[데이터넷] 클라우드 확장 속도가 높아질수록 보안에 대한 우려도 함께 높아지고 있다. 체크포인트가 시장조사기업 사이버 시큐리티 인사이더와 함께 전 세계 1000여명의 보안 전문가를 대상으로 조사한 ‘2023 클라우드 보안 보고서’에 따르면 응답자의 58%가 향후 12개월에서 18개월 이내에 워크로드의 50% 이상을 클라우드에 저장할 계획이라고 밝혔다. 그런데 응답자의 76%는 클라우드 보안에 대해 우려하고 있으며, 응답자의 24%가 지난 12개월 사이 퍼블릭 클라우드 관련 보안 사고를 경험했다고 밝혔다.

조사에 따르면 응답자의 39%가 워크로드의 50% 이상을 클라우드에 두고 있는데, 이는 작년보다 4% 증가한 수준이다. 클라우드 사용률이 증가하면서 공격표면이 확장, 클라우드 기반 네트워크 공격은 전년 대비 48% 늘어났다. 또한 클라우드에서 가장 많이 발생하는 사고유형은 클라우드 플랫폼의 잘못된 구성 또는 부적절한 설정(59%)이었으며, 민감한 데이터의 유출(51%), 안전하지 않은 인터페이스/API(51%), 무단 액세스(49%)가 그 뒤를 이었다.

보안 솔루션으로 인한 경고 피로 ‘심각’

클라우드의 잘못된 구성과 관리 미흡은 클라우드 보안위협을 높이는 요인 중 하나다. 응답자의 59%는 잘못된 보안 시스템 구성이 클라우드 보안에 영향을 미치는 핵심 요인으로 평가했다. 응답자의 58%는 모든 클라우드 환경에 완전한 솔루션을 배포하고 관리하기에 적합한 기술을 확보하는 데 어려움을 겪고 있으며, 52%는 각 환경의 데이터 보호와 개인 정보 보호를 보장하는 데 어려움을 겪고 있다고 답했다. 다른 어려움으로는 다양한 솔루션의 상호 관계 이해(49%), 서비스 통합 옵션 이해(45%), 가시성과 통제력의 상실(44%) 등이 있습니다.

클라우드 관리 소홀로 인한 피해 사고 중 가장 빈번하게 나타나는 것이 잘못 구성된 리소스 또는 계정(19%), 계정 도용(16%), 취약점 악용(16%) 등이었으며, 이에 대응하기 위해 조직은 여러 보안 정책을 시행하고 있다. 그런데 너무 많은 정책으로 인해 경보피로가 발생, 대응 팀이 고위험 사고에 대해 효과적으로 대처하지 못하는 것으로 나타났다.

이 조사에서 72%의 사용자가 기업 클라우드 정책을 구성하기 위해 3개 이상의 개별 보안 솔루션에 액세스해야 한다고 답했으며, 26%가 20개 이상 보안 정책을 사용하고 있고, 6%는 무려 10개 이상의 개별 솔루션을 사용 중이라고 답했다. 응답자의 68%는 포괄적·협업 기반의 클라우드 보안 솔루션 필요성을 강조하는 여러 도구의 사용으로 인해 수많은 경고가 압도적으로 많다고 답했다.

클라우드 설정오류 심각하지만 수동 관리 여전히 많아

보고서에서는 클라우드 애플리케이션이 배포된 데이터센터와 퍼블릭 클라우드 환경에서 보안 일관성을 유지하는 것은 조직에 중요한데, 너무 많은 정책과 보안 솔루션으로 인해 보안이 단편화되고 복잡성이 증가하고 있다고 경고했다. 보안 전문가가 요구 사항과 경고를 지속적으로 준수하기 힘들기 때문에 선제적 보안 환경을 구축하기가 더 어려워진다고 강조했다.

신속한 사고 대응을 위해서는 보안 경고 관리가 필수로, 서로 다른 여러 도구에서 경고를 받으면 위험 부담이 커진다. 이러한 경고 피로는 혼동, 병목 현상, 사각지대를 유발하고, 궁극적으로 심각한 위협 해결이 지연된다.

이 문제의 해결법으로 많은 조직이 클라우드 서비스 사업자(CSP)가 제공하는 기본 툴을 사용, 62%가 클라우드 네이티브 도구를 사용하고 있는 것으로 나타났다. 그러나 이 툴이 또 다른 복잡성을 야기할 수 있는데, 각각 다른 클라우드 환경에서 사용하는 개별 도구로 인해 보안 가시성을 확보하지 못하게 할 수 있다. 실제로 응답자의 72%는 여러 보안 솔루션에 대한 액세스 관리에 어려움을 겪는 중이고, 이로 인해 혼란이 발생되고 있으며, 클라우드 관리 보안이 저하된다는 시급한 문제에 대해 강조하고 있다.

이 조사에서 29%만이 전용 클라우드 보안 상태 관리(CSPM) 솔루션을 사용하고 있다고 답했으며, 수동 프로세스를 고수하는 조직도 24%에 이르며, 오픈 소스 도구 활용도 16%를 차지했다. 구성을 적절하게 처리하지 못하고 있다는 응답이 13%에 달했다.

더불어 클라우드 네이티브 환경에서는 개발 수명주기 전반에서 보안 정책을 수행하는 것이 중요한데, 이 과정에서 개발자와 마찰을 빚게 돼 서비스 개발에 많은 차질을 겪게 되는 것도 중요한 문제로 지목됐다. 이에 개발자 중심 접근법에 소프트웨어 공급망 위험을 식별하고 위험 우선순위를 정하며, 위험을 해결하는데 필요한 환경이 마련돼야 한다.

응답자의 48%는 사용할 도구를 중앙 정보 보안 조직 내의 보안 엔지니어가 결정하는 조직에서 근무하고, 응답자의 51%는 데브섹옵스 엔지니어가 보안 규정 준수 문제를 해결하기 위해 시스템을 변경하는 조직에서 근무하고 있다고 답했다.

‘클라우드 가드’, 인텔리전스 활용 클라우드 문제 해결

클라우드에서의 이 문제를 해결하는 방법으로 단일 클라우드 보안 플랫폼이 제안된다. 응답자의 90%는 관리를 간소화하는 단일 플랫폼이 중요하다고 밝혔다. 체크포인트는 그 대안으로 클라우드 네이티브 애플리케이션 보호 플랫폼(CNAPP) ‘클라우드가드(CloudGuard)’를 제안한다. 이 플랫폼은 상황에 맞는 인텔리전스를 활용해 클라우드 보안 문제를 선제적으로 해결할 수 이게 한다.

체크포인트의 TJ 고넨(TJ Gonen) 클라우드 보안 부문 부사장은 “이번 조사 결과에서 클라우드의 잘못된 구성은 오늘날 CISO의 가장 큰 관심사로 드러났다. 그러나 성공적인 클라우드 보안 조직을 구분하는 일은 잘못된 구성을 식별할 수 있을 뿐만 아니라 상황에 따른 관련성을 파악하고, 문제 해결의 우선순위를 정할 수 있는 능력”이라며 “어떤 잘못된 구성이 실제 비즈니스 운영에 위험을 초래하는지 이해하는 것은 무엇보다 중요하다. 이러한 취약성을 신속하고 효과적으로 해결해 강력한 보안 상태를 유지할 수 있는 기능도 마찬가지다. 기업은 반드시 표면 레벨(Surface-Level) 탐지를 뛰어넘는 포괄적인 솔루션을 선택해야 한다”고 강조했다.

김선애 기자 다른기사 보기