구현하십시오. 키 관리에서 업무 분리(SoD)를 시행하여 단일 사용자가 암호화 및 복호화 키 모두에 대한 완전한 접근 권한을 가지지 않도록 보장하십시오.

3. 안전한 구성

잘못된 구성은 클라우드 환경에서 흔히 발생하는 보안 위험으로, 조직의 보안 요구사항과 부합하지 않는 기본 설정에서 비롯되는 경우가 많습니다. 이러한 위험을 완화하려면 기본 구성을 철저히 평가하고 조정하는 것이 중요합니다. 여기에는 다음이 포함됩니다:

• 불필요한 서비스 비활성화
• 사용하지 않는 네트워크 포트 차단, 그리고
• 엄격한 접근 제어 조치 구현.

구성 사항이 변화하는 보안 요구사항을 충족하고 취약점이 발생하지 않도록 정기적인 감사가 필수적입니다.

4. 방화벽 및 네트워크 보안

보안 규칙에 기반하여 네트워크 트래픽을 감시하고 제어하기 위해 방화벽을 설정하십시오. 웹 기반 위협으로부터 더욱 효과적으로 보호하려면 웹 애플리케이션 방화벽(WAF) 사용을 고려하십시오.

5. 모니터링 및 로깅

AWS CloudTrail, Azure Monitor 또는 Google Cloud Operations Suite와 같은 모니터링 도구를 사용하여 잠재적 위협에 대한 즉각적인 경고를 수신하세요. 상세한 로그 유지 관리도 마찬가지로 중요합니다. 로그에는 심층 분석 및 문제 해결에 활용할 수 있는 이벤트 기록이 포함되어 있어, 사고의 근본 원인을 파악하고 시간이 지남에 따라 보안 조치를 개선하는 데 도움이 됩니다.

6. 취약점 관리

효과적인 취약점 관리는 클라우드 보안 유지에 필수적입니다. 클라우드 인프라, 애플리케이션 및 구성의 취약점을 식별하기 위해 정기적인 취약점 평가를 수행해야 합니다. 이러한 평가에는 다음이 포함됩니다:

• 알려진 취약점 스캔
• 악용될 수 있는 잘못된 구성 또는 구식 소프트웨어.
• 취약점이 확인되면 위협에 대한 노출을 줄이기 위해 패치와 수정 사항을 즉시 적용합니다.

또한, 새롭게 등장하는 위협과 제로데이 취약점에 대한 정보를 지속적으로 파악하는 것은 사전 방어에 가장 중요합니다. 자동화된 취약점 관리 도구를 활용하여 지속적으로 허점을 모니터링하고 수정 프로세스를 간소화하여 보안 취약점이 악용되기 전에 해결되도록 해야 합니다.

7. 규정 준수 관리

클라우드 인프라가 규제 요건과 업계 표준을 준수하도록 하는 것은 법적·재정적 파장을 피하는 데 핵심적입니다. 클라우드 환경은 GDPR, HIPAA, PCI DSS, ISO/IEC 27001 등 주요 규정 및 표준을 준수해야 합니다.

규정 준수는 데이터 보호, 기록 유지, 감사 추적성 확보, 거버넌스 프레임워크 구현을 포함합니다. 클라우드 환경에서의 규정 준수는 종종 공동 책임이므로, 클라우드 공급자와 긴밀히 협력하여 특정 규정 준수 업무의 책임 소재를 명확히 하는 것이 중요합니다.

AWS Artifact, Azure Compliance Manager, Google Cloud의 Compliance Reports와 같은 도구는 규제 요건과 관련된 인사이트, 감사, 문서화를 제공함으로써 규정 준수 의무 관리를 지원할 수 있습니다.

SentinelOne은 퍼블릭 클라우드 보안을 어떻게 지원할 수 있나요?

SentinelOne은 Cloud Native Application Protection Platform(CNAPP)과 Cloud Workload Protection Platform(CWPP)을 특징으로 하는 싱귤러리티™ 클라우드 보안 제품군을 통해 강화합니다. 이 제품군은 클라우드 네이티브 애플리케이션 보호 플랫폼(CNAPP)과 클라우드 워크로드 보호 플랫폼(CWPP)을 특징으로 합니다.

SentinelOne은 통합된 데이터와 실행 가능한 인사이트를 통해 조직이 퍼블릭 클라우드 보안을 효과적으로 관리하고 강화할 수 있도록 지원합니다.

• 클라우드 보안 상태 관리(CSPM): SentinelOne은 에이전트 없는 CSPM을 제공하여 신속한 배포와 2,000개 이상의 내장된 구성 검사를 지원합니다. 다중 클라우드 환경 전반에 걸쳐 잘못된 구성 및 규정 준수 위반을 지속적으로 모니터링하여 사전 예방적인 위험 제거를 보장합니다.
• 클라우드 워크로드 보호 플랫폼(CWPP): AI 기반 런타임 보호를 통해 컨테이너, VM, 서버리스 등 모든 워크로드를 방어합니다. 이 설정은 모든 클라우드 유형을 지원하여 복잡한 하이브리드 환경에서 사고 대응 및 규정 준수에 필수적인 실시간 위협 탐지 및 원격 측정 데이터 수집을 보장합니다.
• 클라우드 탐지 및 대응(CDR): CDR은 포렌식 원격 측정, 사고 대응 및 맞춤형 탐지 규칙을 제공하며, 공격 경로를 시각화하고 관리할 수 있는 Graph Explorer와 같은 도구를 제공합니다. 이 고급 원격 측정 데이터는 신속하고 전문가가 주도하는 대응을 지원하여 위협을 효과적으로 차단하고 심층 분석할 수 있도록 합니다.
• 인프라스트럭처-어즈-코드(IaC) 스캐닝: SentinelOne은 CI/CD 파이프라인에 통합되어 왼쪽으로 이동하여 배포 전 템플릿(Terraform, CloudFormation)의 취약점을 스캔하여 개발 단계에서 클라우드 인프라 보안을 보장합니다.
• AI 보안 상태 관리(AI-SPM): Singularity's AI-SPM은 AI 파이프라인 내 취약점을 식별하고 실행 가능한 인사이트를 위한 Verified Exploit Paths™를 적용합니다. 이는 악용 경로에 대한 사전 점검을 통해 AI 서비스 보호를 보장하며, AI 모델의 무결성과 운영 복원력을 강화합니다.
• 시크릿 스캐닝: 시크릿 스캐닝은 코드베이스, 구성 파일, IaC 템플릿 전반에 걸쳐 750종 이상의 시크릿을 식별하여 예방적 보안을 가능하게 하고 CI/CD 파이프라인 내 자격 증명 유출 또는 의도치 않은 노출 가능성을 획기적으로 감소시킵니다.
• Amazon S3용 AI 기반 데이터 보안: SentinelOne의 TD4S3는 정적 AI 엔진을 활용하여 Amazon S3 버킷에 대한 기계 속도 스캐닝 및 위협 제거 기능을 제공함으로써 악성코드를 격리하고 S3 버킷이 공격 경로로 사용되는 것을 방지합니다.

이러한 기능들은 종합적으로 개발부터 운영 환경에 이르기까지 강화된 규정 준수, 실시간 위협 방지 및 워크로드 보안을 보장합니다.

퍼블릭 클라우드 보안 태세 강화하기

점점 더 많은 기업이 퍼블릭 클라우드 플랫폼으로 이동함에 따라 강력한 보안 조치 마련이 필수적입니다.

주요 접근 방식으로는 강력한 암호화를 통한 데이터 보호, 신원 및 접근 관리 도구를 활용한 엄격한 접근 제어 설정, PCI DSS 또는 HIPAA와 같은 업계 표준 준수 등이 있습니다.

엔드투엔드 IAM, 데이터 마이그레이션 전 단계에 걸친 암호화, 실시간 능동적 위협 모니터링과 같은 모범 사례를 활용하여 위협에 대비함으로써 클라우드 환경의 복원력을 확보할 수 있습니다.

방화벽, 모니터링, 규정 준수 관리와 같은 보안 도구를 활용함으로써 조직은 민감한 정보를 보다 효과적으로 보호하고 규제 기준을 충족하는 동시에 운영 유연성과 확장성을 지원할 수 있습니다.

AI와 같은 첨단 보안 도구를 활용하면 위협을 실시간으로 탐지하고 방어할 수 있습니다(예: SentinelOne의 Singularity 플랫폼). 이는 퍼블릭 클라우드 내 중요 데이터와 애플리케이션을 보호하는 능력을 크게 향상시킬 수 있습니다.

FAQs

퍼블릭 클라우드는 언제 사용하나요?"

웹 호스팅, 개발 환경, 데이터 저장 등이 퍼블릭 클라우드를 사용하는 대표적인 사례입니다. 퍼블릭 클라우드는 확장성, 유연성, 비용 효율성이 필요한 애플리케이션에 이상적입니다.

"

퍼블릭 클라우드와 프라이빗 클라우드 보안의 차이점은 무엇인가요?"

퍼블릭 클라우드 보안은 공급자와 고객 간의 공동 책임이 적용되는 반면, 프라이빗 클라우드 보안은 조직에 더 많은 제어권과 맞춤 설정을 제공하지만 더 많은 리소스가 필요합니다.

"

퍼블릭 클라우드의 예시는 무엇인가요?"

Amazon Web Services(AWS), Google Cloud, Microsoft Azure는 인터넷을 통해 다양한 서비스를 제공하는 퍼블릭 클라우드의 예시입니다.

"

프라이빗 클라우드가 퍼블릭 클라우드보다 더 안전한가요?"

프라이빗 클라우드는 전용 인프라와 더 큰 통제력을 통해 향상된 보안을 제공할 수 있지만, 퍼블릭 클라우드 역시

video 대부분의 조직에 충분한 강력한 보안 기능을 갖추고 있습니다.

"

퍼블릭 클라우드의 보안 책임은 누구에게 있나요?"

퍼블릭 클라우드의 보안은 공동 책임입니다. 클라우드 서비스 제공업체는 인프라를 보호하고, 고객은 자신의 데이터, 애플리케이션 및 접근 제어를 보호합니다.

"