[KT-Cloud] 클라우드 서비스 공공인증 개편 및 보안기술 동향

행정/공공기관의 민간 Cloud 이용

• 행정 공공기관의 Cloud 이용 (행안부)
• 23년 CSAP 공공인증 개편 내역 (과기부)
  • 공공 전환 관련 국정원 보안관제 요구사항 (국정원)

Cloud 보안 Trend

• ZTNA (Zero Trust Network Access)
• CSPM (Cloud Security Posture Management)
• SIEM (Security information and event management)

행정/공공기관의 민간 Cloud 이용

이용배경

• 전문 운영 인력 부족
• 서버 노후화
• 디지털 전환 가속화

이용대상

• 25년까지 행정기관과 공공기관이 운영 중인 모든 정보시스템을 클라우드 환경으로 전환
  • 공공클라우드센터 : 국가아보, 수사/재판, 내부업무 처리 등을 다루는 정보시스템 운영
  • 민간클라우드센터 : 상기 이외는 보안 및 안정성을 인증받은 민간 클라우드 이용

민간 Cloud 이용 기준

• 인증 받은 민간 클라우드
  • 클라우드 보안인증(IaaS, SaaS)을 받은 서비스만 이용 가능
• 인증 기준

KT Cloud (공공용)

• 강력한 NW 보안 (w/전문 보안 관제) 서비스 제공
• 다양한 보안 인증 획득으로 보안 신뢰성 보장
  • Anti-DDoS - IPS - FW - WAF
• 서버 및 서비스 보안을 위한 다양한 보안 상품 제공

'23년 CSAP 등급제 도입

인증 유형: IaaS, SaaS, PaaS, 둘이상의 복합서비스(DaaS)
보안인증 등급 : 클라우드컴퓨팅서비스의 정보보호 수준에 따라 상, 중, 하 로 구분

• 상, 중 등급 : 실증후 시행
• 하 등급 : 논리적영역(공공/민간)분리 허용 (항목 : 14개분야/117개 -> 14개분야/64개)

  ('하'등급) 공개된 공공데이터를 운영하는 시스템 (개인정보 미포함)
  ('중'등급) 비공개 업무자료를 포함 또는 운영하는 시스템
  ('상'등급) 민감정보를 포함하거나 행정 내부업무 운영 시스템
  *국가정보보안기본지침('23. 1월, 국정원)
  *국가 클라우드 컴퓨팅 보안 가이드라인 ('23. 1월, 국정원)

현재의 경우 중등급, 망부터 해서 서버 자원도 다 분리되어있는 시스템 (인터넷 연결가능)
상등급은 인터넷이 연결되지 않고 완전히 폐쇄망 형태
하등급은 같은 물리자원을 공공과 민간이 공유할 수 있는 형태

국정원 보안관제 요구사항

• 국가 클라우드 보안 가이드라인 (국정원='23. 1월)에서 "민간 클라우드 컴퓨팅 서비스 보안관제" 요구
  (서비스 공급업체) 보안관제 수행 및 정보보안관제체계를 연계할 수 있는 기반 제공
  (이용기관) 탐지기술 적용 및 보안관제 수행. 탐지 정보를 정보보안관제체계와 연계

이 부분에 맞추어 KT-Cloud 도 서비스로 구현을 해서 보안관제 요구사항에 대응하고 있다.

Cloud 보안 Trend

Cloud 서비스 이용시 보안

• 접속통제 -> 서버보안 -> 보안관제
• ZTNA -> SIEM -> CSPMZTNA Zero Trust Network Access
• COVID-19 및 클라우드 서버 전환에 따라 원격 접속 (사무실, 재택 등)이 증가하고 있으며, 이러한 다양한 접속 환경 (보안수준이 다름)에 대해 대응 가능한 네트워크 보안 모델이 ZTNA 이다.
  • 단말의 보안 수준에 따라 접속 가능 서버 통제 서비스 제공 (원격 접속 보안 강화)
    

    

    
    *ABAC(Attribute Base Access Control)

CSPM Cloud Security Posture Management

• 클라우드 설정 취약점 진단 솔루션
  1) 자산관리 (시각화, 멀티클라우드 지원)
  2) 취약점 진단 (Cloud계정, 설정 취약점 등)
  3) 컴플라이언스 준수 (지속적인 체크)
  

  

• DashBoard
  

  

SIEM Security Information and Event Management

• 보안 관제 서비스
  • Managed 보안관제 / Self 보안관제 서비스 제공
    

    

  • SOAR 로 확대 예정 (Security Orchestration, Automation, and Response)
    

    

하단의 자료를 보시면 더 자세한 설명을 들으실 수 있습니다.
참고자료
https://www.youtube.com/watch?v=I4Fk72bTX6g