Day 3 - 규정 준수: 증명서, 인증 프로그램, 그리고 데이터의 국적

"안전하다"와 "안전함을 증명한다"는 다르다

규정 준수라는 말이 딱딱하게 들린다면, 동네 식당을 떠올리면 쉬워진다.

어떤 식당 주인이 정말 깨끗하게 주방을 관리한다고 해본다. 재료도 좋은 것만 쓰고 매일 청소도 한다. 그런데 손님이 "여기 위생적인가요?"라고 물으면 뭐라고 답해야 할까. "제가 매일 청소합니다"라고 말할 수는 있지만, 손님 입장에서는 확인할 방법이 없다. 그래서 위생 등급제나 정기 점검 같은 제도가 생겼다. 제3자가 와서 확인하고, 그 결과를 문서나 표지판으로 남긴다.

기업 시스템도 똑같다. "우리 서비스는 안전합니다"라는 말은 아무 의미가 없다. 은행에 시스템을 납품하려면, 병원 데이터를 다루려면, 정부 사업에 들어가려면 누군가가 확인했다는 증거를 내야 한다.

둘은 겹치지만 같지 않다. 보안이 잘 되어 있어도 증명할 문서가 없으면 계약이 안 되고, 반대로 서류만 갖췄다고 실제로 안전한 것도 아니다.

이런 문서 요구가 실제로 어떻게 들이닥치는지 감을 잡아두면 좋다. 회사가 커지면 고객사 쪽에서 "보안 점검 자료를 보내달라"는 요청이 온다. 처음엔 몇 장짜리 질문지지만, 상대가 금융권이나 공공기관이면 수백 개 항목짜리 점검표가 온다. 그중 상당수가 "데이터센터 출입 통제는 어떻게 하나요" 같은 인프라 질문이고, 클라우드를 쓰는 회사는 이 부분을 직접 답할 수 없다. 그래서 AWS가 대신 답해 줄 문서가 필요해진다 — 그게 다음에 나올 Artifact다.

AWS Artifact: 규정 준수 보고서 다운로드 센터

감사를 받을 때 가장 먼저 필요한 것이 "AWS가 받은 각종 인증·감사 보고서"다. 이걸 받는 곳이 AWS Artifact다. AWS Artifact는 AWS의 보안 및 규정 준수 문서를 셀프 서비스로 다운로드할 수 있는 포털이다.

여기서 받을 수 있는 대표 문서:

• SOC 보고서(SOC 1, 2, 3) — 서비스 조직의 통제 감사 보고서
• ISO 인증서(ISO 27001 등)
• PCI DSS 규정 준수 증명(신용카드 데이터 취급 관련)
• 각종 규정에 대한 AWS 책임 분담 문서

AWS Artifact는 무료이며, 콘솔에서 바로 보고서를 내려받아 감사관이나 규제 기관에 제출할 수 있다.

왜 이런 창구가 따로 있나

클라우드 이전에 이런 자료를 구하는 과정은 이랬다. 담당자가 데이터센터 사업자에게 메일을 보내 "보안 감사 보고서를 받고 싶다"고 요청하고, 상대 회사의 법무·영업 담당자가 검토하고, 기밀 유지 계약을 주고받고, 며칠에서 몇 주 뒤에 파일이 도착한다. 그 사이 감사 일정은 다가온다.

Artifact는 이 과정을 콘솔에서 클릭 몇 번으로 줄였다. 필요한 보고서를 골라 바로 내려받으면 된다. 일부 문서는 내용이 민감하기 때문에 기밀 유지 조건에 동의한 뒤 받게 되어 있지만, 그 동의 절차 자체도 화면에서 끝난다.

여기에 더해 Artifact에서는 AWS와 맺는 일부 계약도 처리할 수 있다. 예를 들어 미국 의료 정보를 다루려면 관련 계약을 체결해야 하는데, 이런 것을 콘솔에서 검토하고 수락한다.

⚠️ 함정: Artifact가 주는 것은 AWS 자신에 대한 증빙이다. "우리 회사 시스템이 규정을 지키고 있다는 보고서를 만들어 달라"는 요구에 Artifact를 답으로 고르면 틀린다. 내 시스템의 증적을 모으는 일은 다른 서비스(Audit Manager)의 몫이고, 내 리소스 설정이 규칙에 맞는지 추적하는 것은 Config다. Artifact는 다운로드 창구라는 점을 놓치지 않아야 한다.

"AWS의 규정 준수 보고서나 인증서(SOC, ISO, PCI DSS 등)를 어디서 받나?"라는 문제가 나오면 답은 AWS Artifact다. 인증을 "만드는" 곳이 아니라 이미 받은 인증의 증빙을 내려받는 곳이라는 점이 핵심이다.

헷갈리는 네 서비스 구분하기

규정 준수 이야기가 나오면 함께 등장하는 서비스가 몇 개 있다. 이름만 보면 다 비슷해 보이니 표로 갈라둔다.

헷갈리기 쉬운 짝은 Artifact와 Audit Manager다. 방향이 반대라고 기억하면 쉽다 — Artifact는 AWS가 나에게 주는 증빙이고, Audit Manager는 내가 남에게 낼 증빙을 모아주는 도구다.

규정 준수 프로그램: AWS가 따르는 표준들

AWS는 전 세계의 수많은 규정·표준에 대해 인증을 받거나 준수(자율 준수 포함)하고 있다. 고객은 이 토대 위에서 자신의 워크로드를 구축한다.

이름만 봐서는 남의 나라 이야기 같지만, 어떤 사업을 하느냐에 따라 곧바로 내 일이 된다. 각각이 언제 문제가 되는지 붙여두면 기억에 오래 남는다.

나라마다 자국 제도도 따로 있다. 한국의 정보보호 관리체계 인증처럼 국내 사업에서 요구되는 것들이 있고, AWS의 규정 준수 프로그램 목록은 계속 늘어나므로 실제 목록은 AWS 규정 준수 페이지에서 확인하는 것이 맞다. 시험에서는 위 표 수준의 "이 이름은 이 분야"만 알면 충분하다.

고객 입장에서 가장 실질적인 이득은 상속되는 통제(inherited controls)다. 데이터센터 출입 통제, 서버 폐기 절차, 전원·냉방 이중화 같은 항목은 고객이 아무리 노력해도 직접 증명할 수 없다. 클라우드를 쓰면 이 항목들은 AWS가 이미 감사를 받아 놓은 상태이고, 고객은 그 결과를 자기 감사 자료에 그대로 붙여 쓸 수 있다. 바닥 공사가 이미 되어 있는 땅에 집을 짓는 것과 같아서, 규제 산업의 회사들이 클라우드로 옮기는 큰 이유 중 하나다.

여기서 다시 한번 공동 책임 모델이 등장한다. AWS가 규정 준수 인증을 받았다고 해서 고객의 애플리케이션이 자동으로 규정을 준수하는 것은 아니다. AWS는 인프라 측면(of the cloud)의 규정 준수를 책임지고, 고객은 자신의 데이터·애플리케이션·접근 통제(in the cloud)가 규정을 지키도록 설정할 책임이 있다.

건물 비유로 돌아가면 이렇다. 소방 설비를 완비한 건물에 입주했다고 해서, 우리 사무실 복도에 상자를 잔뜩 쌓아둬도 되는 것은 아니다. 건물이 안전 기준을 통과한 것과 우리 사무실이 안전한 것은 별개다.

⚠️ 함정: "AWS가 HIPAA를 준수하므로 AWS에 올리기만 하면 의료 데이터를 다뤄도 된다" 같은 선택지는 오답이다. AWS가 제공하는 것은 그 위에서 규정을 지킬 수 있는 환경이지, 규정 준수 자체가 아니다. 문항에 "자동으로", "고객은 아무것도 하지 않아도" 같은 표현이 붙으면 대부분 오답 신호다.

"AWS가 HIPAA/PCI 인증을 받았으니 우리 앱도 자동으로 준수되는가?"의 답은 아니오다. 규정 준수도 공동 책임이다. AWS는 기반을, 고객은 그 위에서 자신의 구성을 책임진다.

규정 준수도 공동 책임이다. AWS가 인증을 받았더라도 그 위에 올린 워크로드의 준수는 고객 몫이 남는다.

데이터 주권과 리전 선택

"우리 데이터는 절대 EU 밖으로 나가면 안 된다." 이런 요구를 데이터 주권(Data Sovereignty) 또는 데이터 레지던시(Data Residency)라고 한다. 어떤 나라·지역의 법은 자국민의 데이터가 자국 영토 안에 저장되어야 한다고 규정한다(예: GDPR).

AWS에서는 리전(Region)을 선택함으로써 데이터가 물리적으로 어디에 저장될지를 고객이 통제한다. 예를 들어 데이터를 EU에만 두어야 한다면 프랑크푸르트(eu-central-1)나 아일랜드(eu-west-1) 같은 EU 리전을 선택한다.

중요한 원칙: 고객이 명시적으로 옮기지 않는 한, AWS는 고객 데이터를 선택한 리전 밖으로 이동시키지 않는다. 즉 어느 리전에 데이터를 둘지는 전적으로 고객의 결정이다.

[데이터 주권 요구]   "데이터를 EU 안에만 보관"
        │
        ▼
[리전 선택]         EU 리전(프랑크푸르트/아일랜드 등) 사용
        │
        ▼
[결과]             데이터가 선택한 리전에 물리적으로 저장됨

왜 나라들은 데이터의 위치를 따지나

"데이터가 서울에 있든 도쿄에 있든 인터넷으로 연결되면 똑같지 않나?" 기술적으로는 거의 그렇다. 문제는 기술이 아니라 법이다.

데이터가 어느 나라 영토에 물리적으로 놓여 있으면, 그 나라의 법이 그 데이터에 미친다. 그 나라 수사기관이 정해진 절차를 거쳐 접근을 요구할 수도 있고, 분쟁이 생기면 어느 나라 법원에서 다툴지도 달라진다. 그래서 각국은 자국민의 민감한 정보 — 의료 기록, 금융 거래, 공공 데이터 — 에 대해 위치를 통제하려 한다.

규제의 강도는 나라마다 다르다. "반드시 국내에만 두라"는 강한 요구도 있고, "해외로 보내려면 추가 조건을 충족하라"는 형태도 있다. 어느 쪽이든 클라우드를 쓰는 회사 입장에서 답은 같다 — 데이터를 어느 리전에 둘지 의식적으로 정해야 한다.

함정: "AWS가 알아서 가장 가까운 리전에 데이터를 복제해 준다" 같은 설명은 오답이다. 리전 간 복제는 고객이 명시적으로 설정해야 일어나는 일이지 자동으로 벌어지지 않는다. 데이터 주권 요구가 있는 상황에서 이런 복제를 켜면 오히려 규정을 어기게 되므로, 문항에 "여러 리전에 자동 복제" 같은 표현이 답으로 나오면 의심해야 한다.

유럽 진출을 준비하던 한 국내 소프트웨어 회사가 계약 막바지에 예상치 못한 질문을 받았다. 현지 고객사의 법무팀이 "우리 직원 데이터가 저장되는 물리적 위치를 명시해 달라"고 요구한 것이다. 이 회사의 시스템은 서울 리전에서만 돌고 있었고, 결국 유럽 고객용 데이터를 유럽 리전에 따로 두는 구조로 설계를 바꿔야 했다. 기술적으로 어려운 작업은 아니었지만, 처음부터 고려했다면 며칠이면 될 일이 계약 직전에 몇 주짜리 일이 됐다. 리전 선택이 "나중에 바꾸면 되는 설정"이 아니라 초기 설계 결정인 이유다.

"특정 국가/지역의 법규 때문에 데이터를 그 안에만 보관해야 한다"가 보이면 답은 해당 리전을 선택하는 것이다. 리전 선택은 지연 시간·비용뿐 아니라 규정 준수(데이터 주권)를 위한 핵심 결정이다.

AWS는 건물의 안전 검사 성적표를 대신 받아다 주지만, 우리 사무실이 안전한지는 우리가 증명해야 한다. 그 사무실을 어느 나라 건물에 낼지는 리전을 고르는 순간 정해진다.

리전 선택의 4가지 고려 요소(복습)

리전을 고를 때 보통 다음 네 가지를 본다. 규정 준수는 그중 하나로, 보안 영역에서 특히 중요하게 다뤄진다.

네 가지가 대등해 보이지만 실제로는 순서가 있다. 규정 준수는 협상 대상이 아니다. 법이 안 된다고 하면 아무리 싸고 빠르고 서비스가 많아도 그 리전은 후보에서 빠진다. 나머지 셋은 서로 맞바꿀 수 있다 — 조금 더 비싸도 사용자에게 가까운 리전을 고르거나, 조금 멀어도 필요한 서비스가 있는 리전을 고르는 식이다.

① 규정상 가능한 리전만 남긴다   ← 여기서 걸리면 끝
② 남은 후보 중 사용자와 가까운 곳
③ 필요한 서비스가 있는지 확인
④ 비용 비교 후 결정

시험에 이렇게 나온다

규정 준수 문항은 표현이 정형화되어 있어서, 아래 표만 잡아도 대부분 풀린다.

다음 글에서는 규정 준수와 직결되는 데이터 보호 — 전송 중·저장 시 암호화, KMS와 CloudHSM, Secrets Manager — 를 다룬다. "데이터를 안전하게 보관하라"는 요구를 기술로 풀어내는 방법이다.

📖 용어

• 규정 준수(Compliance) : 법·규정·표준을 지키고 있음을 제3자에게 증명할 수 있는 상태.
• 감사(Audit) : 외부 전문가나 규제 기관이 실제로 규정을 지켰는지 확인하는 절차.
• AWS Artifact : AWS가 받은 인증서와 감사 보고서를 셀프 서비스로 내려받는 무료 포털.
• AWS Audit Manager : 내 AWS 사용에 대한 감사 증적을 자동으로 모아주는 서비스. Artifact와 방향이 반대다.
• SOC 보고서 : 서비스 조직의 내부 통제가 제대로 작동하는지 감사한 보고서(SOC 1/2/3).
• ISO 27001 : 정보보호 관리체계에 대한 국제 표준 인증.
• PCI DSS : 신용카드 데이터를 다루는 조직이 지켜야 하는 보안 표준.
• HIPAA : 미국의 의료 정보 보호 관련 규정.
• GDPR : EU의 개인정보 보호 규정.
• FedRAMP : 미국 연방 정부가 클라우드 서비스에 요구하는 보안 인증 체계.
• 데이터 주권(Data Sovereignty) : 데이터가 저장된 나라의 법이 그 데이터에 적용된다는 원칙, 그리고 그로 인한 위치 규제.
• 데이터 레지던시(Data Residency) : 데이터를 특정 지역 안에 두어야 한다는 요구사항.
• 상속되는 통제(Inherited Controls) : 데이터센터 물리 보안처럼 AWS가 이미 감사받아 둔 항목을 고객이 자기 감사 자료에 그대로 활용하는 것.

📝 연습 문제

선택지를 클릭하면 정답·해설이 펼쳐집니다.

문제 1

감사를 위해 AWS의 SOC 2, ISO 27001, PCI DSS 규정 준수 보고서를 다운로드하려 한다. 어떤 서비스를 사용해야 하는가?

• AAWS Artifact
• BAWS Trusted Advisor
• CAmazon Inspector
• DAWS Config

문제 2

한 EU 회사가 법적 요구에 따라 고객 데이터를 반드시 유럽 내에만 저장해야 한다. AWS에서 이를 보장하는 방법은?

• A데이터를 모든 리전에 자동 복제한다
• B데이터를 저장할 리전으로 EU 내 리전을 선택한다
• CAmazon Macie를 활성화한다
• DAWS Shield Advanced를 구독한다

문제 3

AWS가 PCI DSS 인증을 받았다는 사실에 대한 올바른 이해는?

• A고객 애플리케이션도 자동으로 PCI DSS를 준수하게 된다
• BAWS는 인프라 측면의 준수를 책임지고, 고객은 자신의 구성에 대한 준수 책임이 남는다
• C고객은 더 이상 어떤 보안 설정도 할 필요가 없다
• DPCI DSS는 AWS에만 적용되고 고객과 무관하다

문제 4

데이터 주권(Data Sovereignty) 요구사항을 충족하기 위해 고객이 통제할 수 있는 가장 직접적인 수단은?

• A인스턴스 유형 선택
• BIAM 그룹 구성
• C데이터를 저장할 AWS 리전 선택
• DAuto Scaling 설정

문제 5

리전을 선택할 때 고려해야 할 요소로 가장 거리가 먼 것은?

• A규정 준수 및 데이터 주권 요구사항
• B사용자와의 지연 시간
• C해당 리전의 서비스 가용성
• DIAM 사용자의 비밀번호 길이