아무것도 없던 금융 클라우드에 보안 기준을 세우다

문제

그룹사들이 퍼블릭 클라우드를 처음 도입하던 단계였고, IaC(코드로 인프라를 관리하는 방식) 체계가 전혀 없었습니다. 계정마다 요구사항이 달랐지만 공통 보안 기준은 일관되게 지켜야 했습니다.

판단

망분리(중요도가 다른 네트워크를 나눠 외부 위협이 내부로 바로 들어오지 못하게 하는 금융권 핵심 통제)를 설계 원칙 세 가지로 옮겼습니다. DMZ와 Private 서브넷 분리, 공인 IP 할당 원천 차단, 허용된 대상으로만 나가는 아웃바운드입니다.

실행

Terraform을 도입해 Network Firewall과 WAF 구성을 코드로 정의하고, 같은 코드를 모든 계정에 적용했습니다.

결과

계정이 늘어나도 같은 보안 기준이 코드로 반복됩니다. 담당자마다 설정이 달라지던 문제가 사라졌습니다.

배운 점

규정을 문서로 두지 않고 구조와 코드 안에 넣으면, 누가 배포해도 같은 수준이 유지됩니다.

관련 사례

• 우리금융그룹 AWS 클라우드 보안 아키텍처 IaC 0 → Terraform

Control Plane에서 전체 기록 보기 ↗