ACSC - Cloud Computing Security for Cloud Service Providers(클라우드 서비스 공급자의 클라우드 컴퓨팅 보안) - 2023년 가이드 살펴보기
고지 사항
본 가이드의 유일한 목적은 공공 부문의 Cloud 고객 및 ACSC(Australian Cyber Security Center)에서 규제 대상 기관으로 간주하는 엔터프라이즈 조직이 Atlassian Cloud 제품과 제공 서비스와 관련해 본 가이드를 참조하는 방식을 설명하는 것입니다.
이 보고서는 전적으로 Atlassian Cloud 고객에게 Cloud Computing Security for Cloud Service Providers(클라우드 서비스 공급자의 클라우드 컴퓨팅 보안)를 준수하는 방법에 관한 정보와 가이드를 제공하기 위해 마련되었습니다. 이와 동시에 Atlassian은 CSP와 고객 모두에게 권고되는 다양한 책임에 대해 설명하는 전용 공동 책임 백서를 제공합니다. 이 공동 책임 모델은 Atlassian Cloud 제품을 사용하는 고객의 책임 및 위험을 면제해 주는 것은 아니지만, 시스템 컴포넌트 및 시설의 물리적 컨트롤을 관리 및 제어하는 부담을 줄이는 데 도움을 줍니다. 또한 보안 및 컴플라이언스 비용의 일부를 고객이 아니라 Atlassian의 부담으로 돌리기도 합니다.
고객 데이터 보호를 위한 Atlassian의 노력에 대해 자세히 알아보려면 보안 관행 페이지를 참조하세요.
위험 | 참조 | 완화 | Atlassian 대응 |
|---|---|---|---|
| 일반적으로 모든 유형의 Cloud 서비스와 관련된 가장 효과적인 위험 완화 방법 | |||
| 테넌트 데이터의 기밀성, 무결성, 가용성 유지의 중대한 실패 | 참조 1 - 일반 | 완화 테넌트의 데이터를 처리하는 데 필요한 적합한 분류 수준에서 Cloud 서비스 및 기본 인프라(이 문서에서는 완화 조치를 명시적으로 다루고 있음)를 ISM[1]과 비교하여 평가합니다. | Atlassian 대응 Atlassian은 데이터 개인 정보 보호 프레임워크 원칙 준수, 원칙을 준수를 하지 않을 경우 영향을 받는 개인에 대한 법적 청구 및 원칙을 따르지 않을 경우의 결과에 대한 강력한 메커니즘을 갖추고 있습니다. 정기적인 임시 자체 평가는 물론 필요에 따라 수시로 외부 감사 및 규정 준수 검토를 통해 이 메커니즘을 수행합니다. 특히 당사의 개인 정보 보호 관행이 데이터 개인 정보 보호 프레임워크 원칙을 준수함을 인증하는 타사 공급자인 TrustArc와 매년 협력하고 있습니다. TrustArc는 Atlassian의 자체 인증을 지원하며 개인 정보 보호와 관련된 고객의 불만 사항에 대한 독립적인 분쟁 조정 서비스도 제공합니다. 또한 자체 평가, 외부 감사/규정 준수 검토 및 수시로 진행할 수 있는 수정 계획과 함께 감사 추적으로 사용할 수 있는 Jira 티켓의 규정 준수를 추적하고 모니터링합니다. 당사는 데이터 처리 관행을 모니터링하고 데이터 개인 정보 보호 인시던트/침해를 추적하기 위해 데이터 개인 정보 보호 침해 프로그램을 유지합니다. |
|
| 참조 2 - 일반 | 완화 고위 경영진이 강력한 변경 관리를 포함하여 보안 관련 활동을 지휘 및 조정하고 정의된 보안 역할을 담당하는 기술적으로 숙련된 직원을 포함하는 보안 거버넌스를 구현합니다. | Atlassian 대응 Atlassian의 CISO는 Bala Sathiamurthy로 샌프란시스코 사무소에 근무하고 있으며 보안 팀은 제품 보안, 보안 인텔리전스, 보안 아키텍처, 신뢰, 위험 및 규정 준수 전반에 걸쳐 230명이 넘는 팀원을 보유하고 있습니다. 시드니, 암스테르담, 오스틴, 벵갈루루, 마운틴뷰, 샌프란시스코 및 뉴욕 사무소에는 개발 및 SRE 팀과 다수의 원격 팀원이 있습니다. |
|
| 참조 3 - 일반 | 완화 테넌트에게 비상 연락처 세부 정보, 평소에는 액세스할 수 없는 포렌식 증거에 대한 액세스 권한 및 인시던트 알림을 제공하는 사이버 보안 인시던트 대응 계획을 구현하고 매년 테스트합니다. | Atlassian 대응 Atlassian은 문서화된 보안 인시던트 대응 정책 및 계획을 갖추고 있으며 그 핵심 원칙은 다음과 같습니다.
|
| 전송 중 타사가 악의적으로 손상시킨 테넌트의 데이터 | 참조 4 - 일반 | 완화 테넌트 및 CSP 간에 전송 중인 데이터를 보호하기 위해 ASD 승인 암호화 제어를 지원 및 사용합니다(예: 승인된 알고리즘, 키 길이 및 키 관리 기능을 갖춘 애플리케이션 계층 TLS 또는 IPsec VPN). | Atlassian 대응 Atlassian Cloud 제품 및 서비스에 저장된 모든 고객 데이터는 권한 없이 공개 또는 수정되지 않도록 TLS(Transport Layer Security) 1.2 이상 및 PFS(Perfect Forward Secrecy)를 사용하는 공용 네트워크를 통해 전송 중 암호화합니다. Atlassian에서 TLS의 구현은 브라우저에서 지원하는 강력한 암호 및 키 길이를 적용합니다. |
| 참조 5 - 일반 | 완화 공개 인터넷 인프라와 같은 안전하지 않은 커뮤니케이션 채널을 통해 CSP의 데이터 센터 간에 전송 중인 데이터를 보호하기 위해 ASD 승인 암호화 제어를 사용합니다. | Atlassian 대응 Atlassian은 암호화 및 암호화 정책과 구현 가이드라인을 유지 관리합니다. 이 정책은 PMP(Policy Management Program)에 따라 매년 검토 및 업데이트됩니다. 자세한 내용은 Atlassian Trust Management System(ATMS)을 참조하세요. | |
| 참조 6 - 일반 | 완화 온보딩 또는 오프보딩의 일부로 데이터를 전송할 때 테넌트와 CSP 간에 우편/택배를 통해 전송 중인 저장 매체의 미사용 데이터를 보호하기 위해 ASD 승인 암호화 제어를 지원 및 사용합니다. | Atlassian 대응 Atlassian Cloud 제품 및 서비스에 저장된 모든 고객 데이터는 권한 없이 공개 또는 수정되지 않도록 TLS(Transport Layer Security) 1.2 이상 및 PFS(Perfect Forward Secrecy)를 사용하는 공용 네트워크를 통해 전송 중 암호화합니다. Atlassian에서 TLS의 구현은 브라우저에서 지원하는 강력한 암호 및 키 길이를 적용합니다. | |
| 타사가 악의적으로 손상시킨 테넌트의 클라우드 서비스 계정 자격 증명[2] [3] [4] [5] | 참조 7 - 일반 | 완화 테넌트가 CSP의 웹 사이트 제어판 및 API를 통해 클라우드 서비스를 사용하고 관리할 수 있도록 ID 및 액세스 관리(예: 다단계 인증 및 다양한 권한을 가진 계정 역할)를 제공[6]합니다. | Atlassian 대응 예, Confluence 및 Jira에서는 개인 계정에 다단계 인증을 사용할 수 있습니다. 다단계 인증을 사용 설정하는 방법에 대한 자세한 내용은 2단계 인증 적용을 참조하세요. |
| 참조 8 - 일반 | 완화 테넌트가 CSP의 웹 사이트 제어판 및 API를 통해 클라우드 서비스를 사용 및 관리할 때 전송 중인 자격 증명 및 관리 활동을 보호하기 위해 ASD 승인 암호화 제어를 지원하고 사용합니다. | Atlassian 대응 Atlassian Cloud 제품 및 서비스에 저장된 모든 고객 데이터는 권한 없이 공개 또는 수정되지 않도록 TLS(Transport Layer Security) 1.2 이상 및 PFS(Perfect Forward Secrecy)를 사용하는 공용 네트워크를 통해 전송 중 암호화합니다. Atlassian에서 TLS의 구현은 브라우저에서 지원하는 강력한 암호 및 키 길이를 적용합니다. | |
| 참조 9 - 일반 | 완화 액세스에 사용된 테넌트의 클라우드 서비스 계정, 특히 클라우드 서비스를 관리하는 데 사용되는 클라우드 서비스 계정에 대해 생성된 상세한 시간 동기화 로그를 다운로드하고 실시간 알림을 테넌트가 받을 수 있도록 합니다. | Atlassian 대응 각 시스템의 키 시스템 로그는 읽기 전용으로 로그를 확인할 수 있는 중앙 집중식 로그 플랫폼으로 전달됩니다. Atlassian 보안 팀은 보안 분석 플랫폼(Splunk)에 대한 알림을 만들고 침해 지표를 모니터링합니다. SRE 팀은 이 플랫폼을 사용하여 가용성 또는 성능 문제를 모니터링합니다. 로그는 핫 백업에서 30일간, 콜드 백업에서 365일간 보관됩니다. | |
| 악의적인 CSP 직원 또는 타사가 손상시킨 테넌트의 데이터 | 참조 10 - 일반 | 완화 테넌트가 사용하는 클라우드 서비스에서 생성된 상세한 시간 동기화 로그를 다운로드하고 실시간 알림을 테넌트가 받을 수 있도록 합니다(예: 운영 체제, 웹 서버 및 애플리케이션 로그). | Atlassian 대응 Atlassian은 Casper(https://www.jamf.com) 및 OSQuery(https://osquery.io/)를 활용하여 로그된 항목과 로그 보관 기간을 관리합니다. 로그는 논리적으로 별도의 시스템에 저장되며 로그에 대한 쓰기 액세스는 보안 팀원만 가능하도록 제한됩니다. 로그에서 특정 작업이나 이벤트가 식별되면 보안 팀이나 서비스 데스크에 알림이 전송됩니다. 중앙 집중식 로깅 서비스(Splunk)가 자동 분석을 위한 보안 분석 인프라에 통합되며 잠재적 문제를 식별하기 위한 알림을 만듭니다. |
| 참조 11 - 일반 | 완화 문제 해결, 원격 관리 및 고객 지원을 위해 CSP 직원이 테넌트 데이터를 저장, 백업, 처리 및 액세스하는 국가 및 법적 관할권을 공개합니다. | Atlassian 대응 Atlassian은 미국 동부, 미국 서부, 아일랜드, 프랑크푸르트, 싱가포르 및 시드니 리전(Confluence 및 Jira)에서 AWS(Amazon Web Services)를 사용합니다. 자세한 내용은 클라우드 호스팅 인프라를 참조하세요. | |
| 참조 12 - 일반 | 완화 시스템 및 데이터에 대한 액세스 권한 수준에 맞춰 CSP 직원의 신원 조사를 수행합니다. 매우 중요한 데이터에 액세스할 수 있는 직원의 정보 취급 권한을 유지 관리합니다[7]. | Atlassian 대응 예, 전 세계의 신규 Atlassian팀은 신원 조사를 완료해야 합니다. 인수를 통해 새로 고용된 직원은 인수일 이후에 신원 조사를 실시합니다. 모든 신규 직원 및 독립 계약자에 대해 범죄 조사를 실시하며 역할이나 직급에 따라 필요한 경우 학력 확인, 고용 확인 또는 신용 확인을 추가로 실시합니다. Atlassian은 고위 경영진 및 회계 관련 직원에 대해 완전한 신원 조사를 실시합니다. | |
| 참조 13 - 일반 | 완화 테넌트 데이터를 저장하거나 테넌트 데이터에 액세스할 수 있는 물리적으로 안전한 데이터 센터 및 사무소를 이용합니다[8]. 모든 직원 및 방문자의 신원을 확인하고 기록합니다. 방문자를 안내하여 방문자의 데이터 무단 액세스를 방지합니다. | Atlassian 대응 Atlassian 사무소에는 물리적 출입구 모니터링을 포함한 내부 물리적 및 환경 보안 정책이 적용됩니다. 당사의 파트너 데이터 센터는 여러 규정 준수 인증을 유지하고 있습니다. 이 인증은 물리적 보안, 시스템 가용성, 네트워크 및 IP 백본 액세스, 고객 프로비저닝 및 문제 관리를 처리합니다. 데이터 센터에 대한 액세스는 권한이 부여된 직원으로 제한되며 생체 인식 신원 확인을 통해 확인합니다. 물리적 보안 조치에는 온프레미스 보안 요원, 폐쇄 회로 영상 모니터링, 맨트랩 및 추가 침입 보호 조치가 포함됩니다. AWS는 데이터 센터 보호에 대한 여러 인증을 보유하고 있습니다. AWS 물리적 보호 보증 정보는 http://aws.amazon.com/compliance/에서 확인할 수 있습니다. | |
| 참조 14 - 일반 | 완화 CSP 직원의 작업에 따라 시스템 및 데이터에 대해 권한 있는 액세스를 제한합니다[9]. 권한 있는 액세스가 필요한 CSP 직원은 3개월마다 다시 승인을 받아야 합니다. CSP 직원 고용 종료 시 액세스 권한은 철회됩니다. | Atlassian 대응 Atlassian은 직무와 책임을 위해 이 액세스 권한이 필요한 직원을 제한합니다. 모든 티어 1 시스템은 Atlassian의 중앙 집중식 SSO(Single Sign-On) 및 디렉토리 솔루션을 통해 관리됩니다. 사용자에게는 Atlassian의 HR 관리 시스템의 워크플로를 통해 프로필에 따른 적절한 액세스 권한이 부여됩니다. Atlassian은 MFA를 사용하여 모든 티어 1 시스템에 액세스합니다. Atlassian은 하이퍼바이저 관리 콘솔 및 AWS API에 2단계 인증을 사용하고 하이퍼바이저 관리 기능에 대한 모든 액세스를 일일 감사 보고서에 기록합니다. 하이퍼바이저 관리 콘솔 및 AWS API에 대한 액세스 목록은 분기별로 검토됩니다. 또한 HR 시스템 및 ID 저장소 간에 8시간 동기화를 유지합니다. | |
| 참조 15 - 일반 | 완화 안전하고 분리된 로그 서버에 기록된 CSP 직원의 작업 로그를 즉시 분석합니다. 다른 권한 또는 직무 역할이 없는 CSP 직원이 로그 분석을 수행하도록 하여 직무 분리를 구현합니다. | Atlassian 대응 Atlassian의 핵심 제품은 직무 분리 제어 기능을 갖추고 있으며 여기에는 다음이 포함되지만 이에 국한되지는 않습니다.
| |
| 참조 16 - 일반 | 완화 CSP의 보안 위험 프로필의 잠재적 증가 가능성을 평가하기 위해 소프트웨어, 하드웨어 또는 서비스를 확보하기 전에 공급업체에 대한 실사 검토를 수행합니다. | Atlassian 대응 Atlassian의 신규 공급업체는 계약서의 개인 정보 보호 및 보안 부록 및 정책에 동의해야 합니다. Atlassian의 법률 및 조달 부서는 계약, SLA 및 공급업체 내부 정책을 검토하여 공급업체가 보안, 가용성 및 기밀 유지 요구 사항의 충족 여부를 결정합니다. Atlassian은 데이터 서브 프로세서 목록 공개 페이지를 운영합니다. | |
| 참조 17 - 일반 | 완화 ASD 승인 암호화 제어 기능을 사용하여 매우 중요한 미사용 데이터를 보호합니다. 저장 매체의 완전 삭제는 수리, 폐기 및 잔여 백업 데이터에 대한 비공개 계약을 거친 테넌트 오프보딩 전에 수행합니다. | Atlassian 대응 직장 기술 팀이 이 프로세스를 처리하고 장비는 적절하게 완전 삭제 및 소자됩니다. Atlassian은 Cloud 제품 및 서비스를 지원하는 물리적 미디어를 관리하지 않습니다. | |
| 다른 악의적/손상당한 테넌트가 손상시킨 테넌트의 데이터[10] [11] [12] [13] [14] [15] [16] [17] [18] | 참조 18 - 일반 | 완화 다른 테넌트가 해당 테넌트의 데이터에 액세스하지 못하도록 다중 테넌시 메커니즘을 구현합니다. 네트워크 트래픽, 스토리지, 메모리 및 컴퓨터 처리를 분리합니다. 다시 사용하기 전에 저장 매체를 완전 삭제합니다. | Atlassian 대응 Atlassian은 다중 테넌트 SaaS 애플리케이션입니다. Atlassian Cloud의 핵심 기능인 다중 테넌시는 여러 고객이 Jira 또는 Confluence 애플리케이션 계층의 한 인스턴스를 공유하면서 각 고객 테넌트의 애플리케이션 데이터를 분리할 수 있도록 지원합니다. Atlassian Cloud는 테넌트 컨텍스트 서비스(TCS)를 통해 이 작업을 수행합니다. 모든 사용자 ID는 정확히 하나의 테넌트와 연결되며 이 테넌트는 Atlassian Cloud 애플리케이션에 액세스하는 데 사용됩니다. 자세한 내용은 보안 관행을 참조하세요. |
| 손상, 삭제[19] 또는 CSP의 계정/서비스 종료로 인해 테넌트 데이터 사용 불가 | 참조 19 - 일반 | 완화 테넌트가 CSP 종속을 방지하는 형식으로 최신 백업을 수행할 수 있도록 합니다. 계정 또는 클라우드 서비스가 종료되는 경우 즉시 테넌트에게 알리고 데이터를 다운로드할 수 있도록 최소 한 달의 시간을 제공합니다. | Atlassian 대응 Atlassian은 여러 유형의 데이터를 유지해야 하는 기간을 지정하는 데이터 보존 및 파기 표준을 준수합니다. Atlassian은 Atlassian 데이터 보안 및 정보 수명 주기 정책에 따라 데이터를 분류하고 이것을 기반으로 컨트롤을 구현합니다. Atlassian 계약이 종료된 고객 데이터의 경우 고객 팀에 속한 고객 데이터가 라이브 프로덕션 데이터베이스에서 제거되고 Atlassian에 직접 업로드된 모든 첨부 파일이 14일 이내에 제거됩니다. 팀 데이터는 암호화된 백업 상태로 남겨지며 이러한 백업이 60일 백업 보존 기간을 초과하면 Atlassian 데이터 보존 정책에 따라 폐기됩니다. 데이터 삭제를 요청한 후 60일 이내에 데이터베이스 복원이 필요한 경우 운영 팀은 라이브 프로덕션 시스템이 완전히 복원된 후 최대한 빨리 데이터를 다시 삭제합니다. 자세한 내용은 스토리지 추적 및 제품 간 데이터 마이그레이션을 참조하세요 |
| CSP 파산 또는 기타 법적 조치로 인해 테넌트의 데이터를 사용할 수 없거나 손상된 경우 | 참조 20 - 일반 | 완화 테넌트가 데이터의 법적 소유권을 보유하도록 계약을 통해 보장합니다. | Atlassian 대응 Atlassian 고객은 관련 법률 및 규정을 준수하여 서비스를 이용할 책임이 있습니다. 구체적인 법적 계약 및 정책에 대한 자세한 내용은 법무 리소스 페이지(https://www.atlassian.com/legal)에서 확인할 수 있습니다. |
| CSP의 부적절한 네트워크 연결로 인해 클라우드 서비스 사용 불가 | 참조 21 - 일반 | 완화 테넌트와 클라우드 서비스 간에 적절하게 높은 대역폭, 짧은 지연 시간, 안정적인 네트워크 연결을 지원하여 테넌트가 요구하는 가용성 수준을 충족합니다. | Atlassian 대응 Atlassian은 모든 Cloud 인스턴스의 성능 및 가용성을 모니터링하지만 현재는 공식적인 애플리케이션 가용성 SLA를 제공하지 않습니다. Atlassian의 지원 팀은 초기 응답 시간 SLA를 제공하며 공식적인 지원 해결 SLA는 제공하지 않지만 내부 목표는 할당된 모든 케이스를 48시간 이내에 해결하는 것입니다. Atlassian은 최신 Cloud 시스템 상태 통계를 https://status.atlassian.com에 제공합니다. |
| CSP 오류, 예정된 서비스 중단, 하드웨어 고장 또는 자연 현상으로 인해 클라우드 서비스 사용 불가 | 참조 22 - 일반 | 완화 아키텍트는 테넌트가 요구하는 가용성 수준을 충족합니다(예: 최소 단일 장애 지점, 클러스터링 및 부하 분산, 데이터 복제, 자동화된 장애 조치 및 실시간 가용성 모니터링). | Atlassian 대응 Atlassian Cloud 서비스의 경우 비즈니스 연속성 및 재해 복구 계획이 적어도 분기별로 테스트됩니다. 여러 리전의 가용성이 실시간으로 모니터링됩니다. 자동화된 리전 장애 조치 테스트는 사전 프로덕션 환경에서 매주 수행됩니다. 자동화된 구성 데이터 복원 테스트는 프로덕션 환경에서 매일 수행됩니다. |
| 참조 23 - 일반 | 완화 재해 복구 및 비즈니스 연속성 계획을 개발하고 매년 테스트하여 테넌트가 요구하는 가용성 수준을 충족합니다(예: CSP 직원 또는 인프라의 지속적인 손실을 초래하는 인시던트에 대비하여 시행). | Atlassian 대응 비즈니스 연속성 및 재해 복구 정책과 비즈니스 연속성 및 재해 복구 계획을 갖추고 있으며 비즈니스 연속성/재해 복구 운영 위원회에서 이것을 매년 검토합니다. 모든 미션 크리티컬 시스템, 프로세스 또는 서비스 소유자는 재해 발생 시 중단에 대한 허용 범위에 따른 적절한 비즈니스 연속성 및/또는 재해 복구를 보장합니다. BCDR 계획이 분기별로 테스트되고 식별된 모든 문제를 해결합니다. 자세한 내용은 보안 관행 및 복원력에 대한 Atlassian의 접근 방식을 참조하세요. | |
| 실제 수요 급증 또는 대역폭/CPU 서비스 거부로 인해 클라우드 서비스 사용 불가 | 참조 24 - 일반 | 완화 서비스 거부 완화를 구현하여 테넌트가 요구하는 가용성 수준을 충족합니다(예: 트래픽 스로틀링 및 필터링을 통한 중복 고대역폭 외부 및 내부 네트워크 연결). | Atlassian 대응 Atlassian 보안 엔지니어링 팀은 사무실 환경에 구현된 IPS 기술을 사용합니다. DDoS 차단과 일부 웹 애플리케이션 방화벽 기능을 비롯한 네트워크 위협 방지는 AWS가 담당합니다. |
| 참조 25 - 일반 | 완화 인프라 작업 수용량 및 반응형 자동 확장을 제공하여 테넌트가 요구하는 가용성 수준을 충족합니다. | Atlassian 대응 Atlassian은 6~12개월 전에 작업 수용량을 계획하며 개략적인 전략 계획은 36개월 전부터 시작합니다. | |
| 실제 수요 급증 또는 대역폭/CPU 서비스 거부로 인한 재정적 영향 | 참조 26 - 일반 | 완화 테넌트가 CSP의 인프라 작업 수용량 사용에 대해 계약상 지출 한도, 실시간 알림 및 구성 가능한 최대 한도를 통해 실제 수요 급증 또는 서비스 거부에 따른 비용을 관리할 수 있도록 합니다. | Atlassian 대응 SaaS 제품의 경우 사용량에 따라 고객에게 비용을 청구하지 않습니다. 현재 테넌트에게 작업 수용량 또는 사용자 보고서를 공유하지 않습니다. |
| 테넌트 또는 타사가 악의적으로 손상시킨 CSP의 인프라 | 참조 27 - 일반 | 완화 회사에서 승인하고 보호되는 컴퓨터, 점프 서버, 전용 계정, 강력한 암호 및 다단계 인증을 사용하여 고객을 지원하고 클라우드 서비스 및 인프라를 관리합니다. | Atlassian 대응 직원은 가능한 경우 2FA를 적용하고 안전한 임의의 비밀번호를 제공하는 비밀번호 관리자를 사용해야 합니다. 인증을 받은 직원은 고유하고 강력한 비밀번호 및 TOTP 기반 2FA를 사용하여 VPN에 인증한 다음 암호로 보호되는 개인 RSA 인증을 사용하여 SSH 터미널 연결을 통해서만 프로덕션 환경에 액세스합니다. SSO, SSH, 2FA 및 VPN이 모두 필요합니다. |
| 참조 28 - 일반 | 완화 CSP의 데이터 센터 및 CSP 관리자/고객 지원 직원 간의 안전하지 않은 커뮤니케이션 채널을 통해 전송 중인 자격 증명 및 관리 활동을 보호하기 위해 ASD 승인 암호화 제어를 사용합니다. | Atlassian 대응 Atlassian Cloud 제품 및 서비스에 저장된 모든 고객 데이터는 권한 없이 공개 또는 수정되지 않도록 TLS(Transport Layer Security) 1.2 이상 및 PFS(Perfect Forward Secrecy)를 사용하는 공용 네트워크를 통해 전송할 때 암호화합니다. Atlassian에서 TLS의 구현은 브라우저에서 지원하는 강력한 암호 및 키 길이를 적용합니다. | |
| 참조 29 - 일반 | 완화 인터넷, 테넌트가 사용하는 CSP 인프라, CSP가 클라우드 서비스 및 인프라를 관리하는 데 사용하는 네트워크 및 CSP의 회사 LAN 간에 네트워크 세분화 및 분리를 구현합니다[20]. | Atlassian 대응 고객 데이터는 AWS의 보안 서버에 저장되는 프로덕션 환경 외부로 복제되지 않습니다. 엄격한 방화벽 규칙이 마련되어 있으므로 프로덕션 환경에 대한 액세스는 VPN 네트워크 및 인증된 시스템으로 제한됩니다. VPN에는 다단계 인증이 필요합니다. Atlassian의 핵심 제품은 직무 분리 제어 기능을 갖추고 있으며 여기에는 다음이 포함되지만 이에 국한되지는 않습니다.
| |
| 참조 30 - 일반 | 완화 CSP가 개발한 소프트웨어에 보안 프로그래밍 관행을 활용합니다[21] [22] [23]. | Atlassian 대응 Atlassian은 개발 수명 주기의 모든 단계에서 안전한 개발 관행을 수행합니다. 자세한 내용은 Atlassian 소프트웨어 개발 보안을 참조하세요. | |
| 참조 31 - 일반 | 완화 클라우드 서비스 및 기본 인프라의 보안 구성, 지속적인 취약성 관리, 신속한 패치, 연간 타사 보안 검토 및 침투 테스트를 수행합니다. | Atlassian 대응 Atlassian은 타사 컨설팅 업체를 참여시켜 외부 대상 애플리케이션에 대한 연간 침투 테스트를 수행합니다. 또한 내부 보안 테스트 팀에서 수행하는 소규모의 지속적인 보안 테스트 작업을 통해 이 테스트를 보완합니다. 침투 테스트에 대한 평가서 및 테스트 프로세스에 대한 자세한 정보는 외부 보안 테스트에 대한 접근 방식에서 확인할 수 있습니다. | |
| 참조 32 - 일반 | 완화 모든 CSP 직원 특히 관리자를 대상으로 입사 시와 매년 교육을 진행하여 테넌트 데이터를 보호하고 클라우드 서비스 가용성을 유지하며 신속한 로그 분석 등을 통해 보안 인시던트를 사전에 식별합니다. | Atlassian 대응 Atlassian은 신규 직원을 위한 온보딩 교육('Rocketfuel') 중 하나로, 그리고 모든 직원에게 지속적으로 정보 보안 교육을 제공합니다. 지원자 및 계약자는 회사에 입사하기 전에 기밀 유지 계약서에 서명해야 합니다. 기술 변경 또는 기타 주요 변경 사항이 있을 경우 인트라넷을 통해 교육 과정을 제공하고 기존 직원에게 공지합니다. | |
| IaaS와 관련된 가장 효과적인 위험 완화 방법 | |||
| 타사가 악의적으로 손상시킨 테넌트의 가상 컴퓨터(VM)[24] | 참조 1 - IaaS | 완화 테넌트가 네트워크 세분화 및 분리[25]를 구현할 수 있도록 네트워크 액세스 제어 기능을 제공합니다. 여기에는 IP 주소를 제외한 VM의 원격 관리를 허용하지 않는 네트워크 필터링 기능이 포함됩니다. | Atlassian 대응 적용되지 않습니다. Atlassian은 SaaS 공급자입니다. |
| 참조 2 - IaaS | 완화 테넌트에게 안전하게 구성되고 패치된 VM 템플릿 이미지를 제공합니다. 새로 프로비저닝된 VM에 취약한 관리 암호를 할당하지 않습니다. | Atlassian 대응 적용되지 않습니다. Atlassian은 SaaS 공급자입니다. | |
| PaaS와 관련된 가장 효과적인 위험 완화 방법 | |||
| 타사가 악의적으로 손상시킨 테넌트의 데이터 | 참조 1 - PaaS | 완화 운영 체제, 웹 서버 및 플랫폼 소프트웨어의 보안을 강화하고 안전하게 구성합니다. 인바운드 및 아웃바운드 네트워크 연결을 필수 포트/프로토콜로만 제한합니다. 패치 및 로그 분석을 즉시 수행합니다. | Atlassian 대응 적용되지 않습니다. Atlassian은 SaaS 공급자입니다. |
| SaaS와 관련된 가장 효과적인 위험 완화 방법 | |||
| 타사가 악의적으로 손상시킨 테넌트의 데이터 | 참조 1 - SaaS | 완화 클라우드 서비스 전용 제어 기능을 구현(예: 서비스로 제공되는 이메일)하고 이메일 및 이메일 첨부 파일의 자동 동적 분석을 통한 콘텐츠 필터링을 포함한 기능을 제공합니다. | Atlassian 대응 제품에 기본적으로 제공됩니다. Atlassian에서는 Proofpoint(https://www.proofpoint.com/au/products/email-protection)를 활용하여 첨부 파일을 검사하고 URL을 다시 작성하여 피싱 시도를 차단합니다. Atlassian은 또한 Google G Suite에서 기본적으로 제공하는 이메일 보호 기능을 활용합니다(Cloud 보안 및 데이터 보호 서비스). |
| 참조 2 - SaaS | 완화 일반 컨트롤 구현 [26] 예: 필수 포트/프로토콜, 매일 업데이트되는 안티바이러스 소프트웨어, 침입 방지 시스템 및 메시지 로그 분석에만 연결되는 제한된 인바운드 및 아웃바운드 네트워크 연결성. | Atlassian 대응 적용할 수 없습니다. Atlassian은 당사의 CI/CD 파이프라인 외에는 쓰기 불가하기 때문에 Atlassian의 프로덕션 서버에는 맬웨어 방지 기능이 없습니다. Jira Cloud 또는 Confluence Cloud를 호스팅하는 Atlassian 애플리케이션 서비스는 애플리케이션 코드 외에는 아무것도 호스팅하지 않습니다. Jira 및 Confluence Cloud 서버는 Atlassian 배포 파이프라인/CI/CD 파이프라인 외에는 쓰기 불가합니다. | |