미국 NIST, 멀티 클라우드 보안·컴플라이언스 위험 요인 23가지 경고
- 미국 국립표준기술연구소 NIST가 2026년 8월 21일 발표한 보고서에서 두 개 이상 클라우드 서비스 제공업체를 동시에 사용하는 멀티 클라우드 환경이 단일 클라우드나 온프레미스보다 보안 정책 일관성 유지와 강한 인증 체계 적용이 어렵다고 지적하며, 각 CSP별 상이한 보안 모델과 설정, 책임 범위로 인해 조직의 통합 관리 복잡성이 크게 증가한다고 경고했다.
- NIST는 멀티 클라우드가 특정 CSP 장애나 사이버 공격 발생 시 다른 CSP를 통해 핵심 시스템과 데이터를 계속 운영할 수 있어 단일 공급자 종속을 줄이는 장점이 있다고 평가하면서도, 각 CSP가 고유한 네이티브 아키텍처와 접근제어 도구를 사용하는 탓에 멀티팩터 인증과 생체인증 적용 여부를 모든 정보 시스템에서 일관되게 검증하기 어렵고, 제3자·다른 벤더가 연계된 경우 접근권한 검증 부담이 배가된다고 분석했다.
- 이번 보고서는 멀티 클라우드 환경에서 정체성 및 접근제어, 취약점 관리, 사고 대응과 재해 복구, 데이터 보호 등 네 영역에 걸쳐 새롭게 등장한 23가지 과제를 식별하고, 취약점 보고서가 CSP마다 상이한 형식과 주기로 제공되고 고객이 CSP 정보 시스템에 직접 스캔을 수행할 권한이 제한되는 현실을 지적하며, 각 CSP가 재해 복구 시험 결과와 비상계획을 공유하지 않아 고객이 자체 복구 전략을 설계하기 어렵다는 구조적 문제를 제시했다.
- NIST는 2026년 10월 5일까지 공공 의견 수렴을 진행하는 이번 Interagency Report에서 멀티 클라우드 보안 문제를 연방기관, 산업계, 학계가 공동으로 다룰 수 있도록 구조화된 문제 정의와 공유용 어휘를 제공하는 것을 목표로 하며, 특히 EU 일반개인정보보호법 GDPR과 같은 규제를 예로 들면서 CSP마다 다른 암호화와 데이터 보호 구현, 보안 문서 비제공 관행이 조직의 규제 준수 입증을 어렵게 만들고 여러 관할권에서 제재 위험을 높인다고 경고했다.
- NIST는 보고서에서 멀티 클라우드 보안 도전을 완화하기 위해 강력한 거버넌스 프레임워크, 중앙집중형 가시성, 정책의 일관된 집행, 자동화와 표준화에 대한 높은 강조가 필요하다고 제안하고, 일부 CSP가 고객에게 충분한 관리자 권한을 부여하지 않고 사고 데이터를 제때·표준화된 형식으로 제공하지 않는 현실이 통합 사고 대응과 재해 복구 계획 수립을 저해한다는 점을 들어, 향후 연구·조달·표준 개발·솔루션 설계에서 멀티 클라우드 특성을 전제로 한 규범 정립을 촉구했다.
- 이번 NIST 경고는 글로벌 클라우드 공급자 의존도가 높은 국가에서 멀티 클라우드 전략을 디지털 인프라 회복력 수단으로 채택할 경우, CSP별 보안·암호화·로그 제공·재해 복구 정책을 조달 단계에서부터 세부 계약에 반영하고 중앙정부 차원의 공통 거버넌스·표준 형식·자동화 툴을 마련해야 한다는 함의를 주며, 한국은 공공·민간 모두 멀티 클라우드 전환 시 데이터 주권, 규제 준수, 사고 대응을 통합 관리할 수 있는 국가표준과 평가체계를 선제적으로 설계할 필요가 있다.
멀티 클라우드는 회복력 향상 수단인 동시에 규제 리스크 증폭 요인이므로, 한국은 NIST 사례를 참고해 CSP 선택·계약·인증 기준에 ‘가시성·표준화·재해 복구 정보 공개’ 요구사항을 명문화하고, 공공·금융·기간산업용 공통 멀티 클라우드 거버넌스 지침을 조속히 마련할 필요가 있다.
주요 용어: NIST(미국 국립표준기술연구소로 사이버 보안·표준을 개발하는 연방 기관), CSP(Cloud Service Provider로 IaaS·PaaS·SaaS 등 클라우드 서비스를 제공하는 사업자), 멀티 클라우드(두 개 이상 CSP를 동시 활용해 서비스와 데이터를 분산 운영하는 클라우드 아키텍처), GDPR(EU 일반개인정보보호규정으로 개인 데이터 처리와 국경 간 이전을 엄격히 규율하는 법규)
출처: Infosecurity Magazine