규정 준수 감사에 대응하라

상황

금융 관련 서비스가 외부 감사를 받게 되었습니다. 감사관이 요구한 항목은 다음과 같습니다.

1. 지난 1년간 누가 어떤 API를 호출했는지 전부 제출할 것. 여러 계정을 쓰고 있다면 계정별로 빠짐없이.
2. 보안 그룹·버킷·데이터베이스의 구성이 내부 규칙을 지키고 있었는지, 지키지 않은 기간이 있었다면 언제부터 언제까지인지 제시할 것.
3. 거래 기록 파일이 보존 기간 동안 수정·삭제되지 않았음을 증명할 것. 관리자 권한을 가진 사람도 지울 수 없어야 함.
4. 암호화 키를 누가 언제 사용했는지 제시하고, 교체 정책을 설명할 것.
5. 고객 데이터가 지정된 리전 밖에서 처리되지 않았음을 보일 것.

현재 상태는 이렇습니다.

질문마다 서비스를 배정한다

요구사항과 제약

배경 개념은 16장 보안 · 암호화 · 거버넌스와 17장 모니터링 · 운영 · 계정 관리에 있습니다.

후보 설계안 비교

선택과 근거

C안을 고릅니다. 요구별로 나눠 구성합니다.

1 · 조직 추적으로 기록을 모은다

aws cloudtrail create-trail \
  --name org-audit-trail \
  --s3-bucket-name example-central-audit-logs \
  --is-multi-region-trail \
  --is-organization-trail \
  --enable-log-file-validation \
  --kms-key-id arn:aws:kms:ap-northeast-2:123456789012:key/12345678-1234-1234-1234-123456789012

aws cloudtrail start-logging --name org-audit-trail

# 설정이 의도대로 들어갔는지 확인합니다.
aws cloudtrail describe-trails \
  --query 'trailList[].[Name,IsMultiRegionTrail,IsOrganizationTrail,LogFileValidationEnabled,KmsKeyId]' \
  --output table

저장 위치는 별도의 로그 아카이브 계정으로 둡니다(제약 1). 운영 계정의 관리자가 아무리 강한 권한을 가져도 다른 계정의 버킷에는 그 권한이 미치지 않습니다. 계정 경계가 가장 강한 격리라는 원칙이 여기서도 그대로 적용됩니다.

2 · Object Lock으로 불변성을 만든다

S3 Object Lock은 객체를 쓰기 한 번, 읽기 여러 번(WORM) 방식으로 보호합니다. 보존 모드는 두 가지이고, 이 선택이 감사 대응의 성패를 가릅니다.

요구 3(관리자도 지울 수 없어야 함)은 규정 준수 모드를 지목합니다. 다만 이 모드는 되돌릴 수 없으므로, 보존 기간을 잘못 길게 설정하면 그 기간 내내 비용을 부담해야 합니다(제약 2). 기간은 규정 문서에서 그대로 가져오고, 임의로 넉넉하게 잡지 않습니다.

# Object Lock 은 버전 관리를 전제로 합니다.
aws s3api put-bucket-versioning \
  --bucket example-transaction-records \
  --versioning-configuration Status=Enabled

# 새 객체에 기본으로 적용될 보존 규칙을 정합니다.
# 모드와 기간이 함께 필요하고, Days 와 Years 를 동시에 지정할 수 없습니다.
aws s3api put-object-lock-configuration \
  --bucket example-transaction-records \
  --object-lock-configuration '{
      "ObjectLockEnabled": "Enabled",
      "Rule": {
        "DefaultRetention": { "Mode": "COMPLIANCE", "Years": 7 }
      }
    }'

# 개별 객체에 법적 보존을 걸면 보존 기간과 무관하게 삭제가 막힙니다.
aws s3api put-object-legal-hold \
  --bucket example-transaction-records \
  --key 2026/07/ledger.parquet \
  --legal-hold Status=ON

3 · Config로 준수 이력을 만든다

요구 2(위반 기간 제시)는 상시 평가가 있어야 답할 수 있습니다. AWS Config는 리소스 구성 변경을 기록하고, 규칙으로 준수 여부를 평가합니다. 평가 결과가 시간축에 남으므로 "언제부터 언제까지 위반 상태였는가"를 그대로 제시할 수 있습니다.

# 구성 기록기가 켜져 있는지 확인합니다.
aws configservice describe-configuration-recorder-status \
  --query 'ConfigurationRecordersStatus[].[name,recording,lastStatus]' \
  --output table

# 규칙별 준수 여부를 조회합니다.
aws configservice describe-compliance-by-config-rule \
  --query 'ComplianceByConfigRules[].[ConfigRuleName,Compliance.ComplianceType]' \
  --output table

# 특정 리소스의 구성 변경 이력을 가져옵니다.
aws configservice get-resource-config-history \
  --resource-type AWS::EC2::SecurityGroup \
  --resource-id sg-0123456789abcdef0 \
  --query 'configurationItems[].[configurationItemCaptureTime,configurationItemStatus]' \
  --output table

규칙은 감사 항목에서 그대로 도출합니다 — 퍼블릭 액세스가 켜진 버킷, 0.0.0.0/0이 허용된 보안 그룹, 암호화되지 않은 볼륨과 데이터베이스, 로그가 꺼진 리소스. 각각 케이스 4와 케이스 1에서 다룬 사고의 상시 탐지판입니다.

4 · 고객 관리형 키로 키 사용을 감사한다

요구 4(키 사용 주체와 교체 정책)는 고객 관리형 키를 쓸 때 가장 명확하게 답할 수 있습니다.

자동 교체의 기본 주기는 약 365일이고 필요하면 조정할 수 있습니다. 자동 교체는 대칭 암호화 키에만 적용되며, 비대칭 키·HMAC 키·가져온 키 재료·사용자 지정 키 스토어는 대상이 아닙니다. 이 경계를 모른 채 "모든 키를 자동 교체한다"고 답하면 감사에서 다시 질문을 받습니다.

aws kms enable-key-rotation \
  --key-id 12345678-1234-1234-1234-123456789012

aws kms get-key-rotation-status \
  --key-id 12345678-1234-1234-1234-123456789012

# 키 정책은 누가 이 키를 쓸 수 있는지를 정합니다.
aws kms get-key-policy \
  --key-id 12345678-1234-1234-1234-123456789012 \
  --policy-name default

5 · 데이터 레지던시를 가드레일로 고정한다

요구 5는 합의가 아니라 기술적 제약으로 답해야 합니다. 서비스 제어 정책으로 승인되지 않은 리전에서의 호출을 거부하면, "만들 수 없었다"는 것이 곧 증거가 됩니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyOutsideApprovedRegions",
      "Effect": "Deny",
      "NotAction": [
        "iam:*",
        "organizations:*",
        "cloudfront:*",
        "route53:*",
        "support:*"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:RequestedRegion": ["ap-northeast-2"]
        }
      }
    }
  ]
}

리전 개념이 없는 글로벌 서비스는 NotAction으로 빼 둡니다. 빼지 않으면 IAM 사용자 생성이나 DNS 레코드 수정까지 막혀 조직이 마비됩니다.

SCP의 성질 두 가지를 기억합니다. SCP는 권한을 부여하지 않고 상한만 정합니다. 그리고 멤버 계정의 루트 사용자에게도 적용됩니다. 루트를 통제할 수 있는 유일한 수단이라는 점이 감사 대응에서 중요합니다.

비용과 운영에 미치는 영향

감사 대응 체크리스트

기록

• 조직 추적이 있고 다중 리전으로 설정되어 있다
• 로그 파일 무결성 검증이 켜져 있다
• 로그가 별도의 로그 아카이브 계정에 저장된다
• 로그 버킷에 퍼블릭 액세스 차단이 켜져 있다
• 필요한 데이터 이벤트만 선별해 기록하고 있다
• 로그가 고객 관리형 키로 암호화된다

불변성

• 대상 버킷에 버전 관리가 켜져 있다 (Object Lock의 전제)
• 보존 모드를 요구에 맞게 골랐다 (내부 정책이면 거버넌스, 규제면 규정 준수)
• 보존 기간이 규정 문서의 값과 일치한다
• 기간이 정해지지 않은 보존이 필요한 대상에 법적 보존을 적용했다
• 백업 복구 지점에도 삭제 방지 장치가 있다

준수 판정

• 구성 기록기가 필요한 리소스 유형을 기록하고 있다
• 감사 항목마다 대응하는 규칙이 있다
• 위반이 발생했을 때 알림이 간다
• 위반 시작·해소 시각을 제시할 수 있다

데이터 보호

• 저장 데이터와 전송 중 데이터가 암호화된다
• 규제 대상 데이터에 고객 관리형 키를 쓴다
• 키 정책이 최소 권한으로 작성되어 있다
• 자동 교체 대상과 비대상 키를 구분해 문서화했다
• 승인되지 않은 리전에서 리소스를 만들 수 없다
• 리전 간 복제 설정이 데이터 레지던시 요구와 충돌하지 않는다

관련 시험 포인트

이어서 볼 곳

• 16장 · 보안 · 암호화 · 거버넌스 KMS 키 종류와 키 정책, 봉투 암호화, 탐지 서비스의 역할 분담을 정면으로 다룹니다. 기본개념 · 도메인 1
• 17장 · 모니터링 · 운영 · 계정 관리 CloudTrail, Config, Organizations, Control Tower와 다중 계정 랜딩 존을 다룹니다. 기본개념 · 도메인 1·2
• 실습 11 · KMS 고객 관리형 키로 암호화 키 정책과 봉투 암호화, 교체를 직접 구성하고 사용 기록을 확인합니다. 실습 예제
• 케이스 1 · EC2에 액세스 키를 심어 배포했다 이 케이스의 Config 규칙이 상시로 잡아내야 하는 사고의 원형입니다. 아키텍처 케이스
• 케이스 8 · 리전 장애에 대비한 DR을 설계하라 데이터 레지던시 요구와 리전 간 복제가 충돌하는 지점을 함께 봅니다. 아키텍처 케이스
• 보안 아키텍처 설계 (30%) 데이터 보안 제어를 포함한 과제 진술 3개의 출제 포인트를 정리했습니다. 시험 대비

공식 문서 출처

• AWS CloudTrail API 레퍼런스 — CreateTrail — IsMultiRegionTrail·IsOrganizationTrail· EnableLogFileValidation의 기본값이 모두 false라는 서술과 KMS 키 지정
• AWS CloudTrail 사용 설명서 — 개념 — 관리 이벤트와 데이터 이벤트의 구분
• Amazon S3 사용 설명서 — Object Lock으로 객체 잠그기 — WORM 보호의 개념과 버전 관리 전제
• Amazon S3 사용 설명서 — Object Lock 개요 — 거버넌스 모드와 규정 준수 모드의 차이, 법적 보존의 동작
• Amazon S3 API 레퍼런스 — PutObjectLockConfiguration — 기본 보존 설정에 모드와 기간이 함께 필요하고 Days와 Years를 동시에 지정할 수 없다는 제약
• AWS Config API 레퍼런스 — GetResourceConfigHistory — 리소스 구성 항목이 시간축으로 기록된다는 동작
• AWS KMS API 레퍼런스 — EnableKeyRotation — 자동 교체의 기본 주기, 대칭 암호화 키에만 적용된다는 제약, AWS 관리형 키의 매년 교체
• AWS KMS API 레퍼런스 — PutKeyPolicy — 키 정책이 키 접근을 통제하는 방식
• AWS Organizations 사용 설명서 — SCP 전략 — SCP가 권한을 부여하지 않고 상한만 정한다는 점, 허용 목록과 거부 목록 전략
• AWS Backup 개발자 안내서 — 볼트 잠금 — 백업 복구 지점의 삭제와 보존 기간 변경을 막는 설정