클라우드와 온프레미스 전반에 걸친 일관된 보안 정책
- 하이브리드 정책 관리를 통해, 문서화된 예외 사항만을 제외하고는 단일하게 작성된 규칙 세트가 온프레미스 및 클라우드 환경의 정책 적용을 모두 통제합니다.
- 환경을 별도로 관리할 경우 정책의 일관성 상실이 자연스럽게 발생하므로, 이를 방지하기 위해서는 운영 모델이 필요합니다.
- 책임자를 지정하고, 변경 사항마다 버전을 관리하며, 단계적으로 배포하고, 언제든지 롤백할 수 있도록 준비해 두십시오.
- 단 하나의 예외 레지스터와 정기적인 드리프트 점검을 통해 로컬 및 클라우드 측의 적용 기준이 일관되게 유지됩니다.
- 모든 적용 지점을 아우르는 단일 정책 엔진을 통해 대부분의 동기화 작업과 변환 오류를 제거할 수 있습니다.
하이브리드 보안 정책 관리는 보안 정책을 한 번 정의한 후, 데이터 센터의 게이트웨이, 지사용 어플라이언스, 클라우드 접속 지점 등 모든 적용 지점에 일관되게 적용하는 방식입니다. 그 목표는 트래픽을 처리하는 적용 지점이 어디든 상관없이 사용자, 기기, 데이터 유형 또는 애플리케이션이 모두 동일한 방식으로 처리되도록 하는 것입니다.
이 기사는 ‘하이브리드 클라우드 보안’ 가이드의 일부입니다.
하이브리드 환경에서 정책이 왜 일관성을 잃게 되는가
드리프트는 동일한 의도가 두 곳 이상의 서로 다른 위치에서 별도로 구현될 때 발생합니다:
- 규칙 구문과 카테고리 데이터베이스가 서로 다른 온프레미스 게이트웨이와 클라우드 서비스
- 한 환경에서는 긴급하게 예외가 추가되었으나, 다른 환경에는 전혀 반영되지 않았습니다.
- 네트워크, 클라우드 및 데이터 보안 정책을 각각 담당하는 여러 팀
- 한 채널에 대해서는 DLP 사전이 업데이트되었으나 다른 채널에 대해서는 업데이트되지 않았습니다
- 정상적인 절차 외적으로 기기에서 직접 수행된 긴급 변경 사항
그 결과, 보안은 사용자가 우연히 있는 위치에 따라 달라지게 됩니다. 감사 담당자는 이러한 취약점을 발견하고, 공격자는 이를 악용하며, 어떤 정책이 적용되는지 아무도 확신할 수 없기 때문에 문제 해결 속도가 느려집니다. NSA와 CISA가 제시한 ‘클라우드 보안 완화 전략 10대’는 인프라-어스-코드(Infrastructure as Code)를 통한 안전한 자동 배포 전략과 하이브리드 및 멀티 클라우드 환경의 복잡성을 해결하기 위한 전략을 제시함으로써 이러한 문제를 직접적으로 다루고 있습니다.
소유권
일관된 정책 수립은 도구를 선정하기 전에 각 정책 분야에 대한 명확한 책임 소재를 정하는 것에서 시작됩니다.
| 정책 분야 | 전형적인 소유주 | 승인자 |
|---|---|---|
| 웹 접속 및 카테고리 | 네트워크 또는 웹 보안 팀 | 보안 리더십, 적정 사용에 관한 인사 관리 |
| 비공개 애플리케이션 액세스 | 신원 및 접근 관리 팀 | 애플리케이션 소유자 |
| 데이터 보호 (DLP) | 데이터 보안 팀 | 데이터 소유자, 개인정보 보호, 규정 준수 |
| 위협 방지 | 보안 운영 | 보안 리더십 |
| TLS 복호화 및 우회 방법 | 웹 보안 팀 | 개인정보 및 법적 사항 |
| 예외 | 사업주 요청 | 정책 분야 담당자 |
모든 규칙에는 담당자와 비즈니스적 근거가 명확히 명시되어야 합니다.
버전 관리
보안 정책을 코드처럼 취급하여, 모든 변경 사항이 검토되고 기록되며 원상복구가 가능하도록 하십시오:
- 정책 정의를 버전 관리 시스템에 저장하거나, 전체 버전 이력을 보관하는 플랫폼을 사용하십시오.
- 모든 변경 사항에 대해 설명, 티켓 참조 번호 및 승인자를 반드시 기재해야 합니다.
- 배포 전에 변경 사항을 검토하고, 현재 버전과의 차이점(diff)도 확인하십시오.
- 태그를 지정하여 배포된 상태를 식별하고 복원할 수 있도록 합니다.
NIST SP 800-53 Rev. 5의 구성 관리 통제 사항(기준 구성(CM-2) 및 구성 변경 통제(CM-3) 포함)은 서버뿐만 아니라 보안 정책에도 동일하게 적용됩니다. NIST SP 800-128은 이를 뒷받침하는 보안 중심의 구성 관리 관행을 설명하고 있습니다.
출시
정책 변경 사항을 단계적으로 적용하여, 문제가 모든 사용자에게 영향을 미치기 전에 소수의 사용자 그룹에서 먼저 드러나도록 하십시오:
- 테스트 환경이나 정책 시뮬레이션 도구를 사용하여 검증하십시오.
- 소수의 사용자 또는 단일 사이트를 대상으로 한 카나리아 테스트.
- 기준치와 비교하여 블록 발생률, 오류 및 헬프데스크 티켓을 모니터링합니다.
- 사이트와 클라우드 리전 전반에 걸쳐 단계적으로 확장하십시오.
- 모든 적용 지점에서 새 버전이 보고되는지 확인하십시오.
긴급한 위협에 따른 변경 사항의 경우, 변경 내용을 기록하고 모든 곳에 동기화할 수 있는 신속 처리 절차를 마련하십시오.
예외
예외가 있는 곳일수록 일관성이 가장 빨리 무너진다.
모든 환경을 아우르는 단일 예외 레지스터를 유지합니다:
- 적용 범위: 사용자, 그룹, 대상, 데이터 클래스 및 채널
- 환경: 예외가 적용되는 집행 지점
- 근거 및 소유자
- 만료일 또는 검토일
- 보정 제어
예외는 중앙 정책에서 생성하여 전파해야 하며, 개별 기기에서 직접 구성해서는 안 됩니다.
드리프트 점검
드리프트 감지는 의도된 정책과 실제로 배포된 내용을 비교합니다.
- 버전 확인: 모든 적용 지점은 현재 활성화된 정책 버전을 보고하며, 버전이 일치하지 않을 경우 경고를 발생시킵니다.
- 구성 차이 분석: 배포된 구성을 주기적으로 내보낸 후 승인된 기준값과 비교합니다.
- 동작 테스트: 로컬 게이트웨이에서 URL 및 애플리케이션 테스트를 실행하고, 게이트웨이가 전달하는 클라우드 적용 경로에 대해 데이터 보호 테스트를 실행한 다음, 그 결과를 직접 작성한 정책과 비교합니다.
- 예외 감사: 장치 수준의 예외를 중앙 레지스터와 비교합니다.
최소 매주 한 번씩, 그리고 변경 작업이 끝날 때마다 드리프트 점검 일정을 잡으십시오.
되돌리기
롤백은 단일 작업으로 모든 적용 지점에 이전 정책 버전을 복원해야 합니다.
- 모든 적용 대상에 다시 배포할 수 있도록 이전 버전의 정책을 준비해 두십시오.
- 롤백을 승인할 수 있는 대상과 그 조건을 정의하십시오.
- 동일한 작업 내에서 롤백이 클라우드 및 온프레미스 적용 지점에 모두 도달하는지 확인하십시오.
- 롤백 내역을 사유와 함께 기록하고, 후속 검토를 진행하십시오.
동기화 모델
네 가지 동기화 모델이 존재하며, 정책 관리가 더욱 통합될수록 드리프트 위험은 감소한다.
| 모델 | 작동 원리 | 드리프트 위험 |
|---|---|---|
| 별도의 관리 | 각 환경마다 고유한 콘솔과 규칙이 있습니다. | 높음 |
| 스크립트 기반 동기화 | 플랫폼 간 도구 내보내기 및 가져오기 규칙 | 중간; 번역 누락 및 동기화 오류 |
| 공유 목록 | 규칙은 서로 다르지만, 허용 및 차단 목록은 동기화됩니다. | 중간 |
| 단일 정책 엔진 | 모든 집행 지점에 하나의 정책이 적용됨 | 낮음 |
단일 정책 엔진은 기기가 업데이트에 실패할 수 있기 때문에 여전히 드리프트 검사가 필요하지만, 규칙 언어 간의 변환 과정은 제거됩니다.
중앙 집중식 보안 정책 관리 체크리스트
이 체크리스트를 활용하여 하이브리드 정책 관리가 제대로 이루어지고 있는지 확인하십시오.
- 모든 정책 분야에는 담당자와 승인자가 있습니다.
- 모든 정책 변경 사항에는 티켓 참조 번호가 포함된 버전 정보가 부여됩니다.
- 변경 사항은 모니터링을 통해 단계적으로 적용됩니다.
- 단 하나의 예외 레지스터로 모든 환경을 포괄합니다
- 실행 지점은 활성 정책 버전을 보고합니다
- 드리프트 검사는 일정대로 및 변경 사항 발생 후에 수행됩니다.
- 롤백 기능은 문서화 및 테스트를 거쳤습니다.
- 합성 테스트 결과, 작성된 정책 하나가 해당 세션을 처리하는 적용 지점에서 각 세션에 대해 예상된 결과를 산출하는 것으로 확인되었습니다.
Skyhigh가 일관된 하이브리드 정책 수립을 지원하는 방법
Skyhigh는 하나의 정책 세트를 코드 형태로 모든 적용 지점에 배포함으로써 하이브리드 정책을 일관되게 유지합니다.
Skyhigh는 ‘정책-as-코드(policy-as-code)’ 아키텍처를 사용하여, 환경 간 수동 조정 과정 없이 물리적 어플라이언스, 가상 시스템 및 클라우드 노드 전반에 정책을 자동으로 적용합니다(Skyhigh Security). 이 솔루션의 하이브리드 SWG는 온프레미스 정책을 클라우드로 원클릭 마이그레이션하고 통합 정책을 실시간으로 동기화하며, 규칙 추적 기능을 통해 특정 사용자의 트래픽에 어떤 정책이 영향을 미쳤는지 확인할 수 있습니다(Skyhigh Security). 2026년 3월 플랫폼 업데이트를 통해 위치에 구애받지 않는 통합 정책 관리 기능과 프로그래밍이 가능하며 확장 가능한 정책 프레임워크가 추가되었습니다. Skyhigh Hybrid SSE Mesh를 통해 정책은 클라우드 콘솔에서 한 번만 작성하면 모든 세션에 적용됩니다 Secure Web Gateway, Zero Trust Access 및 Secure Browser Controls는 온프레미스 Secure Service Gateway에서 기본적으로 적용되는 반면, DLP, CASB, DSPM, RBI 및 AI 보안 제어 기능은 Skyhigh 클라우드를 통해 적용됩니다.
출처
- NSA 및 CISA. 클라우드 보안 완화 전략 10가지 (2024년 3월 7일). https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3699169/nsa-releases-top-ten-cloud-security-mitigation-strategies/
- NIST. SP 800-53 Rev. 5: 정보 시스템 및 조직을 위한 보안 및 개인정보 보호 통제. https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final
- NIST. SP 800-128: 정보 시스템의 보안 중심 구성 관리를 위한 지침. https://csrc.nist.gov/pubs/sp/800/128/upd1/final
- Skyhigh Security. “Skyhigh Hybrid SSE Mesh를 활용한 시만텍 엣지 Secure Web Gateway 현대화” (2026년 7월 15일). https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
- Skyhigh Security. “Skyhigh SSE 플랫폼으로 하이브리드 도입이 한층 더 쉬워졌습니다” (2024년 10월 3일). https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html
- Skyhigh Security. “Skyhigh Security , 혁신적인 범용 SSE 플랫폼을 강화할 새로운 솔루션 발표” (2026년 3월 24일). https://www.skyhighsecurity.com/about/newsroom/newswire/skyhigh-security-announces-new-solutions-to-strengthen-disruptive-universal-sse-platform.html