규제 환경에서는 통제 항목을 설계 단계에서 정합니다

먼저 맞춰야 하는 것

금융과 공공은 다른 산업과 시작점이 다릅니다. 커머스라면 행사와 시즌에 몰리는 트래픽을 버티는 구조가 먼저지만, 규제 산업에서는 규제 요건과 감사 증적을 먼저 맞춰야 합니다. 그래서 설계 단계에서 통제 항목을 정하고 문서로 남깁니다.

솔트웨어는 2014년부터 AWS 클라우드 사업을 했고 2018년 AWS Financial Services Competency를 받았습니다. 지금은 금융 서비스 · DevOps · 마이그레이션 · AI 서비스 네 분야의 컴피턴시를 갖고 있습니다.

증적은 나중에 모으기 어렵다

감사는 결과보다 경위를 묻습니다. 어떤 통제를 왜 그렇게 걸었는지, 그것이 언제부터 그렇게 돌고 있었는지를 물어봅니다. 구축을 마친 다음에 그 기록을 소급해 만들면 만드는 데 시간이 들고 만들어도 증적으로서 약합니다.

그래서 이 사업에서는 문서를 설계의 일부로 다룹니다. 통제 항목을 정하는 자리와 그것을 적어 두는 자리가 같은 단계에 있고, 수행 범위도 마이그레이션 · 구축 · 현대화가 그 순서 안에서 이어집니다.

규제의 범위도 움직이고 있습니다. 금융위원회는 2024년 8월 13일 「금융분야 망분리 개선 로드맵」을 발표해 금융회사의 생성형 AI 활용을 규제 샌드박스로 허용하고, SaaS 이용 범위를 보안관리·고객관리(CRM) 업무까지 넓히기로 했습니다. 쓸 수 있는 것이 늘수록 무엇을 어떻게 통제했는지 설명해야 하는 범위도 함께 늘어납니다.

권한도 증적의 일부다

규제 환경에서 가장 자주 되묻는 항목은 접근 권한입니다. 누가 무엇에 접근할 수 있는지, 그 권한을 누가 왜 승인했는지가 설명되어야 합니다. 계정과 권한을 같은 정책 아래 두고 주기적 접근 검토를 돌리면 감사 자료를 그때그때 만들지 않고 체계에서 뽑아 낼 수 있습니다.

이전 뒤 운영은 솔트웨어의 클라우드 브랜드 FitCloud로 이어집니다. 비용 포털 · 기술지원 창구 · 운영 관리(MSP)⁠가 이 브랜드에 묶여 있습니다.