DSPM이 클라우드 환경에서 내부자 위협에 의한 데이터 유출을 탐지하고 줄이는 방법

클라우드 환경에서 발생하는 내부자 위협에 의한 데이터 유출은 기존의 경계 기반 보안 문제와는 근본적으로 다른 양상을 보입니다. 악성코드에 의한 침해와 달리, 내부자 유출은 대개 정상적인 접근 패턴에서 시작되어 SaaS 애플리케이션, 클라우드 스토리지, 협업 플랫폼 전반에 걸친 공유, 다운로드, 권한 변동을 통해 점차 데이터 손실로 이어집니다.

클라우드 환경에서 내부자 위협에 의한 데이터 유출은 어떤 모습인가

현대적인 내부 위협은 세 가지 유형의 위험 행위자로 구성됩니다. 즉, 데이터를 훔치려는 악의적인 직원, 실수로 정보를 유출하는 부주의한 사용자, 그리고 외부 공격자가 이용하는 해킹당한 계정입니다.

CISA의 ‘내부자 위협 완화 가이드’에 따르면, 내부자 위협으로 인한 피해는 무단 시스템 침입보다는 합법적인 접근 권한의 오용에서 비롯되는 경우가 많습니다.

직원들은 일상적으로 민감한 파일을 개인 기기에 동기화하고, 브라우저에서 생성된 링크를 통해 외부 협력자와 문서를 공유하며, 오프라인 분석을 위해 보고서를 다운로드하고, 분석 플랫폼 간에 데이터 세트를 복제합니다. 이러한 각 행동은 정상적인 업무 생산성의 일환이지만, 종합적으로 보면 기존 보안 통제 수단으로는 모니터링하기 어려운 공격 표면을 점차 확대시키고 있습니다.

클라우드 보안 연합(Cloud Security Alliance)이 민감한 클라우드 데이터가 어떻게 노출되는지에 대해 분석한 결과, 클라우드 서비스 간 데이터 복제, 부적절한 공유 설정, 승인된 애플리케이션 간의 데이터 이동, 과도한 접근 권한을 부여하는 IAM 설정 오류 등 몇 가지 주요 노출 경로가 확인되었습니다.

일반적으로 데이터가 통제된 네트워크 구역에 저장되던 온프레미스 환경과 달리, 현재 클라우드 데이터는 기존 보안 경계를 우회하는 SaaS 애플리케이션, 협업 플랫폼 및 외부 공유 메커니즘 전반에 걸쳐 분산되어 있습니다.

분기 보고서를 작성하기 위해 클라우드 분석 플랫폼에서 고객 계정 데이터를 다운로드하는 재무 부서 직원을 생각해 보자. 이 직원은 주말에 작업을 하기 위해 파일을 개인 클라우드 저장소에 업로드하고, 브라우저 링크를 통해 외부 컨설팅 파트너와 데이터를 공유하며, 프로젝트가 종료된 후에도 광범위한 프로젝트 팀 구성원이 원본 저장소에 계속 접근할 수 있도록 방치한다. 악성 코드는 전혀 관여되지 않았고, 방화벽 규칙도 위반되지 않았다. 그럼에도 민감한 데이터는 의도된 통제 범위를 벗어나 버렸다.

버라이즌의 ‘2026년 데이터 침해 조사 보고서(DBIR)’에 따르면, 대다수의 침해 사고에는 인적 요인이 관여한 것으로 나타났다. 22,000건 이상의 보안 사고와 12,195건의 확인된 침해 사고를 분석한 결과, 이 보고서는 인간의 행동, 취약한 신원 및 접근 관리, 제3자 생태계의 노출을 주요 침해 원인으로 지목했다. 이는 합법적이고 승인된 접근이 민감한 데이터 유출의 주된 경로가 되는 경우가 빈번하다는 사실을 다시 한번 확인시켜 준다.

왜 기존 통제 방식은 클라우드 시대의 내부자 위험 노출을 간과하는가

사용자 행동 분석 및 엔드포인트 모니터링 도구는 데이터 이동이 예측 가능한 경로를 통해 이루어지는 네트워크 중심 환경을 위해 설계되었습니다. 이러한 시스템은 행동 이상 징후를 탐지하는 데는 탁월하지만, 클라우드 환경에서 노출의 심각도를평가하는데 필요한 데이터 맥락 정보가 부족합니다.

UEBA 시스템은 사용자가 비정상적으로 대용량의 파일을 다운로드하거나 일반적인 패턴에서 벗어난 방식으로 애플리케이션에 접근하는 시점을 식별할 수는 있지만, 해당 파일에 소스 코드, 재무 기록, 고객 개인 식별 정보(PII) 또는 일상적인 운영 데이터가 포함되어 있는지 여부는 판단할 수 없습니다. 데이터의 민감도를 파악하지 못한 상태에서 보안 팀은 두 가지 선택지 중 하나를 택해야 하는 곤란한 상황에 직면하게 됩니다. 모든 이상 현상을 조사하다가 오탐에 파묻히거나, 경보 임계값을 높여 실제 보안 위협을 놓칠 위험을 감수해야 하는 것입니다.

브라우저 기반 SaaS 애플리케이션, 직접적인 클라우드 동기화, 웹 링크를 통한 공유는 기존의 엔드포인트 제어 방식을 우회합니다. 직원은 엔드포인트 기반 탐지 시스템을 작동시키지 않고도 전적으로 브라우저 세션을 통해 외부 협력자와 민감한 데이터를 공유할 수 있습니다. 이러한 최신 클라우드 협업 방식은 엔드포인트 에이전트가 완전히 모니터링할 수 없는 경로를 통해 이루어집니다.

기존의 DLP는 이메일 첨부 파일, USB 전송 및 네트워크 트래픽을 검사하는 데 탁월하지만, 클라우드 스토리지 저장소의 노출 상태, 협업 플랫폼의 권한 설정 또는 외부 공유 구성을 평가하는 데는 어려움을 겪습니다. 이러한 시스템은 데이터 유출 시도가 발생하기 전에 과도하게 노출된 저장소를 식별하기보다는, 이미 노출 상태가 발생한 후에야 데이터 이동을 감지하는 경우가 많습니다.

IAM 시스템은 누가, 언제, 어떤 클라우드 애플리케이션에 접근했는지 추적하지만, 이러한 텔레메트리 데이터는 데이터 분류 및 노출 맥락과 결합될 때만 내부자 위협 탐지에 유의미한 정보를 제공합니다.

정보 유출이 발생하기 전에 내부자 위험을 드러내는 데이터 신호

클라우드 환경에서 내부자 위협을 효과적으로 탐지하려면 데이터가 조직의 통제 범위를 벗어나기 전에 노출 상황을 파악해야 합니다. DSPM은 기존 모니터링 도구로는 대개 포착하지 못하는 여러 범주의 ‘손실 전 위험 신호’를 파악해 냅니다.

DSPM은 이러한 저장소를 지속적으로 스캔하여 보안 팀의 인지 없이 업로드, 동기화 또는 복제되었을 수 있는 민감한 데이터를 식별합니다. 클라우드 플랫폼과 협업 워크플로우는 팀이 의도한 범위를 넘어 접근 권한을 확대하는 광범위한 공유 권한이나 상속된 공유 권한을 생성할 수 있습니다.

DSPM은 대규모 사용자 그룹이나 외부 협력자가 접근할 수 있거나, 프로젝트 기간이 끝난 후에도 지속되는 공개 링크를 통해 접근 가능한 민감 데이터가 포함된 저장소를 식별합니다. DLP, CASB, SSE 또는 행동 분석 솔루션과 통합될 경우, DSPM은 데이터 민감도 및 노출 맥락을 추가함으로써 민감 파일 다운로드, 개인 이메일로 전달, 관리되지 않는 기기로의 동기화 등과 같은 고위험 시나리오를 식별하는 데 도움을 줍니다.

DSPM은 이러한 그림자 저장소와 구성 편차가 실제 데이터 손실의 원인이 되기 전에 이를 식별합니다.

MITRE ATT&CK 프레임워크는 공격자와 내부 협력자가 합법적인 클라우드 스토리지 서비스 및 웹 애플리케이션을 통해 데이터를 유출하는 방식을 설명합니다. 이러한 공격 패턴을 이해하면 보안 팀은 정상적인 클라우드 사용 패턴이 데이터 유출 준비 단계임을 시사할 수 있는 상황을 파악하는 데 도움이 됩니다.

클라우드 환경에서 내부자 위협 탐지에 DSPM이 왜 핵심적인 역할을 하는지

DSPM은 클라우드 환경에서 다른 보안 제어 수단이 효과적으로 작동하는 데 필요한 데이터 맥락을 제공함으로써 내부자 위협 탐지 문제를 해결합니다. DSPM은 행동 분석이나 접근 모니터링을 대체하는 것이 아니라, 이를 뒷받침하는 기반 계층 역할을 합니다.

‘가트너 데이터 보안 태세 관리(DSPM) 시장 가이드, 2025’는 DSPM의 핵심 가치가 구조화 및 비구조화 데이터를 탐지하고 분류하며, 데이터 자산에 대한 가시성을 제공하고, 개인정보 보호, 보안 및 AI 관련 위험을 완화하는 데 있다는 점을 강조하고 있다.

DSPM은 특히 SSE, CASB 또는 신원 관리 제어 기능에서 제공하는 기기 및 액세스 원격 측정 데이터와 통합될 경우, 광범위한 액세스 권한이 부여된 고도로 민감한 데이터와 외부 공유가 결합된 경우와 같은 위험한 조합을 식별하는 데 도움을 줍니다.

기존의 IAM 시스템은 권한을 추적하지만, DSPM은 이러한 권한을 실제 데이터 민감도와 연계하여 권한 상승 위험, 민감한 데이터에 접근 권한을 보유한 비활성 계정, 프로젝트 기간이 끝난 후에도 접근 권한을 유지하는 외부 협력자를 식별합니다. DSPM은 이러한 변화를 지속적으로 모니터링하여 일상적인 운영 활동이 의도치 않게 새로운 보안 취약점을 유발하는 시점을 감지합니다.

DSPM은 고위험 저장소 정보를 data loss prevention 시스템에 고위험 저장소 정보를 제공하고, UEBA 플랫폼에 데이터 컨텍스트를 제공하며, SIEM 시스템에 노출 지표를 제공할 수 있습니다. 이러한 상관관계를 통해 원시 활동 데이터가 실행 가능한 내부자 위협 인텔리전스로 전환됩니다.

비즈니스 위험에 따라 내부자 위협 조사의 우선순위를 정하는 방법

모든 클라우드 보안 위협에 동일한 대응을 해야 하는 것은 아닙니다. 보안 팀은 모든 사건을 잠재적인 침해로 간주하기보다는 비즈니스에 미치는 영향을 기준으로 사고의 우선순위를 매김으로써 불필요한 대응을 줄이고 대응의 질을 높일 수 있습니다.

먼저 관련 데이터의 민감도를 살펴보세요. 고객 기록, 급여 데이터, 소스 코드, 지적 재산권, 규제 대상 콘텐츠는 최우선 순위로 다뤄야 합니다. 데이터 분류가 중요한 이유는, 겉보기에는 무해해 보이는 접근 패턴도 매우 민감한 정보가 관련되어 있을 경우 훨씬 더 심각한 문제로 비화될 수 있기 때문입니다.

다음으로, 접근성을 평가하십시오. 광범위한 내부 그룹, 외부 파트너 또는 공개 링크에 개방된 저장소는 권한이 제한된 엄격하게 범위가 지정된 폴더보다 훨씬 더 큰 위험을 초래합니다. 프로젝트가 종료된 후에도 접근 권한이 유지되거나, 파일이 관리되지 않는 위치로 복사되거나, 권한이 원래의 비즈니스 목적에서 벗어나게 될 경우 노출의 심각성은 더욱 커집니다.

다음으로 사용자와 기기의 상황을 고려해 보십시오. 관리 대상이 아닌 기기, 비정상적인 위치 또는 비표준 브라우저 세션을 통한 액세스는 반드시 악의적인 의도를 의미하는 것은 아니지만, 승인된 통제 범위 밖에서 민감한 데이터가 복사, 공유 또는 저장될 가능성을 높일 수 있습니다.

시점과 행동의 기준선도 중요합니다. 분기 말 처리 기간 중 재무 업무 공간에서 대용량 파일을 다운로드하는 것은 정상적인 일일 수 있습니다. 반면, 회사를 퇴사하는 직원이, 저장소에 처음 접속하는 직원이, 또는 익숙하지 않은 기기를 사용하는 직원이 같은 행동을 보인 경우에는 더 면밀히 살펴볼 필요가 있습니다.

그 결과, 개별 신호 하나에만 국한되지 않고 데이터 민감도, 노출 상태, 행동의 조합에 주목하는 분류 모델이 탄생했습니다.

클라우드 내부 위협 데이터 유출 탐지를 위한 현대적인 아키텍처

클라우드 환경에서 내부자 위협을 효과적으로 탐지하려면, 개별적인 보안 도구에 의존하기보다는 데이터 저장소, 접근 제어 시스템, 사용자 활동 채널 전반에 걸친 통합적인 가시성이 필요합니다. 데이터 플레인이 그 기반을 형성합니다.

DSPM은 클라우드 및 SaaS 환경 전반에 걸쳐 민감한 데이터를 탐지하고 분류합니다. 이 솔루션은 데이터가 저장된 위치, 데이터의 라벨링 방식, 그리고 과도하게 노출된 저장소를 파악합니다. 이러한 가시성은 다른 모든 작업의 기반이 되는 맥락 계층이 됩니다.

액세스 플레인은 중요한 맥락을 제공합니다. IAM 시스템, 협업 권한, 외부 공유 설정 등을 통해 누가 어떤 조건 하에서 민감한 데이터에 접근할 수 있는지 파악할 수 있습니다. 이 정보를 데이터 분류와 결합하면, 어떤 권한이 실질적인 위험을 초래하는지, 어떤 권한이 단지 이론적인 위험에 불과한지 파악할 수 있습니다.

SSE 관련 제어 기능은 DSPM에서 제공하는 데이터 컨텍스트 정보와 결합될 경우, 웹 및 클라우드 채널 전반에 걸쳐 보다 일관된 액세스 및 공유 정책을 시행하는 데 도움이 될 수 있습니다. Cloud Access Security Broker 기능은 클라우드 애플리케이션 사용 현황에 대한 상세한 가시성을 제공하는 동시에, 데이터 민감도와 접근 컨텍스트에 기반한 세분화된 정책 적용을 가능하게 합니다. Secure Web Gateway 승인되지 않은 클라우드 서비스로의 민감한 데이터 업로드를 방지할 수 있으며, 통합된 DLP(데이터 유출 방지) 기능은 이메일, 협업 플랫폼 및 클라우드 스토리지 전송 전반에 걸쳐 콘텐츠를 검사할 수 있습니다.

지속적인 모니터링을 통해 클라우드 구성이 변경되거나, 새로운 협업 연결이 생성되거나, 시간이 지남에 따라 사용자 역할이 변경될 때 노출 조건이 감지되도록 보장합니다.

기업이 내부자 데이터 유출에 대응할 때 흔히 저지르는 실수

가장 흔한 실수 중 하나는 모든 비정상적인 접근 사건을 확실한 위협으로 간주하는 것입니다. 이러한 접근 방식은 경보 피로를 유발하고, 진정으로 중요한 소수의 사고를 가려버립니다. 더 나은 전략은 행동 패턴을 데이터의 민감도와 노출 상태와 결합하는 것입니다.

또 다른 실수는 신원 확인 로그에만 의존하는 것입니다. 누가 시스템에 접근했는지 파악하는 것은 유용하지만, 해당 데이터가 민감한 정보였는지, 외부로 공유되었는지, 아니면 보안이 취약한 저장소에 저장되었는지는 알 수 없습니다.

또한 기업들은 브라우저 기반 접속과 관리 대상이 아닌 기기의 사용량을 과소평가하는 경향이 있습니다. 클라우드 협업은 기존 엔드포인트 제어 범위를 벗어난 곳에서 이루어지는 경우가 많기 때문에, 관리 대상 노트북에만 초점을 맞춘 보안 프로그램으로는 노출 경로의 상당 부분을 놓치게 됩니다.

이와 관련된 문제로는 도구 과다 현상이 있습니다. 기업들은 종종 DLP, UEBA, IAM, CASB, SSE를 위해 각각 별도의 도구를 도입하되, 이를 공유 데이터 모델을 기반으로 통합하지 않는 경우가 많습니다. 그 결과 가시성이 분산되고 업무가 중복됩니다.

포네몬 연구소(Ponemon Institute)의 내부자 위험에 관한 연구에 따르면, 부주의하거나 태만한 직원들은 고의적으로 악의를 품은 행위자들과 마찬가지로 중대하고 막대한 비용을 초래하는 보안 위험 요인으로 지적되고 있습니다. 포괄적인 내부자 위협 대응 프로그램은 고의적인 데이터 절도에만 초점을 맞추기보다는 모든 유형의 내부자 위험을 다뤄야 합니다.

정당한 협업을 저해하는 지나치게 제한적인 정책을 시행하면 섀도우 IT의 확산을 부추기고 새로운 보안 위협 경로를 만들어낼 수 있습니다.

내부자 위협에 의한 데이터 유출 탐지 솔루션 선택 시 고려해야 할 사항

효과적인 접근 방식은 탐색에서 시작됩니다. 이 플랫폼은 클라우드 저장소, SaaS 애플리케이션, 협업 환경 전반에 걸쳐 민감한 데이터를 식별해야 하며, 이를 위해 모든 곳에 수동으로 태그를 지정할 필요가 없어야 합니다.

또한 단일 워크플로우 내에서 분류, 노출 매핑 및 정책 적용을 지원해야 합니다. 이를 통해 팀은 민감한 데이터가 어디에 저장되어 있는지뿐만 아니라, 누가 해당 데이터에 접근할 수 있는지, 그리고 그러한 접근 권한이 비즈니스 요구 사항에 부합하는지 여부도 파악할 수 있습니다.

통합은 매우 중요합니다. 가장 유용한 시스템은 IAM, SIEM, DLP, CASB 및 SSE 제어 기능과 연동되어, 데이터의 민감도를 바탕으로 보다 포괄적인 보안 결정을 내릴 수 있도록 합니다. 조사 워크플로는 분석가가 여러 콘솔을 오가며 정보를 대조해야 하는 번거로움을 덜어주기 위해, 노출 상태, 사용자 행동 및 접근 맥락을 종합적으로 반영해야 합니다.

규정 준수 지원도 중요합니다. 보안 팀은 규제 대상 데이터가 어디에 저장되어 있는지, 누가 해당 데이터에 접근할 수 있는지, 어떻게 공유되었는지, 그리고 유출 사실이 확인된 후 어떤 시정 조치가 취해졌는지에 대한 증거를 확보해야 합니다.

AI 기반 조사 기능을 활용하면 데이터 민감도, 접근 패턴, 사용자 행동 간의 상관관계를 분석하여 위험도가 높은 사고를 우선적으로 처리할 수 있습니다.

포괄적인 내부자 위협 방어를 모색하는 조직들에게, 가트너가 SSE 분야의 보안 선도 기업들을 선정한 것은 데이터 가시성, 접근 제어, 행동 모니터링을 통합 아키텍처 내에서 결합한 통합 플랫폼의 중요성을 입증해 주는 것입니다.