클라우드 공유 책임 모델은 클라우드 보안의 핵심 개념입니다. 본 가이드는 클라우드 기반 리소스의 보안을 보장하기 위한 클라우드 공급자와 고객의 역할 및 책임을 설명하며, 이 모델에 대한 포괄적인 개요를 제공합니다.
물리적 인프라, 네트워크 제어, 애플리케이션 수준 보안 등 공유 책임 모델의 다양한 계층에 대해 알아보세요.
클라우드 공유 책임 모델에서 고객이 반드시 해결해야 할 주요 보안 위험
조직이 비즈니스에 대한 클라우드 보안을 평가할 때, 경영진과 기술 책임자는 클라우드 공유 책임 모델 내에서 자신과 고객이 직면하는 위험을 고려해야 합니다. 이러한 위험은 다음과 같은 주제로 분류할 수 있습니다:
- 무단 접근 – 조직은 민감한 데이터 및 애플리케이션에 대한 무단 접근을 방지하기 위해 강력한 인증 및 접근 통제 체계를 확보해야 합니다. 여기에는 사용자 신원 관리, 강력한 비밀번호 및 다중 인증 적용, 사용자 역할 및 권한에 기반한 민감 데이터 및 애플리케이션 접근 제한 등이 포함됩니다.
- 데이터 유출 – 적절한 암호화 및 데이터 보호 메커니즘을 확보함으로써 조직은 저장 중인 데이터와 전송 중인 데이터를 보호할 수 있습니다. 여기에는 강력한 암호화 알고리즘 사용, 안전한 데이터 전송 프로토콜 구현, 비정상적인 데이터 접근 패턴 및 활동 모니터링이 포함됩니다.
- 악성코드 및 바이러스 — 악성코드와 바이러스는 이메일 첨부 파일, 소프트웨어 다운로드, 감염된 엔드포인트 등 다양한 경로를 통해 클라우드 환경에 침투할 수 있습니다. 조직은 적절한 바이러스 백신 및 악성코드 방어에 투자하고 정기적인 소프트웨어 업데이트 및 패치를 수행하여 취약점을 방지해야 합니다.
- 내부자 위협 – 내부자 위협은 클라우드 리소스에 대한 접근 권한을 가진 직원이나 계약자 등으로 인해 심각한 보안 위험을 초래할 수 있습니다. 내부자 위협을 탐지하고 방지하기 위해 적절한 접근 제어 및 모니터링 메커니즘을 구축할 수 있습니다. 여기에는 사용자 활동 모니터링, 데이터 손실 방지 조치 구현, 정기적인 보안 감사 및 평가 수행이 포함됩니다.&
- 규정 위반 – 클라우드 고객은 또한 규정 준수 규정을 인지하고 이를 준수해야 합니다. 여기에는 HIPAA, PCI-DSS, GDPR과 같은 규정이 포함됩니다. 이러한 규제 프레임워크 하에서 조직은 클라우드 환경이 보안 및 개인정보 보호 기준을 충족하고 적절한 데이터 관리 및 보존 정책을 갖추도록 법적으로 의무화됩니다.
이러한 보안 위험을 해결함으로써 고객은 규제 요건을 준수하고 민감한 데이터 및 애플리케이션을 보호하면서 클라우드 환경의 보안성과 신뢰성을 확보할 수 있습니다.
클라우드 공유 책임 모델의 중요성 정의
클라우드 공유 책임 모델은 클라우드 보안에서 핵심 개념으로, 클라우드 서비스 제공업체와 고객 양측의 책임을 명시합니다. 이 모델은 양측이 클라우드 자산 보호에서의 역할을 명확히 이해하도록 하여 혼란과 오해를 방지합니다.
이 모델에서는 클라우드 환경의 보안 및 관리와 관련된 책임이 명확하게 규정됩니다:
- 클라우드 서비스 공급자는 일반적으로 물리적 데이터 센터, 네트워킹, 서버 하드웨어를 포함한 클라우드 인프라의 보안을 책임집니다.
- 고객은 클라우드 인프라에서 실행되는 애플리케이션, 데이터 및 운영 체제의 보안을 책임집니다.
클라우드 공유 책임 모델은 누가 무엇을 책임지는지 명확히 하여 포괄적이고 효과적인 클라우드 보안을 보장하기 때문에 클라우드 보안에서 매우 중요합니다. 이 모델이 없으면 당사자들이 클라우드 보안 책임 소재를 판단하기 매우 어려워 보안 범위 공백이나 중복 작업이 발생할 수 있습니다.
CNAPP 마켓 가이드클라우드 서비스 모델 간의 차이점 파악
인프라스트럭처 서비스(IaaS), 플랫폼 서비스(PaaS), 소프트웨어 서비스(SaaS)는 오늘날 클라우드 기반 조직에서 일반적으로 사용되는 세 가지 주요 클라우드 서비스 모델입니다. 이들은 고객이 클라우드 리소스에 대해 가지는 제어 수준과 책임의 정도에서 차이가 있습니다.
인프라 서비스(IaaS)
IaaS 모델에서 클라우드 공급자는 물리적 하드웨어를 대체할 수 있는 가상화 인프라를 제공합니다. 고객은 가상 머신, 스토리지, 네트워크 구성 요소와 같은 컴퓨팅 자원을 임대하여 애플리케이션이나 서비스를 실행할 수 있습니다. 고객은 이 인프라에서 실행되는 운영 체제, 미들웨어, 애플리케이션에 대한 완전한 통제권을 가지며 이를 관리할 책임이 있습니다.
그러나 IaaS 모델에서는 고객이 애플리케이션과 데이터의 보안, 백업, 재해 복구 및 운영 체제와 애플리케이션 관련 기타 작업을 관리해야 합니다. 이는 상당한 전문성과 자원을 필요로 할 수 있으며 일부 조직에게는 어려울 수 있습니다.
서비스형 플랫폼(PaaS)
PaaS 모델에서는 클라우드 공급자가 애플리케이션 구축, 배포 및 관리를 위한 플랫폼을 제공합니다. 이 플랫폼에는 애플리케이션 개발 및 배포에 활용할 수 있는 런타임 환경, 개발 도구, 사전 구축된 구성 요소가 포함됩니다. 따라서 고객은 기반 인프라를 관리하는 대신 애플리케이션 개발 및 배포에 집중할 수 있습니다. 공급자는 서버, 스토리지, 네트워킹과 같은 인프라뿐만 아니라 운영 체제 및 미들웨어도 관리합니다. 고객은 인프라에 대한 걱정 없이 애플리케이션과 데이터를 관리합니다.
PaaS는 유연성과 편의성 사이의 균형을 제공합니다. 고객은 애플리케이션 개발 및 배포에 집중할 수 있으며, 공급자는 기반 인프라를 관리합니다. 또한 표준화된 개발 환경을 제공하여 개발 시간을 단축하고 생산성을 높일 수 있습니다. 그러나 PaaS는 맞춤화 및 타 시스템과의 통합 측면에서 일부 제한이 있을 수 있습니다.
서비스형 소프트웨어(SaaS)
SaaS 모델에서는 클라우드 공급자가 인터넷을 통해 소프트웨어 애플리케이션을 제공하며, 고객은 웹 브라우저나 클라이언트 애플리케이션을 통해 이에 접근하고 사용할 수 있습니다. 공급자는 기본 인프라, 운영 체제 및 애플리케이션 소프트웨어를 관리하는 반면, 고객은 자신의 필요에 따라 소프트웨어를 구성하고 사용하는 책임을 집니다. 결과적으로 고객은 인프라 관리나 소프트웨어 업데이트에 대해 걱정할 필요가 없습니다.
SaaS는 공급자가 소프트웨어 애플리케이션과 관련된 모든 것을 처리하므로 가장 높은 수준의 편의성을 제공합니다. 고객은 소프트웨어 사용과 필요에 따른 맞춤화에 집중할 수 있습니다. 다만 SaaS는 맞춤화 옵션이 제한적일 수 있으며, 지원 및 업데이트를 제공자에 의존해야 할 수 있습니다.
전반적으로 클라우드 서비스 모델 선택은 조직의 구체적인 요구사항과 필요에 따라 달라집니다. IaaS는 가장 높은 수준의 유연성과 제어권을 제공하지만 더 많은 전문성과 자원이 필요합니다. PaaS는 유연성과 편의성을 균형 있게 제공하며, SaaS는 가장 높은 편의성을 제공하지만 맞춤 설정 옵션이 제한적일 수 있습니다.
클라우드 공유 책임 모델의 다양한 계층 이해하기
클라우드 공동 책임 모델은 인프라, 플랫폼, 애플리케이션의 세 가지 계층으로 구성됩니다. 각 계층은 서로 다른 책임 수준을 나타내며, 클라우드 서비스 제공업체와 고객의 고유한 참여 수준을 요구합니다.
인프라 계층
인프라 계층은 클라우드 공동 책임 모델의 기반입니다. 여기에는 서버, 스토리지, 네트워크 장치 등 클라우드 인프라의 물리적 및 가상 구성 요소가 포함됩니다. 또한 클라우드 서비스 제공업체는 물리적 보안, 네트워크 보안, 접근 제어 등을 포함한 인프라 계층의 보안을 책임집니다.
고객은 인프라 계층에서 자신의 데이터와 애플리케이션 보안을 책임집니다. 안전한 프로토콜 사용과 적절한 접근 제어 구현을 보장해야 합니다. 또한 애플리케이션과 데이터가 안전하게 저장되도록 하고 필요한 경우 암호화를 사용해야 할 책임이 있습니다.
플랫폼 계층
플랫폼 계층은 클라우드 서비스 제공업체가 고객이 애플리케이션을 구축하고 배포할 수 있는 플랫폼을 제공하는 곳입니다. 플랫폼 계층에는 운영 체제, 런타임 환경 및 데이터베이스가 포함됩니다. 클라우드 서비스 제공업체는 플랫폼 계층의 보안 유지, 소프트웨어 패치 및 업데이트, 안전한 구성 보장, 접근 제어 제공을 책임집니다.
고객은 플랫폼 계층에서 자신의 애플리케이션과 데이터를 보호할 책임이 있습니다. 애플리케이션의 보안성 확보, 안전한 프로토콜 사용, 필요한 경우 암호화 적용을 보장해야 합니다. 또한 애플리케이션을 올바르게 구성하고 적절한 접근 제어를 구현할 책임도 있습니다.
애플리케이션 계층
애플리케이션 계층은 고객이 클라우드 서비스 공급자의 플랫폼에 애플리케이션을 배포하는 곳입니다. 클라우드 서비스 공급자는 애플리케이션 계층의 보안을 책임지지 않으며, 이는 고객의 책임입니다. 그러나 고객은 애플리케이션이 안전하고 안전한 프로토콜을 사용하도록 보장해야 합니다. 또한 적절한 접근 제어 구현과 데이터 보안을 책임져야 합니다.
클라우드 서비스 제공자와 고객의 책임
클라우드 서비스 제공자와 고객은 클라우드 공유 책임 모델의 계층에 따라 서로 다른 책임을 가집니다. 본 블로그 마지막 섹션에서 언급한 세 계층을 기준으로, 계층별 책임 분담을 다음과 같이 정리합니다.
인프라 계층 책임
클라우드 서비스 제공자는 인프라 계층에서 다음을 책임집니다:
- 인프라가 위치한 데이터센터의 물리적 보안
- 방화벽 및 침입 탐지 시스템을 포함한 네트워크 보안
- 인프라 구성 요소의 패치 및 업데이트
- 접근 제어 제공 및 비정상 활동 모니터링
고객은 인프라 계층에서 다음 사항을 책임집니다:
- 데이터 및 애플리케이션 보안 유지
- SSL/TLS와 같은 안전한 프로토콜 사용 보장
- 애플리케이션 및 데이터에 대한 적절한 접근 제어 구현
- 필요한 경우 암호화 사용
플랫폼 계층 책임
클라우드 서비스 제공업체는 플랫폼 계층에서 다음을 책임집니다:
- 운영 체제 및 소프트웨어 구성 요소에 대한 패치 및 업데이트 적용
- 불필요한 서비스 비활성화 및 접근 제어 구현 등 플랫폼의 안전한 구성
- 플랫폼에 대한 접근 제어 제공
고객은 플랫폼 계층에서 다음 사항에 대한 책임을 집니다:
- 애플리케이션 및 데이터 보안
- SSH와 같은 안전한 프로토콜 사용 보장
- 애플리케이션의 올바르고 안전한 구성
- 애플리케이션 및 데이터에 대한 적절한 접근 제어 구현
애플리케이션 계층 책임
고객은 애플리케이션 계층에서 다음 사항에 대한 책임을 집니다:
- 애플리케이션 및 데이터 보안 유지
- HTTPS와 같은 안전한 프로토콜 사용 보장
- 애플리케이션 및 데이터에 대한 적절한 접근 제어 구현
- 민감한 정보를 암호화하여 데이터 보안 강화
클라우드 책임 이해를 위한 대안적 방법
클라우드 공동 책임 모델의 여러 계층을 설명하는 또 다른 모델이 있습니다. 인프라, 플랫폼, 애플리케이션이라는 세 가지 계층을 사용하는 대신, 이 모델은 책임을 더 광범위한 관심사 주제로 그룹화합니다.
- 물리적 보안 – 클라우드 서비스 공급자는 클라우드 인프라를 운영하는 물리적 데이터 센터 및 하드웨어의 보안을 책임집니다. 여기에는 접근 통제, 영상 감시, 침입 탐지 시스템과 같은 물리적 보안 조치 제공이 포함됩니다.
- 네트워크 보안 – 클라우드 서비스 제공업체는 방화벽, 라우터, 스위치 등을 포함한 클라우드 네트워크 인프라의 보안을 책임집니다. 네트워크 인프라가 무단 접근 및 사이버 공격으로부터 보호되도록 보장해야 합니다.
- 호스트 인프라 보안 – 클라우드 서비스 제공자는 하이퍼바이저, 가상 머신, 운영 체제를 포함한 기본 호스트 인프라의 보안을 책임집니다. 여기에는 호스트 인프라에 패치를 적용하고 최신 상태로 유지하며, 모든 취약점을 신속하게 해결하는 것이 포함됩니다.&
- 애플리케이션 보안 – 고객은 클라우드 인프라에서 실행되는 애플리케이션의 보안을 책임집니다. 여기에는 접근 제어 구성, 암호화 구현, 규정 준수 확보 등이 포함됩니다.
- 데이터 보안 – 고객은 클라우드 인프라에 저장된 데이터의 보안을 책임집니다. 여기에는 암호화, 접근 제어, 데이터 백업 및 복구 조치 구현이 포함됩니다.
Amazon AWS, Google Cloud, Microsoft Azure 간 클라우드 공유 책임 모델의 차별화된 접근 방식
Amazon AWS, Google Cloud, Microsoft Azure는 시장을 선도하는 클라우드 서비스 제공업체입니다. 각 업체는 클라우드 공유 책임 모델에 대한 고유한 접근 방식으로 차별화됩니다.
Amazon AWS 공유 책임 모델
Amazon AWS는 고객을 위한 포괄적인 공유 책임 모델을 제공합니다. AWS에 따르면, AWS는 클라우드 인프라의 보안을 책임지고, 고객은 클라우드의 보안을 책임집니다. AWS는 물리적 서버, 네트워킹, 하이퍼바이저와 같은 기본 인프라의 보안을 책임집니다. 반면 고객은 애플리케이션, 데이터 및 운영 체제의 보안을 책임집니다.
AWS 공동 책임 모델 하에서 고객은 자신의 데이터와 애플리케이션에 대한 완전한 통제권을 가집니다. 고객은 보안 그룹, 네트워크 액세스 제어 목록 및 방화벽을 구성할 책임이 있습니다. 또한 고객은 AWS IAM(Identity and Access Management), AWS CloudTrail, AWS Config 등의 AWS 서비스를 활용하여 환경을 더욱 안전하게 보호할 수 있습니다.
Google Cloud 공유 책임 모델
Google Cloud는 공유 책임 모델에 대해 다른 접근 방식을 취합니다. Google Cloud에 따르면, 그들은 인프라의 보안을 책임지며, 고객은 애플리케이션과 데이터의 보안을 책임집니다. 이 접근 방식은 클라우드 서비스 제공업체보다 고객에게 더 많은 책임을 부여합니다.
Google Cloud 공유 책임 모델 하에서 고객은 방화벽 구성, 접근 제어 설정, 애플리케이션 및 데이터 보안을 책임집니다. 또한 Google Cloud는 Google Cloud IAM, Google Cloud Security Command Center, Google Cloud DLP 등 고객 환경 보안을 지원하는 여러 도구를 제공합니다.
Microsoft Azure 공유 책임 모델
Microsoft Azure는 Amazon AWS와 유사한 공유 책임 모델을 제공합니다. Microsoft에 따르면, 그들은 클라우드 인프라의 보안을 책임지며, 고객은 클라우드 내 보안을 책임집니다. 이 접근 방식은 고객보다 클라우드 서비스 제공자에게 더 많은 책임을 부여합니다.
Microsoft Azure 공동 책임 모델 하에서 고객은 애플리케이션, 데이터 및 접근 제어의 보안을 책임집니다. Azure Security Center, Azure Active Directory, Azure 보안 및 규정 준수 도구를 활용하여 환경을 더욱 안전하게 보호할 수 있습니다.
클라우드 공동 책임 모델 구현을 위한 모범 사례
클라우드 공동 책임 모델을 구현하려면 클라우드 서비스 공급자와 고객 간의 협력과 소통이 필요합니다. 모델을 구현할 때 다음 모범 사례를 시작 지침으로 사용하십시오.
- 책임 이해하기 – 클라우드 인프라에서 실행되는 모든 애플리케이션, 데이터 및 운영 체제의 보안과 관련된 모든 책임을 명확하게 이해하십시오.
- 보안 모범 사례를 따르십시오 – 강력한 암호 사용, 다중 인증 활성화, 암호화 구현 등이 있습니다.
- 접근 제어 구현 – 민감한 데이터 및 애플리케이션에 대한 접근은 사용자 역할과 권한에 따라 부여되어야 합니다.
- 보안 조치를 정기적으로 모니터링하고 업데이트하십시오 – 클라우드 기반 위험이 증가하는 위협 환경을 면밀히 모니터링할 보안 팀을 지정하십시오. 취약점이나 새로운 위협에 대응하기 위해 보안 조치가 적시에 업데이트되도록 하십시오.
- 규정 준수 – 법률 전문가와 협력하여 HIPAA, PCI-DSS, GDPR 등 적용 가능한 규정을 이해하십시오.
결론
클라우드 공유 책임 모델은 클라우드 보안에서 중요한 개념입니다. 클라우드 자산 보안을 위해 클라우드 서비스 제공업체와 고객의 역할과 책임을 명확히 합니다. 모델의 각 계층과 해당 책임을 이해함으로써 클라우드 서비스 제공업체와 고객은 협력하여 클라우드 환경이 안전하고 효과적으로 운영되도록 할 수 있습니다.
클라우드 공유 책임 모델 FAQ
클라우드 공동 책임 모델은 클라우드 서비스를 사용할 때 누가 어떤 보안 책임을 담당하는지 명시합니다. 공급자는 물리적 데이터 센터, 네트워크 및 가상화 계층을 보호하며, 고객은 클라우드에 구축하고 저장하는 모든 것(운영 체제, 애플리케이션 및 데이터)을 관리합니다. 이러한 역할 분담을 통해 각 당사자는 자신이 통제하는 영역에 집중할 수 있어 클라우드 환경의 안전성과 신뢰성을 유지할 수 있습니다.
역할을 명확히 구분하면 양측 모두 책임감을 갖고 보안 공백을 막을 수 있습니다. 이를 적용하지 않으면, 데이터 암호화나 접근 제어가 실제로는 사용자의 책임임에도 공급자가 담당한다고 오해하거나 그 반대의 상황이 발생할 수 있습니다. 경계를 명확히 정의하면 책임 공백을 방지하고 중복 작업을 줄이며, 각 보안 통제에 누가 대응해야 하는지 정확히 보여줌으로써 감사 과정을 원활하게 합니다.
클라우드 공급자는 인프라 스택을 처리합니다. 물리적 데이터 센터(전원, 냉각, 건물)를 보호하고, 방화벽 및 침입 방지 시스템과 같은 네트워크 방어 체계를 관리하며, 서버와 하이퍼바이저를 유지 관리 및 패치하고, 하드웨어의 고가용성을 보장합니다.
또한 업계 인증(ISO 27001, SOC 2)을 충족하고 기반 클라우드 플랫폼의 규정 준수를 입증합니다.
고객의 책임 수준은 IaaS, PaaS, SaaS에 따라 달라집니다. IaaS에서는 원시 컴퓨팅 자원을 임대하므로 운영체제(OS), 미들웨어, 애플리케이션 및 데이터를 보호해야 합니다. PaaS는 관리형 런타임을 제공하므로 고객은 코드와 구성에 집중하고, 공급자는 OS 및 플랫폼 업데이트를 담당합니다.
SaaS는 대부분의 책임을 공급자에게 이전합니다. 고객은 애플리케이션만 구성하고 사용하며, 공급자가 그 아래 모든 것을 보호합니다.
책임은 일반적으로 세 가지 계층으로 구분됩니다:
- 인프라 계층: 공급자가 보안 조치를 취한 하드웨어, 가상화 및 네트워크 장치; 해당 시스템에서 데이터 보안을 담당합니다.
- 플랫폼 계층: 공급자가 패치 및 구성한 운영 체제, 런타임 및 데이터베이스; 사용자는 애플리케이션과 설정을 잠급니다.
- 애플리케이션 계층: 애플리케이션 코드, 접근 제어 및 데이터 암호화를 사용자가 처리합니다. 공급자는 사용자 정의 로직이나 비즈니스 데이터를 보호하지 않습니다.
SentinelOne의 Singularity™ 클라우드 보안은 클라우드 워크로드 전반에 걸쳐 실시간 가시성과 자동화된 제어를 제공함으로써 공동 책임을 시행합니다. CSPM(포즈 검사), CWPP(워크로드 보호), CIEM(권한 관리), IaC 스캐닝 및 원클릭 수정 기능을 결합합니다.
AI 기반 위협 탐지 및 정책 시행이 모든 계층을 포괄하므로, 클라우드 리소스에 영향을 미치기 전에 잘못된 구성을 발견하고, 암호화를 시행하며, 위협을 격리할 수 있습니다.
