ISMS-P 인증 기준 2.10.1.보안시스템 운영: Difference between revisions
From IT위키
(Imported from text file) |
No edit summary |
||
| (One intermediate revision by one other user not shown) | |||
| Line 1: | Line 1: | ||
[[분류: ISMS-P 인증 기준]] | [[분류: ISMS-P 인증 기준]] | ||
* '''영역''': [[ISMS-P | * '''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]] | ||
* '''분류''': [[ISMS-P | * '''분류''': [[ISMS-P 인증 기준 2.10.시스템 및 서비스 보안관리|2.10.시스템 및 서비스 보안관리]] | ||
== 개요 == | == 개요 == | ||
{| class="wikitable | |||
{| class="wikitable | |||
!항목 | !항목 | ||
!2.10.1.보안시스템 운영 | !2.10.1.보안시스템 운영 | ||
|- | |- | ||
| style="text-align:center"|'''인증기준''' | | style="text-align:center"|'''인증기준''' | ||
|보안시스템 유형별로 관리자 지정, 최신 정책 업데이트, 룰셋 변경, 이벤트 모니터링 등의 운영절차를 | |보안시스템 유형별로 관리자 지정, 최신 정책 업데이트, 룰셋 변경, 이벤트 모니터링 등의 '''운영절차를 수립·이행'''하고 '''보안시스템별 정책적용 현황을 관리'''하여야 한다. | ||
|- | |- | ||
|'''주요 확인사항''' | |'''주요 확인사항''' | ||
| Line 19: | Line 20: | ||
* 개인정보처리시스템에 대한 불법적인 접근 및 개인정보 유출 방지를 위하여 관련 법령에서 정한 기능을 수행하는 보안시스템을 설치하여 운영하고 있는가? | * 개인정보처리시스템에 대한 불법적인 접근 및 개인정보 유출 방지를 위하여 관련 법령에서 정한 기능을 수행하는 보안시스템을 설치하여 운영하고 있는가? | ||
|} | |} | ||
== 세부 설명 == | == 세부 설명 == | ||
==== 보안시스템 운영 절차 수립 ==== | |||
조직에서 운영하고 있는 보안시스템에 대하여 다음 내용을 포함한 운영절차를 수립·이행하여야 한다. | |||
* 보안시스템 유형별 책임자 및 관리자 지정 | |||
* 보안시스템 정책(룰셋 등) 적용(등록, 변경, 삭제 등) 절차 | |||
* 최신 정책 업데이트 방안 : IDS, IPS 등의 보안시스템의 경우 새로운 공격기법을 탐지하기 위한 최신 패턴(시그너처) 및 엔진의 지속적 업데이트 | |||
* 보안시스템 이벤트 모니터링 절차(정책에 위배되는 이상징후 탐지 및 확인 등) | |||
* 보안시스템 접근통제 정책(사용자 인증, 관리자 단말 IP 또는 MAC 등) | |||
* 보안시스템 운영현황의 주기적 점검 | |||
< | * 보안시스템 자체에 대한 접근통제 방안 등 | ||
<blockquote>'''※ 보안시스템 유형(예시)''' | |||
* 네트워크 보안시스템 : 침입차단시스템(방화벽), 침입방지시스템(IPS), 침입탐지시스템(IDS), 네트워크 접근제어(NAC), DDoS대응시스템 등 | |||
* 네트워크 보안시스템 : [[방화벽|침입차단시스템(방화벽)]], [[침입방지시스템|침입방지시스템(IPS)]], [[침입탐지시스템|침입탐지시스템(IDS)]], [[NAC|네트워크 접근제어(NAC)]], DDoS대응시스템 등 | |||
* 서버 보안시스템 : 시스템 접근제어, 보안운영체제(SecureOS) | * 서버 보안시스템 : 시스템 접근제어, 보안운영체제(SecureOS) | ||
* 데이터베이스 보안시스템 : 데이터베이스 접근제어 | * 데이터베이스 보안시스템 : 데이터베이스 접근제어 | ||
* 정보유출 방지시스템 : Network DLP(Data Loss Prevention), Endpoint DLP 등 | * 정보유출 방지시스템 : Network DLP(Data Loss Prevention), Endpoint DLP 등 | ||
* 개인정보보호 시스템 : 개인정보 검출솔루션, 출력물 보안 등 | * 개인정보보호 시스템 : 개인정보 검출솔루션, 출력물 보안 등 | ||
* 암호화 솔루션 : 데이터베이스암호화, DRM 등 | * 암호화 솔루션 : 데이터베이스암호화, [[DRM]] 등 | ||
* 악성코드 대응 솔루션 : 백신, 패치관리시스템(PMS) 등 | * 악성코드 대응 솔루션 : 백신, 패치관리시스템(PMS) 등 | ||
* 기타 : VPN, APT대응솔루션, SIEM(Security Incident & Event Monitoring), 웹방화벽 등</ | * 기타 : VPN, APT대응솔루션, [[SIEM|SIEM(Security Incident & Event Monitoring)]], [[웹 방화벽|웹방화벽]] 등 | ||
</blockquote> | |||
==== 보안시스템 접근 통제 ==== | |||
보안시스템 관리자 등 접근이 허용된 인원을 최소화하고 비인가자의 접근을 엄격하게 통제하여야 한다. | |||
* 강화된 사용자 인증(OTP 등), 관리자 단말 IP 또는 MAC 접근통제 등의 보호대책을 적용하여 보안시스템 관리자 등 접근이 허용된 인원 이외의 비인가자 접근을 엄격히 통제 | |||
* 주기적인 보안시스템 접속로그 분석을 통하여 비인가자에 의한 접근시도 여부 점검 | |||
==== 보안시스템 정책 관리를 위한 절차 수립·이행 ==== | |||
보안시스템별로 정책의 신규 등록, 변경, 삭제 등을 위한 공식적인 절차를 수립·이행하여야 한다. | |||
* 방화벽, DLP 등 보안시스템별 정책 등록, 변경, 삭제를 위한 신청 및 승인 절차 | |||
* 책임추적성을 확보할 수 있도록 보안시스템 정책 신청·승인·적용 기록 보존 | |||
* 보안시스템 정책(룰셋) 적용 시 고려사항 | |||
** 최소권한의 원칙에 따라 업무상 필요한 최소한의 권한만 부여 | |||
* 네트워크 접근통제 정책은 '''전체 차단을 기본'''으로 하되 업무상 허용하여야 하는 IP와 Port만 개별적으로 추가하여 관리 | |||
* 보안정책 설정 시 목적에 따라 '''사용기간을 한정'''하여 적용 | |||
** 보안정책의 등록·변경은 공식적인 절차를 통하도록 관리 등 | |||
==== 예외 정책 최소화 및 절차에 따른 관리 ==== | |||
보안시스템의 예외 정책 등록에 대하여 절차에 따라 관리하고 있으며, 예외 정책 사용자에 대하여 최소한의 권한으로 관리하여야 한다. | |||
* 신청사유의 타당성 검토 | |||
* 보안성 검토 : 예외 정책에 따른 보안성 검토 및 보완대책 마련 | |||
* 예외 정책 신청·승인 : 보안시스템별로 책임자 또는 담당자 승인 | |||
* 예외정책 만료 여부 및 예외 사용에 대한 모니터링 등 | |||
==== 보안시스템 정책의 주기적 검토 ==== | |||
* 1. 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한 | 보안시스템에 설정된 정책의 타당성 여부를 다음 사항을 고려하여 주기적으로 검토하여야 한다. | ||
* 2. 개인정보처리시스템에 접속한 IP주소 등을 분석하여 불법적인 개인정보 유출 시도 탐지 및 대응 | * 내부 보안정책·지침 위배(과다 허용 규칙 등) | ||
* 공식적인 승인절차를 거치지 않고 등록된 정책 | |||
* 장기 미사용 정책 | |||
* 중복 또는 사용기간 만료 정책 | |||
* 퇴직 및 직무변경자 관련 정책 | |||
* 예외 관련 정책 등 | |||
==== 개인정보 보호를 위한 보안시스템 운영 ==== | |||
개인정보처리시스템에 대한 불법적인 접근 및 개인정보 유출 방지를 위하여 법령에서 정한 기능을 수행하는 보안시스템을 설치하여 운영하여야 한다. | |||
* 개인정보보호 관련 법령에서 요구하는 접근통제 시스템 필수 요구 기능 | |||
** 1. 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한 | |||
** 2. 개인정보처리시스템에 접속한 IP주소 등을 분석하여 불법적인 개인정보 유출 시도 탐지 및 대응 | |||
== 증거 자료 == | == 증거 자료 == | ||
* 보안시스템 구성 | * 보안시스템 구성 | ||
Latest revision as of 23:39, 13 July 2022
- 영역: 2.보호대책 요구사항
- 분류: 2.10.시스템 및 서비스 보안관리
개요[edit | edit source]
| 항목 | 2.10.1.보안시스템 운영 |
|---|---|
| 인증기준 | 보안시스템 유형별로 관리자 지정, 최신 정책 업데이트, 룰셋 변경, 이벤트 모니터링 등의 운영절차를 수립·이행하고 보안시스템별 정책적용 현황을 관리하여야 한다. |
| 주요 확인사항 |
|
세부 설명[edit | edit source]
보안시스템 운영 절차 수립[edit | edit source]
조직에서 운영하고 있는 보안시스템에 대하여 다음 내용을 포함한 운영절차를 수립·이행하여야 한다.
- 보안시스템 유형별 책임자 및 관리자 지정
- 보안시스템 정책(룰셋 등) 적용(등록, 변경, 삭제 등) 절차
- 최신 정책 업데이트 방안 : IDS, IPS 등의 보안시스템의 경우 새로운 공격기법을 탐지하기 위한 최신 패턴(시그너처) 및 엔진의 지속적 업데이트
- 보안시스템 이벤트 모니터링 절차(정책에 위배되는 이상징후 탐지 및 확인 등)
- 보안시스템 접근통제 정책(사용자 인증, 관리자 단말 IP 또는 MAC 등)
- 보안시스템 운영현황의 주기적 점검
- 보안시스템 자체에 대한 접근통제 방안 등
※ 보안시스템 유형(예시)
- 네트워크 보안시스템 : 침입차단시스템(방화벽), 침입방지시스템(IPS), 침입탐지시스템(IDS), 네트워크 접근제어(NAC), DDoS대응시스템 등
- 서버 보안시스템 : 시스템 접근제어, 보안운영체제(SecureOS)
- 데이터베이스 보안시스템 : 데이터베이스 접근제어
- 정보유출 방지시스템 : Network DLP(Data Loss Prevention), Endpoint DLP 등
- 개인정보보호 시스템 : 개인정보 검출솔루션, 출력물 보안 등
- 암호화 솔루션 : 데이터베이스암호화, DRM 등
- 악성코드 대응 솔루션 : 백신, 패치관리시스템(PMS) 등
- 기타 : VPN, APT대응솔루션, SIEM(Security Incident & Event Monitoring), 웹방화벽 등
보안시스템 접근 통제[edit | edit source]
보안시스템 관리자 등 접근이 허용된 인원을 최소화하고 비인가자의 접근을 엄격하게 통제하여야 한다.
- 강화된 사용자 인증(OTP 등), 관리자 단말 IP 또는 MAC 접근통제 등의 보호대책을 적용하여 보안시스템 관리자 등 접근이 허용된 인원 이외의 비인가자 접근을 엄격히 통제
- 주기적인 보안시스템 접속로그 분석을 통하여 비인가자에 의한 접근시도 여부 점검
보안시스템 정책 관리를 위한 절차 수립·이행[edit | edit source]
보안시스템별로 정책의 신규 등록, 변경, 삭제 등을 위한 공식적인 절차를 수립·이행하여야 한다.
- 방화벽, DLP 등 보안시스템별 정책 등록, 변경, 삭제를 위한 신청 및 승인 절차
- 책임추적성을 확보할 수 있도록 보안시스템 정책 신청·승인·적용 기록 보존
- 보안시스템 정책(룰셋) 적용 시 고려사항
- 최소권한의 원칙에 따라 업무상 필요한 최소한의 권한만 부여
- 네트워크 접근통제 정책은 전체 차단을 기본으로 하되 업무상 허용하여야 하는 IP와 Port만 개별적으로 추가하여 관리
- 보안정책 설정 시 목적에 따라 사용기간을 한정하여 적용
- 보안정책의 등록·변경은 공식적인 절차를 통하도록 관리 등
예외 정책 최소화 및 절차에 따른 관리[edit | edit source]
보안시스템의 예외 정책 등록에 대하여 절차에 따라 관리하고 있으며, 예외 정책 사용자에 대하여 최소한의 권한으로 관리하여야 한다.
- 신청사유의 타당성 검토
- 보안성 검토 : 예외 정책에 따른 보안성 검토 및 보완대책 마련
- 예외 정책 신청·승인 : 보안시스템별로 책임자 또는 담당자 승인
- 예외정책 만료 여부 및 예외 사용에 대한 모니터링 등
보안시스템 정책의 주기적 검토[edit | edit source]
보안시스템에 설정된 정책의 타당성 여부를 다음 사항을 고려하여 주기적으로 검토하여야 한다.
- 내부 보안정책·지침 위배(과다 허용 규칙 등)
- 공식적인 승인절차를 거치지 않고 등록된 정책
- 장기 미사용 정책
- 중복 또는 사용기간 만료 정책
- 퇴직 및 직무변경자 관련 정책
- 예외 관련 정책 등
개인정보 보호를 위한 보안시스템 운영[edit | edit source]
개인정보처리시스템에 대한 불법적인 접근 및 개인정보 유출 방지를 위하여 법령에서 정한 기능을 수행하는 보안시스템을 설치하여 운영하여야 한다.
- 개인정보보호 관련 법령에서 요구하는 접근통제 시스템 필수 요구 기능
- 1. 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한
- 2. 개인정보처리시스템에 접속한 IP주소 등을 분석하여 불법적인 개인정보 유출 시도 탐지 및 대응
증거 자료[edit | edit source]
- 보안시스템 구성
- 보안시스템 운영절차
- 방화벽 정책
- 방화벽 정책 설정/변경 요청서
- 보안시스템 예외자 목록
- 보안시스템별 관리 화면(방화벽, IPS, 서버접근제어, DLP, DRM 등)
- 보안시스템 정책 검토 이력
결함 사례[edit | edit source]
- 침입차단시스템 보안정책에 대한 정기 검토가 수행되지 않아 불필요하거나 과도하게 허용된 정책이 다수 존재하는 경우
- 보안시스템 보안정책의 신청, 변경, 삭제, 주기적 검토에 대한 절차 및 기준이 없거나, 절차는 있으나 이를 준수하지 않은 경우
- 보안시스템의 관리자 지정 및 권한 부여 현황에 대한 관리감독이 적절히 이행되고 있지 않은 경우
- 내부 지침에는 정보보호담당자가 보안시스템의 보안정책 변경 이력을 기록·보관하도록 정하고 있으나, 정책관리대장을 주기적으로 작성하지 않고 있거나 정책관리대장에 기록된 보안 정책과 실제 운영 중인 시스템의 보안정책이 상이한 경우
같이 보기[edit | edit source]
참고 문헌[edit | edit source]
- 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)
