[클라우드 기초·모델]IaaS / PaaS / SaaS

1. 한줄정리

클라우드 서비스 제공자(CSP)가 사용자에게 제공하는 IT 자원의 관리 범위와 통제 수준에 따라 인프라, 플랫폼, 애플리케이션 계층으로 구분한 클라우드 서비스 모델입니다.
 

2. 정의 (IaaS / PaaS / SaaS 비교)

서비스 모델	핵심 키워드 도출	상세 정의
IaaS	가상화, 기초 인프라	서버와 스토리지 등 기초 인프라 자원을 가상화하여 제공하는 클라우드 서비스
PaaS	개발 환경, 플랫폼, 배포	애플리케이션 개발과 배포에 필요한 플랫폼 환경을 제공하는 클라우드 서비스
SaaS	완성된 앱, 구독, 편의성	완성된 애플리케이션을 인터넷을 통해 구독 형태로 제공하는 클라우드 서비스

 

3. 목적 (도입 배경 및 필요성)

구분	내용
도입 배경	전통적 온프레미스 환경은 하드웨어 구매, OS 설치, 미들웨어 구성, 앱 개발 및 유지보수 등 IT 스택의 모든 계층을 직접 관리해야 해 시간과 비용 소모가 극심했습니다.
필요성	기업의 비즈니스 목적과 내부 IT 기술 역량에 맞춰 인프라 관리 부담을 CSP에게 적절히 위임하고, 핵심 업무(서비스 개발 또는 비즈니스 앱 활용)에만 자원을 집중하기 위해 서비스 모델이 세분화되었습니다.

 

4. 특징

각 모델의 핵심은 "어디까지 내가 관리하고, 어디부터 CSP가 관리하는가?"입니다.

계층 (IT Stack)	온프레미스 (자체 구축)	IaaS (인프라형)	PaaS (플랫폼형)	SaaS (소프트웨어형)
애플리케이션 (App)	사용자 관리	사용자 관리	사용자 관리	CSP 관리
데이터 (Data)	사용자 관리	사용자 관리	사용자 관리	CSP 관리
런타임 (Runtime)	사용자 관리	사용자 관리	CSP 관리	CSP 관리
미들웨어 (Middleware)	사용자 관리	사용자 관리	CSP 관리	CSP 관리
운영체제 (O/S)	사용자 관리	사용자 관리	CSP 관리	CSP 관리
가상화 (Virtualization)	사용자 관리	CSP 관리	CSP 관리	CSP 관리
서버/스토리지/네트워크	사용자 관리	CSP 관리	CSP 관리	CSP 관리

 

5. 실무 및 서비스 예시

이해를 돕기 위한 텍스트 아키텍처와 실무 솔루션 매핑입니다.

[ 클라우드 서비스 모델 계층 구조도 ]

서비스 모델	실무 활용 예시	주요 타겟 사용자
IaaS	기업의 자체 시스템 마이그레이션, 커스텀 방화벽 및 DB 직접 구축 시 빈 서버(VM) 할당	시스템 관리자 (SysAdmin), 인프라 엔지니어
PaaS	인프라 세팅 없이 자바(Java), 파이썬(Python) 코드를 바로 업로드하여 웹 서비스 배포	소프트웨어 개발자 (Developer)
SaaS	사내 이메일, 메신저, ERP, CRM 등 업무용 소프트웨어 즉시 도입	일반 임직원 및 최종 사용자 (End User)

 

6. 보안 취약점

관리 주체가 다르기 때문에 발생하는 보안 약점도 확연히 다릅니다.

모델	주요 보안 취약점	파급 효과 및 발생 원인
IaaS	OS 취약점 방치 및 접근제어 미흡	사용자가 OS 패치를 누락하거나 서버 포트(SSH 등)를 외부로 열어두어 랜섬웨어에 감염되고 서버가 장악됨
PaaS	안전하지 않은 API 및 설정 오류	개발자가 제공된 플랫폼 환경의 기본 보안 설정을 간과하거나, 앱 연동 API에 취약점이 존재하여 데이터가 유출됨
SaaS	계정 탈취 및 섀도우 IT (Shadow IT)	아이디/비밀번호가 유출되어 기업 데이터에 무단 접근하거나, 회사가 승인하지 않은 SaaS 앱을 직원들이 임의로 사용하여 정보가 통제 밖으로 벗어남

 

7. 대응방안

모델	대응 방안 (보안 통제)
IaaS	OS 최신 보안 패치 적용, 방화벽(Security Group) 최소 권한 개방, 서버 접근 시 VPN/MFA 적용
PaaS	시큐어 코딩(Secure Coding) 가이드 준수, 컨테이너 및 플랫폼 내 불필요한 서비스 비활성화
SaaS	강력한 비밀번호 정책 및 다중 인증(MFA) 필수 적용, 퇴사자 발생 시 즉각적인 계정 권한 회수

8. 이해를 돕기 위한 비유

클라우드 서비스 모델은 IT 업계의 유명한 "피자 만들기(Pizza as a Service)" 비유로 완벽하게 설명됩니다.

• On-Premise (직접 요리): 치즈, 토핑, 도우를 직접 사고, 집 오븐을 켜고, 식탁도 직접 세팅해서 피자를 만듭니다. (모든 걸 직접 관리)
• IaaS (냉동 피자): 피자(서버 하드웨어)는 마트에서 제공해 줍니다. 하지만 우리 집 오븐(OS)으로 굽고, 내 식탁(앱 설정)에서 먹어야 합니다.
• PaaS (피자 배달): 조리된 피자가 집으로 배달됩니다. 피자를 구울 오븐도 필요 없습니다. 나는 그저 식탁(데이터/앱)만 준비해서 먹으면 됩니다.
• SaaS (피자 식당 방문): 식당에 가서 주문만 합니다. 요리, 서빙, 설거지(인프라~앱 전체)까지 모두 식당에서 해줍니다. 나는 맛있게 먹기(서비스 이용)만 하면 됩니다.

 

9. 심화 분석 (실무적 제언)

• 실무적 제언: 흔히 "클라우드를 쓰면 보안은 AWS나 구글이 다 알아서 해주는 것 아니야?"라는 착각(책임 오인)에서 대형 보안 사고가 발생합니다. IaaS든 SaaS든 상관없이 "데이터에 대한 보안 통제권과 최종 책임은 언제나 사용자(고객)에게 있다"는 원칙을 정보보안 정책서에 명시하고, 모델별로 책임 구간에 맞는 보안 솔루션(CSPM, CWPP, CASB)을 각각 다르게 배치해야 합니다.

 

10. 마무리 3줄정리

1. IaaS, PaaS, SaaS는 클라우드 시스템의 관리 책임을 사용자와 제공자(CSP) 중 누가 어느 계층까지 담당할 것인가를 나누는 서비스 모델입니다.
2. 서버 제어권이 필요하면 IaaS, 개발에만 집중하려면 PaaS, 즉시 비즈니스에 도입하려면 SaaS를 선택하는 것이 실무적 표준입니다.
3. CSP에게 관리를 많이 위임할수록(SaaS 방향) 편리해지지만, 데이터 보호와 계정 관리에 대한 최종 책임은 사용자에게 있으므로 모델에 따른 책임 공유 구간을 명확히 식별하고 통제해야 합니다.