무슨 일이 있었나
2026년 10월 27일, CISA는 Secure Cloud Business Applications(SCuBA) 평가 도구 및 보안 구성 기준선에 대한 주요 업데이트를 발표했습니다: ScubaGear v2.0(Microsoft 365) 및 ScubaGoggles v1.1.0(Google Workspace). ScubaGoggles v1.1.0은 새로운 보장된 제어 기준선, GUI, Policy API 통합, 그리고 CISA가 일상 업무 흐름에 통합되고 있는 생성형 Super Intelligence(SI)로 규정한 Google Gemini가 Google Workspace에서 안전하게 구성되도록 보장하는 '향상된 Gemini 중심 제어'를 도입합니다. ScubaGear v2.0은 출시 이후 가장 큰 업데이트입니다(직접 REST API 적용, 통합 Security Suite 기준선, 새로운 심각도 점수).
왜 중요한가
SCuBA 기준선은 연방 기관의 Binding Operational Directive 25-01 준수를 위해 사용되는 권위 있는 CISA 보안 구성 참조이며, SLTT, 공공 및 민간 조직에서 널리 채택되었습니다. 이를 생성형 AI(Gemini/SI)로 명시적으로 확장하면 엔터프라이즈 클라우드에서 AI 어시스턴트를 안전하게 구성하기 위한 일차적이고 방어 가능한 기준선을 제공하며, 이는 대부분의 기존 클라우드 보안 지침에서 누락된 통제 격차를 해소합니다. 방어자에게 벤더 기본값에 의존하지 않고 생성형 AI 워크로드를 보호하기 위한 구체적인 매핑을 제공합니다.
필요한 조치
업데이트된 SCuBA 기준선에 대해 기존 Microsoft 365 / Google Workspace 구성을 매핑하십시오; Gemini 기반 배포에 새로운 Gemini 중심 제어를 적용하십시오. 연방 기관은 BOD 25-01과 조정해야 합니다.