아무것도 없던 금융 클라우드에 보안 기준을 세우다

금융그룹의 퍼블릭 클라우드 도입 초기 멤버로 합류했습니다. 그룹사들이 클라우드를 처음 도입하는 단계였고, IaC(코드로 인프라를 관리하는 방식) 체계가 전혀 없었습니다.

계정마다 요구사항은 달랐지만, 공통 보안 기준은 일관되게 지켜야 했습니다.

망분리 요건을 설계 원칙으로. 망분리는 중요도가 다른 네트워크를 나눠 외부 위협이 내부로 바로 들어오지 못하게 하는 금융권 핵심 통제입니다. 이를 세 가지 원칙으로 옮겼습니다.

1. 외부와 맞닿는 DMZ 서브넷과 내부 Private 서브넷 분리
2. 백엔드 리소스의 공인 IP 할당 원천 차단
3. 아웃바운드(밖으로 나가는) 통신은 허용된 대상으로만 제한

이 원칙을 VPC(가상 네트워크), 보안그룹, 엔드포인트(외부를 거치지 않고 AWS 서비스에 접속하는 통로) 설계에 반영했습니다.

보안 구성을 코드로 표준화. Terraform을 도입해 AWS Network Firewall(VPC 경로 중간의 방화벽)과 AWS WAF(웹 방화벽) 구성을 코드로 정의했습니다. 같은 코드를 모든 계정에 적용해, 담당자마다 설정이 달라지던 문제를 구조적으로 없앴습니다.

DDoS 기본 방어는 AWS Shield Standard(모든 AWS 고객에게 자동 적용되는 기본 방어)를 사용했습니다.

• 계정이 늘어나도 같은 보안 기준이 코드로 반복되는 구조
• 담당자마다 설정이 달라지던 문제 제거

규정을 문서로 두지 않고 구조와 코드 안에 넣으면, 누가 배포해도 같은 수준이 유지됩니다.

낯선 환경일수록 제약을 구체적인 항목으로 먼저 바꿔 보면 무엇부터 해야 할지 보입니다.