중견 핀테크를 Azure로 이전하며 얻은 교훈 🛡️

최근 중견 금융사 레거시 온프레 환경을 전면 Azure 스택으로 이전하는 모더니제이션 프로젝트를 완료했습니다. 중견 시장 특성상 대규모 DevOps 팀이 없어서 가능한 한 경량으로 운영해야 했습니다.

Azure Policy는 진짜 큰 도움이었습니다. 단순 모니터링을 넘어서 비준수 리전이나 비암호화 디스크에 대해 "Deny" 정책을 걸어버리니 사실상 정책 집행이 자동화되더군요.

초기에 플랫 VNet 구조를 고려했지만, 허브-스포크(Hub-Spoke)로 전환하고 Azure Firewall을 중앙에 두는 방식이 고객의 중앙화된 트래픽 검사 요구를 관리 오버헤드 적게 만족시키는 유일한 방법이었습니다.

Key Vault와 Managed Identity 조합은 특히 중요했습니다. 레거시 코드에서 하드코딩된 자격증명을 제거하는 데 일주일을 썼는데, 핀테크 모더니제이션이라면 이 작업을 최우선으로 하세요. 보안 측면에서 가장 쉬운 성과였습니다.

Power Platform(특히 Power Apps) 쪽 UI 계층에서 많은 모던화가 일어났는데, 이들을 Azure SQL과 연결할 때 Private Link로 공용 인터넷을 거치지 않게 설정하는 게 까다로웠지만 필수적이었습니다.

질문: 규제가 강한 업계에서 WAF를 쓸 때 Azure Front Door(글로벌 스케일에 유리)와 Application Gateway(지역별 규정 대응에 더 세밀한 제어) 중 어떤 쪽을 더 선호하시나요? 저희는 글로벌 확장성 측면에선 Front Door가 수월했지만 로컬 규정 대응에는 App Gateway가 더 상세하게 느껴졌습니다.

🧐 배경 설명 및 요약

1) 왜 이 글이 올라왔나: 작성자는 중견 금융사의 클라우드 전환 프로젝트를 마무리하며 현장에서 겪은 실무적인 '주의점'과 아키텍처 결정을 공유하려고 글을 썼습니다. 특히 규제(SOC2/PCI)를 지켜야 하는 환경에서 감사 통과를 수월하게 만든 요소들을 정리한 것입니다.

2) 작성자가 실제로 묻고 걱정하는 것: 핵심 질문은 WAF(웹 애플리케이션 방화벽) 선택에 대한 고민입니다. 즉, 글로벌 트래픽 분산과 스케일을 우선할지(Front Door), 아니면 지역별 규정과 세밀한 제어를 우선할지(Application Gateway) 판단하는 데 실무적 경험과 조언을 구하고 있습니다. 또한 포스트 전반에서 드러나는 걱정은 "작은 팀으로 규제 요구사항을 어떻게 효율적으로 만족시킬 것인가"입니다.

3) 주요 개념을 아주 간단히 설명:

• Azure Policy: 클라우드 리소스가 조직의 규칙을 따르도록 자동으로 검사하고(또는 위반 시 차단) 조치하는 기능입니다. 예: 특정 리전에 리소스 생성 금지, 디스크 암호화 강제 등.
• 허브-스포크(Hub-Spoke): 중앙의 허브 네트워크(공통 보안·로깅·방화벽)와 여러 스포크(업무별 네트워크)를 나누는 구조로, 중앙화된 트래픽 검사와 관리 부담 감소에 효과적입니다.
• Key Vault + Managed Identity: 비밀(예: DB 비밀번호)을 안전하게 보관하고 애플리케이션이 별도 비밀 없이 안전하게 인증하도록 하는 방식입니다. 하드코딩 자격증명을 제거하면 보안과 감사 대응이 쉬워집니다.
• Power Apps + Private Link: Power Apps 같은 UI 도구가 데이터베이스에 연결할 때 인터넷을 거치지 않도록 Azure의 사설 연결(Private Link)을 쓰면 데이터 노출 리스크를 줄일 수 있습니다.
• Front Door vs Application Gateway(WAF 관점): Front Door는 글로벌 엣지에서 트래픽을 처리해 전 세계 스케일에 유리합니다. Application Gateway는 같은 리전 내에서 더 세분화된 규칙과 로컬 컴플라이언스 대응에 유리합니다. 둘 중 무엇을 택할지는 글로벌 분포, 규제 요구사항, 관리 역량을 고려해야 합니다.
• SOC2/PCI 간단 정리: 둘 다 보안·프라이버시·통제에 관한 규범입니다. SOC2는 주로 내부 통제와 보안 절차, PCI는 카드 결제 데이터 보호에 특화된 규정입니다. 클라우드 이전 시 이 요구사항을 만족시키는 기술적 통제가 필요합니다.