클라우드 관리체계 보안 취약점 평가기준 (퍼블릭 클라우드) / 5. 운영 관리 / 5.3 정보처리시스템 보호대책

PISM-030디스크 볼륨 생성 시 암호화 설정 여부

위험도 3 기술적 보안 EC2 · EBS 평가 구분: 스크립트

디스크 볼륨 암호화 설정이 비활성화되어 있는 경우 새로 생성되는 볼륨이 암호화 미적용 상태로 생성되어 중요 정보가 유출될 위협이 존재하므로, 디스크 볼륨 생성 시 암호화 적용 설정의 활성화 여부를 점검합니다.

1. 점검 대상 확인

2. CLI 진단

3. 양호/취약 판정

4. 조치 · 재확인

방법 1AWS Management Console 경로

EC2 → 설정 → EBS 암호화 → 새 EBS 볼륨을 항상 암호화 설정 확인

콘솔은 화면이 자주 바뀝니다. 실제 점검에서는 아래 CLI(방법 2) 로 증적을 남기는 편이 재현성이 높습니다.

방법 2AWS CLI 진단

아래 명령을 눌러 실행하거나, 직접 입력해 보세요. 응답은 실제 AWS CLI 출력 형식을 따릅니다.

$ aws sts get-caller-identity { "UserId": "AIDA4XQ7N2VZK3RJTPLWE", "Account": "382011749265", "Arn": "arn:aws:iam::382011749265:user/audit-readonly" } 진단 계정으로 로그인되었습니다. 아래 명령을 실행해 점검을 시작하세요.

판정이 환경은 양호합니까, 취약합니까?

평가기준의 판단 근거는 명령 출력입니다. 먼저 위에서 명령을 실행해 출력을 확인하세요.

🛠️ 조치 방법

기본 암호화를 켜고, 기본 키를 고객관리형 키(CMK) 로 바꿉니다. 이 설정은 계정 × 리전 단위이므로 사용하는 모든 리전에 적용해야 합니다.

# 1) 전용 CMK 생성 (자동 교체 활성화) $ aws kms create-key --description "fin EBS volume encryption" \ --key-usage ENCRYPT_DECRYPT --origin AWS_KMS $ aws kms create-alias --alias-name alias/fin-ebs-cmk \ --target-key-id 7c41f9a3-2e58-4b06-91da-3f7b25ce8410 $ aws kms enable-key-rotation --key-id alias/fin-ebs-cmk # 2) 기본 암호화 활성화 + 기본 키 지정 $ aws ec2 enable-ebs-encryption-by-default $ aws ec2 modify-ebs-default-kms-key-id --kms-key-id alias/fin-ebs-cmk # 3) 사용 중인 모든 리전에 반복 $ for R in ap-northeast-2 us-east-1 ap-southeast-1; do aws ec2 enable-ebs-encryption-by-default --region $R done

📐 IaC 로 고정하기

콘솔에서 한 번 고쳐도 다음 배포에서 되돌아갑니다. 코드로 고정해야 재발하지 않습니다.

# 리전마다 provider alias 를 두고 각각 적용한다 resource "aws_ebs_encryption_by_default" "seoul" { enabled = true } resource "aws_ebs_default_kms_key" "seoul" { key_arn = aws_kms_key.fin_ebs.arn } resource "aws_kms_key" "fin_ebs" { description = "fin EBS volume encryption" enable_key_rotation = true # 연 1회 자동 교체 deletion_window_in_days = 30 } # 되돌림 방지 — SCP 로 비활성화 API 자체를 금지 # Deny ec2:DisableEbsEncryptionByDefault

주의 — 기본 암호화를 켜도 기존 볼륨은 그대로이고, 미암호화 스냅샷으로부터의 복원은 실패하지 않고 조용히 암호화되어 생성됩니다(의도된 동작). 반대로 다른 계정과 AMI 를 공유할 때 CMK 로 암호화된 스냅샷은 키 공유 설정이 없으면 상대가 못 씁니다 — 재해복구용 크로스계정 복제가 있다면 키 정책에 해당 계정을 먼저 허용해야 합니다.

📋 평가항목 정보

평가항목 ID	PISM-030
구분	기술적 보안
통제분야	5. 운영 관리
통제구분(대)	5.3 정보처리시스템 보호대책
평가항목	디스크 볼륨 생성 시 암호화 설정 여부
위험도	3
평가 구분 (AWS)	스크립트
상세설명	디스크 볼륨 암호화 설정이 비활성화되어 있는 경우 새로 생성되는 볼륨이 암호화 미적용 상태로 생성되어 중요 정보가 유출될 위협이 존재하므로, 디스크 볼륨 생성 시 암호화 적용 설정의 활성화 여부를 점검합니다.

📎 확인 자료 (증적)

사용 중인 모든 리전의 get-ebs-encryption-by-default 출력
get-ebs-default-kms-key-id 출력 (고객관리형 키 여부)
KMS 키의 자동 교체 활성화 및 키 정책
PISM-031(기존 볼륨) 조치 계획과의 연계 문서

평가에서는 화면 캡처보다 CLI 출력이 강한 증적입니다. 명령·실행시각·계정 ARN 이 함께 남기 때문입니다. 위 진단 탭의 출력을 그대로 보고서에 붙이면 됩니다.

🏦 금융 관점

금융회사의 클라우드 이용은 중요정보의 암호화 저장을 전제로 승인됩니다. 기본값이 꺼져 있으면 개별 담당자의 실수 한 번이 곧 평문 볼륨이 되므로, 평가에서는 "사람이 기억해야 하는 통제"를 감점 요인으로 봅니다. 기본값으로 강제하는 것이 정석입니다.

「클라우드 관리체계 보안 취약점 평가기준(퍼블릭 클라우드)」의 평가항목을 교육용으로 재구성한 시뮬레이터입니다. 계정 ID·ARN·리소스 ID 는 형식만 실제와 같게 만든 가상 값이며, 어떤 AWS 환경에도 접속하지 않습니다. 실제 평가에서는 기관의 최신 평가기준 원문과 AWS 공식 문서를 따르십시오.