ISMS-P 인증 기준 2.10.9.악성코드 통제

• 영역: 2.보호대책 요구사항
• 분류: 2.10.시스템 및 서비스 보안관리

개요

항목	2.10.9.악성코드 통제
인증기준	바이러스·웜·트로이목마·랜섬웨어 등의 악성코드로부터 개인정보 및 중요정보, 정보시스템 및 업무용 단말기 등을 보호하기 위하여 악성코드 예방·탐지·대응 등의 보호대책을 수립·이행하여야 한다.
주요 확인사항	바이러스, 웜, 트로이목마, 랜섬웨어 등의 악성코드로부터 정보시스템 및 업무용단말기 등을 보호하기 위하여 보호대책을 수립‧이행하고 있는가? 백신 소프트웨어 등 보안프로그램을 통하여 최신 악성코드 예방‧탐지 활동을 지속적으로 수행하고 있는가? 백신 소프트웨어 등 보안프로그램은 최신의 상태로 유지하고 필요 시 긴급 보안업데이트를 수행하고 있는가? 악성코드 감염 발견 시 악성코드 확산 및 피해 최소화 등의 대응절차를 수립‧이행하고 있는가?

세부 설명

• 바이러스, 웜, 트로이목마, 랜섬웨어 등의 악성코드로부터 정보시스템 및 업무용단말기 등을 보호하기 위하여 보호대책을 다음과 같은 내용을 포함하여 수립·이행하여야 한다.
  • 사용자 PC 사용지침(불분명한 이메일 및 파일 열람 금지, 허가받지 않은 프로그램 다운로드 및 설치 금지 등)
  • 정보시스템 및 개인정보처리시스템에서의 악성코드 대응지침
  • 백신프로그램 설치 범위(악성프로그램 감염이 가능한 정보자산 대상)
  • 백신프로그램 설치 절차
  • 백신프로그램 등을 통한 최신 악성코드 예방, 탐지 활동
  • 백신프로그램 등을 통한 주기적인 악성코드 감염 여부 모니터링 정책
  • 백신 소프트웨어 등 보안프로그램의 자동 업데이트 기능 설정 또는 일 1회 이상 업데이트 방법
  • 정보시스템, 업무용 컴퓨터에 P2P, 웹 하드 등과 같은 비인가 프로그램 설치 금지
  • 사용자 교육 및 정보제공 등
• 백신 소프트웨어 등 보안프로그램을 통하여 최신 악성코드 예방·탐지 활동을 지속적으로 수행하여야 한다.
  • 이메일 등 첨부파일에 대한 악성코드 감염 여부 검사
  • 실시간 악성코드 감시 및 치료
  • 주기적인 악성코드 점검 : 자동 바이러스 점검 일정 설정
  • 백신엔진 최신버전 유지 : 주기적 업데이트 등
• 백신 소프트웨어 등 보안프로그램은 최신의 상태로 유지하고, 필요시 긴급 보안업데이트를 수행하여야 한다.
  • 백신 업데이트 주기 준수 : 자동 업데이트 또는 일1회 이상 업데이트
  • 악성프로그램 관련 경보가 발령되거나 긴급 업데이트 공지가 있는 경우 이에 따른 업데이트 수행
  • 백신 중앙관리시스템을 이용하여 백신프로그램을 관리하는 경우 관리서버에 대한 접근통제, 배포 파일에 대한 무결성 검증 등 보호대책 마련
• 악성코드 감염 발견 시 악성코드 확산 및 피해 최소화 등의 대응절차를 수립·이행하여야 한다.
  • 악성코드 감염 발견 시 대응 절차(예 : 네트워크 케이블 분리 등)
  • 비상연락망(예: 백신업체 담당자, 관련 기관 연락처 등)
  • 대응보고서 양식(발견일시, 대응절차 및 방법, 대응자, 방지대책 포함) 등

증거 자료

• 악성프로그램 대응 지침·절차·매뉴얼
• 백신프로그램 설치 현황
• 백신프로그램 설정 화면
• 악성프로그램 대응 이력(대응 보고서 등)

결함 사례

• 일부 PC 및 서버에 백신이 설치되어 있지 않거나, 백신 엔진이 장기간 최신 버전으로 업데이트되지 않은 경우
• 백신 프로그램의 환경설정(실시간 검사, 예약검사, 업데이트 설정 등)을 이용자가 임의로 변경할 수 있음에도 그에 따른 추가 보호대책이 수립되어 있지 않은 경우
• 백신 중앙관리시스템에 접근통제 등 보호대책이 미비하여 중앙관리시스템을 통한 침해 사고발생 가능성이 있는 경우 또는 백신 패턴에 대한 무결성 검증을 하지 않아 악의적인 사용자에 의한 악성코드 전파 가능성이 있는 경우
• 일부 내부망 PC 및 서버에서 다수의 악성코드 감염이력이 확인되었으나, 감염 현황, 감염 경로 및 원인 분석, 그에 따른 조치내역 등이 확인되지 않은 경우

같이 보기

• 정보보호 및 개인정보보호관리체계 인증
• ISMS-P 인증 기준
• ISMS-P 인증 기준 세부 점검 항목

참고 문헌

• 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)