ISMS-P 인증 기준 2.5.6.접근권한 검토: Difference between revisions
From IT Wiki
(Imported from text file) |
(→법령 변경) |
||
| (5 intermediate revisions by 4 users not shown) | |||
| Line 1: | Line 1: | ||
[[분류: ISMS-P 인증 기준]] | [[분류: ISMS-P 인증 기준]] | ||
* '''영역''': [[ISMS-P | |||
* '''분류''': [[ISMS-P | *'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]] | ||
== 개요 == | *'''분류''': [[ISMS-P 인증 기준 2.5.인증 및 권한관리|2.5.인증 및 권한관리]] | ||
==개요== | |||
{| class="wikitable" | {| class="wikitable" | ||
!항목 | !항목 | ||
!2.5.6.접근권한 검토 | !2.5.6.접근권한 검토 | ||
|- | |- | ||
| style="text-align:center"|'''인증기준''' | | style="text-align:center" |'''인증기준''' | ||
|정보시스템과 개인정보 및 중요정보에 접근하는 사용자 계정의 등록·이용·삭제 및 접근권한의 부여·변경·삭제 이력을 남기고 주기적으로 검토하여 적정성 여부를 점검하여야 한다. | |정보시스템과 개인정보 및 중요정보에 접근하는 사용자 계정의 등록·이용·삭제 및 접근권한의 부여·변경·삭제 이력을 남기고 주기적으로 검토하여 적정성 여부를 점검하여야 한다. | ||
|- | |- | ||
|'''주요 확인사항''' | |'''주요 확인사항''' | ||
| | | | ||
* 정보시스템과 개인정보 및 중요정보에 대한 사용자 계정 및 접근권한 | *정보시스템과 개인정보 및 중요정보에 대한 사용자 계정 및 접근권한 생성·등록·부여·이용·변경·말소 등의 이력을 남기고 있는가? | ||
* 정보시스템과 개인정보 및 중요정보에 대한 사용자 계정 및 접근권한의 적정성 검토 기준, 검토주체, 검토방법, 주기 등을 수립하여 정기적 검토를 이행하고 있는가? | *정보시스템과 개인정보 및 중요정보에 대한 사용자 계정 및 접근권한의 적정성 검토 기준, 검토주체, 검토방법, 주기 등을 수립하여 정기적 검토를 이행하고 있는가? | ||
* 접근권한 검토 결과 접근권한 과다 부여, 권한부여 절차 미준수, 권한 | *접근권한 검토 결과 접근권한 과다 부여, 권한부여 절차 미준수, 권한 오·남용 등 문제점이 발견된 경우 그에 따른 조치절차를 수립·이행하고 있는가? | ||
|- | |||
|'''관련 법규''' | |||
| | |||
* [https://www.law.go.kr/LSW//lsLinkProc.do?lsNm=%EA%B0%9C%EC%9D%B8%EC%A0%95%EB%B3%B4%20%EB%B3%B4%ED%98%B8%EB%B2%95&chrClsCd=010202&joNo=0029000000&mode=10&gubun=admRul&datClsCd=010102 개인정보 보호법 제29조(안전조치의무)] | |||
* [https://www.law.go.kr/LSW//admRulLsInfoP.do?admRulSeq=2100000229672 개인정보의 안전성 확보조치 기준 제5조(접근 권한의 관리)] | |||
|} | |} | ||
== 세부 설명 == | == 세부 설명== | ||
====접근권한 관리 기록==== | |||
정보시스템과 개인정보 및 중요정보에 대한 사용자 계정 및 접근권한 생성·등록·부여·이용·변경·말소 등의 이력을 남겨야 한다. | |||
** 계정·접근권한 승인정보 : 승인자, 승인 또는 거부 여부, 사유 및 일시 등 | *사용자 계정 및 접근권한에 대한 내역은 책임추적성을 확보할 수 있도록 필요한 사항을 모두 포함하여 기록 | ||
** 계정·접근권한 신청정보 : 신청자 또는 대리신청자, 신청일시, 신청목적, 사용기간 등 | |||
** 계정·접근권한 승인정보: 승인자, 승인 또는 거부 여부, 사유 및 일시 등 | |||
** 계정·접근권한 등록정보 : 등록자, 등록일, 등록방법(결재시스템 연동, 수작업 등록 등) | |||
** 계정·접근권한 정보 : 대상 시스템명, 권한명, 권한 내역 등 | ** 계정·접근권한 정보 : 대상 시스템명, 권한명, 권한 내역 등 | ||
*접근권한 기록은 법적 요구사항 등을 반영하여 일정기간 이상 보관 | |||
**｢개인정보 보호법｣에 따른 개인정보처리자 : 최소 3년간 보관 | |||
====접근권한 기록 검토==== | |||
정보시스템과 개인정보 및 중요정보에 대한 사용자 계정 및 접근권한의 적정성 검토 기준, 검토주체, 검토방법, 주기 등을 수립하여 정기적 검토를 이행하여야 한다. | |||
* 공식적인 절차에 따른 접근권한 부여 여부 | *접근권한 검토 주체, 방법, 기준 주기(최소 분기 1회 이상 권고), 결과보고 등 검토 절차 수립 | ||
* 접근권한 분류체계의 업무목적 및 보안정책 부합 여부 | |||
* 접근권한 승인자의 적절성 | {| class="wikitable" | ||
* 직무변경 시 기존 권한 회수 후 신규 업무에 대한 적절한 권한 부여 여부 | |'''※ 접근권한 부여의 적정성 검토 항목(예시)''' | ||
* 업무 목적 외 과도한 접근권한 부여 여부 | *공식적인 절차에 따른 접근권한 부여 여부 | ||
* 특수권한 부여·변경·발급 현황 및 적정성 | *접근권한 분류체계의 업무목적 및 보안정책 부합 여부 | ||
* 협력업체 등 외부자 계정·권한 발급 현황 및 적정성 | *접근권한 승인자의 적절성 | ||
* 접근권한 신청·승인 내역과 실제 접근권한 부여 현황의 일치 여부 | *직무변경 시 기존 권한 회수 후 신규 업무에 대한 적절한 권한 부여 여부 | ||
* 장기 미접속자 계정 현황 및 삭제(또는 잠금) 여부 | *업무 목적 외 과도한 접근권한 부여 여부 | ||
* 휴직, 퇴직 시 지체 없이 계정 및 권한 회수 여부 등 | *특수권한 부여·변경·발급 현황 및 적정성 | ||
*협력업체 등 외부자 계정·권한 발급 현황 및 적정성 | |||
*접근권한 신청·승인 내역과 실제 접근권한 부여 현황의 일치 여부 | |||
*장기 미접속자 계정 현황 및 삭제(또는 잠금) 여부 | |||
*휴직, 퇴직 시 지체 없이 계정 및 권한 회수 여부 등 | |||
== 증거 자료 == | |} | ||
* 접근권한 검토 기준 및 절차 | |||
* 접근권한 검토 이력 | ====접근권한 검토 결과에 대한 이행·사후관리==== | ||
* 접근권한 검토 결과보고서 및 후속조치 내역 | 접근권한 검토 결과 접근권한 과다 부여, 권한부여 절차 미준수, 권한 오·남용 등 문제점이 발견된 경우 그에 따른 조치절차를 수립·이행하여야 한다. | ||
== 결함 사례 == | |||
* 접근권한 검토와 관련된 방법, 점검주기, 보고체계, 오·남용 기준 등이 관련 지침에 구체적으로 정의되어 있지 않아 접근권한 검토가 정기적으로 수행되지 않은 경우 | *접근권한 검토 결과 권한의 과다 부여, 절차 미준수, 권한 오·남용 등 의심스러운 상황이 발견된 경우 소명요청 및 원인분석, 보완대책 마련, 보고체계 등이 포함된 절차 수립·이행 | ||
* 내부 정책, 지침 등에 장기 미사용자 계정에 대한 잠금(비활성화) 또는 삭제 조치하도록 되어 있으나, 6개월 이상 미접속한 사용자의 계정이 활성화되어 있는 경우(접근권한 검토가 충실히 수행되지 않아 해당 계정이 식별되지 않은 경우) | *접근권한 검토 후 변경 적용된 권한에 대해서는 사용자 및 관련자에게 통지 | ||
* 접근권한 검토 시 접근권한의 과다 부여 및 오·남용 의심사례가 발견되었으나, 이에 대한 상세조사, 내부보고 등의 후속조치가 수행되지 않은 경우 | *유사한 문제가 반복될 경우 근본 원인 분석 및 재발방지 대책 수립 등 | ||
== 같이 보기 == | |||
* [[정보보호 및 개인정보보호관리체계 인증]] | ==증거 자료== | ||
* [[ISMS-P 인증 기준]] | |||
* [[ISMS-P 인증 기준 세부 점검 항목]] | *접근권한 검토 기준 및 절차 | ||
== 참고 문헌 == | *접근권한 검토 이력 | ||
* 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, | *접근권한 검토 결과보고서 및 후속조치 내역 | ||
== 결함 사례== | |||
*접근권한 검토와 관련된 방법, 점검주기, 보고체계, 오·남용 기준 등이 관련 지침에 구체적으로 정의되어 있지 않아 접근권한 검토가 정기적으로 수행되지 않은 경우 | |||
*내부 정책, 지침 등에 장기 미사용자 계정에 대한 잠금(비활성화) 또는 삭제 조치하도록 되어 있으나, 6개월 이상 미접속한 사용자의 계정이 활성화되어 있는 경우(접근권한 검토가 충실히 수행되지 않아 해당 계정이 식별되지 않은 경우) | |||
*접근권한 검토 시 접근권한의 과다 부여 및 오·남용 의심사례가 발견되었으나, 이에 대한 상세조사, 내부보고 등의 후속조치가 수행되지 않은 경우 | |||
==같이 보기== | |||
*[[정보보호 및 개인정보보호관리체계 인증]] | |||
*[[ISMS-P 인증 기준]] | |||
*[[ISMS-P 인증 기준 세부 점검 항목]] | |||
==참고 문헌== | |||
*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2023.11.) | |||
Latest revision as of 13:41, 29 August 2024
- 영역: 2.보호대책 요구사항
- 분류: 2.5.인증 및 권한관리
개요[edit | edit source]
| 항목 | 2.5.6.접근권한 검토 |
|---|---|
| 인증기준 | 정보시스템과 개인정보 및 중요정보에 접근하는 사용자 계정의 등록·이용·삭제 및 접근권한의 부여·변경·삭제 이력을 남기고 주기적으로 검토하여 적정성 여부를 점검하여야 한다. |
| 주요 확인사항 |
|
| 관련 법규 |
세부 설명[edit | edit source]
접근권한 관리 기록[edit | edit source]
정보시스템과 개인정보 및 중요정보에 대한 사용자 계정 및 접근권한 생성·등록·부여·이용·변경·말소 등의 이력을 남겨야 한다.
- 사용자 계정 및 접근권한에 대한 내역은 책임추적성을 확보할 수 있도록 필요한 사항을 모두 포함하여 기록
- 계정·접근권한 신청정보 : 신청자 또는 대리신청자, 신청일시, 신청목적, 사용기간 등
- 계정·접근권한 승인정보: 승인자, 승인 또는 거부 여부, 사유 및 일시 등
- 계정·접근권한 등록정보 : 등록자, 등록일, 등록방법(결재시스템 연동, 수작업 등록 등)
- 계정·접근권한 정보 : 대상 시스템명, 권한명, 권한 내역 등
- 접근권한 기록은 법적 요구사항 등을 반영하여 일정기간 이상 보관
- ｢개인정보 보호법｣에 따른 개인정보처리자 : 최소 3년간 보관
접근권한 기록 검토[edit | edit source]
정보시스템과 개인정보 및 중요정보에 대한 사용자 계정 및 접근권한의 적정성 검토 기준, 검토주체, 검토방법, 주기 등을 수립하여 정기적 검토를 이행하여야 한다.
- 접근권한 검토 주체, 방법, 기준 주기(최소 분기 1회 이상 권고), 결과보고 등 검토 절차 수립
※ 접근권한 부여의 적정성 검토 항목(예시)
|
접근권한 검토 결과에 대한 이행·사후관리[edit | edit source]
접근권한 검토 결과 접근권한 과다 부여, 권한부여 절차 미준수, 권한 오·남용 등 문제점이 발견된 경우 그에 따른 조치절차를 수립·이행하여야 한다.
- 접근권한 검토 결과 권한의 과다 부여, 절차 미준수, 권한 오·남용 등 의심스러운 상황이 발견된 경우 소명요청 및 원인분석, 보완대책 마련, 보고체계 등이 포함된 절차 수립·이행
- 접근권한 검토 후 변경 적용된 권한에 대해서는 사용자 및 관련자에게 통지
- 유사한 문제가 반복될 경우 근본 원인 분석 및 재발방지 대책 수립 등
증거 자료[edit | edit source]
- 접근권한 검토 기준 및 절차
- 접근권한 검토 이력
- 접근권한 검토 결과보고서 및 후속조치 내역
결함 사례[edit | edit source]
- 접근권한 검토와 관련된 방법, 점검주기, 보고체계, 오·남용 기준 등이 관련 지침에 구체적으로 정의되어 있지 않아 접근권한 검토가 정기적으로 수행되지 않은 경우
- 내부 정책, 지침 등에 장기 미사용자 계정에 대한 잠금(비활성화) 또는 삭제 조치하도록 되어 있으나, 6개월 이상 미접속한 사용자의 계정이 활성화되어 있는 경우(접근권한 검토가 충실히 수행되지 않아 해당 계정이 식별되지 않은 경우)
- 접근권한 검토 시 접근권한의 과다 부여 및 오·남용 의심사례가 발견되었으나, 이에 대한 상세조사, 내부보고 등의 후속조치가 수행되지 않은 경우
같이 보기[edit | edit source]
참고 문헌[edit | edit source]
- 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2023.11.)
