연방 정부 보안 전문가들조차 마이크로소프트의 GCC High 클라우드 서비스를 두고 날 선 비판을 쏟아냈습니다. 기밀 정보를 다루는 핵심 시스템임에도 불구하고, 내부 평가에서 낙제점 수준의 보안 설계를 지적받았기 때문입니다. 과연 우리가 매일 마주하는 디지털 인프라의 실체는 무엇인지, 왜 이런 불안한 시스템이 정부의 승인을 받아 확산되고 있는지 그 이면을 파헤쳐 봅니다.
마이크로소프트 클라우드 보안, 무엇이 문제인가
정부 내부 보고서에 따르면, 마이크로소프트의 클라우드 서비스는 상세한 보안 문서가 부재한 상태였습니다. 데이터가 여러 서버를 거치며 이동하는 경로조차 불투명해 보안 수준을 확신할 수 없다는 진단이 나왔습니다.
- 암호화 데이터 흐름도 제출 실패
- 시스템 보안 상태 확인 불가능
- 전문가들의 낮은 신뢰도
결국 내부 검토팀의 한 관계자는 이 시스템을 빗대어 원색적인 비난을 서슴지 않았습니다. 보안이 핵심인 시스템에서 암호화 프로세스를 투명하게 공개하지 못한다는 것은, 사용자 입장에서 가장 치명적인 결함입니다.
왜 연방 정부는 이 서비스를 승인했나
보안 전문가들의 부정적인 평가에도 불구하고, 해당 서비스는 결국 연방 보안 인증인 FedRAMP 승인을 받았습니다. 이는 시스템이 완벽해서가 아니라, 이미 정부 기관 곳곳에 깊숙이 침투해 있었기 때문입니다.
이미 사용 중인 거대한 시스템을 교체하는 데 드는 비용과 행정적 부담이 승인을 강제한 셈입니다. 보안이 아닌 생태계 의존도가 승인을 결정짓는 아이러니한 상황이 발생한 것입니다. 이는 기술적인 우수성보다 관성적인 선택이 국가 안보를 어떻게 위협할 수 있는지 보여주는 단적인 사례입니다.
보안 극장이라는 비판이 나오는 이유
과거 NSA에서 근무했던 전문가들은 이번 사태를 두고 보안 극장이라는 표현을 썼습니다. 보안 인증 절차가 실질적인 방어 능력을 검증하는 대신, 서류상의 요식 행위로 전락했다는 비판입니다.
- 실제 위협 요소 검증 미흡
- 형식적인 보안 인증 과정
- 5년간 지속된 모호한 대응
실제로 구글이나 아마존 같은 타 클라우드 기업들이 철저한 보안 설계를 바탕으로 검증받는 동안, 마이크로소프트는 레거시 코드라는 명목 아래 보안 투명성을 지속적으로 회피해 왔습니다.
클라우드 시스템, 내부 위협은 없나
최근에는 정부 기밀 시스템에 중국계 엔지니어들이 접근했다는 사실이 밝혀져 파문이 일었습니다. 강력한 보안 규정이 존재함에도 불구하고, 관리 시스템의 빈틈은 예상보다 컸습니다.
보안은 단순히 암호화 알고리즘만 잘 짠다고 완성되는 것이 아닙니다. 누가 시스템을 유지보수하고, 어떤 경로로 데이터에 접근하는지에 대한 관리 체계가 뒷받침되어야 합니다. 정부는 이러한 허점을 뒤늦게 파악하며 사후 대응에 급급한 모습을 보이고 있습니다.
복잡한 레거시 코드가 부른 보안 참사
마이크로소프트가 클라우드 보안 문서 제출을 어려워했던 근본 원인은 수십 년 된 레거시 코드에 있습니다. 오늘날의 클라우드 환경은 밑바닥부터 견고하게 설계되어야 하지만, 오래된 기술 부채를 클라우드로 이식하는 과정에서 복잡한 구조적 결함이 발생한 것입니다.
이를 두고 일부 전문가들은 스파게티 파이라는 용어로 그 복잡성을 비판했습니다. 데이터의 이동 경로가 체계적이지 않고 얽혀 있어, 해킹의 표적이 되기 쉽다는 지적입니다. 기업 측은 아키텍처를 재설계하고 있다고 주장하지만, 이미 현장에서 사용 중인 정부 기관들은 여전히 알 수 없는 위협에 노출되어 있습니다.
마무리
결국 시스템의 신뢰는 단순히 화려한 마케팅 문구에서 오지 않습니다. 마이크로소프트 클라우드의 이번 사례는 인증이라는 도장이 보안을 보증해주지 않는다는 뼈아픈 교훈을 남겼습니다. 사용자는 시스템의 편리함 뒤에 숨겨진 보안 리스크를 스스로 인지하고, 기술 공급업체의 투명성을 끊임없이 요구해야 합니다. 국가 안보를 책임지는 클라우드 서비스조차 이런 현실이라면, 개인과 기업의 데이터 보안은 과연 누가 지켜줄 것인지 다시 한번 고민해 보아야 할 시점입니다.
출처: https://arstechnica.com/information-technology/2026/03/federal-cyber-experts-called-microsofts-cloud-a-pile-of-shit-approved-it-anyway/
이어서 보면 좋은 글
#마이크로소프트 #클라우드보안 #사이버보안 #보안인증 #FedRAMP #클라우드위험 #데이터보호 #정부클라우드 #IT기술 #보안사고