KB국민은행은 시작했다 - 쉽고 빠른 클라우드 거버넌스 적용 전략 - 강병억 AWS 솔루션즈 아키텍트 / 장강홍 클라우드플랫폼단 차장, KB국민은행 :: AWS Summit Seoul 2021

K O R E A | M A Y 1 1 - 1 2 , 2 0 2 1

© 2021, Amazon Web Services, Inc. or its affiliates. All rights reserved.
KB국민은행은 시작했다
- 쉽고 빠른 클라우드 거버넌스 적용 전략
강병억
솔루션즈 아키텍트
AWS
장강홍
차장, 클라우드플랫폼단
KB국민은행

안전성 확보를 위한 클라우드 거버넌스 구성
KB국민은행의 AWS Landing Zone 기반 거버넌스 구성 사례
KB국민은행의 AWS Landing Zone 기반 거버넌스 이후 전략
Agenda

안전성 확보를 위한
클라우드 거버넌스 구성

안전성 확보 조치를 위한 구성 고려 사항
계정관리
항목
접근통제
내부시스템/단말기 연계
암호화 및 키 관리
로깅
가상 환경 보안
보안 모니터링 및 취약점 분석 평가
인적 보안
안전성 확보조치 방안 예시
직무분리, 그룹별 권한 최소화, 작업로깅, IAM적용
VPC/subnet분리통한논리적망분리,보안그룹,NACL적용,암호화통신
전용선(Direct Connect)/VPN을 통한 구성 적용
암호키 관리, Column 암호화 적용, 안전한 암호화 알고리즘 사용
행위로그 및 보안로그를 기록 관리
가상환경 내 보안 기능 적용, 가상 자원 작업 검토
중요 로그 실시간 모니터링, 정기적인 취약점 점검 실시
내부 클라우드 서비스 이용자의 보안 교육
"클라우드서비스관련
보안사고의 예방을 위해
계정관리,접근통제등 필수
보안 통제가 구현되도록
안전성 확보조치 방안을
수립하여 이행하여야 한다."

클라우드 워크로드가 추가된다면?
최초의 클라우드 워크로드
서비스 계정
공통 계정
여러개의 워크로드가 추가됨
서비스 계정1 서비스 계정2 서비스 계정3
관리 계정
네트워크 계정

다중 계정(멀티어카운트)을 사용해야 하는 요인들
• 보안, 거버넌스준수
• 규제 준수(PCI-DSS 등)
• 개발, 테스트 및 프로덕션
간 분리
IT운영환경
• 계정별로 비용 가시성,
책임성 또는 제어를 제공
• LOB(Line of Business) 별
사용 비용 확인
비용
• 사전 정의된 거버넌스
프레임 워크 내에서 AWS
환경을 활용할 수 있도록
통제
감사/통제
• Private 서비스와 Public
서비스간 분리
• 워크로드 특성에 따라
업무중요도, 데이터 분류,
서비스 사용자 특성이
상이
워크로드 특성

다중 계정 구조 시작은 어떻게?
AWS Cloud
AWS Organizations
Best practice 기반의 다중 계정 Framework를활용하여 시작
Foundational Organizational Units (OUs)
Security Infrastructure
Additional OUs
Sandbox Workloads

다중 계정 구조를 이용한 네트워크 분리 및 통제
Orgs: Account management
Log Archive: Security logs
Security: Security tools, AWS Config rules
Shared services: Directory, limit monitoring
Network: AWS Direct Connect
Dev Sandbox: Experiments, Learning
Dev: Development
Pre-Prod: Staging
Prod: Production
Team SS: Team Shared Services, Data Lake
Developer
Sandbox
Workloads
Security
AWS Organizations
Security
Log
Archive
Dev Pre-Prod
Prod
Team
Shared
Services
Network Path
Sandbox
Data Center
Infrastructure
Shared Service
Network
Directory
DX VPN TGW MetaData
Service
Deploy
Service
네트워크 계정과 Shared Service계정의 단일화된 네트워크 접근을 통한 안전성 확보 조치

다중 계정 구조를 이용한 통합 로그 관리
Security
Shared
Services
Network
Dev PreProd
Prod
Team
Shared
Services
Flow
logs
Log Archive
Access
logs
Cloud
Trail
Guard
Duty
KMS WAF
로그 계정과 보안 계정(Security)의 단일화된 통합 로그 저장을 통한 안전성 확보 조치
AWS Organizations
Security
Infrastructure
Workloads
Orgs: Account management
Log Archive: Security logs
Security: Security tools, AWS Config rules
Shared services: Directory, limit monitoring
Network: AWS Direct Connect
Dev Sandbox: Experiments, Learning
Dev: Development
Pre-Prod: Staging
Prod: Production
Team SS: Team Shared Services, Data Lake
Network Path
Developer
Sandbox
Sandbox
Data Center

거버넌스와 민첩성에 도움을 주는 솔루션
AWS Landing Zone AWS Control Tower
AWS Organizations AWS Service Catalog
AWS Budgets AWS License Manager
AWS Marketplace (Private marketplace)
AWS CloudTrail AWS Config
AWS Security Hub Amazon CloudWatch
AWS Well-Architected Tool

AWS Landing Zone을 통한 쉽고 빠른 거버넌스
AWS 다중 계정 환경 설정을 자동화하여
쉽고 빠르게 클라우드 거버넌스 적용
AWS 모범 사례 및
권장 사항을 기반
초기 보안 및
거버넌스 제어
계정에 대한 가드레일 설정 및
Account Vending Machine
(AVM) 적용
자동화된 배포

AWS Landing Zone 적용 시의 장점
계정 관리
IAM (Identity &
Access Management)
보안 및 거버넌스 솔루션 확장
• 다중 계정 환경 생성 및 기준
설정을 위한 프레임워크 제공
• 보안, 감사 및 공유 서비스 요구
사항을 포함한 초기 다중 계정
구조
• 일련의 보안 기준이 적용된
계정들을 자동으로 배포 할 수
있는 Account Vending Maching
(AVM) 기능 제공
• AWS SSO 연동을 통해
관리되는 사용자 계정 액세스
• 교차 계정 역할(role)을 활용한
중앙 집중식 관리 가능
• 다중 계정 환경을 통해서 업무
분리 가능
• 초기 계정 보안 및 AWS
Config Rule 베이스라인
• 네트워크 베이스라인
• 모니터링 및 지능형 위협 탐지
설정 (Amazon GuardDuty를
활용)
• 선택적으로 적용할 수 있는
Add-on 기능을 쉽게 배포하게
하여 AWS Landing Zone
확장이 용이함

AXA 글로벌 Landing Zone 거버넌스 구성 사례
글로벌 스케일로 표준화된 Landing Zone 기반 거버넌스 적용
61 Countries
171,000 Employees
€102.9B Annual revenue
105M Clients
#46
Fortune 500
company
#1 Global
insurance brand
for the 10th
consecutive year*
Who is AXA?
보안 관제 센터
자원
프로젝트
접근 권한
경고
계정
거버넌스
대시보드
관리 계정 인벤토리
감사 로그 백업 및 아카이빙
보안 사고(incident) 관리
Raw data
거버넌스 데이터 수집
감사 Viewer
감사 로그
보안 사고(incident) 감지
구성 / 컴플라이언스
모니터링 및 경고
새로 생성된 계정은 감사
계정에 자동으로 등록
AXA 글로벌 랜딩존
랜딩존 데이터레이크
감사(Audit) 계정
계정 #xx
계정 #2
계정 #1

KB국민은행의
AWS Landing Zone 기반
거버넌스 구성 사례

KB의 클라우드 거버넌스 도입 필요성과 표준화 전략
금융회사에서 클라우드는 꼭 써야하나?
클라우드 컴퓨팅 이용을 위해서는 선정, 평가 등 많은 항목이 있지만…
멀티플랫폼
확보, 혁신
이용대상
선정
중요도
평가
업무연속성
확보
안전성
확보조치
비용효율화 고가용성
서비스안정성
민첩한
환경
Infra 작업

금융회사에서 클라우드를 도입하기 위해서는?
법령규제
보안
금융분야 클라우드 컴퓨팅서비스 이용가이드 준수가 필요
업무연속성확보
클라우드서비스에
예상치 못한 재해
사고발생 대비
데이터 백업
훈련 및 사고관리
출구전략수립
안전성확보조치
보안사고의 예방을
위해 보안통제구현
계정관리
접근통제
암호화/키관리
로깅 등

법령규제를 잘 지키려면 어떤것을 해야 할까요?
금융권에서 클라우드를 이용하기 위해서는
사전준비,계약체결, 보고 및 이용, 이용 종료의
절차가 필수적으로 요구 됩니다.
시작을 위해 우리는 보안을 위한 업무 작업들을
“클라우드 컴퓨팅서비스 이용가이드” 등을 보며
항목마다 체크하며 넘어가는 과정을 수행합니다.
해당 항목을 계정마다 반복적으로 해야할까요?
또한 작업중 누락 또는 실수는 없을까요?
유관 부서별 수행 작업 수시 발생

AWS Landing Zone이 없었다면?
특정 관리 계정에서
모니터링 및 관리
계정별 아래의 모든 작업을 수작업으로 진행이 필요하였음
반복 작업을 AWS Landing Zone을 사용하여 해결

그럼 KB국민은행은
AWS Landing Zone으로
클라우드를 시작했나요?

KB국민은행의 클라우드 Adoption Journey
대상업무
선정
RFP Released 제안 발표
기술협상진행
시스템 오픈
KB – AWS
EA Kickoff
KB국민은행-금융보안원
AWS 안전성 평가
KB금융지주-AWS
Enterprise Agreement 체결
KB국민은행-금융보안원
AWS 안전성 평가 완료
2018
.12
2019
.05
2019
.10
2019
.11
2019
.11
2019
.12
2020
.03
2020
.05
2020
.08

KB국민은행의 클라우드 적용 기대 효과
민첩한 대응
신규 서비스
이용량 급증 등
수요변화에
신속한 대응 가능
보안성 향상
금융 컴플라이언스
요구사항을 충족하는
클라우드 환경 이용에
따른 관리적, 기술적
보안의 상향 평준화
개방형 인프라
클라우드 전환으로
오픈소스 도입
내부 종속성 탈피로
다양한 신기술 접목이
용이
혁신 가속화
비용절감을 기반으로
다양한 서비스 전환을
통한 금융 서비스 혁신
가속화
경쟁력 강화
금융클라우드
사업자 경쟁력 강화

KB국민은행의 다중 계정 기반 마이그레이션
AWS Cloud
AWS Organizations Master
Foundational Organizational Units (OU) Additional OU
AWS의 Landing Zone 기반 위에 KB 인트라넷 일부 및 연수시스템의 이관을 진행했으며,
고도화된 KB표준 아키텍처 구조로 다양한 서비스를 접목시켜 운영 하고자 함
Security Infrastructure

KB국민은행 Landing Zone Architecture

KB국민은행의
AWS Landing Zone 기반
거버넌스 이후 전략

AVM을 통한 Two-Click 배포 체계 마련
AWS Landing Zone의Account Vending Machine (AVM)을 통한 자동 배포
KB내부보안
정책
Direct
Connect 사용
중앙로깅
과금체계 관리
업무의 독립성
유지
AVM통한
계정생성
서비스
카탈로그선택
Amazon
VPC
Internet
Gateway
Flow logs Route53 Amazon
EC2
Routing
Table
Auto
Scaling
Transit
Gateway
NAT
Gateway
Elastic IP Amazon
RDS
Router
Amazon
VPC
Internet
Gateway
Flow logs Route53 Amazon
EC2
Routing
Table
Auto
Scaling
Transit
Gateway
NAT
Gateway
Elastic IP Amazon
RDS
Router Direct
Connect
서비스 카탈로그 미사용시
서비스 카탈로그 사용시
복잡한 구성 프로세스를 One-Click으로 단축

배포 체계 구성을 통해 좋아지는 점
손쉬운 배포
(서비스카탈로그)
보안 표준 준수
부담 감소
데이터센터
연동
표준 아키텍처로 정의된
서비스카탈로그 선택을 통해
자동화된 배포가 가능
로깅 활성화, 내부 연동 보안S/W
방화벽작업의 자동화로
보안 준수에 대한 부담 감소
Shared Account 등을 통해
기 구성된 VPN, 전용회선 환경 등을
공유하여 자유롭게 사용 가능
AWS의 서비스를 이용하여 손쉽게 배포를 수행할 수 있습니다.

KB국민은행의 다음 단계…
클라우드 교육
교육을 통한
역량 강화
대용량 기반 서비스 제공 내외부 협업환경 제공
AWS Landing Zone
CCoE 전문 조직을 통한 클라우드 전환 확대
문화변화
클라우드에 대한
마인드 변화
보안강화
Security
Account
지속적 보완
비용최적화
역량 및 경험을
활용한 비용
최적화
전환지원
클라우드
전문조직을통한
전환 지원
Agile
DevOps
적용
오픈소스
개방형
인프라
Open API
외부연계
CCoE 조직 신설
(Cloud Center of Excellence)
신기술의 유연한 확장 지원

여러분의 소중한 피드백을 기다립니다.
강연 종료 후, 강연 평가에 참여해 주세요!

감사합니다

KB국민은행은 시작했다 - 쉽고 빠른 클라우드 거버넌스 적용 전략 - 강병억 AWS 솔루션즈 아키텍트 / 장강홍 클라우드플랫폼단 차장, KB국민은행 :: AWS Summit Seoul 2021

Recomendados

Recomendados

Más contenido relacionado

La actualidad más candente

La actualidad más candente (20)

Similar a KB국민은행은 시작했다 - 쉽고 빠른 클라우드 거버넌스 적용 전략 - 강병억 AWS 솔루션즈 아키텍트 / 장강홍 클라우드플랫폼단 차장, KB국민은행 :: AWS Summit Seoul 2021

Similar a KB국민은행은 시작했다 - 쉽고 빠른 클라우드 거버넌스 적용 전략 - 강병억 AWS 솔루션즈 아키텍트 / 장강홍 클라우드플랫폼단 차장, KB국민은행 :: AWS Summit Seoul 2021 (20)

Más de Amazon Web Services Korea

Más de Amazon Web Services Korea (20)

Último

Último (6)

KB국민은행은 시작했다 - 쉽고 빠른 클라우드 거버넌스 적용 전략 - 강병억 AWS 솔루션즈 아키텍트 / 장강홍 클라우드플랫폼단 차장, KB국민은행 :: AWS Summit Seoul 2021