우버랑 깃랩도 당했다는데, '클라우드 서비스' 과연 안전한 걸까?

클라우드 컴퓨팅 기술 혁명은 일부에서 진화 과정의 변화(Evolution change)를 겪고 있기는 하지만 여전히 진행 중에 있습니다. 점점 더 많은 사용자와 기업들이 자신들의 데이터와 IT 인프라 전체를 클라우드로 이전하고 있기 때문에, 이러한 클라우드 데이터가 얼마나 안전한지에 대해서도 궁금해지는데요. 이번 시간에는 클라우드 서비스의 취약점과 보안방법에 대해 이야기해보고자 합니다.

클라우드 컴퓨팅이라는 것에는 수많은 클라우드 도구와 모델이 필요합니다. 구체적으로 말하자면, 서비스로서의 서비스(Saas), 서비스로서의 플랫폼(Paas), 서비스로서의 인프라(Iaas)라는 3개의 시스템으로 대표되는 메커니즘입니다. 클라우드에는 많은 이점이 있기는 하지만, 다른 많은 기술들과 마찬가지로 약점들도 가지고 있습니다. 그리고 가장 취약한 부분은 보안성입니다.

​

클라우드 컴퓨팅에서의 데이터 보안이란 무엇인가?

기본적으로 클라우드에서의 보안은 기존의 사내 데이터 센터의 보안과 크게 다르지 않습니다. 두 경우 모두 도난, 유출, 삭제로부터 데이터를 보호하는 문제에 초점을 맞추고 있죠.

하지만 클라우드는 그 특성상 보안 위협에 있어서 매우 취약합니다. 데이터가 서비스 제공 업체 쪽에 저장되고, 또 인터넷을 통해서 접근할 수 있다는 사실 때문에, 데이터의 보안 측면에서는 그다지 신뢰감이 들지 않는 것이 사실인데요. 게다가 데이터가 클라우드에 더 많이 이전될수록, 데이터 보안에 있어서의 기본적인 요구 사항인 무결성(integrity)을 유지한다는 것이 더 어려워집니다.

고려해야 할 또 다른 문제는 클라우드 서비스 공급업체입니다. 기본적으로 데이터의 소유권을 가진 이들은 클라우드의 보안에 대해서는 책임을 지지 않습니다. 그렇기 때문에, 클라우드 서비스를 선택하는 단계에서, 해당 공급자가 데이터 보안을 위해 필요한 조치들을 모두 취하고 있는지를 살펴보아야 합니다.

​​

클라우드 컴퓨팅의 주요 보안 리스크​

클라우드로의 마이그레이션에 대한 의자가 강력하다면, 보안 방침을 집중해서 살펴보아야 합니다. 그리고 해당 클라우드 서비스가 보다 더 안전하게 유지되기 위해서 어떤 변화가 필요한지에 대해서도 검토해보아야 합니다. 그렇지 않을 경우, 데이터를 통제할 수 없는 상황에 처하게 될 수도 있습니다. 클라우드 컴퓨팅을 이용하기 전, 다음과 같은 주요 리스크 요인에 대해서 철저하게 분석해보세요.

​

√ 데이터 손실 √ 취약한 계정 √ 악성코드 감염 √ 규제 위반 √ 내부의 위협요인

​

1. 데이터 손실

맥아피(McAfee)의 <클라우드 채택 및 리스크 보고서>에 따르면, 클라우드 내 파일의 21%가 민감한 데이터를 포함하고 있는 것으로 나타났습니다. 이런 데이터를 잃어버리는 것은 생각만 해도 아득한데요. 가장 우려가 되는 것은 저장이나 전송 또는 엔드 포인트(endpoint)에서 데이터가 손실되는 것입니다. 보안 침해가 발생하면 기밀 데이터 도난이 있을 수도 있고, 클라우드에서 보안 침해가 일어나면 민감한 데이터가 손실될 수도 있으므로, 데이터 유실 방지는 데이터 관리 전략의 핵심적인 부분이 되어야 합니다. 데이터 유실이 발생할 가능성은 낮지만 누구에게나 발생할 수 있습니다.

실제 사례를 들어 보겠습니다. 소프트웨어 출시 자동화 서비스를 제공하며 성공하고 있는 스타트 업인 깃랩(GitLab)에서 2017년 초에 보안과 관련한 약간의 '사고'가 있었습니다. 관리자의 실수로 인한 것이었는데, 그만 300GB에 달하는 사용자 데이터가 손실되었습니다. 그중 일부는 백업 데이터베이스에서 복원되었지만, 다른 부분은 영원히 사라지고 말았습니다. 이런 사례를 보면, 추가적인 백업 조치와 재해복구 시스템은 반드시 갖춰야 합니다.

​

2. 취약한 계정

개인이나 단체의 클라우드 계정이 손상되거나 도용되는 것 역시 사용자가 겪을 수 있는 또 다른 문제입니다. 클라우드 컴퓨팅은 다양한 방식으로 접속할 수 있는 수많은 기기들이 분산되어 연결된 시스템입니다. 그렇기 때문에 이들 클라우드 네트워크는 사이버 공격에 취약합니다. 따라서 해커들은 취약한 계정을 도용해서 데이터를 들여다보고 조작할 수도 있습니다. 패스워드와 암호 키를 이용한다고 하더라도 사고는 발생할 수 있는데, 복잡하지 않은 암호는 해커들이 쉽게 추정할 수도 있고, 피싱(phishing)이나 스푸핑(spoofing) 공격을 통해서도 도용이 될 수 있습니다.

마케팅 데이터, 의료 기록, 선거 데이터와 같은 개인 정보들이 유출되는 사고는 드물지 않게 발생합니다. 그렇기 때문에 클라우드 컴퓨팅 서비스를 제공하는 아마존 웹 서비스(AES)와 같은 거대 기업들이 사이버 공격의 목표물이 되고 있습니다. 대표적인 사례로는 해커들이 AWS에우버(Uber)의 계정으로 로그인해서, 우버의 깃허브(GitHub) 저장소에 접근한 다음, 우버 앱 사용자들의 개인 정보 데이터를 다운로드하는 일이 있었습니다. 우버의 계정에 대한 보안 강화 조치가 즉시 취해지긴 했지만, 이들의 명성에는 이미 먹칠이 칠해진 다음이었죠.

​

3. 악성코드 감염

클라우드는 확장성과 함께 데이터 처리에 있어서 빠른 속도를 제공하기는 하지만, 악성코드가 매우 빠르게 진화할 수 있는 환경도 제공하고 있습니다. 그리고 악성코드를 만드는 사람들은 언제나 새로운 감염 방식을 찾고 있습니다. 클라우드 앱은 대규모 악성코드 공격을 확산시키는 아주 좋은 자산이기 때문에, 클라우드가 최근 이들의 새로운 목표가 되고 있습니다. 예를 들어, 이력서가 첨부된 이메일을 통해서 악성코드가 들어왔는데, 이 이력서를 클라우드 앱과 동기화되는 폴더에 이동되는 바람에 다른 사용자들에게도 전달된 사례가 있었습니다. 이렇듯, 클라우드 환경에서는 한 대의 기기만 감염시키고 끝나는 것이 아니라, 더 쉽게 퍼져서 훨씬 더 큰 피해를 일으킬 수도 있습니다.

클라우드 앱이 악성코드에 직접 감염되는 경우는 드물고, 가상화된 하드웨어에 실행되는 데이터도 취약성 때문에 공격을 받을 가능성은 낮지만, 그래도 사고가 발생할 가능성은 남아있습니다. 악성코드는 클라우드를 바이러스로 감염시켜서 계정을 도용하는 등 클라우드 시스템에 해를 입히게 됩니다. 이런 공격의 가장 일반적인 사례는 클라우드 인프라에 있는 애플리케이션이나 시스템에서 데이터를 훔치는 것입니다. 또 다른 사레로는 악성코드가 사용자 한 명의 기기를 감염시킨 다음에 클라우드 서비스를 통해서 빠르게 확산되는 이른바 '팬아웃'(fan-out)효과가 있습니다.
​

4. 규제 위반

대부분의 기업들은 현행법의 규제에 따라서 운영되어야 합니다. 이러한 규정을 준수하는 것도 클라우드 보안에 있어서 중요한 부분입니다. 미국의 현행 법률인 건강보험 양도 및 책임에 관한 법(HIPAA)과 경제 및 임상 보건에 관한 건강 정보기술(HITECH), 민감한 학생 기록에 대한 가족교육권리 및 개인 정보법(FERPA), 그리고 유럽연합(EU)의 일반 개인정보 보호법(GDPR) 등에 따라서 기업들은 데이터가 저장되는 위치와 누가 그 정보에 접근하는지, 그것을 보호하기 위해 취하고 있는 정보가 무엇인지에 대해서 알고 있어야만 합니다. 클라우드 서비스 제공자는 데이터 처리 요청을 받았을 때만 그것에 대한 보호 책임을 지는 제3자입니다.

따라서 개인 정보를 다루는 조직에서는 클라우드 서비스를 이용하기 전에, 그에 대한 리스크를 분석하고 보안 관리 정책을 수립해야만 합니다. 이를 위반한 사례로는 세인트 엘리자베스 병원(St. Elizabeth's Medical Center)에서 HIPAA의 규정을 준수하지 않고, 클라우드 기반의 파일공유 애플리케이션을 사용했던 일이 있는데, 환자들의 개인 정보를 위험에 빠트렸다는 이유로 이들은 218,400달러의 벌금을 내야만 했습니다.
​

5. 내부의 위협요인

데이터 보안에 있어서의 사람이라는 요소는 많은 측면과 다양한 원인을 갖고 있습니다. 때로는 외부에서의 공격보다 내부의 인원들이 클라우드를 사용하는 기업들에게는 더 큰 위협이 될 수도 있습니다. 이런 위협은 악의적인 속성과 부주의한 속성을 모두 가질 수 있습니다. 무엇이든 간에, 이런 방식에서는 해커들이 굳이 침입하지 않아도 이미 내부에 사람들이 있기 때문에, 보다 더 쉽게 피해를 입힐 수 있죠.

데이터 유출이나 손실, 사용자 오류가 이러한 사고로 인한 최악의 결과는 아닙니다. 이러한 내부의 악당은 기업들이 대비해야만 하는 요소입니다. 특히 클라우드에서 데이터에 액세스할 수 있는 보다 많은 방법을 제공함으로써, 내부에서 잠재적인 위협을 가할 수 있는 직원들이 많아진다면 더욱 그렇습니다. 어떠한 기업들도 자신들이 내부에 악당을 고용해서 월급을 주고 있다고 생각하고 싶지는 않을 것입니다. 그렇기 때문에 내부의 위협요인은 보통 통제력의 부족과 관련이 있습니다. 따라서 조직에서는 데이터 보안 정책을 수립하고 지속적으로 개선해서 위험을 최소화해야 합니다.

​

클라우드의 데이터를 어떻게 보호할 수 있는가?

클라우드 컴퓨팅에서 완벽한 보안을 제공하기 위해서는 복잡한 일을 시작해야 하는 걸로 보일 수도 있습니다. 하지만 이제 걱정하지 않아도 됩니다. 클라우드 컴퓨팅은 여전히 수많은 장점을 가진 최신의 기술입니다. 이 모든 것을 누리기 위해서는 클라우드 보안과 관련된 조치를 최대한 많이 취하기만 하면 됩니다. 그렇기 때문에, 클라우드를 이용해서 업무를 할 때는 다음의 네 가지 단계를 고려하시기 바랍니다.

​

√ 데이터 암호화 √액세스 제어와 강력한 인증 절차 √ 데이터 분리 √ 민감도와 중요성이 높은 데이터는 피하기

​

​

1. 데이터 암호화

파일 단위로 충분히 암호화하는 것이 클라우드 보안 작업에서의 기본이 되어야 합니다. 클라우드 서비스 제공 업체와 제3의 클라우드 보안 소프트웨어 제공자가 데이터 보호를 위한 툴을 제공할 수도 있지만, 여러분들 스스로 데이터 보안에 대한 책임을 져야 합니다. 민감하거나 규제와 법률의 대상이 되는 데이터는 최고 수준의 보안이 필요합니다. 강력한 암호화 또는 데이터 인코딩(data encording)이 데이터의 기밀을 보호하기 위해서, 전송하는 데이터와 유휴 데이터에 암호화가 적용됩니다.

또한, 데이터를 먼저 암호화 한 다음에 클라우드와 동기화를 하는 것이 효과적입니다. 그러면 암호화 알고리즘이 데이터를 암호화해서 정확한 암호화 키가 있어야만 파일을 풀어서 데이터를 열어볼 수 있기 때문에, 보안성이 커지게 됩니다. 클라우드 서비스 공급업체들 중에서는 고객들을 위해서 암호화 키를 관리해 주는 곳들도 있고, 암호화 키를 고객들이 완전히 통제할 수 있게 해주는 곳들도 있습니다. 어쨌든 암호화 키를 통제해서 데이터를 관리하는 것은 고객들 자신이 되어야 합니다.
​​

2. 액세스 제어와 강력한 인증 절차

애플리케이션을 안전하게 액세스할 수 있게 하는 것은 필수적입니다. 클라우드 시스템은 인터넷에 노출되기 때문에, 불법적인 액세스를 방지하려면 강력한 인증 절차를 갖추어야 합니다. 강력한 암호, 2- 3단계의 인증 절차가 가장 쉽게 사용할 수 있는 방식입니다. 아이디와 비밀번호를 이용한 방식은 최종 사용자들이 편하다는 이유로 오랫동안 애용되어 왔습니다.

하지만 컴퓨팅 파워와 암호화 알고리즘의 발달로 인해서, 아이디와 비밀번호를 이용한 예전 방식은 더 이상 안전하지 않게 되었습니다. 다중인증(Multi-factor authentication) 방식은 클라우드 기반 어플리케이션의 실제 사용자를 인증하는 간단하면서도 안전한 방법입니다. 주로 사용되는 방식으로는 암호 힌트, 지문이나 얼굴을 이용한 생체인식 등이 있고, 자주 사용되는 것은 아니지만 클라우드에 접속하는 기기가 실제로 사용자의 소유인지를 확인하는 방식도 있습니다. 일반적으로 이런 접근법은 암호를 사용하는 방식의 취약성을 보안해줍니다. 예를 들어서, AWS플랫폼을 사용하는 고객들은 클라우드 기반의 앱에 접속할 때, 보안을 강화하기 위해 사용되는 인증 도구인 아마존 코그니토(AWS Cognito)를 활용할 수 있습니다.
​

3. 데이터 분리

기업들이 민감도 수준에 따라서 데이터를 구분하고, 공통된 조건으로 데이터를 분류하고, 그리고 어떤 데이터가 공개/ 비공개/ 민감 데이터로 다루어져야 하는지를 확실하게 명시할 수 있는 데이터 분류 정책을 만드는 것은 좋은 생각입니다.

> 공개
제한 없이 공개하고, 일반인에게 공개할 수 있는 민감하지 않은 데이터입니다. 공개 데이터는 모든 직원들은 물론이고 다른 회사의 직원이나 일반인들도 이용할 수 있는 것입니다.

> 비공개
이 데이터는 기밀성이 우선됩니다. 그러나 비공개 데이터와 관련된 정보들은 정보공개의 대상이 될 수도 있습니다. 일반적으로 사생활 보호를 위해 보호되며, 그 예로는 이메일을 주고 받은 내용, 예산 계획, 직원 정보 등이 있습니다.

> 제한 또는 민감
민감한 데이터의 기밀 특성은 법률이나 정책, 또는 계약상의 의무에 의해서 생겨날 수 있습니다. 이 데이터는 엄격한 보안에 의한 보호와 특별한 인증 절차가 필요할 수도 있습니다. 이러한 유형의 데이터는 특정한 개인들이나 그룹의 사람들만이 제한적으로 사용할 수 있는 것입니다. 민감한 데이터의 예로는 환자의 건강정보, 재무 자료, 비공개 계약이나 민간 계약의 보호를 받는 정보, 중요한 인프라 정보, 신용카드 거래 내역이나 카드 소유자에 대한 정보 등이 있습니다.
​

4. 민감도와 중요성이 높은 데이터는 피한다.

클라우드에 정보를 보관하지 않는다는 것은 말로는 쉽지만, 실제로는 쉽지 않은 일입니다. 먼저 데이터를 클라우드에 전송하기 전, 해당 클라우드 서비스 제공업체에서 데이터를 어떻게 백업하는지, 누가 어떻게 다양한 종류의 데이터에 접근하게 되는지, 그리고 데이터 침해가 어떻게 방지되고, 발생한다면 어떤 처벌을 받는지에 대해서 여러분이 충분히 이해하는 것이 중요합니다. 그리고 가능하다면 중요성이 아주 높은 데이터는 클라우드 인프라에 저장하지 않는 것이 좋은 방법입니다. 그렇지 않다면, 서비스 제공업체가 업계의 표준을 제대로 준수하고자 하는지를 확인하는 것이 좋습니다.

​

클라우드에서 데이터 보안의 약한 부분을 알게 된다면, 클라우드 컴퓨팅 보안의 모든 문제를 성공적으로 해결할 수 있습니다. 클라우드는 다양한 규모의 기업들에게 많은 기회를 제공하고 있기 때문에, 이러한 기회를 놓치면 안됩니다. 클라우드를 시작하려고 하신다면, 공급업체와의 협업 조건을 검토하고, 보안과 관련한 최고의 리스크와 사전 예방조치에 대해서 살펴보셔야 합니다. 그렇게 한다면 클라우드 서비스는 아주 훌륭한 도구가 될 수 있습니다.

> 이 글은 'HOW SECURE IS DATA IN THE CLOUD?'를 각색하여 작성되었습니다.