실무 점검표 · NHI 보안

NHI 보안 성숙도 점검표: 확인할 증거 5가지

API 키와 서비스 계정을 관리한다고 말할 때, 무엇을 보여줄 수 있나요? 다섯 가지 질문에 실제 기록으로 답해 보세요.

Cremit2026년 10월 4일 수정약 6분

점수보다 증거를 먼저 확인하세요

각 질문에 예·일부·아니오로 답하고, 그 답을 뒷받침하는 기록의 위치와 담당자를 적으세요. 기록이 없으면 “예”로 표시하지 마세요. 노출된 자격증명처럼 즉시 대응할 항목을 먼저 처리하고, 이후 범위가 빠진 시스템을 찾아 확장하세요.

이 다섯 항목은 Cremit이 만든 실무 점검 순서입니다. NIST가 정의한 5단계 성숙도 모델이나 인증 기준이 아닙니다.

한 행에 남길 내용

자격증명 유형 · 발급 시스템 · 사용 서비스 · 담당자 · 발견 위치 · 마지막 확인 시각 · 조치 상태 · 재확인 기록. 비밀 값 자체를 점검표에 복사하지 마세요.

01—05

자격증명의 발급처, 사용처, 담당자를 기록하고 최근에도 맞는지 확인했나요?

Cremit의 역할: 연결된 스캔 소스에서 발견한 자격증명을 인벤토리로 모으고 담당자와 처리 상태를 기록합니다. 모든 시스템의 키를 자동으로 찾아낸다는 뜻은 아닙니다.

저장소와 연결된 협업 도구, 모니터링하는 외부 자산에서 키가 보이는지 확인했나요?

Cremit의 역할: 연결된 내부 소스와 조직별로 활성화된 외부 스캔의 발견 결과를 보여줍니다. 완료된 스캔도 전체 인터넷에 비밀이 없다는 증명은 아닙니다.

노출된 값이 작동하는지, 지원되는 자격증명이라면 어떤 권한을 갖는지 구분했나요?

Cremit의 역할: 지원 유형의 유효성을 검증하고 AWS 액세스 키·GCP API 키의 권한 분석을 제공합니다. 실제 악용 여부나 모든 서비스의 접근 범위를 단정하지 않습니다.

영향을 받는 서비스와 담당자를 확인한 뒤, 발급처에서 키를 교체하거나 폐기할 절차가 있나요?

Cremit의 역할: 발견 내용과 인시던트 상태를 추적합니다. 고객을 대신해 키를 교체·폐기·삭제하지 않습니다.

기존 키가 더 이상 유효하지 않은지, 같은 노출 경로가 남아 있지 않은지 확인했나요?

Cremit의 역할: 지원되는 유형을 다시 검증하고 연결된 소스를 재스캔합니다. 수집 범위 밖의 시스템까지 조치 완료를 보증하지 않습니다.

이 흐름은 실제 고객 사고가 아닌 예시입니다. 키 값은 화면이나 문서에 다시 적지 않습니다.

Cremit은 탐지·검증·권한 분석·상태 추적을 돕습니다. 발급처에서의 교체와 폐기는 담당자가 수행합니다.

OWASP는 시크릿의 저장·회전·폐기·감사를 설명합니다. NIST CSF 2.0은 보안 위험 관리의 상위 틀입니다. 위 다섯 질문과 제품 적용 예시는 Cremit의 편집·실무 제안이며 두 기관의 공식 성숙도 등급이 아닙니다.