서비스로서의 키 관리 가이드 #2

서비스로서의 키 관리 가이드 #2

​

KMaaS는 어떻게 작동합니까?

​

KMaaS 솔루션에서 서비스 공급자는 키 관리 인프라를 호스팅하고 관리합니다. 고객은 고객을 대신하여 키를 저장하고 관리하는 서비스 공급자에게 암호화 키를 보냅니다. 또한 서비스 고객은 새로운 암호화 키를 생성하고 모든 수명 주기 관리 작업을 수행할 수 있습니다.

​

암호화 키는 일반적으로 보안 강화를 위해 하드웨어 보안 모듈(HSM)에 저장되며 절대 KMaaS 플랫폼을 벗어나지 않습니다. Thales를 예로 들면 당사의 키 관리 서비스인 CipherTrust Data Security as a Service에 대한 각 구독은 FIPS 140-2 레벨 3 신뢰 루트를 위한 Luna Cloud HSM의 지원을 받습니다.

​

KMaaS API를 통해 고객은 키를 사용하여 필요에 따라 환경과 애플리케이션에서 데이터를 암호화하고 해독할 수 있습니다.

​

키 수명 주기 관리 프로세스 전반에 걸쳐 KMaaS 플랫폼은 일반적으로 액세스 제어, 보안 스토리지, 백업 및 감사와 같은 키의 기밀성, 무결성 및 가용성을 보호하기 위한 다양한 보안 기능을 제공합니다.

​

KMaaS의 구성 요소

​

KMaaS의 일반적인 클라우드 기반 아키텍처는 함께 작동하는 여러 구성 요소로 구성됩니다.

​

• 사용자 인터페이스: 사용자가 키 관리 시스템에 액세스하고 키 생성, 키 취소 및 액세스 관리와 같은 다양한 작업을 수행할 수 있습니다.

• API 게이트웨이: 이 구성 요소는 사용자 인터페이스와 키 관리 시스템 간의 보안 인터페이스를 제공합니다. 사용자를 인증하고 키 관리 시스템으로 전달하기 전에 모든 요청이 승인되었는지 확인합니다.

• 키 관리 시스템: 키를 관리하는 KMaaS의 핵심 구성 요소입니다. 키를 생성 및 저장하고 키 순환, 해지 및 기타 키 수명 주기 관리 작업을 수행합니다.

• 클라우드 스토리지: KMaaS는 보안 클라우드 스토리지(일반적으로 HSM에서 지원)를 사용하여 키를 안전하게 저장하고 관리합니다. 이는 확장성, 중복성 및 고가용성을 제공합니다.

• 인증 및 권한 부여: 이 구성 요소는 사용자 ID를 확인하고 요청된 작업을 수행하는 데 필요한 권한이 있는지 확인하여 보안을 제공합니다.

• 암호화: 암호화는 KMaaS 아키텍처의 중요한 부분입니다. 키는 안전한 상태를 유지하기 위해 저장 및 전송 중에 암호화됩니다.

​

전반적으로 KMaaS 아키텍처를 통해 플랫폼은 확장성이 뛰어나고 안전하며 사용이 간편합니다. KMaaS 공급자는 클라우드의 기능을 활용하여 가용성이 높고 내결함성이 있으며 가장 큰 조직의 키 관리 요구 사항도 처리할 수 있는 키 수명 주기 관리 서비스를 제공합니다.

​

키 수명 주기 관리

​

KMaaS 플랫폼에서 키 수명 주기 관리는 일반적으로 중앙 집중식 시스템을 통해 자동화 및 관리되므로 수명 주기 전체에서 키를 적절하게 관리하고 보호할 수 있습니다.

​

KMaaS는 암호화 키 수명 주기의 모든 단계를 관리합니다.

​

• 생성: 암호학적으로 안전한 난수 생성기를 사용하여 특정 목적 또는 사용자를 위해 새로운 키가 생성됩니다.

• 저장: 새로 생성된 키는 무단 액세스, 수정 및 삭제로부터 키를 보호하도록 설계된 KMaaS 키 리포지토리에 안전하게 저장됩니다.

• 검색: 할당된 권한에 따라 인증된 사용자는 키 저장소에서 키를 검색합니다.

• 사용법: 승인된 사용자는 검색된 키를 사용하여 민감한 데이터를 암호화 또는 해독하거나 사용자 또는 장치를 인증하거나 문서에 디지털 서명을 합니다.

• 순환: 정의된 암호화 기간 또는 사용 횟수가 지나면 키가 폐기되고 새 키로 교체되어 키 손상과 관련된 위험을 완화합니다.

• 해지: 키가 손상되거나 만료된 경우 해지되고 키 저장소에서 제거됩니다.

​

​

KMaaS가 규정 준수 및 주권을 지원하는 방법

​

더 많은 조직이 데이터와 애플리케이션을 클라우드로 이동함에 따라 데이터 주권에 대한 우려가 점점 더 중요해졌습니다. 조직은 클라우드 기반 키 관리 서비스의 사용을 복잡하게 만들 수 있는 GDPR, PCI DSS 및 HIPAA를 비롯한 다양한 보안 및 개인 정보 보호 규정을 준수해야 합니다.

​

그러나 KMaaS(Key Management as a Service) 공급자는 데이터 주권 및 규제 요구 사항을 준수해야 하는 조직의 요구 사항을 충족하도록 발전했습니다.

​

보안 컴플라이언스에서 KMaaS의 역할

​

이미 다룬 것처럼 KMaaS(Key Management as a Service)는 조직이 표준 및 규정을 준수하도록 돕는 데 중요한 역할을 할 수 있습니다.

​

예를 들어 PCI DSS 및 HIPAA를 사용하면 둘 다 조직이 중요한 데이터를 보호하기 위해 강력한 암호화 및 키 관리 관행을 구현해야 합니다. KMaaS는 암호화 키를 중앙에서 관리하기 위한 안전하고 규정을 준수하는 솔루션을 제공하여 조직이 이러한 요구 사항을 충족하도록 도울 수 있습니다.

​

특히 KMaaS는 다음을 제공할 수 있습니다.

​

• 중앙 집중식 키 관리: KMaaS는 조직이 중앙 집중식 플랫폼에서 암호화 키를 관리하여 키가 확립된 정책 및 규정에 따라 안전하고 적절하게 관리되도록 할 수 있습니다.

• 자동화된 키 수명 주기 관리: KMaaS는 키 생성, 순환 및 취소를 자동화하여 암호화 키가 항상 최신 상태로 안전하게 유지되도록 합니다.

• 안전한 키 저장소: KMaaS는 암호화 키를 위한 안전한 저장소를 제공하여 무단 액세스로부터 키를 보호하고 백업 및 재해 복구 기능을 제공합니다.

• 규정 준수 보고: KMaaS는 보고 및 감사 기능을 제공하여 조직이 산업 규정 준수를 입증할 수 있도록 합니다.

​

KMaaS를 보안 전략에 통합함으로써 조직은 암호화 키를 더 잘 관리하고, 데이터 침해 및 비준수 위험을 줄이고, 업계 규정의 요구 사항을 보다 쉽게 충족할 수 있습니다.

​

그러나 조직의 특정 비즈니스 및 규정 준수 요구 사항을 신중하게 평가하고 이러한 요구 사항을 가장 잘 충족할 수 있는 KMaaS 공급자를 선택하는 것이 중요합니다.

​

KMaaS 및 데이터 주권 요구 사항

​

항상 유효성을 검사해야 하지만 일반적으로 기업은 KMaaS(Key Management as a Service)를 활용하면서 데이터 주권 요구 사항을 계속 준수할 수 있습니다.

​

데이터 주권은 데이터가 지역 또는 국가 법률 및 규정에 따라 저장되고 처리되어야 하는 법적 요구 사항을 의미합니다. 일부 국가에서는 개인 데이터 또는 민감한 데이터와 같은 특정 유형의 데이터가 국가 경계 내에 저장되는 데이터 현지화가 필요합니다.

​

조직이 데이터 주권 요구 사항을 준수하고 중앙 집중식 키 관리 플랫폼의 이점을 활용할 수 있도록 KMaaS 공급자는 이러한 개인 정보 보호 요구 사항을 준수하도록 솔루션을 설계했습니다. 예를 들어 일부 KMaaS 공급자는 특정 지역에 암호화 키를 저장할 수 있는 기능을 제공합니다.

​

앞서 언급한 바와 같이 많은 KMaaS 공급자는 잘 정의된 데이터 주권 요구 사항을 포함하는 업계 표준을 준수합니다.

​

KMaaS 공급자를 선택할 때 데이터가 있는 국가의 특정 데이터 주권 요구 사항을 준수하는지 확인하는 것이 중요합니다.

​

이는 공급자와 협력하여 주요 관리 프로세스와 데이터 주권 요구 사항을 해결하는 방법을 이해하고 공급자의 보안 관행 및 산업 규정 준수에 대한 실사를 수행함으로써 달성할 수 있습니다.

​

피해야 할 통념과 실수

모든 사이버 보안 솔루션과 마찬가지로 KMaaS를 조사하는 동안 몇 가지 일반적인 오해에 직면할 수 있습니다. 다음은 몇 가지입니다.

​

"KMaaS 솔루션을 사용한다는 것은 내 암호화 키에 대한 제어권을 포기한다는 의미입니다."

​

이것은 신화입니다. KMaaS 공급자는 키 관리와 관련된 인프라 및 프로세스를 관리할 책임이 있지만 고객은 암호화 키에 대한 통제권을 유지하고 KMaaS 공급자의 플랫폼을 사용하여 관리할 수 있습니다.

​

"KMaaS 솔루션은 온프레미스 키 관리 솔루션만큼 안전하지 않습니다."

​

이것은 또한 신화입니다. KMaaS 솔루션은 온프레미스 키 관리 솔루션만큼 안전할 수 있으며 경우에 따라 고급 보안 기능 및 기술로 인해 더 안전할 수도 있습니다.

​

"KMaaS 솔루션은 대규모 조직에만 해당됩니다."

​

KMaaS 솔루션은 모든 규모의 조직에 유용할 수 있습니다. 중소기업이 다른 방법으로는 달성하기 어려운 강력한 키 관리 관행을 구현하도록 도울 수 있습니다.

​

"KMaaS 솔루션은 너무 비쌉니다."

​

KMaaS 솔루션을 사용하는 것과 관련된 약간의 비용이 있지만 온프레미스 키 관리 솔루션을 구현하고 유지 관리하는 데 상당히 경쟁력이 있습니다. 또한 KMaaS 솔루션의 확장성과 유연성은 시간이 지남에 따라 비용을 절감할 수 있습니다.

​

"KMaaS 솔루션은 모든 클라우드 환경과 호환되지 않습니다."

​

과거에는 이것이 사실이었을지 모르지만 현재 많은 KMaaS 솔루션은 Amazon Web Services, Microsoft Azure 및 Google Cloud Platform과 같은 주요 클라우드 공급자가 제공하는 것을 포함하여 광범위한 클라우드 환경에서 작동하도록 설계되었습니다.

​

피해야 할 실수

​

KMaaS 신화를 깨뜨렸으니 이제 다른 M 단어인 실수를 살펴보겠습니다.

​

새로운 KMaaS(Key Management as a Service) 솔루션을 구현하는 것은 복잡한 프로세스일 수 있으며 조직에서 피해야 하는 몇 가지 일반적인 실수가 있습니다. 다음은 몇 가지 예입니다.

​

1. 공급업체를 철저히 평가하지 않음: 조직이 솔루션을 선택하기 전에 KMaaS 공급업체를 철저히 평가하는 것이 중요합니다. 여기에는 공급업체의 보안 및 규정 준수 기능 평가는 물론 시장에서 공급업체의 재무 안정성 및 평판 평가가 포함됩니다.

​

2. 통합 계획 실패: 조직은 새로운 KMaaS 솔루션이 기존 IT 인프라와 원활하게 통합되도록 해야 합니다. 여기에는 솔루션이 기존 하드웨어 및 소프트웨어와 호환되는지 확인하고 비즈니스 프로세스에 필요한 변경 사항을 계획하는 것이 포함됩니다.

​

3. 키 관리 정책 및 절차 무시: KMaaS 솔루션은 잘 정립되고 효과적인 키 관리 정책 및 절차와 함께 사용되는 경우에만 효과적입니다. 조직은 핵심 관리에 대한 명확한 정책과 절차를 정의하고 이를 모든 관련 이해관계자에게 효과적으로 전달해야 합니다.

​

4. 규정 준수 요구 사항 간과: 산업 및 관할권에 따라 조직이 KMaaS 솔루션을 구현할 때 충족해야 하는 특정 규정 준수 요구 사항이 있을 수 있습니다. 이러한 요구 사항을 준수하지 않으면 법적 및 재정적 처벌을 받을 수 있습니다.

​

5. 교육 및 교육의 중요성 과소평가: KMaaS 솔루션을 사용하는 직원은 솔루션을 효과적이고 안전하게 사용하도록 교육을 받아야 합니다. 여기에는 키 관리 모범 사례 및 KMaaS 솔루션의 특정 기능에 대한 교육이 포함됩니다.

​

명심해야 할 모범 사례

​

결론적으로 KMaaS는 암호화 키를 관리하는 안전하고 중앙화된 방법을 제공함으로써 기업 데이터 보안 전략에서 중요한 역할을 할 수 있습니다. 암호화는 중요한 데이터를 보호하는 효과적인 도구이지만 암호화에 사용되는 키도 보호해야 합니다. KMaaS는 이러한 키가 적절하게 저장, 관리 및 순환되도록 하는 방법을 제공하여 무단 액세스 또는 도난의 위험을 줄입니다.

​

다음은 Key Management as a Service를 사용할 때 염두에 두어야 할 몇 가지 모범 사례입니다.

​

• 보안 및 규정 준수 요구 사항을 명확하게 정의: KMaaS 공급자를 선택하기 전에 보안 및 규정 준수 요구 사항을 식별하고 공급자가 이를 충족할 수 있는지 확인하십시오. 암호화 강도, 키 관리 정책, 액세스 제어, 감사 및 보고 기능과 같은 요소를 고려하십시오.

• 강력한 인증 사용: 다단계 인증과 같은 강력한 인증 메커니즘을 사용하여 KMaaS 플랫폼에 대한 액세스를 제어해야 합니다. 이는 암호화 키 및 데이터에 대한 무단 액세스를 방지하는 데 도움이 됩니다.

• 키를 정기적으로 교체: 암호화 키를 정기적으로 교체하면 손상 위험을 줄이고 데이터를 항상 강력한 암호화로 보호할 수 있습니다.

• 키 백업: 암호화 키를 정기적으로 백업하고 안전하게 저장하여 재해 또는 하드웨어 장애 시 데이터 손실을 방지하십시오.

• 키 사용 모니터링 및 감사: 보안 정책에 따라 키가 사용되고 있는지 확인하고 무단 액세스 또는 사용을 감지하기 위해 키 사용을 정기적으로 모니터링하고 감사합니다.

• 데이터 보호 규정 준수 보장: KMaaS 사용이 GDPR 또는 CCPA와 같은 관련 데이터 보호 규정을 준수하는지 확인하십시오. 여기에는 개인 데이터를 보호하기 위한 적절한 조치를 취하고 데이터 주체가 자신의 데이터가 어떻게 사용되는지 알 수 있도록 하는 것이 포함됩니다.

• 최신 보안 사례로 최신 상태 유지: 최신 보안 사례 및 기술에 대한 정보를 유지하고 그에 따라 보안 정책 및 사례를 업데이트합니다. 여기에는 최신 암호화 표준, 보안 패치 및 위협 인텔리전스로 최신 상태를 유지하는 것이 포함됩니다.

​

건전한 KMaaS 기반을 통해 조직은 기업 보안 태세를 강화하고 암호화 및 키 관리와 관련된 데이터 유출 또는 규정 준수 위반의 비즈니스 위험을 줄일 수 있습니다. 또한 KMaaS는 조직이 주요 관리 프로세스를 간소화하여 IT 리소스를 다른 보안 우선 순위에 집중할 수 있도록 지원합니다.

---

Thales DIS CPL소개

​

오늘날의 기업은 클라우드, 데이터, 소프트웨어를 활용하여 비즈니스의 중대한 결정을 내립니다. 전 세계 유수의 브랜드와 기업들이 클라우드와 데이터 센터에서 디바이스, 네트워크에 이르는 모든 곳에서 생성, 공유 및 저장되는 민감정보와 소프트웨어에 안전하게 접근하기 위해 탈레스의 솔루션을 활용합니다. 탈레스의 솔루션을 도입한 기업은 안정적으로 클라우드로 이전하면서도 확실하게 데이터 보안 규제를 준수할 수 있습니다. 현재, 매일 수백만 명의 소비자가 사용하는 서비스와 디바이스를 통해 탈레스의 고객들은 보다 큰비즈니스 가치를 창출하고 있습니다.

https://cpl.thalesgroup.com/ko

​

탈레스 소개

​

귀하의 데이터를 보호하는 기업들은 탈레스를 통해 자신들의 데이터를 보호합니다. 데이터 보안에 대해 중요한 결정을 내려야 하는 순간이 증가하고 있습니다. 암호화 전략을 수립하거나, 클라우드로 데이터를 이전하거나, 규제 준수 요구사항을 충족시켜야 하는 모든 순간에 탈레스를 믿고 찾아주십시오. 탈레스는 귀하의 안전한 디지털 트랜스포메이션을 지원합니다.