거버넌스와 규정 준수

아키텍처 거버넌스, 정책 관리, 규정 준수 프레임워크

코드형 정책과 자동화된 거버넌스로 아키텍처가 조직, 규제, 보안 요구사항을 충족하도록 합니다.

아키텍처 거버넌스

거버넌스란?

아키텍처 거버넌스는 인프라 결정이 다음 조건을 충족하도록 하는 과정입니다.

조직 전략과 일치
규제 요구사항을 준수
보안과 비용 정책을 준수
운영 표준을 지원

거버넌스가 중요한 이유

위험 관리 — 비용이 큰 실수를 사전에 방지
규정 준수 — 규제 요구사항 충족(SOC2, HIPAA, PCI, GDPR)
비용 제어 — 비용 최적화 정책 적용
보안 — 일관된 보안 태세 보장
운영 우수성 — 검증된 패턴으로 표준화

코드형 정책

아키텍처 요구사항을 자동 적용되는 정책으로 정의합니다.

정책 예시

정책: 암호화 필수

All databases must be encrypted at rest.
All data in transit must use TLS 1.3.

정책: 고가용성

All databases must be deployed in multi-AZ configuration.
All load balancers must span at least 2 availability zones.

정책: 보안 그룹

No security groups allowing inbound from 0.0.0.0/0 on port 22 or 3389.
All databases must be in private subnets (not internet-facing).

정책: 비용 제어

No instances larger than t3.xlarge without approval.
Maximum database storage of 1TB without approval.
All reserved instances must be 1-year or longer.

정책: 태그

All resources must have:
- owner: name of responsible person
- cost-center: department paying for resource
- environment: prod, staging, dev
- data-classification: public, internal, confidential, restricted

정책 구현

(출시 예정: 내장 정책 편집기와 적용 엔진)

Architecto에서 정책을 정의합니다
조직 또는 팀에 적용합니다
기존 아키텍처를 자동 검증합니다
새 아키텍처를 생성할 때 검사합니다
위반 사항과 해결 단계를 표시합니다

규정 준수 프레임워크

SOC 2 Type II

보안, 가용성, 처리 무결성, 기밀성, 개인정보 보호에 관한 통제입니다.

Architecto가 지원하는 항목:

암호화(저장 시와 전송 중)
접근 제어(IAM 정책)
감사 로깅(CloudTrail, CloudWatch)
변경 관리(코드형 인프라)
인시던트 대응(문서화된 절차)

아키텍처 검토:

✓ Data encrypted at rest (AES-256)
✓ Data encrypted in transit (TLS 1.3)
✓ Multi-AZ deployment (availability)
✓ Access controls configured (least privilege)
✓ Audit logging enabled
✓ Backup and recovery tested

HIPAA(건강보험 이동성 및 책임에 관한 법률)

의료 데이터의 개인정보와 보안을 보호합니다.

주요 요구사항:

모든 보호 대상 건강 정보(PHI) 암호화
접근 제어와 인증
모든 접근의 감사 로그
백업과 재해 복구
인시던트 대응 절차
업무 협력자 계약

HIPAA용 Architecto 아키텍처 패턴:

VPC (isolated network)
├─ VPN for healthcare provider access
├─ Encrypted RDS database with encryption keys in AWS KMS
├─ CloudTrail logging all access
├─ VPC Flow Logs for network monitoring
├─ S3 with encryption and versioning for backups
└─ Multi-region disaster recovery

PCI DSS(결제 카드 산업 데이터 보안 표준)

신용카드와 결제 데이터를 보호합니다.

주요 요구사항:

방화벽과 네트워크 분할
카드 소유자 데이터 암호화
취약점 검사
접근 제어와 인증
모니터링과 로깅
정기 보안 테스트

PCI DSS용 Architecto 아키텍처 패턴:

Internet-Facing Components (DMZ)
├─ WAF (Web Application Firewall)
├─ Load Balancer (all traffic encrypted)

Application Servers (separated segment)
├─ API Gateway with authentication
├─ Encryption for cardholder data (tokenization)
├─ No storage of sensitive card data

Database Servers (isolated)
├─ Never stores card numbers (only tokens)
├─ Encrypted at rest and in transit
├─ Network segmentation (private subnet)
├─ CloudTrail and database audit logs

EU 거주자의 개인정보를 보호합니다.

주요 권리:

접근권(정보 주체가 자신의 데이터를 요청)
잊힐 권리(데이터 삭제)
데이터 이동권(표준 형식 내보내기)
처리에 이의를 제기할 권리
설계 단계부터 데이터 보호

Architecto 고려사항:

데이터 상주(EU 내 데이터 보관)
데이터 보존 정책(오래된 데이터 삭제)
설계에 의한 개인정보 보호(개인정보 수집 최소화)
동의 관리
공급업체와의 데이터 처리 계약

모니터링과 드리프트 감지

드리프트란?

실행 중인 인프라가 문서화된 아키텍처와 달라지는 현상입니다.

Designed Architecture:
- 3 EC2 instances behind load balancer
- Multi-AZ database with 2 read replicas
- CloudFront CDN for static assets

Actual Infrastructure:
- 2 EC2 instances (someone manually shut one down)
- Single database with no replicas (maintenance never done)
- No CDN (disabled to debug issue, never re-enabled)

드리프트 방지

1. 코드형 인프라

Terraform 또는 CloudFormation으로 모든 것을 정의
적용 전에 변경 검토와 승인
잘못된 수동 조작 방지

2. 드리프트 감지 (출시 예정)

설계와 실제 환경을 비교하는 예약 검사
드리프트 발견 시 알림
자동 해결(선택 사항)

3. 변경 관리

모든 인프라 변경을 CI/CD로 처리
수동 변경 금지 또는 표시
모든 변경의 감사 추적
문제 발견 시 자동 롤백

감사 및 규정 준수 보고

규정 준수 보고서 생성

규정 준수 문서를 내보냅니다.

✓ SOC 2 Readiness Report
✓ HIPAA Compliance Checklist
✓ PCI DSS Gap Analysis
✓ GDPR Compliance Inventory
✓ Custom Policy Compliance

감사 추적

다음 전체 이력을 기록합니다.

각 아키텍처의 생성자와 수정자
변경 내용과 시점
승인과 검토
각 단계의 분석 결과
내보내기와 공유 활동

문서화

필요한 문서를 자동 생성합니다.

HIPAA/PCI 준수용 데이터 흐름도
보안 아키텍처 문서
업무 연속성 계획
재해 복구 런북
위험 평가 매트릭스

다중 테넌트와 기업 거버넌스

조직 정책

조직 전체 표준을 설정합니다.

승인된 클라우드 공급자(AWS, GCP, Azure)
승인된 패턴과 기술
비용 한도와 예산 관리
필수 태그와 명명 규칙
필수 규정 준수 프레임워크

팀 수준 거버넌스

팀은 다음 방식으로 조직 정책의 예외를 적용할 수 있습니다.

예외와 면제
임시 승인
기한이 정해진 일탈

감사와 로깅

완전한 감사 추적:

Organization Level:
- Organization created/modified
- Members added/removed
- Policies created/changed
- Budget alerts triggered

Team Level:
- Architectures created/deleted
- Analysis results
- Shares and exports
- Comments and reviews

User Level:
- Login/logout
- API calls
- Document edits
- Settings changes