보안 관리 — 제 인프라에 적용한 ISO 27001과 GDPR
어떤 보안 위험이 중요한지, 어떻게 대응할지, 그것을 어떻게 증명할지 정하는 체계적인 방법입니다. 이 사이트를 운영하는 서버에 적용했습니다.
필요
‘안전하다’는 말만으로는 아무것도 증명되지 않습니다. 조직은 ISO 27001 표준으로 보안 위험에 대한 대응을 결정하고, 문서화하고, 증명합니다. 저는 이를 실제 대상에 적용해 보고 싶었습니다.
아이디어
제 서버를 고객의 서버처럼 다룹니다. 범위를 정하고, 위험을 분석하고, 통제를 고르고, 감사하고, 부족한 점은 숨기지 않고 공개합니다.
만든 것
- 범위 정의와 보호 대상 자산 목록.
- 프랑스 국가 방법론인 EBIOS RM을 활용한 위험 분석.
- ISO 27001(2022년판) 통제 93개를 하나씩 검토했습니다. 제외한 35개에도 각각 서면 사유를 달았습니다.
- 보안 정책, 운영 절차, 그리고 이 사이트가 다루는 방문자 데이터에 대한 GDPR 처리 기록부.
- 통제 17개에 대한 내부 감사와, 빠짐없이 기록한 부족한 점.
- 실시간 증거: 일부 요구 사항은 선언에 그치지 않고 매시간 자동으로 측정됩니다.
결과
- 93하나씩 검토한 통제
- 35제외한 통제(각각 서면 사유 첨부)
- 17내부 감사한 통제
- 14 · 2 · 1적합 · 부분 적합 · 미흡
통제 93개 중 12개 적용, 30개 부분 적용, 16개 예정, 35개 해당 없음입니다(2026년 9월 12일 재확인). 공개용 발췌본은 온라인에 있으며, 전체 위험 분석과 적용성 보고서는 면접에서 보여 드립니다.
화면으로 보기
배운 점
확실한 근거로 통제를 제외하는 것은 통제를 적용하는 것만큼이나 많은 것을 보여 줍니다. 그리고 성공만 나열하는 보안 체계는 보안 체계가 아니라 홍보 책자입니다.
기술 세부 정보 기술 스택, 아키텍처, 설계 결정 — 기술 담당자용
기술 스택
- ISO/IEC 27001:2022
- EBIOS RM
- GDPR
- Ubuntu
- nginx
- systemd
- Cloudflare
- Litestream + restic
작동 방식
- 범위: 운영 VM, 애플리케이션, 데이터베이스, 방문 데이터, 관리자 접근. 명시적으로 제외: 개인 업무용 PC와 제3자 계정.
- EBIOS RM 워크숍 다섯 단계를 거쳤고, 잔여 위험은 서면으로 수용했습니다. 워크숍 4와 5는 의도적으로 공개하지 않습니다.
- 적용성 보고서: 12개 적용, 30개 부분 적용, 16개 예정, 35개 해당 없음. 해당 없음은 대부분 클라우드 제공자에게 이전된 인적·물리적 통제입니다.
- GDPR: 처리 활동 기록(제30조), 정당한 이익 형량 평가, 정보 고지(제13조), 정보 주체 권리 절차(제15–21조), 침해 대응 절차(제33조), DPIA 및 DPO 분석(제35조, 제37조).
- 내부 감사: 통제 17개 중 14개 적합, 2개 부분 적합, 1개 구조적 미흡(전문 기록). 사고 기록도 공개했습니다.
- GDPR 제14조에 따른 확실한 법적 근거가 없어, 자동화된 OSINT 수집 기능은 포기했습니다.
- 알려진 부족한 점: 백업 장비를 없앤 뒤로 업무 연속성을 시험하지 않았고, 상시 취약점 스캔이 없습니다.
아직 부족한 점
- 인증 없음 — 개인은 받을 수 없음
- 업무 연속성 미검증
- 상시 취약점 스캔 없음