v0.2

콜드룸 정의 및 물리 보안 표준 분석¶

1. Executive Summary¶

본 문서는 암호화폐 엔터프라이즈 커스터디에서 "콜드룸(Cold Room)"의 정의를 명확히 하고, 콜드룸 운영에 적용되는 3대 보안 표준(CCSS v9.0, SOC 2 Type II, ISO 27001:2022)의 물리 보안 요건을 체계적으로 분석한다.

핵심 결론:

콜드룸은 단순한 물리 공간이 아니라 "보안 통제의 집합체"이다. Faraday cage 수준의 전자기 차폐, 다중 접근 통제, 듀얼 컨트롤, 환경 모니터링, 감사 추적이 통합된 운영 환경을 의미한다.
3대 표준은 물리 보안 요건에서 약 60% 중복된다. 통합 매트릭스로 관리하면 "한 번 구축, 다중 인증" 전략이 가능하다.
D'CENT Enterprise의 에어갭 아키텍처는 콜드룸 환경에서 CCSS Level 3의 물리 보안 요건 대부분을 설계 수준에서 충족한다. 콜드월렛이 네트워크에 연결되지 않으므로, 콜드룸의 네트워크 격리 요건이 디바이스 수준에서 자동 충족된다.

2. 콜드룸 정의¶

2.1. 물리적 정의¶

콜드룸(Cold Room)은 암호화폐 키 관리 및 서명 작업을 수행하기 위해 설계된 물리적으로 격리되고 통제된 보안 공간이다.

요소	요건	목적
전자기 차폐	Faraday cage 또는 동등 수준의 RF 차폐	전자기 도청(TEMPEST), 무선 신호 유출 방지
네트워크 격리	WiFi AP 미설치, 유선 네트워크 물리적 미연결, Bluetooth/NFC 비활성화	원격 접근 및 데이터 유출 원천 차단
물리적 접근 통제	다중 인증(배지 + 생체), 맨트랩(mantrap), 이중 잠금	비인가 접근 방지, 단일 실패점 제거
환경 통제	온도(18-24C), 습도(40-60%), 전력 이중화(UPS + 발전기)	장비 보호, 연속 운영 보장
감시 시스템	CCTV(입구, 내부), 침입 탐지 센서, 진동 센서	물리적 침입 탐지 및 기록
감사 추적	출입 로그(전자식), 작업 로그(수기 + 디지털), 봉인 기록	모든 접근과 작업의 추적 가능성 확보

2.2. 운영적 정의¶

콜드룸은 물리적 공간 그 자체만을 의미하지 않으며, 그 공간에서 수행되는 보안 운영 절차의 집합을 포함한다.

콜드룸에서 수행되는 주요 작업:

작업	설명	빈도
키 세레모니	초기 키 생성, 서명자 추가/교체, 키 로테이션	설정 시 1회, 이후 필요시
서명 세션	다중 서명 트랜잭션의 동기 집결 서명 수행	주 1-2회 ~ 일 1회
백업 작업	시드 백업 생성, 백업 검증, 백업 교체	분기 1회 검증
감사 작업	디바이스 무결성 검증, 봉인 확인, 인벤토리 확인	월 1회 이상
긴급 복구	디바이스 장애 시 백업 복구, 서명자 긴급 교체	비상 시

운영 규칙:

듀얼 컨트롤(Dual Control): 콜드룸 입장 및 모든 작업은 최소 2인 이상 동시 수행
전자기기 반입 금지: 개인 휴대폰, 노트북, 스마트워치 등 네트워크 가능 기기 반입 금지
체인 오브 커스터디(Chain of Custody): 디바이스, 시드 백업, 봉인 백의 모든 이동을 기록
세션 기반 운영: 모든 작업은 사전 정의된 세션(시작-종료) 단위로 수행하며, 세션 로그를 생성
시간 제한: 콜드룸 내 체류 시간 상한 설정(통상 4시간), 장시간 작업 시 교대

2.3. 비콜드룸과의 경계¶

콜드룸과 비콜드룸(일반 사무실 환경)의 핵심 차이점:

구분	콜드룸	비콜드룸 (일반 사무실)	비콜드룸 (보안 캐비닛)
전자기 차폐	Faraday cage 수준	없음	없음
네트워크 격리	물리적 완전 격리	WiFi/유선 존재	WiFi/유선 존재
접근 통제	맨트랩 + 다중 인증	사무실 출입카드	캐비닛 잠금 + 출입카드
듀얼 컨트롤	필수 (2인 이상)	선택	권장
CCTV	전용 시스템	사무실 일반 CCTV	사무실 일반 CCTV
환경 통제	전용 HVAC	사무실 공용	사무실 공용
감사 추적	전용 출입 로그 + 작업 로그	사무실 출입 로그만	캐비닛 개폐 로그
CCSS 대응	Level 3 가능	Level 1 수준	Level 2 가능

2.4. "콜드룸"이 아닌 것¶

콜드룸과 혼동되지만 콜드룸이 아닌 환경:

환경	콜드룸이 아닌 이유
일반 서버실	네트워크 연결 존재, 전자기 차폐 없음, 키 관리 전용 아님
HSM이 설치된 데이터센터	HSM은 하드웨어 보안 모듈이지 물리 환경이 아님. 네트워크 연결된 HSM은 콜드룸의 요건을 충족하지 않음
잠긴 서랍/캐비닛	접근 통제 수준 미달, 전자기 차폐 없음, 듀얼 컨트롤 미보장
은행 금고(Safe Deposit Box)	키 세레모니/서명 작업 수행 불가, 전자기 차폐 미보장, 운영적 정의 미충족
셀프 스토리지	보안 모니터링 미달, 환경 통제 없음, 감사 추적 불충분

핵심 구분 기준: 콜드룸은 "보관"만을 위한 공간이 아니라, 키 관리 작업을 안전하게 수행할 수 있는 운영 환경이다. 단순히 하드웨어를 보관하는 금고와 달리, 콜드룸은 키 세레모니, 서명 세션, 감사 작업을 위한 작업 공간이자 보안 통제의 집합체이다.

3. CCSS v9.0 물리 보안 요건¶

3.1. Level 2 물리 보안 요건¶

CCSS Level 2는 "Standard Security" 수준으로, 엔터프라이즈 커스터디의 기본 요건이다.

Aspect	물리 보안 관련 요건	콜드룸 충족 방식
Aspect 1: Key/Seed Generation	키 생성 환경 격리, DRBG 검증	콜드룸의 전자기 차폐 + 네트워크 격리가 키 생성 환경 격리 자동 충족
Aspect 2: Wallet Creation	다중 서명 월렛 생성, 서명자 구성 정책	콜드룸 내 키 세레모니에서 다중 서명 월렛 구성
Aspect 3: Key Storage	이중화된 키 저장(primary + backup), 물리적 보안 통제, 키 접근 로깅	콜드룸 내 디바이스 보관 + 별도 사이트 시드 백업으로 이중화 충족
Aspect 4: Key Usage	다중 승인 요구(M-of-N), 서명자별 권한 분리, 트랜잭션 정책 적용	콜드룸 내 동기 집결 서명으로 M-of-N 물리적 실현
Aspect 5: Key Compromise Protocol	정형화된 인시던트 대응 계획, 키 교체 절차	콜드룸이 키 교체 세레모니의 물리 환경 제공
Aspect 6: Data Sanitization	정형화된 데이터 삭제 정책, 삭제 검증, 디바이스 폐기 절차	콜드룸 내에서 디바이스 초기화 및 물리적 파기 수행
Aspect 8: Proof of Reserve	정기적 Proof of Reserve 보고, 제3자 검증 가능 구조	콜드룸 감사 세션에서 PoR 검증 가능

3.2. Level 3 물리 보안 요건¶

CCSS Level 3은 "Advanced Security" 수준으로, 글로벌 커스터디안에게 요구되는 최고 수준이다.

Aspect	Level 3 추가 물리 보안 요건	콜드룸 충족 방식
Aspect 1: Key/Seed Generation	다중 엔트로피 소스, 키 세레모니 프로세스, 외부 감사	콜드룸이 키 세레모니의 물리적 보안 환경 보장. 외부 감사인 입회 가능
Aspect 3: Key Storage	지리적 분산 키 저장, HSM 또는 동등 수준, 자동 키 로테이션	다수 콜드룸의 지리적 분산 배치 (최소 2개 도시/국가)
Aspect 4: Key Usage	자동화된 정책 집행, 실시간 이상 탐지, 서명 감사 추적	콜드룸 내 정책 집행은 하드웨어(SE) 수준에서 보장
Aspect 7: Third Party Audits	분기별 외부 감사, 실시간 모니터링, 감사 결과 공개	콜드룸 운영 기록이 감사 증빙으로 제출 가능
Aspect 10: Audit Logs	실시간 로그 모니터링, 이상 패턴 탐지, 법적 증거 수준	콜드룸 출입 로그 + 작업 로그의 변조 불가 보관

3.3. CCSS 콜드룸 자동 충족 매핑¶

콜드룸이 CCSS 요구사항을 자동 충족하는 항목의 매핑:

CCSS 요구사항	Level	자동 충족	근거
키 생성 환경 격리	L2	Yes	콜드룸의 전자기 차폐 + 네트워크 격리
물리적 보안 통제	L2	Yes	콜드룸의 접근 통제 + 모니터링
키 접근 로깅	L2	Yes	콜드룸 출입 로그 + CCTV
네트워크 격리	L2/L3	Yes	콜드룸 네트워크 미설치
외부 감사 환경	L3	Yes	콜드룸 기록이 감사 증빙
지리적 분산	L3	Partial	다수 콜드룸 구축 시 충족 (비용 발생)
자동화된 정책 집행	L3	No	하드웨어(SE) 정책 엔진 필요 (콜드룸 자체로는 불충분)
실시간 이상 탐지	L3	No	소프트웨어 시스템 필요

4. SOC 2 Type II 물리 보안 관련 요건¶

4.1. 물리 보안 관련 TSC 컨트롤¶

SOC 2 Type II의 5개 Trust Services Criteria(TSC) 중 물리 환경과 직접 관련된 컨트롤:

CC6.4 — Physical Access Controls (물리적 접근 통제)¶

요구사항	상세	콜드룸 충족 방식
물리적 접근 제한	시설, 장비, 데이터에 대한 비인가 물리적 접근 차단	콜드룸 다중 접근 통제(배지+생체+맨트랩)
접근 기록	모든 물리적 접근의 로깅	전자식 출입 로그 + CCTV 녹화
방문자 관리	방문자 식별, 에스코트, 기록	콜드룸 방문자는 사전 승인 + 에스코트 필수
장비 보호	하드웨어 자산의 물리적 보호	콜드월렛/시드 백업의 물리적 보관 통제

CC6.5 — Logical and Physical Access (논리적/물리적 접근 통합)¶

요구사항	상세	콜드룸 충족 방식
접근 권한 관리	물리적 접근 권한의 부여/변경/회수 프로세스	콜드룸 접근 권한은 RBAC 역할에 연동, 역할 변경 시 자동 갱신
접근 권한 검토	정기적 접근 권한 적정성 검토	분기별 콜드룸 접근 권한자 목록 검토
다중 인증	고위험 영역에 대한 다중 인증	콜드룸 입장 시 배지 + 생체 인증

CC6.6 — Boundary Protection (경계 보호)¶

요구사항	상세	콜드룸 충족 방식
네트워크 경계 보호	외부 네트워크와의 경계 보호	콜드룸은 네트워크 미연결로 경계 보호 자동 충족
데이터 유출 방지	기밀 데이터의 비인가 외부 전송 차단	전자기 차폐 + 전자기기 반입 금지로 데이터 유출 경로 차단
침입 탐지	물리적/논리적 침입 탐지	콜드룸 침입 탐지 센서 + CCTV

4.2. SOC 2 물리 보안 충족 요약¶

SOC 2 컨트롤	콜드룸 자동 충족	추가 조치 필요 사항
CC6.4 물리적 접근 통제	Yes	접근 로그 보존 기간 정책 필요
CC6.5 논리/물리 접근 통합	Partial	논리적 접근(대시보드 RBAC)과의 연동 필요
CC6.6 경계 보호	Yes	에어갭 디바이스 사용 시 추가 조치 불필요
A1.2 환경 보호	Yes	콜드룸 환경 통제(온도/습도/전력)
CC7.2 시스템 모니터링	Partial	콜드룸 CCTV는 물리 모니터링만 충족, 시스템 모니터링은 별도

5. ISO 27001:2022 물리 보안 관련 컨트롤¶

5.1. Annex A.7 Physical Controls (물리적 컨트롤)¶

ISO 27001:2022 Annex A의 물리적 컨트롤 14개 항목과 콜드룸 적용 분석:

컨트롤 ID	명칭	요구사항	콜드룸 적용
A.7.1	물리적 보안 경계	보안 영역의 물리적 경계 정의 및 보호	콜드룸은 독립된 보안 경계로 정의. 벽, 천장, 바닥의 물리적 차폐
A.7.2	물리적 출입 통제	보안 영역에 대한 접근 통제	맨트랩, 배지+생체 인증, 듀얼 컨트롤
A.7.3	사무실, 방, 시설 보안	사무실/방/시설의 물리적 보안	콜드룸은 전용 보안 시설로 설계, 일반 사무실과 분리
A.7.4	물리적 보안 모니터링	보안 영역의 지속적 모니터링	24/7 CCTV, 침입 탐지 센서, 원격 알림
A.7.5	물리적/환경적 위협 보호	자연재해, 환경 위협으로부터의 보호	내화 구조, 방수 처리, UPS/발전기, 온습도 통제
A.7.6	보안 영역에서의 작업	보안 영역 내 작업 규칙 정의	콜드룸 작업 프로토콜(세션 기반, 전자기기 금지 등)
A.7.7	클리어 데스크/클리어 스크린	작업 후 민감 정보 미노출	콜드룸 세션 종료 시 모든 자료 회수, 화면 잠금
A.7.8	장비 배치 및 보호	장비의 안전한 배치	콜드월렛/서명 앱 디바이스의 정위치 보관
A.7.9	사무실 외부 자산 보안	외부로 반출된 자산의 보호	콜드월렛 반출 시 체인 오브 커스터디 기록, 이동 보안 프로토콜
A.7.10	저장 매체	저장 매체의 관리	금속 시드 플레이트, USB(설치 미디어)의 보관 및 폐기
A.7.11	지원 유틸리티	전력, 통신 등 유틸리티 보호	UPS, 비상 발전기, 전용 전력 라인
A.7.12	케이블링 보안	케이블의 물리적 보호	콜드룸 내 네트워크 케이블 없음 (에어갭). 전원 케이블만 보호
A.7.13	장비 유지보수	장비의 정기 유지보수	콜드월렛 펌웨어 업데이트, 디바이스 무결성 검증(에어갭 유지)
A.7.14	장비의 안전한 폐기/재사용	장비 폐기 시 데이터 삭제	SE 보안 삭제(제로필), 물리적 파기 절차, 증인 입회

5.2. ISO 27001 물리 컨트롤 충족 요약¶

충족 수준	컨트롤	비고
자동 충족	A.7.1, A.7.2, A.7.3, A.7.4, A.7.5, A.7.6, A.7.8, A.7.12	콜드룸 설계 시 기본 충족
절차 수립 필요	A.7.7, A.7.9, A.7.10, A.7.13, A.7.14	운영 절차 문서화 필요
추가 설비 필요	A.7.11	UPS/발전기 등 유틸리티 보호 설비

6. 물리 보안 요건 통합 매트릭스¶

3개 표준의 물리 보안 요건을 하나의 통합 프레임워크로 매핑한다. 이 매트릭스는 콜드룸 구축 시 체크리스트로 사용 가능하다.

보안 통제 항목	CCSS Level 2	CCSS Level 3	SOC 2 Type II	ISO 27001:2022
1. 물리적 경계 보호	키 저장 구역 물리 보안 (Aspect 3)	지리적 분산 보안 구역 (Aspect 3)	CC6.4 물리적 접근 제한	A.7.1 물리적 보안 경계
2. 접근 통제 (인증)	키 접근 로깅 (Aspect 3)	다중 인증 접근 통제	CC6.4 접근 기록, CC6.5 다중 인증	A.7.2 물리적 출입 통제
3. 듀얼 컨트롤	다중 승인 (Aspect 4, M-of-N)	전 작업 듀얼 컨트롤	CC6.5 직무 분리	A.5.3 직무 분리
4. 환경 통제	키 저장 환경 보호	지리적 분산 환경 보호	A1.2 환경 보호	A.7.5 환경적 위협 보호, A.7.11 유틸리티
5. 전자기 차폐	명시적 요구 없음	권장 (Best Practice)	명시적 요구 없음	A.7.5 환경적 위협 보호 (간접)
6. 네트워크 격리	키 저장소 네트워크 격리 (Aspect 3)	완전 격리 (에어갭)	CC6.6 경계 보호	A.7.12 케이블링 보안 (간접)
7. CCTV/모니터링	물리적 보안 모니터링	실시간 모니터링	CC7.2 시스템 모니터링	A.7.4 물리적 보안 모니터링
8. 침입 탐지	물리 침입 대응 (Aspect 5)	자동화된 침입 탐지	CC6.6 침입 탐지	A.7.4 보안 모니터링
9. 감사 추적 (물리)	키 접근 로깅 (Aspect 10)	법적 증거 수준 로그 (Aspect 10)	CC6.4 접근 기록	A.7.2 출입 통제 기록
10. 방문자 관리	명시적 요구 없음	외부 감사인 접근 관리 (Aspect 7)	CC6.4 방문자 관리	A.7.2 출입 통제
11. 장비 보호	키 저장 하드웨어 보호 (Aspect 3)	HSM/SE 수준 하드웨어 (Aspect 3)	CC6.4 장비 보호	A.7.8 장비 배치 및 보호
12. 자산 반출 통제	명시적 요구 없음	키 이동 시 보안 (Aspect 3)	명시적 요구 없음	A.7.9 외부 자산 보안
13. 매체 관리	데이터 삭제 정책 (Aspect 6)	물리적 파기 절차 (Aspect 6)	명시적 요구 없음	A.7.10 저장 매체
14. 장비 폐기	보안 삭제 (Aspect 6)	물리적 파기 + 증명 (Aspect 6)	명시적 요구 없음	A.7.14 안전한 폐기
15. 유지보수	명시적 요구 없음	명시적 요구 없음	명시적 요구 없음	A.7.13 장비 유지보수
16. 전력 보호	명시적 요구 없음	고가용성 환경 (간접)	A1.2 환경 보호	A.7.11 지원 유틸리티
17. 정기 감사	연 1회 외부 감사 (Aspect 7)	분기별 외부 감사 (Aspect 7)	Type II 감사 기간	A.5.35 정보보안 독립 검토

6.1. 통합 매트릭스 분석¶

표준 간 중복도: - CCSS-SOC 2 중복: 약 55% (주로 접근 통제, 모니터링, 감사 영역) - CCSS-ISO 27001 중복: 약 65% (물리 보안 컨트롤 전반) - SOC 2-ISO 27001 중복: 약 60% (접근 통제, 환경 보호) - 3개 표준 공통 중복: 약 45% (접근 통제, 모니터링, 감사 추적)

콜드룸이 자동 충족하는 항목: 17개 중 12개 (71%) - 자동 충족: #1~#4, #6~#10, #13, #14, #17 - 절차 수립 필요: #5(전자기 차폐 설계), #11(장비 보호 기준), #12(반출 절차), #15(유지보수 절차), #16(전력 설비)

7. D'CENT Enterprise 적용 시사점¶

7.1. 에어갭 아키텍처의 콜드룸 보완 효과¶

D'CENT Enterprise의 에어갭 아키텍처는 콜드룸 환경에서 추가적인 보안 계층을 제공한다:

보안 계층	콜드룸 제공	D'CENT 에어갭 제공	중첩 효과
네트워크 격리	공간 수준 격리	디바이스 수준 격리	이중 격리 (공간 + 디바이스)
키 보호	물리적 접근 통제	SE(EAL5+) 하드웨어 보호	물리 + 하드웨어 이중 보호
서명 무결성	듀얼 컨트롤로 절차 검증	WYSIWYS로 트랜잭션 검증	절차 + 기술 이중 검증
감사 추적	출입 로그 + 작업 로그	디바이스 서명 로그	물리 + 디지털 이중 감사
전자기 보호	Faraday cage	에어갭(네트워크 미연결)	이중 차폐

7.2. 콜드룸 환경에서의 표준 충족도 예비 평가¶

표준	목표 수준	콜드룸 + D'CENT 에어갭 충족도	추가 조치
CCSS	Level 2 (출시)	약 85% 자동 충족	운영 절차 문서화, 외부 감사 체계
CCSS	Level 3 (12개월)	약 70% 자동 충족	지리적 분산 콜드룸, 실시간 모니터링, 자동화 정책
SOC 2	Type II	약 75% 자동 충족	6-12개월 운영 증적, 논리적 접근 통제 연동
ISO 27001	전체 ISMS	약 80% 물리 컨트롤 충족	ISMS 전체 프레임워크(조직, 인적, 기술 컨트롤) 별도 필요

7.3. 비콜드룸 환경에서의 예비 평가¶

콜드룸 없이 D'CENT Enterprise를 운영하는 경우:

표준	에어갭 디바이스만의 충족도	주요 갭
CCSS Level 2	약 60%	물리적 접근 통제, 듀얼 컨트롤, 감사 추적 미달
CCSS Level 3	약 40%	지리적 분산, 환경 통제, 전자기 차폐 미달
SOC 2	약 55%	물리적 접근 통제(CC6.4), 환경 보호(A1.2) 미달
ISO 27001	약 50%	A.7 물리적 컨트롤 대부분 미달

시사점: 비콜드룸 환경의 고객에게는 에어갭 디바이스의 자체 보안에 더해, 물리 보안 갭을 메우는 보완 조치(Compensating Controls)가 필요하다. 이 보완 조치는 Plan 02(11-02-PLAN)에서 상세 설계한다.

7.4. Phase 12-15 연계¶

이 문서에서 확립된 콜드룸 정의와 물리 보안 표준은 후속 Phase에서 다음과 같이 참조된다:

Phase	참조 내용
Phase 12: 도입 시나리오 매트릭스	물리 환경(콜드룸/비콜드룸) 차원의 정의 기준
Phase 13: 서명 플로우 설계	콜드룸 동기 집결 서명의 물리 환경 요건
Phase 14: 세그먼트별 사용자 플로우	고객 유형별 예상 콜드룸 운영 수준
Phase 15: 도입 여정 플로우	Day-0 물리 환경 평가 기준, 콜드룸 구축 가이드

본 문서는 Phase 11 콜드룸 운영 비교 리서치의 기반 문서로서, COLD-01(콜드룸 정의 및 물리 보안 표준 정리) 요구사항을 충족한다. 기존 security-certifications.md의 CCSS/SOC 2/ISO 27001 분석을 콜드룸 물리 보안 관점으로 확장하였으며, Plan 02의 위협 모델 비교와 보완 조치 설계의 기준선이 된다.