A.5.17
인증 정보
조직적 통제확인사항 6증적 6사례 6
통제 목적
인증 정보(비밀번호, PIN, 토큰 시크릿, 인증서 개인키, API 키 등)는 사용자나 시스템의 신원을 증명하는 핵심 비밀이므로, 발급부터 사용, 갱신, 폐기까지 전 생애주기에 걸쳐 안전하게 배포, 보관, 관리되어야 합니다. 이 통제는 인증 정보가 유출되거나 추측/재사용되어 무단 접근으로 이어지지 않도록 조직과 사용자 양쪽의 책임과 관리 절차를 정립할 것을 요구합니다. 인증 정보의 품질(충분한 길이, 유출/흔한 비밀번호 차단, 재사용 제한)과 안전한 저장/전송을 함께 보장하는 것이 핵심입니다.
주요 확인사항
- 신규 사용자나 시스템에 인증 정보를 최초 배포할 때 본인 확인 및 안전한 전달 절차가 정의되어 있는가?
- 초기/임시 비밀번호는 유효기간을 짧게 두고 최초 로그인 시 강제로 변경하도록 설정되어 있는가?
- 인증 정보 유형에 맞는 품질 기준(비밀번호 길이, 유출 비밀번호 차단, 재사용 제한 등)과 유출 시 교체 기준이 정해지고 실제 시스템에 적용되는가?
- 검증용 사용자 비밀번호는 솔트와 적절한 연산 비용을 적용한 비밀번호 해시로 보관하고, 복원이 필요한 서비스 비밀정보는 별도의 접근통제와 암호화로 보호하며, 전송 경로도 보호하는가?
- 사용자에게 인증 정보 공유와 업무/개인 간 재사용을 금지하고, 승인된 비밀번호 관리 도구 등 안전한 보관 방법을 안내하며 확인을 받는가?
- 인증 정보 유출/노출이 의심될 때 즉시 재설정하는 절차와 기본(default) 인증 정보 변경 절차가 마련되어 있는가?
이행 지침
- 인증 정보 유형별(사용자 비밀번호, 서비스 계정 시크릿, 암호키, 인증서 등) 발급/전달/보관/폐기 절차를 문서화하고 책임자를 지정합니다.
- 초기/임시 비밀번호는 짧은 유효기간을 두고 안전하게 전달하며 첫 사용 시 변경하도록 합니다. 키, 인증서, 일회용 코드에는 각 유형에 맞는 활성화, 만료 및 폐지(revocation) 절차를 적용합니다.
- 검증용 비밀번호는 고유 솔트와 적절한 연산 비용을 적용한 비밀번호 전용 해시 방식으로 저장하고, 전송 구간도 보호합니다. 일반 해시 함수만 사용하거나 복호화 가능한 암호화로 검증용 비밀번호를 보관하지 않습니다.
- 충분한 길이, 유출/흔한 비밀번호 차단, 시도 횟수 제한, MFA와 비밀번호 관리 도구 지원을 적용합니다. 근거 없는 조합 규칙이나 정기 변경을 보편적인 필수조건으로 두지 않으며, 유출 징후 또는 적용되는 별도 의무에 따라 변경합니다.
- 시스템/서비스 계정의 하드코딩된 인증 정보를 제거하고 비밀 관리 솔루션(secrets vault)으로 중앙 관리하며 주기적으로 교체합니다.
- 사용자에게 인증 정보 공유 금지, 피싱 대응, 개인용/업무용 재사용 금지 등 사용 책임을 교육하고 서약을 받습니다.
증적자료
- 인증 정보 관리 정책/절차서(발급, 전달, 저장, 폐기 기준 포함)
- 비밀번호 정책 설정(길이, 유출 비밀번호 차단, 시도 제한, MFA 및 변경 조건)
- 초기/임시 비밀번호의 첫 로그인 변경 및 유효기간 설정 증적
- 비밀번호 해시 방식, 솔트, 연산 비용 및 전송 보호 설정의 확인 기록
- 비밀 관리 솔루션(vault) 운영 및 시크릿 교체 이력
- 사용자 보안 서약서 및 인증 정보 취급 교육 기록
부적합 사례
- 신규 계정 초기 비밀번호가 전 사용자 동일 값으로 부여되고 최초 변경이 강제되지 않는 경우
- 데이터베이스에 사용자 비밀번호가 평문 또는 단순 인코딩(base64) 상태로 저장된 경우
- 애플리케이션 소스코드/설정 파일에 DB 접속 비밀번호가 하드코딩되어 형상관리에 커밋된 경우
- 관리자 화면에서 사용자 비밀번호를 평문으로 조회할 수 있는 경우
- 정의된 비밀번호 길이, 유출 비밀번호 차단 또는 인증 시도 제한 기준이 실제 시스템에 적용되지 않은 경우
- 인증 정보 유출 의심 사고 이후에도 재설정이 이루어지지 않는 경우