Public SaaS 클라우드 보안 진단
Public SaaS 클라우드의 보안 진단은 어떻게 해야 하는가? - CASB 솔루션 도입
Public SaaS 클라우드 보안
Public SaaS 클라우드는 일반 사용자들이 손쉽게 클라우드 환경을 이용할 수 있도록 인터페이스를 제공합니다. 우리가 사용하는 Slack, Dropbox, Box등은 다양한 단말기에서 웹과 앱을 통해 데이터에 접근하고 사용(공유/편집/삭제)할 수 있게 해줍니다. 그리고, 사용자가 계정 관리를 잘 한다면 어느 정도 보안성이 확보가 됩니다. 그런데, 중요한 업무 문서를 취급하고, 외부의 사용자와 기밀 문서를 공유하는 기업에서는 클라우드 보안의 기준이 높아집니다.
SaaS 클라우드 보안 표준 모델
기업에서 업무용으로 사용하는 Public SaaS 클라우드는 8개 도메인을 통해 보안 관리가 됩니다.
먼저, 클라우드 자산의 Identify, Detect, Protect, Respond/Recover를 관리하는 라이프사이클이 있어야 합니다. 그리고, 웹/앱을 통해 접근하는 HTTP 트래픽의 모니터링이 필요합니다. 프록시를 우회하는 접근이 있다면 정책을 통해 제어가 되어야 합니다. 그리고, 기업의 중요문서가 외부로 유출되지 않도록 데이터 유출 탐지 및 방지 정책을 설정합니다.
이 때, 데이터의 등급을 분류하고, 등급별 정책을 설정합니다. 데이터의 저장, 공유, 복사, 특정단말의 접근여부, 탈옥여부 등 세부적인 룰이 설계됩니다. 그리고, 인증된 단말이 클라우드 환경에 접근하도록 IDM 관리를 하며, 계정과 단말별로 활동내역을 모니터링하기 위해서 UEBA 관리를 합니다. 또한, Third Party 앱의 연동 여부와 단말 접근 내역에 대한 모니터링 및 위협을 관리합니다. 그리고, 중요 데이터에 대한 암호화와 은닉화에 대한 설계가 진행됩니다.
SaaS클라우드 보안 진단 절차
SaaS 클라우드 보안을 위해서는 CASB (Cloud Access Security Broker)등의 솔루션이 도입되기도 합니다. 그런데, CASB 솔루션을 도입하였다고 해서 보안성이 확보되는 것은 아닙니다. 앞에서 제시된 SaaS 클라우드 보안 표준 모델이 기업 환경에 맞게 적용되도록 진단되어야 하며,CASB에 적용되어야 합니다. SaaS 클라우드 보안 진단을 위해서 아래 그림과 같은 절차가 진행됩니다.
위의 표는 Public SaaS 클라우드의 보안 진단 절차를 설명합니다.
먼저, 기업의 운영 환경이 보안 진단에 정확하게 반영되도록 보안 표준모델을 개발하며, 우회 등의 취약점이 발생하지 않도록 진단대상을 선정합니다. 그리고, 자산 분석과 인터뷰 및 취약점 분석을 통해 위험평가를 실시합니다. 필요한 경우 GAP 분석을 통해 AS-IS와 TO-BE를 찾아내고, 위협점을 없애기 위한 로드맵을 개발합니다.