클라우드 기반 SaaS(Software-as-a-Service) 응용 프로그램 또는 클라우드의 자체 응용 프로그램에 대한 보안을 관리하는 것은 사이버 보안 팀에 다양하고 더 복잡한 요구를 가중시키고 있습니다. 사이버 보안 기술은 여전히 부족하지만 클라우드와 온프레미스 보안 기술을 모두 갖춘 인력의 가용성은 특히 중소 규모 조직의 경우 훨씬 더 제한적입니다.
Microsoft 365, Google Workspace, Salesforce, Slack, Box 및 Zoom과 같은 인기 있는 SaaS 애플리케이션의 등장으로 IT 팀은 사용하는 각 SaaS 공급자에 대해 어떤 보안 구성 요소를 담당하는지 이해해야 합니다. Amazon Web Services, Microsoft Azure 및 Google Cloud Platform에서 제공하는 클라우드 인프라로 이동할 때 전사적 자원 관리, HR 및 기타 애플리케이션에 대해서도 마찬가지입니다.
이것이 왜 중요한가? SaaS 또는 기타 클라우드 환경이 전체 공격 표면의 일부가 되고 클라우드 리소스의 잘못된 구성이 데이터 유출의 주요 원인으로 남아 있기 때문입니다.
공동 책임 소개
SaaS 및 인프라 제공업체인 클라우드 제공업체는 보안 측면에서 자신이 책임져야 하는 바를 매우 명확하게 밝혔습니다. 에 따르면 인터넷 보안 센터, SaaS 제공업체는 물리적 보안, 호스트 인프라 보안 및 네트워크 제어를 단독으로 책임집니다. 그러나 애플리케이션 수준 제어, ID 및 액세스 관리, 엔드포인트 보호의 경우 공급자와 고객이 보안 책임을 공유합니다. 바로 여기에서 혼란과 클라우드 보안 전문 지식의 필요성이 작용합니다.
예를 들어 미션 크리티컬한 Microsoft 365 SaaS 애플리케이션의 보안을 고려하십시오. Microsoft
책임이 어디에 있는지 발표했습니다. 사용자 및 장치 액세스를 구성하는 것은 고객의 몫입니다. 사용자, 응용 프로그램 및 데이터 동작을 모니터링합니다. 그리고 사건에 대응합니다. 여기에는 퍼블릭 클라우드에서 데이터 또는 앱에 액세스하는 파트너의 작업이 포함됩니다.
또한 클라우드에서든 온프레미스에서든 이메일 사용자는 인적 오류로 인한 주요 위험 요인으로 남아 있습니다. PC, 랩톱 및 모바일 장치에서 여전히 악성 링크를 클릭하거나 첨부 파일을 열고 해당 엔드포인트에 멀웨어를 도입할 수 있습니다.
이것은 다음에 일어날 일의 변화를 보고 있는 곳입니다. 해커가 엔드포인트에 침투하면 더 이상 온프레미스 리소스에 침투하기 위해 네트워크에서 옆으로 회전하는 데 만족하지 않습니다. 대신 엔드포인트를 통해 클라우드로 이동하여 데이터에 액세스합니다. 이는 종종 덜 매달리는 과일입니다.
클라우드에서 워크로드 보호
COVID-19는 기존의 온프레미스 애플리케이션 및 워크로드를 스토리지 및 데이터베이스와 같은 클라우드 리소스 구성이 훨씬 더 복잡할 수 있는 클라우드 IaaS(Infrastructure-as-a-Service)로의 마이그레이션을 가속화했습니다.
예를 들어, 우리의 의료 고객 중 하나는 주로 자체 HIPAA 호환 데이터 센터에서 온프레미스로 운영하고 있었습니다. COVID-19로 인해 회사는 개업의 작업 환경을 PC와 노트북에서 재택 환자 치료에 사용할 수 있는 태블릿으로 신속하게 마이그레이션해야 했습니다. 이는 또한 데이터를 클라우드로 이동하여 어디에서나 액세스할 수 있음을 의미했습니다. 클라우드 인프라 및 스토리지를 구성하는 데 사내에 없는 기술이 필요하여 잠재적인 사이버 보안 및 규정 준수 격차가 발생한다는 것을 빠르게 발견했습니다.
이 예의 공동 책임 모델에서 다른 점은 무엇입니까? IaaS를 사용하여 클라우드 서버에서 애플리케이션을 실행하고 데이터를 클라우드 스토리지에 저장하는 회사의 경우 클라우드 공급자는 물리적 호스트, 네트워크 및 데이터 센터 보안에 대해서만 전적인 책임이 있습니다. 다른 모든 것은 귀하의 책임입니다. 여기에는 애플리케이션 수준 제어, ID 및 액세스 관리, 클라이언트 및 엔드포인트 보호, 데이터 분류 및 책임이 포함됩니다. Windows Azure와 같은 PaaS(Platform-as-a-Service) 제품에 대한 책임은 IaaS와 SaaS 사이에 있습니다.
클라우드 보안 기술 습득 옵션
주요 결론은 Microsoft 365를 사용하든, Windows Azure에서 Windows 애플리케이션을 실행하든, 엔터프라이즈 데이터를 클라우드 데이터 레이크로 복제하든, 베어메탈 서버에서 사용자 지정 엔터프라이즈 애플리케이션을 실행하든 관계없이 데이터 보안에 대한 책임은 사용자에게 있다는 것입니다. 게다가 클라우드의 보안 침해는 남아 있는 온프레미스 리소스를 위험에 빠뜨릴 수 있습니다.
클라우드 제품이 새로운 것은 아니지만 클라우드 컴퓨팅, 특히 클라우드 보안에 대한 전문 지식을 얻기는 어렵습니다. 업계 보고서에 따르면 클라우드 보안 기술에 대한 수요는 애플리케이션 보안 전문성에 대한 수요 다음으로 중요합니다. 중소기업을 포함한 모든 규모의 기업은 온프레미스 리소스에서 워크로드와 데이터를 이동할 때 클라우드 보안을 무시할 수 없습니다.
클라우드 보안 기술이 부족하더라도 기업은 기존 사내 직원 교육을 통해 자체 기술을 키울 수 있습니다. 또는 오늘날과 같이 경쟁이 치열한 급여 및 채용 환경에서 클라우드 전문가를 고용해야 합니다. 원격 근무 준비를 제공함으로써 기업은 범위를 확장하고 어디에서나 고용할 수 있으므로 필요한 숙련 노동자를 더 쉽게 확보할 수 있습니다.
접근 방식이 무엇이든 클라우드 보안 태세와 클라우드 사이버 보안 기술 격차를 평가하십시오. 당신의 데이터 보안은 그것에 달려 있습니다.
출처: https://www.darkreading.com/cloud/cloud-adoption-widens-the-cybersecurity-skills-gap
