[ISMS-P인증기준] 2.10.1 보안시스템 운영

항목

---

2. 보호대책 요구사항

  - 2.10. 시스템 및 서비스 보안관리

  - 2.10.1 보안시스템 운영

 

인증기준

---

보안시스템 유형별로 관리자 지정, 최신 정책 업데이트, 룰셋 변경, 이벤트 모니터링 등의 운영절차를 수립·이행하고 보안시스템별 정책적용 현황을 관리하여야 한다.

2.10.1 보안시스템 운영

 

세부설명

---

■ 조직에서 운영하고 있는 보안시스템에 대하여 다음 내용을 포함한 운영절차를 수립·이행하여야 한다.

 

- 보안시스템 유형별 책임자 및 관리자 지정

- 보안시스템 정책(룰셋 등) 적용(등록, 변경, 삭제 등) 절차

- 최신 정책 업데이트 방안 : IDS, IPS 등의 보안시스템의 경우 새로운 공격기법을 탐지하기 위한 최신 패턴(시그너처) 및 엔진의 지속적 업데이트

- 보안시스템 이벤트 모니터링 절차(정책에 위배되는 이상징후 탐지 및 확인 등)

- 보안시스템 접근통제 정책(사용자 인증, 관리자 단말 IP 또는 MAC 등)

- 보안시스템 운영현황의 주기적 점검

- 보안시스템 자체에 대한 접근통제 방안 등

 

■ 보안시스템 관리자 등 접근이 허용된 인원을 최소화하고 비인가자의 접근을 엄격하게 통제하여야 한다.

 

- 강화된 사용자 인증(OTP 등), 관리자 단말 IP 또는 MAC 접근통제 등의 보호대책을 적용하여 보안시스템 관리자 등 접근이 허용된 인원 이외의 비인가자 접근을 엄격히 통제

- 주기적인 보안시스템 접속로그 분석을 통하여 비인가자에 의한 접근시도 여부 점검

 

■ 보안시스템별로 정책의 신규 등록, 변경, 삭제 등을 위한 공식적인 절차를 수립·이행하여야 한다.

 

- 방화벽, DLP 등 보안시스템별 정책 등록, 변경, 삭제를 위한 신청 및 승인 절차

- 책임추적성을 확보할 수 있도록 보안시스템 정책 신청·승인·적용 기록 보존

- 보안시스템 정책(룰셋) 적용 시 고려사항

‧ 최소권한의 원칙에 따라 업무상 필요한 최소한의 권한만 부여

‧ 네트워크 접근통제 정책은 전체 차단을 기본으로 하되 업무상 허용하여야 하는 IP와 Port만 개별적으로 추가하여 관리

‧ 보안정책 설정 시 목적에 따라 사용기간을 한정하여 적용

‧ 보안정책의 등록·변경은 공식적인 절차를 통하도록 관리 등

 

 

■ 보안시스템의 예외 정책 등록에 대하여 절차에 따라 관리하고 있으며, 예외 정책 사용자에 대하여 최소한의 권한으로 관리하여야 한다.

 

- 신청사유의 타당성 검토

- 보안성 검토 : 예외 정책에 따른 보안성 검토 및 보완대책 마련

- 예외 정책 신청·승인 : 보안시스템별로 책임자 또는 담당자 승인

- 예외정책 만료 여부 및 예외 사용에 대한 모니터링 등

 

■ 보안시스템에 설정된 정책의 타당성 여부를 다음 사항을 고려하여 주기적으로 검토하여야 한다.

 

- 내부 보안정책·지침 위배(과다 허용 규칙 등)

- 공식적인 승인절차를 거치지 않고 등록된 정책

- 장기 미사용 정책

- 중복 또는 사용기간 만료 정책

- 퇴직 및 직무변경자 관련 정책

- 예외 관련 정책 등

 

■ 개인정보처리시스템에 대한 불법적인 접근 및 개인정보 유출 방지를 위하여 법령에서 정한 기능을 수행하는 보안시스템을 설치하여 운영하여야 한다.

 

- 개인정보보호 관련 법령에서 요구하는 접근통제 시스템 필수 요구 기능

1. 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한

2. 개인정보처리시스템에 접속한 IP주소 등을 분석하여 개인정보 유출 시도 탐지 및 대응

- 클라우드 환경에서 개인정보처리시스템을 구성한 경우, 클라우드서비스 제공자가 제공하는 보안기능 또는 서비스를 이용하여 접근통제 기능 구현 가능

 

결함사례

---

‧ 사례 1 : 침입차단시스템 보안정책에 대한 정기 검토가 수행되지 않아 불필요하거나 과도하게 허용된 정책이 다수 존재하는 경우

 

‧ 사례 2 : 보안시스템 보안정책의 신청, 변경, 삭제, 주기적 검토에 대한 절차 및 기준이 없거나, 절차는 있으나 이를 준수하지 않은 경우

 

‧ 사례 3 : 보안시스템의 관리자 지정 및 권한 부여 현황에 대한 관리감독이 적절히 이행되고 있지 않은 경우

 

‧ 사례 4 : 내부 지침에는 정보보호담당자가 보안시스템의 보안정책 변경 이력을 기록·보관하도록 정하고 있으나, 정책관리대장을 주기적으로 작성하지 않고 있거나 정책관리대장에 기록된 보안정책과 실제 운영 중인 시스템의 보안정책이 상이한 경우

 

"본 저작물은 '한국인터넷진흥원'에서 '2023년' 작성하여 공공누리 제4유형으로 개방한 '정보보호 및 개인정보보호 관리체계 (ISMS-P) 인증기준 안내서'를 이용하였으며, 해당 저작물은 '한국인터넷진흥원(https://isms.kisa.or.kr/)'에서 무료로 다운받으실 수 있습니다."