클라우드 보안, ISO/IEC 27018과 실제 침해사고에서 배우는 통제 설계

한국에서 클라우드 도입을 가로막는 가장 큰 요인은 여전히 '보안'이다. 데이터 주권 요구와 미성숙한 내부 통제가 겹치면서, 클라우드 보안은 기술 문제를 넘어 규제 준수와 신뢰 확보의 문제로 커졌다.

공유 책임 모델과 표준 기반 통제

클라우드 보안은 클라우드 환경에서 데이터·아이덴티티·워크로드·네트워크·운영 프로세스를 보호하는 기술·절차·통제의 총합이다. 핵심은 공유 책임 모델이다. CSP(Cloud Service Provider)는 클라우드의 보안을, 고객은 클라우드 상의 보안을 담당하는 분업 구조이며, 서비스 모델(IaaS/PaaS/SaaS)에 따라 고객의 책임 범위가 달라진다.

이 분업을 표준으로 구체화한 것이 ISO/IEC 27018이다. 퍼블릭 클라우드에서 개인정보(PII)를 안전하게 처리하기 위한 국제 표준으로, ISO/IEC 27001·27002와 연계되는 개인정보 보호 통제 프레임워크다.

ISO/IEC 27018이 요구하는 11개 통제 항목

동의와 선택: 명시적 동의 확보, 옵트인/옵트아웃 절차 운영
합법성 및 사용 목적: 수집 목적 명확화, 목적 외 사용 금지
수집 제한: 최소 범위 수집, 민감정보 구분 수집 통제
데이터 최소화: 보존 기간 제한, 불필요 데이터 파기 자동화
사용·공개 제한: 제3자 제공 통제, 계약 기반 하위처리자 관리
정확성과 품질: 정합성 검증, 데이터 정제 및 주기적 검토
개방성·투명성: 개인정보 처리 공지, 처리위탁·지역·접속 이력 공개
개인 참여·접근: 데이터 열람·정정·삭제 요청 절차 제공
책임: 역할·책임 명확화, 감사 추적과 보고 메커니즘 운영
정보보호: 암호화·접근통제·모니터링·침해대응 통합 적용
보호 규정: 내부 규정 제정, 교육·점검·개선의 PDCA 운영

실무에서 이 통제가 어떻게 구현되는가

공유 책임 모델을 실제로 운영하려면 서비스 모델별 책임 매트릭스를 RACI 기반으로 문서화하고, 보안 기준선(Baseline)과 예외 승인 프로세스를 세워야 한다.

데이터 보호는 전송·저장·사용(동형암호·TEE) 단계별로 암호화를 적용하고 KMS/HSM, BYOK/HYOK로 키를 관리하는 것에서 시작한다. 데이터 분류·라벨링·마스킹·토큰화를 일관되게 적용하는 것도 여기에 포함된다.

아이덴티티·접근관리는 제로 트러스트 기반의 MFA와 최소권한, JIT(Just-In-Time)/시간제 권한 부여로 구현한다. 워크로드 아이덴티티·비밀관리·세션 기록·권한 드리프트 탐지도 함께 다뤄야 할 영역이다.

네트워크·워크로드 보안은 마이크로세그멘테이션, L7 WAF/봇 방어, DDoS 완화가 기본이며, 이미지 서명·무결성 검증과 런타임 보호·취약점 관리로 이어진다.

마지막으로 가시성·감사·대응 영역에서는 CSPM/CNAPP로 구성·규정 준수 상태를 점검하고 SIEM/SOAR와 연계하며, 침해사고 대응(IR)·포렌식·백업/DR 시나리오를 정기적으로 훈련한다.

한국 클라우드 도입을 막는 요인과 대응

한국에서 클라우드 도입을 저해하는 주요 요인은 보안 리스크 인식, 데이터 주권·국내 저장 요구, 미성숙한 내부 통제다. 대응책은 ISO/IEC 27018·27001 기반 거버넌스, 지역·가용영역 설계, BYOK/HYOK, 제3자 감리·감사, 데이터 분류와 접근통제 표준화로 좁혀진다.

실제 침해사고에서 배우는 교훈

표준과 프레임워크만으로는 부족하다. 실제 사고가 어떤 통제 공백에서 발생했는지 보는 것이 더 직접적이다.

2010년 MS 환경설정 오류: 접근정책이 잘못 배포되며 발생. 이후 IaC 기반 정책 검증·변경관리가 강화됐다.
2011년 AWS 가상서버를 악용한 PSN 공격: 계정 익명성 남용이 원인. 계정 평판·이상행위 탐지와 네트워크 egress 제어로 대응이 이동했다.
2010년 Google 세션 납치: 통신 구간 보호 미흡이 원인. 전면 HTTPS/TLS1.2+, 쿠키 보안 속성, MTLS로 이어졌다.
2012년 Dropbox 직원계정 해킹: 자격증명 탈취가 발단. FIDO2 MFA, 비밀 금고형 저장, 직원 특권 최소화로 대응했다.
2012년 Salesforce 스토리지 장애: 단일 의존성이 원인. 멀티AZ/리전 DR과 백업 무결성·복구 훈련으로 보완했다.

기술적 위협과 대응

전통형 위협(도청·위변조, 인증·권한 탈취, DDoS, 설계 오류)에는 TLS1.2+/MTLS, 서명·무결성 검증, WAF/DDoS 방어, 중복 모니터링과 SLO, 안전한 설계·위협모델링으로 대응한다.

가상화 특유의 위협(하이퍼바이저 감염, VM 간 내부 공격, 익명성 남용)에는 vTPM·측정부팅·원격 신뢰 검증(Attestation), 마이크로세그먼트·동적 보안그룹, 전송/저장 암호화, 워크로드 아이덴티티와 해시 기반 무결성 검사, VM 간 강제 격리 정책이 필요하다.

기술 외적 위협(관리자 역량·내부자 리스크·국가별 법체계·물리 인프라·자연재해)에는 채용 선별·보안 교육·행동기반 모니터링, 데이터 지역·전이 통제, ISO/IEC 27018/27001·SOC2 같은 표준 인증 획득, BCP/DR 정기 리허설, 공급망 보안·계약 통제로 대응한다.

실무 적용 사례

보안 기준선(Baseline)·가드레일: IaC 정책(OPA, Policy-as-Code)으로 네트워크·암호화·태그·백업을 강제한다.
CSPM/CNAPP 도입: 지속적 컴플라이언스 점검, 취약점·권한·노출 자산의 상시 탐지와 자동 시정을 수행한다.
키·비밀 관리 표준화: KMS/HSM 중심 키 수명주기, 비밀회전 자동화, 감사 추적 일원화를 적용한다.
IR/DR 플레이북: 테넌트·리전별 대응 절차를 세우고, 격리·조사·복구 단계별 RACI와 RTO/RPO를 정량화한다.

요청 처리 파이프라인과 오류 대응

⤢✕

보안 통제별 트레이드오프

보안 통제	성능	확장성	일관성	안정성	운영 편의
저장·전송 암호화(KMS/HSM)	중	높음	높음	높음	중
마이크로세그멘테이션	중	중	높음	높음	중하
WAF/DDoS 보호	중	높음	중	높음	높음
CSPM/CNAPP(가시성)	중하	높음	높음	중	높음
백업/DR(멀티리전)	중	중	높음	매우 높음	중

통제 자동화가 만드는 차이

노출 자산·취약점·오구성을 자동으로 시정하면 보안 사고 확률을 30~~60% 낮출 수 있다. 감사 준비와 증적 수집을 자동화하면 규제 준수 준비 시간이 40% 내외 단축된다. DR 훈련과 자동 복구를 결합하면 MTTR을 20~~50% 단축하고 RPO/RTO 목표를 안정화할 수 있으며, 정책·키·비밀을 중앙화하면 운영 인건비를 15~30% 절감할 수 있다.

ISO/IEC 27018 기반 거버넌스와 공유 책임 모델, 데이터·아이덴티티·네트워크·운영 전반을 아우르는 통합 보안 체계는 결국 이 숫자들로 증명된다.