변경관리가 체계적으로 수행되고 있는가?

ISMS-P 인증 기준

ISMS-P 2.9.1 변경관리 요구사항

변경관리

인증 기준 정의

"정보시스템 도입 또는 변경 시 성능 및 보안에 미치는 영향을 분석·협의하고 관련 이력을 관리하여야 한다."

실제 보안 사고 사례

변경관리 미흡으로 발생한 실제 사고

클라우드 환경 설정 오류가 10년간 방치되어 약 26만 명의 고객 데이터가 외부에 노출됨. 변경 이력 관리와 정기 점검이 없어 장기간 탐지되지 않았습니다.

Firebase 인스턴스 설정 오류로 1,900만 개의 평문 비밀번호 유출. 설정 변경 시 보안 영향 분석 없이 배포되어 발생했습니다.

클라우드 환경의 위험

콘솔 직접 변경과 드리프트 미탐지의 위험성

❌ 위험: 콘솔 직접 변경, 드리프트 미탐지

# Terraform으로 관리되는 Security Group
resource "aws_security_group" "web" {
  ingress {
    from_port   = 443
    cidr_blocks = ["10.0.0.0/8"]  # 내부만
  }
}

# 문제: AWS 콘솔에서 직접 변경!
# 누군가 0.0.0.0/0 인바운드 규칙 추가
# → State와 실제 인프라 불일치
# → 보안 취약점 탐지 안 됨

콘솔 직접 변경 시 State 불일치로 보안 취약점 탐지 불가

✓ 권장: Drift Detection + AWS Config

# Terraform Cloud Drift Detection
# Settings > Health > Enable drift detection
# → Daily 스캔으로 변경 자동 탐지

# AWS Config로 변경 이력 기록
resource "aws_config_configuration_recorder" "main" {
  recording_group {
    all_supported = true
  }
}

# → 모든 변경 자동 기록 + 알림

Drift Detection으로 계획되지 않은 변경 자동 탐지

사전 탐지 방안

IaC 정적 분석 기반 변경 검증

terraform plan 기반 변경 탐지 로직

# OPA/Rego Policy - 보안 리소스 변경 검증
package terraform.change_management

# Security Group 변경 시 보안팀 승인 필요
warn[msg] {
  resource := input.resource_changes[_]
  resource.type == "aws_security_group"
  resource.change.actions[_] != "no-op"
  msg := sprintf("Security Group %s 변경 - 보안팀 검토 필수 (ISMS-P 2.9.1)", [resource.address])
}

# IAM Policy 변경 시 보안팀 승인 필요
warn[msg] {
  resource := input.resource_changes[_]
  contains(resource.type, "aws_iam")
  resource.change.actions[_] != "no-op"
  msg := sprintf("IAM 리소스 %s 변경 - 보안팀 검토 필수", [resource.address])
}

# 예상치 못한 리소스 삭제 방지
deny[msg] {
  resource := input.resource_changes[_]
  resource.change.actions[_] == "delete"
  not contains(input.approved_deletions, resource.address)
  msg := sprintf("리소스 %s 삭제 - 사전 승인 필요", [resource.address])
}

사후 대응 방안

Runtime 탐지 및 드리프트 모니터링

변경 탐지 이벤트 대응 로직

# Terraform Cloud Workspace 설정
# Settings > Health > Drift Detection

# 1. Drift Detection 활성화
# - Enable drift detection: ON
# - Detection frequency: Daily (권장) 또는 Weekly

# 2. 알림 설정
# - Slack webhook 연동
# - Email 알림
# - Webhook (ITSM 연동)

# 드리프트 탐지 시 대응 옵션:
# 1. Refresh-only plan: State 업데이트 (드리프트 수용)
# 2. Regular plan & apply: 원래 상태로 복원

# CLI에서 드리프트 확인
terraform plan -refresh-only
# 예상치 못한 변경사항이 있으면 드리프트 발생

조치 가이드

즉시 적용 가능한 권장 설정

# AWS Config - 리소스 변경 이력 기록
resource "aws_config_configuration_recorder" "main" {
  name     = "config-recorder"
  role_arn = aws_iam_role.config.arn

  recording_group {
    all_supported                 = true
    include_global_resource_types = true
  }
}

resource "aws_config_delivery_channel" "main" {
  name           = "config-delivery"
  s3_bucket_name = aws_s3_bucket.config.id
  sns_topic_arn  = aws_sns_topic.config_changes.arn

  snapshot_delivery_properties {
    delivery_frequency = "TwentyFour_Hours"
  }
}

# Config Rule - Security Group 변경 감지
resource "aws_config_config_rule" "security_group_changes" {
  name = "security-group-open-to-world"

  source {
    owner             = "AWS"
    source_identifier = "RESTRICTED_INCOMING_TRAFFIC"
  }

  tags = {
    Purpose = "Change-Detection"
    ISMS-P  = "2.9.1"
  }
}

💡 핵심 포인트

• Terraform Cloud Drift Detection으로 계획되지 않은 변경 자동 탐지
• AWS Config로 모든 리소스 변경 이력 자동 기록
• 모든 인프라 변경은 PR 기반 워크플로우로 terraform plan 검토
• 보안 리소스 변경 시 보안팀 추가 검토 필수

리포트 방안

ISMS-P 심사 증적 및 정기 보고

📋 점검 항목별 증적

🤖 자동화 증적 수집

# Terraform Cloud Run History 조회
curl -H "Authorization: Bearer $TFE_TOKEN" \
  "https://app.terraform.io/api/v2/\
workspaces/{id}/runs"

# AWS Config 변경 이력
aws configservice \
  get-resource-config-history \
  --resource-type AWS::EC2::SecurityGroup \
  --resource-id sg-12345678

# CloudTrail 변경 로그
aws cloudtrail lookup-events \
  --lookup-attributes \
  AttributeKey=EventSource,\
AttributeValue=ec2.amazonaws.com

BSG 차별점

기존 도구가 놓치는 점검 영역

기존 도구 방식

BSG 접근 방식