AWS Landing Zone

금융 규제 준수형 멀티 어카운트 기반 설계

2026. 10. 27, 오준석, Senior Solutions Architect, AWS Korea

오늘 세션 구성

1

왜 Landing Zone인가 6분

2

금융 규제와 클라우드 10분

3

멀티 어카운트와 Control Tower 12분

4

네트워크 아키텍처 8분

5

보안과 감사 8분

6

구축 접근 방식과 의사결정 항목 7분

7

Q&A (약 8분)

01 왜 Landing Zone인가

클라우드 도입 첫 단계에서 거버넌스 기반을 먼저 설계하는 이유

나중에 바꾸기 가장 어려운 세 가지

Landing Zone: 안전한 멀티 어카운트 환경의 기본 골격

계정, 권한, 네트워크, 로그를 처음부터 표준화해 이후 모든 워크로드가 같은 통제 위에서 동작합니다.

첫 워크로드 이후 변경 비용 (개념도)

계정 구조IP 대역권한 모델

WHY: 세 가지 압력

계정 확장 속도

업무와 환경이 늘수록 계정과 권한이 빠르게 분산

규제 증적 요구

감독기관 점검 시 통제와 로그 증적을 즉시 제시

재작업 비용

운영 후 구조 변경은 네트워크, 권한 전면 재설계

WHAT: 세 가지 기반

계정 격리

업무, 환경 단위 계정 분리로 장애와 침해 영향 범위 축소. 계정이 곧 보안 경계

중앙 거버넌스

OU별 예방, 탐지 통제와 조직 전체 로그 중앙 보관. 규제 통제를 일관되게 적용

표준 자동화

Account Factory로 표준 계정 즉시 발급. 신규 환경도 처음부터 준수

계정 분리가 통제와 감사의 출발점

단일 계정 또는 소수 계정

업무계 운영채널계 운영개발, 테스트 보안 도구로그PoC

하나의 장애, 하나의 침해가 전체로 번지는 영향 범위

멀티 어카운트 Landing Zone

SecurityLog ArchiveAudit

Prod업무계채널계

NonProdDevStg

SandboxPoC

계정 단위 격리: 사고의 영향을 그 계정 안으로 한정

권한 관리

단일 IAM 예외 누적
멀티 OU별 SCP(서비스 제어 정책) 상한, Identity Center SSO

감사 대응

단일 분산 로그, 수작업 증적
멀티 조직 CloudTrail, Log Archive 중앙 보관

비용 배분

단일 태그 누락 시 배분 불가
멀티 계정 단위 자동 분리

환경 분리

단일 개발과 운영 리소스 혼재
멀티 Prod, NonProd OU와 네트워크 격리

신규 환경

단일 수작업, 환경 간 편차
멀티 Account Factory 표준 발급

AWS 권장

워크로드와 환경 단위로 계정을 나누고, 보안과 로그는 전용 계정으로 분리

02 금융 규제와 클라우드

전자금융감독규정이 요구하는 절차와 통제를 Landing Zone에 매핑

제14조의2, 네 단계 중 3단계가 핵심

업무 중요도 평가

이용 대상 업무와 정보의 중요도 평가, 중요업무 여부 판단

CSP(클라우드 제공자) 평가

건전성, 안전성 평가. 비중요업무는 필수항목만

AWS 지원

BCP(업무연속성), 안전성 조치

재해복구, 출구전략 수립과 암호화, 접근통제, 백업

Landing Zone 영역

위원회 심의, 보고

심의 의결 후 이용 개시, 중요업무는 이용 후 3개월 이내 금융감독원 보고

Landing Zone의 역할: 3단계 안전성 확보조치의 기술 통제를 표준화해, 심의와 보고 증적을 반복 가능하게 만듭니다.

세부 절차는 금융분야 클라우드 이용 가이드 참조. 각 단계를 클릭하면 설명이 바뀝니다.

규제 요건을 통제 계층에 매핑

클라우드 이용 절차표준 계정과 통제 구성을 심의 자료로 재사용감독규정 제14조의2

망분리와 대체 통제Egress 중앙화, 업무계 VPC 인터넷 차단, Inspection VPC제15조, 시행세칙 별표7

접근통제, 권한 분리사내 IdP 연동 Identity Center, MFA, OU별 SCP 상한감독규정

암호화KMS 기본 암호화, Config 탐지와 SCP 차단감독규정

로그 보존과 무결성Organization Trail, Log Archive, S3 Object Lock전자금융거래법, 감독규정

침해사고 탐지와 보고GuardDuty, Security Hub, EventBridge 알림감독규정

업무연속성, 출구전략AWS Backup, 멀티 AZ 표준, IaC 재구축감독규정 별표 2의3

계정 구조

Organizations, OU, Account Factory

신원과 권한

Identity Center, MFA, SCP, RCP(리소스 제어 정책), KMS

네트워크

TGW(Transit Gateway), Inspection VPC, Egress 중앙화

데이터와 로그

Organization Trail, Log Archive, Object Lock

탐지와 복구

GuardDuty, Security Hub, Config, Backup

조항별 세부 해석과 적용 범위는 준법감시, 정보보호 부서와 확인 필요. 왼쪽 요건을 클릭하면 해당 계층과 구현 방식이 표시됩니다.

망분리, 3호망은 열리고 5호망은 그대로

2024.8

망분리 개선 로드맵

혁신금융서비스로 SaaS, 생성형 AI 허용

2026.1

시행세칙 개정 예고

SaaS를 망분리 예외 사유로 명시

2026.4.20

개정 시행

3호망 SaaS는 혁신금융서비스 지정 없이 이용

추진 중

생성형 AI 예외

당국이 별도 예외를 추진 예정. 현재는 혁신금융서비스

SaaS 예외 적용감독규정 제15조제1항제3호

3호망: 내부 업무망

내부업무 단말평가 충족 SaaS

조건(시행세칙 별표7): 금융보안원 등 평가 충족 SaaS, 단말 보호대책, 허용 SaaS 외 인터넷 차단, 로그 수집, 반기 1회 자체평가 후 정보보호위원회 보고

예외 아님, 물리적 분리 유지감독규정 제15조제1항제5호

5호망: 전산실 정보처리시스템

운영, 개발, 보안 단말인터넷

전산실 시스템과 이를 직접 운영, 개발하는 단말은 이번 개정과 무관. 클라우드 업무계도 분리와 대체 통제 설계가 필요(해석, 준법감시 확인). Landing Zone 네트워크가 담당

3호망이어도 SaaS 예외로 끝나지 않는 경우

가명정보 활용

혁신금융서비스 지정 필요

고유식별, 개인신용정보 처리

예외 미적용, 망분리 그대로

내부 단말의 생성형 AI

예: Claude Code로 Bedrock 호출. SaaS 예외와 별개, 현재 혁신금융서비스

SaaS 통한 외부 확장

웹 검색, 외부 SaaS 연동은 계속 제한

근거: 2026.1.19 금융위원회 보도자료(개정 예고), 2026.4 금융위원회 보도자료(4.20 시행), 시행세칙 제2조의3 제1항 제3호, 제4항, 별표7