한국 스타트업 플랫폼 침해, 핵심 관리 실패 노출

핵심 요약

한국 정부 지원 스타트업 플랫폼에서 API에 암호화 키가 포함된 채 개인 데이터가 유출되는 사고가 발생했습니다. 이는 암호화 키와 보호 대상 데이터를 분리하여 안전하게 보관해야 하는 기본적인 암호화 키 관리 원칙(OWASP A02:2021 – Cryptographic Failures)이 지켜지지 않아 발생한 것으로 분석됩니다. IT 감사인은 조직 내 암호화 키 관리 정책 및 구현 현황을 면밀히 점검하여 유사 사고 발생 가능성을 사전에 차단해야 함을 시사합니다.

💡 개선 권고안

• ✔기술적 조치암호화 키를 API 코드나 설정 파일에 직접 포함하지 않고, 전용 키 관리 시스템(KMS) 또는 하드웨어 보안 모듈(HSM)을 활용하여 안전하게 보관 및 관리해야 함을 권고함.
• ✔기술적 조치데이터 암호화 키(DEK)와 키 암호화 키(KEK)를 분리하여 계층적 키 관리 체계를 구축하고, API 호출 시에는 키 자체 대신 키 식별자 또는 임시 자격 증명을 사용하도록 시스템을 개선해야 함을 권고함.
• ✔관리적 조치암호화 키의 생성, 저장, 사용, 파기 등 전체 라이프사이클에 걸친 명확한 관리 정책 및 절차를 수립하고, 이에 대한 정기적인 준수 여부 감사를 시행할 것을 권고함.
• ✔관리적 조치개발 및 운영 환경에서 API 키를 포함한 모든 민감 정보가 안전하게 관리되도록 개발 보안 가이드라인을 강화하고, 개발자 대상 보안 교육을 정기적으로 실시할 것을 권고함.
• ✔관리적 조치소스코드 정적/동적 분석 도구를 활용하여 API 코드 내에 암호화 키 등 민감 정보가 하드코딩되거나 평문으로 저장되는 보안 약점을 주기적으로 점검하고 개선해야 함을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문