지난 글 AWS Transform for VMware — 공공기관 VM을 안전하게 클라우드로에서 서비스의 전체 워크플로를 소개했습니다. 이후 가장 많이 받은 질문은 기능이 아니라 보안이었습니다. "AI 에이전트가 우리 인프라 정보를 읽는데, 그 데이터는 어디에 저장되고 어떻게 보호되는가?", 그리고 "AWS Transform 자체가 CSAP나 ISMS-P 인증 범위에 포함되는가?"입니다. 이번 글에서는 이 두 질문을 AWS 공식 문서와 인증 현황 자료 기준으로 정리합니다.
1. AWS Transform의 보안 아키텍처
① 공동책임모델 위에서 동작
AWS Transform도 다른 AWS 서비스와 마찬가지로 공동책임모델이 적용됩니다. AWS는 Transform 서비스를 구동하는 인프라의 보안을 책임지고, 이용 기관은 계정·권한 관리, 디스커버리 데이터에 무엇을 포함시킬지, AI가 생성한 마이그레이션 계획과 네트워크 설계의 승인 여부를 책임집니다. "AI가 알아서 해준다"가 아니라, 모든 실행 단계에 사람의 검토·승인이 개입하는 구조라는 점이 첫 번째 안전장치입니다.
② 접근 통제 — IAM 기반 최소 권한
Transform 워크스페이스 접근은 AWS IAM 및 IAM Identity Center로 통제됩니다. 마이그레이션 프로젝트 참여자별로 역할을 나누고 최소 권한 원칙을 적용할 수 있으며, MFA 적용을 권장합니다. 디스커버리·계획·컷오버 각 단계의 API 호출은 AWS CloudTrail에 기록되므로 "누가, 언제, 무엇을 승인했는지"의 감사 추적이 남습니다.
③ 암호화 — 전송·저장 모두 기본 적용
- 전송 중 암호화 — 사용자와 Transform 사이, Transform과 하위 서비스 사이의 모든 통신은 TLS 1.2 이상으로 암호화됩니다.
- 저장 시 암호화 — Transform이 다루는 데이터(디스커버리 인벤토리, 대화 내용, 생성된 계획 등)는 Amazon S3와 DynamoDB에 저장되며, AWS KMS의 AWS 소유 키로 기본 암호화됩니다.
- 실제 서버 복제 구간 — VM 데이터를 옮기는 AWS MGN의 블록 레벨 복제는 TLS로 암호화되어 전송되고, 대상 EBS 볼륨은 저장 시 암호화됩니다.
④ 데이터 레지던시 — 서울 리전 워크스페이스 지원
AWS Transform은 서울 리전(ap-northeast-2)에서 워크스페이스를 생성할 수 있으며, 데이터는 워크스페이스(프로필)를 생성한 리전에 저장됩니다. 즉 서울 리전에 워크스페이스를 만들면 디스커버리 데이터와 마이그레이션 계획은 서울 리전에 저장됩니다. VMware 프로젝트의 경우 디스커버리는 워크스페이스 리전에서 수행하고, 마이그레이션 대상 리전은 별도로 지정할 수 있습니다.
⑤ 크로스 리전 처리 — 반드시 알아야 할 예외
다만 저장 위치와 별개로, 처리(프로세싱)는 리전 밖으로 나갈 수 있습니다. 공공·금융 담당자라면 이 부분을 정확히 알아야 합니다.
- 크로스 리전 추론(inference) — Transform의 AI는 Amazon Bedrock 기반이며, 성능·가용성을 위해 추론 요청을 다른 리전으로 라우팅할 수 있습니다. AWS 문서 기준으로 서울 리전에서 시작한 마이그레이션 관련 추론 요청은 모든 상용 리전으로 라우팅될 수 있습니다. 데이터 저장 위치는 바뀌지 않고 전송 구간은 암호화되지만, 요청과 응답이 국외 리전에서 처리될 수 있다는 의미입니다.
- 크로스 리전 지식 조회 — 일반적인 AWS 문서 질의는 서울 리전 기준 프랑크푸르트(eu-central-1)로 조회 요청이 갈 수 있습니다. 이 기능은 관리자가 설정에서 비활성화할 수 있습니다(대신 일부 답변 품질이 낮아질 수 있음).
실무 팁: 디스커버리 데이터에는 서버명·IP·의존성 같은 인프라 메타데이터만 담고, 개인정보나 기밀 데이터가 포함되지 않도록 수집 범위를 사전에 정의하세요. 크로스 리전 처리가 문제되는 것은 "무슨 데이터가 흘러가는가"에 달려 있습니다.
⑥ AI 학습(서비스 개선) 옵트아웃
AWS는 Transform에 입력한 질문과 응답 등을 서비스 개선(모델 학습 포함)에 사용할 수 있는데, AWS Organizations의 AI 서비스 옵트아웃 정책(AI services opt-out policy)으로 조직 전체에서 학습 활용을 차단할 수 있습니다. 공공기관·규제 산업이라면 Transform 도입 전에 이 정책을 먼저 적용하는 것을 권장합니다.
2. CSAP 관점 — Transform은 인증 범위인가?
결론부터 말하면, AWS Transform 자체는 현재 공표된 자료 기준으로 CSAP 인증 서비스 범위에 포함이 확인되지 않습니다. 정리하면 다음과 같습니다.
- AWS는 서울 리전 기반으로 CSAP '하' 등급 인증을 획득했고, EC2·S3·EBS·VPC·RDS 등 주요 서비스가 인증 범위에 포함되어 있습니다(AWS CSAP '하' 등급 인증 통과, CSAP 인증 요약 참고).
- CSAP 인증 범위는 서비스 단위로 관리되며, 최신 범위는 KISA 클라우드 보안인증 현황에서 확인해야 합니다. AWS Transform처럼 출시된 지 오래되지 않은 서비스는 인증 범위에 아직 반영되지 않았을 수 있습니다.
- 따라서 공공기관 실무 관점의 현실적인 구도는 이렇습니다 — Transform은 "이관 프로젝트 단계"에서 사용하는 마이그레이션 도구이고, 이관이 끝난 뒤 실제 대국민·업무 서비스가 운영되는 환경(EC2, VPC, EBS 등)은 CSAP 인증 범위의 서비스로 구성하는 것입니다. 운영 워크로드가 인증 범위 서비스 위에서 구동되는 것이 CSAP 관점의 핵심입니다.
- 물론 대상 시스템이 CSAP '하' 등급으로 이용 가능한 시스템인지(개인정보·기밀 미취급 일반 업무 시스템) 국가정보원 「국가 클라우드컴퓨팅 보안 가이드라인」에 따라 사전에 등급을 식별해야 하는 것은 이전 글에서 설명한 그대로입니다.
마이그레이션 도구의 인증 포함 여부가 걱정된다면: 디스커버리 데이터의 민감도를 낮추고(인프라 메타데이터만 수집), 크로스 리전 지식 조회를 끄고, AI 학습 옵트아웃을 적용한 상태로 사용하는 것이 보수적인 운용 방안입니다. 기관 보안 부서·감독기관과의 사전 협의도 권장합니다.
3. ISMS-P 관점 — 인증 주체를 정확히 구분하자
ISMS-P 관련해서는 먼저 개념을 구분해야 합니다. ISMS-P는 클라우드 사업자가 아니라 서비스를 운영하는 기업·기관이 받는 인증입니다. AWS가 보유한 것은 한국의 K-ISMS(정보보호 관리체계) 인증으로, 서울 리전의 인프라와 서비스 운영이 국내 기준을 충족함을 검증받은 것입니다(자세한 구도는 ISMS-P와 AWS 인프라 참고).
AWS의 K-ISMS 인증 범위(Services in Scope, 2025년 11월 업데이트 기준)를 보면:
- 범위 포함 — Amazon EC2, Amazon VPC, Amazon EBS, 그리고 실제 서버 복제를 수행하는 AWS Application Migration Service(MGN)
- 범위 미포함 — AWS Transform은 아직 K-ISMS 인증 범위 목록에 없습니다.
이것이 실무에서 의미하는 바는 다음과 같습니다.
- 여러분 조직이 ISMS-P(또는 ISMS) 인증을 받거나 갱신할 때, 이관 후 운영 인프라(EC2·VPC·EBS)와 이관 실행 도구(MGN)는 AWS의 K-ISMS 인증 및 AWS Artifact의 감사 보고서를 인프라 부분 증적으로 활용할 수 있습니다.
- AWS Transform은 이관 프로젝트 기간에만 사용하는 계획·오케스트레이션 도구이므로 통상 운영 서비스의 인증 범위에 직접 들어가지는 않지만, 심사 관점에서는 "마이그레이션 과정의 데이터 흐름"이 질문될 수 있습니다. 디스커버리 데이터에 개인정보가 포함되지 않음을 확인하고, 크로스 리전 처리·옵트아웃 설정 내역을 문서화해 두면 소명이 쉬워집니다.
- 개인정보가 포함된 시스템을 이관한다면, 개인정보의 국외 이전·처리위탁 관점 검토(개인정보보호법)와 이관 전 데이터 흐름도 갱신을 병행하세요.
4. 인증 범위 요약표
| 구성 요소 | 역할 | CSAP '하' (AWS 서울) | K-ISMS (AWS 서울) |
|---|---|---|---|
| AWS Transform | 디스커버리·계획·네트워크 변환(AI) | 포함 확인 안 됨 — KISA 현황 확인 필요 | 미포함 (2025-11 기준) |
| AWS MGN | 블록 레벨 복제·리호스팅 실행 | KISA 현황 확인 필요 | 포함 |
| Amazon EC2 / VPC / EBS | 이관 후 운영 환경 | 포함 | 포함 |
※ 인증 범위는 수시로 갱신됩니다. 도입 시점에 KISA 클라우드 보안인증 현황과 AWS Services in Scope 페이지에서 최신 상태를 반드시 재확인하세요.
5. 도입 전 보안 체크리스트
- 시스템 등급 식별 — 이관 대상이 CSAP '하' 등급으로 운영 가능한 시스템인지 확인
- AI 학습 옵트아웃 — AWS Organizations AI 서비스 옵트아웃 정책을 조직 단위로 적용
- 크로스 리전 설정 검토 — 크로스 리전 지식 조회 비활성화 여부 결정, 크로스 리전 추론 동작을 보안 부서에 공유
- 디스커버리 데이터 범위 정의 — 인프라 메타데이터만 수집, 개인정보·기밀 미포함 확인
- 워크스페이스 리전 — 서울 리전에 워크스페이스 생성, 마이그레이션 대상 리전도 서울로 지정
- 접근 통제 — 프로젝트 참여자별 IAM 최소 권한, MFA 적용, CloudTrail 로깅 확인
- 승인 프로세스 — AI가 생성한 네트워크 변환·웨이브 계획은 기관 보안 담당자 검토·승인 절차를 거치도록 정의
- 인증 범위 최신화 — 계약·도입 시점에 KISA와 AWS 공식 페이지에서 인증 범위 재확인
맺음말
AWS Transform for VMware는 전송·저장 암호화, 서울 리전 데이터 레지던시, IAM 기반 접근 통제, AI 학습 옵트아웃, 감사 추적까지 마이그레이션 도구로서 필요한 보안 기능을 갖추고 있습니다. 다만 Transform 자체는 아직 CSAP·K-ISMS 인증 범위에 포함이 확인되지 않는 만큼, "도구는 보수적으로 설정해 프로젝트 단계에서만 사용하고, 운영 워크로드는 인증 범위 서비스(EC2·VPC·EBS) 위에 올린다"는 구도로 접근하는 것이 현재 시점의 정답에 가깝습니다. VMware 전환의 보안성 검토, CSAP·ISMS-P 대응 설계가 필요하시면 JC Cloud로 문의해 주세요.
참고 자료
- AWS Transform 사용자 가이드 — Data protection
- AWS Transform 사용자 가이드 — Data encryption
- AWS Transform 사용자 가이드 — Cross-region processing
- AWS Transform 사용자 가이드 — Service improvement(옵트아웃)
- AWS Transform 사용자 가이드 — Supported Regions
- AWS Services in Scope — K-ISMS
- AWS Compliance — K-ISMS
- KISA 정보보호 및 개인정보보호 관리체계 인증(ISMS-P)