공통 정책 또는 네이티브 서비스—멀티클라우드 보안 문제 해결

“클라우드 네이티브 서비스는 어느 정도까지는 효과적입니다. 대다수 고객의 요구를 충족하는 애플리케이션을 더 빠르게 개발할 수 있게 해 줍니다. 하지만 네이티브 서비스는 특정 클라우드 제공업체에 종속되며, 대다수와 요구 사항이 다른 고객을 수용할 수 있는 유연성이 부족합니다. 여러 클라우드 제공업체에서 공통으로 적용되는 보안 기능과 정책을 제공하는 타사 공급업체를 통합하면 네이티브 서비스의 한계를 넘어선 애플리케이션을 지원하는 데 도움이 될 수 있습니다. 이를 통해 멀티 클라우드 환경에서 여러 네이티브 서비스를 계속 사용하면서도 모든 애플리케이션에서 일관되고 규정을 준수하는 보안 태세를 유지할 수 있습니다.”

공통 정책과 네이티브 서비스—멀티클라우드 보안 문제 해결

클라우드 네이티브 보안 서비스는 멀티클라우드 환경에서 운영 효율성을 저하시킵니다.

애플리케이션 보안이 개발 초기 단계로 이동하고 있습니다. 이에 따라 DevOps 팀이 보안을 담당하는 경우가 점점 늘고 있습니다. DevOps 팀은 개발 수명 주기 프로세스에 대한 전문성을 바탕으로 소프트웨어 수명 주기 초기에 보안 요구 사항을 효과적으로 도입할 수 있지만, 위협을 예측할 리소스가 부족하거나 최신 애플리케이션을 보호하는 데 필요한 다양한 보안 솔루션과 정책을 구현할 만큼 폭넓은 전문성을 갖추지 못할 수 있습니다.

클라우드 네이티브 보안 서비스는 DevOps 및 사업부 개발자에게 다양한 애플리케이션 요구 사항에 적합한 플랫폼별 옵션을 제공합니다. 그러나 조직에서 멀티 클라우드 솔루션을 도입하는 사례가 늘어나면서 이러한 네이티브 서비스의 비용이 이점보다 커지기 시작합니다. 단일 클라우드 플랫폼에서는 몇 가지 보안 서비스만으로 충분했지만, 둘 이상의 클라우드 플랫폼에서 동일한 수준의 보호를 제공하려면 많은 보안 서비스가 필요합니다. 플랫폼마다 고유한 ID 관리 요구 사항, 보안 정책, API 및 관리 절차가 있어 전반적인 효율성이 저하됩니다. 운영 효율성과 보안을 강화하는 것은 기업의 디지털 혁신 이니셔티브와 경영진 목표에서 최우선 과제입니다.

관리 오버헤드로 인한 효율성 저하

네이티브 보안 서비스의 구현 및 관리와 관련된 복잡성은 운영 비효율성을 초래하는 첫 번째 주요 원인입니다. 여러 네이티브 보안 서비스의 모든 구성 요소를 관리하는 데 따르는 어려움은 비즈니스에 심각한 부정적 영향을 미칠 수 있습니다. 잘못된 구성으로 인한 보안 허점은 공격의 66%에서 악용되었습니다(공격자가 웹 애플리케이션 방화벽의 결함을 악용해 계정 자격 증명에 접근하거나, 잘못 구성된 리소스를 이용한 경우). DevOps 엔지니어는 출시 소요 시간을 최대한 단축해야 합니다. 여러 클라우드 제공업체에 걸쳐 보안 정책을 유지하고 이해하는 데 드는 부담을 줄이면 DevOps 팀이 이러한 목표에 더 집중하여 역량과 리소스를 투입할 수 있습니다.

“보안 운영의 과제: 자격을 갖춘 인력 확보(39%), 규정 준수(38%), 인프라 가시성 확보(36%), 일관된 보안 정책 구현(33%).”

멀티 클라우드 환경의 모든 애플리케이션에 일관된 보안 정책을 적용할 수 있는 타사 공급업체로 전환하면 DevOps 팀이 부담해야 하는 보안 구현 관련 오버헤드를 크게 줄일 수 있습니다. 이러한 유형의 서비스를 사용하면 잘못된 보안 구성이 프로덕션 환경에 배포되는 빈도를 낮출 수 있습니다. 또한 DevOps 팀에 표준화에 활용할 수 있는 자동화 도구 세트를 제공하여 CI/CD 파이프라인에서 정책과 구성을 더욱 간편하게 통합할 수 있으며, 이를 통해 보안 서비스를 기존 엔터프라이즈 자동화 도구 체인에 통합할 수 있습니다.

클라우드 인프라 보안 가시성 저하로 인한 효율성 감소

클라우드 인프라 보안에 대한 낮은 가시성은 네이티브 보안 서비스를 사용할 때 운영 효율성이 저하되는 또 다른 원인입니다. 조직은 네이티브 서비스를 사용하여 더 빠르게 배포할 수 있지만, 설문 조사 응답자의 36%는 이러한 네이티브 서비스가 충분한 가시성을 제공하지 못한다고 답했습니다. DevOps 팀이 애플리케이션 보안의 배포와 관리를 점점 더 많이 담당하고 있지만, 전사적 보안 감독과 보고는 여전히 SecOps의 책임입니다. 분산형 네이티브 클라우드 보안 서비스를 사용하면 보안 보고 및 분석 역시 기본적으로 분산되고 각 클라우드에 특화됩니다. 이렇게 분석이 분산되면 시스템 전체의 보안 현황을 파악하기 어려워집니다. 그 결과 SecOps 팀은 개별 공급자에 국한된 권고 사항만 제시할 수 있습니다. 표준화된 멀티 클라우드 보안 공급업체를 통해 구현된 공통 보안 서비스를 사용하면 모든 애플리케이션에 동일한 보안 정책을 적용할 수 있습니다. 이를 통해 SecOps는 공유된 보안 분석을 바탕으로 전체 시스템에 도움이 되는 권고 사항을 제시할 수 있습니다.

규정 준수 부담 증가로 인한 효율성 저하

서로 다른 클라우드 제공업체 전반에서 규정 준수를 보장하는 멀티 클라우드 보안 전략을 도입해야 한다는 점도 네이티브 보안 서비스의 운영 효율성을 저해하는 또 다른 요인입니다. DevOps 팀은 내부 및 업계 보안 요구 사항을 모두 준수해야 합니다. 전통적으로 중앙 집중식 정보 보안(InfoSec) 팀은 애플리케이션 전반의 보안 통제를 수립하고 감사하는 데 도움을 주며, 특히 민감하거나 보호 대상인 개인 정보를 취급하는 의료 및 금융 서비스 등의 조직에서 중요한 역할을 합니다. 애플리케이션 보안의 시프트 레프트가 확산되면서 이제 DevOps도 SecOps와 마찬가지로 엔터프라이즈 보안 요구 사항을 지속적으로 준수할 책임을 지게 되었습니다. 네이티브 보안 정책이 AWS, Azure, Google Cloud 등 특정 클라우드 제공업체에 종속되어 있으면 엔터프라이즈 보안 요구 사항을 일관되게 준수하기 어렵습니다. 감사의 효율성도 떨어집니다. 공통 멀티 클라우드 보안 정책을 배포하면 보안 구성을 감사하는 데 드는 시간을 줄일 수 있습니다. 또한 가시성 솔루션을 도입하면 조직이 통합 관리 환경을 구축하여 규정 준수 테스트의 복잡성을 줄이고 팀 간 협업을 개선할 수 있습니다.

“조직의 96%가 현재의 클라우드 보안 수준을 우려하고 있습니다. 조직이 가장 크게 우려하는 사항으로는 데이터 손실, 탐지 및 대응, 멀티 클라우드 관리가 꼽힙니다.”

공통 보안 정책을 도입하면 DevSecOps 효율성이 향상됩니다

애플리케이션 개발 방식의 변화로 인해 DevOps가 담당해야 하는 보안 관련 책임이 늘어났습니다. 따라서 이러한 팀을 DevSecOps라고 부르고, 이를 SecOps 보안 운영 모델의 일부로 인식하는 것이 더 정확합니다. 클라우드 공급자별 네이티브 보안 정책을 계속 사용하면 관리 부담이 크게 늘어나 DevOps 모델의 이점이 상당 부분 사라집니다. 멀티 클라우드 엔터프라이즈 보안 솔루션을 중심으로 표준화하면 운영 효율성이 향상되고 새로운 전략적 보안 파트너와 협력할 기회가 생기며, 멀티 클라우드 환경으로 전환할 때 운영 효율성이 저하될 가능성을 줄일 수 있습니다.