[개인정보보호위원회]개인정보위, 클라우드·개발 협업도구 사용시 자격증명 관리 강화 당부

개인정보보호위원회는 2026년 6월 15일, 클라우드 기반 서비스 및 소프트웨어 개발 협업 환경 확대에 따라 접근키(Access Key), 인증토큰, API 키 등 자격증명 정보의 안전한 관리를 강화할 것을 사업자에게 당부하는 보도참고 자료를 배포하였습니다. 최근 국내외에서 깃허브(GitHub) 등 개발 협업도구와 클라우드 환경에 저장된 자격증명이 외부에 노출되거나 탈취되어 대규모 개인정보 유출 사고가 잇따라 발생하고 있다는 배경 아래, 개인정보처리시스템·데이터베이스·클라우드 서비스에 대한 무단 접근을 차단하기 위한 구체적인 조치 예시를 함께 제시하였습니다.

개발자가 관리 편의를 위해 소스코드에 자격증명 정보를 하드코딩하거나 깃허브 등 코드저장소에 업로드하는 관행이 확인되고 있으며, 이 경우 공격자가 해당 정보를 악용하여 개인정보처리시스템에 무단 접근할 수 있습니다. 또한 실수로 자격증명을 코드저장소에 업로드한 뒤 작업 공간에서 삭제하더라도 형상관리 이력에 해당 정보가 잔존할 수 있어 사후 조치가 미흡할 경우 지속적인 유출 위험이 남는다는 점도 지적되었습니다.

개인정보위는 사업자가 취해야 할 조치 예시로, 깃허브의 '.gitignore' 파일에 인증서 및 환경설정 파일(.env)을 등록하여 코드저장소 업로드 대상에서 제외하는 방법, 깃허브의 'Secret Scanning' 및 'Push Protection' 등 기밀정보 자동 탐지 도구를 활용한 사전 점검, 소프트웨어 엔지니어 대상 정기 교육 및 코드 리뷰 과정에서의 자격증명 하드코딩 여부 확인을 제시하였습니다. 아울러 자격증명 노출이 확인된 경우에는 해당 자격증명을 즉시 폐기하고 신규 자격증명으로 교체하는 신속한 대응을 실시하도록 권고하였습니다.

이번 당부는 법적 의무 신설이 아닌 행정 권고 성격이나, 개인정보보호위원회가 사전실태점검과를 통해 관련 사고를 모니터링하고 있음을 감안할 때, 자격증명 관리 미흡이 개인정보 유출 사고로 이어질 경우 「개인정보 보호법」상 안전조치 의무 위반으로 제재를 받을 가능성이 있습니다. 소프트웨어 개발 조직을 보유한 기업은 코드저장소 보안 정책, 개발자 교육 체계, 자격증명 관리 절차를 신속히 점검하고 미비한 부분을 보완할 필요가 있습니다.