멀티 클라우드 보안 모범 사례

기업이 둘 이상의 제공업체와 협력할 때의 이점을 계속 탐색함에 따라 멀티 클라우드의 인기가 높아지고 있습니다. 멀티 클라우드는 수많은 이점을 제공하지만 여러 공급업체와 클라우드에 의존하는 것도 공격 표면과 전반적인 위험을 증가시킵니다. 회사에서 자산과 데이터를 안전하게 유지하려면 멀티 클라우드 보안을 나중에 고려해야 합니다.

이 문서는 멀티 클라우드 보안 소개입니다. 이 클라우드 컴퓨팅 접근 방식의 고유한 과제. 또한 안전한 멀티 클라우드 설정을 설계하고 유지 관리하는 데 적용할 수 있는 모범 사례 목록도 제공합니다.

멀티 클라우드 보안이란 무엇입니까?

멀티 클라우드 보안은 기업이 멀티 클라우드 환경에서 안전을 보장하기 위해 의존하는 일련의 정책, 전략 및 솔루션입니다. 이러한 유형의 보안을 통해 기업은 데이터와 자산을 사이버 위협에 노출시키지 않고 멀티 클라우드의 이점을 누릴 수 있습니다.

멀티 클라우드 보안의 가장 큰 과제는 다양한 클라우드 제공업체의 환경을 관리하고 보호하는 것입니다. 다양한 기능과 규칙을 가진 여러 공급업체는 다음을 포함하여 클라우드 보안 작업을 복잡하게 만듭니다.

• 일관된 보안 제어 보장.
• 신뢰할 수 있는 액세스 관리 설정
• 취약점 식별 및 대응.
• 보안에 대한 전체적인 관점 유지

일반적으로 클라우드 제공업체는 의 안전을 책임집니다. 클라이언트가 in의 보안을 책임지는 동안 구름. 제공자의 임무는 다음과 같습니다.

• 클라우드 인프라가 안전하고 안정적이며 최신 상태인지 확인하세요.
• 호스트와 데이터 센터를 보호하십시오.
• 클라이언트에게 데이터 보호 기능(다중 요소 확인 벡터, 액세스 관리 소프트웨어, 암호화 도구 등)을 제공합니다.

멀티 클라우드를 배포하는 회사는 팀이 각 클라우드 인프라에서 데이터를 사용하고 유지하는 방법에 대한 책임이 있습니다. 사내 팀은 다음을 수행해야 합니다.

• 일반 보안 아키텍처를 설계합니다.
• 관련 법률 및 규정을 준수하도록 운영합니다.
• 액세스 규칙 및 권한을 정의합니다.
• 클라우드 모니터링을 처리합니다.
• 백업을 설정합니다.
• 보안 사고를 식별하고 대응합니다.
• 안전한 배포 프로세스를 설계합니다.
• 타사 도구를 최신 상태로 유지합니다.
• 데이터 손실 방지(DLP)를 설정합니다.
• 클라우드 재해 복구 단계를 정의합니다.

대부분의 회사는 이러한 작업을 처리하기 위해 여러 역할에 의존하며 CISO, DevOps 팀 및 SOC(보안 운영 센터) 간에 책임을 분담합니다.

멀티 클라우드 보안 위험

적절한 멀티 클라우드 보안 설정 실패의 주요 위험은 다음과 같습니다.

• 보호 부족 ​​또는 인적 오류로 인한 민감한 데이터 손실
• 준수 확인 실패로 인한 벌금 부과
• 다운타임이 길어지거나 앱 성능이 저하되어 고객 경험이 저하됩니다.
• 데이터 유출로 이어지는 멀웨어의 희생양이 됩니다.
• 승인되지 않은 사용자가 내부 데이터에 액세스하도록 허용합니다.
• 개인 사용자 데이터 손실로 인해 평판에 타격을 입었습니다.

이러한 위험은 단일 클라우드 설정이든 다중 클라우드 설정이든 일반적으로 클라우드 컴퓨팅을 사용하는 일반적인 위험입니다. 그러나 기업은 멀티 클라우드에서 더 큰 공격 표면을 보호해야 하며, 복잡성으로 인해 문제가 발생할 가능성이 높아집니다. 다음은 다중 클라우드를 단일 클라우드보다 더 위험하게 만드는 주요 과제입니다.

• 팀은 둘 이상의 인프라를 구성, 보호 및 관리해야 합니다.
• 모든 플랫폼은 지속적인 유지 관리가 필요합니다.
• 제공업체마다 고유한 보안 정책, 제어 및 세부 사항이 있습니다.
• 공격자가 설정에 침투할 수 있는 더 많은 방법이 있습니다.
• 모니터링은 클라우드 배포의 전체 범위를 고려해야 합니다.
• 팀은 다양한 공급업체의 다양한 서비스를 연결하고 통합해야 합니다.

다중 클라우드 데이터 보안 달성의 모범 사례

기업은 멀티 클라우드가 취약점으로 이어지지 않도록 확실한 보안 전략이 필요합니다. 다음은 11가지 멀티 클라우드 보안 권장사항입니다. 여러 제공업체와 환경에 워크로드를 안전하게 분산하는 데 도움이 될 수 있습니다.

규정 준수를 위한 보안 전략 구축

멀티 클라우드에서 규정 준수를 달성하기 위한 첫 번째 단계는 비즈니스에 적용되는 표준과 규정을 아는 것입니다. 기업이 설명해야 하는 규정의 일반적인 예는 데이터 개인정보 보호법(즉, GDPR 및 CPA), HIPAA 및 PCI입니다.

규정은 특정 산업 및 위치에 적용되므로 배포를 시작하기 전에 멀티 클라우드가 준수해야 하는 사항을 파악하십시오. 기대치가 무엇인지 알게 되면 법적 요구 사항을 사용하여 다음을 수행합니다.

• 관련 데이터의 수명 주기를 간략하게 설명합니다.
• 보안 제어를 정의합니다.
• 액세스 관리를 설정합니다.
• 모든 클라우드 데이터를 분류합니다.
• 적절한 보관소를 정리합니다.

클라우드 플랫폼마다 규정 준수 기능과 인증이 다릅니다. 단일 클라우드에서 다양한 규정 준수 규칙으로 별도의 워크로드를 실행할 수도 있습니다. 자동화된 도구를 사용하여 클라우드 전반에서 규정 준수를 지속적으로 감사하고 잠재적 위반에 대한 보고서를 생성하는 것을 고려하십시오.

스마트 정책 관리

기업은 모든 클라우드 환경에 적용하고 보안 운영을 단순화하기 위해 일련의 보안 정책을 개발해야 합니다. 정책은 다음을 정의합니다.

• 허용되는 데이터 유형.
• 클라우드 소유권.
• 인증 및 액세스 규칙.
• 클라우드 워크로드 보안 및 게이트웨이.
• 보안 분석.
• 규제 규칙 및 현재 준수 상태.
• 클라우드 마이그레이션 프로토콜.
• 위협 모델링, 우선 순위 지정 및 인텔리전스.
• 공격 유형별 대응 방안

환경 간의 일부 비호환성은 일반적이지만 표준화된 정책을 시작점으로 사용하면 다음을 수행할 수 있습니다.

• 구성 및 배포 속도를 높입니다.
• 간과 및 인적 오류의 위험을 줄입니다.
• 멀티 클라우드에서 일관성을 보장합니다.

여러 클라우드에서 동일한 작업을 실행하는 경우 정책을 동기화해야 합니다. 예를 들어 다중 클라우드를 사용하여 가용성을 보장하는 경우 두 클라우드의 보안 설정이 동일해야 합니다. 팀은 도구를 사용하여 두 공급자 간의 설정을 동기화하고 두 클라우드에 모두 적용되는 일반 정의를 사용하여 정책을 만들어야 합니다.

자동화 활용

멀티 클라우드 보안의 중요한 위험 요소는 인적 오류입니다. 가능한 한 많은 작업을 자동화함으로써 기업은 다음을 수행할 수 있습니다.

• 직원이 실수할 가능성을 줄입니다.
• 팀에 민첩성을 더하세요.
• 클라우드 관련 프로세스의 속도를 높입니다.
• 여러 환경에서 일관성을 보장합니다.

자동화는 멀티 클라우드 보안에서 중요한 역할을 해야 합니다. 예를 들어, 각각의 새로운 컨테이너 또는 가상 머신은 자동 보안 스캔을 거칠 수 있습니다. 자동화를 사용하는 또 다른 방법은 보안 제어를 테스트하는 지속적인 검사를 실행하는 것입니다.

DevSecOps를 채택하는 것은 기업이 클라우드 컴퓨팅 보안에서 자동화의 역할에 대해 생각하기 시작하는 훌륭한 방법입니다. DevSecOps는 멀티 클라우드를 안전하게 유지하는 데 이상적인 접근 방식인 사후 고려가 아닌 핵심 고려 사항으로 보안을 취급합니다.

멀티 클라우드 도구 스택 단순화

공급자의 기본 도구와 타사 솔루션을 함께 사용하는 대신 멀티 클라우드 전반에 걸쳐 완벽한 보안을 제공하는 포괄적인 단일 도구에 투자해야 합니다. 그렇지 않으면 다음과 같은 위험이 있습니다.

• 보안 격차를 초래하는 통합 불량
• 사람이 실수할 가능성이 더 높습니다.
• 필요한 것보다 더 많은 직원을 고용합니다.
• 너무 많은 유지 관리로 팀에 부담을 줍니다.

선택한 도구가 다음을 수행할 수 있는지 확인하십시오.

• 다양한 클라우드 서비스와 원활하게 통합됩니다.
• 앱 및 워크로드와 함께 확장합니다.
• 데이터 활동에 대한 실시간 업데이트를 제공합니다.

또한 보안 도구는 관리자가 클라우드 전반에서 앱과 데이터를 관리할 수 있는 단일 창을 가져야 합니다. 단일 보기 도구는 무분별한 확장을 단순화하고 보안 팀의 효율성을 높입니다.

멀티 클라우드 모니터링 설정

멀티 클라우드에는 다양한 플랫폼의 이벤트, 로그, 알림 및 경고를 한 위치로 통합하는 강력한 모니터링이 필요합니다. 또 다른 중요한 기능은 문제를 자동으로 해결하거나 수정 중에 지침을 제공할 수 있는 도구가 있다는 것입니다.

통합 및 자동 수정 외에도 모니터링 도구는 다음을 수행해야 합니다.

• 증가하는 클라우드 인프라와 데이터 볼륨에 맞게 확장 가능합니다.
• 지속적인 실시간 모니터링을 제공합니다.
• 모든 알림에 컨텍스트를 제공합니다.
• 팀이 맞춤 알림을 생성하도록 허용합니다.

감사 로깅을 최대한 활용

감사 로깅은 다음을 포함하여 클라우드 테넌트와 관련된 모든 변경 사항을 문서화합니다.

• 신규 사용자 추가
• 액세스 권한 부여.
• 로그인 기간.
• 로그인 중 사용자 활동

감사 로그는 다음 활동에 도움이 되므로 멀티 클라우드 보안에 매우 중요합니다.

• 악의적인 행동을 식별합니다.
• 사이버 공격이 시작되기 전에 침해 사실을 발견하십시오.
• 코드 또는 클라우드 관련 문제 발견
• 운영 문제 해결을 실행합니다.

또한 감사 로그는 일부 산업의 공식 기록이며 회사는 로그를 사용하여 감사자 준수를 증명할 수 있습니다.

데이터 암호화 및 기밀 컴퓨팅에 의존

암호화는 온프레미스와 클라우드 모두에서 데이터를 보호하는 효과적인 방법입니다. 멀티 클라우드 보안 전략은 저장 데이터와 전송 중인 데이터를 모두 암호화해야 합니다.

• 저장 데이터 암호화는 네트워크를 통해 이동하지 않는 저장된 데이터를 보호합니다. 침입자가 데이터베이스를 침해할 경우 복호화 키가 없으면 데이터를 해독할 수 없습니다.
• 전송 중 암호화는 정보가 네트워크를 통해 이동하는 동안 데이터를 보호합니다. 침입자가 메시지 가로채기(Man-in-the-Middle) 공격 또는 도청으로 데이터를 가로채더라도 데이터는 안전하게 유지됩니다.

정지 데이터와 이동 데이터를 모두 보호하는 것 외에도 모든 일정, 모니터링 및 라우팅 통신을 암호화해야 합니다. 철저한 암호화를 통해 인프라 및 앱에 대한 정보를 비밀로 유지합니다.

저장 및 전송 중인 데이터를 암호화하는 것 외에도 멀티 클라우드 보안 전략에는 기밀 컴퓨팅도 포함되어야 합니다. 사용 중에 데이터가 취약해지지 않도록 합니다. 사용 중 암호화는 처리 중 워크로드를 암호화하여 클라우드 데이터를 완벽하게 보호합니다.

세입자 격리 연습

테넌트 격리는 멀티 클라우드 보안을 향상시키는 간단하고 효과적인 방법입니다. 테넌트 격리를 위해서는 팀에서 다음을 확인해야 합니다.

• 모든 앱은 별도의 테넌트에서 실행됩니다.
• 모든 환경(개발, 테스트, 스테이징, 프로덕션 등)은 개별 테넌트 내에서 실행됩니다.

추가 보안 및 민첩성을 위해 랜딩 존을 사용할 수도 있습니다. . 랜딩 존을 통해 팀은 미리 정의된 액세스 관리, 데이터 보안, 거버넌스 및 로깅 규칙 기준으로 멀티 테넌트 환경을 빠르게 설정할 수 있습니다.

최소 권한 원칙 시행

각 직원은 해당 직원이 역할을 수행하는 데 필요한 리소스에만 액세스할 수 있어야 합니다. 이 최소 권한 원칙은 다음과 같은 여러 가지 목적에 사용됩니다.

• 중요하고 민감한 데이터를 분리합니다.
• 공격자가 계정을 해킹하는 경우 시스템을 가로질러 이동하는 능력을 줄입니다.
• 비즈니스가 데이터 개인정보 보호 및 보안 법률을 준수하도록 지원합니다.

클라우드 공급자의 기본 도구를 사용하여 액세스를 제어하는 ​​것은 멀티 클라우드에서 좋은 생각이 아닙니다. 서로 다른 공급업체의 솔루션은 서로 제대로 작동하지 않고 위험을 증가시키는 사일로를 만듭니다. 대신 모든 클라우드에서 액세스 제어를 중앙 집중화하는 전체론적 도구를 사용하십시오.

접근 권한이 없거나 느린 승인 절차로 팀에 방해가 되지 않도록 주의하세요. 대신 작업 속도를 늦추지 않고 멀티 클라우드를 보호하는 데 도움이 되는 액세스 권한을 할당하기 위한 간단하고 투명한 프로세스를 만드십시오.

클라우드 데이터를 정기적으로 백업

데이터 및 시스템의 클라우드 백업을 정기적으로 수행합니다. 백업을 사내에 저장하든 클라우드에 저장하기로 결정하든 몇 가지 모범 사례를 따라야 합니다.

• 불변 백업을 사용하여 공격자가 멀티 클라우드를 위반하더라도 데이터를 암호화하거나 삭제할 수 없도록 합니다.
• 하루에 여러 번 데이터를 백업합니다.
• 복구를 단순화하기 위해 각 클라우드에 대해 별도의 백업을 유지합니다.
• 제로 트러스트 전략을 사용하여 백업을 안전하게 유지합니다.
• 악성 데이터가 있는지 백업을 지속적으로 검사하는 도구를 사용합니다.

백업 외에도 멀티 클라우드 보안 전략에는 재해 복구 계획도 필요합니다. 데이터를 신속하게 복원하고 예비 클라우드에서 서비스를 계속 사용할 수 있는 계획을 설계하십시오.

지속적인 개선의 문화 구축

모든 멀티 클라우드 보안 전략은 방어가 최신 표준을 따라갈 수 있도록 정기적인 평가를 거쳐야 합니다. 보안이 너무 뒤처지지 않도록 하려면 팀은 다음을 수행해야 합니다.

• 소프트웨어 업데이트를 정기적으로 확인합니다.
• 기업이 데이터를 보호하는 방법과 범죄자가 시스템을 침해하는 방법을 주시하여 최신 사이버 보안 동향을 파악하세요.
• 아웃소싱 전문가와 사내 수준 모두에서 정기적인 취약성 평가를 실행합니다.
• 모든 타사 도구가 최신 업데이트로 최신 상태인지 확인하세요.
• 보안을 더욱 자동화하고 효율적으로 만드는 새로운 방법을 끊임없이 모색하십시오.

멀티 클라우드 전략을 위한 빌딩 블록으로 보안 사용

신중한 회사라면 멀티 클라우드 여정을 시작하기 전에 보안 요구 사항을 고려하고 설명해야 합니다. 보안이 전략의 기반이 되도록 하고 사이버 위협에 취약하게 만들지 않으면서 유연성을 높이는 멀티 클라우드를 만드십시오.