클라우드 공유 책임과 CSPM·CASB·CWPP·CNAPP의 역할

1장 개념과 보호 목표#

클라우드 공유 책임 모델은 제공자와 고객이 담당하는 보안 영역을 구분하는 방식입니다. 관리형 서비스라도 고객의 데이터 분류, 계정 권한과 설정 책임이 자동으로 없어지지는 않습니다.

2장 원리와 구분#

IaaS에서는 운영체제·애플리케이션 관리가 고객에게 더 많이 남고 PaaS·SaaS에서는 제공자가 관리하는 범위가 넓어집니다. 실제 경계는 서비스 문서와 계약에 따라 확인해야 합니다. CSPM은 설정 상태, CASB는 클라우드 이용·접근 통제, CWPP는 워크로드 보호에 초점을 둡니다. CNAPP는 여러 기능을 통합하는 제품군 표현이므로 제품 이름만으로 기능을 단정하지 않습니다.

클라우드 경보를 자동 수정할 때는 변경 권한과 롤백, 정상 업무 영향을 확인해야 합니다. 예를 들어 공개 스토리지를 닫는 조치가 웹 배포를 중단할 수 있으므로 데이터 민감도와 실제 서비스 구성을 함께 판단합니다. 외부 서비스와 SaaS도 목록에 포함해 방치된 계정과 데이터 복사본을 관리합니다.

3장 비교와 판단 기준#

기능군	초점	운영 연결
CSPM	설정과 정책 상태	자산 소유자·수정 검증
CASB	클라우드 이용·접근	허용 서비스·DLP·신원
CWPP	워크로드 보호	취약점·런타임·배포
CNAPP	여러 클라우드 보안 기능 통합	제품별 범위·운영 책임

4장 공급자가 운영하는 것과 고객이 설정하는 것#

클라우드는 운영 책임의 일부를 이전하지만 데이터·신원·권한·공유의 고객 판단을 없애지 않습니다. 실제 서비스와 계약이 어느 계층을 맡는지 확인해야 합니다. 같은 공급자의 제품이라도 제공 범위가 다를 수 있습니다.

계층	일반적인 고객 점검의 출발점	서비스별 확인
IaaS	게스트 OS·애플리케이션·계정·데이터	제공자의 인프라 경계
PaaS	코드·배포·설정·신원·데이터	런타임·지원 기능
SaaS	사용자·공유·외부 연동·정보 이용	계약·보존·관리 기능

5장 관리형 DB도 접근 정책은 남는다#

공급자가 패치·운영을 맡아도 고객의 네트워크 공개·계정·권한·질의·민감 데이터·백업 설정이 중요합니다. 서비스 기본값과 실제 변경 설정을 대조합니다. 관리형이라는 단어를 모든 보안 책임이 공급자에게 있다는 뜻으로 읽지 않습니다.

백업·복원·키 의존성과 공급자 장애 대응도 계약과 실제 시험으로 확인합니다. 성공적인 생성과 정상 조회만으로 복구 가능성을 판단하지 않습니다.

6장 자산 목록은 계정·지역·SaaS까지 확장한다#

운영·테스트·임시 프로젝트·다른 지역·외부 SaaS와 연결 계정을 포함합니다. 자산 소유자·데이터 분류·공개 경로·사용 종료일을 기록합니다. 핵심 계정의 화면만 보면 방치한 환경과 복사본을 놓칠 수 있습니다.

flowchart TB
 I["계정·지역·SaaS 자산 목록"] --> D["데이터와 업무 분류"]
 D --> P["신원·네트워크·설정 정책"]
 P --> V["경보와 실제 검증"]
 V --> O["소유자의 조치·예외·복구"]

7장 CSPM은 설정 상태를 조치에 연결한다#

공개 스토리지·과도한 정책·로그 누락 등 설정 위험을 발견할 수 있습니다. 도구의 수집 권한·지원 자산·정책 범위를 확인해야 합니다. 경보 0은 수집하지 못한 환경이 없는지와 함께 해석합니다.

경보에는 자산 소유자·민감도·수정 기한·예외·재검증을 연결합니다. 설정 화면에서 바꾼 것과 실제 접근 경로가 닫힌 것을 따로 확인합니다.

8장 CASB의 클라우드 이용·접근#

승인한 서비스·사용자·데이터 흐름을 관리하는 데 활용할 수 있습니다. 어떤 SaaS·기기·전송 경로를 볼 수 있는지와 DLP·접근 통제가 실제 어디에서 작동하는지 확인합니다. 도구 이름이 모든 외부 공유 경로를 포함한다는 뜻은 아닙니다.

직원 업무·예외·개인정보 수집의 영향을 고려하고 계정 회수·외부 연동·공유 사본을 운영에 연결합니다.

9장 CWPP의 워크로드#

서버·컨테이너 등 워크로드의 취약점·구성·런타임 행위에 초점을 둘 수 있습니다. 이미지·빌드·실행 중인 인스턴스와 실제 지원 환경을 확인합니다. 배포 이미지가 안전해도 실행 권한·비밀·네트워크의 정책이 필요합니다.

지원되지 않는 런타임과 수집 누락을 명시합니다. 개발·운영·보안의 수정 책임을 정해야 발견한 결함이 다음 배포에 반복되지 않습니다.

10장 CNAPP의 통합과 운영 책임#

여러 기능을 통합한 제품군으로 설명되지만 모든 제품이 같은 범위를 갖는 것은 아닙니다. 자산·계정·코드·설정·런타임·신원·데이터 중 실제 지원하는 기능을 비교합니다. 대시보드가 하나라는 사실은 조치 책임이 정해졌다는 뜻이 아닙니다.

도구의 기능	조직이 정할 책임
자산·위험 가시성	소유자·민감도·검토 범위
탐지·우선순위	업무 영향·예외·기한
자동 수정	권한·승인·롤백·기록
운영 연계	대응·복구·재검증

11장 공개 스토리지 사례의 판단#

공개 객체가 웹 자원인지 고객 자료인지 구분합니다. 민감 데이터가 잘못 공개되었다면 차단과 접근 이력·사고 영향을 조사합니다. 자동으로 공개를 닫는 동작이 정상 웹 배포를 끊는지도 시험해야 합니다.

자산·데이터 확인
공개가 필요한 업무인지 판단
허용 정책과 실제 접근 대조
민감 노출이면 차단·조사·대응
수정 후 재검증과 정상 업무 확인

12장 신원과 서비스 계정의 권한#

관리자·개발자·배포·실행 서비스의 권한을 분리하고 장기 키·공유 관리자 계정을 줄입니다. 계정 잠금과 기존 세션·토큰·외부 연동 회수의 관계를 확인합니다. 키 정책과 데이터 권한이 결합된 복호화 경로도 조사합니다.

예외와 긴급 변경은 범위·시간·승인·기록을 둡니다. 공급자의 보안 기능이 존재해도 고객의 과도한 권한을 자동으로 없애 주지는 않습니다.

13장 자동 수정과 복구 시험#

허용한 정책·최소 권한·원복·실패·중복 실행을 설계합니다. 정상 서비스의 의존성을 확인한 뒤 자동화를 적용합니다. 백업 복원·키 장애·지역 장애·외부 SaaS 장애를 실제 업무 순서로 시험합니다.

공유 책임은 계약 문구로 끝내지 않고 자산별 설정·기록·조치·복구의 소유자와 증거로 옮겨야 실효성이 있습니다.

14장 적용 사례와 운영 방법#

스토리지 공개 설정, 과도한 서비스 계정 권한, 로그 수집 누락은 고객이 직접 점검해야 할 대표 항목입니다. 도구 경보는 자산 소유자와 연결해 조치하고 실제 설정 변경 여부를 재검증합니다. 백업과 복원, 공급자 장애 시 업무 연속성도 책임 범위에 포함합니다.

15장 관리형 서비스에도 고객이 정할 항목이 남는다#

IaaS에서는 게스트 OS와 애플리케이션, PaaS에서는 배포 코드·설정, SaaS에서는 계정·공유·데이터 이용 정책의 책임이 중요합니다. 이 구분은 일반적인 방향이며 실제 책임 경계는 선택한 서비스와 계약에 따라 확인해야 합니다. 같은 공급자의 제품도 고객이 통제하는 항목이 다릅니다.

클라우드 보안 도구를 선택할 때는 이름보다 지원 자산·계정·배포 경로·런타임·데이터 가시성을 비교합니다. CSPM의 설정 경보, CWPP의 워크로드 정보, CASB의 사용·접근 정보가 어느 운영팀의 조치로 이어지는지 정해야 통합 화면에 경보만 쌓이는 일을 피할 수 있습니다.

16장 공개 스토리지 경보를 업무 맥락에서 처리하기#

공개 객체가 정적 웹 자원인지 고객 데이터인지 먼저 분류합니다. 민감 데이터가 잘못 공개되었다면 접근 차단·사용 기록 조사·사고 영향 판단을 연결합니다. 자동 수정은 정해진 정책·최소 권한·롤백·변경 기록을 갖추고 정상 배포에 미치는 영향도 시험합니다.

자산 목록에는 여러 계정·지역·SaaS와 방치된 테스트 환경을 포함합니다. 퇴사 계정 회수, 외부 공유, 백업 복원과 공급자 장애 시 대응을 고객의 통제와 연결해야 관리형 서비스의 책임 범위를 실제 업무로 옮길 수 있습니다.

17장 적용 전 확인할 사항#

서비스별 책임과 계약상 제공 기능을 기록한다
자산·계정·네트워크·데이터 설정을 함께 점검한다
경보 조치와 복원 테스트의 증거를 남긴다

18장 자주 묻는 질문#

CNAPP를 도입하면 다른 보안 운영은 필요 없나요?#

통합 도구는 가시성을 높일 수 있지만 권한 설계·예외 승인·사고 대응과 업무 판단은 운영 체계에 연결해야 합니다.

SaaS는 공급자가 운영하므로 고객 보안팀의 점검이 필요 없나요?#

고객의 사용자·권한·데이터 공유·외부 연동 설정은 여전히 중요합니다. 제공자의 증거와 고객 설정 검증을 함께 수행해야 합니다.

CSPM 경보가 0이면 클라우드가 안전한가요?#

지원 자산·수집 권한·정책 범위 밖의 위험이 남을 수 있습니다. 가시성 누락과 업무 인가·데이터 흐름도 점검해야 합니다.