클라우드 보안 기능

아티클
07/11/2023

기능은 조직의 핵심인 작업과 책임입니다. 즉, 기능은 “수행할 작업”입니다.

이 문서에서는 기업의 정보 보안 위험을 관리하는 데 필요한 조직 기능을 간략하게 제공합니다. 이러한 역할과 책임은 전체 사이버 보안 시스템의 인적 부분을 형성합니다.

보안은 팀 스포츠입니다.

보안 팀의 구성원은 함께 작업하고 서로를 전체 조직의 필수적인 부분으로 간주해야 합니다. 또한 동일한 악의적 사용자를 방어하는 더 큰 보안 커뮤니티의 일부이기도 합니다.

이 전체론적 세계관은 팀이 역할과 책임의 진화 중에 발견된 의도치 않은 간극과 공통점을 통해 작업하도록 도와줍니다.

보안 기능 유형

다음 다이어그램은 보안 내의 특정 조직 기능을 보여줍니다. 설명된 기능에서는 완전한 엔터프라이즈 보안 팀의 이상적인 모습을 나타냅니다. 리소스가 제한된 보안 팀은 이는 이러한 모든 기능에 대해 공식적인 책임을 지지 않을 수 있습니다. 각 기능은 사용자가 한 명 이상이면 수행할 수 있으며 각 사용자는 문화권, 예산 및 사용 가능한 리소스와 같은 요인에 따라 하나 이상의 기능을 수행할 수 있습니다.

다음 문서에서 각 기능에 대해 자세히 알아볼 수 있습니다. 해당 문서에는 목표, 기능을 진화시킬 수 있는 방법, 성공에 있어 중요한 관계와 종속성에 대한 요약이 포함됩니다.

역할 및 책임

보안 역할 및 책임은 Azure Security Benchmark, 권한 있는 액세스 보호를 위한 신속한 현대화 계획, Azure 보안 모범 사례를 포함하여 Microsoft 설명서 전체에서 언급됩니다.

다음 다이어그램에서는 이러한 기능이 조직 내의 역할 형식에 어떻게 매핑되는지 보여 줍니다.

비즈니스 결과에 보안 매핑

조직 수준에서 보안 분야는 산업 및 조직 전체에서 널리 볼 수 있는 표준 계획-빌드-실행 단계에 매핑됩니다. 보안은 고유한 기능을 사용하는 분야이자 일반 비즈니스 운영을 통합하는 데 중요한 요소입니다.

역할 유형

다이어그램에서 책임을 일반적인 기술 집합 및 경력 프로필이 있는 일반적인 역할로 구성합니다. 또한 이러한 그룹화는 업계 추세가 보안 전문가에게 미치는 영향을 명확히 하는 데 도움이 됩니다.

보안 리더십: 이 역할은 팀이 서로 간의 조정을 통해 여러 기능에 빈번하게 사용됩니다. 또한 우선 순위를 지정하고 보안에 대한 문화적 규범, 정책, 표준을 설정합니다.
보안 설계자: 이 역할은 여러 기능에 빈번하게 사용되며, 모든 기술 기능이 일관된 아키텍처 내에서 조화롭게 작동하도록 하는 주요 거버넌스 역량을 제공합니다.
보안 태세 및 규정 준수: 취약성 관리 및 구성 기준과 같은 기존 보안 분야와 규정 준수 보고의 통합을 나타내는 새로운 역할 유형입니다. 보안 및 규정 준수 보고의 범위와 대상은 다르지만 둘 다 조직의 보안을 측정합니다. Microsoft Secure Score 및 클라우드용 Microsoft Defender와 같은 도구를 통해 질문에 대한 답변 방법이 점점 더 유사해지고 있습니다.
- 클라우드 서비스에서 주문형 데이터 피드를 사용하면 규정 준수를 보고하는 데 필요한 시간이 줄어듭니다.
- 사용 가능한 데이터의 범위가 증가하면 보안 거버넌스가 기존 소프트웨어 업데이트를 넘어 보안 구성 및 운영 사례의 취약성을 검색할 수 있습니다.
플랫폼 보안 엔지니어: 액세스 제어 및 자산 보호 모두에서 여러 워크로드를 호스팅하는 플랫폼에 초점을 맞춘 기술 역할입니다. 이러한 역할은 종종 네트워크 보안, 인프라 및 엔드포인트, ID 및 키 관리 등을 비롯한 전문 기술 집합이 있는 팀으로 그룹화됩니다. 이러한 팀은 예방 제어와 감지 제어 모두 작업하며, 감지 제어는 SecOps와의 파트너십을 통해 예방 제어는 주로 IT 운영과의 파트너십을 통해 이루어집니다. 자세한 내용은 보안 통합을 참조하세요.
애플리케이션 보안 엔지니어: 이 기술 역할은 클래식 개발 모델과 최신 DevOps/DevSecOps 모델을 모두 지원하는 특정 워크로드에 대한 보안 제어에 초점을 맞췄습니다. 이는 VM, 데이터베이스 및 컨테이너와 같은 일반적인 기술 구성 요소에 대한 고유한 코드 및 인프라 기술에 대한 애플리케이션 및 개발 보안 기술의 혼합입니다. 이러한 역할은 조직의 요인에 따라 중앙 IT 또는 보안 조직 또는 비즈니스 및 개발 팀 내에 있을 수 있습니다.

참고

DevOps 및 IaC(Infrastructure as Code)는 추세가 진행됨에 따라, 일부 보안 전문가가 플랫폼 보안 엔지니어링 팀에서 애플리케이션 보안 팀 및 태세 관리 역할로 마이그레이션할 것으로 예상됩니다. DevOps 모델에는 인프라 보안 기술(예: DevOps의 운영 보안)이 필요합니다. 거버넌스 팀도 기술 보안 태세를 효과적으로 실시간 모니터링하기 위해 이러한 기술과 경험이 필요합니다. 또한 IaC(Infrastructure as Code)는 반복적인 수동 기술 작업을 자동화하여 (광범위한 기술 집합 및 자동화 또는 스크립팅 기술에 대한 필요성이 증가함에도) 플랫폼 보안 엔지니어 역할에서 이러한 기술에 필요한 시간을 줄입니다.

다음 단계

Microsoft 클라우드 채택 프레임워크의 보안에 대해 자세히 알아봅니다.