다음을 통해 공유

공공 안전 및 사법을 위한 Azure

  • 아티클

개요

공공 안전 및 사법 기관은 사회 안전을 유지하고, 범죄를 줄이고, 응답성을 향상해야 하는 압력에 시달리고 있습니다. 클라우드 컴퓨팅은 법 집행 기관이 업무에 접근하는 방식을 변화시키고 있습니다. 이는 지능형 치안 인식 시스템, 국가/지역 전체의 바디캠 시스템 및 일상적인 모바일 경찰 공동 작업에 도움이 되고 있습니다.

클라우드 컴퓨팅을 적절하게 계획하고 보안을 유지하면 클라우드 서비스로 공공 안전 및 사법 기관에 강력한 새 기능을 제공할 수 있습니다. 이러한 기능에는 디지털 증거 관리, 데이터 분석 및 실시간 의사 결정 지원이 포함됩니다. 솔루션은 최신 모바일 디바이스에 제공할 수 있습니다. 그러나 모든 클라우드 공급자가 동일하지는 않습니다. 법 집행 기관이 클라우드를 도입하면 신뢰할 수 있는 클라우드 서비스 공급자가 필요합니다. 법 집행 임무를 수행하려면 보안, 규정 준수 및 운영 요구 사항을 모두 충족하는 파트너가 필요합니다.

디바이스부터 클라우드까지, Microsoft는 개인 정보 및 정보 보안을 최우선 순위에 두고 있으며, 현장과 부서의 공무원 생산성을 높이고 있습니다. 공공 안전 및 사법 기관은 "언제 어디서나" 클라우드에 액세스할 수 있는 매우 안전한 모바일 디바이스를 결합할 수 있습니다. 그렇게 함으로써 진행 중인 조사에 기여하고, 데이터를 분석하고, 증거를 관리하고, 위협으로부터 시민을 보호할 수 있습니다.

Microsoft는 CJIS(형사 사법 정보 서비스) 규정 준수를 확인란에 체크하는 정도가 아니라 약정으로 취급합니다. 하지만 Microsoft는 현재 적용되는 그리고 미래에 적용될 수 있는 CJIS 보안 제어를 충족하는 솔루션을 제공하기 위해 헌신하고 있습니다. 뿐만 아니라, 다음을 통해 공공 안전 및 사법에 대한 약정을 확장합니다.

CJIS(Criminal Justice Information Services)

FBI(미국 연방수사국)의 CJIS(형사 사법 정보 서비스) 부서는 주, 지역 및 연방 사법 기관과 형사 사법 기관이 지문 기록 및 범죄 기록과 같은 CJI(형사 사법 정보)에 액세스할 수 있도록 합니다. 미국의 법 집행 기관 및 기타 정부 기관은 CJI의 전송, 스토리지 또는 처리에 클라우드 서비스를 사용할 때 CJI를 보호하기 위한 최소 보안 요구 사항 및 제어를 설정하는 CJIS 보안 정책을 준수하도록 보장해야 합니다.

Azure 및 CJIS 보안 정책

적용 가능한 CJIS 규제 제어를 충족한다는 Microsoft의 약정은 형사 사법 조직이 클라우드 기반 솔루션을 구현할 때 CJIS 보안 정책을 준수하는 데 도움이 됩니다. CJIS를 위한 Azure 지원에 대한 자세한 내용은 Azure CJIS 규정 준수 제안을 참조하세요.

이 문서의 나머지 부분에서는 Azure 클라우드 서비스에 저장되거나 처리된 CJI를 보호하는 데 사용할 수 있는 기술에 대해 설명합니다. 이러한 기술은 자신이 담당하는 CJI에 대한 단독 제어를 설정하는 데 도움이 될 수 있습니다.

참고 항목

사용자는 모든 관련 법률 및 규정을 자체적으로 준수할 책임이 있습니다. 이 문서에 제공된 정보는 법률 자문을 구성하지 않으며 규정 준수와 관련된 문의 사항은 법률 고문에게 문의해야 합니다.

고객 데이터의 위치

Microsoft는 클라우드 서비스 데이터 보존 및 전송 정책과 관련하여 강력한 고객 약정을 제공합니다. 대부분의 Azure 서비스는 지역적으로 배포되며 서비스를 배포할 지역(예: 미국)을 지정할 수 있습니다. 이 약정을 통해 미국 지역에 저장된 고객 데이터가 미국에 남아 있고 미국 이외의 다른 지역으로 이동되지 않도록 할 수 있습니다.

테넌트 분리

Azure는 인공 지능, 기계 학습, IoT 서비스, 빅 데이터 분석, 인텔리전트 에지 등과 같은 최신 클라우드 혁신을 통합하는 기능이 풍부한 환경에 대한 액세스를 제공하는 하이퍼스케일 공용 다중 테넌트 클라우드 서비스 플랫폼으로, 효율성을 높이고 운영과 성능에 대한 인사이트를 얻는 데 도움이 됩니다.

다중 테넌트 클라우드 플랫폼에서는 여러 고객의 애플리케이션과 데이터가 동일한 물리적 하드웨어에 저장됩니다. Azure는 논리적 격리를 사용하여 애플리케이션과 데이터를 다른 고객과 분리합니다. 이 접근 방식은 다중 테넌트 클라우드 서비스의 규모/경제적 이익을 제공하는 동시에 다른 고객이 사용자의 데이터 또는 애플리케이션에 액세스하지 못하도록 엄격하게 방지합니다.

Azure는 일반적인 원칙 집합을 사용하여 다중 테넌트, 암호화적으로 확실하고 논리적으로 격리된 클라우드 서비스를 보장할 수 있도록 신뢰할 수 있는 기반을 제공하여 리소스 공유의 인식된 위험을 해결합니다.

  • 인증 및 ID 분리를 사용하는 사용자 액세스 제어
  • 처리를 위한 컴퓨팅 격리
  • 전송 중인 데이터 암호화를 포함한 네트워킹 격리
  • 미사용 데이터 암호화를 사용한 스토리지 격리
  • 논리적으로 격리된 서비스를 올바르게 개발하기 위해 서비스 디자인에 포함된 보안 보증 프로세스

논리적 컴퓨팅 격리는 하이퍼바이저 격리, Drawbridge 격리 및 사용자 컨텍스트 기반 격리를 통해 구현됩니다. 논리적 컴퓨팅 격리 외에도, Azure는 워크로드에 전용 물리적 서버가 필요한 경우 물리적 컴퓨팅 격리를 제공합니다. 예를 들어 물리적 컴퓨팅 격리를 원하는 경우 단일 고객 전용 서버 하드웨어에 배포된 Azure Dedicated Host 또는 격리된 Virtual Machines를 사용할 수 있습니다. 자세한 내용은 보안 격리에 대한 Azure 지침을 참조하세요.

데이터 암호화

Azure는 다양한 암호화 모델을 포함한 데이터 암호화를 사용하여 데이터를 보호하기 위한 광범위한 지원을 제공합니다.

  • 서비스 관리형 키, Azure의 CMK(고객 관리형 키) 또는 고객 제어 하드웨어의 CMK를 사용하는 서버 쪽 암호화.
  • 온-프레미스 또는 다른 안전한 위치에서 키를 관리하고 저장할 수 있는 클라이언트 쪽 암호화.

데이터 암호화는 암호화 키 액세스에 직접 연결되는 격리 보증을 제공합니다. Azure는 데이터 암호화에 강력한 암호화 기능을 사용하므로 암호화 키에 액세스할 수 있는 엔터티만 데이터에 액세스할 수 있습니다. 암호화 키를 철회하거나 삭제하면 해당 데이터에 액세스할 수 없게 됩니다. Azure 서비스에 저장된 가장 중요한 고객 콘텐츠를 추가로 보호해야 할 경우 Azure Key Vault에서 제어하는 자체 암호화 키를 사용해 암호화할 수 있습니다.

FIPS 140 유효성이 검사된 암호화

FIPS(Federal Information Processing Standard) 140는 정보 기술 제품에서 암호화 모듈에 대한 최소 보안 요구 사항을 정의하는 미국 정부 표준입니다. Microsoft는 2001년 표준이 시작된 이래 암호화 모듈의 유효성을 검사하여 FIPS 140 요구 사항을 충족하기 위한 적극적인 노력을 지속하고 있습니다. Microsoft는 NIST(미국 국립표준기술원) CMVP(암호화 모듈 유효성 검사 프로그램)에 따라 암호화 모듈의 유효성을 검사합니다. 다수의 클라우드 서비스를 포함한 여러 Microsoft 제품은 이러한 암호화 모듈을 사용합니다.

현재 CMVP FIPS 140 구현 지침은 클라우드 서비스에 대한 FIPS 140 유효성 검사를 배제하지만 클라우드 서비스 공급자는 클라우드 서비스를 구성하는 컴퓨팅 요소에 대해 FIPS 140 유효성이 검사된 암호화 모듈을 가져와 작동할 수 있습니다. Azure는 하드웨어, 상용 운영 체제(Linux 및 Windows) 및 Azure 특정 버전의 Windows를 조합하여 빌드되었습니다. 운영 체제에서 하이퍼스케일 클라우드에서 작동하는 동안 FIPS 140 승인 알고리즘을 사용하므로 모든 Azure 서비스는 Microsoft SDL(보안 개발 수명 주기) 전체에 걸쳐 데이터 보안에 FIPS 140 승인 알고리즘을 사용합니다. 해당 암호화 모듈은 Microsoft Windows FIPS 유효성 검사 프로그램의 일부로 유효성이 검사된 FIPS 140입니다. 또한 사용자 고유의 암호화 키 및 기타 비밀은 FIPS 140으로 유효성이 검증된 HSM(하드웨어 보안 모듈)에 저장할 수 있으며, 고객 관리형 키라고도 하는 제어 방식에 따라 관리됩니다.

암호화 키 관리

데이터 보안을 위해서는 암호화 키를 적절하게 보호, 관리하는 것이 필수적입니다. Azure Key Vault는 비밀을 안전하게 저장, 관리하기 위한 클라우드 서비스입니다. Key Vault를 사용하면 FIPS 140 유효성 검사를 받은 HSM(하드웨어 보안 모듈)에 암호화 키를 저장할 수 있습니다. 자세한 내용은 데이터 암호화 키 관리를 참조하세요.

Key Vault를 사용하면 HSM에서 암호화 키를 가져오거나 생성하여 키가 HSM 보호 경계를 벗어나지 않도록 함으로써 BYOK(Bring Your Own Key) 시나리오를 지원할 수 있습니다. Key Vault HSM 내에서 생성된 키는 내보낼 수 없습니다. HSM 외부에는 일반 텍스트 버전의 키가 있을 수 없습니다. 이 바인딩은 기본 HSM을 통해 적용됩니다. Azure Key Vault는 Microsoft 및 해당 에이전트가 암호화 키를 보거나 추출하지 못하도록 설계되어 배포, 운영됩니다. 자세한 내용은 Azure Key Vault에서 키를 보호하는 방법을 참조하세요. 따라서 Azure Key Vault HSM에 저장된 CMK를 사용하는 경우 암호화 키의 단독 소유권을 효과적으로 유지 관리합니다.

전송 중 암호화

Azure는 전송 중인 데이터를 암호화하기 위한 여러 옵션을 제공합니다. 전송 중인 데이터 암호화는 다른 트래픽에서 네트워크 트래픽을 격리하고, 데이터를 가로채지 못하도록 하는 데 도움이 됩니다. 자세한 내용은 전송 중인 데이터 암호화를 참조하세요.

휴지 상태의 암호화

Azure는 광범위한 미사용 데이터 암호화 옵션을 제공하여 데이터를 보호하고 Microsoft 관리형 암호화 키와 고객 관리형 암호화 키를 모두 사용해 규정 준수 요구 사항을 충족하는 데 도움을 줍니다. 이 프로세스는 Azure Key Vault 및 Microsoft Entra ID 같은 다양한 암호화 키와 서비스를 사용하여 보안 키 액세스 및 중앙 집중식 키 관리를 보장합니다. Azure Storage 암호화 및 Azure Disk 암호화에 대한 자세한 내용은 미사용 데이터 암호화를 참조하세요.

Azure SQL Database는 기본적으로 미사용 상태에서 TDE(투명한 데이터 암호화)를 제공합니다. TDE는 데이터 및 로그 파일에 대해 실시간 암호화 및 암호 해독 작업을 수행합니다. DEK(데이터베이스 암호화 키)는 복구 중 사용 가능하도록 데이터베이스 부트 레코드에 저장된 대칭 키입니다. 서버의 마스터 데이터베이스에 저장된 인증서 또는 Azure Key Vault에서 제어할 수 있는 저장된 TDE 보호기라는 비대칭 키를 통해 보호됩니다. Key Vault는 Key Vault에 TDE 보호기를 저장하고 키 회전, 권한, 키 삭제, 모든 TDE 보호기에서 감사/보고 사용 등의 키 관리 작업을 제어할 수 있는 BYOK(Bring Your Own Key)를 지원합니다. 키는 Key Vault에 의해 생성되거나, 가져오거나,온-프레미스 HSM 디바이스에서 Key Vault로 전송될 수 있습니다. 또한 애플리케이션 내에서 데이터를 암호화하고 데이터베이스 엔진에 암호화 키를 표시하지 않도록 함으로써 중요한 데이터를 보호하도록 특별히 설계된 Azure SQL Database의 Always Encrypted 기능도 사용할 수 있습니다. 이러한 방식으로 Always Encrypted는 데이터를 소유하고 볼 수 있는 사용자와 데이터를 관리하지만 액세스 권한을 보유해서는 안 되는 사용자를 분리합니다.

사용 중인 데이터 암호화

Microsoft를 사용하면 전체 수명 주기(미사용, 전송 중, 사용 중)에 걸쳐 데이터를 보호할 수 있습니다. Azure 기밀 컴퓨팅은 사용 중인 데이터의 암호화를 제공하는 데이터 보안 기능 모음입니다. 이 접근 방식을 사용하면 메모리에서 데이터를 효율적으로 처리하는 데 필요한 데이터가 일반 데이터인 경우 하드웨어 기반의 신뢰할 수 있는 실행 환경(TEE, enclave라고도 함) 내에서 데이터가 보호됩니다.

Intel SGX(Intel Software Guard Extensions) 또는 AMD SEV-SNP(AMD Secure Encrypted Virtualization)와 같은 기술은 기밀 컴퓨팅 구현을 지원하는 CPU의 개선된 최신 기술입니다. 이러한 기술은 가상화 확장 기능으로 설계되었으며 메모리 암호화 및 무결성, CPU 상태 기밀성 및 무결성, 증명 등의 기능 집합을 제공합니다. 자세한 내용은 Azure 기밀 컴퓨팅 문서를 참조하세요.

다중 요소 인증(MFA)

CJIS 보안 정책 v5.9.2는 CJI 보호에 대한 MFA(다단계 인증) 요구 사항을 수정했습니다. MFA를 사용하려면 다음과 같이 정의된 두 개 이상의 서로 다른 요소를 사용해야 합니다.

  • 사용자가 알고 있는 항목(예: 사용자 이름/암호 또는 PIN(개인 식별 번호))
  • 하드 토큰이 있는 항목(예: 저장된 암호화 키 또는 특수 하드웨어 디바이스로 전송되는 OTP(일회성 암호))
  • 사용자 자신의 일부인 항목(예: 생체 인식 정보)

CJIS 보안 정책에 따라 조직 사용자를 식별하고 인증하려면 CJI 액세스 제어 요구 사항의 일부로 권한 있는 계정과 권한 없는 계정에 대한 MFA가 필요합니다. MFA는 NIST(미국 국립표준기술원) SP 800-63디지털 ID 지침에 설명된 대로 AAL2(Authenticator Assurance Level 2)에서 필요합니다. AAL2에서 작동하는 인증자 및 검증 도구는 FIPS 140 수준 1의 요구 사항을 충족하도록 유효성을 검사해야 합니다.

Microsoft Authenticator 앱은 Microsoft Entra 계정에 추가 수준의 보안을 제공합니다. Android 및 iOS를 실행하는 휴대폰에서 사용할 수 있습니다. Microsoft Authenticator 앱을 사용하면 CJIS 보안 정책 MFA 요구 사항을 충족하기 위해 MFA 시나리오에 대한 보조 확인을 제공할 수 있습니다. 앞에서 설명한 것처럼 CJIS 보안 정책을 사용하려면 하드 토큰에 대한 솔루션이 FIPS 140 수준 1에서 유효성을 검사하는 암호화 모듈을 사용해야 합니다. Microsoft Authenticator 앱은 Microsoft Entra ID의 인증 방법 - Microsoft Authenticator 앱에 설명된 대로 모든 Microsoft Entra 인증에 대한 FIPS 140 수준 1 유효성 검사 요구 사항을 충족합니다. Microsoft Authenticator에 대한 FIPS 140 규정 준수는 현재 iOS용으로 마련되어 있으며 Android용으로 진행 중입니다.

또한 Azure는 가장 높은 AAL3(Authenticator Assurance Level 3)을 지원하여 CJIS 보안 정책 MFA 요구 사항을 충족하고 초과할 수 있습니다. NIST SP 800-63B 섹션 4.3에 따르면 AAL3에서 사용되는 다단계 인증자는 CJIS 보안 정책 MFA 요구 사항을 초과하는 물리적 보안을 위해 FIPS 140 수준 3 이상을 사용하여 FIPS 140 수준 2 전체에서 유효성이 검사된 하드웨어 암호화 모듈을 사용해야 합니다. AAL3의 검증 도구는 FIPS 140 수준 1 이상에서 유효성을 검사해야 합니다.

Microsoft Entra ID는 인증자 및 검증 도구 NIST SP 800-63B AAL3 요구 사항을 모두 지원합니다.

  • 인증자 요구 사항: FIDO2 보안 키, 스마트 카드 및 비즈니스용 Windows Hello는 기본 FIPS 140 유효성 검사 요구 사항을 포함하여 AAL3 요구 사항을 충족하는 데 도움이 될 수 있습니다. NIST SP 800-63B AAL3에 대한 Microsoft Entra ID 지원은 CJIS 보안 정책 MFA 요구 사항을 초과합니다.
  • 검증 도구 요구 사항: Microsoft Entra ID는 모든 인증 관련 암호화 작업에 대해 Windows FIPS 140 수준 1 전체 유효성 검사 암호화 모듈을 사용합니다. 따라서 FIPS 140 호환 검증 도구입니다.

자세한 내용은 Azure NIST SP 800-63 설명서를 참조하세요.

내부자 액세스에 대한 제한

내부 위협은 백도어 연결 및 CSP(클라우드 서비스 공급자)의 권한 있는 관리자 액세스 권한을 시스템 및 데이터에 제공할 가능성이 있다는 특징이 있습니다. Microsoft에서 내부자의 데이터 액세스를 제한하는 방법에 대한 자세한 내용은 내부자 액세스 제한을 참조하세요.

Azure 리소스 모니터링

Azure는 프로비전된 Azure 리소스에 대한 심층적인 인사이트를 얻고 애플리케이션과 데이터를 겨냥한 외부 공격을 비롯한 의심스러운 활동에 대한 경고를 받는 데 사용할 수 있는 필수 서비스를 제공합니다. 이러한 서비스에 대한 자세한 내용은 Azure 리소스에 대한 고객 모니터링을 참조하세요.

다음 단계