항목 : 2.10.1 보안시스템 운영
■ 인증기준 : 보안시스템 유형별로 관리자 지정, 최신 정책 업데이트, 룰셋 변경, 이벤트 모니터링 등의 운영 절차를 수립･이행하고 보안시스템별 정책적용 현황을 관리하여야 한다.
■ 주요 확인사항
- 조직에서 운영하고 있는 보안시스템에 대한 운영절차를 수립·이행하고 있는가?
- 보안시스템 관리자 등 접근이 허용된 인원을 최소화하고 비인가자의 접근을 엄격하게 통제하고 있는가?
- 보안시스템별로 정책의 신규 등록, 변경, 삭제 등을 위한 공식적인 절차를 수립· 이행하고 있는가?
- 보안시스템의 예외 정책 등록에 대하여 절차에 따라 관리하고 있으며, 예외 정책 사용자에 대하여 최소한의 권한으로 관리하고 있는가?
- 보안시스템에 설정된 정책의 타당성 여부를 주기적으로 검토하고 있는가?
- 개인정보처리시스템에 대한 불법적인 접근 및 개인정보 유출 방지를 위하여 관련 법령에서 정한 기능을 수행하는 보안시스템을 설치하여 운영하고 있는가?
■ 관련 법규
- 개인정보 보호법 제29조(안전조치의무)
- 개인정보의 안전성 확보조치 기준 제6조(접근통제)
- 개인정보의 기술적·관리적 보호조치 기준 제4조(접근통제)파기)
금융분야 추가확인사항
- 전자금융감독규정 제15조(해킹 등 방지대책)
- 신용정보업감독규정 [별표3] 기술적･물리적･관리적 보호대책 마련 기준 Ⅱ기술적･물리적 보안대책 1. 접근통제 제4항
■ 세부 설명
① 조직에서 운영하고 있는 보안시스템에 대하여 다음 내용을 포함한 운영절차를 수립·이행하여야 한다.
- 보안시스템 유형별 책임자 및 관리자 지정
- 보안시스템 정책(룰셋 등) 적용(등록, 변경, 삭제 등) 절차
- 최신 정책 업데이트 방안 : IDS, IPS 등의 보안시스템의 경우 새로운 공격기법을 탐지하기 위한 최신 패턴(시그너처) 및 엔진의 지속적 업데이트
- 보안시스템 이벤트 모니터링 절차(정책에 위배되는 이상징후 탐지 및 확인 등)
- 보안시스템 접근통제 정책(사용자 인증, 관리자 단말 IP 또는 MAC 등)
- 보안시스템 운영현황의 주기적 점검
- 보안시스템 자체에 대한 접근통제 방안 등
② 보안시스템 관리자 등 접근이 허용된 인원을 최소화하고 비인가자의 접근을 엄격하게 통제하여야 한다.
- 강화된 사용자 인증(OTP 등), 관리자 단말 IP 또는 MAC 접근통제 등의 보호대책을 적용하여 보안 시스템 관리자 등 접근이 허용된 인원 이외의 비인가자 접근을 엄격히 통제
- 주기적인 보안시스템 접속로그 분석을 통하여 비인가자에 의한 접근시도 여부 점검
금융분야 추가확인사항
③ 보안시스템을 설치･운영하는 경우 최소한의 서비스번호(Port) 기능만을 적용하고 업무목적 이외의 기능 및 프로그램을 제거하여야 한다.
④ 보안시스템별로 정책의 신규 등록, 변경, 삭제 등을 위한 공식적인 절차를 수립･이행하여야 한다.
- 방화벽, DLP 등 보안시스템별 정책 등록, 변경, 삭제를 위한 신청 및 승인 절차
- 책임추적성을 확보할 수 있도록 보안시스템 정책 신청･승인･적용 기록 보존
- 보안시스템 정책(룰셋) 적용 시 고려사항
- 최소권한의 원칙에 따라 업무상 필요한 최소한의 권한만 부여
- 네트워크 접근통제 정책은 전체 차단을 기본으로 하되 업무상 허용하여야 하는 IP와 Port만 개별적으로 추가하여 관리
- 보안정책 설정 시 목적에 따라 사용기간을 한정하여 적용
- 보안정책의 등록･변경은 공식적인 절차를 통하도록 관리 등
- 보안정책의 승인, 등록, 변경 및 삭제에 관한 이력 등 보안시스템의 운영결과를 최소 1년 이상 보관하여야 하며, 보안정책을 변경할 경우에는 정상적으로 동작하는지 검증한 후 이상이 없는 경우에만 적용
⑤ 보안시스템에 설정된 정책의 타당성 여부를 다음 사항들을 고려하여 주기적으로 검토하여야 한다.
- 내부 보안정책･지침 위배(과다 허용 규칙 등)
- 공식적인 승인절차를 거치지 않고 등록된 정책
- 장기 미사용 정책
- 중복 또는 사용기간 만료 정책
- 퇴직 및 직무변경자 관련 정책
- 예외 관련 정책 등
금융분야 추가확인사항
⑥ 공개 인터넷망을 통한 보안시스템 원격관리를 금지하고 정상작동 여부 등을 확인하기 위하여 작동상태를 점검(월 1회 이상 권고)하여야 한다.
- 원격관리가 불가피한 경우 전용회선(또는 전용회선과 동등한 보안수준을 갖춘 가상의 전용회선) 사용, 접근통제 등을 포함한 원격 접속 보안대책 수립･운영
⑦ 보안시스템에 대한 백업 및 복구절차는 IT재해복구 대책(2.12 재해복구 참고)에 포함하여 이행 할 수 있다.
⑧ 보안시스템의 예외 정책 등록에 대하여 절차에 따라 관리하고 있으며, 예외 정책 사용자에 대하여 최소한의 권한으로 관리하여야 한다.
- 신청사유의 타당성 검토
- 보안성 검토 : 예외 정책에 따른 보안성 검토 및 보완대책 마련
- 예외 정책 신청･승인 : 보안시스템 별로 책임자 또는 담당자 승인
- 예외정책 만료여부 및 예외 사용에 대한 모니터링 등
⑨ 개인정보처리시스템에 대한 불법적인 접근 및 개인정보 유출 방지를 위하여 법령에서 정한 기능을 수행하는 보안시스템을 설치하여 운영하여야 한다.
- 개인정보보호 관련 법령에서 요구하는 접근통제 시스템 필수 요구 기능
1. 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한
2. 개인정보처리시스템에 접속한 IP주소 등을 분석하여 불법적인 개인정보 유출 시도 탐지 및 대응
금융분야 추가확인사항
- 신용정보회사등은 개인신용정보처리시스템에 침입차단시스템과 침입탐지시스템 설치
■ 증적예시
- 보안시스템 구성
- 보안시스템 운영절차
- 방화벽 정책
- 방화벽 정책 설정/변경 요청서
- 보안시스템 예외자 목록
- 보안시스템별 관리 화면(방화벽, IPS, 서버접근제어, DLP, DRM 등)
- 보안시스템 정책 검토 이력
■ 결함사례
- 침입차단시스템 보안정책에 대한 정기 검토가 수행되지 않아 불필요하거나 과도하게 허용된 정책이 다수 존재하는 경우
- 보안시스템 보안정책의 신청, 변경, 삭제, 주기적 검토에 대한 절차 및 기준이 없거나, 절차는 있으나 이를 준수하지 않은 경우
- 보안시스템의 관리자 지정 및 권한 부여 현황에 대한 관리감독이 적절히 이행되고 있지 않은 경우
- 내부 지침에는 정보보호담당자가 보안시스템의 보안정책 변경 이력을 기록·보관하도록 정하고 있으나, 정책관리대장을 주기적으로 작성하지 않고 있거나 정책관리대장에 기록된 보안 정책과 실제 운영 중인 시스템의 보안정책이 상이한 경우
출처 : ISMS-P 인증기준 안내서 (2022.04)
금융권에 적합한 ISMS-P 인증 점검항목(2022.09)
_그사람
'그사람의 도전(ISMS-P 인증심사원) > ISMS-P 인증심사기준(가이드북)' 카테고리의 다른 글
| ISMS-P 인증기준 [2. 보호대책 요구사항] 2.10 시스템 및 서비스 보안관리(2.10.3 공개서버 보안) (0) | 2023.03.08 |
|---|---|
| ISMS-P 인증기준 [2. 보호대책 요구사항] 2.10 시스템 및 서비스 보안관리(2.10.2 클라우드 보안) (0) | 2023.03.08 |
| ISMS-P 인증기준 [2. 보호대책 요구사항] 2.9 시스템 및 서비스 운영관리(2.9.7 정보자산의 재사용 및 폐기) (0) | 2023.03.03 |
| ISMS-P 인증기준 [2. 보호대책 요구사항] 2.9 시스템 및 서비스 운영관리(2.9.6 시간 동기화) (0) | 2023.03.03 |
| ISMS-P 인증기준 [2. 보호대책 요구사항] 2.9 시스템 및 서비스 운영관리(2.9.5 로그 및 접속기록 점검) (0) | 2023.03.03 |