• 디지털융복합연구
• /
• 제13권8호
• /
• pp.43-49
• /
• 2015

대표적인 융복합 ICT 서비스라고 할 수 있는 클라우드 컴퓨팅 서비스에 대한 법안이 2015년 3월에 통과되면서 많은 업체나 기관에서 다시금 클라우드 서비스 도입을 고려하고 있으나 보안에 대한 염려 때문에 서비스 도입을 주저하고 있다. 이러한 문제를 해결하기 위해서는 클라우드 서비스 보안에 대한 객관적이고 공정한 평가와 인증을 수행할 수 있는 클라우드 보안 인증체계의 도입이 요구된다. 현재 클라우드 보안 인증체계에 관한 연구가 활발히 진행되고 있지만 인증스킴에 대한 연구는 미흡하다. 따라서 본 연구는 국외 클라우드 보안 인증체계와 클라우드 서비스 제공자에 대한 평가 제도를 분석하여 국내 클라우드 보안 인증 도입시 고려되어야 할 요소들을 분석하였다. 이를 기반으로 국내 실정에 맞는 3가지 인증스킴을 제시하였고, 포커스 그룹 인터뷰를 통하여 인증스킴별 장단점을 도출하여 상황에 적절한 인증스킴을 제시하였다.

• 정보보호학회논문지
• /
• 제23권6호
• /
• pp.1231-1238
• /
• 2013

클라우드서비스에 대한 수요가 급증하고 있는 환경에서 보안 및 개인정보 침해를 우려하고 있다는 사실은 자칫 산업 활성화를 저해할 가능성이 있다. 따라서 클라우드서비스의 이용 신뢰성을 보장하는 것은 매우 중요하다. 본 논문에서는 클라우드서비스의 신뢰성을 보장하기 위한 CSA 인증, FedRAMP 인증, 한국클라우드서비스협회의 인증 등 국내외의 제도들을 비교함으로써 국내의 클라우드서비스 인증에는 보안 통제사항이 부족하다는 결론에 도달한다. 이에 따라 보안을 강화하기 위하여 국제표준인 ISO/IEC 27017, 한국인터넷진흥원(KISA)의 정보보호관리체계(ISMS) 인증에서의 보안 통제사항을 참고하여 제도 운용의 용이성, 전문성 등을 고려한 적절한 발전방향을 제시하였다.

• 정보보호학회지
• /
• 제20권2호
• /
• pp.32-43
• /
• 2010

클라우드 컴퓨팅 서비스의 많은 장점에도 불구하고 아직 기업들이 서비스의 가용성 및 데이터 보안, 자사 데이터에 대한 통제권 확보, 종속성 등의 문제로 클라우드 컴퓨팅 서비스의 이용을 꺼리고 있다. 이 같은 문제들은 기술개발, 표준화, 표준약관, 서비스수준협약(SLA) 등으로 어느 정도 해결이 가능하다 그러나 데이터가 여러 국가에 복제되어 분산 저장될 경우 데이터의 국외이전 금지 문제, 데이터의 보관 및 파기 의무, IT 컴플라이언스 수탁자의 불법행위에 대한 위탁자의 책임, 자신의 데이터센터에 저장된 불법정보에 대한 클라우드 서비스제공자의 책임범위, 클라우드 서비스제공자의 책임제한 등 현행법상의 법적 규제와 충돌되는 부분에 대해서는 법. 제도적 접근과 검토가 필요하다. 클라우드 컴퓨팅 산업의 촉진 및 이용 활성화를 위해서는 구체적으로 다음과 같은 사항이 법 제도적으로 검토되어야 한다. (1) 클라우드 서비스나 솔루션을 시험할 수 있는 테스트베드 구축 등 시범사업 근거 마련, (2) 분야별 특화된 클라우드 서비스 모델 개발 및 사업화를 위한정부시책 추진 및 지원 근거 마련, (3) 민 관의 포괄적 협력 기반조성 및 정부의 기술 개발연구 지원체계 마련, (4) 사전 인증 및 사후 보증체계 구축을 통한 클라우드 서비스의 신뢰성 및 안정성 제고, (5) 클라우드 서비스의 상호운용성 확보를 위한 표준화, (6) 클라우드 컴퓨팅의 정보보안, 개인정보보호 등 각종 법률 이슈와 예상되는 다양한 이해관계 충돌 문제에 대응할 수 있도록 서비스제공자와 이용자 대상의 지침 근거 마련, (7) 클라우드 속에 있는 기업의 정보지산에 대한 접근권 보장, (8) 정보자산의 실제 위치와 선택권 보장, (9) 정보자산의 부적절한 접근 방지와 오남용 방지, (10) 클라우드 서비스 제공기업 또는 서비스 자체의 영속성 보장, (11) 서비스 장애 책임범위와 분담, (12) 소프트웨어 라이선스 등에 대한 규정이 고려되어야 한다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2024년도 춘계학술발표대회
• /
• pp.112-113
• /
• 2024

컨테이너 기반 애플리케이션 개발의 증가와 마이크로서비스 아키텍처의 보급으로 컨테이너 클러스터 내 워크로드 간 안전한 통신이 중요해지고 있다. 또한, 최근에는 단일 클러스터 환경이 아닌 멀티 클라우드 등의 도입과 함께 다중 클러스터 환경이 점차 증가하면서 서로 다른 클러스터의 서비스 간 통신에 대한 보안 역시 강조되고 있다. 따라서, 본 논문에서는 이러한 요구사항을 충족시키기 위해 다중 클러스터 환경에서의 서비스 간 상호 인증 및 통신 암호화를 구현하고자 한다. 특히, 서비스 간 상호 인증이 가능한 mTLS (Mutual TLS)를 SPIFFE/ SPIRE 를 이용하여 구현하고, 이를 다시 확장하여 단일 클러스터 뿐만 아니라 다중 클러스터에서도 동일한 상호 인증 체계 및 통신 암호화를 사용할 수 있도록 하므로 컨테이너 환경 전반에 걸친 보안성과 신뢰성을 향상시키고자 한다.

• 디지털융복합연구
• /
• 제11권12호
• /
• pp.467-477
• /
• 2013

클라우드 컴퓨팅 서비스가 대중적으로 보급됨에 따라 공공분야에서 해당 서비스의 도입에 대한 관심이 증가하고 있다. 이에 따라 국내에서는 클라우드 컴퓨팅을 공공분야에 도입하거나 계획하고 있으며 점차 구체적으로 구축하고 있다. 하지만 공공분야에서의 클라우드 도입 및 활성화를 위해서는 서비스 가용성 장애요인 및 인증 받지 않은 사용자의 무단 접근, 불분명한 출처로부터 다운로드 받은 데이터로 인한 클라우드 데이터센터의 신뢰성 저하 등의 보안 위협에 대한 해결방안을 모색할 필요성이 있다. 따라서 본 논문에서는 공공기관 클라우드 데이터센터에서 활용 가능한 공개키 기반의 안전한 데이터 관리 기법에 대해서 제안한다. 이를 통해 공공기관에 클라우드 컴퓨팅을 도입할 때 인증 받은 사용자만 데이터센터를 사용할 수 있고, 공공 데이터의 중요도와 난이도를 공용데이터, 개인데이터, 기밀데이터로 설정해주어 체계적이고 안전하며 효율적으로 데이터 관리를 가능하게 한다. 따라서 공공기관에서의 클라우드 서비스에 대해 전반적인 보안성과 편의성을 향상시킬 수 있을 것으로 기대된다.

• 한국인터넷방송통신학회논문지
• /
• 제23권3호
• /
• pp.19-26
• /
• 2023

전 세계적으로 에너지, 금융 서비스, 보건, 통신, 교통 분야의 클라우드 전환에 따라 지속적으로 클라우드제공업체에 대한 주요기반시설 지정 움직임이 확산되고 있다. 또한, 우크라이나 사태에서는 국가 주요시설의 클라우드 사용 규제 철폐와 신속한 주요 데이터에 대한 클라우드 전환으로 인해 러시아의 기반시설을 겨냥한 사이버 공격에 효율적으로 대처할 수 있었다. 한국에서는 체계적, 종합적인 정보보호 관리체계를 구현하고, 조직의 정보보호 및 개인정보보호 관리 수준 향상을 위해 ISMS-P가 기업의 정보보호 및 개인정보보호 수준 제고를 위해 운영되고 있다. 클라우드 환경을 고려한 통제항목이 수정, 추가 되어 기업의 심사에 운영되고 있다. 그러나, 클라우드의 국내외 기술적 수준이 상이하고 하이퍼스케일 규모에 대한 국내 인증심사원들의 교육을 위해서는 Microsoft같은 클라우드 공급업체의 결함사항에 대한 정보를 구하기 쉽지 않았다. 이에, 본 논문에서는 하이퍼스케일 클라우드상 에서의 결함사항을 분석하고, 하이퍼스케일환경과 ISO/IEC 27001 및 SOC 보안 국제 표준과의 정합성을 고려하여 보다 클라우드에 특화된 통제항목 개선방안을 제시하였다.

• 사물인터넷융복합논문지
• /
• 제9권2호
• /
• pp.55-60
• /
• 2023

최근 클라우드 컴퓨팅의 수요가 증가하고 자택근무 및 외부 업무로 인한 원격접속의 증가했다. 또한 외부 공격자의 접근뿐만이 아니라 내부 직원의 업무 접속과 같은 내부에서의 접근을 경계해야 할 필요성이 증가함과 동시에 다양한 공격 기법들이 고도화되는 현 상황에서 그에 맞는 새로운 보안 패러다임이 요구된다. 이로 인해 모든 것을 의심하고 신뢰하지 않는다는 핵심 원칙을 가진 제로 트러스트(Zero-Trust)를 적용한 네트워크 보안 모델이 보안업계에서 주목받기 시작했다. 제로 트러스트 보안은 모든 네트워크를 감시하고 접근을 허용 받기 위해선 먼저 인증을 받아야 하며 접근 요청자에 대한 최소한의 접근 권한을 부여함으로써 보안성을 높인다. 본 논문에서는 제로 트러스트와 제로 트러스트 아키텍처에 대해 설명하고, 제로 트러스트와 블록체인을 이용하여 기존 보안 시스템의 한계점을 극복하고 다양한 기업에서 활용할 수 있고 접근제어 강화를 위한 새로운 클라우드 보안 체계를 제안하고자 한다.

• 한국정보통신학회논문지
• /
• 제25권12호
• /
• pp.1898-1903
• /
• 2021

최근, 네트워크 확장 및 클라우드 인프라 확장 그리고 코로나 상황에 따른 근무 형태의 변화인 자택근무 및 외부업무로 인한 원격접속의 증가로 외부 공격자의 접근뿐만이 아니라 내부 직원의 업무 접속과 같은 내부에서의 접근을 경계해야 할 필요성이 증가하고 있다. 이로 인해 제로 트러스트라는 새로운 네트워크 보안 모델이 주목받고 있다. 제로 트러스트는 신뢰할 수 있는 네트워크는 존재하지 않는다는 핵심원칙을 가지고 있으며 접근을 허용받기 위해선 먼저 인증을 받아야하며 인증 받은 사용자와 인증된 디바이스로만 데이터 리소스에 접근 할 수 있다는 개념으로 진행된다. 이 논문에서는 이러한 제로 트러스트와 제로 트러스트 아키텍처에 대해 설명하고, 제로 트러스트를 이용하여 다양한 기업에 적용할 수 있는 새로운 보안 적용 전략과 제로 트러스트 아키텍처 모델을 기반으로 하는 새로운 보안체계의 구축 프로세스를 고찰하려 한다.