CSP의 역할

CSP 하는 역할 짱마나. (클라우드 서비스 운영 관리자, 배포 관리자, 관리자, 비즈니스 관리자, 고객 지원 및 관리 담당자, 클라우드 간 제공자, 클라우드 서비스 보안 및 위험 관리자, 네트워트 제공자) 그 안의 서브롤은 진짜 더 많아. 클라우드에서 CSP가 완전 핵심이야 핵심

클라우드 서비스 운영 관리자
  • 시스템 준비
  • 서비스 모니터 및 관리자
  • 자산 및 인벤토리 관리
  • 감사 데이터 제공
클라우드 서비스 배포 관리자
  • 환경 및 프로세스 정의 배포하려면 절차를 마련해야 한다. DevOps 기반 배포 과정은 소스코드 코딩, 테스팅, 빌드, 디플로잇 이라는 과정을 거침 이러한 배포 과정은 환경에 따라 달라질 수 있다
  • 측정 지표 정의 및 수집 배포 시 배포와 클라우드에 대한 리소스가 요구사항에 대해 퍼포먼스, 응답ㅌ소ㅗㄷ, 네트워킹, RW, Access 속도 와 같은 것들이 측정지표로 설정. 이런 기준치를 충족하는지 확인 또한 이러한 측정 지표들 로깅 해야 함. 로깅 정보를 1년 이상 저장하도록 해야 함. 로그도 중요한데, 관련 규정에 대해 잘 알고 잘 지켜야 함.
  • 배포 단계 정의 EC2 Amazon Cloud Computing 만들었다 치면 EC2 만들고, IP 설정 Public으로 하고, 각종 OS환경에 대한 세팅을 하고 해야 함
클라우드 서비스 관리자
  • 서비스 제공

  • 배포 및 프로비전 서비스 +)프로비전: 고객/파트너가 클라우드 서비스를 사용할 수 있도록 환경을 마련 해 주어야 한다. ex)과금처리, 클라우드 컴퓨팅 서비스를 CSP는 클라우드 리소스(수백종-컴퓨팅, DB, 시큐리티) / 온디맨드(재무관리) 프로비저닝 과 같은 기능을 제공해야 한다. 재무관리 프로비저닝 같은 경우 결제/계좌에 대해 방법을 수립해 두어야 한다.
  • 서비스 수준 관리 수행 SLA(서비스 레벨 매니지먼트) <->SML(클라우드 환경에서 각각의 리소스/어플리케이션에 대해 협약 시 모니터링 및 관리 가능한 체계를 마련해야 함.) 관리 부분에는 모니터링 툴이 필요함 ->
클라우드 서비스 비즈니스 관리자역할
  • 비즈니스 계획 관리 ex) 우리 CSP 에서 제공하는 맛보기를 봐라! 고객은 비용 지불, CSP는 청구. 비용처리는 연간/웕ㄴ ㅁ낳이 씀. 재무, 고객 관리 기술 지언, 이 담당자가 ㄱ컨트롤타워
  • 고객 계정 관리 CSP는 고객을 토애 ㅁ(CSC) 수익을 얻으. ㅡㄱ니까 곡객에 대해 관리체계 필요 => 장애차원 ㅓㅊ링 넨지니어, 구축 설계하는 솔루션 아키텍트. 보안 전문가-고개기 요처이시 보안 담당자에계
    치매사고 … 여튼 이거 다 영업
  • 재무 처리 관리 비용처리(CSP )
클라우드 간 제공자(Intercloud provider)
  • 피어 클라우드 서비슷 관리 하나만 제공하면 교차적 측면에서 하나 문제가 생김. 그래서 여러개 접속하게 해야 함.
  • 피어링, 연합, 중개, 집적 및 차액 수익 거래 피어링-대형 구축 사업 같은 경우 일개 업체 혼자 하기 힘듦 -> 주 사업자가 아키텍처 구축, 보안, 등을 다 하기 힘듦. 그래서 연합해서 계획 짜야 해
클라우드 서비스 보안 및 위험 관리자(CSS) 역할 <- 졸라 중요
  • 보안 및 위험 관리
    • 국제표준기준를 따른다
      • ISO/IEC 27005:2018 - 국제 표준 정보보안 위험관리 체계
      • ISO/IDC 31000:2018 - 국제 표준 위험관리 체계. 포괄적이다.
    • 위험 관리 프로세스에는 다음과 같은 순서를 따른다.
      1. 클라우드 자산 식별
      2. 위험분석 기준(Risk Analysis Criteria) 세우기
        • 국제 기준 및 국내 기준을 따라 기준을 세운다
          • ISO/IEC 27017:2015 - 국제 표준 클라우드 서비스 정보보안 관리 체계)
          • ISO/IEC 27018 - 개인식별정보에 대한 클라우드 정보보안 관리 체계
          • CSA(Cloud Security Alliance) - 국제 산업 표준
          • CCM(Cloud Control Matrix) v4.0.7 - 클라우드 보안통제사항
          • KISA CSAP 클라우드 보안 통제 기준
        • 클라우드 자산 분야
        • 부대 설비 분야
      3. 위험 분석(Risk Analysis) 다음과 같은 항목에 대해 위험 분석을 해야 한다.
        • 클라우드 관리적 보안통제 분야
        • 클라우드 자산 관리 - KISA의 클라우드 취약점 점검 가이드를 따르자
        • 부대설비(IaaS 서비스를 제공하는 CSP만 해당하는 항목)
      4. 위험 평가 3번 과정(위험분석)에서 도출된 위험 요소를 대상으로 위험 평가를 수행한다.
        1. 위험평가 수행
        2. 위험 평가 위험평가는 아래의 항목에 대해 검사를 한다.
          • 발생 빈도
          • 위협 강도
          • 자산중요도 평가 기준
          • 준거성 기준 이 외에도 추가적으로 위험평가 항목을 설립하여 할 수 있다.
        3. 잔여 위험
      5. 위험 관리 계획 수립(RTP aka Risk Treatment Plan: 위험 조치 계획) 단기/중기/장기 에 따라 위험 관리 계획을 수립한다.
      6. 위험조치 확인
      7. 모니터링
  • 서비스 연속성 설계 및 구현
  • 준거성 검토 국가별 따라야 하는 준거성 검토 항목이 다르다. 국내 환경은 아래와 같은 항목을 충족해야 한다.
    • public, hybrid 환경은 정보통신망법
    • 개인정보보호법
네트워크 제공자
  • 네트워크 연결성 제공
    • VPC(virtual private cloud) 기반 제공 가능
    • Peer to Peer 방식 가능
    • on-premiss 환경 상에서도 연동 가능해야 한다.
  • 네트워크 서비스 제공
    • 네트워크 서비스는 각 벤더마다 그 명칭이 다르다. 하지만 관리는 다 비슷..?
  • 네트워크 관리 서비스 제공 가용영역, 비용처리, 네트워크 연결 과 같은 부분을 제공해야 한다.

마이크로 소프트는 vpc를 안써요. 근데 기능, 요건

CSS(Cloud Service Security & Risk Manager)가 해야 하는 일
	1. Cloud Computing service Risk Management Process
		이는 ISO/IFC 27005/31000를 따른다.
		ISO/IDC 27005 : 국제 표준 클라우드 서비스를 따르는이용 방지책
		,, 31000: 포괄적인 위험 관리 체계
	2. 자산 식별
		클라우드 리소스, 시스템 매니저 등 UI를 통해 관리 서비스하는 방법이 이쏘, cli를 통해 하는 방법도 있구... 스크립트 및 
		SDK 이용(소프트웨어 개발 키트) 사용
	CSP에서 제공하는 것으로 써야 함. 호환을 위함. 자산식
	3. Risk/Analysis Critical
		1. 국내의 통제 기준을 정의해야 한다.
			iso 97017/29018/CSAP(Cloud SEcurity Assurance Program) 등의 기준을 사용
		2. 클라우드 리소스 Risk Analysis에 대한 기준 마련
			가상 서버, VPC, DB, WEB, WAS, SaaS 등에 대한 기준을 마련해야 한다. 
			기준은 다음과 같을 수 있다: 발생 빈도, 위험강조, 자산 식별 시 자산에 대한 중요도 평가
			CSC, CSP-중요도CTM
			위험 분석. 취약점 분석 평가 해야 해여. 취약점 분석 평가는 customer가 자체적으로 하거나, 외부 용역에게 일을 줘야 해요. 앞서가면 안대ㅗ여4

CSN의 역할

CSN은 다음과 같은 역할로 나뉜다.

  • 클라우드 서비스 개발자(CSD)
  • 클라우드 감사자
  • 클라우드 서비스 브로커(CSB)
클라우드 서비스 개발자(CSD)

여기서 지칭하는 개발자는 기업이 될 수도, 개인이 될 수도 있다. CSD는 다음과 같은 일을 한다

  • 설계, 생성 및 서비스 컴포넌트 유지보수
  • 컴포즈(Compose) 서비스
  • 테스트 서비스

+) 클라우드 기반 소프트웨어 개발 프로세스(DevOps)는 다음과 같은 순서로 진행된다. 1. 요구사항 정의 - CSC(고객)이 정의 및 제공해야 한다. 2. 설계 3. 개발 4. 빌드 - CSP가 제공하는 것을 사용해야 한다. 5. 테스트 6. 배포(Deploytment) 7. 운영(Operation) 8. 모니터링 여기서 발전된 것은 Cloud-Native라 한다. 이는 컨테이너, CI/CD, DevOps로 구성된다.

클라우드 관리자
  • 감사 수행 제 3자가 감사를 수행한다.
  • 감사 결과 보고서
클라우드 서비스 브로커(CSB) <-진짜 개중요

CSP가 관리해야 할 사항이 너무 많다. 그래서 MSP(Managed Service Provider)가 대신 해 준다. 이들이 해야 할 일은 다음과 같다.

  • 고객 확보 및 평가
  • 시장 평가 - 시장이 좋은지 안좋은지 보고 사업을 확장할지, 철수 혹은 축소할지 알아야 함.
  • 법률적 계약서 작성

클라우드 서비스의 계약 관계

Cloud Service의 계약 구조 관계는 아래와 같다

  • Cloud Service Supplier 인프라를 제공하는 역할을 한다. 이 역할을 하는 기업들은 제공자 뿐만 아니라 CSP로서도 역할할 수 있다. 즉, IaaS, PaaS, SaaS 환경을 제공할 수 있다. AWS, MS, NCP, GCP 등이 있다. CSP를 대상으로 B2B만 할 수도, CSC에 직접적으로 서비스를 공급할 수도 있다. 이들은 B2B 사업만을 하게 된다.
  • CSP 개발 구축관점과 인프라 관점에서 본다 Cloud Service Supplier에게 IaaS, PaaS 환경을 제공받아 해당 환경에서 개발을 수행하게 된다. 이들은 이렇게 만든 프로그램으로 CSC와 B2C 관계를 가진다.
  • CSC IaaS, PaaS, SaaS를 이용한다. 고객은 Cloud Service Supplier에 직접 계약관계를 요청할 수 없다. 이들은 CSP와 B2C 관계를 갖게 된다.