2023년 11월 30일
클레어 해처 - 영국 지역 영업 이사, Skyhigh Security
공유 책임은 우리 모두가 직관적으로 이해하고 있지만 많은 조직이 클라우드 보안과 관련하여 완전히 이해하지 못하는 개념입니다. 이를 설명하는 프레임워크가 비교적 새롭거나 기대치가 충분히 명확하지 않기 때문입니다. 안타깝게도 많은 조직이 각자의 역할과 책임을 완전히 이해하지 못한 채 일을 그르치고 있으며, 그 결과 보안 공백과 침해가 발생하고 있습니다.
IT 전문가의 90%가 사이버 보안 침해를 경험한 적이 있다는 점을 감안할 때, 모든 기술과 마찬가지로 클라우드 컴퓨팅도 완벽하지 않습니다. 클라우드 서비스 제공업체(CSP)가 몇 가지 고급 보안 도구와 서비스를 제공하긴 하지만, 고객 입장에서는 CSP가 실제로 무엇을 보호하는지에 대해 오해하고 있는 것이 분명합니다. 비유를 통해 누가 무엇을 하는지를 명확히 하고 오해와 혼란을 해소하는 데 도움이 될 수 있습니다.
올바른 정신적 틀이 재난을 예방하는 방법
온라인 마켓플레이스에서 휴가용 숙소를 임대하는 방법을 살펴봅시다. 온라인 마켓플레이스는 거래를 용이하게 하는 기본 인프라를 제공합니다. 회원님은 플랫폼을 통해 숙소 소유자와 연결됩니다. 온라인 마켓플레이스는 이 거래를 수행할 수 있는 안전한 플랫폼을 제공할 책임이 있습니다. 소유자는 부동산 자체에 대한 책임이 있습니다. 예를 들어, 임대 숙소의 문과 창문에 자물쇠를 설치해야 하며, 자물쇠를 사용할 책임은 회원님에게 있습니다. 특히 숙소와 소지품을 보호하기 위해 제공된 장치(이 경우 잠금장치)를 사용하지 않는 경우, 온라인 마켓플레이스가 숙소에 머무는 동안 도난을 당하지 않도록 보장해줄 책임을 기대할 수 없습니다.
또 다른 비유는 철물점에서 공구를 구입하거나 대여하는 것입니다. 공구가 파손되거나 성능이 저하되는 경우 공급업체에 일부 책임이 있을 수 있지만, 보안경을 착용하고 안전한 작업 환경을 확보하며 공구를 책임감 있게 사용하는 것은 항상 사용자의 몫입니다.
조직은 사용하는 클라우드 서비스 플랫폼에 따라 크게 다르지 않다는 점을 이해해야 합니다. CSP가 모든 보안 침해에 대해 책임을 지는 것은 아닙니다. 고객은 퍼블릭 클라우드 환경을 보호하는 데 중요한 역할을 하고 책임을 공유합니다.
공유 책임 모델 입력
CSP는 보안에 관한 책임을 명확하게 정의했습니다. 아마존 웹 서비스(AWS) 와 마이크로소프트 애저는 모두 클라우드 보안 공유 책임 모델을 발표하여 누가 무엇을 책임지는지 명시하고 있습니다. 세부 사항은 모델이 서비스형 소프트웨어(SaaS), 서비스형 인프라(IaaS) 또는 서비스형 플랫폼(PaaS)인지 여부에 따라 다르지만 일반적으로 기업 고객이 클라우드 보안의 이러한 측면에 대한 책임을 집니다:
- 엔드포인트 보안
- 네트워크 보안
- 구성
- ID 및 액세스 관리(IAM)
- 데이터 분류 및 책임
- 데이터 협업 제어
- 가상 머신
- 워크로드 및 컨테이너 보안
반면에 클라우드 서비스 제공업체는 책임을 져야 합니다:
- 전력 및 인터넷 연결을 포함한 자체 시설의 물리적 보안 및 유지 관리
- 서버, 운영 체제, 패치, 로드 밸런싱, 확장, 스토리지 및 플랫폼 서비스 구성을 포함한 컴퓨팅 호스트 인프라 구성
- 네트워크 제어 및 공급자 서비스
휴가용 임대 숙소의 문과 창문 잠금 장치에 대한 비유로 돌아가서, CSP는 서비스에 다양한 보안 방어 기능을 내장하고 있지만, 이를 구현하여 자체 네트워크, 사용자, 중요한 데이터 및 애플리케이션을 보호하는 것은 고객의 몫입니다.
클라우드 서비스의 고객으로서 자신의 역할과 책임을 완전히 이해하려면 서비스 수준 계약(SLA)을 주의 깊게 검토하는 것이 중요합니다. 어떤 가정도 하지 마세요. SLA는 보안의 어떤 측면을 책임져야 하는지, 플랫폼의 이점을 최대한 활용하려면 처음에 어떤 기능과 정책을 적절히 구성해야 하는지 정확히 명시합니다. 복잡한 멀티클라우드 환경에서는 관리자의 관점에서 이러한 작업이 어려울 수 있지만, 클라우드의 데이터를 안전하게 보호하기 위해 책임을 미리 파악하는 것은 시간과 노력을 들일 만한 가치가 충분합니다.
클라우드 보안은 팀 스포츠이며, 모두가 자신의 차례가 되면 공을 운반해야 합니다. 공유 책임 모델은 게임의 규칙을 이해하는 데 도움이 되는 프레임워크를 제공합니다.
Skyhigh Security 에서 퍼블릭 클라우드 플랫폼에서 책임을 다하고 데이터를 보호하는 데 어떻게 도움이 되는지 알아보려면 웹사이트를 방문하세요.
블로그로 돌아가기