항목 : 2.9.2 성능 및 장애관리
■ 인증기준 : 정보시스템의 가용성 보장을 위하여 성능 및 용량 요구사항을 정의하고 현황을 지속적으로 모니터링하여야 하며, 장애 발생 시 효과적으로 대응하기 위한 탐지·기록·분석·복구· 보고 등의 절차를 수립·관리하여야 한다.
■ 주요 확인사항
- 정보시스템의 가용성 보장을 위하여 성능 및 용량을 지속적으로 모니터링할 수 있는 절차를 수립·이행하고 있는가?
- 정보시스템 성능 및 용량 요구사항(임계치)을 초과하는 경우에 대한 대응절차를 수립· 이행하고 있는가?
- 정보시스템 장애를 즉시 인지하고 대응하기 위한 절차를 수립·이행하고 있는가?
- 장애 발생 시 절차에 따라 조치하고 장애조치보고서 등을 통하여 장애조치내역을 기록하여 관리하고 있는가?
- 심각도가 높은 장애의 경우 원인분석을 통한 재발방지 대책을 마련하고 있는가?
■ 관련 법규(금융분야 추가확인사항)
- 전자금융감독규정 제14조(정보처리시스템 보호대책) 제2호, 제3호, 제4호, 제25조(정보처리시스템 성능관리)
■ 세부 설명
① 정보시스템의 가용성 보장을 위하여 성능 및 용량을 지속적으로 모니터링할 수 있도록 다음 사항을 포함한 절차를 수립･이행하여야 한다.
금융분야 추가확인사항
- 정보시스템의 정상작동 여부를 확인하기 위해 시스템 자원 상태의 감시, 경고 및 제어가 가능한 모니터링시스템 구축
- 성능 및 용량관리 대상 식별 기준 : 서비스 및 업무 수행에 영향을 줄 수 있는 주요 정보시스템 및 보안시스템을 식별하여 대상에 포함
- 정보시스템별 성능 및 용량 요구사항(임계치) 정의 : 정보시스템 가용성에 영향을 줄 수 있는 CPU, 메모리, 저장장치 등의 임계치 결정
- 모니터링 방법 : 성능 및 용량 임계치 초과 여부를 지속적으로 모니터링하고 대처할 수 있는 방법 수립(예 : 알람 등)
- 모니터링 결과 기록, 분석, 보고
- 성능 및 용량 관리 담당자 및 책임자 지정 등
② 정보시스템 성능 및 용량 요구사항(임계치)을 초과하는 경우에 대한 대응절차를 수립·이행하여야 한다.
- 정보시스템의 성능 및 용량 현황을 지속적으로 모니터링하여 요구사항(임계치)을 초과하는 경우 조치 방안(예 : 정보시스템, 메모리, 저장장치 증설 등)을 수립·이행
③ 정보시스템 장애를 즉시 인지하고 대응하기 위한 절차를 다음 항목을 포함하여 수립·이행하여야 한다.
- 장애유형 및 심각도 정의
- 장애유형 및 심각도별 보고 절차
- 장애유형별 탐지 방법 수립 : NMS(Network Management System) 등 관리시스템 활용
- 장애 대응 및 복구에 관한 책임과 역할 정의
- 장애기록 및 분석
- 대고객 서비스인 경우 고객 안내 절차
- 비상연락체계(유지보수업체, 정보시스템 제조사) 등
④ 장애 발생 시 절차에 따라 조치하고, 장애조치보고서 등을 통하여 장애조치내역을 기록하여 관리하여야 한다.
⑤ 심각도가 높은 장애의 경우 원인분석을 통하여 재발방지 대책을 마련하여야 한다.
- 일상 업무가 중단되는 장애, 과다한 비용(피해)을 초래한 장애, 반복적으로 발생하는 장애 등과 같은 심각한 장애의 경우 원인을 규명하고 재발을 방지하기 위한 대책을 수립·이행하여야 함.
금융분야 추가확인사항
⑥ 주요 프로그램(DBMS, OS, 웹프로그램 등) 및 정보시스템의 지속적인 가용성, 무결성 등을 보장하기 위해 지속적인 유지보수를 수행하여야 한다
- 유지보수를 실시하고 작업일, 작업내용, 작업결과 등을 기록한 유지보수관리대장 작성 및 보관
■ 증적예시
- 성능 및 용량 모니터링 절차
- 성능 및 용량 모니터링 증적(내부보고 결과 등)
- 장애대응 절차
- 장애조치보고서
■ 결함사례
- 성능 및 용량 관리를 위한 대상별 요구사항(임계치 등)을 정의하고 있지 않거나 정기점검보고서 등에 기록하고 있지 않아 현황을 파악할 수 없는 경우
- 성능 또는 용량 기준을 초과하였으나 관련 검토 및 후속조치방안 수립･이행이 이루어지고 있지 않은 경우
- 전산장비 장애대응절차를 수립하고 있으나 네트워크 구성 및 외주업체 변경 등의 내･외부 환경변화가 적절히 반영되어 있지 않은 경우
- 장애처리절차와 장애유형별 조치방법 간 일관성이 없거나 예상소요시간 산정에 대한 근거가 부족하여 신속･정확하고 체계적인 대응이 어려운 경우
출처 : ISMS-P 인증기준 안내서 (2022.04)
금융권에 적합한 ISMS-P 인증 점검항목(2022.09)
_그사람
'그사람의 도전(ISMS-P 인증심사원) > ISMS-P 인증심사기준(가이드북)' 카테고리의 다른 글
| ISMS-P 인증기준 [2. 보호대책 요구사항] 2.9 시스템 및 서비스 운영관리(2.9.4 로그 및 접속기록 관리) (0) | 2023.03.02 |
|---|---|
| ISMS-P 인증기준 [2. 보호대책 요구사항] 2.9 시스템 및 서비스 운영관리(2.9.3 백업 및 복구관리) (0) | 2023.03.02 |
| ISMS-P 인증기준 [2. 보호대책 요구사항] 2.9 시스템 및 서비스 운영관리(2.9.1 변경관리) (2) | 2023.02.27 |
| ISMS-P 인증기준 [2. 보호대책 요구사항] 2.8 정보시스템 도입 및 개발 보안(2.8.6 운영환경 이관) (0) | 2023.02.24 |
| ISMS-P 인증기준 [2. 보호대책 요구사항] 2.8 정보시스템 도입 및 개발 보안(2.8.5 소스 프로그램 관리) (0) | 2023.02.24 |