IBM Cloud Docs
IBM Cloud 보안 태세 관리(CSPM) 정보

IBM Cloud 보안 태세 관리(CSPM) 정보

IBM Cloud, IBM Cloud® Security and Compliance Center Workload Protection에서는 IBM Cloud 금융 서비스 프레임워크, 디지털 운영 복원력 법(DORA), CIS IBM Cloud 기초 벤치마크, PCI 및 기타 많은 업계 관련 표준 또는 모범 사례 표준에 대한 컴플라이언스 검사를 자동화합니다. 전체 컨텍스트를 기반으로 리소스의 상세 인벤토리와 우선순위를 지정하여 수집된 위반 사항을 쉽게 해결하고 관리할 수 있습니다.

The Workload Protection posture module supports compliance validation on IBM Cloud, multi-cloud environments (Amazon Web Services, Azure and Google Cloud), inside hosts, virtual machines (VSIs for VPC, VMware, PowerVS and IBM Z with Linux), Kubernetes, and OpenShift.

포스처 모듈은 하이브리드 환경에서 CSPM을 위한 다양한 기능을 제공합니다:

  • 관리형 서비스, 호스트, 가상 머신, 컨테이너, IBM Cloud, 기타 클라우드 제공업체 및 온프레미스에서 실행되는 애플리케이션, 워크로드 및 인프라의 보안 및 규정 준수를 관리하기 위한 통합된 중앙 집중식 보기와 Kubernetes 또는 OpenShift 클러스터를 포괄하는 보기를 제공합니다.

  • 금융 서비스, PCI, DORA, CIS 또는 NIST와 같은 많은 사전 정의된 프레임워크를 통해 업계 표준 및 법률을 충족하는 데 필요한 제어를 구현하고 검증할 수 있습니다.

  • 클라우드에 있든 온프레미스에 있든 모든 클라우드 어시스트(컴퓨팅 리소스, 관리형 서비스, ID, 권한)와 호스트, 가상 머신, 클러스터 및 모든 Kubernetes 또는 OpenShift 리소스에 대한 인벤토리 정보입니다.

  • 실패한 제어에서 위반 사항을 제거하기 위한 위험 승인 흐름으로, 승인 사유 및 만료 기간에 대한 옵션이 포함되어 있습니다. 하나의 리소스 수준에서 또는 하나의 제어에서 모든 리소스에 대해 전 세계적으로 위험을 허용할 수 있습니다.

  • 실패한 제어를 수정하기 위한 자세한 해결 지침.

  • 사용자 지정 정책, 제어 및 제어 매개변수를 만들 수 있습니다.

IBM Cloud CSPM에서 Workload Protection에 사전 정의된 정책을 사용할 수 있습니다

다음 자세 정책은 IBM Cloud 리소스에 대해 CSPM을 구현하는 데 사용할 수 있습니다:

사용 가능한 사전 정의 정책
정책 설명
AI ICT 가드레일 AI ICT 가드레일은 AI 및 생성 AI(GenAI) 워크로드를 처리하는 데 필요한 인프라 및 데이터 제어의 사전 정의된 목록을 제공합니다. 이러한 제어에는 위험 및 규정 준수 관리, 통합 인프라 보안 및 성능, 애플리케이션 및 워크로드 보호, 데이터 보호, ID 및 액세스 관리, 로깅 및 모니터링과 같은 제어 범주 전반에 걸친 AI 관련 세부 사항이 포함되어 있습니다. 이 제어 목록은 조직의 보안 기준과 함께 사용해야 합니다.
AI 보안 가드레일 2.0 AI 보안 가드레일은 AI 및 생성 AI( GenAI ) 워크로드를 처리하는 데 필요한 AI 애플리케이션, 모델, 데이터 및 인프라 계층을 포함한 전체 스택에 대한 제어 목록을 제공합니다. 이러한 제어에는 AI 거버넌스, AI 앱 보호, AI 모델 수명 주기, 데이터 분류, 인프라 보안 및 운영 복원력과 같은 제어 범주 전반에 걸친 AI 관련 세부 사항이 포함됩니다.
호주 정부 정보 보안 매뉴얼(ISM) 2022 클라우드 제어 매트릭스 템플릿은 IRAP(Infosec Registered Assessors Program) 평가자가 클라우드 서비스 공급자(CSP)가 정보 보안 매뉴얼(ISM)의 제어를 구현하는 방식을 파악하는 데 사용하도록 고안되었습니다. 이를 통해 CCM 템플릿은 보안 평가 범위에 대한 지표적 지침을 제공합니다. 그러나 이 지침이 확정적인 것은 아니며 IRAP 평가자는 평가 대상 서비스의 맥락에서 이를 해석해야 한다는 점에 유의해야 합니다. CCM 템플릿은 또한 소비자가 ISM에 따라 자체 서비스를 구성하는 데 대한 책임이 있는 부분을 식별하여 CSP의 서비스를 기반으로 구축된 서비스에 대한 제어를 구현할 수 있는 기능을 제공합니다.
BSI-Standard 200-1: 정보 보안 관리 독일 연방정보보안청(BSI)이 발행한 BSI-Standard 200-1은 효과적인 정보 보안 관리 시스템(ISMS)을 구축하고 유지하기 위한 포괄적인 지침을 제공합니다. 조직 내 정보 보안 위험을 식별, 관리 및 완화하는 데 필요한 기본 원칙과 관행을 설명합니다. 이 표준은 다양한 산업과 부문에 적용 가능하도록 구성되어 있어 조직이 정보 자산을 효과적으로 보호하고, 법적 및 규제 요구 사항을 준수하고, 전반적인 보안 태세를 강화할 수 있도록 합니다.
C5:2020(클라우드 컴퓨팅 규정 준수 기준 카탈로그) 독일 연방 정보보안청(Bundesamt für Sicherheit in der Informationstechnik, BSI)에서 만든 클라우드 컴퓨팅 컴플라이언스 제어 카탈로그(C5)에는 클라우드 서비스 제공업체가 서비스에 대한 최소 보안 수준을 제공하기 위해 충족해야 하는 요구사항이 설명되어 있습니다.
CCPA(캘리포니아 소비자 개인정보 보호법) 캘리포니아 소비자 개인정보 보호법(CCPA)은 캘리포니아 소비자에게 개인 정보의 접근, 삭제 및 "판매" 거부 권리를 포함한 여러 개인정보 보호 기능을 제공하는 데이터 개인정보 보호법입니다. 2020년 1월 1일부터 캘리포니아 거주자의 개인 정보를 수집하고 일정 기준(예: 매출, 데이터 처리량)을 충족하는 기업은 이러한 의무를 준수해야 합니다.
CIS IBM Cloud 파운데이션 벤치마크 리소스 구성이 인터넷 보안 센터에서 식별한 기본 요구 사항을 충족하는지 확인합니다.
클라우드 보안 연합(CSA) 클라우드 제어 매트릭스(CCM) CSA 클라우드 제어 매트릭스(CCM)는 클라우드 computing.It 위한 사이버보안 제어 프레임워크입니다. 이는 클라우드 기술의 모든 핵심 측면을 포괄하는 17개 도메인으로 구성된 197개의 제어 목표로 구성되어 있습니다. 이는 클라우드 구현을 체계적으로 평가하는 도구로 사용할 수 있으며, 클라우드 공급망 내의 어떤 주체가 어떤 보안 통제를 구현해야 하는지에 대한 지침을 제공합니다. 통제 프레임워크는 클라우드 컴퓨팅을 위한 CSA 보안 지침에 맞춰져 있으며, 클라우드 보안 보증 및 규정 준수를 위한 사실상의 표준으로 간주됩니다.
디지털 운영 복원력 법(DORA)- 규정(EU) 2022/2554 디지털 운영 복원력 법(규정 (EU) 2022/2554)은 EU 금융 규정의 중요한 문제를 해결합니다. DORA 이전에는 금융기관이 주로 자본 배분을 통해 운영 리스크의 주요 범주를 관리했지만, 운영 복원력의 모든 요소를 관리하지는 않았습니다. DORA 이후에는 ICT 관련 사고에 대한 보호, 탐지, 봉쇄, 복구 및 복구 기능에 대한 규칙도 따라야 합니다. DORA는 ICT 리스크를 명시적으로 언급하고 ICT 리스크 관리, 사고 보고, 운영 복원력 테스트 및 ICT 타사 리스크 모니터링에 대한 규칙을 설정합니다. 이 규정은 전통적인 위험 범주에 대한 적절한 자본이 있더라도 ICT 사고와 운영 탄력성 부족이 전체 금융 시스템의 건전성을 위태롭게 할 수 있음을 인정합니다.
DPDP(디지털 개인 데이터 보호)법 개인이 자신의 개인 데이터를 보호할 권리와 합법적인 목적을 위해 그리고 이와 관련되거나 부수적인 사항을 위해 이러한 개인 데이터를 처리할 필요성을 모두 인정하는 방식으로 디지털 개인 데이터를 처리할 수 있도록 규정하는 법률입니다.
에스쿠마 나시오날 데 시큐리티드(ENS) 높음 스페인 법률의 규정에 따라 스페인 시민은 정부 서비스를 전자적으로 이용할 수 있는 법적 권리가 있습니다. 스페인 왕실 법령 3/2010에 따라 적용되는 ENS(국가 보안 프레임워크)는 전자 미디어 사용에 대한 보안 정책을 수립하는 것을 목표로 합니다. 클라우드 컴퓨팅 서비스를 포함하여 ENS는 정보 보호를 위한 기본 원칙과 최소 요구 사항을 정의합니다.
FedRAMP (연방 위험 및 승인 관리 프로그램) 높은 기준선 연방 기관과 클라우드 서비스 공급업체(CSP)는 FedRAMP 요구 사항을 충족하기 위해 클라우드 컴퓨팅 환경 내에서 이러한 보안 제어, 개선 사항, 매개변수 및 요구 사항을 구현해야 합니다. 보안 제어 및 강화 기능은 NIST SP 800-53 개정판 4 제어 카탈로그에서 선택되었습니다. 선택된 통제 및 개선 사항은 연방 정보 처리 표준(FIPS) 간행물 199에 정의된 대로 높은 영향 정보 시스템으로 지정된 클라우드 시스템을 위한 것입니다. 큰 영향도를 지닌 데이터는 일반적으로 법 집행 및 응급 서비스 시스템, 금융 시스템, 의료 시스템 및 기밀성, 무결성 또는 가용성의 손실로 인해 조직 운영, 조직 자산 또는 개인에게 심각하거나 치명적인 부정적 영향을 미칠 것으로 예상되는 기타 시스템에 저장됩니다. FedRAMP 생명 보호와 재정적 파탄과 관련된 데이터를 포함하여 클라우드 컴퓨팅 환경에서 정부의 가장 민감하고 비밀이 아닌 데이터를 관리하기 위해 High Baseline을 도입했습니다.
FedRAMP (연방 위험 및 승인 관리 프로그램) LI-SaaS 기준 연방 기관과 클라우드 서비스 공급업체(CSP)는 FedRAMP 요구 사항을 충족하기 위해 클라우드 컴퓨팅 환경 내에서 이러한 보안 제어, 개선 사항, 매개변수 및 요구 사항을 구현해야 합니다. 보안 제어 및 강화 기능은 NIST SP 800-53 개정판 4 제어 카탈로그에서 선택되었습니다. 선택된 통제 및 개선 사항은 연방 정보 처리 표준(FIPS) 간행물 199에 정의된 대로 저영향 정보 시스템으로 지정된 클라우드 시스템을 위한 것입니다. FedRAMP Tailored는 기관에서 배포하고 사용하는 데 위험과 비용이 낮은 업계 솔루션을 지원하기 위해 개발되었습니다. 맞춤형 정책과 요구 사항은 LI-SaaS (Low Impact-Software as a Service) 공급업체에게 보다 효율적인 경로를 제공합니다. LI-SaaS Baseline은 로그인 기능에 일반적으로 필요한 정보(예: 사용자 이름, 비밀번호, 이메일 주소)를 넘어서는 개인 식별 정보(PII)를 저장하지 않는 저영향 SaaS 애플리케이션을 설명합니다. 필수 보안 문서가 통합되었고, 테스트와 검증이 필요한 보안 통제의 필수 수가 표준 Low Baseline 승인에 비해 낮아졌습니다. FedRAMP Low Baseline에 명시된 모든 요구 사항이 필수인 반면, FedRAMP Tailored는 LI-SaaS 고객이나 기반 서비스 제공업체가 일반적으로 충족하는 요구 사항을 식별하여 제공업체가 관련 요구 사항에만 집중할 수 있도록 합니다. 또한, FedRAMP Tailored를 사용하면 기관이 이러한 요구 사항 중 가장 중요한 사항만 독립적으로 검증할 수 있습니다.
FedRAMP (연방 위험 및 승인 관리 프로그램) 낮은 기준선 연방 기관과 클라우드 서비스 공급업체(CSP)는 FedRAMP 요구 사항을 충족하기 위해 클라우드 컴퓨팅 환경 내에서 이러한 보안 제어, 개선 사항, 매개변수 및 요구 사항을 구현해야 합니다. 보안 제어 및 강화 기능은 NIST SP 800-53 개정판 4 제어 카탈로그에서 선택되었습니다. 선택된 통제 및 개선 사항은 연방 정보 처리 표준(FIPS) 간행물 199에 정의된 대로 저영향 정보 시스템으로 지정된 클라우드 시스템을 위한 것입니다. 낮은 영향은 기밀성, 무결성, 가용성의 손실로 인해 기관의 운영, 자산 또는 개인에게 부정적인 영향이 제한적인 CSO에 가장 적합합니다. FedRAMP 현재 저영향 데이터가 있는 시스템에 대해 LI-SaaS 기준과 저기준의 두 가지 기준을 적용하고 있습니다.
FedRAMP (연방 위험 및 승인 관리 프로그램) 중간 기준선 연방 기관과 클라우드 서비스 공급업체(CSP)는 FedRAMP 요구 사항을 충족하기 위해 클라우드 컴퓨팅 환경 내에서 이러한 보안 제어, 개선 사항, 매개변수 및 요구 사항을 구현해야 합니다. 보안 제어 및 강화 기능은 NIST SP 800-53 개정판 4 제어 카탈로그에서 선택되었습니다. 선택된 통제 및 개선 사항은 연방 정보 처리 표준(FIPS) 간행물 199에 정의된 대로 중간 영향 정보 시스템으로 지정된 클라우드 시스템을 위한 것입니다. '중간' 영향 시스템은 FedRAMP 인증을 받은 CSP 신청의 약 80%를 차지하며, 기밀성, 무결성, 가용성이 손상되면 기관의 운영, 자산 또는 개인에게 심각한 부정적 영향을 미칠 수 있는 CSO에 가장 적합합니다. 심각한 부정적 영향으로는 기관 자산에 대한 상당한 운영적 손상, 재정적 손실 또는 인명이나 신체적 손실이 아닌 개인적 피해가 포함될 수 있습니다.
일반 데이터 보호 규정 GDPR gdpr-info.eu 에 오신 것을 환영합니다. 여기에서 현재 버전의 OJ L 119, 04.05.2016 ; cor.에서 규정 (EU) 2016/679 (일반 데이터 보호 규정)의 공식 PDF를 찾을 수 있습니다. OJ L 127, 23.5.2018 깔끔하게 정리된 웹사이트입니다. GDPR의 모든 조항은 적절한 전문과 연결되어 있습니다. 유럽 데이터 보호 규정은 2018년 5월 25th 부터 모든 회원국에 적용되어 유럽 전역의 데이터 개인정보 보호법을 조화시킵니다. 이 페이지가 유용하다고 생각된다면, 프로젝트를 공유하여 저희를 지원해 주세요.
HIPAA(건강보험 양도성 및 책임법) 보안 규정 건강보험 양도성 및 책임법(HIPAA) 보안 규정은 특히 전자 보호 건강 정보(EPHI)를 다룹니다. 규정 준수에 필요한 세 가지 유형의 보안 보호 장치(행정적, 물리적, 기술적)가 명시되어 있습니다. 이러한 각 유형에 대해 규칙은 다양한 보안 표준을 식별하고, 각 표준에 대해 필수 구현 사양과 해결 가능한 구현 사양을 모두 지정합니다. 필수 사양은 규칙에서 규정하는 대로 채택되고 관리되어야 합니다. 주소 지정 가능한 사양은 더 유연합니다. 개별 대상 기관은 자신의 상황을 평가하고 주소 지정 가능한 사양을 구현하는 가장 좋은 방법을 결정할 수 있습니다.
HITRUST CSF(공통 보안 프레임워크) HITRUST CSF는 전 세계 기업이 데이터 보호 규정을 준수하는 데 필요한 권위 있는 출처에 대한 구조, 투명성, 지침 및 교차 참조를 제공합니다. HITRUST CSF의 초기 개발에서는 ISO, NIST, PCI, HIPAA, GDPR을 비롯한 국내 및 국제적으로 인정된 보안 및 개인정보 보호 관련 규정, 표준, 프레임워크를 활용하여 포괄적인 보안 및 개인정보 보호 제어를 보장하고 지속적으로 추가적인 권위 있는 출처를 통합했습니다. HITRUST CSF는 이러한 요구 사항을 표준화하여 명확성과 일관성을 제공하고 규정 준수의 부담을 줄여줍니다.
IBM Cloud 금융 서비스를 위한 프레임워크 IBM Cloud for Financial Services™ 는 독립 소프트웨어 공급업체(ISV), 서비스형 소프트웨어(SaaS) 공급자, 금융 서비스 기관을 단일 에코시스템으로 모으는 개방형 플랫폼입니다. 이 안전한 클라우드 플랫폼에서는 혁신적인 애플리케이션, API, 데이터, 콘텐츠를 신속하게 개발하고 공유하여 금융 기관의 고유한 비즈니스 요구 사항을 충족할 수 있습니다.

IBM Cloud Framework for Financial Services 를 통해 금융 서비스 업계를 위해 특별히 설계된 통합 보안 및 규정 준수 제어 기능에 액세스할 수 있습니다. 금융 기관으로서 진화하는 요구 사항을 해결하기 위해 IBM는 주요 은행, 보험사 및 규제 자문가의 글로벌 CSO, CTO, CIO 협의회를 통해 이러한 제어를 지속적으로 검증하고 있습니다.

IBM Cloud 금융 서비스용 프로필은 IBM Cloud Framework for Financial Services 제어 요구 사항에 매핑되는 사전 구성된 자동화된 목표 집합을 제공합니다. 이러한 테스트 결과는 금융 서비스용 레퍼런스 아키텍처 중 하나를 사용할 때 규정 준수를 검증하는 데 도움이 됩니다(예: IBM Cloud).
ISMAP(정보 시스템 보안 관리 및 평가 프로그램) 정보시스템 보안관리 및 평가제도(ISMAP)는 정부의 보안 요구사항을 충족하는 클라우드 서비스를 사전에 평가-등록하여 정부 클라우드 서비스 조달의 보안 수준을 확보함으로써 클라우드 서비스의 원활한 도입에 기여하는 것을 목적으로 합니다.
엔터프라이즈용 MITRE ATT&CK MITRE ATT&CK®은 실제 관찰을 기반으로 한 적대적 전술과 기술에 대한 전 세계적으로 접근 가능한 지식 기반입니다. ATT&CK 지식 기반은 민간 부문, 정부, 사이버 보안 제품 및 서비스 커뮤니티에서 특정 위협 모델과 방법론을 개발하는 기반으로 사용됩니다.
마이터 디펜드 후원사를 위한 프로젝트 작업을 하면서 우리는 사이버 보안 대책 구성 요소와 역량을 정확하게 지정할 수 있는 모델이 필요하다는 사실을 반복해서 발견했습니다. 더욱이 실무자는 기능이 해결한다고 주장하는 위협이 무엇인지 알아야 할 뿐만 아니라 엔지니어링 관점에서 이러한 위협이 어떻게 해결되는지, 그리고 어떤 상황에서 솔루션이 효과적인지도 구체적으로 알아야 합니다. 이러한 지식은 운영상의 적용 가능성을 추정하고, 강점과 약점을 파악하고, 여러 기능으로 구성된 기업 솔루션을 개발하는 데 필수적입니다. 단기적으로 이러한 반복적인 필요성을 해결하기 위해 우리는 대책 지식 기반, 더 구체적으로는 지식 그래프를 인코딩하는 프레임워크인 D3FEND 만들었습니다. 그래프에는 사이버 보안 대책 분야의 핵심 개념과 해당 개념을 서로 연결하는 데 필요한 관계를 정의하는 의미적으로 엄격한 유형과 관계가 포함되어 있습니다. 우리는 각 개념과 관계를 사이버보안 관련 문헌의 특정 참고문헌에 근거하여 설명했습니다.
NIS2 지침(연합 전역의 높은 공통 수준의 사이버 보안을 위한 조치에 대한 지침) 2022년 12월 14일 유럽 의회 및 이사회 지침(EU) 2022/2555는 연합 전체에 걸쳐 높은 공통 수준의 사이버 보안을 달성하기 위한 조치에 관한 것으로, 규정(EU) 910/2014 및 지침(EU) 2018/1972를 개정하고 지침(EU) 2016/1148(NIS 2 지침)을 폐지합니다.
NIST 사이버 보안 프레임워크(CSF) 본 출판물은 업계, 학계, 정부가 모두 참여하는 지속적인 협력의 결과입니다. 미국 국립표준기술원(NIST)은 2013년에 민간 및 공공 부문 조직과 개인을 소집하여 이 프로젝트를 시작했습니다. 2014년에 발간되고 2017년과 2018년에 개정된 이 중요 인프라 사이버보안 개선 프레임워크는 8개의 공개 워크숍, 여러 차례의 의견 또는 정보 요청, 미국 전역의 모든 부문과 전 세계의 많은 부문에 걸친 이해 관계자와의 수천 건의 직접적인 상호 작용을 바탕으로 작성되었습니다.
NIST SP 800-53(정보 시스템 및 조직을 위한 보안 및 개인정보 보호 제어) 정보 시스템과 조직이 적대적 공격, 인적 오류, 자연 재해, 구조적 실패, 외국 정보 기관, 개인정보 보호 위험 등 다양한 위협과 위험으로부터 조직의 운영과 자산, 개인, 다른 조직 및 국가를 보호하기 위해 보안 및 개인정보 보호 통제 카탈로그를 제공하는 준수 정책입니다. 통제는 유연하고 사용자 정의가 가능하며, 위험을 관리하기 위한 조직 전체 프로세스의 일부로 구현됩니다. 통제는 임무 및 사업 요구 사항, 법률, 행정 명령, 지침, 규정, 정책, 표준 및 가이드라인에서 파생된 다양한 요구 사항을 처리합니다. 마지막으로, 통합된 제어 카탈로그는 기능적 관점(즉, 제어가 제공하는 기능 및 메커니즘의 강도)과 보증 관점(즉, 제어가 제공하는 보안 또는 개인 정보 보호 기능에 대한 신뢰 척도)에서 보안 및 개인 정보 보호 문제를 다룹니다. 기능성과 보증을 다루면 정보기술 제품과 해당 제품에 의존하는 시스템이 충분히 신뢰할 수 있는지 확인하는 데 도움이 됩니다.
PCI DSS(결제 카드 업계 데이터 보안 표준) v4.0.0 PCI DSS(결제 카드 업계 데이터 보안 표준)는 결제 카드 계정 데이터 보안을 장려 및 강화하고 전 세계적으로 일관된 데이터 보안 조치의 광범위한 채택을 촉진하기 위해 개발되었습니다. PCI DSS는 계정 데이터를 보호하기 위해 설계된 기술 및 운영 요구사항의 기본 기준을 제공합니다. 결제 카드 계정 데이터가 있는 환경에 초점을 맞춰 특별히 설계되었지만 PCI DSS는 위협으로부터 보호하고 결제 생태계의 다른 요소를 보호하는 데에도 사용할 수 있습니다.
RBI 프레임워크 은행과 그 구성원들이 정보기술을 활용하는 방식이 급속히 늘어나고 있으며, 이제는 은행 운영 전략의 필수적인 부분이 되었습니다. 중앙은행은 2011년 4월 29일자 DBS.CO.ITC.BC.No.6/31.02.008/2010-11 회람을 통해 정보 보안, 전자 뱅킹, 기술 위험 관리 및 사이버 사기( G.Gopalakrishna 위원회)에 대한 지침을 제공했습니다. 이 회람에서 구현을 위해 제안된 조치는 정적인 것이 될 수 없으며, 은행에서는 새로운 동향과 발생하는 우려 사항을 토대로 정책, 절차 및 기술을 사전에 만들고 미세 조정하고 수정해야 한다고 명시했습니다.
SEBI(인도 증권거래위원회)법 증권 투자자의 이익을 보호하고 증권 시장의 발전을 촉진하며 이를 규제하고 이와 관련되거나 이에 부수되는 사항을 처리하기 위해 이사회를 설립하는 법률.
SOC 2 SOC 2는 미국공인회계사협회(AICPA)에서 개발한 서비스 조직을 위한 자발적 규정 준수 표준입니다. 이 정책의 목적은 사용자 데이터의 안전과 프라이버시를 보장하는 것입니다. 데이터 보호를 위한 프레임워크로서 고객 데이터의 보안, 가용성, 처리 무결성, 기밀성, 개인정보 보호라는 5가지 신뢰 서비스 원칙을 간략하게 설명합니다. SOC 2는 고객 데이터를 처리하거나 저장하는 모든 기술 서비스 제공업체 또는 SaaS 회사에 적용됩니다. 이러한 기업과 협력하는 타사 공급업체, 기타 파트너 또는 지원 조직도 데이터 시스템 및 안전장치의 무결성을 보장하기 위해 SOC 2 규정 준수를 유지해야 합니다.

다른 모든 자세 정책은 AWS, Azure, GCP, Kubernetes, OpenShift, 또는 호스트 같은 다른 환경에도 적용됩니다.

다음 단계

Workload Protection를 최대한 활용하려면 UI 및 CLI를 사용하여 IBM Cloud에 대해 CSPM(Cloud Security Posture Management)구현하기 의 설명 단계에 따라 CSPM을 사용 설정하세요.