익명 사용자
로그인하지 않음
토론
기여
계정 만들기
로그인
IT 위키
검색
ISMS-P 인증 기준 2.8.3.시험과 운영 환경 분리
편집하기
IT 위키
이름공간
문서
토론
더 보기
더 보기
문서 행위
읽기
편집
원본 편집
역사
경고:
로그인하지 않았습니다. 편집을 하면 IP 주소가 공개되게 됩니다.
로그인
하거나
계정을 생성하면
편집자가 사용자 이름으로 기록되고, 다른 장점도 있습니다.
스팸 방지 검사입니다. 이것을 입력하지
마세요
!
[[분류: ISMS-P 인증 기준]] * '''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]] * '''분류''': [[ISMS-P 인증 기준 2.8.정보시스템 도입 및 개발 보안|2.8.정보시스템 도입 및 개발 보안]] == 개요 == {| class="wikitable" !항목 !2.8.3.시험과 운영 환경 분리 |- | style="text-align:center"|'''인증기준''' |개발 및 시험 시스템은 운영시스템에 대한 비인가 접근 및 변경의 위험을 감소시키기 위하여 원칙적으로 분리하여야 한다. |- |'''주요 확인사항''' | * 정보시스템의 개발 및 시험 시스템을 운영시스템과 분리하고 있는가? * 불가피한 사유로 개발과 운영환경의 분리가 어려운 경우 상호검토, 상급자 모니터링, 변경 승인, 책임추적성 확보 등의 보안대책을 마련하고 있는가? |} == 세부 설명 == ==== 개발, 시험 및 운영시스템 분리 ==== 정보시스템의 개발 및 시험 시스템을 운영시스템과 분리하여야 한다. * 개발 및 시험 시스템과 운영시스템은 원칙적으로 분리하여 구성 * 개발자가 불필요하게 운영시스템에 접근할 수 없도록 개발 및 시험 시스템과 운영시스템 간 접근통제 방안 수립·이행 ==== 불가피한 경우 보완 대책 ==== 불가피한 사유로 개발과 운영환경의 분리가 어려운 경우 상호검토, 상급자 모니터링, 변경 승인, 책임추적성 확보 등의 보안대책을 마련하여야 한다. * 조직 규모가 매우 작거나 인적 자원 부족, 시스템 특성 등의 사유로 인하여 불가피하게 개발과 운영환경의 분리가 어려운 경우, 이에 따른 보안 위험을 감소할 수 있도록 적절한 보완통제 수단 적용 ** 직무자 간 상호검토 ** 변경 승인 ** 상급자의 모니터링 및 감사 ** 백업 및 복구 방안, 책임추적성 확보 등 == 증거 자료 == * 네트워크 구성도(시험환경 구성 포함) * 운영 환경과 개발·시험 환경 간 접근통제 적용 현황 == 결함 사례 == * 타당한 사유 또는 승인 없이 별도의 개발환경을 구성하지 않고 '''운영환경에서 직접 소스코드 변경을 수행'''하고 있는 경우 * 불가피하게 개발시스템과 운영시스템을 분리하지 않고 운영 중에 있으나, 이에 대한 상호 검토 내역, 모니터링 내역 등이 누락되어 있는 경우 * 개발시스템이 별도로 구성되어 있으나, 개발환경으로부터 운영환경으로의 접근이 통제되지 않아 개발자들이 '''개발시스템을 경유하여 불필요하게 운영시스템 접근'''이 가능한 경우 == 관련 인증 기준 == '''[[ISMS-P 인증 기준 2.8.1.보안 요구사항 정의|2.8.1.보안 요구사항 정의]]''' * 정보시스템의 도입∙개발∙변경 시 정보보호 및 개인정보보호 관련 법적 요구사항, 최신 보안취약점, 안전한 코딩방법 등 보안 요구사항을 정의하고 적용하여야 한다. '''[[ISMS-P 인증 기준 2.8.2.보안 요구사항 검토 및 시험|2.8.2.보안 요구사항 검토 및 시험]]''' * 사전 정의된 보안 요구사항에 따라 정보시스템이 도입 또는 구현되었는지를 검토하기 위하여 법적 요구사항 준수, 최신 보안취약점 점검, 안전한 코딩 구현, 개인정보 영향평가 등의 검토 기준과 절차를 수립·이행하고, 발견된 문제점에 대한 개선조치를 수행하여야 한다. '''[[ISMS-P 인증 기준 2.8.4.시험 데이터 보안|2.8.4.시험 데이터 보안]]''' * 시스템 시험 과정에서 운영데이터의 유출을 예방하기 위하여 시험 데이터의 생성과 이용 및 관리, 파기, 기술적 보호조치에 관한 절차를 수립·이행하여야 한다. '''[[ISMS-P 인증 기준 2.8.5.소스 프로그램 관리|2.8.5.소스 프로그램 관리]]''' * 소스 프로그램은 인가된 사용자만이 접근할 수 있도록 관리하고, 운영환경에 보관하지 않는 것을 원칙으로 하여야 한다. '''[[ISMS-P 인증 기준 2.8.6.운영환경 이관|2.8.6.운영환경 이관]]''' * 신규 도입·개발 또는 변경된 시스템을 운영환경으로 이관할 때는 통제된 절차를 따라야 하고, 실행코드는 시험 및 사용자 인수 절차에 따라 실행되어야 한다. == 같이 보기 == * [[정보보호 및 개인정보보호관리체계 인증]] * [[ISMS-P 인증 기준]] * [[ISMS-P 인증 기준 세부 점검 항목]] == 참고 문헌 == * 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2023.11.)
요약:
IT 위키에서의 모든 기여는 크리에이티브 커먼즈 저작자표시-비영리-동일조건변경허락 라이선스로 배포된다는 점을 유의해 주세요(자세한 내용에 대해서는
IT 위키:저작권
문서를 읽어주세요). 만약 여기에 동의하지 않는다면 문서를 저장하지 말아 주세요.
또한, 직접 작성했거나 퍼블릭 도메인과 같은 자유 문서에서 가져왔다는 것을 보증해야 합니다.
저작권이 있는 내용을 허가 없이 저장하지 마세요!
취소
편집 도움말
(새 창에서 열림)
둘러보기
둘러보기
대문
최근 바뀜
광고
위키 도구
위키 도구
특수 문서 목록
문서 도구
문서 도구
사용자 문서 도구
더 보기
여기를 가리키는 문서
가리키는 글의 최근 바뀜
문서 정보
문서 기록