디지털 전환과 함께 기업의 클라우드 도입 속도는 그 어느 때보다 빨라지고 있다. 글로벌 시장조사기관에 따르면 2025년 클라우드 인프라 활용 비중은 전체 IT 인프라의 절반을 넘어섰으며, 이에 따라 보안 위협 역시 기하급수적으로 증가하고 있다.

특히 클라우드 ‘설정 오류(misconfiguration)’는 단순한 기술적 실수가 아닌 데이터 유출과 침해 사고의 주요 원인으로 지목되며, 기업들이 가장 우려하는 보안 리스크로 떠올랐다. 기존의 방어적 보안 체계만으로는 해결하기 어려운 새로운 과제가 등장한 것이다.

클라우드 보안 전문 기업 클라우드디펜스.AI(CloudDefense.AI)의 CEO인 안슈 반살(Anshu Bansal)는 왜 구성 오류가 여전히 클라우드 침해의 주요 원인으로 남아 있는지, 그리고 이를 극복하기 위한 새로운 접근 방식을  제시했다. 클라우드 보안의 현실을 직시하고 미래 전략을 모색하는 방안을 들어봤다.

설정 오류는 단순 실수가 아닌 구조적 관리 문제

설정 오류는 개발자와 보안 팀 간의 협업 부재, 자동화 부족, 가시성 결여라는 3중의 구조적 문제에서 기인한다. 특히, 자주 발생하는 퍼블릭으로 노출된 저장소 버킷, 과도하게 넓은 접근 권한 등은 기술적 오류라기보다 관리상의 허점이다.

기존의 보안 도구들은 수많은 경고를 발생시키지만 상황에 대한 맥락을 제공하지 못해 보안팀의 판단을 흐리게 한다는 점도 문제로 지적됐다. 결과적으로 중요한 보안 위협이 우선순위에서 밀려나거나, 실시간 대응이 어려운 상황이 빈번하게 발생하고 있다.

사후 대응에서 사전 예방으로...클라우드 보안 전략 전환 필요

안슈 반살은 클라우드 보안을 근본적으로 강화하기 위해서는 “사후 대응 중심의 보안 전략에서, 개발 초기 단계에서의 사전 예방 전략”으로 전환해야 한다고 전했다.

그는 특히 ▲최소 권한 원칙(Least Privilege Access)의 철저한 적용 ▲CI/CD 파이프라인 상에서의 자동화된 보안 정책 점검 ▲실시간 환경 모니터링을 통한 변화 탐지 및 대응 ▲설정 변경에 대한 지속적 검증 및 정책 위반 자동 차단 드의 조치가 필요하다고 언급했다.

또한 이 조치들은 단순한 기술 도입이 아닌, 보안 문화의 변화와 지속적인 프로세스 통합이 함께 이뤄져야 효과를 발휘한다고 덧붙였다.

복잡한 보안 환경 속, 맥락 인식형 도구가 중요

클라우드 인프라는 동적이고 다계층적인 환경이다. 이로 인해 수많은 구성요소 간의 상호작용에서 발생하는 보안 설정 문제는 인간의 눈으로 식별하기 어려운 경우가 많다. 이에 그는 이러한 점을 보완하기 위한 해법으로 ‘맥락 인식형(context-aware)’ 보안 도구를 제안했다.

이것은 단순한 경고가 아닌, 경고가 발생한 이유, 공격자가 악용 가능한 시나리오, 현재 환경의 노출 상태 등을 종합적으로 제공해 우선순위 높은 위협에 집중할 수 있게 만든다.

안슈 반살 CEO는 “무작위 경고를 쏟아내는 보안 시스템은 결국 개발자와 보안팀 모두를 무력하게 만든다.”라며, “지능적인 자동화와 명확한 보안 프로세스만이 설정 오류를 줄이고 자산을 보호하는 길”이라고 밝혔다.