1. 개인정보보호법 요건

1.1 안전성 확보조치

「개인정보 보호법」 제29조에 따라 개인정보처리자는 개인정보의 분실·도난·유출 등을 방지하기 위해 필요한 기술적·관리적·물리적 안전조치를 해야 한다.

구체적인 사항은 「개인정보 보호법 시행령」 제30조 및 「개인정보의 안전성 확보조치 기준」에서 정하며, 이번 시나리오와 관련성이 높은 항목은 다음과 같다.

개인정보처리시스템의 접근권한 관리
- 시나리오와 연결:
- EC2 IAM Role에 AmazonS3FullAccess 권한이 부여됨
- 공격자가 EC2의 자격증명을 탈취하자 S3에 광범위하게 접근 가능
- 따라서 최소권한 원칙에 따른 IAM 권한 설계가 적절했는지 평가 필요
개인정보에 대한 접근통제
- 시나리오와 연결:
- 탈취된 AWS Access Key를 이용한 비인가 AWS 접근
- SSRF를 이용한 EC2 내부 자원 접근
- 탈취한 IAM Role을 이용한 S3 비인가 접근
- 따라서 외부의 비인가 접근을 제한·탐지할 수 있었는지 평가 필요
개인정보 암호화
접속기록의 보관 및 점검
- 시나리오와 연결:
- 탈취된 Credential을 이용한 AWS API 호출
- S3 객체 접근 및 다운로드
- 비정상 IP·계정을 통한 개인정보 접근
따라서 공격 발생 후 누가, 언제, 어디에서, 어떤 개인정보에 접근했는지 추적할 수 있는 로그가 적절하게 수집 및 점검되었는지 평가 할 수 있을 것
취약점 및 악성프로그램 등에 대한 보안조치
- 시나리오와 연결:
- 웹 애플리케이션에 SSRF 취약점 존재
- EC2에서 IMDSv1 사용 가능
- 해당 취약점이 IAM Role 자격증명 탈취로 연결
  
  따라서 취약점 점검 및 클라우드 보안설정 관리가 적절했는지 평가해볼 수 있다.

이번 시나리오의 AWS Key 노출, 과도한 IAM Role 권한, SSRF 취약점, 비인가 S3 접근 등을 위 기준에 따라 평가할 수 있다.

개인정보처리자가 개인정보의 분실·도난·유출 사실을 알게 된 경우, 정보주체에게 해당 사실을 알려야 한다.

주요 통지사항은 다음과 같다.