v0.0

STRIDE 기반 보안 위협 모델¶

1. Executive Summary¶

본 문서는 D'CENT 엔터프라이즈 콜드월렛 커스터디 솔루션 전체에 대한 STRIDE 기반 보안 위협 모델을 수립한다. Plan 01-03에서 설계한 3-Zone 보안 아키텍처, 컴포넌트 인터페이스, 에어갭 프로토콜, 컴포넌트별 아키텍처를 대상으로 5개 Trust Boundary에서의 위협을 체계적으로 분석하고, 각 위협에 대한 완화 전략을 문서화한다.

분석 범위: - 5개 Trust Boundary × 6개 STRIDE 카테고리 = 30개 위협 셀 분석 - Top 10 고위험 공격 시나리오 상세 기술 - 완화 전략의 NIST CSF 6가지 기능 매핑 - Phase 2 AC-ID 제약조건과의 교차 검증

STRIDE 카테고리: | 카테고리 | 영문 | 설명 | |---------|------|------| | S | Spoofing | 신원 위장 — 다른 사용자/시스템으로 가장 | | T | Tampering | 데이터 변조 — 전송 중 또는 저장 데이터 수정 | | R | Repudiation | 부인 — 행위 수행 사실 부정 | | I | Information Disclosure | 정보 노출 — 비인가 정보 접근 | | D | Denial of Service | 서비스 거부 — 시스템 가용성 침해 | | E | Elevation of Privilege | 권한 상승 — 비인가 권한 획득 |

2. 위협 모델링 범위 및 방법론¶

2.1. 대상 시스템¶

D'CENT 엔터프라이즈 콜드월렛 커스터디 솔루션 전체: - Zone 1: 온라인 대시보드 (API, DB, 블록체인 노드, MPC-TSS) - Zone 2: 오프라인 서명 앱 - Zone 3: D'CENT X 콜드월렛 (Secure Element) - 에어갭 통신 채널 (QR) 및 USB-C 통신 채널 - 외부 인터페이스 (사용자, 블록체인 네트워크)

2.2. 방법론¶

STRIDE (Microsoft): 위협 분류 체계
NIST SP 800-160: Security Engineering 원칙
NIST CSF v2.0: 완화 전략 매핑 (Govern, Identify, Protect, Detect, Respond, Recover)
DFD 기반 분석: component-data-flow.md의 DFD를 입력으로 사용

2.3. Trust Boundary 목록¶

ID	Trust Boundary	경계 유형	위협 수준
TB-1	사용자 ↔ 대시보드	인터넷/VPN	높음
TB-2	대시보드 ↔ 블록체인 노드	네트워크	중간
TB-3	대시보드 ↔ 오프라인 앱	에어갭 (QR)	낮음
TB-4	오프라인 앱 ↔ 콜드월렛	SE 보안 경계 (USB-C)	낮음
TB-5	대시보드 ↔ MPC 셰어 서버	내부 네트워크	중간

3. DFD 기반 분석 대상¶

3.1. DFD Level 0¶

                         ┌──────────────┐
                         │   사용자      │
                         │ (Initiator/  │
                         │  Approver)   │
                         └──────┬───────┘
                           TB-1 │ HTTPS
                         ┌──────▼───────┐          ┌────────────┐
                         │              │   TB-2   │            │
                         │  온라인      │◀────────▶│ 블록체인   │
                         │  대시보드    │          │ 네트워크   │
                         │              │          │            │
                         └──────┬───────┘          └────────────┘
                           TB-3 │ QR
                         ┌──────▼───────┐
                         │              │
                         │  오프라인    │
                         │  서명 앱     │
                         │              │
                         └──────┬───────┘
                           TB-4 │ USB-C
                         ┌──────▼───────┐
                         │              │
                         │  D'CENT X    │
                         │  콜드월렛    │
                         │              │
                         └──────────────┘

4. STRIDE 위협 분석 (Trust Boundary별)¶

4.1. TB-3 (에어갭 QR) & TB-4 (USB-C SE 보안 경계) (가장 상세)¶

에어갭 경계(TB-3)와 USB-C SE 보안 경계(TB-4)는 D'CENT 아키텍처의 핵심 보안 메커니즘이므로 가장 상세히 분석한다.

Spoofing (신원 위장)¶

위협	공격 벡터	위험도	완화 수단
가짜 QR 코드 주입	공격자가 대시보드 화면 앞에 가짜 QR을 물리적으로 배치	낮음	WYSIWYS 검증: SE가 독립 파싱하여 APP_HASH 대조. 불일치 시 자동 거부.
USB 디바이스 위장	악성 USB 디바이스가 콜드월렛을 위장	낮음	USB VID/PID 검증 + SE 고유 공개키 매칭. 서명 응답에 SE 공개키 포함하여 대시보드에서 검증.
가짜 오프라인 앱	변조된 앱이 정상 앱을 위장	중간	앱 코드 서명 검증, MDM 제어 하에 앱 설치 제한

Tampering (데이터 변조)¶

위협	공격 벡터	위험도	완화 수단
QR 데이터 변조 (MITM)	대시보드 → 앱 QR 전달 중 화면 대체/주입	낮음	payload_hash (SHA-256) 무결성 검증. WYSIWYS SE 독립 파싱으로 변조 감지.
USB 케이블 탈취	USB-C 연결 물리적 가로채기	낮음	유선 직접 연결이므로 원격 중계 불가. 물리적 가로채기는 보안 환경 내 탐지 용이. WYSIWYS SE 독립 파싱으로 변조 감지.
오프라인 앱 메모리 변조	앱 실행 중 메모리 변조로 TX 데이터 수정	중간	WYSIWYS가 최종 방어: SE가 원본 데이터를 독립 파싱하므로 앱 변조 무의미.

Repudiation (부인)¶

위협	공격 벡터	위험도	완화 수단
서명 거부 후 부인	서명자가 서명 행위를 부인	낮음	SE 서명 카운터(단조 증가) + 감사 로그(해시 체이닝). 서명에 공개키 포함.
정책 위반 부인	관리자가 정책 변경 행위를 부인	낮음	PolicyUpdate에 Admin 쿼럼 서명 포함. 변경 이력 Event Store 기록.

Information Disclosure (정보 노출)¶

위협	공격 벡터	위험도	완화 수단
QR 숄더 서핑	QR 코드를 제3자가 촬영	중간	QR에 프라이빗 키 포함 없음 (PSBT/서명 요청은 공개 데이터). 화면 캡처 방지.
USB-C 통신 도청	USB-C 유선 연결은 무선 도청 불가	낮음	유선 직접 연결이므로 근거리 무선 도청 원천 차단. 물리적 케이블 탈취만 가능하나 보안 환경 내 탐지 용이.
SE 사이드 채널	전력 분석, 타이밍 공격으로 키 추출	낮음	EAL5+ SE의 사이드 채널 방어 (하드웨어 수준).

Denial of Service (서비스 거부)¶

위협	공격 벡터	위험도	완화 수단
QR 스캔 방해	카메라 앞에 장애물 배치, 조명 방해	낮음	물리적 보안 통제. 재시도 가능.
WYSIWYS 잠금 유발	의도적으로 3회 연속 해시 불일치 유발	중간	24시간 자동 해제. 잠금 중에도 다른 월렛으로 서명 가능.

Elevation of Privilege (권한 상승)¶

위협	공격 벡터	위험도	완화 수단
오프라인 앱 변조로 정책 우회	앱 2차 정책 검증을 무효화	중간	SE(Zone 3) HW 정책이 최종 방어선. 앱 정책은 보조적. SE 정책 우회 불가.
SE 정책 실시간 오버라이드	관리자가 SE 정책을 즉시 우회 시도	낮음	SE에 실시간 오버라이드 인터페이스 없음. 변경은 쿨다운 필수.

4.2. TB-1: 사용자 ↔ 대시보드¶

STRIDE	위협	위험도	완화 수단
S	피싱으로 자격증명 탈취	높음	MFA (TOTP + FIDO2), 피싱 방지 도메인 검증
S	세션 하이재킹	높음	HTTP-Only Secure Cookie, 세션 IP 바인딩, 짧은 TTL
T	XSS로 TX 데이터 변조	높음	CSP 헤더, 입력 살균, 서버 측 검증. WYSIWYS가 최종 방어.
T	CSRF로 TX 생성 유도	중간	CSRF 토큰, SameSite Cookie, Referer 검증
R	관리자 행위 부인	중간	모든 API 호출 감사 로그, Admin 세션 강화 로깅 (AC-AC-06)
I	API 응답에서 민감 정보 노출	중간	최소 권한 응답, 필드 마스킹, RBAC 기반 필터
D	DDoS 공격	높음	WAF, Rate Limiting, CDN, IP 화이트리스트 (VPN)
E	RBAC 우회 (IDOR 등)	높음	서버 측 권한 검증, UUID 사용 (추측 불가), RBAC 미들웨어

4.3. TB-2: 대시보드 ↔ 블록체인 노드¶

STRIDE	위협	위험도	완화 수단
S	노드 스푸핑 (가짜 노드)	중간	다중 노드 합의 (3개 노드 중 2개 일치), TLS 인증
T	Eclipse 공격 (노드 격리)	중간	다중 독립 노드 (다른 ISP/지역), 블록 헤더 교차 검증
T	프론트러닝	중간	Private mempool 사용 (가능 시), 슬리피지 보호
I	TX 데이터 노출	낮음	블록체인 TX는 공개 데이터. 주소-고객 매핑은 내부 DB에만 저장.
D	노드 장애	중간	노드 풀 3개+, 자동 Failover, 헬스체크 (30초)

4.4. TB-5: 대시보드 ↔ MPC 셰어 서버¶

STRIDE	위협	위험도	완화 수단
S	셰어 서버 위장	중간	mTLS 상호 인증, 서버 인증서 고정 (Certificate Pinning)
T	키 셰어 변조	높음	CGGMP21 Identifiable Abort로 변조 참여자 식별/배제
I	키 셰어 유출	높음	셰어 서버 격리 (별도 VLAN), HSM 저장, 키 리프레시 (7일)
D	셰어 서버 다운	중간	t-of-n 구조 (3-of-5): 2대 다운 허용. 자동 복구.
E	셰어 서버 탈취 후 임계 도달	높음	t개 미만 셰어로는 서명 불가. Kill Switch로 비상 환수.

5. 공격 시나리오 상세 (Top 10)¶

5.1. 대시보드 서버 전면 해킹¶

항목	내용
공격자 프로필	고급 외부 해커 (APT), 국가 수준
공격 경로	웹 취약점(RCE) → 서버 장악 → DB 접근 → 정책 조작
사전 조건	대시보드 인터넷 노출 (Model B/C)
영향도	높음 — TX 생성/조작 가능. 그러나 서명은 불가.
D'CENT 완화	(1) SE가 독립 파싱(WYSIWYS) → 조작된 TX를 하드웨어에서 탐지. (2) HW 정책 엔진이 한도/화이트리스트 재검증. (3) 물리 버튼 없이 서명 불가. (4) Warm Tier만 위험 (최대 5-15%). Kill Switch로 비상 환수.
잔여 위험	LOW — Cold Tier 자산 100% 보호. Warm Tier는 비상 환수로 대응.

5.2. 내부자 공모 공격 (다수 서명자)¶

항목	내용
공격자 프로필	내부 서명자 M명 (임계값 도달 수)
공격 경로	M명이 공모 → 비인가 TX 생성 → 정상 승인/서명 → 자산 탈취
사전 조건	M명의 서명자가 동시에 악의적
영향도	최고 — 정상 절차를 통한 탈취이므로 기술적 방어 한계
D'CENT 완화	(1) HW 정책 엔진: 건당/일일 한도로 단일 TX 탈취 금액 제한. (2) 화이트리스트: 미등록 주소로 전송 불가. (3) 감사 로그: 모든 행위 기록으로 사후 추적. (4) 직무 분리: Initiator ≠ Approver 강제.
잔여 위험	MEDIUM — 기술적 완전 방어 불가. 운영 통제(배경 조사, 분리 보관, 감사)로 보완.

5.3. 오프라인 앱 악성코드 감염¶

항목	내용
공격자 프로필	공급망 공격자, 내부자
공격 경로	앱 빌드 과정 변조 → 악성 앱 설치 → TX 데이터 조작 → SE 전달
사전 조건	앱 빌드 인프라 침해 또는 물리적 앱 교체
영향도	높음 — 앱이 TX 데이터를 변조하여 잘못된 수신 주소로 서명 유도
D'CENT 완화	(1) WYSIWYS가 핵심 방어: SE가 원본 TX를 독립 파싱하여 화면 표시. 앱이 변조해도 SE 화면에 실제 수신 주소/금액 표시. (2) APP_HASH vs SE_PARSE_HASH 대조 → 불일치 시 자동 서명 거부. (3) 앱 코드 서명 검증.
잔여 위험	LOW — WYSIWYS가 앱 변조 공격을 근본적으로 무력화.

5.4. 공급망 공격 (펌웨어 변조)¶

항목	내용
공격자 프로필	공급망 공격자, 제조 과정 개입
공격 경로	펌웨어 빌드 변조 → 악성 펌웨어 배포 → SE 동작 조작
사전 조건	D'CENT 빌드 인프라 침해
영향도	최고 — SE(Root of Trust)가 침해되면 모든 방어 무력화
D'CENT 완화	(1) 펌웨어 서명: 코드 서명 검증 (관리자 쿼럼 승인). (2) 에어갭 펌웨어 업데이트: 네트워크 경유 OTA 금지. (3) SE Attestation: 디바이스 진위 검증. (4) 보안 감사: 정기적 펌웨어 코드 리뷰 + 외부 감사.
잔여 위험	LOW — 다층 방어. 그러나 잔여 위험 수용 (제조사 신뢰 필수).

5.5. QR 코드 중간자 공격¶

항목	내용
공격자 프로필	물리적 접근 가능한 공격자
공격 경로	대시보드 ↔ 오프라인 앱 사이에서 QR 교체 (화면 덮어쓰기, 프로젝터 등)
영향도	높음 — 조작된 TX가 서명될 수 있음
D'CENT 완화	(1) WYSIWYS: SE가 원본 파싱 → 조작된 주소/금액 SE 화면에서 감지. (2) payload_hash: 무결성 검증. (3) APP_HASH 불일치 → 자동 서명 거부. (4) 물리적 보안: 서명 환경의 물리적 통제 (CCTV, 접근 제한).
잔여 위험	LOW — WYSIWYS가 핵심 방어. 사용자가 SE 화면을 확인하지 않는 경우만 위험.

5.6. USB 디바이스 위장 공격¶

항목	내용
공격자 프로필	물리 접근 가능한 공격자
공격 경로	악성 USB 디바이스를 정품 D'CENT X 콜드월렛으로 위장 → 오프라인 앱에 연결 → 위조 서명 응답 주입
영향도	낮음 — USB-C 유선 연결은 물리적 교체가 필요하며, 보안 환경 내에서 탐지 용이
D'CENT 완화	(1) USB VID/PID 검증: 오프라인 앱이 D'CENT 고유 VID/PID 확인. (2) SE 공개키 매칭: 등록된 SE 공개키와 디바이스 응답 대조 → 위장 디바이스 자동 거부. (3) WYSIWYS: SE 화면에 TX 내용 표시 → 사용자가 물리 버튼으로 최종 확인.
잔여 위험	LOW — USB VID/PID + SE 공개키 검증 + 물리 버튼 조합으로 방어.

5.7. MPC 셰어 서버 침해¶

항목	내용
공격자 프로필	서버 해커, 내부자
공격 경로	t개 미만 셰어 서버 침해 → 키 셰어 탈취
영향도	중간 — t개 미만이면 서명 불가. 그러나 셰어 정보 노출.
D'CENT 완화	(1) t-of-n 구조: t개 미만 셰어로는 서명 불가. (2) 키 리프레시(7일): 탈취된 셰어 무효화. (3) CGGMP21 Identifiable Abort: 악의적 서버 식별/배제. (4) Kill Switch: 위협 감지 시 Warm 전액 Cold 환수.
잔여 위험	MEDIUM — t개 이상 동시 침해 시 Warm 자산 위험. Cold 자산 영향 없음.

5.8. PIN 무차별 대입 (콜드월렛)¶

항목	내용
공격자 프로필	디바이스 물리 탈취
공격 경로	콜드월렛 물리 탈취 → PIN 무차별 대입 → SE 접근
영향도	높음 — PIN 돌파 시 서명 가능 (해당 디바이스 키)
D'CENT 완화	(1) PIN 오류 횟수 제한(5회) → 잠금. (2) PUK 코드 별도 보관. (3) 10회 연속 실패 시 SE 데이터 삭제 (선택적). (4) M-of-N: 단일 디바이스로는 임계값 미달.
잔여 위험	LOW — PIN 잠금 + M-of-N 조합으로 방어.

5.9. SE 물리 공격 (Side-channel, Fault Injection)¶

항목	내용
공격자 프로필	국가 수준 공격자, 전문 실험실
공격 경로	SE 칩 물리 공격 → 키 추출 시도
영향도	최고 — 키 추출 성공 시 해당 디바이스 키 탈취
D'CENT 완화	(1) CC EAL5+ SE: 사이드 채널, Fault Injection 방어 설계. (2) Tamper-resistant 패키징. (3) M-of-N: 단일 키로는 임계값 미달. (4) 키 로테이션으로 정기적 갱신.
잔여 위험	LOW — EAL5+ 인증이 물리 공격 방어 보증. EAL6+ 목표로 추가 강화.

5.10. 규제 명령에 의한 자산 동결/이전¶

항목	내용
공격자 프로필	규제 기관 (적법한 명령)
공격 경로	규제 명령 → 자산 동결 또는 이전 요구
영향도	중간 — 적법 명령이나 대응 절차 필요
D'CENT 완화	(1) 긴급 승인 체계: 축소 쿼럼으로 신속 대응. (2) 감사 로그: 규제 기관에 완전한 이력 제공. (3) 자산 동결: 대시보드 정책으로 출금 즉시 차단 가능. (4) Kill Switch: Warm 자산 즉시 Cold 환수.
잔여 위험	LOW — 적법한 명령에 대한 대응 절차 확보.

6. 완화 전략 매트릭스¶

6.1. D'CENT 방어 계층¶

Layer 1: 에어갭 (Air-Gap)
    └─ Zone 1 ↔ Zone 3 직접 통신 원천 차단
    └─ 원격 공격 벡터 제거

Layer 2: WYSIWYS (What You See Is What You Sign)
    └─ SE가 TX를 독립 파싱 → 소프트웨어 변조 무효화
    └─ 해시 불일치 시 자동 서명 거부

Layer 3: HW 정책 엔진 (Hardware Policy Engine)
    └─ 건당/일일 한도, 화이트리스트, 서명 횟수 제한
    └─ 소프트웨어 침해 시에도 하드웨어가 정책 강제

Layer 4: 다중 서명 (MuSig2 / Safe / MPC-TSS)
    └─ 단일 키/디바이스로는 서명 불가
    └─ M명 이상의 공모가 필요

6.2. NIST CSF 매핑¶

NIST CSF 기능	완화 수단
Govern	RBAC 5역할 체계, 정책 버전 관리, Admin 쿼럼 승인
Identify	STRIDE 위협 모델 (본 문서), DFD 기반 자산 식별, Trust Boundary 분류
Protect	에어갭, WYSIWYS, HW 정책, MFA, 암호화, 키 격리 (SE)
Detect	감사 로그 해시 체이닝, WYSIWYS 불일치 감지, 비정상 서명 패턴 감지
Respond	Kill Switch, 긴급 승인 체계, WYSIWYS 자동 잠금, 서명자 비활성화
Recover	시드 백업 (금속), 키 세레모니, MPC 키 리프레시, 사업 연속성 계획

6.3. 위협별 완화 매핑 요약¶

위협	에어갭	WYSIWYS	HW 정책	다중 서명	감사 로그
대시보드 해킹	서명 불가	TX 변조 탐지	한도 강제	M명 필요	이력 추적
내부자 공모	-	TX 확인	한도/주소 제한	임계값	비부인
앱 변조	-	핵심 방어	최종 검증	-	불일치 기록
펌웨어 변조	-	-	-	-	펌웨어 서명
QR MITM	-	핵심 방어	-	-	무결성 해시
USB 위장	-	물리 버튼	-	-	VID/PID + SE 공개키
MPC 침해	Cold 보호	-	-	t-of-n	Kill Switch
PIN 무차별	-	-	-	M-of-N	잠금
SE 물리 공격	-	-	-	M-of-N	EAL5+
규제 명령	-	-	동결 가능	-	완전 이력

7. 잔여 위험 (Residual Risk) 분석¶

7.1. 잔여 위험 목록¶

ID	잔여 위험	위험도	수용 근거
RR-01	M명 이상 서명자 동시 공모	MEDIUM	기술적 완전 방어 불가. 운영 통제(배경 조사, 감사, 보험)로 보완.
RR-02	SE 제조사(칩 벤더) 백도어	LOW	EAL5+ 인증이 독립 평가를 포함. 복수 벤더 SE 지원 검토.
RR-03	양자 컴퓨팅에 의한 키 해독	LOW	현재 기술 수준에서 위협 아님. 향후 PQC(Post-Quantum Crypto) 마이그레이션 계획.
RR-04	MPC 셰어 t개 이상 동시 침해	MEDIUM	키 리프레시(7일)로 완화. 최대 손실 Warm 자산(5-15%)으로 제한.
RR-05	사용자가 WYSIWYS 화면을 확인하지 않고 승인	MEDIUM	교육/훈련으로 완화. 기술적으로는 물리 버튼 + 경고 체계로 최대한 유도.
RR-06	금속 시드 백업 물리적 탈취	MEDIUM	지리적 분산(2+ 위치), 금고 보관, 접근 통제로 완화.

7.2. 위험 수용 기준¶

CCSS Level 2: RR-01~06 모두 수용 가능 범위. 운영 통제 보완 시 Level 2 충족.
CCSS Level 3: RR-01, RR-04, RR-05에 대한 추가 완화 필요 (강화된 운영 절차, 보험).
잔여 위험 재평가: 분기별 재평가 + 보안 사고 발생 시 즉시 재평가.

8. Phase 2 컴플라이언스 매핑¶

8.1. STRIDE → AC-ID 제약조건 매핑¶

STRIDE 카테고리	관련 AC-ID	완화 제약조건
Spoofing	AC-AC-01, AC-AC-02	RBAC, MFA
Tampering	AC-TX-02, AC-NW-03	WYSIWYS, 데이터 무결성
Repudiation	AC-AU-01, AC-AU-02	변조 불가 감사 로그, 온/오프라인 동기화
Info Disclosure	AC-KM-02, AC-NW-01	키 SE 격리, 에어갭
Denial of Service	AC-DR-01, AC-DR-02	키 백업/복구, 대체 서명자
Elevation of Privilege	AC-AC-03, AC-GV-02	쿼럼 승인, 정책 변경 통제

8.2. CCSS Aspect별 위협 커버리지¶

CCSS Aspect	관련 위협 시나리오	완화 상태
Aspect 1: 키 생성	SE 물리 공격 (5.9)	EAL5+ TRNG — 충족
Aspect 3: 키 저장	SE 물리 공격 (5.9), 시드 탈취 (RR-06)	SE 격리 + 분산 백업 — 충족
Aspect 5: 키 사용	내부자 공모 (5.2), 앱 변조 (5.3)	M-of-N + WYSIWYS — 충족
Aspect 6: 접근 통제	피싱 (TB-1), RBAC 우회 (TB-1)	MFA + RBAC — 충족
Aspect 8: 데이터 삭제	PIN 무차별 (5.8)	SE 삭제 + 디바이스 폐기 — 충족
Aspect 10: 감사	행위 부인 (TB-3 R)	해시 체이닝 감사 로그 — 충족

9. 위협 모델 유지보수 계획¶

9.1. 갱신 주기¶

트리거	주기	범위
정기 갱신	분기별	전체 STRIDE 재평가, 잔여 위험 재검토
신규 체인 추가	체인 추가 시	해당 체인의 고유 위협 분석, 어댑터 보안 검토
아키텍처 변경	변경 시	영향 받는 Trust Boundary 재분석
보안 사고	사고 발생 즉시	Root Cause Analysis → 위협 모델 업데이트
경쟁사 사고	업계 사고 시	유사 공격 벡터 존재 여부 점검

9.2. 갱신 절차¶

1. 위협 재평가 (STRIDE 매트릭스 업데이트)
2. 잔여 위험 재평가 (수용/추가 완화 결정)
3. 완화 전략 업데이트 (필요 시)
4. 문서 버전 증가 + 변경 이력 기록
5. 관련 팀 공유 (보안팀, 개발팀, 경영진)
6. CCSS/SOC 2 감사 준비 자료 업데이트

본 문서는 Phase 5 System Architecture Design의 최종 문서로, Plan 01-03에서 설계한 3-Zone 아키텍처, 데이터 흐름, 프로토콜, 컴포넌트 아키텍처를 STRIDE 관점에서 종합 분석한다. Phase 2 compliance-architecture-matrix.md의 42개 AC-ID 제약조건과 교차 검증하여, 보안 인증(CCSS, SOC 2) 준비의 기반을 제공한다. NIST CSF v2.0의 6가지 기능에 완화 전략을 매핑하여 체계적 보안 관리 프레임워크를 구성한다.