Offcanvas
Some text as placeholder. In real life you can have the elements you have chosen. Like, text, images, lists, etc.
Offcanvas
1111Some text as placeholder. In real life you can have the elements you have chosen. Like, text, images, lists, etc.

클라우드보안

블로그 | 기업이 클라우드 보안을 잘못하고 있는 이유

CSA(Cloud Security Alliance)가 보안 전문업체 빅ID와 공동으로 진행한 클라우드 보안 설문 조사 결과를 발표했다. 약 1,500명의 IT 및 보안 전문가가 참여한 이번 조사는 2022년 현재 클라우드 데이터 보안의 현황에 중점을 두었고, 몇 가지 예상할 수 있는 결과가 나왔다.   누구나 알고 있는 것처럼 기업은 클라우드에서 데이터를 보호하는 데 애를 먹고 있다. 필자가 몇 년 전부터 지적한 문제로, 문제의 핵심은 인력과 건강한 보안 접근법이 부족하다는 것이다. 서드파티와 공급업체가 직원과 동등한 권한을 가지고 민감한 데이터에 액세스한다. 물론 민감한 데이터가 유출되어 기업에 피해를 주는 것도 걱정이지만, 더 큰 우려는 다른 수준 이하 클라우드 보안 원칙의 지표가 될 수 있다는 점이다. 다크 데이터는 기업이 일상 비즈니스 활동에서 열심히 모으고 처리하고 저장하지만 다른 용도로 사용하지 않는 데이터 자산이다. 이번 조사는 다크 데이터의 문제가 인력과 부서 간의 알력에서 나온다고 지적했다. 가장 큰 우려사항은 대부분 보안 전문가가 내년에 데이터 침해 사고를 경험할 것이라고 답했다는 점이다. 보안 업계가 종말이 다가오고 있다는 말하는 것은 이제 늑대 소년의 말처럼 들린다. 하지만 보안 전문가들이 걱정한다면 다르게 들린다. 보안 전문가들이 알고 있는 것은 무엇일까? 대부분 기업이 클라우드 보안을 제대로 하지 않는다는 것은 오래된 이야기다. 전문 지식과 보안 툴이 있지만, 몇 가지 이유로 이용하지 않는다.  물론 기업은 예산이나 자원이 부족하다고 주장한다. 요즘 보안 전문가를 채용해보면, 이 말을 믿을지도 모른다. 하지만 핵심은 비용을 얼마나 쓸 수 있는지가 아니라 이 문제를 전략적으로 해결할 수 있는가이다. 즉 정치적 의지가 중요하다. 기업의 상황에 따라 다르지만, 반드시 해결해야 할 몇 가지 공통된 영역도 있다. 기업은 보안에 있어서는 강력한 리더십이 필요하다. 예를 들어, 이번 조사에서 드러난 부서 간의 ...

CSA 리더십 인력 2022.10.26

블로그 | 이제는 SaaS 보안이 우선이다

그동안 IaaS 클라우드의 보안에 온 신경을 집중한 것이 사실이다. IaaS는 너무 복잡하고 너무 많은 구동부가 있기 때문이다. 이제는 20년 이상 사용한 수많은 SaaS 시스템이 클라우드 보안 우선순위 목록에 올랐다.   기업은 SaaS 보안에 관해 많은 가설을 세우고 있다. 이들 가설의 본질은 SaaS 시스템은 원격에서 실행되는 애플리케이션이고, 백엔드 시스템에 저장된 데이터는 SaaS 서비스 업체가 기업을 위해 암호화한다는 것이다. 기업은 자사의 회계나 CRM, 재고 데이터가 어떤 데이터베이스에 저장되어 있는지도 모른다. 서비스 업체는 그런 건 신경 쓸 필요 없다고 말한다. 결국 서비스 업체가 모든 시스템을 운영하고, 기업의 사용자와 관리자는 웹 브라우저를 통해 이를 이용할 뿐이다. 실제로 SaaS는 다른 클라우드 컴퓨팅 방식보다 훨씬 더 추상화되어 있다. 많은 시장 조사에서 볼 수 있듯이 SaaS는 클라우드 시장에서 가장 큰 부분을 차지한다. 이런 사실은 최근 시장의 관심이 AWS나 애저, 구글 클라우드 같은 IaaS 클라우드에 쏠려 있었던 탓에, 또 SaaS 클라우드의 세계가 파편화되어 있어 주목을 받지 못했던 탓에 잘 알려지지 않았다. 하지만 SaaS 역시 이제는 백업 및 복구 시스템을 비롯한 IaaS 같은 서비스를 SaaS 제공한다. 물론 여전히 SaaS 방식이며, 사용자가 이런저런 세세한 사항을 다루지 않도록 해준다. 사실, 이는 클라우드라면 해야 할 일이기도 하다. 필자는 SaaS 보안은 관련 대형 보안 사고가 언론 지면을 장식하고 나면, 금방 우선순위가 높아질 것으로 본다. 이런 일은 알게 모르게 일어나겠지만, 대중에게 직접 알려지지는 않는다. 아무도 보안 사고를 보도자료로 배포하지는 않기 때문이다. 그렇다면 지금 SaaS 보안과 관련해 주의해야 할 것은 무엇일까? SaaS 보안 문제의 핵심은 사람의 실수다. 관리자가 사용자 액세스 권한이나 승인을 너무 자주 허용하면 잘못된 설정이 생긴다. 권한을 받아서는 안되는 사람이 데...

클라우드보안 SaaS 우선순위 2022.10.24

블로그 | 새로운 전쟁터가 된 클라우드 보안

무서운 일이다. 베나피(Venafi)의 조사에 따르면, 지난 12개월 동안 클라우드 플랫폼 상에서 보안 사고를 경험한 기업이 80%를 넘는 것으로 나타났다. 더욱 우려되는 것은 이들 기업의 절반 가까이는 같은 기간에 최소 4번의 보안 사고를 보고했다는 점이다.   또한 보안 사고가 승인되지 않은 접근과 잘못된 환경 구성으로 일어났다는 것도 알 수 있다. 모두가 알고있듯이 대부분 보안 문제의 원인은 사람일 가능성이 크고, 이는 클라우드 보안도 마찬가지이다. 의미 있는 트렌드도 알 수 있는데, 많은 기업의 IT 보안이 온프레미스 시스템에서 클라우드 기반 플랫폼으로 옮겨갔다. 지난 몇 년 동안 전통적인 시스템에서 퍼블릭 클라우드로 수많은 컴퓨팅과 데이터 스토리지가 이전했다는 점을 생각하면, 예상할 수 있는 일이다. 퍼블릭 클라우드 서비스 업체는 더 나은 보안 기술을 제공한다. 이를 제대로 활용한다면, 클라우드 플랫폼이 제공하는 보안은 온프레미스 보안보다 더 효과적이어야 한다. 하지만 다른 기술과 마찬가지로 효과적으로 사용하는 방법을 모르는 사람 손에 쥐어진다면, 승인 실수나 잘못된 구성으로 역풍을 만들어 낸다. 사람 문제는 바로잡기 어렵다. 더구나 좋은 클라우드 보안 전문가의 수요가 공급을 크게 앞지르고 있다. 기업은 디지털 트랜스포메이션에 필요한 기술 인력없이 계속 진행하거나 클라우드 보안 전문가를 확보하거나 내부에서 키울 수 있을 때까지 클라우드 마이그레이션을 중단 또는 늦추는 것을 선택해야 한다. 클라우드 보안과 일반 보안을 수행하는 방식도 변화하고 있다. 보고서에서 지적했듯이, 클라우드 보안을 주도하는 책임자가 바뀌어 25%만이 클라우드 보안을 기존 보안팀의 책임에 맡긴다. 23%는 클라우드 인프라 운영팀이 클라우드 보안을 맡고, 그 외에는 협업팀이나 데브섹옵스팀이 맡는 것으로 보인다.  많은 기업이 중앙집중형 환경에서 탈중앙화 환경으로 변하고 있다. 이 때문에 총괄 주체보다는 서로 다른 여러 팀이 클라우드 보안을 한 조각씩 맡...

클라우드보안 온프레미스 데브섹옵스 2022.10.12

탈레스, 2022 클라우드 보안 보고서 공개…“한국 기업 32%, 클라우드 데이터 침해 경험”

탈레스(https://cpl.thalesgroup.com)가 '2022 탈레스 클라우드 보안 보고서(2022 Thales Cloud Security Report)'를 발표했다. S&P 글로벌 마켓 인텔리전스 산하 451리서치가 실시한 본 보고서는 최근 12개월 간 한국 기업 32%가 클라우드 데이터 침해를 경험하거나 감사에 실패한 적이 있다고 밝히면서 사이버 범죄로부터 민감정보를 보호하는 데 우려를 제기했다.   전 세계적으로 클라우드, 특히 멀티 클라우드의 도입이 지속적으로 증가하고 있다. 글로벌 기업에서 사용하는 SaaS 기반 애플리케이션 평균 수는 2015년 8개에서 2021년 110개로 늘어나면서 급격한 증가세를 보였다. 특히, 기업들의 IaaS 사용률이 한 해 동안 57%에서 72%로 성장했다. 또한 작년 멀티 클라우드 사용률도 두배 증가했는데 이중 5명 중 1명은 3개 이상의 클라우드를 사용하고 있다고 응답했다. 클라우드 확산과 사용이 증가하고 있지만 커져가는 클라우드 복잡성에 기업들은 공통적으로 우려를 표하고 있다. 한국 IT전문가 중 절반(50%)이 클라우드에서 개인정보와 데이터를 보호하는 것이 더 복잡하다고 응답했다. 클라우드 전환이 점차 어려워지는 것도 특징이다. 가장 간편한 전환 방식인 리호스팅조차 전세계적으로 작년 55%에서 올해 24%로 감소했다. 클라우드의 복잡성이 증가하면서 강력한 사이버 보안에 대한 필요성이 더욱 커지고 있다. 클라우드 내 민감데이터 저장률에 관한 설문에서 전 세계 응답자 중 2/3(66%)는 21%에서 60% 사이로 답했으며, 한국은 55%가 21%에서 60% 사이라고 응답했다. 이외에도 전 세계 응답자 약 1/3(32%)은 정부 기관, 고객, 협업사 또는 직원에게 위반 사실을 통보해야 한다고 동의했는데 이는 특히 규제가 심한 산업에서 민감 데이터를 보유한 기업들 사이에서 우려의 원인이 될 수 있다고 밝혔다. 사이버공격은 클라우드 애플리케이션과 데이터에 계속적으로 위험을 보여주고 있다. ...

탈레스 클라우드보안 보고서 2022.09.16

"과도한 클라우드 액세스 권한이 보안 결함의 원인" IBM 보고서

수요일, IBM 엑스포스 레드(X-Force Red) 침투 테스트 팀이 99%의 보안 테스트에서 클라우드 ID에 과도한 액세스 허가가 부여된 것이 가장 중요한 문제라는 내용의 보고서를 발행했다. 보고서에 따르면 사람 사용자와 서비스 계정 모두 원래 필요한 것 이상의 과도한 액세스 권리 및 특권을 가지고 있는 것으로 발견되었고, 이 때문에 클라우드 시스템 탈취 및 공격이 더 용이해진다.   또한 보고서는 “계정과 사용자에 과도한 액세스 권리를 부여하면 공격자가 환경을 악용해 공격할 발판을 마련하고 향후 추가로 클라우드 구성 요소나 자산을 탈취할 기반을 다질 수 있다”라고 기술했다. IBM에 따르면 다크 웹에 판매되는 클라우드 탈취 계정 규모는 200%씩 늘어나고 있다. 또한 클라우드 시스템에서 발견되는 취약성의 심각도 평균 점수 역시 증가하는 상황에서 클라우드 권한과 보안의 상관 관계는 긍정적인 소식은 아니다. CVSS에서 매기는 취약성 심각도 점수는 10년 사이에 평균 15점에서 18점으로 증가했다. 보고서는 “클라우드 기반 애플리케이션 규모가 증가하면서 클라우드 관련 취약성이 더욱 늘어날 것이며 동시에 전체 클라우드 환경의 공격 표면도 확장될 것이라는 근거”라고 설명했다.   클라우드 보안 취약점은 크립토재킹과 랜섬웨어를 불러 클라우드 기반 취약점 규모는 지난해 28% 증가했다. 클라우드 시스템 손상 결과, 가장 많은 멀웨어는 크립토재킹과 랜섬웨어였고 데이터 손상과 유출 공격도 발생했다. 악의적인 암호화폐 채굴 범죄인 크립토재킹은 악성 공격 그룹에게 있어 매력적인 공격 방법이다. IBM에 따르면 채굴 비용을 피해자에게 전가할 수 있고, 온프레미스 시스템과 달리 클라우드 컴퓨팅의 고유한 취약점이 존재하기 때문이다. 악의적인 해킹 방식이라는 오설정과 함께 클라우드 시스템을 공격 대상으로 삼기에 적합한 취약점 2개가 발견되기도 했다. 로그4 j 취약점은 클라우드 서비스 업체가 널리 사용하는 아파치 라이브러리의 공격 취약점으로 나이트스...

클라우드 클라우드보안 log4j 2022.09.16

구글, 맨디언트 인수 통해 클라우드 보안 제품군 강화

구글은 3월 8일 동적 사이버 방어 및 대응 분야의 선도업체인 맨디언트(Mandiant)를 인수하기 위한 최종 계약에 서명했다고 발표했다.   이번 거래는 맨디언트의 순 현금을 포함한 약 54억 달러에 달하는 현금 거래다. 이를 통해 맨디언트는 구글 클라우드의 자체 보안 운영 제품군에 합류한다. 이번 인수는 맨디언트 주주 및 규제 승인을 포함한 통상적인 절차를 거치게 되며, 올해 말에 완료될 예정이다.  맨디언트 서비스와 제품은 다음과 같은 구글 클라우드의 기존 보안 제품군을 보완한다.      제로 트러스트 보안 플랫폼 비욘드콥 엔터프라이즈(BeyondCorp Enterprise) 악성 콘텐츠 및 소프트웨어 취약점 사이트 바이러스토탈(VirusTotal)  시큐리티 커맨드 센터와 같은 서비스와 결합한 크로니클(Chronicle)의 보안 분석 및 자동화 구글 클라우드의 사이버보안 액션 팀(Cybersecurity Action Team)     맨디언트가 합류함으로써 구글 클라우드는 클라우드 및 온프레미스 환경 전반에서 향상된 자문 서비스, 위협 탐지, 인텔리전스, 자동화 및 대응 도구, 테스팅 및 검증, 매니지드 디펜스를 추가해 엔드-투-엔드 보안 운영 제품군을 강화할 수 있다.   구글 클라우드 CEO 토마스 쿠리안은 “이전에 주요 정부를 노리던 지능적이고 정교한 공격자들이 모든 산업군의 기업을 표적으로 삼으면서 전 세계가 전례 없는 사이버보안 문제에 직면하고 있다”며, “맨디언트가 구글 클라우드에 들어옴으로써 강화된 보안 운영 제품군과 자문 서비스를 통해 구글은 고객의 보안 문제를 해결하는 것을 도울 수 있게 됐다”라고 말했다.  맨디언트 CEO 케빈 맨디아는 “2004년 창업 이후, 맨디언트의 임무는 사이버 공격에 맞서고, 최신 위협으로부터 고객을 보호하는 것”이라며, “구글 클라우드 보안 포트폴리오의 일부로 맨디언트 어드밴티지(...

구글 맨디언트 인수 2022.03.10

“지금이 진짜 전성기” 하이브리드 클라우드의 현황과 과제 - IDG Deep Dive

클라우드는 더 이상, 멀리 떨어진 저 세상이 아니다. 아마존과 마이크로소프트, 구글은 상상하기 힘든 규모로 전 세계에 클라우드 데이터센터를 확장하고 있다. 하지만 이들 클라우드와 서비스는 기업의 온프레미스 운영과 얽히고 설켜 이제는 모든 기업 IT 자산의 핵심 요소가 되었다. 그리고 하이브리드 클라우드는 수많은 온프레미스 및 퍼블릭 클라우드의 조합을 포과하는 상위 용어가 됐다.  이번 IDG Deep Dive는 하이브리드 클라우드의 복잡성을 파고들어, 이들 복잡한 인프라와 서비스 매트릭스의 관리에서 발생하는 다양한 과제의 해법을 찾아본다. 또한 대형 클라우드 서비스 업체를 매력적으로 만드는 혁신적인 클라우드 서비스도 소개한다. 주요 내용 - “유연한 만큼 복잡하다” 하이브리드 클라우드의 장애물과 극복 방법 - “볼 수 없으면 위험하다” 하이브리드 클라우드를 위한 새로운 모니터링 - 하이브리드 클라우드 보안의 5대 과제 - 거부할 수 없는 16가지 클라우드 혁신 - “무분별한 확산을 막아라” SaaS 관리 플랫폼을 선택하는 방법

하이브리드클라우드 클라우드보안 SaaS 2022.02.16

“클라우드 마이그레이션은 보안부터” 보안 중심 클라우드 아키텍처 구축 가이드 - IDG Summary

필요할 때마다 신축성 있게 자원을 사용하고, 기본 설정이 갖춰져 있어 간단한 조정을 거치면 바로 사용할 수 있다는 클라우드의 이점은 이미 널리 알려져 있다. 기업의 모든 자산이 저장되고 운영되는 인프라를 100% 통제하고 파악할 수 없다는 특징은 곧 완벽한 감사가 어렵다는 단점으로 이어진다. 클라우드 마이그레이션을 고려하는 기업의 가장 큰 우려 역시 여기에서 시작된다. 우리 회사의 자산을 맡겨도 될까? 과연 클라우드는 어디까지 안전한 것일까? 주요 내용 - '보안 책임은 기업의 몫'…클라우드의 특성 이해한 보안 전략 수립 - ‘아무리 강조해도 지나치지 않을’ 계정 관리의 중요성 - AWS 환경에서의 접근 통제, 유저와 롤을 구분하라 - 보안을 고려한 클라우드 아키텍처 구성 방안 - 안랩 클라우드의 강점 “경험과 철저한 현황 분석” - 클라우드 보안 역량도 역시 ‘안랩’

클라우드보안 멀티클라우드마이그레이션 클라우드아키텍처 2021.10.01

마이크로소프트 애저 클라우드 취약점이 알려주는 클라우드 보안의 4가지 교훈

클라우드가 온프레미스 솔루션보다 더 안전하다는 이야기를 자주 듣는다. 그러나 정말 그럴까? 둘 모두 유사한 취약점과 위험에 노출된다. 때론 배포와 패치에 익숙하지 않은 문제 때문에 클라우드가 온프레미스가 더 복잡할 수 있다. 최근 클라우드의 위험을 조명하는 사건들이 발생했다. 이런 사건을 통해 관리자가 이해해야 할 클라우드 위험과 배울 수 있는 교훈을 간략히 정리했다.    애저 코스모스(Azure Cosmos)의 문을 열어 둔 마이크로소프트 보안업체인 위즈(Wiz)의 연구진은 최근 코스모스 데이베이스에서 수천 마이크로소프트 애저 고객들의 계정과 데이터베이스에 대한 무제한 접근 권한을 획득할 수 있었다고 발표했다.  이 연구진은 로컬 주피터(Jupyter) 노트북을 조작해 코스모스 DB 기본키(primary key) 등 몇몇 고객 비밀 정보가 들어있는 다른 고객 노트북으로 권한을 상승시킬 수 있었다. 연구진은 “취약점은 주피터 노트북이 활성화되어 있고, 외부 IP 접근을 허용한 주피터 노트북을 가진 코스모스 DB에만 영향을 준다”라고 설명했다.  또한 이들은 이런 주피터 노트북을 파악해 보호하는 몇몇 방법을 제시했다. CISA는 이런 서비스를 사용하는 사용자는 애저 인증서 키를 다시 생성하는 것이 좋다고 권장했다. 수동 패치가 필요한 애저 리눅스 가상머신 취약점 이 연구진은 이후 OMIGOD로 부르는 중요한 문제를 발견했다. 마이크로소프트 WMI(WIndows Management Infrastructure)에서 리눅스 같은 역할을 하는 OMI(Open Management Infrastructure)에서 이 취약점을 발견했다.  이 서비스는 모든 리눅스 가상머신에 자동으로 설치되는데, 쉽게 패치되지 않는 취약점이다. 현재 새로 설치된 리눅스 가상머신은 원격 코드 실행의 대상이 될 수도 있다. 위즈의 연구진에 따르면, 위험에 노출될 수 있는 고객의 비율이 65%에 달한다. 보안 전문가가 더 우려하는 문제...

클라우드 클라우드보안 애저클라우드 2021.10.01

ADT캡스-SKT-센티넬원, 클라우드 보안 경쟁력 강화 위한 전략적 협력 협약 체결

ADT캡스가 16일, SK텔레콤, 센티넬원과 전략적 협력 협약을 체결해 클라우드 보안 솔루션 경쟁력을 강화하겠다고 밝혔다.   최근 디지털 트랜스포메이션 가속화로 많은 기업이 클라우드를 도입하고 있는 가운데 클라우드 특성상 대량의 데이터가 전송되는 인터넷과 서버간 경로에서 다양한 보안 위협이 증가하고 있다. 이에 따라, 기업이 각 비즈니스 환경에 최적화된 클라우드 보안 전략을 수립해 적용하는 것이 더욱 중요해졌으며, 다양한 보안 전문 업체와 파트너십을 맺고 협력을 추진하는 방식이 대안으로 떠오르고 있다. 이러한 추세에 따라 ADT캡스는 클라우드 보안을 회사의 핵심 사업 영역으로 선정하고 세계 유수의 클라우드 보안 전문 업체와의 파트너십을 모색해왔으며, 이번 3사 간 전략적 협력 협약을 체결하게 됐다. 3사는 이번 협약을 통해 각 사가 보유한 클라우드 보안 솔루션 노하우를 공유하고, 클라우드 보안 기술력 향상을 도모하는 한편, 적극적인 연구개발을 통해 비즈니스 기회 창출을 모색할 계획이다. 클라우드 보안 서비스 관련 공동 사업과 연구개발은 물론, 글로벌 공동 마케팅도 추진한다. 또한, ADT캡스는 최근 SKT와 공동 개발∙출시한 ‘클라우드 보안 관리 플랫폼(CSMP)’에 센티넬원의 ‘클라우드 워크로드 보호 플랫폼(CWPP)’을 연동해 CSMP 기능을 고도화하고 상품 경쟁력을 강화해 나갈 예정이다. ADT캡스 김병무 클라우드 사업본부장은 “이번 협약을 통해 ADT캡스는 글로벌 최고 수준의 기술력을 갖춘 클라우드 보안 전문 업체로 발돋움하는 초석이 될 것”이라며, “더욱 고도화된 클라우드 보안 솔루션을 마련해 고객들이 안심하고 클라우드 서비스를 이용할 수 있는 환경을 마련해 나가겠다”라고 말했다. 센티넬원 아태지역과 인도, 일본 시장 총괄 에반 데이비슨 부사장은 “센티넬원은 고객, 파트너사 등 이해 관계자들과 신뢰를 구축하는 것이 항상 최우선 목표였으며, 이번 SKT, ADT캡스와의 전략적 협력 협약 체결을 통해 빠르게 성장 중인 한국의 사이버...

ADT캡스 SKT 센티넬원 2021.09.16

베스핀글로벌, 클라우드 보안 형상 관리 플랫폼 ‘옵스나우 시큐리티’ 출시

베스핀 글로벌이 7일, 클라우드 보안 백신 ‘옵스나우 시큐리티(OpsNow Security)’를 출시했다고 밝혔다.   옵스나우 시큐리티는 멀티클라우드 보안 형상 관리 플랫폼으로 현재의 클라우드 보안 수준이나 상태를 진단하고 개선을 도와 더욱 안전한 클라우드 업무 환경을 만든다. 클라우드 보안 취약점 진단 및 분석, 세분화된 보안 정책 위반 결과 제시, 주요 보안 현황 가시화 등을 핵심 기능으로 제공한다. 우선 기업의 클라우드 자산에 대해 국내외 컴플라이언스 및 모범 사례를 기반으로 멀티클라우드 환경의 보안 취약점을 진단한다. 클라우드 공급업체 별로 취약점을 분석해 그 결과를 보안 정책 위반 자산 목록으로 표시하며, 위험 수준과 위반 자산 수, 정책 등의 항목으로 세분화해 보여준다. 이 분석 결과를 바탕으로 기업의 보안 목표와 수준을 점수로 제공하고, 대시보드를 통해 주요 보안 현황을 그래프와 도표로 보여준다. 대시보드에서는 클라우드 공급업체별, 컴플라이언스, 프로젝트별 보안 점수를 함께 제공한다. 뿐만 아니라, ‘개선 가이드’와 ‘컴플라이언스 관리’ 기능을 통해 클라우드 보안 취약점이나 정책 위반 사항에 대한 자세한 정보와 조치 방법을 알려주고, 보안 운영 상황에 적합한 보안 정책을 담당자가 적용할 수 있도록 돕는다. 담당자는 신속한 대응과 재발 방지를 위해 보안 위반 자산 및 정책 목록을 파일로 다운로드 받을 수 있다. 옵스나우 시큐리티는 사용자 컴퓨터 기기에 소프트웨어를 별도로 설치하지 않아도 되는 에이전트리스(Agentless) 방식으로 기기 사양에 구애받지 않는다. 베스핀글로벌 매니지드 서비스와 통합해 클라우드 매니지드 보안 서비스(Managed Security Services Provider, MSSP)로 제공받을 수 있다. 글로벌 기업을 대상으로 국영문 서비스도 제공한다. 베스핀글로벌 섹옵스 정현석 본부장은 “클라우드 보안은 완전히 새로운 환경에서의 보안이기 때문에 기업은 클라우드를 도입하는 순간, 기업의 보안 목표와 수준, 정...

베스핀글로벌 클라우드보안 형상관리 2021.09.07

구글 클라우드 CIO가 말하는 클라우드 보안의 미래

2021년 3월, 구글 클라우드(Google Cloud)는 위험 보호 프로그램(Risk Protection Program)이란 새로운 서비스를 발표했다. 자사 클라우드 고객의 보안 위험을 낮추고 보험 협력사인 알리안츠, 뮌헨 Re와의 연결을 지원하는 것이 핵심이다. 두 보험사는 구글 클라우드 고객만을 위한 특수한 사이버 보험인 클라우드 프로텍션+(Cloud Protection +)를 만들었다.  구글이 대형 클라우드 서비스 업체와 선도적인 사이버 보험사 간의 첫 협력관계라고 밝힌 이 서비스의 목적은 중요한 워크로드를 클라우드로 이전하는 것을 고려 중인 기업의 신뢰도를 높이기 위한 것이다. 이 프로그램에는 리스크 매니저(Risk Manager)라는 새로운 보안 진단 도구가 포함되어 있으며, 기업은 구글 클라우드에 대한 위험을 측정하고 관리하며 보안 상태에 대한 보고서를 획득하고 더욱 표적화 된 사이버 보안 보험에 대한 비용을 절감할 수도 있다.    CSO는 최근 전 골드만 삭스의 CISO이자 현재 구글 클라우드의 부사장 겸 CISO인 필 베너블스와 클라우드 보안 동향과 구글 클라우드의 새로운 서비스가 클라우드 서비스 전반에 미칠 영향에 관해 이야기했다. CISO가 잠재적인 협력사와 고객을 위해 자체적인 클라우드 보안 상태를 인증하기 위해 준법감시 설문조사지를 작성하는 것이 중요한 일인가? 고객, 감사자, 규제 당국의 문의에 응답하는 것은 중요한 서비스 운영에 있어서 필요한 부분이다. 이런 평가 프레임워크의 표준화가 크게 진전되었으며, ISO, SOC1/2 등이 제공하는 인증의 측면에서 더욱 그렇다. 준법감시 친화적인 클라우드 서비스의 장점 중 하나는 일련의 인증을 보유하고 있으며, 서비스 사용의 일환으로 모든 필요한 정보를 제공함으로써 CISO 또는 다른 팀의 대응을 돕는 것이다.  구글 클라우드가 최근에 발표한 것과 같은 새로운 서비스가 이 문제를 어떻게 해결할 수 있는가? 보안 건전성 분석 및 준법감시 보고를 위...

클라우드보안 구글 보험 2021.07.23

2021년 클라우드 도입 현황과 실전 가이드 - IDG Deep Dive

클라우드 컴퓨팅은 2020년에 중요한 전환점에 도달했다. 시너지 리서치 그룹에 따르면, 클라우드 서비스 매출이 드디어 기업의 데이터센터 비용을 추월한 것이다. IT의 가장 장기적인 트렌드인 클라우드 마이그레이션이 가속화되었고, 그 원인 중 하나는 기업이 온프레미스 배치 환경의 물류와 CAPEX 문제를 해결하도록 압박한 코로나19 팬데믹이었다. 2021년 현재 폭발적인 성장을 거듭하고 있는 클라우드 컴퓨팅의 현주소를 짚어보고, 보안과 IoT, 레거시 현대화 등 대규모 클라우드 전환에 따르는 주요 이슈과 실전 해결 방안을 소개한다. 주요 내용 - 절정에 도달한 클라우드의 현 주소와 파급 효과 - “클라우드 아니면 망한다” 클라우드에 승부를 거는 CIO - 익스체인지 클라우드 마이그레이션, 해야 할 것과 하지 말아야 할 것 - “닮은 듯 다른” 빅 3 퍼블릭 클라우드 보안 기능 비교 - “레거시에서 클라우드로” 엔터프라이즈 현대화의 3단계 - “패권경쟁 시작” IoT 클라우드 서비스의 가치와 잠재력

마이그레이션 클라우드보안 퍼블릭클라우드 2021.07.22

IDG 블로그 | 클라우드 보안은 여전히 진화 중

클라우드 아키텍트로서 필자는 클라우드 보안이 여전히 어렵다는 것에 놀라곤 한다. IDAM(Identity Access Management)을 사용한 지가 10년도 더 됐으며, 여기에 심화된 암호화 서비스와 키 관리, 가장 최근에는 제로 트러스트와 SASE까지 등장했다. 제로 트러스트와 SASE는 각각 포레스터와 가트너가 이름 붙인 것으로, 보안 솔루션 업체가 만든 용어도 아니다.   이 모든 보안 기술에도 불구하고, 클라우드 배치 자체가 더 복잡해지면서 보안 솔루션은 점점 더 복잡하고 운영하기 어려워졌다. 새로운 기술과 SASE 같은 새로운 기술 개념, 많은 훌륭한 아이디어가 더해지고 있지만, 클라우드와 IoT, 엣지 컴퓨팅의 성장, 그리고 이제는 재택 및 원격 근무의 확산이 동작 가능하고 비용 효과적인 보안을 제공할 수 있는 우리의 역량을 훌쩍 넘어서 버린 것이다. 클라우드 배치 환경은 점점 덜 안전해지고 있다. 오해 말기 바란다. 필자는 충분한 시간과 자금만 있으면 모든 보안 문제를 해결할 수 있다는 입장이다. 하지만 어떤 기업도 무제한의 시간과 돈을 가지고 있지는 않다. 과제는 비용 효과적이고 거의 최적화된 보안 솔루션을 제공할 수 있는 기술 프레임워크를 정의하는 것이다. 물론 완전한 최적화는 불가능하다는 사실도 받아들여야 한다. 이 프레임워크는 또한 유연하고 운영의 복잡성도 없어야 한다. SASE를 비롯한 여러 좋은 아이디어는 현재로서는 개념적인 것에 불과하다. 보안 솔루션 업체는 SASE를 해법으로 홍보하지만, 실질적인 솔루션은 여전히 진화 중이며, 실제 구현된 솔루션은 드물다. 가트너의 애널리스트 냇 스미스에 따르면, SASE는 기능 체크리스트보다는 철학에 가깝다. 그렇다면 SASE는 무엇이고, 우리를 어떻게 구원할 것인가? SASE는 SD-WAN 역량과 보안을 결합해 온디맨드 방식으로 제공한다. 보안 정책은 각 사용자 세션에 시행되고, 연결된 주체와 맥락, 컴플라이언스 정책을 기반으로 조정되며, 각 세션은 지속적인 위험 평가를 받...

클라우드보안 SASE IDAM 2021.06.28

IDG 블로그 | 팬데믹으로 폭증한 클라우드가 보안을 망친다

2020년은 클라우드의 해라고 해도 과언이 아니었다. 클라우드 소비는 2020년 1분기에만 37%가 증가했는데, 만약 전통적인 데이터센터를 고수했더라면 많은 기업이 코로나19에 취약한 채로 남아 있었을 것이다. 하키 스틱 같은 매출 곡선과 원격에서 안전하게 비즈니스 프로세스를 추진해야 한다는 급박한 수요를 즐기면서 클라우드 서비스 업체는 예상치 못한 성공적인 한 해를 보냈다.   여기서 핵심은 급격한 퍼블릭 클라우드 도입과 클라우드 애플리케이션을 어떻게 구축하고 이전해야 하는지 아는 사람들이다. 모든 사람이 자신의 침실에서 일하고 있다는 사실에도 불구하고, 기업 IT와 컨설팅 업체, 그리고 클라우드 서비스 업체는 대부분 영역에서 수요를 만족하고 클라우드로의 이전을 가속할 수 있었다.   어떤 이유로든 클라우드 도입이 확산되고 있다는 것은 팬데믹을 극복하는 희망이 될 수 있지만, 한편으로는 이로 인해 새로운 위험 역시 등장하고 있다.   보안 계획이 퇴보해 임시방편이 되었다. 서둘러 진행한 클라우드 마이그레이션과 개발 프로젝트는 배치 전에 보안 의존성 문제를 완전히 해결하지 못하고, 나중에 문제를 바로 잡기 위해 다시 작업을 해야 한다.  서로 다른 개발팀과 마이그레이션팀이 알아서 작업을 하면서 다른 팀이나 중앙 거버넌스 그룹과의 공조없이 각자 가장 좋다고 생각하는 보안 솔루션을 선택한다. 기업 시스템을 공격하는 해커는 최근 증가하는 이런 취약점을 잘 알고 있으며, 이를 악용할 방법을 찾으려 노력하고 있다. 2021년과 2022년에는 좀 더 규모가 크고 피해도 심각한 데이터 유출 사고가 발생할 가능성이 크다. 남은 사실은 클라우드에 더 나은 보안 툴과 프로세스가 있고, 저렴하고 쉽게 구성할 수 있다는 것. 보안 기술 업체가 빠르게 성장하는 퍼블릭 클라우드를 지원하는 데 연구개발비를 투여하면서 한동안은 쓸 만한 해법이었다. 하지만 세상에 엄청난 보안 툴이 차고 넘쳐도 언제 어떻게 사용해야 하는지를 모르면 아무런...

팬데믹 취약점 클라우드보안 2021.03.24

클라우드에서 민감한 데이터를 보호하는 3가지 베스트 프랙티스

최근 베터클라우드(BetterCloud)의 설문에 따르면, 기업은 협업, 통신, 개발, 계약 및 인사 관리, 서명 인증, 기타 민감한 데이터를 처리하고 저장하는 비즈니스 기능을 지원하기 위해 평균 80가지 서드파티 클라우드 애플리케이션을 사용하는 것으로 나타났다. 또한 애플리케이션과 전체 비즈니스를 PaaS나 IaaS에서 구동하는 기업도 증가하고 있다. 2020년에만 기업의 76%가 AWS에서, 63%가 마이크로소프트 애저에서 애플리케이션을 실행했다.    캐피털 원(Capital One)의 고문이자 전 CISO인 마이클 존슨은 이런 퍼블릭 클라우드 서비스는 모두 필요하고 생산적이며 전통적인 데이터센터보다 더 안전한 환경까지 약속한다고 말했다. 그러나 이렇게 클라우드에서 처리하고 저장하는 민감한 데이터에는 위험이 따르게 되는데, 대부분의 위험은 서비스 설정 및 관리 과정에서 사용자의 실수로 발생한다.  존슨은 2019년 8,000만 명의 개인 기록이 유출된 사고 당시 캐피털 원의 대응을 이끌었다. 당시 사고에서 공격자는 잘못 구성된 서드파티 클라우드 환경을 이용했다. 존슨의 팀은 침해의 확산을 막는 한편, 강력한 대응 계획, 이사회 및 경영진과의 투명한 소통, 이전부터 유지해온 사법 당국과의 관계에 힘입어 데이터가 악용되기 전에 신속하게 범인을 체포하도록 지원했다.  클라우드에 민감한 데이터를 저장하는 데 따르는 위험에 대처하는 대응 계획은 모든 클라우드 보안 정책에 기본적으로 포함되어야 한다. 퍼블릭 클라우드를 위한 데이터 보호 정책을 시작하려면, 퍼블릭 서드파티 클라우드 서비스의 데이터가 어떻게 노출 또는 도난될 수 있는지 아는 것이 중요하다.    클라우드의 데이터는 어떻게 취약해지는가  클라우드 보안 연합(Cloud Security Alliance, CSA)의 연간 위협 보고서에 따르면, 서드파티 클라우드 서비스에서 데이터 침해나 유출이 발생하는 가장 일반적인 원인은 과도한 권한, 기...

클라우드보안 IAM 암호화 2021.03.17

IDG 블로그 | 뉴 노멀에 필요한 클라우드 보안의 혁신

네트릭스(Netwrix)의 새로운 클라우드 보안 연구에 따르면, 데이터 스토리지용으로 클라우드를 사용하는 기업의 54%가 2020년에 보안 사고를 당한 것으로 나타났다. 이들 사고는 대부분 소소한 것으로 추정되는데, 대형사고처럼 언론에 나온 것은 드물기 때문이다. 필자는 대부분 기업이 클라우드 보안 문제의 10% 정도만 공개한다고 생각한다. 마치 환자가 의사에게 음주량이나 흡연량을 줄여서 말하는 것과 비슷하다. 자랑할 만한 일은 아니다. 의사에게 모든 것을 남김없이 말할 때는 나쁜 습관이 건강이나 일상의 상당 부분을 위험에 빠뜨릴 때뿐이다. 과학적인 비교는 아니지만, 기업 클라우드 보안 사고의 빈도도 상당히 비슷하다고 생각한다. 우리는 꼭 필요할 때만 문제를 인정한다.  아마도 이런 이유로 응답 기업의 2/3가 민감한 데이터를 현재 사용 중인 퍼블릭 클라우드에서 삭제할 계획이라는 경고성 반응이 나타난 것인지도 모른다. 클라우드 컴퓨팅의 중요성이 정점에 이른 시점에 그렇게 많은 기업이 민감한 데이터를 다시 가져오고 있다는 사실에 깜짝 놀라지 않을 수 없었다. 이런 혼란스러운 흐름은 기업이 퍼블릭 클라우드 활용의 초점을 비즈니스 연속성 시스템에서 재택근무로의 갑작스러운 전환을 원활하게 수행하는 데 실질적인 도움이 되는 시스템으로 바꿨다는 것을 보여준다. 도대체 무슨 일이 일어난 것일까? 필자는 많은 기업이 마침내 지난 해를 면밀히 돌아보고 예기치 못한 클라우드 보안 과제에 대해 초조해지기 시작한 순간에 도달했다고 생각한다. 오늘날 넓은 지역에 분산된 줌 사용 직원은 불과 1년 전에는 생각하지도 못했던 방법으로 클라우드를 이용하곤 한다. 보안 사고의 증가는 이런 좀 더 교묘하고 예상하지 못한 활용의 부산물일 것이다. 이런 상상도 못한 클라우드 활용법은 기업 클라우드 보안 모델을 시험에 빠뜨린다. 코로나19 팬데믹과 직원의 분산에도 클라우드 보안 예산은 증가하지 않았다. 이 때문에 AWS나 마이크로소프트 같은 퍼블릭 클라우드에 대한 의존도는 예상 밖으...

뉴노멀 재택근무 클라우드보안 2021.02.01

IDG 설문조사

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2022 International Data Group. All rights reserved.