CSPM
포스팅 뷰14
CSPM(클라우드 보안 상태 관리)란 무엇일까요?
- 정의 — 클라우드 인프라의 설정 오류·규정 위반·취약점을 자동으로 찾아내고 고치는 보안 도구입니다.
- 핵심 위험 — 가트너는 클라우드 보안 장애의 99%가 고객의 설정 실수 때문이라고 예측했고, 2026년에는 설정 오류로 방치된 클라우드 저장소에서 전 세계적으로 약 196억 개 파일이 노출된 사실이 드러났습니다.
- 대응 — 클라우드 자산을 지속적으로 스캔하고, 위험 우선순위에 따라 자동 교정하며, CASB·DSPM과 함께 운영해야 사각지대가 줄어듭니다.
CSPM이란 AWS·Azure·GCP 같은 클라우드 환경 전반을 정기적으로 스캔해 설정 오류와 컴플라이언스 위반을 찾아내고, 보안팀에 알리거나 자동으로 수정하는 소프트웨어 유형을 말합니다.
CSPM이란?
CSPM(Cloud Security Posture Management, 클라우드 보안 상태 관리)은 SaaS·PaaS·IaaS·컨테이너·서버리스를 포함한 클라우드 인프라 전반을 자동으로 스캔해, 데이터 노출이나 침해로 이어질 수 있는 잘못된 보안 설정과 규정 위반 사항을 찾아내는 소프트웨어입니다. 단순히 위험을 알려주는 데 그치지 않고, 일부 제품은 발견한 문제를 직접 수정하는 기능까지 제공합니다.Cloudflare
클라우드 사업자는 데이터센터·네트워크·가상화 계층의 보안을 책임지지만, 그 위에서 돌아가는 서비스의 접근 권한·방화벽 규칙·암호화 설정을 올바르게 구성하는 책임은 이용 기업에 있습니다. 이를 "책임 공유 모델(Shared Responsibility Model)"이라 부르는데, 문제는 클라우드 환경이 계정·리전·서비스마다 설정 항목이 수천 개에 달해 사람이 수작업으로 전부 점검하기 어렵다는 점입니다. 버킷을 실수로 공개 상태로 열어두거나, 관리자 권한을 과도하게 부여하는 식의 작은 실수가 그대로 침해 경로가 됩니다. CSPM은 바로 이 틈을 메우기 위해 등장했습니다.
CSPM의 동작 방식
CSPM은 한 번 점검하고 끝나는 도구가 아니라, 아래 네 단계를 쉬지 않고 반복하는 지속적 모니터링 체계입니다.
- 자산 탐색 — 멀티 클라우드 환경 전체를 스캔해 승인되지 않은 섀도우 리소스까지 포함한 모든 자원의 목록을 만듭니다.
- 설정 점검 — 공개된 스토리지 버킷, 과도한 권한, 암호화 미적용 등 잘못된 설정과 CIS 벤치마크·GDPR 같은 규정 위반 여부를 확인합니다.
- 위험 우선순위화 — 노출 수준과 데이터 민감도, 공격 가능성을 기준으로 발견된 문제의 심각도를 매겨 정리합니다.
- 교정·알림 — 심각도가 높은 문제는 자동으로 수정하거나, 보안팀에 경보를 보내 신속한 조치를 유도합니다.
CSPM vs CASB vs DSPM — 무엇이 다를까요?
이름이 비슷한 클라우드 보안 도구들은 보호하는 '대상'이 다릅니다. CSPM은 클라우드 인프라의 설정을, CASB는 사용자가 클라우드에 접근·이용하는 과정을, DSPM은 클라우드 곳곳에 흩어진 데이터 자체를 들여다봅니다. 최근에는 이 세 가지에 워크로드 보호(CWPP)까지 더한 통합 플랫폼인 CNAPP(클라우드 네이티브 애플리케이션 보호 플랫폼)로 한 번에 도입하는 사례도 늘고 있으며, CSPM은 CNAPP를 구성하는 핵심 요소로 꼽힙니다.SentinelOne
| 구분 | CSPM | CASB | DSPM |
|---|---|---|---|
| 보호 대상 | 클라우드 인프라 자체(네트워크·스토리지·설정) | 사용자의 클라우드 접근·이용 행위 | 클라우드에 흩어진 민감 데이터 그 자체 |
| 주요 질문 | 설정이 안전한가, 규정을 위반하지 않는가? | 누가, 어떤 앱으로, 무엇을 하고 있는가? | 민감 데이터가 어디에 있고 누가 접근 가능한가? |
| 대표 기능 | 설정 오류 탐지, 취약점 관리, 컴플라이언스 점검 | 섀도우 IT 탐지, 접근 제어, DLP | 데이터 디스커버리·분류, 노출 경로 추적 |
실제 사례로 보는 클라우드 설정 오류 위험
캐피탈원(Capital One) 사건(2019년) — 전직 AWS 엔지니어가 캐피탈원의 잘못 설정된 웹 애플리케이션 방화벽(WAF)을 찾아내, 서버 측 요청 위조(SSRF) 기법으로 AWS 내부 메타데이터 서비스에서 임시 자격 증명을 빼냈습니다. 이 자격 증명으로 수백 개의 저장 버킷에 접근해 미국·캐나다 약 1억 600만 명의 개인정보(사회보장번호 14만 건, 은행 계좌번호 8만 건 포함)가 유출됐습니다. 캐피탈원은 이후 감독 당국에 8,000만 달러 벌금을, 집단소송에 1억 9,000만 달러 합의금을 지불했습니다. CSPM이 꾸준히 인용되는 이유도, 단 하나의 방화벽 설정 오류가 이 정도 규모의 사고로 이어질 수 있음을 보여준 대표 사례이기 때문입니다.Security.org
전 세계 클라우드 저장소 196억 개 파일 노출(2026년 5월) — 보안 연구진이 인증 없이 누구나 접근 가능한 상태로 방치된 Amazon S3·Google Cloud·Azure 저장소를 조사한 결과, 전 세계적으로 약 196억 개의 파일이 노출돼 있던 것으로 드러났습니다. 이 중에는 자격 증명 파일 약 68만 5,000건과 데이터베이스 덤프 약 100만 건이 포함됐고, 노출된 저장소의 3분의 2 이상이 Amazon S3였습니다. 클라우드 플랫폼 자체의 결함이 아니라, 버킷을 읽기 권한으로 열어둔 이용 기업의 설정 실수가 원인으로 지목됐습니다.ThreatCluster
| 지표 | 수치 |
|---|---|
| 클라우드 보안 장애 중 고객 설정 오류가 원인인 비중(가트너 전망) | 99% |
| 2026년 노출된 클라우드 파일(전 세계, Mysterium VPN 연구) | 약 196억 개 |
| 캐피탈원 사건 피해 인원(2019) | 약 1억 600만 명 |
| 국내 보안 담당자의 클라우드 보안 사고 경험률(2026년 6월 설문) | 17.9%(사고 원인 1위는 설정 오류·취약한 접근 관리 35.7%) |
| 글로벌 CSPM 시장 규모(2020년 → 2026년 전망) | 약 40억 달러 → 약 90억 달러(연평균 14.4%↑) |
국내 설문 수치는 보안 담당자 562명을 대상으로 한 조사이며, CSPM 시장 규모는 MarketsandMarkets의 전망치입니다.보안뉴스MarketsandMarkets
CSPM 도입, 이것만은 확인하세요
CSPM이 클라우드 인프라의 설정 오류를 막아 주는 자물쇠라면, 오피스키퍼는 그 인프라 위에서 오가는 문서 자체의 권한과 유출 경로를 통제합니다. 정보유출방지(DLP)와 문서중앙화로 설정이 아무리 안전해도 막기 어려운 '합법적 접근 뒤의 유출'까지 관리해, CSPM의 인프라 점검과 오피스키퍼의 문서 통제가 서로 다른 층위에서 함께 작동하도록 돕습니다.
자주 묻는 질문
Q. CSPM과 방화벽은 무엇이 다른가요?
A. 방화벽은 네트워크 트래픽을 실시간으로 차단·허용하는 장비·서비스입니다. CSPM은 트래픽을 막는 도구가 아니라, 방화벽을 포함한 클라우드 설정 전체가 올바르게 구성돼 있는지 점검하고 오류를 찾아내는 진단 도구에 가깝습니다. 캐피탈원 사건도 방화벽 자체가 아니라 방화벽의 '설정'이 잘못돼 발생했습니다.
Q. CSPM, CASB, DSPM을 다 도입해야 하나요?
A. 셋은 보호 대상이 달라 하나만으로는 사각지대가 생깁니다. 다만 조직 상황에 맞춰 단계적으로 도입해도 괜찮습니다. 퍼블릭 클라우드 설정 관리가 시급하다면 CSPM부터, 섀도우 IT 노출이 크다면 CASB부터 검토하는 식입니다. 최근에는 CWPP까지 더한 CNAPP로 한 번에 도입하는 사례도 늘고 있습니다.
Q. 클라우드 사업자가 보안을 책임지는 것 아닌가요?
A. 인프라와 가용성은 클라우드 사업자가 책임지지만, 그 위에서 돌아가는 서비스의 접근 권한·방화벽 규칙 같은 '설정'은 이용 기업의 책임입니다. 이를 책임 공유 모델이라 부르며, 가트너가 클라우드 보안 장애의 99%를 고객 책임으로 전망한 것도 이 때문입니다.
Q. CSPM이 자동으로 수정까지 해주면 위험하지 않나요?
A. 제품·정책에 따라 다릅니다. 보통 위험도가 낮고 서비스 영향이 적은 문제는 자동 교정하도록 설정하고, 운영 중단 위험이 있는 변경은 담당자 승인을 거치도록 정책을 분리하는 것이 일반적인 운영 방식입니다.
Q. 중소기업도 CSPM이 필요한가요?
A. 클라우드 인프라를 하나라도 운영한다면 규모와 무관하게 설정 오류 위험은 존재합니다. 196억 개 파일 노출 사건에서 드러났듯 문제는 대기업만의 일이 아니며, 중소기업은 주요 클라우드 계정의 공개 저장소 점검부터 가볍게 시작하는 것이 현실적입니다.
CSPM이 클라우드 인프라의 설정을 지킨다면, 오피스키퍼는 그 위의 문서 유출을 막아 드립니다.
제품소개서 신청하기