클라우드 관리체계 보안 취약점 평가기준 (퍼블릭 클라우드) / 5. 운영 관리 / 5.3 정보처리시스템 보호대책

PISM-034DB 인스턴스 암호화 적용 여부

위험도 5 기술적 보안 RDS · Aurora 평가 구분: 스크립트

DB 인스턴스에 대한 암호화를 적용하지 않을 경우 스토리지에 직접 접근을 통한 데이터 유출 등의 위협이 있으므로, DB 인스턴스에 대한 암호화 적용 여부를 점검합니다.

1. 점검 대상 확인

2. CLI 진단

3. 양호/취약 판정

4. 조치 · 재확인

방법 1AWS Management Console 경로

Aurora and RDS → 데이터베이스 → 대상 DB 식별자 클릭(Aurora 는 클러스터) → 구성 클릭 → 스토리지의 암호화 설정 확인

콘솔은 화면이 자주 바뀝니다. 실제 점검에서는 아래 CLI(방법 2) 로 증적을 남기는 편이 재현성이 높습니다.

방법 2AWS CLI 진단

아래 명령을 눌러 실행하거나, 직접 입력해 보세요. 응답은 실제 AWS CLI 출력 형식을 따릅니다.

$ aws sts get-caller-identity { "UserId": "AIDA4XQ7N2VZK3RJTPLWE", "Account": "382011749265", "Arn": "arn:aws:iam::382011749265:user/audit-readonly" } 진단 계정으로 로그인되었습니다. 아래 명령을 실행해 점검을 시작하세요.

판정이 환경은 양호합니까, 취약합니까?

평가기준의 판단 근거는 명령 출력입니다. 먼저 위에서 명령을 실행해 출력을 확인하세요.

🛠️ 조치 방법

RDS 는 생성 후 암호화로 전환할 수 없습니다. 스냅샷을 암호화 복사한 뒤 새 인스턴스로 복원하고 엔드포인트를 교체해야 합니다. 서비스 중단이 불가피하므로 금융권에서는 보통 정기 점검 시간에 계획 전환합니다.

# 1) 현재 DB 스냅샷 생성 $ aws rds create-db-snapshot --db-instance-identifier fin-mydata-db \ --db-snapshot-identifier fin-mydata-db-preenc # 2) 스냅샷을 CMK 로 암호화 복사 $ aws rds copy-db-snapshot \ --source-db-snapshot-identifier fin-mydata-db-preenc \ --target-db-snapshot-identifier fin-mydata-db-enc \ --kms-key-id alias/fin-rds-cmk # 3) 암호화 스냅샷에서 새 인스턴스 복원 $ aws rds restore-db-instance-from-db-snapshot \ --db-instance-identifier fin-mydata-db-v2 \ --db-snapshot-identifier fin-mydata-db-enc \ --db-subnet-group-name fin-private-subnets \ --no-publicly-accessible # 4) 엔드포인트 전환 후 구 인스턴스와 평문 스냅샷 삭제 $ aws rds delete-db-instance --db-instance-identifier fin-mydata-db \ --skip-final-snapshot $ aws rds delete-db-snapshot --db-snapshot-identifier fin-mydata-db-preenc

📐 IaC 로 고정하기

콘솔에서 한 번 고쳐도 다음 배포에서 되돌아갑니다. 코드로 고정해야 재발하지 않습니다.

resource "aws_db_instance" "mydata" { identifier = "fin-mydata-db" engine = "postgres" storage_encrypted = true # 생성 시에만 지정 가능 kms_key_id = aws_kms_key.fin_rds.arn # 고객관리형 키 publicly_accessible = false backup_retention_period = 35 deletion_protection = true } # 되돌림 방지 — 미암호화 RDS 생성을 조직 차원에서 금지 # SCP: Deny rds:CreateDBInstance when rds:StorageEncrypted = false

주의 — Aurora 는 클러스터 단위로 암호화되므로 인스턴스가 아니라 describe-db-clusters 의 StorageEncrypted 를 봐야 합니다. 또한 암호화 DB 의 스냅샷을 미암호화로 복사할 수는 없지만, 그 반대(평문 → 암호화)는 가능합니다 — 이 성질을 이용해 전환합니다. 마지막으로 성능 인사이트(Performance Insights)와 CloudWatch Logs 내보내기에도 쿼리 문자열이 남을 수 있으니 별도 확인이 필요합니다.

📋 평가항목 정보

평가항목 ID	PISM-034
구분	기술적 보안
통제분야	5. 운영 관리
통제구분(대)	5.3 정보처리시스템 보호대책
평가항목	DB 인스턴스 암호화 적용 여부
위험도	5
평가 구분 (AWS)	스크립트
상세설명	DB 인스턴스에 대한 암호화를 적용하지 않을 경우 스토리지에 직접 접근을 통한 데이터 유출 등의 위협이 있으므로, DB 인스턴스에 대한 암호화 적용 여부를 점검합니다.

📎 확인 자료 (증적)

DB 인스턴스 목록 및 StorageEncrypted 값 (리플리카 포함)
Aurora 클러스터의 describe-db-clusters 출력
스냅샷 암호화 여부 목록
전환 계획서 및 평문 인스턴스·스냅샷 폐기 내역
사용 KMS 키 정보(고객관리형 여부)

평가에서는 화면 캡처보다 CLI 출력이 강한 증적입니다. 명령·실행시각·계정 ARN 이 함께 남기 때문입니다. 위 진단 탭의 출력을 그대로 보고서에 붙이면 됩니다.

🏦 금융 관점

마이데이터(본인신용정보관리업)와 코어뱅킹 DB 는 개인신용정보를 담습니다. 신용정보법과 개인정보 보호법 모두 암호화 저장을 요구하며, 클라우드에서는 스토리지 계층 암호화(RDS 암호화)가 그 최소 구현입니다. 여기에 컬럼 단위 암호화를 더해야 내부자 위협까지 방어됩니다.

「클라우드 관리체계 보안 취약점 평가기준(퍼블릭 클라우드)」의 평가항목을 교육용으로 재구성한 시뮬레이터입니다. 계정 ID·ARN·리소스 ID 는 형식만 실제와 같게 만든 가상 값이며, 어떤 AWS 환경에도 접속하지 않습니다. 실제 평가에서는 기관의 최신 평가기준 원문과 AWS 공식 문서를 따르십시오.