메가존클라우드, 코웨이에 'CNAPP' 구축…개발부터 클라우드까지 보안 통합

[경제일보] 클라우드 환경이 AWS·구글 클라우드 등 여러 사업자로 분산되고 개발 과정까지 클라우드와 연결되면서 기업의 보안 관리 범위가 인프라에서 개발 코드까지 확대되고 있다. 이에 메가존클라우드는 개별 클라우드 환경을 따로 점검하는 방식에서 탈피해 개발부터 클라우드 운영까지 보안을 통합 관리하는 클라우드 네이티브 애플리케이션 보호 플랫폼(CNAPP)을 도입하고 있다. 클라우드 인프라뿐 아니라 개발 단계의 코드까지 하나의 보안 체계로 관리하는 환경을 구축해 기업의 클라우드 전환에 따라 복잡해진 보안 수요를 공략한다는 전략으로 풀이된다.

21일 메가존클라우드는 코웨이 전사 시스템을 대상으로 한 '코웨이 CNAPP 구축' 프로젝트를 완료하고 지난 18일부터 본격적인 운영에 들어갔다고 밝혔다. 메가존클라우드는 코웨이의 보안 아키텍처 설계부터 글로벌 클라우드 보안 기업 위즈(Wiz)의 솔루션 구축·연동, 사내 협업 도구 알림 연계, 임직원 교육과 기술 지원까지 전 과정을 수행했다.

이번 프로젝트에서 메가존클라우드는 AWS와 구글 클라우드(GCP), 개발 환경인 깃허브 등에 분산된 클라우드 자산과 개발 환경의 보안 상태를 통합적으로 확인할 수 있는 체계를 마련했다. 여러 클라우드 환경에서 발생할 수 있는 보안 위험을 개별적으로 관리하는 대신 하나의 체계에서 점검할 수 있도록 한 것이 특징이다.

곽성영 코웨이 CISO는 "이번 구축으로 개발 단계부터 배포 전까지 통합된 보안 가시성을 확보해 실제 고위험 요소 대응에 역량을 집중할 수 있게 됐다"며 "앞으로도 개발·인프라 조직과 협력해 개발 단계부터 보안을 함께 점검하는 체계를 넓혀 나갈 것"이라고 말했다.

메가존클라우드는 위즈의 '위즈 클라우드 어드벤스드'를 활용해 인터넷 노출 여부와 권한 설정 등 클라우드 환경의 다양한 보안 요소를 종합적으로 분석할 수 있도록 설계했다. 개별 취약점을 확인하는 데 그치지 않고 여러 보안 요소가 결합해 실제 위험으로 이어질 가능성이 있는 경로를 파악하고 우선순위에 따라 대응할 수 있도록 지원했다.

개발 단계의 보안도 강화했다. 기존에는 시스템 개발이 완료된 이후 보안 조직이 점검하는 방식이었다면, 이번 구축 이후에는 개발·인프라 조직이 개발 초기부터 담당 자산의 보안 상태를 확인할 수 있게 됐다.

이를 위해 메가존클라우드는 위즈의 '위즈 코드'를 개발 과정에 연동했다. 코드가 배포되기 전에 보안 결함을 확인할 수 있도록 하고 조직별로 담당하는 자산만 확인할 수 있도록 접근 범위도 구분했다. 메가존클라우드는 개발 단계에서 보안 문제를 발견하면 배포 이후 별도로 수정 작업을 진행하는 데 필요한 시간과 대응 부담을 줄일 수 있다고 설명했다.

CNAPP은 클라우드 인프라와 애플리케이션 개발 과정에서 발생할 수 있는 보안 위험을 통합적으로 관리하는 플랫폼이다. 이번 코웨이 구축에는 클라우드 환경의 보안 상태를 점검하는 위즈 클라우드 어드벤스드와 개발 단계의 코드를 검사하는 위즈 코드가 활용됐다.

메가존클라우드는 이번 프로젝트를 계기로 클라우드 보안 컨설팅과 솔루션 구축을 결합한 사업을 확대할 계획이다. 단순히 특정 보안 솔루션을 공급하는 데 그치지 않고 고객사의 멀티클라우드 환경을 분석하고 보안 아키텍처를 설계한 뒤 개발·인프라 조직의 업무 과정에 보안을 연계하는 방식으로 사업 영역을 넓힌다는 구상이다.

위수영 메가존클라우드 보안사업 조직 HALO 유닛장은 "이번 코웨이 사업은 '위즈'를 기반으로 개발 단계부터 보안을 점검하는 체계를 실제로 구현한 사례"라며 "메가존클라우드는 보안 컨설팅부터 솔루션 구축까지 전 과정을 지원하는 역량을 바탕으로 조직 전체가 함께 보안을 다루는 체계를 여러 고객사로 확산해 나갈 것"이라고 말했다.