클라우드 환경, 취약점 점검, 가시성 제공 및 리스크 관리, 워크플로우 지원 고려해야

[보안뉴스= 박정현 아스트론시큐리티 부사장] 최근 클라우드 전환이 가속화되면서 IT 인프라가 클라우드 환경으로 빠르게 전환되고 있다. 이에 따라 전환을 지원해야 하는 IT 부서의 고민도 가중되고 있다. 보안조직 입장에서 보면 클라우드 전환 과정에서 소외되는 경우도 발생하고 전환이 이루어지고 난 후, 보안 리스크에 대응해야 하지만 관련된 정보나 해당 지식이 부족한 경우도 자주 발생한다.


또한, 운영부서 등 유관 부서와 협조체계를 구축하기 위한 도구와 프로세스가 부족한 부분을 해결하면서 최적의 보안 방안도 적용해야 되는, 말 그대로 두 가지 고민을 한 번에 해결해야 하는 상황이다. 이에 따라 최근 멀티 클라우드 환경 구축이 확산되면서 이에 초점을 맞춘 다양한 보안 솔루션들이 이에 대한 검토가 활발히 이루어지고 있다.

가장 많이 언급되는 솔루션은 CSPM(Cloud Security Posture Management), CWPP(Cloud Workload Protection Platform), CASB(Cloud Access Service Broker), CNAPP(Cloud Native Application Protection Platform) 등이 있다.

이중 클라우드의 특징인 인프라에 대한 확장성과 변동성, 접근 용이성으로 인한 보안 이슈를 해결하는 방법으로 CSPM 솔루션이 부각되고 있다. 클라우드 보안의 시작점을 취약점 진단 및 탐지 기능을 갖는 CSPM이라고 보는 시각이 대세로 자리잡아가고 있다. 실제 클라우드를 운영하는 기업 입장에서도 취약점 파악이 안된 상태에서 다른 보안전략을 먼저 검토하는 것이 무의미할 수 있다.

따라서 기업이나 기관에서 클라우드 보안의 필수 솔루션인 CSPM을 도입할 때 우선적으로 고려해야할 요소들을 살펴보고자 하며, 도입 시점에 참고됐으면 한다.

첫 번째 고려 요소는 사용하는 클라우드 환경이다. 단일 클라우드 인지 멀티 클라우드 환경인지,외산 클라우드만 사용할지, 국내 클라우드 환경도 병행되는지에 대한 장기적 관점의 검토가 필요하다. 최소 3~5년 정도의 장기 계획에 포함되는 클라우드 사용 환경을 검토해 이를 적절히 지원하는 기준을 정하는 것이 향후 확장에 따른 리스크를 줄이는 방법이다.

두 번째 클라우드 환경에 특화된 취약점 점검, 컴플라이언스(Compliance) 지원 여부이다. 우선 지원되어야 할 국내외 Compliance에 대한 검토 및 기준이 정해져야 하고, 추가적으로 Compliance 진단항목 외 취약점에 대해서는 어떻게 지원할 것인지에 대한 충분한 검토가 필요하다. 커스텀 진단항목의 지원여부나 취약점 발생에 영향을 미치는 설정 항목들에 대해 고객 환경에 맞는 점검이 지원되는지에 대한 부분도 중요한 검토 요소 중 하나가 된다.

세번째 자산 및 계정에 대한 가시성 제공 및 리스크 관리 기능 지원에 대한 부분이다. 우선 자산에 대한 가시성이 지원되어야 하는데, 이중 다계층으로 이루어진 방화벽에 대한 관리기능은 사용자 편의성 측면에서 중요한 부분 중 하나다. 계정에 대한 가시성도 클라우드 서비스 업체들이 기본으로 제공하는 기능인 IAM 기능 전반에 대해 충분히 지원되는 기준을 검토할 필요가 있다. 계정, 그룹, 권한 범위에 대한 가시성뿐만 아니라 Organizations 서비스에 지원도 필요한 경우가 있다. 추가적으로 계정이나 권한 관련 취약 요소도 능동적으로 보여줄 수 있는 기능은 사용자의 업무를 줄여줄 수 있는 기능들이다.

마지막으로 조직간 워크플로우의 지원 여부이다. 보안 조직과 내부 운영 조직, 외부 운영대행사(MSP, Managed Service Provider)와의 업무 협조를 위해서 서로 협의된 권한 하에 업무 프로세스를 충실히 지원할 수 있는 Ticket 시스템 등 워크플로우 지원이 필수적이다.

앞에서 살펴본 4가지 CSPM 검토 요소는 기본적인 검토 사항이고 실제 적용을 위해서는 각 사의 실정에 맞게 심도있게 검토되어 적절한 기준점을 가지고 설계하는 것이 클라우드 보안 리스크를 관리하기 위한 첫번째 걸음이 될 것으로 본다.
[글_ 박정현 아스트론시큐리티 부사장(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>