AI 시스템의 보안(security)은 네트워크 연결만 보호한다고 완성되지 않는다. 누가 어떤 데이터에 접근할 수 있는지 정하고, 데이터를 암호화하며, 허용된 목적으로 사용하는지도 확인해야 한다. 이 장에서는 보안 통제(security control)마다 해결하는 문제가 어떻게 다른지 살펴본다. 또한 데이터의 보관·삭제 기준을 정하고, 그 기준이 실제 운영에서 지켜졌는지 감사 기록으로 확인하는 방법을 배운다.
A 인증과 인가와 공동 책임
AWS가 데이터센터와 서비스 기반을 관리하더라도 고객의 데이터 사용 목적, 접근 권한, 애플리케이션 동작, 계정 설정 책임은 남는다. EC2의 운영체제·패치·런타임을 직접 관리하는 경우와 관리형 추론(inference) API를 사용하는 경우의 운영 책임은 다르다. 관리형이라는 이유로 고객의 보안 책임이 0이 되지 않는다.
인증(authentication)은 요청한 사람이 누구인지 또는 어떤 시스템인지 확인하는 과정이다. 인가(authorization)는 확인된 주체가 특정 리소스에서 특정 작업을 수행해도 되는지 판단하는 과정이다. 사람의 AWS 접근에는 IAM Identity Center나 자격 증명 연동(federation)을 통한 임시 접근을 우선 검토한다. 애플리케이션과 같은 워크로드(workload)에는 IAM 역할(role)과 임시 자격 증명(temporary credentials)을 사용한다. 역할의 신뢰 정책(trust policy)은 누가 그 역할을 맡을 수 있는지, 권한 정책(permissions policy)은 맡은 뒤 무엇을 할 수 있는지를 정한다. IAM Identity Center로 직원의 접근을 관리하더라도 AWS Identity and Access Management(IAM)의 권한 평가는 여전히 적용된다.
정책의 Allow를 단순히 더하기만 하면 최종 권한을 정확히 설명할 수 없다. 명시적 Deny, 조직 서비스 제어 정책(service control policy, SCP)/리소스 제어 정책(resource control policy, RCP), 권한 경계, 세션 정책, 리소스 정책과 교차 계정 조건 등을 함께 평가한다. 경계 정책은 허용 최대치를 제한할 뿐 자체 권한을 주지 않는다. 최소 권한은 필요한 Action/Resource/Condition을 구체화하고 실제 사용·미사용 권한을 정기 검토하는 과정이다.
다중 인증(multi-factor authentication, MFA)는 탈취 위험을 낮추지만 모든 공격을 불가능하게 만드는 것은 아니다. 루트 자격 증명은 필요한 예외 작업으로 제한하고 공유·코드 삽입을 하지 않는다. CloudTrail의 API 활동, CloudWatch의 운영 로그·지표, 모델 호출 로깅은 수집 대상과 설정이 다르다. API가 지원되는지, 관리·데이터 이벤트가 무엇인지, 실제 활성화 범위가 어디인지 확인해야 한다.
출처: AIF 영역 5 출처, IAM 보안 모범 사례, IAM 인증과 인가, 모델 호출 로깅. 장기 자격 증명을 가진 IAM 사용자 예시만으로 기본 접근 방식을 정하지 않는다. 사람과 워크로드에 맞는 페더레이션·임시 자격 증명을 우선 검토한다.
B 데이터 보호는 서로 다른 통제의 조합
저장 암호화는 저장매체 노출 위험을 줄이고 TLS는 전송 구간을 보호한다. 키 관리 서비스(AWS Key Management Service, KMS) 키 접근 통제는 암호화된 데이터 사용의 추가 경계가 될 수 있지만, 모든 암호화 모드와 서비스에 동일한 키·정책 규칙이 적용되는 것은 아니다. 고객 관리형 키의 회전·사용중지·삭제가 정상 워크로드에 미칠 영향까지 계획한다. 기본 암호화가 설정되어 있다고 최소 권한이나 데이터 분류를 생략하지 않는다.
가상 프라이빗 클라우드(Amazon Virtual Private Cloud, VPC)와 보안 그룹은 네트워크 경로를, PrivateLink는 지원 서비스의 사설 접근을 구성한다. 사설 경로를 쓰는 것과 문서별 접근 권한은 다르다. VPC 전용 구성에서 필요한 서비스 엔드포인트·DNS·패키지 공급 경로를 검토한다. 데이터 외부 유출을 막으려면 인터넷 경로뿐 아니라 이미 허용된 API·로그·도구 실행까지 통제해야 한다.
Amazon Macie는 S3 민감정보의 발견과 보안 상태 조사에, Amazon Comprehend는 텍스트 분석/개인 식별 정보(personally identifiable information, PII) 탐지 과업에 초점을 둔다. Macie의 자동 검색은 대표 객체 표본을 사용하므로 결과가 없다는 이유로 모든 데이터가 안전하다고 판정하지 않는다. 발견 후 격리·검토·마스킹·삭제는 목적과 권한에 맞게 별도 결정한다. PII는 무조건 어떤 업무에서도 쓸 수 없다는 뜻이 아니라 필요성·법적 근거·최소화·보존을 검증해야 한다.
자체 사례: 고객지원 지식 저장소에는 이름 대신 내부 문의 ID만 남기고, 원문 개인정보는 별도 접근 통제 구역에서 필요한 기간만 보존한다. 응답 캐시에 다른 고객의 문서가 재사용되지 않도록 사용자·권한 경계를 반영한다. 로그에 프롬프트를 저장하면 원문을 지워도 로그에는 남을 수 있으므로 전체 수명 주기를 검토한다.
출처: AIF 영역 5 출처, Macie의 발견 범위, Bedrock 데이터 보호, PrivateLink와 네트워크 경계, 모델 호출 로깅.
C 위협과 재현성과 변경 관리
데이터 포이즈닝(data poisoning)은 훈련 데이터나 검색 자료를 오염시켜 모델에 영향을 주는 공격이다. 적대적 입력(adversarial input)은 입력을 조작해 잘못된 결과를 유도한다. 모델 반전(model inversion)은 모델의 출력 등을 관찰해 민감한 입력 정보를 알아내려는 공격이고, 모델 추출(model extraction)은 모델의 동작을 복제하려는 시도다. 프롬프트 인젝션(prompt injection)은 신뢰할 수 없는 콘텐츠 속 지시를 모델이 따라야 할 명령처럼 받아들이게 하려는 공격이다. 공격 대상과 방식이 다르므로 하나의 필터가 이 문제들을 모두 해결한다고 보아서는 안 된다.
방어에는 데이터 출처·승인·버전, 쓰기 권한, 입력 검증, 호출 제한, 민감 출력 최소화, 행동 인가, 모니터링이 필요하다. 새로운 데이터를 자주 재훈련한다고 오염이 자동 복구되는 것은 아니다. 오염 원인을 제거하고 검증된 데이터·아티팩트로 평가한 후 배포해야 한다. 품질 변화가 공격인지 정상 분포 변화인지 조사하고 재학습·롤백을 구분한다.
S3 접두사(prefix)로 파일을 한 위치에 모아 놓았다는 사실만으로 파일 내용이 변경되지 않았다고 보장할 수는 없다. 모델과 데이터의 버전을 추적하는 기능도 각각 구분해야 한다. Model Registry는 모델 패키지(model package)와 승인 상태를 관리하고, Model Cards는 모델의 목적과 평가 결과를 기록한다. 데이터 계보(data lineage)는 데이터와 처리 단계 사이의 출처·변환 관계를 추적하며, Feature Store는 모델에 사용할 특징(feature) 데이터를 관리한다. 서비스가 자동으로 수집하지 않는 외부 변환 단계도 기록해야 전체 과정을 재현할 수 있다.
출처: AIF 영역 5 출처, Model Registry, 모델 카드와 설명 가능성, ML 수명 주기. CloudWatch Logs가 언제나 자동으로 사용자 S3 버킷에 저장된다는 일반화를 하지 않는다.
D 거버넌스는 소유자와 수명 주기를 정하는 일
데이터 소유자(data owner)는 데이터의 사용 목적, 접근 권한, 보관 기간을 정하는 정책을 책임진다. 데이터 스튜어드(data steward)는 데이터의 정의와 품질을 관리하고 일상적인 문제를 조정한다. 기술 운영자는 이 정책을 시스템에 구현한다. 조직마다 직책 이름은 달라도 정책 결정, 구현, 검증의 담당자는 분명해야 한다. 데이터 프로파일링(data profiling)은 결측값·분포·일관성을 조사하는 일이다. 데이터 카탈로그(data catalog)는 데이터의 위치·스키마·의미를 찾도록 돕고, 데이터 계보(data lineage)는 출처와 변환 과정을 추적하도록 돕는다.
AWS Glue Data Catalog는 데이터에 관한 메타데이터(metadata)를 관리한다. AWS Glue Data Quality는 지정한 데이터에 품질 규칙을 적용하고 검사 결과를 제공한다. AWS Lake Formation은 지원되는 분석 경로에서 세분화된 접근 제어(fine-grained access control)를 제공한다. Lake Formation을 사용해도 IAM은 필요하다. 사용하는 분석 엔진이 지원되는지, 하이브리드 액세스 모드(hybrid access mode)를 사용하는지, S3에 직접 접근할 수 있는 경로가 있는지를 함께 확인해야 한다. 카탈로그 접근만 제한하고 별도의 직접 접근은 허용해 두면 의도한 데이터 보호가 이루어지지 않을 수 있다.
보존은 비용과 재현·감사 요구의 절충이다. 자주 읽는 데이터와 법적 보존만 필요한 아카이브를 구분하되 검색 지연·최소 저장기간·전환 요청·복원 비용을 함께 계산한다. Glacier 계열도 접근 방식이 모두 같지 않다. 원문·이전 버전·모델 입력·로그·백업·검색색인의 삭제를 함께 다뤄야 한다.
강좌의 ‘5일 후 Standard-IA’ 예시는 현재 지원 조건을 따로 검증하지 않은 채 실행 규칙으로 복제하지 않는다. 확인한 공식 수명 주기 문서는 작은 객체 기본 제한과 최소 저장기간, 전환·복원 비용을 설명한다. 이 자료는 임의의 일수 규칙을 배포하지 않았다.
출처: AIF 영역 5 출처, Lake Formation 접근 제어, S3 수명주기 전환 조건, Glue Data Quality.
E 감사 증거와 규제 준수는 다르다
| 도구·개념 | 주된 역할 | 대체하지 못하는 일 |
|---|---|---|
| Artifact | 제공자 감사 보고서·준수 자료 접근 | 고객 앱의 자동 인증 |
| Audit Manager | 통제에 맞는 증거 수집·평가 보고 지원 | 독립 감사인의 최종 판단 |
| Config | 리소스 구성과 규칙 준수 변화 추적 | 모든 애플리케이션 취약점 검사 |
| Inspector | 지원 워크로드의 취약점 조사 | 전체 법규·공정성 준수 판단 |
| Trusted Advisor | 비용·성능·보안 등의 모범사례 권고 | 모든 제어의 강제 집행 |
| Guardrails | 지원되는 입력·출력 위험 완화 | IAM·법적 근거·사람 책임 |
이 표는 서비스의 역할을 비교한다. 제품별 지원 리소스·가격·이용 조건은 별도 확인이 필요하다. 감사 보고서의 대상 서비스·기간·범위를 확인하고 고객이 책임지는 통제에 별도 증거를 붙인다.
ISO 관리체계 표준, NIST 인공 지능(artificial intelligence, AI) RMF 같은 위험관리 지침, 관할 법률은 성격이 다르다. 강좌의 EU AI Act ‘제안된 규정’ 표현과 적용범주 단순화를 현재 법률 상태로 재게시하지 않는다. 규제의 시행일·적용대상·예외는 현행 법률 검토가 필요하며 이 요청의 AWS 공식 한국어 학습 범위에서 확정하지 않았다. 표준도 계약·산업 요구에 따라 준수 의무와 연결될 수 있으므로 ‘항상 자발적’으로 일반화하지 않는다.
위험(risk)을 평가할 때는 사고가 발생할 가능성과 발생했을 때의 피해 크기를 함께 고려한다. 먼저 통제를 적용하기 전의 내재 위험(inherent risk)을 파악하고, 통제를 적용한 뒤에도 남는 잔여 위험(residual risk)을 평가한다. 그 위험을 수용할지 결정할 책임자도 정해야 한다. 가능성과 피해를 곱한 점수는 우선순위를 정하는 도구일 뿐, 심각한 권리 침해를 허용하는 근거가 아니다. NIST AI RMF의 Govern, Map, Measure, Manage는 각각 책임과 정책 수립, 사용 맥락과 위험 파악, 위험 측정, 위험 관리를 위한 기능으로 이해하자. 소비자용 앱 이용에서 자체 모델 훈련으로 사용 범위가 넓어지면 책임도 달라지지만, 단순히 앱을 이용하는 경우에도 데이터와 사용 방식에 대한 책임은 남는다.
출처: AIF 영역 5 공식 자료, 책임과 보안 심화. 아래에서는 공개 AWS 보안 문서의 다섯 이용 범위를 비교한다. 이 분류와 현행 법률·제품별 계약 조건은 구별한다.
이용 범위가 커질수록 무엇을 직접 보호해야 할까
Generative AI Security Scoping Matrix는 생성형 AI를 이용하거나 만드는 방식에 따라 보안 책임을 점검하는 틀이다. 아래 한국어 이름은 이해를 돕는 설명이며 영어 범주 이름을 함께 적었다. 범위 번호는 위험 등급이나 인증 점수가 아니다.
| 이용 범위 | 직접 선택·관리하는 것 | 먼저 물어볼 질문 |
|---|---|---|
| 소비자용 앱(Consumer app) | 외부 앱에 넣는 자료와 이용 방식 | 기밀을 넣어도 되는 계약인가? 보존과 사용 조건은 무엇인가? |
| 기업용 앱(Enterprise app) | 조직과 공급자의 계약, 사용자 접근과 설정 | 회사 자료·계정·감사·사고 대응의 책임을 누가 맡는가? |
| 사전 훈련 모델(Pre-trained models) | 기존 모델 API 위의 자체 애플리케이션 | 검색 자료·도구·출력·사용자 권한을 앱에서 어떻게 통제하는가? |
| 미세 조정 모델(Fine-tuned models) | 기존 모델에 추가하는 업무 데이터와 조정 결과 | 데이터 사용 권리·민감성·평가·새 모델 접근을 어떻게 관리하는가? |
| 직접 훈련 모델(Self-trained models) | 처음부터 만드는 데이터·훈련·모델 수명 | 훈련 데이터와 아티팩트·배포·교체까지 누가 책임지는가? |
자체 사례: 직원이 외부 채팅 앱을 쓰는 단계에서 자체 RAG 앱으로 옮기면, 공급자 계약 확인에 더해 검색 문서의 권한·갱신·로그·도구 실행을 직접 통제해야 한다. 다시 미세 조정을 추가하면 훈련 자료의 이용 허가와 민감성, 조정된 모델의 배포·접근·평가도 책임 범위에 들어온다. RAG에 문서를 추가한 것만으로 모델 가중치를 미세 조정한 것은 아니다.
다섯 범위 모두 거버넌스·규정 준수, 법률·개인정보, 위험 관리, 통제, 복원력을 검토한다. 낮은 번호라고 안전한 것은 아니며, 높은 번호라고 무조건 나쁜 설계인 것도 아니다. 모델을 호출할 IAM 권한과 모델이 알 수 있는 각 사실에 대한 사용자 열람 권한은 같지 않다. 정보의 민감성에 맞는 앱 통제·검토·보존을 설계해야 한다.
근거: AWS Security Blog의 Scoping Matrix 소개. 공개 본문의 범주·책임 구분을 자체 사례로 설명했다. 글의 과거 제품 목록이나 법률·삭제 기법에 관한 문장을 현행 전제품 보장으로 확대하지 않는다.
상황형 자기점검
다음 문항은 이 교재에서 직접 만든 학습 문제다. AWS 공식 문제·실제 기출·시험 복원 문제가 아니며 합격을 보장하지 않는다. 각 문항은 제시된 조건에서 가장 적절한 답 하나를 고른다. 정답을 보기 전에 다른 선택지가 요구 조건을 충족하지 못하는 이유도 설명해 보자.
1. 사설 연결이 허용하지 않는 것
사내 앱이 PrivateLink로 모델을 호출하지만 다른 부서의 문서를 검색해 답에 넣는다. 네트워크는 의도대로 사설이다. 우선 보완할 통제는?
- A. 검증된 사용자 신원에 기반한 문서 접근 권한과 검색 필터·재검사
- B. 사설 경로이므로 모든 문서를 허용한다
- C. 응답 온도를 낮춘다
- D. 모델 호출 로그만 보관하고 검색 결과는 그대로 전달한다
정답과 선택지별 해설 보기
정답: A
- A — PrivateLink의 사설 연결(private connectivity)은 네트워크 경로를 보호한다. 사용자가 그 문서를 읽을 수 있는지 확인하는 인가(authorization)는 별도로 수행해야 한다.
- B — 네트워크 위치와 업무 권한은 별개의 경계다.
- C — 온도(temperature)는 생성 결과의 다양성에 영향을 주는 설정이다. 값을 낮추더라도 사용자의 문서 열람 권한이 제한되지는 않는다.
- D — 로그(log)는 사후 조사에 도움이 된다. 그러나 로그를 남기는 것만으로 현재 요청에서 권한 없는 문서를 조회하는 행동이 차단되지는 않는다. 접근 허용 여부를 실행 전에 검사해야 한다.
개념 근거: AWS 공개 시험 가이드 · 공식 과업 5.1. 문항의 상황·보기·수치는 자체 작성했다.
2. 제공자의 보고서와 고객의 의무
감사 담당자가 AWS Artifact에서 보고서를 받았다. 고객 앱의 보존·접근 통제·승인 절차가 규정을 충족하는지도 판단해야 한다. 다음 행동은?
- A. 공식 보고서 대신 모델에게 준수 여부를 확답하게 한다
- B. 보고서 범위를 확인하고 고객 책임 통제의 구현·운영 증거를 별도로 수집한다
- C. Artifact 다운로드만으로 고객 앱의 모든 법률 준수를 선언한다
- D. 감사 기록이 많으면 개인정보를 영구 보존한다
정답과 선택지별 해설 보기
정답: B
- A — 모델 문장은 감사 범위와 실제 통제 증거를 대체하지 않는다.
- B — 제공자 보고서는 해당 범위의 근거이며 고객 앱의 자동 준수 인증이 아니다.
- C — 고객의 설정·데이터 사용·업무 통제가 별도로 남는다.
- D — 보존은 목적·법률·삭제 요구와 함께 정해야 하며 무제한이 기본이 아니다.
개념 근거: AWS 공개 시험 가이드 · 공식 과업 5.2. 문항의 상황·보기·수치는 자체 작성했다.