SAA-C03 Q90 · Security

Question

의료 회사가 개인 식별 정보(PII) 데이터를 Amazon RDS for Oracle 데이터베이스에 저장합니다. 이 회사는 저장된 PII 데이터를 암호화해야 합니다. 암호화 키를 저장하고 관리하기 위해 전용 하드웨어 모듈을 사용해야 합니다. 이러한 요구 사항을 충족하기 위해 솔루션 아키텍트는 어떻게 해야 할까요?

Accepted Answer

**문제 요구사항 정리:**
1. Amazon RDS for Oracle에 저장된 PII 데이터 암호화
2. 암호화 키를 **전용 하드웨어 모듈(dedicated hardware module)**에 저장·관리

**정답 B가 충족하는 이유:**

1단계: **Oracle TDE(Transparent Data Encryption)**는 Oracle 데이터베이스의 네이티브 암호화 기능으로, 데이터 파일 수준에서 저장 데이터를 투명하게 암호화한다. RDS for Oracle은 Oracle Advanced Security 옵션을 통해 TDE를 지원한다.

2단계: **AWS KMS Custom Key Store**는 AWS CloudHSM 클러스터를 백엔드로 사용하는 KMS 키 저장소이다. 즉, KMS 키를 생성하면 실제 키 자료(key material)가 CloudHSM의 **FIPS 140-2 Level 3 인증 전용 하드웨어**에 저장·관리된다.

3단계: 'AWS CloudHSM 기반 AWS KMS 키'라는 표현은 바로 이 Custom Key Store 기능을 의미한다. RDS Oracle TDE의 마스터 암호화 키를 이 KMS 키(CloudHSM 백엔드)로 보호하면, **전용 하드웨어 모듈에서 키 관리** 요구사항을 충족한다.

4단계: TDE는 애플리케이션 코드 변경 없이 **투명하게** 암호화/복호화를 수행하므로 운영 오버헤드가 최소화된다.

📖 해설

✅ 정답 분석

❌ 오답 분석

📘 핵심 개념

🏗️ 아키텍처

⚙️ 운영 관점

💰 비용 관점

🔒 보안 관점

🎯 시험 팁