클라우드를 위한 제로 트러스트란 무엇인가요?

제로 트러스트는 네트워크, 애플리케이션, 데이터를 보호하기 위해 신뢰의 개념을 없애는 IT 보안 모델입니다. 이는 악의적인 공격자는 항상 네트워크의 신뢰할 수 없는 쪽에 있고 신뢰할 수 있는 사용자는 항상 신뢰할 수 있는 쪽에 있다고 가정하는 기존의 경계 보안 모델과는 완전히 대조적인 방식입니다. 제로 트러스트에서는 이러한 가정이 무효화되고 모든 사용자가 신뢰할 수 없는 것으로 간주됩니다.

선도적인 연구 및 자문 기관인 Forrester Research에 따르면 제로 트러스트 솔루션은 반드시 필요합니다:

• 레이어 7 정책을 세그먼트화하고 활성화하여 알려진 허용 트래픽 또는 합법적인 애플리케이션 통신만 허용되도록 합니다.

• 최소 권한 액세스 전략을 활용하고 액세스 제어를 엄격하게 시행하세요.

• 모든 트래픽을 검사하고 기록합니다. 그렇지 않으면 공격자가 회사 네트워크에 액세스하는 것이 매우 간단할 수 있습니다.

이러한 원칙은 엔터프라이즈 네트워크에서 구현하기에는 간단할 수 있지만 클라우드에는 어떻게 적용될까요? 보안 게이트웨이를 통해 액세스를 유도하여 최소 권한 액세스를 보호함으로써 동일한 개념을 클라우드에 적용할 수 있습니다. 그러나 클라우드에서 제로 트러스트를 구현하는 데 게이트웨이 구현만으로는 충분하지 않다는 것이 분명해졌습니다. 모든 애플리케이션의 모든 트래픽을 검사하지 않으면 진정한 의미의 제로 트러스트를 구현한 것이 아닙니다.

기업에 클라우드 환경에서 제로 트러스트가 필요한 이유

엔터프라이즈 네트워크에서 제로 트러스트를 구현하려면 조직 자체가 네트워크를 제어하는 것이 전제되어야 합니다. 경계를 설정할 수 있는 위치를 설정하고 액세스 제어를 시행하여 온프레미스 데이터 센터 내의 애플리케이션과 같은 민감한 애플리케이션을 무단 액세스 및 측면 이동으로부터 보호합니다.

오늘날에는 데이터 센터 대신 클라우드에서 애플리케이션을 호스팅하는 것이 더 비용 효율적인 경우가 많습니다. 실제로 선도적인 기술 미디어 기업인 IDG에 따르면 현재 73% 이상의 기업이 클라우드에 애플리케이션이나 인프라를 보유하고 있습니다.1 클라우드 서비스 제공업체와 SaaS 벤더가 운영하는 이러한 클라우드 환경은 조직 네트워크의 일부가 아니므로 동일한 유형의 네트워크 제어가 적용되지 않습니다.

그 결과 대부분의 회사에서

• 애플리케이션과 데이터가 여러 위치에 분산되어 있습니다. 

• 에 대한 인사이트를 잃고 있습니다:
  

  • 대부분의 자산이 타사 인프라에 있기 때문에 누가 애플리케이션과 데이터에 액세스하는지, 심지어 어떤 기기(예: 스마트폰, 태블릿, 노트북 등)를 사용하여 액세스하는지도 파악할 수 있습니다.

  • 데이터 사용 및 공유 방식

이러한 문제를 해결하기 위해 기업은 자산의 위치에 따라 다양한 액세스 기술을 사용하는 경우가 많습니다. 대부분의 회사에서 이 두 가지를 혼합하여 사용합니다:

이러한 기술의 조합으로 인해 클라우드에서 특정 데이터를 보호하기 위해 어떤 정책이 적용되고 있는지 확인하기 어려운 파편화된 보안 아키텍처가 만들어집니다. 클라우드 환경은 기존 네트워크와 근본적으로 다르며 지속적으로 변화하므로 보안에 대한 기업의 접근 방식은 포괄적이고 적응력이 뛰어나야 합니다.

사이버 보안 전문가 10명 중 9명이 현재 클라우드 보안에 대해 우려하고 있는 이유입니다. 이들은 데이터 손실 및 유출 방지(67%), 데이터 프라이버시 위협(61%), 기밀성 침해(53%)가 가장 큰 문제라고 답했습니다. 또한 인프라 보안에 대한 가시성 확보(43%), 규정 준수(38%), 클라우드 및 온프레미스 환경 전반의 일관된 보안 정책 수립(35%)과 같은 보안 제어 문제로 어려움을 겪고 있습니다.2

따라서 기업은 성공하기 위해 통합된 단일 보안 아키텍처를 구축해야 합니다:

• 사용자가 퍼블릭 클라우드, SaaS 애플리케이션, 프라이빗 클라우드/데이터 센터 전반에서 회사의 애플리케이션과 데이터에 안전하게 액세스할 수 있습니다.

• 해당 자산에 액세스할 수 있는 사람과 사용 방법을 제어하고 제한합니다.

• 트래픽을 검사하고 지속적으로 보안 정책을 시행합니다.

조직이 클라우드로 이전할 때 새로운 클라우드 인프라 설계에 제로 트러스트를 통합하는 것이 중요합니다. 다음은 시작하는 방법에 대한 몇 가지 아이디어입니다.

5단계 방법론을 사용하여 클라우드를 위한 제로 트러스트를 구현하는 방법

시작하기 전에 클라우드에서 제로 트러스트를 구현하기 위한 회사의 목표와 원하는 비즈니스 성과를 정의하는 것이 중요합니다.

• 1단계: 회사에 어떤 유형의 애플리케이션(예: 공용, 비공개, SaaS 등)과 데이터(예: 기밀, 민감, 중요하지 않음)가 있는지, 어디에 있는지, 누가 액세스하고 사용하는지 파악합니다. 그런 다음 비즈니스에 가장 중요한 데이터, 애플리케이션, 자산, 서비스 등 보호 대상을 정의하세요.

• 2단계: 트랜잭션 흐름(즉, 애플리케이션이 실제로 작동하는 방식)을 매핑합니다.

• 3단계: 새로운 클라우드 인프라를 설계하고 사용자와 애플리케이션 간의 경계를 설정하세요.

• 4단계: 누가 무엇에 액세스해야 하는지에 따라 회사의 제로 트러스트 정책을 개발하고 최소 권한 원칙에 따라 상황에 맞는 액세스 제어를 시행하세요. 사용자에게 회사의 보안 정책과 클라우드에서 회사의 애플리케이션 및 데이터에 액세스하고 사용할 때 사용자에게 기대되는 사항을 교육하세요.

• 5단계: 제로 트러스트 환경을 모니터링하고 유지하세요. 즉, 모든 트래픽을 지속적으로 검사하고 로깅하여 비정상적인 활동을 식별하고 정책을 더욱 안전하게 만드는 방법을 결정해야 합니다. 액티브 모니터링을 통해 보호 영역을 확장할 수 있으므로 아키텍처를 변경하여 보안을 더욱 강화할 수 있습니다.

클라우드 환경에서 제로 트러스트 적용을 위한 팁

클라우드에서 제로 트러스트를 더 쉽게 유지 관리할 수 있습니다:

• 클라우드에서 제공되는 보안 조치를 사용하여 클라우드에서 제로 트러스트를 구현하세요.

• 사용자가 물리적으로 어디에 있든, 연결 방법이나 사용하려는 애플리케이션에 관계없이 안전하고 일관되며 원활한 경험을 제공하세요. 그렇지 않으면 사용자 환경이 너무 복잡하거나 새로운 위치에서 작업하거나 다른 애플리케이션을 사용할 때마다 너무 많은 변경이 필요한 경우 이를 받아들이지 않을 것입니다.

• 컨텍스트에 따라 사용자 액세스를 제한하여 공격 표면 영역을 줄이세요.

혜택

클라우드용 제로 트러스트 구축의 몇 가지 이점은 다음과 같습니다:

• 데이터, 자산, 위험에 대한 가시성이 향상됩니다.

• 일관되고 포괄적인 보안.

• 진화하는 기술을 앞서가는 속도와 민첩성.

• 운영 비용 및 복잡성 감소.

제로 트러스트 관련 기사 더 보기:

• 클라우드에 대한 제로 트러스트 접근 방식?

• 제로 트러스트를 클라우드로 확장하기