클라우드 보안 비교는 이 순서로 하면 된다

얼마 전 서버 이전을 돕다가 백업이 매일 성공했다는 말을 들었다. 그런데 새 서버에 데이터를 복원해 보니 데이터베이스 덤프가 비어 있었다. 보안 기능이 많은 요금제를 쓰고도 복구 확인은 한 번도 하지 않은 경우였다. 클라우드 보안 비교를 할 때 기능 목록보다 먼저 볼 것은 사고가 났을 때 어디까지 지키고, 얼마나 빨리 되돌릴 수 있는지다.

먼저 누가 무엇을 관리하는지 적는다

웹호스팅, VPS, 관리형 클라우드는 운영자가 맡는 범위가 다르다. 웹호스팅은 서버 운영을 업체가 많이 맡지만, 워드프레스 같은 애플리케이션의 계정·플러그인·콘텐츠 관리는 대개 사용자 몫이다. VPS는 운영체제 업데이트, 방화벽, SSH 접근, 로그 보관까지 직접 챙겨야 하는 경우가 많다. 관리형 서비스도 데이터 접근 권한이나 백업 보관 정책까지 자동으로 대신 결정해 주지는 않는다.

그래서 상품 설명의 ‘보안 제공’이라는 문구만으로는 비교가 안 된다. 아래 항목을 계약 내용과 관리 화면에서 하나씩 확인하는 편이 빠르다.

운영체제와 웹서버의 보안 패치는 누가 적용하는가
계정별 권한과 다중 인증을 설정할 수 있는가
백업은 어디에, 얼마나 오래 보관하며 누가 복원하는가
침해나 장애가 났을 때 로그를 누가 확인할 수 있는가

작은 홍보 사이트 하나라면 직접 관리할 기능이 많은 VPS보다 패치 책임이 분명한 웹호스팅이 나을 수 있다. 반대로 서버 설정을 자주 바꾸고 별도 접근 제어가 필요하다면 VPS가 맞을 수 있다. 서버를 직접 만질 수 있다는 것과 안전하게 운영할 수 있다는 것은 별개의 문제다.

접근 통제부터 같은 조건으로 비교한다

관리자 계정 하나가 털리면 서버 사양이나 방화벽 상품 이름은 큰 의미가 없다. 비교할 때는 관리자 로그인에 다중 인증을 걸 수 있는지, 사람마다 계정을 분리할 수 있는지, 퇴사자나 외주 작업자의 권한을 바로 회수할 수 있는지부터 본다. 운영 계정을 여러 사람이 공유하면 누가 설정을 바꿨는지 추적하기 어렵다.

VPS라면 SSH를 외부 전체에 열어 둔 상태인지 확인한다. 가능하면 접속 허용 대상을 제한하고, 관리자 작업에는 개인별 키와 권한을 쓴다. 비밀번호 로그인만 제공하거나 관리 화면에 다중 인증이 없다면 다른 기능이 많아도 감점할 만하다. 웹 애플리케이션 방화벽은 공격 요청을 줄이는 데 도움이 되지만, 관리자 계정 보호나 패치의 대체품은 아니다.

SSL도 비교표에서 ‘무료 제공’ 여부만 보면 놓치는 부분이 있다. 인증서가 자동 갱신되는지, 갱신 실패를 알 수 있는지 확인해야 한다. 인증서가 있어도 관리 화면의 약한 비밀번호나 공개된 백업 파일까지 보호해 주지는 않는다. 도메인 관리 계정에도 다중 인증을 걸고, DNS 변경 권한은 필요한 사람에게만 주는 게 맞다.

백업은 저장 공간보다 복원 시간을 본다

백업 정책은 숫자로 맞춰 놓고 비교하면 쉽다. 예를 들어 게시물이 하루 한 번 올라오는 블로그라면 ‘최대 24시간치 변경을 잃을 수 있는가’와 ‘몇 시간 안에 다시 열어야 하는가’를 먼저 정한다. 주문이 계속 들어오는 사이트라면 하루 한 번 백업으로는 부족할 수 있다. 이 숫자는 트래픽 양보다 데이터가 바뀌는 빈도와 중단 비용에 따라 달라진다.

업체가 일일 백업을 제공한다면 보관 기간, 백업 대상, 복원 비용과 소요 시간을 확인한다. 파일만 백업하고 데이터베이스는 빠지는지, 같은 계정이 삭제되면 백업도 함께 지워지는지까지 봐야 한다. 스냅샷은 서버를 빠르게 되돌리는 데 편하지만, 같은 계정의 권한이 탈취됐을 때를 대비한 별도 보관본까지 자동으로 만들어 주는 것은 아니다.

실무에서는 월 1회라도 시험 복원을 해 보는 쪽이 낫다. 원본을 덮어쓰지 않는 임시 환경에 파일과 데이터베이스를 복원하고, 로그인과 주요 페이지가 열리는지 확인한다. 백업 성공 알림보다 이 한 번의 확인이 훨씬 많은 문제를 찾아낸다. 복원에 4시간이 걸렸다면 장애 대응 계획에도 그 시간을 그대로 반영해야 한다.

월요금은 필요한 운영 기능까지 합쳐 계산한다

두 서비스의 기본 요금이 같아도 실제 비용은 다를 수 있다. 비교표에는 서버 또는 호스팅 요금, 백업 보관과 복원 비용, 로그 보관, 추가 접속 제어, 운영 시간을 따로 적는다. 예를 들어 월 서버 요금이 1만 원 저렴해도 패치와 백업 확인에 매달 2시간이 더 든다면 그 차액만으로 선택하기 어렵다. 반대로 하루 방문자가 수백 명인 정적 사이트에 비싼 보안 부가 기능을 모두 붙일 이유도 적다.

무료·저가 요금제에서도 계정 분리, 다중 인증, 자동 갱신, 복원 가능한 백업이 충족된다면 충분한 구간이 있다. 접속자가 늘기 전에 먼저 확인할 것은 CPU 등급보다 메모리 부족, 데이터베이스 지연, 캐시 설정, 백업 시간대의 부하다. 장애 원인을 모르고 큰 인스턴스로 옮기면 비용만 올라갈 수 있다.

제가 클라우드 보안 비교표를 만들 때 마지막 칸에 적는 것은 기능 수가 아니라 ‘장애가 나면 누가, 어떤 순서로, 어디서 복원하는가’다. 그 답이 분명한 저가 서비스는 쓸 만하고, 답이 흐린 고가 서비스는 다시 확인한다.