ISMS-P 2.5.1 사용자 계정 관리 High Risk

사용자 계정 관리가 적절히 수행되고 있는가?

ISMS-P 2.5.1은 사용자 등록·해지 및 접근권한 부여·변경·말소 절차를 수립·이행하도록 요구합니다. 클라우드 환경에서는 IAM 계정 생명주기 관리 + 최소 권한 원칙 + Access Key 순환으로 구현해야 합니다.

📋

ISMS-P 인증 기준

ISMS-P 2.5.1 사용자 계정 관리 요구사항

2.5.1

사용자 계정 관리

인증 기준 정의

"정보시스템과 개인정보 및 중요정보에 대한 비인가 접근을 통제하고 업무 목적에 따른 접근권한을 최소한으로 부여할 수 있도록 사용자 등록·해지 및 접근권한 부여·변경·말소 절차를 수립·이행하고, 사용자에게 보안책임이 있음을 인식시켜야 한다."

📌 클라우드 환경 적용 포인트

AWS IAM 사용자 계정 생성/삭제 절차 수립
IAM 정책으로 최소 권한 원칙 적용
Access Key 생명주기 관리 및 90일 순환
비밀번호 정책 강제 (복잡도, 만료, 재사용 금지)
미사용 계정/Access Key 정기 점검

⚠️ 미준수 시 심사 영향

결함: 계정 등록·해지 절차 미수립
결함: 구두/이메일만으로 계정 생성
결함: 불필요한 과도한 권한 부여
결함: 퇴사자 계정 및 권한 미삭제

📄 KISA ISMS-P 인증기준 안내서 ↗ 📖 ISMS-P 2.5.1 상세 안내 ↗

📰

실제 보안 사고 사례

계정 관리 미흡으로 발생한 대규모 유출 사례

2025.11

쿠팡 퇴사자 권한 미회수 사고

퇴사자 인증키 관리 미흡 및 권한 미회수로 3,370만 건 이상 개인정보 유출. 액세스 토큰 서명키 유효기간을 5~10년으로 설정하여 퇴사 후에도 시스템 접근 가능. 침해 시도 발생 후 5개월간 미탐지.

💡 교훈: 퇴사자 계정/권한 즉시 회수 절차 필수, Access Key 순환 정책 필요

출처: M이코노미뉴스 ↗

2024

참좋은여행 직원 계정 탈취

해커가 직원의 계정 정보를 탈취하여 사내 주문관리시스템에 접속, 이용자의 개인정보를 유출. 계정 보안 강화 및 이상 접근 탐지 체계 부재.

💡 교훈: MFA 필수 적용, 이상 로그인 탐지 체계 구축 필요

출처: 트래블아이 ↗

⚡

클라우드 환경의 위험

AWS IAM 계정 관리가 미흡한 상황

미관리 (위험)

IAM User

👤

→

Admin

🔓

↑ AdministratorAccess 직접 부여

퇴사자 계정 방치 + 과도한 권한 → ISMS-P 2.5.1 미충족

체계적 관리 (권장)

IAM User

👤

→

Group

👥

→

최소권한

🔒

↑ 그룹 기반 최소 권한

계정 생명주기 관리 + 최소 권한 → 인증 기준 충족

🚨

발견 사례: IAM 사용자에게 AdministratorAccess 직접 부여, 퇴사자 계정 방치

개발자 계정에 AdministratorAccess 정책이 직접 부여되어 있고, 퇴사자 계정과 Access Key가 6개월 이상 미사용 상태로 방치.

현재 상태 - 문제가 되는 설정

# IAM 사용자 - 관리 정보 없음
resource "aws_iam_user" "developer" {
  name = "developer-kim"
  # 태그 없음 - 담당자/부서 추적 불가
  # 승인 이력 없음
}

# AdministratorAccess 직접 부여 (위험!)
resource "aws_iam_user_policy_attachment" "admin" {
  user       = aws_iam_user.developer.name
  policy_arn = "arn:aws:iam::aws:policy/AdministratorAccess"
}

# Access Key - 순환 정책 없음
resource "aws_iam_access_key" "developer" {
  user = aws_iam_user.developer.name
  # 생성 후 무기한 사용
}

ISMS-P 2.5.1 위반 사항

●

계정 등록·해지 절차 미수립

●

AdministratorAccess 과도한 권한

●

Access Key 순환 정책 미적용

●

퇴사자/미사용 계정 관리 체계 부재

🔍

사전 탐지 방안

IaC 코드 분석 기반 배포 전 점검

IAM 계정 관리 탐지 로직

판단 조건	조건 값	결과
👤 AdministratorAccess 정책	`IAM User에 직접 부여`	Critical - 차단
👤 AdministratorAccess 정책	`IAM Role에만 부여`	→ MFA 조건 검사
🏷️ IAM User 태그	`담당자/부서 정보 없음`	High - 경고
🏷️ IAM User 태그	`메타데이터 존재`	→ 권한 범위 검사
📜 IAM Policy	`Action: * 또는 Resource: *`	High - 경고
📜 IAM Policy	`최소 권한 적용`	✓ 통과

🔔

사후 대응 방안

런타임 모니터링 및 미사용 계정 탐지

계정 사용 현황 런타임 모니터링 로직

판단 조건	조건 값	결과
🖥️ Console 로그인	`45일 이상 미사용`	High - Slack 알림
🔑 Access Key	`45일 이상 미사용`	High - 자동 비활성화 권고
🔑 Access Key	`90일 이상 미순환`	Critical - 순환 필요 알림
👥 HR 시스템 연동	`퇴사자 계정 탐지`	Critical - 즉시 비활성화

모든 알림에 포함되는 정보

IAM User ARN 마지막 로그인 일시 부여된 정책 목록 담당자 연락처

✓

조치 가이드

즉시 적용 가능한 권장 설정

❌ 문제

User에 Admin 직접 부여, 태그 없음, Access Key 순환 없음

✓ 적용

그룹 기반 권한 + 관리 태그 + 비밀번호 정책

권장 설정 (복사하여 적용)

iam-user.tf

# IAM 사용자 - 관리 메타데이터 포함
resource "aws_iam_user" "developer" {
  name = "developer-kim"

  tags = {
    Name        = "developer-kim"
    Department  = "Engineering"
    Owner       = "tech-lead@company.com"
    CreatedDate = "2024-01-15"
    ISMS-P      = "2.5.1"
    ApprovalID  = "REQ-2024-0042"  # 승인 이력
  }
}

# 그룹 기반 권한 관리 (직접 부여 금지)
resource "aws_iam_group" "developers" {
  name = "Developers"
}

resource "aws_iam_group_membership" "developer" {
  name  = "developer-membership"
  users = [aws_iam_user.developer.name]
  group = aws_iam_group.developers.name
}

# 최소 권한 정책
resource "aws_iam_group_policy_attachment" "dev" {
  group      = aws_iam_group.developers.name
  policy_arn = aws_iam_policy.developer_access.arn
}

# 비밀번호 정책 강제
resource "aws_iam_account_password_policy" "strict" {
  minimum_password_length        = 14
  require_lowercase_characters   = true
  require_uppercase_characters   = true
  require_numbers                = true
  require_symbols                = true
  max_password_age               = 90   # 90일 만료
  password_reuse_prevention      = 24   # 24회 재사용 금지
}

💡 핵심: IAM 사용자에게 정책을 직접 부여하지 않고 그룹 기반으로 권한을 관리합니다. 모든 사용자에게 태그로 담당자, 부서, 승인ID를 기록하여 계정 생명주기를 추적합니다. aws_iam_account_password_policy로 비밀번호 복잡도, 90일 만료, 24회 재사용 금지를 강제합니다.

📚 참고 자료

🔒 AWS IAM 보안 모범사례 ↗ 🔍 AWS IAM Access Analyzer ↗ 👥 AWS IAM Identity Center ↗

📊

리포트 방안

ISMS-P 심사 증적 및 정기 보고

📋 진단 항목

IAM User AdministratorAccess 직접 부여
IAM User 관리 태그 존재 여부
미사용 계정 (45일 이상)
Access Key 순환 현황 (90일)
비밀번호 정책 적용 여부

📅 리포트 주기

일간

신규/삭제 계정 변경 알림

주간

미사용 계정/Access Key 현황

월간

ISMS-P 증적 리포트 (계정 대장)

📤 발송 및 저장

발송 채널

Email Slack

저장소

S3 (5년 보관)

⚡

BSG 차별점

기존 도구가 놓치는 점검 영역

기존 도구 방식

미사용 일수 기준 단순 체크

password_last_used > 45 days 비교
Access Key 미사용 기간만 체크
정적 분석 결과만 출력

한계: 퇴사자 계정 탐지 불가, 승인 절차 검증 불가, 과도한 권한 심각도 미분류

BSG 접근 방식

IaC + Runtime + HR 연동 통합 점검

배포 전 AdministratorAccess 직접 부여 차단
HR 시스템 연동 퇴사자 계정 자동 탐지
승인 워크플로우 이력 관리

차별점: 계정 생성 → 권한 부여 → 사용 → 삭제 전 생명주기 관리

<- Cloud Security & Access Control로 돌아가기