클라우드 자산을 보호하려는 모든 기업에는 클라우드 보안 정책이 필요합니다. 정책은 클라우드 데이터를 안전하게 유지하고 위협과 과제에 신속하게 대응할 수 있는 능력을 부여합니다.
이 글에서는 클라우드 보안 정책의 가치를 설명합니다. 이러한 정책이 무엇을 다루는지, 어떤 이점을 제공하는지, 귀사 비즈니스를 위해 어떻게 작성하는지 알아보세요.
클라우드 보안 정책은 기업이 클라우드에서 운영하는 공식 가이드라인입니다. 이 지침들은 보안 전략을 정의하고 클라우드 자산 안전에 관한 모든 결정을 안내합니다. 클라우드 보안 정책은 다음을 명시합니다:
클라우드 보안 정책은 기업 보안 프로그램의 필수 구성 요소입니다. 정책은 정보의 무결성과 프라이버시를 보장하고 팀이 빠르게 올바른 결정을 내릴 수 있게 돕습니다.
클라우드 컴퓨팅이 많은 이점을 제공하지만, 이러한 서비스에는 몇 가지 안전 우려가 따릅니다:
클라우드 컴퓨팅의 위험은 네트워크의 모든 부서와 장치에 영향을 미칩니다. 따라서 보호는 강력하고 다양하며 포괄적이어야 합니다. 신뢰할 수 있는 클라우드 보안 정책은 이 모든 자질을 제공합니다. 회사가 클라우드 서비스에 의존한다면, 명시된 관행은 클라우드 데이터를 보호하는 데 필요한 가시성과 제어 수준을 부여합니다.
클라우드 보안 표준은 보안 정책 실행을 지원하는 프로세스를 정의합니다. 보안 정책과 표준은 함께 작동하며 서로 보완합니다.
표준은 회사의 클라우드 컴퓨팅 다음 측면을 다룹니다:
일반적으로 정책 규칙은 정적입니다. 표준은 동적이며, 최신 기술과 사이버 위협을 따라잡기 위해 자주 수정해야 합니다.
이 두 중요한 용어의 핵심 차이에 대한 더 심층적인 분석은 '보안 vs 컴플라이언스' 기사를 참조하세요.
정책 작성을 시작하기 전에 클라우드 운영을 완전히 파악하세요. 정책으로 다룰 시스템을 알면 불필요한 수정을 방지할 수 있습니다.
회사가 준수해야 할 프라이버시 또는 컴플라이언스 규정이 있다면, 그것이 클라우드 보안 정책에 어떻게 영향을 미치는지 고려하세요. 모든 클라우드 기반 활동은 법적 의무를 준수해야 합니다.
서로 다른 공급자는 서로 다른 수준의 보안 제어를 제공합니다. 파트너의 보안 관행을 검토하고 제공 사항에 부합하는 솔루션을 만드세요.
직원에 대한 명확한 역할을 지정하고 애플리케이션과 데이터에 대한 접근권을 설정하세요. 직원에게 업무 수행에 필요한 자산에만 접근 권한을 부여하세요. 또한 회사가 접근을 어떻게 기록하고 검토하는지 정의하세요.
회사 데이터를 어떻게 보호할지 결정하세요. 대부분의 기업은 클라우드와 인터넷을 통과하는 모든 민감한 데이터를 암호화합니다. 내부 및 외부 데이터 스토어에 대한 보안 규칙도 문서화해야 합니다.
일반적으로 공급자는 서비스 일부로 API(Application Program Interfaces)를 제공합니다. 암호화와 데이터 손실 방지(DLP) 정책을 강제하기 위해 API 사용을 고려하세요.
단일 감염된 엔드포인트가 여러 클라우드에서 데이터 유출로 이어질 수 있습니다. 따라서 이 이슈를 피하기 위해 클라우드와의 연결에 관한 명확한 규칙을 설정해야 합니다. 이 단계에는 보안 소켓 계층(SSL), 네트워크 트래픽 스캐닝, 모니터링 규칙이 포함됩니다.
정책은 예방만 다루어서는 안 됩니다. 팀이 데이터 유출을 처리하는 이상적인 방법, 보고 프로세스 개요, 포렌식 기능 명시를 고려하세요. 재해 복구 프로토콜 수립도 도움이 됩니다.
여러 보안 솔루션이 있다면 팀이 이를 제대로 통합하는지 확인하세요. 잘못 결합된 솔루션은 취약점을 만드므로, 회사의 보안 장치를 통합하고 활용하는 방법을 찾으세요.
정기적인 검토와 구성 요소 업그레이드로 최신 위협을 앞서가세요. 또한 공급자의 SLA를 정기적으로 점검하여 그 쪽에서 문제가 되는 업데이트로 인해 당황하지 않게 하세요.
모든 직원이 정책을 이해할 수 있어야 합니다. 과도하게 복잡하게 만들지 말고 지침을 명확하고 간결하게 유지하세요. 단순하게 유지하면 모든 직원이 규칙을 따르기 쉽고 교육 비용도 절감됩니다.
모든 정책을 의도 정의로 시작하세요. 의도는 규칙의 요점을 명확히 설명하여 직원이 규정을 이해하고 탐색하는 데 도움을 줘야 합니다.
정책 시행과 준수를 담당하는 모든 팀이 가이드라인에 완전히 접근할 수 있어야 합니다. 관련자가 규칙을 읽고 이해했으며 준수하기로 동의했음을 기록하세요.
내부 통제 규정은 클라우드 자산에 대한 무단 접근을 방지합니다. 제로 트러스트(Zero Trust) 모델을 따라 리소스에 진정한 니즈가 있는 개인에게만 접근을 허용하세요. 보고서 실행 담당자처럼 읽기 전용 접근만 필요한 직원도 있습니다. 다른 사용자는 VM 재시작 같은 옵스 작업을 할 수 있어야 하지만, VM이나 리소스를 수정할 권한을 줄 이유는 없습니다.
월간 데이터 암호화 업데이트를 예약하세요. 정기적 업데이트는 클라우드 리소스 안전을 보장하며, 모든 것이 최신 상태임을 알고 안심할 수 있습니다.
모니터링은 정책의 주요 측면 중 하나여야 합니다. 클라우드 모니터링 도구는 활동 패턴과 잠재적 취약점을 쉽게 발견하는 방법을 제공합니다.
클라우드 보안 정책으로 회사 워크플로를 방해하지 마세요. 문화에 부합하고 직원이 더 원활하게 일할 수 있게 돕는 규칙을 만들려 노력하세요. 정책이 일상 업무를 너무 많이 방해하면 일부 사람들이 지름길을 택하기 시작할 수 있습니다.
정책은 단일 팀의 책임이 되어서는 안 됩니다. 최고의 가이드라인은 여러 부서가 협업하여 나옵니다.
비즈니스 단위 전반의 이해관계자들로부터 조언을 구하세요. 이 전술은 현재 보안 수준의 명확한 그림을 제공하고 보호를 개선하기 위한 올바른 단계를 찾는 데 도움이 됩니다.
정책 수립 과정을 서드파티에 위임하는 것은 실수입니다. 클라우드 서비스 공급자가 작업을 처리할 수 있지만, 가장 안전한 클라우드 보안 정책은 인하우스 노력에서 나옵니다.
관리 그룹을 생성하고 개인보다는 그룹에 권한을 할당하세요. 그룹 접근은 보안을 저해하지 않으면서 일상 업무를 더 쉽게 만듭니다.
대부분 주요 클라우드 공급자는 2단계 인증(2FA) 사용을 허용합니다. 2FA를 사용하여 새 배포를 보호하고 악의적인 로그인 시도로부터 추가 방어하세요.
일부 워크로드는 단일 지리적 지역의 고객이나 클라이언트만 서비스합니다. 그런 시나리오에서는 접근 제한 추가를 고려하세요. 특정 지역이나 IP 주소로 접근을 제한하면 해커, 웜, 기타 위협에 대한 노출을 제한합니다.
공개 키 기반 구조(PKI)를 클라우드 보안 정책의 일부로 만드는 것을 고려하세요. PKI 프로토콜은 공개 키와 개인 키를 사용하여 데이터 교환 전 사용자 신원을 확인합니다. PKI로 전환하면 도난당한 비밀번호의 위험을 제거하고 무차별 대입 공격(brute force attacks)을 방지합니다.
데이터 유출 수정 비용은 적절한 예방 조치 비용을 훨씬 초과합니다. 클라우드 보안 정책은 클라우드에서 운영할 때 적절한 예방 단계를 제공합니다. 이 정책으로 불필요한 위험을 감수하지 않고 클라우드의 이점을 활용할 수 있습니다.
클라우드 컴퓨팅
기업들이 여러 공급업체와 협업하는 이점을 계속 탐색하면서 멀티 클라우드 인기가 높아지고 있습니다. 멀티 클라우드는 수많은 이점을 제공하지만, 여러 공급업체와 클라우드에 의존하면 공격 표면과 전반적인 위험도 증가합니다. 기업이 자산과 데이터를 안전하게 지키려면 멀티 클라우드 보안이 후순위가 되어서는 안 됩니다. 이 기사는 멀티 클라우드 보안 입문과 이 클라우드 컴퓨팅 접근 방식의 고유한 과제를 다룹니다. 또한 안전하게 멀티 클라우드 설계를 설계하고 유지하는 데 적용할 수 있는 모범 사례 목록을 제공합니다. 멀티 클라우드 보안이란?
데이터를 클라우드에 저장하면 내부 스토리지 인프라를 구매, 관리, 유지보수할 필요가 없습니다. 이러한 편의성에도 불구하고 클라우드 기반 데이터에 대한 통제권 부재는 여전히 기업들의 공통적인 우려사항으로 남아 있습니다. 사실 클라우드 스토리지 보안은 일반적으로 온프레미스 보호보다 우수합니다. 이 글은 클라우드 스토리지 보안 입문서로, 클라우드 제공업체가 데이터를 보호하기 위해 사용하는 기술들을 다룹니다. 클라우드 기반 데이터를 안전하게 유지하는 다양한 측면과 최상위 제공업체와 부적절한 스토리지 보호를 가진 벤더를 구별하는 방법을 알아
