ISO/IEC 27001은 국제표준화기구(ISO)와 국제전기기술위원회(IEC)가 발행한 정보 보안 관리 시스템(ISMS)에 관한 국제 표준입니다. 현재 버전은 ISO/IEC 27001:2022입니다.
Rediacc는 ISMS 내 기술 통제 레이어의 한 구성 요소입니다. 아래 표는 Rediacc의 기능을 관련 부속서 A 통제 도메인에 매핑합니다.
부속서 A 통제 매핑
| 통제 도메인 | 통제 | Rediacc 기능 |
|---|---|---|
| A.8, 자산 관리 | A.8.1 자산 인벤토리 | 각 리포지토리는 고유한 GUID를 가진 별도의 식별 가능한 자산입니다. rdc machine query --name <machine> --repositories는 모든 리포지토리를 크기, 마운트 상태, 컨테이너 수와 함께 나열합니다. |
| A.8, 자산 관리 | A.8.24 암호화 사용 | 모든 리포지토리에 LUKS2 AES-256 필수 암호화 적용. 키 관리: 자격증명은 서버가 아닌 운영자의 로컬 설정에만 저장됩니다. |
| A.9, 접근 제어 | A.9.2 사용자 접근 관리 | SSH 키 인증. IP 바인딩, 팀 범위 지정 및 팀 제거 시 자동 취소 기능이 있는 API 토큰. 이중 인증(TOTP) 지원. |
| A.10, 암호화 | A.10.1 암호화 통제 | 구성 가능한 키 파라미터를 갖춘 LUKS2. 리포지토리당 암호화 자격증명. 모든 원격 전송에 SSH 사용. 설정 저장소는 제로 지식 암호화를 구현합니다. HKDF 키 파생을 사용한 AES-256-GCM, X25519 구성원 키 교환, 즉각적인 취소를 위한 시간 제한 SDK 키. |
| A.12, 운영 보안 | A.12.3 백업 | rdc repo backup push/pull을 사용한 여러 목적지(SSH, S3, B2, Azure, GDrive)로의 암호화 오프사이트 저장. 시점 복구를 위한 CoW 스냅샷. rdc repo validate로 백업 상태 및 리포지토리 무결성 검증. |
| A.12, 운영 보안 | A.12.4 로깅 및 모니터링 | 70가지 이상의 이벤트 유형(인증, API 토큰, 설정, 라이선싱, 머신 작업). rdc machine query를 통한 머신 상태 모니터링. 컨테이너 상태 및 리소스 모니터링. |
| A.13, 통신 보안 | A.13.1 네트워크 보안 관리 | 리포지토리당 Docker 데몬 격리. iptables 규칙이 리포지토리 간 트래픽을 차단합니다. 리포지토리당 루프백 IP 서브넷(/26). 외부 접근을 위한 TLS 종료 역방향 프록시. |
| A.14, 시스템 개발 | A.14.2 개발 보안 | 포크 기반 개발 환경이 프로덕션 데이터 노출 없이 프로덕션 동등성을 제공합니다. Rediaccfile 수명 주기 훅이 클론된 환경에서 자동 데이터 위생 처리를 가능하게 합니다. |
자산 관리
Rediacc의 리포지토리 모델은 자산 인벤토리 요건을 자연스럽게 지원합니다.
- 모든 리포지토리는 생성 시 고유한 GUID가 할당됩니다
- 리포지토리는 머신별로 열거할 수 있습니다(
rdc machine query --repositories) - 각 리포지토리의 암호화 상태, 마운트 상태, 컨테이너 수, 디스크 사용량이 표시됩니다
- 포크 관계가 클론된 환경의 계보를 추적합니다
변경 관리
포크-테스트-승격 워크플로는 ISO 27001의 변경 관리 요건과 일치합니다.
- 포크: 프로덕션 환경의 격리된 복사본 생성
- 테스트: 포크에서 변경 사항 적용 및 검증
- 승격:
rdc repo takeover를 사용하여 포크를 프로덕션으로 교체 - 감사: 모든 작업이 타임스탬프 및 행위자 식별 정보와 함께 기록됩니다
지속적 개선
- 감사 로그 내보내기가 정기적인 보안 검토를 지원합니다
- 머신 상태 확인(
rdc machine query --system)이 운영 모니터링을 지원합니다 rdc repo validate가 각 작업 후 백업 상태를 검증합니다