2015.10.21

기고 | 클라우드 업체를 100% 신뢰해선 안 되는 이유

Rob Enderle | CIO
최근 일어났던 일련의 보안 사고들을 보면, 직원들을 100% 믿는 것조차 어려운 시대가 됐다. <CIO>의 칼럼니스트 롭 엔덜은 외부인인 클라우드 서비스 업체 직원들을 무조건 믿어서는 안된다고 경고하고 있다.


이미지 출처 : Thinkstock

단도직입적으로 말해, 클라우드 서비스 공급업체 직원들을 신뢰해선 안 된다. 마음 같아선 공급업체는 물론 같은 회사의 직원들도 완벽히 신뢰해선 안 된다고 말하고 싶지만 적어도 같은 회사 직원들은 곁에 두고 지켜볼 수는 있다. 얼마 전 구글의 엔지니어들이 자신들의 접근 권한을 이용해 고객들을 스토킹하다 적발된 사례를 봐도 누구나 다 데이터에 접근할 수 있는 상황이 얼마나 위험한 것인지 알 수 있다. 게다가 이들이 잡히고도 한참 뒤에야 그 사실이 알려졌지 않은가? 필자는 그 동안 절도부터 고의적 방해 행위까지 다양한 범죄들을 목격했지만 그 중 어느 사례도 범인을 해고할지언정 그 사건 자체가 외부로 보고되는 일은 없었다.

오늘날 우리는 중국, 러시아 같은 국가들이 열성적으로 데이터 저장고를 염탐하는, 그리고 그런 행위를 하는 사이버 스파이 기관들 조차도 보안이 부실한 시대에 살고 있다. 국가가 있는 곳에는 언제나 범죄자들도 도사리고 있을 것이란 이야기다. 이들에게 있어 가장 수월한 방법은 내부 직원의 계정 정보에 접근 권한을 얻거나 에드워드 스노든이 그랬던 것처럼 직원들 중 누군가에게 정보를 넘기도록 만드는 것이다.

이들에게는 기업 기밀 정보나 고객 정보가 무척 중요하다는 점, 그리고 충분히 정보를 내놓도록 상대방을 강제하거나 속일 만 한 툴이 있다는 점을 고려할 때, 이제는 클라우드 서비스를 재검토 하고 얼마나 안전하게 데이터를 보안하는지에 따라 서비스의 등급을 나누는 것도 진지하게 생각해 봐야 한다.

정부 기관으로부터 데이터 보호하기
공격의 주요 대상 중 하나는 커뮤니케이션 서버들이다. 최근 미국 민주당 대통령 후보인 힐러리 클린턴의 사설 이메일 계정이 보안 부족으로 공격 당했을 가능성이 제기되면서 이 문제는 더욱 분명해졌다. 그렇지만 스노든 사건을 생각해보면 클린턴이 정부 이메일 계정을 썼다 한들 더 안전했을지는 모르겠다. (특히 정부 유출 사건과 비교해보면 클린턴의 사설 이메일 계정을 정부의 솔루션보다 더욱 안전하게 만들 수 있었음에도 그러지 않았다는 것이 아이러니로 다가온다).

통신 서비스 업체들은 민감한 정보를 보유하는데 이것들이 열람 권한이 없는 이들에게 공개될 경우 기업이나 국가를 위태롭게 할 수도 있다. 때문에 외부 공급업체 직원이든, 아니면 내부 IT 직원이든 절대로 전체 커뮤니케이션 데이터에 대한 접근 권한을 주어서는 안 되지만 스노든 사건 때 보았듯 아직까지 이런 경각심을 갖는 사람은 별로 없는 듯하다.

이상적인 경우라면 정책이나 법으로 규제하여 커뮤니케이션 데이터는 생성시에 소스에서부터 암호화 되도록 하고 이를 열람할 권한이 있는 이들에 의해서만 보호될 수 있도록 할 것이다. 특히 클라우드 제공업체 직원의 경우 반드시 데이터가 업체를 떠났다가 돌아오는 시점까지 내내 암호화 하여 안전하게 보호해야 할 것이다.

클라우드 서비스 제공 업체 직원은 실수로든, 고의로든 자신에게 맡겨진 파일을 읽을 수 없어야 한다.




2015.10.21

기고 | 클라우드 업체를 100% 신뢰해선 안 되는 이유

Rob Enderle | CIO
최근 일어났던 일련의 보안 사고들을 보면, 직원들을 100% 믿는 것조차 어려운 시대가 됐다. <CIO>의 칼럼니스트 롭 엔덜은 외부인인 클라우드 서비스 업체 직원들을 무조건 믿어서는 안된다고 경고하고 있다.


이미지 출처 : Thinkstock

단도직입적으로 말해, 클라우드 서비스 공급업체 직원들을 신뢰해선 안 된다. 마음 같아선 공급업체는 물론 같은 회사의 직원들도 완벽히 신뢰해선 안 된다고 말하고 싶지만 적어도 같은 회사 직원들은 곁에 두고 지켜볼 수는 있다. 얼마 전 구글의 엔지니어들이 자신들의 접근 권한을 이용해 고객들을 스토킹하다 적발된 사례를 봐도 누구나 다 데이터에 접근할 수 있는 상황이 얼마나 위험한 것인지 알 수 있다. 게다가 이들이 잡히고도 한참 뒤에야 그 사실이 알려졌지 않은가? 필자는 그 동안 절도부터 고의적 방해 행위까지 다양한 범죄들을 목격했지만 그 중 어느 사례도 범인을 해고할지언정 그 사건 자체가 외부로 보고되는 일은 없었다.

오늘날 우리는 중국, 러시아 같은 국가들이 열성적으로 데이터 저장고를 염탐하는, 그리고 그런 행위를 하는 사이버 스파이 기관들 조차도 보안이 부실한 시대에 살고 있다. 국가가 있는 곳에는 언제나 범죄자들도 도사리고 있을 것이란 이야기다. 이들에게 있어 가장 수월한 방법은 내부 직원의 계정 정보에 접근 권한을 얻거나 에드워드 스노든이 그랬던 것처럼 직원들 중 누군가에게 정보를 넘기도록 만드는 것이다.

이들에게는 기업 기밀 정보나 고객 정보가 무척 중요하다는 점, 그리고 충분히 정보를 내놓도록 상대방을 강제하거나 속일 만 한 툴이 있다는 점을 고려할 때, 이제는 클라우드 서비스를 재검토 하고 얼마나 안전하게 데이터를 보안하는지에 따라 서비스의 등급을 나누는 것도 진지하게 생각해 봐야 한다.

정부 기관으로부터 데이터 보호하기
공격의 주요 대상 중 하나는 커뮤니케이션 서버들이다. 최근 미국 민주당 대통령 후보인 힐러리 클린턴의 사설 이메일 계정이 보안 부족으로 공격 당했을 가능성이 제기되면서 이 문제는 더욱 분명해졌다. 그렇지만 스노든 사건을 생각해보면 클린턴이 정부 이메일 계정을 썼다 한들 더 안전했을지는 모르겠다. (특히 정부 유출 사건과 비교해보면 클린턴의 사설 이메일 계정을 정부의 솔루션보다 더욱 안전하게 만들 수 있었음에도 그러지 않았다는 것이 아이러니로 다가온다).

통신 서비스 업체들은 민감한 정보를 보유하는데 이것들이 열람 권한이 없는 이들에게 공개될 경우 기업이나 국가를 위태롭게 할 수도 있다. 때문에 외부 공급업체 직원이든, 아니면 내부 IT 직원이든 절대로 전체 커뮤니케이션 데이터에 대한 접근 권한을 주어서는 안 되지만 스노든 사건 때 보았듯 아직까지 이런 경각심을 갖는 사람은 별로 없는 듯하다.

이상적인 경우라면 정책이나 법으로 규제하여 커뮤니케이션 데이터는 생성시에 소스에서부터 암호화 되도록 하고 이를 열람할 권한이 있는 이들에 의해서만 보호될 수 있도록 할 것이다. 특히 클라우드 제공업체 직원의 경우 반드시 데이터가 업체를 떠났다가 돌아오는 시점까지 내내 암호화 하여 안전하게 보호해야 할 것이다.

클라우드 서비스 제공 업체 직원은 실수로든, 고의로든 자신에게 맡겨진 파일을 읽을 수 없어야 한다.


X