[인프라진단] #CA-04 클라우드 계정 비밀번호 정책 관리

1. 항목 설명

클라우드 계정에 적용되는 비밀번호 설정 정책이 조직의 보안 기준을 충족하고, 로그인 세션과 장기 미사용 계정에 대한 보호 정책이 적용되어 있는지 점검하는 항목입니다.

비밀번호 복잡성과 변경 주기, 로그인 시도 제한 또는 이에 준하는 보완 통제가 확인되면 양호로 판단합니다.

2026 가이드 근거

출처: 과학기술정보통신부·한국인터넷진흥원, 「2026 주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드」, CA-04, p.857. 본 게시글은 위 가이드의 판단 기준을 참고하여 작성했으며, 진단 결과와 증적은 개인 실습 환경에서 직접 수집했습니다.

2. 점검 목적

약한 비밀번호, 오래된 비밀번호, 방치된 로그인 세션과 장기 미사용 계정으로 인한 계정 탈취 위험을 줄이는 것이 목적입니다.

3. 실습 환경

• 클라우드: NAVER Cloud Platform 개인 실습 계정
• 설정 위치: Sub Account Dashboard
• 최초 상태: 유휴 세션 만료 OFF
• 최초 상태: 비밀번호 만료 OFF
• 최초 상태: 장기 미사용 서브 계정 비활성화 OFF
• 과금 리소스: 생성하지 않음

NCP 제공 범위

NCP Sub Account 대시보드에서 고객이 직접 설정할 수 있는 항목은 비밀번호 변경 주기, 유휴 세션 만료, 장기 미사용 계정 비활성화입니다. 최소 길이, 문자 조합, 로그인 실패 제한은 당시 NCP 제공 기능과 가이드를 별도로 확인해야 합니다.

4. 취약 상태 구성

신규 NCP 계정의 Sub Account Dashboard에서 유휴 세션 만료, 비밀번호 만료, 장기 미사용 서브 계정 비활성화가 모두 OFF인 기본 상태를 최초진단 대상으로 사용했습니다.

5. 최초진단 결과

• 최초진단 판정: 취약
• 판정 근거: 비밀번호 만료 및 관련 계정 보호 설정이 모두 OFF임
• 점검 범위: 고객이 NCP 콘솔에서 직접 설정할 수 있는 항목

※ 최초진단 이미지는 설정 적용 전 Dashboard 진입 화면을 기록한 캡처입니다. 세부 항목의 OFF 값은 조치 직전 콘솔에서 확인한 기록을 기준으로 작성했으며, 현재 보안 설정을 다시 낮춰 동일 상태를 재현하지 않았습니다.

6. 조치 방법

다음 정책을 순서대로 적용했습니다.

1. 유휴 세션 만료 시간을 30분으로 설정합니다.
2. 비밀번호 변경 주기를 90일로 설정합니다.
3. 장기 미사용 서브 계정을 90일 후 자동 비활성화하도록 설정합니다.

콘솔 경로: Sub Account → Dashboard → 각 정책의 설정 버튼

7. 이행진단 결과

• 이행진단 판정: 양호 및 보완 통제 확인 필요
• 확인 결과: 유휴 세션 ON (30분)
• 확인 결과: 비밀번호 만료 ON (90일)
• 확인 결과: 장기 미사용 계정 비활성화 ON (90일)
• 추가 확인: 비밀번호 복잡성과 로그인 실패 제한은 NCP 제공 기능·조직 SSO·IdP 정책 등으로 별도 확인

8. 실무 주의사항

비밀번호 정책을 강화하면 기존 서브 계정과 자동화 작업의 인증 절차에 영향을 줄 수 있습니다. SSO나 외부 IdP를 사용하는 환경은 NCP Sub Account 설정만으로 전체 인증 보안 수준을 판단하면 안 됩니다.

컨설턴트 조언

• 실제 로그인 방식, SSO·IdP 사용 여부, 비밀번호 기준, MFA 적용 범위를 인터뷰로 확인합니다.
• NCP에서 조절할 수 없는 항목은 서비스 기본 정책, 외부 IdP, MFA, 접근 제한과 로그 탐지를 보완 통제로 평가합니다.
• 변경 전에 서비스 계정, 패스워드 교체 일정, 복구 절차와 비상 접근 계정을 확인합니다.
• 가이드 기준과 클라우드 제공 기능 사이의 차이는 진단 보고서에 명시합니다.

9. 마무리

비밀번호 정책은 단일 숫자로 평가하기보다 변경 주기, 세션 제어, 장기 미사용 계정, MFA와 외부 인증 정책을 함께 검토해야 합니다.