NIST SP 800-144
더 많은 작업
NIST SP 800-144(Guidelines on Security and Privacy in Public Cloud Computing)는 미국 국립표준기술연구소(NIST, National Institute of Standards and Technology)가 발행한 퍼블릭 클라우드 컴퓨팅의 보안 및 개인정보 보호 지침으로, 클라우드 서비스 도입·운영·종료 과정에서 발생하는 위험과 이에 대한 관리적·기술적 대응 방안을 제시하는 특별간행물이다.
NIST SP 800-144는 조직이 정보시스템, 애플리케이션 및 데이터를 퍼블릭 클라우드(Public Cloud)로 이전하거나 외부 클라우드 서비스를 이용할 때 고려해야 하는 보안 및 개인정보 보호 문제를 다룬다.
클라우드 컴퓨팅은 컴퓨팅 자원을 필요에 따라 신속하게 확보하고 확장할 수 있다는 장점이 있지만, 조직이 직접 관리하던 시스템과 데이터를 외부 사업자의 인프라에서 처리하게 되므로 통제권, 책임, 신뢰성, 규제 준수 및 사고 대응 측면에서 새로운 문제가 발생한다.
이 문서는 이러한 문제를 분석하고 조직이 클라우드 서비스의 보안성을 평가하고 위험을 관리할 수 있도록 권고사항을 제공한다.[1]
주요 특징은 다음과 같다.
- 퍼블릭 클라우드의 보안 및 개인정보 보호 위험에 초점.
- 클라우드 서비스 제공자와 이용자 사이의 책임 분담 강조.
- 클라우드 환경에서의 거버넌스, 규제 준수 및 신뢰 문제 분석.
- 다중 테넌트 환경의 논리적 격리와 가상화 보안 문제 검토.
- 신원 및 접근 관리, 데이터 보호, 가용성, 사고 대응에 관한 권고사항 제공.
- 클라우드 서비스 도입 전 검토부터 계약 종료까지 전체 수명주기 관리.
- 특정 클라우드 사업자, 제품 또는 배포 모델을 권장하지 않는 기술 중립적 접근.
NIST SP 800-144는 보안 통제를 번호별로 나열한 통제 카탈로그가 아니라, 클라우드 도입과 운영에 필요한 위험 평가 및 의사결정 지침이다.
| 항목 | 내용 |
|---|---|
| 문서 번호 | NIST SP 800-144 |
| 정식 명칭 | Guidelines on Security and Privacy in Public Cloud Computing |
| 한국어 명칭 | 퍼블릭 클라우드 컴퓨팅의 보안 및 개인정보 보호 지침 |
| 발행기관 | 미국 국립표준기술연구소(NIST) |
| 저자 | Wayne Jansen, Timothy Grance |
| 발행일 | 2011년 12월 9일 |
| 문서 상태 | Final |
| 최신 확정판 | SP 800-144(2011) |
| 주요 분야 | 클라우드 보안, 개인정보 보호, 위험 관리, IT 아웃소싱 |
| 주요 적용 대상 | 클라우드 서비스 이용기관, 정보보호 담당자, 시스템 관리자, IT 의사결정자 |
| 공식 문서 | NIST CSRC |
| 원문 |
NIST는 2011년 클라우드 컴퓨팅의 확산에 대응하여 클라우드 서비스의 개념과 보안 문제를 체계적으로 정리한 문서들을 발행하였다.
- 2011년 9월: SP 800-145, The NIST Definition of Cloud Computing 발행.
- 2011년 12월: SP 800-144, Guidelines on Security and Privacy in Public Cloud Computing 발행.
- 2012년 5월: SP 800-146, Cloud Computing Synopsis and Recommendations 발행.
SP 800-145가 클라우드 컴퓨팅의 개념과 서비스·배포 모델을 정의한 문서라면, SP 800-144는 퍼블릭 클라우드를 이용할 때 발생하는 보안 및 개인정보 보호 문제에 집중한다.
이후 발행된 SP 800-146은 클라우드 컴퓨팅의 기술적 특성과 도입 시 고려사항을 더 폭넓게 다룬다.[2]
2026년 10월 23일 기준 NIST CSRC는 SP 800-144의 2011년 12월판을 최종본(Final)으로 제공하고 있으며, 별도의 개정판은 확인되지 않는다.[3]
다만 이 문서는 2011년의 기술 환경을 바탕으로 작성되었다. 따라서 최신 클라우드 서비스의 세부 기술 구성, 보안 기능 및 규제 요구사항을 판단할 때는 이후 발행된 NIST 문서와 함께 검토해야 한다.
NIST SP 800-144는 미국 연방기관의 클라우드 도입을 주요 배경으로 작성되었지만, 민간기업과 다른 조직도 자발적으로 활용할 수 있다.
주요 독자는 다음과 같다.
- 클라우드 도입 여부를 결정하는 경영진 및 정보화 책임자.
- 정보보호 최고책임자(CISO)와 보안 관리자.
- 클라우드 보안 위험을 평가하는 감사 및 위험 관리 담당자.
- 클라우드 시스템을 설계·구축·운영하는 기술 담당자.
- IT 서비스 조달 및 계약 담당자.
- 개인정보 보호 담당자.
- 퍼블릭 클라우드 서비스 이용자.
문서는 특정 사업자의 서비스나 계약 방식을 일률적으로 권장하지 않는다.
각 조직이 자체적인 업무 요구사항과 정보의 민감도, 위험 허용 수준을 분석하고 적합한 서비스를 선정하도록 하는 것이 목적이다.[1]
NIST SP 800-144는 클라우드 서비스 모델에 따라 제공자와 이용자가 통제할 수 있는 시스템 구성요소가 달라진다는 점을 강조한다.
서비스 모델은 NIST SP 800-145의 정의를 따른다.[4]
| 서비스 모델 | 영문 | 제공 범위 | 이용자의 주요 관리 영역 |
|---|---|---|---|
| IaaS | Infrastructure as a Service | 서버, 스토리지, 네트워크 등 기반 인프라 | 운영체제, 애플리케이션, 데이터 및 이용자가 구성하는 보안 설정 |
| PaaS | Platform as a Service | 인프라와 애플리케이션 개발·실행 플랫폼 | 배포하는 애플리케이션, 데이터 및 관련 설정 |
| SaaS | Software as a Service | 완성된 애플리케이션 서비스 | 이용자 계정, 데이터, 접근 권한 및 제공되는 보안 설정 |
클라우드 이용자는 일부 시스템 구성요소의 운영을 제공자에게 위탁하지만, 조직의 정보와 업무에 대한 보안 책임이 모두 이전되는 것은 아니다.
서비스 모델에 따라 제공자와 이용자의 책임 범위가 달라진다.
- IaaS: 제공자는 주로 물리적 인프라와 가상화 기반을 관리하며, 이용자는 운영체제와 애플리케이션 등의 보안을 관리한다.
- PaaS: 제공자가 운영체제와 실행 플랫폼까지 관리하지만, 이용자는 애플리케이션과 데이터에 대한 보호조치를 수행한다.
- SaaS: 제공자가 애플리케이션까지 운영하지만, 이용자는 계정 관리, 권한 설정, 데이터 이용 정책 등 자신에게 남아 있는 책임을 수행한다.
실제 책임 범위는 서비스의 구성과 계약 조건에 따라 달라질 수 있다.
따라서 조직은 클라우드 서비스 이용 전에 각 구성요소의 관리 주체와 보안 책임을 확인해야 한다.
SP 800-144는 클라우드 컴퓨팅을 IT 아웃소싱의 한 형태로 다룬다.
조직이 시스템의 물리적 통제권을 상실하더라도 정보보호에 관한 책임성(Accountability)을 유지해야 한다는 것이 핵심이다.
이를 위해 다음 사항이 중요하다.
- 제공자의 보안 정책과 통제 수준 파악.
- 제공자와 이용자의 역할 및 책임 명확화.
- 보안 통제의 운영 상태를 확인할 수 있는 수단 확보.
- 외부 감사 및 독립적인 평가 결과 활용.
- 사고 대응과 서비스 복구에 필요한 협력 절차 수립.
- 계약을 통한 보안 요구사항의 명문화.
SP 800-144는 퍼블릭 클라우드의 장점과 위험을 함께 분석한다.
퍼블릭 클라우드의 규모와 자원 집중화는 다음과 같은 보안상 이점을 제공할 수 있다.
- 전문 보안 인력과 관리 역량의 활용.
- 대규모 인프라에 대한 보안 투자.
- 표준화된 시스템 구성과 자동화.
- 신속한 자원 배포 및 복구.
- 여러 위치에 분산된 인프라를 통한 가용성 확보.
- 보안 업데이트와 시스템 관리의 효율화.
- 조직이 직접 구축하기 어려운 보안 기능의 이용.
다만 이러한 장점은 제공자의 실제 보안 역량과 서비스 구성에 따라 달라진다.
클라우드를 이용한다는 사실만으로 보안 수준이 자동으로 향상되는 것은 아니다.
SP 800-144는 퍼블릭 클라우드에서 다음 위험이 발생하거나 확대될 수 있다고 설명한다.
- 시스템 복잡성: 여러 구성요소와 관리 인터페이스가 결합되어 보안 구조를 파악하기 어려움.
- 다중 테넌트 환경: 서로 다른 이용자가 물리적·논리적 자원을 공유함.
- 인터넷 노출: 서비스 및 관리 인터페이스가 외부 네트워크를 통해 접근 가능함.
- 통제권 상실: 조직이 물리적 인프라와 일부 시스템 구성요소를 직접 통제하지 못함.
- 가시성 부족: 제공자 내부의 보안 운영과 사고 정보를 충분히 확인하기 어려움.
- 외부 의존성: 제공자의 장애, 정책 변경 및 서비스 중단에 영향을 받음.
- 책임 경계의 복잡성: 사고 대응과 규제 준수 과정에서 여러 주체의 협력이 필요함.
이러한 위험은 기존 정보시스템에서도 발생할 수 있지만, 외부 사업자의 통제와 다중 테넌트 구조로 인해 관리가 더 어려워질 수 있다.[1]
SP 800-144의 제4장은 퍼블릭 클라우드에서 고려해야 할 주요 보안 및 개인정보 보호 영역을 아홉 가지로 구분한다.
| 절 | 영역 | 주요 내용 |
|---|---|---|
| 4.1 | Governance | 보안 정책, 관리체계 및 감독 |
| 4.2 | Compliance | 법률·규제·표준 준수 |
| 4.3 | Trust | 클라우드 제공자에 대한 신뢰와 검증 |
| 4.4 | Architecture | 클라우드 시스템 아키텍처의 보안 |
| 4.5 | Identity and Access Management | 신원 확인, 인증 및 접근통제 |
| 4.6 | Software Isolation | 가상화 및 다중 테넌트 격리 |
| 4.7 | Data Protection | 데이터 보호 및 암호화 |
| 4.8 | Availability | 서비스 가용성과 복구 |
| 4.9 | Incident Response | 보안사고 탐지 및 대응 |
거버넌스(Governance)는 조직이 정보시스템의 개발, 도입, 운영 및 관리에 적용하는 정책과 절차를 통제하고 감독하는 활동이다.
퍼블릭 클라우드는 서비스 개설이 쉽기 때문에 조직의 승인 없이 직원이 외부 서비스를 이용하는 문제가 발생할 수 있다.
주요 권고사항은 다음과 같다.
- 기존 정보보호 정책을 클라우드 환경으로 확장.
- 클라우드 서비스 도입 및 이용에 대한 승인 절차 마련.
- 조직의 보안 요구사항을 충족하는 서비스 선정.
- 클라우드 시스템의 구성 및 변경 관리.
- 보안 정책의 준수 여부에 대한 지속적 감독.
- 클라우드 서비스의 위험 평가와 관리 절차 수립.
클라우드 이용에 따른 기술적 편의성이 조직의 보안 관리 책임을 축소하는 것은 아니다.
규제 준수(Compliance)는 정보시스템이 적용받는 법률, 규정, 표준 및 계약상 요구사항을 충족하는 것이다.
클라우드에서는 데이터의 저장 위치와 처리 주체가 조직 외부로 확대될 수 있다.
주요 고려사항은 다음과 같다.
- 데이터 저장 및 처리 국가의 법적 요구사항.
- 개인정보 처리와 국외 이전 관련 규정.
- 감사 및 보안 평가를 위한 증거 확보.
- 데이터 보존과 삭제 의무.
- 전자증거개시(Electronic Discovery)에 대한 대응.
- 클라우드 제공자의 규제 준수 상태 확인.
- 외부 위탁에 따른 법적 책임 검토.
특히 클라우드 제공자가 여러 국가에 데이터센터를 운영하는 경우 데이터의 물리적 위치와 관할권을 확인해야 한다.
제공자의 인증서나 감사보고서를 확보하는 것만으로 조직에 적용되는 모든 규제 요구사항을 충족했다고 단정할 수는 없다.
신뢰(Trust)는 클라우드 제공자가 조직의 보안 및 개인정보 보호 요구사항을 충족한다는 확신과 관련된다.
클라우드 이용자는 제공자의 내부 시스템을 직접 확인하기 어려울 수 있다.
따라서 다음과 같은 수단을 활용하여 신뢰 수준을 평가한다.
- 제공자의 보안 정책과 운영 절차 확인.
- 독립적인 보안 평가 및 감사 결과 검토.
- 보안 통제의 실제 운영 상태 확인.
- 제공자의 인력 및 내부 접근통제 정책 검토.
- 데이터 처리 및 공개 정책 확인.
- 하도급 및 외부 협력업체에 대한 통제 검토.
- 보안사고와 서비스 장애에 대한 정보 공개 수준 평가.
SP 800-144는 제공자의 주장이나 제공자가 비용을 부담한 평가 결과에 대해서도 가능한 경우 독립적인 검증을 수행하도록 권고한다.
아키텍처(Architecture) 영역은 클라우드 서비스를 제공하는 소프트웨어와 하드웨어의 구조를 다룬다.
클라우드 환경에서는 자원 관리, 가상화, 네트워크, 스토리지, 관리 인터페이스 및 애플리케이션이 복잡하게 연결된다.
주요 고려사항은 다음과 같다.
- 클라우드 서비스의 기반 기술과 구성요소 파악.
- 관리 인터페이스의 보안.
- 서비스 간 통신과 API 보호.
- 네트워크 및 시스템 구성의 안전성.
- 클라우드 제공자의 내부 관리 시스템 보호.
- 이용자 단말과 브라우저의 보안.
- 시스템 구성요소 사이의 의존관계 분석.
특히 클라우드의 관리 인터페이스가 침해되면 여러 시스템과 데이터에 영향을 줄 수 있으므로 별도의 보안 검토가 필요하다.
신원 및 접근 관리(Identity and Access Management, IAM)는 클라우드 자원에 접근하는 이용자와 시스템의 신원을 확인하고 권한을 통제하는 기능이다.
클라우드 환경에서는 조직 내부의 기존 인증체계와 외부 서비스의 인증체계를 연계해야 하는 문제가 발생한다.
주요 고려사항은 다음과 같다.
- 이용자 신원 확인과 인증.
- 역할 및 권한에 따른 접근통제.
- 조직 내부 인증체계와 클라우드 인증체계의 연계.
- 연합 신원 관리(Federated Identity Management).
- 관리 계정 및 특권 계정 보호.
- 이용자 계정의 생성·변경·폐기 관리.
- 접근통제 정책의 일관성 확보.
SP 800-144는 조직과 클라우드 제공자가 신원정보와 속성을 안전하게 공유하기 위한 연합 신원 관리의 활용을 설명한다.
SAML(Security Assertion Markup Language)과 같은 표준은 서로 다른 보안 도메인 사이에서 인증정보를 전달하는 데 사용할 수 있다.
그러나 연합 인증 프로토콜을 사용하는 것만으로 적절한 접근통제가 완성되는 것은 아니다.
RP의 권한 부여 정책과 자원별 접근통제를 별도로 관리해야 한다.
소프트웨어 격리(Software Isolation)는 여러 이용자가 동일한 물리적 인프라를 공유하더라도 각 이용자의 시스템과 데이터가 서로 침해되지 않도록 하는 기술적 보호조치이다.
퍼블릭 클라우드에서는 다중 테넌트(Multi-Tenant) 구조를 통해 자원을 효율적으로 활용한다.
특히 IaaS에서는 서로 다른 고객의 가상 머신이 동일한 물리적 서버에서 실행될 수 있다.
주요 위험은 다음과 같다.
- 하이퍼바이저의 취약점.
- 가상 머신 사이의 격리 실패.
- 가상 머신 탈출(VM Escape).
- 공유 자원을 통한 정보 노출.
- 자원 할당 오류.
- 가상화 관리 인터페이스 침해.
- 서로 다른 이용자 사이의 데이터 접근통제 실패.
조직은 클라우드 제공자가 사용하는 가상화 및 논리적 격리 기술을 이해하고 해당 기술의 위험을 평가해야 한다.
격리 기능이 존재한다는 사실만으로 모든 다중 테넌트 위험이 제거되는 것은 아니다.
데이터 보호(Data Protection)는 클라우드 환경에서 저장·전송·처리되는 정보의 기밀성, 무결성 및 가용성을 확보하는 활동이다.
퍼블릭 클라우드에서는 조직의 데이터가 다른 이용자의 데이터와 동일한 인프라에 저장될 수 있다.
주요 고려사항은 다음과 같다.
- 저장 데이터에 대한 접근통제.
- 전송 중 데이터의 보호.
- 처리 중 데이터의 노출 위험.
- 데이터 암호화.
- 암호 키 관리.
- 데이터의 저장 위치와 이동 경로.
- 데이터 복제 및 백업.
- 데이터 삭제와 저장매체의 안전한 소거.
- 다른 이용자의 데이터와의 논리적 분리.
특히 암호화 키를 누가 생성하고 보관하며 사용할 수 있는지가 중요하다.
클라우드 제공자가 암호화 키를 관리하는 방식과 이용자가 직접 키를 관리하는 방식은 위험과 운영 책임이 다를 수 있다.
또한 암호화는 데이터 기밀성을 보호하는 수단이지만, 데이터 손실이나 가용성 문제까지 모두 해결하는 것은 아니다.
가용성(Availability)은 조직이 필요한 시점에 정보시스템과 데이터에 접근하여 사용할 수 있는 상태를 의미한다.
퍼블릭 클라우드에서는 다음 요인으로 가용성이 저하될 수 있다.
- 클라우드 제공자의 서비스 장애.
- 네트워크 연결 장애.
- 분산 서비스 거부 공격(DDoS).
- 하드웨어 또는 소프트웨어 오류.
- 자연재해.
- 관리자의 설정 오류.
- 서비스 제공자의 사업 중단.
조직은 클라우드 서비스의 가용성 보장 조건을 확인하고 업무 연속성 요구사항을 충족하는지 평가해야 한다.
주요 권고사항은 다음과 같다.
- 서비스 수준 협약(SLA) 검토.
- 백업 및 복구 절차 확인.
- 장애 발생 시 복구 목표 설정.
- 업무 연속성 및 재해복구 계획 수립.
- 클라우드 제공자의 복구 역량 평가.
- 장기 장애에 대비한 대체 운영 방안 마련.
서비스 제공자가 높은 가용성을 보장하더라도 조직의 업무 연속성 요구사항이 자동으로 충족되는 것은 아니다.
사고 대응(Incident Response)은 정보보호 사고를 탐지하고 분석하며 피해를 제한하고 서비스를 복구하는 활동이다.
클라우드 환경에서는 사고 대응에 필요한 로그와 시스템 구성요소의 일부를 제공자가 통제한다.
이 때문에 조직이 직접 운영하는 시스템과 비교하여 사고 조사와 증거 수집에 제약이 발생할 수 있다.
주요 고려사항은 다음과 같다.
- 보안 이벤트 및 로그에 대한 접근.
- 침해사고 발생 시 제공자의 통지 의무.
- 사고 분석에 필요한 정보 제공.
- 로그 및 증거의 보존.
- 사고 확산 방지와 시스템 격리.
- 침해 시스템의 복구.
- 조직과 제공자의 역할 및 책임.
- 사고 발생 이후의 정보 공유.
SP 800-144는 클라우드 서비스 계약을 체결하기 전에 사고 대응 절차와 협력 조건을 명확히 정하도록 권고한다.
사고가 발생한 이후에야 로그 접근이나 증거 수집 권한을 협의하는 방식은 적절하지 않을 수 있다.
SP 800-144의 제5장은 퍼블릭 클라우드 이용을 IT 아웃소싱 관점에서 분석한다.
클라우드 서비스의 도입과 종료를 다음 세 단계로 구분한다.
| 단계 | 영문 | 주요 활동 |
|---|---|---|
| 사전 준비 | Preliminary Activities | 요구사항 정의, 위험 평가, 제공자 선정 |
| 계약 및 운영 | Initiating and Coincident Activities | 계약 체결, 보안 요구사항 이행, 서비스 감독 |
| 종료 | Concluding Activities | 계약 종료, 데이터 회수, 접근 권한 폐기 |
클라우드 서비스를 도입하기 전에 조직은 업무와 정보의 특성을 분석하고 보안 요구사항을 정의해야 한다.
주요 활동은 다음과 같다.
- 클라우드 이용 목적과 업무 범위 정의.
- 정보 및 시스템의 중요도 분류.
- 개인정보 및 민감정보의 처리 여부 확인.
- 적용되는 법률과 규제 요구사항 식별.
- 보안 통제 요구사항 정의.
- 서비스 가용성 및 복구 요구사항 정의.
- 클라우드 제공자의 보안 역량 평가.
- 클라우드 이용에 따른 위험 평가.
- 계약에 포함할 보안 요구사항 작성.
- 서비스 종료 및 데이터 이전 가능성 검토.
특히 제공자의 기본 서비스 조건이 조직의 보안 요구사항을 모두 충족한다고 가정해서는 안 된다.
필요한 보호조치를 추가할 수 있는지, 계약 조건을 변경할 수 있는지, 보완통제를 적용할 수 있는지 검토해야 한다.
클라우드 서비스를 이용하는 동안 조직은 계약에서 정한 보안 요구사항이 실제로 이행되는지 지속적으로 확인해야 한다.
주요 활동은 다음과 같다.
- 서비스 계약에 보안 및 개인정보 보호 요구사항 명시.
- 제공자와 이용자의 역할 및 책임 정의.
- 서비스 수준과 성능 기준 설정.
- 데이터 소유권 및 처리 권한 명시.
- 데이터 저장 위치와 이전 조건 확인.
- 감사 및 보안 평가 권한 확보.
- 사고 통지 및 대응 절차 명시.
- 백업과 재해복구 조건 확인.
- 보안 통제의 운영 상태 평가.
- 제공자의 계약 준수 여부 감독.
SP 800-144는 서비스 계약을 클라우드 환경에 대한 통제와 책임성을 유지하는 핵심 수단으로 설명한다.
계약상 보안 요구사항이 불충분하면 이용기관이 제공자의 운영 방식에 개입하거나 문제를 시정하기 어려울 수 있다.
클라우드 서비스 이용을 종료하거나 다른 제공자로 이전할 때에도 보안 및 개인정보 보호 요구사항을 적용해야 한다.
주요 활동은 다음과 같다.
- 계약 종료 조건 확인.
- 조직의 데이터와 관련 자료 회수.
- 데이터 이전 및 서비스 전환.
- 제공자에게 부여한 접근 권한 폐기.
- 이용자 계정과 인증정보 정리.
- 잔여 데이터의 삭제 및 소거 확인.
- 계약상 비밀유지 의무 확인.
- 종료 이후 남아 있는 보안 위험 검토.
특히 제공자가 보유한 데이터의 복제본과 백업 데이터에 대한 처리 조건을 확인해야 한다.
데이터를 회수했다는 사실만으로 제공자 측의 모든 저장매체에서 정보가 삭제되었다고 판단할 수는 없다.
서비스 수준 협약(Service Level Agreement, SLA)은 클라우드 서비스 제공자와 이용자 사이에서 서비스의 품질과 운영 조건을 정하는 합의이다.
SP 800-144는 서비스 계약이 보안 및 개인정보 보호 요구사항을 충분히 반영해야 한다고 강조한다.
주요 검토 항목은 다음과 같다.
| 항목 | 검토 내용 |
|---|---|
| 서비스 범위 | 제공되는 기능과 시스템 구성요소 |
| 책임 분담 | 제공자와 이용자의 보안 책임 |
| 가용성 | 서비스 가동률과 장애 대응 |
| 데이터 소유권 | 데이터에 대한 권리와 이용 제한 |
| 데이터 위치 | 저장 및 처리 장소 |
| 암호화 | 데이터 암호화와 키 관리 |
| 접근통제 | 관리자와 운영자의 접근 권한 |
| 보안 감사 | 보안 통제 검증과 감사 자료 제공 |
| 사고 통지 | 보안사고 발생 시 통지 및 협력 절차 |
| 백업 및 복구 | 백업 정책과 복구 절차 |
| 계약 종료 | 데이터 반환, 삭제 및 접근 권한 폐기 |
| 책임 및 구제 | 계약 위반과 피해 발생 시 처리 절차 |
퍼블릭 클라우드에서는 제공자가 정한 표준 약관을 이용하는 경우가 많다.
그러나 중요한 업무나 민감한 정보를 처리하는 경우에는 조직의 요구사항을 반영한 별도 계약 또는 보완통제가 필요할 수 있다.[1]
SP 800-144는 퍼블릭 클라우드의 보안 문제를 위험 기반 접근법(Risk-Based Approach)으로 다룬다.
조직은 클라우드의 비용 절감이나 운영 효율성만을 고려하지 않고, 보안 위험과 개인정보 보호 위험을 함께 평가해야 한다.
주요 절차는 다음과 같이 정리할 수 있다.
- 클라우드로 이전할 업무와 정보자산을 식별한다.
- 정보의 중요도와 민감도를 평가한다.
- 클라우드 서비스 모델과 제공자의 기술적 특성을 파악한다.
- 관련 위협과 취약점을 식별한다.
- 보안 통제와 개인정보 보호조치의 적절성을 평가한다.
- 조직의 위험 허용 수준과 비교한다.
- 필요한 보완통제와 계약 조건을 결정한다.
- 서비스 도입 여부를 결정한다.
- 운영 중 보안 상태와 위험을 지속적으로 평가한다.
위험이 허용 가능한 수준으로 감소하지 않는 경우에는 다른 서비스나 배포 모델을 검토할 수 있다.
이러한 접근은 NIST의 위험 관리 프레임워크(RMF) 및 보안 통제 지침과 함께 활용할 수 있다.
다만 위 절차는 SP 800-144의 권고사항을 정리한 것으로, 문서가 별도의 9단계 공식 위험 관리 프레임워크를 정의하는 것은 아니다.
NIST SP 800-144는 본문 7개 장과 2개 부록으로 구성된다.[1]
| 구분 | 영문 제목 | 주요 내용 |
|---|---|---|
| 제1장 | Introduction | 문서의 목적, 범위, 적용 대상 |
| 제2장 | Background | 클라우드 배포 모델, 서비스 모델, 아웃소싱과 책임성 |
| 제3장 | Public Cloud Services | 서비스 계약, 보안 및 개인정보 보호의 장단점 |
| 제4장 | Key Security and Privacy Issues | 퍼블릭 클라우드의 핵심 보안 및 개인정보 보호 문제 |
| 제5장 | Public Cloud Outsourcing | 클라우드 서비스 도입·운영·종료 단계의 관리 |
| 제6장 | Conclusion | 결론 |
| 제7장 | References | 참고문헌 |
| 부록 A | Acronyms | 약어 목록 |
| 부록 B | Online Resources | 온라인 참고자료 |
제4장은 문서의 핵심 기술적 내용을 다루며, 제5장은 클라우드 서비스의 조달과 계약 관리에 관한 실무적 고려사항을 다룬다.
SP 800-144는 클라우드 보안 위험을 개괄적으로 다루는 지침으로, 다른 NIST 문서와 함께 활용할 수 있다.
| 문서 | 주요 내용 | SP 800-144와의 차이 |
|---|---|---|
| SP 800-145 | 클라우드 컴퓨팅 정의 | 클라우드의 필수 특성, 서비스 모델 및 배포 모델 정의 |
| SP 800-146 | 클라우드 컴퓨팅 개요 및 권고사항 | 클라우드 기술과 도입 고려사항을 폭넓게 설명 |
| SP 800-210 | 클라우드 시스템 접근통제 지침 | IaaS·PaaS·SaaS의 접근통제에 집중 |
| SP 800-53 | 보안 및 개인정보 보호 통제 | 조직과 정보시스템에 적용하는 구체적인 통제 카탈로그 |
| SP 800-37 | 위험 관리 프레임워크 | 정보시스템의 위험 관리와 보안 인가 절차 |
| SP 800-39 | 정보보안 위험 관리 | 조직·업무·정보시스템 수준의 위험 관리 |
| SP 800-34 | 비상 계획 수립 | 시스템 장애와 재해에 대비한 복구 계획 |
| SP 800-61 | 보안사고 대응 | 침해사고 대응 체계와 절차 |
| SP 800-137 | 정보보안 지속적 모니터링 | 보안 상태의 지속적 평가와 위험 관리 |
SP 800-145는 클라우드 컴퓨팅을 정의하는 문서이다.
클라우드 컴퓨팅의 다섯 가지 필수 특성, 세 가지 서비스 모델, 네 가지 배포 모델을 제시한다.
반면 SP 800-144는 이러한 클라우드 환경에서 발생하는 보안 및 개인정보 보호 문제를 다룬다.
따라서 두 문서는 서로 다른 목적을 가지며 상호 보완적으로 활용할 수 있다.
SP 800-146은 클라우드 컴퓨팅의 기술적 특성, 경제적 고려사항, 서비스 및 배포 모델, 보안 문제 등을 포괄적으로 설명한다.
SP 800-144가 퍼블릭 클라우드의 보안과 개인정보 보호에 집중하는 반면, SP 800-146은 클라우드 컴퓨팅 전반의 기술적·운영적 특성을 다룬다.[2]
SP 800-210(General Access Control Guidance for Cloud Systems)은 클라우드 서비스 모델별 접근통제 문제를 구체적으로 다룬다.
IaaS·PaaS·SaaS에서 관리해야 하는 자원과 접근 권한이 다르다는 점을 고려하여 접근통제 지침을 제시한다.
SP 800-144의 신원 및 접근 관리 영역을 더 구체적으로 검토할 때 참고할 수 있다.[5]
SP 800-53은 정보시스템과 조직을 위한 보안 및 개인정보 보호 통제를 제공하는 카탈로그이다.
접근통제, 감사, 구성 관리, 사고 대응, 위험 평가, 시스템 보호 등 다양한 통제 영역을 포함한다.
반면 SP 800-144는 퍼블릭 클라우드의 보안 위험과 관리상 고려사항을 설명하는 지침이다.
따라서 SP 800-144를 참고하여 클라우드 위험을 식별하고, SP 800-53 등의 통제 카탈로그를 이용하여 구체적인 보호조치를 선정할 수 있다.
SP 800-144 자체는 보안 통제의 충족 여부를 판정하는 인증 기준이나 독립적인 보안 평가체계가 아니다.
SP 800-144는 2011년에 발행된 문서이므로 당시의 클라우드 기술과 보안 환경을 반영한다.
특히 최신 클라우드 환경에서는 관리형 서비스, 컨테이너, 서버리스 컴퓨팅, 클라우드 네이티브 애플리케이션 등 다양한 기술이 활용된다.
이러한 기술의 구체적인 보안 요구사항은 SP 800-144만으로 충분히 설명되지 않을 수 있다.
문서를 활용할 때는 다음 사항을 구분해야 한다.
- SP 800-144의 보안 원칙과 위험 관리 권고사항.
- 클라우드 제공자가 실제로 제공하는 보안 기능.
- 최신 기술 환경에 필요한 추가 보호조치.
- 조직에 적용되는 법률 및 규제 요구사항.
- 별도의 보안 인증 및 평가 기준.
또한 SP 800-144는 특정 클라우드 사업자의 보안성을 인증하거나 보증하지 않는다.
조직은 자체적인 위험 평가를 수행하고, 서비스 제공자의 실제 보안 통제와 계약 조건을 검토해야 한다.
- ↑ 1.0 1.1 1.2 1.3 1.4 Wayne Jansen, Timothy Grance, Guidelines on Security and Privacy in Public Cloud Computing, NIST Special Publication 800-144, 2011-12.
- ↑ 2.0 2.1 Mark Badger 외, Cloud Computing Synopsis and Recommendations, NIST Special Publication 800-146, 2012-05.
- ↑ NIST SP 800-144 Publication Record, NIST Computer Security Resource Center, 확인: 2026-10-23.
- ↑ Peter Mell, Timothy Grance, The NIST Definition of Cloud Computing, NIST Special Publication 800-145, 2011-09.
- ↑ Vincent Hu 외, General Access Control Guidance for Cloud Systems, NIST Special Publication 800-210, 2020-07.