분산된 클라우드 방대한 데이터, 적절한 보호 방안 시급
저장·이동중은 물론 사용중 데이터도 보호하는 방법 필요

[데이터넷] 그룹아이비 조사에 따르면 지난 1년간 10만개 이상의 데이터베이스가 공개됐으며, 아마존 S3 등 클라우드 스토리지를 통해 유출된 사고가 15억개 이상이다. ADT캡스 인포섹 조사에서는 2021년 상반기 발생한 개인정보 유출 사고 중 클라우드 서비스 개발과 관리 미흡 등이 구성오류로 인한 것이 40%를 차지했다. IBM은 클라우드 전환 프로젝트를 진행하는 중 데이터 유출 사고가 발생한 기업은 평균보다 18.8% 높은 비용을 지출했다고 분석했다.

이 통계가 이야기하는 것은 클라우드의 데이터 유출이 심각하다는 점이다. 탈레스가 IT 담당 임원을 대상으로 한 조사에서는 50%의 기업은 데이터의 40% 이상을 외부 클라우드에 저장하고 있으며, 클라우드에 저장한 중요 데이터의 절반 이상을 암호화 한 기업은 17%에 불가했다. 엔트러스트 조사에서는 기업 60%가 암호화·토큰화 적용과 상관없이 민감한 데이터를 클라우드에 전송한다고 답했다.

실수 혹은 장애에 의한 데이터 유출 사고도 큰 문제가 된다. 엔트러스트 조사에서는 민감한 데이터를 위협하는 요인으로 53%가 직원의 실수를 꼽았고 31%가 시스템과 프로세스의 오작동을 들었다.

해커의 공격이 위험하다고 답한 경영진은 29%, 임시직·계약직에 의한 위협이 25% 순이었다. 기업·기관은 클라우드 도입에 있어 가장 우려하는 점으로 데이터 유출을 꼽는다. 그러나 정작 클우드로 전환할 때 데이터 보호 전략 수립에 소홀하다. IBM은 유출되는 데이터의 44%가 이름, 이메일, 암호, 의료데이터 등 개인 민감정보이고, 이러한 데이터가 유출됐을 때 피해액이 평균 180달러로, 다른 데이터 유출 시 피해액인 161달러보다 크다고 분석했다.

클라우드 데이터 보호 ‘난제’

데이터 보호를 위해서는 관리하는 모든 데이터를 파악하고 적절한 기준으로 분류하며, 보호·통제 정책을 적용한다. 데이터에 대한 접근권한을 설정하고, 중요한 데이터는 암호화하며, 암호화 키에 대한 강력한 통제를 적용한다. 사용이 끝난 데이터는 안전하게 폐기해 오남용되지 않도록 하는 것까지 관리해야 한다.

그러나 클라우드에는 너무 많은 데이터가 분산되어 기존의 보안 정책을 적용하기 어렵다. 탈레스 설문에 응한 기업들은 대부분 2개 이상 IaaS와 PaaS를 운영하고 있으며, 27%는 50개 이상 SaaS를 이용한다. 엔트러스트 보고서에서는 데이터 보호의 걸림돌로 데이터 위치를 파악하는 역량(65%), 암호화 대상 데이터 분류의 어려움(34%)을 들었다.

데이터 관리의 어려움을 하나의 예로 들어 설명하면, 클라우드 데이터는 백업을 위해 여러 곳에 분산 저장된다. 그런데 데이터가 어디에 저장되는지 명확하게 파악되지 않는다. 데이터를 삭제해야 할 일이 발생해 원본 데이터와 백업 데이터를 삭제했다고 했을 때, 원본 데이터는 삭제됐지만, 분산 저장된 백업 데이터까지 모두 완벽하게 삭제됐다고 안심할 수 없다.

클라우드 데이터를 보호하기 위해서는 암호화가 필수지만, 암호화 시 업무 생산성이 떨어진다. 암호화는 컴퓨팅 리소스를 많이 사용하기 때문에 데이터 처리 속도에 영향을 준다. 암호화는 키관리가 핵심이며, 저장 중인 데이터의 키 관리는 그리 어렵지 않다.

그러나 이동 중인 데이터의 키관리는 쉽지 않다. 데이터와 키를 함께 보내면 중간에 탈취당했을 때 보호받지 못하며, 키에 대한 접근권한을 잘못 설정하거나 접근권한을 훔친 공격자가 접근하는 것을 막지 못한다. 업무 편의를 위해 암호화를 해제한 후 유통하거나 키에 대한 접근권한을 함께 보내면 암호화의 의미가 없어진다.


<그림 1> 온프레미스·클라우드 환경의 데이터 보호 전략

데이터 라이프사이클 전체 보호하는 거버넌스 필요

사용 중인 데이터는 암호화할 수 없다는 것도 문제다. 특히 여러 사람이 함께 협업할 때, 접근권한 설정을 잘못하거나 권한을 탈취한 공격자가 협업 공간에 들어왔을 때, 악의 혹은 실수로 보호조치 되지 않은 사용 중 데이터를 공개하거나 유출했을 때 발생하는 문제도 심각하다.

온프레미스 환경에서 데이터는 대체로 보호받는 회사 네트워크 내에 저장되기 때문에 일관성 있게 정책을 적용하고 통제할 수 있었다. 이렇게 잘 통제되는 상황에서도 대규모 데이터 유출사고가 빈번하게 발생했는데, 제대로 통제되거나 관리되지 못하는 멀티 클라우드 환경에서는 데이터를 보호하기 어려워질 수밖에 없다. 그래도 데이터 보호의 핵심 원칙을 지켜 관리하는 것이 필요하다.

멀티 클라우드를 위한 데이터 보호 원칙은 다음과 같다.

- 데이터 인식: 데이터 환경을 이해하고 하이브리드 환경에서 중요한 데이터 식별

- 데이터 보호: 민감한 데이터를 분류·라벨링하고, 암호화·워터마킹과 같은 보호조치 적용

- 데이터 관리: 조직의 민감한 데이터와 지적재산권(IP) 손실 방지

- 데이터 거버넌스 수립: 데이터 라이프사이클을 효율적으로 관리하고, 서비스에 맞게 자동 적용할 수 있는 거버넌스 수립

데이터 보호 전략에는 최소 권한 원칙이 포함돼 있어야 한다. 데이터에 접근할 수 있는 권한과 범위를 최소화해 권한 오남용이나 탈취한 권한을 이용한 침해사고를 미연에 방지해야 한다. 접근권한 통제는 직원뿐 아니라 고위 임원과 경영진, 파트너사 및 외부 조직, 사람이 개입하지 않는 IoT와 사물간 통신에도 일관성 있게 적용한다.

클라우드 사용 중 데이터까지 암호화

마이크로소프트는 마이크로소프트365(M365)와 애저에 ‘MIP(Microsoft Information Protection)’를 내장해 모든 데이터를 식별하고 보호하며 추적·관리한다. AI와 인텔리전스를 이용해 분산된 모든 데이터를 분류하고 정황 정보를 적용시켜 정책을 생성하고 배포한다. 다양한 협업 환경에서 생산성을 해치지 않고 데이터를 보호할 수 있도록 마이크로소프트와 써드파티의 다양한 협업·커뮤니케이션 툴을 지원하는 보안 정책을 제공한다.

사용 중인 데이터는 상황인지 기반 접근 통제를 적용해 권한 없는 사람이나 권한을 탈취한 공격자가 무단으로 접근해 유출하는 것을 막고, 데이터를 수정·변경하는 모든 이력을 모니터링해 이상행위를 감지하고, 모든 작업 내용을 녹화해 사고 발생 시 조사자료로 사용하는 등의 조치를 취하게 된다.

이러한 조치로 데이터 침해 위협을 낮출 수 있지만 암호화 수준의 보호를 제공할 수 없다. 랜섬웨어의 경우 데이터 접근 권한을 획득한 후 일시에 데이터를 유출하고 암호화하기 때문에 접근통제 정책만으로 보호하기는 어렵다.

소프트캠프는 클라우드 환경, 특히 협업 중인 환경에서도 중단 없는 암호화로 데이터를 보호하는 클라우드 스토리지 보안 중개(CSSB) 서비스 ‘실드라이브(SHIELDrive)’를 소개한다. 소프트캠프의 문서 암호화 전문성을 클라우드 데이터에도 적용한 실드라이브는 클라우드의 모든 데이터를 암호화해 보안 수준이 낮은 데이터를 이용한 피해까지 사전 차단한다. 파일 제목까지 난독화해 권한 없는 사람들이 파일명으로 중요한 데이터 여부를 판단하지 못하게 한다.

이와 함께 문서DRM을 클라우드에서 구현한 ‘실디알엠(SHIELDRM)’으로 멀티 클라우드의 데이터 보호 문제를 해결한다. 실드라이브와 실디알엠은 MIP와 같은 클라우드 서비스 사업자(CSP)가 제공하는 데이터 보호 기능을 모두 사용하면서, 그들이 제공하지 못하는 중단없는 암호화와 키관리, 제목까지 난독화해 완전한 데이터 보호가 이뤄질 수 있도록 한다.

데이터 암호화, 키관리가 핵심

데이터 암호화는 데이터를 보호하는 가장 안전한 방법이지만, 키관리에 실패했을 때 무용지물이다. 암호화 키는 암호화 데이터와 분리된 네트워크에서 관리되어야 하지만, 암호화 데이터와 키가 멀리 떨어져있으면 암·복호화 처리 속도가 느려진다.

CSP에서 제공하는 데이터 암호화와 키관리 서비스를 사용하면 효율적으로 암호화 데이터를 보호할 수 있지만, 기업이 완벽하게 데이터 통제권을 갖지 못한다는 우려가 있다. 그래서 암호화 데이터와 키는 가까이 두고, 키에 대한 마스터키를 기업이 관리하는 방법을 추천한다. 암호화 키에 대한 접근권한만 마스터키에서 통제하기 때문에 속도저하 문제를 우려하지 않아도 된다.

클라우드 데이터를 삭제해야 할 때, 마스터키를 통해 해당 데이터의 키를 삭제하면 클라우드에 있는 데이터에 접근할 수 없기 때문에 분산된 클라우드에 삭제되지 않고 남아있는 데이터로 인해 문제가 생길 것을 걱정하지 않아도 된다.

마스터키는 강력한 암호화와 접근통제를 적용한 안전한 키관리 시스템으로 관리되어야 한다. 가장 보안 수준이 높은 하드웨어 보안 모듈(HSM)을 사용하는 것이 권고되며, 탈레스의 ‘루나’, 엔사이퍼의 ‘엔쉴드’가 글로벌 시장을 양분하고 있다.

이 시장에 새로운 경쟁자들이 등장하기 시작했다. 에스케어에서 국내에 공급하는 포타닉스는 하드웨어 기반(HSM)과 소프트웨어 기반(SGX) 암호/인증 키관리를 함께 제공하며, 동형암호화 수준의 안정성을 보장하는 강력한 키관리 시스템을 제공한다.

이 솔루션은 유연하고 비용 효율적이면서도 높은 보안성을 준수할 수 있으며, 가장 까다로운 환경에서도 강력하게 키를 보호한다. 진화하는 비즈니스 요구사항을 충족할 수 있도록 확장 가능해 유연성과 보안성이 요구되는 다양한 서비스에 적용될 수 있다.

포타닉스는 데이터 보호를 위한 모든 기술을 단일 플랫폼으로 제공한다. 키 관리, 암호화, 토큰화, 기밀 정보 관리, 커스텀 코드 등이 단일 플랫폼에서 제공되며, 멀티·하이브리드 클라우드, 데브옵스·데브섹옵스 등 다양한 클라우드 환경에서도 애플리케이션 수정 없이 데이터를 보호한다.

세분화된 액세스 제어, 키 수명주기 관리, 성능이 향상된 암호화, 마이크로 서비스 환경을 위한 보안 기밀 보호 등을 제공한다. AWS, 애저, GCP 등 퍼블릭 클라우드와도 통합되며, 추가 분석을 위한 다른 보안 툴과도 원활하게 통합된다.

사용 중 데이터 암호화하는 컨피덴셜 컴퓨팅

포타닉스가 가진 장점 중 하나는 인텔 SGX를 기반으로 설계돼 사용 중인 데이터까지 보호할 수 있다는 것이다. 인텔 SGX는 컨피덴셜 컴퓨팅 기술을 적용해 하드웨어 단에서 사용 중 데이터까지 암호화해 보호한다. 포타닉스는 SGX 기반 암호화 기술을 상용화한 ‘컨피덴셜 컴퓨팅 매니저(CCM)’를 클라우드와 마이데이터 시장에 적극 알리고 있다.

클라우드 데이터를 삭제해야 할 때, 마스터키를 통해 해당 데이터의 키를 삭제하면 클라우드에 있는 데이터에 접근할 수 없기 때문에 분산된 클라우드에 삭제되지 않고 남아있는 데이터로 인해 문제가 생길 것을 걱정하지 않아도 된다.

마스터키는 강력한 암호화와 접근통제를 적용한 안전한 키관리 시스템으로 관리되어야 한다. 가장 보안 수준이 높은 하드웨어 보안 모듈(HSM)을 사용하는 것이 권고되며, 탈레스의 ‘루나’, 엔사이퍼의 ‘엔쉴드’가 글로벌 시장을 양분하고 있다.

이 시장에 새로운 경쟁자들이 등장하기 시작했다. 에스케어에서 국내에 공급하는 포타닉스는 하드웨어 기반(HSM)과 소프트웨어 기반(SGX) 암호/인증 키관리를 함께 제공하며, 동형암호화 수준의 안정성을 보장하는 강력한 키관리 시스템을 제공한다.

이 솔루션은 유연하고 비용 효율적이면서도 높은 보안성을 준수할 수 있으며, 가장 까다로운 환경에서도 강력하게 키를 보호한다. 진화하는 비즈니스 요구사항을 충족할 수 있도록 확장 가능해 유연성과 보안성이 요구되는 다양한 서비스에 적용될 수 있다.

포타닉스는 데이터 보호를 위한 모든 기술을 단일 플랫폼으로 제공한다. 키 관리, 암호화, 토큰화, 기밀 정보 관리, 커스텀 코드 등이 단일 플랫폼에서 제공되며, 멀티·하이브리드 클라우드, 데브옵스·데브섹옵스 등 다양한 클라우드 환경에서도 애플리케이션 수정 없이 데이터를 보호한다.

세분화된 액세스 제어, 키 수명주기 관리, 성능이 향상된 암호화, 마이크로 서비스 환경을 위한 보안 기밀 보호 등을 제공한다. AWS, 애저, GCP 등 퍼블릭 클라우드와도 통합되며, 추가 분석을 위한 다른 보안 툴과도 원활하게 통합된다.

<그림 2> 컨피덴셜 컴퓨팅 적용 범위

사용 중 데이터 암호화하는 컨피덴셜 컴퓨팅

포타닉스가 가진 장점 중 하나는 인텔 SGX를 기반으로 설계돼 사용 중인 데이터까지 보호할 수 있다는 것이다. 인텔 SGX는 컨피덴셜 컴퓨팅 기술을 적용해 하드웨어 단에서 사용 중 데이터까지 암호화해 보호한다. 포타닉스는 SGX 기반 암호화 기술을 상용화한 ‘컨피덴셜 컴퓨팅 매니저(CCM)’를 클라우드와 마이데이터 시장에 적극 알리고 있다.

고 업무에 영향을 주기 때문에 모든 데이터를 암호화하는 것은 생산성을 떨어뜨리는 요인이 된다. 그렇다고 해서 중요도가 떨어지는 데이터를 암호화하지 않고 방치하는 것도 안 된다. 그래서 모든 데이터에 대해서 적절한 접근통제 기술이 적용돼야 한다.

컨피덴셜 컴퓨팅은 칩에 암호화 저장소인 시큐어 엔클레이브를 만들어 이용 중인 데이터와 애플리케이션을 보호한다. 시큐어 엘리먼트(SE), 신뢰 플랫폼 모듈(TPM)과 유사한 기술이지만, SE와 TPM은 프로그래밍 할 수 없으며, 구동할 수 있는 애플리케이션에 제약이 있다.

컨피덴셜 컴퓨팅은 이 문제를 해결할 수 있는 대안으로 떠오르고 있으며, 마이크로소프트, 인텔, 구글, ARM 등 세계 주요 IT 기업들이 컨피덴셜 컴퓨팅 컨소시엄(CCC)을 결성해 기술 개발과 표준화를 위해 노력하고 있다.

포타닉스는 스타트업이지만 CCC에서 활동하며 주목받고 있으며, 애플리케이션 수정 없이 컨피덴셜 컴퓨팅 기술을 이용해 하드웨어 기반 암호화로 데이터를 보호할 수 있게 한다. 포타닉스는 저장중·이동 중 데이터를 보호하는 ‘데이터 시큐리티 매니저(DSM)’와 CCM을 함께 제안해 모든 환경에서 데이터를 보호할 수 있다.

CCC 설립멤버인 마이크로소프트는 애저에 컨피덴셜 컴퓨팅 기술을 내재화했다. 애저는 오픈 엔클레이브 SDK를 제공하며, 기존 애플리케이션을 보안 엔클레이브에 적용시켜 애플리케이션 수준에서 데이터의 기밀성을 보장한다. AKS(Azure Kubernetes Service)에서 지원하는 컨테이너를 보호하며, 관리형 HSM과 함께 애저 키 볼트(Azure Key Vault)를 사용해 키를 기밀성 있게 관리한다.

CCC 설립멤버에는 레드햇도 있다. IBM은 레드햇과 함께 컨피덴셜 컴퓨팅 기술로 데이터를 보호하는 기술을 속한다. IBM의 ‘시큐리티 가디엄’은 쿠핑어콜 조사에서 데이터 보호 부문 리더로 선정됐으며, 데이터의 적절한 분류와 정책 적용, 관리를 통해 데이터 라이프사이클 전반에 걸친 보호를제공한다.

AI를 활용해 데이터 접근과 활용에 대한 이상행위를 탐지하고 온프레미스와 모든 클라우드 환경을 지원한다. 다양한 종류의 데이터베이스를 지원하는데, 특히 제조망에서 사용하는 데이터베이스까지 지원해 모든 산업군에서 활용하고 있다.

데이터 접근제어로 보호 효과 높여

암호화는 데이터를 가장 안전하게 보호하는 방법이지만, 암호화는 많은 컴퓨팅 리소스가 필요하 고 업무에 영향을 주기 때문에 모든 데이터를 암호화하는 것은 생산성을 떨어뜨리는 요인이 된다. 그렇다고 해서 중요도가 떨어지는 데이터를 암호화하지 않고 방치하는 것도 안 된다. 그래서 모든 데이터에 대해서 적절한 접근통제 기술이 적용돼야 한다.

데이터의 중요도, 업무 연관성, 접근하는 사람의 권한, 접근하는 상황 등을 고려해 데이터 접근통제 정책이 적용돼야 하며, 클라우드에서도 동일한 정책으로 관리할 수 있어야 한다.피앤피시큐어는 클라우드 통합접근제어 ‘디비세이퍼 포 클라우드’를 통해 일관된 사용자 인증과 식별, 계정관리, 접근통제, 보안관리를 적용한다. DB 접근제어 솔루션 ‘디비세이퍼’는 모든 데이터베이스와 클라우드에 최적화돼 DB 접근 및 권한제어, SQL 감사, 로깅, 개인정보 보호와 유출방지를 제공한다.

DB와 파일을 암호화하는 ‘데이터크립토’는 커널 레벨 암호화로 애플리케이션 수정 없이 간편하게 설치할 수 있으며, 클라우드의 다양한 OS도 지원한다. 개인정보 접속기록 관리 솔루션 ‘인포세이퍼’는 개인정보 서버에 접근하는 기록을 관리해 권한 오남용이나 권한탈취 공격자의 접근을 모니터링하고 제어한다.

출처 : 데이터넷(http://www.datanet.co.kr) 

[출처] 네트워크 타임즈 Network Times
ⓒ 본 콘텐츠는 발행사에서 제공하였으며, 저작권법의 보호를 받으며 무단 전재, 재배포 등을 금합니다.