ISMS-P 인증 기준 2.10.1.보안시스템 운영

IT위키

개요[편집 | 원본 편집]

항목 2.10.1.보안시스템 운영
인증기준 보안시스템 유형별로 관리자 지정, 최신 정책 업데이트, 룰셋 변경, 이벤트 모니터링 등의 운영절차를 수립·이행하고 보안시스템별 정책적용 현황을 관리하여야 한다.
주요 확인사항
  • 조직에서 운영하고 있는 보안시스템에 대한 운영절차를 수립‧이행하고 있는가?
  • 보안시스템 관리자 등 접근이 허용된 인원을 최소화하고 비인가자의 접근을 엄격하게 통제하고 있는가?
  • 보안시스템별로 정책의 신규 등록, 변경, 삭제 등을 위한 공식적인 절차를 수립‧이행하고 있는가?
  • 보안시스템의 예외 정책 등록에 대하여 절차에 따라 관리하고 있으며, 예외 정책 사용자에 대하여 최소한의 권한으로 관리하고 있는가?
  • 보안시스템에 설정된 정책의 타당성 여부를 주기적으로 검토하고 있는가?
  • 개인정보처리시스템에 대한 불법적인 접근 및 개인정보 유출 방지를 위하여 관련 법령에서 정한 기능을 수행하는 보안시스템을 설치하여 운영하고 있는가?

세부 설명[편집 | 원본 편집]

보안시스템 운영 절차 수립[편집 | 원본 편집]

조직에서 운영하고 있는 보안시스템에 대하여 다음 내용을 포함한 운영절차를 수립·이행하여야 한다.

  • 보안시스템 유형별 책임자 및 관리자 지정
  • 보안시스템 정책(룰셋 등) 적용(등록, 변경, 삭제 등) 절차
  • 최신 정책 업데이트 방안 : IDS, IPS 등의 보안시스템의 경우 새로운 공격기법을 탐지하기 위한 최신 패턴(시그너처) 및 엔진의 지속적 업데이트
  • 보안시스템 이벤트 모니터링 절차(정책에 위배되는 이상징후 탐지 및 확인 등)
  • 보안시스템 접근통제 정책(사용자 인증, 관리자 단말 IP 또는 MAC 등)
  • 보안시스템 운영현황의 주기적 점검
  • 보안시스템 자체에 대한 접근통제 방안 등

※ 보안시스템 유형(예시)

보안시스템 접근 통제[편집 | 원본 편집]

보안시스템 관리자 등 접근이 허용된 인원을 최소화하고 비인가자의 접근을 엄격하게 통제하여야 한다.

  • 강화된 사용자 인증(OTP 등), 관리자 단말 IP 또는 MAC 접근통제 등의 보호대책을 적용하여 보안시스템 관리자 등 접근이 허용된 인원 이외의 비인가자 접근을 엄격히 통제
  • 주기적인 보안시스템 접속로그 분석을 통하여 비인가자에 의한 접근시도 여부 점검

보안시스템 정책 관리를 위한 절차 수립·이행[편집 | 원본 편집]

보안시스템별로 정책의 신규 등록, 변경, 삭제 등을 위한 공식적인 절차를 수립·이행하여야 한다.

  • 방화벽, DLP 등 보안시스템별 정책 등록, 변경, 삭제를 위한 신청 및 승인 절차
  • 책임추적성을 확보할 수 있도록 보안시스템 정책 신청·승인·적용 기록 보존
  • 보안시스템 정책(룰셋) 적용 시 고려사항
    • 최소권한의 원칙에 따라 업무상 필요한 최소한의 권한만 부여
  • 네트워크 접근통제 정책은 전체 차단을 기본으로 하되 업무상 허용하여야 하는 IP와 Port만 개별적으로 추가하여 관리
  • 보안정책 설정 시 목적에 따라 사용기간을 한정하여 적용
    • 보안정책의 등록·변경은 공식적인 절차를 통하도록 관리 등

예외 정책 최소화 및 절차에 따른 관리[편집 | 원본 편집]

보안시스템의 예외 정책 등록에 대하여 절차에 따라 관리하고 있으며, 예외 정책 사용자에 대하여 최소한의 권한으로 관리하여야 한다.

  • 신청사유의 타당성 검토
  • 보안성 검토 : 예외 정책에 따른 보안성 검토 및 보완대책 마련
  • 예외 정책 신청·승인 : 보안시스템별로 책임자 또는 담당자 승인
  • 예외정책 만료 여부 및 예외 사용에 대한 모니터링 등

보안시스템 정책의 주기적 검토[편집 | 원본 편집]

보안시스템에 설정된 정책의 타당성 여부를 다음 사항을 고려하여 주기적으로 검토하여야 한다.

  • 내부 보안정책·지침 위배(과다 허용 규칙 등)
  • 공식적인 승인절차를 거치지 않고 등록된 정책
  • 장기 미사용 정책
  • 중복 또는 사용기간 만료 정책
  • 퇴직 및 직무변경자 관련 정책
  • 예외 관련 정책 등

개인정보 보호를 위한 보안시스템 운영[편집 | 원본 편집]

개인정보처리시스템에 대한 불법적인 접근 및 개인정보 유출 방지를 위하여 법령에서 정한 기능을 수행하는 보안시스템을 설치하여 운영하여야 한다.

  • 개인정보보호 관련 법령에서 요구하는 접근통제 시스템 필수 요구 기능
    • 1. 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한
    • 2. 개인정보처리시스템에 접속한 IP주소 등을 분석하여 불법적인 개인정보 유출 시도 탐지 및 대응

증거 자료[편집 | 원본 편집]

  • 보안시스템 구성
  • 보안시스템 운영절차
  • 방화벽 정책
  • 방화벽 정책 설정/변경 요청서
  • 보안시스템 예외자 목록
  • 보안시스템별 관리 화면(방화벽, IPS, 서버접근제어, DLP, DRM 등)
  • 보안시스템 정책 검토 이력

결함 사례[편집 | 원본 편집]

  • 침입차단시스템 보안정책에 대한 정기 검토가 수행되지 않아 불필요하거나 과도하게 허용된 정책이 다수 존재하는 경우
  • 보안시스템 보안정책의 신청, 변경, 삭제, 주기적 검토에 대한 절차 및 기준이 없거나, 절차는 있으나 이를 준수하지 않은 경우
  • 보안시스템의 관리자 지정 및 권한 부여 현황에 대한 관리감독이 적절히 이행되고 있지 않은 경우
  • 내부 지침에는 정보보호담당자가 보안시스템의 보안정책 변경 이력을 기록·보관하도록 정하고 있으나, 정책관리대장을 주기적으로 작성하지 않고 있거나 정책관리대장에 기록된 보안 정책과 실제 운영 중인 시스템의 보안정책이 상이한 경우

같이 보기[편집 | 원본 편집]

참고 문헌[편집 | 원본 편집]

  • 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)