클라우드환경에서보안의중요성 이건복 마이크로소프트

클라우드환경에서보안의중요성 이건복 마이크로소프트

클라우드에서보안의중요성과혜택 클라우드에기반대한보안의우려장점 94% 60% 데이터의보안과적용에 온프레미스에서구축하기대한장벽을어려웠던느낌보안표준의장점의활용 45% 62% 클라우드에서데이터의 클라우드로이전하여제어권의이전보다부족에향상된대한데이터우려프라이버시보호를운영 보안 Design/Operation Infrastructure Network Identity/access Data 프라이버시 표준인증

클라우드보안영역 데이터센터물리보안 네트워크 인증과권한통제 호스트보안 어플리케이션 데이타

데이터센터물리적보안 서비스보안은완벽한데이터센터보안에서시작 24 x 7 물리적접근통제 동작감시기 생체정보기반시설접근통제 24시간감시카메라가동 물리적침입탐지 주변경계 화재진압장비 인증강화 광범위한관제

보안의핵심 Software Development Lifecycle (SDL) 운영환경에대한보안제어 Assume breach 사고의대응

Infrastructure 보호 24시간모니터링및물리적보호시스템모니터링및로깅긴급수정관리 Anti-Virus/Anti-Malware 보호침입탐지 /DDoS 침투테스트 (Penetration Test) 정부데이터의분리 ( 예 : US정부 )

네트워크보호 분리된네트워크 암호화된연결 가상네트워크 별도의인터넷연결성

계정인증과접근 기업용클라우드인증접근모니터링 Single sign-on Multi-Factor Authentication Role based access 제어

데이터의보호 암호화된데이터전송데이터저장시암호화옵션데이터의구분데이터저장위치에대한선택데이터가용성데이터의파기

클라우드에서데이터프라이버시

클라우드에서데이터프라이버시 디자인단계에서의프라이버시적용 계약상의규제 제한된데이터접근및사용 광고용도로의데이터사용 10101010101010101010101010101010 1010101010101010101010101010101010101010101010101010

계약상의규정준수 EU Data Privacy Approval EU 고객의데이터보호규정 EU Data Privacy 의마이크로소프트데이터전송허용 오직마이크로소프트만이 EU Article 29 승인 데이터프라이버시보호 규제인증 : HIPAA BAA, Data Processing Agreement, & E.U. Model Clauses 기업의데이터보호에대한규제의해결방안으로제시

제한된사용과접근 광고목적의데이터접근의차단 고객의데이터의공유의차단

클라우드보안관련인증

클라우드보안 Compliance 정보보안표준 보안제어 정부및산업표준 ISO 27001 ISO 27002 ISO 27018 SOC 1 Type 2 SOC 2 Type 2 FedRAMP/FISMA PCI DSS Level 1 UK G-Cloud HIPAA/HITECH

클라우드관련보안인증리스트 ISO / IEC 27001 / 27002 / 27018 Certification SSAE 16/ISAE 3402 attestations (SOC 1 Type 2, SOC 2 Type 2, and SOC 3) CSA(Cloud Security Alliance) CCM(Cloud Control Matrix) HIPAA BAA PCI Data Security Standard Certification FISMA Certification and Accreditation Various State, Federal, and International Privacy Laws (95/46/EC aka EU Data Protection Directive; California SB1386; etc.) CCCPPF (China Cloud Computing Promotion and Policy Forum) UK G-Cloud OFFICIAL Australia IRAP Singapore MTCS http://azure.microsoft.com/en-us/support/trust-center/compliance/

주요 IT 규제인증의의미 규제항목설명 ISO/IEC 27001 US-EU Safe Harbor Framework 국제표준기구의인증으로미국뿐만아니라전세계에서적용되는클라우드보안에대한산업표준. 14 개국 5 개의국제기구를통하여수립 정보보호, 통신, 운영, 접근통제, 정보보호사고대응에대한 14 개영역 114 개항목평가 매년감사및표준준수여부시행 미국 - 유럽연합데이터보호지침으로개인정보수집, 사용및보유기준에부합하도록미국상무부에서정한프레임워크 미국기업이 EU 영역밖으로게인정보를수집전송시 EU 의보호지침을준수하도록함. HIPAA BAA 건강보험양도및책임에대한법안 2003 년의료및프라이버시보호를대폭강화하는법안. 당사자의허락없이개인의의료기록이나건강상태등을공표할수없다. SOC (Service Organization Control) 미국공인회계사협회 (AICPA) 에서발급하는인증체계로재무정보에대한규제 SOC I (SSAE16) 기업의재무보고를위한정보및관리시스템등종합적인내부통제를평가하는인증으로감사결과보고서는기업내부및감사관련조직등제한된사람들에게만공유 SOC II 개인정보보호시스템, 조직 / 관리시스템등기업의종합적인내부통제를평가하는인증으로클라우드서비스, 데이터센터등의출현으로서비스인증체계가마련됐다. 감사결과보고서는제한된사람들에게만공개 FISMA (Federal Information Security Manage ment Act) 미국연방정보보안관리법 미국연방정부정보시스템의보안강화를위해정부정보보안개혁법과이를승계한연방정보보안관리법을통해적정보안조치를취하지않은부처는예산을삭감토록해강력한정책집행의기반을마련했다 http://azure.microsoft.com/ko-kr/support/trust-center/services/

ISO/IEC 27018 2014 년 7 월에발표 클라우드에저장된민감한고객정보 ( 특히개인식별정보, PII) 의보호, 보안리스크실행방안의평가및가이드라인 고객의명시적동의를얻지못했다면, 고객데이터를광고또는마케팅목적으로사용해서는안된다. 또한고객이사업자에게광고또는마케팅목적에사용될개인정보를제공하지않아도클라우드서비스를이용할수있어야한다. 고객데이터가어디에저장되고, 어떻게활용되는지투명하게공개해야한다. 고객데이터가어떻게사용될지에대한통제권을고객에게부여해야한다. 고객데이터의수집및삭제관련정책을고객에게고지해야한다. 고객데이터에영향을주는위반사항또는사고가발생하면반드시고객에게그내용과사후조치내역을알려줘야한다. 서비스제공자는매년법령준수여부에대해제3의독립적기관의외부감사를받아야한다.

Public 클라우드의책임구분 일반적인운영원칙 국가별법률요건및산업의법률요건의다양성 * 공통적 * 으로적용할수있는일반운영원칙하에서비스제공 클라우드사업자의책임 고객의보안, 개인정보및규정준수 고객서비스의보안준수 응용프로그램, 데이터콘텐츠, 가상컴퓨터, 액세스자격증명등을포함한특정환경에대한책임

공동책임 (Shared Responsibility) 의사례 REDUCE SECURITY COSTS + MAINTAIN FLEXIBILITY, ACCESS, & CONTROL On-Premises IaaS PaaS SaaS 고객 클라우드공급자

2012 Microsoft Corporation. All rights reserved. Microsoft, Windows, and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.