하이브리드 클라우드 보안

하이브리드 클라우드는 게임 개발부터 금융에 이르기까지 다양한 업계의 기업들에게 점점 더 인기 있는 인프라 옵션입니다. 하지만 하이브리드 클라우드는 무엇이며, 민감하고 규제 대상인 데이터를 보호하기 위해 가장 효과적인 하이브리드 클라우드 보안 방법은 무엇일까요?

하이브리드 클라우드란 무엇인가요?

하이브리드 클라우드는 퍼블릭 클라우드 서비스와 하나 이상의 프라이빗 클라우드 서비스를 모두 사용하는 배포 방식입니다. (전통적인 온프레미스 데이터 센터도 이 조합에 포함될 수 있습니다.)

퍼블릭 클라우드

퍼블릭 클라우드는 제3자 제공업체가 호스팅하며, 모든 리소스는 인터넷을 통해 제공됩니다. 예로는 Amazon Web Services (AWS), Google Cloud, Microsoft Azure 등이 있습니다. 주요 이점은 다음과 같습니다:

• 유지보수 불필요 — 제3자 제공업체가 하드웨어 및 소프트웨어 문제, 패치와 업그레이드를 대신 처리해 줍니다.
• 비용 효율성 — 자체 하드웨어나 소프트웨어 리소스를 구매할 필요가 없으며, 실제로 필요하고 사용하는 서비스에 대해서만 비용을 지불하면 됩니다.
• 신뢰성 — 퍼블릭 클라우드 시스템의 대규모 서버 네트워크 덕분에 안정적인 서비스를 이용할 수 있습니다.
• 확장성 — 방대한 서버 네트워크와 온디맨드 리소스 덕분에 서비스를 빠르고 쉽게 확장할 수 있습니다.
• 옵션 — 비즈니스 요구사항에 가장 잘 맞는 다양한 클라우드 서비스 모델(IaaS, PaaS, SaaS)의 조합을 선택할 수 있습니다.

프라이빗 클라우드

프라이빗 클라우드는 한 조직에서만 독점적으로 사용하는 인프라로 구성됩니다. 온프레미스 또는 오프프레미스 데이터 센터에 호스팅할 수 있습니다. 프라이빗 클라우드 시스템은 다음과 같은 고유한 이점을 제공합니다:

• 더 높은 유연성 — 조직의 필요에 맞게 프라이빗 클라우드 시스템을 맞춤 구성할 수 있습니다.
• 더 나은 보안 — 프라이빗 클라우드는 리소스를 다른 어떤 사업체와도 공유하지 않기 때문에, 민감한 데이터를 보관하기에 더 적합할 수 있습니다.

하이브리드 클라우드의 이점

하이브리드 클라우드 모델은 두 가지 유형의 클라우드 스토리지에서 얻을 수 있는 이점을 제공하는 동시에 워크로드를 분리할 수 있고 각 서비스에서 필요한 요소를 조합·선택할 수 있는 유연성을 제공합니다. 예를 들어, 민감하고 비즈니스에 핵심적인 데이터를 프라이빗 클라우드에 보관하고 나머지는 퍼블릭 클라우드에 저장함으로써 위험을 완화하면서도 비용과 가용성을 최적화하고 규제 요구 사항을 충족할 수 있습니다.

하이브리드 클라우드 보안이란?

하이브리드 클라우드 보안은 하이브리드 클라우드 환경에서 데이터, 애플리케이션, 인프라를 보호하기 위해 사용하는 프로세스와 절차를 의미합니다. 여기에는 저장 시와 전송 중 모두에서 데이터의 보안을 보장하는 것뿐 아니라, 다양한 클라우드 제공업체 전반과 모든 온프레미스 구성 요소에 걸쳐 제어를 조율하는 작업이 포함됩니다.

하이브리드 클라우드 보안의 구성 요소

하이브리드 클라우드에는 물리적, 기술적, 행정적(관리적) 등 여러 계층의 보안이 필요합니다.

물리적 보안

퍼블릭 클라우드 구성 요소에 대해서는 물리적 보안이 제공업체의 책임입니다. 프라이빗 클라우드의 경우 사내 인프라에는 카메라, 잠금장치, 제한된 물리적 접근, 통제된 환경이 갖춰져 있어야 합니다(습도 수준, 온도, 누수 등에도 주의하세요).

기술적 보안

강력한 데이터 보호와 데이터 침해를 방지하기 위해 다양한 보안 조치와 프로토콜이 마련되어야 합니다. 일반적으로 다음이 포함됩니다:

• 암호화 — 전송 중인 데이터는 저장 데이터와 다른 암호화 방법이 필요합니다. 전송 중인 데이터의 경우 적절한 네트워크 세션 암호화를 보장하세요. 저장 데이터의 경우 전체 디스크 암호화와 하드웨어 암호화를 적용하세요.
• VPNs — 가상 사설망(VPN)은 서로 다른 환경에서 실행되는 구성 요소 간에 안전한 연결을 제공합니다.
• 기타 보안 조치 — 역할 기반 액세스 제어, 변경 모니터링, 신뢰할 수 있는 데이터 백업, 엔드포인트 보안, 다중 인증을 활용하세요.

관리 보안

관리 보안은 다음과 같은 문서화된 규칙과 절차를 포함합니다.

• 위험 평가 프로세스
• 재해 복구 계획
• 데이터 보호 정책
• 직원 교육

일반적인 하이브리드 클라우드 보안 과제를 극복하는 방법

전 세계 기업의 IT 전문가들은 하이브리드 클라우드 환경을 가장 안전한 클라우드 배포 옵션으로 평가합니다. 실제로 85%가 하이브리드 클라우드를 자신들의 이상적인 IT 운영 모델로 선택했습니다.

그럼에도 불구하고, 프라이빗 클라우드와 퍼블릭 클라우드 서비스로 구성된 하이브리드 환경에는 고유한 몇 가지 보안 과제가 있습니다.

책임 소재의 불명확성

명확하지 않은 SLA와 클라우드 제공업체와의 커뮤니케이션 부재(또는 미흡함)는 정전 또는 사고에 대해 누가 책임이 있는지에 대한 의문을 낳을 수 있으며, 분쟁을 해결하거나 보안 침해에 대응하는 데에도 어려움을 초래할 수 있습니다.

이를 방지하려면 하이브리드 클라우드의 특정 영역에 워크로드를 명확히 할당하십시오. 각 워크로드 및/또는 클라우드의 각 영역에는 자체 장애(정전) 및 사고 대응 계획은 물론, 특정 보안 및 성능 제어를 갖추어야 합니다.

보안 거버넌스의 과제

퍼블릭 및 프라이빗 클라우드 서비스 각각은 고유한 보안 및 개인정보 보호 특성을 지니고 있습니다. 이들 간에 데이터가 이동하면 가시성과 통제력이 저하될 수 있습니다.

이러한 과제를 극복하려면 퍼블릭 및 프라이빗 클라우드 서비스는 물론, 모든 사내 시스템에 대해 적절한 보안 프로세스가 마련되어 있는지 확인하십시오. 귀사와 클라우드 제공업체 간 보안 거버넌스 책임을 명확히 정의하세요. 퍼블릭 및 프라이빗 클라우드에 저장하는 데이터와 관련된 모든 활동을 면밀히 모니터링하십시오. 또한 어떤 사고든 즉시 귀사와 클라우드 제공업체 간에 공유되도록 하십시오.

규정 준수 및 법적 위험

민감한 데이터가 퍼블릭 환경과 프라이빗 환경 사이에서 자유롭게 이동하면 규정 준수 및 법적 문제로 이어질 수 있습니다. 의료, 정부, 금융 등 규제가 매우 엄격한 분야에서는 가이드라인이나 처리 과정에서의 사소한 실수도 중대한 벌금은 물론 소송으로까지 이어질 수 있습니다.

귀사는 공용 및 사설 클라우드 서비스 모두에 대해 규제 준수에 대한 책임을 져야 합니다. 클라우드 공급자가 데이터를 보호하기 위해 필요한 모든 프로세스와 통제를 갖추고 있는지 확인하는 것은 귀사의 몫입니다. 또한 귀사 자체의 통제가 귀하가 적용받는 규정과 준수해야 합니다. 아울러 많은 기업은 이를 완전히 통제하기 위해 민감 데이터의 저장을 사설 클라우드에만 제한하는 것을 선호합니다.

보안 사고의 처리

탐지, 신고 및 관리에 대한 책임은 고객과 공용 클라우드 서비스 제공자 간에 공유됩니다. 신속하게 침해 사실을 통지받을 수 있도록, 원활한 커뮤니케이션을 유지하고 알림 규칙을 명확하게 정의하세요.

접근 통제

여러 접근 지점의 존재는 하이브리드 클라우드 저장 시스템에 보안 위험을 초래할 수 있습니다. 따라서 누가 어떤 데이터에 접근 하는지 정확히 파악하고, 보안 프로토콜을 엄격하게 적용하며 최소 권한의 원칙과 같은 모범 사례 를 준수하는 것이 매우 중요합니다.

외부 클라우드 서비스로부터의 격리 부족

멀티테넌시와 공유 리소스는 퍼블릭 클라우드 컴퓨팅의 일반적인 특징입니다. 하이브리드 클라우드에서는 공격자가 환경의 퍼블릭 클라우드 구성 요소에 접근할 경우, 프라이빗 클라우드와 온프레미스 컴퓨팅 시스템까지 백도어를 마련할 수 있습니다.

다중 요소 인증과 디지털 디바이스 인증 같은 솔루션을 도입하여 인증 및 권한 부여를 한층 강화하세요.

가시성 및 감사

퍼블릭 클라우드와 프라이빗 클라우드 환경 전반에서 활동을 모니터링하고 가시성을 확보하는 것은 어려울 수 있습니다. 모든 클라우드 시스템을 중앙 플랫폼에서 감사할 수 있도록 지원하는 솔루션을 사용하세요.

일반적인 하이브리드 클라우드 보안 위협을 완화하는 방법

하이브리드 클라우드 환경은 퍼블릭 클라우드와 프라이빗 클라우드의 모든 장점을 누릴 수 있지만, 양쪽에서 발생할 수 있는 보안 위협도 모두 직면합니다. 여기서는 가장 흔한 보안 위협에 대한 기본적인 개요를 정리했습니다. 클라우드 데이터 보안에 대해 더 자세한 내용은 다른 자료를 참고하세요.

• 데이터 침해 — 적절한 권한 없이 정보를 의도적으로 또는 실수로 접근하는 것을 방지하려면 역할 기반 액세스 제어를 사용하고, 사용자 행동을 분석, 민감한 데이터 주변의 활동을 추적하며, 최소 권한 모델을 적용 하고 정기적으로 권한(엔터틀먼트)을 검토하세요.
• 내부자 위협 — 직원이 자신의 액세스 권한을 사용 해 고의로든 실수로든 회사 데이터를 훔치거나 손상시키거나 노출시키는 위험을 최소화해야 합니다. 최소 권한을 강제하는 것뿐 아니라, 특히 권한이 높은 계정에서 의심스러운 활동을 면밀히 모니터링 하세요.
• 계정 탈취 — 합법적인 사용자의 자격 증명을 훔친 공격자는 즉시 강력한 내부자 위협 이 됩니다. 위의 조언에 더해, 다중 요소 인증과 강력한 암호를 포함한 강력한 신원 및 액세스 제어 조치를 결합하세요.
• 잘못된 구성 — 클라우드 서비스 플랫폼에서 기본 기능을 비활성화하지 않는 등 안전하지 않은 구성은 권한이 없는 사용자가 관리(관리자) 권한에 접근할 수 있게 만들 수 있습니다. 구성에 대한 변경 사항을 감지하려면 구성 감사를 수행하고 지속적으로 모니터링하세요.
• 악성코드 — 랜섬웨어와 기타 악성 소프트웨어가 컴퓨터 시스템에 피해를 주는 위험을 최소화하려면, 백신(안티바이러스) 소프트웨어를 설치하고 데이터를 정기적으로 백업하며, 모든 사용자를 대상으로 IT 시스템을 사용할 때의 안전한 습관을 교육하고 실제로 테스트해야 합니다.

하이브리드 클라우드 보안을 위한 모범 사례

전통적인 퍼블릭 및 프라이빗 클라우드 보안에 대한 모범 사례는 하이브리드 클라우드 환경에도 동일하게 적용됩니다. 다만, 하이브리드 클라우드 보안 계획에 다음과 같은 특정 고려 사항을 반영하는 것이 좋습니다:

• 데이터에 집중 — 프라이빗 및 퍼블릭 클라우드 환경 전반에 걸쳐 보유한 민감 데이터와 규제 대상 데이터를 정기적으로 식별하고 분류하세요. 민감 데이터가 저장된 위치와 관계없이 이를 보호할 수 있도록 통제(컨트롤)를 설정합니다. 민감 데이터의 노출을 줄이는 데 도움이 되는 자동화된 복구(시정) 워크플로를 구축하세요.
• ID 및 액세스 관리(IAM)를 구현합니다 — 이상적으로는 모든 클라우드 환경에 대해 단일 IAM 시스템이 있어야 합니다. 자체(사내) 시스템을 보유하는 것이 더 바람직합니다.
• 네트워크를 보호하세요 — 온프레미스 환경과 클라우드 서비스 간에 VPN을 설정하는 것을 고려해 보세요.
• 암호화를 사용하세요 — 모든 민감한 데이터는 위치와 관계없이 반드시 암호화되어야 합니다.
• 둘레(경계) 보안에 주의를 기울이세요 — 둘레 보안(예: 방화벽, DDoS attack 대응 등)은 외부 인터페이스가 있는 모든 환경 전반에서 조정되어야 합니다.

핵심 요점

하이브리드 클라우드 솔루션은 기업에 두 가지의 장점을 모두 제공할 수 있습니다. 즉, 퍼블릭 클라우드 서비스의 편의성과 비용 효율성을, 프라이빗 클라우드 환경의 보안성과 유연성과 결합하는 방식입니다. 다만 이 모델을 선택한다면 하이브리드 클라우드 시스템이 직면하는 고유한 보안 위협에 주의를 기울이고, 데이터를 안전하게 지키기 위해 검증된 방법을 따르세요.