AWS 공동 책임 모델

AWS Shared Responsibility Model; 공동 책임 모델; 책임 공유 모델
클라우드 보안과 규정 준수 책임을 AWS와 고객이 나누어 지는 원칙. AWS는 클라우드 자체의 보안(Security of the Cloud)을, 고객은 클라우드 내부의 보안(Security in the Cloud)을 책임진다.

클라우드로 옮긴다고 보안 책임이 모두 사업자에게 넘어가는 것은 아니다. AWS는 서비스를 돌리는 하드웨어, 소프트웨어, 네트워크, 시설을 지키고, 고객은 그 위에 올린 데이터, 계정과 권한, 운영 체제와 애플리케이션의 구성을 지킨다. 경계선의 위치는 고정되어 있지 않고 어떤 서비스를 쓰느냐에 따라 움직인다. 고객이 직접 관리하는 층이 많을수록 고객 책임도 넓어진다.

공식 한국어 자료는 "클라우드 자체의 보안"과 "클라우드 내부의 보안"으로 옮기며, 서비스별 문서에서는 "클라우드의 보안"과 "클라우드에서의 보안"(또는 클라우드 내 보안)이라고도 쓴다.

핵심 개념

구분	책임 주체	범위
클라우드 자체의 보안	AWS	리전·가용 영역·엣지 로케이션의 물리 시설, 서버·스토리지·네트워크 하드웨어, 호스트 운영 체제와 가상화 계층, 관리형 서비스의 소프트웨어
클라우드 내부의 보안	고객	고객 데이터, IAM 사용자·역할·권한, 게스트 운영 체제와 애플리케이션, 보안 그룹 등 네트워크 구성, 암호화 선택과 키 관리, 로그 활성화

서비스 유형별 책임 범위

고객 책임은 서비스가 얼마나 추상화되어 있는지에 따라 달라진다. 클라우드 서비스 모델에서 IaaS에 가까울수록 고객이 할 일이 많다.

항목	아마존 EC2 (인프라형)	아마존 RDS (관리형)	AWS Lambda, 아마존 S3 (추상화·서버리스)
물리 시설, 하드웨어, 가상화	AWS	AWS	AWS
운영 체제 패치	고객(게스트 OS)	AWS(유지 관리 기간에 적용)	AWS
런타임·DB 엔진	고객	AWS가 업데이트 제공, 고객은 버전과 유지 관리 기간 선택	AWS(Lambda 관리형 런타임)
애플리케이션 코드	고객	고객(DB 스키마, 쿼리)	고객(함수 코드와 라이브러리)
네트워크 접근 제어	고객(보안 그룹, NACL)	고객(보안 그룹, 퍼블릭 접근 여부)	고객(버킷 정책, 퍼블릭 액세스 차단, 함수 VPC 설정)
자격 증명과 권한	고객(IAM, OS 계정)	고객(IAM, DB 사용자)	고객(IAM 정책, 실행 역할)
데이터 암호화와 백업	고객(EBS 암호화, 스냅샷)	고객이 암호화·백업 보존 설정	고객이 암호화·버전 관리 설정

예를 들어 EC2 인스턴스의 OS 보안 패치는 고객 일이지만, RDS DB 인스턴스의 OS는 AWS가 유지 관리 작업으로 업데이트한다. 그래도 RDS에서 어떤 DB 사용자에게 어떤 권한을 줄지는 여전히 고객이 정한다. S3와 DynamoDB처럼 추상화된 서비스에서는 AWS가 인프라, OS, 플랫폼을 운영하고 고객은 데이터 관리(암호화 옵션 포함), 자산 분류, 적절한 권한 부여를 책임진다.

IT 통제의 분담

책임 분담은 IT 통제 항목에도 그대로 적용된다.

통제 유형	의미	예
상속 통제	고객이 AWS로부터 그대로 물려받는 통제	물리적·환경적 통제
공유 통제	인프라 계층과 고객 계층 모두에 적용되며 각자 자기 범위에서 수행	패치 관리(AWS는 인프라, 고객은 게스트 OS와 애플리케이션), 구성 관리(AWS는 인프라 장비, 고객은 OS·DB·애플리케이션), 인식 제고와 교육(각자 자기 직원)
고객 고유 통제	고객이 배포한 애플리케이션에 따라 전적으로 고객 책임	특정 보안 영역 안에서의 데이터 라우팅과 영역 분리

고객은 감사 때 AWS Artifact에서 AWS의 인증·감사 보고서를 받아 상속 통제의 근거로 쓰고, 나머지 통제는 직접 구현했음을 증명해야 한다.

설계에 주는 의미

관리형·서버리스 서비스를 고르면 고객이 직접 할 보안 작업(패치, OS 하드닝)이 줄어든다. 문제에서 "운영 오버헤드를 최소화"하라고 하면 이 점이 근거가 된다.
그러나 데이터와 접근 권한은 어떤 서비스를 써도 고객 책임으로 남는다. S3 버킷이 공개되어 데이터가 유출되었다면 그것은 고객 측 구성 문제다.
암호화 기능은 AWS가 제공하지만 켜는 것은 대부분 고객의 선택이다. 저장 데이터 암호화는 AWS KMS, 전송 데이터 암호화는 AWS Certificate Manager를 함께 본다.
계정 보호(루트 사용자 MFA, 최소 권한)는 AWS IAM에서, 탐지와 감사는 AWS CloudTrail과 아마존 GuardDuty에서 다룬다.

시험 포인트

"EC2 게스트 OS 패치는 누구 책임인가" → 고객. "RDS의 OS·DB 엔진 패치" → AWS가 수행(시점은 고객이 유지 관리 기간으로 조정).
물리 보안, 하드웨어 교체, 하이퍼바이저 보안은 항상 AWS 책임이다.
보안 그룹·NACL 규칙, IAM 정책, 암호화 활성화, 데이터 분류는 서비스 종류와 관계없이 고객 책임이다.
운영 부담을 줄이라는 요구에는 고객 책임 범위가 좁은 관리형 서비스(EC2 위 직접 설치 DB 대신 RDS, 서버 대신 Lambda)를 고른다.
패치 관리, 구성 관리, 교육은 공유 통제의 대표 예다.

같이 보기

참고 문헌