접근권한 검토가 정기적으로 수행되고 있는가?

ISMS-P 인증 기준

ISMS-P 2.5.6 접근권한 검토 요구사항

접근권한 검토

인증 기준 정의

"정보시스템과 개인정보 및 중요정보에 대한 접근권한의 적정성을 정기적으로 검토하여 과도하거나 불필요한 권한을 식별하고 조정하여야 한다."

실제 보안 사고 사례

접근권한 검토 미흡으로 발생한 대규모 침해 사례

SolarWinds Orion이 IT 모니터링 시스템으로서 광범위한 특권 접근을 보유. 과도한 권한을 가진 애플리케이션이 정기적으로 검토되지 않아 전사 시스템 위험 노출. 2024년 10월에도 새로운 취약점(CVE-2024-28987) 악용 지속.

직무 변경된 직원이 이전 부서의 Admin 권한을 그대로 보유, 90일 이상 미사용 권한이 검토되지 않아 퇴사 시점에 민감 데이터 유출. Prowler에서 Critical 위험으로 분류.

클라우드 환경의 위험

접근권한 검토가 수행되지 않는 상황

미검토 (위험)

미사용 역할/Key 방치 + 검토 미수행 → ISMS-P 2.5.6 미충족

정기 검토 (권장)

Access Analyzer + 정기 검토 자동화 → 인증 기준 충족

# 6개월 이상 미사용된 IAM 역할 - 검토되지 않음
resource "aws_iam_role" "legacy_admin" {
  name = "LegacyAdminRole"
  # 2023년 생성 후 사용하지 않음
  # 정기 검토에서 누락

  assume_role_policy = jsonencode({
    Statement = [{
      Principal = { AWS = "*" }  # 과도한 Principal
    }]
  })
}

# 직무 변경 후에도 유지된 이전 부서 권한
resource "aws_iam_user_policy_attachment" "old" {
  user       = aws_iam_user.moved_user.name
  policy_arn = "arn:aws:iam::aws:policy/AmazonRDSFullAccess"
  # 현재 직무와 무관한 권한 유지
}

ISMS-P 2.5.6 위반 사항

사전 탐지 방안

IaC 코드 분석 기반 배포 전 점검

접근권한 검토 태그 탐지 로직

사후 대응 방안

IAM Access Analyzer 기반 미사용 권한 실시간 탐지

미사용 접근 런타임 모니터링 로직

모든 알림에 포함되는 정보

조치 가이드

IAM Access Analyzer 및 정기 검토 자동화

❌ 문제

미사용 역할 방치, 검토 태그 없음, 자동화 미구현

✓ 적용

Access Analyzer + 검토 태그 + 자동 비활성화

리포트 방안

ISMS-P 심사 증적 및 정기 검토 보고

📋 진단 항목

• 미사용 IAM Role (90일+)
• 미사용 Access Key (45일+, 90일+)
• 미사용 IAM User Password
• 검토 태그 존재 여부
• Access Analyzer Finding 현황

📅 리포트 주기

📤 발송 및 저장

BSG 차별점

기존 도구가 놓치는 점검 영역

기존 도구 방식

BSG 접근 방식