개인정보보호위, 클라우드·SW 개발 도구 사업자에 보호조치 권고

개인정보보호위원회는 15일 클라우드 기반 서비스와 소프트웨어 개발 협업 도구를 사용하는 사업자에게 보호조치를 이행하라고 권고했다.

개보위는 소스 코드에 접근키, 비밀번호, API(응용 프로그램 인터페이스) 등 자격증명이 저장·노출되지 않도록 관리하고, 장기 자격증명 대신 자동 만료되는 임시 자격증명을 사용할 것을 당부했다.

또 자격증명을 사용할 수 있는 IP주소와 네트워크 구간 등을 제한하고, 데이터베이스와 클라우드 관리 콘솔 등 주요 시스템에 대해서는 다중 인증을 적용하고 최소권한 원칙에 따른 접근권한만 부여하라고 주문했다.

개보위는 "깃허브(GitHub) 등 개발 협업 도구에 저장된 소스 코드에서 자격증명이 노출되는 사례가 확인되고 있다"며 "소스 코드에 자격증명 정보를 저장하면 이를 악용해 개인정보 처리시스템에 접근할 수 있다"고 강조했다.

깃허브는 마이크로소프트(MS)가 운영하는 코딩 협업 플랫폼이다.