AWS Landing Zone

금융 규제 준수형 멀티 어카운트 기반 설계

2026. 10. 27, 오준석, Senior Solutions Architect, AWS Korea

오늘 세션 구성

1
왜 Landing Zone인가 6분
2
금융 규제와 클라우드 10분
3
멀티 어카운트와 Control Tower 12분
4
네트워크 아키텍처 8분
5
보안과 감사 8분
6
구축 접근 방식과 의사결정 항목 7분
7
Q&A (약 8분)

01 왜 Landing Zone인가

클라우드 도입 첫 단계에서 거버넌스 기반을 먼저 설계하는 이유

나중에 바꾸기 가장 어려운 세 가지

Landing Zone: 안전한 멀티 어카운트 환경의 기본 골격

계정, 권한, 네트워크, 로그를 처음부터 표준화해 이후 모든 워크로드가 같은 통제 위에서 동작합니다.
첫 워크로드 이후 변경 비용 (개념도)
첫 워크로드 지금 결정 운영 후 재설계 시간 변경 비용
계정 구조IP 대역권한 모델
WHY: 세 가지 압력
계정 확장 속도
업무와 환경이 늘수록 계정과 권한이 빠르게 분산
규제 증적 요구
감독기관 점검 시 통제와 로그 증적을 즉시 제시
재작업 비용
운영 후 구조 변경은 네트워크, 권한 전면 재설계
WHAT: 세 가지 기반
계정 격리
업무, 환경 단위 계정 분리로 장애와 침해 영향 범위 축소. 계정이 곧 보안 경계
중앙 거버넌스
OU별 예방, 탐지 통제와 조직 전체 로그 중앙 보관. 규제 통제를 일관되게 적용
표준 자동화
Account Factory로 표준 계정 즉시 발급. 신규 환경도 처음부터 준수

계정 분리가 통제와 감사의 출발점

단일 계정 또는 소수 계정
업무계 운영채널계 운영개발, 테스트 보안 도구로그PoC
하나의 장애, 하나의 침해가 전체로 번지는 영향 범위
멀티 어카운트 Landing Zone
SecurityLog ArchiveAudit
Prod업무계채널계
NonProdDevStg
SandboxPoC
계정 단위 격리: 사고의 영향을 그 계정 안으로 한정
권한 관리
단일 IAM 예외 누적
멀티 OU별 SCP(서비스 제어 정책) 상한, Identity Center SSO
감사 대응
단일 분산 로그, 수작업 증적
멀티 조직 CloudTrail, Log Archive 중앙 보관
비용 배분
단일 태그 누락 시 배분 불가
멀티 계정 단위 자동 분리
환경 분리
단일 개발과 운영 리소스 혼재
멀티 Prod, NonProd OU와 네트워크 격리
신규 환경
단일 수작업, 환경 간 편차
멀티 Account Factory 표준 발급
AWS 권장
워크로드와 환경 단위로 계정을 나누고, 보안과 로그는 전용 계정으로 분리

02 금융 규제와 클라우드

전자금융감독규정이 요구하는 절차와 통제를 Landing Zone에 매핑

제14조의2, 네 단계 중 3단계가 핵심

업무 중요도 평가

이용 대상 업무와 정보의 중요도 평가, 중요업무 여부 판단

CSP(클라우드 제공자) 평가

건전성, 안전성 평가. 비중요업무는 필수항목만
AWS 지원

BCP(업무연속성), 안전성 조치

재해복구, 출구전략 수립과 암호화, 접근통제, 백업
Landing Zone 영역

위원회 심의, 보고

심의 의결 후 이용 개시, 중요업무는 이용 후 3개월 이내 금융감독원 보고
Landing Zone의 역할: 3단계 안전성 확보조치의 기술 통제를 표준화해, 심의와 보고 증적을 반복 가능하게 만듭니다.
세부 절차는 금융분야 클라우드 이용 가이드 참조. 각 단계를 클릭하면 설명이 바뀝니다.

규제 요건을 통제 계층에 매핑

클라우드 이용 절차표준 계정과 통제 구성을 심의 자료로 재사용감독규정 제14조의2
망분리와 대체 통제Egress 중앙화, 업무계 VPC 인터넷 차단, Inspection VPC제15조, 시행세칙 별표7
접근통제, 권한 분리사내 IdP 연동 Identity Center, MFA, OU별 SCP 상한감독규정
암호화KMS 기본 암호화, Config 탐지와 SCP 차단감독규정
로그 보존과 무결성Organization Trail, Log Archive, S3 Object Lock전자금융거래법, 감독규정
침해사고 탐지와 보고GuardDuty, Security Hub, EventBridge 알림감독규정
업무연속성, 출구전략AWS Backup, 멀티 AZ 표준, IaC 재구축감독규정 별표 2의3
계정 구조
Organizations, OU, Account Factory
신원과 권한
Identity Center, MFA, SCP, RCP(리소스 제어 정책), KMS
네트워크
TGW(Transit Gateway), Inspection VPC, Egress 중앙화
데이터와 로그
Organization Trail, Log Archive, Object Lock
탐지와 복구
GuardDuty, Security Hub, Config, Backup
조항별 세부 해석과 적용 범위는 준법감시, 정보보호 부서와 확인 필요. 왼쪽 요건을 클릭하면 해당 계층과 구현 방식이 표시됩니다.

망분리, 3호망은 열리고 5호망은 그대로

2024.8
망분리 개선 로드맵
혁신금융서비스로 SaaS, 생성형 AI 허용
2026.1
시행세칙 개정 예고
SaaS를 망분리 예외 사유로 명시
2026.4.20
개정 시행
3호망 SaaS는 혁신금융서비스 지정 없이 이용
추진 중
생성형 AI 예외
당국이 별도 예외를 추진 예정. 현재는 혁신금융서비스
SaaS 예외 적용감독규정 제15조제1항제3호

3호망: 내부 업무망

내부업무 단말평가 충족 SaaS
조건(시행세칙 별표7): 금융보안원 등 평가 충족 SaaS, 단말 보호대책, 허용 SaaS 외 인터넷 차단, 로그 수집, 반기 1회 자체평가 후 정보보호위원회 보고
예외 아님, 물리적 분리 유지감독규정 제15조제1항제5호

5호망: 전산실 정보처리시스템

운영, 개발, 보안 단말인터넷
전산실 시스템과 이를 직접 운영, 개발하는 단말은 이번 개정과 무관. 클라우드 업무계도 분리와 대체 통제 설계가 필요(해석, 준법감시 확인). Landing Zone 네트워크가 담당
3호망이어도 SaaS 예외로 끝나지 않는 경우
가명정보 활용
혁신금융서비스 지정 필요
고유식별, 개인신용정보 처리
예외 미적용, 망분리 그대로
내부 단말의 생성형 AI
예: Claude Code로 Bedrock 호출. SaaS 예외와 별개, 현재 혁신금융서비스
SaaS 통한 외부 확장
웹 검색, 외부 SaaS 연동은 계속 제한
근거: 2026.1.19 금융위원회 보도자료(개정 예고), 2026.4 금융위원회 보도자료(4.20 시행), 시행세칙 제2조의3 제1항 제3호, 제4항, 별표7

03 멀티 어카운트와 Control Tower

OU 구조, 통제, 계정 발급 자동화

OU마다 다른 통제를 건다

Management Account
Organizations, Control Tower, 결제 통합. 워크로드와 보안 도구는 두지 않음
Security OULog ArchiveAudit로그 삭제, 변경 차단
Infrastructure OUNetwork HubShared Services네트워크 변경 권한 분리
Workloads Prod OU업무계 Prod채널계 Prod서울 리전 외 차단, 암호화 강제
Workloads NonProd OU업무계 Dev업무계 Stg운영 데이터 접근 차단
Sandbox OU개발자 SandboxPoC Sandbox예산 한도, 사내망 연결 차단
Policy Staging, Suspended통제 검증용폐기 대기신규 통제 사전 검증, 모든 작업 거부
관리 계정에는 SCP가 적용되지 않습니다
그래서 관리 계정에는 워크로드를 두지 않고, 접근 인원을 최소화합니다.
업무계, 채널계 명칭은 예시이며 실제 분류는 시스템 구성에 맞춰 조정. OU를 클릭하면 통제 예시가 표시됩니다.

Control Tower, 네 가지 구성 요소

Landing Zone

관리, 로그, 감사 계정과 OU 기본 구조를 자동 구성

Controls

예방, 탐지, 사전 통제를 OU 단위로 적용

Account Factory

표준 기준선이 적용된 신규 계정을 자동 발급

Dashboard, Drift

OU, 계정별 준수 현황과 기준선 이탈 탐지
AWS Control TowerLanding Zone 구성, 통제 적용, 계정 발급을 자동화하는 관리형 서비스
AWS Organizations계정, OU, SCP, RCP, 통합 결제의 기반

같은 요건을 세 겹으로 막는다

배포 전
API 호출 시
배포 후 지속
사전적 Proactive
CloudFormation Hooks
예방적 Preventive
SCP, RCP, Declarative Policy
탐지적 Detective
AWS Config Rules
신규 통제 작성 Policy Staging OU 검증 운영 OU로 승격 서비스 영향 없이 통제를 늘리는 순서

Landing Zone 4.0, 필요한 것만 고른다

2025년 11월 출시, 주요 변경 사항 (항목을 누르면 이전과 비교)
서비스 통합선택 적용
OU 구조고객 정의
리소스 분리전용 버킷, 토픽
도입 방식통제만 먼저
준수 데이터 집계Service-linked
이전 (3.x)
Landing Zone 4.0

기존 계정이 있다면, 현실적인 도입 경로

1
기존 Organizations 유지
현재 계정과 결제 구조 그대로
2
예방, 사전 통제부터 적용
Landing Zone 전체 구성 없이 Controls만 먼저
3
Config 통합으로 확장
탐지 통제, Account Factory, Backup을 쓰려면 Config 통합 활성화
Config 통합 없이 쓸 수 있는 것
예방, 사전 통제, CloudTrail 통합, OU 단위 Region Deny
탐지 통제, Account Factory, AFT, CfCT, Identity Center 연동, Backup은 Config 통합 필요
권장: 신규 구성은 처음부터 4.0으로 하되, 금융 규제상 Config와 CloudTrail 통합은 켜 둡니다.
출처: AWS Control Tower User Guide, Landing Zone v4.0 migration guide

04 네트워크 아키텍처

온프레미스 연동과 중앙 집중형 트래픽 통제

모든 길은 Network 계정을 지난다

사내 IDC
업무계 시스템사내 DNS
보안관제, SIEM
Network Account (서울 리전)
Direct Connect2회선 이중화
인터넷
Site-to-Site VPN백업 경로
Egress VPCNAT Gateway
Transit GatewayRT 분리: Prod, NonProd, Shared
Inspection VPCNetwork Firewall
Route 53 Resolver인바운드, 아웃바운드
Workload Accounts
Prod VPC업무계: IGW 없음
채널계
Shared Services VPC
NonProd VPCDev, Stg

IP 대역은 가장 먼저, 가장 넓게

IP 대역 계획 (개념도, 칸 너비는 실제 크기와 무관)사내 IPAM 현황 확인 후 AWS VPC IPAM으로 할당 관리
사내 기존 대역중복 금지
AWS Prod
AWS NonProd
Shared, Network
향후 계정 확장 예약
온프레미스 연결
DX 2회선, 서로 다른 로케이션, VPN 백업. 절체 시험 정례화
라우팅 분리
TGW RT를 Prod, NonProd, Shared로 분리. 운영과 개발 간 직접 통신 차단
트래픽 검사
Inspection VPC에 Network Firewall 집중. 동서, 남북 트래픽 검사 증적
인터넷 경로
Egress VPC 중앙화, 업무계 IGW 금지. SCP 차단이 망분리 대체 통제 근거
AWS 서비스 접근
VPC Endpoint, PrivateLink로 인터넷 없이 S3, KMS 등에 접근
DNS
Route 53 Resolver로 사내 DNS와 양방향 조회

05 보안과 감사

위임 관리자 모델, 로그 아카이빙, 침해사고 대응

탐지는 Audit에, 로그는 Log Archive에

모든 멤버 계정
CloudTrailOrganization Trail
AWS Config구성 변경 기록
VPC Flow Logs
GuardDuty위협 탐지
Inspector취약점 스캔
Log Archive Account
S3 로그 버킷Object Lock, SSE-KMS
Security LakeOCSF(공통 보안 스키마) 정규화
Audit Account (위임 관리자)
Security Hub통합 Findings, CSPM 표준 점검
GuardDuty, Inspector조직 단위 관리
Detective조사, 상관 분석
Macie민감정보 탐지
대응, 관제 연동
EventBridge자동 대응 트리거
사내 SIEM, 보안관제

로그는 만든 계정에 두지 않는다

로그수집저장 위치보존과 보호
CloudTrail 관리 이벤트Organization Trail, 전 계정 자동Log Archive S3Object LockKMS삭제 차단 SCP
CloudTrail 데이터 이벤트중요 S3, Lambda 선별 수집Log Archive S3비용 고려해 대상 선정
AWS ConfigControl Tower 기준선Log Archive S3, Aggregator구성 변경 이력 보존
VPC Flow Logs계정별 표준 배포Log Archive S3네트워크 접속 증적
보안 FindingsGuardDuty, Inspector, Macie, CSPM 점검Security Hub (Audit)SIEM 연동, 조치 이력 관리
보존 수명주기기간은 로그와 기록 유형별 법정 보존기간을 준법감시 확인 후 확정
S3 Standard최근 로그 조회, 분석
S3 Glacier 계층장기 보관 비용 절감
보존 만료확정된 기간 이후
Object Lock Compliance 모드: 보존 기간 동안 루트 사용자도 삭제 불가

자동화는 알림부터 격리까지 단계적으로

탐지

GuardDuty, Inspector로 이상 행위와 취약점 지속 탐지

집계와 분류

Security Hub 통합, 심각도 기준 자동 분류

대응

EventBridge, Lambda로 인스턴스 격리, 자격증명 비활성화

통보와 보고

관제CISO
즉시 통보, 감독기관 보고 절차와 연계
자동화 범위 (개념도, 상대 비교)
Prod에 바로 자동 격리를 걸지 않습니다
알림 중심으로 시작하고, 검증된 시나리오부터 격리 자동화로 확대합니다.

06 구축 접근 방식

구축 옵션, Bedrock과 Claude Code 활용 사례, 로드맵

무엇으로 만들지는 IaC 역량이 정한다

Q1. 인프라 표준 도구가 Terraform인가요?
Q2. 규제 기준선 전체를 코드로 관리해 감사 증적으로 쓰려 하나요?

Control Tower 기본

콘솔 중심 설정, Blueprint 수준 커스터마이징
운영 부담
빠른 시작, 소규모PoC, 초기 도입

Control Tower + AFT

Terraform 기반 GitOps 계정 발급, 계정별 커스터마이징
운영 부담
Terraform 표준 조직계정 발급 자동화 우선

Control Tower + LZA

YAML 설정 파일로 네트워크, 보안 서비스까지 선언, CDK 파이프라인 배포
운영 부담
규제 산업, 대규모 표준화기준선을 코드로
AFT: Account Factory for Terraform, LZA: Landing Zone Accelerator on AWS. 운영 부담 막대는 상대 비교(낮음, 중간)입니다.

AI 워크로드도 같은 통제를 상속

AWS Cloud, 서울 리전
AI Workload Account (Prod OU)
업무 애플리케이션ECS, Lambda
VPC Endpoint (PrivateLink)bedrock-runtime, KB용 bedrock-agent-runtime
호출 기록CloudTrail API 기록, 호출 로그(S3, CloudWatch)를 Log Archive로 복제
인터넷 경로 없음, SCP로 엔드포인트 외 호출 제한
Amazon Bedrock
GuardrailsPII 마스킹, 주제 제한
Claude 모델추론 API
Knowledge BasesS3 문서 RAG

사내 규정, 상품 문서 Q&A

여신 업무 매뉴얼, 상품 설명서, 내규를 Knowledge Bases로 색인해 직원 질의응답 지원
예시: 중도상환수수료 면제 조건 조회
확인 필요
개인신용정보 처리 여부, Cross-Region Inference 사용 시 데이터 처리 리전, 모델별 서울 리전 제공 여부
서울 외 리전 차단 SCP는 APAC, Global 추론 프로파일 호출도 막으므로 대상 리전 허용이나 bedrock:InferenceProfileArn 예외 필요

Claude Code로 Landing Zone 운영

사내망
Managed Settings허용 도구, 모델 정책
개발자 단말Claude Code CLI
DX
Shared Services Account
IAM Identity CenterSSO, 임시 자격증명
VPC Endpointbedrock-runtime
Amazon BedrockClaude 모델
OTel 텔레메트리사용량, 비용, 감사 추적
1
IaC 작성과 리뷰
LZA 설정 YAML, Terraform 변경안 작성과 PR 단위 기준선 위반 사전 점검
예시: 신규 계정 추가 설정과 영향 범위 리뷰
2
통제 정책 초안 작성
규제 요건을 SCP, Config Rule 초안으로 변환 후 Policy Staging OU에서 검증
예시: Prod OU 서울 외 리전 차단 SCP (Bedrock 추론 프로파일 예외 포함)
3
운영 이슈 분석
Config 위반, CloudTrail 이벤트를 분석해 원인과 수정 IaC 제안
예시: 미암호화 EBS 탐지 건 수정 PR
확인 필요
내부 단말의 생성형 AI 이용은 SaaS 망분리 예외와 별개(현재 혁신금융서비스, 당국 예외 추진 중)
개발 단말의 Bedrock 연결 경로, 소스 코드 전송 범위와 내부 승인 절차

1단계 산출물이 심의 자료가 된다

1설계
규제 요건 매핑, OU, 계정, IP 대역 설계, 통제 목록 확정
산출물규제 매핑표OU 설계서IP 계획
2기반 구축
Control Tower 활성화, 핵심 계정, Identity Center, 기준 통제 적용
산출물관리, 로그, 감사 계정SSO 연동
3네트워크, 보안
DX, TGW, Inspection VPC, 보안 서비스 위임 관리, 로그 보존 정책
산출물Hub and Spoke탐지, 로그 체계
4워크로드 온보딩
Account Factory 발급, 파일럿 워크로드 이전, 운영 이관과 교육
산출물파일럿 운영운영 가이드
1단계 산출물정보보호위원회 심의 자료의 기반단계별 기간은 범위와 기존 환경 확인 후 협의

착수 전에 함께 정할 일곱 가지

클라우드 이용 대상 업무
비중요업무 우선 vs 중요업무 포함
정보보호위원회, 준법감시
기존 AWS 계정 처리
신규 구축 vs 통제 우선 적용 후 확장
인프라팀
자동화 도구
Control Tower 기본, AFT, LZA
인프라, DevOps
인증 연동
사내 IdP 연동 방식, MFA 정책
정보보호팀
온프레미스 연결
DX 회선 수, 로케이션, 대역폭
네트워크팀
로그 보존, SIEM
보존 기간, 기존 관제 연동 방식
보안관제
DR 전략
서울 리전 멀티 AZ, 온프레미스 DR, 타 리전
업무연속성 담당
오늘의 목표
확정이 아니라 항목별 담당자 지정과 후속 미팅 일정 합의. 항목을 클릭해 담당자 지정 여부를 표시합니다.

오늘의 결론, 네 줄

구조를 먼저 정한다
계정 구조, IP 대역, 권한 모델은 첫 워크로드 전에. 나중에 바꾸면 전면 재설계
감독규정 제14조의2규제는 통제 계층으로 번역한다
요건 하나가 계정, 권한, 네트워크, 로그, 탐지 계층의 기술 통제로 이어짐
통제는 겹으로, 시험 후 승격
사전, 예방, 탐지 세 겹과 Policy Staging OU. 4.0으로 예방 통제부터 도입하고, 탐지는 Config 통합으로
증적은 따로, 지울 수 없게
Log Archive와 Object Lock, Audit 위임 관리자. 통제 결과를 증명하는 구조
다음 단계 제안: 일곱 가지 의사결정 항목 담당자 지정, 1단계 설계 범위 협의, 기존 AWS 계정 현황 공유

Thank You

AWS Landing Zone, 감사합니다

수고하셨습니다!

← 목차로 돌아가기