공동책임모델 (Shared Responsibility Model)
쉽게 풀면
공동책임모델은 아파트 건물의 보안을 관리사무소와 입주민이 나누어 책임지는 것에 비유할 수 있습니다. 건물 외곽 경비와 공용 시설 관리는 관리사무소가 맡고, 각 가정의 문단속과 귀중품 보관은 입주민이 책임지는 식입니다. 클라우드에서도 데이터센터의 물리적 보안이나 인프라 관리는 클라우드 사업자가, 애플리케이션 설정이나 데이터 접근 권한 관리는 이용 조직이 책임지는 구조로 나뉩니다. 이 경계를 정확히 알아야 보안 사고가 났을 때 누구의 책임인지 명확해집니다.
왜 중요한가
정보보안학에서는 클라우드 도입이 확산되면서 책임 소재의 혼선이 실제 보안 사고로 이어지는 사례가 많아, 공동책임모델의 명확한 이해가 조직의 보안 정책 수립에 필수적으로 다루어집니다. 책임 경계에 대한 오해가 보안 취약점의 주요 원인 중 하나로 지목되기도 합니다.
논문에서는 이렇게 쓰입니다
책임 구분을 제대로 몰라서 설정 실수로 정보가 유출되는 과정을 분석했다는 뜻입니다.
클라우드 서비스 형태에 따라 책임 범위가 어떻게 달라지는지 구체적으로 정리했다는 의미입니다.
조금 더 깊게 보면
일반적으로 클라우드 사업자는 물리적 인프라, 네트워크, 하이퍼바이저 등 하부 계층의 보안을 책임지고, 이용 조직은 운영체제 설정, 애플리케이션, 데이터, 접근 관리 등 상위 계층을 책임집니다. 이 경계는 서비스 모델(IaaS, PaaS, SaaS)에 따라 달라지며, 상위 계층으로 갈수록 사업자가 책임지는 범위가 넓어지는 경향이 있습니다.
주의할 점
공동책임모델은 사업자마다 세부 경계 설정이 다를 수 있어, 계약서와 서비스 약관을 통해 실제 책임 범위를 구체적으로 확인하지 않으면 오해가 생길 수 있습니다.