쿠팡 개인정보 유출 관련 기사, 그리고 필요한 조치들..

또 개인정보 유출 사고가 발생했습니다.

이번에는 국내 최대 이커머스 업체인 쿠팡입니다.

결재정보 등 암호화된 정보는 유출되지 않았다고 기사가 나오고 있지만,

면밀한 조사가 필요하고 그 결과를 계속 Followup해봐야 할것 같습니다.

 

JTBC 단독 보도에 따르면,

인증업무를 담당했던 퇴직한 직원이 오래된 토큰정보를 활용해서 시스템에 무단 접근하여

정보를 유출해 나간 것으로 파악하고 있습니다.

- https://n.news.naver.com/mnews/article/437/0000466705?sid=101&lfrom=twitter 

[단독] 쿠팡 유출 직원은 '인증 업무 담당자'...'액세스 토큰 서명키' 장기 방치가 화근

 

사후 약방문이라고 하지만,

항상 보안사고 이후에는 철저한 원인규명이 필수이고,

기술적/관리적 대책 수립을 시행하고, 이를 회사 프로세스에 반영하는 등의 지속적인 개선 노력이 필요합니다.

---

1. 기술적 보안 강화 방안: 토큰 및 키 관리 

이번 사건의 핵심인 '액세스 토큰 서명키'의 오용을 근본적으로 차단하기 위한 조치입니다.

• 토큰 유효기간의 엄격한 설정 및 관리:
  • 토큰의 유효 기간을 짧게 설정하고(예: 몇 분 또는 몇 시간), 유효 기간이 만료되면 즉시 재발급 절차를 거치도록 시스템을 구축해야 합니다. 항상 현실과 이상사이의 괴리가 있지요. 운영부서에서는 토큰 만료로 인한 서비스 중단 우려를 제기할 것이고, 보안팀에서는 그에 적절한 방안을 내놓아야 합니다.
  • 장기 유효 토큰(Long-Lived Tokens) 발급은 원칙적으로 금지하고, 불가피할 경우 강력한 승인 절차와 함께 정기적인 자동 폐기/갱신 시스템을 적용해야 합니다.
• 서명키(Signing Key)의 정기적인 갱신 의무화:
  • 토큰의 위변조를 막는 핵심인 서명키를 최소한 월별 또는 분기별로 강제 갱신하도록 시스템 정책을 확립해야 합니다.
  • 갱신 작업은 자동화된 시스템을 통해 수행되어, 담당자의 실수나 누락을 방지해야 합니다.
• 키(Key) 관리 시스템(KMS) 도입 및 강화:
  • 서명키를 포함한 모든 민감한 암호화 키는 별도의 보안 구역에 있는 Key Management System (KMS)에 저장하고 관리해야 합니다.
  • 키를 사용하는 모든 접근 시도는 KMS를 경유하도록 하여, 접근 기록을 철저히 남기고 비정상적인 사용 패턴을 탐지해야 합니다.

2. 관리적 보안 강화 방안: 권한 폐기 자동화 

퇴사 직원의 권한이 즉시 폐기되지 않아 발생한 문제이므로, 인적 변동에 따른 권한 통제 시스템을 강화해야 합니다.

• 퇴사자 권한 즉시 폐기(De-provisioning) 시스템 구축:
  • 인사 시스템과 보안 시스템을 연동하여, 퇴직 처리와 동시에 모든 시스템 접근 권한(계정, 토큰, 키 접근 권한 등)이 자동으로 즉시 폐기되도록 시스템화 되어야 합니다.
  • 퇴사 당일 담당자가 직접 수동으로 폐기하는 절차는 보조적인 수단으로만 활용하고, 자동 폐기를 주요 보안 통제로 삼아야 합니다. 즉 퇴사 프로세스는 직원의 등급에 따라 적절한 체크항목이 마련되어 있어야 하고, 이를 자동화해야 합니다.
• 인증 및 권한 담당자에 대한 이중 통제:
  • A씨와 같이 인증 업무를 담당하는 직원에게는 가장 높은 수준의 통제가 필요합니다. 서명키 접근 권한은 "분리된 두 명 이상의 담당자 승인(Two-Person Rule)"이 있어야만 접근/변경이 가능하도록 절차를 강화해야 합니다.
• 접근 권한 감사(Audit) 및 재검토:
  • 모든 임직원의 시스템 접근 권한을 최소한 분기별로 재검토하여, 현재 직무와 무관한 과도한 권한이나 장기 미사용 권한은 즉시 회수해야 합니다(Principle of Least Privilege).

3. 조직 및 구조적 보안 책임 강화 방안 

최민희 위원장의 지적처럼, '단순한 일탈'이 아닌 '조직적·구조적 문제'를 해결하기 위한 조치입니다.

• 보안 책임자의 독립성 확보:
  • 최고정보보호책임자(CISO)가 경영진에게 직접 보고할 수 있도록 조직 내 독립적인 지위를 부여하고, 보안 예산 및 정책 결정에 실질적인 권한을 갖도록 해야 합니다.
• 내부 보안 감사 강화:
  • IT 운영팀과 독립된 내부 감사 부서를 통해 보안 절차(특히 키 갱신 및 퇴사자 권한 회수 절차)가 제대로 지켜지고 있는지 정기적으로 감사를 실시하고, 그 결과를 경영진이 직접 보고받도록 해야 합니다.
• 보안 리스크 관리의 경영진 의무화:
  • '서명키 장기 방치'와 같은 기본 보안 절차 미준수가 발생했을 경우, 담당 부서장뿐 아니라 최고 경영진에게도 이에 대한 책임과 패널티를 부과하는 내부 규정을 마련해야 합니다.

---

 

개인정보보호는 회사와 사용자간의 신뢰에 기본 바탕입니다.

발생한 사고에 대한 철저한 원인 규명이 선행되어야 하고, 회사의 책임도 반드시 따라야 합니다.

또한 이번 사고를 반면교사 삼아, 대한민국 정보보호 제도와 프로세스가 한층더 강화되길 바랍니다.