ISMS-P 인증 기준 2.10.1.보안시스템 운영

• 영역: 2.보호대책 요구사항
• 분류: 2.10.시스템 및 서비스 보안관리

개요

항목	2.10.1.보안시스템 운영
인증기준	보안시스템 유형별로 관리자 지정, 최신 정책 업데이트, 룰셋 변경, 이벤트 모니터링 등의 운영절차를 수립·이행하고 보안시스템별 정책적용 현황을 관리하여야 한다.
주요 확인사항	조직에서 운영하고 있는 보안시스템에 대한 운영절차를 수립‧이행하고 있는가? 보안시스템 관리자 등 접근이 허용된 인원을 최소화하고 비인가자의 접근을 엄격하게 통제하고 있는가? 보안시스템별로 정책의 신규 등록, 변경, 삭제 등을 위한 공식적인 절차를 수립‧이행하고 있는가? 보안시스템의 예외 정책 등록에 대하여 절차에 따라 관리하고 있으며, 예외 정책 사용자에 대하여 최소한의 권한으로 관리하고 있는가? 보안시스템에 설정된 정책의 타당성 여부를 주기적으로 검토하고 있는가? 개인정보처리시스템에 대한 불법적인 접근 및 개인정보 유출 방지를 위하여 관련 법령에서 정한 기능을 수행하는 보안시스템을 설치하여 운영하고 있는가?

세부 설명

• 조직에서 운영하고 있는 보안시스템에 대하여 다음 내용을 포함한 운영절차를 수립·이행하여야 한다.
  • 보안시스템 유형별 책임자 및 관리자 지정
  • 보안시스템 정책(룰셋 등) 적용(등록, 변경, 삭제 등) 절차
  • 최신 정책 업데이트 방안 : IDS, IPS 등의 보안시스템의 경우 새로운 공격기법을 탐지하기 위한 최신 패턴(시그너처) 및 엔진의 지속적 업데이트
  • 보안시스템 이벤트 모니터링 절차(정책에 위배되는 이상징후 탐지 및 확인 등)
  • 보안시스템 접근통제 정책(사용자 인증, 관리자 단말 IP 또는 MAC 등)
  • 보안시스템 운영현황의 주기적 점검
  • 보안시스템 자체에 대한 접근통제 방안 등

• ※ 보안시스템 유형(예시)
• 네트워크 보안시스템 : 침입차단시스템(방화벽), 침입방지시스템(IPS), 침입탐지시스템(IDS), 네트워크 접근제어(NAC), DDoS대응시스템 등
• 서버 보안시스템 : 시스템 접근제어, 보안운영체제(SecureOS)
• 데이터베이스 보안시스템 : 데이터베이스 접근제어
• 정보유출 방지시스템 : Network DLP(Data Loss Prevention), Endpoint DLP 등
• 개인정보보호 시스템 : 개인정보 검출솔루션, 출력물 보안 등
• 암호화 솔루션 : 데이터베이스암호화, DRM 등
• 악성코드 대응 솔루션 : 백신, 패치관리시스템(PMS) 등
• 기타 : VPN, APT대응솔루션, SIEM(Security Incident & Event Monitoring), 웹방화벽 등

보안시스템 관리자 등 접근이 허용된 인원을 최소화하고 비인가자의 접근을 엄격하게 통제하여야 한다.

• 강화된 사용자 인증(OTP 등), 관리자 단말 IP 또는 MAC 접근통제 등의 보호대책을 적용하여 보안시스템 관리자 등 접근이 허용된 인원 이외의 비인가자 접근을 엄격히 통제
• 주기적인 보안시스템 접속로그 분석을 통하여 비인가자에 의한 접근시도 여부 점검

보안시스템별로 정책의 신규 등록, 변경, 삭제 등을 위한 공식적인 절차를 수립·이행하여야 한다.

• 방화벽, DLP 등 보안시스템별 정책 등록, 변경, 삭제를 위한 신청 및 승인 절차
• 책임추적성을 확보할 수 있도록 보안시스템 정책 신청·승인·적용 기록 보존
• 보안시스템 정책(룰셋) 적용 시 고려사항
  • 최소권한의 원칙에 따라 업무상 필요한 최소한의 권한만 부여
• 네트워크 접근통제 정책은 전체 차단을 기본으로 하되 업무상 허용하여야 하는 IP와 Port만개별적으로 추가하여 관리
• 보안정책 설정 시 목적에 따라 사용기간을 한정하여 적용
  • 보안정책의 등록·변경은 공식적인 절차를 통하도록 관리 등

보안시스템의 예외 정책 등록에 대하여 절차에 따라 관리하고 있으며, 예외 정책 사용자에 대하여 최소한의 권한으로 관리하여야 한다.

• 신청사유의 타당성 검토
• 보안성 검토 : 예외 정책에 따른 보안성 검토 및 보완대책 마련
• 예외 정책 신청·승인 : 보안시스템별로 책임자 또는 담당자 승인
• 예외정책 만료 여부 및 예외 사용에 대한 모니터링 등

보안시스템에 설정된 정책의 타당성 여부를 다음 사항을 고려하여 주기적으로 검토하여야 한다.

• 내부 보안정책·지침 위배(과다 허용 규칙 등)
• 공식적인 승인절차를 거치지 않고 등록된 정책
• 장기 미사용 정책
• 중복 또는 사용기간 만료 정책
• 퇴직 및 직무변경자 관련 정책
• 예외 관련 정책 등

개인정보처리시스템에 대한 불법적인 접근 및 개인정보 유출 방지를 위하여 법령에서 정한 기능을 수행하는 보안시스템을 설치하여 운영하여야 한다.

• 개인정보보호 관련 법령에서 요구하는 접근통제 시스템 필수 요구 기능

1. 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한

2. 개인정보처리시스템에 접속한 IP주소 등을 분석하여 불법적인 개인정보 유출 시도 탐지 및 대응

증거 자료

• 보안시스템 구성
• 보안시스템 운영절차
• 방화벽 정책
• 방화벽 정책 설정/변경 요청서
• 보안시스템 예외자 목록
• 보안시스템별 관리 화면(방화벽, IPS, 서버접근제어, DLP, DRM 등)
• 보안시스템 정책 검토 이력

결함 사례

• 침입차단시스템 보안정책에 대한 정기 검토가 수행되지 않아 불필요하거나 과도하게 허용된 정책이 다수 존재하는 경우
• 보안시스템 보안정책의 신청, 변경, 삭제, 주기적 검토에 대한 절차 및 기준이 없거나, 절차는 있으나 이를 준수하지 않은 경우
• 보안시스템의 관리자 지정 및 권한 부여 현황에 대한 관리감독이 적절히 이행되고 있지 않은 경우
• 내부 지침에는 정보보호담당자가 보안시스템의 보안정책 변경 이력을 기록·보관하도록 정하고 있으나, 정책관리대장을 주기적으로 작성하지 않고 있거나 정책관리대장에 기록된 보안 정책과 실제 운영 중인 시스템의 보안정책이 상이한 경우

같이 보기

• 정보보호 및 개인정보보호관리체계 인증
• ISMS-P 인증 기준
• ISMS-P 인증 기준 세부 점검 항목

참고 문헌

• 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)