- 클라우드 보안은 AWS와 고객이 나눠서 책임진다 — 이 경계선이 **공동 책임 모델(Shared Responsibility Model)**이다.
- AWS는 클라우드 자체(of the cloud), 고객은 **클라우드 안(in the cloud)**의 보안을 맡는다.
- 데이터와 접근 권한은 어떤 서비스든 항상 고객 책임. 관리형 서비스로 갈수록 AWS 책임이 커진다.
- 고객 책임의 핵심 도구가 IAM — 무료 글로벌 서비스이며 사용자·그룹·역할·정책 네 가지로 구성된다.
- 루트 사용자는 일상 사용 금지 + MFA 필수, 권한은 최소 권한 원칙대로 좁게 시작해 필요할 때 넓힌다.
지금은 "AWS가 어디까지 해주나"를 따지지만, 클라우드 이전에는 따질 것이 없었다. 전부 내 몫이었기 때문이다.
회사가 직접 서버를 사서 전산실에 두던 시절, 보안 담당자의 할 일 목록은 이랬다.
- 전산실 문에 잠금장치를 달고 드나든 사람을 기록한다
- 하드웨어가 고장 나면 부품을 갈고, 폐기할 때는 디스크를 물리적으로 파괴한다
- 운영체제 보안 패치를 직접 챙겨 적용하고, 방화벽 장비를 사서 설정한다
- 그 위에서 도는 우리 프로그램의 로그인과 권한도 직접 만든다
문제는 이 목록의 대부분이 회사의 본업과 아무 상관이 없다는 점이었다. 쇼핑몰을 만드는 회사가 전산실 냉방기와 씨름한다. 잘해도 티가 안 나고, 한 번 못하면 사고가 난다.