Google Cloud 우수 설계 프레임워크: 보안, 개인 정보 보호, 규정 준수

Last reviewed 2025-02-14 UTC

Google Cloud Well-Architected Framework의 보안, 개인 정보 보호, 규정 준수 요소는 보안, 개인 정보 보호, 규정 준수 요구사항을 충족하는 클라우드 워크로드를 설계, 배포, 운영하는 데 도움이 되는 권장사항을 제공합니다.

이 문서는 다양한 보안 전문가와 엔지니어의 요구사항을 충족하고 유용한 정보를 제공하기 위해 작성되었습니다. 다음 표에는 이 문서의 대상이 설명되어 있습니다.

대상 이 문서에서 제공하는 내용
최고정보보안책임자 (CISO), 비즈니스 부문 책임자, IT 관리자 클라우드에서 우수한 보안을 구축하고 유지하며 보안 투자에 관한 정보에 입각한 결정을 내릴 수 있도록 보안 영역을 포괄적으로 살펴볼 수 있는 일반적인 프레임워크입니다.
보안 설계자 및 엔지니어 솔루션이 보안, 효율성, 확장성을 고려하여 설계될 수 있도록 설계 및 운영 단계에서 적용할 수 있는 주요 보안 관행
DevSecOps팀 안전하고 안정적인 인프라를 지원하는 자동화를 계획하기 위해 전반적인 보안 제어를 통합하는 방법에 관한 안내입니다.
규정 준수 담당자 및 위험 관리자 규정 준수 의무를 충족하는 데 도움이 되는 보호 조치를 통해 위험 관리에 대한 구조화된 접근 방식을 따르기 위한 주요 보안 권장사항

Google Cloud 워크로드가 보안, 개인 정보 보호, 규정 준수 요구사항을 충족하도록 하려면 조직의 모든 이해관계자가 공동작업 접근 방식을 채택해야 합니다. 또한 클라우드 보안은 사용자와 Google 간에 공유하는 책임임을 인식해야 합니다. 자세한 내용은 Google Cloud의 책임 공유 및 공통된 운명 Google Cloud을 참고하세요.

이 요소의 권장사항은 핵심 보안 원칙으로 그룹화됩니다. 각 원칙 기반 권장사항은 조직에 중요한 하나 이상의 주요 배포 클라우드 보안의 중점 영역에 매핑됩니다. 각 추천에는 조직의 보안 상태를 개선하는 데 도움이 되는Google Cloud 제품 및 기능의 사용 및 구성에 관한 안내가 강조 표시됩니다.

핵심 원칙

이 핵심 요소의 권장사항은 다음과 같은 보안의 핵심 원칙에 따라 그룹화됩니다. 이 요소의 모든 원칙은 중요합니다. 조직 및 워크로드의 요구사항에 따라 특정 원칙에 우선순위를 둘 수 있습니다.

  • 보안 내재화 설계 구현: 애플리케이션 및 인프라의 초기 설계 단계부터 클라우드 보안 및 네트워크 보안 고려사항을 통합합니다.Google Cloud 에서는 이 원칙을 적용하는 데 도움이 되는 아키텍처 청사진과 권장사항을 제공합니다.
  • 제로 트러스트 구현: 절대 신뢰하지 말고, 항상 확인할 것 접근 방식을 사용합니다. 이 접근 방식에서는 지속적인 신뢰 확인을 기반으로 리소스에 대한 액세스 권한이 부여됩니다. Google Cloud는 Chrome Enterprise Premium 및 Identity-Aware Proxy (IAP)와 같은 제품을 통해 이 원칙을 지원합니다.
  • 시프트 레프트 보안 구현: 소프트웨어 개발 수명 주기 초기에 보안 제어를 구현합니다. 시스템 변경사항이 적용되기 전에 보안 결함을 방지합니다. 시스템 변경사항이 커밋된 후 보안 버그를 조기에, 빠르게, 안정적으로 감지하고 수정합니다. Google Cloud 는 Cloud Build, Binary Authorization, Artifact Registry와 같은 제품을 통해 이 원칙을 지원합니다.
  • 선제적 사이버 방어 구현: 위협 인텔리전스와 같은 강력한 기본 조치를 구현하여 보안에 대한 선제적 접근 방식을 채택합니다. 이 접근 방식을 사용하면 더 효과적인 위협 감지 및 대응을 위한 기반을 구축할 수 있습니다. Google Cloud의 계층화된 보안 제어 접근 방식은 이 원칙에 부합합니다.
  • AI를 안전하고 책임감 있게 사용: 책임감 있고 안전한 방식으로 AI 시스템을 개발하고 배포합니다. 이 원칙에 관한 권장사항은 설계가 우수한 프레임워크의 AI 및 ML 관점 및 Google의 안전한 AI 프레임워크 (SAIF)의 안내에 따릅니다.
  • 보안을 위한 AI 사용: AI 기능을 사용하여 보안을 위한 Gemini 및 전반적인 플랫폼 보안 기능을 통해 기존 보안 시스템과 프로세스를 개선합니다. AI를 도구로 사용하여 수정 작업의 자동화를 높이고 보안 위생을 유지하여 다른 시스템의 보안을 강화합니다.
  • 규제, 규정 준수, 개인 정보 보호 요구사항 충족: 업계별 규정, 규정 준수 표준, 개인 정보 보호 요구사항을 준수합니다. Google Cloud 는 Assured Workloads, 조직 정책 서비스, 규정 준수 리소스 센터와 같은 제품을 통해 이러한 의무를 준수할 수 있도록 지원합니다.

조직 보안 마인드셋

보안 중심의 조직적 사고방식은 클라우드 채택 및 운영을 성공적으로 수행하는 데 매우 중요합니다. 이러한 사고방식은 조직의 문화에 깊이 뿌리내리고 앞서 설명한 핵심 보안 원칙에 따라 조직의 관행에 반영되어야 합니다.

조직 보안 사고방식은 시스템 설계 중에 보안을 고려하고, 제로 트러스트 방식을 가정하며, 개발 프로세스 전반에서 보안 기능을 통합하는 것을 강조합니다. 이러한 사고방식을 바탕으로 사이버 방어 조치를 사전에 고려하고, AI를 안전하게 보안 목적으로 사용하며, 규제, 개인 정보 보호, 규정 준수 요구사항을 고려합니다. 이러한 원칙을 수용하면 조직에서 위협을 사전에 해결하고, 중요한 애셋을 보호하며, 책임감 있는 기술 사용을 보장하는 보안 우선 문화를 조성할 수 있습니다.

클라우드 보안의 중점 영역

이 섹션에서는 애플리케이션, 시스템, 데이터의 보안을 계획, 구현, 관리할 때 중점적으로 고려해야 할 영역을 설명합니다. 이 핵심사항의 각 원칙에 포함된 권장사항은 이러한 중점사항 중 하나 이상과 관련이 있습니다. 이 문서의 나머지 부분에서는 권장사항이 더 명확하고 관련성 있는 맥락을 제공하기 위해 해당 보안 중점 영역을 지정합니다.

중점 영역 활동 및 구성요소 관련 Google Cloud 제품, 기능, 솔루션
인프라 보안
  • 네트워크 인프라를 보호합니다.
  • 전송 중인 데이터와 미사용 데이터를 암호화합니다.
  • 트래픽 흐름을 제어합니다.
  • IaaS 및 PaaS 서비스 보호
  • 무단 액세스로부터 보호합니다.
ID 및 액세스 관리
  • 인증, 승인, 액세스 제어 사용
  • Cloud ID를 관리합니다.
  • ID 및 액세스 관리 정책을 관리합니다.
데이터 보안
  • Google Cloud 에 데이터를 안전하게 저장합니다.
  • 데이터 액세스 관리
  • 데이터를 탐색하고 분류합니다.
  • 암호화, 액세스 제어, 데이터 손실 방지와 같은 필요한 제어 조치를 설계합니다.
  • 저장, 전송, 사용 중인 데이터를 보호합니다.
AI 및 ML 보안
  • AI 및 ML 인프라와 파이프라인의 여러 레이어에 보안 제어를 적용합니다.
  • 모델 안전을 보장합니다.
보안 운영 (SecOps)
  • 효과적인 이슈 관리, 위협 감지, 대응 프로세스를 위해 최신 SecOps 플랫폼과 관행을 채택하세요.
  • 시스템과 애플리케이션에서 보안 이벤트를 지속적으로 모니터링합니다.
애플리케이션 보안
  • 소프트웨어 취약점 및 공격으로부터 애플리케이션을 보호합니다.
클라우드 거버넌스, 위험, 규정 준수
  • 클라우드 리소스를 효과적이고 안전하게 관리하기 위한 정책, 절차, 관리를 수립합니다.
로깅, 감사, 모니터링
  • 로그를 분석하여 잠재적 위협을 식별합니다.
  • 규정 준수 및 보안 분석을 위해 시스템 활동을 추적하고 기록합니다.

참여자

저자:

기타 참여자:

보안 내재화 설계 구현

Google Cloud Well-Architected Framework의 보안 요소 원칙은 클라우드 애플리케이션, 서비스, 플랫폼 설계에 강력한 보안 기능, 제어, 관행을 통합하기 위한 권장사항을 제공합니다. 아이디어 발상부터 운영에 이르기까지 보안이 설계 프로세스의 모든 단계에 통합된 필수 요소로 삽입되면 더 효과적입니다.

원칙 개요

Google의 설계 기반 보안 노력 개요에 설명된 대로 기본적으로 보안이 적용된 시스템과 설계 기반 보안 시스템은 서로 호환되는 용어로 사용되지만 보안 시스템을 구축하는 데는 서로 다른 접근 방식을 나타냅니다. 두 접근 방식 모두 취약점을 최소화하고 보안을 강화하는 것을 목표로 하지만 범위와 구현은 다릅니다.

  • 기본적으로 안전함: 시스템의 기본 설정이 안전 모드로 설정되도록 하여 사용자나 관리자가 시스템을 보호하기 위해 취해야 하는 조치를 최소화하는 데 중점을 둡니다. 이 접근 방식은 모든 사용자에게 기본 수준의 보안을 제공하는 것을 목표로 합니다.
  • 설계 기반 보안: 시스템의 개발 수명 주기 전반에 걸쳐 보안 고려사항을 사전에 통합하는 것을 강조합니다. 이 접근 방식은 잠재적인 위협과 취약점을 조기에 예측하고 위험을 완화하는 설계 선택을 하는 것입니다. 이 접근 방식에는 보안 코딩 관행을 사용하고, 보안 검토를 실시하고, 설계 프로세스 전반에 보안을 삽입하는 것이 포함됩니다. 보안 내재화 설계 접근 방식은 개발 프로세스를 안내하고 보안이 사후 고려사항이 아니라 시스템 설계의 필수적인 부분이 되도록 하는 포괄적인 철학입니다.

권장사항

클라우드 워크로드에 설계 시 보안 구현 원칙을 구현하려면 다음 섹션의 권장사항을 고려하세요.

워크로드 보호에 도움이 되는 시스템 구성요소 선택

이 권장사항은 모든 중점 영역과 관련이 있습니다.

효과적인 보안을 위한 기본적인 결정은 플랫폼, 솔루션 또는 서비스를 구성하는 강력한 시스템 구성요소(하드웨어 및 소프트웨어 구성요소 모두 포함)를 선택하는 것입니다. 보안 공격 노출 영역을 줄이고 잠재적 피해를 제한하려면 이러한 구성요소의 배포 패턴과 구성도 신중하게 고려해야 합니다.

애플리케이션 코드에서는 취약점 클래스를 제거하기 위해 간단하고 안전하며 안정적인 라이브러리, 추상화, 애플리케이션 프레임워크를 사용하는 것이 좋습니다. 소프트웨어 라이브러리의 취약점을 검사하려면 서드 파티 도구를 사용하면 됩니다. Google에서 사용하고 보호하는 오픈소스 소프트웨어 (OSS) 패키지를 사용하여 소프트웨어 공급망에 대한 위험을 줄이는 데 도움이 되는 Assured 오픈소스 소프트웨어를 사용할 수도 있습니다.

인프라는 안전한 운영을 지원하고 보안 요구사항 및 위험 수용 수준에 부합하는 네트워킹, 스토리지, 컴퓨팅 옵션을 사용해야 합니다. 인프라 보안은 인터넷에 노출된 워크로드와 내부 워크로드 모두에 중요합니다.

이 권장사항을 지원하는 다른 Google 솔루션에 관한 자세한 내용은 개발 초기부터 보안 구현을 참고하세요.

레이어로 구성된 보안 접근 방식 빌드

이 권장사항은 다음 중점사항과 관련이 있습니다.

  • AI 및 ML 보안
  • 인프라 보안
  • ID 및 액세스 관리
  • 데이터 보안

심층 방어 접근 방식을 적용하여 애플리케이션 및 인프라 스택의 각 레이어에서 보안을 구현하는 것이 좋습니다.

플랫폼의 각 구성요소에서 보안 기능을 사용합니다. 보안 사고 발생 시 액세스를 제한하고 잠재적 영향의 경계 (즉, 폭발 반경)를 식별하려면 다음 단계를 따르세요.

  • 가능한 경우 유연성을 수용하도록 시스템 설계를 간소화합니다.
  • 각 구성요소의 보안 요구사항을 문서화합니다.
  • 복원력 및 복구 요구사항을 해결하기 위해 견고한 보안 메커니즘을 통합하세요.

보안 레이어를 설계할 때 위험 평가를 수행하여 내부 보안 요구사항과 외부 규제 요건을 충족하는 데 필요한 보안 기능을 결정합니다. 클라우드 환경에 적용되고 규제 요건과 관련된 업계 표준 위험 평가 프레임워크를 사용하는 것이 좋습니다. 예를 들어 Cloud Security Alliance (CSA)는 Cloud Controls Matrix (CCM)를 제공합니다. 위험 평가는 위험 카탈로그와 이를 완화하기 위한 보안 제어를 제공합니다.

위험 평가를 수행할 때는 클라우드 제공업체와 공유 책임 계약을 체결했음을 기억하세요. 따라서 클라우드 환경의 위험은 온프레미스 환경의 위험과는 다릅니다. 예를 들어 온프레미스 환경에서는 사용자가 하드웨어 스택의 취약점을 완화해야 합니다. 반면에 클라우드 환경에서는 클라우드 제공업체가 이러한 위험을 부담합니다. 또한 공유 책임의 경계는 각 클라우드 제공업체의 IaaS, PaaS, SaaS 서비스마다 다릅니다.

잠재적 위험을 파악한 후에는 기술적, 행정적, 운영적 통제뿐만 아니라 계약 보호 조치 및 서드 파티 증명을 사용하는 완화 계획을 설계하고 작성해야 합니다. 또한 OWASP 애플리케이션 위협 모델링 방법과 같은 위협 모델링 방법을 사용하면 잠재적인 차이점을 식별하고 이러한 차이점을 해결하기 위한 조치를 제안할 수 있습니다.

강화되고 증명된 인프라 및 서비스 사용

이 권장사항은 모든 중점 영역과 관련이 있습니다.

성숙한 보안 프로그램은 보안 게시판에 설명된 대로 새로운 취약점을 완화합니다. 보안 프로그램은 기존 배포의 취약점을 수정하고 VM 및 컨테이너 이미지를 보호하기 위한 해결 방법도 제공해야 합니다. 이미지의 OS 및 애플리케이션에 맞는 강화 가이드와 인터넷 보안 센터 (CIS)에서 제공하는 벤치마크를 사용할 수 있습니다.

Compute Engine VM에 맞춤 이미지를 사용하는 경우 이미지를 직접 패치해야 합니다. 또는 정기적으로 패치되는 Google 제공 선별된 OS 이미지를 사용할 수 있습니다. Compute Engine VM에서 컨테이너를 실행하려면 Google에서 선별한 컨테이너 최적화 OS 이미지를 사용하세요. Google은 이러한 이미지를 정기적으로 패치하고 업데이트합니다.

GKE를 사용하는 경우 Google에서 최신 패치로 클러스터 노드를 업데이트하도록 노드 자동 업그레이드를 사용 설정하는 것이 좋습니다. Google은 자동으로 업데이트되고 패치되는 GKE 제어 영역을 관리합니다. 컨테이너의 공격 노출 영역을 더 줄이려면 distroless 이미지를 사용하면 됩니다. Distrosless 이미지는 보안이 중요한 애플리케이션, 마이크로서비스, 이미지 크기와 공격 노출 영역을 최소화하는 것이 중요한 상황에 적합합니다.

민감한 워크로드의 경우 VM 부팅 주기에 악성 코드가 로드되지 않도록 하는 보호된 VM을 사용하세요. 보안 VM 인스턴스는 부팅 보안을 제공하고 무결성을 모니터링하며 vTPM (Virtual Trusted Platform Module)을 사용합니다.

SSH 액세스를 보호하기 위해 OS 로그인을 사용하면 직원이 SSH 키를 사용하는 대신 Identity and Access Management (IAM) 권한을 정보의 출처로 사용하여 VM에 연결할 수 있습니다. 따라서 조직에서 SSH 키를 관리할 필요가 없습니다. OS 로그인은 관리자의 액세스 권한을 직원 수명 주기에 연결하므로 직원이 역할을 변경하거나 조직을 떠나면 해당 사용자의 액세스 권한이 취소됩니다. OS 로그인은 Google 2단계 인증도 지원하므로 계정 탈취 공격에 대한 보안이 한층 강화됩니다.

GKE에서 애플리케이션 인스턴스는 Docker 컨테이너 내에서 실행됩니다. 정의된 위험 프로필을 사용 설정하고 직원이 컨테이너를 변경하지 못하도록 하려면 컨테이너가 스테이트리스(Stateless)이자 변경 불가능이어야 합니다. 불변성 원칙은 직원이 컨테이너를 수정하거나 대화식으로 액세스하지 않는다는 것을 의미합니다. 컨테이너를 변경해야 하는 경우 새 이미지를 빌드하고 해당 이미지를 다시 배포합니다. 특정 디버깅 시나리오에서만 기본 컨테이너에 대한 SSH 액세스를 사용 설정합니다.

환경 전반에서 구성을 전 세계적으로 보호하려면 조직 정책을 사용하여 클라우드 애셋의 동작에 영향을 미치는 리소스에 제약조건 또는 가드레일을 설정하면 됩니다. 예를 들어 다음과 같은 조직 정책을 정의하고 Google Cloud 조직 전체에 전역적으로 적용하거나 폴더 또는 프로젝트 수준에서 선택적으로 적용할 수 있습니다.

  • VM에 대한 외부 IP 주소 할당을 사용 중지합니다.
  • 리소스 생성을 특정 지리적 위치로 제한합니다.
  • 서비스 계정 또는 키 생성을 사용 중지합니다.

저장 데이터 및 전송 중 데이터 암호화

이 권장사항은 다음 중점사항과 관련이 있습니다.

  • 인프라 보안
  • 데이터 보안

데이터 암호화는 민감한 정보를 보호하기 위한 기본적인 제어 수단이며 데이터 거버넌스의 핵심 부분입니다. 효과적인 데이터 보호 전략에는 액세스 제어, 데이터 세분화 및 지리적 위치, 감사, 요구사항에 대한 신중한 평가를 기반으로 하는 암호화 구현이 포함됩니다.

기본적으로 Google Cloud는 고객이 아무런 조치를 취하지 않아도 저장된 고객 데이터를 암호화합니다.Google Cloud 는 기본 암호화 외에도 봉투 암호화 및 암호화 키 관리를 위한 옵션을 제공합니다. 스토리지, 컴퓨팅 또는 빅데이터 워크로드 등 어떤 용도의 키를 선택하든 키 생성, 보관, 순환을 위한 요구사항에 가장 적합한 솔루션을 찾아야 합니다. 예를 들어 Cloud Key Management Service (Cloud KMS)에서 고객 관리 암호화 키 (CMEK)를 만들 수 있습니다. CMEK는 암호화 키를 정기적으로 회전해야 하는 경우와 같은 규제 또는 규정 준수 요구사항을 충족하기 위해 소프트웨어 기반이거나 HSM으로 보호될 수 있습니다. Cloud KMS Autokey를 사용하면 CMEK의 프로비저닝 및 할당을 자동화할 수 있습니다. 또한 Cloud 외부 키 관리자 (Cloud EKM)를 사용하여 서드 파티 키 관리 시스템에서 가져온 자체 키를 가져올 수 있습니다.

데이터를 전송 중에 암호화하는 것이 좋습니다. 데이터가 Google이나 Google의 대리인이 통제하지 않는 물리적 경계 외부로 이동할 때 Google은 하나 이상의 네트워크 계층에서 전송 중인 데이터를 암호화하고 인증합니다. VPC 네트워크 내의 모든 VM 간 트래픽과 피어링된 VPC 네트워크 간의 모든 VM 간 트래픽이 암호화됩니다. Cloud Interconnect 연결을 통한 트래픽 암호화에 MACsec를 사용할 수 있습니다. IPsec은 Cloud VPN 연결을 통한 트래픽에 암호화를 제공합니다. Apigee의 TLS 및 mTLS 구성, 컨테이너화된 애플리케이션의 Cloud Service Mesh와 같은 보안 기능을 사용하여 클라우드에서 애플리케이션 간 트래픽을 보호할 수 있습니다.

기본적으로 Google Cloud 는 저장 데이터와 네트워크를 통한 전송 중 데이터를 암호화합니다. 하지만 데이터가 메모리에서 사용되는 동안에는 기본적으로 암호화되지 않습니다. 조직에서 기밀 데이터를 처리하는 경우 애플리케이션 또는 시스템 메모리에 있는 데이터의 기밀성 및 무결성을 약화시키는 위협을 완화해야 합니다. 이러한 위협을 완화하려면 컴퓨팅 워크로드에 신뢰할 수 있는 실행 환경을 제공하는 컨피덴셜 컴퓨팅을 사용하면 됩니다. 자세한 내용은 컨피덴셜 VM 개요를 참고하세요.

제로 트러스트 구현

Google Cloud Well-Architected Framework의 보안 요소에 포함된 이 원칙은 클라우드 워크로드 전반에서 포괄적인 보안을 유지하는 데 도움이 됩니다. 제로 트러스트 원칙은 다음과 같은 관행을 강조합니다.

  • 암시적 신뢰 제거
  • 액세스 제어에 최소 권한 원칙 적용
  • 모든 액세스 요청의 명시적 유효성 검사 적용
  • 침해 가정 사고방식을 채택하여 지속적인 확인 및 보안 상태 모니터링을 사용 설정

원칙 개요

제로 트러스트 모델은 보안의 초점을 경계 기반 보안에서 어떤 사용자나 기기도 본질적으로 신뢰할 수 없다고 간주되는 접근 방식으로 전환합니다. 대신 모든 액세스 요청은 출처와 관계없이 확인되어야 합니다. 이 접근 방식에는 모든 사용자와 기기를 인증 및 승인하고, 컨텍스트 (위치 및 기기 상태)를 확인하고, 필요한 리소스에만 최소 권한 액세스 권한을 부여하는 것이 포함됩니다.

제로 트러스트 모델을 구현하면 잠재적 침해의 영향을 최소화하고 민감한 정보와 애플리케이션을 무단 액세스로부터 보호하여 조직의 보안 상태를 개선할 수 있습니다. 제로 트러스트 모델을 사용하면 클라우드에서 데이터와 리소스의 기밀성, 무결성, 가용성을 보장할 수 있습니다.

권장사항

클라우드 워크로드에 제로 트러스트 모델을 구현하려면 다음 섹션의 권장사항을 고려하세요.

네트워크 보호

이 권장사항은 인프라 보안이라는 중점 영역과 관련이 있습니다.

기존의 경계 기반 보안에서 제로 트러스트 모델로 전환하려면 여러 단계가 필요합니다. 조직에서 이미 특정 제로 트러스트 제어 기능을 보안 태세에 통합했을 수 있습니다. 하지만 제로 트러스트 모델은 하나의 제품이나 솔루션이 아닙니다. 대신 여러 보안 레이어와 권장사항을 종합적으로 통합한 것입니다. 이 섹션에서는 네트워크 보안에 제로 트러스트 보안을 구현하기 위한 권장사항과 기법을 설명합니다.

  • 액세스 제어: Chrome Enterprise Premium 및 Identity-Aware Proxy (IAP)와 같은 솔루션을 사용하여 사용자 ID 및 컨텍스트를 기반으로 액세스 제어를 적용합니다. 이렇게 하면 보안이 네트워크 경계에서 개별 사용자 및 기기로 이동합니다. 이 접근 방식을 사용하면 세분화된 액세스 제어를 사용 설정하고 공격 노출 영역을 줄일 수 있습니다.
  • 네트워크 보안: 온프레미스, Google Cloud, 멀티 클라우드 환경 간의 네트워크 연결을 보호합니다.
  • 네트워크 설계: 기존 프로젝트에서 기본 네트워크를 삭제하고 새 프로젝트에서 기본 네트워크 생성을 사용 중지하여 잠재적인 보안 위험을 방지합니다.
    • 충돌을 방지하려면 네트워크 및 IP 주소 할당을 신중하게 계획하세요.
    • 효과적인 액세스 제어를 적용하려면 프로젝트당 Virtual Private Cloud (VPC) 네트워크 수를 제한하세요.
  • 세분화: 워크로드를 격리하지만 중앙 집중식 네트워크 관리를 유지합니다.
    • 네트워크를 세분화하려면 공유 VPC를 사용하세요.
    • 조직, 폴더, VPC 네트워크 수준에서 방화벽 정책 및 규칙을 정의합니다.
    • 데이터 유출을 방지하려면 VPC 서비스 제어를 사용하여 민감한 정보와 서비스 주위에 안전한 경계를 설정하세요.
  • 경계 보안: DDoS 공격 및 웹 애플리케이션 위협으로부터 보호합니다.
    • 위협으로부터 보호하려면 Google Cloud Armor를 사용하세요.
    • Google Cloud 에지에서 트래픽을 허용, 거부 또는 리디렉션하도록 보안 정책을 구성합니다.
  • 자동화: 코드형 인프라 (IaC) 원칙을 수용하고 Terraform, Jenkins, Cloud Build와 같은 도구를 사용하여 인프라 프로비저닝을 자동화합니다. IaC를 사용하면 일관된 보안 구성, 간소화된 배포, 문제 발생 시 빠른 롤백을 보장할 수 있습니다.
  • 안전한 기반: 엔터프라이즈 기반 청사진을 사용하여 안전한 애플리케이션 환경을 구축합니다. 이 청사진은 보안 권장사항을 구현하고Google Cloud 리소스를 안전하게 구성하는 데 도움이 되는 안내 및 자동화 스크립트를 제공합니다.

모든 액세스 시도를 명시적으로 확인

이 권장사항은 다음 중점사항과 관련이 있습니다.

  • ID 및 액세스 관리
  • 보안 운영 (SecOps)
  • 로깅, 감사, 모니터링

클라우드 리소스에 액세스하려는 모든 사용자, 기기 또는 서비스에 강력한 인증 및 승인 메커니즘을 구현합니다. 위치 또는 네트워크 경계를 보안 제어로 사용하지 마세요. 이미 네트워크 내에 있는 경우에도 사용자, 기기 또는 서비스를 자동으로 신뢰하지 않습니다. 대신 리소스에 액세스하려는 모든 시도는 엄격하게 인증되고 승인되어야 합니다. 다중 인증 (MFA)과 같은 강력한 본인 인증 조치를 구현해야 합니다. 또한 액세스 결정은 사용자 역할, 기기 상태, 위치와 같은 다양한 컨텍스트 요인을 고려하는 세분화된 정책을 기반으로 이루어져야 합니다.

이 권장사항을 구현하려면 다음 방법, 도구, 기술을 사용하세요.

  • 통합 ID 관리: 단일 ID 공급업체 (IdP)를 사용하여 조직 전반에서 일관된 ID 관리를 보장합니다.
    • Google Cloud 는 온프레미스 Active Directory를 비롯한 대부분의 IdP와의 제휴를 지원합니다. 제휴를 통해 기존 ID 관리 인프라를 확장하고 Google Cloud 사용자에게 싱글 사인온 (SSO)을 사용 설정할 수 있습니다.
    • 기존 IdP가 없는 경우 Cloud ID Premium 또는 Google Workspace를 사용하는 것이 좋습니다.
  • 제한된 서비스 계정 권한: 서비스 계정을 신중하게 사용하고 최소 권한 원칙을 준수합니다.
    • 각 서비스 계정이 지정된 작업을 수행하는 데 필요한 권한만 부여합니다.
    • Google Kubernetes Engine (GKE)에서 실행되거나Google Cloud 외부에서 실행되는 애플리케이션에 워크로드 아이덴티티 제휴를 사용하여 리소스에 안전하게 액세스합니다.
  • 견고한 프로세스: 클라우드 보안 권장사항에 맞게 ID 프로세스를 업데이트합니다.
    • 규제 요구사항을 준수하려면 ID 거버넌스를 구현하여 액세스, 위험, 정책 위반을 추적하세요.
    • 액세스 제어 역할 및 권한을 부여하고 감사하기 위한 기존 프로세스를 검토하고 업데이트합니다.
  • 강력한 인증: 사용자 인증을 위해 SSO를 구현하고 권한이 있는 계정에 MFA를 구현합니다.
    • Google Cloud 는 향상된 보안을 위해 Titan 보안 키를 비롯한 다양한 MFA 방법을 지원합니다.
    • 워크로드 인증에는 OAuth 2.0 또는 서명된 JSON 웹 토큰 (JWT)을 사용하세요.
  • 최소 권한: 최소 권한 및 역할 분리의 원칙을 적용하여 무단 액세스 및 데이터 침해의 위험을 최소화합니다.
    • 사용자 액세스 권한을 과도하게 프로비저닝하지 마세요.
    • 민감한 작업에 적시 권한 부여된 액세스를 구현하는 것이 좋습니다.
  • Logging: 관리자 및 데이터 액세스 활동에 대한 감사 로깅을 사용 설정합니다.

네트워크 모니터링 및 유지관리

이 권장사항은 다음 중점사항과 관련이 있습니다.

  • 로깅, 감사, 모니터링
  • 애플리케이션 보안
  • 보안 운영 (SecOps)
  • 인프라 보안

보안 조치를 계획하고 구현할 때는 공격자가 이미 환경 내에 있다고 가정합니다. 이러한 사전 예방적 접근 방식에는 다음과 같은 여러 도구와 기법을 사용하여 네트워크에 대한 가시성을 제공하는 것이 포함됩니다.

  • 중앙 집중식 로깅 및 모니터링: 중앙 집중식 로깅 및 모니터링을 통해 모든 클라우드 리소스의 보안 로그를 수집하고 분석합니다.

    • 정상적인 네트워크 동작의 기준을 설정하고, 이상을 감지하며, 잠재적인 위협을 식별합니다.
    • 네트워크 트래픽 흐름을 지속적으로 분석하여 의심스러운 패턴과 잠재적 공격을 식별합니다.

  • 네트워크 성능 및 보안에 대한 통계: 네트워크 분석기와 같은 도구를 사용합니다. 악의적인 활동을 나타낼 수 있는 비정상적인 프로토콜, 예상치 못한 연결 또는 데이터 전송의 급격한 증가가 있는지 트래픽을 모니터링합니다.

  • 취약점 스캔 및 해결: 네트워크와 애플리케이션의 취약점을 정기적으로 스캔합니다.

    • Compute Engine 인스턴스, 컨테이너, GKE 클러스터의 취약점을 자동으로 식별할 수 있는 Web Security Scanner를 사용하세요.
    • 취약점의 심각도와 시스템에 미칠 수 있는 잠재적 영향을 고려하여 해결에 우선순위를 둡니다.

  • 침입 감지: 네트워크 트래픽에서 악의적인 활동을 모니터링하고 Cloud IDS 및 Cloud NGFW 침입 방지 서비스를 사용하여 의심스러운 이벤트를 자동으로 차단하거나 알림을 받습니다.

  • 보안 분석: Google SecOps를 구현하여 다양한 소스의 보안 이벤트를 연관시키고, 보안 알림을 실시간으로 분석하고, 이슈 대응을 용이하게 하는 것이 좋습니다.

  • 일관된 구성: 구성 관리 도구를 사용하여 네트워크 전체에서 일관된 보안 구성을 유지합니다.

시프트 레프트 보안 구현

Google Cloud Well-Architected Framework의 보안 부문 원칙은 소프트웨어 개발 수명 주기 초기에 구현하여 보안 상황을 개선할 수 있는 실용적인 제어 기능을 식별하는 데 도움이 됩니다. 예방적 보안 가드레일과 배포 후 보안 제어를 구현하는 데 도움이 되는 권장사항을 제공합니다.

원칙 개요

시프트-레프트 보안이란 소프트웨어 개발 수명 주기 초기에 보안 관행을 채택하는 것을 의미합니다. 이 원칙의 목표는 다음과 같습니다.

  • 시스템 변경사항이 적용되기 전에 보안 결함을 방지합니다. 예방적 보안 가드레일을 구현하고 CI/CD 파이프라인에서 코드형 인프라 (IaC), 코드형 정책, 보안 검사와 같은 관행을 채택합니다. Google Cloud에서 조직 정책 서비스, 보안 강화된 GKE 클러스터와 같은 다른 플랫폼별 기능을 사용할 수도 있습니다.
  • 시스템 변경사항이 커밋된 후 보안 버그를 조기에, 빠르게, 안정적으로 감지하고 수정합니다. 코드 검토, 배포 후 취약점 스캔, 보안 테스트와 같은 관행을 채택합니다.

보안 내재화 설계와 시프트 레프트 보안 원칙은 관련이 있지만 범위가 다릅니다. 보안 내재화 원칙을 사용하면 전체 시스템을 재구성해야 하는 근본적인 설계 결함을 방지할 수 있습니다. 예를 들어 위협 모델링 연습에서 현재 설계에는 승인 정책이 포함되어 있지 않으며 승인 정책이 없으면 모든 사용자가 동일한 수준의 액세스 권한을 갖게 된다는 것을 알 수 있습니다. 왼쪽으로 이동하는 보안은 변경사항이 적용되기 전에 구현 결함 (버그 및 구성 오류)을 방지하고 배포 후 빠르고 안정적인 수정을 가능하게 합니다.

권장사항

클라우드 워크로드에 쉬프트 레프트 보안 원칙을 구현하려면 다음 섹션의 권장사항을 고려하세요.

예방적 보안 제어 도입

이 권장사항은 다음 중점사항과 관련이 있습니다.

  • ID 및 액세스 관리
  • 클라우드 거버넌스, 위험, 규정 준수

예방적 보안 제어는 클라우드에서 강력한 보안 상태를 유지하는 데 중요합니다. 이러한 제어 기능을 사용하면 위험을 사전에 완화할 수 있습니다. 구성 오류와 리소스에 대한 무단 액세스를 방지하고, 개발자가 효율적으로 작업할 수 있도록 지원하며, 업계 표준 및 내부 정책을 준수할 수 있도록 할 수 있습니다.

예방적 보안 제어는 코드형 인프라 (IaC)를 사용하여 구현하면 더 효과적입니다. IaC를 사용하면 변경사항이 배포되기 전에 예방적 보안 제어에 인프라 코드에 대한 맞춤설정된 검사를 더 많이 포함할 수 있습니다. 예방적 보안 제어는 자동화와 결합하면 CI/CD 파이프라인의 자동 검사의 일부로 실행할 수 있습니다.

다음 제품과 기능은 환경에 예방 조치를 구현하는 데 도움이 될 수 있습니다. Google Cloud

IAM을 사용하면 권한을 기반으로 특정 리소스에 조치를 취할 수 있는 사용자를 승인할 수 있습니다. 자세한 내용은 IAM으로 조직 리소스 액세스 제어를 참고하세요.

조직 정책 서비스를 사용하면 리소스에 제한을 설정하여 구성 방법을 지정할 수 있습니다. 예를 들어 조직 정책을 사용하여 다음을 수행할 수 있습니다.

조직 정책을 사용하는 것 외에도 다음 방법을 사용하여 리소스에 대한 액세스를 제한할 수 있습니다.

  • IAM을 사용한 태그: 각 리소스에 대한 액세스 권한을 정의하는 대신 태그를 리소스 집합에 할당한 다음 태그 자체의 액세스 정의를 설정합니다.
  • IAM 조건: 리소스에 대한 조건부 속성 기반 액세스 제어를 정의합니다.
  • 심층 방어: VPC 서비스 제어를 사용하여 리소스에 대한 액세스를 추가로 제한합니다.

리소스 관리에 대한 자세한 내용은 Google Cloud 시작 영역의 리소스 계층 구조 결정을 참고하세요.

클라우드 리소스의 프로비저닝 및 관리 자동화

이 권장사항은 다음 중점사항과 관련이 있습니다.

  • 애플리케이션 보안
  • 클라우드 거버넌스, 위험, 규정 준수

명령형 스크립팅이 아닌 선언적 IaC도 채택하면 클라우드 리소스 및 워크로드의 프로비저닝 및 관리를 자동화하는 것이 더 효과적입니다. IaC는 자체적으로 보안 도구나 관행은 아니지만 플랫폼의 보안을 개선하는 데 도움이 됩니다. IaC를 채택하면 반복 가능한 인프라를 만들고 운영팀에 정상으로 알려진 상태를 제공할 수 있습니다. IaC는 롤백, 변경사항 감사, 문제 해결의 효율성도 개선합니다.

IaC를 CI/CD 파이프라인 및 자동화와 결합하면 OPA와 같은 도구를 사용하여 코드형 정책과 같은 관행을 채택할 수도 있습니다. 시간 경과에 따른 인프라 변경사항을 감사하고 변경사항이 배포되기 전에 인프라 코드에 대한 자동 검사를 실행할 수 있습니다.

인프라 배포를 자동화하려면 Config Controller, Terraform, Jenkins, Cloud Build와 같은 도구를 사용하면 됩니다. IaC 및 자동화를 사용하여 안전한 애플리케이션 환경을 구축할 수 있도록Google Cloud 는 엔터프라이즈 기반 청사진을 제공합니다. 이 청사진은 Google의 모든 권장사항 및 구성을 따르는 Google의 독자적인 설계입니다. 이 청사진에서는 Terraform 및 Cloud Build를 사용하여 Google Cloud 토폴로지를 구성하고 배포하는 단계별 안내를 제공합니다.

엔터프라이즈 기반 청사진의 스크립트를 수정하여 Google 권장사항을 따르고 자체 보안 요구사항을 충족하는 환경을 구성할 수 있습니다. 추가 청사진을 사용하여 청사진을 구축하거나 자체 자동화를 설계할 수 있습니다.Google Cloud 아키텍처 센터는 엔터프라이즈 기반 청사진 위에 구현할 수 있는 다른 청사진을 제공합니다. 다음은 이러한 블루프린트의 몇 가지 예입니다.

보안 애플리케이션 출시 자동화

이 권장사항은 애플리케이션 보안이라는 중점사항과 관련이 있습니다.

자동화된 도구가 없으면 일관된 보안 요구사항을 충족하기 위해 복잡한 애플리케이션 환경을 배포, 업데이트, 패치하기가 어려울 수 있습니다. 소프트웨어 개발 수명 주기 (SDLC)에 맞게 자동화된 CI/CD 파이프라인을 빌드하는 것이 좋습니다. 자동화된 CI/CD 파이프라인을 사용하면 수동 오류를 제거하고 표준화된 개발 피드백 루프를 제공하며 효율적인 제품 반복을 지원할 수 있습니다. 지속적 배포는 DORA 프레임워크에서 권장하는 권장사항 중 하나입니다.

CI/CD 파이프라인을 사용하여 애플리케이션 출시를 자동화하면 보안 버그를 조기에 신속하고 안정적으로 감지하고 수정하는 능력을 개선할 수 있습니다. 예를 들어 아티팩트가 생성될 때 보안 취약점을 자동으로 스캔하고, 보안 검토 범위를 좁히고, 알려진 안전한 버전으로 롤백할 수 있습니다. 확인된 아티팩트만 배포되도록 다양한 환경 (예: 개발, 테스트 또는 프로덕션 환경)에 대한 정책을 정의할 수도 있습니다.

애플리케이션 출시를 자동화하고 CI/CD 파이프라인에 보안 검사를 삽입할 수 있도록 Google Cloud 는 Cloud Build, Cloud Deploy, Web Security Scanner, Binary Authorization 등의 여러 도구를 제공합니다.

SDLC에서 여러 보안 요구사항을 확인하는 프로세스를 수립하려면 Google에서 정의한 SLSA (소프트웨어 아티팩트에 대한 공급망 등급) 프레임워크를 사용하세요. SLSA는 소스 코드, 빌드 프로세스, 코드 출처에 대한 보안 검사를 요구합니다. 이러한 요구사항의 대부분은 자동화된 CI/CD 파이프라인에 포함할 수 있습니다. Google에서 이러한 관행을 내부적으로 적용하는 방식을 알아보려면 Google Cloud의 변화에 대한 접근 방식을 참고하세요.

승인된 프로세스에 따라 애플리케이션을 배포합니다.

이 권장사항은 애플리케이션 보안이라는 중점사항과 관련이 있습니다.

공격자가 CI/CD 파이프라인을 손상시킬 경우 전체 애플리케이션 스택이 영향을 받을 수 있습니다. 파이프라인을 보호하려면 코드를 프로덕션에 배포하기 전에 설정된 승인 프로세스를 적용해야 합니다.

Google Kubernetes Engine (GKE), GKE Enterprise 또는 Cloud Run을 사용하는 경우 Binary Authorization을 사용하여 승인 프로세스를 설정할 수 있습니다. Binary Authorization은 구성 가능한 서명을 컨테이너 이미지에 연결합니다. 이러한 서명 (증명이라고도 함)은 이미지를 검증하는 데 도움이 됩니다. 배포 시 Binary Authorization은 이러한 증명을 사용하여 프로세스가 완료되었는지 확인합니다. 예를 들어 Binary Authorization을 사용하여 다음을 수행할 수 있습니다.

  • 특정 빌드 시스템 또는 CI 파이프라인이 컨테이너 이미지를 만들었는지 확인합니다.
  • 컨테이너 이미지가 취약점 서명 정책을 준수하는지 확인합니다.
  • 컨테이너 이미지가 QA로의 개발과 같은 다음 배포 환경으로 승격하기 위한 기준을 통과하는지 확인합니다.

Binary Authorization을 사용하면 신뢰할 수 있는 코드만 타겟 플랫폼에서 실행되도록 시행할 수 있습니다.

애플리케이션 배포 전 알려진 취약점 스캔

이 권장사항은 애플리케이션 보안이라는 중점사항과 관련이 있습니다.

애플리케이션 아티팩트가 프로덕션에 배포되기 전에 애플리케이션 아티팩트에 대한 취약점 스캔을 지속적으로 수행할 수 있는 자동화된 도구를 사용하는 것이 좋습니다.

컨테이너화된 애플리케이션의 경우 Artifact Analysis를 사용하여 컨테이너 이미지의 취약점 스캔을 자동으로 실행합니다. Artifact Analysis는 새 이미지가 Artifact Registry에 업로드될 때 이를 스캔합니다. 스캔은 컨테이너의 시스템 패키지에 대한 정보를 추출합니다. 초기 스캔 후 Artifact Analysis는 Artifact Registry에서 스캔한 이미지의 메타데이터를 지속적으로 모니터링하여 새로운 취약점이 있는지 확인합니다. Artifact Analysis는 취약점 소스에서 새로운 업데이트된 취약점 정보를 수신하면 다음을 수행합니다.

  • 스캔한 이미지의 메타데이터를 업데이트하여 최신 상태로 유지합니다.
  • 새 메모에 대한 새 취약점 어커런스를 만듭니다.
  • 더 이상 유효하지 않은 취약점 어커런스를 삭제합니다.

애플리케이션 코드에 알려진 취약점이 있는지 모니터링합니다.

이 권장사항은 애플리케이션 보안이라는 중점사항과 관련이 있습니다.

자동화 도구를 사용하여 애플리케이션 코드를 지속적으로 모니터링하여 OWASP 상위 10개와 같은 알려진 취약점이 있는지 확인합니다. Google Cloud OWASP 상위 10개 완화 기술을 지원하는 제품 및 기능에 대한 자세한 내용은 Google Cloud의 OWASP 상위 10개 완화 옵션을 참고하세요.

Web Security Scanner를 사용하여 App Engine, Compute Engine, GKE 웹 애플리케이션의 보안 취약점을 파악할 수 있습니다. 스캐너는 애플리케이션을 크롤링하여 시작 URL 범위 내에 있는 모든 링크를 확인하고 최대한 많은 사용자 입력과 이벤트 핸들러 실행을 시도합니다. 교차 사이트 스크립팅, 코드 삽입, 혼합 콘텐츠, 오래되거나 안전하지 않은 라이브러리 등의 일반적인 취약점을 자동으로 스캔하고 감지할 수 있습니다. Web Security Scanner는 거짓양성으로 사용자의 주의가 분산되지 않도록 하면서 이러한 유형의 취약점을 조기에 식별할 수 있습니다.

또한 GKE Enterprise를 사용하여 Kubernetes 클러스터의 Fleet를 관리하는 경우 보안 상황 대시보드에는 Fleet의 보안 상황을 개선하는 데 도움이 되는 구체적이고 실행 가능한 권장사항이 표시됩니다.

선제적 사이버 방어 구현

Google Cloud Well-Architected Framework의 보안 분야에 있는 이 원칙은 전반적인 보안 전략의 일환으로 강력한 사이버 방어 프로그램을 구축하기 위한 권장사항을 제공합니다.

이 원칙은 방어자의 이점: 사이버 방어 활성화 가이드에 정의된 대로 위협 인텔리전스를 사용하여 핵심 사이버 방어 기능 전반에서 선제적으로 노력을 안내하는 것을 강조합니다.

원칙 개요

사이버 공격으로부터 시스템을 방어할 때는 공격자에 비해 활용도가 낮은 상당한 이점이 있습니다. Mandiant 창립자의 말에 따르면, '여러분의 비즈니스, 시스템, 토폴로지, 인프라에 대해서 공격자보다 여러분 자신이 더 많이 알고 있어야 합니다. 이것은 엄청나게 유리한 점입니다." 이 고유한 이점을 활용하는 데 도움이 되도록 이 문서에서는 방어자의 이점 프레임워크에 매핑된 사전 예방적이며 전략적인 사이버 방어 관행에 관한 권장사항을 제공합니다.

권장사항

클라우드 워크로드에 선제적인 사이버 방어를 구현하려면 다음 섹션의 권장사항을 고려하세요.

사이버 방어 기능 통합

이 권장사항은 모든 중점 영역과 관련이 있습니다.

The Defender's Advantage 프레임워크는 사이버 방어의 6가지 핵심 기능인 인텔리전스, 감지, 대응, 검증, 헌팅, 미션 컨트롤을 식별합니다. 각 기능은 사이버 방어 미션의 고유한 부분에 중점을 두지만 이러한 기능은 효과적인 방어를 제공하기 위해 잘 조정되고 함께 작동해야 합니다. 각 함수가 다른 함수를 지원하는 강력하고 통합된 시스템을 만드는 데 집중하세요. 단계적으로 도입해야 하는 경우 다음과 같은 권장 순서를 고려하세요. 현재 클라우드 성숙도, 리소스 토폴로지, 특정 위협 환경에 따라 특정 기능에 우선순위를 둘 수 있습니다.

  1. 인텔리전스: 인텔리전스 기능은 다른 모든 기능을 안내합니다. 가장 가능성이 높은 공격자, 공격자의 전술, 기법, 절차 (TTP), 잠재적 영향을 비롯한 위협 환경을 이해하는 것은 전체 프로그램에서 작업의 우선순위를 지정하는 데 중요합니다. 인텔리전스 기능은 이해관계자 식별, 인텔리전스 요구사항 정의, 데이터 수집, 분석 및 공유, 자동화, 사이버 위협 프로필 생성을 담당합니다.
  2. 탐지 및 대응: 이러한 기능은 악의적인 활동을 식별하고 해결하는 적극적인 방어의 핵심을 구성합니다. 이러한 함수는 인텔리전스 함수에서 수집한 인텔리전스에 따라 조치를 취하는 데 필요합니다. 감지 함수에는 감지를 공격자 TTP에 맞추고 견고한 로깅을 보장하는 체계적인 접근 방식이 필요합니다. 응답 기능은 초기 분류, 데이터 수집, 문제 해결에 중점을 두어야 합니다.
  3. 검증: 검증 기능은 보안 제어 생태계가 최신 상태이며 설계된 대로 작동하고 있음을 보장하는 지속적인 프로세스입니다. 이 기능을 통해 조직은 공격 노출 영역을 파악하고, 취약점이 있는 위치를 파악하며, 제어의 효과를 측정할 수 있습니다. 보안 검증은 탐지 엔지니어링 수명 주기의 중요한 구성요소이기도 하며 탐지 공백을 식별하고 새로운 감지를 생성하는 데 사용해야 합니다.
  4. 헌팅: 헌팅 기능은 환경 내에서 활성 위협을 선제적으로 검색하는 기능입니다. 이 함수는 조직의 감지 및 대응 기능이 기본 수준의 성숙도를 갖추었을 때 구현해야 합니다. 헌팅 기능은 감지 기능을 확장하고 제어의 공백과 약점을 식별하는 데 도움이 됩니다. Hunt 함수는 특정 위협을 기반으로 해야 합니다. 이 고급 기능은 강력한 인텔리전스, 감지, 대응 기능을 기반으로 합니다.
  5. 미션 컨트롤: 미션 컨트롤 기능은 다른 모든 기능을 연결하는 중앙 허브 역할을 합니다. 이 기능은 사이버 방어 프로그램 전반에서 전략, 커뮤니케이션, 결정적인 조치를 담당합니다. 이를 통해 모든 기능이 함께 작동하고 조직의 비즈니스 목표에 부합하는지 확인할 수 있습니다. 미션 컨트롤 기능을 사용하여 다른 기능을 연결하기 전에 미션 컨트롤 기능의 목적을 명확하게 이해하는 데 집중해야 합니다.

사이버 방어의 모든 측면에서 인텔리전스 기능 사용

이 권장사항은 모든 중점 영역과 관련이 있습니다.

이 권장사항에서는 인텔리전스 기능을 강력한 사이버 방어 프로그램의 핵심 부분으로 강조합니다. 위협 인텔리전스는 위협 행위자, TTP, 침해 지표 (IOC)에 관한 지식을 제공합니다. 이 지식을 바탕으로 모든 사이버 방어 기능 전반에서 조치를 안내하고 우선순위를 지정해야 합니다. 인텔리전스 기반 접근 방식을 사용하면 조직에 영향을 미칠 가능성이 가장 높은 위협에 대처하도록 방어를 조정할 수 있습니다. 이 접근 방식은 리소스를 효율적으로 할당하고 우선순위를 지정하는 데도 도움이 됩니다.

다음 Google Cloud 제품 및 기능을 사용하면 위협 인텔리전스를 활용하여 보안 운영을 안내할 수 있습니다. 이러한 기능을 사용하여 잠재적 위협, 취약점, 위험을 파악하고 우선순위를 지정한 후 적절한 조치를 계획하고 구현합니다.

  • Google Security Operations (Google SecOps)를 사용하면 보안 데이터를 중앙에서 저장하고 분석할 수 있습니다. Google SecOps를 사용하여 로그를 공통 모델로 매핑하고, 로그를 보강하고, 로그를 타임라인에 연결하여 공격을 포괄적으로 살펴보세요. 감지 규칙을 만들고, IoC 일치를 설정하고, 위협 헌팅 활동을 수행할 수도 있습니다. 또한 이 플랫폼은 위협을 식별하는 데 도움이 되는 사전 정의된 관리형 규칙인 선별된 감지를 제공합니다. Google SecOps는 Mandiant 일선 인텔리전스와도 통합할 수 있습니다. Google SecOps는 업계를 선도하는 AI와 Mandiant의 위협 인텔리전스, Google VirusTotal을 고유하게 통합합니다. 이러한 통합은 위협을 평가하고 조직을 표적으로 삼는 공격자와 잠재적인 영향을 파악하는 데 매우 중요합니다.

  • Google AI를 기반으로 하는 Security Command Center Enterprise를 사용하면 보안 전문가가 여러 클라우드 환경에서 보안 문제를 효율적으로 평가, 조사, 대응할 수 있습니다. Security Command Center의 이점을 누릴 수 있는 보안 전문가로는 보안 운영 센터 (SOC) 분석가, 취약점 및 상황 분석가, 규정 준수 관리자가 있습니다. Security Command Center Enterprise는 보안 데이터를 보강하고, 위험을 평가하며, 취약점에 우선순위를 지정합니다. 이 솔루션은 고위험 취약점을 해결하고 활성 위협을 해결하는 데 필요한 정보를 팀에 제공합니다.

  • Chrome Enterprise Premium은 위협 및 데이터 보호 기능을 제공하여 무단 반출 위험으로부터 사용자를 보호하고 멀웨어가 기업 관리 기기에 침투하지 못하도록 방지합니다. 또한 Chrome Enterprise Premium은 브라우저 내에서 발생할 수 있는 안전하지 않거나 잠재적으로 안전하지 않은 활동에 대한 가시성을 제공합니다.

  • Network Intelligence Center와 같은 도구를 통한 네트워크 모니터링은 네트워크 성능을 파악할 수 있도록 지원합니다. 네트워크 모니터링을 통해 비정상적인 트래픽 패턴을 감지하거나 공격 또는 데이터 유출 시도를 나타낼 수 있는 데이터 전송량을 감지할 수도 있습니다.

방어자의 이점 이해 및 활용

이 권장사항은 모든 중점 영역과 관련이 있습니다.

앞서 언급한 바와 같이 비즈니스, 시스템, 토폴로지, 인프라를 철저히 이해하면 공격자보다 유리합니다. 이러한 지식의 이점을 활용하려면 사이버 방어 계획을 수립할 때 환경에 관한 이 데이터를 활용하세요.

Google Cloud 는 위협을 식별하고, 위험을 파악하고, 적시에 대응하여 잠재적 피해를 완화할 수 있도록 다음과 같은 기능을 제공합니다.

  • Chrome Enterprise Premium은 무단 반출 위험으로부터 사용자를 보호하여 기업 기기의 보안을 강화하는 데 도움이 됩니다. 민감한 정보 보호 서비스를 브라우저로 확장하고 멀웨어를 방지합니다. 또한 멀웨어 및 피싱 방지와 같은 기능을 제공하여 안전하지 않은 콘텐츠에 노출되는 것을 방지합니다. 또한 확장 프로그램 설치를 제어하여 안전하지 않거나 검증되지 않은 확장 프로그램이 설치되지 않도록 할 수 있습니다. 이러한 기능을 사용하면 운영을 위한 안전한 기반을 구축할 수 있습니다.

  • Security Command Center Enterprise는 포괄적이고 지속적인 위험 분석 및 관리를 제공하는 지속적인 위험 엔진을 제공합니다. 위험 엔진 기능은 보안 데이터를 보강하고, 위험을 평가하고, 취약점에 우선순위를 지정하여 문제를 신속하게 해결하는 데 도움이 됩니다. Security Command Center를 사용하면 조직에서 약점을 선제적으로 식별하고 완화 조치를 구현할 수 있습니다.

  • Google SecOps는 보안 데이터를 중앙 집중화하고 타임라인이 포함된 보강된 로그를 제공합니다. 이를 통해 방어자는 진행 중인 침해를 사전에 식별하고 공격자의 동작에 따라 방어를 조정할 수 있습니다.

  • 네트워크 모니터링은 공격을 나타낼 수 있는 비정상적인 네트워크 활동을 식별하는 데 도움이 되며 조치를 취하는 데 사용할 수 있는 조기 지표를 제공합니다. 데이터 도난을 사전에 방지하려면 데이터 무단 반출을 지속적으로 모니터링하고 제공된 도구를 사용하세요.

방어 체계를 지속적으로 검증하고 개선

이 권장사항은 모든 중점 영역과 관련이 있습니다.

이 권장사항에서는 전체 공격 노출 영역에서 강점과 약점을 파악하기 위해 구체적인 테스트와 제어의 지속적인 검증의 중요성을 강조합니다. 여기에는 다음과 같은 방법을 통해 관리, 운영, 직원의 효과를 검증하는 것이 포함됩니다.

또한 위협을 적극적으로 검색하고 그 결과를 사용하여 감지 및 가시성을 개선해야 합니다. 다음 도구를 사용하여 실제 위협에 대한 방어 기능을 지속적으로 테스트하고 검증하세요.

  • Security Command Center Enterprise는 취약점을 평가하고 해결 우선순위를 지정하는 지속적인 위험 엔진을 제공하므로 전반적인 보안 상태를 지속적으로 평가할 수 있습니다. Security Command Center Enterprise는 문제의 우선순위를 지정하여 리소스를 효과적으로 사용하도록 지원합니다.

  • Google SecOps는 제어의 약점을 사전에 식별할 수 있는 위협 사냥 및 선별된 감지를 제공합니다. 이 기능을 사용하면 위협 감지 능력을 지속적으로 테스트하고 개선할 수 있습니다.

  • Chrome Enterprise Premium은 진화하는 새로운 위협을 해결하고, 무단 반출 위험 및 멀웨어에 대한 방어 기능을 지속적으로 업데이트하는 데 도움이 되는 위협 및 데이터 보호 기능을 제공합니다.

  • Cloud Next Generation Firewall (Cloud NGFW)는 네트워크 모니터링 및 데이터 유출 모니터링을 제공합니다. 이러한 기능을 사용하면 현재 보안 상태의 효과를 검증하고 잠재적인 취약점을 파악할 수 있습니다. 데이터 유출 모니터링을 사용하면 조직의 데이터 보호 메커니즘의 강도를 검증하고 필요한 경우 사전에 조정할 수 있습니다. Cloud NGFW의 위협 발견 항목을 Security Command Center 및 Google SecOps와 통합하면 네트워크 기반 위협 감지를 최적화하고, 위협 대응을 최적화하고, 플레이북을 자동화할 수 있습니다. 이 통합에 관한 자세한 내용은 클라우드 방어 통합: Security Command Center 및 Cloud NGFW Enterprise를 참고하세요.

사이버 방어 노력 관리 및 조정

이 권장사항은 모든 중점 영역과 관련이 있습니다.

앞의 사이버 방어 기능 통합에서 설명한 대로 미션 컨트롤 기능은 사이버 방어 프로그램의 다른 기능을 상호 연결합니다. 이 기능을 사용하면 프로그램 전반에서 조정 및 통합 관리가 가능합니다. 또한 사이버보안을 담당하지 않는 다른 팀과 협력하는 데도 도움이 됩니다. 미션 컨트롤 기능은 역량 강화와 책임성을 장려하고, 민첩성과 전문성을 촉진하며, 책임감과 투명성을 유도합니다.

다음 제품과 기능을 사용하면 미션 컨트롤 기능을 구현하는 데 도움이 됩니다.

  • Security Command Center Enterprise는 사이버 방어 운영을 조정하고 관리하기 위한 중앙 허브 역할을 합니다. 이 도구는 내장된 Google SecOps 대응 기능과 함께 도구, 팀, 데이터를 통합합니다. Security Command Center는 조직의 보안 상태를 명확하게 파악하고 여러 리소스에서 보안 구성 오류를 식별할 수 있도록 지원합니다.
  • Google SecOps는 팀이 로그를 매핑하고 타임라인을 만들어 위협에 대응할 수 있는 플랫폼을 제공합니다. 감지 규칙을 정의하고 위협을 검색할 수도 있습니다.
  • Google Workspace 및 Chrome Enterprise Premium을 사용하면 민감한 리소스에 대한 최종 사용자 액세스를 관리하고 제어할 수 있습니다. 사용자 ID 및 요청 컨텍스트를 기반으로 세분화된 액세스 제어를 정의할 수 있습니다.
  • 네트워크 모니터링은 네트워크 리소스의 성능에 관한 유용한 정보를 제공합니다. 네트워크 모니터링 통계를 Security Command Center 및 Google SecOps로 가져와 다른 타임라인 기반 데이터 포인트와 비교하여 중앙에서 모니터링하고 상관시킬 수 있습니다. 이 통합을 통해 악의적인 활동으로 인한 잠재적인 네트워크 사용량 변경사항을 감지하고 이에 대응할 수 있습니다.
  • 데이터 무단 반출 모니터링을 사용하면 잠재적인 데이터 손실 사고를 식별하는 데 도움이 됩니다. 이 기능을 사용하면 이슈 대응팀을 효율적으로 동원하고, 피해를 평가하고, 추가적인 데이터 유출을 제한할 수 있습니다. 또한 데이터 보호를 위해 현재 정책 및 제어 기능을 개선할 수 있습니다.

제품 요약

다음 표에는 이 문서에 설명된 제품 및 기능이 나열되어 있으며 관련 권장사항 및 보안 기능에 매핑되어 있습니다.

제품Google Cloud 개 관련 추천
Google SecOps 사이버 방어의 모든 측면에서 인텔리전스 기능 사용: 위협 탐색 및 IoC 일치를 사용 설정하고 Mandiant와 통합하여 포괄적인 위협 평가를 수행합니다.

방어자의 이점 이해 및 활용: 선제적인 침해 식별을 위해 선별된 감지를 제공하고 보안 데이터를 중앙 집중화합니다.

방어 체계 지속적으로 검증 및 개선: 위협 감지 기능을 지속적으로 테스트하고 개선할 수 있습니다.

미션 컨트롤을 통한 사이버 방어 작업 관리 및 조정: 위협 대응, 로그 분석, 타임라인 생성을 위한 플랫폼을 제공합니다.

Security Command Center Enterprise 사이버 방어의 모든 측면에서 인텔리전스 기능 사용: AI를 사용하여 위험을 평가하고, 취약점에 우선순위를 지정하며, 해결을 위한 실행 가능한 통계를 제공합니다.

방어자의 이점 이해 및 활용: 포괄적인 위험 분석, 취약점 우선순위 지정, 약점 사전 식별을 제공합니다.

방어 기능을 지속적으로 검증하고 개선: 지속적인 보안 상황 평가 및 리소스 우선순위 지정을 제공합니다.

미션 컨트롤을 통한 사이버 방어 노력 관리 및 조정: 사이버 방어 운영을 관리하고 조정하는 중앙 허브 역할을 합니다.

Chrome Enterprise Premium 사이버 방어의 모든 측면에서 인텔리전스 기능 사용: 무단 반출 위험으로부터 사용자를 보호하고, 멀웨어를 방지하며, 안전하지 않은 브라우저 활동에 대한 가시성을 제공합니다.

방어자의 이점 이해 및 활용: 데이터 보호, 멀웨어 방지, 확장 프로그램 제어를 통해 엔터프라이즈 기기의 보안을 강화합니다.

방어 수단을 지속적으로 검증하고 개선: 엑스필트레이션 위험 및 멀웨어에 대한 방어 수단을 지속적으로 업데이트하여 새로운 위협과 진화하는 위협을 해결합니다.

미션 관리를 통해 사이버 방어 노력 관리 및 조정: 세분화된 액세스 제어를 포함하여 민감한 리소스에 대한 최종 사용자 액세스를 관리하고 제어합니다.

Google Workspace 미션 관리를 통해 사이버 방어 노력 관리 및 조정: 세분화된 액세스 제어를 포함하여 민감한 리소스에 대한 최종 사용자 액세스를 관리하고 제어합니다.
Network Intelligence Center 사이버 방어의 모든 측면에서 인텔리전스 기능 사용: 네트워크 성능에 대한 가시성을 제공하고 비정상적인 트래픽 패턴 또는 데이터 전송을 감지합니다.
Cloud NGFW 방어 체계 지속적으로 검증 및 개선: Security Command Center 및 Google SecOps와 통합하여 네트워크 기반 위협 감지 및 대응을 최적화합니다.

안전하고 책임감 있게 AI 사용

Google Cloud Well-Architected Framework의 보안 요소 원칙은 AI 시스템을 보호하는 데 도움이 되는 권장사항을 제공합니다. 이러한 권장사항은 AI 시스템의 보안 및 위험 문제를 해결하기 위한 실용적인 접근 방식을 제공하는 Google의 안전한 AI 프레임워크 (SAIF)에 따라 작성되었습니다. SAIF는 AI를 책임감 있게 빌드하고 배포하기 위한 업계 전반의 표준을 제공하는 것을 목표로 하는 개념적 프레임워크입니다.

원칙 개요

AI 시스템이 보안, 개인 정보 보호, 규정 준수 요구사항을 충족하도록 하려면 초기 설계부터 배포 및 운영에 이르기까지 전체적인 전략을 채택해야 합니다. SAIF의 6가지 핵심 요소를 적용하여 이 전체론적 전략을 구현할 수 있습니다.

Google은 AI를 사용하여 위협 식별, 보안 작업 자동화, 감지 기능 개선과 같은 보안 조치를 강화하는 동시에 중요한 결정을 내릴 때는 사람의 개입을 유지합니다.

Google은 AI 보안을 강화하기 위한 협업적 접근 방식을 강조합니다. 이 접근 방식은 고객, 업계, 정부와 협력하여 SAIF 가이드라인을 개선하고 실용적이고 실행 가능한 리소스를 제공하는 것을 목표로 합니다.

이 원칙을 구현하기 위한 권장사항은 다음 섹션으로 그룹화되어 있습니다.

AI를 안전하게 사용하는 권장사항

AI를 안전하게 사용하려면 기본 보안 제어와 AI 관련 보안 제어 모두 필요합니다. 이 섹션에서는 AI 및 ML 배포가 조직의 보안, 개인 정보 보호, 규정 준수 요구사항을 충족하도록 하는 권장사항을 간략히 설명합니다. Google Cloud에서 AI 및 ML 워크로드와 관련된 아키텍처 원칙 및 권장사항에 대한 개요는 설계 품질 프레임워크의 AI 및 ML 관점을 참고하세요.

AI 사용을 위한 명확한 목표 및 요구사항 정의

이 권장사항은 다음 중점사항과 관련이 있습니다.

  • 클라우드 거버넌스, 위험, 규정 준수
  • AI 및 ML 보안

이 권장사항은 주변 비즈니스 프로세스에서 AI 시스템 위험을 맥락에 맞게 이해하는 것에 관한 SAIF 요소와 일맥상통합니다. AI 시스템을 설계하고 발전시킬 때는 구체적인 비즈니스 목표, 위험, 규정 준수 요구사항을 이해하는 것이 중요합니다.

데이터를 안전하게 보호하고 손실 또는 오조작을 방지합니다.

이 권장사항은 다음 중점사항과 관련이 있습니다.

  • 인프라 보안
  • ID 및 액세스 관리
  • 데이터 보안
  • 애플리케이션 보안
  • AI 및 ML 보안

이 권장사항은 다음 SAIF 요소와 일치합니다.

  • AI 생태계로 강력한 보안 기반 확장 이 요소에는 데이터 수집, 저장소, 액세스 제어, 데이터 오염 방지가 포함됩니다.
  • AI 시스템 위험을 맥락에 맞게 이해합니다. 비즈니스 목표와 규정 준수를 지원하는 데이터 보안을 강조합니다.

조작으로부터 AI 파이프라인을 안전하고 강력하게 보호

이 권장사항은 다음 중점사항과 관련이 있습니다.

  • 인프라 보안
  • ID 및 액세스 관리
  • 데이터 보안
  • 애플리케이션 보안
  • AI 및 ML 보안

이 권장사항은 다음 SAIF 요소와 일치합니다.

  • AI 생태계로 강력한 보안 기반 확장 안전한 AI 시스템을 구축하는 데 중요한 요소인 코드 및 모델 아티팩트를 보호하세요.
  • 더 빠른 피드백 루프를 위해 제어를 조정합니다. 완화 및 이슈 대응에 중요하므로 애셋과 파이프라인 실행을 추적합니다.

보안 도구 및 아티팩트를 사용하여 보안 시스템에 앱 배포

이 권장사항은 다음 중점사항과 관련이 있습니다.

  • 인프라 보안
  • ID 및 액세스 관리
  • 데이터 보안
  • 애플리케이션 보안
  • AI 및 ML 보안

AI 기반 애플리케이션에서 안전한 시스템과 검증된 도구 및 아티팩트를 사용하면 AI 생태계와 공급망으로 강력한 보안 기반을 확장하는 것에 관한 SAIF 요소에 부합합니다. 이 권장사항은 다음 단계를 통해 해결할 수 있습니다.

입력 보호 및 모니터링

이 권장사항은 다음 중점사항과 관련이 있습니다.

  • 로깅, 감사, 모니터링
  • 보안 운영
  • AI 및 ML 보안

이 권장사항은 조직의 위협 대응 체계에 AI를 도입하기 위해 탐지 및 대응 범위를 확장하는 것에 관한 SAIF 요소와 일맥상통합니다. 문제를 방지하려면 생성형 AI 시스템의 프롬프트를 관리하고 입력을 모니터링하며 사용자 액세스를 제어하는 것이 중요합니다.

AI 거버넌스 권장사항

이 섹션의 모든 권장사항은 클라우드 거버넌스, 위험, 규정 준수와 같은 중점 영역과 관련이 있습니다.

Google Cloud 는 책임감 있고 윤리적인 AI 시스템을 빌드하는 데 사용할 수 있는 강력한 도구와 서비스를 제공합니다. 또한 AI 시스템의 개발, 배포, 사용을 안내할 수 있는 정책, 절차, 윤리적 고려사항의 프레임워크도 제공합니다.

권장사항에 반영된 바와 같이 Google의 AI 거버넌스 접근 방식은 다음 원칙에 따라 진행됩니다.

  • 공정성
  • 투명성
  • 책무성
  • 개인 정보 보호
  • 보안

공정성 지표 사용

Vertex AI는 데이터 수집 또는 학습 후 평가 프로세스 중에 편향을 감지할 수 있습니다. Vertex AI는 모델의 편향을 평가하는 데 도움이 되는 데이터 편향 및 모델 편향과 같은 모델 평가 측정항목을 제공합니다.

이러한 측정항목은 인종, 성별, 계급과 같은 다양한 카테고리의 공정성과 관련이 있습니다. 하지만 통계적 편차를 해석하는 것은 간단한 작업이 아닙니다. 카테고리 간의 차이가 편향이나 피해의 신호가 아닐 수 있기 때문입니다.

Vertex Explainable AI 사용

AI 모델이 어떻게 결정을 내리는지 알아보려면 Vertex Explainable AI를 사용하세요. 이 기능을 사용하면 모델의 로직에 숨겨져 있을 수 있는 잠재적 편향을 식별할 수 있습니다.

이 설명 가능성 기능은 특성 기반 설명을 제공하는 BigQuery ML 및 Vertex AI와 통합되어 있습니다. BigQuery ML에서 설명 가능성을 실행하거나 Vertex AI에 모델을 등록하고 Vertex AI에서 설명 가능성을 실행할 수 있습니다.

데이터 계보 추적

AI 시스템에 사용되는 데이터의 출처와 변환을 추적합니다. 이러한 추적을 통해 데이터의 여정을 파악하고 편향이나 오류의 잠재적인 원인을 파악할 수 있습니다.

데이터 계보는 시스템을 통해 데이터가 이동하는 방식, 즉 데이터의 출처, 데이터가 전달되는 위치, 데이터에 적용되는 변환을 추적할 수 있는 Dataplex 기능입니다.

책임성 설정

AI 시스템의 개발, 배포, 결과에 대한 명확한 책임을 설정합니다.

Cloud Logging을 사용하여 AI 시스템에서 내린 주요 이벤트와 결정을 기록합니다. 로그는 시스템의 성능을 파악하고 개선이 필요한 영역을 식별하는 데 도움이 되는 감사 추적을 제공합니다.

Error Reporting을 사용하여 AI 시스템에서 발생한 오류를 체계적으로 분석합니다. 이 분석을 통해 근본적인 편향이나 모델을 추가로 미세 조정해야 하는 영역을 나타내는 패턴을 파악할 수 있습니다.

개인 정보 차등 보호 구현

모델 학습 중에 데이터에 노이즈를 추가하여 개별 데이터 포인트를 식별하기 어렵게 만들면서도 모델이 효과적으로 학습할 수 있도록 합니다. BigQuery의 SQL을 사용하면 차등적인 비공개 집계로 쿼리 결과를 변환할 수 있습니다.

보안을 위해 AI 사용

Google Cloud Well-Architected Framework의 보안 요소 원칙은 AI를 사용하여 클라우드 워크로드의 보안을 개선하는 데 도움이 되는 권장사항을 제공합니다.

사이버 공격의 수와 정교함이 증가함에 따라 보안을 개선하는 데 AI의 잠재력을 활용하는 것이 중요합니다. AI는 위협 수를 줄이고, 보안 전문가가 수동으로 수행해야 하는 작업을 줄이며, 사이버 보안 분야의 전문가 부족을 보완하는 데 도움이 될 수 있습니다.

원칙 개요

AI 기능을 사용하여 기존 보안 시스템과 프로세스를 개선하세요. 보안의 Gemini와 Google Cloud 서비스에 내장된 고유한 AI 기능을 사용할 수 있습니다.

이러한 AI 기능은 보안 수명 주기의 모든 단계에서 지원을 제공하여 보안을 혁신할 수 있습니다. 예를 들어 AI를 사용하여 다음 작업을 할 수 있습니다.

  • 리버스 엔지니어링 없이 잠재적으로 악성 코드를 분석하고 설명합니다.
  • 사이버 보안 실무자의 반복 작업을 줄입니다.
  • 자연어를 사용하여 쿼리를 생성하고 보안 이벤트 데이터와 상호작용합니다.
  • 컨텍스트 정보를 표시합니다.
  • 빠른 응답을 위한 추천을 제공합니다.
  • 이벤트 해결을 지원합니다.
  • 잘못된 구성 및 취약점에 대한 우선순위가 높은 알림을 요약하고 잠재적인 영향을 강조하며 완화 조치를 제안합니다.

보안 자율성 수준

AI와 자동화를 사용하면 끊임없이 진화하는 사이버 보안 위협을 처리할 때 더 나은 보안 결과를 얻을 수 있습니다. 보안에 AI를 사용하면 위협을 감지하고 방지하며 전반적인 보안 상황을 개선하는 수준을 높일 수 있습니다. Google은 보안에 AI를 사용할 때의 4가지 자율성 수준을 정의하며, 보안 작업을 지원하고 궁극적으로 이끌어 가는 데 있어 AI의 역할이 점점 커지고 있음을 설명합니다.

  1. 수동: 인간이 전체 보안 수명 주기 전반에서 모든 보안 작업 (예방, 감지, 우선순위 지정, 대응)을 실행합니다.
  2. 지원됨: Gemini와 같은 AI 도구는 정보를 요약하고, 통계를 생성하고, 추천을 제공하여 인간의 생산성을 높입니다.
  3. 반자율: AI가 많은 보안 작업에 대한 일차적인 책임을 맡고 필요한 경우에만 인간에게 위임합니다.
  4. 자율적: AI는 최소한의 인간 개입으로 조직의 목표와 환경설정에 따라 보안 수명 주기를 주도하는 신뢰할 수 있는 어시스턴트 역할을 합니다.

권장사항

다음 섹션에서는 보안에 AI를 사용하는 방법에 관한 권장사항을 설명합니다. 또한 이 섹션에서는 권장사항이 Google의 안전한 AI 프레임워크 (SAIF) 핵심 요소와 어떻게 일치하는지, 보안 자율성 수준과 어떤 관련이 있는지 보여줍니다.

AI로 위협 감지 및 대응 강화

이 권장사항은 다음 중점사항과 관련이 있습니다.

  • 보안 운영 (SecOps)
  • 로깅, 감사, 모니터링

AI는 대량의 보안 데이터를 분석하고, 위협 행위자 동작에 대한 통계를 제공하며, 잠재적으로 악성 코드의 분석을 자동화할 수 있습니다. 이 권장사항은 다음 SAIF 요소와 일치합니다.

  • 감지 및 대응 범위를 확장하여 AI를 조직의 위협 대응 체계에 활용합니다.
  • 기존 위협과 새로운 위협에 대응할 수 있도록 방어 체계를 자동화합니다.

구현에 따라 이 권장사항은 다음과 같은 수준의 자율성과 관련이 있을 수 있습니다.

  • 지원됨: AI가 위협 분석 및 감지에 도움을 줍니다.
  • 반자율: AI가 보안 작업에 더 많은 책임을 맡습니다.

AI를 사용하여 위협 행위자 동작과 악성 코드를 분석하는 Google Threat Intelligence를 사용하면 이 권장사항을 구현하는 데 도움이 됩니다.

전문가와 비전문가 모두를 위한 보안 간소화

이 권장사항은 다음 중점사항과 관련이 있습니다.

  • 보안 운영 (SecOps)
  • 클라우드 거버넌스, 위험, 규정 준수

AI 기반 도구는 경보를 요약하고 완화 조치를 추천할 수 있으며, 이러한 기능을 통해 더 많은 인원이 보안에 액세스할 수 있습니다. 이 권장사항은 다음 SAIF 요소와 일치합니다.

  • 기존 위협과 새로운 위협에 대응할 수 있도록 방어 체계를 자동화합니다.
  • 플랫폼 수준 제어를 조정하여 조직 전반에서 보안 일관성 확보

구현에 따라 이 권장사항은 다음과 같은 수준의 자율성과 관련이 있을 수 있습니다.

  • 지원됨: AI를 통해 보안 정보에 대한 접근성을 개선할 수 있습니다.
  • 반자율: AI를 통해 모든 사용자의 보안 관행을 더욱 효과적으로 개선할 수 있습니다.

Security Command Center의 Gemini는 잘못된 구성 및 취약점에 대한 알림의 요약을 제공할 수 있습니다.

AI로 시간 소모적인 보안 작업 자동화

이 권장사항은 다음 중점사항과 관련이 있습니다.

  • 인프라 보안
  • 보안 운영 (SecOps)
  • 애플리케이션 보안

AI는 악성코드 분석, 보안 규칙 생성, 구성 오류 식별과 같은 작업을 자동화할 수 있습니다. 이러한 기능을 사용하면 보안팀의 워크로드를 줄이고 응답 시간을 단축할 수 있습니다. 이 권장사항은 기존 위협과 새로운 위협에 대응할 수 있도록 방어 체계를 자동화하는 것에 관한 SAIF 요소와 일맥상통합니다.

구현에 따라 이 권장사항은 다음과 같은 수준의 자율성과 관련이 있을 수 있습니다.

  • 지원됨: AI가 작업을 자동화하는 데 도움이 됩니다.
  • 반자율: AI가 보안 작업에 대한 일차적인 책임을 맡고 필요한 경우에만 인간의 보조를 요청합니다.

Google SecOps의 Gemini는 분석가를 지원하고, 관련 맥락을 검색하고, 다음 단계를 추천하여 부담이 큰 작업을 자동화하는 데 도움이 될 수 있습니다.

위험 관리 및 거버넌스 프로세스에 AI 통합

이 권장사항은 Cloud 거버넌스, 위험, 규정 준수와 같은 중점 영역과 관련이 있습니다.

AI를 사용하여 모델 인벤토리와 위험 프로필을 구축할 수 있습니다. AI를 사용하여 데이터 개인 정보 보호, 사이버 위험, 서드 파티 위험에 관한 정책을 구현할 수도 있습니다. 이 권장사항은 주변 비즈니스 프로세스에서 AI 시스템 위험을 맥락에 맞게 이해하는 것에 관한 SAIF 요소와 일맥상통합니다.

구현에 따라 이 권장사항은 준자율 수준과 관련이 있을 수 있습니다. 이 수준에서 AI는 프로세스를 실행하여 맞춤 보안 목표를 달성하는 보안 에이전트를 조정할 수 있습니다.

AI 시스템에 안전한 개발 관행 구현

이 권장사항은 다음 중점사항과 관련이 있습니다.

  • 애플리케이션 보안
  • AI 및 ML 보안

AI를 사용하여 안전한 코딩, 학습 데이터 정리, 도구 및 아티팩트 검증을 할 수 있습니다. 이 권장사항은 AI 생태계로 강력한 보안 기반을 확장하는 것에 관한 SAIF 요소와 일맥상통합니다.

AI를 보안에 효과적으로 사용하려면 먼저 안전한 AI 시스템을 구축해야 하므로 이 권장사항은 모든 수준의 보안 자율성과 관련이 있습니다. 이 권장사항은 AI를 통해 보안 관행이 보강되는 지원 수준과 가장 관련이 있습니다.

이 권장사항을 구현하려면 AI 아티팩트에 관한 SLSA (소프트웨어 아티팩트에 대한 공급망 등급) 가이드라인을 따르고 검증된 컨테이너 이미지를 사용하세요.

규제, 규정 준수, 개인 정보 보호 요구사항 충족

Google Cloud Well-Architected Framework의 보안 요소에 포함된 이 원칙을 통해 클라우드 배포의 규제, 규정 준수, 개인 정보 보호 요구사항을 파악하고 충족할 수 있습니다. 이러한 요구사항은Google Cloud의 워크로드에 사용해야 하는 보안 제어에 대해 결정해야 하는 여러 가지 사항에 영향을 미칩니다.

원칙 개요

규제, 규정 준수, 개인 정보 보호 요구사항을 충족하는 것은 모든 비즈니스에서 피할 수 없는 과제입니다. 클라우드 규제 요구사항은 다음과 같은 여러 요인에 따라 달라집니다.

  • 조직의 물리적 위치에 적용되는 법률 및 규정
  • 고객의 오프라인 매장에 적용되는 법률 및 규정
  • 업계의 규제 요구사항

개인 정보 보호 규정은 사용자 데이터를 획득, 처리, 저장, 관리하는 방법을 정의합니다. 사용자로부터 수신하는 데이터를 비롯한 자체 데이터는 개발자가 소유합니다. 따라서 쿠키 제어, 세션 관리, 사용자 권한 획득을 비롯한 많은 개인 정보 보호 설정은 개발자의 책임입니다.

이 원칙을 구현하기 위한 권장사항은 다음 섹션으로 그룹화되어 있습니다.

조직 위험을 해결하기 위한 권장사항

이 섹션에서는 조직의 위험을 식별하고 해결하는 데 도움이 되는 권장사항을 제공합니다.

조직의 위험 파악

이 권장사항은 Cloud 거버넌스, 위험, 규정 준수와 같은 중점 영역과 관련이 있습니다.

Google Cloud에서 리소스를 만들고 배포하기 전에 위험 평가를 완료하세요. 이 평가에서는 내부 보안 요구사항과 외부 규제 요건을 충족하는 데 필요한 보안 기능을 결정해야 합니다.

위험 평가는 조직별 위험 카탈로그를 제공하고 보안 위협을 감지하고 대응하는 조직의 역량에 관해 알려줍니다. 배포 직후와 비즈니스 요구사항, 규제 요건 또는 조직에 대한 위협이 변경될 때마다 위험 분석을 실행해야 합니다.

보안 내재화 설계 원칙에 언급된 대로 클라우드 환경의 보안 위험은 온프레미스 위험과 다릅니다. 이러한 차이는 클라우드의 공유 책임 모델로 인한 것으로, 서비스 (IaaS, PaaS 또는 SaaS) 및 사용량에 따라 다릅니다. Cloud Controls Matrix (CCM)와 같은 클라우드별 위험 평가 프레임워크를 사용합니다. OWASP 애플리케이션 위협 모델링과 같은 위협 모델링을 사용하여 취약점을 식별하고 해결합니다. 위험 평가와 관련하여 전문가의 도움을 받으려면 Google 계정 관리자에게 문의하거나 Google Cloud의 파트너 디렉터리를 참고하세요.

위험을 카탈로그화한 후에는 위험을 해결하는 방법, 즉 위험을 허용, 방지, 이전 또는 완화할지 결정해야 합니다. 구현할 수 있는 완화 제어 방법은 다음 섹션의 위험 완화에 관한 내용을 참고하세요.

위험 완화

이 권장사항은 Cloud 거버넌스, 위험, 규정 준수와 같은 중점 영역과 관련이 있습니다.

새로운 퍼블릭 클라우드 서비스를 도입할 때 기술 제어, 계약 보호, 서드 파티 확인 또는 증명을 사용하여 위험을 완화할 수 있습니다.

기술 제어는 환경을 보호하기 위해 사용하는 기능 및 기술입니다. 여기에는 방화벽 및 로깅과 같은 기본 제공되는 클라우드 보안 제어가 포함됩니다. 기술 제어에는 보안 전략을 강화하거나 지원하기 위해 서드 파티 도구를 사용하는 것도 포함될 수 있습니다. 기술 관리에는 두 가지 카테고리가 있습니다.

  • Google Cloud의 보안 제어를 구현하여 환경에 적용되는 위험을 완화할 수 있습니다. 예를 들어 Cloud VPN 및 Cloud Interconnect를 사용하여 온프레미스 네트워크와 클라우드 네트워크 간의 연결을 보호할 수 있습니다.
  • Google은 고객 데이터에 내부자가 액세스하는 것을 방지하기 위해 강력한 내부 제어 및 감사 시스템을 갖추고 있습니다. Google의 감사 로그는 Google Cloud에서 Google 관리자 액세스에 대한 거의 실시간 로그를 제공합니다.

계약 보호는Google Cloud 서비스에 대한 Google의 법적 약속을 의미합니다. Google은 규정 준수 포트폴리오를 유지보수하고 확장하기 위해 최선을 다하고 있습니다. Cloud 데이터 처리 추가 조항 (CDPA)에는 데이터 처리 및 보안과 관련된 Google의 노력이 명시되어 있습니다. CDPA에서는 Google 지원 엔지니어의 고객 환경에 대한 액세스를 제한하기 위해 마련된 액세스 제어에 대해 간략하게 설명하고 엄격한 로깅과 승인 절차에 대해 설명합니다. 법률 및 규제 전문가와의 Google Cloud계약 제어 시스템을 검토하고 요구사항을 충족하는지 확인하는 것이 좋습니다. 자세한 내용은 기술 계정 담당자에게 문의하세요.

서드 파티 인증 또는 증명은 클라우드 제공업체가 규정 준수 요구사항을 충족하는지 서드 파티 공급업체가 감사하는 것을 의미합니다. 예를 들어 Google Cloud ISO/IEC 27017 가이드라인과 관련된 증명에 대해 알아보려면 ISO/IEC 27017 - 규정 준수를 참고하세요. 현재 Google Cloud 인증 및 증명서는 규정 준수 리소스 센터를 참고하세요.

규제 및 규정 준수 의무를 충족하기 위한 권장사항

일반적인 규정 준수 여정에는 평가, 문제 해결, 지속적인 모니터링의 3단계가 있습니다. 이 섹션에서는 각 단계에서 사용할 수 있는 권장사항을 제공합니다.

규정 준수 요구사항 평가

이 권장사항은 Cloud 거버넌스, 위험, 규정 준수와 같은 중점 영역과 관련이 있습니다.

규정 준수 평가는 모든 규제 의무와 비즈니스가 이를 구현하는 방식을 철저하게 검토합니다. Google Cloud 서비스 평가에 도움이 되도록 규정 준수 리소스 센터를 사용하세요. 이 사이트에서는 다음에 관한 정보를 제공합니다.

  • 다양한 규정 서비스 지원
  • Google Cloud 인증 및 증명

Google의 규정 준수 수명 주기와 요구사항을 충족하는 방법을 더 잘 이해하려면 영업팀에 문의하여 Google 규정 준수 전문가의 도움을 요청하세요. 또는Google Cloud 계정 관리자에게 연락하여 규정 준수 워크숍을 요청할 수 있습니다.

Google Cloud 워크로드의 보안 및 규정 준수를 관리하는 데 사용할 수 있는 도구 및 리소스에 대한 자세한 내용은 클라우드에서 규정 준수 보장을 참고하세요.

규정 준수 요구사항 구현 자동화

이 권장사항은 Cloud 거버넌스, 위험, 규정 준수와 같은 중점 영역과 관련이 있습니다.

변화하는 규정을 계속 준수할 수 있도록 규정 준수 요구사항을 구현하는 방법을 자동화할 수 있는지 확인합니다. Google Cloud 에서 제공하는 규정 준수 중심 기능과 특정 규정 준수 제도에 권장 구성을 사용하는 청사진을 모두 사용할 수 있습니다.

Assured Workloads는 Google Cloud 내의 제어를 기반으로 하여 규정 준수 의무를 준수하는 데 도움이 됩니다. Assured Workloads를 사용하면 다음을 수행할 수 있습니다.

  • 규정 준수 체계를 선택합니다. 그런 다음 이 도구는 선택한 제도에 대한 기준 직원 액세스 제어를 자동으로 설정합니다.
  • 조직 정책을 사용하여 데이터 위치를 설정하여 저장 데이터와 리소스가 해당 리전에만 유지되도록 합니다.
  • 보안 및 규정 준수 요구사항에 가장 적합한 키 관리 옵션 (예: 키 순환 기간)을 선택합니다.
  • FedRAMP Moderate와 같은 특정 규제 요건을 충족하기 위해 Google 지원 담당자의 액세스 기준을 선택합니다. 예를 들어 Google 지원 담당자가 적절한 백그라운드 확인을 완료했는지 여부를 선택할 수 있습니다.
  • FIPS-140-2를 준수하고 FedRAMP 중간 수준 규정 준수를 지원하는 Google 소유 및 Google 관리 키를 사용합니다. Google-owned and Google-managed encryption key 추가적인 제어 레이어와 업무 분리를 위해 고객 관리 암호화 키 (CMEK)를 사용할 수 있습니다. 키에 관한 자세한 내용은 저장 데이터 및 전송 중인 데이터 암호화를 참고하세요.

Assured Workloads 외에도 규정 준수 체계와 관련된 Google Cloud블루프린트를 사용할 수 있습니다. 이러한 청사진을 수정하여 보안 정책을 인프라 배포에 통합할 수 있습니다.

규정 준수 요구사항을 지원하는 환경을 빌드하는 데 도움이 되도록 Google의 청사진 및 솔루션 가이드에는 권장 구성이 포함되어 있으며 Terraform 모듈이 제공됩니다. 다음 표에는 보안 문제를 해결하고 규정 준수 요구사항에 부합하는 청사진이 나열되어 있습니다.

요구사항 청사진 및 솔루션 가이드
FedRAMP
HIPAA

규정 준수 모니터링

이 권장사항은 다음 중점사항과 관련이 있습니다.

  • 클라우드 거버넌스, 위험, 규정 준수
  • 로깅, 모니터링, 감사

대부분의 규정에서는 액세스 관련 활동을 비롯한 특정 활동을 모니터링해야 합니다. 모니터링에 도움이 되려면 다음을 사용합니다.

  • 액세스 투명성: Google Cloud 관리자가 콘텐츠에 액세스할 때 실시간에 가까운 로그를 확인합니다.
  • 방화벽 규칙 로깅: 내가 만든 규칙에 대한 VPC 네트워크 내부의 TCP 및 UDP 연결을 기록합니다. 이러한 로그는 네트워크 액세스를 감사하거나 네트워크가 승인되지 않은 방식으로 사용되고 있음을 미리 경고하는 데 유용할 수 있습니다.
  • VPC 흐름 로그: VM 인스턴스에서 전송 또는 수신되는 네트워크 트래픽 흐름을 기록합니다.
  • Security Command Center 프리미엄: 다양한 표준을 준수하는지 여부를 모니터링합니다.
  • OSSEC(또는 다른 오픈소스 도구): 환경에 대한 관리자 액세스 권한이 있는 개별 사용자의 활동을 로깅합니다.
  • 키 액세스 근거: 키 액세스 요청의 이유를 확인합니다.
  • Security Command Center 알림: 규정 준수 문제가 발생하면 알림을 받습니다. 예를 들어 사용자가 2단계 인증을 사용 중지하거나 서비스 계정의 권한이 과도한 경우 알림을 받습니다. 특정 알림에 대한 자동 구제 조치를 설정할 수도 있습니다.

데이터 주권 관리를 위한 권장사항

이 권장사항은 Cloud 거버넌스, 위험, 규정 준수와 같은 중점 영역과 관련이 있습니다.

데이터 주권에서는 Google이 사용자 데이터에 액세스하지 못하게 하는 메커니즘을 제공합니다. 동의가 필요한 제공업체 동작에 대한 액세스만 승인합니다. 예를 들어 다음과 같은 방법으로 데이터 주권을 관리할 수 있습니다.

운영 주권 관리

이 권장사항은 Cloud 거버넌스, 위험, 규정 준수와 같은 중점 영역과 관련이 있습니다.

운영 주권을 통해 Google 직원이 워크로드 보안을 침해할 수 없다는 확신을 얻을 수 있습니다. 예를 들어 다음과 같은 방법으로 운영 주권을 관리할 수 있습니다.

소프트웨어 주권 관리

이 권장사항은 Cloud 거버넌스, 위험, 규정 준수와 같은 중점 영역과 관련이 있습니다.

소프트웨어 주권은 워크로드 가용성을 제어하고 원하는 곳에서 실행할 수 있음을 보장합니다. 또한 단일 클라우드 제공업체에 종속되거나 잠김 상태가 되지 않고도 이러한 제어 기능을 사용할 수 있습니다. 소프트웨어 주권에는 워크로드가 배포되는 위치와 허용되는 외부 연결 수준을 빠르게 변경해야 하는 이벤트에서 생존할 수 있는 기능이 포함됩니다.

예를 들어 소프트웨어 주권을 관리하는 데 도움이 되도록 Google Cloud는 하이브리드 및 멀티 클라우드 배포를 지원합니다. 또한 GKE Enterprise를 사용하면 클라우드 환경과 온프레미스 환경 모두에서 애플리케이션을 관리하고 배포할 수 있습니다. 데이터 주권을 이유로 온프레미스 배포를 선택하는 경우 Google Distributed Cloud는 하드웨어와 소프트웨어의 조합으로 데이터 센터에 Google Cloud를 가져옵니다. Google Cloud

개인 정보 보호 요구사항을 해결하기 위한 권장사항

Google Cloud 에는 개인 정보 보호를 승격하는 다음과 같은 제어가 포함되어 있습니다.

  • 저장 데이터, 전송 중인 데이터, 처리 중인 데이터 등 모든 데이터의 기본 암호화
  • 내부자 액세스 방지
  • 다양한 개인 정보 보호 규정 지원

다음 권장사항은 구현할 수 있는 추가 관리 기능을 다룹니다. 자세한 내용은 개인 정보 보호 리소스 센터를 참고하세요.

데이터 상주 제어

이 권장사항은 Cloud 거버넌스, 위험, 규정 준수와 같은 중점 영역과 관련이 있습니다.

데이터 상주에서는 데이터가 저장되는 위치를 설명합니다. 데이터 상주 요구사항은 시스템 설계 목표, 업계 규제 문제, 국가 법률, 세금 관련 사항, 심지어 문화에 따라 달라집니다.

데이터 상주 제어는 다음으로 시작합니다.

  • 데이터 유형 및 위치를 파악합니다.
  • 데이터에 어떤 위험이 있는지, 적용되는 법률과 규정이 무엇인지 확인
  • 데이터 저장 위치 또는 이동 위치를 제어합니다.

데이터 상주 요구사항을 준수할 수 있도록 Google Cloud 를 사용하면 데이터 저장 위치, 액세스 방법, 처리 방법을 제어할 수 있습니다. 리소스 위치 정책을 사용하여 리소스가 생성되는 위치를 제한하고 리전 간에 데이터가 복제되는 위치를 제한할 수 있습니다. 리소스의 위치 속성을 사용하여 서비스가 배포되는 위치와 유지보수하는 사용자를 식별할 수 있습니다. 자세한 내용은 리소스 위치 지원 서비스를 참고하세요.

기밀 데이터 분류

이 권장사항은 데이터 보안이라는 중점사항과 관련이 있습니다.

기밀 데이터를 정의하고 기밀 데이터가 올바르게 보호되고 있는지 확인해야 합니다. 기밀 데이터에는 신용카드 번호, 주소, 전화번호, 기타 개인 식별 정보 (PII)가 포함될 수 있습니다. Sensitive Data Protection을 사용하면 적절한 분류를 설정할 수 있습니다. 그런 다음 Google Cloud에 데이터를 저장하기 전에 데이터에 태그를 지정하고 토큰화할 수 있습니다. 또한 Dataplex는 메타데이터를 저장, 관리, 액세스할 수 있는 플랫폼을 제공하는 카탈로그 서비스를 제공합니다. 데이터 분류 및 익명화에 관한 자세한 내용과 예시는 민감한 정보 보호를 사용하여 PII 익명화 및 재식별을 참고하세요.

민감한 정보에 대한 액세스 잠금

이 권장사항은 다음 중점사항과 관련이 있습니다.

  • 데이터 보안
  • ID 및 액세스 관리

VPC 서비스 제어를 사용하여 민감한 데이터를 자체 서비스 경계에 배치합니다. VPC 서비스 제어는 Google 관리형 서비스에서 데이터를 무단으로 복사하거나 전송하는 위험 (데이터 무단 반출)을 완화하는 기능을 개선합니다. VPC 서비스 제어를 사용하여 Google 관리형 서비스의 리소스 주위에 보안 경계를 구성하고 경계 간의 데이터 이동을 제어합니다. 해당 데이터에 대해 Google Identity and Access Management (IAM) 액세스 제어를 설정합니다. 민감한 정보에 액세스해야 하는 모든 사용자에 다중 인증 (MFA)을 구성합니다.

Google Cloud의 책임 공유 및 공통된 운명

이 문서에서는 Google Cloud의 책임 공유 모델과 공통된 운명의 차이점을 설명합니다. 책임 공유 모델의 과제와 미묘한 차이에 대해서도 다룹니다. 공통된 운명이란 무엇이며 클라우드 보안 과제를 해결하기 위해 고객과 어떻게 협력하는지 설명합니다.

Google Cloud에서 데이터와 워크로드를 가장 안전하게 보호하는 방법을 결정하려면 책임 공유 모델을 이해해야 합니다. 책임 공유 모델에서는 사용자 작업을 클라우드 보안과 관련해 설명하고 사용자 작업이 클라우드 제공업체의 작업과 어떻게 다른지 소개합니다.

그러나 책임 공유 모델을 이해하기란 어려울 수 있습니다. 이 모델에 대해 알려면 사용자가 활용하는 각각의 서비스, 각 서비스가 제공하는 구성 옵션, 서비스 보호를 위한 Google Cloud 조치를 심층적으로 이해해야 합니다. 서비스마다 구성 프로필이 다르므로 최적의 보안 구성을 결정하기 어려울 수 있습니다. Google은 책임 공유 모델만으로는 클라우드 고객이 더 나은 보안 결과를 얻도록 지원하지 못한다고 생각합니다. Google은 책임 공유 대신 공통된 운명의 힘을 믿습니다.

공통된 운명에는 워크로드를 위한 신뢰할 수 있는 클라우드 플랫폼을 구축하고 운영하기 위한 Google의 노력이 포함됩니다. Google은 안전한 방식으로 워크로드를 배포하기 위해 사용할 수 있는 권장사항 안내와 안전한 입증된 인프라 코드를 제공합니다. Google에서는 복잡한 보안 문제를 해결하는 여러 Google Cloud 서비스를 결합한 솔루션을 출시하고 사용자가 감수해야 할 위험을 측정하고 완화하는 데 도움이 될 혁신적인 보험 옵션을 제공합니다. 공통된 운명은 사용자가Google Cloud에서 리소스를 보호할 때 Google이 사용자와 더욱 긴밀하게 상호작용한다는 의미입니다.

공유 책임

비즈니스의 보안 및 규제 요구사항을 파악하고 기밀 데이터 및 리소스를 보호하기 위한 요구사항을 잘 알고 있는 전문가입니다. Google Cloud에서 워크로드를 실행할 때는 기밀 데이터와 각 워크로드를 보호하기 위해 Google Cloud 에서 구성해야 하는 보안 제어를 식별해야 합니다. 구현할 보안 제어를 결정하려면 다음 요소를 고려해야 합니다.

  • 규정 준수 의무
  • 조직의 보안 표준 및 위험 관리 계획
  • 고객 및 공급업체의 보안 요구사항

워크로드에 따른 정의

일반적으로 책임은 실행 중인 워크로드 유형과 필요한 클라우드 서비스에 따라 정의됩니다. 클라우드 서비스에는 다음 카테고리가 포함됩니다.

클라우드 서비스 설명
Infrastructure as a Service(IaaS) IaaS 서비스에는 Compute Engine, Cloud Storage와 Cloud VPN, Cloud Load Balancing, Cloud DNS 등의 네트워킹 서비스가 포함됩니다.

IaaS는 사용한 만큼만 지불하는 컴퓨팅, 스토리지, 네트워크 서비스를 주문형으로 제공합니다. 리프트 앤 시프트를 사용하여 기존 온프레미스 워크로드를 클라우드로 마이그레이션할 계획이거나 특정 데이터베이스 또는 네트워크 구성을 사용해 특정 VM에서 애플리케이션을 실행하려는 경우 IaaS를 사용하면 됩니다.

IaaS에서는 대부분의 보안 책임이 사용자에게 있는 반면 Google의 책임은 주로 기본 인프라 및 물리적 보안에 있습니다.

Platform as a Service(PaaS) PaaS 서비스에는 App Engine, Google Kubernetes Engine(GKE), BigQuery가 포함됩니다.

PaaS는 애플리케이션을 개발하고 실행할 수 있는 런타임 환경을 제공합니다. 애플리케이션(예: 웹사이트)을 빌드하고 기본 인프라가 아닌 개발에 집중하려는 경우 PaaS를 사용할 수 있습니다.

PaaS에서는 Google이 IaaS에 비해 더 많은 제어를 담당합니다. 일반적으로 이 결과는 사용하는 서비스와 기능에 따라 달라집니다. 애플리케이션 수준 제어 및 IAM 관리에 대한 책임을 사용자와 Google이 공유합니다. 사용자에게는 데이터 보안 및 클라이언트 보호에 대한 책임이 있습니다.
Software as a service(SaaS) SaaS 애플리케이션에는 Google Workspace, Google Security Operations, Google Cloud Marketplace에서 제공되는 서드 파티 SaaS 애플리케이션이 포함됩니다.

SaaS는 어떤 방식으로든 구독하거나 비용을 지불할 수 있는 온라인 애플리케이션을 제공합니다. 기업에서 애플리케이션을 직접 빌드하는 데 필요한 내부 전문성 또는 비즈니스 요구사항이 없지만 워크로드를 처리할 수 있는 능력이 필요한 경우 SaaS 애플리케이션을 사용하면 됩니다.

SaaS에서는 Google에서 보안 책임을 대부분 맡고 있습니다. 애플리케이션에 저장하도록 선택한 데이터와 액세스 제어에 대한 책임은 사용자에게 있습니다.

서비스로서의 기능(FaaS) 또는 서버리스

FaaS는 특정 이벤트에 대한 응답으로 실행되는 작은 단일 목적 코드(함수)를 실행할 수 있는 플랫폼을 개발자에게 제공합니다. 특정 이벤트를 기반으로 특정 작업이 수행되도록 하려면 FaaS를 사용합니다. 예를 들어 데이터를 Cloud Storage에 업로드할 때마다 실행되는 함수를 만들어 분류할 수 있습니다.

FaaS에는 SaaS와 유사한 공유 책임 목록이 있습니다. Cloud Run 함수는 FaaS 애플리케이션입니다.

다음 다이어그램에서는 클라우드 서비스를 보여주며 클라우드 제공업체와 고객이 책임을 공유하는 방법을 정의합니다.

보안 책임 공유

다이어그램에서 볼 수 있듯이 클라우드 제공업체는 항상 기본 네트워크 및 인프라를 책임지고 고객에게는 항상 액세스 정책 및 데이터에 대한 책임이 있습니다.

업계 및 규제 프레임워크에 따른 정의

업종마다 마련해야 할 보안 제어를 정의하는 규제 프레임워크가 있습니다. 워크로드를 클라우드로 이전할 때는 다음 사항을 이해해야 합니다.

  • 사용자가 책임지는 보안 제어
  • 클라우드 제품의 일부로 제공되는 보안 제어
  • 상속되는 기본 보안 제어

상속된 보안 제어 (예: 기본 암호화 및 인프라 제어)는 감사 기관 및 규제 당국에 보안 상태에 대한 증거로 제공할 수 있는 제어입니다. 예를 들어 결제 카드 산업 데이터 보안 표준(PCI DSS)에서는 결제 대행업체에 적용되는 규정을 정의합니다. 비즈니스를 클라우드로 이전하면 이러한 규정이 사용자와 CSP 간에 공유됩니다. 개발자와Google Cloud간에 PCI DSS 책임을 공유하는 방법은 Google Cloud: PCI DSS 공유 책임 규정을 참고하세요.

또 다른 예시로 미국에서는 건강 보험 이동성 및 책임법(HIPAA)에 따라 전자 개인 건강 정보(PHI) 처리 표준이 설정되어 있습니다. 이러한 책임은 CSP와 사용자 사이에 공유됩니다. Google Cloud 가 HIPAA에 따른 책임을 충족하는 방법에 대한 자세한 내용은 HIPAA - 규정 준수를 참고하세요.

금융 또는 제조업과 같은 다른 업계에도 데이터 수집, 처리, 저장 방법을 정의하는 규정이 있습니다. 이와 관련된 공유 책임 및Google Cloud 가 책임을 이행하는 방법에 대한 자세한 내용은 규정 준수 리소스 센터를 참고하세요.

위치에 따른 정의

비즈니스 시나리오에 따라 비즈니스 사무실, 고객, 데이터의 위치에 따라 책임을 고려해야 할 수 있습니다. 국가 및 지역마다 고객의 데이터를 처리하고 저장하는 방법을 알려주는 규정을 만들었습니다. 예를 들어 비즈니스에 유럽 연합에 거주하는 고객이 있는 경우 비즈니스는 개인 정보 보호법(GDPR)에 설명된 대로 요구사항을 준수해야 할 수 있으며 고객 데이터를 EU에 보관할 의무가 있을 수 있습니다. 이 경우 사용자는 수집한 데이터가 EU의Google Cloud 리전에 유지되도록 해야 합니다. Google의 GDPR 의무 준수 방법에 대한 자세한 내용은 GDPR 및 Google Cloud을 참고하세요.

리전과 관련된 요구사항에 대한 자세한 내용은 규정 준수 제품을 참조하세요. 시나리오가 특히 복잡한 경우 보안 책임을 평가하는 데 도움이 되도록 영업팀 또는 파트너에게 문의하는 것이 좋습니다.

책임 공유 과제

책임 공유는 사용자나 클라우드 제공업체의 보안 역할을 정의하는 데 도움이 되지만 책임 공유 모델을 활용해도 여전히 문제가 발생할 수 있습니다. 다음과 같은 시나리오를 가정합니다.

  • 대부분의 클라우드 보안 침해는 (Cloud Security Alliance의 Pandemic 11 보고서 3번에 설명된 대로) 잘못된 구성으로 인한 직접적인 결과이며, 이러한 추세가 늘어날 것으로 예상됩니다. 클라우드 제품은 끊임없이 변화하고 있으며 새로운 제품이 계속 출시되고 있습니다. 거듭되는 변화를 따라잡기가 어려울 수 있습니다. 클라우드 제공업체는 변화에 대응하여 기본적인 권장사항과 안전한 기준 구성을 갖출 수 있는 독자적인 권장사항을 고객에게 제공해야 합니다.
  • 클라우드 서비스별로 항목을 나누면 유용하지만 여러 클라우드 서비스 유형이 필요한 워크로드를 사용하는 기업이 많습니다. 이 경우 서비스 간 중복 여부를 포함해 이러한 서비스의 다양한 보안 제어가 상호작용하는 방식을 고려해야 합니다. 예를 들어 Compute Engine으로 마이그레이션하려는 온프레미스 애플리케이션이 있고 회사 이메일로 Google Workspace를 사용하며 BigQuery를 실행해 데이터를 분석하여 제품을 개선할 수 있습니다.
  • 규정이 바뀌거나 신규 시장에 진출하거나 다른 기업을 인수함에 따라 비즈니스 및 시장이 계속 달라집니다. 신규 시장에 다른 요구사항이 있거나 새로운 인수로 인해 다른 클라우드에 워크로드를 호스팅할 수 있습니다. 끊임없는 변화를 관리하려면 위험 프로필을 지속적으로 다시 평가하고 새 제어를 빠르게 구현할 수 있어야 합니다.
  • 데이터 암호화 키를 관리하는 방법과 위치는 데이터 보호에 대한 사용자 책임과 관련된 중요한 결정입니다. 규제 요구사항, 하이브리드 클라우드 환경 실행 여부, 온프레미스 환경 유지 여부, 처리 및 저장 중인 데이터의 민감도에 따라 선택해야 할 옵션이 달라집니다.
  • 이슈 관리는 사용자의 책임과 클라우드 제공업체의 책임이 쉽게 정의되지 않는 영역으로서 중요하지만 종종 간과되는 부분입니다. 이슈를 조사하고 완화하려면 클라우드 제공업체의 긴밀한 협업과 지원이 필요합니다. 클라우드 리소스가 잘못 구성되었거나 사용자 인증 정보가 도용되어 발생하는 이슈도 있습니다. 리소스와 계정을 보호하기 위한 권장사항을 충족하기가 어려울 수 있습니다.
  • APT(Advanced Persistent Threats) 및 새로운 취약점이 클라우드 혁신을 시작할 때 고려하지 못한 방식으로 워크로드에 영향을 미칠 수 있습니다. 특히 비즈니스에 대규모 보안팀이 없는 경우 변화하는 환경에서 최신 상태를 유지하고 위협 완화 담당자를 확보하기가 어렵습니다.

공동 운명체

Google은 책임 공유 모델로는 해결할 수 없는 과제를 해결하기 위해 Google Cloud 공통된 운명을 개발했습니다. 공통된 운명은 모든 당사자가 더 나은 상호작용을 통해 보안을 지속적으로 개선하는 방법에 초점을 맞춥니다. 클라우드 제공업체와 고객 간의 관계를 보안 개선을 위한 지속적인 파트너십으로 간주하므로 공통된 운명은 책임 공유 모델을 기반으로 합니다.

공통된 운명에서는 Google이 Google Cloud의 보안 강화를 책임지게 됩니다. Google Cloud공통된 운명에는 안전한 시작 영역을 시작하도록 지원하고 권장되는 보안 제어, 설정, 관련 권장사항을 명확하고 독자적으로 투명하게 공개하는 관행이 포함됩니다. Google의 위험 보호 프로그램을 사용하여 사이버 보험으로 위험을 효과적으로 수치화하고 관리하도록 돕는 관행도 포함됩니다. Google은 공통된 운명을 활용하여 표준 책임 공유 프레임워크에서 한층 더 발전된 모델로 나아가 비즈니스를 보호하고 Google Cloud에 대한 신뢰를 구축하는 데 도움이 되고자 합니다.

다음 섹션에서는 공통된 운명의 다양한 구성요소를 설명합니다.

시작 지원

공통된 운명의 핵심 구성요소는 Google Cloud에서 안전한 구성으로 시작할 수 있도록 제공되는 리소스입니다. Google Cloud안전한 구성으로 시작하면 대다수 보안 침해의 근본 원인인 잘못된 구성 문제를 줄일 수 있습니다.

다음과 같은 리소스가 포함됩니다.

  • 엔터프라이즈 기반 청사진: 주요 보안 문제 및 주요 권장사항을 다룹니다.

  • 보안 청사진: 코드형 인프라 (IaC)를 사용하여 안전한 솔루션을 배포하고 유지보수할 수 있습니다. 청사진에는 기본적으로 보안 권장사항이 사용 설정되어 있습니다. 많은 청사진이 Google 보안팀에서 생성되어 제품으로 관리됩니다. 이러한 지원은 정기적으로 업데이트되고 엄격한 테스트 절차를 거치며 타사 테스트 그룹의 증명을 받습니다. 청사진에는 엔터프라이즈 기반 청사진과 보안 데이터 웨어하우스 청사진이 포함됩니다.

  • Google Cloud 설계에서 보안을 구현하기 위한 주요 권장사항을 다루는 잘 설계된 프레임워크 권장사항 설계가 우수한 프레임워크에는 전문가 및 동료와 소통할 수 있는 보안 섹션과 커뮤니티 영역이 포함됩니다.

  • 시작 영역 탐색 가이드: 리소스 계층 구조, ID 온보딩, 보안 및 키 관리, 네트워크 구조 등 워크로드의 안전한 기반을 구축하는 데 필요한 주요 결정을 안내합니다.

위험 보호 프로그램

또한 공통된 운명에는 위험 보호 프로그램(현재 미리보기 버전)도 포함되어 있습니다. 이 프로그램은 클라우드 워크로드를 관리해야 할 또 다른 위험 소스로 취급하기보다는 Google Cloud를 위험을 관리하는 플랫폼으로 활용할 수 있도록 도와줍니다. Google Cloud 위험 보호 프로그램은 Google Cloud와 선도적인 사이버 보험 회사인 Munich Re 및 Allianz Global & Corporate Speciality가 협업한 결과물입니다. Google Cloud

위험 보호 프로그램에는 클라우드 보안 상태를 더 잘 이해할 수 있는 데이터 기반 통계를 제공하는 Risk Manager가 포함되어 있습니다. 사이버 보험 보장 범위를 알아보고 싶다면 Risk Manager의 통계를 Google 보험 파트너와 바로 공유하여 견적을 받으면 됩니다. 자세한 내용은 Google Cloud 미리보기 버전의 위험 보호 프로그램을 참고하세요.

배포 및 거버넌스 지원

공통된 운명은 지속적인 환경 통제에도 도움이 됩니다. 예를 들어 Google에서는 다음과 같은 제품에 주력하고 있습니다.

  • Assured Workloads는 규정 준수 의무를 준수하는 데 도움이 됩니다.
  • Security Command Center 프리미엄은 위협 인텔리전스, 위협 감지, 웹 스캔, 기타 고급 방법을 사용하여 위협을 모니터링하고 감지합니다. 또한 이러한 위협을 신속하게 자동으로 해결하는 방법을 제공합니다.
  • 조직 정책 및 리소스 설정: 폴더 및 프로젝트의 계층 구조 전반에 정책을 구성할 수 있습니다.
  • Policy Intelligence 도구: 계정 및 리소스 액세스에 대한 통계를 제공합니다.
  • 컨피덴셜 컴퓨팅: 사용 중 데이터를 암호화할 수 있습니다.
  • 파트너의 주권 제어: 특정 국가에서 제공되며 데이터 상주 요구사항을 적용하는 데 도움이 됩니다.

책임 공유 및 공통된 운명의 실천

계획 절차의 일환으로 적절한 보안 제어를 이해하고 구현하는 데 도움이 될 다음 작업을 고려해 보세요.

  • Google Cloud에서 호스팅할 워크로드 유형과 IaaS, PaaS, SaaS 서비스가 필요한지 여부를 목록으로 작성합니다. 책임 공유 다이어그램을 체크리스트로 사용하면 고려해야 할 보안 제어를 파악할 수 있습니다.
  • 준수해야 할 규제 요구사항 목록을 만들고 규정 준수 리소스 센터에서 이러한 요구사항과 관련된 리소스를 이용합니다.
  • 특정 워크로드에 필요한 보안 제어와 관련해 아키텍처 센터에서 사용 가능한 청사진 및 아키텍처 목록을 검토합니다. 청사진에서는 권장 제어 목록과 해당 아키텍처를 배포하는 데 필요한 IaC 코드를 제공합니다.
  • 시작 영역 문서 및 엔터프라이즈 기반 가이드의 권장사항을 따라 요구사항에 맞는 리소스 계층 구조와 네트워크 아키텍처를 설계합니다. 보안 데이터 웨어하우스 등 독자적인 워크로드 청사진을 사용하면 개발 프로세스를 가속화할 수 있습니다.
  • 워크로드를 배포한 후 Risk Manager, Assured Workloads, Policy Intelligence 도구, Security Command Center 프리미엄과 같은 서비스를 사용하여 보안 책임을 충족하는지 확인합니다.

자세한 내용은 CISO의 클라우드 혁신 가이드 자료를 참조하세요.

다음 단계