클라우드 전환은 빨라졌는데, 보안은 아직 온프레미스 감성에 묶여 있음

클라우드는 이미 커졌고, 보안은 아직 뒤따라가는 중

• 국내 클라우드 시장은 이제 실험 단계가 아니라 본게임에 들어감

  • 2024년 국내 퍼블릭 클라우드 시장은 전년 대비 23.4% 성장해 약 6조2000억원 규모가 됨
  • 세부적으로는 PaaS가 39.5%, IaaS가 26.8%, SaaS가 15.8% 성장함
  • 2025년 클라우드 시장 규모가 전년 대비 25.2% 늘어 처음 9조원을 넘었다는 조사도 나옴

• 재미있는 변화는 국내 사업자 존재감이 커지고 있다는 점임

  • AWS는 여전히 강자지만, 삼성SDS가 마이크로소프트를 제치고 2위에 올랐고 네이버와 KT도 순위권에 들어옴
  • 공공과 금융권이 클라우드 문을 열기 시작하면서 글로벌 사업자만 보던 시장 구도가 조금씩 바뀌는 중임

• 정부 정책도 클라우드 전환에 계속 가속 페달을 밟고 있음

  • 2030년까지 대부분의 공공 정보시스템을 클라우드 네이티브로 전환하겠다는 방향이 잡혀 있음
  • 공공 AI 전환도 민간 클라우드 서비스를 기반으로 안착시키려는 흐름임
  • 결국 GPU, TPU, 고속 스토리지, 네트워크 같은 AI 인프라 수요가 같이 커질 수밖에 없음

사고는 클라우드 사업자보다 사용자 쪽에서 터짐

• 보안 업계가 공통으로 지적하는 부분은 클라우드 자체보다 운영 미숙이 더 위험하다는 점임

  • 허깅페이스의 특정 Spaces 개발 환경에서는 보안 승인 토큰이 외부로 노출되는 사고가 있었음
  • 국내에서는 쇼핑몰 플랫폼이 쓰던 글로벌 CSP의 클라우드 스토리지가 퍼블릭으로 열린 채 방치돼 수백만건의 고객 주문 내역과 개인정보가 유출된 사례도 나옴

• 설문조사 숫자를 보면 현장 온도가 꽤 선명함

  • 보안 전문가 562명 중 73.3%는 이미 클라우드 서비스를 사용 중이라고 답함
  • 7.1%는 1년 이내 도입 계획이 있다고 답했고, 사용하지 않는다는 응답은 19.6%였음
  • 그런데 클라우드 전담 직원이 없다는 조직이 37.5%로 가장 많았고, 1명뿐이라는 응답도 19.6%였음

• 사고 경험도 무시하기 어려운 수준임

  • 응답자의 17.9%는 클라우드 보안 사고를 겪었다고 답함
  • 사고 유형 1위는 설정 오류와 취약한 접근관리로 35.7%였음
  • 내부자 위협은 25.0%, 계정 탈취와 자격 증명 관리 부실은 16.1%, API와 인터페이스 취약점 공격은 14.3%였음

보안의 초점이 네트워크에서 앱·데이터·AI로 이동 중

• 예전 클라우드 보안이 방화벽, IPS 같은 인프라 보호 중심이었다면 지금은 훨씬 안쪽까지 봐야 함

  • WAF, API Protection, Bot Detection, CASB, SSPM처럼 애플리케이션과 데이터 자체를 보호하는 제품 수요가 커지고 있음
  • 생성형 AI 사용이 늘면서 기업 차원의 GenAI Security도 새 관심사로 올라옴

• CNAPP은 클라우드 보안 시장이 포인트 솔루션에서 플랫폼으로 넘어가는 대표 사례임

  • CSPM, CWPP, CIEM처럼 흩어진 기능을 하나로 묶어 클라우드 리소스, 워크로드, 권한 위험을 같이 보려는 접근임
  • 클라우드 환경이 복잡해질수록 콘솔 여러 개를 열어놓고 사람이 알림을 맞춰보는 방식은 버티기 힘듦

• 다만 통합의 방향은 업체마다 조금 다름

  • 한쪽은 CNAPP이 인프라 내부 위험을 보고, SASE와 SSE가 사용자와 애플리케이션 접속 경로를 통제하는 식의 역할 분담을 강조함
  • 다른 쪽은 CNAPP, IAM, EDR, SASE 신호를 한 운영 평면에 모아 분석가가 사고 전체를 보게 해야 한다고 봄
  • 결국 키워드는 하나임. 흩어진 신호를 모아 실제 운영자가 이해하고 움직일 수 있게 만들어야 함

sequenceDiagram
    participant 개발자
    participant 클라우드
    participant CNAPP
    participant SASE
    participant 보안팀
    개발자->>클라우드: 인프라와 앱 배포
    클라우드->>CNAPP: 설정·권한·워크로드 상태 전달
    CNAPP->>SASE: 리소스별 위험 점수 공유
    SASE->>개발자: 위험 경로 접근 제한
    CNAPP->>보안팀: 사고 맥락과 우선순위 알림
    보안팀->>클라우드: 설정 수정과 권한 회수

생성형 AI는 보안의 새 공격면이 됨

• 기업이 생성형 AI를 업무에 넣으면서 프롬프트 자체가 데이터 유출 경로가 되고 있음

  • 자연어 입력은 같은 의도라도 표현이 무한히 달라서 단순 키워드 차단으로 막기 어려움
  • 기사에서는 OWASP Top 10 for LLM 기준에 대응하는 26가지 보안 토픽, 프롬프트 DLP, 데이터 마스킹 같은 방식이 언급됨

• 사람 계정뿐 아니라 비인간 신원도 새 골칫거리로 부상함

  • 클라우드 안에는 서비스 계정, 봇, 자동화 워크플로, AI 에이전트 같은 비인간 신원(NHI)이 많음
  • 사람은 다단계 인증으로 어느 정도 검증할 수 있지만, 자율적으로 움직이는 AI 에이전트는 통제 지점이 훨씬 애매함

국내 기업 입장에서는 지금이 보안 구조를 다시 짤 타이밍

• 공공·금융 클라우드 전환은 이제 규제 때문에 못 한다는 단계에서 벗어나고 있음

  • N2SF와 금융권 망분리 규제 완화가 맞물리면서 공공·금융권도 클라우드와 AI 도입을 검토할 수 있는 환경이 만들어지고 있음
  • 정부가 공공 클라우드 전환율을 2030년까지 90%로 끌어올리겠다고 한 만큼 국내 CSP와 보안 기업에는 큰 시장이 열릴 수 있음

• 문제는 인력임

  • 클라우드 전담 직원이 없거나 1명뿐인 조직이 절반을 넘는 상황에서 보안까지 챙기기는 쉽지 않음
  • 그래서 클라우드 보안 기업들이 단순 제품 판매를 넘어 관제와 운영 서비스까지 같이 제공하려는 흐름이 생김

• 글로벌 규제 대응도 무시 못 함

  • 유럽 사이버 복원력 법안(CRA), GDPR, NIS2 같은 규제는 보안을 제품·데이터·조직 운영 전반의 책임으로 보고 있음
  • GDPR은 위반 시 전 세계 연간 매출의 최대 4% 또는 2000만 유로 중 높은 금액을 과징금으로 부과할 수 있음
  • 이제 클라우드 보안은 보안팀 숙제가 아니라 글로벌 비즈니스 계속할 수 있느냐의 경영 이슈가 됨

기술 맥락

• 클라우드 보안에서 중요한 변화는 보안 경계가 장비 위치가 아니라 데이터와 권한의 흐름으로 옮겨갔다는 점이에요. 예전에는 사내망 입구를 잘 막는 게 중심이었다면, 지금은 SaaS, API, 생성형 AI, 원격 접속이 섞여 있어서 어디서 누가 어떤 데이터에 접근하는지가 더 중요해졌거든요.

• CNAPP이 뜨는 이유는 클라우드 사고가 설정, 권한, 워크로드, 취약점 중 하나만 보고는 잘 안 잡히기 때문이에요. 예를 들어 공개 스토리지, 과도한 IAM 권한, 노출된 토큰이 따로 보면 작은 문제처럼 보여도 같이 묶이면 바로 사고 시나리오가 돼요.

• SASE나 SSE가 같이 언급되는 이유는 클라우드 내부 위험만 알아서는 접근을 막을 수 없기 때문이에요. CNAPP이 리소스 위험 점수를 만들고, SASE가 사용자 접속 경로에서 정책을 바꾸는 식으로 연결돼야 실제 차단까지 이어져요.

• 생성형 AI 보안은 프롬프트라는 새 입력면 때문에 까다로워요. 사용자가 민감정보를 자연어로 조금씩 바꿔 입력하면 단어 목록 기반 필터는 쉽게 우회될 수 있어서, 요청의 의도와 응답 맥락을 같이 보는 방식이 필요해요.