클라우드에서 왜 데이터센터 보안이 중요한가?

데이터센터 보안 설명에 앞서

데이터센터의 개념 및 중요성

데이터센터 보안을 다루기 전, 데이터센터의 개념을 이해할 필요가 있습니다. 데이터센터란 서버 컴퓨터와 네트워크 회선 등을 제공하는 건물이나 시설을 말합니다. 그 안의 수만 대의 서버 컴퓨터에는 검색, 쇼핑, 게임을 위한 방대한 정보들이 저장되어 있습니다. 데이터센터는 안정적인 운영을 위해 이러한 정보들을 모아 관리하는 시설입니다.

데이터센터의 보안 영역

첫째, 데이터센터 보안 거버넌스

'거버넌스'라는 용어는 "공동의 관심사에 대한 네트워크를 구축하여 문제를 해결하는 국정 운영의 방식"의 정의로 다소 광범위하고 모호합니다. 그러나 데이터센터 보안에서의 '거버넌스'는 물리 보안, 규정, 기준, 교육, 승인 프로세스 등과 같이 정책적인 부분에 대한 관리로 설명할 수 있습니다. 즉, 보안 규정 기준인 정책을 수립하고 관리체계와 프로세스를 정립함으로써 데이터센터의 기반을 견고하게 구축하는 일이라 할 수 있습니다.

보안 정책에서는 조직의 보안 목표, 정책의 적용 범위, 자산 분류, 자산 관리 등을 세부적으로 기술하지만 그 방법을 상세하게 기술하지는 않습니다. 예를 들어, 정책에서 '기밀문서나 중요 데이터의 전송은 암호화하는 것을 의무화 한다'는 내용은 담고 있지만, 어떤 암호화 프로토콜을 사용 하는지에 대한 언급은 하지 않는 식입니다. 세부적인 것은 정책이 아닌 가이드 등의 별도 자료에서 따로 규정합니다. 또한, 각 인증기관 별로 심사를 통해 그 기준을 충족하는지 인증을 받는데, 이 심사 기준에는 보안 항목이 필수로 포함됩니다. 데이터센터의 안전한 서비스 및 시설 운영을 위해서 보안이 필수라는 사실의 반증이라 할 수 있습니다.

국내외 인증심사 종류

※ 삼성SDS의 데이터센터는 위의 7개 인증을 획득하여 매년, 사후 심사 및 갱신을 진행하고 있습니다.

둘째, 인프라 보안

데이터센터는 아키텍처를 이루는 서버 컴퓨터 및 네트워크에 대한 안전성을 확보해야 합니다. 특히 최근에는 Compute, Storage, Network 등의 인프라 자원들을 서비스로 제공하는 클라우드 환경이 늘어나면서, 이에 따른 보안 대응이 필수가 되었습니다.
그 중, 전문가들이 추천하는 가장 강력한 인프라 안전 유지 방법인 '망분리'에 대해 살펴보겠습니다. 망분리는 인터넷을 사용하는네트워크와 인터넷이 불가한 업무용 네트워크로 망을 분리하는 정책이자 인프라 구성 기술입니다. 해커가 인터넷을 통해 사용자 PC에 침입하더라도 주요 정보가 담긴 시스템에는 접근하지 못하도록 망을 물리적, 혹은 논리적으로 분리하는 방법입니다. 기본적인 개념은 간단하지만 실제로 이를 구현하기 위해서는 보안 부서와 유관 부서의 협업이 필요하기 때문에 매우 복잡한 특성을 가지고 있습니다. 그러나 제대로 적용된다면 그 효과는 기대 이상입니다.

셋째, 애플리케이션 보안

일반적인 웹 사이트와 모바일 앱은 애플리케이션으로 구성되어 불특정 다수가 이용하며 악성코드에 쉽고 빠르게 노출될 수 있습니다. 지금 이 순간에도 애플리케이션의 취약점을 이용한 공격은 빈번하게 발생하고 있습니다. 때문에 애플리케이션의 보안은 이러한 악성 코드의 확산 방지와 권한 우회 방지 기능을 개발, 테스트 하는 과정에 있다고 할 수 있습니다. 또한, 애플리케이션의 보안 유형에는 인증, 권한 제한, 암호화가 포함되는데 개발자는 이러한 요소들을 고려해 개발을 진행해야 하고, 애플리케이션이 완성된 후에는 소스 보안 검증 및 모의 해킹을 통해 안전을 확인하는 과정이 필요합니다.

설명을 마치며: 데이터센터 보안의 중요 3요소, 3P(People, Process, Product)

보안 기술의 발전은 역설적으로 새로운 유형의 공격 기법이 발생했음을 의미합니다. 즉, 보안의 신규 기술은 공격에 대한 반격에서 비롯된 기술이라고 말할 수 있습니다. 때문에 늘 해킹 위협에 노출되어 있는 데이터센터는 People, Process, Product를 의미하는 3P가 매우 중요한 요소입니다.

People

데이터센터 안전의 핵심은 인력입니다. 여기서 인력이란 보안 관리자뿐 아니라 서버 및 네트워크 등의 인프라 운영자를 포함합니다. 업무 수행을 위한 보안 인력들은 보안의 중요성을 공감하고 기술적인 연결 지점에 관한 소통이 필수적입니다. 보안을 유지하는 것은 기술만으로는 한계가 분명한 영역이기 때문입니다. 시간과 비용을 들여 인력을 양성하고, 임직원들의 마인드 교육이 필요한 이유가 여기에 있습니다. 의사 결정권자의 지속적인 관심 역시 매우 중요한 영역이라 할 수 있습니다.

Process

점점 지능화되고 있는 보안 위협을 기술과 솔루션으로만 방어할 수 없는 환경이 되었습니다. 해커는 한발 앞선 공격 기술로 보안팀이 미처 생각하지 못한 틈을 찾아내 파고듭니다. 이럴 때 Process 강화가 필요합니다. 기술만으로는 막을 수 없는 틈을 조기 탐지하거나 사전 방어를 할 수 있기 때문입니다.

Product

안전한 제품을 만들기 위해서 보안은 개발 과정의 처음부터 끝까지 간과해서는 안 될 매우 중요한 요소입니다. 소프트웨어 테스팅과 마찬가지로 개발 수명 주기 초기부터 고려되어야 하며, 제품의 신뢰성을 위해 개발 과정에서 발견되는 코드의 보안 결함은 반드시 조치되어야 합니다.

이를 위해 삼성SDS는 사람(People)을 교육시키고, 절차(Process)를 규정하며, 제품(Product)을 검증하여 보안을 강화하고 있습니다. 기업들의 중요 정보가 집약된 데이터센터는 늘 예측할 수 없는 위협에서 자유롭지 않기에, 안전한 데이터센터를 위해서 언제나 예의 주시하며 철저한 준비와 방어가 필요합니다.