# NHI 보안 진단 체크리스트

서비스와 workload가 사용하는 API 키·토큰·service account 등의 관리 상태를 10가지 질문으로 점검하세요.

## 사용 방법

각 질문에 예 또는 아니오로 답하세요. 아니오인 항목의 다음 단계를 검토하고 담당자를 정하세요.

## 1. Git 저장소 전체에 secret scanning이 자동 실행되나요?

- [ ] 예
- [ ] 아니오

**다음 단계:** 기본 브랜치와 PR을 검사하는 스캐너를 도입하고 검사 범위를 확인하세요.

## 2. CI/CD 파이프라인의 secret을 전용 secret store에서 관리하나요?

- [ ] 예
- [ ] 아니오

**다음 단계:** 코드와 설정 파일에 하드코딩된 secret을 확인하고 전용 저장소로 옮기세요.

## 3. service account와 API key의 생성·소유·만료 정보를 인벤토리로 관리하나요?

- [ ] 예
- [ ] 아니오

**다음 단계:** 주요 클라우드와 SaaS에서 자격증명 목록을 수집하고 소유자를 기록하세요.

## 4. NHI 자격증명에 만료·회전 정책을 적용하고 실행 여부를 확인하나요?

- [ ] 예
- [ ] 아니오

**다음 단계:** 만료가 없는 키를 식별하고 만료·회전 정책과 실제 실행 상태를 점검하세요.

## 5. 조직 외부에 노출된 자격증명을 지속적으로 모니터링하나요?

- [ ] 예
- [ ] 아니오

**다음 단계:** 공개 저장소 등 외부 노출 경로의 모니터링 범위를 확인하세요.

## 6. NHI의 생성 → 사용 → 회수 과정을 추적하나요?

- [ ] 예
- [ ] 아니오

**다음 단계:** 퇴사 절차에 NHI 회수 점검을 추가하고 생성자·소유자 감사 로그를 확보하세요.

## 7. 의존성과 공급망에 포함된 자격증명도 검사하나요?

- [ ] 예
- [ ] 아니오

**다음 단계:** 의존성 검사와 secret scanning의 범위를 확인하세요.

## 8. Kubernetes·클라우드 workload에서 장기 static key 대신 단기 자격증명을 사용하나요?

- [ ] 예
- [ ] 아니오

**다음 단계:** workload에 주입된 장기 키를 식별하고 workload identity 전환을 검토하세요.

## 9. CI/CD의 cloud provider 인증에 OIDC federation을 사용하나요?

- [ ] 예
- [ ] 아니오

**다음 단계:** 파이프라인의 장기 cloud key를 식별하고 OIDC 인증으로 전환할 범위를 정하세요.

## 10. 자격증명 유출 대응 플레이북을 문서화하고 연습하나요?

- [ ] 예
- [ ] 아니오

**다음 단계:** 키 회수 담당자·절차·영향 범위 분석을 정리하고 대응 훈련을 진행하세요.

## 결과 활용

아니오인 항목을 검토 목록으로 정리하세요. 노출된 자격증명, 소유자가 없는 키, 회수 절차가 없는 서비스를 확인하고 팀과 개선 순서를 정하세요.

[Cremit 데모 신청](https://www.cremit.io/ko/demo)