# 26년도 클라우드 취약점 점검
2021년 가이드는 CA-01부터 CA-05까지 5개 항목에서, 2026년 가이드는 CA-01부터 CA-19까지 총 19개 항목으로 구성되어 있습니다.
클라우드 항목 수량 : 21년도 05개 >> 26년도는 19개 항목
# 2021년 기존 항목의 변화
2021년의 5개 항목은 삭제된 것이 아니라, 2026년의 새로운 체계 속으로 확장·통합되거나 구체화되었습니다.
| 2021년 항목 (기존) | 변화 양상 | 2026년 대응 항목 및 변경 상세 내용 |
| CA-01 클라우드 서비스 로그오프/세션 관리 | 통합/흡수 | [통합] 별도 항목에서 제외되었습니다. 세션 타임아웃 설정은 이제 CA-01(사용자 계정 관리)의 보안 정책이나 콘솔 자체 설정 점검으로 통합 관리됩니다. |
| CA-02 클라우드 서비스 외부접속 차단 | 세분화 | [CA-06 네트워크 서비스 정책] 및 [CA-09 접근 제어 설정]으로 나뉘었습니다. 단순 차단이 아닌, ACL(Access Control List)과 Security Group을 통한 정교한 정책 관리로 변경되었습니다. |
| CA-03 클라우드 서비스 루트계정 관리 | 확장 | [CA-01 사용자 계정 관리]로 확장되었습니다. 루트(Root) 계정뿐만 아니라, IAM(일반 사용자) 계정을 포함한 모든 계정의 생명주기(생성/삭제/미사용 잠금)를 관리합니다. |
| CA-04 클라우드 서비스 계정 권한 관리 | 고도화 | [CA-02 사용자 정책 관리] 및 **[CA-05 인스턴스 서비스 정책 관리]**로 분화되었습니다. 단순 권한 부여 확인이 아닌, JSON 형태의 Policy(정책) 분석을 통해 과도한 권한을 탐지합니다. |
| CA-05 클라우드 서비스 사용자 인증 강화 | 명확화 | [CA-03 MFA 설정]으로 변경되었습니다. '인증 강화'라는 모호한 표현 대신 Multi-Factor Authentication 설정을 필수 요건으로 명시했습니다. |
# 21년도 26년도 클라우드 취약점 점검 항목 비교
| 구분 | 2026년 항목 (최신, 총 19개) | 2021년 항목 (기존, 총 5개) | 매핑 및 변경 내용 |
| 계정관리 | CA-01 사용자 계정 관리 | CA-03 클라우드 서비스 루트계정 관리 | 확장: 루트 계정뿐만 아니라 일반 사용자(IAM) 계정 전체 관리로 범위 확대 |
| CA-02 사용자 정책 관리 | CA-04 클라우드 서비스 계정 권한 관리 | 구체화: 단순 권한 관리를 '정책(Policy)' 기반의 세밀한 권한 제어로 변경 | |
| CA-03 MFA(Multi-Factor Authentication) 설정 | CA-05 클라우드 서비스 사용자 인증 강화 | 명확화: 사용자 인증 강화를 구체적인 기술 용어인 'MFA'로 변경 | |
| CA-04 클라우드 계정 비밀번호 정책 관리 | - | 신규 (패스워드 복잡도/주기 설정 신설) | |
| - | (별도 항목 없음) | CA-01 클라우드 서비스 로그오프/세션 관리 | 통합: CA-01(사용자 계정) 또는 각 CSP의 콘솔 보안 설정 점검으로 통합/흡수됨 |
| 권한관리 | CA-05 인스턴스 서비스 정책 관리 | - | 신규 (EC2 등 인스턴스에 부여된 Role 관리) |
| CA-06 네트워크 서비스 정책 관리 | CA-02 클라우드 서비스 외부접속 차단 | 고도화: 단순 차단을 넘어 ACL 등 전반적인 네트워크 서비스 정책 관리로 고도화 | |
| 가상 리소스관리 |
CA-07 VPC 네트워크 서브넷 관리 | - | 신규 (서브넷 분리 및 라우팅 점검) |
| CA-08 가상 네트워크 리소스 관리 | - | 신규 (가상 인터페이스/게이트웨이 관리) | |
| CA-09 접근 제어 설정 관리 | - | 신규 (Security Group 등 방화벽 정책 상세) | |
| CA-10 스토리지 리소스 퍼블릭 접근 관리 | - | 신규 (S3, Blob 등 스토리지 공개 차단) | |
| 운영관리 | CA-11 관계형 데이터베이스 암호화 설정 | - | 신규 (DB 데이터 암호화) |
| CA-12 통신 구간 암호화 설정 | - | 신규 (전송 데이터 SSL/TLS 적용) | |
| CA-13 클라우드 서비스 사용자 계정 로깅 설정 | - | 신규 (CloudTrail 등 계정 활동 로깅) | |
| CA-14 인스턴스 로깅 설정 | - | 신규 (서버 내부 시스템 로그) | |
| CA-15 관계형 데이터베이스 로깅 설정 | - | 신규 (DB 쿼리/접속 로그) | |
| CA-16 오브젝트 스토리지 버킷 로깅 설정 | - | 신규 (스토리지 접근 로그) | |
| CA-17 로그 보관 기간 설정 | - | 신규 (로그 보존 정책 수립) | |
| CA-18 백업 사용 여부 | - | 신규 (자원 백업 수행) | |
| CA-19 가상 리소스 이상징후 알림 설정 | - | 신규 (CloudWatch 등 알람 설정) |
2021년 가이드와 2026년 가이드의 클라우드 취약점 점검 항목 비교를 스프레드시트 형태로 만들어 봤습니다.
클라우드 항목의 비교 표를 확인해 보면 좋을 것 같습니다.
아무래도 누락된 부분이 있을 수도 있으니, 참고만 하길 바랍니다.
'100. IT & Security > 105. ETC' 카테고리의 다른 글
| 가상화장비-2026년 주요정보통신기반시설 추가 (0) | 2026.01.06 |
|---|---|
| Web Application(웹)-2026년 주요정보통신기반시설 수정/변경 (0) | 2026.01.06 |
| 이동통신-2026년 주요정보통신기반시설 수정/변경 (0) | 2026.01.05 |
| DBMS-2026년 주요정보통신기반시설 수정/변경 (0) | 2026.01.05 |
| 제어시스템-2026년 주요정보통신기반시설 수정/변경 (0) | 2026.01.05 |
