Loading presentation...

Present Remotely

Send the link below via email or IM

Copy

Present to your audience

Start remote presentation

  • Invited audience members will follow you as you navigate and present
  • People invited to a presentation do not need a Prezi account
  • This link expires 10 minutes after you close the presentation
  • A maximum of 30 users can follow your presentation
  • Learn more about this feature in our knowledge base article

Do you really want to delete this prezi?

Neither you, nor the coeditors you shared it with will be able to recover it again.

DeleteCancel

Make your likes visible on Facebook?

Connect your Facebook account to Prezi and let your likes appear on your timeline.
You can change this under Settings & Account at any time.

No, thanks

클라우드 서비스와 정보보안

No description
by

Lewis Kim

on 27 September 2012

Comments (0)

Please log in to add your comment.

Report abuse

Transcript of 클라우드 서비스와 정보보안

김동환 클라우드 정보 보안 클라우드 컴퓨팅은 IT 자원을 소유하지 않고
일부 또는 모두를 아웃소싱 하는 형태 클라우드 컴퓨팅 보안 이슈 필연적으로 보안 문제가 제기 될 수 밖에 없음 두 가지 소비자 영역 - 이메일, 블로그, 동호회, 사진 및 파일 저장과 공유서비스 주로 이용
- 무료로 제공하는 서비스 선호 개인 사용자 관점의 보안 개인정보 노출

개인에 대한 감시

개인 데이터에 대한 상업적 목적의 가공 개인 사용자 관점에서 우려하는 보안 문제 - 자신이 소유하던 IT자산을 클라우드 형태로 제공받기 원함
- 자신의 데이터가 타인과 공유되기를 원하지 않음
- 안정성과 안전성을 제공하면 비용을 지불할 의사가 있음 기업 사용자 관점의 보안 서비스 중단

기업 정보 훼손

기업 정보 유출

고객 정보 유출

법/규제 준수

e-discovery 대응 기업 사용자 입장에서 우려하는 보안 문제 클라우드 컴퓨팅에 대한 보한 요구 사항이 다르다 익명성 보장 컴플라이언스 개인 기업 가상화 취약점 상속 클라우드 서비서는 하이퍼바이저를 사용하여 동시에 복수의 가상머신을 구동하는 역할

하이퍼바이저가 악성코드에 감염될 경우 동일 하이퍼바이저상의 가상머신들에 의해 악성코드 감염 및 감염 확산의 위협

가상머신의 특정 응용프로그램에 해킹툴이 포함 될 경우, 다른 가상머신과 하이퍼 바이저 등에 대한 공격 가능

클라우드 서비스의 가상화를 위해 Xen, VMware, RHEV, VMM등 가상화 기능을 지원하는 하이퍼바이저 적용에 따라, 이들 취약성을 클라우드 서비스가 상속 정보위탁에 따른 정보 유출 클라우드 서비스는 이용자의 정보를 모두 원격의 클라우드 서버에 제공하고 그 관리 또한 서비스 제공자가 담당하기 때문에 내부자 또는 악의적인 이용자에 의해 유출될 가능성이 있다 이용자의 정보가 모두 원격으로 저장되기 때문에 서버 내 다른 이용자가 타인의 정보를 비밀스럽게 복사, 이동, 수정 하여도 본래 소유권이 있는 이용자는 알 수 없다

이용자 정보관리를 서비스 제공자가 담당하기 때문에 내부자에 의해 정보 유출 가능성이 있다

이용자 정보의 소유와 관리가 분리되는 특징 때문에 정보의 유출, 손실 시 책임 소재가 불분명하다

임대 시스템에 대한 패치는 서비스 제공자에 의해서만 가능하며 이용자가 직접 패치를 수행 할 수 없는 문제점이 있다 자원 공유 및 집중화에 따른 서비스 장애 대부분의 자원이 클라우드 서버에 집중되므로 물리자원에 장애가 생길 경우, 해당 자원을 공유하는 모든 사용자의 서비스가 중지되는 위협이 존재 DDoS등의 서비스 가용성 침해 공격 및 관리상의 오류 등으로 서비스 장애 발생 시, 서비스 제공자의 복구 조치가 있기 전에는 서비스 사용이 불가 사용단말의 다양화에 따른 정보 유출 PC, 스마트폰, 스마트 TV등 다양한 형태의 단말의 접속을 허용하기 때문에 각각의 단말이 갖는 보안위협이 클라우드 서비스에 상속

스마트폰과 같은 모바일 기기 분실 시 이용자 정보 유출이 가능

공공 Wi-Fi와 같은 보안성이 떨어지는 접속환경에서 서비스 접속을 시도하는 경우 도청, 중간자 공격 등 다양한 정보 유출 위협이 있을 수 있다 분산 처리에 따른 보안적용의 어려움 대용량 데이터가 분산파일 시스템을 통해 많은 서버들에 분산 저장, 관리됨에 따라 데이터 암호화, 이용자 인증, 접근제어 등의 어려움이 증가 법규 및 규제의 문제 클라우드 서비스는 정보의 소유자와 관리 주체 분리, 서버의 분산 배치 등 다양한 환경적 특성 때문에 기존의 법규와 규제로 적용 시 문제가 발생 할 수 있다 국외의 서버를 이용할 경우, 서버의 위치에 따라 국내 법규 및 규제의 적용이 어려울 수 있다

클라우드 서비스는 여러 이용자아 자원을 공유하며 가상머신이 동적으로 재배치 되는 특성 때문에 보안법규 적용 검토를 위한 감사 증적의 문제가 발생할 수 있다

ISMS등 보안성 평가 및 보안감사 항목에 현재까지 클라우드 관련 점검 항목을 포함하지 않아 마땅한 보안 점검 및 규제 방안이 없다 클라우드 서비스 사고발생 사례 2008년부터 아마존, 구글 등 클라우드 서비스 장애 및 중단 사고가 지속적으로 발생하고, 보안 문제점이 지적됨에 따라 가상화 보안, 기업 내부 데이터 보호, 보안관제 등 보안 제품의 상용화가 진행 중 클라우드 관련 보안제품 개발 동향 시만텍 엔드포인트 프로텍션 가상화 환경에 적합한 형태의 바이러스 백신 기능 포함

가상환경은 여러 게스트 운영체제에서 동시에 바이러스 검색 시 디스크 병목 현상이 발생할 수 있으므로, 평판기반으로 안전한 것으로 판단된 파일의 검사를 생략하거나 가상머신별로 백신 동작 시간을 조정하여 성능 과부하를 방지 할 수 있도록 하는 기능 포함 IBM 클라우드 환경에 적용 가능한 단일 보안제품뿐만 아니라, 기업별 클라우드 IT전략 수립과 비지니스 모델 운영을 위한 컨설팅 서비스 등 기업의 안전한 클라우드 환경 구축 및 운영을 지원하고 있다

소프트웨어 개발 솔루션 티볼비(Tivoli)에 중앙집중식 인증, 정책관리 및 접근 제어 서비스 등을 추가 제공하여 클라우드 환경에 적용가능 하도록 보안 기능을 확대 제공 EMC 보안관제 솔루션 CTA VMWare VM웨어 전용의 통합 보안 솔루션 v쉴드 한국 CA 클라우드 계정 및 접근 통합 관리 솔루션(IAM)인 클라우드 커넥티드 매니지먼트 스위트 제공 안철수연구소 클라우드 컴퓨팅을 활용한 보안서비스 전략 ACCESS
(AnLab Cloud Computing E-Security Service)

다양한 보안장비로부터 악성코드를 수집하고 분석하는 '종합 위협 분석 시스템'을 클라우드 플랫폼 형태로 구축하고 각종 위협에 대한 대응 방법을 실시간으로 생성/공유 하는 방식으로 DDoS등 위협에 종합적인 대응 체계를 지원 관리적 측면 클라우드 서비스 제공자의 정보보호 고려사항 기술적 측면 정보보호정책 및 약관 수립

정보보호조직 구성, 운영 및 인력 보안

자산분류 및 통제

비상대응체계 구축

서비스 연속성 확보

관련 법률 및 제도의 준수 네트워크 보안

시스템 및 가상화 보안

데이터센터 구축 및 이용 조건

이용자 데이터 저장 및 관리

사용자 인증 및 접근제어

클라우드 서비스 이용자의 정보보호 고려 사항 기업 이용자 개인 이용자
Full transcript