“클라우드·개발 협업도구 자격증명 노출 사고 빈번”

핵심 요약

최근 클라우드 및 개발 협업 도구(예: 깃허브)를 통한 자격증명 노출 사고가 빈번하게 발생하여 대규모 개인정보 유출로 이어지고 있습니다. 주요 공격 수법은 스피어피싱을 통한 깃허브 계정 접근권한 확보 후 AWS 접근키 탈취, 또는 깃허브에 평문으로 저장된 데이터베이스 접속 정보 확보 등 Initial Access(TA0001) 및 Credential Access(TA0006) 전술을 활용합니다. 이는 개발 환경에서 민감한 자격증명 정보가 부적절하게 관리되거나, 개발 협업 도구에 대한 접근 통제가 미흡하여 발생하는 문제입니다. IT 감사인은 클라우드 및 개발 협업 도구의 자격증명 관리 체계, 소스코드 저장소 접근 통제, 그리고 개발 환경 내 민감 정보 저장 여부에 대한 철저한 점검을 통해 잠재적 데이터 유출 리스크를 식별하고 통제해야 함을 시사합니다.

💡 개선 권고안

• ✔기술적 조치개발 협업 도구(예: 깃허브)에 저장된 소스코드 및 설정 파일 내에 클라우드 서비스 접근키, 데이터베이스 접속 정보 등 민감한 자격증명이 평문으로 저장되거나 하드코딩되지 않도록 정기적인 코드 스캔 및 정적 분석 도구를 도입 및 활용할 것을 권고함.
• ✔기술적 조치클라우드 서비스(예: AWS)의 API 키 및 기타 민감한 자격증명은 Secrets Manager, KMS(Key Management Service)와 같은 전용 보안 솔루션을 통해 안전하게 관리하고, 소스코드 내 직접 포함을 엄격히 금지할 것을 권고함.
• ✔기술적 조치개발 협업 도구 및 클라우드 서비스 접근 시 다단계 인증(MFA)을 필수적으로 적용하고, 특히 피싱 공격에 강한 FIDO2/WebAuthn 기반의 인증 방식을 도입하여 계정 탈취 위험을 최소화할 것을 권고함.
• ✔관리적 조치소스코드 저장소에 대한 접근 통제 정책을 강화하고, RBAC(역할 기반 접근 제어)를 적용하여 최소 권한 원칙을 준수하며, 메인 브랜치 직접 푸시를 금지하고 코드 병합 시 최소 1인 이상의 동료 검토(Peer Review) 및 승인을 필수화하는 절차를 수립 및 시행할 것을 권고함.
• ✔관리적 조치개발 환경에서 운영 환경으로의 데이터 이관 시 개인정보 비식별화 또는 암호화 조치를 의무화하고, 개발 및 테스트 환경에서 실제 개인정보 사용을 엄격히 제한하는 정책을 수립 및 시행할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 스피어피싱, 사회공학적 공격 등 최신 위협 동향에 대한 정기적인 보안 교육 및 모의 훈련을 실시하여 보안 인식 수준을 제고하고, 의심스러운 메일 및 링크 클릭에 대한 경각심을 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문