"클라우드 쓰면 보안 필요없다는 오해 많다"

이은옥 체크포인트코리아 지사장 인터뷰

"클라우드 쓰면 방화벽은 필요 없다는 오해를 많이 한다. 클라우드는 데이터센터를 빌려 쓰는 형태일 뿐이지, 차세대 위협이나 맬웨어에 노출될 위험성은 똑같다. 이런 인지가 부족한 상황이다."

이은옥 체크포인트코리아 지사장은 디지털트랜스포메이션 과정에서 클라우드 보안 솔루션에 대한 투자도 동반돼야 한다며 이같이 말했다.

이은옥 지사장은 “기업들이 클라우드로 IT 인프라를 이전하면서, 클라우드 제공업체에서 제공하는 보안 기능이면 충분하다는 착각을 하고 있다”며 “클라우드 서비스의 기본 기능은 매우 기본적인 보안일 뿐이며 계속 보안에 투자를 해야 한다”고 말했다.

클라우드 서비스업체는 강력한 보안 정책을 운영한다는 점을 강점으로 내세운다. 이는 인프라 전체의 보안을 말할 뿐이다. 퍼블릭 클라우드 상에 실제로 만들어지는 가상머신(VM)마다 보안 기능을 기본으로 제공하진 않는다. 꼼꼼하게 추가적인 보안 설정을 집어넣어야 안전한 시스템을 운영할 수 있다.

이 지사장은 작년 일어난 캐피털원 사건을 언급했다. 아마존웹서비스(AWS) EC2를 이용한 고객이 잘못된 설정 때문에 2천억원의 피해를 입었던 사례다. 이 지사장은 “잘못된 설정으로 생기는 유사 사례가 많은데 공론화되지 않았다”며 “가트너는 2023년 내 클라우드와 연관된 모든 침해 유출 사건의 99%가 사용자의 잘못된 설정이나 실수로 인한 것이라고 전망하기도 했다”고 설명했다.

이은옥 체크포인트코리아 지사장

보안 사고 발생 시 클라우드 사업자가 피해를 완전히 책임지지 않는다는 점도 유의사항으로 언급했다. 클라우드 사업자는 보안 사고에 고객사 과실을 따지는 책임공유모델을 사용한다. 클라우드 사업자는 인프라 자체만 책임지고, 클라우드 상에 운영되는 고객의 VM에 발생한 사고의 책임은 고객에게 있다는 것이다.

체크포인트에게 클라우드 보안의 핵심은 '가시성'이다. 이 지사장은 "워크로드에서 나타나는 프로세스에 대해 실시간으로 런타임 환경을 점검할 수 있어야 하고, 코드 내용을 토대로 어떤 행위를 할 지 사전에 알 수 있어야 하며, 이 행위가 프로세스에 어떤 영향 끼치는지를 알 수 있어야 한다"고 클라우드 보안에 필요한 가시성을 정의했다.

이 지사장은 "10년 뒤엔 클라우드에서 온프레미스로 재이전하는 사례도 나타나는 등 하이브리드 클라우드 환경이 확산될 것"이라며 “가시성을 중심으로 한 보안의 중요성은 지속적으로 증가할 것”이라고 강조했다.

리눅스 컨테이너와 마이크로서비스 등 IT 인프라 유형은 점차 세분화되고 있다. 큰 덩어리로 만들었던 애플리케이션이 수많은 기능 조각(마이크로 서비스)으로 나뉘어 네트워크로 통신하며 하나의 시스템을 형성하는 흐름이다. 쿠버네티스처럼 수많은 컨테이너를 운영하고, 관리하는 오케스트레이션 소프트웨어가 인기를 끄는 것도 복잡해진 시스템을 원활하게 사용하기 위해서다.

그러나 쿠버네티스 같은 소프트웨어는 시스템 상태 모니터링만 할 뿐 예방적인 보안조치나 외부 위협 방어 등의 구체적 보안 조치에 약점을 드러낸다. 전과 다른 보안 고민이 필요해지는 것이다. 클라우드 서비스와 컨테이너 환경을 운영하면서 보안을 고민하지 않으면, 틈새를 곳곳에 노출하게 된다. 이를 노린 공격은 더 거세질 수밖에 없다.

이 지사장은 "쿠버네티스도 널리 사용되는 가운데 전통적인 데이터센터 이용도 계속 나타날 것"이라며 "이런 복잡한 환경을 고려해 클라우드 속 데이터에 접근한 뒤 암호화해 금전을 요구하는 등의 공격도 나타날 것으로 본다"고 전망했다.

체크포인트코리아는 이은옥 지사장을 선임한 지난 2017년 12월 이후 회사 리빌딩 작업에 매진해왔다.

지난해에도 성장세를 이어갔다. 이 지사장은 "전년 대비 5~10% 가량 성장했고, 회사를 재건하는 과정에서 거둔 성과라 크게 느껴진다"며 "대형 금융사 2군데도 고객사로 추가 확보했으며, 제조와 금융 분야 5개 고객사에 클라우드 보안 제품을 공급하기로 했다"고 밝혔다.

이 지사장은 "올해는 클라우드 분야 채널 파트너를 늘려가면서 파트너를 통한 금융, 제조 등 상대적으로 미약했던 분야 고객사 발굴에 힘을 쓸 예정"이라며 "공공 분야에서는 APT 대응 솔루션 수요가 늘어날 것이라는 판단 하에 APT 방어 솔루션 '샌드블라스트'의 조달 등록 작업을 진행하고 있다"고 말했다.