Google Cloud의 책임 공유 및 공통된 운명

Last reviewed 2023-08-21 UTC

이 문서에서는 Google Cloud의 책임 공유 모델과 공통된 운명의 차이점을 설명합니다. 책임 공유 모델의 과제와 미묘한 차이에 대해서도 다룹니다. 공통된 운명이란 무엇이며 클라우드 보안 과제를 해결하기 위해 고객과 어떻게 협력하는지 설명합니다.

Google Cloud에서 데이터와 워크로드를 가장 안전하게 보호하는 방법을 결정하려면 책임 공유 모델을 이해해야 합니다. 책임 공유 모델에서는 사용자 작업을 클라우드 보안과 관련해 설명하고 사용자 작업이 클라우드 제공업체의 작업과 어떻게 다른지 소개합니다.

그러나 책임 공유 모델을 이해하기란 어려울 수 있습니다. 이 모델에 대해 알려면 사용자가 활용하는 각각의 서비스, 각 서비스가 제공하는 구성 옵션, 서비스 보호를 위한 Google Cloud 조치를 심층적으로 이해해야 합니다. 서비스마다 구성 프로필이 다르므로 최적의 보안 구성을 결정하기 어려울 수 있습니다. Google은 책임 공유 모델만으로는 클라우드 고객이 더 나은 보안 결과를 얻도록 지원하지 못한다고 생각합니다. Google은 책임 공유 대신 공통된 운명의 힘을 믿습니다.

공통된 운명에는 워크로드를 위한 신뢰할 수 있는 클라우드 플랫폼을 구축하고 운영하기 위한 Google의 노력이 포함됩니다. Google은 안전한 방식으로 워크로드를 배포하기 위해 사용할 수 있는 권장사항 안내와 안전한 입증된 인프라 코드를 제공합니다. Google에서는 복잡한 보안 문제를 해결하는 여러 Google Cloud 서비스를 결합한 솔루션을 출시하고 사용자가 감수해야 할 위험을 측정하고 완화하는 데 도움이 될 혁신적인 보험 옵션을 제공합니다. 공통된 운명은 사용자가 Google Cloud에서 리소스를 보호할 때 Google이 사용자와 더욱 긴밀하게 상호작용한다는 의미입니다.

공유 책임

비즈니스의 보안 및 규제 요구사항을 파악하고 기밀 데이터 및 리소스를 보호하기 위한 요구사항을 잘 알고 있는 전문가입니다. Google Cloud에서 워크로드를 실행할 때 기밀 데이터와 각 워크로드를 보호하기 위해 Google Cloud에서 구성해야 하는 보안 제어를 식별해야 합니다. 구현할 보안 제어를 결정하려면 다음 요소를 고려해야 합니다.

  • 규정 준수 의무
  • 조직의 보안 표준 및 위험 관리 계획
  • 고객 및 공급업체의 보안 요구사항

워크로드에 따른 정의

일반적으로 책임은 실행 중인 워크로드 유형과 필요한 클라우드 서비스에 따라 정의됩니다. 클라우드 서비스에는 다음 카테고리가 포함됩니다.

클라우드 서비스 설명
Infrastructure as a Service(IaaS) IaaS 서비스에는 Compute Engine, Cloud Storage와 Cloud VPN, Cloud Load Balancing, Cloud DNS 등의 네트워킹 서비스가 포함됩니다.

IaaS는 사용한 만큼만 지불하는 컴퓨팅, 스토리지, 네트워크 서비스를 주문형으로 제공합니다. 리프트 앤 시프트를 사용하여 기존 온프레미스 워크로드를 클라우드로 마이그레이션할 계획이거나 특정 데이터베이스 또는 네트워크 구성을 사용해 특정 VM에서 애플리케이션을 실행하려는 경우 IaaS를 사용하면 됩니다.

IaaS에서는 대부분의 보안 책임이 사용자에게 있는 반면 Google의 책임은 주로 기본 인프라 및 물리적 보안에 있습니다.

Platform as a Service(PaaS) PaaS 서비스에는 App Engine, Google Kubernetes Engine(GKE), BigQuery가 포함됩니다.

PaaS는 애플리케이션을 개발하고 실행할 수 있는 런타임 환경을 제공합니다. 애플리케이션(예: 웹사이트)을 빌드하고 기본 인프라가 아닌 개발에 집중하려는 경우 PaaS를 사용할 수 있습니다.

PaaS에서는 Google이 IaaS에 비해 더 많은 제어를 담당합니다. 일반적으로 이 결과는 사용하는 서비스와 기능에 따라 달라집니다. 애플리케이션 수준 제어 및 IAM 관리에 대한 책임을 사용자와 Google이 공유합니다. 사용자에게는 데이터 보안 및 클라이언트 보호에 대한 책임이 있습니다.
Software as a service(SaaS) SaaS 애플리케이션에는 Google Workspace, Google Security Operations, Google Cloud Marketplace에서 제공되는 서드 파티 SaaS 애플리케이션이 포함됩니다.

SaaS는 어떤 방식으로든 구독하거나 비용을 지불할 수 있는 온라인 애플리케이션을 제공합니다. 기업에서 애플리케이션을 직접 빌드하는 데 필요한 내부 전문성 또는 비즈니스 요구사항이 없지만 워크로드를 처리할 수 있는 능력이 필요한 경우 SaaS 애플리케이션을 사용하면 됩니다.

SaaS에서는 Google에서 보안 책임을 대부분 맡고 있습니다. 애플리케이션에 저장하도록 선택한 데이터와 액세스 제어에 대한 책임은 사용자에게 있습니다.

서비스로서의 기능(FaaS) 또는 서버리스

FaaS는 특정 이벤트에 대한 응답으로 실행되는 작은 단일 목적 코드(함수)를 실행할 수 있는 플랫폼을 개발자에게 제공합니다. 특정 이벤트를 기반으로 특정 작업이 수행되도록 하려면 FaaS를 사용합니다. 예를 들어 데이터를 Cloud Storage에 업로드할 때마다 실행되는 함수를 만들어 분류할 수 있습니다.

FaaS에는 SaaS와 유사한 공유 책임 목록이 있습니다. Cloud Run 함수는 FaaS 애플리케이션입니다.

다음 다이어그램에서는 클라우드 서비스를 보여주며 클라우드 제공업체와 고객이 책임을 공유하는 방법을 정의합니다.

보안 책임 공유

다이어그램에서 볼 수 있듯이 클라우드 제공업체는 항상 기본 네트워크 및 인프라를 책임지고 고객에게는 항상 액세스 정책 및 데이터에 대한 책임이 있습니다.

업계 및 규제 프레임워크에 따른 정의

업종마다 마련해야 할 보안 제어를 정의하는 규제 프레임워크가 있습니다. 워크로드를 클라우드로 이전할 때는 다음 사항을 이해해야 합니다.

  • 사용자가 책임지는 보안 제어
  • 클라우드 제품의 일부로 제공되는 보안 제어
  • 상속되는 기본 보안 제어

상속된 보안 제어 (예: 기본 암호화 및 인프라 제어)는 감사 기관 및 규제 당국에 보안 상태에 대한 증거로 제공할 수 있는 제어입니다. 예를 들어 결제 카드 산업 데이터 보안 표준(PCI DSS)에서는 결제 대행업체에 적용되는 규정을 정의합니다. 비즈니스를 클라우드로 이전하면 이러한 규정이 사용자와 CSP 간에 공유됩니다. 사용자와 Google Cloud 간에 PCI DSS 책임을 공유하는 방법은 Google Cloud: PCI DSS 공유 책임 규정을 참고하세요.

또 다른 예시로 미국에서는 건강 보험 이동성 및 책임법(HIPAA)에 따라 전자 개인 건강 정보(PHI) 처리 표준이 설정되어 있습니다. 이러한 책임은 CSP와 사용자 사이에 공유됩니다. Google Cloud가 HIPAA에 따른 책임을 충족하는 방법에 대한 자세한 내용은 HIPAA - 규정 준수를 참조하세요.

금융 또는 제조업과 같은 다른 업계에도 데이터 수집, 처리, 저장 방법을 정의하는 규정이 있습니다. 이와 관련된 공유 책임 및 Google Cloud이 책임을 이행하는 방법에 대한 자세한 내용은 규정 준수 리소스 센터를 참조하세요.

위치에 따른 정의

비즈니스 시나리오에 따라 비즈니스 사무실, 고객, 데이터의 위치에 따라 책임을 고려해야 할 수 있습니다. 국가 및 지역마다 고객의 데이터를 처리하고 저장하는 방법을 알려주는 규정을 만들었습니다. 예를 들어 비즈니스에 유럽 연합에 거주하는 고객이 있는 경우 비즈니스는 개인 정보 보호법(GDPR)에 설명된 대로 요구사항을 준수해야 할 수 있으며 고객 데이터를 EU에 보관할 의무가 있을 수 있습니다. 이 경우 사용자는 수집한 데이터가 EU의 Google Cloud 리전에 유지되도록 해야 합니다. Google의 GDPR 의무 준수 방법에 대한 자세한 내용은 GDPR 및 Google Cloud를 참조하세요.

리전과 관련된 요구사항에 대한 자세한 내용은 규정 준수 제품을 참조하세요. 시나리오가 특히 복잡한 경우 보안 책임을 평가하는 데 도움이 되도록 영업팀 또는 파트너에게 문의하는 것이 좋습니다.

책임 공유 과제

책임 공유는 사용자나 클라우드 제공업체의 보안 역할을 정의하는 데 도움이 되지만 책임 공유 모델을 활용해도 여전히 문제가 발생할 수 있습니다. 다음과 같은 시나리오를 가정합니다.

  • 대부분의 클라우드 보안 침해는 (Cloud Security Alliance의 Pandemic 11 보고서 3번에 설명된 대로) 잘못된 구성으로 인한 직접적인 결과이며, 이러한 추세가 늘어날 것으로 예상됩니다. 클라우드 제품은 끊임없이 변화하고 있으며 새로운 제품이 계속 출시되고 있습니다. 거듭되는 변화를 따라잡기가 어려울 수 있습니다. 클라우드 제공업체는 변화에 대응하여 기본적인 권장사항과 안전한 기준 구성을 갖출 수 있는 독자적인 권장사항을 고객에게 제공해야 합니다.
  • 클라우드 서비스별로 항목을 나누면 유용하지만 여러 클라우드 서비스 유형이 필요한 워크로드를 사용하는 기업이 많습니다. 이 경우 서비스 간 중복 여부를 포함해 이러한 서비스의 다양한 보안 제어가 상호작용하는 방식을 고려해야 합니다. 예를 들어 Compute Engine으로 마이그레이션하려는 온프레미스 애플리케이션이 있고 회사 이메일로 Google Workspace를 사용하며 BigQuery를 실행해 데이터를 분석하여 제품을 개선할 수 있습니다.
  • 규정이 바뀌거나 신규 시장에 진출하거나 다른 기업을 인수함에 따라 비즈니스 및 시장이 계속 달라집니다. 신규 시장에 다른 요구사항이 있거나 새로운 인수로 인해 다른 클라우드에 워크로드를 호스팅할 수 있습니다. 끊임없는 변화를 관리하려면 위험 프로필을 지속적으로 다시 평가하고 새 제어를 빠르게 구현할 수 있어야 합니다.
  • 데이터 암호화 키를 관리하는 방법과 위치는 데이터 보호에 대한 사용자 책임과 관련된 중요한 결정입니다. 규제 요구사항, 하이브리드 클라우드 환경 실행 여부, 온프레미스 환경 유지 여부, 처리 및 저장 중인 데이터의 민감도에 따라 선택해야 할 옵션이 달라집니다.
  • 이슈 관리는 사용자의 책임과 클라우드 제공업체의 책임이 쉽게 정의되지 않는 영역으로서 중요하지만 종종 간과되는 부분입니다. 이슈를 조사하고 완화하려면 클라우드 제공업체의 긴밀한 협업과 지원이 필요합니다. 클라우드 리소스가 잘못 구성되었거나 사용자 인증 정보가 도용되어 발생하는 이슈도 있습니다. 리소스와 계정을 보호하기 위한 권장사항을 충족하기가 어려울 수 있습니다.
  • APT(Advanced Persistent Threats) 및 새로운 취약점이 클라우드 혁신을 시작할 때 고려하지 못한 방식으로 워크로드에 영향을 미칠 수 있습니다. 특히 비즈니스에 대규모 보안팀이 없는 경우 변화하는 환경에서 최신 상태를 유지하고 위협 완화 담당자를 확보하기가 어렵습니다.

공유 운명

Google은 책임 공유 모델로는 해결할 수 없는 과제를 해결하기 위해 Google Cloud의 공통된 운명을 개발했습니다. 공통된 운명은 모든 당사자가 더 나은 상호작용을 통해 보안을 지속적으로 개선하는 방법에 초점을 맞춥니다. 클라우드 제공업체와 고객 간의 관계를 보안 개선을 위한 지속적인 파트너십으로 간주하므로 공통된 운명은 책임 공유 모델을 기반으로 합니다.

공통된 운명에서는 Google이 Google Cloud의 보안 강화를 책임지게 됩니다. 공통된 운명에는 안전한 시작 영역을 시작하도록 지원하고 권장되는 보안 제어, 설정, 관련 권장사항을 명확하고 독자적으로 투명하게 공개하는 관행이 포함됩니다. Google의 위험 보호 프로그램을 사용하여 사이버 보험으로 위험을 효과적으로 수치화하고 관리하도록 돕는 관행도 포함됩니다. Google은 공통된 운명을 활용하여 표준 책임 공유 프레임워크에서 한층 더 발전된 모델로 나아가 비즈니스를 보호하고 Google Cloud에서 신뢰를 구축하는 데 도움이 되고자 합니다.

다음 섹션에서는 공통된 운명의 다양한 구성요소를 설명합니다.

시작 지원

공통된 운명의 핵심 구성요소는 Google Cloud에서 안전한 구성으로 시작할 수 있도록 제공되는 리소스입니다. 안전한 구성으로 시작하면 대다수 보안 침해의 근본 원인인 잘못된 구성 문제를 줄일 수 있습니다.

다음과 같은 리소스가 포함됩니다.

  • 엔터프라이즈 기반 청사진: 주요 보안 문제 및 주요 권장사항을 다룹니다.

  • 보안 청사진: 코드형 인프라 (IaC)를 사용하여 안전한 솔루션을 배포하고 유지보수할 수 있습니다. 청사진에는 기본적으로 보안 권장사항이 사용 설정되어 있습니다. 많은 청사진이 Google 보안팀에서 생성되어 제품으로 관리됩니다. 이러한 지원은 정기적으로 업데이트되고 엄격한 테스트 절차를 거치며 타사 테스트 그룹의 증명을 받습니다. 청사진에는 엔터프라이즈 기반 청사진과 보안 데이터 웨어하우스 청사진이 포함됩니다.

  • 아키텍처 프레임워크 권장사항: 설계에서 보안을 구현하기 위한 주요 권장사항을 다룹니다. 아키텍처 프레임워크에는 전문가 및 동료와 소통할 수 있는 보안 섹션과 커뮤니티 영역이 포함됩니다.

  • 시작 영역 탐색 가이드: 리소스 계층 구조, ID 온보딩, 보안 및 키 관리, 네트워크 구조 등 워크로드의 안전한 기반을 구축하는 데 필요한 주요 결정을 안내합니다.

위험 보호 프로그램

또한 공통된 운명에는 위험 보호 프로그램(현재 미리보기 버전)도 포함되어 있습니다. 이 프로그램은 클라우드 워크로드를 관리해야 할 또 다른 위험 소스로 취급하기보다는 Google Cloud를 위험을 관리하는 플랫폼으로 활용할 수 있도록 도와줍니다. 위험 보호 프로그램은 Google Cloud와 선도적인 사이버 보험 회사인 Munich Re 및 Allianz Global & Corporate Speciality가 협업한 결과물입니다.

위험 보호 프로그램에는 클라우드 보안 상태를 더 잘 이해할 수 있는 데이터 기반 통계를 제공하는 Risk Manager가 포함되어 있습니다. 사이버 보험 보장 범위를 알아보고 싶다면 Risk Manager의 통계를 Google 보험 파트너와 바로 공유하여 견적을 받으면 됩니다. 자세한 내용은 미리보기 버전의 Google Cloud 위험 보호 프로그램을 참조하세요.

배포 및 거버넌스 지원

공통된 운명은 지속적인 환경 통제에도 도움이 됩니다. 예를 들어 Google에서는 다음과 같은 제품에 주력하고 있습니다.

  • Assured Workloads는 규정 준수 의무를 준수하는 데 도움이 됩니다.
  • Security Command Center 프리미엄은 위협 인텔리전스, 위협 감지, 웹 스캔, 기타 고급 방법을 사용하여 위협을 모니터링하고 감지합니다. 또한 이러한 위협을 신속하게 자동으로 해결하는 방법을 제공합니다.
  • 조직 정책 및 리소스 설정: 폴더 및 프로젝트의 계층 구조 전반에 정책을 구성할 수 있습니다.
  • Policy Intelligence 도구: 계정 및 리소스 액세스에 대한 통계를 제공합니다.
  • 컨피덴셜 컴퓨팅: 사용 중 데이터를 암호화할 수 있습니다.
  • 파트너의 주권 제어: 특정 국가에서 제공되며 데이터 상주 요구사항을 적용하는 데 도움이 됩니다.

책임 공유 및 공통된 운명의 실천

계획 절차의 일환으로 적절한 보안 제어를 이해하고 구현하는 데 도움이 될 다음 작업을 고려해 보세요.

  • Google Cloud에서 호스팅할 워크로드 유형과 IaaS, PaaS, SaaS 서비스가 필요한지 여부를 목록으로 작성합니다. 책임 공유 다이어그램을 체크리스트로 사용하면 고려해야 할 보안 제어를 파악할 수 있습니다.
  • 준수해야 할 규제 요구사항 목록을 만들고 규정 준수 리소스 센터에서 이러한 요구사항과 관련된 리소스를 이용합니다.
  • 특정 워크로드에 필요한 보안 제어와 관련해 아키텍처 센터에서 사용 가능한 청사진 및 아키텍처 목록을 검토합니다. 청사진에서는 권장 제어 목록과 해당 아키텍처를 배포하는 데 필요한 IaC 코드를 제공합니다.
  • 시작 영역 문서 및 엔터프라이즈 기반 가이드의 권장사항을 따라 요구사항에 맞는 리소스 계층 구조와 네트워크 아키텍처를 설계합니다. 보안 데이터 웨어하우스 등 독자적인 워크로드 청사진을 사용하면 개발 프로세스를 가속화할 수 있습니다.
  • 워크로드를 배포한 후 Risk Manager, Assured Workloads, Policy Intelligence 도구, Security Command Center 프리미엄과 같은 서비스를 사용하여 보안 책임을 충족하는지 확인합니다.

자세한 내용은 CISO의 클라우드 혁신 가이드 자료를 참조하세요.

다음 단계