12/04/2023
Table of Contents오늘날 기술과 규제 환경은 끊임없이 변화하고 있으며, 조직은 GDPR, CCPA와 같은 새로운 프레임워크는 물론, SaaS 제공업체에 대한 신규 제어가 포함된 개정 ISO 27001과 같이 지속적으로 변화하는 기준을 충족시켜야 합니다.
이러한 제어 조치는 간단해 보일 수 있지만, 실제로는 다양한 현실적인 과제를 수반합니다. 예를 들어, 일부 규제들은 서로 상충되어 보일 수도 있습니다. GDPR, HIPAA, PCI DSS 등은 모두 조직이 변경할 수 없는 데이터 사본을 유지하도록 요구하며, 이는 '물리적 또는 기술적 사고 발생 시 개인 데이터의 가용성과 액세스를 적시에 복원할 수 있는 능력'을 충족시키기 위한 조치입니다. 동시에 EU는 GDPR 제17조를 통해, 그리고 다른 여러 관할권은 잊혀질 권리를 법적으로 보호하고 있습니다.
이러한 상충되는 요구 속에서 가장 효율적인 방법 중 하나는, 이러한 과제를 사전에 고려해 설계된 보안 데이터 보호 솔루션을 제공하는 공급업체와 협력하는 것입니다.
AvePoint가 데이터를 보호하는 방법
AvePoint는 사용자의 데이터를 소스에서 플랫폼까지 안전하게 보호합니다. 자세한 내용은 아래에서 확인할 수 있습니다.
암호화는 기본입니다.
전송 중
전송 중인 모든 데이터는 TLS 1.2/1.3을 사용한 암호화된 채널을 통해 전송되며, 항상 암호화된 상태로 유지됩니다. Microsoft 365와 같은 SaaS 플랫폼의 백업 및 복원을 실행할 때, 암호화된 연결을 적용하는 공식 지원 API만을 사용합니다.
저장 중
저장 중인 데이터는 기본적으로 AvePoint가 관리하는 키를 통해 암호화됩니다. 각 고객 테넌트는 고유한 키로 보호되며, 고객은 보안과 제어 수준을 위해 자신의 키를 가져오도록 선택할 수 있습니다.
변경할 수 없고, 격리되며 논리적인 에어갭 백업
진정한 불변성은 저장된 데이터가 일정 기간 동안 변경, 수정, 암호화되지 않아야 합니다. 이는 데이터의 무결성을 보장하고 공식적인 보존 정책이 적용되기 전까지 삭제되지 않도록 방지할 수 있습니다.
에어갭 백업 사본과 결합하여 다양한 악의적이거나 실수로 인한 모든 유형의 데이터 손실 상황에서 가장 높은 수준의 무결성을 유지할 수 있습니다. 에어갭이란 해당 데이터가 모든 네트워크, 특히 공용 인터넷으로부터 물리적으로 완전히 분리되어 있다는 의미입니다.
오늘날 우리는 모든 데이터 사본을 영구적으로 저장할 수 없고, GDPR의 데이터 삭제 요청이 있는 상황에서도 모든 데이터를 영구적으로 보관할 수도 없습니다. 클라우드 환경에서 비즈니스 연속성과 규정 준수를 어떻게 균형 있게 달성할 수 있습니까? AvePoint는 이러한 균형을 유지할 수 있도록 다음과 같은 방식을 제공합니다.
스토리지 격리
AvePoint는 전 세계 14개의 Azure 데이터 센터를 기반으로 서비스를 운영하고 있습니다. 미국 공공 부문 고객의 경우, FedRAMP(보통) 인증 보안 기준을 충족하는 환경에서 서비스를 제공합니다. AvePoint를 통해 고객은 데이터를 단일 지역에만 저장하거나, 다중 지역 구성, 또는 고객 소유 스토리지를 선택할 수 있습니다.
데이터는 데이터 센터 간에 복제되지 않으며, 지정된 지역 내에서만 물리적으로 격리된 상태로 보관됩니다. 백업 데이터는 Microsoft의 트러스트 경계를 벗어난 영역에서, 조직의 정책에 따라 완전히 분리된 사본으로 보관됩니다.
논리적 격리
AvePoint는 SOC 2 유형 II 및 ISO 27001:2013을 준수하는 제3자의 감사 기관의 검증을 완료했습니다. 감사에 AvePoint가 최소 권한 액세스 정책을 통해 액세스 제어를 문서화하고 NIST 800-64 및 OWASP 개발 표준을 기반으로 논리적이고 물리적 액세스 제어를 입증할 수 있는 기능이 포함됩니다.
AvePoint Cloud Backup은 프로덕션 환경과 분리되어 있으며 위임된 관리 및 역할 기반 액세스 제어를 포함합니다. 따라서 권한이 없는 사용자가 AvePoint Cloud Backup에 액세스할 수 없도록 제어하여 백업을 수정하거나 삭제할 수 없습니다.
변경할 수 없는 스토리지
백업 데이터 사본은 제품 사용자 인터페이스 또는 API를 통해 직접 액세스할 수 없으며, 플랫폼의 권한이 있는 사용자 또는 권한이 없는 사용자가 손상시킬 수 없습니다. 데이터는 사전 정의된 데이터 보존 정책을 충족하는 경우에만 내보내거나, 프로덕션 환경으로 복원하거나, 방어적으로 파기할 수 있습니다.
AvePoint는 변경할 수 없는 Azure Blob Storage 등 고객 자신의 WORM 스토리지에 대한 옵션을 제공합니다.
불변성 및 잊혀질 권리
특별한 경우, 표준 보존 정책 외에 데이터를 삭제해야 하는 이유가 있을 수 있습니다. 고객은 AvePoint 기술지원팀(AvePoint Cloud Backup 포함)에 직접 연락하여 백업 데이터의 수동 삭제를 요청하고 삭제 작업을 계속 실행하기 위한 인증 정보를 제공할 수 있습니다.
또한, 개인이 조직의 시스템에서 자신의 개인 정보를 삭제하도록 요청하는 DSAR(데이터 주체 액세스 요청) 상황도 발생할 수 있습니다. 이러한 요청은 권한이 있는 관리자만 실행하거나 추가 보호를 위해 플랫폼 내에서 완전히 비활성화할 수 있습니다.
랜섬웨어 보호
2023년에 랜섬웨어 공격이 지속적으로 증가함에 따라, SaaS 애플리케이션의 데이터 보호에 대한 수요도 크게 높아졌고 서비스형 백업(Backup as a Service)의 중요성이 더욱 커졌습니다. 최근 Gartner의 Backup as a Service 마켓 가이드에서 AvePoint는 대표 벤더로 선정되었습니다.
AvePoint Cloud Backup은 백업 데이터를 분석하고 손실 또는 랜섬웨어 공격이 발생할 수 있는 비정상적인 활동이 감지되고 관리제에게 경고를 전송합니다. 사고 발생 이전의 복원 포인트가 명확하게 식별되며, 알림은 실시간으로 구성되어 있어 보안 사고의 영향을 최소화할 수 있습니다.
AvePoint Cloud Backup - 규정 준수 및 비즈니스 연속성 보장
AvePoint의 백업 전략은 복구 SLA와 규정 준수 요건 중 하나를 포기하도록 강요하지 않습니다. 고객은 필요에 따라 다수의 데이터 사본을 저장하고 몇 분 안에 복원할 수 있도록 보장하는 동시에 조직이 특정 규정 준수를 충족할 수 있도록 지원합니다.
