키관리시스템과 ISMS-P: 암호키 관리 기준을 어떻게 충족할 것인가
인증심사 준비 중 "암호키 관리 정책은 있는데, 실제로 키가 어디서 생성되고 어떻게 폐기되는지 추적이 안 된다"는 상황을 마주한 적이 있을 것입니다. ISMS-P 101개 인증기준 가운데 암호키 관리는 심사관이 문서와 실제 운영 간 괴리를 집중적으로 확인하는 영역입니다. 정책 문서만으로는 결함을 피하기 어렵습니다.
ISMS-P가 요구하는 암호키 관리의 실체
ISMS-P 인증기준 **2.7.1(암호정책 적용)**은 개인정보 및 주요 정보의 암호화 처리와 함께, 암호키의 생성·이용·보관·배포·폐기 전 주기에 대한 절차 수립과 이행을 요구합니다. 단순히 "암호화를 적용한다"는 선언으로는 충족되지 않습니다.
심사관이 실제로 확인하는 항목은 다음 세 가지입니다.
- 키 생명주기 문서화: 생성 시점, 유효기간, 갱신 주기, 폐기 절차가 명시된 정책 존재 여부
- 키 접근 통제: 암호키에 접근 가능한 계정이 최소화되어 있고, 접근 이력이 기록되는지 여부
- 키와 암호화 데이터의 분리 보관: 동일 서버에 키와 암호화된 데이터가 함께 저장되는 구조는 결함으로 처리될 수 있음
개인정보 보호법 제29조 및 개인정보의 안전성 확보조치 기준(고시) 제7조도 비밀번호·고유식별정보·바이오정보 등의 암호화를 규정하고 있으며, KMS 부재 시 이 조항들과의 연계 결함으로 이어지는 경우가 많습니다.
키관리시스템 도입 전 반드시 정의해야 할 것들
KMS를 도입하기 전에 시스템보다 먼저 정리해야 할 것이 있습니다.
1단계: 암호화 대상 자산 전수 조사
어떤 데이터가 어떤 키로 암호화되어 있는지 현황 파악이 선행되어야 합니다. DB 컬럼 단위의 암호화 적용 현황, 파일 암호화 현황, 전송 구간 암호화(TLS) 적용 현황을 각각 분리해서 목록화하십시오. 이 목록이 없으면 KMS를 도입해도 키와 데이터 간 매핑이 불명확해집니다.
산출물: 암호화 자산 현황표 (암호화 대상, 알고리즘, 키 ID, 키 관리 주체, 갱신 주기 포함)
2단계: 키 생명주기 정책 수립
키 유효기간은 조직이 자체적으로 설정하되, KISA의 암호 알고리즘 및 키 길이 이용 안내서(2023)를 기준으로 삼는 것이 적절합니다. 일반적으로 대칭키(AES)의 경우 12년, 비대칭키(RSA)는 13년 범위로 갱신 주기를 설정합니다.
정책에는 다음 내용이 반드시 포함되어야 합니다.
- 키 생성 주체 및 승인 절차
- 키 유효기간 및 갱신 트리거 조건
- 키 폐기 시 데이터 재암호화 처리 방법
- 키 분실·유출 시 대응 절차
3단계: KMS 아키텍처 결정
온프레미스 HSM(Hardware Security Module), 클라우드 KMS(AWS KMS, Azure Key Vault 등), 자체 소프트웨어 KMS 중 조직의 인프라 환경에 맞는 방식을 선택합니다. 이때 ISMS-P 관점에서 반드시 확인할 요소는 두 가지입니다.
- 감사 로그 생성: 키 생성·조회·삭제 등 모든 이벤트에 대한 로그가 자동으로 기록되는가
- 이중화 및 백업: 키 저장소 장애 시 서비스 연속성을 어떻게 보장하는가
심사 현장에서 자주 나오는 결함 유형
실제 심사 사례를 보면, KMS를 운영하고 있음에도 결함이 발생하는 패턴이 반복됩니다.
첫 번째: 키 갱신 주기가 정책에 명시되어 있으나 실제로 갱신된 이력이 없는 경우. "정책과 운영의 불일치"로 결함 처리됩니다.
두 번째: 암호키 접근 권한이 DBA 그룹 전체에 부여되어 있는 경우. 최소 권한 원칙(ISMS-P 인증기준 2.5.2) 위반으로 연계 결함이 발생합니다.
세 번째: 키 폐기 절차가 문서에 있으나 실제로 폐기된 키 목록과 재암호화 처리 기록이 없는 경우.
운영 체계를 유지하기 위한 최소 관리 단위
KMS 도입 후 ISMS-P 심사를 안정적으로 통과하려면 다음 주기로 증적을 관리해야 합니다.
| 관리 항목 | 권장 주기 | 증적 형태 |
|---|---|---|
| 키 갱신 이행 확인 | 갱신 주기에 맞춰 | 키 갱신 승인 기록, 재암호화 완료 확인서 |
| 접근 권한 검토 | 반기 1회 | 접근 권한 목록 검토 결과 |
| 키 접근 로그 검토 | 월 1회 이상 | 이상 접근 검토 보고서 |
| 키관리 정책 검토 | 연 1회 | 정책 검토·개정 이력 |
ISMS-P 인증 대비 과정에서 KMS 도입과 운영 증적 관리를 병행하는 것이 구조적으로 부담스럽다면, ComplixShield는 암호키 관리를 포함한 ISMS-P 101개 인증기준별 증적 수집과 이행 현황 추적을 자동화하는 방식으로 이 과정을 지원합니다. 심층 분석이 필요하다면 ComplixShield 전문가 상담을 통해 현재 키 관리 체계의 갭을 먼저 진단해 보시기 바랍니다.