클라우드 보안, 제로트러스트를 넘어 런타임·AI·공급망까지 챙겨야 하는 시대

이 포스팅은 Coupang Partners 활동의 일환으로, 이에 따른 소정의 수수료를 제공받을 수 있습니다.

컨테이너·쿠버네티스·서버리스 시대, 클라우드 보안의 게임 규칙이 바뀌고 있다

---

1. 왜 클라우드 보안이 더 복잡해졌나?

기업들은 신규 서비스 대부분을 퍼블릭/하이브리드 클라우드 위에서, 컨테이너·쿠버네티스·서버리스 아키텍처로 운영하고 있습니다.
마이크로서비스, 멀티클라우드, 잦은 배포(CI/CD) 덕분에 민첩성은 높아졌지만, 자산·권한·트래픽이 계속 변하면서 전통적인 ‘경계형 보안’만으로는 전체 공격면을 파악하기 힘든 환경이 되었습니다.
결국 “무엇이 어디서 돌아가고 있고, 실제로 어떤 위험이 존재하는지”를 실시간으로 보는 능력이 보안의 핵심 과제로 떠오르고 있습니다.

2. 런타임 가시성과 CNAPP – 실행 중일 때 보안이 갈린다

과거에는 코드 스캔, 설정 점검, 취약점 진단 등 사전 예방 중심의 보안이 강조됐다면, 2025년에는 실행 중(런타임) 상태를 직접 보는 보안이 중요해지고 있습니다.
CNAPP(Cloud-Native Application Protection Platform)는 CSPM(설정 보안), CWPP(워크로드 보안), 이미지 스캔, 권한 분석, 런타임 위협 탐지 등을 하나의 플랫폼에서 연결해 “지금 당장 악용될 수 있는 위험”을 우선순위로 보여주는 방향으로 발전하고 있습니다.
여기에 쿠버네티스·컨테이너·서버리스의 실제 동작 행위를 모니터링해, 이상 프로세스·의심 네트워크 통신·권한 남용 등을 잡아내는 런타임 가시성이 핵심 기능으로 자리 잡고 있습니다.

3. 제로트러스트에서 ‘적응형 신뢰’로

제로트러스트(Zero Trust)는 “기본적으로 아무도 신뢰하지 않고, 매 요청마다 검증한다”는 철학으로, 사용자·디바이스·애플리케이션에 최소 권한과 지속 인증을 요구하는 모델입니다.
하지만 클라우드·원격근무·모바일·엣지가 기본값이 된 환경에서는 단순한 네트워크 경계·정적 정책만으로는 한계가 있어, 위험 기반·행위 기반으로 실시간 신뢰 수준을 조정하는 ‘적응형 신뢰(Adaptive Trust)’ 개념이 떠오르고 있습니다.
사용자의 위치·디바이스 보안 상태·접속 패턴·평소 행동을 종합해, 동일 사용자라도 상황에 따라 접근 범위를 줄이거나 강화하는 식의 동적 정책이 빠르게 도입되고 있습니다.

4. AI·자동화, 클라우드 보안 운영의 필수 요소

클라우드 보안 팀은 수많은 로그·이벤트·알림 사이에서 진짜 중요한 위협만 골라내야 하는 부담을 안고 있습니다.
이를 줄이기 위해 AI/머신러닝 기반 탐지·분석 기술이 보안 솔루션 곳곳에 들어가, 이상 행위 탐지·우선순위 산정·오탐 감소에 활용되고 있으며, 반복적인 대응(차단·격리·티켓 발행·정책 수정)은 플레이북 기반 자동화로 처리하는 사례가 늘고 있습니다.
DevOps 파이프라인에도 보안 자동화(DevSecOps)가 기본으로 들어가, 코드 커밋→빌드→배포 전 구간에서 자동 스캔·정책 검증·규정 준수 점검이 이루어지는 흐름입니다.

5. 소프트웨어 공급망 보안과 SBOM – 코드 안을 들여다보는 시대

현대 애플리케이션은 오픈소스 라이브러리·서드파티 패키지 비중이 매우 높아, 특정 라이브러리 하나의 취약점이 수많은 서비스에 동시에 영향을 주는 ‘공급망 공격’ 리스크가 커지고 있습니다.
이에 따라 각국 정부·대형 고객사는 소프트웨어 구성요소 목록(SBOM, Software Bill of Materials) 제출을 요구하고, 어떤 라이브러리가 어디에 쓰이는지, 어떤 취약점이 포함돼 있는지를 투명하게 관리하는 것을 필수 조건으로 보고 있습니다.
빌드 도구·레지스트리·보안 플랫폼들은 자동으로 SBOM을 생성·갱신하고, 취약점 데이터베이스와 연동해 “어떤 서비스에 어떤 위험 컴포넌트가 깔려 있는지”를 빠르게 파악·조치할 수 있도록 돕는 방향으로 발전 중입니다.

---

클라우드 보안 2025 핵심 요약 & 앞으로의 기대포인트

• 컨테이너·쿠버네티스·서버리스 확산으로, 경계형 보안에서 런타임·플랫폼·코드 전 주기 보안으로 무게 중심이 이동했다.
• CNAPP와 런타임 가시성은 “무엇이 실제로 돌아가고 있는지, 지금 당장 위험한지”를 보여주는 필수 플랫폼으로 부상했다.
• 제로트러스트는 정적 정책을 넘어, 행위·위험 기반으로 신뢰 수준을 조정하는 ‘적응형 신뢰’ 모델로 진화하고 있다.
• AI·자동화·SBOM·공급망 보안이 결합해, 클라우드 보안을 개발·운영 생태계 전체에 녹여 넣는 방향으로 가고 있다.

앞으로의 기대포인트
- CNAPP, XDR, CASB 등 클라우드 보안 솔루션의 통합과 단순화로, 한 화면에서 전체 리스크를 관리하는 보안 플랫폼 강화
- AI가 탐지·분석뿐 아니라 반복 대응·정책 조정까지 맡는 자율형 보안 운영으로의 점진적 전환
- SBOM·공급망 보안 요구가 국제 표준 수준으로 자리잡으며, 빌드·배포 도구에 기본 탑재되는 흐름
- 클라우드·엣지·온프레미스 전반을 아우르는 통합 아키텍처와 DevSecOps 문화 확산으로, “보안 내재화된 개발·운영” 정착