하이브리드 클라우드 보안 참조 아키텍처

하이브리드 클라우드 보안 참조 아키텍처는 온프레미스 인프라, 프라이빗 클라우드, SaaS 및 퍼블릭 클라우드 전반에 걸쳐 보안 통제 수단이 어떻게 연계되는지를 보여주는 벤더 중립적인 청사진입니다. 이는 배포 계획을 수립하고, 벤더를 비교하며, 감사관에게 보안 설계를 설명하고, 제로 트러스트 구현을 향한 진행 상황을 측정하는 데 사용됩니다.

이 문서에서는 포괄적인 참조 모델을 제공합니다. 여기에는 모델의 설계 원칙, 논리 다이어그램 및 배포 다이어그램, 구성 요소 참조, 6가지 트래픽 흐름, 제어 경계, 신원 관리, 로깅, 용량 및 복원력에 대한 설계 고려 사항, CISA 및 NIST 제어 항목과의 매핑, 5가지 배포 사례, 그리고 검증 테스트가 포함된 성숙도 경로가 포함됩니다.

이 문서는 ‘하이브리드 클라우드 보안’ 가이드의 일부입니다. 하이브리드 환경의 전반적인 인프라 개요에 대해서는 ‘하이브리드 클라우드 아키텍처: 구성 요소 및 배포 모델’을 참조하십시오.

참조 모델의 설계 원칙

이 참조 모델은 NIST 및 CISA의 제로 트러스트 지침에서 도출된 네 가지 원칙을 기반으로 합니다.

1. 의사 결정과 집행을 구분한다. NIST SP 800-207은 접근 허용 여부를 결정하는 정책 의사 결정 지점(PDP)과, 연결을 활성화, 모니터링 또는 종료하는 정책 집행 지점(PEP)을 구분한다. PDP는 하나이지만 PEP는 여러 개일 수 있다.
2. 네트워크 위치만을 근거로 신뢰를 부여해서는 안 됩니다. 기업 LAN에 연결되어 있다는 사실만으로는 인증이나 검사를 생략할 이유가 되지 않습니다. NIST SP 800-215는 의미 있는 경계(perimeter)의 상실을 오늘날 기업 네트워크의 특징으로 설명하고 있습니다.
3. 위치가 아닌 분류에 따라 데이터를 보호합니다. 제어 기능은 데이터가 이동하는 곳이라면 어디든 데이터 클래스를 따라갑니다.
4. 어떤 단일 종속성이라도 장애가 발생할 수 있다고 가정해 봅시다. ID 제공자, 클라우드 서비스, WAN 연결이 모두 중단된다고 가정합니다. 이 아키텍처는 그러한 상황이 발생했을 때 어떻게 대응할지 정의합니다.

2025년 6월 24개 벤더와 함께 발간된 NIST의 실무 지침서 SP 1800-35, 《제로 트러스트 아키텍처 구현》은 온프레미스 및 클라우드 환경에 걸쳐 이러한 원칙을 적용한 19가지 구현 사례를 제시하며, 본 모델에 유용한 참고 자료가 됩니다.

건축 도면

참조 아키텍처는 두 가지 관점으로 설명됩니다. 하나는 각 계층에 대한 논리적 관점이고, 다른 하나는 구성 요소가 실행되는 위치를 보여주는 배포 관점입니다.

논리적 아키텍처

논리적 아키텍처는 중앙 집중식 제어 계층, 분산형 적용 계층, 공유 가시성 계층의 세 가지 계층으로 구성됩니다.

제어 계층은 정책을 한 번 정의합니다. 적용 계층은 트래픽이 흐르는 모든 곳에서 해당 정책을 적용합니다. 가시성 계층은 모든 적용 지점에서 텔레메트리 데이터를 수집하여 위험 신호를 정책으로 다시 전달합니다.

배포 토폴로지

배포 보기는 본사, 지사, 클라우드 리전 및 원격 사용자 전반에 걸쳐 각 적용 지점이 물리적으로 어디에서 실행되고 있는지 보여줍니다.

컴포넌트 참조

각 구성 요소에는 정의된 역할, 배치 위치 및 하이브리드 환경에 특화된 일련의 요구 사항이 있습니다.

교통 흐름

대부분의 하이브리드 에스테이트는 6개의 트래픽 흐름으로 구성되며, 각 흐름에는 문서화된 적용 지점 하나와 복호화 지점 하나가 있어야 합니다.

흐름 1: 사무실 사용자가 인터넷 또는 SaaS에 접속

사용자는 ID 제공자를 통해 인증을 수행합니다. 트래픽은 로컬 게이트웨이로 전송되며, 게이트웨이는 트래픽을 복호화하고 위협을 검사하며 웹 및 액세스 정책을 적용한 후, 데이터 보호 대상인 세션을 공급업체 클라우드로 전달하여 동일한 정책에 따라 검사를 받도록 합니다. 이 경로 전반에 걸쳐 TLS 종단 및 재암호화를 문서화하고, TLS 검사 위험 관리에 관한 NSA 지침에 따라 중복 검사를 방지해야 합니다.

흐름 2: 원격 사용자 → SaaS

엔드포인트 에이전트 또는 브라우저 제어 기능이 트래픽을 가장 가까운 승인된 클라우드 접속 지점으로 유도합니다. 플로우 1과 동일한 정책 세트가 적용됩니다. CASB는 테넌트 제한 및 활동 수준 DLP와 같은 SaaS 전용 제어 기능을 추가합니다.

흐름 3: 사용자 → 비공개 애플리케이션

접근은 네트워크 수준의 VPN이 아닌 ZTNA를 통해 이루어집니다. 접근 서비스는 신원, 기기 상태 및 정책을 확인한 후, 사용자를 승인된 애플리케이션에만 연결합니다. 배포 환경에서는 원격 사용자의 경우 클라우드 브로커를 사용하고, 지원되는 온프레미스 세션의 경우 로컬 게이트웨이를 사용할 수 있습니다. 브로커 배치 위치, 애플리케이션 프로토콜, 세션 가시성 및 실제 데이터 경로를 확인하십시오. ‘사내 애플리케이션용 온프레미스 ZTNA’를 참조하십시오.

흐름 4: 워크로드 간

데이터 센터와 IaaS 워크로드 간의 서비스 간 트래픽은 워크로드 ID, 상호 TLS 및 세분화 규칙을 사용합니다. 동일한 정책 소스가 어떤 서비스들이 통신할 수 있는지를 정의합니다.

흐름 5: 클라우드 서비스에 저장된 데이터

CASB API 통합 및 DSPM 스캔을 통해 승인된 클라우드 스토리지와 SaaS에서 민감한 데이터, 위험한 공유, 과도한 권한을 검사한 다음, 인라인으로 적용된 것과 동일한 분류 기준을 사용하여 문제를 해결합니다. DSPM과 SSE가 어떻게 연동되는지 확인해 보세요.

흐름 6: AI 에이전트 및 서비스 계정

AI 에이전트와 자동화 시스템은 대개 사용자 수준의 접근 권한을 보유하고 있으며, 네트워크 내부에서 시작되는 WebSocket을 비롯한 장기 연결을 통해 내부 API를 호출합니다. 각 에이전트에 고유한 신원 정보와 애플리케이션별 권한을 부여하고, 해당 에이전트의 트래픽을 로컬 적용 지점을 통해 라우팅하며, 외부 AI 서비스로 전송되는 데이터에 DLP를 적용해야 합니다.

제어 경계

통제 경계는 장비가 설치된 위치를 기준으로 그어서는 안 되며, 반드시 보호해야 할 대상을 기준으로 그어야 한다.

관할권 경계는 종종 간과되곤 합니다. 암호 해독된 트래픽, 검사 로그 또는 DLP 사고 사본이 관할권을 벗어나게 되면, 저장된 데이터가 전혀 이동하지 않더라도 아키텍처가 데이터 상주 의무를 위반하게 될 수 있습니다. ‘하이브리드 클라우드 보안에서의 데이터 주권’을 참조하십시오.

하이브리드 클라우드를 위한 네트워크 보안

하이브리드 환경에서의 네트워크 보안은 경계 보호에서 개별 연결 보호로 전환되고 있습니다.

• 사이트 간 평면적 신뢰 관계를 세분화 및 애플리케이션별 액세스 방식으로 대체하십시오.
• 사이트와 클라우드 리전 간에는 암호화된 터널(IPsec, GRE 또는 프라이빗 인터커넥트)을 유지하되, 터널 가입 여부를 권한 부여로 간주해서는 안 됩니다.
• 트래픽을 의도적으로 유도하세요: 관리형 사무실 네트워크의 경우 명시적 프록시 또는 PAC 파일을, 로밍 사용자의 경우 에이전트나 브라우저 제어 기능을, 지사의 경우 터널을 활용하세요.
• 각 플로우를 어떤 컴포넌트가 복호화할지 결정하여, 어떤 플로우도 두 번 복호화되지 않도록 하십시오.
• 모든 단속 지점에서 기록을 남기고 중앙에서 상호 연관성을 분석한다.

NIST SP 800-215는 ZTNA, 마이크로세그멘테이션, 소프트웨어 정의 경계(SDP), 그리고 네트워킹 및 보안 서비스를 결합한 SASE(Secure Access Service Edge) 모델 등을 포함한 이러한 옵션들을 검토합니다.

설계 시 고려 사항

아키텍처가 실제로 제대로 작동하는지 여부는 네 가지 설계 영역, 즉 정체성, 로깅, 처리 용량, 오류 대응 방식에 따라 결정됩니다.

정체성 아키텍처

신원은 모든 접근 결정의 첫 번째 고려 사항이므로, 참조 아키텍처는 네 가지 유형의 신원을 최우선 고려 대상으로 취급합니다.

• 기업 사용자. 모든 클라우드 제공업체 및 SaaS 애플리케이션과 연동된 단일한 신뢰할 수 있는 신원 제공자로, 피싱 공격에 강한 다단계 인증(MFA) 및 조건부 액세스 기능을 갖추고 있어야 합니다. 환경 간에 권한 부여에 차이가 발생하지 않도록 그룹 및 역할 데이터는 단일 소스에서 제공되어야 합니다.
• 기기. 현장 사용자뿐만 아니라 원격 사용자에 대해서도 기기의 식별 정보 및 상태(관리 상태, 패치 수준, 디스크 암호화, 엔드포인트 보호)를 평가해야 합니다.
• 워크로드 및 서비스. 애플리케이션과 서비스는 공유 비밀이나 네트워크 위치 대신 워크로드 ID와 상호 TLS를 통해 서로 인증합니다.
• AI 에이전트와 자동화. 각 에이전트에는 고유한 식별자, 범위 지정된 권한, 그리고 책임을 지는 담당자가 할당되므로, 해당 에이전트의 행동에 대해 개별적으로 승인, 기록 및 권한 철회가 가능합니다.

간과하기 쉬운 두 가지 설계 세부 사항이 있습니다. 첫째, 세션은 만료될 때까지 신뢰하는 방식이 아니라, 기기가 규정 준수 상태를 벗어나는 등 컨텍스트가 변경될 때 재평가되어야 합니다. 둘째, ID 제공자가 이용 불가능한 상황에서 작동하는 관리자용 비상 접근 권한을 정의하고, 이에 대한 사용 시 강력한 통제 조치와 경보 시스템을 마련해야 합니다.

로그 기록 및 원격 측정

하이브리드 아키텍처에서의 로깅은 데이터의 전송이 허용되는 범위를 준수하면서 탐지, 조사 및 규정 준수를 지원해야 합니다.

• 수집 대상. 모든 적용 지점에서는 사용자, 기기, 애플리케이션 또는 대상, 정책 결정, 일치한 규칙, 관련 데이터 분류 정보를 기록해야 합니다. 로컬 및 클라우드 적용에서 발생한 이벤트를 결합할 수 있도록 공통 상관 관계 키(사용자 ID, 기기 ID, 세션 ID)를 사용하십시오.
• 수집 위치. 각 주요 사이트의 현지 수집기는 먼저 이벤트 데이터를 저장한 다음 중앙 SIEM으로 전달합니다. 이를 통해 WAN 장애 시에도 로그를 보존할 수 있으며, 선택적으로 데이터를 전달할 수 있습니다.
• 전송 대상. 탐지에 필요한 메타데이터를 전송하십시오. DLP 증거 자료 전체와 콘텐츠 발췌문은 해당 자료가 수집된 관할 구역에 보관하고, 접근 권한은 승인된 수사관에게만 부여해야 합니다.
• 보존. 데이터 분류 및 관할권에 따라 보존 정책을 관련 규제 요건에 부합하도록 조정하고, 이를 문서화하십시오.
• 무결성. 로그가 변조되지 않도록 보호하고, 오류나 공격의 징후가 될 수 있는 누락 사항이 발생하면 경고를 발령합니다.

용량 및 규격

하이브리드 배포 환경에서 성능 문제의 가장 흔한 원인이 되는 피크 시간대의 복호화된 트래픽 양에 맞춰 로컬 적용 지점의 용량을 설정해야 합니다.

• 사이트별 최대 처리량 및 연결 속도를 측정하고, 복호화될 트래픽의 비율을 파악하십시오. TLS 복호화는 많은 연산 자원을 소모합니다.
• 페일오버를 대비해 여유 공간을 확보하여 클러스터를 구성함으로써, 한 노드가 손실되더라도 나머지 노드에 과부하가 걸리지 않도록 하십시오.
• 암호화된 트래픽의 증가, 대용량 파일 전송, 그리고 장시간 지속되는 AI 및 협업 세션을 고려하십시오.
• 용량 증설 방안을 수립하십시오. 가상 및 컨테이너형 어플라이언스는 전용 하드웨어보다 더 빠르게 확장할 수 있습니다.
• 클라우드 접속 지점(PoP)의 경우, 특히 데이터 소재지 제한으로 인해 사용할 수 있는 지역이 제한되는 경우에는 서비스 제공업체와 지역별 용량 및 장애 조치 옵션을 확인하십시오.

회복탄력성과 실패 양상

각 종속성이 실패할 경우 어떤 일이 발생하는지 정의하지 않는 한, 참조 아키텍처는 불완전한 것입니다.

• 공급업체 클라우드 서비스 이용 불가: 웹 및 사내 애플리케이션 정책은 캐시된 정책을 기반으로 로컬에서 계속 적용되지만, 데이터 보호( remote browser isolation), AI 보안 제어, CASB, 데이터 보안 상태 관리 등을 포함하여 클라우드에서 제공되는 서비스는 연결 경로가 복구될 때까지 적용되지 않으며, 원격 사용자는 다른 접속 지점으로 자동 전환됩니다.
• ID 제공자를 사용할 수 없음: 기존 세션을 계속 유지할지 여부와 로컬 대체 방안이 있는지 여부를 정의하십시오.
• 사이트 WAN 또는 인터넷 연결 중단 시: 로컬 ZTNA를 통해 현장 내 애플리케이션에 대한 액세스가 계속 유지됩니다.
• 로컬 게이트웨이 장애: 클러스터 피어 또는 클라우드 PoP가 동일한 정책에 따라 기능을 인수합니다.
• 페일-오픈(fail-open) 또는 페일-클로즈드(fail-closed): 트래픽 클래스별로 결정하고, 해당 상태를 운영팀에 공개하십시오.

테스트 계획에 대해서는 “하이브리드 SSE 복원력: 장애 조치 및 복구”를 참조하십시오.

CISA 및 NIST에 대한 제어 매핑

각 구성 요소를 널리 인정받는 프레임워크에 매핑하면, 참조 아키텍처는 감사자에게는 근거 자료가 되고, 구현자에게는 체크리스트가 됩니다.

이 표는 구성 요소들을 CISA의 제로 트러스트 성숙도 모델의 핵심 요소들과 NIST SP 800-53 Rev. 5에 명시된 대표적인 통제 범주에 대응시켜 보여줍니다.

이 매핑은 출발점일 뿐입니다. 각 조직은 자체 기준 및 규제 적용 범위에 따라 통제 조치의 적용 여부를 확인해야 합니다.

구현 사례

동일한 참조 모델은 정책을 재설계하는 것이 아니라 적용 지점을 조정함으로써 다양한 산업 분야에 맞춰 적용됩니다.

예 1: 지역 은행

본사 및 데이터 센터에서는 로컬 SWG 및 ZTNA 게이트웨이를 운영하여, 고객 데이터가 은행이 관리하는 인프라에서만 복호화 및 검사되도록 합니다. 지점의 트래픽은 로컬 어플라이언스를 사용하거나 가장 가까운 데이터 센터로 연결되는 터널을 통해 전송됩니다. 원격 근무자는 해당 지역 내 위치로 제한된 클라우드 접속 지점을 사용합니다. 검사 로그는 해당 국가 내에 보관됩니다. 이러한 방식은 EU 기관에 대한 DORA ICT 위험 관리 및 제3자 요구 사항을 충족하는 동시에, SaaS를 위한 클라우드 CASB 사용을 허용합니다.

예 2: OT 네트워크를 보유한 제조업체

세분화 방화벽은 플랜트의 OT 네트워크와 기업의 IT 네트워크를 분리합니다. OT 시스템은 로컬 SWG를 통해 승인된 업데이트 및 원격 측정 대상에만 접속할 수 있습니다. 엔지니어들은 장치 상태 점검이 포함된 로컬 ZTNA를 통해 플랜트 시스템에 접속합니다. WAN이나 클라우드 서비스에 장애가 발생하더라도 플랜트 접속 및 검사는 로컬에서 계속 진행됩니다.

예 3: 공공기관

기밀 네트워크나 외부와 연결되지 않은 네트워크의 경우, 외부 서비스 없이도 작동할 수 있도록 명시적으로 지원되는 구성 요소가 필요합니다. 비기밀 네트워크의 경우, 원격 근무자를 위해 적절히 승인된 클라우드 서비스를 사용할 수 있습니다. 정책 동기화, 신원, 업데이트 및 라이선스 관련 종속성을 문서화하고, 환경별 예외 사항은 변경 관리 절차에 따라 관리해야 합니다.

예 4: 지역 보건 시스템

전자 건강 기록(EHR) 및 영상 시스템은 의료 기관의 데이터 센터에서 운영됩니다. 병원의 임상 워크스테이션은 로컬 게이트웨이를 사용하므로, 웹 및 SaaS 트래픽 내의 환자 데이터는 온프레미스에서 검사됩니다. 의료 기기는 외부 접근이 엄격하게 제한된 세그먼트화된 구역에 배치됩니다. 원격으로 근무하는 임상의는 관리형 기기 요구 사항이 적용된 클라우드 ZTNA 브로커를 통해 EHR에 접속하며, 보호 대상 건강 정보에 대한 DLP 규칙은 두 경로 모두에서 동일하게 적용되어 HIPAA 보안 규칙의 보호 조치를 준수합니다.

예 5: 글로벌 소매업체

매장에서는 지역 허브로 연결되는 소규모 지점 게이트웨이 또는 터널을 사용하며, POS(판매 시점) 시스템은 결제 처리업체에만 접근이 허용되는 분리된 카드 소지자 데이터 환경에 배치됩니다. 기업 및 매장 직원의 웹 브라우징 활동은 지역 허브나 클라우드 접속 지점에서 검사되며, 유럽의 트래픽은 EU 지역으로만 제한되고 로그 기록은 해당 지역 내에 저장됩니다. 로컬 세분화 및 액세스 규칙이 클라우드에 의존하지 않기 때문에, WAN 장애 시에도 매장 시스템은 계속 작동합니다. 이는 PCI DSS의 세분화 및 로깅 요구 사항을 충족합니다.

성숙도 경로 및 검증

CISA의 성숙도 단계를 활용하여 단계적으로 도입하고, 반복 가능한 테스트를 통해 각 단계가 제대로 작동하는지 검증하십시오.

만기 경로

조직이 참조 아키텍처를 한 번에 완전히 구현하는 경우는 드물며, CISA의 모델은 유용한 로드맵이 되는 네 가지 단계(전통적, 초기, 고급, 최적)를 제시하고 있다.

현재 단계와 다음 단계 사이의 간격을 바탕으로 단계별 계획을 수립하십시오.

아키텍처 검증

아키텍처의 우수성은 테스트를 통해 검증된 동작에 달려 있으므로, 반복 가능한 테스트를 통해 각 흐름과 경계를 검증해야 합니다.

• 알려진 악성 URL, 테스트용 악성코드 파일, DLP 테스트 문서를 모든 적용 지점을 통해 전송하고, 사용 가능한 클라우드 경로를 통해 동일한 결과가 나오는지 확인합니다. 해당 경로가 차단되었을 때 클라우드 기반 제어 기능의 예상 동작을 기록합니다.
• 각 플로우가 정확히 한 번만 복호화되는지 확인하십시오.
• 현장, 원격 및 관리되지 않는 기기에서 비공개 애플리케이션에 접속을 시도하고, 예상되는 결과를 확인하십시오.
• 특정 사이트에서 공급업체 클라우드로의 액세스를 차단하고, 로컬 정책이 계속 적용되는지 확인하십시오.
• 모든 적용 지점의 로그가 SIEM에 정상적으로 전송되는지, 그리고 상주 규칙이 준수되는지 확인하십시오.

Skyhigh가 참조 아키텍처와 어떻게 대응되는지

Skyhigh Hybrid SSE Mesh는 제어 계층(콘솔 1개 및 정책이 코드로 적용되는 정책 엔진), 로컬 적용(로컬 TLS 검사 및 로컬 ZTNA 기능을 갖춘 온프레미스 SWG 어플라이언스), 클라우드 적용(클라우드 SWG, CASB, ZTNA 및 RBI), 브라우저 수준 제어, 그리고 DSPM(Skyhigh Security).

검사 키 보호 및 온프레미스 샌드박싱의 경우, Skyhigh에 문의하여 지원되는 연동 기능, 제품 버전 및 배포 요구 사항을 확인하십시오. 선택한 게이트웨이 또는 서비스에서 HSM이 지원된다고 가정하지 마십시오.

출처

1. NIST. SP 800-207: 제로 트러스트 아키텍처 (2020년 8월). https://csrc.nist.gov/pubs/sp/800/207/final
2. NIST. SP 800-215: 안전한 기업 네트워크 환경 구축 지침 (2022년 11월). https://csrc.nist.gov/pubs/sp/800/215/final
3. NIST NCCoE. SP 1800-35: 제로 트러스트 아키텍처 구현 (2025년 6월). https://csrc.nist.gov/pubs/sp/1800/35/final
4. NIST. SP 800-53 Rev. 5: 정보 시스템 및 조직을 위한 보안 및 개인정보 보호 통제. https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final
5. CISA. 제로 트러스트 성숙도 모델, 버전 2.0. https://www.cisa.gov/zero-trust-maturity-model
6. NSA. 전송 계층 보안(TLS) 검사에서 발생하는 위험 관리 (2019년 11월). https://media.defense.gov/2019/Nov/18/2002212783/-1/-1/0/MANAGING%20RISK%20FROM%20TLS%20INSPECTION_20191106.PDF
7. 유럽연합. 규정 (EU) 2022/2554 (디지털 운영 복원력법). https://eur-lex.europa.eu/eli/reg/2022/2554/oj
8. 미국 보건복지부(HHS). HIPAA 보안 규정. https://www.hhs.gov/hipaa/for-professionals/security/index.html
9. PCI 보안 표준 위원회. PCI DSS v4.0.1 (문서 라이브러리). https://www.pcisecuritystandards.org/document_library/
10. Skyhigh Security. “Skyhigh Hybrid SSE Mesh를 활용한 시만텍 엣지 Secure Web Gateway 현대화” (2026년 7월 15일). https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
11. Skyhigh Security. “Skyhigh SSE 플랫폼으로 하이브리드 도입이 한층 더 쉬워졌습니다” (2024년 10월 3일). https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html