[기술보고서] 삼성 SDS- 클라우드 시대에 더욱 중요해진 보안

2022111337 이예빈

 

https://www.samsungsds.com/kr/insights/securing_cloud_environments.html

클라우드 시대에 더욱 중요해진 보안 | 인사이트리포트 | 삼성SDS

---

•  디지털 가속화 속에 부상하는 보안의 중요성

 스마트폰이 고스란히 클라우드에 복제되고 있다. 우리가 사용하는 스마트폰과 각종 모바일 앱들은 클라우드와 연동되어 있어서 우리가 기록하고 저장한 모든 내역들이 고스란히 클라우드에 저장된다. 비단 스마트폰만 그런 것이 아니라 컴퓨터, 태블릿 등도 클라우드로 올라가고 있다. 컴퓨터로 작업한 각종 문서는 물론 브라우저로 웹 서핑한 내역과 확장 프로그램 등도 모두 클라우드에 기록된다. 다른 컴퓨터를 사용하더라도 클라우드에 연결하면 같은 문서, 같은 환경으로 프로그램을 이용할 수 있다. 그렇다 보니 이제는 스마트폰이나 컴퓨터가 아닌 그런 클라우드의 보안을 더 신경 써야 한다. 내 클라우드의 계정 비밀번호에 유의해야 하고, 당연히 이런 클라우드 서비스를 제공하는 기업은 외부 공격자가 클라우드에 침입하지 않도록 주의해야 한다.

 특히 클라우드를 이용하는 기업은 더욱더 이 보안에 주의해야만 한다. 수많은 기업 고객들이 이용하는 클라우드의 보안망이 뚫리면 결국 그 기업 고객들을 이용하는 사용자들의 보안이 뚫려 도미노처럼 2차, 3차 후속 문제가 발생하게 된다. 심지어 기업 고객들의 데이터에는 기업의 비밀과 더 많은 개인정보들이 담겨 있어 이로 인해 연쇄적으로 위험이 커져갈 수 있어 더욱 유의해야 한다. 클라우드가 가속화될수록 보안은 더욱더 중요해질 수밖에 없다.

 

#보안 정책

•  암호화 : 클라우드 사업자는 데이터 암호화 기술을 사용하여 데이터를 안전하게 보호하고 보안을 강화한다.
•  인증 및 권한 관리 : 고객의 접속을 제어하고 불법 접속을 방지하는 인증 및 권한 관리 기능을 제공한다.
•  백업 및 복구 : 고객의 데이터를 정기적으로 백업하고 데이터 손실이 발생할 경우 복구할 수 있도록 한다.
•  네트워크 보안 : 클라우드 사업자는 네트워크 보안 기술을 사용하여 공격을 막고 네트워크를 보호할 수 있다.
•  정기적인 보안 취약점 스캔 : 정기적으로 보안 취약점 스캔을 수행하고 이를 개선한다.
•  취약점 관리 : 취약점 관리 기술을 사용하여 시스템의 취약점을 검사하고 보완한다.
•  컴플라이언스 : 관련된 정부 및 표준의 요구사항을 준수하는 것이 중요하다.

 

•  클라우드의 허점, 보안 이슈

 기업이 이용하는 클라우드는 이용 범위와 영역에 따라 다르지만 기업이 비즈니스를 위해 운영하는 인프라, 시스템 그리고 각종 응용 프로그램과 그 소프트웨어를 통해 수집되는 데이터들 모두를 클라우드에 저장하는 것이나 다를 바 없다. 또한, 모든 기업 구성원들의 개인 컴퓨터와 그 기업의 소비자들이 이용한 서비스에 대한 모든 것들이 클라우드에 저장된다. 그런 클라우드가 공격당하면 외부 공격자는 기업의 클라우드 자원에 연결해서 데이터를 유출하고 응용 프로그램을 악용할 수 있다.

 대개의 전통기업일수록 직접 클라우드를(CSP) 이용하지 않고 MSP(Managed Service Provider)라는 곳을 통해서 클라우드를 관리한다. 즉, MSP는 고객의 IT 인프라를 외부에서 도와 관리하는 기업을 칭한다.
 클라우드를 이용하는 기업의 클라우드 사용 업무를 맡은 직원이 클라우드 접근 비밀번호를 너무 쉽게 설정했거나, 노트북이나 스마트폰 등에서 클라우드 업무를 보면서 로그인한 암호가 타인에게 유출되면 쉽게 그 계정은 탈취될 수 있다. 또한, 클라우드 자원을 탈취해서 다른 목적 예를 들어, 암호화폐 채굴이나 다른 사이트의 해킹을 위한 디도스 공격에 활용될 수 있다. 
 또한, 클라우드 이용이 전사로 확대되면서 여러 계정이 만들어지고 여러 구성원들이 클라우드에 연결해서 서비스를 사용하다 보면 계정 관리가 복잡해진다. 이런 것을 평소 효과적으로 관리하려면 계정 개설 상태를 시각화해서 한 눈에 볼 수 있도록 하고, 계정의 상태와 연결한 위치, 사용 내역들을 스크리닝해서 파악하고 이상 징후가 발생했을 때 바로 관리자에게 알려줄 수 있어야 한다. 이러한 사항은 MSP가 제공할 수 있는 훌륭한 보안 솔루션이다.

•  철저한 보안을 위한 방안

 클라우드의 보안은 기존 보안과는 방식이나 대처 방안 그리고 통제 대상 등이 모두 다르다. 기존 보안은 계층 방어로 망을 분리해서 운영하면 되지만 클라우드의 경우 네트워크보다는 사용자 인증과 계정의 권한 제어를 통해서 관리해야 한다. 또한, 기존 보안은 보안 이슈에 따라 개별 솔루션으로 별도 대응해야 하지만, 클라우드는 통합된 방식으로 보안 기술을 적용해야 한다. 게다가 클라우드는 접속하는 사용자가 워낙 다양하다 보니 각각의 이용자별 권한과 기능을 통제해서 보안 침해를 예방할 수 있어야 한다. 그래서, 클라우드 보안은 클라우드를 이용하는 모든 직원을 대상으로 해야 하고 MSP의 보안 컨설팅과 대비책을 적극 활용해야 한다.