Day 3 - 규정 준수: 증명서, 인증 프로그램, 그리고 데이터의 국적

📌 핵심 정리

• **규정 준수(Compliance)**는 "안전한 것"과 다르다. 안전함을 제3자에게 증명할 수 있는 상태를 말한다.
• AWS Artifact는 AWS가 받은 인증서와 감사 보고서를 셀프 서비스로 내려받는 창구다. 인증을 만들어 주는 곳이 아니다.
• AWS는 HIPAA·PCI DSS·ISO 27001·SOC·GDPR·FedRAMP 등 다양한 규정 준수 프로그램을 따른다.
• 규정 준수도 공동 책임이다. AWS가 인증을 받았다고 내 애플리케이션이 자동으로 준수되지는 않는다.
• 데이터가 물리적으로 어느 나라에 저장될지는 리전 선택으로 고객이 직접 통제한다(데이터 주권).

보안 도구로 위협을 막는 것과, "우리가 법과 규정을 지키고 있음을 증명하는 것"은 다른 일이다. 은행, 병원, 정부 기관은 단지 안전한 것으로는 부족하고, 감사관에게 증거를 제출해야 한다. "당신들이 쓰는 AWS는 ISO 27001 인증을 받았나요?", "환자 데이터(HIPAA)를 다룰 수 있는 환경인가요?" 같은 질문에 답할 수 있어야 한다.

오늘은 규정 준수(Compliance)의 세 축을 본다. 증명서를 받는 도구(AWS Artifact), AWS가 따르고 있는 규정 준수 프로그램들, 그리고 데이터가 어느 나라에 저장되는지를 결정하는 데이터 주권과 리전 선택이다.

"안전하다"와 "안전함을 증명한다"는 다르다