Cloud Digital Leader의 2026년 8월 개정 출제 범위에서 도메인 5(약 18%)는 보안 운영과 AI 보안 쪽으로 크게 넓어졌습니다. 보안 운영(SecOps) 용어, AI 스택의 계층별 보호, Google Threat Intelligence, Security Command Center, Google Security Operations, Gemini in Security Operations, AI Protection, Model Armor가 새로 이름을 올렸습니다. 예전 범위에서는 IAM과 암호화 같은 기본 개념이 중심이었다면, 이제는 "공격을 어떻게 미리 알고, 찾고, 대응하는가"와 "AI를 어떻게 지키는가"까지 묻습니다.
이 글은 보안 운영의 기본 용어에서 시작해 Google을 보안팀의 일원으로 삼는다는 의미, 위협 인텔리전스, Security Command Center, Google Security Operations, AI 스택 보호와 Model Armor 순서로 정리합니다. CIA 원칙, IAM, 공유 책임 모델 같은 기본 개념은 보안과 신뢰 기본 개념에서, 제로 트러스트와 Cloud Armor 같은 보안 제품은 보안 개념과 제품 지도에서 다룹니다.
---
보안 운영(SecOps)의 기본 용어
큰 건물의 보안을 떠올려 보세요. 문과 창문이 잘 잠겨 있는지 점검하고, 경찰이 알려 주는 최근 범죄 수법을 챙기고, 관제실에서 CCTV를 지켜보다가 이상한 움직임이 보이면 경비원을 보냅니다. 클라우드의 보안 운영도 같은 일을 디지털 환경에서 합니다.
| 용어 | 뜻 | 건물 보안에 비유하면 | |------|------|------| | 보안 태세(Security posture) | 시스템이 지금 얼마나 안전하게 구성돼 있는지에 대한 전체 상태 | 문, 창문, 경보기가 제대로 잠기고 켜져 있는지 | | 위협 인텔리전스(Threat intelligence) | 누가, 어떤 방법으로, 무엇을 노리는지에 대한 정보 | 경찰이 알려 주는 최근 범죄 수법 | | 위협 탐지(Threat detection) | 로그와 신호에서 공격 징후를 찾아내는 일 | 관제실이 CCTV에서 수상한 움직임을 발견 | | 위협 대응(Threat response) | 공격을 막고 피해를 줄이고 복구하는 일 | 경비원 출동과 출입 통제 | | 보안 운영 센터(SOC) | 탐지와 대응을 24시간 수행하는 조직 | 관제실 | | SIEM | 여러 곳의 보안 로그를 모아 상관 분석하고 위협을 찾는 시스템 | 모든 CCTV 화면을 한곳에 모은 관제 화면 | | SOAR | 정해진 대응 절차(플레이북)를 자동으로 실행하는 시스템 | 경보가 울리면 자동으로 문을 잠그는 장치 | | 사이버 복원력 | 공격을 받아도 핵심 업무를 이어 가고 빠르게 회복하는 능력 | 정전이 나도 비상 발전기로 버티는 힘 |
시험 팁: "현재 구성이 얼마나 안전한가"는 보안 태세, "공격자와 공격 수법에 대한 정보"는 위협 인텔리전스, "공격을 막고 복구"는 위협 대응입니다. 세 용어를 바꿔 끼운 보기가 자주 나옵니다.
---
Google을 보안팀의 일원으로: 심층 방어
출제 범위는 이 영역을 "Google을 조직의 보안팀 일원으로 만드는 비즈니스 가치"라는 말로 시작합니다. 클라우드로 옮기면 보안을 Google에 떠넘기는 것이 아니라, 세계 최대 규모의 보안 조직 하나가 우리 팀에 합류하는 셈이라는 뜻입니다. 그 바탕에는 여러 겹으로 막는 심층 방어가 있습니다.
| Google이 맡는 일 | 내용 | 조직이 얻는 것 | |------|------|------| | 안전하게 설계된 인프라 | 자체 데이터센터, 직접 설계한 서버와 네트워크 장비, Titan 같은 자체 보안 칩 | 하드웨어와 공급망 단계의 위험 감소 | | 기본 보안 | 저장 데이터와 전송 중 데이터를 별도 설정 없이 암호화 | 처음부터 보호된 상태에서 시작 | | 위협 가시성 | 수십억 명의 사용자를 보호하며 쌓은 공격 정보와 Mandiant의 사고 대응 경험 | 최신 공격 정보를 바로 활용 | | AI 기반 보안 도구 | Security Command Center, Google Security Operations, Gemini 지원 | 적은 인력으로 넓은 환경을 방어 |
secure-by-design은 "나중에 보안을 덧붙이는 것"이 아니라 설계 단계부터 보안을 기본값으로 넣는다는 뜻입니다. 시험에서 "Google Cloud 인프라가 안전한 이유"를 묻는다면 자체 데이터센터, 직접 만든 서버와 네트워크, 자체 보안 하드웨어와 소프트웨어가 정답 후보입니다.
---
Google Threat Intelligence: 공격자를 먼저 안다
위협 인텔리전스는 일기 예보와 같습니다. 비가 온다는 것을 미리 알면 우산을 챙기듯, 어떤 공격자가 어떤 수법으로 우리 업종을 노리는지 알면 막을 곳을 먼저 정할 수 있습니다. Google Threat Intelligence는 세 가지 고유한 출처를 합쳐 "이 지표가 우리 조직에 위협인가"에 대해 하나의 통합 판정을 내려 줍니다.
| 출처 | 무엇을 보나 | 강점 | |------|------|------| | Google의 방대한 가시성 | 수십억 명의 사용자를 보호하며 보는 피싱, 멀웨어, 공격 시도 | 전 세계 규모의 최신 공격 흐름 | | Mandiant의 최전선 경험 | 실제 침해 사고를 조사하고 대응하며 얻은 공격자 정보 | 공격자가 실제로 어떻게 움직이는지에 대한 깊이 | | VirusTotal의 크라우드소싱 탐지 | 전 세계 사용자가 올린 파일과 URL을 분석한 거대한 데이터베이스 | 의심스러운 파일과 링크를 빠르게 판별 |
여기에 Gemini가 방대한 위협 데이터를 분석하고 요약해, 우리 조직의 위험 상황과 관련된 위협을 먼저 보여 줍니다. 비즈니스 가치는 "사후 대응"에서 "사전 대비"로 바뀐다는 점, 그리고 쏟아지는 경보 중 무엇을 먼저 처리할지 우선순위를 정할 수 있다는 점입니다.
시험 팁: 보기에 Mandiant나 VirusTotal이 함께 나오고 "공격자와 위협에 대한 사전 인사이트"를 묻는다면 Google Threat Intelligence입니다.
---
Security Command Center: 우리 클라우드의 보안 점검표
Security Command Center(SCC)는 Google Cloud 환경을 위한 위험 관리 솔루션입니다. 건물 안전 점검표와 경보 시스템을 합친 것처럼, 잘못 구성된 곳을 찾고 진행 중인 위협을 알리고 무엇부터 고칠지 우선순위를 정해 줍니다.
| 영역 | 하는 일 | 예 | |------|------|------| | 취약점 탐지 | 잘못된 구성, 공개적으로 노출된 리소스, 유출된 자격 증명, 알려진 취약점을 찾음 | 누구나 읽을 수 있게 열린 Cloud Storage 버킷 | | 위협 탐지와 완화 | 진행 중인 공격을 감지 | 멀웨어, 암호화폐 채굴, 컨테이너 런타임 공격, DDoS | | 보안 태세와 정책 | 원하는 보안 상태를 정의하고 그 상태에서 벗어나면 알림 | 과도한 권한을 가진 계정 발견 | | 규정 준수 | NIST, HIPAA, PCI-DSS, CIS 같은 기준 대비 준수 상태 점검 | 결제 시스템의 PCI-DSS 점검 | | 결과 내보내기 | 발견 사항을 BigQuery나 Pub/Sub로 보내 추가 분석 | 보안 대시보드 연동 |
SCC는 Standard와 Premium 등급으로 제공됩니다. 예전 Enterprise 등급은 2027년 5월 21일 종료되며 그 뒤에는 Premium으로 자동 전환된다고 공식 문서에 안내되어 있습니다. CDL 시험에서는 등급 차이보다 "무엇을 하는 제품인가"가 중요합니다.
시험 팁: "Google Cloud 환경 전체에서 잘못된 구성과 취약점을 사전에 찾아 우선순위를 정하고 수정한다"는 Security Command Center입니다. "공개된 버킷", "과도한 권한", "암호화폐 채굴 탐지"가 단서입니다.
---
Google Security Operations: 로그를 모아 위협을 찾고 대응한다
Google Security Operations(Google SecOps, 옛 Chronicle)는 조직 전체의 보안 원격 측정 데이터를 한곳에 모아 위협을 탐지하고 조사하고 대응하는 통합 보안 운영 플랫폼입니다. SCC가 "우리 클라우드 설정이 안전한가"를 점검한다면, Google SecOps는 "지금 어디선가 공격이 일어나고 있는가, 어떻게 대응할까"를 다루는 24시간 관제실입니다.
!Google Security Operations의 수집·탐지·조사·대응 흐름과 이를 돕는 위협 인텔리전스와 Gemini
| 단계 | 하는 일 | |------|------| | 수집 | 온프레미스, 여러 클라우드, SaaS, 엔드포인트의 로그를 대량으로 수집해 오래 보관 | | 탐지 | 데이터를 통합 데이터 모델(UDM)로 정규화하고 탐지 규칙과 위협 인텔리전스로 연결 | | 조사 | 관련 경보를 케이스로 묶고 자산, IP, 사용자, 도메인 단위로 검색 | | 대응 | 자동화된 플레이북으로 격리, 차단, 알림 같은 조치를 빠르게 실행 |
Gemini in Security Operations
Gemini는 보안 분석가의 부담을 덜어 줍니다. 공식 문서에 나온 기능은 다음과 같습니다.
자연어로 질문하면 검색 쿼리를 만들어 실행 자연어로 설명하면 탐지 규칙(YARA-L)을 생성 위협 행위자와 침해 지표에 대한 질문에 답하고 요약 케이스 내용을 요약하고 해결 방법을 제안 플레이북 생성과 수정 분류·조사 에이전트가 경보를 분석해 실제 공격인지 오탐인지 판단
SCC와 Google SecOps 비교
| 구분 | Security Command Center | Google Security Operations | |------|------|------| | 보는 범위 | Google Cloud 환경(조직·프로젝트) | 온프레미스, 다른 클라우드, SaaS까지 조직 전체 | | 주된 질문 | 우리 클라우드 설정은 안전한가? 위험은 어디에 있나? | 지금 공격이 일어나고 있나? 어떻게 대응하나? | | 핵심 기능 | 취약점, 잘못된 구성, 위협 탐지, 보안 태세, 규정 준수 | SIEM(수집·탐지·검색)과 SOAR(케이스 관리·자동 대응) | | 비유 | 건물 안전 점검표 | 24시간 관제실 |
시험 팁: "여러 출처의 보안 로그를 한곳에 모아 위협을 빨리 탐지하고 대응한다", "통합 보안 운영 플랫폼"은 Google Security Operations입니다.
---
AI 스택을 계층마다 지킨다
AI를 도입하면 새로운 공격 대상이 생깁니다. 출제 범위는 Google Cloud가 AI 스택의 모든 계층(인프라, 데이터, 모델, 플랫폼, 에이전트)을 보호한다는 점을 알아보라고 요구합니다.
| 계층 | 주요 위험 | Google Cloud의 보호 | |------|------|------| | 인프라 | 하드웨어와 호스트를 노린 공격 | secure-by-design 인프라, Confidential Computing | | 데이터 | 학습 데이터와 프롬프트 속 민감 정보 유출, 데이터 오염 | 기본 암호화, IAM, Sensitive Data Protection | | 모델 | 모델 탈취나 변조, 위험한 입력과 출력 | Model Armor, AI Protection | | 플랫폼 | 잘못된 구성과 과도한 권한 | Security Command Center, IAM | | 에이전트 | 에이전트가 너무 많은 권한으로 위험한 행동을 함 | Agent Identity와 Agent Gateway, AI Protection의 과도한 권한 탐지 |
LLM을 노리는 대표적인 공격은 다음과 같습니다.
프롬프트 인젝션: 입력이나 문서 속에 악의적인 지시를 숨겨 모델이 원래 규칙을 어기게 만듦 탈옥(jailbreak): 안전 장치를 우회하도록 모델을 조종 민감 정보 유출: 모델 응답에 개인 정보나 기밀이 섞여 나옴 유해 콘텐츠: 혐오, 위험한 내용 같은 출력을 생성
Model Armor: 프롬프트와 응답을 검사하는 관문
Model Armor는 LLM에 들어가는 프롬프트와 나오는 응답을 모두 검사하는 서비스입니다. 공항 보안 검색대처럼, 들어가는 짐과 나가는 짐을 둘 다 확인합니다.
사용자 프롬프트를 검사한 뒤(필요하면 민감 정보를 가린 뒤) LLM에 전달 LLM의 응답을 다시 검사한 뒤 사용자에게 전달 프롬프트 인젝션과 탈옥 차단, 민감 정보 비식별화(Sensitive Data Protection 활용), 유해 콘텐츠 필터링, 문서 속 텍스트 검사 Google Cloud뿐 아니라 다른 클라우드에 배포한 AI 애플리케이션에도 적용 가능
AI Protection: 조직의 AI 자산 관리
AI Protection은 Security Command Center 안에서 AI 워크로드의 보안 태세를 관리하는 기능입니다. 어떤 AI 자산이 있는지 목록을 만들고, 에이전트의 취약점과 과도한 권한을 찾고, AI 시스템을 노리는 위협을 탐지합니다.
시험 팁: "챗봇이 사용자 입력에 속아 내부 지침이나 개인 정보를 노출하지 않게 한다"는 Model Armor입니다. "조직이 쓰는 AI 자산 전체를 파악하고 위험을 관리한다"는 AI Protection입니다.
---
시험 핵심 정리
시험장 가기 전 마지막으로 확인할 핵심 포인트입니다.
| 구분 | 핵심 암기 사항 | |------|------| | 보안 태세 | 시스템이 지금 얼마나 안전하게 구성돼 있는지 | | 위협 인텔리전스 · 탐지 · 대응 | 공격자 정보 · 공격 징후 발견 · 차단과 복구 | | SIEM vs SOAR | 로그 수집과 상관 분석 vs 플레이북 자동 대응 | | 심층 방어 | 여러 겹의 보안, Google을 보안팀의 일원으로 | | secure-by-design | 자체 데이터센터, 직접 설계한 서버·네트워크, 자체 보안 칩, 기본 암호화 | | Google Threat Intelligence | Google 가시성 + Mandiant + VirusTotal, 통합 판정으로 사전 대비 | | Security Command Center | Google Cloud의 잘못된 구성·취약점·위협 발견, 보안 태세와 규정 준수 | | Google Security Operations | 옛 Chronicle, 조직 전체 로그를 모아 탐지·조사·대응 (SIEM + SOAR) | | Gemini in Security Operations | 자연어 검색, 탐지 규칙 생성, 케이스 요약, 분류·조사 에이전트 | | AI 스택 5계층 | 인프라 · 데이터 · 모델 · 플랫폼 · 에이전트 | | 프롬프트 인젝션 | 입력 속 숨은 지시로 모델이 규칙을 어기게 만드는 공격 | | Model Armor | 프롬프트와 응답을 모두 검사, 인젝션·탈옥·민감 정보·유해 콘텐츠 차단 | | AI Protection | SCC 안에서 AI 자산 목록, 취약점, 과도한 권한, 위협 관리 |
---