클라우드 전환은 빨라졌는데, 보안 운영은 아직 온프레미스 감각에 머물러 있다

클라우드는 커졌는데 보안은 뒤처지는 중

• 국내 클라우드 시장은 이미 본격 성장 구간에 들어갔음

  • IDC 보고서 기준 2024년 국내 퍼블릭 클라우드 시장은 전년 대비 23.4% 성장해 약 6조2000억원 규모를 형성함
  • PaaS는 39.5%, IaaS는 26.8%, SaaS는 15.8% 성장률을 기록함
  • 2025년 클라우드 시장은 전년 대비 25.2% 증가해 처음으로 9조원을 넘었다는 조사도 기사에 언급됨

• 성장의 핵심 배경은 공공 클라우드 전환과 AI 수요임

  • 정부는 2030년까지 대부분의 공공 정보시스템을 클라우드 네이티브로 전환하려는 방향을 잡고 있음
  • 공공 AI 전환도 민간 클라우드 서비스를 활용하는 쪽으로 움직이고 있음
  • 기업에서는 LLM, 맞춤형 AI 인프라, AI 에이전트 기반 SaaS 수요가 GPU 인프라와 고속 스토리지, 네트워크 수요를 같이 끌어올리는 중임

• 글로벌 시장도 같은 방향으로 커지고 있음

  • 그랜드뷰리서치 보고서에 따르면 전 세계 클라우드 컴퓨팅 시장은 약 1조1881억달러 규모로 언급됨
  • 2026년에는 1조달러를 넘어설 것으로 예측된다는 내용도 나옴

사고 원인은 거창한 해킹보다 운영 실수인 경우가 많음

• 기사에서 반복해서 짚는 핵심은 클라우드 사고 대부분이 클라우드 사업자를 직접 뚫어서 나는 게 아니라는 점임

  • 임직원 PC 해킹으로 클라우드 계정 정보가 유출됨
  • 개발자가 API 키나 토큰을 실수로 노출함
  • 스토리지를 퍼블릭으로 열어둔 채 방치함

• 실제 사례도 꽤 뼈아픔

  • 2025년 말 Hugging Face의 특정 Spaces 개발 환경에서 보안 승인 토큰이 외부로 유출된 사고가 언급됨
  • 개발자가 API 시크릿 키와 토큰을 클라우드 환경 설정 과정에서 노출했고, 공격자가 접근권을 얻을 수 있는 상황이 됐음
  • 국내에서는 한 온라인 쇼핑몰 플랫폼이 쓰던 글로벌 CSP의 클라우드 데이터 스토리지가 퍼블릭 오픈 상태로 방치돼 수백만건의 주문 내역과 개인정보가 다크웹에 유출된 사례가 소개됨

설문 숫자가 보여주는 현실

• 보안 전문가 562명 대상 설문에서도 운영 부담이 그대로 드러남

  • 응답자의 73.3%는 클라우드 서비스를 사용 중이라고 답함
  • 7.1%는 지금은 쓰지 않지만 1년 이내 도입할 계획이라고 답함
  • 19.6%는 사용하지 않는다고 응답함

• 클라우드 형태는 이미 꽤 다양해졌음

  • 37.4%는 1개의 퍼블릭 클라우드를 사용한다고 답함
  • 30.4%는 온프레미스와 퍼블릭 클라우드를 같이 쓰는 하이브리드 클라우드를 선택함
  • 16.1%는 2개 이상의 퍼블릭 클라우드를 쓰는 멀티 클라우드, 또 다른 16.1%는 프라이빗 클라우드라고 답함

• 그런데 전담 인력은 부족함

  • 클라우드 전담 직원이 없다는 응답이 37.5%로 가장 많았음
  • 1명이라는 응답도 19.6%였음
  • 클라우드는 쓰는데 운영과 보안 인력은 얇은 조직이 많다는 뜻임

• 사고 경험도 이미 적지 않음

  • 응답자의 17.9%는 클라우드 보안 사고 경험이 있다고 답함
  • 사고 원인으로는 설정 오류 및 취약한 접근관리가 35.7%로 가장 많았음
  • 내부자 위협 25.0%, 계정 탈취 및 자격 증명 관리 부실 16.1%, API 및 인터페이스 취약점 공격 14.3%, 공급망 공격 8.9%가 뒤를 이음

보안 도구도 플랫폼 중심으로 재편 중

• IaaS 중심의 클라우드가 PaaS와 SaaS 결합 구조로 바뀌면서 보안 범위도 넓어졌음

  • 예전에는 방화벽, IPS 같은 네트워크 인프라 보안이 중심이었음
  • 이제는 WAF, API Protection, Bot Detection, CASB, SSPM처럼 애플리케이션과 데이터 자체를 보는 도구 수요가 커짐
  • 생성형 AI 사용이 늘면서 GenAI Security도 새 축으로 떠오름

• CNAPP은 클라우드 보안 시장이 포인트 솔루션에서 플랫폼으로 이동하는 대표 사례임

  • CSPM, CWPP, CIEM을 묶어 클라우드 보안 위험을 통합 관리하려는 방향임
  • 다만 사고가 클라우드 워크로드 안에서만 일어나는 건 아니라서, IAM, EDR, SASE 신호까지 묶어야 한다는 주장도 나옴

• SASE와 SSE는 사용자와 애플리케이션 사이의 통로를 지키는 쪽에 가까움

  • CNAPP이 내부 리소스 위험 점수를 산출하고, SASE나 SSE가 그 점수를 받아 접근 정책을 동적으로 바꾸는 구조가 기사에 언급됨
  • 특정 리소스의 위험도가 급증하면 외부 접근을 제한하거나 차단하는 식임

생성형 AI 보안은 키워드 차단만으로 부족함

• 생성형 AI 도입이 늘면서 프롬프트와 응답 자체가 보안 통제 대상이 됐음

  • 사용자가 AI에 입력하는 자연어는 같은 의도라도 표현 방식이 무한히 달라질 수 있음
  • 특정 단어나 패턴만 막는 방식으로는 우회 입력이나 문맥 속 민감정보 유출을 잡기 어려움

• 기사에서는 GenAI Security가 맥락 기반 프롬프트 필터링과 프롬프트 DLP로 발전하고 있다고 설명함

  • OWASP Top 10 for LLM 기준에 대응하는 AI 보안 위협을 26가지 토픽으로 세분화한 사례가 나옴
  • 민감정보 유출, 악의적 활용, 데이터 마스킹을 함께 다루는 방향임

글로벌 규제까지 생각하면 클라우드 보안은 선택지가 아님

• 유럽의 CRA, GDPR, NIS2 같은 규제는 보안을 제품과 조직 운영의 필수 책임으로 밀어붙이고 있음

  • GDPR은 위반 시 전 세계 연간 매출의 최대 4% 또는 2000만유로 중 높은 금액을 과징금으로 부과할 수 있음
  • CRA는 디지털 제품의 수명 주기 전반에 걸친 보안 책임을 요구함
  • 규제 위반은 벌금뿐 아니라 시장 퇴출 리스크로 이어질 수 있음

• 그래서 클라우드 보안은 보안팀의 체크리스트가 아니라 기업 연속성의 문제로 바뀌고 있음

  • 데이터와 애플리케이션이 여러 클라우드와 SaaS에 흩어짐
  • 원격 근무와 이동 중 업무가 기본이 됨
  • AI 에이전트와 NHI까지 늘어나면서 사람 계정만 통제하는 방식으로는 부족해짐

---

기술 맥락

• 이 기사에서 중요한 선택지는 어떤 보안 제품을 하나 더 살 것이냐가 아니에요. 클라우드 자산, 권한, 설정, 로그가 여러 환경에 흩어졌을 때 그걸 하나의 운영 체계로 볼 수 있느냐가 핵심이에요.

• 클라우드 사고가 설정 오류와 접근관리에서 많이 시작되는 이유는 인프라가 코드처럼 빠르게 바뀌기 때문이에요. 예전처럼 배포 후 점검하는 방식이면, 잘못 열린 스토리지나 과도한 권한이 사고로 번질 시간을 충분히 줘버려요.

• CNAPP은 워크로드와 설정 위험을 보는 데 강하고, SASE나 SSE는 사용자와 애플리케이션 사이의 접근 경로를 통제하는 데 강해요. 둘 중 하나가 정답이라기보다, 위험 신호를 서로 연결해 정책으로 반영하는 구조가 필요해요.

• 생성형 AI는 이 판을 더 복잡하게 만들어요. 사람이 쓰는 SaaS뿐 아니라 AI 에이전트, 서비스 계정, 토큰 같은 비인간 신원이 늘어나기 때문에 권한을 누가, 왜, 얼마나 갖고 있는지 계속 검증해야 해요.

• 결국 클라우드 보안의 방향은 도구 수집이 아니라 운영 통합이에요. 분석가 한 명이 사고의 전체 흐름을 볼 수 있어야 하고, 개발부터 배포와 운영까지 보안 신호가 끊기지 않아야 해요.