ISMS-P 2.7.2 암호키 관리 High Risk

암호키 관리가 체계적으로 수행되고 있는가?

ISMS-P 2.7.2는 암호키의 안전한 생성·이용·보관·배포·파기를 위한 관리 절차를 요구합니다. 클라우드 환경에서는 KMS 키 순환 정책, 접근 권한 최소화, 사용 이력 모니터링 등을 통해 암호키 전 수명주기를 체계적으로 관리해야 합니다.

📋

ISMS-P 인증 기준

ISMS-P 2.7.2 암호키 관리 요구사항

2.7.2

암호키 관리

인증 기준 정의

"암호키의 안전한 생성·이용·보관·배포·파기를 위한 관리 절차를 수립·이행하고, 필요시 복구방안을 마련하여야 한다."

📌 클라우드 환경 적용 포인트

KMS 키 자동 순환 정책 설정
KMS 키 접근 권한 최소화 (IAM + Key Policy)
CloudTrail 기반 키 사용 이력 모니터링
키 복구를 위한 백업 및 다중 리전 복제

⚠️ 미준수 시 심사 영향

결함: 암호키 관리 절차 부재 (생성/보관/파기)
결함: 암호키 접근권한 관리 미흡
결함: 암호키 변경/순환 주기 미설정
권고: 암호키 사용 이력 모니터링 부재

📄 KISA ISMS-P 인증기준 안내서 ↗ ☁️ AWS K-ISMS 규정 준수 ↗

📰

실제 보안 사고 사례

암호키 관리 미흡으로 발생한 실제 사고

2023.01

CircleCI 크리덴셜 대량 유출

엔지니어 노트북 악성코드 감염으로 세션 쿠키 탈취. 프로덕션 시스템 접근하여 고객의 환경 변수, 토큰, 암호키 유출. 100만+ 개발자 플랫폼, Airbnb/Google/Meta/Okta 등 영향.

💡 교훈: 암호키는 안전한 저장소(KMS, Vault)에 보관, 정기적 순환 필수

출처: CircleCI Incident Report ↗

2022.02

Pegasus Airlines 소스코드 유출

AWS S3 버킷 설정 오류로 6.5TB, 2,300만 개 파일 노출. 비밀 키와 평문 패스워드가 포함된 EFB 소스코드 유출.

💡 교훈: 암호키는 코드/설정 파일에 하드코딩 금지, 별도 키 관리 시스템 사용

출처: BankInfoSecurity ↗

⚡

클라우드 환경의 위험

AWS KMS에서 암호키 관리가 위반되는 상황

순환 미설정 (위험)

Key

🔑

→

수동 관리

⚠️

↑ 키 교체 없음, 손상 위험 증가

키 손상 시 전체 데이터 재암호화 필요 → 규정 준수 미충족

자동 순환 설정 (권장)

Key v1

🔑

→

Key v2

🔑

↑ 365일마다 자동 교체

이전 키 유지되어 기존 데이터 복호화 가능 → 규정 준수 충족

🚨

발견 사례: 프로덕션 KMS 키에 자동 순환 미설정

enable_key_rotation 설정이 누락되어 기본값 false로 적용. 키 순환 없이 동일 키가 계속 사용되어 손상 시 전체 데이터 위험에 노출.

현재 상태 - 문제가 되는 설정

resource "aws_kms_key" "production_key" {
  description             = "Production data encryption key"
  deletion_window_in_days = 30
  # enable_key_rotation 미설정 (기본값 false)

  tags = {
    Environment = "production"
  }
}

ISMS-P 2.7.2 위반 사항

●

암호키 변경 주기 미설정

●

키 순환 이력 관리 불가

●

키 손상 시 복구 방안 부재

●

규정 준수 증적 확보 불가

🔍

사전 탐지 방안

IaC 코드 분석 기반 배포 전 점검

KMS 키 순환 탐지 로직

판단 조건	조건 값	결과
🔑 키 유형	`aws/s3` `aws/ebs` AWS 관리형 키	✓ 통과 (AWS 내부 순환)
🔑 키 유형	`aws_kms_key` 고객 관리형 키 (CMK)	→ 순환 정책 검사
🔄 키 순환	`enable_key_rotation = false` 또는 미설정	High - 차단 + 경고
🔄 키 순환	`enable_key_rotation = true`	→ 키 정책 검사
📜 키 정책	`Principal: *` 또는 과도한 권한	Medium - 경고
📜 키 정책	최소 권한 원칙 준수	✓ 통과

🔔

사후 대응 방안

런타임 모니터링 및 이상행위 탐지

KMS 키 런타임 이벤트 대응 로직

판단 조건	조건 값	결과
📦 변경 유형	`IaC 배포 (Terraform)` 정상 변경	✓ 변경 이력만 저장
📦 변경 유형	`Drift 발생` 콘솔 직접 변경	→ 상세 분석
⚠️ 변경 내용 (Drift 발생 시)	`키 순환 비활성화` enable_key_rotation → false	Critical - PagerDuty 호출
	`키 정책 완화` Principal 추가	High - Slack 즉시 알림
	`키 삭제 예약` ScheduleKeyDeletion 호출	Critical - PagerDuty 호출

모든 알림에 포함되는 정보

KMS 키 ARN 변경 전/후 설정 변경 주체 (IAM) 키 순환 활성화 가이드

✓

조치 가이드

즉시 적용 가능한 권장 설정

❌ 문제

enable_key_rotation 미설정 (기본값 false)

✓ 적용

enable_key_rotation = true + 최소 권한 Key Policy

권장 설정 (복사하여 적용)

kms.tf

resource "aws_kms_key" "production_key" {
  description             = "Production data encryption key"
  deletion_window_in_days = 30
  enable_key_rotation     = true  # ✓ 연간 자동 순환 활성화

  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Sid    = "Enable IAM policies"
        Effect = "Allow"
        Principal = { AWS = "arn:aws:iam::ACCOUNT_ID:root" }
        Action   = "kms:*"
        Resource = "*"
      },
      {
        Sid    = "Allow key usage for encryption"
        Effect = "Allow"
        Principal = { AWS = "arn:aws:iam::ACCOUNT_ID:role/AppRole" }
        Action   = ["kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKey*"]
        Resource = "*"
      }
    ]
  })

  tags = {
    Name        = "production-data-key"
    Environment = "production"
    ISMS-P      = "2.7.2"
  }
}

# 키 별칭 설정 (관리 용이성)
resource "aws_kms_alias" "production_key" {
  name          = "alias/production-data-key"
  target_key_id = aws_kms_key.production_key.key_id
}

💡 핵심: enable_key_rotation = true 설정 시 AWS가 365일마다 backing key를 자동 교체합니다. 이전 키는 유지되어 기존 암호화 데이터 복호화가 가능하며, 새 데이터는 새 키로 암호화됩니다. CloudTrail에 순환 이력이 자동 기록되어 ISMS-P 감사 증적으로 활용됩니다.

📚 참고 자료

🔄 AWS KMS 키 순환 ↗ 📘 AWS KMS Best Practices ↗ 🔒 ISMS-P 인증기준 안내서 ↗

📊

리포트 방안

ISMS-P 심사 증적 및 정기 보고

📋 진단 항목

KMS 키 총 개수 (CMK)
자동 순환 미설정 키 수
키 순환 이력 (CloudTrail)
키 정책 변경 건수 (기간별)
미조치 항목 수

📅 리포트 주기

일간

키 설정 변경 알림

주간

키 관리 현황 요약

월간

ISMS-P 증적 리포트

📤 발송 및 저장

발송 채널

Email Slack

저장소

S3 (5년 보관)

⚡

BSG 차별점

기존 도구가 놓치는 점검 영역

기존 도구 방식

단순 플래그 검사

enable_key_rotation = true 여부만 체크
key.key_rotation_enabled == True 단순 비교
정적 분석 결과만 출력

한계: 키 접근 권한 검사 없음, 키 사용 이력 모니터링 미점검

BSG 접근 방식

키 순환 + 접근 권한 + 사용 이력 통합 점검

IaC 코드 분석 기반 키 정책 검증
런타임 키 설정 변경 모니터링 + Drift 탐지
ISMS-P 2.7.1(암호정책)과 통합 검증

차별점: 인증 기준 관점에서 탐지 → 조치 → 증적 전 과정 자동화

← Data Protection & Disaster Recovery로 돌아가기