[CIOCISO매거진 편집국] 코로나로 인해 많은 기업이 필요에 따라 더 많은 클라우드 기반 애플리케이션으로 이동했다. 멘로 (Menlo Security)가 200 명의 IT 관리자를 대상으로 실시한 설문조사 응답자의 40%는 이러한 추세로 인해 클라우드 애플리케이션 및 사물 인터넷 (IoT) 공격이 증가했다고 답했다. 이러한 클라우드 기반 어플리케이션은 언택트라는 장점도 있지만 다른 단점들도 있기 때문에 많은 기업들이 고민하고 있는 사항들 중 하나이다.

클라우드의 많은 단점들은 기술자들이 새로이 직면한 문제는 아니다. 예를 들어 가트너(Gartner) 2019 회의에서 두 명의 IT 관리자가 레거시 장비를 업그레이드해야하기 때문에 Office 365 배포가 중단되었다고 말한적이 있다. 이제는 우리가 가정용 컴퓨터를 사용하고 공유하는 방식이 바뀌 었다. 이제 우리의 PC는 더 이상 개인적인 것이 아니라고 할수 있는 것이다. 동일한 컴퓨터가 자녀의 가상 학교(E학습터)와 배우자의 응용 프로그램을 지원할 수도 있다. 이번 여름 사이버아크(CyberArk)의 설문 조사에 따르면 응답자의 절반 이상이 회사 PC 브라우저에 암호를 저장하는 것으로 나타났다. 그것은 확실히 어떤 보안적으로 불안정하다고 볼 수 있다. 이를 방지하기 위해, 다음은 보안에 부정적인 영향을 미치는 7가지 실수를 방지하는 방법에 대한 몇 가지 팁이다.

1. 원격 액세스를 위한 VPN 사용하는 실수

모든 원격 작업자에게 VPN은 원격 액세스에 대한 최선의 대답이 아닐 수도 있다. 파이어 아이(FireEye) 해킹으로 2020년 12월에 무슨 일이 있었는지 살펴보자. 해킹 된 VPN 계정은 해커에게 정보를 훔칠수 있는 최적의 진입로였다. 하지만 과거에는 VPN이 원격 작업자를 보호하는 방법이었다. VPN을 제로 트러스트 네트워크(Zero Trust Network)로 대체하는 것이 훨씬 낫다. 하지만 2020년 한국에서는 보안, 안정성 그리고 속도를 골고루 갖춘 검증된 VPN이 있다. 특히, NORD VPN은 가격, 보안, 성능 모두 갖춘 2020년 대한민국 베스트 VPN이었다. 

2. 잘못된 클라우드 포트폴리오 설정하는 실수

잘못된 클라우드 포트폴리오 설정은 몇 가지 요인을 살펴 보는 것을 의미한다. 스스로에게 질문해보자. '나는 기업의 중요한 데이터를 개인 컴퓨터 공간과 분리하기 위해 사설 클라우드가 필요한가?', '나는 윈도우 및 리눅스의 특정 구성에 의존하는 특정 앱을 실행하는 데 사용할 수있는 올바른 OS 하위 버전이 있는가?', '마이그레이션하지 않는 온 프레미스 앱 및 장비와 함께 실행할 올바른 종류의 커넥터 및 인증 보호 기능이 있는가?' 만약 레거시 메인 프레임 앱이있다면 먼저 프라이빗 클라우드에서 실행 한 다음, 기존 메인 프레임 설정에 가장 가까운 올바른 환경을 찾을 수 있다.

3. 클라우드에 적합하지 않은 보안태세 갖는 실수

일반적인 클라우드 보안 실수는 보안되지 않은 스토리지 컨테이너, 잘못 설정된 액세스 권한 및 인증 매개 변수, 등 많은 개방 포트가 포함된다. 온 프레미스에 있든 다른 나라에서 연결하든 일관된 보안 태세를 유지할 것이다. 또한 단일 앱을 클라우드로 마이그레이션하기 전에 처음부터 보안을 강화해야 한다. 세계적인 메디컬 서비스 기업인 존슨앤 존슨(Johnson & Johnson)은 몇 년 전에 대부분의 워크로드를 클라우드로 마이그레이션하고 보안 모델을 중앙 집중했고, 이때 넷플릭스(Netflix)는 여러 아마존 웹 서비스(Amazon Web Services, AWS) 계정을 단일 브라우저 세션으로 관리 할 수 있는 콘솔 미(ConsoleMe)를 호출하여, 존슨앤 존슨과 클라우드 부문에서 협력하였다.

4. 재해 복구 계획을 테스트하지 않는 실수

스스로에게 물어보자, 재해 복구(DR) 계획을 마지막으로 테스트 한 것이 언제인가? 아마도 정말 오래 전이거나, 실행한적도 없을 것 이다. 특히 재택 근무자를 지원하는 일상적인 문제를 해결하는 데 바빴다면 더욱 그럴 것이다. 앱이 클라우드에 있다고해서 특정 웹 및 데이터베이스 서버와 기타 인프라 요소에 의존하지 않는다는 의미는 아니다. 좋은 DR 계획의 일부는 이러한 종속성을 문서화하고 가장 중요한 워크 플로를 설명하는 플레이 북을 갖는 것이다.

5. 클라우드가 많은 포트폴리오에 대한 인증을 최적화하지 않는 실수

온 프레미스 시대에 구매 한 ID 및 액세스 관리, SIEM (Security Information and Event Management), CASB(Cloud Access Security Broker) 또는 단일 사인 온(SSO) 도구가 있을 수 있으며 현재 대부분 클라우드 및 대부분 원격 액세스 환경에 대한 인증 요구 사항에 가장 적합하지 않다. 이러한 도구를 자세히 살펴보고 그에 따라 시스템을 보호 할 클라우드 환경과 전체 애플리케이션 포트폴리오를 포함 할 수 있는지 확인해야 한다. 예를 들어 CASB는 클라우드 앱 액세스를 관리하는 데 탁월하지만 특정 사내 사용자 지정 앱과 함께 작동하거나 위험 기반 인증으로 작동하거나 더 정교하고 혼합 된 위협으로부터 보호 할 수 있는 것이 필요할 수 있다.

6. 오래된 액티브 디렉토리(Active Directory) 놔두는 실수

가트너(Gartner)의 데이비드(David Mahdi)와 스티브(Steve Riley)는 프레젠테이션에서 "이제 신원은 새로운 경계가되었고 데이터는 모든 곳에서 흐르고 있습니다." 라고 언급했다. 또한 "이에 맞는 적절한 이유를 위해서라도 적시에 적절한 리소스에 대한 적절한 액세스 권한을 적임자에게 제공해야합니다."라고 언급했다. 그는 또한 "확실히해야 할 일이 많습니다." 라고 언급했다. 즉, AD (Active Directory)는 현재 및 승인 된 사용자 목록과 현재 및 승인 된 앱 및 서버 모두에서 현실을 반영하지 않을 수 있다. 그렇다면, 이제 가지치기 가위를 꺼낼 시간이다. 가장 정확한 정보를 마이그레이션하는 경우 클라우드로의 마이그레이션이 더 원활하게 진행된다는 사실은 모두가 아는 사실이다.

7. 도움을 요청하지 않는 실수

많은 관리형 보안 서비스 제공 업체 (MSSP)는 이러한 종류의 마이그레이션을 전문으로하며 지원을 요청하는 것을 주저해서는 안된다. 너무 바빠서 마이그레이션에 전적으로 주의를 기울이고 의도하지 않게 중요한 측면을 삭제하지 못할 수 있다. 또는 모든 것을 클라우드로 이동하기 위해 서두르면서 몇 개의 백도어를 열어 두거나 취약성을 도입했다.