____________________________________

규정준수 FAQ

AWS 클라우드를 이용하는데 있어서, 고객들이 주로 질문하는 주요 컴플라이언스 요건들에 대해 AWS 보안 및 컴플라이언스 백서, 제 3자 감사 리포트, AWS 공식 문서 등에서 관련 내용을 발췌하여 안내합니다.

아래 모든 내용은 한국 고객의 편의를 위하여 참고할 수 있는 내용으로, 법적인 효력을 지니지는 않습니다. 공식적인 내용은 https://aws.amazon.com/ko/compliance/ 를 참조하십시오.

AWS내부 직원에 대한 통제는 독립적인 감사기관에 의해 1년에 2번 주기적으로 평가되는 SOC1 보고서를 통해 확인 가능합니다. AWS 백서 'Amazon Web Services Risk and Compliance'의 17 page에 다음 문구(Ref 12) 참조하시기 바랍니다.

Q :내부자 액세스. 클라우드 공급자가 고객 데이터 및 애플리케이션에 대한 부적절한 내부자 액세스 위협을 해결합니까?
A : AWS는 부적절한 내부자 액세스 위협을 해결하는 특정 SOC 1 컨트롤을 제공하며, 이 문서에 포함된 공개 인증 및 규정 준수 프로그램이 내부자 액세스를 해결합니다. 모든 인증 및 제3자 증명은 논리적 액세스와 관련한 사전적 및 사후적 컨트롤을 평가합니다. 또한 정기적인 위험 평가를 통해 내부자 액세스가 어떻게 제어 및 모니터링되고 있는지 집중적으로 검토합니다.

AWS는 현재DoD 5220.22-M과 NIST 800-88기준에 따라 폐기 대상인 스토리지에 대한 Decommissioning 작업을 수행하고 있습니다. AWS백서 AWS Security Whitepaper의 8 page 하단 Storage Device Decommissioning 파트를 참조하시기 바랍니다.

** 스토리지 디바이스 폐기 **

스토리지 디바이스의 수명이 다했을 경우 권한이 없는 개인에게 고객 데이터가 노출되는 것을 방지하기 위해 고안된 폐기 프로세스가 AWS 내에 마련되어 있습니다. AWS는 DoD 5220.22-M("국가 산업 보안 프로그램 운영 매뉴얼") 또는 NIST 800-88("미디어 삭제 가이드라인")에서 설명하는 기술을 사용해 폐기 프로세스에 따라 데이터를 제거합니다. 모든 폐기된 마그네틱 스토리지 디바이스는 업계 표준 관행에 따라서 자기 소거되고 물리적으로 파쇄됩니다.

CloudTrail 로그에 대한 무결성을 검증할 수 있는 로그 파일 무결성 검증기능이 제공됩니다.

AWS 백서 'Amazon Web Services Risk and Compliance' 의 17 page에 다음 문구(Ref 13, Ref 18) 참조하시기 바랍니다.

Q: 다중 테넌트. 고객 분리가 안전하게 구현되었습니까?
A: AWS 환경은 가상화된 다중 테넌트 환경입니다. AWS는 보안 관리 프로세스, PCI 컨트롤, 각 고객을 다른 고객과 격리할 수 있도록 고안된 기타 보안 컨트롤을 구현했습니다. AWS 시스템은 고객이 가상화 소프트웨어를 통한 필터링으로 자신에게 할당되지 않은 물리적 호스트 또는 인스턴스에 액세스하는 것을 차단할 수 있도록 설계되었습니다. 이 아키텍처는 독립적인 PCI QSA(Qualified Security Assessor)의 검증을 받았으며 2015년 4월에 발표된 PCI DSS 버전 3.1의 모든 요구 사항을 준수하는 것으로 확인되었습니다. AWS는 단일 테넌시 옵션도 제공합니다. 전용 인스턴스는 단일 고객에게 배정된 하드웨어를 실행하는 Amazon Virtual Private Cloud(Amazon VPC) 내에서 시작되는 Amazon EC2 인스턴스입니다. 전용 인스턴스를 통해 Amazon VPC와 AWS 클라우드의 이점을 최대한 활용하는 동시에 Amazon EC2 컴퓨터 인스턴스를 하드웨어 수준에서 격리할 수 있습니다.

Q : 데이터 격리. 클라우드 공급자가 고객 데이터를 적절하게 격리합니까?
A : 고객을 대신해 AWS에 저장된 모든 데이터는 강력한 테넌트 격리 보안 및 제어 기능을 갖고 있습니다. Amazon S3는 고급 데이터 액세스 제어를 제공합니다. 특정 데이터 서비스 보안에 대한 자세한 내용은 AWS 보안 백서를 참조하십시오.

추가하여 SOC3 report의 다음 문구도 참조하시기 바랍니다.(14 페이지)

AWS 시스템은 가상화 소프트웨어를 통해 필터링 함으로써 고객이 본인 소유가 아닌 물리서버 혹은 인스턴스에 접근하는 것을 방지하도록 설계되어 있습니다.

AWS의 데이터 센터는 여러 고객이 사용합니다. 고객의 데이터 센터를 실사하는 것을 허용하지 않습니다 (제3자에게 데이터 센터를 노출시키는 격이기 때문). 대신 독립적이고 권한이 있는 감사 기관이 수행한 AWS의 SOC 1 Type 2 보고서를 통해 적절한 통제 프로세스가 있고 잘 적용되고 있음을 확인할 수 있습니다(NDA필요). 그 외에도, 데이터 센터의 물리적인 보안에 대한 독립적이고 권한이 있는 감사자에 의한 또 다른 감사 결과는 보안문의하기, AWS Artifact을 통해 신청할 수 있습니다. (ISO 27001, PCI DSS 등).

AWS 백서 'Amazon Web Services Risk and Compliance' 의 15 page에 다음 문구(Ref 9)를 참조하시기 바랍니다.

Q : 데이터 센터 둘러보기. 클라우드 공급자가 고객이 데이터 센터를 둘러볼 수 있도록 허용합니까?
A : 아닙니다. AWS 데이터 센터에서는 다양한 고객을 호스팅하기 때문에 고객의 데이터 센터 관람을 허용하지 않습니다. 불특정 다수의 고객이 타사 데이터에 물리적으로 접근할 우려가 있기 때문입니다. 이러한 고객의 요구를 충족하기 위해 독립적이고 역량 있는 감사자가 SOC 1 Type II 보고서의 일부로 규제 항목의 현재 상태와 운영을 검증합니다. 널리 사용되는 이 제3자 검증을 통해 고객은 배포된 컨트롤의 효과를 독립적인 관점으로 바라볼 수 있습니다. AWS와 비밀 유지 계약을 체결한 AWS 고객은 SOC 1 Type II 보고서의 사본을 요청할 수 있습니다. 데이터 센터의 물리적 보안에 대한 개별 평가는 ISO 27001 감사, PCI 평가, ITAR 감사 및 FedRAMP 테스트 프로그램에도 포함되어 있습니다. SOC 1 Type II의 보고서 사본은 위 문의 사항의 AWS Artifact에서 신철할 수 있습니다.

IDC 시설 관련한 내용은 담당하는 극소수의 직원만 취급합니다. 이 것은 AWS의 지적자산과 관련이 있으므로, 시설과 관련된 어떤 내용도 전달할 수 없습니다. 그리고 고객의 기준에 맞춰 준다는 보장도 불가합니다. 전세계 수많은 고객들이 이용하는 상황에서 특정 고객의 기준으로 맞출 수는 없지만, 거꾸로 생각하면 그 많은 고객들이 사용하는데 전혀 문제 없는 수준이라는 것을 입증하는 것이라고 볼 수 있습니다. AWS백서 AWS Security Whitepaper의 7 page의 물리적 및 환경적 보안 부분을 참조하시기 바랍니다.

** 화재감지 및 진압 **

위험을 줄이기 위해 자동 화재 감지 및 소화 장비가 설치되었습니다. 화재 감지 시스템은 모든 데이터 센터 환경, 기계 및 전기장비실, 냉각실 및 발전기 장비실에서 연기감지 센서를 활용합니다.이 구역은 습식 파이프,이중 연동 준비 작동식 시스템 또는 기체 스프링클러 시스템으로 보호됩니다.

** 전력 **

데이터 센터 전력 시스템은 전이중 방식으로 설계 및 유지관리되도록 설계되어 운영에 전혀 영향을 미치지 않고 365일 항시 사용 가능합니다. 무정전 전원 공급 장치(UPS)는 시설의 중요하고 필수적인 부하에 전력 공급 장애가 발생할 경우에 대비해 백업 전력을 제공합니다. 데이터 센터는 발전기를 사용하여 전체 시설에 백업 전력을 제공합니다.

** 기후 및 온도 **

기후 제어는 서버 및 기타 하드웨어의 운영 온도를 일정하게 유지하는 데 필요하며, 이는 과열을 방지하고 서비스 중단 가능성을 줄입니다. 데이터 센터는 최상의 대기 상태 조건을 유지하도록 되어 있습니다. 인력 및 시스템은 적절한 수준의 온도와 습도를 모니터링 및 제어합니다.

Amazon Web Services(AWS)는 한국 정보보호관리체계 인증을 획득한 첫 번째 글로벌 클라우드 서비스 공급업체입니다. 이 인증은 한국 내 기업 및 조직이 보다 효과적으로 규정 준수 요건을 충족하고 고도로 안전하고 안정적인 AWS 클라우드를 통해 제공되는 동급 최고 기술을 사용하여 비즈니스 혁신을 가속화하는 데 도움이 됩니다.

한국 정보보호관리체계(K-ISMS)는 한국 정부가 도입한 인증 체계로, 한국인터넷진흥원(KISA)한국 과학기술정보통신부(MSIT)에서 주관합니다. K-ISMS는 2002년 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제47조(ISMS 인증)에 의거하여 한국 내 법적 요건을 충족하고 ICT 환경을 지원하기 위해 도입되었습니다. K-ISMS는 기업 및 조직이 정보 자산을 철저히 보호하도록 정보 보호 관리 체계를 일관적이고 안전하게 운영하고 관리하는지를 평가하기 위한 표준으로 사용됩니다.

이 인증 덕분에 K-ISMS 인증이 필요한 한국 내 기업 및 조직은 AWS에서 수행한 작업을 이용하여 자체 인증 획득을 위한 시간과 비용을 절감할 수 있습니다. K-ISMS 인증을 위한 AWS 범위 내 서비스는 규정 준수 프로그램 제공 AWS 범위 내 서비스에서 확인할 수 있습니다.

미국 회사인 AWS Inc. 는 AWS 서비스를 제공하고, 국제적으로 통용되는 인증 (Certification) 및 인정 (Accreditation)을 획득함으로써 제 3자 보증 프레임워크와 부합됨을 증명하였는데 여기에는 ISO 27001 SOC 1, 2, 3, PCI-DSS 및 다수가 포함되어 있습니다. 책임 공유 모델 하에서, AWS는 기반 클라우드 환경의 보안 관리를 담당합니다. AWS의 클라우드 기반 구조는 현존하는 가장 유연하고 안전한 클라우드 컴퓨팅 환경 중 하나로 설계되었으며, 완벽한 고객 분리와 함께 최적의 가용성을 제공합니다.

** 이용자 보호 **

고객은 서비스를 사용할 때 몇 가지 옵션을 사용하여 자신들의 데이터를 암호화할 수 있는데, AWS의 암호화 기능(KMS), 고객 자신의 키를 사용, 혹은 Third Party 솔루션의 암호화 기법을 활용할 수 있습니다. AWS는 법적인 필요에 응하거나 고객이 선택한 서비스를 해당 고객 및 그 고객의 최종사용자에게 제공하기 위한 목적 이외에는 고객의 컨텐츠에 접근하지 않습니다. AWS는 마케팅이나 광고와 같은 목적을 위해 고객의 데이터를 사용하거나 이로부터 정보를 생성하지도 않습니다.

클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률 제 27조 참조

** 고객 데이터 위치 **

AWS는 고객이 지리적으로 특정위치에 데이터를 저장하도록 리전(Region) 을 선택할 수 있습니다. AWS는 법적으로 필요한 상황을 제외하고 고객의 데이터를 옮기지 않습니다.

클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률 제 26조 참조

** 고객 데이터 삭제 **

스토리지 디바이스의 수명이 다했을 경우 권한이 없는 개인에게 고객 데이터가 노출되는 것을 방지하기 위해 고안된 폐기 프로세스가 AWS 내에 마련되어 있습니다. AWS는 DoD 5220.22-M("국가 산업 보안 프로그램 운영 매뉴얼") 또는 NIST 800-88("미디어 삭제 가이드라인")에서 설명하는 기술을 사용해 폐기 프로세스에 따라 데이터를 제거합니다. 모든 폐기된 마그네틱 스토리지 디바이스는 업계 표준 관행에 따라서 자기 소거(Magnetic Degaussing)되고 물리적으로 파쇄됩니다.

법원 영장이나 명령 같은 법적으로 유효하고 구속력 있는 명령에 따라야 할 필요가 없는 한 요청을 받았다고 해서 고객 컨텐츠를 공개하지는 않습니다. 나아가 고객 컨텐츠를 공개할 때는 고객이 보호조치를 취할 수 있도록 미리 고객에게 통지합니다. 그리고 고객은 아주 민감한 컨텐츠에 대해서 표준 보안절차의 일환으로 컨텐츠를 암호화할 수 있습니다. 고객은 저장된 데이터 혹은 사용하고 있는 데이터를 암호화하는 도구를 AWS로부터 제공받거나, 지원되는 다양한 제3자 보안 솔루션을 선택할 수 있습니다. 암호화된 컨텐츠는 그 암호를 푸는 키가 없으면 무용지물 입니다. 또한 고객의 암호화 선택 여부와 상관없이 우리는 고객의 데이터를 절대 보지 않습니다.

Remarks