글로벌 사이버 보안 BI 기업 CRA(Cybersecurity Buyer Intelligence)가 지난 9월에 200명의 보안 및 IT 리더와 임원, 실무자, 관리자 및 컴플라이언스 전문가를 대상으로 실시한 설문 조사를 바탕으로 한 연구 보고서를 발표했다.

보고서에 따르면 조직은 다층 방어에 초점을 맞추고 2024년에는 보다 고급 클라우드 보안 툴을 통합할 계획을 세우기 때문에 클라우드 보안 노력에 대해 그 어느 때보다 자신감을 가지고 있다. 하지만 이러한 계획을 실행하는 것은 여전히 어려울 것으로 보인다.

응답자들은 위협을 극복하고 모든 행동이 대응인 소방관 모드에서 벗어나고자 하는 강한 열망을 가지고 있다. 클라우드 환경을 강력하게 보호하고 기존 배포 환경에 기반을 둘 수 있는 보호 기능을 개발하고자 하는 것처럼 보이지만 신중하게 대처해야 한다.

한 응답자는 “우리 조직의 보안 요구 사항에 맞는 올바른 클라우드 서비스 공급자를 선택하는 것이 어려울 수 있다.”라며, “공급업체마다 보안 기능, 인증, 성능 수준이 다르다. 또한 클라우드 보안 조치를 기존 온프레미스 보안 인프라와 통합하는 것은 번거로울 수 있으며 신중한 계획이 필요하다.”고 말했다.

보고서의 주요 내용은 다음과 같다.

성과를 거두고 있는 심층 방어 접근 방식

응답자의 56%는 클라우드 보안에 대해 보통에서 높은 수준의 신뢰를 나타냈다. IAM 및 PAM을 통한 액세스 제어 강화(77%)에서부터 클라우드 벤더가 제공하는 기본 보안 서비스(66%), 모니터링(60%) 및 암호화(56%)에 이르기까지 클라우드 보안 애플리케이션의 다양성이 더 커졌다는 것은 우연의 일치가 아닐 수도 있다. 한 응답자는 "네트워크 및 물리적 인프라 계층과 더불어 데이터 계층의 보호에도 중점을 두고 있다. 다계층 방어 전략으로 전환하고 있다"고 말했다

클라우드로의 전환

일부 응답자는 워크로드의 전부는 아니더라도 대부분을 클라우드로 마이그레이션했다. 다른 사람들은 대부분의 자산을 온프레미스에 유지하는 것을 선호하기도 했다. 53%는 1~2개의 클라우드 제공업체와 협력하고 있지만 48%는 최소 3개 이상의 클라우드 제공업체와 협력하고 있다. 이는 해당 비즈니스의 요구, 클라우드 보안에 대한 예산 및 업계의 요구에 따라 달라진다.

기술 격차와 교육 부족으로 클라우드 이니셔티브 약화

응답자 4명 중 1명은 자신의 조직이 클라우드 보안을 효과적으로 구현하기 위한 충분한 전문 지식과 교육이 부족하여 어려움을 겪고 있다고 말했다. 이러한 어려움은 클라우드 운영에 대한 전담 감독 및 가시성이 없다는 것을 의미한다. 한 응답자는 “클라우드 보안의 모든 과제 중에서 우리 조직이 현재 해결하기 가장 어려운 과제는 끊임없이 변화하는 위협 복잡성과 해결 방법을 적절히 따라잡기 위한 현재 리소스 풀의 고급 기술 격차이다.”라고 말했다.

클라우드 가시성 문제

응답자들은 클라우드 가시성에 문제가 있다고 했다. 클라우드 솔루션 비용 및 기술 부족과 같은 고려 사항 외에도 많은 응답자들은 대부분의 문제점을 클라우드 자산에 대한 제한된 가시성을 꼽았다.

API 보안 허점("우리가 검사하지 않는 진입 방법이 항상 있음")과 잘못된 구성("보안 문제를 해결하기 위해 빌드를 찾아 중지")부터 액세스 관리("신규 채용 및 해고된 직원”) 및 도구 배포(“보고 관찰하려면 하나의 창구가 필요하다”), 모든 것은 클라우드에서 무슨 일이 일어나고 있는지 확인할 수 있는지에 달려 있다고 했다.