A.5.23
클라우드 서비스 이용 정보보안
조직적 통제확인사항 5증적 6사례 5
통제 목적
클라우드 서비스의 도입부터 이용, 관리, 종료(전환 포함)까지 전 과정에 걸쳐 조직의 정보보안 요구사항에 맞는 프로세스를 수립하기 위한 통제입니다. 클라우드는 책임공유 모델에 따라 통제 지점이 제공자와 이용자로 나뉘므로, 이용자가 담당해야 할 보안 책임을 계약, 구성, 모니터링으로 빠짐없이 이행하는 것이 핵심입니다. 승인받지 않은 클라우드 사용을 통제하고, 종료/전환 시에도 데이터를 안전하게 회수하거나 파기하여 조직이 클라우드 위험을 관리 범위 안에서 다루는 것을 목적으로 합니다.
주요 확인사항
- 클라우드 서비스 도입 시 보안 요구사항과 이용 기준을 정의하고 승인 절차를 거치는가?
- 서비스 유형(IaaS/PaaS/SaaS)별 책임공유 모델에 따라 제공자와 이용자의 보안 책임 경계를 문서화하였는가?
- 클라우드 계정 및 구성(권한, 네트워크, 암호화, 로깅)에 대한 보안 기준을 수립하고 준수 여부를 점검하는가?
- 클라우드 제공자의 보안 수준(인증, SLA, 사고 통지, 데이터 저장 위치)을 계약 전에 평가하고 계약에 반영하는가?
- 클라우드 서비스 이용 종료/전환 시 데이터 회수 및 파기, 계정/권한 회수 절차를 마련하였는가?
이행 지침
- 클라우드 도입/이용 정책을 수립하고, 승인받지 않은 클라우드(섀도 IT) 사용을 식별하고 차단하는 절차를 운영합니다.
- 서비스 유형별 책임공유 매트릭스를 작성하여 계정관리, 데이터 암호화, 네트워크 통제, 로그 수집 등 이용자 책임 항목을 명확히 합니다.
- 클라우드 보안 구성 기준을 정하고 비공개 정보의 무단 공개, 과도한 권한, 필요한 암호화 누락 등을 점검합니다. 의도적으로 공개하는 자료는 공개 승인을 받았는지, 쓰기 권한을 별도로 통제하는지 확인합니다.
- 계약 및 SLA에 데이터 저장 위치/국외이전, 사고 통지 시한, 감사 권한, 종료 시 데이터 반환/파기 조항을 명시합니다.
- 클라우드 관리자 계정에 다중인증과 최소권한을 적용하고 관리 행위의 로그를 남기고 모니터링합니다.
- 종료/전환 계획(exit plan)을 사전에 마련하여 데이터 이동성과 특정 제공자 종속(lock-in) 위험을 관리합니다.
증적자료
- 클라우드 도입/이용 정책 및 도입 승인 기록
- 서비스 유형별 책임공유 매트릭스
- 클라우드 계약서/SLA(데이터 저장 위치, 사고 통지, 종료 조항 포함)
- 클라우드 구성 점검 보고서 및 위험 구성 조치 내역
- 클라우드 관리자 계정 권한/다중인증 설정 내역 및 접근 로그
- 서비스 종료/전환 시 데이터 반환/파기 확인서
부적합 사례
- 부서가 승인 없이 도입한 SaaS에 고객정보를 저장하고 있으나 해당 SaaS가 조직 차원의 관리 대상에서 누락된 경우
- 책임공유 모델을 이해하지 못해 이용자 책임인 데이터 암호화/접근통제를 제공자가 수행할 것으로 오인한 경우
- 비공개 정보를 보관하는 클라우드 저장소가 승인 없이 인터넷에 공개된 경우
- 계약서에 데이터 저장 위치와 종료 시 데이터 파기 조항이 없어 이전/파기 근거가 불명확한 경우
- 클라우드 관리 콘솔 계정에 다중인증이 적용되지 않고 관리 행위에 대한 접근 로그가 수집되지 않는 경우