백업은 보안 사고 및 장애 시 비즈니스 연속성을 보장합니다. 이 시트에서는 백업 설정 여부, 복원력(멀티-AZ 등), 백업 관련 감사 로깅 현황을 점검합니다.
KPI 카드 (4개)
백업 준수율
백업 관련 점검 항목 중 PASS인 비율(%)입니다. AWS Backup 설정, S3 버전 관리, RDS 자동 백업 등을 포함합니다.
백업 준수율이 80%라도 핵심 자산(프로덕션 DB, 재생성 불가 데이터)이 모두 보호되고 있다면 적절할 수 있습니다. 반대로 95%라도 누락된 5%가 프로덕션 DB라면 심각합니다. 숫자보다 “무엇이 빠져 있는가”를 확인하세요.
복원 준수율
멀티-AZ 배포, 자동 장애 조치 등 가용성 관련 점검의 준수율(%)입니다.
ISMS-P는 “적절한” 재해 복구 계획을 요구하지, 반드시 멀티-AZ를 강제하지는 않습니다. RTO/RPO 목표 대비 현재 구성이 적절한지를 평가합니다.
감사 준수율
백업 관련 로깅 및 감사 추적이 적절히 구성되어 있는지의 비율(%)입니다. S3 접근 로깅, CloudTrail 기록, RDS 감사 로그 등을 포함합니다.
ISMS-P 인증 심사에서는 “백업을 하고 있다”는 것만으로는 부족합니다. 백업 수행 이력, 접근 이력, 복원 테스트 이력이 감사 증적으로 제출 가능해야 합니다.
미보호 리소스
백업이 설정되지 않은 리소스의 수입니다.
| 리소스 유형 | 백업 필요성 |
|---|
| 프로덕션 DB (RDS) | 필수 — 비즈니스 핵심 데이터 |
| 사용자 업로드 S3 | 필수 — 재생성 불가 |
| 설정/코드 S3 | 권장 — Git에서 복원 가능하면 선택적 |
| 임시/캐시 데이터 | 불필요 — 재생성 가능 |
리소스 유형별 미준수 분포 (Treemap)
트리맵 차트로, FAIL 항목을 리소스 유형별로 면적 비례로 보여줍니다. 면적이 클수록 해당 유형의 FAIL이 많습니다.
표시되는 주요 리소스 유형:
| 리소스 유형 | 대표적 FAIL 원인 |
|---|
| S3 Bucket | 버전 관리 미활성화, 접근 로깅 미설정 |
| CloudFormation Stack | Termination Protection 미설정 |
| GuardDuty | GuardDuty 미활성화 또는 미구성 |
| AutoScalingGroup | 가용성 설정 미흡 |
| Backup Vault | 백업 볼트 미구성 |
- 빨간색/주황색 = FAIL (미준수)
- 초록색 = PASS (준수)
- 범례의 Color_is_fail 필터로 FAIL만 보거나 전체를 볼 수 있습니다
PASS/FAIL 비율 (도넛 차트)
도넛 차트 중앙의 숫자는 백업 관련 총 점검 건수입니다. 초록색(PASS)과 빨간색(FAIL)의 비율을 한눈에 보여줍니다.
점검 항목별 FAIL 건수 (가로 막대 차트)
각 점검 규칙별 FAIL이 몇 건인지를 가로 막대로 보여줍니다.
주요 점검 항목:
| 점검 규칙 | 설명 | 심각도 |
|---|
guardduty_is_enabled | GuardDuty 활성화 여부 | High |
s3_bucket_versioning_enabled | S3 버전 관리 활성화 | Medium |
cloudformation_stacks_termination_protection | CFn 종료 보호 | Medium |
backup_vaults_exist | 백업 볼트 존재 여부 | Medium |
rds_instance_backup_enabled | RDS 자동 백업 | High |
dynamodb_table_pitr_enabled | DynamoDB PITR | Medium |
미준수 점검 상세 테이블
개별 FAIL 항목을 나열합니다.
| 컬럼 | 설명 |
|---|
| 심각도 | Critical/High/Medium |
| 점검 항목 | 점검 규칙 ID |
| 리소스 유형 | S3, CloudFormation Stack, GuardDuty, RDS 등 |
| 리소스 ARN | FAIL이 발생한 리소스의 ARN |
| 계정 | AWS 계정 ID |
| 제목 | 점검 설명 |
| 조치방법 | 권장 조치 (예: “Enable termination protection on the CloudFormation stack”) |
- 심각도 High 항목 먼저 확인 (RDS 백업, GuardDuty 활성화)
- 프로덕션 리소스인지 개발/테스트 리소스인지 구분
- 프로덕션 리소스는 즉시 백업 설정, 비프로덕션은 제외 사유 문서화
