[ISMS-P] 멀티 클라우드 환경 중견기업의 인적 보안 (2.2.1 ~ 2.2.6)
멀티 클라우드 환경에서 보안 사고의 상당수는 외부 공격보다는 내부자의 실수나 권한 오남용, 혹은 퇴직자의 계정 관리 미흡으로 인해 발생합니다. 따라서 기술적 통제만큼이나 인적 보안(Human Resource Security) 관리체계를 수립하는 것이 매우 중요합니다.
이번 글에서는 ISMS-P 인증기준 2.2(인적 보안)의 6개 항목을 멀티 클라우드 관점에서 살펴보고, 시험에 자주 등장하는 시나리오와 결함 사례를 정리해 보겠습니다.
1. 2.2.1 주요 직무자 지정 및 관리
📌 인증기준 개요
정보보호 및 개인정보보호 관리체계 내에서 정보자산에 접근하거나 중요 업무를 수행하는 주요 직무자(시스템 관리자, DB 관리자, 개인정보 취급자 등)를 최소한으로 지정하고, 그 목록을 현행화하여 관리해야 합니다.
☁️ 멀티 클라우드 환경에서의 핵심 고려사항
- IAM 역할 기반 관리: AWS IAM, Azure AD(Entra ID), GCP IAM 등 클라우드 플랫폼의 권한 관리 서비스에서 ‘관리자(Admin)’ 권한을 가진 인원을 엄격히 제한해야 합니다.
- 최소 권한의 원칙: 멀티 클라우드 환경에서는 서비스별로 권한이 세분화되어 있으므로, 단순 모니터링 담당자나 개발자에게 과도한 플랫폼 관리 권한을 부여하지 않았는지 주기적으로 검토해야 합니다.
📝 실전 시험 대비 (예상 시나리오)
[상황] 심사원이 D기업의 ‘클라우드 플랫폼 관리자 명단’을 확인하고 있다.
- 심사원: “현재 AWS와 Azure를 모두 사용 중이신데, 각 플랫폼의 최고 관리자(Root/Global Admin) 권한을 가진 직원은 몇 명인가요?”
- 담당자: “보안팀 2명과 인프라팀 3명, 그리고 혹시 모를 상황에 대비해 개발팀 팀장님 1명을 포함해 총 6명을 지정하여 관리하고 있습니다.”
- 심사원: “개발팀 팀장님이 플랫폼 전체 관리 권한을 가져야 하는 명확한 업무상 사유가 정책에 정의되어 있나요?”
- 담당자: “별도의 지침은 없으나, 긴급 장애 대응 시 필요할 수 있어 목록에 포함해 두었습니다.”
Q. 위 상황에서 발생할 수 있는 결함은?
- 결함 내용: 2.2.1 주요 직무자 지정 및 관리 - 주요 직무자(클라우드 최고 관리자) 지정을 업무상 필요성에 따라 최소한으로 제한하지 않았으며, 지정 기준이 불명확함.
2. 2.2.2 직무 분리
📌 인증기준 개요
권한 오남용으로 인한 부정행위를 방지하기 위해 정보보호 및 개인정보보호 관련 직무(개발, 운영, 보안)를 분리하고, 상호 견제 환경을 조성해야 합니다.
☁️ 멀티 클라우드 환경에서의 핵심 고려사항
- 개발/운영(Dev/Ops) 환경 분리: 클라우드 콘솔 계정 자체가 개발 환경과 운영 환경(Production)으로 논리적으로 분리되어 있는지 확인해야 합니다.
- 보안 검토: 개발자가 스스로 보안 설정을 변경하고 직접 배포까지 완료할 수 있는 구조라면, 반드시 보안팀의 승인 절차나 제3자의 모니터링 등 보완 대책이 필요합니다.
📝 실전 시험 대비 (기출 복원 유형)
Q. 다음 중 직무 분리(2.2.2)의 결함 사례로 가장 적절한 것은?
- 보안 교육을 연 1회만 실시하였다.
- 퇴직자의 계정을 퇴사 당일에 삭제하지 않았다.
- 시스템 실무자가 보안 로그 기록의 편집 및 삭제 권한을 동시에 보유하고 있다. (정답)
- 신규 입사자에게 보안 서약서를 받지 않았다.
해설: 자신의 행위를 기록하는 ‘로그’를 스스로 수정할 수 있다는 것은 권한 오남용을 은폐할 수 있는 환경이므로, 운영 직무와 로그 관리/보안 직무의 분리가 필요합니다.
3. 2.2.3 보안 서약 & 2.2.4 보안 교육
📌 인증기준 개요
- 2.2.3 (서약): 임직원, 외부 협력업체 인력 등이 업무 시작 전 보안 의무를 준수하겠다는 서약서를 징구해야 합니다.
- 2.2.4 (교육): 전 직원을 대상으로 연간 보안 교육 계획을 수립하고, 정기적으로 교육을 시행하여 그 효과를 평가해야 합니다.
☁️ 멀티 클라우드 환경에서의 핵심 고려사항
- 클라우드 설정 오류(Misconfiguration) 교육: 최근 클라우드 사고의 대다수는 S3 버킷 공개 설정 등 사용자 실수에서 비롯됩니다. 따라서 단순 이론 교육이 아닌 클라우드 보안 설정 가이드 교육이 포함되어야 합니다.
📝 실전 시험 대비 (예상 시나리오)
[상황] E기업은 외부 클라우드 MSP(Managed Service Provider) 업체에 운영 대행을 맡기고 있다.
- 심사원: “외부 MSP 업체의 상주 인력에 대한 보안 관리는 어떻게 하시나요?”
- 담당자: “협력 사가 우리 회사 보안 지침을 따르도록 계약서에 명시하였고, 우리 직원들과 동일하게 매년 정기 보안 교육을 이수하도록 하고 있습니다.”
- 심사원: “해당 인력들이 투입될 때 징구하신 보안 서약서와 개인정보보호 서약서를 보여주세요.”
- 담당자: “용역 계약 기간이 길어 이번에 투입된 신규 지원자 2명의 서약서는 아직 미처 받지 못했습니다.”
Q. 이 상황에 해당하는 결함은?
- 결함 내용: 2.2.3 보안 서약 - 외부 용역 인력 투입 시 업무 시작 전 보안 서약서를 징구하지 않음.
4. 2.2.5 퇴직 및 직무변경 관리
📌 인증기준 개요
퇴직이나 부서 이동 등 인사 변동이 발생할 경우, 자산 반납 및 접근 권한 회수가 지체 없이 이루어져야 하며 자격 박탈 등을 통해 보안 사고를 예방해야 합니다.
☁️ 멀티 클라우드 환경에서의 핵심 고려사항
- SSO(Single Sign-On) 연동 유무: 멀티 클라우드 특성상 여러 관리 콘솔과 툴을 사용하므로, 인사 시스템과 연동되어 계정이 자동으로 비활성화되는지 확인하는 것이 중요합니다.
- 수동 계정 관리: 계정 연동이 되지 않은 SaaS 형태의 보안 툴이나 별도의 클라우드 계정은 퇴사 즉시 수동으로 권한을 회수해야 합니다.
📝 실전 시험 대비 (기출 복원 유형)
Q. F기업의 심사 중 확인된 사항이다. 결함으로 판단하기 어려운 것은?
- 퇴직자가 발생했으나 1주일이 지나도록 AWS IAM 계정이 활성 상태로 남아 있다.
- 부서 이동으로 인해 더 이상 서버 접근이 필요 없는 직원의 VPN 권한이 그대로 유지되고 있다.
- 퇴직자의 자산 반납 확인서가 관리대장에는 있으나, 실물 자산은 아직 비품 창고로 입고되지 않았다. (정답)
- 퇴직 예정자가 퇴사 직전 대량의 데이터를 외부 클라우드 저장소로 반출한 기록이 있으나 아무런 조치가 없었다.
해설: 1, 2번은 명확한 2.2.5 결함입니다. 4번은 2.2.6(보안 위반 시 조치) 혹은 2.2.5의 보안 점검 미흡과 연관됩니다. 반면 3번은 실무적인 물류 이동의 문제일 뿐, 반납 확인 절차가 이행되었다면 인증기준 위반으로 보기 어렵습니다.
5. 2.2.6 보안 위반 시 조치
📌 인증기준 개요
보안 정책을 위반한 임직원에 대해 징계 절차, 재교육 등 합당한 조치 기준을 마련하고 실제로 이를 적용해야 합니다.
☁️ 멀티 클라우드 환경에서의 핵심 고려사항
- 로그 분석을 통한 식별: 클라우드 감사 로그(CloudTrail 등)를 통해 비인가된 자원 생성이나 설정 변경 등의 위반 행위를 상시 모니터링하고 대응하는 체계가 갖춰져야 합니다.
🚀 AI를 활용한 인적 보안 자동화 의견
최근 인적 보안 영역에서는 수동 관리의 한계를 극복하고 ‘휴먼 에러’를 줄이기 위해 AI 기술을 적극적으로 도입하고 있습니다. 멀티 클라우드 환경의 복잡성을 관리하기 위한 AI 자동화 활용 방안 3가지를 제안합니다.
1. 지능형 계정 수명주기 관리 (AI-driven IAM)
- 자동 오프보딩: 인사 시스템(HRIS)과 AI 워크플로우를 연동하여 퇴직자 발생 시 즉시 멀티 클라우드 전반의 계정을 회수합니다. AI는 수동으로 생성된 ‘쉐도우 계정’까지 탐지하여 권한 회수 누락을 방지합니다.
- 권한 최적화 추천: AI가 직원의 실제 클라우드 자원 사용 패턴을 분석하여, 부여된 권한 중 사용하지 않는 권한을 식별하고 ‘최소 권한(Principle of Least Privilege)’ 상태로 자동 조정 또는 가이드를 제공합니다. (2.2.1, 2.2.5 대응)
2. 사용자 행동 분석을 통한 내부 위협 탐지 (UEBA)
- 이상 징후 포착: 평소와 다른 시간대의 콘솔 접속, 대량의 데이터 다운로드, 비정상적인 권한 변경 시도 등을 AI 모델(머신러닝)이 실시간으로 감지합니다.
- 예외 상황 대응: 단순한 룰 기반 탐지가 아닌, 사용자의 평소 행동 프로파일을 기반으로 분석하므로 오탐을 줄이고 실질적인 보안 위반 행위를 신속히 식별할 수 있습니다. (2.2.6 대응)
3. 상시 증적 수집 및 AI 보안 코파일럿
- 자동 증적 매핑: 심사 시 가장 번거로운 ‘교육 이수 확인서’, ‘보안 서약서’, ‘인사 변동 통보 이력’ 등을 AI가 폴더별로 자동 분류하고 ISMS-P 인증 항목과 매핑하여 상시 관리합니다.
- 결함 사전 점검: AI가 내부 정책 지침과 실제 운영 현황을 비교하여 “퇴직 후 24시간 이내 계정이 삭제되지 않은 사례” 등을 리포팅해 심사 전 결함을 스스로 치유할 수 있게 돕습니다.
💡 요약 및 결론
인적 보안은 ‘사람에 의한 리스크’를 관리하는 것입니다. 멀티 클라우드 환경에서는 관리 포인트가 많아지기 때문에 다음을 꼭 기억하세요.
- 2.2.1/2.2.2: 클라우드 관리 권한은 필요한 소수에게만 주고(주요 직무자), 개발과 운영은 명확히 나눈다(직무 분리).
- 2.2.5: 퇴사 시 클라우드 계정은 인사팀과 연계하여 ‘지체 없이’ 막는 것이 핵심이다.
- 2.2.4: 클라우드 설정 오류를 예방할 수 있는 실질적인 교육을 실시한다.
ISMS-P 인증심사원 혹은 자격증 시험에서는 특히 인사 변동에 따른 권한 회수 지연 사례가 단골로 출제되니, 2.2.5 항목을 꼼꼼히 학습하시기 바랍니다!