열쇠를 주지 않아도 도면은 볼 수 있다
점검하려면 뭔가를 설치해야 한다고 생각하기 쉽습니다. 에이전트리스는 그 반대로 갑니다. 집 안을 뒤지는 대신 도면을 봅니다. 읽기 전용 권한 하나로 무엇까지 알 수 있는지 정리했습니다.
아파트 소방 점검을 생각해 봅시다. 점검관이 집집마다 들어와 장롱을 열고 서랍을 뒤지지는 않습니다. 대신 도면을 봅니다. 비상구가 어디로 나 있는지, 계단이 몇 개인지, 방화문이 어느 벽에 붙어 있는지. 그것만으로도 “3층 비상계단 앞이 막혀 있다” 는 말을 할 수 있습니다.
이 글은 그 도면 이야기입니다. 클라우드 보안 점검도 집 안을 뒤지지 않고 도면만으로 꽤 많은 것을 볼 수 있습니다. 그 방식을 에이전트리스(agentless, 설치하지 않는 방식)라고 부릅니다.
설치한다는 건 집에 사람을 들이는 일
보통 점검 도구는 에이전트를 씁니다. 에이전트는 서버마다 깔아두는 작은 프로그램입니다. 안에서 직접 보고 밖으로 알려주는 상주 직원인 셈입니다.
추정 안에 들어가 있으니 당연히 더 많이 봅니다. 대신 대가가 따릅니다. 서버가 100대면 100번 깔아야 하고, 새 서버가 뜰 때마다 또 깔아야 합니다. 무엇보다 남의 집 안에서 도는 프로그램이라, 도입을 결정하는 쪽에서는 그 자체를 심사 대상으로 봅니다. 보안 점검을 하려고 보안 검토를 한 번 더 받는 구조가 됩니다.
도면만 보는 쪽
사실 SecurityHero RMF는 고객 환경에 아무것도 설치하지 않습니다. 읽기 전용 IAM 역할 하나만 연결하면 됩니다. IAM(Identity and Access Management)은 AWS에서 “누가 무엇을 할 수 있는지” 를 정하는 장치입니다. 읽기 전용이라는 건 보기만 되고 바꾸기는 안 되는 권한이라는 뜻입니다.
사실 그 역할은 CloudFormation으로 만듭니다. CloudFormation은 AWS 설정을 문서 한 장으로 찍어내는 기능입니다. 원문 기준 연결에서 리포트까지 10분입니다.
열쇠를 복사해 주는 게 아닙니다. 도면을 열람할 자격증을 주는 것에 가깝습니다.
| 설치하는 방식(에이전트) | 설치하지 않는 방식(에이전트리스) | |
|---|---|---|
| 들어가는 것 | 서버마다 프로그램 | 읽기 전용 권한 하나 |
| 늘어날 때 | 새 서버마다 다시 | 계정 단위라 그대로 |
| 볼 수 있는 것 | 집 안까지 | 도면에 적힌 구조 |
| 바꿀 수 있나 | 권한에 따라 다름 | 못 바꿈 |
어느 쪽이 낫다는 얘기가 아닙니다. 보려는 게 다릅니다. 규제 증빙에서 묻는 건 대개 “방 안에 뭐가 있냐” 가 아니라 “문이 잠겨 있냐” 입니다. 그건 도면에 적혀 있습니다.
도면에는 뭐가 적혀 있나
사실 RMF는 Prowler라는 점검 도구로 자산·IAM·네트워크를 훑고, EPSS로 악용 가능성을 따집니다. EPSS는 3편에서 다룬 “실제로 공격에 쓰일 확률” 점수입니다. 구체적으로 이런 것들이 나옵니다.
실제로 그려지는 도면은 이렇게 생겼습니다. VPC와 서브넷이 방처럼 나뉘고, 자산 사이의 연결이 선으로 이어집니다. 서버 안에는 한 번도 들어가지 않고 그린 그림입니다.
| 도면의 항목 | 실제로 보는 것 |
|---|---|
| 방 배치 | AWS 자산 자동 식별, 관계 그래프 |
| 출입 규칙 | IAM 최소권한 분석, MFA 안 켠 사용자 |
| 복도와 통로 | 네트워크 흐름 시각화, 외부 노출 경로 |
| 금고 설정 | S3·EBS·RDS 암호화, TLS·KMS 키 설정 |
추정 반대로 도면에 없는 것도 분명합니다. 이건 설정을 읽는 점검이지 파일 속을 들여다보는 점검이 아닙니다. “이 버킷은 암호화가 꺼져 있다” 는 말할 수 있어도, 그 안에 무엇이 담겼는지는 이 방식이 답하는 질문이 아닙니다.
그래서 NIS2와 무슨 상관인가
사실 NIS2 제21조는 리스크 관리 조치를 문서로 갖추고 감독기관 감사 때 입증하라고 요구합니다. RMF는 CIR 2024/2690(EU 이행규정)과 ENISA 기술이행지침(2025.6)을 참고해 점검 결과를 대응 근거로 정리하고, PDF·DOCX로 내보냅니다.
추정 설치하지 않는다는 점이 여기서 한 번 더 유리하게 작동합니다. 심사에서 자주 나오는 질문이 “그 점검 자체는 안전했냐” 이기 때문입니다. 바꿀 권한이 애초에 없었다는 사실은 그 질문을 짧게 만듭니다.
사실 도면을 봤다고 도면을 가져가지도 않습니다. 스캔 결과와 리포트는 고객이 지정한 S3 버킷에 저장되고, 고객이 소유한 KMS 키로 암호화됩니다. 이 얘기는 다음 편의 몫입니다.
짚고 넘어갈 것
- 이 글은 법률 자문이 아닙니다. “이렇게 하면 NIS2를 준수합니다” 는 우리가 할 수 있는 말이 아닙니다. 적용 대상 여부와 의무 범위는 각국 이행법과 감독기관 판단에 달려 있습니다.
- RMF 리포트는 인증서가 아닙니다. 제출·검토에 쓰는 근거자료입니다. 인증서 발급, 사고 신고(NIS2 제23조 등), 법적 대리는 여기에 포함되지 않습니다.
- 도면이 집의 전부는 아닙니다. 설정 점검으로 확인되는 범위와, 사람·절차·물리 보안까지 묻는 규제의 범위는 같지 않습니다. 어디까지가 기술 증빙 레이어인지는 조직마다 다르게 그어집니다.
시리즈 목차
- EU에 물건 팔려면 왜 보안 서류를 내야 하나
- 리스크 평가라는 말이 어렵게 들리는 이유
- 고칠 게 3천 개인데 뭐부터 하나
- 아무것도 설치하지 않고 어떻게 점검하나 ← 지금 읽는 글
- “데이터가 국경을 넘지 않습니다”가 무슨 뜻인가
- 서류 하나로 여러 나라를 상대하기