techlist.io
KREN
cloudflare

Cloudflare, 영국 정부의 사이버 복원력 서약에 자랑스럽게 동참 (새 탭에서 열림)

cloudflarezero-trustpost-quantum-cryptographycybersecuritythreat-intelligenceddos-protectioncyber-resilience

Cloudflare는 영국 정부의 자발적 사이버 복원력 서약(Cyber Resilience Pledge) 창립 서명기관으로 참여하며, 보안의 대중화·경영진 책임·투명성이라는 원칙을 지지한다고 밝혔다. 이 서약은 기업이 이사회 차원에서 사이버 보안을 관리하고, 공급망 전체의 보안 수준을 높이며, 기본적인 기술 통제를 갖추도록 요구한다. Cloudflare는 보안이 특정 상품이나 대기업만의 영역이 아니라 모든 조직에 기본값으로 제공되어야 하며, 집단 방어를 통해 인터넷 전체의 복원력을 높여야 한다고 주장한다.

영국 사이버 복원력 서약의 배경

  • 영국 정부가 조직의 기본적인 사이버 보안 거버넌스와 이사회 책임을 강화하기 위해 자발적 프레임워크를 출범시켰다.
  • 주요 원칙은 다음과 같다.
    • 보안 기술과 보호 기능의 대중화
    • 경영진 및 이사회의 책임 강화
    • 사고와 대응 과정에 대한 투명성 확대
    • 공급망 전반의 보안 기준 향상
  • Cloudflare는 이 서약을 새로운 의무라기보다, 지난 10여 년간 추진해 온 보안 철학을 영국 정부가 공식적으로 확인한 것으로 평가한다.
  • Cloudflare는 영국 과학·혁신·기술부(DSIT), 국가사이버보안센터(NCSC) 등과 협력해 영국의 디지털 경제 보안을 강화해 왔다.

증가하는 사이버 위협과 AI의 영향

  • Cloudflare는 2026년 1분기에 전 세계 네트워크에서 하루 평균 2,340억 건의 사이버 위협을 차단했다.
  • 최근에는 최대 31.4Tbps 규모의 초대형 DDoS 공격을 완화했다.
  • 2025년 말 기준 영국은 전 세계에서 DDoS 공격 표적이 많은 국가 6위로 올라섰다.
  • 금융 서비스, 항공, 지방정부 인프라 등에서 애플리케이션 계층 공격이 증가하고 있다.
  • 영국 사이버 보안 침해 조사에 따르면 지난 1년간 사이버 사고를 경험한 비율은 기업 43%, 자선단체 28%였다.
  • 프런티어 AI 모델은 공격자의 진입 장벽을 낮추고 다음과 같은 공격을 자동화·고도화하고 있다.
    • 취약점 자동 탐색
    • 대규모 공격 시도
    • 더욱 설득력 있는 피싱 캠페인
  • 이에 따라 방어 체계도 머신러닝 기반 공격 평가, Zero Trust 접근 제어 등으로 위협 변화에 맞춰 빠르게 발전해야 한다.

사이버 복원력은 비즈니스의 기본 요건

  • 고객은 공격이나 장애 상황에서도 서비스가 지속적으로 제공되고, 빠르게 응답하며, 신뢰할 수 있기를 기대한다.
  • 사이버 복원력은 단순히 사고 발생 후 복구하는 능력이 아니다.
  • 복원력 있는 시스템은 다음을 수행해야 한다.
    • 위협 신호를 사전에 탐지
    • 공격과 장애를 서비스 전체로 확산시키지 않고 흡수
    • 운영 과정에서 얻은 교훈을 바탕으로 지속적으로 개선
  • 따라서 보안 통제는 복원력을 실현하는 핵심 기반이며, 보안과 복원력은 분리할 수 없는 개념이다.

보안을 상품 등급이 아닌 기본값으로 제공

  • Cloudflare는 기본적인 보안 기능을 모든 조직이 사용할 수 있어야 한다고 주장한다.
  • 모든 사용자에게 트래픽 암호화에 필요한 SSL 인증서를 제공했고, 무료 요금제에도 다음 기능을 포함한다.
    • 공격 규모와 관계없는 무제한 DDoS 보호
    • 글로벌 CDN
    • DNSSEC
  • 네트워크 전반에 양자내성 암호화를 도입하는 등 인터넷 암호화 기술도 발전시키고 있다.
  • Project Galileo와 Athenian Project를 통해 취약한 목소리와 공공기관을 보호한다.
  • 중소기업, 지방정부, 공공서비스, 스타트업도 보안 수준을 높일 수 있어야 서약의 목표인 “사이버 복원력의 최저선”을 높일 수 있다는 취지다.

네트워크 전체를 위협 탐지 센서로 활용

  • Cloudflare는 전 세계 13,000개 이상의 네트워크와 직접 피어링하며 공격 패턴을 대규모로 관찰한다.
  • 한 지역에서 발견한 위협 정보와 공격 패턴을 수초 내 네트워크 전체의 방어 규칙에 반영할 수 있다.
  • 예를 들어 싱가포르 고객을 공격한 위협을 분석해 얻은 규칙이 곧바로 영국 셰필드의 고객 보호에도 활용될 수 있다.
  • 대규모 가시성은 공격 탐지, 위험 점수 산정, 대응 속도를 개선하고 고객 전체의 복원력을 높인다.

스스로 먼저 검증하는 ‘고객 제로’ 원칙

  • Cloudflare는 고객에게 제공하는 보안 제품과 인프라를 자체 시스템 보호에도 사용한다.
  • 내부 애플리케이션 접근에는 다음 통제를 적용한다.
    • Cloudflare Access와 Gateway
    • 하드웨어 키 기반 다중 인증
    • 기기 보안 상태 점검
    • 암호학적으로 검증된 신원 토큰
  • 모든 보안 계층을 내부 환경에서 먼저 시험하고, 운영 경험을 제품과 네트워크 개선에 반영한다.
  • 보안을 특정 팀이나 제품의 책임이 아니라 조직 전반의 운영 방식으로 통합한다.

투명한 공개와 사고 이후의 개선

  • 사고나 제로데이 취약점이 발생하면 기술적 사후 분석(postmortem)을 공개한다.
  • 침해 지표(IoC)와 아키텍처 회고를 공유해 다른 조직과 보안 커뮤니티가 동일한 위협에 대비할 수 있도록 한다.
  • 투명한 공개만으로 끝내지 않고, 사고를 시스템 개선의 계기로 활용한다.
  • 대규모 장애 이후 진행한 “Code Orange” 작업에서는 다음을 추진했다.
    • 장애가 전체 시스템으로 번지지 않도록 “작게 실패하는(fail small)” 구조 설계
    • 안전한 구성 변경을 강제하는 도구 개발
    • 보안 모범 사례의 자동화
  • 목표는 같은 유형의 장애가 반복되지 않도록 구조적 원인을 제거하는 것이다.

서약이 강조하는 조직 차원의 책임

  • 서약은 이사회 책임과 거버넌스, 공급망 보안, 영국 Cyber Essentials 인증과 관련된 기술 요건을 기업이 수용하도록 요구한다.
  • 대부분의 침해 사고는 패치되지 않은 시스템, 취약한 접근 제어, 부실한 공급업체 관리처럼 이미 알려진 문제에서 발생한다.
  • 따라서 고도화된 기술만큼 다음과 같은 기본 통제의 광범위한 적용이 중요하다.
    • 정기적인 패치와 취약점 관리
    • 강력한 인증 및 접근 권한 통제
    • 공급업체 보안 검토
    • 지속적인 모니터링
    • 이사회 차원의 위험 관리와 책임 부여

영국의 서약은 사이버 보안을 IT 부서의 단독 과제가 아니라 경영진과 공급망 전체가 함께 책임져야 할 사업 과제로 끌어올린다는 점에서 의미가 있다. 조직은 우선 패치, 인증, 접근 제어, 공급업체 관리 같은 기본 통제를 강화하고, 사고를 숨기기보다 투명하게 공유하며, 보안을 모든 서비스의 기본값으로 설계하는 것이 바람직하다.