ISMS-P 인증 기준 2.10.1.보안시스템 운영 편집하기

[[분류: ISMS-P 인증 기준]]
* '''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
* '''분류''': [[ISMS-P 인증 기준 2.10.시스템 및 서비스 보안관리|2.10.시스템 및 서비스 보안관리]]
== 개요 ==
{| class="wikitable"
!항목
!2.10.1.보안시스템 운영
|-
| style="text-align:center"|'''인증기준'''
|보안시스템 유형별로 관리자 지정, 최신 정책 업데이트, 룰셋 변경, 이벤트 모니터링 등의 운영절차를 수립·이행하고 보안시스템별 정책적용 현황을 관리하여야 한다.
|-
|'''주요 확인사항'''
|
* 조직에서 운영하고 있는 보안시스템에 대한 운영절차를 수립‧이행하고 있는가?
* 보안시스템 관리자 등 접근이 허용된 인원을 최소화하고 비인가자의 접근을 엄격하게 통제하고 있는가?
* 보안시스템별로 정책의 신규 등록, 변경, 삭제 등을 위한 공식적인 절차를 수립‧이행하고 있는가?
* 보안시스템의 예외 정책 등록에 대하여 절차에 따라 관리하고 있으며, 예외 정책 사용자에 대하여 최소한의 권한으로 관리하고 있는가?
* 보안시스템에 설정된 정책의 타당성 여부를 주기적으로 검토하고 있는가?
* 개인정보처리시스템에 대한 불법적인 접근 및 개인정보 유출 방지를 위하여 관련 법령에서 정한 기능을 수행하는 보안시스템을 설치하여 운영하고 있는가?
|}
== 세부 설명 ==

* 조직에서 운영하고 있는 보안시스템에 대하여 다음 내용을 포함한 운영절차를 수립·이행하여야 한다.
** 보안시스템 유형별 책임자 및 관리자 지정
** 보안시스템 정책(룰셋 등) 적용(등록, 변경, 삭제 등) 절차
** 최신 정책 업데이트 방안 : IDS, IPS 등의 보안시스템의 경우 새로운 공격기법을 탐지하기 위한 최신 패턴(시그너처) 및 엔진의 지속적 업데이트
** 보안시스템 이벤트 모니터링 절차(정책에 위배되는 이상징후 탐지 및 확인 등)
** 보안시스템 접근통제 정책(사용자 인증, 관리자 단말 IP 또는 MAC 등)
** 보안시스템 운영현황의 주기적 점검
** 보안시스템 자체에 대한 접근통제 방안 등
<div style='padding:5px 10px; border:1px solid  #ddd; background:#f5f5f5; margin:5px'>
* ※ 보안시스템 유형(예시)
* 네트워크 보안시스템 : 침입차단시스템(방화벽), 침입방지시스템(IPS), 침입탐지시스템(IDS), 네트워크 접근제어(NAC), DDoS대응시스템 등
* 서버 보안시스템 : 시스템 접근제어, 보안운영체제(SecureOS)
* 데이터베이스 보안시스템 : 데이터베이스 접근제어
* 정보유출 방지시스템 : Network DLP(Data Loss Prevention), Endpoint DLP 등
* 개인정보보호 시스템 : 개인정보 검출솔루션, 출력물 보안 등
* 암호화 솔루션 : 데이터베이스암호화, DRM 등
* 악성코드 대응 솔루션 : 백신, 패치관리시스템(PMS) 등
* 기타 : VPN, APT대응솔루션, SIEM(Security Incident & Event Monitoring), 웹방화벽 등</div>
* 보안시스템 관리자 등 접근이 허용된 인원을 최소화하고 비인가자의 접근을 엄격하게 통제하여야 한다.
** 강화된 사용자 인증(OTP 등), 관리자 단말 IP 또는 MAC 접근통제 등의 보호대책을 적용하여 보안시스템 관리자 등 접근이 허용된 인원 이외의 비인가자 접근을 엄격히 통제
** 주기적인 보안시스템 접속로그 분석을 통하여 비인가자에 의한 접근시도 여부 점검
* 보안시스템별로 정책의 신규 등록, 변경, 삭제 등을 위한 공식적인 절차를 수립·이행하여야 한다.
** 방화벽, DLP 등 보안시스템별 정책 등록, 변경, 삭제를 위한 신청 및 승인 절차
** 책임추적성을 확보할 수 있도록 보안시스템 정책 신청·승인·적용 기록 보존
** 보안시스템 정책(룰셋) 적용 시 고려사항
*** 최소권한의 원칙에 따라 업무상 필요한 최소한의 권한만 부여
** 네트워크 접근통제 정책은 전체 차단을 기본으로 하되 업무상 허용하여야 하는 IP와 Port만개별적으로 추가하여 관리
** 보안정책 설정 시 목적에 따라 사용기간을 한정하여 적용
*** 보안정책의 등록·변경은 공식적인 절차를 통하도록 관리 등
* 보안시스템의 예외 정책 등록에 대하여 절차에 따라 관리하고 있으며, 예외 정책 사용자에 대하여 최소한의 권한으로 관리하여야 한다.
** 신청사유의 타당성 검토
** 보안성 검토 : 예외 정책에 따른 보안성 검토 및 보완대책 마련
** 예외 정책 신청·승인 : 보안시스템별로 책임자 또는 담당자 승인
** 예외정책 만료 여부 및 예외 사용에 대한 모니터링 등
* 보안시스템에 설정된 정책의 타당성 여부를 다음 사항을 고려하여 주기적으로 검토하여야 한다.
** 내부 보안정책·지침 위배(과다 허용 규칙 등)
** 공식적인 승인절차를 거치지 않고 등록된 정책
** 장기 미사용 정책
** 중복 또는 사용기간 만료 정책
** 퇴직 및 직무변경자 관련 정책
** 예외 관련 정책 등
* 개인정보처리시스템에 대한 불법적인 접근 및 개인정보 유출 방지를 위하여 법령에서 정한 기능을 수행하는 보안시스템을 설치하여 운영하여야 한다.
** 개인정보보호 관련 법령에서 요구하는 접근통제 시스템 필수 요구 기능
* 1. 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한
* 2. 개인정보처리시스템에 접속한 IP주소 등을 분석하여 불법적인 개인정보 유출 시도 탐지 및 대응
== 증거 자료 ==
* 보안시스템 구성
* 보안시스템 운영절차
* 방화벽 정책
* 방화벽 정책 설정/변경 요청서
* 보안시스템 예외자 목록
* 보안시스템별 관리 화면(방화벽, IPS, 서버접근제어, DLP, DRM 등)
* 보안시스템 정책 검토 이력
== 결함 사례 ==
* 침입차단시스템 보안정책에 대한 정기 검토가 수행되지 않아 불필요하거나 과도하게 허용된 정책이 다수 존재하는 경우
* 보안시스템 보안정책의 신청, 변경, 삭제, 주기적 검토에 대한 절차 및 기준이 없거나, 절차는 있으나 이를 준수하지 않은 경우
* 보안시스템의 관리자 지정 및 권한 부여 현황에 대한 관리감독이 적절히 이행되고 있지 않은 경우
* 내부 지침에는 정보보호담당자가 보안시스템의 보안정책 변경 이력을 기록·보관하도록 정하고 있으나, 정책관리대장을 주기적으로 작성하지 않고 있거나 정책관리대장에 기록된 보안 정책과 실제 운영 중인 시스템의 보안정책이 상이한 경우
== 같이 보기 ==
* [[정보보호 및 개인정보보호관리체계 인증]]
* [[ISMS-P 인증 기준]]
* [[ISMS-P 인증 기준 세부 점검 항목]]
== 참고 문헌 ==
* 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)