특수 계정 및 권한이 적절히 관리되고 있는가?

ISMS-P 인증 기준

ISMS-P 2.5.5 특수 계정 및 권한 관리 요구사항

특수 계정 및 권한 관리

인증 기준 정의

"정보시스템 관리, 개인정보 및 중요정보 관리 등 특수 목적을 위하여 사용하는 계정 및 권한은 최소한으로 부여하고 별도로 식별하여 통제하여야 한다."

실제 보안 사고 사례

특수 권한 관리 미흡으로 발생한 클라우드 침해 사례

Root 계정의 Access Key를 탈취하여 자주 사용하지 않는 Region에 고비용 EC2 대량 생성, 비트코인 채굴에 악용. Root 계정은 어떠한 제한도 없는 Superuser 권한.

공격자가 클라우드에서 노출된 자격증명을 찾는데 2분, 침투 가능한 클라우드를 찾아 공격 시작까지 21분. 조직의 49%가 민감한 AWS 키를 VM 파일시스템에 저장.

클라우드 환경의 위험

특수 권한 관리가 미흡한 상황

미관리 (위험)

Root Access Key 존재 + 특수 권한 목록 없음 → ISMS-P 2.5.5 미충족

체계적 관리 (권장)

Root 비활성화 + Role 기반 특수 권한 + 목록 관리 → 인증 기준 충족

# IAM 사용자에게 AdministratorAccess 직접 부여 (위험)
resource "aws_iam_user" "developer" {
  name = "developer-user"
  # 특수 권한 태그 없음
  # 승인 이력 없음
}

resource "aws_iam_user_policy_attachment" "admin_access" {
  user       = aws_iam_user.developer.name
  policy_arn = "arn:aws:iam::aws:policy/AdministratorAccess"
  # 특수 권한자 목록에 미등록
}

# 외부 유지보수 계정 - 상시 활성화 (위험)
resource "aws_iam_user" "vendor" {
  name = "external-vendor"
  # 만료일 태그 없음
}

ISMS-P 2.5.5 위반 사항

사전 탐지 방안

IaC 코드 분석 기반 배포 전 점검

특수 권한 탐지 로직

사후 대응 방안

런타임 특수 권한 모니터링

특수 권한 런타임 모니터링 로직

조치 가이드

IAM Role 기반 특수 권한 관리

❌ 문제

Root Access Key 존재, User에 Admin 직접 부여, 특수 권한 목록 없음

✓ 적용

IAM Role + MFA 조건 + 승인 태그

리포트 방안

ISMS-P 심사 증적 및 정기 보고

📋 진단 항목

• Root 계정 Access Key 존재 여부
• AdministratorAccess 부여 현황
• 특수 권한자 목록 현행화 여부
• 승인 태그 부착 여부
• 외부자 계정 만료일 관리 현황

📅 리포트 주기

📤 발송 및 저장

BSG 차별점

기존 도구가 놓치는 점검 영역

기존 도구 방식

BSG 접근 방식