사용자 인증이 강화되어 있는가?

ISMS-P 인증 기준

ISMS-P 2.5.3 사용자 인증 요구사항

사용자 인증

인증 기준 정의

"정보시스템과 개인정보 및 중요정보에 대한 사용자의 접근은 안전한 인증절차와 필요에 따라 강화된 인증방식을 적용하여야 한다. 또한 로그인 횟수 제한, 불법 로그인 시도 경고 등 비인가자 접근 통제방안을 수립·이행하여야 한다."

실제 보안 사고 사례

MFA 미적용으로 발생한 클라우드 침해 사례

MFA 미적용 계정이 탈취되어 해커가 고사양 EC2 인스턴스를 대량 생성, 비트코인 채굴에 악용. 단기간에 수만 달러의 비용 발생. Root 계정 탈취 시 서비스 제어권 완전 상실.

클라우드에서 노출된 Access Key를 탈취하여 AWS Bedrock 등 LLM 서비스 악용. 자격증명 탈취 후 21분 내 침투 및 수평이동 완료. 피해자의 비용으로 불법 AI 애플리케이션 운영.

클라우드 환경의 위험

MFA 미적용 시 발생하는 보안 위협

MFA 미적용 (위험)

ID/PW 탈취 시 21분 내 침투 → ISMS-P 2.5.3 미충족

MFA 적용 (권장)

ID/PW 탈취해도 MFA 없이 접근 불가 → 인증 기준 충족

# IAM 사용자 - MFA 없이 Console 접근 가능
resource "aws_iam_user" "admin" {
  name = "admin-user"
}

resource "aws_iam_user_login_profile" "admin" {
  user = aws_iam_user.admin.name
  # MFA 강제 정책 없음
  # Console 로그인 시 ID/PW만 필요
}

# AdministratorAccess - MFA 조건 없음 (위험!)
resource "aws_iam_user_policy_attachment" "admin" {
  user       = aws_iam_user.admin.name
  policy_arn = "arn:aws:iam::aws:policy/AdministratorAccess"
  # MFA 인증 없이 모든 AWS 리소스 접근 가능
}

ISMS-P 2.5.3 위반 사항

사전 탐지 방안

IaC 코드 분석 기반 배포 전 점검

MFA 정책 탐지 로직

사후 대응 방안

런타임 MFA 상태 모니터링

MFA 상태 런타임 모니터링 로직

모든 알림에 포함되는 정보

조치 가이드

즉시 적용 가능한 MFA 강제 정책

❌ 문제

Root/IAM User MFA 미적용, 고권한 정책에 MFA 조건 없음

✓ 적용

ForceMFA 정책 + 조건부 권한 + 세션 제한

리포트 방안

ISMS-P 심사 증적 및 정기 보고

📋 진단 항목

• Root 계정 MFA 활성화 여부
• Root MFA 타입 (Virtual/Hardware)
• IAM User Console MFA 등록 현황
• 고권한 정책 MFA 조건 포함 여부
• 로그인 실패 횟수 및 패턴

📅 리포트 주기

📤 발송 및 저장

BSG 차별점

기존 도구가 놓치는 점검 영역

기존 도구 방식

BSG 접근 방식