ISMS-P 인증 기준 2.8.5.소스 프로그램 관리: Difference between revisions
From IT Wiki
(Imported from text file) |
(→개요) |
||
| (One intermediate revision by one other user not shown) | |||
| Line 3: | Line 3: | ||
* '''분류''': [[ISMS-P 인증 기준 2.8.정보시스템 도입 및 개발 보안|2.8.정보시스템 도입 및 개발 보안]] | * '''분류''': [[ISMS-P 인증 기준 2.8.정보시스템 도입 및 개발 보안|2.8.정보시스템 도입 및 개발 보안]] | ||
== 개요 == | == 개요 == | ||
{| class="wikitable | |||
{| class="wikitable | |||
!항목 | !항목 | ||
!2.8.5.소스 프로그램 관리 | !2.8.5.소스 프로그램 관리 | ||
| Line 12: | Line 13: | ||
|'''주요 확인사항''' | |'''주요 확인사항''' | ||
| | | | ||
* 비인가된 자에 의한 소스 프로그램 접근을 통제하기 위한 절차를 수립‧이행하고 있는가? | * 비인가된 자에 의한 소스 프로그램 접근을 '''통제하기 위한 절차를 수립‧이행'''하고 있는가? | ||
* 소스 프로그램은 장애 등 비상시를 대비하여 운영환경이 아닌 곳에 안전하게 | ** (가상자산사업자) 월렛과 관련된 소스프로그램은 개발자 및 관리자 등에 대한 접근 권한을 구분하고 인가된 사용자만이 접근할 수 있도록 엄격하게 통제하고 있는가? | ||
* 소스 프로그램에 대한 변경이력을 | ** (가상자산사업자) 중요도가 높은 소스 코드는(커스터마이징한 월렛, 키관리 소프트웨어, 거래 프로그램 등) 접근을 통제하기 위한 사용자 인증, 권한관리 절차를 수립‧이행하고 있는가? | ||
*** 취급업소에서 클라우드 또는 외부 형상관리 솔루션을 통해 소스코드 버전관리를 하는 경우, 중요 소스프로그램에 대해 외부에서 접속/다운로드 가능 한 위험이 존재 | |||
*** 상용 KMS 솔루션, HSM 등의 키관리 장비 외에도, 키관리용 소프트웨어를 자체 개발하여 사용하는 경우가 있으므로, 이때 사용되는 소스 프로그램에 대한 안전한 관리가 필요함 | |||
* 소스 프로그램은 장애 등 비상시를 대비하여 '''운영환경이 아닌 곳에 안전하게 보관'''하고 있는가? | |||
* 소스 프로그램에 대한 '''변경이력을 관리'''하고 있는가? | |||
** (가상자산사업자) 소스 프로그램 변경이 필요한 경우 해당 프로그램을 개발 또는 시험 시스템에 복사 후 변경하고 있는가? | |||
|} | |} | ||
== 세부 설명 == | == 세부 설명 == | ||
==== 소스코드 접근 통제 ==== | |||
* 비인가자에 의한 소스 프로그램 접근을 통제하기 위한 절차를 수립·이행하여야 한다. | * 비인가자에 의한 소스 프로그램 접근을 통제하기 위한 절차를 수립·이행하여야 한다. | ||
** 소스 프로그램의 접근 및 사용에 대한 절차 수립 | ** 소스 프로그램의 접근 및 사용에 대한 절차 수립 | ||
** 인가된 개발자 및 담당자만이 접근할 수 있도록 접근권한을 부여하고 비인가자의 접근 차단 | ** 인가된 개발자 및 담당자만이 접근할 수 있도록 접근권한을 부여하고 비인가자의 접근 차단 | ||
** 소스 프로그램이 보관된 서버(형상관리서버 등)에 대한 접근통제 조치 | ** 소스 프로그램이 보관된 서버(형상관리서버 등)에 대한 접근통제 조치 | ||
==== 운영환경이 아닌 곳에 소스코드 보관 ==== | |||
* 소스 프로그램은 장애 등 비상시를 대비하여 운영환경이 아닌 곳에 안전하게 보관하여야 한다. | * 소스 프로그램은 장애 등 비상시를 대비하여 운영환경이 아닌 곳에 안전하게 보관하여야 한다. | ||
** 최신 소스 프로그램 및 이전 소스 프로그램에 대한 백업 보관 | ** 최신 소스 프로그램 및 이전 소스 프로그램에 대한 백업 보관 | ||
** 운영환경이 아닌 별도의 환경에 저장·관리 | ** 운영환경이 아닌 별도의 환경에 저장·관리 | ||
** 소스 프로그램 백업본에 대한 비인가자의 접근 통제 | ** 소스 프로그램 백업본에 대한 비인가자의 접근 통제 | ||
==== 소스 프로그램 변경 이력 관리 ==== | |||
소스 프로그램에 대한 변경이력을 관리하여야 한다. | |||
* 소스 프로그램 변경 '''절차 수립''': 승인 및 작업 절차, 버전관리 방안 등 | |||
* 소스 프로그램 변경 '''이력관리''': 변경·구현·이관 일자, 변경 요청사유, 담당자 등 | |||
* 소스 프로그램 변경에 따른 시스템 관련 문서(설계서 등)에 대한 변경통제 수행 | |||
* 소스 프로그램 변경 이력 및 변경통제 수행내역에 대한 정기적인 검토 수행 | |||
== 증거 자료 == | == 증거 자료 == | ||
* SVN 등 형상관리시스템 운영 현황(접근권한자 목록 등) | * SVN 등 형상관리시스템 운영 현황(접근권한자 목록 등) | ||
| Line 38: | Line 50: | ||
* 형상관리시스템을 구축하여 운영하고 있으나 형상관리시스템 또는 형상관리시스템에 저장된 소스코드에 대한 접근제한, 접근 및 변경이력이 적절히 관리되지 않고 있는 경우 | * 형상관리시스템을 구축하여 운영하고 있으나 형상관리시스템 또는 형상관리시스템에 저장된 소스코드에 대한 접근제한, 접근 및 변경이력이 적절히 관리되지 않고 있는 경우 | ||
* 내부 규정에는 형상관리시스템을 통하여 소스 프로그램 버전관리를 하도록 되어 있으나, 최신 버전의 소스 프로그램은 개발자 PC에만 보관되어 있고 이에 대한 별도의 백업이 수행되고 있지 않은 경우 | * 내부 규정에는 형상관리시스템을 통하여 소스 프로그램 버전관리를 하도록 되어 있으나, 최신 버전의 소스 프로그램은 개발자 PC에만 보관되어 있고 이에 대한 별도의 백업이 수행되고 있지 않은 경우 | ||
== 관련 인증 기준 == | |||
'''[[ISMS-P 인증 기준 2.8.1.보안 요구사항 정의|2.8.1.보안 요구사항 정의]]''' | |||
* 정보시스템의 도입∙개발∙변경 시 정보보호 및 개인정보보호 관련 법적 요구사항, 최신 보안취약점, 안전한 코딩방법 등 보안 요구사항을 정의하고 적용하여야 한다. | |||
'''[[ISMS-P 인증 기준 2.8.2.보안 요구사항 검토 및 시험|2.8.2.보안 요구사항 검토 및 시험]]''' | |||
* 사전 정의된 보안 요구사항에 따라 정보시스템이 도입 또는 구현되었는지를 검토하기 위하여 법적 요구사항 준수, 최신 보안취약점 점검, 안전한 코딩 구현, 개인정보 영향평가 등의 검토 기준과 절차를 수립·이행하고, 발견된 문제점에 대한 개선조치를 수행하여야 한다. | |||
'''[[ISMS-P 인증 기준 2.8.3.시험과 운영 환경 분리|2.8.3.시험과 운영 환경 분리]]''' | |||
* 개발 및 시험 시스템은 운영시스템에 대한 비인가 접근 및 변경의 위험을 감소시키기 위하여 원칙적으로 분리하여야 한다. | |||
'''[[ISMS-P 인증 기준 2.8.4.시험 데이터 보안|2.8.4.시험 데이터 보안]]''' | |||
* 시스템 시험 과정에서 운영데이터의 유출을 예방하기 위하여 시험 데이터의 생성과 이용 및 관리, 파기, 기술적 보호조치에 관한 절차를 수립·이행하여야 한다. | |||
'''[[ISMS-P 인증 기준 2.8.6.운영환경 이관|2.8.6.운영환경 이관]]''' | |||
* 신규 도입·개발 또는 변경된 시스템을 운영환경으로 이관할 때는 통제된 절차를 따라야 하고, 실행코드는 시험 및 사용자 인수 절차에 따라 실행되어야 한다. | |||
== 같이 보기 == | == 같이 보기 == | ||
* [[정보보호 및 개인정보보호관리체계 인증]] | * [[정보보호 및 개인정보보호관리체계 인증]] | ||
Latest revision as of 18:27, 18 March 2023
- 영역: 2.보호대책 요구사항
- 분류: 2.8.정보시스템 도입 및 개발 보안
개요[edit | edit source]
| 항목 | 2.8.5.소스 프로그램 관리 |
|---|---|
| 인증기준 | 소스 프로그램은 인가된 사용자만이 접근할 수 있도록 관리하고, 운영환경에 보관하지 않는 것을 원칙으로 하여야 한다. |
| 주요 확인사항 |
|
세부 설명[edit | edit source]
소스코드 접근 통제[edit | edit source]
- 비인가자에 의한 소스 프로그램 접근을 통제하기 위한 절차를 수립·이행하여야 한다.
- 소스 프로그램의 접근 및 사용에 대한 절차 수립
- 인가된 개발자 및 담당자만이 접근할 수 있도록 접근권한을 부여하고 비인가자의 접근 차단
- 소스 프로그램이 보관된 서버(형상관리서버 등)에 대한 접근통제 조치
운영환경이 아닌 곳에 소스코드 보관[edit | edit source]
- 소스 프로그램은 장애 등 비상시를 대비하여 운영환경이 아닌 곳에 안전하게 보관하여야 한다.
- 최신 소스 프로그램 및 이전 소스 프로그램에 대한 백업 보관
- 운영환경이 아닌 별도의 환경에 저장·관리
- 소스 프로그램 백업본에 대한 비인가자의 접근 통제
소스 프로그램 변경 이력 관리[edit | edit source]
소스 프로그램에 대한 변경이력을 관리하여야 한다.
- 소스 프로그램 변경 절차 수립: 승인 및 작업 절차, 버전관리 방안 등
- 소스 프로그램 변경 이력관리: 변경·구현·이관 일자, 변경 요청사유, 담당자 등
- 소스 프로그램 변경에 따른 시스템 관련 문서(설계서 등)에 대한 변경통제 수행
- 소스 프로그램 변경 이력 및 변경통제 수행내역에 대한 정기적인 검토 수행
증거 자료[edit | edit source]
- SVN 등 형상관리시스템 운영 현황(접근권한자 목록 등)
- 소스 프로그램 변경 이력
결함 사례[edit | edit source]
- 별도의 소스 프로그램 백업 및 형상관리 시스템이 구축되어 있지 않으며, 이전 버전의 소스 코드를 운영 서버 또는 개발자 PC에 승인 및 이력관리 없이 보관하고 있는 경우
- 형상관리시스템을 구축하여 운영하고 있으나 형상관리시스템 또는 형상관리시스템에 저장된 소스코드에 대한 접근제한, 접근 및 변경이력이 적절히 관리되지 않고 있는 경우
- 내부 규정에는 형상관리시스템을 통하여 소스 프로그램 버전관리를 하도록 되어 있으나, 최신 버전의 소스 프로그램은 개발자 PC에만 보관되어 있고 이에 대한 별도의 백업이 수행되고 있지 않은 경우
관련 인증 기준[edit | edit source]
- 정보시스템의 도입∙개발∙변경 시 정보보호 및 개인정보보호 관련 법적 요구사항, 최신 보안취약점, 안전한 코딩방법 등 보안 요구사항을 정의하고 적용하여야 한다.
- 사전 정의된 보안 요구사항에 따라 정보시스템이 도입 또는 구현되었는지를 검토하기 위하여 법적 요구사항 준수, 최신 보안취약점 점검, 안전한 코딩 구현, 개인정보 영향평가 등의 검토 기준과 절차를 수립·이행하고, 발견된 문제점에 대한 개선조치를 수행하여야 한다.
- 개발 및 시험 시스템은 운영시스템에 대한 비인가 접근 및 변경의 위험을 감소시키기 위하여 원칙적으로 분리하여야 한다.
- 시스템 시험 과정에서 운영데이터의 유출을 예방하기 위하여 시험 데이터의 생성과 이용 및 관리, 파기, 기술적 보호조치에 관한 절차를 수립·이행하여야 한다.
- 신규 도입·개발 또는 변경된 시스템을 운영환경으로 이관할 때는 통제된 절차를 따라야 하고, 실행코드는 시험 및 사용자 인수 절차에 따라 실행되어야 한다.
같이 보기[edit | edit source]
참고 문헌[edit | edit source]
- 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)
