A.5.16
아이덴티티 관리
조직적 통제확인사항 6증적 6사례 5
통제 목적
조직 내부 인원, 외부자, 그리고 시스템/서비스/디바이스 같은 사람이 아닌 개체에 부여되는 아이덴티티(식별자)의 전체 생애주기를 일관되게 관리하기 위한 통제입니다. 개별 주체를 유일하게 식별할 수 있어야 행위에 대한 책임추적성이 확보되고, 부여된 접근권한이 실제 사용 주체와 정확히 연결됩니다. 생성부터 변경, 비활성화, 삭제에 이르는 아이덴티티 관리가 부실하면 유령 계정, 권한 오남용, 사고 원인 규명 실패로 이어지므로 이를 예방하는 것이 목적입니다.
주요 확인사항
- 인원 및 사람이 아닌 개체(서비스 계정, 시스템 계정, 디바이스)에 부여되는 아이덴티티가 유일하게 식별되며 실제 주체와 연결되어 관리되고 있는가?
- 아이덴티티의 생성/부여/변경/비활성화/삭제 절차가 문서화되어 있고, 승인 및 요청 근거가 기록으로 남는가?
- 공용/공유 아이덴티티는 업무상 불가피한 경우로 제한되며, 별도 승인과 사용 책임자 지정, 사용 이력 관리가 이루어지는가?
- 퇴직/부서이동/계약종료 등 신분 변동 발생 시 관련 아이덴티티가 적시에 비활성화 또는 회수되는가?
- 활성 아이덴티티 목록을 실제 재직/계약 현황 및 부여된 접근권한과 주기적으로 대사(reconciliation)하고 있는가?
- 아이덴티티 관련 주요 이벤트(생성, 권한변경, 비활성화 등)에 대한 기록이 보존되고 추적 가능한가?
이행 지침
- 사람과 사람이 아닌 주체를 각각 고유하게 식별하고 계정을 실제 주체와 연결합니다. 한 사람이 일반 업무용과 관리자용 계정을 별도로 사용하는 경우에도 동일한 책임 주체로 추적할 수 있도록 합니다.
- 아이덴티티 생애주기(신청, 승인, 발급, 변경, 정지, 폐기) 각 단계의 역할/책임/승인권자를 정의하고 워크플로로 표준화합니다.
- 서비스/시스템/디바이스 등 사람이 아닌 주체에도 소유자를 지정하고 식별자와 자격증명 참조정보를 자산대장에 연결합니다. API 키 원문과 인증서 비밀키는 대장에 넣지 않고 승인된 비밀정보 저장소에 보관해 보호합니다.
- 공용/공유 아이덴티티는 원칙적으로 금지하되, 불가피한 경우 사유/승인/사용범위/책임자를 명시하고 개별 행위 추적을 위한 보완 통제를 적용합니다.
- 인사 시스템(HR) 또는 계약 관리 시스템과 연동하여 입사/퇴사/직무변경 이벤트가 아이덴티티 상태에 자동으로 반영되도록 합니다.
- 주체 유형별 사용 기록으로 휴면 계정을 탐지하고 소유자와 업무 의존성을 확인한 뒤 비활성화합니다. 서비스 계정은 대화형 로그인 여부만으로 판단하지 않으며, 삭제 전 필요한 감사 기록과 보존 의무를 확인합니다.
- 활성 아이덴티티 대장과 실제 현황을 정기적으로 대사하고, 불일치 항목에 대한 처리 결과를 기록으로 남깁니다.
증적자료
- 아이덴티티/계정 관리 정책 및 절차서(생애주기 단계, 승인권자 정의 포함)
- 아이덴티티 대장(인원 계정 및 서비스/시스템/디바이스 등 사람이 아닌 아이덴티티 통합 목록)
- 아이덴티티 생성/변경/비활성화/삭제 요청 및 승인 기록
- 공용/공유 아이덴티티 사용 승인서 및 사용 이력/책임자 지정 문서
- 인사(입퇴사/직무변경) 연계 처리 내역 및 퇴직자 계정 회수 기록
- 활성 아이덴티티 정기 대사(reconciliation) 결과 및 미사용 계정 정리 내역
부적합 사례
- 퇴직자 및 계약종료자의 아이덴티티가 비활성화되지 않고 활성 상태로 장기간 방치된 경우
- 여러 담당자가 하나의 공용 아이덴티티를 승인/기록 없이 공유하여 개별 행위 추적이 불가능한 경우
- 서비스 계정/시스템 계정에 소유자(책임자)가 지정되어 있지 않아 관리 사각지대가 발생하는 경우
- 아이덴티티 생성/변경 시 승인 절차나 요청 근거 기록이 존재하지 않는 경우
- 활성 아이덴티티 목록과 실제 재직 현황 간 대사가 수행되지 않아 유령 계정이 다수 존재하는 경우