[인터뷰] "떠난 고객 돌아왔다"…네이버클라우드 보안서비스의 마력

전병선·송현지 클라우드시큐리티팀 수석

"글로벌 클라우드로 갈아탄 게임사 되찾아"

'온라인개학' 30배 증설 인프라 디도스 방어

기업·공공·금융·의료 등 업종 특성 맞춤지원

다국적기업이 장악한 민간기업용 클라우드서비스 시장에서 네이버클라우드가 반격에 나섰다. 경쟁사들이 제공하지 않는 자체 클라우드보안 솔루션과 국내 규제업종에 특화된 서비스로 차별화를 시도하고 있다. 덕분에 네이버클라우드를 떠났던 한 고객사도 되찾았다. 어떤 마성의 매력이 있었을까? 23일 네이버클라우드 클라우드시큐리티팀의 전병선·송현지 수석과 클라우드보안 서비스의 특성과 경쟁력을 주제로 인터뷰를 진행했다. 다음은 두 담당자와 나눈 일문일답.
 

 

전병선(왼쪽)·송현지 네이버클라우드 클라우드시큐리티팀 수석. [사진=네이버클라우드 제공]

 

Q. 어떤 업무 맡고 있는지 각자 소개 바란다.

전병선: 네이버클라우드 클라우드시큐리티 팀 소속으로 일하고 있다. 네이버클라우드가 제공하는 보안상품 서비스를 개선하고 신규 보안상품을 기획하는 업무를 수행하고 있다.

송현지: 같은 부서에서 컴플라이언스(규제준수·대응) 관련 업무를 수행한다. 고객사가 속한 산업의 규제요건 측면을 네이버클라우드가 만족해야 하는 부분을 지원하고, 관련된 고객 문의에 대응한다.

Q. 클라우드시큐리티 팀은 어떤 부서인가?

송현지: 해외 본사를 둔 다국적 클라우드사업자에도 보안관련 부서가 있지만, 우리는 그에 더해 클라우드 보안관제 서비스를 제공하기 위한 부서로 운영되고 있다.

전병선: 팀 총괄 리더의 지휘아래 보안상품 기획 담당자, 컴플라이언스 업무 담당자, '시큐리티모니터링'이라는 매니지드서비스를 운영·기획하는 담당자 등이 일하고 있다.

Q. 보안 측면에서 네이버클라우드의 특징은?

전병선: 고객의 상세한 보안 니즈에 대응하기 위한 '매니지드 보안관제 서비스'를 제공하고 있다. 매니지드 보안관제 서비스는 침입탐지시스템(IDS), 침입방어시스템(IPS), 안티 디도스, 웹애플리케이션방화벽(WAF), 백신, 5종이다.

송현지: 매니지드 보안관제 서비스 가운데 IDS와 IPS는 보안관련 필수 인증요건이기도 하다. 서버용 백신서비스 가운데 매니지드 상품 이용시 리눅스 서버용이 제공되고, 윈도 서버용 백신은 (무료 서비스로) 기본 제공된다.

Q. 유·무료 보안서비스는 어떻게 나뉘는지?

송현지: IDS와 윈도 서버용 백신서비스가 무료 제공되고 IPS, 안티 디도스, WAF, 리눅스 서버용 백신 등이 유료 상품이다.

전병선: IDS도 공격시도, 감시, 분석대응, 최신대응패턴 업데이트, 사고의심 이벤트 알람 등 무료 기능과 별개로 건별 이벤트 알람, 주·월간 리포트, 고도화된 고객별 탐지 룰(rule) 적용 등 유료 기능으로 차등 제공된다.

Q. 고객사 현황과 주요 사례를 소개해 달라.

전병선: 통신, 게임, 이커머스, 의료, 공공, 금융 등 여러 업종에 걸쳐 300여개 유료 고객사가 있다. IDS, IPS, 백신 등이 많이 쓰이고 있다. 보안을 더 강화하고자 하는 고객사가 WAF와 안티 디도스 등을 추가 사용하기도 한다.

게임사 '윈백(winback·경쟁사 고객을 자사로 갈아타게 함)' 사례가 있다. 네이버클라우드의 고객이었는데, 글로벌 클라우드 인프라로 이전했다가 되돌아왔다. 글로벌 사업자 환경에서 제공하는 보안 서비스가 마음에 들지 않았다고 한다.

타사 클라우드 사업자 고객이었던 공공기관 고객사도 보안서비스 덕분에 유치했다. 해당 고객이 우리 쪽으로 이전·테스트를 진행하는 과정에서 우리 보안상품 '시큐리티모니터링'으로 악성코드에 감염된 걸 발견한 사례였다.

Q. 주목할만한 '보안서비스 활약' 사례가 있을까?

송현지: 올해 온라인개학을 치른 한국교육학술정보원(KERIS)의 'e학습터' 보안서비스를 제공했다. 300만명을 수용하는 서비스로 확장되면서 관심이 커진 만큼 보안 위협도 크게 증가했다. 인프라 확장에 따라 보안서비스 확장이 용이하다.

평소보다 트래픽이 30배 이상 증가하면서, 이 증가된 트래픽을 안정적으로 처리하기 위해 권역별로 나눠 트래픽을 분산했는데, 이에 따라 보안팀도 분리된 권역에 대한 보안 시스템을 지속적으로 증설하고 모니터링 하는 데 힘을 쏟았다.

당시 네이버클라우드 침해사고대응팀이 24시간 모니터링을 수행했다. 공격이 발생하는 즉시 대응해서 e학습터 디지털교과서와 '위두랑' 등 온라인 개학서비스가 안정적으로 제공될 수 있도록 지원했다.
​
전병선: 모의 해킹 및 웹 취약점 분석도 진행했다. 학생들의 개인정보 유출 가능성이 있는 취약점과 정상적인 수업을 방해할 수 있는 서비스 어뷰징 취약점을 발견했다. 해당 취약점이 개선될 수 있도록 KERIS 및 개발사에 전달하는 역할을 수행했다.

Q. 글로벌 사업자 대비 차별점이 있다면?

전병선: 네이버의 다양한 서비스에 보안관제를 수행해 온 경험과 기술을 꼽을 수 있다. 사업자 특성, 제공 서비스 유형에 맞는 템플릿 성격의 룰과 풍부한 방어 경험이 반영된 보안 정책이 네이버클라우드 보안서비스에 반영돼 있다.

송현지: 신청만 하면 고객 인프라 구성과 서비스를 빠르게 분석해 그에 맞는 솔루션 구축, 운영, 관제 서비스를 제공한다. 전문 보안 인력이 없는 고객사도 기존 네이버 서비스의 보안을 맡은 최고 수준의 보안서비스를 제공받을 수 있다.

Q. 서비스형 보안(SECaaS)을 제공한다고 들었는데?

전병선: 보안서비스에 사용량 기반의 과금을 적용하되, 기존 구축형 보안솔루션과 이질감이 없는 형태로 제공하고 있다. 공공, 민간, 금융 등 산업별로 구성이 나뉘어 있고, 컴플라이언스 기반 서비스까지 제공하고 있다는 점도 경쟁력이다.

송현지: 웹·시스템·앱 취약점 점검 솔루션 '체커(Checker)'와, 운영중인 웹·앱의 파일 위변조를 막아 주는 '세이퍼(Safer)'가 있다. 해외 벤더의 자체솔루션과 달리 우리는 KISA나 금보원 체크리스트 등 국내 환경에 더 알맞게 서비스를 제공한다.

Q. 규제대응 측면의 구체적인 이점이 궁금하다.

송현지: 일반 기업뿐아니라 공공·금융 분야에 적용되는 보안정책을 저희가 분석해 놓고 각 고객이 클라우드 환경을 이용할 때 크게 고민하지 않아도 쓸 수 있도록 구성해 네이버클라우드에서 제공하고 있다.

예를 들어 공공분야에선 외부 인터넷 접근이 차단된 구획이 나뉘어 있어야 하고 보안 공통기준(CC) 인증을 받는 것, 금융사는 접근통제와 가상사설망(VPN), 암호화, 전용회선 등 사용 요건이 있는데 이를 기본 충족하는 환경을 갖춰 놓았다.

일반 기업의 전반적인 규제 대응과, 공공·금융 등 특정 영역에서 추가되는 규제 요건에 맞추기 위한 가이드를 지원한다. 고객사 규제대응 업무에는 상위 감사기관에 보고할 문서 작성이 필요한데 컨설팅에 가깝게 이를 지원하고 있다.

금감원 등에 보고하기 위해 우리 데이터센터 운영환경 및 내부 관리체계 현황 확인을 원하는 경우가 많다. 해외 클라우드 사업자의 경우 데이터센터 등 설비 실사나 고객을 위한 문서 지원이 어려울 것으로 예상된다.

Q. 팀에서 추구하는 보안서비스의 방향은?

전병선: 타 클라우드사업자 대비 고객지향적인 매니지드서비스, SECaaS, 컴플라이언스, 3가지 측면으로 차별화하고 있다. 앞으로도 고객 피드백을 적극 수용하고 자체 기술력을 확보해 보안 상품과 서비스를 지속 개선할 계획이다.

클라우드 보안의 A부터 Z까지, 클라우드 데이터, 인프라, 애플리케이션을 안전하게 지킬 수 있는 통합 보안 모델을 구현하고자 한다. 기업, 금융, 전자상거래, 의료 등 업종별 맞춤 보안서비스 제공 모델을 개발하고 있다.

송현지: 한번에 통합적인 보안모델을 제공한다기보다는 고객이 필요한 부분을 찾아서 하나씩 상품화하고 서비스하는 작업을 하고 있다고 할 수 있다. 다른 글로벌 사업자보다 확실히 고객에 특화된 전문적인 지원을 수행하고자 한다.

Q. 향후 계획은?

전병선: 기업이 여전히 클라우드 이전에 주저하는 최대 이유는 보안이 꼽히는 것 같다. 클라우드 보안 환경에 대한 고민 자체가 충분하지 않은 경우도 많다.

네이버클라우드는 클라우드 사업자와 고객이 맡아야 할 보안 영역이 각각 어디까지인지 명확히 이해할 수 있도록 돕고 있다. 적극적인 온라인 및 오프라인 보안 교육을 진행할 계획이다.

송현지: 앞으로도 기존 구축형 보안 솔루션 및 환경과 크게 이질감 없는 형태의 클라우드서비스를 제공하기 위해 노력하고 있다. 기업 담당자의 관리 요소를 줄여서 고객이 더 중요한 업무에 집중할 수 있도록 돕겠다.