네트워크 보안은 공동의 책임
목차
공유 책임 모델이란 무엇인가요?
공유 책임 모델은 클라우드 서비스 공급자(CSP)와 고객 간에 보안 및 규정 준수 책임을 분담하는 클라우드 컴퓨팅의 프레임워크입니다. 이 모델은 조직과 CSP가 클라우드 인프라를 보호하고 규정 준수를 유지하는 데 적극적으로 기여하도록 보장합니다. 공유 책임 모델에 따라
- 클라우드의 보안을 책임지는 CSP
- 클라우드 보안을 책임지는 고객
공유 책임 모델 설명
공유 책임 모델은 조직과 CSP가 클라우드 인프라를 보호하고 규정 준수를 유지하는 데 적극적으로 기여하도록 보장합니다. 공유 책임 모델을 이해하고 준수함으로써 CSP와 고객 모두 안전한 클라우드 환경을 조성하기 위해 협력하여 위험을 효과적으로 완화하고 업계 규정 및 모범 사례를 준수할 수 있습니다.
이 모델에서 CSP는 물리적 인프라, 네트워크 및 하드웨어 보안을 포함한 클라우드 보안을 책임집니다. 컴퓨팅, 스토리지, 데이터베이스와 같은 기본 클라우드 서비스를 위협으로부터 보호하고 고객에게 안전하고 신뢰할 수 있는 환경을 유지합니다. CSP는 고객이 보안 구성을 관리할 수 있는 도구와 기능도 제공합니다.
관계의 반대편에서는 고객이 클라우드 환경 내에 구축한 데이터, 애플리케이션, 워크로드를 보호하는 등 클라우드 보안에 대한 책임이 있습니다. 여기에는 데이터 암호화, 액세스 관리, 소프트웨어 패치 및 업데이트, 특정 요구 사항 및 규정 준수 요구 사항에 따른 보안 설정 구성과 같은 작업이 포함됩니다.
공유 책임 모델의 세부 사항은 서비스형 인프라(IaaS), 서비스형 플랫폼(PaaS), 서비스형 소프트웨어(SaaS)등 사용 중인 클라우드 서비스 모델에 따라 달라질 수 있습니다. IaaS 모델에서는 고객이 운영 체제 및 애플리케이션 관리와 같은 더 많은 보안 책임을 집니다. 반면, CSP는 애플리케이션 수준 보안을 포함하여 SaaS 모델에서 더 많은 책임을 처리합니다.
데이터 노출에 대한 우려로 인해 클라우드 보안이 우선 순위가 되었습니다. 문제는 민첩성에 대한 조직의 요구와 다양한 클라우드 간에 이동하는 데이터의 보안 및 애플리케이션의 보안을 개선해야 하는 필요성 사이에서 균형을 맞추는 것입니다. 애플리케이션과 데이터가 있는 모든 위치에서 가시성을 확보하고 외부 위치에서든 측면 공격을 통해든 데이터를 유출하려는 시도에 맞서 싸우는 것은 필수적입니다.
네트워크 팀, 보안 팀, 앱 팀, 규정 준수 팀 또는 인프라 팀 등 조직 내 여러 팀에서 클라우드 보안을 담당할 수 있습니다. 그러나 클라우드 보안은 조직 전체와 클라우드 공급업체의 공동 책임이기도 합니다. 정확히 어떻게 분류되는지는 클라우드 서비스의 특성에 따라 다릅니다:
- 프라이빗 클라우드: 프라이빗 클라우드는 조직의 자체 데이터 센터에서 호스팅되므로 조직이 보안의 모든 측면에 대한 책임을 집니다. 여기에는 물리적 네트워크, 인프라, 하이퍼바이저, 가상 네트워크, 운영 체제, 방화벽, 서비스 구성, ID 및 액세스 관리 등이 포함됩니다. 또한 조직은 데이터와 그 보안을 소유합니다.
- 공개: AWS®(Amazon Web Services)또는 Microsoft Azure®와같은 퍼블릭 클라우드에서는 클라우드 공급업체가 인프라, 물리적 네트워크 및 하이퍼바이저를 소유합니다. 고객은 여전히 워크로드 OS, 앱, 가상 네트워크, 테넌트 환경/계정에 대한 액세스 및 데이터를 소유합니다.
- SaaS: SaaS 공급업체는 주로 물리적, 인프라 및 애플리케이션 보안을 포함하여 플랫폼의 보안에 대한 책임이 있습니다. 이러한 공급업체는 고객 데이터를 소유하거나 고객이 애플리케이션을 사용하는 방식에 대한 책임을 지지 않습니다. 따라서 고객은 데이터 유출, 우발적 노출 또는 멀웨어 삽입의 위험을 방지하거나 최소화할 책임이 있습니다.
조직이 프라이빗 클라우드에서 퍼블릭 클라우드 또는 SaaS 애플리케이션으로 전환할 때 데이터, 앱 및 인프라 보안을 위해 공급업체에 의존할 수 있습니다. 어떤 플랫폼 보안 조치를 사용하든 조직은 여전히 자체 데이터의 보안에 대한 책임을 유지합니다.
클라우드 보안
애플리케이션을 안전하게 사용하려면 IT 보안팀은 클라우드 공급업체가 애플리케이션과 데이터의 보안을 유지하기 위해 적절한 보안 조치를 구현했다는 확신을 가져야 합니다. 클라우드 공급업체의 부족한 보안을 보완하기 위해 조직은 위험을 효과적으로 관리하고 보호할 수 있는 적절한 도구도 갖추어야 합니다. 이러한 도구는 반드시 제공해야 합니다:
- SaaS 애플리케이션 내 활동에 대한 가시성
- 데이터 리스크 및 규정 준수 위반 방지를 위한 사용량 상세 분석
- 상황 인식 정책 제어를 통해 위반 발생 시 단속 및 격리 추진
- 알려진 위협에 대한 실시간 위협 인텔리전스 및 알려지지 않은 위협 탐지를 통해 새로운 멀웨어 삽입 지점 방지
공유 책임 FAQ
공동 책임이란 안전하고 규정을 준수하는 클라우드 환경을 유지하기 위한 CSP와 고객 간의 협력적 접근 방식을 말합니다. 각 당사자는 위험을 완화하고 데이터를 보호하며 업계 규정을 준수하기 위해 클라우드 서비스 모델(IaaS, PaaS 또는 SaaS)에 따라 특정 보안 책임을 맡습니다.
공동 책임의 원칙에는 각 당사자의 의무에 대한 명확한 이해, 적극적인 협업, 지속적인 커뮤니케이션이 포함됩니다. CSP는 기본 인프라, 네트워크, 하드웨어를 보호하고 고객은 클라우드 내에 구축된 데이터, 애플리케이션, 워크로드를 보호합니다. 이러한 원칙을 준수하면 강력한 보안 태세를 유지하고 클라우드 환경의 잠재적인 취약성을 예방할 수 있습니다.
공동 책임의 주요 목표는 CSP와 고객 모두의 전문 지식과 리소스를 활용하여 클라우드 보안에 대한 협력적이고 포괄적인 접근 방식을 구축하는 것입니다. 보안 책임을 분산함으로써 전반적인 보안 태세를 강화하고 취약성을 최소화하며 관련 업계 규정 준수를 보장하는 것이 공유 책임의 목표입니다.
클라우드 환경을 효과적으로 보호하고 규정 준수를 유지하려면 공유 책임 모델을 이해하는 것이 중요합니다. 조직이 특정 보안 의무를 파악하고, 리소스를 효율적으로 할당하며, 적절한 보안 제어를 구현하는 데 도움이 됩니다. 모델을 명확히 이해하면 CSP와 고객 간의 협력이 촉진되어 양측이 함께 안전하고 규정을 준수하는 클라우드 환경을 조성하고 위험을 완화하고 잠재적인 위협에 대처할 수 있습니다.
