웹 개발자만 있는 스타트업도 ‘보안’할 수 있나요?

13분

2024.10.21.

보안 솔루션 도입, 우리 회사에도 정말 필요할까?

클라우드브릭 개발부 개발2팀 신건식 팀장(왼쪽), 클라우드사업부 손경일 이사 <출처: 요즘IT>

Q. 실제 보안 위협이 발생하지 않은 상황이라면, 보안의 중요성을 어떻게 알 수 있나요? 크게 와닿지 않을 수도 있을 것 같아요.

신건식 팀장: 보안 솔루션은 사실 보험과도 같아요. 운이 좋으면 공격을 당하지 않을 수도 있죠. 그러나 인터넷 환경이 확장되고, IoT 기기나 자동차까지 네트워크에 연결되면서 공격의 표면이 훨씬 넓어졌습니다. 아직 공격당하지 않았더라도, 언제든 그 가능성이 존재해요. 그래서 미리 대비하는 것이 중요합니다.

전 세계적으로 수많은 스캐닝 도구가 끊임없이 돌아다니며 취약점을 찾아내요. 만약 운이 나빠 취약점이 발견되면, 그 순간부터 내 정보를 탈취당할 수 있습니다. 이처럼 보안 침해는 예측이 불가능하고, 한 번 발생하면 피해를 수습하기엔 이미 늦습니다. 특히 개인정보를 다루는 기업에서 보안 침해가 발생하면 법적 책임까지 받아야 해요.

손경일 이사: 경영진 입장에서는 한정된 IT 예산으로 인해 보안에 대한 투자를 꺼리기도 하는데요. 지금 당장 보안 침해가 발생하지 않았더라도, 실제로 사고가 발생한 후에는 법적 책임은 물론, 금전적 손실까지 감수해야 하는 상황이 발생할 수 있어요.

Q. 법적 책임과 규제에 따른 부담도 있을 텐데, 보안 사고가 발생했을 때 규제의 강도가 더 세지는 경우도 있나요?

손경일 이사: 법적 처벌의 강도는 보통 다루는 개인정보의 양이나 회원 수에 비례합니다. 예를 들어, 이커머스 플랫폼에서 수많은 회원의 개인정보가 유출된다면, 그에 따른 처벌이나 배상은 매우 커질 수밖에 없죠. 우리나라의 경우, 보안 조치를 충실히 이행했음에도 불구하고 사고가 발생했다면 처벌이 약해질 수 있지만, 대책 없이 무방비로 뚫린 경우는 벌금이 매우 클 수 있습니다. 해외에서는 민사 소송으로 기업이 망할 정도로 큰 배상을 요구받는 경우도 많고요.

Q. 보안 위협이 발생하면 개인정보 탈취 외에, 트래픽 증가나 서비스 다운과 같은 문제도 발생할 수 있을 것 같은데요. 실제로 어떤 영향을 미치나요?

신건식 팀장: 보안 위협이 발생하면 흔히 개인정보 탈취가 가장 큰 문제로 보일 수 있지만, 사실 그건 결과적인 문제일 뿐입니다. 개인정보 탈취는 보안 위협 중에서도 최악의 경우에 해당하죠.

스타트업이나 소규모 커머스를 운영하는 기업에게는 서비스 다운이 가장 치명적일 수 있죠. 몇 시간 혹은 며칠간 서비스가 중단된다면 고객들이 모두 이탈해 버릴 수도 있을 겁니다. 이건 마치 오프라인 매장이 문을 닫고, 손님을 받지 못하는 것과 비슷한 상황인데요. 온라인 서비스는 더 민감하기 때문에, 서비스가 일시적으로 중단되면 그 손실이 훨씬 클 수밖에 없어요.

또한 최근에는 봇 공격이나 DDoS 공격이 웹 공격과 결합되어 대규모로 이루어져서, 작은 규모의 회사일수록 이런 공격에 더 취약할 수 있습니다. 인프라 자체가 그렇게 강하지 않기 때문에 서비스 가용성에 큰 타격을 입는 거죠.

손경일 이사: 처벌을 피하기 위해 보안 솔루션을 도입한다는 건 금융업이나 공공기관의 이야기일 거예요. 결국 서비스를 안정적으로 운영하고, 고객들에게 지속적으로 서비스를 제공하기 위해 필요해요. 이런 측면에서 접근하는 것이 훨씬 더 중요하죠.

Q. 금융, 공공기관 외에도 특별히 보안을 신경 써야 할 도메인이나 산업이 있을까요?

신건식 팀장: 사실 대외적인 서비스를 제공하는 모든 산업에서 보안은 필수적으로 신경 써야 합니다. 예를 들어, 요즘IT 같은 미디어 플랫폼이나 위시켓 같은 IT 아웃소싱 서비스도 보안이 매우 중요해요.

그리고 카카오톡이나 네이버 같은 서비스는 민간에서 운영되지만, 그 인프라는 국가기관과 다를 바 없이 중요한 역할을 하고 있습니다. 이런 서비스들이 장애를 겪으면 사회적 혼란을 야기할 수 있기 때문에 반드시 보안을 철저히 대비해야 하죠.

또한 최근에는 공급망 보안도 중요한 이슈로 떠오르고 있는데요. 예를 들어, 대기업도 벤더들과 데이터를 교환하는 방식이 점점 더 전자화되고 있어요. 과거에는 대기업만 보안을 신경 썼다면, 이제는 1차, 2차 벤더들도 함께 보안을 강화해야 하는 시대가 되었습니다. 대기업에선 벤더들에게 보안 솔루션 도입을 지원하는 경우도 있고요. 결국 보안은 나만 잘한다고 되는 것이 아니라, 연결된 모든 파트너들이 안전해야 합니다. 서로의 안전을 확인하고 협력하는 게 중요한 시대가 된 것이죠.

Q. 스타트업의 경우, 보안의 중요성을 알아도 도입이 쉽지는 않을 텐데요. 어느 시점에서 보안을 신경 쓰고 도입하는 것이 가장 적절할까요?

손경일 이사: 현실적으로 스타트업이 초기 단계에서 바로 보안 솔루션을 도입하는 것은 쉽지 않을 수 있어요. 그래도 보안 도입을 고려해야 할 적절한 시점이 있다면, 고객이 늘어나며 트래픽이 큰 폭으로 증가하는 시점이라고 생각합니다.

초기에 고객이 아예 없는 상태에서 보안을 도입하는 것은 효율적이지 않을 수 있지만, 고객 수가 점차 증가하고, 서비스가 성장하는 시점에는 보안이 필수적입니다. 트래픽이 많아질수록 외부의 관심도 높아지며, 자연스럽게 공격 시도가 늘어나기 때문이죠.

이때 보안을 신경 쓰지 않으면, 서비스가 갑자기 다운되거나 고객 데이터를 유출하게 될 위험이 커지는데, 이는 사업 확장에 치명적인 타격을 줄 수 있어요. 신뢰성이 중요한 스타트업이기에 한 번의 보안 사고로 기존 고객들을 잃고, 신뢰를 회복하기 어려운 상황에 놓일 수 있죠. 그래서 서비스가 성장하는 시점에 보안을 함께 강화하는 것이 매우 중요합니다.

요즘 뜨는 클라우드 보안, 전문가 없이도 가능할까?

Q. 스타트업이나 중소기업은 보안 솔루션을 도입하는 것이 쉽지 않을 것 같은데요. 구체적으로 어떤 어려움을 겪고 있나요?

신건식 팀장: 우선 과거에는 보안 솔루션이 대부분 하드웨어 장비나 패키지 소프트웨어 형태로 제공되었기 때문에, 도입 비용이 매우 높았습니다. 저희 회사에서도 하드웨어 장비의 경우 최소 천만 원대부터 시작했으니, 이러한 솔루션을 스타트업이나 중소기업에서 쉽게 도입할 수 없었고요 그래서 보안 솔루션을 도입하는 기업들은 주로 규제에 맞춰 보안을 강화해야 하는 기업들이나, 개인 정보를 다루는 커머스가 많았죠.

지금도 스타트업이나 중소기업은 대부분 보안 담당자가 따로 없거나, 경영지원팀에서 행정적으로 보안을 관리하는 경우가 많아요. 크게 두 가지 상황에서 보안 서비스 도입을 고민하게 되는데요. 첫 번째는 실제로 해킹 공격을 당한 후에야 보안의 중요성을 깨닫고 대응을 요청하는 경우입니다. 이때는 이미 공격이 시작된 후라 더 큰 피해가 발생할 수 있죠.

두 번째는 규모는 작지만 보안에 대한 인식을 가지고 선제적으로 투자하려는 기업들입니다. 해킹은 한 번 공격당하면 끝나는 것이 아니라, 약점이 드러나면 2차, 3차 공격이 계속될 가능성이 커요. 그래서 초기 공격 징후가 보이면 빠르게 대책을 세워야 하죠. 물론 보안 솔루션을 도입하지 않고 시큐어 코딩을 통해 보안을 강화하는 방법도 있지만, 그만큼 시간과 노력이 많이 필요합니다.

Q. AWS 같은 클라우드 벤더 사에서도 보안 서비스를 제공하는 걸로 알고 있는데, 보안 솔루션을 따로 써야 하는 이유가 있나요?

손경일 이사: 최근 많은 스타트업들이 클라우드에서 비즈니스를 시작하면서, AWS나 Azure 같은 클라우드 인프라 사업자가 제공하는 기본적인 보안 서비스를 많이 사용하기도 해요. 하지만 전문적인 보안 기능이 필요하거나 세밀한 보안 아키텍처가 요구되는 경우, 전문 보안 ISV(독립 소프트웨어 공급기업)의 제품과 서비스를 검토해야 하죠. 특히 최근 Azure 환경에서 발생한 대규모 장애로 인해 기업들이 더 이상 하나의 클라우드 벤더에 종속되는 것이 아니라, 다양한 클라우드 환경을 섞어 쓰는 멀티 클라우드 환경으로 확장하고 있어요.

이런 상황에서 클라우드 벤더 각자의 보안 서비스로 각 클라우드 보안을 다르게 구성한다면, 비용뿐만 아니라 운영과 관리에 복잡성이 증가할 수 있습니다. 그래서 클라우드브릭 같은 SaaS형 보안 솔루션이 효율적인 대안이 될 수 있어요. 멀티 클라우드 환경에서 호환되도록 설계되어, 한 번 보안 설정을 해두면 다양한 클라우드 환경에서 동일한 보안을 적용할 수 있죠.

신건식 팀장: 또 보안 기술력과 사용자 편의성에서도 유리해요. AWS나 Azure 같은 글로벌 대형 기업들은 자금력을 바탕으로 보안 솔루션을 도입하지만, 대부분 타 회사의 보안 기술을 인수해 자사 서비스로 통합하는 방식이에요. 반면, 보안 기술만을 전문적으로 개발해 온 클라우드브릭 같은 보안 솔루션을 이용하면, 보안 성능이 더 높으면서도 사용자 편의성을 고려한 서비스를 제공받을 수 있습니다.

Q. 클라우드브릭의 보안 솔루션은 SaaS 형태로 제공되는데요, SaaS를 이용하면 어떤 이점이 있을까요?

손경일 이사: IT뿐만 아니라 산업 구조가 빠르게 변화하고 고도화됨에 따라, 소유 개념에서 이용 개념으로 행태가 변화하고 있는데요. 과거처럼 하드웨어 형태의 보안 제품을 도입하려면, 막대한 예산과 이를 운영할 수 있는 전문가를 비롯해 운영 관리에 리소스가 많이 들죠.

대신 SaaS형 보안 솔루션을 이용하게 되면, 필요시 활용하고 더 이상 필요가 없어지면 사용을 중단할 수 있어 더 효율적인 비용 집행이 가능합니다. 또한 구독 기간 내에 항상 최신 소프트웨어를 이용할 수 있고, 취약점에 대해서도 빠른 대응이 가능하죠.

참고로 최근 보안 분야의 글로벌 TOP 플레이어들은 대부분 SaaS 형태로 보안 제품을 개발해 운영하고 있어요.

Q. 보안 성능이 더 높다는 건 어떤 점에서 알 수 있나요?

신건식 팀장: 보안 성능을 평가하는 지표 중 가장 중요한 건 탐지 성능인데요. 즉, 얼마나 잘 공격을 탐지하고, 방어하느냐가 핵심이죠. 이를 평가할 때 오탐률(오탐지, 잘못된 경고)과 미탐률(미탐지, 탐지 실패)도 중요한 요소입니다. 아무리 공격을 잘 막아도, 정상적인 트래픽을 오탐으로 처리하거나, 공격을 미탐하면 사용자가 불편을 겪을 수 있어요.

Q. 사용자 편의성에 대해서도 얘기해주셨어요. 관련 지식이 없는 사람도 쉽게 관리할 수 있을까요?

손경일 이사: 앞서 말씀드렸듯이 대부분의 스타트업이나 중소기업은 보안 관리자가 없을 거예요. 보안 설정 자체가 복잡하게 느껴지고, 많은 사용자들이 처음 접근할 때 어려움을 겪곤 합니다. 그래서 클라우드브릭에서는 간편한 설정을 제공하는 데 중점을 두고 있어요. 기본적으로 고객이 최소한의 설정만으로도, 고도화된 보안 서비스를 쉽게 도입할 수 있도록 한 거죠.

초기에는 기본적인 보안 정책을 자동으로 적용해 주고, 세부적인 설정이 필요한 고객들은 별도로 추가 설정할 수 있습니다. 이렇게 하면 보안 지식이 적은 사용자들도 복잡한 설정 없이 어느 정도의 보안 수준을 유지할 수 있어요.

반면, 보안 전문가들이나 더 정교한 설정을 원하는 사용자에게는 디테일한 세부 설정 옵션을 제공해, 사용자 환경에 맞춘 보안 정책을 자유롭게 설정할 수 있게 했습니다.

Q. 간편한 설정으로 적용되는 보안 정책은 어떻게 관리되나요?

신건식 팀장: 보안 정책은 각 도메인의 특성에 맞게 커스터마이징할 수 있습니다. 예를 들어, 웹 방화벽 서비스를 도입하게 되면 각 도메인의 트래픽이나 개발 환경에 따라 공격 패턴이 다르기 때문에, 고객이 직접 설정할 필요 없이 저희가 일정 기간 동안 탐지 시스템을 통해 데이터를 수집하고 분석하죠.

그 데이터를 바탕으로 기본적인 정책을 제안해 드리죠. 이를 통해 고객은 더욱 쉽게 보안 서비스를 도입할 수 있고, 이후 필요에 따라 세부적인 설정을 추가하거나 변경할 수 있어, 고객의 요구에 맞는 유연한 정책 관리가 가능합니다. 이러한 방식 덕분에 고객은 오탐(잘못된 경고)이나 과탐(과도한 경고) 문제를 최소화할 수 있어요.

지금 주목해야 할 클라우드 보안 트렌드와 관리 팁

Q. 보안 모니터링을 할 때 중점적으로 봐야 할 부분은 무엇인가요?

신건식 팀장: 보안 모니터링을 할 땐 ‘이상 행위 감지’가 중요해요. 일반적인 트래픽과 달리, 공격이나 스캐닝 도구가 작동할 때는 비정상적인 트래픽 증가가 나타나며, 이를 즉시 인식하고 대응해야 하죠. 알아차리지 못 하면 방어할 수 없기 때문에, 모니터링을 통해 이런 이상 행위를 감지하고 알림을 받는 것이 필수적입니다.

또한 공격 로그를 통한 실시간 탐지도 중요한데요. 얼마나 많은 공격 시도가 있었는지, 그리고 트래픽의 급증으로 인해 서비스 가용성에 영향을 주는지 확인해야 합니다. 이러한 모니터링 시스템을 통해 고객들은 실시간으로 상황을 파악하고, 자동화된 방어를 설정할 수 있어요.

마지막으로 모니터링 결과를 보고서 형태로 활용하는 방법인데요. 클라우드브릭은 월간 보고서를 통해 공격 횟수, 트래픽 발생량, 공격 유형 등을 분석해 대시보드에서 실시간으로 제공하는데요. 대부분의 고객이 이 데이터를 기반으로 내부 보고서를 작성하거나, 보안 강화 계획을 세우는 데 유용하게 활용하고 있습니다.

Q. 최근 클라우드 보안 위협 중 가장 주목하고 있는 부분은 무엇이며, 클라우드브릭에선 어떤 조치를 취하고 있나요?

신건식 팀장: 최근 가장 주목하고 있는 부분은 자동화된 봇(Bot) 공격인데요. 현대의 인터넷 환경에서는 자동화된 트래픽이 전체 웹 트래픽의 상당 부분을 차지하고 있으며, 그중 높은 비율이 AI 봇에 의해 발생하고 있습니다.

이러한 AI 봇들은 웹사이트의 콘텐츠를 무분별하게 크롤링하여, 지적 재산권 침해, 데이터 무단 수집, 서버 부하 증가 등의 문제를 야기합니다. 최근 자동화된 트래픽은 정상적인 사용자와 봇을 구분하기 어렵게 만들어 보안 서비스의 복잡성을 높이고 있죠.

이에 대비하기 위해 클라우드브릭에선 정상 사용자와 봇을 구분하기 위한 다양한 기술을 도입해, 악의적인 봇 활동을 효과적으로 차단하고 있어요. 이를 통해 고객 서비스의 안정성과 데이터 보안을 강화하며, 신뢰할 수 있는 인터넷 환경을 조성합니다.

Q. 미래의 클라우드 보안 솔루션에서 중요하게 다뤄질 기술적 요소는 무엇이라고 생각하시나요?

손경일 이사: 미래의 클라우드 보안 솔루션에서 가장 중요하게 다뤄질 기술적 요소로는 인공지능과 머신러닝의 활용, 제로 트러스트 보안 모델, SASE 및 엣지 보안, 그리고 자동화 및 오케스트레이션을 꼽을 수 있을 것 같습니다.

요즘 사이버 위협은 정말 다양하고 복잡해지고 있거든요. 기존의 보안 솔루션만으로는 이런 새로운 위협을 빠르게 탐지하고 대응하기 어려운 경우가 많아요. 그래서 인공지능(AI)과 머신러닝 기술을 도입해서 이상 행동을 실시간으로 감지하고, 잠재적인 공격을 예측해, 예방하는 것이 필수적이라고 생각합니다.

신건식 팀장: 또 전통적으로는 내부와 외부를 구분해서 보안하는 방식이었는데, 클라우드 환경에서는 그런 경계가 점점 모호해졌어요. 그래서 이제는 모든 접근을 신뢰하지 않고 검증하고, 필요한 최소한의 권한만 부여하는 ‘제로 트러스트’ 모델이 필요합니다. 이 모델은 원격 근무나 다양한 디바이스 환경에서도 안전한 접근을 보장하고, 리소스별로 접근을 엄격하게 통제할 수 있죠.

SASE와 엣지 보안의 경우, 분산된 업무 환경이나 클라우드 서비스가 늘어나면서, 네트워크와 보안을 통합한 솔루션이 필요해졌어요. SASE(Secure Access Service Edge) 모델은 네트워크의 가장자리에서 보안과 네트워크 서비스를 함께 제공하는데요. 이렇게 함으로써 어디서든 일관된 보안 정책을 적용할 수 있고, 사용자와 가까운 위치에서 보안 처리를 하니까 지연 시간을 최소화하고 성능도 개선할 수 있습니다.

마지막으로 사이버 위협에 빠르게 대응하고, 보안 운영의 복잡성을 줄이려면 자동화된 보안 프로세스가 꼭 필요한데요. SOAR(Security Orchestration, Automation and Response) 같은 기술을 활용해, 보안 이벤트에 대한 자동화된 대응을 제공하고, 반복적인 보안 작업을 자동으로 처리해 효율성을 높이는 것이 중요하다고 봅니다.

Q. 스타트업에서 보안을 관리할 때, ‘이 정도만 지켜줘도 좋겠다’라는 부분이 있을까요?

신건식 팀장: 사실 보안이라는 영역이 굉장히 넓어요. 물리적 보안부터 서비스 보안까지 여러 범주가 존재하죠. IT 스타트업 기준에서 보면 가장 중요한 것은 시큐어 코딩입니다. 즉, 내부적으로 견고한 코드를 작성하는 것이 핵심입니다. 하지만 이러한 시큐어 코딩을 실천하는 것이 쉽지 않죠. 한국인터넷진흥원(KISA)에서도 시큐어 코딩 가이드를 제공하고 있지만, 이를 지키지 못하는 경우가 더 많은 것 같아요.

물론 이상적으로는 내부 보안 조직을 구축하는 것이 좋지만, 비용이 많이 드니까요. 그리고 보안은 지속적인 변화에 대응해야 하기 때문에, 대기업조차도 자체적인 보안만으로는 모든 위협을 막기 어렵습니다.

손경일 이사: 예를 들어, 대기업들도 평균적으로 80개 이상의 보안 솔루션을 사용하고 있어요. 그만큼 보안은 영역별로 복잡하고 전문성을 요구하는 분야죠. 그러다 보니 내부 보안 조직이 있다고 해도, 외부 솔루션을 병행해 사용하는 것이 훨씬 효율적입니다. 특히 스타트업의 경우, 내부 조직을 구축하는 데 집중하기보다 외부 솔루션으로 관리하는 것이 더 나은 선택이라고 생각해요. 보안에 대한 경각심은 유지하되, 핵심 인력이 본업에 집중할 수 있도록요.

이번 인터뷰를 통해 스타트업과 중소기업의 보안 관리에 대해 함께 고민해 볼 수 있었는데요. 스타트업에 있어 보안은 종종 우선순위에서 밀리지만, 서비스의 신뢰성과 안정성을 유지할 수 있는 중요한 요소 중 하나입니다. 우리 서비스의 보안을 그저 운에 맡기기보다는, 큰 사고를 예방하기 위해 조금씩 대비해 보면 어떨까요?

로그인하고 자유롭게 의견을 남겨주세요.