항목 : 2.8.5 소스 프로그램 관리
■ 인증기준 : 소스 프로그램은 인가된 사용자만이 접근할 수 있도록 관리하고, 운영환경에 보관하지 않는 것을 원칙으로 하여야 한다.
■ 주요 확인사항
- 비인가자에 의한 소스 프로그램 접근을 통제하기 위한 절차를 수립·이행하고 있는가?
- 소스 프로그램은 장애 등 비상시를 대비하여 운영환경이 아닌 곳에 안전하게 보관하고 있는가?
- 소스 프로그램에 대한 변경이력을 관리하고 있는가?
금융분야 추가확인사항
■ 관련 법규
- 전자금융감독규정 제29조(프로그램 통제) 제1호, 제2호, 제4호, 제5호, 제9호
■ 세부 설명
① 비인가자에 의한 소스 프로그램 접근을 통제하기 위한 절차를 수립·이행하여야 한다.
- 소스 프로그램의 접근 및 사용에 대한 절차 수립
- 인가된 개발자 및 담당자만이 접근할 수 있도록 접근권한을 부여하고 비인가자의 접근 차단
- 소스 프로그램이 보관된 서버(형상관리서버 등)에 대한 접근통제 조치
금융분야 추가확인사항
- 적용대상 프로그램 종류 및 등록･변경･폐기 방법 마련
② 소스 프로그램은 장애 등 비상시를 대비하여 운영환경이 아닌 곳에 안전하게 보관하여야 한다.
- 최신 소스 프로그램 및 이전 소스 프로그램에 대한 백업 보관
- 운영환경이 아닌 별도의 환경에 저장·관리
- 소스 프로그램 백업본에 대한 비인가자의 접근 통제
③ 소스 프로그램에 대한 변경이력을 관리하여야 한다.
- 소스 프로그램 변경 절차 수립 : 승인 및 작업 절차, 버전관리 방안 등
- 소스 프로그램 변경 이력관리 : 변경·구현·이관 일자, 변경 요청사유, 담당자 등
- 소스 프로그램 변경에 따른 시스템 관련 문서(설계서 등)에 대한 변경통제 수행
- 소스 프로그램 변경 이력 및 변경통제 수행내역에 대한 정기적인 검토 수행
금융분야 추가확인사항
④ 프로그램 설명서, 입･출력 레코드 설명서, 프로그램 목록 및 사용자･운영자지침서 등 소스 프로그램 유지관리에 필요한 문서를 작성･관리하여야 한다.
- 소스 프로그램 유지관리에 필요한 문서를 작성･관리하여야 하며, 변경이 이루어진 경우에는 관련 문서(프로그램 설명서, 입출력레코드 설명서, 프로그램 목록 및 사용자･운영자지침서 등)에 대한 변경통제도 함께 수행
- 프로그램 담당자의 사직, 유고, 업무이동 등으로 담당자가 변경되는 경우 프로그램 관리가 원활하게 이루어질 수 있도록 관련 문서를 상세히 작성하고 최신 상태 유지
⑤ 소스 프로그램 변경이 필요한 경우 해당 프로그램을 개발 또는 시험 시스템에 복사 후 변경하여야 한다
- 소스 프로그램 변경 또는 개발이 완료된 경우에는 개발 또는 시험시스템에 보관하지 말아야 하며, 업무상 불가피하게 보관할 경우 보관기관 및 접근권한을 최소한으로 한정하고 접근기록을 보관하는 등 내부통제 수행
■ 증적예시
- SVN 등 형상관리시스템 운영 현황(접근권한자 목록 등)
- 소스 프로그램 변경 이력
■ 결함사례
- 별도의 소스 프로그램 백업 및 형상관리 시스템이 구축되어 있지 않으며, 이전 버전의 소스 코드를 운영 서버 또는 개발자 PC에 승인 및 이력관리 없이 보관하고 있는 경우
- 형상관리시스템을 구축하여 운영하고 있으나 형상관리시스템 또는 형상관리시스템에 저장된 소스코드에 대한 접근제한, 접근 및 변경이력이 적절히 관리되지 않고 있는 경우
- 내부 규정에는 형상관리시스템을 통하여 소스 프로그램 버전관리를 하도록 되어 있으나, 최신 버전의 소스 프로그램은 개발자 PC에만 보관되어 있고 이에 대한 별도의 백업이 수행되고 있지 않은 경우
출처 : ISMS-P 인증기준 안내서 (2022.04)
금융권에 적합한 ISMS-P 인증 점검항목(2022.09)
_그사람