[SK shieldus Rookies 16기] 클라우드 기반 스마트 융합 보안 과정 교육 정리(58일차)

오늘 학습 주제

1. 클라우드 보안

2. 금융 시스템

 

 

클라우드 보안

---

- On-Premise vs Cloud Platform(SaaS) -

Cloud Computing:

서버, 스토리지, 데이터베이스, 네트워크. 소프트웨어 등의 컴퓨팅 서비스를 

공유네트워크(Cloud)를 통해 제공하는 것

비즈니스 규모에 맞춰 합리적인 비용으로 비즈니스 서비스를 효율적으로 운영할 수 있도록 환경 제공

 

On-Premise:

소프트웨어 등을 (원격)공유 환경이 아닌 자체적으로 보유한 HW 자산에 직접 설치해

운영하는 방식

Cloud 컴퓨팅에 반대되는 개념으로 전통적인 기업 인프라 구축 방식

 

	On-Premise	Cloud Platform(SaaS)
호스팅	- 기업 자체 서버를 통해 솔류션이 제공 - 사내 네트워크 등 접근에 대한 제한이 있음	- 서비스 공급 업체 서버를 통해 솔루션 제공 - 인터넷에 연결된 모든 장치에서 접근가능
비용	하드웨어, 솔루션 등 도입 비용이 많이 필요	월간 또는 연간으로 솔루션 사용 비용을 지불
구축 시간	인프라, 솔루션 설치 등 구축 시간이 오래 걸림	준비된 환경을 배포만하기 때문에 구축 시간이 짧음
사용자 정의	기업 환경에 최적화된 솔루션 사용이 용이	사용자 요구에 맞는 맞춤형솔루션 설치가 어려움
유지보수	버그, 최신 패치 등 유지보수 비용이 발생	버그 , 최신 패치 등을 공급자가 유지보르를 관리
스케일	스케일 변경 시 많은 비용과 시간이 필요	자원 사용량을 즉각적으로 변경하여 쉽게 이용

 

스타트업에게는 초기 자본에 있어 굉장히 유리

사용한만큼 금액이 청구되기 때문

 

 

- Cloud 서비스 배포 모델 -

	public Cloud	Privat Cloud	Hybrid Cloud	Multi Cloud
특징	- 다수의 대중읠 위하여 인터넷 기반으로 응용 - Private Cloud 인프라가 이용자에겐 추상화되어 단순하게 보임	대외에 오픈되지 않고 내부망 위주로 응용	Public Cloud와 Private Cloud 또는 On-Prem를 결합하여 운용	멀티 벤더 Public CSP로 구성하여 운용 On-Prem 연계성이 Hybrid 대비 상대적으로 다소 약한 늬앙스 포함
장점	- 규모의 경제를 통한 비용절감(전략적 결정) - 이용한만큼 지불 - 서비스 구현 속도 향상 - 높은 수준의 탄력성 - 손쉽게 이용 가능한 고품질 응용 프로그램	- 보안 및 신뢰성 제고 - Paas 구축 및 운영 - 네트워크 대역폭, 인터넷 접속 제약 없음 - 서비스 수준 능통관리 (SLA) - 인프라 관리 편리성	- Public Cloud와 Private Cloud 이점 활용 - 높은 수준의 유연성 - 다양한 배포 옵션 제공	- 고 가용성 - 높은 수준의 유연성 - 업체 종속성 탈피 - 비용 효율성
단점	- Cloud 서비스 제공자에 대한 통제 권한 부족 - Private Cloud에 비해 상대적으로 취약한 보안 (인터넷, 하드웨어 공유 문제 등)	- 장비, 하드웨어 비용 - 가상화 기술 비용 - 낮은 탄력성 - Public Clooud에 비해 운용이 복잡	- Public Cloud와 Private Cloud간 연계 시 보안  통제의 어려움 - 높은 구축 비용 및 운용의 어려움 - 네트워크 구성이 복잡	- 2개 이상의 Cloud 제품을 사용하므로 운용이 복잡하고 어려움

 

 

- Cloud 보안 고려 사항 -

Cloud 보안은 고려해야 할 요소가 많아, 서비스 환경과 인재 수급 여부에 맞는 선택과 집중이 필수

IT 인프라(네트워크/서버 및 주변장비/APP 등), 응용 서비스, 개발 플랫폼 서비스가 가상화되고 집적

 

전통적 보안영역

(개인정보보호 관리 체계 보안, 물리 보안, Infra/Application 기술보안)

Cloud 보안 영역(Cloud 법규/보안인증, CSP/배포모델/서비스 유형 등, Cloud Native/3rd 솔루션 등, Cloud Infra)

 

 

- Cloud 보안 방법론 적용 시 고려 사항 -

Public/Private Cloud 보안 요소, 운영 L/C 등의 보안 검토 사항을 반영해야 함

 

환경분석[P1] > 사전통계[P2] > 구현통제[P3] > 운영페쇄[P4]

 

환경분석[P1]:법규/컴플 분석, 구축환경 분석(CSP > APP/보안장비 > 정보)분석기준수립(Cloud보안 거버넌스 체계, CSP 평가 기준, 보안성 검토 요건 정의, 보안솔루션 이전 적용성 보고)

 

사전통계[P2]:CSP 선정계약 통제

 

구현통제[P3]:이전/구현 통제(요건 점검, 취약점 점검)보안성 검토운영통제(APP, 보안서비스)

 

운영페쇄[P4]:출구전략이행정보폐기자원회수

 

 

Public Cloud L/C: 계약/Vendor 선정 > 이전/구현 > 운영 > 이용종료/운영페쇄Private Cloud의 경우, 사전통계[P2]가 Vendor 선정 프로세스(RFP에 보안요건 명기 등)로 대체

 

 

- Cloud 보안 -

개발보안은 보안성 검토/심의, 취약점 점검, 보안 아키텍처 모듈로 구성