Iris 보안 감사 자동화 가이드

지난 가이드에서 우리는 회사 보안을 네 기둥(키·권한·스킬·격리)으로 손으로 점검했습니다. 그런데 손 점검에는 한 가지 함정이 있죠. 한두 번은 하지만, 그러다 안 하게 됩니다. 이번 단계에서는 그 점검을 사람 손에서 떼어 Iris 감사 에이전트에게 맡기고, 정해진 시간마다·작업이 끝날 때마다 점검이 스스로 돌아가게 만듭니다.

💡 사전 요구사항: 헤르메스 보안 — 팀 규모 점검·감사 가이드의 4기둥 점검을 먼저 보고 오시면 이번 자동화가 훨씬 잘 이해됩니다.

## 1. 보안 감사 전용 프로필 만들기

먼저 보안 감사만 맡는 프로필을 따로 만듭니다. 사람처럼 꾸미는 게 아니라, 보안 점검이라는 역할 하나를 가진 프로필을 만드는 거예요. 모델 인증은 기존 프로필에서 복사해 가져옵니다(빈 프로필은 키가 없어 모델 호출이 안 되므로 --clone-from이 필수).

hermes profile create iris --clone-from sophie \
  --description "MAGMA 보안 감사 — 키·권한·스킬·격리 네 가지를 점검하고 위험만 보고한다"

💡 설명(--description)은 나중에 칸반이 일을 나눌 때 "보안은 여기로" 하고 역할을 알아보는 데도 쓰입니다.

SOUL.md — 프로필의 정체성 파일

프로필을 만들었으면 SOUL 파일을 적어줍니다. SOUL은 이 직원이 누구이고 어떻게 일하는지 적어두는 정체성 파일이에요. MAGMA 직원은 모두 같은 골격으로 씁니다.

# Iris — MAGMA 보안 감사역
회사(무엇을 하는 곳) · 소속 · 역할과 주업무 · 성격과 말투 · 일하는 방식
## 공통 컨벤션 (MAGMA 전 직원)   ← 맨 아래, 모든 직원이 똑같이

⚠️ 꼭 챙길 것 — SOUL 맨 아래의 공통 컨벤션 한 덩이(한국어로 결론부터, 사실과 의견 구분, 과장 금지, 영역 밖은 동료에게, 회사 공동 목표 기여)는 Sophie·Mia·Iris가 글자까지 똑같이 맞춥니다. 새 직원을 들일 때 이 덩이를 빠뜨리면 그 직원만 회사 규칙 밖에서 따로 놀게 됩니다. 기존 직원의 SOUL을 열어 이 부분을 그대로 가져와 붙이세요.

## 2. 4기둥 점검을 스킬로 묶기

손으로 돌린 네 기둥 점검을 Iris 전용 스킬로 묶습니다. 키·권한·스킬·격리를 순서대로 보고, 위험만 세 부분(잘하는 것 / 조치 필요 / 새로 생긴 위험)으로 보고하라는 체크리스트예요.

설치 — 두 가지 방법

hermes -p iris skills install dandacompany/dante-skills/iris-security-audit --category security

명령이 익숙하지 않으면 화면에서도 됩니다. 채팅창에 슬래시 명령을 치면 스킬을 검색·설치하는 화면이 뜹니다.

/skills

💡 카테고리를 security로 줘서 보안 폴더 안에 자리 잡게 했습니다. 둘 중 편한 쪽으로 설치하세요.

점검 호출 — 자연어로

설치한 스킬은 슬래시로 바로 부를 수 있습니다. 스킬 이름 앞에 슬래시를 붙이고, 뒤에 자연어로 부탁을 적으면 됩니다.

/iris-security-audit 우리 회사 보안을 네 기둥으로 점검하고, 위험한 것만 세 부분으로 보고해줘. 이상이 있으면 하나씩 같이 처리하자.

✅ Iris가 환경 변수 파일 권한을 확인하고, 금고 연동을 확인하고, 스킬을 스캔한 뒤 맨 위에 한 줄 결론을 내면 성공입니다. "셋 중 둘만, 셋 다면 사람이 직접."

## 3. 보고 다음 — 이슈를 하나씩 처리

보고서가 끝이 아닙니다. 사람이 화면 앞에 있는 대화형 세션에서는, Iris가 찾은 이슈를 한 개씩 같이 처리할 수 있어요. 위험한 정도에 따라 처리 방식이 갈립니다.

• 🟢 자동 — 되돌릴 수 있는 안전한 변경. 동의하면 바로 처리.
• 🟡 승인 후 — 영향이 있는 변경. 무엇이 바뀌고 어떻게 되돌리는지 설명한 뒤 처리.
• 🔴 사람만 — 키를 새로 발급하거나 포트를 여는 것처럼 되돌리기 어려운 것. Iris는 방법만 안내, 실행은 사람.

💡 한 번에 다 건드리지 않고, 하나씩 확인받으면서 진행합니다. 감사관이 회사 설정을 혼자 함부로 바꾸지 않게요.

4. 정기 점검 — cron

매일 아침 정해진 시간에 자동으로 돌리고 싶으면 cron에 등록합니다. 위험이 있을 때만 슬랙으로 보고하고, 아무 문제 없으면 조용히 넘어갑니다.

hermes -p iris cron create "0 6 * * *" \
  "보안 네 기둥을 점검하고 위험만 보고. 이상 없으면 [SILENT]." \
  --skill iris-security-audit --deliver slack --name iris-daily-audit

크론 표현이 어려우면 자연어 프롬프트로 등록해도 됩니다.

매일 아침 6시에 iris-security-audit 스킬로 보안 네 기둥을 점검하고, 위험한 것만 슬랙으로 보고하는 정기 작업을 만들어줘. 이름은 iris-daily-audit으로, 이상 없으면 알리지 마.

마무리

여기까지 — 보안 감사를 전용 프로필로 떼어내고, 스킬로 묶고, cron으로 매일 자동으로 돌게 만들었습니다. 사람이 매일 챙기지 않아도 점검은 거르지 않습니다.

💡 다음 가이드에서는 한 걸음 더 — 작업이 끝나는 순간순간(훅)과 위험한 명령을 실행 직전에 막는 사전 차단 게이트로 더 촘촘하게 단속합니다. (다음 유닛: Hook과 보안)