ISMS-P 2.9.4 로그 및 접속기록 관리 High Risk

로그 및 접속기록이 적절히 관리되고 있는가?

ISMS-P 2.9.4는 서버, 응용프로그램, 보안시스템, 네트워크 시스템의 로그를 안전하게 보관하고 위·변조되지 않도록 요구합니다. 클라우드 환경에서는 CloudTrail과 CloudWatch Logs로 중앙 수집하고 법적 보존기간을 준수해야 합니다.

📋

ISMS-P 인증 기준

ISMS-P 2.9.4 로그 및 접속기록 관리 요구사항

2.9.4

로그 및 접속기록 관리

인증 기준 정의

"서버, 응용프로그램, 보안시스템, 네트워크시스템 등 정보시스템에 대한 사용자 접속기록, 시스템로그, 권한부여 내역 등의 로그유형, 보존기간, 보존방법 등을 정하고 위·변조, 도난, 분실 되지 않도록 안전하게 보존·관리하여야 한다."

📌 클라우드 환경 적용 포인트

CloudTrail로 API 호출 로그 수집
CloudWatch Logs로 시스템 로그 중앙 집중
VPC Flow Logs로 네트워크 접속 기록
S3 버전 관리로 로그 위·변조 방지

⚠️ 미준수 시 심사 영향

결함: 로그 관리 절차 미수립
결함: 접속기록 보존기간 미준수 (1년/2년)
결함: 로그 위·변조 방지 조치 미흡

📄 KISA ISMS-P 인증기준 안내서 ↗ ☁️ AWS CloudTrail 가이드 ↗

📰

실제 보안 사고 사례

로그 관리 미흡으로 발생한 실제 사고

2022.07

알리바바 클라우드 10억 명 정보 노출

클라우드 서버 설정 오류로 23TB 데이터가 1년 이상 공개. 10억 명의 중국 일반인과 상하이 공안 요원 정보 포함. 접근 로그 모니터링 부재로 장기간 미탐지.

💡 교훈: 접근 로그 모니터링 필수, 이상 접근 자동 탐지 체계 구축

출처: BleepingComputer ↗

2016-2018

Uber 5,700만 명 유출 사고 은폐

5,700만 명 개인정보 유출 사고를 1년 이상 은폐. 접속기록 미보존 및 은폐로 사고 조사 지연. 미국 50개 주와 1억 4800만 달러 합의.

💡 교훈: 접속기록 의무 보존, 사고 발생 시 즉시 보고 체계 구축

출처: FTC ↗

⚡

클라우드 환경의 위험

AWS에서 로그 관리가 위반되는 상황

로그 미관리 상태 (위험)

CloudTrail

90일 제한

S3 저장

미설정

무결성

미검증

↑ ISMS-P 보존기간 미준수

기본 설정만 사용 시 90일 후 API 로그 자동 소실 → 법적 보존기간 위반

체계적 로그 관리 (권장)

CloudTrail

S3 저장

보존기간

730일

무결성

검증 활성

↑ 법적 요구사항 준수

S3 장기 보존 + 무결성 검증 + KMS 암호화로 위·변조 방지

🚨

발견 사례: CloudTrail 기본 설정만 사용

CloudTrail이 활성화되어 있지만 S3 장기 저장 미설정. 90일 이후 로그가 소실되어 법적 보존기간(1년/2년) 미준수. 무결성 검증 미활성화로 로그 위·변조 여부 확인 불가.

현재 상태 - 문제가 되는 설정

# CloudTrail 기본 설정만 사용
# API 로그 90일 후 자동 소실

# 문제점:
# - S3 장기 보존 미설정
# - 무결성 검증 미활성화
# - CloudWatch Logs 미연동
# - 개인정보처리시스템 접속기록 미기록

# ISMS-P 결함:
# - 보존기간 미준수 (1년/2년 필수)
# - 위·변조 방지 조치 미흡
# - 법적 증적 불가

ISMS-P 2.9.4 위반 사항

●

보존기간 미준수 - 1년/2년 법적 요구사항 미충족

●

무결성 검증 미흡 - 로그 위·변조 방지 조치 없음

●

필수 항목 누락 - 수행업무, 처리 정보주체 미기록

●

암호화 미적용 - 로그 데이터 평문 저장

🔍

사전 탐지 방안

IaC 코드 분석 기반 배포 전 점검

CloudTrail/CloudWatch 로그 설정 탐지 로직

판단 조건	조건 값	결과
📦 CloudTrail 설정	Trail 리소스 미생성	Critical - 필수 설정 필요
📦 CloudTrail 설정	`is_multi_region_trail = true`	✓ 통과
🔒 무결성/암호화	`enable_log_file_validation = false`	High - 무결성 검증 불가
	`kms_key_id` 미설정	Medium - 암호화 권고
	S3 버전 관리 미활성화	High - 로그 복구 불가
📅 보존기간	`retention_in_days` 미설정	High - 보존기간 미관리
📅 보존기간	`retention_in_days = 730`	✓ 2년 보존 준수

🔔

사후 대응 방안

런타임 모니터링 및 이상행위 탐지

로그 수집 상태 런타임 모니터링 로직

판단 조건	조건 값	결과
📡 로그 전송 상태	`로그 이벤트 정상 수신` 지속적 전송	✓ 정상
📡 로그 전송 상태	`로그 이벤트 미수신` 전송 중단	Critical - SNS 알림 발송
⚙️ 설정 변경 감지	`CloudTrail 비활성화` Config Rule 위반	Critical - 즉시 복구 조치
	`CloudTrail 설정 변경` EventBridge 탐지	High - 승인 여부 확인
	`S3 버킷 접근 오류` 권한/상태 이상	Critical - 긴급 알림 + 권한 점검

모든 알림에 포함되는 정보

영향받는 Trail 이름 변경 주체 (IAM) 변경 시각 복구 가이드 링크

✓

조치 가이드

즉시 적용 가능한 권장 설정

❌ 현재 문제

CloudTrail 기본 설정만 사용, 90일 후 로그 소실

✓ 권장 조치

S3 장기 보존 + 무결성 검증 + 730일 보존 설정

권장 설정 (복사하여 적용)

cloudtrail.tf

# CloudTrail - 전체 리전 API 로그 수집
resource "aws_cloudtrail" "main" {
  name                          = "organization-trail"
  s3_bucket_name                = aws_s3_bucket.cloudtrail.id
  include_global_service_events = true
  is_multi_region_trail         = true
  enable_logging                = true

  # ✓ 무결성 검증 활성화 (ISMS-P 필수)
  enable_log_file_validation = true

  # ✓ KMS 암호화 (위·변조 방지)
  kms_key_id = aws_kms_key.cloudtrail.arn

  # ✓ CloudWatch Logs 연동
  cloud_watch_logs_group_arn = "${aws_cloudwatch_log_group.cloudtrail.arn}:*"
  cloud_watch_logs_role_arn  = aws_iam_role.cloudtrail_cloudwatch.arn

  tags = {
    ISMS-P    = "2.9.4"
    Retention = "2-years"
  }
}

# CloudWatch Log Group - 보존기간 2년 설정
resource "aws_cloudwatch_log_group" "cloudtrail" {
  name              = "/aws/cloudtrail/organization"
  retention_in_days = 730  # 2년 (5만명 이상 사업자)
  kms_key_id        = aws_kms_key.cloudwatch.arn
}

# S3 버킷 - 버전 관리 활성화
resource "aws_s3_bucket_versioning" "cloudtrail" {
  bucket = aws_s3_bucket.cloudtrail.id
  versioning_configuration {
    status = "Enabled"  # 삭제된 로그 복구 가능
  }
}

💡 핵심: CloudTrail + CloudWatch Logs + S3 버전 관리 조합으로 무결성 검증, 암호화, 법적 보존기간을 모두 충족합니다. 개인정보처리시스템은 730일(2년) 보존이 필수입니다.

📚 참고 자료

☁️ AWS CloudTrail 가이드 ↗ 📘 CloudWatch Logs 가이드 ↗ 🔒 AWS K-ISMS 규정 준수 ↗

📊

리포트 방안

ISMS-P 심사 증적 및 정기 보고

📋 진단 항목

CloudTrail 활성화 현황
S3 장기 보존 설정 상태
무결성 검증 활성화 여부
CloudWatch 보존기간 설정
KMS 암호화 적용 상태

📅 리포트 주기

일간

로그 수집 상태 알림

주간

설정 변경 현황 요약

월간

ISMS-P 증적 리포트

📤 발송 및 저장

발송 채널

Email Slack

저장소

S3 (5년 보관)

⚡

BSG 차별점

기존 도구가 놓치는 점검 영역

기존 도구 방식

CloudTrail 활성화 여부만 확인

Trail 존재 여부 체크
로그 존재 여부 단순 확인
활성화/비활성화 상태만 탐지

한계: 보존기간 적정성, 무결성 검증, 암호화 설정 등 ISMS-P 상세 요구사항 검증 불가

BSG 접근 방식

ISMS-P 관점 통합 점검

법적 보존기간 (1년/2년) 준수 여부 자동 검증
무결성 검증, 암호화 설정 상태 확인
사전 탐지 + 사후 모니터링 통합

차별점: ISMS-P 접속기록 요구사항 매핑 + 심사 증적 자동화

← ISMS-P 매핑 목록으로 돌아가기