CDL에서 보안과 신뢰 도메인은 전체의 약 10%를 차지합니다. Google Cloud가 데이터를 어떻게 보호하고, IAM으로 접근을 어떻게 제어하며, 규정 준수를 어떻게 달성하는지가 핵심입니다.
보안 기본 개념 — CIA 원칙
보안의 목표를 이해하려면 CIA 원칙을 알아야 합니다. 이 세 가지는 모든 보안 시스템이 달성해야 할 기본 속성입니다.
| 원칙 | 영문 | 의미 | 예시 | |------|------|------|------| | 기밀성 | Confidentiality | 허가된 사람만 데이터에 접근 가능 | 암호화, 접근 제어 | | 무결성 | Integrity | 데이터가 무단으로 변조되지 않음 | 해시 검증, 디지털 서명 | | 가용성 | Availability | 필요할 때 언제나 서비스에 접근 가능 | 이중화, DDoS 방어 |
예를 들어, 의료 데이터베이스를 생각해보세요. 허가된 의사만 볼 수 있어야 하고(기밀성), 진단 기록이 변조되면 안 되며(무결성), 응급상황에 항상 접근 가능해야 합니다(가용성).
심층 방어 (Defense-in-Depth)
"하나의 보안 장치에만 의존하지 말라"는 원칙입니다. 마치 성을 방어할 때 해자(물), 성벽, 수비대, 내성을 겹겹이 두는 것처럼, 여러 보안 계층을 적용합니다.
Google Cloud의 보안 계층 예시: 네트워크 경계: Cloud Armor가 DDoS 공격을 차단 네트워크 내부: VPC 방화벽 규칙으로 트래픽 제어 접근 제어: Cloud IAM으로 인증된 사용자만 허용 데이터: 암호화로 데이터 자체를 보호 감사: Cloud Logging으로 모든 활동 기록
하나의 층이 뚫려도 나머지 층이 방어합니다.
!Google Cloud 심층 방어 보안 계층
Cloud IAM — 접근 제어의 핵심
Cloud IAM(Identity and Access Management)은 "누가, 어떤 리소스에, 어떤 작업을 할 수 있는가"를 정의합니다. 마치 회사의 출입카드 시스템처럼, 각 직원(주체)이 특정 방(리소스)에서 특정 행동(권한)을 할 수 있도록 설정합니다.
IAM의 3요소
주체 (Principal) — 누가?
| 주체 유형 | 설명 | 예시 | |-----------|------|------| | Google 계정 | 개인 사용자 | user@gmail.com | | 서비스 계정 | 앱이나 VM이 사용하는 계정 | my-app@project.iam.gserviceaccount.com | | Google 그룹 | 여러 사용자의 묶음 | dev-team@company.com | | Google Workspace 도메인 | 조직 전체 | company.com |
역할 (Role) — 무엇을 할 수 있는가?
| 역할 유형 | 설명 | 예시 | |-----------|------|------| | 기본 역할 | 프로젝트 전체에 적용 | Owner, Editor, Viewer | | 사전 정의 역할 | 특정 서비스에 최적화 | roles/storage.objectViewer | | 사용자 지정 역할 | 직접 권한 조합 | 필요한 권한만 선택 |
정책 (Policy) — 바인딩
정책은 "주체에게 역할을 부여하는 규칙"입니다. 예: "dev-team 그룹에게 Cloud Storage 뷰어 역할을 부여한다."
최소 권한 원칙 (Principle of Least Privilege)
사용자나 서비스에게 꼭 필요한 최소한의 권한만 부여하는 원칙입니다. 예를 들어, 로그를 읽는 서비스에는 Viewer 권한만 주고, Admin 권한은 주지 않습니다. 권한이 과도하면 보안 위협이 되기 때문입니다.
기본 역할(Owner, Editor)은 권한 범위가 너무 넓어서 프로덕션에서는 사전 정의 역할이나 사용자 지정 역할을 권장합니다.
암호화
Google Cloud는 모든 고객 데이터를 기본적으로 암호화합니다. 별도 설정 없이 자동으로 적용됩니다.
| 암호화 유형 | 상황 | 설명 | |------------|------|------| | 저장 중 암호화 (At-Rest) | 데이터가 디스크에 저장될 때 | 기본 활성화, Google 관리 키 사용 | | 전송 중 암호화 (In-Transit) | 데이터가 네트워크로 이동할 때 | TLS/SSL 자동 적용 | | CMEK (고객 관리 암호화 키) | 규정 준수, 키 통제 필요 시 | Cloud KMS에서 키 직접 관리 | | CSEK (고객 제공 암호화 키) | 최고 수준 키 통제 | 고객이 키를 직접 생성 및 제공 |
CMEK vs CSEK 차이점: CMEK: 키를 Cloud KMS(Google 서비스)에서 관리. Google 인프라 안에서 키가 존재. CSEK: 고객이 키를 완전히 소유하고 관리. Google에 키를 보관하지 않음. 더 높은 보안, 더 높은 책임.
보안 서비스
Google Cloud는 다양한 보안 전용 서비스를 제공합니다.
| 서비스 | 역할 | 핵심 기능 | |--------|------|-----------| | Cloud Armor | 네트워크 레이어 보호 | DDoS 방어, WAF(웹 방화벽), IP 차단, 지역 기반 제어 | | Security Command Center | 보안 통합 대시보드 | 취약점 탐지, 위협 감지, 설정 오류 확인, 규정 준수 모니터링 | | Cloud DLP | 민감한 데이터 보호 | 개인정보 탐지(주민번호, 카드번호 등), 마스킹, 익명화 | | 2단계 인증 (2FA) | 계정 보안 강화 | 비밀번호 외 추가 인증 요소 요구 |
Cloud Armor: DDoS 공격(분산 서비스 거부 공격)은 대량의 트래픽으로 서버를 마비시키는 공격입니다. Cloud Armor는 이를 탐지하고 차단합니다. WAF(Web Application Firewall)로 SQL 인젝션, XSS 같은 웹 공격도 방어합니다.
Security Command Center: 보안 상황을 한눈에 파악하는 통합 대시보드입니다. 설정 오류(예: 공개 접근 가능한 버킷), 취약점, 위협을 자동으로 감지합니다.
Cloud DLP: 데이터 손실 방지(Data Loss Prevention)입니다. 데이터베이스나 파일에서 이메일 주소, 신용카드 번호, 주민등록번호 같은 민감한 정보를 자동으로 찾고 마스킹하거나 암호화합니다.
Google 신뢰 원칙 6가지
Google은 고객 데이터를 어떻게 다루는지에 대한 6가지 원칙을 공개적으로 약속합니다. 이는 시험에 자주 출제됩니다.
고객이 데이터를 소유합니다 — Google은 고객 데이터를 소유하지 않습니다 고객 데이터를 판매하지 않습니다 — 어떤 제3자에게도 판매하지 않습니다 광고에 사용하지 않습니다 — 고객 데이터로 광고 타겟팅을 하지 않습니다 모든 데이터는 기본 암호화 — 별도 요청 없이도 자동 적용 정부의 부당한 접근으로부터 보호 — 법적 절차 없이 데이터를 제공하지 않습니다 투명성 보고서 공개 — 정부 요청 건수 등을 정기적으로 공개합니다
이 원칙들은 "Google이 내 데이터를 안전하게 보호한다"는 신뢰의 기반입니다.
데이터 주권
데이터 주권(Data Sovereignty)은 데이터가 생성되거나 처리되는 국가의 법률이 적용된다는 개념입니다. 예를 들어, EU 시민의 데이터는 GDPR에 따라 EU 내에서 처리 및 보관해야 할 수 있습니다.
Google Cloud는 리전(지리적 위치)을 선택하여 데이터가 저장되는 위치를 직접 제어할 수 있습니다. 예를 들어, 한국 고객의 데이터는 서울 리전(asia-northeast3)에 저장되도록 설정할 수 있습니다.
규정 준수 인증
Google Cloud는 다양한 국제 표준과 규정 준수 인증을 보유합니다.
| 인증/규정 | 의미 | |-----------|------| | ISO 27001 | 정보 보안 관리 시스템 국제 표준 | | SOC 1/2/3 | 서비스 조직 내부 통제 감사 보고서 | | GDPR | EU 개인정보 보호 규정 | | HIPAA | 미국 의료정보 보호법 | | PCI DSS | 신용카드 데이터 보안 표준 |
Compliance Reports Manager: Google Cloud Console에서 감사 보고서, 인증서, 규정 준수 문서를 직접 다운로드할 수 있는 서비스입니다.
시험 핵심 정리
"허가된 자만 접근, 변조 방지, 항상 가용" -- CIA 원칙 (기밀성/무결성/가용성)
"여러 보안 계층, 하나 뚫려도 나머지가 방어" -- 심층 방어 (Defense-in-Depth)
"누가 무엇에 어떤 작업을 할 수 있는가" -- Cloud IAM
"필요한 최소 권한만 부여" -- 최소 권한 원칙
"앱/VM이 사용하는 계정" -- 서비스 계정 (Service Account)
"DDoS 방어, 웹 방화벽(WAF)" -- Cloud Armor
"보안 상태 통합 대시보드, 취약점 감지" -- Security Command Center
"민감한 데이터 탐지 및 마스킹" -- Cloud DLP