AWS 클라우드 보안 성숙도 모델

모든 프로덕션 계정에 보안 책임자와 공용 비상 연락 채널이 지정되어 있고 최근 90일 안에 유효성을 확인했다.

확인할 운영 증거

계정 목록, 책임자 명부, 최근 연락 시험 기록.

우선 액션

계정별 책임자와 대체 연락 채널을 정하고 퇴사·휴가에도 전달되는지 시험한다.

다음 확장

연락처 검증을 계정 개설·인사 변경 절차에 포함한다.

적용 시 확인

일부 계정의 설정만 확인하고 조직 전체가 충족했다고 판단하지 않는다.

사업·계약·규제 요구사항이 담당자와 적용 시스템에 연결된 보안 요구사항 목록으로 관리된다.

확인할 운영 증거

요구사항 등록부, 적용 범위, 통제 소유자, 최근 검토 이력.

우선 액션

적용 법규와 고객 계약을 통제 항목으로 변환하고 소유자·검토 주기를 지정한다.

다음 확장

역할별 교육과 예외 승인 절차를 요구사항 목록에 연결한다.

적용 시 확인

정책 문서의 존재보다 실제 적용 범위와 예외 관리 기록을 확인한다.

승인된 클라우드 보안 표준이 코드·템플릿으로 배포되며 예외에는 소유자와 만료일이 기록된다.

확인할 운영 증거

승인 템플릿 저장소, 배포 이력, 예외 등록부와 만료 처리 기록.

우선 액션

반복 설계를 표준 모듈로 만들고 변경 검토와 예외 만료 절차를 운영한다.

다음 확장

표준 채택률과 만료된 예외를 월간 위험 지표에 포함한다.

적용 시 확인

도구 도입 자체를 성숙도로 보지 말고 반복 가능한 운영 결과를 확인한다.

보안 책임 분담과 위험 지표를 경영·제품 지표와 함께 정기 검토하고 통제 투자 우선순위를 조정한다.

확인할 운영 증거

경영 검토 회의록, 위험 수용 기록, 지표 변화에 따른 투자 결정.

우선 액션

RACI, 위험 수용 기준, 핵심 보안 지표를 하나의 의사결정 주기로 통합한다.

다음 확장

사고·감사·사업 변화에서 얻은 교훈이 표준과 투자 계획을 자동 갱신하도록 연결한다.

적용 시 확인

자동화에는 승인 경계, 중단 조건, 사후 검토 절차를 함께 둔다.

프로덕션 계정 전체가 공통 보안 상태 점검 범위에 포함되고 치명적 발견 사항에 담당자와 기한이 배정된다.

확인할 운영 증거

평가 범위 목록, 최근 점검 결과, 치명적 항목의 담당·기한 기록.

우선 액션

계정 범위를 확정하고 공통 기준으로 점검해 치명적 항목부터 소유권을 부여한다.

다음 확장

미수집 계정과 장기 미해결 항목을 별도 지표로 관리한다.

적용 시 확인

일부 계정의 설정만 확인하고 조직 전체가 충족했다고 판단하지 않는다.

보안 관련 자산과 구성 변경을 지속 수집하며 누가 언제 무엇을 바꿨는지 조회할 수 있다.

확인할 운영 증거

자산 목록, 구성 타임라인, 수집 상태와 누락 경보.

우선 액션

자산 식별자와 구성 이력을 중앙화하고 수집 누락을 탐지한다.

다음 확장

중요 구성의 허용 기준과 변경 승인 기록을 연결한다.

적용 시 확인

정책 문서의 존재보다 실제 적용 범위와 예외 관리 기록을 확인한다.

주요 통제의 증빙이 정해진 주기로 재생성되며 실패·예외·보완 조치가 같은 기록에서 추적된다.

확인할 운영 증거

통제-증거 매핑, 최근 보고서, 실패 항목의 시정 완료 기록.

우선 액션

통제별 증거 소스·담당·주기·보존 기간을 표준화한다.

다음 확장

감사 보고서 생성과 시정 조치 추적을 하나의 워크플로로 연결한다.

적용 시 확인

도구 도입 자체를 성숙도로 보지 말고 반복 가능한 운영 결과를 확인한다.

핵심 통제 증거가 자동 수집되고 기준 이탈이 발생하면 업무 티켓과 재검증이 자동 연결된다.

확인할 운영 증거

자동 증거 파이프라인, 이탈 티켓, 복구 후 통과 기록과 추세 지표.

우선 액션

증거 수집, 판정, 티켓 발행, 복구 후 재검증을 자동화한다.

다음 확장

통제 효과와 운영 비용을 비교해 낮은 가치의 점검을 정리한다.

적용 시 확인

자동화에는 승인 경계, 중단 조건, 사후 검토 절차를 함께 둔다.

모든 특권 사용자와 비상 계정에 강한 다중 인증이 적용되고 일상 업무에 최고 권한 계정을 사용하지 않는다.

확인할 운영 증거

특권 계정 목록, MFA 적용 보고서, 최고 권한 계정 사용 로그.

우선 액션

특권 계정을 식별해 강한 인증을 강제하고 최고 권한 계정의 사용을 비상 절차로 제한한다.

다음 확장

공용 ID 공급자와 정기적인 미사용 접근 정리를 적용한다.

적용 시 확인

일부 계정의 설정만 확인하고 조직 전체가 충족했다고 판단하지 않는다.

프로덕션 워크로드는 임시 자격을 기본으로 사용하며 장기 키에는 소유자·용도·만료 또는 교체 기한이 있다.

확인할 운영 증거

키 인벤토리, 마지막 사용일, 임시 자격 사용률, 조직 정책 적용 결과.

우선 액션

장기 키를 인벤토리화하고 역할 기반 임시 자격으로 순차 전환한다.

다음 확장

조직 정책으로 위험한 권한과 오래된 인스턴스 자격 방식의 생성을 차단한다.

적용 시 확인

정책 문서의 존재보다 실제 적용 범위와 예외 관리 기록을 확인한다.

사람·워크로드·고객 접근 권한을 사용 기록과 업무 역할에 따라 정기 검토하고 불필요한 권한을 제거한다.

확인할 운영 증거

최근 접근 검토 결과, 제거된 권한, 미승인 예외와 고객 ID 통제 기록.

우선 액션

권한 사용 데이터와 직무 기준을 결합해 정기 검토와 회수 절차를 운영한다.

다음 확장

고객 ID 영역과 내부 운영 ID 영역의 경계와 책임을 분리한다.

적용 시 확인

도구 도입 자체를 성숙도로 보지 말고 반복 가능한 운영 결과를 확인한다.

고위험 권한은 승인된 시간 동안만 발급되고 데이터 경계와 정책 검증을 통과한 요청만 배포된다.

확인할 운영 증거

임시 승격 요청·승인·자동 만료 기록, 정책 테스트와 경계 위반 결과.

우선 액션

승인·발급·만료·감사를 포함한 임시 권한 워크플로를 구축한다.

다음 확장

정책 생성 파이프라인에 사용 데이터, 데이터 경계, 자동 테스트를 결합한다.

적용 시 확인

자동화에는 승인 경계, 중단 조건, 사후 검토 절차를 함께 둔다.

프로덕션 계정의 관리 활동 로그가 중앙 보관되고 중대한 위협·비용 이상 경보가 실제 대응 채널로 전달된다.

확인할 운영 증거

로그 수집 범위, 보존 설정, 최근 경보 전달 시험과 대응 기록.

우선 액션

로그 수집 범위와 보존을 확인하고 치명적 신호의 수신·담당·응답 경로를 시험한다.

다음 확장

미수집 계정과 경보 전달 실패를 자동 감시한다.

적용 시 확인

일부 계정의 설정만 확인하고 조직 전체가 충족했다고 판단하지 않는다.

중요 탐지마다 소유자·심각도·응답 목표·예외가 정해져 있고 오탐과 미처리 경보를 정기 검토한다.

확인할 운영 증거

탐지 카탈로그, 응답 목표, 오탐 조정 기록과 미처리 경보 추세.

우선 액션

탐지 카탈로그와 심각도 기준을 만들고 담당자의 처리 품질을 월별 검토한다.

다음 확장

자산 중요도와 ID·네트워크 문맥을 경보에 자동 보강한다.

적용 시 확인

정책 문서의 존재보다 실제 적용 범위와 예외 관리 기록을 확인한다.

여러 보안 신호를 중앙에서 상관 분석하고 조직 고유의 공격 시나리오를 탐지 규칙과 테스트로 관리한다.

확인할 운영 증거

데이터 소스 목록, 맞춤 규칙 저장소, 테스트 결과와 탐지 품질 지표.

우선 액션

공통 보안 데이터 스키마와 우선 탐지 시나리오를 정의해 중앙 분석에 연결한다.

다음 확장

규칙 변경 전에 과거 데이터 재생과 모의 이벤트로 회귀 테스트한다.

적용 시 확인

도구 도입 자체를 성숙도로 보지 말고 반복 가능한 운영 결과를 확인한다.

외부 위협 정보와 내부 네트워크 흐름·사고 교훈이 탐지 우선순위와 규칙 개선으로 지속 반영된다.

확인할 운영 증거

위협 정보 출처 평가, 흐름 분석 결과, 사고 후 추가·수정된 탐지 이력.

우선 액션

위협 정보의 신뢰도·관련성을 평가하고 내부 관측 데이터와 연결한다.

다음 확장

새 위협 가설의 탐지·조사·폐기 과정을 측정 가능한 피드백 루프로 만든다.

적용 시 확인

자동화에는 승인 경계, 중단 조건, 사후 검토 절차를 함께 둔다.

인터넷 노출 자산과 치명적 취약점 목록에 소유자·심각도·조치 기한이 지정되어 있다.

확인할 운영 증거

외부 자산 목록, 최근 스캔, 치명적 항목의 담당·기한·조치 상태.

우선 액션

외부 노출 자산부터 스캔하고 악용 가능성과 사업 중요도를 기준으로 담당과 기한을 정한다.

다음 확장

새 자산이 점검 범위에서 빠지지 않도록 자산 생성 흐름과 연결한다.

적용 시 확인

일부 계정의 설정만 확인하고 조직 전체가 충족했다고 판단하지 않는다.

지원되는 인프라와 애플리케이션이 정기 취약점 점검 범위에 포함되고 위험 등급별 조치 목표를 지킨다.

확인할 운영 증거

자산 대비 스캔 범위, SLA 준수율, 예외와 기한 초과 추세.

우선 액션

OS·컨테이너·의존성·애플리케이션 점검 범위와 위험 등급별 SLA를 정의한다.

다음 확장

예외에는 보완 통제와 만료일을 요구하고 기한 초과를 책임자에게 에스컬레이션한다.

적용 시 확인

정책 문서의 존재보다 실제 적용 범위와 예외 관리 기록을 확인한다.

고위험 취약점 검사가 빌드·배포 흐름에 포함되고 팀별 보안 담당자가 예외와 재발 방지를 검토한다.

확인할 운영 증거

파이프라인 검사 결과, 차단·예외 기록, 반복 취약점 감소 추세.

우선 액션

배포 전 검사와 위험 기반 차단 기준을 만들고 개발팀 내 보안 담당자를 운영한다.

다음 확장

반복 결함을 안전한 템플릿·라이브러리·개발 교육으로 제거한다.

적용 시 확인

도구 도입 자체를 성숙도로 보지 말고 반복 가능한 운영 결과를 확인한다.

전담 책임자가 악용 가능성·자산 가치·노출 경로를 결합해 조치 우선순위를 지속 조정하고 성과를 측정한다.

확인할 운영 증거

위험 기반 백로그, 평균 노출 기간, 재발률과 조치 효과 검증 기록.

우선 액션

취약점 수보다 실제 위험 감소와 평균 노출 기간을 핵심 지표로 운영한다.

다음 확장

공격 경로와 보완 통제를 반영해 자동 우선순위와 검증을 고도화한다.

적용 시 확인

자동화에는 승인 경계, 중단 조건, 사후 검토 절차를 함께 둔다.

인터넷에 열린 관리 포트와 원격 관리 엔드포인트가 목록화되어 있으며 승인되지 않은 노출이 없다.

확인할 운영 증거

공개 엔드포인트 목록, 승인 기록, 최근 외부 노출 점검 결과.

우선 액션

관리 포트 노출을 전수 확인하고 사설·중앙 관리 경로로 전환한다.

다음 확장

새로운 공개 관리 경로가 생기면 배포 전에 차단되도록 정책화한다.

적용 시 확인

일부 계정의 설정만 확인하고 조직 전체가 충족했다고 판단하지 않는다.

환경과 업무 중요도에 따라 계정·네트워크가 분리되고 운영 접속은 기록되는 관리 경로만 사용한다.

확인할 운영 증거

계정 구조도, 네트워크 흐름, 관리 접속 로그와 경계 예외.

우선 액션

프로덕션·비프로덕션·보안 기능을 계정과 네트워크 경계로 분리한다.

다음 확장

공통 계정 생성 기준과 관리 접속 정책을 자동 적용한다.

적용 시 확인

정책 문서의 존재보다 실제 적용 범위와 예외 관리 기록을 확인한다.

컴퓨팅 이미지는 승인된 파이프라인에서 생성·검증되며 실행 중 위협과 비정상 외부 통신을 탐지한다.

확인할 운영 증거

이미지 생성·서명·검사 이력, 배포 버전, 실행 중 탐지와 조치 기록.

우선 액션

패치된 기준 이미지를 자동 생성하고 무결성·악성 행위·외부 통신을 관찰한다.

다음 확장

오래된 이미지와 승인되지 않은 실행 환경을 자동 격리하거나 교체한다.

적용 시 확인

도구 도입 자체를 성숙도로 보지 말고 반복 가능한 운영 결과를 확인한다.

사용자·기기·워크로드의 상태를 요청마다 검증하며 가능하면 운영 부담이 낮은 관리형 서비스로 위험을 이전한다.

확인할 운영 증거

상황 기반 접근 결정 로그, 정책 테스트, 관리형 전환에 따른 위험 감소 기록.

우선 액션

네트워크 위치만 신뢰하지 않는 접근 정책과 기기·워크로드 상태 검증을 적용한다.

다음 확장

직접 관리 인프라의 위험과 비용을 평가해 관리형 대안으로 지속 전환한다.

적용 시 확인

자동화에는 승인 경계, 중단 조건, 사후 검토 절차를 함께 둔다.

중요 데이터 저장소는 기본적으로 공개되지 않으며 공개 예외에는 승인·소유자·만료일이 있다.

확인할 운영 증거

저장소 공개 상태, 차단 정책 결과, 공개 예외 승인과 만료 기록.

우선 액션

공개 저장소를 전수 점검하고 기본 차단 정책과 예외 승인 절차를 적용한다.

다음 확장

민감 데이터가 있는 공개 저장소를 우선 자동 탐지하고 알린다.

적용 시 확인

일부 계정의 설정만 확인하고 조직 전체가 충족했다고 판단하지 않는다.

중요 데이터의 민감도와 소유자를 알고 저장 암호화와 복구 가능한 백업을 적용하며 복원 시험 기록을 보유한다.

확인할 운영 증거

데이터 목록, 암호화 적용률, 백업 정책과 최근 복원 시험 결과.

우선 액션

중요 데이터의 위치·민감도·보존을 분류하고 암호화와 백업 기준을 일관되게 적용한다.

다음 확장

키·백업 접근 권한과 복원 성공률을 정기 검토한다.

적용 시 확인

정책 문서의 존재보다 실제 적용 범위와 예외 관리 기록을 확인한다.

중요 데이터 흐름은 전송 중 보호되고 보존·삭제·접근 정책이 데이터 등급에 따라 자동 적용된다.

확인할 운영 증거

데이터 흐름도, 암호화 정책 검사, 보존·삭제 실행과 위반 기록.

우선 액션

데이터 흐름을 식별해 강한 전송 보호와 등급별 수명주기 정책을 적용한다.

다음 확장

정책 위반과 알 수 없는 데이터 이동을 탐지해 담당자에게 연결한다.

적용 시 확인

도구 도입 자체를 성숙도로 보지 말고 반복 가능한 운영 결과를 확인한다.

생성형 AI를 포함한 데이터 사용 경로에서 입력·출력·학습 데이터 경계를 검증하고 민감 정보 유출 시험을 반복한다.

확인할 운영 증거

AI 데이터 흐름 목록, 정책 검사, 유출 시험과 차단·개선 기록.

우선 액션

AI 데이터 흐름과 외부 모델 전송을 목록화하고 허용 데이터·보존·마스킹 기준을 적용한다.

다음 확장

프롬프트·응답·검색 데이터에서 유출과 정책 우회를 지속 시험한다.

적용 시 확인

자동화에는 승인 경계, 중단 조건, 사후 검토 절차를 함께 둔다.

인터넷 공개 애플리케이션에 관리형 웹 공격 방어 기준이 적용되고 차단·탐지 결과를 담당자가 검토한다.

확인할 운영 증거

공개 앱 목록, 보호 정책 적용률, 탐지·차단·오탐 검토 기록.

우선 액션

공개 엔드포인트를 식별하고 공통 웹 공격 방어 규칙을 관찰 모드부터 적용한다.

다음 확장

오탐 검토 후 단계적으로 차단하고 우회 경로를 함께 점검한다.

적용 시 확인

일부 계정의 설정만 확인하고 조직 전체가 충족했다고 판단하지 않는다.

중요 애플리케이션의 설계·변경 검토에 보안 담당이 참여하고 코드·설정에 장기 비밀값을 저장하지 않는다.

확인할 운영 증거

보안 설계 검토 기록, 비밀값 스캔 결과, 중앙 비밀 저장소 사용 현황.

우선 액션

보안 검토가 필요한 변경 기준을 정하고 비밀값을 중앙 보관·단기 자격으로 전환한다.

다음 확장

코드와 빌드 산출물에서 비밀값과 고위험 패턴을 자동 검사한다.

적용 시 확인

정책 문서의 존재보다 실제 적용 범위와 예외 관리 기록을 확인한다.

중요 기능의 위협 모델이 변경과 함께 갱신되고 맞춤 방어·DDoS 대응·보안 테스트에 직접 반영된다.

확인할 운영 증거

최신 위협 모델, 완화책 소유자, 맞춤 규칙·부하·보안 시험 결과.

우선 액션

자산·신뢰 경계·오용 시나리오를 분석해 우선 완화책과 검증 방법을 정한다.

다음 확장

위협 모델의 완화책을 배포 정책과 회귀 테스트에 연결한다.

적용 시 확인

도구 도입 자체를 성숙도로 보지 말고 반복 가능한 운영 결과를 확인한다.

독립된 공격자 관점의 검증을 정기 수행하고 발견 사항이 설계 기준·탐지·개발 백로그까지 이어진다.

확인할 운영 증거

공격 시뮬레이션 계획·결과, 수정 검증, 설계 기준과 탐지 규칙 변경 이력.

우선 액션

중요 공격 경로를 대상으로 범위·안전 장치·성공 기준이 있는 공격 시뮬레이션을 운영한다.

다음 확장

발견 사항의 수정뿐 아니라 탐지 누락과 설계 원인을 함께 개선한다.

적용 시 확인

자동화에는 승인 경계, 중단 조건, 사후 검토 절차를 함께 둔다.

치명적 보안 발견 사항은 정해진 시간 안에 담당자가 확인하고 격리·완화·종결 근거를 기록한다.

확인할 운영 증거

치명적 경보 티켓, 최초 확인 시간, 격리·종결 승인과 근거.

우선 액션

치명적 기준, 1차 담당, 응답 목표와 즉시 격리 권한을 정한다.

다음 확장

최근 치명적 경보를 표본 검토해 누락된 소유권과 종결 근거를 보완한다.

적용 시 확인

일부 계정의 설정만 확인하고 조직 전체가 충족했다고 판단하지 않는다.

주요 사고 유형별 대응 절차에 기술·법무·경영·고객 소통 역할과 연락 경로가 명시되어 있다.

확인할 운영 증거

사고 유형별 플레이북, 역할표, 연락 시험과 최근 개정 이력.

우선 액션

우선 사고 유형의 판단·격리·증거 보존·복구·소통 단계를 문서화한다.

다음 확장

담당자 부재와 외부 협력사까지 포함해 연락망과 권한을 시험한다.

적용 시 확인

정책 문서의 존재보다 실제 적용 범위와 예외 관리 기록을 확인한다.

정기 모의훈련으로 플레이북을 검증하고 반복 조치를 자동화하며 사고 후 원인과 재발 방지를 추적한다.

확인할 운영 증거

훈련 결과, 플레이북 변경, 자동 조치 로그, 원인 분석과 재발 방지 완료 기록.

우선 액션

분기별 시나리오 훈련과 사후 검토를 운영하고 안전한 반복 조치부터 자동화한다.

다음 확장

훈련·실제 사고의 교훈을 탐지·아키텍처·교육 백로그에 연결한다.

적용 시 확인

도구 도입 자체를 성숙도로 보지 말고 반복 가능한 운영 결과를 확인한다.

탐지·조사·승인·격리·구성 복구가 통합 워크플로로 운영되고 성과 지표로 지속 개선된다.

확인할 운영 증거

통합 대응 흐름, 승인·자동 조치·롤백 로그, 대응 시간과 품질 추세.

우선 액션

자동 조치의 승인 경계와 실패 복구를 정의해 보안 운영과 업무 티켓을 통합한다.

다음 확장

평균 탐지·격리·복구 시간과 자동화 성공률을 기반으로 플레이북을 최적화한다.

적용 시 확인

자동화에는 승인 경계, 중단 조건, 사후 검토 절차를 함께 둔다.

핵심 서비스에 사업 승인된 복구 시간·데이터 손실 목표가 있고 주요 단일 장애점과 현재 대응책을 알고 있다.

확인할 운영 증거

서비스 영향도 분석, 승인된 RTO·RPO, 단일 장애점과 완화 백로그.

우선 액션

핵심 서비스의 영향도와 목표를 정하고 사람·시스템·외부 의존성의 단일 장애점을 기록한다.

다음 확장

가장 큰 목표 미달 항목에 담당자와 단기 완화책을 배정한다.

적용 시 확인

일부 계정의 설정만 확인하고 조직 전체가 충족했다고 판단하지 않는다.

핵심 프로덕션 서비스가 단일 가용 영역 장애를 견디도록 구성되고 실제 장애 전환과 데이터 복원을 시험했다.

확인할 운영 증거

아키텍처, 장애 전환 시험, 복원 결과, 측정된 복구 시간과 데이터 손실.

우선 액션

상태 저장·비저장 구성요소의 다중 영역 설계와 백업 복구 절차를 검증한다.

다음 확장

시험 결과를 복구 목표와 비교하고 수동 단계와 병목을 줄인다.

적용 시 확인

정책 문서의 존재보다 실제 적용 범위와 예외 관리 기록을 확인한다.

서비스별 재해 복구 계획이 의존성·우선순위·의사결정 권한을 포함하고 정기 연습에서 목표를 검증한다.

확인할 운영 증거

최신 DR 계획, 연습 결과, RTO·RPO 달성 여부와 개선 조치.

우선 액션

복구 순서와 외부 의존성까지 포함한 계획을 작성하고 실제 환경에서 정기 연습한다.

다음 확장

목표 미달 단계의 자동화와 용량·데이터 검증을 우선한다.

적용 시 확인

도구 도입 자체를 성숙도로 보지 말고 반복 가능한 운영 결과를 확인한다.

다중 리전 복구 절차가 자동화되어 있고 통제된 장애 실험으로 가정·경보·자동 복구를 지속 검증한다.

확인할 운영 증거

자동 DR 실행 로그, 카오스 실험 계획·중단 조건·결과, 발견된 개선 항목.

우선 액션

복구 환경 생성·데이터 전환·트래픽 절체·검증·복귀를 반복 가능한 자동화로 만든다.

다음 확장

안전 범위의 장애 실험을 정기 실행해 숨은 결합과 자동 복구 실패를 백로그화한다.

적용 시 확인

자동화에는 승인 경계, 중단 조건, 사후 검토 절차를 함께 둔다.