클라우드 보안이란?

클라우드 보안에 대한 책임은 클라우드 서비스 공급자와 그 고객이 함께 집니다. 책임은 제공되는 서비스 유형에 따라 다릅니다.

서비스 제공 인프라. 이 모델에서 클라우드 서비스 공급자는 컴퓨팅, 네트워크, 주문형 저장소 리소스를 제공합니다. 공급자는 코어 컴퓨팅 서비스의 보안을 책임집니다. 고객은 운영 체제와 그 밖의 모든 것(애플리케이션, 데이터, 런타임, 미들웨어 포함)을 보호해야 합니다.

Platform as a Service. 또한 많은 공급자가 클라우드에서 완벽한 개발 및 배포 환경을 제공합니다. 이들은 코어 컴퓨팅 서비스 외에도 런타임, 미들웨어, 운영 체제 보호를 책임집니다. 고객은 애플리케이션, 데이터, 사용자 액세스, 최종 사용자 디바이스, 최종 사용자 네트워크를 보호해야 합니다.

Software as a Service. 또한 조직은 Microsoft Office 365 또는 Google 드라이브와 같은 종량제 모델의 소프트웨어에 액세스할 수 있습니다. 이 모델에서도 고객은 데이터, 사용자, 디바이스에 대한 보안을 제공해야 합니다.

회사는 네 가지 도구를 통해 클라우드의 리소스를 보호할 수 있습니다.

• 클라우드 워크로드 보호 플랫폼은 클라우드의 애플리케이션에 필요한 컴퓨팅, 저장소, 네트워킹 기능을 보호합니다. 퍼블릭, 프라이빗 및 하이브리드 클라우드 환경에서 워크로드를 식별하고 취약성을 검사합니다. 취약성이 검색되면 솔루션은 문제를 해결할 방법을 제안합니다.
• 클라우드 앱 보안 브로커를 통해 IT 팀은 클라우드 앱 사용량을 파악하고 각 앱에 대한 위험을 평가합니다. 이러한 솔루션은 클라우드를 통해 데이터가 이동하는 방식을 보여 주는 도구를 통해 데이터를 보호하고 규정 준수 목표를 달성하는 데에도 도움이 됩니다. 조직은 또한 클라우드 앱 보안 브로커를 사용하여 사용자의 이상 행동을 탐지하고 위협을 교정할 수 있습니다.
• 클라우드 보안 태세 관리 솔루션은 위반으로 이어질 수 있는 구성 오류를 계속 찾아서 위험을 줄입니다. 프로세스를 자동화함으로써 이러한 솔루션은 수동 프로세스의 실수 위험을 줄이고 수천 개의 서비스와 계정이 있는 환경에 대한 가시성을 높입니다. 취약성이 검색되면 이 솔루션은 개발자가 문제를 수정하는 데 도움이 되는 권장 사항을 안내합니다.
• ID 및 액세스 관리 솔루션은 ID를 관리하고 액세스 정책을 적용하는 도구를 제공합니다. 조직은 이 솔루션을 사용하여 중요한 리소스에 대한 액세스를 제한하고 다단계 인증 및 최소 권한 액세스를 적용합니다.
• CNAPP(Cloud-Native Application Protection Platform)는 보안 팀이 코드에서 클라우드까지 보안을 포함하는 데 도움을 줍니다. CNAPP는 개발부터 런타임까지 클라우드 보안 위협을 방지 및 탐지하고 이에 대응하기 위한 규정 준수 및 보안 기능을 통합합니다.
• 통합 DevOps 보안 관리를 통해 보안 팀은 다중 파이프라인 보안을 통합, 강화, 관리하고 보안이 코드 자체에 포함되도록 보안을 시프트 레프트하며 단일 콘솔에서 코드-클라우드 보호를 지원할 수 있습니다.

조직에서 클라우드를 보호하는 절차와 정책을 마련할 때 고려해야 할 영역은 다음 네 가지입니다.

• 액세스 제한: 클라우드는 인터넷에서 모든 것에 액세스할 수 있도록 만들기 때문에 적합한 사람만 적절한 시간 동안 적절한 도구에 액세스할 수 있도록 하는 것이 엄청 중요합니다.
• 데이터 보호: 조직은 데이터가 어디에 있는지 파악하고 데이터 자체와 데이터가 호스트되고 저장된 인프라를 둘 다 보호하도록 적절히 관리해야 합니다.
• 데이터 복구: 위반이 발생한 경우 적절한 백업 솔루션 및 데이터 복구 계획이 중요합니다.
• 대응 계획: 조직에서 위반이 발생한 경우 영향을 줄이고 다른 시스템이 손상되는 것을 방지하는 계획이 필요합니다.
• 보안 시프트 레프트: 보안 및 개발 팀은 클라우드 네이티브 애플리케이션이 안전하게 시작되고 안전한 상태를 유지하도록 협력하여 코드 자체에 보안을 포함합니다.
• DevOps 보안 태세의 가시성 통합: 단일 창을 통해 여러 DevOps 플랫폼에 걸쳐 DevOps 보안 태세 인사이트를 표시하여 사각지대를 최소화합니다.
• 보안 팀이 새로운 위협에 계속 집중하도록 함: 코드의 클라우드 리소스 구성을 강화하여 프로덕션 환경에 도달하는 보안 문제를 줄입니다.

조직은 다음과 같은 클라우드 위험을 주의해야 합니다.

• 계정 손상: 공격자는 종종 피싱 캠페인을 사용하여 직원의 암호를 훔치고 시스템과 소중한 회사 자산에 대한 액세스 권한을 얻습니다.
• 하드웨어 및 소프트웨어 취약성: 조직에서 퍼블릭 클라우드를 사용하든 프라이빗 클라우드를 사용하든, 하드웨어와 소프트웨어에 패치를 적용하고 최신 상태로 유지하는 것이 중요합니다.
• 내부 위협: 사람의 실수는 보안 위반의 주요 요인입니다. 잘못된 구성은 공격자에게 좋은 기회가 될 수 있습니다. 직원들은 종종 잘못된 링크를 클릭하거나 데이터를 보안이 취약한 위치로 무심코 옮깁니다.
• 클라우드 리소스의 가시성 부족: 이 클라우드 위험은 보안 취약성 및 위협을 탐지하고 이에 대응하기 어렵게 만들어 위반 및 데이터 손실이 발생하도록 할 수 있습니다.
• 위험 우선 순위 지정 부족: 보안 관리자가 클라우드 리소스를 파악하면 보안 태세를 개선하기 위한 권장 사항 수가 지나치게 늘어날 수 있습니다. 따라서 위험에 우선 순위를 지정하여 관리자가 보안에 가장 큰 영향력을 미치기 위해 집중해야 할 곳을 알도록 해야 합니다.
• 고위험 클라우드 사용 권한: 클라우드 서비스 및 ID의 급증으로 인해 고위험 클라우드 사용 권한 수가 늘어났고, 이에 따라 가능한 공격 표면이 확장됩니다. PCI(권한 크리프 인덱스) 메트릭은 권한에 따라 ID가 발생시킬 수 있는 손해를 측정합니다.
• 새로운 위협 환경: 클라우드 보안 위험은 끊임없이 진화합니다. 보안 위반 및 데이터 손실로부터 보호하려면 새로운 위협이 출현함에 따라 최신 상태를 유지하는 것이 중요합니다.
• 클라우드 네이티브 개발 및 보안 간 통합 부족: 보안 및 개발 팀은 앱이 클라우드에 배포되기 전에 협력하여 코드 문제를 파악하고 해결해야 합니다.

클라우드 보안이란 클라우드 기반 시스템 및 데이터 보호를 목표로 하는 기술, 절차, 정책 및 제어 기능을 말합니다. 클라우드 보안의 몇 가지 예는 다음과 같습니다.

• 조직에서 사용하는 앱 및 데이터를 파악하기 위한 클라우드 액세스 보안 브로커와 같은 도구
• 구성 오류를 파악하고 수정하기 위한 클라우드 보안 태세 관리
• 보안 및 개발 팀이 협력하여 코드 자체에 보안을 포함하는 데 사용할 수 있는 도구
• 개발 프로세스에 보안을 구축하기 위한 클라우드 워크로드 보호 플랫폼
• 소프트웨어를 정기적으로 패치하는 작업을 비롯하여 직원 디바이스를 최신 상태로 유지하기 위한 정책 구현
• 직원들이 최신 위협 및 피싱 전술을 인식할 수 있도록 하는 교육 프로그램 확립

클라우드 보안은 내부 및 외부 위협으로부터 클라우드 시스템 및 데이터를 보호하여 사이버 공격 위험을 줄입니다. 또한 클라우드 보안은 직원, 계약자, 비즈니스 파트너가 현장에서 근무하든 원격으로 근무하든 관계없이 리소스에 대한 액세스 권한을 갖는 사람을 제어하여 하이브리드 근무 모델을 지원합니다. 클라우드 보안이 데이터 개인 정보 보호를 향상하며 조직이 GDPR 및 HIPAA와 같은 규정을 준수하는 데 도움을 준다는 또 다른 이점도 있습니다. 이러한 규정을 준수하지 못하면 엄청난 벌금을 내고 명성에 흠집이 날 수 있습니다.

클라우드 보안의 모범 사례는 다음과 같은 조직의 기술, 프로세스 및 제어 기능을 포괄합니다.

• 클라우드 네이티브 애플리케이션 플랫폼에 오류를 줄이고 보안을 강화하며 효과적으로 액세스를 관리하기 위한 클라우드 워크로드 보호 플랫폼, 클라우드 인프라 권한 관리 및 클라우드 보안 태세 관리가 포함되어 있는지 확인합니다.
• 직원이 피싱 캠페인과 기타 소셜 엔지니어링 기술을 인식하는 데 도움이 되는 정기 교육을 시행합니다. 또한 중요한 데이터 암호화, 소프트웨어 및 하드웨어의 정기적인 패치, 강력한 암호 정책 개발을 비롯하여 공격을 방지 및 탐지하고 이에 대응하기 위한 프로세스를 구현합니다.
• 모든 액세스 요청을 명시적으로 확인하는 제로 트러스트 프레임워크를 채택합니다. 여기에는 최소 권한 액세스를 사용하여 사람들에게 꼭 필요한 리소스에 대한 액세스 권한만 제공한다는 원칙이 포함됩니다.
• DevOps 파이프라인에서 보안을 시프트 레프트하여 보안 및 개발 팀이 클라우드 네이티브 애플리케이션이 안전하게 시작되고 안전한 상태를 유지하도록 협력을 통해 코드 자체에 보안을 포함하도록 합니다.