퍼블릭 클라우드 서비스를 고려하고 평가할 때 공유 책임 모델과 클라우드 공급자가 처리하는 보안 작업 및 처리하는 작업을 이해하는 것이 중요합니다. 워크로드 책임은 워크로드가 소프트웨어-서비스(SaaS), 서비스형 플랫폼(PaaS), 인프라-서비스(IaaS), 또는 온프레미스 데이터센터에 호스팅되는지에 따라 다릅니다:
- IaaS (인프라 서비스): 가상 머신, 운영체제, 애플리케이션을 관리합니다. 예를 들어 Azure Virtual Machines, Azure Disk Storage 및 가상 네트워크가 있습니다.
- PaaS (서비스형 플랫폼): VM이나 운영체제를 관리하지 않고 애플리케이션을 배포합니다. 예를 들어 Azure App Service, Azure Functions, Azure SQL Database 및 Azure Storage가 있습니다.
- SaaS (서비스형 소프트웨어): 기성화된 애플리케이션을 사용합니다. 예를 들어 Microsoft 365, Dynamics 365 및 기타 클라우드 애플리케이션이 있습니다.
많은 Azure 솔루션은 서비스 모델의 조합을 사용합니다. 컴퓨팅 서비스 선택에 대한 자세한 지침은 Azure 컴퓨팅 서비스 선택을 참조하세요.
생성형 AI 워크로드의 경우 AI 공유 책임 모델을 참조하세요. 자율적이고 도구를 사용하는 AI 에이전트에 대해서는 AI 에이전트 공동 책임 모델을 참조하세요.
메모
이 글에서는 "책임"을 거버넌스 관점에서 사용합니다: 각 통제를 누가 구성, 운영, 모니터링할 것으로 기대되는지에 대한 것입니다. 이 가이드는 예시용 지침이며, 법적 결론을 전달하거나 Microsoft 간의 어떠한 계약 조건을 수정하거나 모순하려는 의도도 없습니다.
책임 분담
온-프레미스 데이터 센터에서는 전체 스택을 소유합니다. 클라우드로 이동하면 일부 책임이 Microsoft로 이전합니다. 다음 다이어그램에서는 스택의 배포 유형에 따라 사용자와 Microsoft 간의 책임 영역을 보여 줍니다.
모든 클라우드 배포 유형의 경우 데이터 및 ID를 소유합니다. 데이터 및 ID, 온-프레미스 리소스 및 사용자가 제어하는 클라우드 구성 요소의 보안을 보호할 책임이 있습니다. 제어하는 클라우드 구성 요소는 서비스 유형에 따라 다릅니다.
책임 매트릭스
다음 표에서는 스택의 각 영역에 대한 사용자와 Microsoft 간의 책임 나누기를 자세히 설명합니다.
| 책임 영역 | On-premises | IaaS | PaaS(서비스형 플랫폼) | SaaS |
|---|---|---|---|---|
| 고객 데이터 | 고객 | 고객 | 고객 | 고객 |
| 구성 및 설정 | 고객 | 고객 | 고객 | 고객 |
| ID 및 사용자 | 고객 | 고객 | 고객 | 고객 |
| 클라이언트 디바이스 | 고객 | 고객 | 고객 | Shared |
| 응용 프로그램 | 고객 | 고객 | Shared | Shared |
| 네트워크 제어 | 고객 | 고객 | Shared | Microsoft |
| 운영 체제 | 고객 | 고객 | Microsoft | Microsoft |
| 물리적 호스트 | 고객 | Microsoft | Microsoft | Microsoft |
| 실제 네트워크 | 고객 | Microsoft | Microsoft | Microsoft |
| 실제 데이터 센터 | 고객 | Microsoft | Microsoft | Microsoft |
항상 보유하는 책임
배포 유형에 관계없이 항상 다음 책임을 유지합니다.
- 데이터 - 데이터 분류, 데이터 보호, 암호화 결정 및 데이터 거버넌스 요구 사항 준수를 포함하여 데이터에 대한 책임이 있습니다.
- 엔드포인트 - 모바일 디바이스, 랩톱 및 데스크톱을 포함하여 클라우드 서비스에 액세스하는 클라이언트 디바이스 및 엔드포인트를 보호할 책임이 있습니다.
- 계정 - 사용자 액세스 만들기, 관리 및 제거를 포함하여 사용자 계정을 관리할 책임이 있습니다.
- 액세스 관리 - RBAC(역할 기반 액세스 제어), 다단계 인증 및 조건부 액세스 정책을 포함하여 액세스 제어를 구현하고 관리할 책임이 있습니다.
공유 책임 설명
일부 책임은 사용자와 Microsoft 간에 공유되며, 서비스 모델에 따라 부서가 달라집니다.
- 애플리케이션 - IaaS에서는 배포된 애플리케이션을 전적으로 담당합니다. PaaS 및 SaaS에서 Microsoft는 애플리케이션 스택의 일부를 관리하지만 애플리케이션 구성, 코드 보안 및 액세스 제어를 담당합니다.
- 네트워크 제어 - IaaS에서는 방화벽 및 네트워크 세분화를 포함한 모든 네트워크 보안을 구성합니다. PaaS에서 Microsoft는 기준 네트워크 보안을 제공하지만 애플리케이션 수준 네트워크 컨트롤을 구성합니다. SaaS에서 Microsoft는 네트워크 보안을 관리합니다.
- 클라이언트 장치 - SaaS 시나리오에서는 Microsoft가 일부 장치 관리 기능을 제공할 수 있지만, 엔드포인트 보호와 준수는 본인이 책임져야 합니다.
Microsoft 책임
Microsoft는 다음을 포함하는 기본 클라우드 인프라를 담당합니다.
- 물리적 보안 - 시설, 물리적 액세스 제어 및 환경 제어를 포함한 데이터 센터 보안
- 물리적 네트워크 - 데이터 센터 내에서 라우터, 스위치 및 케이블을 비롯한 네트워크 인프라 관리
- 물리적 호스트 - 클라우드 서비스를 호스트하는 물리적 서버 관리 및 유지 관리
- 하이퍼바이저 - IaaS 및 PaaS에서 가상 머신을 사용하도록 설정하는 가상화 계층 관리
- 플랫폼 서비스 - PaaS 및 SaaS에서 Microsoft는 운영 체제, 런타임 환경 및 미들웨어를 관리합니다.
클라우드 보안 이점
클라우드는 오랜 기간 이어져 온 정보 보안 문제를 해결하는 데 상당한 이점을 제공합니다. 온프레미스 환경에서는 조직이 미충족 책임과 보안에 투자할 자원이 제한적일 가능성이 큽니다. 이러한 상황은 공격자가 모든 계층의 취약점을 악용할 수 있는 환경을 만듭니다.
기존 온-프레미스 환경에서 충족되지 않은 책임의 일반적인 예는 다음과 같습니다.
- 패치 지연 - 제한된 IT 직원 또는 시스템 가동 중지 시간에 대한 우려로 인해 보안 업데이트가 즉시 적용되지 않으므로 알려진 취약성이 노출됩니다.
- 물리적 보안 부족 - 서버실은 예산 제약으로 인해 적절한 출입 통제, 환경 모니터링, 감시가 부족할 수 있습니다.
- 불완전한 네트워크 모니터링 - 조직은 침입을 감지하거나 트래픽 이상 현상을 모니터링하거나 위협에 실시간으로 대응할 수 있는 도구나 전문 지식이 부족할 수 있습니다.
- 노후 하드웨어 - 노후된 인프라는 더 이상 벤더로부터 보안 업데이트를 받지 못할 수 있어 영구적인 보안 공백이 발생할 수 있습니다.
- 백업 및 재해 복구 부족 - 백업이 드물거나, 테스트되지 않았거나, 현장에 저장되어 데이터가 랜섬웨어나 물리적 재해에 취약할 수 있습니다.
다음 도표는 제한된 자원이 많은 미충족 보안 책임으로 이어지는 전통적인 접근법을 보여줍니다. 클라우드 기반 접근법에서는 일상적인 보안 책임을 클라우드 제공업체로 이전하고 자원을 재배분할 수 있습니다.
클라우드 기반 접근법에서는 클라우드 기반 보안 기능을 보다 효과적으로 적용하고 클라우드 인텔리전스를 활용해 위협 탐지와 대응 시간을 향상시킬 수 있습니다. 책임을 클라우드 제공업체로 이전함으로써 조직은 더 많은 보안 커버리지를 얻을 수 있습니다. 이러한 전환은 보안 자원과 예산을 다른 비즈니스 우선순위에 재배분하는 데 도움을 줍니다.
다음 단계
보안 핵심 요소에 대한 Well-Architected Framework 개요에서 보안 상태를 개선하기 위한 공동 책임 및 전략에 대해 자세히 알아봅니 다.