ISMS-P 2.9.3 백업 및 복구관리 High Risk

백업 및 복구관리가 적절히 수행되고 있는가?

ISMS-P 2.9.3은 백업 대상, 주기, 방법, 보관장소, 보관기간, 소산 등의 절차를 수립·이행하고, 사고 발생 시 적시에 복구할 수 있도록 요구합니다. 클라우드 환경에서는 AWS Backup과 Cross-Region 복제를 통해 소산 요구사항과 재해복구 체계를 자동화해야 합니다.

📋

ISMS-P 인증 기준

ISMS-P 2.9.3 백업 및 복구관리 요구사항

2.9.3

백업 및 복구관리

인증 기준 정의

"정보시스템의 가용성과 데이터 무결성을 유지하기 위하여 백업 대상, 주기, 방법, 보관장소, 보관기간, 소산 등의 절차를 수립·이행하고, 사고 발생 시 적시에 복구할 수 있도록 하여야 한다."

📌 클라우드 환경 적용 포인트

AWS Backup 서비스를 통한 중앙 집중식 백업 관리
Cross-Region 백업 복제로 소산 요구사항 충족
RDS 자동 백업 및 스냅샷 복제 설정
S3 Cross-Region Replication 활성화
정기적 복구 테스트 자동화 (AWS Backup 복구 테스트)

⚠️ 미준수 시 심사 영향

결함: 백업 절차 미수립 (대상/주기/방법/보관 등)
결함: 중요 데이터 소산 관리 미흡 (단일 리전 운영)
결함: 복구 테스트 장기간 미실시
권고: 백업 현황 모니터링 체계 부재

📄 KISA ISMS-P 인증기준 안내서 ↗ ☁️ AWS Backup Cross-Region ↗

📰

실제 보안 사고 사례

백업 및 복구관리 미흡으로 발생한 실제 사고

2017.06

인터넷나야나 랜섬웨어 사태

웹 호스팅 업체 서버 153대 + 백업 서버까지 동시 감염. 망 분리 미흡으로 내/외부 백업 데이터 모두 암호화. 호스팅 이용자 홈페이지 3,400개 원본 및 백업 데이터 손실. 최종적으로 13억원 몸값 지불.

💡 교훈: 백업 서버는 물리적/논리적으로 분리 필수, Cross-Region 소산 백업 필수

출처: 보안뉴스 ↗

2023~2024

랜섬웨어 피해액 급증

2023년 랜섬웨어 피해액 1조 5천억원으로 전년 대비 2배 급증. 최근 3년간 신고 중 82%가 중소기업. 몸값 지불 기업 중 40%가 데이터 복구 실패.

💡 교훈: 주기적 백업만으로 부족, 백업 데이터의 격리 보관과 복구 테스트가 핵심

출처: 보안뉴스 ↗

⚡

클라우드 환경의 위험

AWS RDS에서 백업 소산 요건이 미충족되는 상황

단일 리전 백업 (위험)

Primary

🗄️

→

Backup

💾

↑ 동일 리전에 백업 → 리전 장애 시 복구 불가

재해 시 복구 불가 → ISMS-P 소산 요건 미충족

Cross-Region 복제 (권장)

Seoul

🗄️

→

Tokyo

💾

↑ 다른 리전으로 자동 복제 → 물리적 분리 충족

리전 장애 시 즉시 복구 가능 → 소산 요건 충족

🚨

발견 사례: RDS 인스턴스에 Cross-Region 자동 백업 복제 미설정

backup_retention_period는 설정되어 있으나 Cross-Region 복제가 미설정되어 동일 리전 내에만 백업이 존재. 리전 장애 시 백업 데이터도 함께 손실될 위험.

현재 상태 - 문제가 되는 설정

resource "aws_db_instance" "production" {
  identifier           = "production-db"
  engine               = "mysql"
  instance_class       = "db.r5.large"
  allocated_storage    = 100

  backup_retention_period = 7  # 백업은 활성화
  # cross-region 복제 미설정

  tags = {
    Environment = "production"
  }
}

ISMS-P 2.9.3 위반 사항

●

백업 데이터 소산 관리 미흡 (단일 리전)

●

재해·재난 발생 시 복구 불가 위험

●

물리적으로 분리된 보관장소 요건 미충족

●

복구 테스트 절차 및 이력 부재

🔍

사전 탐지 방안

IaC 코드 분석 기반 배포 전 점검

백업 및 소산 정책 탐지 로직

판단 조건	조건 값	결과
💾 백업 활성화	`backup_retention_period = 0` 또는 미설정	Critical - 차단
💾 백업 활성화	`backup_retention_period >= 1`	→ 소산 정책 검사
🌏 Cross-Region 복제	`미설정` 단일 리전 백업만 존재	High - 차단 + 경고
🌏 Cross-Region 복제	`설정됨` 다른 리전으로 복제	→ AWS Backup 계획 검사
📋 AWS Backup 계획	`미연결` 중앙 관리 없음	Medium - 경고
📋 AWS Backup 계획	`연결됨` AWS Backup 계획 적용	✓ 통과

🔔

사후 대응 방안

런타임 모니터링 및 이상행위 탐지

백업 설정 런타임 이벤트 대응 로직

판단 조건	조건 값	결과
📦 변경 유형	`IaC 배포 (Terraform)` 정상 변경	✓ 변경 이력만 저장
📦 변경 유형	`Drift 발생` 콘솔 직접 변경	→ 상세 분석
⚠️ 변경 내용 (Drift 발생 시)	`백업 비활성화` retention_period → 0	Critical - PagerDuty 호출
	`Cross-Region 복제 중지` 소산 미충족	High - Slack 즉시 알림
	`백업 보존 기간 단축` 7일 → 1일	Medium - Slack 알림

모든 알림에 포함되는 정보

RDS 인스턴스 ARN 변경 전/후 백업 설정 변경 주체 (IAM) Cross-Region 복제 설정 가이드

✓

조치 가이드

즉시 적용 가능한 권장 설정

❌ 문제

단일 리전 백업만 존재 (Cross-Region 복제 미설정)

✓ 적용

aws_db_instance_automated_backups_replication + AWS Backup 계획

권장 설정 (복사하여 적용)

rds-backup.tf

# RDS 인스턴스 - 자동 백업 활성화
resource "aws_db_instance" "production" {
  identifier           = "production-db"
  engine               = "mysql"
  instance_class       = "db.r5.large"
  allocated_storage    = 100

  backup_retention_period = 7
  backup_window           = "03:00-04:00"

  tags = {
    Name        = "production-db"
    Environment = "production"
    ISMS-P      = "2.9.3"
  }
}

# Cross-Region 자동 백업 복제 활성화
resource "aws_db_instance_automated_backups_replication" "dr" {
  source_db_instance_arn = aws_db_instance.production.arn
  retention_period       = 7

  # DR 리전으로 복제 (예: ap-northeast-2 -> ap-northeast-1)
  provider = aws.dr_region
}

# AWS Backup 계획으로 중앙 관리
resource "aws_backup_plan" "production" {
  name = "production-backup-plan"

  rule {
    rule_name         = "daily-backup"
    target_vault_name = aws_backup_vault.production.name
    schedule          = "cron(0 3 * * ? *)"

    lifecycle {
      delete_after = 35
    }

    # Cross-Region 복사
    copy_action {
      destination_vault_arn = aws_backup_vault.dr.arn
      lifecycle {
        delete_after = 35
      }
    }
  }
}

💡 핵심: aws_db_instance_automated_backups_replication 리소스를 통해 RDS 자동 백업을 다른 리전으로 복제할 수 있습니다. 또한 AWS Backup의 copy_action을 사용하면 백업 계획에서 자동으로 Cross-Region 복사가 가능합니다. 이를 통해 ISMS-P 2.9.3의 소산 요건을 충족할 수 있습니다.

📚 참고 자료

🌏 AWS Backup Cross-Region ↗ 💾 RDS Cross-Region 백업 ↗ 🔒 ISMS-P 인증기준 안내서 ↗

📊

리포트 방안

ISMS-P 심사 증적 및 정기 보고

📋 진단 항목

백업 활성화된 RDS 인스턴스 수
Cross-Region 복제 미설정 인스턴스
AWS Backup 계획 연결 현황
복구 테스트 수행 이력 (기간별)
백업 보존 정책 준수율

📅 리포트 주기

일간

백업 실행 현황 및 실패 알림

주간

백업 현황 요약 + 소산 상태

월간

ISMS-P 증적 리포트 + 복구 테스트

📤 발송 및 저장

발송 채널

Email Slack

저장소

S3 (5년 보관)

⚡

BSG 차별점

기존 도구가 놓치는 점검 영역

기존 도구 방식

단순 백업 활성화 검사

backup_retention_period > 0 여부만 체크
rds_instance_backup_enabled == True 단순 비교
정적 분석 결과만 출력

한계: Cross-Region 복제 검사 없음, 소산 요건 미점검

BSG 접근 방식

백업 활성화 + 소산 정책 + 복구 테스트 통합 점검

IaC 코드 분석 기반 Cross-Region 복제 설정 검증
런타임 백업 설정 변경 모니터링 + Drift 탐지
ISMS-P 2.12.1(재해·재난 대비)과 통합 DR 체계 검증

차별점: 인증 기준 관점에서 탐지 → 조치 → 증적 전 과정 자동화

← Data Protection & Disaster Recovery로 돌아가기