AI 기술의 급격한 발전으로 개발 속도가 비약적으로 상승했지만, 이는 동시에 보안 리스크라는 새로운 과제를 안겨주었습니다. 본 글은 AI 회의 노트 서비스인 Tiro를 개발하는 더플레이토(The Plato)가 AWS의 AI 코딩 에이전트인 Kiro를 활용하여 어떻게 ISO 27001 인증을 성공적으로 취득했는지에 대한 상세한 여정을 다룹니다. Tiro 팀은 보안을 단순히 인증 통과를 위한 문서 작업으로 보지 않고, 조직의 운영 모델 자체로 설계했습니다. 이들은 Kiro를 단순한 자동화 도구가 아닌, 통제 가능한 파트너로 활용하기 위해 네 가지 가드레일을 설정했습니다. 첫째, 읽기 전용(Read-only) 진단으로 시작하여 운영 환경에 영향을 주지 않고 현황을 파악했습니다. 둘째, Spec을 통해 요구사항, 설계, 작업을 분리하여 AI의 작업 과정을 구조화했습니다. 셋째, Supervised 모드를 통해 중요한 변경 사항에 대해 반드시 사람의 승인을 거치도록 강제했습니다. 마지막으로, 모든 변경 전후의 상태를 증적으로 남겨 감사 대응과 운영 품질을 높였습니다. 또한, AWS Multi-Account 아키텍처를 도입하여 개발과 운영 환경의 경계를 명확히 하고, Terraform을 기반으로 인프라를 코드로 관리함으로써 보안성과 재현성을 확보했습니다. 이러한 노력의 결과, Tiro 팀은 예상보다 빠르게 ISO 27001 인증을 취득할 수 있었습니다. AI 시대의 보안은 단순히 속도를 늦추는 장치가 아니라, 더 빠르고 안전하게 달리기 위한 신뢰의 기반임을 이 사례는 잘 보여줍니다.