Cloud Digital Leader의 2026년 8월 개정 출제 범위에서 도메인 5(약 18%)의 첫 항목은 클라우드 보안의 기본 개념입니다. 랜섬웨어와 피싱부터 LLM 공격까지 위협의 종류와 비즈니스 영향, 클라우드 보안과 온프레미스 보안의 차이, 제로 트러스트와 최소 권한 같은 핵심 용어, 사용 중·전송 중·저장 데이터의 암호화, 인증·인가·감사의 차이를 묻습니다. 이어서 Cloud Armor, IAP, Sensitive Data Protection, Confidential Computing, Certificate Manager 같은 보안 제품과 투명성 보고서, 디지털 주권, 데이터 상주처럼 Google Cloud가 신뢰를 얻는 방식까지 다룹니다.
이 글은 위협의 종류에서 시작해 클라우드 보안과 온프레미스 보안의 차이, 핵심 보안 용어, 제로 트러스트, 암호화의 세 가지 상태, 인증·인가·감사, 보안 제품 지도, 고객의 신뢰를 얻는 장치 순서로 정리합니다. CIA 원칙, IAM의 구성, CMEK 같은 기본은 보안과 신뢰 기본 개념에서, Security Command Center와 Model Armor 같은 보안 운영 제품은 보안 운영과 AI 보안에서 다뤘습니다.
---
클라우드를 노리는 위협과 비즈니스 영향
출제 범위는 위협의 이름만이 아니라 그 위협이 비즈니스에 어떤 영향을 주는지 함께 묻습니다.
| 위협 | 무엇인가 | 비즈니스 영향 | |------|------|------| | DDoS | 대량의 트래픽을 보내 서비스를 마비시킴 | 서비스 중단, 매출 손실 | | 랜섬웨어 | 데이터를 암호화해 잠그고 돈을 요구 | 업무 중단, 몸값과 복구 비용 | | 크립토마이닝 | 남의 컴퓨팅 자원을 몰래 써서 암호화폐를 채굴 | 예상치 못한 클라우드 요금 폭증 | | 멀웨어와 바이러스 | 시스템에 몰래 설치되어 정보를 빼내거나 망가뜨리는 악성 프로그램 | 데이터 유출, 시스템 손상 | | 피싱 | 가짜 메일이나 사이트로 비밀번호를 빼냄 | 계정 탈취로 이어지는 침해 | | 잘못된 구성 | 공개된 저장소, 과도한 권한 같은 설정 실수 | 가장 흔한 데이터 유출 원인 | | 보안이 약한 외부 시스템 | 협력사나 외부 소프트웨어를 통해 들어오는 공격 | 공급망을 통한 침해 | | 물리적 피해 | 화재, 홍수, 정전 같은 재해 | 데이터센터 장애와 데이터 손실 | | LLM 공격 | 프롬프트 인젝션, 탈옥처럼 AI 모델을 속이는 공격 | AI가 기밀을 노출하거나 잘못된 행동을 함 |
시험 팁: "클라우드 요금이 갑자기 크게 늘었고 알 수 없는 VM이 실행 중"은 크립토마이닝입니다. "데이터가 잠기고 돈을 요구"는 랜섬웨어입니다. 데이터 유출의 가장 흔한 원인으로는 잘못된 구성이 자주 정답입니다.
---
클라우드 보안과 온프레미스 보안은 무엇이 다른가
온프레미스는 내 건물을 내가 지키는 것이고, 클라우드는 전문 경비 회사가 관리하는 건물에 입주하는 것과 비슷합니다. 건물 출입구와 구조는 경비 회사가 지키지만, 내 사무실 열쇠를 누구에게 줄지는 여전히 내가 정합니다.
| 구분 | 온프레미스 | 클라우드 | |------|------|------| | 물리적 보안 | 조직이 직접 데이터센터를 지킴 | Google이 데이터센터와 하드웨어를 지킴 | | 패치와 업데이트 | 조직이 모든 계층을 직접 관리 | 인프라는 Google이, 관리형 서비스는 더 많은 부분을 Google이 맡음 | | 보안의 경계 | 사내 네트워크 경계가 중심 | 사용자와 서비스의 ID(누구인가)가 중심 | | 규모와 전문성 | 조직의 보안 인력과 예산에 한정 | 세계 최대 규모의 보안 조직과 자동화된 도구를 활용 | | 고객의 책임 | 거의 전부 | 데이터, 접근 권한, 구성 (공유 책임 모델) |
시험 팁: 클라우드로 옮겨도 데이터와 접근 권한 설정은 고객의 책임으로 남습니다. "클라우드로 옮기면 보안은 모두 Google이 책임진다"는 보기는 오답입니다.
---
꼭 알아야 할 보안 용어
출제 범위는 보안 모델에서 중요한 다섯 가지로 제어, 규정 준수, 기밀성, 무결성, 가용성을 듭니다. 여기에 다음 용어들을 정확히 정의할 수 있어야 합니다.
| 용어 | 뜻 | |------|------| | 최소 권한 | 업무에 필요한 최소한의 권한만 부여 | | 특권 접근(Privileged access) | 시스템 설정을 바꾸거나 모든 데이터를 볼 수 있는 강력한 관리자 권한, 가장 엄격하게 관리해야 함 | | 제로 트러스트 아키텍처 | 어떤 사용자나 네트워크도 기본으로 신뢰하지 않고 요청마다 확인 | | 기본 보안(Security by default) | 별도 설정 없이도 처음부터 안전한 설정이 적용된 상태 (예: 기본 암호화) | | 보안 태세(Security posture) | 조직의 시스템이 지금 얼마나 안전하게 구성되어 있는지의 전체 상태 | | 사이버 복원력 | 공격을 받아도 핵심 업무를 이어 가고 빠르게 회복하는 능력 | | 방화벽 | 정해진 규칙에 따라 네트워크 트래픽을 허용하거나 차단 | | 암호화와 복호화 | 데이터를 키 없이는 읽을 수 없게 바꾸는 것과 키로 원래대로 되돌리는 것 | | 데이터 손실 방지(DLP) | 민감한 데이터를 찾아 유출되지 않도록 가리거나 막는 것 |
---
제로 트러스트: 절대 믿지 말고 항상 확인하라
예전의 보안은 성벽과 해자 같았습니다. 성 안에 들어오기만 하면 믿었기 때문에, 성벽 하나가 뚫리면 공격자가 안에서 자유롭게 움직였습니다. 제로 트러스트는 공항 보안처럼 모든 문에서 매번 신분과 탑승권을 확인합니다.
!성벽과 해자처럼 내부를 믿는 경계 기반 보안에서 요청마다 확인하는 제로 트러스트로의 전환
Google은 직원들이 VPN 없이도 어디서든 안전하게 일할 수 있도록 BeyondCorp라는 제로 트러스트 모델을 먼저 사내에 도입했고, 이를 제품으로 제공합니다.
| 제품 | 하는 일 | |------|------| | Identity-Aware Proxy(IAP) | 네트워크 방화벽 대신 사용자의 ID와 맥락으로 애플리케이션과 VM 접근을 통제하는 중앙 인증 계층 | | Chrome Enterprise Premium | 브라우저와 기기 상태까지 확인해 BeyondCorp 방식의 접근을 조직 전체에 적용 |
시험 팁: "VPN 없이 원격 근무자가 사내 애플리케이션에 안전하게 접속"은 IAP나 BeyondCorp 같은 제로 트러스트입니다. "네트워크 위치가 아니라 사용자와 기기를 기준으로 접근을 허용"이 제로 트러스트의 핵심 문장입니다.
---
암호화의 세 가지 상태
데이터는 저장되어 있을 때, 이동할 때, 처리될 때 세 가지 상태에 있고, 각 상태마다 보호 방법이 다릅니다. 금고에 보관된 돈, 현금 수송차로 옮기는 돈, 은행 창구에서 세고 있는 돈을 떠올려 보세요.
| 상태 | 의미 | Google Cloud의 기본 보호 | 추가로 선택할 수 있는 것 | |------|------|------|------| | 저장 데이터(at rest) | 디스크와 스토리지에 저장된 데이터 | 별도 설정 없이 AES-256으로 자동 암호화 | Cloud KMS의 고객 관리 키(CMEK) | | 전송 중 데이터(in transit) | 네트워크를 통해 이동 중인 데이터 | TLS 같은 방식으로 암호화하고 상대방을 인증 | Certificate Manager로 TLS 인증서 관리 | | 사용 중 데이터(in use) | 메모리에서 처리 중인 데이터 | 일반 VM에서는 메모리 안에서 평문으로 처리 | Confidential Computing(Confidential VM 등) |
Confidential Computing은 하드웨어 기반의 신뢰 실행 환경(TEE)으로 처리 중인 데이터까지 암호화합니다. 공식 문서는 이를 "종단 간 암호화의 마지막 조각"이라고 설명합니다. 저장과 전송은 기본으로 보호되므로, 시험에서 세 상태를 모두 보호하는 방법을 묻는다면 빠진 조각인 사용 중 데이터가 핵심입니다.
시험 팁: "데이터가 처리되는 동안에도 클라우드 제공업체를 포함해 아무도 볼 수 없게 해야 한다"는 Confidential Computing입니다.
---
인증, 인가, 감사
세 단어는 비슷해 보이지만 묻는 질문이 다릅니다. 회사 출입에 비유하면 신분증 확인, 출입 가능한 층 확인, 출입 기록 남기기입니다.
| 개념 | 질문 | Google Cloud 예 | |------|------|------| | 인증(Authentication) | 당신은 누구인가? | 비밀번호와 2단계 인증(2SV), 다중 인증(MFA) | | 인가(Authorization) | 무엇을 할 수 있는가? | IAM 역할과 권한 | | 감사(Auditing) | 누가, 언제, 어디서, 무엇을 했는가? | Cloud Logging에 남는 Cloud Audit Logs |
2단계 인증(2SV)은 비밀번호에 휴대폰 확인 같은 두 번째 단계를 더하는 방식이고, 다중 인증(MFA)은 아는 것(비밀번호), 가진 것(보안 키나 휴대폰), 나 자신(지문) 중 서로 다른 요소를 둘 이상 쓰는 방식입니다. Cloud Audit Logs는 관리자 활동, 데이터 접근, 시스템 이벤트, 정책 거부 같은 감사 로그를 남깁니다.
시험 팁: "로그인할 때 비밀번호 외에 확인을 하나 더"는 인증 강화(2SV, MFA)입니다. "누가 이 버킷을 삭제했는지 찾는다"는 감사(Cloud Audit Logs)입니다.
---
Google Cloud 보안 제품 지도
출제 범위가 이름을 든 보안 제품을 보호 대상별로 정리하면 다음과 같습니다.
| 보호 대상 | 제품 | 하는 일 | |------|------|------| | 네트워크 | Cloud VPC와 방화벽 규칙 | 격리된 사설 네트워크와 트래픽 허용·차단 규칙 | | 네트워크 연결 | Cloud VPN, Cloud Interconnect | 온프레미스와 암호화 터널 또는 전용 회선으로 연결 | | 웹 애플리케이션 | Cloud Armor | DDoS 방어와 웹 애플리케이션 방화벽(WAF), OWASP Top 10 같은 웹 공격 차단 | | 인증서 | Certificate Manager | 부하 분산기 등에 쓰는 TLS 인증서를 발급·배포·관리 | | 접근 | IAM, Identity-Aware Proxy | 누가 무엇을 할 수 있는지, 앱 단위의 제로 트러스트 접근 | | 민감한 데이터 | Sensitive Data Protection (옛 Cloud DLP) | 민감 정보를 찾아 분류하고 가리거나 비식별화 | | 처리 중인 데이터 | Confidential Computing | 사용 중 데이터를 하드웨어 기반으로 암호화 | | 기록과 가시성 | Cloud Logging, Security Command Center | 활동 기록과 감사, 위험과 위협 발견 |
시험 팁: "웹사이트를 DDoS와 SQL 인젝션에서 보호"는 Cloud Armor, "주민번호와 카드번호를 찾아 가린다"는 Sensitive Data Protection입니다. 기존 자료의 Cloud DLP는 지금 Sensitive Data Protection의 일부입니다.
---
고객의 신뢰를 얻는 장치: 투명성, 감사, 디지털 주권
보안이 잘되어 있어도 고객이 확인할 수 없다면 신뢰하기 어렵습니다. 출제 범위는 Google Cloud가 신뢰를 얻고 유지하는 방식으로 투명성 보고서, 제3자 감사, 디지털 주권, 데이터 상주, 규정 준수 자료를 듭니다.
| 장치 | 내용 | |------|------| | 투명성 보고서 | 정부의 데이터 요청을 어떻게 처리했는지 데이터를 공개, 정부에 백도어 접근을 주지 않는다고 명시 | | 제3자 감사와 인증 | ISO 27001, SOC 2 같은 독립 기관의 감사를 정기적으로 받음 | | Compliance Reports Manager | 감사 보고서와 인증서 같은 규정 준수 자료를 추가 비용 없이 내려받음 | | Access Transparency와 Access Approval | Google 직원이 고객 데이터에 접근한 기록을 보여 주고, 접근 전에 고객의 승인을 받게 함 | | 데이터 상주 | 리전을 골라 데이터가 저장되는 위치를 고객이 정함 | | Assured Workloads | 규제 대상 워크로드에 데이터 상주, 접근, 인력 통제를 묶은 통제 패키지를 적용 |
데이터 상주는 데이터를 어디에 저장하느냐의 문제이고, 디지털 주권은 그보다 넓게 데이터와 운영과 기술을 누가 통제하느냐의 문제입니다. Google Cloud는 데이터 경계부터 인터넷과 분리된 에어갭 환경까지 주권 요구 수준에 맞춘 선택지를 제공합니다.
시험 팁: "정부의 데이터 요청 건수와 처리 방식을 공개"는 투명성 보고서, "감사 보고서와 인증서를 내려받는다"는 Compliance Reports Manager, "Google 직원의 데이터 접근 기록을 본다"는 Access Transparency입니다.
---
시험 핵심 정리
시험장 가기 전 마지막으로 확인할 핵심 포인트입니다.
| 구분 | 핵심 암기 사항 | |------|------| | 크립토마이닝 | 자원을 몰래 써서 채굴, 요금 폭증이 단서 | | 랜섬웨어 · 피싱 | 데이터를 잠그고 돈 요구 · 가짜 메일로 비밀번호 탈취 | | 잘못된 구성 | 공개된 저장소와 과도한 권한, 가장 흔한 유출 원인 | | 클라우드 vs 온프레미스 | 물리 보안과 인프라는 Google, 데이터와 접근 설정은 고객 | | 최소 권한 · 특권 접근 | 필요한 만큼만 · 가장 엄격히 관리할 관리자 권한 | | 제로 트러스트 | 아무도 기본 신뢰하지 않고 요청마다 확인, BeyondCorp · IAP | | 기본 보안 | 처음부터 안전한 설정, 예: 기본 암호화 | | 암호화 3상태 | 저장(기본 AES-256) · 전송(TLS) · 사용 중(Confidential Computing) | | 인증 · 인가 · 감사 | 누구인가(2SV · MFA) · 무엇을 할 수 있나(IAM) · 무엇을 했나(Audit Logs) | | Cloud Armor | DDoS 방어와 WAF | | Sensitive Data Protection | 옛 Cloud DLP, 민감 정보 발견 · 분류 · 비식별화 | | Certificate Manager | TLS 인증서 관리 | | 투명성 보고서 | 정부 데이터 요청 처리 공개 | | Access Transparency | Google 직원의 고객 데이터 접근 기록 | | 데이터 상주 vs 디지털 주권 | 어디에 저장하나 vs 누가 통제하나 |
---