Tiro의 Kiro를 활용한 보안 인프라 구축과 ISO/IEC 27001:2022 인증 취득 여정

AI 회의 노트 서비스 티로(더플레이토)가 AWS AI 코딩 에이전트 Kiro를 활용해 ISO/IEC 27001:2022 인증을 약 18주 만에, 예상보다 4개월 빠르게 취득한 사례를 공개했다. AI 에이전트를 인프라 작업 파트너로 쓰면서도 읽기 전용 발견·사람 승인 강제·변경 전후 증적 보존이라는 엄격한 가드레일을 유지한 것이 핵심이다.

핵심 포인트

ISO 27001은 제품 보안이 아닌 조직 전체 ISMS를 평가하므로, 인프라 설정이 정책 문서와 실제로 연동되어야 한다.
AI 에이전트는 읽기 전용 발견 → Spec 작성 → Supervised 실행 → 증적 보존의 4단계 가드레일 안에서만 운영했다.
단일 계정을 Management·Security·Ops·Production·Dev 5계층 Multi-Account 아키텍처로 분리해 개발과 운영의 통제 수준을 명확히 구분했다.
Slack 보안 논의를 AI에 입력해 정책 초안을 작성하고 사람이 책임자·점검 주기를 채우는 방식으로 23개 정책 문서를 완성했다.
Stage 2 본감사에서 Major 부적합 0건, ISO 27001 외 SOC 2 Type 1도 동시 취득했다.

상세 정리

배경: 고객 민감 대화를 처리하는 AI 서비스라 초기부터 데이터 암호화·접근 기록을 중시했고, 빠른 AI 개발 속도에 조직적 보안 통제가 뒤처지지 않도록 ISO 27001을 목표로 설정했다.
가드레일 1(읽기 전용 발견): Kiro는 모든 작업을 현황 조사로 시작하며 이 단계에서 리소스를 변경하지 않는다. 비암호화 볼륨 스캔도 인벤토리 작성만 하고, 암호화는 사람의 영향도 판단 후 진행했다.
가드레일 2(Spec 분리): 인프라 변경을 requirements.md → design.md → tasks.md 3단계로 구조화해 계획 단계에서 사람의 검토를 거쳤다.
가드레일 3(Supervised 모드): 변경을 작은 조각으로 나누고 단계별로 사람의 승인을 받은 뒤에만 Terraform apply를 실행했다.
가드레일 4(증적 보존): before.json과 after.json으로 변경 전후 상태를 저장해 ISO 27001이 요구하는 감사 추적을 자동화했다.
감사 로그 중앙화: 조직 전체 AWS API 활동을 Security 계정의 단일 S3 버킷으로 집약하고, 설계는 CTO 검토 후 적용했다.
코드 리뷰 통제: 여러 저장소의 Branch Protection Rule과 CODEOWNERS 상태를 점검하고 팀 기반 코드 오너 정책을 수립해 적용했다.
204개 ISO 통제 항목을 AWS 인프라 설정과 직접 연결해 준비 상태를 실시간으로 추적했다.
결과: 18주 내 취득, Major 부적합 0건, Trust Center로 보안 통제 현황을 고객에게 공개했다.