최근 일어났던 일련의 보안 사고들을 보면, 직원들을 100% 믿는 것조차 어려운 시대가 됐다. <CIO>의 칼럼니스트 롭 엔덜은 외부인인 클라우드 서비스 업체 직원들을 무조건 믿어서는 안된다고 경고하고 있다.
단도직입적으로 말해, 클라우드 서비스 공급업체 직원들을 신뢰해선 안 된다. 마음 같아선 공급업체는 물론 같은 회사의 직원들도 완벽히 신뢰해선 안 된다고 말하고 싶지만 적어도 같은 회사 직원들은 곁에 두고 지켜볼 수는 있다. 얼마 전 구글의 엔지니어들이 자신들의 접근 권한을 이용해 고객들을 스토킹하다 적발된 사례를 봐도 누구나 다 데이터에 접근할 수 있는 상황이 얼마나 위험한 것인지 알 수 있다. 게다가 이들이 잡히고도 한참 뒤에야 그 사실이 알려졌지 않은가? 필자는 그 동안 절도부터 고의적 방해 행위까지 다양한 범죄들을 목격했지만 그 중 어느 사례도 범인을 해고할지언정 그 사건 자체가 외부로 보고되는 일은 없었다.
오늘날 우리는 중국, 러시아 같은 국가들이 열성적으로 데이터 저장고를 염탐하는, 그리고 그런 행위를 하는 사이버 스파이 기관들 조차도 보안이 부실한 시대에 살고 있다. 국가가 있는 곳에는 언제나 범죄자들도 도사리고 있을 것이란 이야기다. 이들에게 있어 가장 수월한 방법은 내부 직원의 계정 정보에 접근 권한을 얻거나 에드워드 스노든이 그랬던 것처럼 직원들 중 누군가에게 정보를 넘기도록 만드는 것이다.
이들에게는 기업 기밀 정보나 고객 정보가 무척 중요하다는 점, 그리고 충분히 정보를 내놓도록 상대방을 강제하거나 속일 만 한 툴이 있다는 점을 고려할 때, 이제는 클라우드 서비스를 재검토 하고 얼마나 안전하게 데이터를 보안하는지에 따라 서비스의 등급을 나누는 것도 진지하게 생각해 봐야 한다.
정부 기관으로부터 데이터 보호하기
공격의 주요 대상 중 하나는 커뮤니케이션 서버들이다. 최근 미국 민주당 대통령 후보인 힐러리 클린턴의 사설 이메일 계정이 보안 부족으로 공격 당했을 가능성이 제기되면서 이 문제는 더욱 분명해졌다. 그렇지만 스노든 사건을 생각해보면 클린턴이 정부 이메일 계정을 썼다 한들 더 안전했을지는 모르겠다. (특히 정부 유출 사건과 비교해보면 클린턴의 사설 이메일 계정을 정부의 솔루션보다 더욱 안전하게 만들 수 있었음에도 그러지 않았다는 것이 아이러니로 다가온다).
통신 서비스 업체들은 민감한 정보를 보유하는데 이것들이 열람 권한이 없는 이들에게 공개될 경우 기업이나 국가를 위태롭게 할 수도 있다. 때문에 외부 공급업체 직원이든, 아니면 내부 IT 직원이든 절대로 전체 커뮤니케이션 데이터에 대한 접근 권한을 주어서는 안 되지만 스노든 사건 때 보았듯 아직까지 이런 경각심을 갖는 사람은 별로 없는 듯하다.
이상적인 경우라면 정책이나 법으로 규제하여 커뮤니케이션 데이터는 생성시에 소스에서부터 암호화 되도록 하고 이를 열람할 권한이 있는 이들에 의해서만 보호될 수 있도록 할 것이다. 특히 클라우드 제공업체 직원의 경우 반드시 데이터가 업체를 떠났다가 돌아오는 시점까지 내내 암호화 하여 안전하게 보호해야 할 것이다.
클라우드 서비스 제공 업체 직원은 실수로든, 고의로든 자신에게 맡겨진 파일을 읽을 수 없어야 한다.
애널리틱스도 문제다
개인적으로 가장 큰 문제는 애널리틱스와 컴플라이언스라 생각한다. 기업에서 스스로 안전한 정보를 분석하여 기업 내부의 불법 활동을 적발하고 적법한 찾기/접근 요청에는 효율적으로 대응할 수 있도록 해야 한다. 이것이 제대로 되지 않으면 결국 기업은 보안을 약화하거나 접근을 위한 ‘뒷문’을 열어 둘 수 밖에 없는데 이는 결국 암호화 노력을 무효로 돌려버리게 될 것이다.
즉, 우리는 두 가지 접근 방식을 생각해 볼 수 있다. 하나는 암호화 된 형식으로 클라우드에 서비스를 두되 회사 내부에서 분석할 수 있도록 하는 것이다. 다른 하나는 서비스 자체를 아예 안전한 가상의 팟에 두고 권한 있는 사람만 접근할 수 있도록 하되 정책상 필요한 커뮤니케이션 및 분석, 리포팅 기능에 필요한 여지는 남겨두는 것이다.
사실 후자의 경우 가상 팟을 회사 내부에도 두어 내부의 불법 행위로부터 보호하는 것이 좋을 것 같다. 하지만 일단 가상의 팟에 담기고 나면 해당 서비스를 클라우드 서비스 제공업자 간에 옮기는 것이나 심지어 온, 오프 프레미스 간에 이동하는 것도 비교적 수월해 질 것이다.
물론 두 방법 모두 일종의 액세스 컨트롤 및 안전 보장 장치를 해 두어야 한다. 가상 팟의 안전을 장담하기 위해서는 거기에 접근 권한을 가진 이들을 모니터링 하는 방법도 있어야 하기 때문이다.
보안을 다시 생각하다
클라우드 제공 업체 직원을 믿어야만 하는 일이 있어서는 안 된다. 현재 환경에서는 같은 회사의 직원들을 신뢰하는 것 조차도 문제라고 말해야겠지만, 클라우드 제공 업체가 해커들에게 얼마나 매력적인 공격 대상인지, 그리고 공격에 많이 노출되어 있는지 생각해 본다면 이들 업체의 직원들을 신뢰할 수 있는 방법은 전무하다고 봐도 좋다(그리고 직원들을 신뢰할 수 없다면 당연히 그들의 보안도 신뢰할 수 없다).
때문에 차선책으로, 회사 내부 직원이든 외부 직원이든 관계 없이 필요한 권한 없이는 그 누구도 중요 정보에 접근할 수 없도록 해 두는 데 신경 써야 한다. 또 그러한 권한을 가진 이들도 빈틈없이 관리하고 모니터링 할 때 비로소 적어도 현재 상황에서는 정보가 안전하게 보호되고 있다고 말할 수 있는 것이다.
이렇게 주의에 또 주의를 기울여야만 정보 자체의 안위에 대한 걱정 없이 마음 놓고 해당 서비스의 가용성, 퍼포먼스, 그리고 가격 등의 요소도 고려해 볼 수 있다. 물론 이렇게 한다고 해도 그 자체 만으로는 특정 정보가 국경을 넘는 것을 방지하는 법으로부터 보호를 받지 못하겠지만 말이다.
이 글을 다 쓰고 나니, 필자가 CIO가 아니어서 참 다행이라는 생각이 든다. 필자가 CIO 였다면, 매일 밤 걱정이 돼서 잠이 안 왔을 것이다.
*Rob Enderle은 엔덜 그룹(Enderle Group)의 대표이자 수석 애널리스트다. 그는 포레스터리서치와 기가인포메이션그룹(Giga Information Group)의 선임 연구원이었으며 그전에는 IBM에서 내부 감사, 경쟁력 분석, 마케팅, 재무, 보안 등의 업무를 맡았다. 현재는 신기술, 보안, 리눅스 등에 대해 전문 기고가로도 활동하고 있다.dl-ciokorea@foundryco.com
