[ISMS-P인증기준] 2.8.5 소스 프로그램 관리

항목

---

2. 보호대책 요구사항

  - 2.8. 정보시스템 도입 및 개발 보안

  - 2.8.5 소스 프로그램 관리

 

인증기준

---

소스 프로그램은 인가된 사용자만이 접근할 수 있도록 관리하고, 운영환경에 보관하지 않는 것을 원칙으로 하여야 한다.

2.8.5 소스 프로그램 관리

 

세부설명

---

■ 비인가자에 의한 소스 프로그램 접근을 통제하기 위한 절차를 수립·이행하여야 한다.

 

- 소스 프로그램의 접근 및 사용에 대한 절차 수립

- 인가된 개발자 및 담당자만이 접근할 수 있도록 접근권한을 부여하고 비인가자의 접근 차단

- 소스 프로그램이 보관된 서버(형상관리서버 등)에 대한 접근통제 조치

 

■ 소스 프로그램은 장애 등 비상시를 대비하여 운영환경이 아닌 곳에 안전하게 보관하여야 한다.

 

- 최신 소스 프로그램 및 이전 소스 프로그램에 대한 백업 보관

- 운영환경이 아닌 별도의 환경에 저장·관리

- 소스 프로그램 백업본에 대한 비인가자의 접근 통제

 

 

■ 소스 프로그램에 대한 변경이력을 관리하여야 한다.

 

- 소스 프로그램 변경 절차 수립 : 승인 및 작업 절차, 버전관리 방안 등

- 소스 프로그램 변경 이력관리 : 변경·구현·이관 일자, 변경 요청사유, 담당자 등

- 소스 프로그램 변경에 따른 시스템 관련 문서(설계서 등)에 대한 변경통제 수행

- 소스 프로그램 변경 이력 및 변경통제 수행내역에 대한 정기적인 검토 수행 등

 

결함사례

---

‧ 사례 1 : 별도의 소스 프로그램 백업 및 형상관리시스템이 구축되어 있지 않으며, 이전 버전의 소스 코드를 운영 서버 또는 개발자 PC에 승인 및 이력관리 없이 보관하고 있는 경우

 

‧ 사례 2 : 형상관리시스템을 구축하여 운영하고 있으나 형상관리시스템 또는 형상관리시스템에 저장된 소스코드에 대한 접근제한, 접근 및 변경이력이 적절히 관리되지 않고 있는 경우

 

‧ 사례 3 : 내부 규정에는 형상관리시스템을 통하여 소스 프로그램 버전관리를 하도록 되어 있으나, 최신 버전의 소스 프로그램은 개발자 PC에만 보관되어 있고 이에 대한 별도의 백업이 수행되고 있지 않은 경우

 

"본 저작물은 '한국인터넷진흥원'에서 '2023년' 작성하여 공공누리 제4유형으로 개방한 '정보보호 및 개인정보보호 관리체계 (ISMS-P) 인증기준 안내서'를 이용하였으며, 해당 저작물은 '한국인터넷진흥원(https://isms.kisa.or.kr/)'에서 무료로 다운받으실 수 있습니다."