이번에는 선정한 통제항목을 컴플라이언스팀이 실제로 콘솔을 열고 하나씩 확인해보며, 현재 상황과 점검한 내용을 기록했다. IAM·Logging·Detection은 필자가, S3/Data·Incident Response는 팀 내 다른 담당자가 같은 방식으로 점검했다. 또한 이 글은 팀 블로그에 공개되는 자료로, 계정 ID·액세스 키 등 민감정보가 포함된 화면은 캡처를 생략했다. 해당 캡처를 포함한 전체 증적 자료는 추후 프로젝트 제출용 문서에 별도로 첨부할 예정이다.
각 통제항목은 아래 기준으로 정리했다.
인프라를 직접 구축한 게 아니라, ****이미 만들어진 걸 기준에 맞는지 검증하는 컴플라이언스 관점에서 접근했다는 점을 먼저 밝힌다. 그래서 콘솔 조회 권한이 없어 막힌 항목들도 결과로 그대로 남겼다.
요구사항: 모든 사용자 계정(관리자 포함)에 MFA가 적용되어 있는지 점검
근거: ISMS-P 2.5.3 / 개인정보 보호법 제29조, 안전성 확보조치 기준 제5·6조
확인 방법: IAM 콘솔 > 사용자 목록의 MFA 컬럼 직접 확인
결과: 일부 미흡
→ IAM 사용자 9명 중 6명은 MFA(가상 MFA 5명, 패스키 1명) 적용, 3명은 미적용 상태