클라우드 관리체계 보안 취약점 평가기준 (퍼블릭 클라우드) / 5. 운영 관리 / 5.3 정보처리시스템 보호대책

PISM-031디스크 볼륨 암호화 적용 여부

위험도 5 기술적 보안 EC2 · EBS 평가 구분: 스크립트

디스크 볼륨이 암호화되지 않은 경우 비인가자에 의해 복원되어 중요 정보가 유출될 수 있는 위협이 존재하므로, 디스크 볼륨의 암호화 적용 여부를 점검합니다.

1. 점검 대상 확인

2. CLI 진단

3. 양호/취약 판정

4. 조치 · 재확인

방법 1AWS Management Console 경로

EC2 → 볼륨 → 볼륨 목록에서 대상 볼륨 ID 클릭 → 세부 정보에서 암호화 설정 확인

콘솔은 화면이 자주 바뀝니다. 실제 점검에서는 아래 CLI(방법 2) 로 증적을 남기는 편이 재현성이 높습니다.

방법 2AWS CLI 진단

아래 명령을 눌러 실행하거나, 직접 입력해 보세요. 응답은 실제 AWS CLI 출력 형식을 따릅니다.

$ aws sts get-caller-identity { "UserId": "AIDA4XQ7N2VZK3RJTPLWE", "Account": "382011749265", "Arn": "arn:aws:iam::382011749265:user/audit-readonly" } 진단 계정으로 로그인되었습니다. 아래 명령을 실행해 점검을 시작하세요.

판정이 환경은 양호합니까, 취약합니까?

평가기준의 판단 근거는 명령 출력입니다. 먼저 위에서 명령을 실행해 출력을 확인하세요.

🛠️ 조치 방법

운영 중인 볼륨은 그 자리에서 암호화할 수 없습니다. 스냅샷 → 암호화 복사 → 새 볼륨 생성 → 교체 순서를 거쳐야 하며 중단 시간이 발생합니다. 그래서 계정 기본 암호화를 먼저 켜고, 기존 볼륨은 정비 시간에 순차 교체하는 것이 실무 순서입니다.

# 0) 먼저 계정 기본값부터 — 신규 볼륨 재발 방지 $ aws ec2 enable-ebs-encryption-by-default { "EbsEncryptionByDefault": true } # 1) 기존 볼륨 스냅샷 $ aws ec2 create-snapshot --volume-id vol-08b3e7d1a95c24f70 \ --description "pre-encryption fin-core-app-01" # → snap-0c73b19e58af2d640 # 2) 스냅샷을 KMS 키로 암호화하여 복사 $ aws ec2 copy-snapshot --source-region ap-northeast-2 \ --source-snapshot-id snap-0c73b19e58af2d640 \ --encrypted --kms-key-id alias/fin-ebs-cmk \ --description "encrypted copy" # → snap-0e81d47a2cb935f06 # 3) 암호화 스냅샷으로 새 볼륨 생성 후 교체 (인스턴스 중지 필요) $ aws ec2 create-volume --snapshot-id snap-0e81d47a2cb935f06 \ --availability-zone ap-northeast-2a --volume-type gp3 $ aws ec2 stop-instances --instance-ids i-0a3f72be91c4d5e80 $ aws ec2 detach-volume --volume-id vol-08b3e7d1a95c24f70 $ aws ec2 attach-volume --volume-id vol-0a62f3d97e14c8b25 \ --instance-id i-0a3f72be91c4d5e80 --device /dev/xvda $ aws ec2 start-instances --instance-ids i-0a3f72be91c4d5e80

📐 IaC 로 고정하기

콘솔에서 한 번 고쳐도 다음 배포에서 되돌아갑니다. 코드로 고정해야 재발하지 않습니다.

# 계정·리전 단위 기본 암호화 (가장 먼저 적용) resource "aws_ebs_encryption_by_default" "this" { enabled = true } resource "aws_ebs_default_kms_key" "this" { key_arn = aws_kms_key.fin_ebs.arn # 서비스 기본키가 아닌 고객관리형 키(CMK) } resource "aws_instance" "core_app" { root_block_device { encrypted = true kms_key_id = aws_kms_key.fin_ebs.arn } }

주의 — 기본 암호화를 켜도 이미 만들어진 볼륨은 바뀌지 않습니다. 또한 서비스 기본키(aws/ebs) 로 암호화하면 키 정책을 통제할 수 없어 "암호화했다"는 형식만 남습니다 — 금융권은 고객관리형 키(CMK) 로 교체 주기와 접근 권한을 직접 관리해야 합니다(PISM-026 연계). 마지막으로 평문 시절의 스냅샷이 남아 있으면 조치가 무효입니다. 반드시 함께 폐기하세요.

📋 평가항목 정보

평가항목 ID	PISM-031
구분	기술적 보안
통제분야	5. 운영 관리
통제구분(대)	5.3 정보처리시스템 보호대책
평가항목	디스크 볼륨 암호화 적용 여부
위험도	5
평가 구분 (AWS)	스크립트
상세설명	디스크 볼륨이 암호화되지 않은 경우 비인가자에 의해 복원되어 중요 정보가 유출될 수 있는 위협이 존재하므로, 디스크 볼륨의 암호화 적용 여부를 점검합니다.

📎 확인 자료 (증적)

describe-volumes 전체 출력 (Encrypted, KmsKeyId)
get-ebs-encryption-by-default 출력
암호화 미적용 볼륨의 교체 계획 및 수행 기록
평문 시절 스냅샷·AMI 폐기 내역
사용 중인 KMS 키가 고객관리형(CMK)임을 보이는 키 정책

평가에서는 화면 캡처보다 CLI 출력이 강한 증적입니다. 명령·실행시각·계정 ARN 이 함께 남기 때문입니다. 위 진단 탭의 출력을 그대로 보고서에 붙이면 됩니다.

🏦 금융 관점

개인정보 보호법상 고유식별정보·비밀번호는 암호화 저장이 의무이고, 전자금융감독규정도 이용자 정보의 암호화를 요구합니다. 클라우드 EBS 는 스냅샷·AMI 로 손쉽게 복제되므로, 평문 볼륨 하나가 곧 복제 가능한 전체 데이터입니다. 평가에서 위험도 5 가 붙는 이유입니다.

「클라우드 관리체계 보안 취약점 평가기준(퍼블릭 클라우드)」의 평가항목을 교육용으로 재구성한 시뮬레이터입니다. 계정 ID·ARN·리소스 ID 는 형식만 실제와 같게 만든 가상 값이며, 어떤 AWS 환경에도 접속하지 않습니다. 실제 평가에서는 기관의 최신 평가기준 원문과 AWS 공식 문서를 따르십시오.