각 기업들은 클라우드 컴퓨팅 리소스가 여전히 중요한 위치를 차지함에도 불구하고 클라우드 내 민감한 데이터를 보호하기 위해 적절한 거버넌스와 보안 대책을 도입하지 않고 있는 것으로 나타났다. 이는 포네몬 인스티튜트(Ponemon Institute)가 디지털 보안의 세계적 선두업체 젬알토의 의뢰로 실시한 ‘2016 글로벌 클라우드 데이터 보안 연구(The 2016 Global Cloud Data Security Study)’에서 드러난 사실이다. 본 연구는 전 세계 IT 및 IT 보안 실무자 3,400여명을 조사했으며 클라우드 기반 서비스용 데이터 거버넌스, 보안 관련 실무의 핵심 트랜드에 대한 이해 증진을 목적으로 수행되었다.

젬알토는 포네몬 인스티튜트와 공동으로 7월 28일 오전 10시(미국동부시간) 웨비나를 실시, 이번 연구 결과 전체를 설명하는 시간을 갖는다. 참여를 희망하는 사람은 https://www.brighttalk.com/webcast/2037/216247에서 등록하면 된다.

조사 대상자 가운데 73%는 소속 기업 내에서 클라우드 기반 서비스와 플랫폼을 중요하게 여기고 있었으며 81%는 향후 2년간 그 중요성이 증대될 것이라고 답했다. 또한 36%의 응답자는 소속 기업의 IT 및 데이터 처리 관련 니즈가 현재 쓰이고 있는 클라우드 리소스의 활용으로 해결되고 있다는 입장이었으며 45%는 이러한 추세가 향후 2년 간 더욱 늘어날 것으로 내다봤다.

각 기업 내 IT 운영 및 사업 전략에 있어 클라우드 기반 리소스가 차지하는 중요성은 갈수록 증대되고 있다. 하지만 응답자의 54%는 소속 기업이 클라우드 환경 내 개인정보 및 데이터 보호 규정 준수, 그리고 보안 관리에 있어 선제적 접근책을 가지고 있지 않다고 밝혔다. 이는 65%의 조사자가 소속 기업이 클라우드 내 기밀 정보나 민감한 정보를 적극 보호하고 있다고 답한 것과 대조되는 부분이다. 여기에 응답자의 56%는 소속 기업이 클라우드 내 민감한 정보를 사업 파트너, 컨트렉터, 벤더사 등 제3자에 공유하는 데 신중하지 못하다는 입장이었다.

래리 포네몬(Larry Ponemon) 포네몬 인스티튜트 창립자 겸 회장은 “특히 개인정보와 데이터 보호 규정이 복잡한 기업들을 중심으로 클라우드 보안에 지속적인 어려움을 겪고 있다”며 “컴플라이언스 준수를 위해 기업들이 암호화, 토큰화 혹은 기타 암호 솔루션을 도입해 클라우드에 전송되었거나 저장된 민감한 데이터를 보호하는 것이 중요하다”고 말했다.

젬알토의 데이터 보안팀장인 제이슨 하트(Jason Hart) 최고기술책임자는 “기업들은 비용 문제와 유연성이 주는 혜택을 위해 클라우드를 도입했지만 여전히 가상 환경 속 데이터와 컴플라이언스 제어 능력을 유지하는 데 난항을 겪고 있다”면서 “네트워크 저장 방식의 데이터 보호에 대한 기존의 접근책은 클라우드 환경에서 한계를 노출하기 때문에 보안 정책이 최근 추세를 따라잡지 못하고 있다는 건 명백해 보인다. 이 같은 문제는 데이터 중심의 접근책을 통해서만 해결할 수 있다. 즉 IT 부서 내 직원들과 내부 부서가 매일같이 의존하는 수십 가지의 클라우드 기반 서비스 전반에 걸쳐 동일한 수준으로 고객 및 기업 제이터를 보호하는 것이다”고 밝혔다.

섀도우 IT로 인한 클라우드 보안 어려움

조사에 따르면 클라우드 서비스의 49%는 IT 부서가 아닌 다른 부서에 의해 도입되었으며, 클라우드 환경 내에 저장된 기업 데이터의 47%는 IT 부서가 관리 혹은 통제하지 않고 있었다. 다만 현재 사용되고 있는 모든 클라우드 컴퓨팅 서비스에 대한 인지 자신감은 향상된 모습을 보였다. 54%의 응답자들은 소속 기업 IT 부서가 현재 사용되고 있는 모든 클라우드 컴퓨팅 애플리케이션, 플랫폼 혹은 인프라 서비스를 파악하고 있다고 대답했는데, 이는 2014년(9%)에 비해 크게 늘어난 수치이다.

전통적 형태의 보안 실무 적용 안 되는 클라우드

2014년에는 60%의 응답자가 클라우드 서비스 이용 시 기밀 혹은 민감한 정보를 보호하는 데 더 어려움을 느낀다고 밝혔는데, 올해의 경우 이 비율이 54%로 감소했다. 반면 최종 사용자 액세스 제어 및 제한이 어렵다는 응답자는 2014년 48%에서 올해 53%로 늘어났다. 응답자들은 보안성 확보를 가로막는 기타 요소로 클라우드 환경 내에서 전통적인 정보 보안 방식 도입 불가(70%), 보안 컴플라이언스를 위한 클라우드 공급자 직접 점검 불가(69%)를 꼽았다.

클라우드에 저장되는 고객 정보 급증, 그만큼 리스크도 늘어나

조사에 따르면 클라우드 상에 저장되는 데이터 종류로는 고객 정보, 이메일, 소비자 데이터, 직원 기록 및 결제 정보인 것으로 나타났다. 이 가운데 소속 기업이 클라우드에 저장하고 있는 정보가 고객 정보라는 응답자는 2014년 53%에서 올해 62%로 가장 큰 증가폭을 보였다. 또한 조사자 가운데 53%는 클라우드 상에서 가장 리스크를 많이 갖고 있는 것 또한 고객 정보라고 답했다.
 
클라우드 서비스 구매 과정에서 기업 보안부서 소외돼

클라우드 애플리케이션이나 플랫폼 선정을 위한 의사결정 과정에 소속 기업의 보안팀이 참여하고 있다는 응답자는 전체의 21%에 불과했다. 또한 64%는 소속 기업이 클라우드 컴퓨팅 애플리케이션 사용에 암호화 등 보안 세이프가드 적용을 의무화하는 정책을 갖고 있지 않았다.

클라우드 암호화, 중요성에 비해 널리 확산되지는 않고 있어

조사자 가운데 72%는 기밀이거나 민감한 데이터에 대한 암호화 혹은 토큰화 능력이 중요하다고 답했다. 또한 86%는 향후 2년 동안 그 중요성이 더욱 증대될 것이라고 밝혔는데 이는 2014년(79%)보다 늘어난 수치이다. 다만 암호화가 갖는 중요성은 갈수록 증가하는 반면, 클라우드 전반에 걸쳐 광범위하게 도입되지는 않고 있다. 일례로 가장 선호되는 클라우드 기반 서비스 중 하나인 SaaS의 경우 소속 기업이 기밀이거나 민감한 데이터에 대한 암호화 혹은 토큰화 작업을 클라우드 기반 애플리케이션 내에서 직접 실시했다고 응답한 사람은 34%에 불과했다.

상당수 기업, 사용자의 클라우드 서비스 액세스 보안 위해 비밀번호에만 의지

응답자의 67%는 클라우드 상에서의 사용자 정보 관리가 온프레미스보다 더 어렵다는 입장을 보였다. 그러나 기업들은 클라우드 보안성을 확대하고 적용도 쉬운 보안 대책들을 도입하지 않고 있었다. 45%의 응답자는 소속 기업이 클라우드 상에서 직원 및 제3자의 애플리케이션, 데이터 액세스 보안을 확보할 수 있는 다중요소 인증을 사용하지 않았다. 이는 곧 상당수 기업들이 여전히 이름과 비밀번호만으로 사용자 정보를 확인하고 있음을 의미한다. 응답자의 58%는 소속 기업이 클라우드 상에서 제3자 사용자들의 회사 정보 및 데이터 액세스를 허용하고 있다고 답했다.

클라우드 내 데이터 보안을 위한 권장사항

클라우드 IT가 몰고 올 새로운 현실을 고려했을 때 기업별 IT 부서들은 앞으로 데이터 거버넌스와 컴플라이언스를 위한 포괄적 형태의 정책을 확립, 클라우드 서비스 소싱 가이드라인을 구축하고 데이터의 클라우드 저장 가능 여부를 판단하는 규정을 마련해야 한다.

IT 부서들은 암호화 등 데이터 보안 대책을 도입해 섀도우 IT를 구현하는 한편 기업 데이터 보호하는 임무를 달성할 수 있다. 특히 암호화의 경우 IT 부서 내부 조직들이 클라우드 기반의 서비스를 필요한 만큼 확보할 수 있기 때문에 중앙화된 형태로 클라우드 내의 데이터 보호가 가능하다.

기업별로 클라우드 내 데이터 저장과 클라우드 기반 서비스 활용이 늘고 있다. 따라서 IT 부서들은 다중요소 인증을 활용해 더욱 강력하게 사용자 액세스를 제어하는 데 역점을 두어야 한다. 특히 클라우드 내 데이터에 대한 제3자와 벤더사 액세스를 허용하는 기업들에게는 더욱 중요한 문제이다.