클라우드 보안

클라우드 서비스 제공자와 정보보호 및 개인정보보호에 대한 책임과 역할을 명확히 정의하고, 이를 계약서(SLA 등)에 반영하여야 한다.

• 클라우드 서비스 유형에 따른 역할 및 책임(예시)

클라우드 서비스 유형	클라우드 서비스 제공자	클라우드 서비스 이용자
IaaS	- 물리적 영역의 시설 보안 및 접근통제 - 호스트 OS에 대한 보안 패치 - 하이퍼바이저 등 가상머신에 대한 보안 관리 등	- 게스트 OS, 미들웨어 및 애플리케이션 보안 패치 - 게스트 OS, 미들웨어, 애플리케이션, 사설 네트워크 영역에 대한 보안 구성 및 설정 - 데이터 보안 - 관리자, 사용자 권한 관리 등
PaaS	- IaaS 영역에서 클라우드 서비스 제공자의 역할 및 책임 - 네트워크 영역의 보안 설정 - 게스트 OS 및 미들웨어 영역에 대한 보안패치, 보안 구성 및 설정	- 애플리케이션 보안 패치 및 보안 설정 - 데이터 보안 - 관리자, 사용자 권한관리 등
SaaS	- IaaS, PaaS 영역에서 클라우드 서비스 제공자의 역할 및 책임 - 애플리케이션 보안 패치 및 보안 설정 - 데이터 보안(데이터 레벨의 접근통제, 암호화 등) 등	- 애플리케이션 관리자, 사용자 권한 관리 등

※ 클라우드 서비스 사업자, 서비스 구성 및 특성 등에 따라 달라질 수 있음

클라우드 서비스 이용 시 서비스 유형에 따른 보안위험을 평가하여 비인가 접근, 설정오류 등을 방지할 수 있도록 보안 구성 및 설정 기준, 보안설정 변경 및 승인 절차, 안전한 접속방법, 권한 체계 등 보안 통제 정책을 수립/이행하여야 한다.

• 외부 클라우드 서비스 이용에 따른 위험 평가 : 서비스 품질 및 연속성, 법적 준거성, 보안성 측면 등 고려

• 클라우드 서비스에 대한 위험평가 결과를 반영한 보안통제 정책 수립/이행

  ※ 클라우드 서비스 보안통제 정책(예시)(클라우드 서비스 유형에 따른 특성 반영 필요)

  • 보안 관리 관련 역할 및 책임
  • 가상네트워크 보안 구성 및 접근통제
  • 클라우드 서비스 관리자 계정 및 권한 관리(최고관리자 및 분야별 관리자 등)
  • 클라우드 서비스 관리자에 대한 강화된 인증(OTP 등)
  • 보안 설정 기준(인증, 암호화, 세션관리, 접근통제, 공개설정, 장기미사용 잠금, 로그기록, 백업 등)
  • 보안 설정 등록/변경/삭제 절차(신청, 승인 등)
  • 보안 구성 및 설정에 대한 적절성 검토
  • 클라우드 관리콘솔에 대한 접근통제 및 권한 관리 절차
  • Access Key의 발급, 이용, 회수 등에 대한 관리 절차
  • 클라우드 서비스 원격접속 경로 및 방법(VPN, IP주소 제한, 2 Factor 인증 등)
  • 클라우드 서비스 보안 관제 및 알람/모니터링 방안
  • 보안감사 절차 등

클라우드 서비스 관리자 권한은 역할에 따라 최소화하여 부여하고, 관리자 권한에 대한 비인가 접근, 권한 오/남용 등을 방지할 수 있도록 강화된 인증, 암호화, 접근통제, 감사기록 등 보호대책을 적용하여야 한다.

• 클라우드 서비스 관리자 권한 세분화 : 최고관리자, 가상네트워크 관리자, 보안관리자, DevOps 관리자 등
• 업무 및 역할에 따라 관리자 권한 최소화 부여
• 클라우드 관리자 권한 접속에 대한 강화된 인증 적용 : OTP, 보안키 등
• 원격 접속 구간에 대한 통신 암호화 또는 VPN 적용
• 클라우드 관리자 접속, 권한 설정에 대한 상세 로그 기록 및 모니터링 등

클라우드 서비스 보안 설정 변경, 운영 현황 등을 모니터링하고, 그 적절성을 정기적으로 검토하여야 한다.

• 클라우드 서비스에 대한 승인받지 않은 환경설정 및 보안설정 변경을 적발할 수 있도록 알람 설정 및 모니터링

• 클라우드 서비스 보안설정의 적정성 여부를 정기적으로 검토 및 조치

  ※ 주의사항

  • 클라우드 환경에서의 네트워크 접근, 정보시스템 접근, 데이터베이스 접근, 응용프로그램 접근 등 접근통제의 적절성, 인증 및 권한관리, 암호화, 시스템 및 서비스 보안관리 등 기타 필요한 보호조치가 모두 적용되어야 함

[CSA 클라우드서비스의 보안위협 현황]

	클라우드 7대 보안위협(2010)	클라우드 9대 보안위협(2011)	클라우드 12대 보안위협(2016)
관리적보안위협	클라우드 컴퓨팅 남용 악의적인 내부자들	클라우드 컴퓨팅 남용 악의적인 내부자들 클라우드서비스 이해부족	클라우드 컴퓨팅 남용 악의적인 내부자들 클라우드서비스 이해부족 불충분한 인증 및 접근관리 APT
기술적보안위협	안전하지 않은 API 가상화 취약점 데이터 손실 계정, 서비스&트래픽 탈취 공개되지 않은 위협	안전하지 않은 API 가상화 취약점 계정, 서비스&트래픽 탈취 데이터 유출 데이터 손실 서비스 거부(DoS)	안전하지 않은 API 가상화 취약점 계정, 서비스&트래픽 탈취 데이터 유출 데이터 손실 서비스 거부(DoS) 시스템 취약점

※CSA : Cloud Security Alliance

<출처> 클라우드 정보보호 안내서(KISA)

[클라우드 보안 아키텍처 수립 절차 예시]

단계	절차	세부 항목
현행 보안 아키텍처 정의	현행 보안 아키텍처 정의	- 보안 정책/지침/절차 - 보안구성도/관계도/기술서
현행 보안 아키텍처 정의	현행 보안 아키텍처 분석	- 관리적/기술적/물리적 보안 현황 분석
클라우드 보안 분석	클라우드 보안 요소별 분석	- 서비스 환경 분석 - 요소 기술 정의
클라우드 보안 분석	클라우드 보안 관점별 이슈 및 분석 결과 정리
목표 수립 및 과제 정의	클라우드 보안 적용 방안 정의
목표 수립 및 과제 정의	클라우드 보안 아키텍처 목표 수립	- 클라우드 구성도 - 클라우드 적용 기술 및 요소
목표 수립 및 과제 정의	클라우드 보안 아키텍처 과제 정의 및 수행

<출처> 클라우드 정보보호 안내서(KISA)