코로나19로 인해 기업들의 디지털 전환과 클라우드 전환이 폭발적으로 증가했습니다. 이와 함께 SaaS 서비스의 활용도 크게 증가했는데요. SaaS(Software as a Service)는 다양한 소프트웨어를 구독 형태로 제공하는 클라우드 비즈니스 모델입니다. SaaS 서비스를 이용하면 인사, 구매, 생산관리 등 기업의 주요 업무를 디바이스나 시공간의 제약 없이 처리할 수 있습니다.
하지만 SaaS의 편리함 이면에 새로운 보안 위협도 증가하고 있는데요. 외부 클라우드에 주요 정보를 저장하다 보니 정보 유출에 대한 우려가 발생하고, 재택근무 환경에서 직원들이 SaaS 서비스를 직접 연결해 사용하면서 유해 사이트를 통한 악성 소프트웨어 유입 사례가 증가했습니다. SaaS를 도입한 기업의 보안 담당자들은 솔루션 사가 제공하는 보안 기능의 생소함과 제약사항, 낮은 보안 가시성으로 어려움을 겪고 있습니다.
보안업계도 SaaS 영역의 보안 취약점을 해결하기 위해 노력 중이며, 최근 체계적이고 근본적인 SaaS 보안 대응 솔루션으로 CASB(Cloud Access Service Broker)가 부각되고 있습니다. CASB는 2012년 가트너가 정의한 기술로, 클라우드 및 애플리케이션에 대한 가시화와 데이터 보호, 보안 이벤트 감지 등 클라우드 보안을 강화하기 위해 사용되는 솔루션입니다.
CASB의 구성 방식
CASB 보안 구성에는 기업망 내부에서 SaaS 앱에 대한 모니터링과 차단을 담당하는 ‘Inline/Proxy 방식’과 SaaS 앱과 API(Application Programming Interface, 다른 시스템의 기능, 데이터에 접근 가능한 서비스를 제공하는 것) 연동을 통해 가시성을 확보하는 ‘API 구성 방식’이 있습니다. 대부분의 CASB 벤더들은 기업의 보안 요건을 충족하기 위해 Inline/Proxy, API 방식을 모두 제공하고 있습니다.
• Inline/Proxy 방식
Inline/Proxy 방식은 기업 내부에서 외부의 인가/비인가 SaaS 앱을 모두 모니터링하고, 필요시 차단까지 하는 강력한 통제 기능을 제공합니다. 이 방식은 접근 통제 및 데이터 유출 방지에 효과적이고 실시간으로 기능을 활용할 수 있다는 장점이 있습니다.
• API 방식
API 방식은 애플리케이션과 API 연동을 통해 인터넷 연결 및 협업 사용자(파트너)에게 다양한 보안 모니터링과 통제 기능을 제공합니다. API 방식은 애플리케이션과 연동되기 때문에 클라우드 내에서 진행되는 사용자의 행위, 데이터 기록에 대해서 가시성을 확보할 수 있다는 장점이 있습니다. 특히 다양한 API 연동 기능을 제공하는 SaaS 앱과 정책 및 통제 수단을 유연하게 제공하며, 구성 당시 장애의 위험 또한 낮출 수 있습니다. 다만 API 방식은 실시간으로 제공되기에는 무리가 있어, 구성에 따라 10여 분의 차이가 발생할 수 있습니다. 따라서 SaaS 앱의 고객사 별 보안 요건이나 커버리지를 판단해 Inline/Proxy 방식과 API 연동 방식 중 선택하거나 혼합한 구성을 권장합니다.
CASB의 주요 기능
CASB는 밴더에 따라 일부 차이가 있을 수 있으나 일반적으로 아래 표 상의 기능을 제공합니다.
CASB를 활용한 SaaS 서비스 보안 사례
사례를 통해 CASB를 활용한 구체적인 대응 방안에 대해 설명을 드리겠습니다.
Microsoft 365(이하 M365)는 마이크로소프트에서 제공하는 클라우드 기반의 통합 업무 SaaS 서비스입니다. M365를 사용하면 업무 메일, 첨부파일, 협업 도구를 통해 자료를 손쉽게 전달하고 공유할 수 있습니다. 하지만 이에 따라 의도치 않은 정보 유출이나 보안 사고가 발생할 확률도 높아지는데요. CASB 도입 이전에는 가시성 문제로 보안상의 취약점이나 규정 위반 사례 자체를 인지하지 못하는 경우가 발생했습니다. 하지만 CASB의 도입과 함께 높은 가시성과 다양한 통제 정책으로 SaaS에 특화된 보안 정책 수립과 기업 정보 자산, 개인정보 등에 대한 보호를 강화할 수 있게 됐습니다.
CASB가 제공하는 탐지 기능 및 공유 차단 기능을 활용하면 국내외 개인정보보호 관련 법/규정에 보다 더 용이하게 대응할 수 있습니다. 아래 [그림 3]과 같이 접수나 신청을 많이 하는 대리점 유형의 사업의 경우 CASB를 통해 다양한 전자 문서 내의 개인정보는 물론, 사진이나 이미지 상의 개인정보 등도 OCR(Optical Character Recognition, 이미지 내의 글자를 자동으로 인식하는 기술)로 탐지해 불필요한 유출을 차단하고 데이터 자산을 보호합니다.
보안 구축, 끝이 아닌 새로운 시작
보안 솔루션/서비스의 도입은 항상 끝이 아닌 새로운 시작을 의미합니다. 특히 클라우드 환경에서는 클라우드 운영 조직과 보안팀 간의 상호 협력과 지원이 무엇보다 중요한데요. 보안 솔루션/서비스 도입 후에도 발생할 수 있는 사고에 대해 지속적으로 시뮬레이션하고 훈련해야 합니다. LG CNS는 클라우드 전환을 고민하는 고객들에게 최적의 클라우드 서비스와 기술, 보안솔루션을 제공해 고객의 성공을 지원하고 있습니다.
글 l LG CNS 사이버보안서비스팀
