2부: 타사 사례와 랜딩존, 네트워크

KB증권이 지나간 길, 그리고 5호 단말에서 Bedrock까지

KB증권: 도구와 모델, 두 갈래 경로

5호 단말전산실, Claude Code

보안영역운영망, 개발망과 분리

DXG전용회선

TGW

Data Center VPC (서울 리전)

AgentCore Gateway→ Lambda, ECS 컨테이너(MCP Hub)

Shared VPC

LLM Gateway → VPC Endpoint → BedrockFoundation Models

승인 핵심 조건

① 혁신금융 지정 ② 금보원 '적합' ③ 단말에서 Bedrock 엔드포인트 직접 호출 불가

두 갈래 경로

도구: 단말 → AgentCore Gateway → MCP Hub. 모델: 단말 → LLM Gateway → VPC Endpoint → Bedrock

인터넷 ✕

외부 통신은 전부 차단

출처: KB증권 「망분리를 넘어, AI를 안전하게 확장하다: KB의 AI Ops와 AI Code Assistant 실전 사례」, AWS Financial Services Forum Seoul 2026, MCP Hub 요약 아키텍처

계정 경계는 승인 책임을 따른다

사용 조직 범위: 공개 사례의 확산 순서

1 IT 개발 직원지정서 사용자 범위

2 베타테스터소수 파일럿, 성과 측정

3 확산하네스 정착 후 팀 단위

인원 규모는 공개되지 않았습니다.

원칙: 계정 구조는 기술보다 "누가 승인하고 누가 책임지는가"에 맞춥니다. 타사 계정 구조는 비공개라 일반 요인으로 정리했습니다.

계정 분리 요인	계정 설계에 미친 영향
망 구분 (3호 / 5호 / 연구개발)	망별 OU 분리, OU마다 다른 SCP
그룹 공통 vs 계열사 단독	그룹 공통 AI 플랫폼 계정 + 계열사별 소비 계정
보안 조직 R&R	Audit, Log Archive 소유권, 위임 관리자 지정
데이터 등급 (가명 / 실데이터)	데이터 계정과 추론 계정 분리
비용 배분 (본부 / 프로젝트)	계정 = 과금 단위, 태그 정책

사용자 범위는 신청서에서 정해진다

승인, 사용자 범위

정보보호위원회 의결. 연구개발 목적 인력(내부 정의)

단말, 계정

연구개발 전용 단말: NAC, EDR, DLP, DRM, MDM. IdP + MFA, 역할별 권한 분리

도구 설정, 데이터

관리 설정 배포(모델, MCP 고정). 더미, 가명만(실데이터 금지)

로그, 운영 장치

접속, 전송 기록 1년 이상. 하네스(CLAUDE.md, Skills, 테스트) 권장

승인, 사용자 범위

금융위 지정 + 금보원 이행점검 '적합'. 지정 신청서에 명시한 범위. 확대 시 변경 절차 필요

단말, 계정

기존 5호 단말 통제 + AI 이용 통제. IdP + MFA + 직원별 MCP 도구 허용 목록

도구 설정, 데이터

관리 설정 배포 필수(Hub 외 MCP 차단). 지정 범위 업무 데이터, 개인정보 필터링 전제

로그, 운영 장치

프롬프트, 응답, 도구 호출 단위 감사 로그. 하네스 + 보안 교육, 이용 안내서 게시

기간을 줄이는 방법: 파일럿 범위와 확산 범위를 처음부터 구분해 신청서에 함께 담습니다. 나중에 넓히려면 변경 절차를 다시 밟아야 합니다.

코드 어시스턴트가 발주 조건이 된다

1 발주사AI 개발환경 제공 (랜딩존, Gateway, Hub)

2 RFP"AI 코딩 도구 활용 전제" 명시

3 수행사 견적공정별 MH 조정

4 계약, 검수품질 기준 강화 (테스트 커버리지, 리뷰)

공정별 MH 조정 여지 (정성)

구현대

테스트대

분석, 설계중

이행, 안정화소

구현: 반복 코드, 변환, 리팩토링. 테스트: 단위 테스트 생성. 분석: 레거시 분석, 문서화. 막대는 정성 등급이며 수치가 아닙니다.

리스크 1: 절감분이 품질 저하로 이어지지 않도록 SENSORS(테스트, 리뷰) 기준을 계약에 반영합니다.

리스크 2: 토큰 비용을 발주사와 수행사 중 누가 부담하는지 계약에 명시합니다.

출처를 확인할 수 있는 절감률 수치는 아직 없어 넣지 않았습니다.

랜딩존은 고속도로, 지정은 통행 허가

✓기술 조건랜딩존

계정 구조, 로그, 가드레일. 5호망 AI Platform의 기반

✓법적 조건혁신금융 + 금보원 적합

5호망 단말의 외부 LLM 연결은 지정과 이행점검이 전제

✓승인 조건전산실 중계 구조

단말에서 Bedrock 직접 호출 금지. Gateway, MCP Hub 경유

0 / 3 충족: 카드를 눌러 조건을 채워 보세요.

직답: 랜딩존은 필요조건이지 충분조건이 아닙니다. 연구개발망을 택하면 완전한 망분리 때문에 랜딩존 위의 Network, Security, Gateway를 별도로 새로 만들어야 합니다.

AI는 별도 OU가 아니라 Workloads OU에

Management 계정, AWS Control Tower

Security OU

Infrastructure OU

Workloads OU

R&D OU

Sandbox, Policy Staging

계정을 눌러 역할과 걸리는 정책을 확인하세요. OU는 같은 SCP를 받는 계정의 묶음이고, 기술 종류가 아니라 규제 경계와 환경으로 나눕니다.

리스크: AI Project 계정이 Bedrock을 직접 호출하면 Gateway를 우회합니다. Project 계정의 bedrock:InvokeModel* 는 Deny, Gateway 역할만 허용합니다.

막고, 찾고, 만들기 전에 검사한다

Preventive (예방)

허용되지 않은 작업 자체를 거부

구현: SCP

예: 서울 리전 외 사용 금지, Log Archive 정책 변경 금지

Detective (탐지)

위반 상태를 찾아내 알림

구현: AWS Config 규칙

예: 루트 계정 MFA 미설정, S3 퍼블릭 읽기 허용 탐지

Proactive (사전 검사)

리소스를 만들기 전에 검사해 차단

구현: CloudFormation 훅

예: KMS 암호화 없는 S3 버킷 생성 시도 차단

리스크: SCP는 잘못 적용하면 운영 계정을 한 번에 마비시킬 수 있습니다. Policy Staging OU에 먼저 적용하고 긴급 해제 절차를 문서화하십시오. SCP는 IAM 정책과 AND 조건으로 동작합니다.

SCP: OU, 계정이 쓸 수 있는 최대 권한 범위를 정하는 조직 정책. RCP: 리소스 쪽에 같은 방식으로 적용하는 정책

리전은 서울로, 예외는 승인 CRIS만

{
  "Sid": "DenyOutsideSeoulExceptApprovedCRIS",
  "Effect": "Deny",
  "NotAction": ["iam:*", "sts:*", "organizations:*", "support:*"],
  "Resource": "*",
  "Condition": {
    "StringNotEquals": { "aws:RequestedRegion": "ap-northeast-2" },
    "ArnNotLike": { "bedrock:InferenceProfileArn":
      "arn:aws:bedrock:ap-northeast-2:*:inference-profile/global.anthropic.claude-sonnet-5-5" }
  }
}

동작

서울 밖 호출은 거부. 단, 승인한 CRIS 프로파일 경유의 Bedrock 모델 평가만 통과

근거

CRIS 요청은 목적지 리전, global 모델 ARN(RequestedRegion = unspecified)까지 평가되고, 그 평가에 bedrock:InferenceProfileArn 키가 들어감. 원래 호출의 리전 제한은 우회하지 못함

정책	목적	Deny 대상 예
로깅 비활성화 금지	감사 무결성	cloudtrail:StopLogging, cloudtrail:DeleteTrail, bedrock:DeleteModelInvocationLoggingConfiguration
인터넷 경로 생성 금지	5호망 경로에 Egress 없음	ec2:CreateInternetGateway, ec2:CreateNatGateway, ec2:CreateVpcPeeringConnection (Network 계정 제외)
VPC Endpoint 강제	사설 경로만 허용	aws:SourceVpce 조건을 IAM, 리소스 정책에 적용

리스크: CRIS를 허용하면 프롬프트와 응답이 해외 리전에서 처리됩니다. Gateway DLP로 개인신용정보 입력을 먼저 막고, 국외 처리 사실을 혁신금융 신청서와 정보보호위원회 보고에 명시해야 합니다.

5호 단말에서 Bedrock까지, 인터넷 없이

5호 단말온프렘, Claude Code

사내 방화벽기존 5호망 통제

LLM Gateway(안 A) 전산실

Direct Connect2회선, DX Gateway

TGW 5호망 RTEgress 경로 없음

Inspection VPCNetwork Firewall

내부 NLB, Gateway(안 B) ECS / EKS

VPC Endpoint, Bedrockbedrock-runtime

"다음 홉" 또는 "자동 재생"으로 요청 한 건을 따라가 보세요.

리스크: Gateway 배치는 두 안을 함께 제시합니다. KB증권의 배치는 공개되지 않았고 금보원 해석에 따라 달라지므로 컨설팅 단계에서 확정합니다.

퍼블릭 DNS를 해석하지 않는다

계정 VPC의 Interface Endpoint (Private Subnet, 2 AZ)

bedrock-runtime 모델 추론

bedrock-agentcore.gateway MCP Hub (Gateway)

bedrock-agent-runtime KB 조회

bedrock-agentcore Runtime, Memory, Identity

sts 역할 임시 자격증명

logs, monitoring CloudWatch

kms, secretsmanager 키, 비밀

aoss, glue, states RAG, ETL

S3는 Gateway Endpoint(KB 원천, 로그). AgentCore 엔드포인트 이름은 AgentCore 개발자 가이드(VPC interface endpoints) 기준, bedrock 관리 API는 필요 시 추가

DNS 해석 흐름

1 온프렘 DNS (전산실)bedrock-runtime.ap-northeast-2.amazonaws.com 질의를 조건부 포워딩

2 Route 53 Resolver Inbound EndpointNetwork 계정

3 Private Hosted Zone / Endpoint Private DNSRoute 53 Profiles 또는 RAM으로 계정 간 공유

4 VPC Endpoint ENI (사설 IP)→ Bedrock

Endpoint Policy: 허용 Principal(Gateway 역할)과 허용 모델 ARN만 지정합니다. 모델 allowlist가 SCP, Gateway, 엔드포인트 세 겹으로 걸립니다.

2부 정리: 길은 하나, 우회로는 없다

두 갈래 경로

도구는 AgentCore Gateway(MCP Hub)로, 모델은 LLM Gateway로. KB증권이 검증한 구조입니다.

랜딩존은 필요조건

AI는 Workloads OU에. SCP로 리전, Gateway 우회, 로그, 인터넷 경로를 막습니다.

네트워크에 우회로 없음

DX → TGW 5호망 RT → PrivateLink. 퍼블릭 DNS 해석 없음, 모델 allowlist 세 겹.

다음 3부: 길 끝의 두 관문, MCP Hub와 LLM Gateway를 열어 보고 실제로 돌려 본 데모를 봅니다.