데브옵스
AWS를 활용한 CMMC Level 2 인증 준비: 국내 방산 기업을 위한 안내
두줄요약
AWS에서 CUI 보호 환경을 구성해 CMMC Level 2를 준비하는 방법을 안내했습니다. 평가 범위와 증적, 다중 계정 보안 운영의 핵심 요소를 설명합니다.
문제 상황
- 미국 DoD 계약·공급망 참여 시 CUI 보호와 CMMC Level 2 평가 요건 준비 필요
- CUI 수령·접근 권한, 계약상 평가 방식, 데이터 흐름에 따른 정확한 평가 범위 산정 필요
구조와 흐름
- 관리·보안·네트워크·CUI 워크로드를 다중 AWS 계정으로 분리한 전용 Enclave 구성
- WorkSpaces 기반 통제된 접근, FSx·S3·KMS 기반 데이터·백업 보호, 중앙 로그 수집과 보안 운영
- Config, CloudTrail, GuardDuty, Security Hub, Network Firewall을 통한 구성 점검·감사·위협 탐지
선택 이유
- 공동 책임 모델과 AWS Artifact·고객 책임 매트릭스를 통한 기반 인프라 통제 및 증적 활용
- 계약 조건 허용 시 FedRAMP 범위의 상용 미국 리전 활용 가능, GovCloud 사용 여부는 별도 판단
- Landing Zone Accelerator와 SRE 참조 아키텍처를 통한 표준화된 다중 계정 보안 기반
성능/운영 포인트
- CUI 처리·저장·전송 자산과 보안 보호 자산을 실제 데이터 흐름 및 의존 관계에 따라 평가 범위화
- 기술 통제 자동화와 별개로 정책·절차·인력 보안·교육·사고 대응 및 증적 보존 준비
- SAS Compliance Accelerator를 통한 범위 설정, 통제 매핑·검증, IaC·Policy as Code 기반 개선 지원
