하이브리드 클라우드 보안 솔루션: 공급업체 비교 방법

하이브리드 클라우드 보안 솔루션은 온프레미스 인프라와 클라우드 서비스 전반에 걸쳐 사용자, 애플리케이션 및 데이터를 보호합니다. 공급업체마다 매우 다른 제품을 두고도 동일한 용어를 사용하기 때문에 업체 간 비교가 어렵습니다. 이 가이드에서는 솔루션 범주, 가장 중요한 요구 사항, 그리고 하이브리드 클라우드 보안 공급업체를 종합적으로 평가하기 위한 점수 산정 방법을 설명합니다.

이 기사는 ‘하이브리드 클라우드 보안’ 가이드의 일부입니다.

하이브리드 클라우드 보안 솔루션의 유형

하이브리드 클라우드 보안 솔루션은 크게 6가지 범주로 나뉘며, 대부분의 하이브리드 환경에서는 이 중 여러 가지가 필요합니다.

공급업체가 실제로 어떤 카테고리의 상품을 판매하는지 파악하면 부적절한 비교를 방지할 수 있습니다.

이 가이드에서는 첫 번째 및 네 번째 범주, 즉 클라우드와 온프레미스 환경 간에 사용자와 데이터가 이동하는 과정을 보호하는 솔루션에 중점을 둡니다. 바로 이 부분이 하이브리드 아키텍처 결정이 일상적인 위험에 가장 큰 영향을 미치는 부분입니다. 보다 광범위한 아키텍처에 대해서는 ‘하이브리드 클라우드 보안: 아키텍처 및 모범 사례’를 참조하십시오.

비교해야 할 다섯 가지 요건

배포 유연성, 데이터 보호, 정책 제어, 통합, 마이그레이션이라는 5가지 요구 사항을 기준으로 하이브리드 클라우드 보안 공급업체를 비교해 보세요.

1. 배포 유연성

하이브리드는 단순히 선택 항목이 아닙니다. 엔포스먼트가 정확히 어디에서 실행될 수 있는지, 그리고 공급업체의 클라우드에 어떤 부분이 의존하는지 구체적으로 확인하십시오.

• 각 모드에서 어떤 기능을 사용할 수 있으며, 트래픽이 어디에서 검사되든 상관없이 공급업체 클라우드에서 제공되는 기능은 무엇입니까?
• 온프레미스 구성 요소는 물리적 어플라이언스, 가상 머신, 컨테이너 중 어느 것입니까, 아니면 이 세 가지 모두입니까?
• 온프레미스 환경에서 실행할 때 어떤 기능들이 여전히 공급업체 클라우드와의 연결을 필요로 합니까(라이선스, 업데이트, 위협 인텔리전스, 관리)?
• 에어 갭(air-gapped) 방식 또는 네트워크에서 분리된 상태에서의 작동이 지원되나요?
• 원격 사용자는 데이터 센터를 경유하는 헤어핀 연결 없이도 사내 전용 앱에 접속할 수 있으며, 현장 사용자는 클라우드를 경유하는 헤어핀 연결 없이도 해당 앱에 접속할 수 있습니까?

가트너 용어집에 따르면 security service edge SSE는 주로 클라우드를 통해 제공되지만 온프레미스 또는 에이전트 기반 구성 요소를 포함할 수도 있다고 명시하고 있습니다. 공급업체가 이러한 구성 요소를 지원하는 정도는 매우 다양합니다.

2. 데이터 보호

데이터 보호 측면에서 하이브리드 솔루션 간의 차이가 가장 두드러집니다.

• 단일 DLP 정책 엔진으로 웹, SaaS(인라인 및 API), 사내 애플리케이션, 엔드포인트, 이메일, 생성형 AI 도구를 모두 다룰 수 있습니까?
• 분류는 모든 채널에 공통으로 적용되나요, 아니면 제품별로 별도로 설정되나요?
• DSPM이 통합되어 있어, 저장된 데이터에 대한 탐지 결과가 인라인 정책에 반영되나요?
• 트래픽은 어디에서 복호화되며, DLP 사고 관련 사본은 어디에 저장되나요?

3. 정책 제어

• 온프레미스 및 클라우드 적용을 위한 단일 정책 엔진이 있는 건가요, 아니면 별도의 엔진들을 통합 관리하는 단일 콘솔이 있는 건가요?
• 정책을 코드처럼 관리하고, 버전 관리를 하며, 롤백할 수 있을까요?
• 정책 변경 사항이 모든 적용 지점에 어떻게 반영되며, 편차는 어떻게 감지되나요?
• 정책에서 신원, 기기 상태, 데이터 분류 및 위험 신호를 함께 활용할 수 있습니까?

하나의 콘솔 아래에 분리된 엔진이 있어도 여전히 드리프트 현상이 발생합니다. 데모 중에 공급업체 측에 규칙 하나를 변경해 달라고 요청하고, 해당 규칙이 온프레미스 게이트웨이와 클라우드 PoP(접속 지점)에서 모두 적용되는 모습을 보여달라고 하세요.

4. 통합

• 어떤 ID 제공자, 엔드포인트 에이전트, SIEM 및 SOAR 플랫폼, 티켓팅 시스템이 기본적으로 지원되나요?
• 로그를 SIEM으로 거의 실시간으로 스트리밍할 수 있으며, 전송 대상을 지역별로 제한할 수 있습니까?
• 이 솔루션은 기존 하드웨어 보안 모듈 및 샌드박싱과 연동되나요?
• API에 대한 문서가 충분히 마련되어 있고, 자동화를 수행하기에 충분한 수준인가요?

5. 이주

대부분의 구매자는 기존 시스템을, 대개는 구형 프록시를 대체하기 위해 이를 도입합니다.

• 기존 정책을 이관하기 위한 정해진 방법이 있나요? 어느 정도까지 자동화되어 있으며, 어떤 부분은 수동으로 검증해야 하나요?
• 검증 단계에서 새로운 솔루션이 기존 시스템과 병행하여 실행될 수 있습니까?
• 어떤 전문 서비스가 포함되어 있으며, 전환 계획의 책임자는 누구입니까?
• 교체 대상 제품의 잔여 계약 금액을 상쇄해 주는 상업용 프로그램이 있나요?

“Secure Web Gateway 마이그레이션: 전환 및 롤백 체크리스트”를 참조하십시오.

하이브리드 클라우드 보안 요구사항 체크리스트

벤더를 평가하기 전에, 이러한 하이브리드 클라우드 보안 요구 사항을 합격/불합격 기준으로 삼으십시오:

• 단일 정책 엔진을 통해 온프레미스 및 클라우드 환경에서 모두 적용 가능
• 규제 대상 트래픽에 대한 로컬 TLS 검사 옵션
• 원격 및 현장 사용자를 위한 애플리케이션별 ZTNA( private access )
• 웹, SaaS, 사내 애플리케이션, 엔드포인트 및 AI 도구를 아우르는 통합 DLP
• 공급업체 클라우드에 접속할 수 없을 때의 동작 기록
• 로그 및 데이터 보관지 관리 조치
• 관련 인증 및 승인 (예: FedRAMP, SOC 2 Type II, ISO 27001, 지역별 인증 체계 등)
• 병렬 실행 마이그레이션 지원

평가 점수표

자사의 환경에 따라 각 요구 사항의 중요도를 평가한 다음, 공급업체에 1점에서 5점까지 점수를 매기십시오.

규제 대상 기업들은 대개 데이터 보호와 배포 유연성을 더 중요하게 여깁니다. 반면, 온프레미스 검사 요건이 없는 ‘클라우드 우선’ 기업들은 통합성과 사용자 경험을 더 중요하게 여길 수 있습니다.

하이브리드 클라우드 보안 제공업체에 물어봐야 할 질문들

올바른 질문은 공급업체로 하여금 정책의 일관성, 데이터 처리 방식, 오류 발생 시의 대응 방식을 단순히 설명하는 데 그치지 않고 실제로 보여줄 수 있도록 합니다.

1. 온프레미스 게이트웨이와 클라우드 PoP 모두에 적용되는 정책 변경 사항을 하나 제시해 주세요.
2. 우리의 트래픽은 정확히 어디에서 복호화되며, 누가 복호화된 콘텐츠에 접근할 수 있습니까?
3. 당사의 로그, 사고 증거 자료 및 원격 측정 데이터는 어느 국가에 저장되며, 이를 제한할 수 있습니까?
4. 클라우드 서비스에 4시간 동안 접속할 수 없게 되면, 검사 및 private access 는 어떻게 되나요?
5. 온프레미스 구성 요소는 어떻게 업데이트되며, 업데이트를 단계적으로 진행할 수 있나요?
6. AI 도구와 에이전트가 사용하는 WebSocket 및 기타 장기 연결은 어떻게 처리하고 계신가요?
7. 우리가 구매하려는 특정 부품에 대해 어떤 독립적인 분석가의 평가 및 인증이 적용되나요?
8. 현재 제품에서 전환하는 일반적인 과정은 주 단위로 보면 어떻게 되며, 고객들이 가장 자주 과소평가하는 부분은 무엇인가요?

개념 검증 수행

유용한 개념 검증(PoC)은 공급업체의 가장 뛰어난 기능이 아니라, 가장 위험도가 높은 가정을 검증하는 것입니다.

• 트래픽: 처리량이 높은 사이트를 포함하여, 파일럿 그룹의 실제 트래픽을 활용하십시오.
• TLS 검사: 예상되는 실제 운영 트래픽 양에서 검사를 활성화한 상태로 지연 시간과 처리량을 측정합니다.
• 데이터 보호: 테스트 문서에 자체 기밀 데이터 패턴을 입력하고, 웹, SaaS 및 AI 도구 업로드 전반에 걸쳐 일관된 탐지 기능이 작동하는지 확인하십시오.
• 장애: 공급업체 클라우드와의 연결이 끊긴 상황을 시뮬레이션하고, 어떤 기능이 계속 작동하는지 확인합니다.
• 운영: 차단된 사이트에 대한 정책 변경 및 문제 해결은 공급업체 엔지니어가 아닌 귀사의 관리자가 수행하도록 하십시오.

주의 신호

이러한 경고 신호는 대개 해당 공급업체의 하이브리드 지원이 마케팅에서 내세우는 것보다 미흡하다는 것을 의미합니다.

• “하이브리드”란 단순히 공급업체의 클라우드가 귀사의 데이터 센터에 연결될 수 있다는 의미일 뿐입니다.
• 온프레미스 및 클라우드 제품은 각각 별도의 정책 구문이나 별도의 DLP 사전을 사용합니다.
• 공급업체는 복호화된 데이터가 어디에서 처리되는지 밝힐 수 없습니다.
• Private access 온프레미스 사용자의 경우 클라우드를 경유하는 왕복 전송이 필요합니다.
• 마이그레이션은 유효성 검사 단계가 없는 파일 가져오기로 정의됩니다.

Skyhigh Security 의 적용 분야

Skyhigh Security 단일 정책 엔진에 의해 관리되는 온프레미스 및 클라우드 기반 적용이 필요한 조직에 적합합니다.

Skyhigh Hybrid SSE Mesh는 온프레미스 SWG 어플라이언스, 로컬 ZTNA 및 보안 브라우저 제어 기능을 클라우드 CASB, DSPM, DLP 및 RBI와 하나의 콘솔 및 하나의 정책 엔진 아래 통합합니다. 로컬 TLS 검사는 조직의 자체 인프라에서 실행되며, 관련 트래픽은 클라우드 기반 서비스로 전달됩니다. 정책은 코드 형태로 물리적, 가상 및 클라우드 적용 지점에 배포됩니다.

Skyhigh Security Security Service Edge 2026년 가트너®(Gartner®)의 ‘클라우드 기반 보안 플랫폼( Critical Capabilities )’ 부문 ‘고급 SSE 사용 사례(Advanced SSE Use Case)’에서 1위를 차지했습니다(발표). 해당 플랫폼은 FedRAMP High 인증을 보유하고 있으며, IRAP, BSI C5, SOC 2 Type II, CSA STAR Level 2 등 추가 인증을 획득했습니다. Skyhigh Security에 따르면, 이 플랫폼은 FedRAMP High 인증을 획득했으며, IRAP, BSI C5, SOC

출처

1. 가트너. Security Service Edge (SSE), 정보 기술 용어집. https://www.gartner.com/en/information-technology/glossary/security-service-edge-sse
2. NSA 및 CISA. 클라우드 보안 완화 전략 10가지 (2024년 3월 7일). https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3699169/nsa-releases-top-ten-cloud-security-mitigation-strategies/
3. NIST. SP 800-215: 안전한 기업 네트워크 환경 구축 지침 (2022년 11월). https://csrc.nist.gov/pubs/sp/800/215/final
4. Skyhigh Security. “Skyhigh Security , 2026년 가트너 ‘ Critical Capabilities ’ 보고서에서 ‘ Security Service Edge’ 부문의 ‘고급 SSE 사용 사례’ 1위 선정” (2026년 8월 5일). https://www.globenewswire.com/news-release/2026/08/05/3339504/0/en/skyhigh-security-ranked-1-in-advanced-sse-use-case-in-2026-gartner-critical-capabilities-for-security-service-edge.html
5. Skyhigh Security. 시만텍 Edge SWG(Blue Coat)를 최신 버전으로 업데이트합니다. https://www.skyhighsecurity.com/bluecoat-modernize.html

GARTNER는 미국 및 전 세계에서 Gartner, Inc. 및/또는 그 계열사의 등록 상표 및 서비스 마크이며, 본 문서에서는 허가를 받아 사용되었습니다. 모든 권리는 Gartner에 있습니다. Gartner는 자사의 연구 간행물에 소개된 어떠한 공급업체, 제품 또는 서비스도 추천하지 않습니다.