클라우드 채택 전략에 보안 통합
조직을 클라우드로 이동하면 보안이 상당히 복잡해집니다. 클라우드에서 성공하려면 보안 전략이 클라우드 컴퓨팅에 내재된 최신 과제를 충족해야 합니다. 클라우드 자산의 채택 및 운영에서 보안은 조직의 모든 측면에서 필요한 고려 사항이 됩니다. 온-프레미스 기술 플랫폼을 실행하는 조직에서 흔히 볼 수 있듯이 특정 패싯에 보조적으로 적용되는 별도의 함수는 아닙니다. 클라우드 채택 전략을 정의할 때 보안이 전략의 필수적인 부분이며 앞으로 나아갈 때 클라우드 채택 계획에 기본 제공되도록 이 문서에 제공된 권장 사항을 고려합니다.
이 문서는 전략 방법론에 대한 지원 가이드입니다. 이 문서에서는 경험에서 해당 단계를 진행할 때 고려해야 하는 보안 최적화 영역을 설명합니다.
보안 태세 현대화
보안 태세 현대화 전략은 새로운 기술과 새로운 운영 관행을 채택하는 것만이 아닙니다. 일반적으로 조직 전체에서 사고 방식 전환이 포함됩니다. 새 팀과 역할을 채워야 할 수 있으며, 기존 팀과 역할은 익숙하지 않은 방식으로 보안에 관여해야 할 수 있습니다. 때로는 조직에 기념비적일 수 있는 이러한 변화는 스트레스와 내부 갈등의 근원이 될 수 있으므로 채택 프로세스 전반에 걸쳐 조직 전체에서 건강하고 정직하며 비난없는 통신을 촉진하는 것이 중요합니다.
이러한 고려 사항에 대한 포괄적인 개요는 보안 전략 정의 가이드를 참조하세요.
전략으로 제로 트러스트 채택
제로 트러스트 전략으로 채택하면 보안에 대한 최신 접근 방식으로 클라우드 여정을 시작할 수 있습니다. 제로 트러스트 접근 방식은 다음 세 가지 원칙에 따라 구성됩니다.
명시적으로 확인합니다. 항상 사용 가능한 모든 데이터 포인트를 기반으로 인증하고 권한을 부여합니다.
최소 권한을 사용합니다. JIT/JEA(Just-In-Time and Just-Enough-Access), 위험 기반 적응 정책 및 데이터 보호를 사용하여 사용자 액세스를 제한합니다.
위반을 가정합니다. 폭발 반경 및 세그먼트 액세스를 최소화합니다. 엔드 투 엔드 암호화를 확인하고 분석을 사용하여 시스템과 관련된 활동에 대한 가시성을 확보하고 위협 탐지를 추진하며 방어를 개선합니다.
클라우드 채택 프로세스에서 이러한 원칙을 적용하는 경우 최신 보안으로의 변환은 전체 조직에서 더 원활한 환경이 될 수 있습니다.
Microsoft는 조직이 가이드로 사용할 수 있는 제로 트러스트 기반 보안 현대화 청사진을 제공합니다. 전략 권장 사항에 대한 전략 정의 단계를 참조하세요.
인시던트 준비 및 대응 전략 정의
클라우드 보안 준비 상태를 위한 명확한 비전과 잘 정의된 특정 목표를 설정합니다. 보안 용량을 만들고 보안 기술을 개발하는 데 집중합니다. 인시던트 준비 및 대응 전략을 전반적인 비즈니스 전략에 맞게 조정하여 비즈니스 전략이 보안에 방해가 되지 않도록 합니다. 안정성 및 성능에 대한 비즈니스 요구 사항을 이해하여 인시던트에 대비하고 대응하는 데 필요한 기술 기반을 만들면서 전략이 이러한 요구 사항을 수용할 수 있도록 합니다.
기밀성을 위한 전략 정의
엔터프라이즈 클라우드 환경에서 기밀성을 채택하기 위한 전략을 정의하는 경우 몇 가지 핵심 사항을 고려해야 합니다.
데이터 개인 정보 보호 및 보호의 우선 순위를 지정합니다. 데이터 개인 정보 보호 및 보호의 중요성을 강조하는 명확한 비즈니스 목표를 수립합니다. 이러한 목표에는 GDPR, HIPAA 및 업계 표준과 같은 관련 규정 준수가 포함됩니다.
위험 관리 전략을 계획합니다. 데이터 기밀성에 대한 잠재적 위험을 식별하고 평가하고 이러한 위험을 완화하는 전략을 개발합니다.
DLP(데이터 손실 방지) 전략을 개발합니다. DLP는 권한이 없는 사용자가 중요한 데이터를 손실, 오용 또는 액세스하지 않도록 하는 데 도움이 되는 도구 및 프로세스 집합입니다. 기밀성 원칙의 관점에서 명확한 데이터 보호 목표를 정의하고 강력한 암호화 및 액세스 제어를 구현하기 위한 프레임워크를 설정하는 작업이 포함됩니다. 전략 단계에서 DLP는 전체 보안 비전에 통합되어 중요한 데이터가 무단 액세스로부터 보호되도록 합니다.
무결성을 위한 전략 정의
데이터 및 시스템 무결성을 유지하려면 잘 설계된 데이터 보호 제어 및 위험 관리와 같이 기밀성을 위해 제안된 전략과 동일한 많은 전략이 필요합니다. 이러한 전략은 데이터 및 시스템 무결성에 대한 추가 고려 사항으로 보강되어야 합니다.
데이터 및 시스템 무결성의 우선 순위를 지정합니다. 데이터 및 시스템 무결성 유지 관리가 비즈니스 요구 사항 및 목표의 핵심 요소여야 합니다. 이를 위해 높은 수준의 무결성을 지원하는 보안 제어 및 운영 사례의 우선 순위를 지정합니다. 특히 실제 데이터 및 시스템 무결성 관리를 위한 도구를 통해 자동화를 사용합니다. 자동화는 다음과 같이 무결성과 관련된 많은 함수에 사용할 수 있습니다.
정책 관리.
데이터 분류 및 관리.
인프라 배포 및 업데이트 관리.
가용성 전략 정의
클라우드 채택 전략에서 가용성에 대한 고려 사항을 포함하면 안정적이고 탄력적인 클라우드 자산을 구현할 준비가 되어 있고 가용성과 관련된 비즈니스 요구 사항을 충족할 수 있다는 확신을 가질 수 있습니다.
가용성 요구 사항 및 목표는 모든 비즈니스 기능 및 워크로드 및 기본 클라우드 플랫폼을 포함하여 전체 클라우드 자산에 걸쳐 있습니다. 클라우드 채택 전략을 개발할 때 클라우드 자산의 다양한 측면의 중요도를 결정하기 위한 개략적인 목표부터 시작하고, 비용 및 성능 요구 사항 및 목표의 균형을 유지하면서 적절한 수준의 가용성이 무엇인지에 대해 이해 관계자 간에 논의를 시작합니다. 이 방법은 클라우드 채택 과정의 다음 단계로 진행하면서 보다 정의된 대상을 향해 작업할 수 있도록 클라우드 채택 계획을 구성하는 데 도움이 되며, 적절하게 범위가 지정된 디자인 및 표준을 위한 토대를 마련합니다.
보안 상태를 유지하기 위한 전략 정의
최신의 강력한 보안 태세를 향한 여정은 초기 구현으로 끝나지 않습니다. 새로운 위협을 따라잡으려면 표준을 엄격하게 준수하면서 보안 사례를 지속적으로 검토하고 구체화해야 합니다. 보안 유지는 새로운 위협 및 기술 변화에 대비하면서 조직 자체에 대해 설정한 기대치를 충족하는 일상적인 작업을 실행하기 위한 지속적인 노력입니다. 이 원칙을 채택하면 지속적인 개선 방법이 코딩됩니다. 보안 팀은 경계하는 보안 관행을 유지하기 위한 지침 표준을 제공하고, 보안이 클라우드 채택 과정의 초석으로 남아 있다는 확신을 이해 관계자에게 제공합니다.
지속 전략을 개발할 때는 실제 환경에서 전반적인 보안 전략이 수행하는 방식을 학습하고 지속적으로 발전하기 위한 교훈을 적용하는 데 집중합니다. 지속 전략은 장기적인 보안 목표를 맞추기 위해 장기적인 비즈니스 목표를 통합해야 합니다. 이러한 목표를 고려할 때 유지 전략은 보안 태세가 어떻게 발전해야 하는지를 정의합니다.
예제 전략
조직은 조직에 가장 적합한 방식으로 클라우드 채택 전략을 개발해야 합니다. 다음 예제에서는 이 문서에서 제공하는 지침을 Word 문서와 같은 설명 아티팩트로 통합하는 방법을 보여 줍니다.
동기
클라우드로 전환하는 동기는 LOB(기간 업무) 워크로드를 현대화하고 Microsoft 전 세계 클라우드 인프라를 활용하여 고객 기반이 성장함에 따라 전 세계적으로 효율적으로 스케일 아웃하는 것입니다.
비즈니스 고려 사항:
- 이사회 및 고위 경영진의 인수. 승인을 위해 재무 예측과 함께 클라우드 채택 계획에 대한 임원 요약을 이사회에 제출해야 합니다. 경영진이 고위 경영진이 고위급 계획에 합의할 수 있도록 경영진이 공동 개발해야 합니다.
보안 고려 사항:
- 기술 준비 상태. IT 및 보안 팀은 마이그레이션 계획을 성공적으로 정의하기 위해 업스킬링이 필요합니다. 클라우드로 전환할 준비를 할 때 새 팀과 역할을 추가해야 할 수도 있습니다.
비즈니스 결과: 글로벌 도달률
현재 북아메리카만 운영됩니다. 우리의 5개년 계획은 유럽과 아시아로 확장하는 것입니다. Microsoft 글로벌 Azure 클라우드를 활용하면 유럽과 아시아에서 LOB 애플리케이션을 효율적으로 제공하는 데 필요한 인프라를 구축할 수 있습니다.
비즈니스 소유자: COO
기술 소유자: CTO
보안 소유자: CISO
비즈니스 고려 사항:
- 예산 예측. 클라우드 마이그레이션 계획 개발의 일환으로 IT, 보안 및 영업은 재무 부서와 예산 예측 모델을 공동 개발하여 이해 관계자가 유럽과 아시아로 확장하는 잠재적 비용을 이해할 수 있도록 해야 합니다.
보안 고려 사항:
공격 노출 영역이 증가했습니다. 전 세계적으로 확장하면 공개적으로 노출된 시스템을 여러 지역에 배치하여 공격 표면을 크게 늘릴 수 있습니다. 보안 태세를 신속하게 현대화해야 합니다. 모범 사례를 따르도록 제로 트러스트 지침을 따릅니다.
클라우드 중심 위협. 클라우드로 전환하면 아직 노출되지 않은 새로운 위협이 초래됩니다. 이러한 위협은 시스템에 대한 악의적인 공격에만 국한되지 않습니다. 클라우드 공급자는 위협의 주요 대상이기도 하며 공급자에 영향을 주는 인시던트가 시스템 또는 비즈니스에 다운스트림 영향을 줄 수 있습니다. 인시던트 준비 및 대응 프로세스를 검토하고 계획의 일환으로 필요한 개선 사항을 통합해야 합니다.
비즈니스 결과: 데이터 혁신
글로벌 확장이 진행됨에 따라 데이터 자산은 기하급수적으로 증가할 것입니다. 클라우드 규모 데이터 및 분석 기술을 채택하지 않는 한 해당 데이터 처리는 지속 불가능합니다.
비즈니스 소유자: CEO
기술 소유자: CTO
보안 소유자: CISO
비즈니스 고려 사항:
- 로컬 규정 준수 요구 사항. Microsoft는 현지 규정 준수 규정에 대한 전문가와 협력하여 비즈니스가 규정 준수를 유지 관리하는 기술 팀을 지원할 준비가 되었는지 확인해야 합니다. 이는 특정 지역에서 비즈니스 엔터티를 설정하거나 독일과 중국과 같은 국가에서 소버린 클라우드를 사용하는 것을 의미할 수 있습니다.
보안 고려 사항:
대규모 데이터 기밀성 및 무결성. 우리는 기밀성 및 무결성 전략 및 메커니즘을 검토하고 개선하여 새로운 기술을 채택하고 새로운 지역으로 전환할 때 데이터 또는 고객의 데이터를 손상, 위반 또는 손실의 위험에 빠뜨리지 않고 기본적으로 규정 프레임워크를 준수하도록 해야 합니다.
액세스 및 권한 부여 전략을 제로 트러스트. 액세스 및 권한 부여 전략이 최신 모범 사례를 충족하고 전 세계적으로 확장됨에 따라 관리할 수 있도록 제로 트러스트 접근 방식을 채택해야 합니다.
비즈니스 결과: 성능 및 안정성
전 세계로 확장함에 따라 LOB 워크로드는 고객이 사용하는 고성능 및 가동 중지 시간 가용성을 유지 관리해야 합니다.
비즈니스 소유자: COO
기술 소유자: CTO
보안 소유자: CISO
비즈니스 고려 사항:
- 마이그레이션 전체에서 성능 및 안정성 유지 관리 고객은 LOB 애플리케이션에 대한 높은 기대치를 가지고 있습니다. 애플리케이션이 클라우드로 마이그레이션하는 동안 가동 중지 시간 또는 장기간 저하된 서비스를 경험하는 경우 평판 및 재정적 손상을 입을 여유가 없습니다. Microsoft 지원 팀을 참여시켜 마이그레이션 계획을 설계하고 마이그레이션에 참여하면 가동 중지 시간 또는 서비스 저하 위험을 최소화할 수 있습니다.
보안 고려 사항:
확장할 각 새 지역에 동일한 인프라 패키지를 효율적이고 안전하게 배포할 수 있도록 보안 디자인 패턴을 개발해야 합니다. 가용성 전략은 성능 설계에 의해 보안이 손상되지 않고 성능 목표가 보안 조치의 영향을 받지 않도록 하기 위해 수행해야 하는 절충을 고려해야 합니다.
- 새 지역에 워크로드를 배포할 때 시스템이 기본적으로 보호되도록 설계 패턴에 시스템 무결성 프로세스 및 메커니즘을 포함해야 합니다.