클라우드 보안

클라우드 보안이란?

클라우드 보안은 클라우드 기반의 애플리케이션, 데이터, 그리고 인프라를 보호하기 위해 설계된 사이버 보안 조치의 총체적 집합을 의미합니다. 이는 무단 액세스, 사이버 공격, 내부자 위협 등으로부터 클라우드 환경을 안전하게 보호하는 것을 목표로 합니다. 클라우드 보안은 보안 정책, 관행, 제어의 수립과 더불어 ID 및 액세스 관리, 데이터 손실 방지(DLP) 도구 등의 첨단 기술을 적용하여 보다 포괄적인 보안을 제공합니다.

 

효과적인 클라우드 보안은 데이터의 무결성과 기밀성을 유지하는 동시에, 클라우드 리소스의 가용성을 보장함으로써 비즈니스 연속성을 지원합니다. 또한, 클라우드 보안은 지속적인 모니터링 및 위협 탐지를 통해 잠재적인 보안 사고를 예방하거나, 사고 발생 시 신속하게 대응할 수 있도록 설계됩니다.

클라우드 서비스

온프레미스(On-Premises)

온프레미스 환경은 조직이 모든 IT 자원을 자체적으로 보유하고, 컴퓨팅 환경을 구축하여 직접 운영 및 유지 관리하는 방식을 의미합니다. 이러한 환경에서는 사용자가 시스템의 모든 설정을 비즈니스 요구에 맞게 제어할 수 있어, 특정 외부 서비스 제공자에게 종속될 위험이 낮습니다. 보안 및 데이터 제어에 있어 더 높은 수준의 자율성과 통제권을 보장받지만, 초기 설치 및 지속적인 유지 관리에 따른 비용과 IT 인프라 관리 부담이 발생합니다.

IaaS (Infrastructure as a Service)

IaaS는 고객에게 서버, 네트워크, 운영체제(OS), 스토리지를 포함한 인프라 자원을 가상화된 형태로 제공하고 관리하는 클라우드 서비스 모델입니다. 고객은 UI 기반의 대시보드나 API를 통해 이러한 가상화된 자산에 접근할 수 있으며, 실제 물리적 자산이 아닌 가상 데이터 센터에서 리소스를 할당받는 구조입니다. 물리적 데이터센터에서 물리적 자산을 직접 다루는 전통적인 방식과 달리, IaaS는 필요에 따라 서버 사양 변경 등의 작업을 보다 신속하게 수행할 수 있는 유연성을 제공합니다.

PaaS (Platform as a Service)

PaaS는 OS, 미들웨어, 런타임 환경 등 소프트웨어 개발에 필요한 플랫폼을 가상화하여 제공하는 클라우드 서비스입니다. 이러한 플랫폼은 웹을 통해 제공되며, 개발자는 운영체제나 소프트웨어 업데이트, 저장소 관리, 인프라 운영과 같은 관리 부담에서 벗어나 소프트웨어 개발과 배포에 집중할 수 있습니다. PaaS는 개발 환경의 복잡성을 줄여, 개발 및 테스트 속도를 크게 향상시킵니다.

SaaS (Software as a Service)

SaaS는 클라우드 서비스 제공자가 소프트웨어 및 관련 데이터를 고객을 대신해 제공하고 관리하는 모델입니다. 사용자는 개별 컴퓨터에 소프트웨어를 설치할 필요 없이, 인터넷을 통해 애플리케이션을 사용할 수 있습니다. SaaS 공급자는 데이터, 미들웨어, 서버, 스토리지와 같은 기술적 문제를 모두 관리하므로, 고객은 유지 관리의 부담을 덜고 비즈니스 목표에 집중할 수 있습니다. SaaS는 생산성 향상, 초기 투자 비용 절감, 운영의 간소화를 돕는 효과가 있습니다.

 

특징	IaaS	PaaS	SaaS
제공 서비스	가상화된 컴퓨팅 리소스 (서버, 저장소, 네트워크 등)	애플리케이션 개발 및 배포를 위한 플랫폼	완전한 소프트웨어 애플리케이션
사용자 관리 범위	운영체제, 미들웨어, 데이터 및 애플리케이션 관리	애플리케이션과 데이터 관리	사용자는 소프트웨어를 사용만 함
주요 서비스 예시	AWS EC2, Azure VM, Google Compute Engine	AWS Elastic Beanstalk, Azure App Services, Google App Engine	Gmail, Office 365, Salesforce
운영 및 유지보수	사용자가 인프라 설정 및 유지	사용자는 애플리케이션에만 집중	공급업체가 모든 운영 및 유지보수를 담당
확장성 및 유연성	매우 유연하고 커스터마이징 가능	중간 수준의 커스터마이징 가능	제한된 커스터마이징
비용 구조	사용량에 따라 비용 발생 (Pay-as-you-go)	개발 및 테스트 비용 절감	구독 기반의 과금 모델
대상 사용자	IT 팀, 시스템 관리자	개발자 및 개발 팀	일반 사용자 및 비즈니스

클라우드 보안 작동 방식

클라우드 보안의 작동 방식은 클라우드 제공업체(CSP)와 고객 간의 책임 공유 모델에 기반합니다. 이 모델은 클라우드 인프라의 보안을 유지하기 위한 책임이 고객과 제공업체 모두에게 있다는 개념을 전제로 합니다. 이 모델을 명확히 이해하는 것은 탄력적인 클라우드 보안 전략을 수립하고 구현하는 데 매우 중요합니다.

 

책임의 경계: 클라우드 제공업체는 인프라 보안, 물리적 데이터센터 보호, 하드웨어 관리 등 기본적인 인프라 수준의 보안을 담당합니다. 반면, 고객은 데이터, 애플리케이션, 네트워크 설정, 사용자 접근 제어 등 자신의 클라우드 환경 내에서 발생하는 보안을 책임집니다.

 

서비스 모델에 따른 보안 책임의 차이:

• IaaS: 고객은 운영체제, 데이터, 애플리케이션, 네트워크 트래픽 보호를 책임지며, CSP는 기본 인프라와 하드웨어 보안을 책임집니다.
• PaaS: 고객은 애플리케이션과 데이터의 보안을 관리하며, CSP는 플랫폼 자체와 인프라를 보호합니다.
• SaaS: 고객은 계정 및 사용자 데이터 보호에 주로 집중하고, 나머지 보안은 대부분 CSP의 책임입니다.

 

보안 공급업체의 역할: 클라우드 제공업체는 보안 서비스를 통해 DDoS 보호, 데이터 암호화, 위협 탐지 및 예방 등 다양한 보안 기능을 지원합니다. 고객은 이러한 보안 서비스를 적절히 사용하여 보안성을 높여야 합니다.

클라우드 보안 위험

클라우드 환경은 온프레미스 환경에서 발생하는 전통적인 보안 위험, 예를 들어 내부자 위협, 정보 유출 및 데이터 손실, 피싱 공격, 멀웨어, DDoS 공격 등과 동일한 위험 요소를 내포합니다. 하지만, 클라우드에는 이러한 기본적인 위험 외에도 클라우드 특유의 보안 위험이 존재합니다.

클라우드 특유의 보안 위험

가시성 부족

클라우드 리소스는 회사 네트워크 외부의 제3자 인프라에서 운영되기 때문에 기존 보안 도구를 통해 이를 완전히 모니터링하기 어려울 수 있습니다. 이러한 가시성 부족은 클라우드 내의 데이터, 접근 방법, 권한 제어에 대한 관리와 감독을 복잡하게 만듭니다. 이는 기업이 중요한 정보와 시스템에 대한 통제력을 잃게 되는 주요 원인 중 하나입니다.

잘못된 구성

클라우드 보안 설정의 미비는 데이터 유출의 주요 원인입니다. 클라우드 환경은 다수의 사용자가 접근할 수 있는 특성상, 이를 적절히 보호하는 방법을 완전히 이해하지 못하는 경우가 많습니다. 이로 인해 초기 비밀번호 설정 유지, 데이터 암호화 실패, 부적절한 권한 관리와 같은 잘못된 구성 문제가 발생할 수 있습니다. 이러한 구성 오류는 공격자들에게 취약점을 노출시켜 보안 침해로 이어질 위험을 높입니다.

액세스 관리

클라우드 배포는 공개 인터넷을 통해 접근이 가능하므로, 사용자 인증 정보가 도용되거나 부적절한 접근 제어가 존재할 경우 공격자가 쉽게 승인된 리소스를 획득할 수 있습니다. 모든 기기와 위치에서의 접근 편의성은 보안의 유연성을 제공하지만, 동시에 인증 정보 유출과 같은 취약점을 초래할 수 있습니다.

규정 준수

클라우드는 보안 침해가 발생하지 않더라도 기업이 충족해야 하는 추가적인 규제 및 내부 규정 준수 요구사항을 수반합니다. 데이터 개인 정보 보호와 보안에 대한 궁극적인 책임은 여전히 기업에 있으며, 규정 준수 관리를 위해 지나치게 서드파티 솔루션에 의존할 경우 높은 비용과 규정 위반의 위험이 발생할 수 있습니다. 기업은 클라우드 환경 내에서 데이터 보호 및 규정 준수 요구사항을 철저히 이해하고 관리해야 합니다.

 

 

 

 

https://cloud.google.com/learn/what-is-cloud-security?hl=ko
https://www.ibm.com/kr-ko/topics/cloud-security
https://elice.io/newsroom/saas_paas_iaas
https://www.whatap.io/ko/blog/9/