클라우드 보안 정의

• 인공 지능(AI) 및 머신 러닝(ML)을 활성화하여 보안 위협에 자동으로 대응하고 문제를 해결합니다.
• 자율 기능을 사용하여 보안 대응을 확장하고 위험을 수정하며 오류를 제거합니다.
• 액세스 제어로 데이터를 사전에 보호하고, 사용자 위험과 가시성을 관리하고, 검색 및 분류를 위한 도구를 제공합니다.
• 클라우드 공유 보안 책임 모델을 따라 고객과 클라우드 서비스 공급자 간의 보안 활동을 능숙하게 처리합니다.
• “보안 우선” 접근 방식을 위해 아키텍처 설계에 보안을 구축합니다.

클라우드 보안은 조직에 보안 요구 사항을 해결하고 조직이 규정 준수 요구 사항을 준수하도록 하는 접근 방식을 제공합니다. 효과적인 클라우드 보안을 구축하려면 다음으로 구성된 클라우드 기술 스택 전체에 걸쳐 여러 계층의 방어가 필요합니다.

• 민감한 시스템 및 데이터에 대한 승인된 액세스를 차단하도록 설계된 예방적 제어
• 감사, 모니터링 및 보고를 통해 무단 시스템과 데이터 액세스 및 변경 사항을 도출하도록 설계된 감지 제어
• 정기적이고 중요한 보안 업데이트를 방지, 감지 및 대응하도록 설계된 자동화된 제어
• 보안 정책, 표준, 관행 및 절차를 처리하도록 설계된 관리 제어

머신 러닝 및 인공 지능은 클라우드 보안 포트폴리오 전반에 걸쳐 상황 인식 기술을 확장합니다. 클라우드 보안을 통해 기업은 IaaS, PaaS 및 SaaS 전반에 걸쳐 보호를 제공하여 보안을 네트워크, 하드웨어, 칩, 운영 체제, 스토리지 및 애플리케이션 계층으로 확장합니다.

클라우드 보안은 클라우드 공급자와 고객 간에 공유되는 보안 책임입니다. 클라우드 공유 보안 책임 모델은 클라우드 서비스 공급자와 서비스 구독자 간에 분업을 전달하기 위한 기본 클라우드 보안 및 위험 관리 구조입니다. 클라우드 보안 프로그램에서 중요한 것은 모든 유형의 클라우드 서비스의 공유 보안 책임 모델을 명확하게 이해하는 것입니다. 불행하게도, 공유 보안 책임 모델은 클라우드에서 가장 잘 이해되지 않는 보안 개념 중 하나라고 할 수 있습니다. 실제로 CISO의 8%만이 SaaS 보안과 CSP(클라우드 서비스 공급자) 보안에서 자신의 역할을 완전히 이해하고 있습니다. 간단히 말해서 공유 보안 책임 모델은 서비스의 보안 및 가용성 유지와 관련하여 클라우드 서비스 공급자의 책임 영역, 서비스의 안전한 사용을 보장해야 하는 고객의 책임 및 둘 모두가 특정 의무를 공유하는 경우를 개략적으로 설명합니다.

기업은 기업의 책임을 이해해야 합니다. 데이터를 적절하게 보호하지 못하면 심각하고 비용이 많이 드는 결과를 초래할 수 있습니다. 침해의 결과를 경험하게 될 많은 조직은 비용을 감당하지 못할 수 있으며 대기업에서도 재무에 영향을 미칠 수 있습니다. 공유 보안 책임 모델의 요점은 빠른 배포를 허용하는 기본 제공 보안으로 유연성을 제공하는 것입니다. 따라서 조직은 클라우드 보안 책임을 이해해야 합니다.—일반적으로 이를 클라우드 “” 보안 대 클라우드 “내” 보안이라고 합니다.

오늘날 기업은 워크로드와 데이터를 클라우드로 이동할 때 환경을 보호하기 위해 다양한 클라우드 보안 도구를 제공받습니다. 그러나 이러한 도구 중 일부는 맞춤형 지침과 함께 제공되며 개별 서비스로 제공됩니다. 클라우드 사용자와 관리자는 클라우드 보안 서비스가 작동하는 방식, 올바르게 구성하는 방법, 클라우드 배포를 유지하는 방법을 알고 있어야 합니다. 클라우드를 사용하는 동안 보안 옵션이 부족하지 않고 설정이 복잡할 수 있으며 한 영역에서 실수하기 쉽습니다. 또한 피싱, 맬웨어, 증가하는 사이버 사기 및 잘못 구성된 다양한 클라우드 서비스의 끊임없는 주기는 이미 도전을 받고 있는 사이버 보안 프로그램을 더욱 확대하고 있습니다. 이로 인해 조직에서는 데이터 침해를 경험하고 브랜드 손상과 복구 비용이 발생하고 벌금을 부담했습니다. 다음은 클라우드 데이터를 안전하게 유지하기 위한 몇 가지 중요한 요구 사항입니다.

• 보안 책임 및 신뢰 공유: 신뢰는 공유 보안 모델의 목표를 유지하기 위해 클라우드 파트너를 선택하는 데 있어 가장 중요합니다. 조직은 역할과 책임을 명확하게 이해하고 독립적인 타사 보안 감사 및 증명에 액세스할 수 있어야 합니다.
• 자동화 및 머신 러닝 기존의 엔터프라이즈 보안이 사람의 속도로 분석하고 대응하는 동안 클라우드 위협은 기계의 속도로 움직이고 있습니다. 클라우드 환경의 최신 보안은 위협 감지 및 대응을 자동화해야 합니다. 지능형 위협에는 머신 러닝을 통한 위협 예측, 예방, 탐지 및 대응에 새로운 수준의 정교함을 제공하는 보안 솔루션이 필요합니다.
• 심층 방어: 전체 기술 스택을 통한 다중 보안 계층에는 클라우드 공급자의 물리적 데이터 센터를 보호하는 데 도움이 되는 적절한 사람, 프로세스 및 기술에 대한 예방, 탐지 및 관리 제어가 포함되어야 합니다.
• ID 관리: 모바일 장치, 앱 및 사용자 유형이 더욱 보편화됨에 따라 ID는 새로운 경계가 되었습니다. 보안 자격 증명을 기반으로 클라우드 및 온프레미스에서 액세스 및 권한을 제어하는 것이 중요합니다.
• 가시성: 클라우드 액세스 보안 브로커 및 클라우드 보안 상태 관리 솔루션은 조직 전체의 클라우드 환경에서 가시성과 제어를 확장합니다.
• 지속적인 규정 준수: 규정 준수는 선택 사항이 아니며 규정 준수와 보안은 동일하지 않습니다. 조직은 예를 들어, 구성 드리프트 및 오류로 인해 보안 위반 없이 규정 준수 위반을 경험할 수 있습니다. 기업은 클라우드 환경 전반에 걸쳐 포괄적이고 시기 적절하며 실행 가능한 규정 준수 관련 데이터를 제공하는 클라우드 관리 솔루션을 갖추는 것이 필수적입니다.
• 기본으로 설정된 보안: 보안 제어는 기업에서 보안을 유지하도록 요구하는 것이 아니라 클라우드 공급자가 기본적으로 활성화해야 합니다. 모든 사람이 서로 다른 보안 제어와 이들을 함께 작동하여 위험을 완화하고 완전한 보안 태세를 구현하는 방법을 잘 이해하고 있는 것은 아닙니다. 예를 들어, 데이터 암호화는 기본적으로 켜져 있어야 합니다. 클라우드 전반에 걸쳐 일관된 데이터 보호 제어 및 정책을 시행해야 합니다.
• 모니터링 및 완화: 클라우드 테넌시 및 구획에 대한 보안 정책은 관리자가 안전한 워크로드를 지원할 수 있도록 설정하고 시행해야 합니다. 클라우드 테넌트 전체의 클라우드 보안 상태에 대한 통합 보기는 테넌트 전체에서 잘못 구성된 리소스 및 안전하지 않은 활동을 감지하는 데 필수적이며 보안 관리자에게 클라우드 보안 문제를 분류하고 해결할 수 있는 가시성을 제공합니다.
• 업무 분리 및 최소 권한 액세스: 업무 분리 및 최소 권한 액세스 원칙은 클라우드 환경에서 구현되어야 하는 보안 모범 사례입니다. 그렇게 하면 개인에게 과도한 관리 권한이 제공되지 않고 추가 승인 없이 민감한 데이터에 액세스할 수 없습니다.

디지털 혁신 우선 순위의 결과로 클라우드 채택이 계속 가속화됨에 따라 기업은 클라우드 환경 보안의 복잡성을 예상하고 탐색해야 합니다. 전체 클라우드 스택(IaaS, PaaS, SaaS)에 자동으로 내장되도록 보안을 설계한 클라우드 공급자를 선택하는 것이 중요합니다. 클라우드 보안의 미래에 대한 추가 고려 사항은 다음과 같습니다.

• Cloud 인프라 보안: 아키텍처부터 클라우드 인프라의 컴퓨팅, 네트워크 및 스토리지 전반에 걸쳐 보안 우선 접근 방식으로 워크로드를 보호합니다. 가장 중요한 비즈니스 워크로드에 필요한 수준의 보안을 제공하기 위해 필수 보안 서비스를 활용합니다.
• 데이터베이스 클라우드 보안: 클라우드에서 데이터 침해 위험을 줄이고 규정 준수를 가속화합니다. 암호화, 키 관리, 데이터 마스킹, 권한 있는 사용자 액세스 제어, 활동 모니터링 및 감사를 포함하는 데이터베이스 보안 솔루션을 채택하십시오.
• 클라우드 애플리케이션 보안: 사기 및 오용으로부터 중요한 애플리케이션을 보호하는 것은 조직의 업무상 중요한 데이터를 보호하는 데 필수적입니다. 세분화된 액세스 제어, 가시성 및 모니터링은 오늘날 계층화된 방어의 핵심 구성 요소입니다.
• 기업 보안 및 개인 정보 보호 관행: 어떤 클라우드 제품을 선택하든 클라우드에서 호스팅되는 데이터와 해당 시스템의 기밀성, 무결성 및 가용성을 보호합니다.
• 우수 고객 서비스: 클라우드 또는 멀티 클라우드 환경으로 전환할 때 보안 팀은 확장되는 공격 표면, 경고 과부하 및 사이버 보안 기술 부족으로 어려움을 겪습니다. 클라우드 서비스 공급자의 고급 서비스를 채택하여 이러한 문제를 해결하십시오.
• Identity and Access Management(IAM): 클라우드 또는 온프레미스에서 호스팅했는지 여부에 상관없이 데이터에 액세스할 수 있는 사람, 액세스 유형, 보안 자격 증명을 사용하여 특정 리소스에 대한 액세스를 제어합니다.

1. Oracle 및 KPMG 클라우드 위협 보고서(PDF)
2. 기술 입문서: 오라클 데이터베이스 보안 (PDF)