[SaaS 보안 01] 클라우드 시대, 보안을 묻다
1990년대 초반부터 네댓 번 벤처·스타트업에 몸을 담았다. 1990년대에 개발팀을 맡거나 CTO/CIO가 되면 경영정보시스템(MIS)과 고객용 서비스를 운영하는 서버 공간과 똑똑한 IT 운영자를 확보하는 것이 늘 숙제였다. 이메일이나 그룹웨어 등 각종 회사 내부용 서비스뿐 아니라 고객용 서비스도 회사 내부에 서버를 두고 처리했기 때문에 조그만 실수로도 큰 문제가 발생할 수 있어서다. 특히 회사가 이사하게 되면 업무와 서비스의 연속성을 어떻게 유지할 것인지 ‘작전’을 세우고, 도상 훈련과 시험을 하면서 머리를 싸맸다. 지금 이런 얘기 하면 정말 ‘라떼’가 되지만 말이다.
바야흐로 클라우드 시대다. 스마트폰을 사용하는 대다수 사용자들은 이미 일상적으로 사진이나 동영상을 클라우드에 저장한다.
그림 1. 클라우드를 사용하는 인터넷 서비스와 사물인터넷 기기
넷플릭스, 쿠팡, 구글, 넥슨 등 매우 많은 이용자가 있는 서비스도 백엔드는 전면적으로 또는 일부가 클라우드에서 작동한다. 냉장고, 로봇청소기, 자율주행자동차 등 인터넷과 연결된 사물인터넷 기기(!)들은 대량의 데이터를 수집해 클라우드로 보내 필요한 분석 결과를 받는다. 이렇게 보면 대한민국 사람 중 직간접으로 클라우드를 경험하지 않는 수가 더 적을 것 같다.
2017년에 블록체인플랫폼 스타트업에 들어가 보니 사무실은 공유 오피스에 있고, B2C 서비스뿐 아니라 그룹웨어, ERP 관련 내부 업무용 서비스도 모두 클라우드 서비스를 사용하고 있었다. 사무실을 한번 이사했는데, B2C 서비스를 하는 회사인데도 이삿짐이 단출했다. 20여 년 전을 생각해 보면 100배쯤 쉬워진 것 같았다.
그림 2. B2B SaaS 사례
흔히 창업의 세 요소로 사업 아이템, 팀, 자금을 든다. 자금은 여전히 어려운 문제이긴 하지만 예비창업패키지(예창패), 초기창업패키지(초창패), 청년창업사관학교(청창사) 등 다양한 초기 투자 프로그램이 있어서 자금을 찾아 헤맬 필요는 상당히 줄어들었고, 필자가 벤처에서 고민했던 IT 인프라와 운영 인력도 많은 B2B SaaS(Software as a Service) 덕분에 고민거리 목록에서 어렵지 않게 지울 수 있다. 심지어 서비스 기획과 개발도 외주를 이용하면 IT 기반 서비스 사업에서조차 개발팀 없이도 창업할 수 있다.
이제 SaaS를 개발하고자 하는 팀의 고민은 개인정보 보호와 보안에 쏠리고 있다. 국내 개인정보 보호 법규가 세계적 추세를 반영하며 점차 제재 수위를 강화하는데, 유명 클라우드 기반 서비스에서도 개인정보 유출 사고 소식이 들린다. 클라우드를 이용하는 수많은 장점이 있음에도 클라우드 보안을 대로 갖추지 못하면, 기업에서는 클라우드를 아예 도입할 수가 없다. SaaS 개발사는 더 말할 나위도 없다. 클라우드 보안 및 개인정보 보호는 단지 클라우드 서비스의 리스크 관리가 아니라 필요조건이 되었다.
공격자는 이미 충분한 경험을 가지고 SaaS와 개발사의 취약점을 노리는데, 기업은 보안을 위해 무엇을 해야 할지 막막하다. 보안솔루션을 구매하면 공급사 기술 인력이 관련 보안 이슈를 지원해 주지만, 클라우드에서는 손에 잡히는 게 별로 없는데, 지원조차 시원치 않다. SaaS 개발사에서 클라우드 보안이나 개인정보 보호를 잘 아는 인력을 구하기는 매우 어렵다. 아니 실제로 클라우드 보안 전문인력이 그리 많지도 않다.
이 칼럼은 클라우드에서의 보안과 개인정보 보호에 고민과 관심이 있는 분들을 위한 칼럼이다. 클라우드 기반 서비스를 기획·개발·운영하는 분들은 물론이고, 단지 클라우드 시대에 보안과 개인정보 이슈, 그에 대한 문제와 대책에 관해 궁금한 분들에게도 도움이 될 것이다. 혹시 궁금한 사항이나 질문, 의견이 있으신 분들은 필자에게 마구(!) 보내주시면 칼럼을 쓰는 데도 많은 도움이 될 것 같다.
