Tiro의 Kiro를 활용한 보안 인프라 구축과 ISO/IEC 27001:2022 인증 취득 여정

문제 상황

• AI 에이전트 활용이 늘면서 개발 속도는 빨라졌지만, 고객 데이터와 운영 환경을 다루는 보안·거버넌스 통제가 따라가지 못하는 문제
• ISO/IEC 27001:2022 인증은 문서 작성보다 실제 운영에서 통제와 증적이 작동했는지 보여줘야 하는 부담이 큼
• 단일 계정 구조와 수작업 중심 운영으로는 개발·운영 분리, 접근 통제, 감사 로그 중앙화가 어려움

원인 분석

• AI가 생성·변경 속도를 높일수록 접근 권한, 승인 지점, 롤백, 증적 관리가 불명확해질 위험 증가
• 인증 심사는 정책 문서보다 운영 증적을 중시하므로, 문서만 준비해서는 통과가 어려움
• 여러 계정과 워크로드에 흩어진 인프라 상태를 사람이 직접 확인하면 시간이 많이 들고 누락 가능성도 큼

해결 방법

• AWS Kiro를 읽기 전용 진단, Spec 분리, Supervised 승인, Steering 고정 규칙으로 묶어 안전한 AI 작업 경계 설계
• Terraform 기반 인프라를 멀티 계정 구조로 재편하고, 보안 로그·접근 제어·암호화·브랜치 보호를 통제 항목과 연결
• 정책 초안은 AI가 만들고 사람은 맥락과 책임을 보완하며, 변경 전후 증적을 체계적으로 수집

성능/운영 포인트

• 운영 상태를 통제 항목별 readiness 점수로 가시화해 우선순위 판단을 단순화
• 감사 로그를 Security 계정으로 중앙 집약해 탐지·감사 대응·증적 관리를 일원화
• 읽기 전용 수집과 승인 기반 적용으로 AI 활용 속도와 프로덕션 안전성을 동시에 확보

적용해볼 점

• AI 에이전트 작업은 먼저 읽기 전용 진단으로 시작하고, 변경은 승인 절차가 있는 구조로 제한
• 정책 문서와 운영 증적을 분리하지 말고 같은 작업 흐름 안에서 연결
• 멀티 계정, Terraform, 로그 중앙화 같은 기본 통제를 조직의 운영 경계로 삼기