엔라이튼은 전국 태양광 발전소 2만 8,800여 곳을 관리하는 플랫폼을 운영합니다. 발전량 예측과 자산 모니터링, 에너지 거래가 모두 Google Cloud 위에서 돌아갑니다. 이런 환경에서 서비스 계정 키 하나는 작은 비밀이라기보다 전국 발전 데이터를 읽고 처리하는 시스템으로 들어가는 문입니다. 회사는 보안 요건이 까다로운 기업 고객을 늘려가는 중이었고, 동시에 ISMS 인증을 준비하고 있었습니다. 빠르게 개발해 온 몇 년 사이 GCP 서비스 키는 저장소와 내부 문서, 협업 도구 곳곳에 남아 있었습니다. 인증 준비에는 그 키가 어디에 있는지 정리된 답이 필요했습니다.
Cremit은 개발 환경과 협업 환경을 함께 스캔해, 원래 있어야 할 자리를 벗어난 GCP 서비스 키를 찾아냈습니다. 팀은 해당 키를 교체했습니다. 결과에는 키마다 어느 저장소, 어느 문서에서 나왔는지가 함께 적혀 있었습니다. 심사에서 묻는 것도 같은 형태입니다. 클라우드 자격증명을 관리하느냐가 아니라, 그것이 어디 있는지 어떻게 아느냐입니다.
ISMS 인증을 준비하면서 Cremit 덕분에 노출된 줄도 몰랐던 Google Cloud 서비스 키들을 발견할 수 있었습니다. 이 크리덴셜들을 보안 조치함으로써 리스크를 줄였을 뿐 아니라 심사에 필요한 문서화된 증거도 확보할 수 있었습니다.
스캔에서는 몇 년에 걸쳐 스택 전반에 쌓여 온 Google Cloud 서비스 키가 상당수 나왔고, 전부 교체했습니다. 스캔 기록은 ISMS 제출 자료로도 들어갔습니다. 자격증명 관리는 심사에서 주장이 아니라 실행을 보여줘야 하는 항목이고, 모든 저장소와 문서를 훑은 날짜가 찍힌 스캔 결과가 그 증빙이 됩니다.
