서비스형 소프트웨어(SaaS) 보안 관점에서 바라본 클라우드 서비스 인증 방안 연구 = A Study on Cloud Service Certification Approach from SaaS Security Perspective

다국어 초록 (Multilingual Abstract)

With the development of cloud computing technologies, the demand for cloud services and concerns about security threats have been increased. Accordingly, Republic of Korea has been operating the cloud security certification system named as CSAP to resolve security concerns about cloud services. However, in the case of the domestic cloud service certification system, compared to those of the overseas, items of security domain controls considering the characteristics of software-based control services such as SaaS(Software as a Service) are insufficient. In 2020, Europe published a draft document including security requirements necessary to create the cloud security certification system named as EUCS. In this paper, from SaaS security perspective, cloud architecture and usage scenarios of cloud service are investigated in order to derive security control families necessary for cloud service security certification. In addition, we conduct a comparative study between CSAP and EUCS, and propose a security evaluation model for SaaS.

국문 초록 (Abstract)

클라우드 컴퓨팅 기술의 발전에 따라 클라우드 서비스에 대한 요구와 함께 보안 위협에 대한 우려도 함 께 증가하고 있다. 이에 따라, 한국은 클라우드 서비스에 대한 보안 우려를 해소하기 위해서 클라우드 보안인증제 도(CSAP)를 운영해 오고 있다. 그러나, 국내 클라우드 서비스 인증제도의 경우에는 해외 클라우드 서비스 인증제 도와 비교해 볼 때, SaaS(Software as a Service)와 같은 소프트웨어 기반 클라우드 서비스의 특징을 고려한 보 안 통제항목은 부족한 상황이다. 2020년에 유럽은 EUCS 클라우드 서비스 보안 인증제도를 신설하기 위해 필요한 보안요구사항 초안을 공개하였다. 본 연구에서는 SaaS 보안 관점에서 클라우드 서비스 보안 인증에 필요한 통제 분야를 도출하기 위해 클라우드 아키텍처 및 클라우드 서비스 사용 시나리오에 대한 조사를 수행한다. 또한, 유럽 의 EUCS 클라우드 서비스 인증제도와 국내 CSAP 클라우드 서비스 인증제도에 대한 비교 연구를 수행하고 SaaS에 대한 보안평가 모델을 제안하고자 한다.

참고문헌 (Reference)

1 서광규, "한국의 클라우드 서비스 인증제도와 미국의 FedRAMP의 비교 연구" 한국디지털정책학회 10 (10): 59-65, 2012

2 최주영 ; 최은정 ; 김명주, "클라우드 서비스 평가 프로그램과 ISO/IEC 27001:2013의 비교 연구" 한국디지털정책학회 12 (12): 405-414, 2014

3 홍성욱 ; 박재표, "정보보호 및 개인정보보호 관리체계(ISMS-P) 인증제도의 효과적인 운영방안" 한국산학기술학회 21 (21): 634-640, 2020

4 김경근 ; 나종회 ; 정필운, "공공부문에서 클라우드컴퓨팅 도입 및 개선 방안에 관한 연구: 보안인증을 얻은 IaaS 중심으로" 한국엔터프라이즈아키텍처학회 16 (16): 273-280, 2019

5 D. Y. Koo, "Trends on cloud computing security technology" 39 (39): 101-106, 2020

6 H. Y. Jeong, "Trends of domestic and overseas cloud service security certification system, and improvement plan of domestic certification CSAP" 1-14, 2021

7 O. G. Min, "Trends in technology of cloud computing" 24 (24): 2009

8 CSA, "Top threats to cloud computing:Egregious eleven deep dive"

9 P. Mell, "The NIST definition of cloud computing" NIST Special Publication 800-145, 2011

10 MSIT, "Survey report on 2021 cloud industry"

11 D. H. Kim, "Special report-Cloud computing technology and status" 164 : 50-55, 2016

12 N. Kaja, "Security threats in cloud computing" 691-694, 2015

13 M. V. Kushala, "Recent trends on security issues in multi-cloud computing: A survey" 777-781, 2020

14 S. H. Shin, "Public service innovation by private cloud first in public sector" 45 : 22-25, 2021

15 MOIS, "Public notice on usage standards and safety assurance of cloud computing service by administrative and public institutions"

16 M. C. Kim, "Korea cloud IT infrastructure market forecast, 2021-2025: Accelerating enterprise digitalization"

17 C. S. Park, "Introduction on FedRAMP the US cloud computing certification system"

18 MOIS, "Guidelines public cloud usage for administrative and public organizations"

19 L. Taylor, "FedRAMP : History and future direction" 1 (1): 10-14, 2014

20 KISA, "Evaluation criteria commentary of cloud service assurance program(SaaS)"

21 ENISA, "EUCS-Cloud services scheme, European cybersecurity certification scheme for cloud services"

22 D. K. Yoon, "Cloud service security certification as a prerequisite for revitalizing the adoption of private cloud-FedRAMP vs CSAP" 3-11, 2022

23 H. K. Kim, "Cloud security certification system status and international standard trends" 16 (16): 33-39, 2015

24 KISA, "Cloud security assurance program"

25 K. H. Son, "Analysis on US federal government cloud service security certification system, FedRAMP"

26 MSIT, "Act on the development of cloud computing and protection of its users"

27 MSIT, "3rd Cloud computing basic plan(‘21～‘24)"

28 H. J. Lee, "2022 Issue report-Cloud industry trends and analysis on key growth factors" KERI

29 MSIT, "2022 Business plan of ministry of science and ICT"