멀티 클라우드 데이터 보안을 위한 DSPM: AWS, Azure, GCP 전반에 걸친 통합 가시성

멀티 클라우드가 데이터 보안 문제를 어떻게 바꾸는가

클라우드 팀은 단일 생태계 내에서만 운영되는 경우가 거의 없습니다. AWS는 폭넓은 서비스 범위와 성숙한 스토리지 제어 기능을 갖추고 있어 자주 사용됩니다. Azure는 마이크로소프트 중심의 기업에서 흔히 사용됩니다. GCP는 분석, 데이터 엔지니어링, 머신러닝 분야에서 널리 채택되고 있습니다. 각 클라우드 서비스는 유연성을 제공하지만, 동시에 서로 다른 보안 모델을 가지고 있습니다.

AWS는 S3 버킷 정책, IAM 정책, 액세스 제어 목록(ACL), 액세스 포인트, 서비스 제어 정책 등 여러 중첩된 제어 계층을 기반으로 데이터 액세스를 구성합니다. AWS의 데이터 경계 모델에 따라 조직은 신뢰할 수 있는 ID, 신뢰할 수 있는 리소스 및 예상 네트워크 경로를 정의해야 합니다. Azure는 역할 기반 액세스 제어(RBAC), 스토리지 계정 설정, 익명 액세스 방지 및 비공개 엔드포인트 구성을 통해 스토리지 보안을 통합합니다. Azure 스토리지에 대한 Microsoft의 제로 트러스트(Zero Trust) 지침은 최소 권한 접근 원칙과 지속적인 검증을 적용하면서, 저장 중, 전송 중, 사용 중인 세 가지 상태 모두에서 데이터를 보호하는 데 중점을 둡니다. Google Cloud는 Cloud IAM, 조직 정책, 일관된 버킷 수준 접근 제어, 공개 접근 방지 제약 조건을 통해 스토리지 보안을 구현합니다. 또한 Google Cloud는 스토리지 버킷에 대한 공개 접근을 자동으로 차단하고 일관된 권한 모델을 적용하는 제어 기능을 포함하여, 더욱 강력한 '기본적으로 보안이 적용된(secure-by-default)' 조직 정책으로 전환하고 있습니다.

민감한 파일에 대한 일반인의 접근을 차단해야 한다는 동일한 데이터 보호 요건은 플랫폼마다 서로 다른 구현 방식을 요구합니다. 그렇기 때문에 클라우드별로 수동 검토 프로세스를 진행하면 대규모 환경에서는 한계에 부딪히게 됩니다.

DSPM이 제공하는 것

DSPM은 보안 팀에 클라우드 환경 전반에 걸쳐 다음 네 가지 질문에 대한 해답을 제공하는 데이터 중심 계층을 제공합니다:

데이터는 어디에 있습니까? 어떤 종류의 데이터입니까? 어떻게 노출되어 있습니까? 누가 그 데이터에 접근할 수 있습니까?

효과적인 DSPM 솔루션은 클라우드 데이터 위험의 네 가지 핵심 요소, 즉 위치, 민감도, 노출 상황, 접근 경로에 걸쳐 지속적인 현황 파악을 제공합니다.

최신 DSPM 플랫폼은 오브젝트 스토리지, 관리형 데이터베이스, 데이터 레이크 저장소, 백업 시스템, 가상 머신 스냅샷 및 AI 훈련 데이터 세트 전반에 걸쳐 민감한 정보를 식별할 수 있습니다. 고급 분류 엔진은 비즈니스 맥락을 반영하면서 개인 식별 정보(PII), 금융 기록, 지적 재산, 인증 정보, API 키 및 규제 대상 데이터 유형을 식별합니다. 노출 맥락에는 공개 인터넷 액세스, 익명 액세스 권한, 지나치게 광범위한 IAM 역할, 레거시 ACL, 계정 간 공유, 과도한 권한을 가진 서비스 주체 등이 포함됩니다. 접근 경로 매핑을 통해 직접 권한, 역할 상속 또는 권한 상승 경로를 통해 민감한 데이터에 접근할 수 있는 인간 사용자, 서비스 계정, 애플리케이션 및 연합 신원을 식별합니다.

MITRE ATT&CK는 권한 남용 및 권한 상승과 관련된 클라우드 관련 기법들을 기록하고 있으며, 이는 DSPM이 데이터 위치뿐만 아니라 접근 맥락도 반드시 평가해야 하는 이유를 뒷받침합니다.

지속적인 가시성이 중요한 이유

특정 시점의 평가만으로는 더 이상 충분하지 않습니다. 멀티 클라우드 환경에서는 스토리지 구성, 공유 설정, 신원 관계가 끊임없이 변화합니다. 월요일에 비공개였던 데이터 세트도 구성 오류, 허용 범위가 넓어진 정책 변경, 또는 새로운 통합 경로로 인해 화요일에는 공개될 수 있습니다.

지속적인 탐지는 위험 요소가 발생하자마자 이를 포착할 수 있다는 점에서 특정 시점의 평가보다 우수합니다. 또한 위험 우선순위 지정은 팀이 가장 중요한 위험 요소에 집중할 수 있도록 도와 운영상의 부담을 줄여줍니다. DSPM은 심각도가 동일한 발견 사항들을 긴 목록으로 나열하는 대신, 데이터 민감도와 위험 심각도를 상호 연관시켜 팀이 영향이 가장 큰 문제를 우선적으로 해결할 수 있도록 합니다.

이는 기술적 측면뿐만 아니라 운영 측면에서도 중요합니다. 버라이즌의 ‘2026년 데이터 침해 조사 보고서’에 따르면, 취약점 악용이 침해 사고의 가장 큰 진입 경로로 부상했으며, 전체 침해 사고의 31%를 차지한 것으로 나타났습니다. 공격자들이 노출된 시스템의 취약점과 잘못된 구성 설정을 점점 더 많이 노리고 있다면, 데이터 노출에 대한 가시성은 단순한 보고 기능이 아닌 실질적인 방어 수단이 됩니다.

IBM의 ‘2025년 데이터 침해 비용 보고서’에 따르면 전 세계 평균 데이터 침해 비용은 444만 달러로 집계되었으며, 이는 분산 환경 전반에 걸쳐 데이터 가시성과 통제력을 강화해야 할 비즈니스적 필요성을 다시 한번 강조하고 있다.

DSPM이 규정 준수 및 거버넌스를 지원하는 방법

DSPM은 클라우드 플랫폼 전반에 걸쳐 규제 대상 데이터 처리에 대한 지속적인 가시성을 제공함으로써 규정 준수 및 거버넌스를 강화할 수 있습니다. 또한 규제 대상 데이터가 어디에 저장되어 있는지, 누가 이에 접근할 수 있는지, 그리고 접근 제어가 규정 준수 요건을 어떻게 충족하고 있는지를 보여주는 보고서를 생성할 수 있습니다.

이는 포괄적인 규정 준수 프로그램을 대체할 수는 없지만, 자산 목록 작성, 분류 및 증거 수집에 따르는 수작업 부담을 줄여줍니다. 그 결과, 데이터 위험에 대한 보다 최신의 현황을 파악할 수 있으며, 감사 및 내부 거버넌스 검토를 지원하는 보다 실용적인 방법을 확보하게 됩니다.

DSPM은 발견된 데이터를 관련 규제 및 내부 정책 요건에 매핑하는 데 도움을 줄 수 있습니다. 핵심 가치는 라벨 그 자체가 아니라, 거버넌스 의사결정의 신뢰성을 높여주는 발견, 분류, 접근 분석의 결합에 있습니다.

네이티브 클라우드 컨트롤을 기반으로 한 구축

DSPM은 각 클라우드 공급자가 이미 제공하는 기본 제어 기능을 해석할 수 있을 때 가장 효과적으로 작동합니다.

AWS는 데이터 경계 제어 및 신원 기반 액세스 경계를 중시합니다. AWS의 스토리지 거버넌스 모델은 계층적 정책 적용에 기반을 두고 있으며, 이 중 S3 공개 액세스 차단(S3 Block Public Access) 기능은 우발적인 정보 유출을 방지하기 위한 기초적인 기준 역할을 합니다. Azure의 스토리지 지침은 제로 트러스트(Zero Trust) 원칙, 특히 최소 권한 원칙, 사설 연결, 익명 액세스 방지 측면과 밀접하게 부합합니다. Google Cloud는 ‘기본적으로 보안이 적용된(secure-by-default)’ 조직 정책, 일관된 버킷 수준 액세스, 공개 액세스 방지 기능을 점점 더 많이 활용하여 일반적인 정보 유출 패턴이 확산되기 전에 이를 차단하고 있습니다.

효과적인 DSPM 프로그램은 이러한 내재된 안전 장치를 파악한 뒤, 실제 구성이 의도된 보안 태세와 일치하는지 평가해야 합니다.

광범위한 보안 스택 내의 DSPM

DSPM은 단독으로 사용되도록 고안된 것이 아닙니다.

CNAPP는 워크로드 보안, 취약점 관리, 인프라 설정 오류 및 런타임 보호에 중점을 둡니다. DSPM은 데이터 위치, 민감도 및 액세스 패턴에 중점을 둡니다. SSE는 SWG, CASB 및 ZTNA 기능을 통해 전송 중인 데이터를 보호하는 반면, DSPM은 클라우드 인프라 서비스 내의 저장된 데이터와 노출 상황에 중점을 둡니다. DLP는 데이터 이동을 모니터링하고 무단 공유를 방지하는 데 탁월한 반면, DSPM은 자산 목록 및 위험 상황을 제공합니다. CASB는 SaaS 거버넌스, 사용자 행동 분석 및 인라인 정책 적용에 중점을 두는 반면, DSPM은 클라우드 인프라 서비스에 대한 가시성을 확대합니다.

이러한 도구들은 각기 다른 문제를 해결하기 때문에, 통합될 때 가장 효과적으로 작동합니다. Skyhigh Security SSE 플랫폼은 SWG, CASB, ZTNA, DLP, RBI 및 데이터 보안 기능을 결합하여, 조직이 일관된 정책을 적용하고, 보안 영역 전반에 걸쳐 탐지 결과를 상호 연관시키며, 문제 해결 워크플로를 간소화할 수 있도록 지원합니다. Skyhigh는 ‘2025 가트너 Security Service Edge Magic Quadrant Security Service Edge Magic Quadrant ‘니치 플레이어(Niche Player)’로 선정되었으며 Security Service Edge ‘2025 가트너 SSE Critical Capabilities )’의 데이터 보안(Data Security) 사용 사례 부문에서 최고 점수를 받았습니다. DSPM 분석 결과는 API, SIEM 커넥터, 티켓팅 시스템과 연동되어야 하며, SSE 플랫폼과의 정책 동기화도 이루어져야 합니다.

DSPM 프로그램 선택 시 고려해야 할 사항

실용적인 멀티 클라우드 DSPM 전략은 AWS, Azure, GCP 전반에 걸친 네이티브 서비스 지원, ID 통합, 네트워크 컨텍스트, 클라우드 네이티브 로깅 지원을 포괄해야 합니다. 또한 허용 가능한 수준의 성능과 비용 특성을 유지하면서 여러 클라우드 계정, 구독 및 프로젝트 전반에 걸쳐 확장 가능해야 합니다.

멀티클라우드 DSPM은 Amazon S3, RDS, Redshift, Azure Blob Storage, SQL Database, Synapse, Google Cloud Storage, Cloud SQL, BigQuery 등의 서비스와 원활하게 연동되어야 합니다. 또한 이 솔루션은 핵심 오브젝트 스토리지 및 데이터베이스 외에도 클라우드 고유의 데이터 저장소 및 분석 서비스를 포괄해야 합니다.

고급 데이터 분류는 패턴 매칭, 머신 러닝, 컨텍스트 평가 및 비즈니스 메타데이터 통합을 결합해야 합니다. 크로스 플랫폼 액세스 분석은 서로 다른 클라우드 IAM 시스템 전반에 걸쳐 신원 및 권한 관계를 매핑하여 액세스 경로와 권한 상승 기회를 파악해야 합니다.

자동화된 시정 기능은 감사 추적을 유지하면서, 공개 접근이나 지나치게 관대한 접근 제어와 같은 고위험 노출 문제를 팀이 해결하는 데 도움이 될 수 있습니다. 최상의 결과는 대개 환경을 충분히 파악하기도 전에 완전한 자동화를 추구하기보다는, 시정 지침을 검토 워크플로우 및 정책 적용과 결합할 때 얻어집니다.

실무적인 도입 접근 방식

구현은 현황 파악 단계부터 시작하여, 이후 문제 해결 단계로 확대해야 합니다. 이러한 순서를 따르면 프로젝트를 관리하기 쉽게 유지할 수 있을 뿐만 아니라, 팀이 조기에 성과를 입증하는 데도 도움이 됩니다.

초기 단계에서는 민감한 데이터의 현황 파악, 가장 위험이 높은 노출 요인의 식별, 그리고 클라우드 환경 전반에 걸친 접근 경로 매핑에 중점을 두어야 합니다. 팀이 클라우드 데이터 자산에 대한 명확한 현황을 파악한 후에는 정책 조정, 워크플로 통합 및 시정 조치 계획 수립 단계로 넘어갈 수 있습니다.

조직들은 대개 현황 파악과 위험 우선순위 설정 단계부터 시작하여, 이후 시정 조치 및 지속적인 모니터링 단계로 확대해 나갑니다.