보호구역 지정

※ 본 항목은 정보보호 관리체계 인증의 특례에 따른 **완화된 인증기준(별표 7의2)**이다. 위 인증기준/주요 확인사항은 완화/조정된 공식 원문이며, 아래 세부 설명/관련 법규/증거자료/결함사례는 동일 통제영역인 별표7 [2.4.1 보호구역 지정] 및 [2.4.2 출입통제]의 「ISMS-P 인증기준 안내서」 내용이다(완화 기준에서는 위 인증기준/확인사항 범위로 적용된다).

물리적/환경적 위협으로부터 개인정보 및 중요정보, 문서, 저장매체, 주요 설비 및 시스템 등을 보호하기 위하여 통제구역, 제한구역, 접견구역 등 물리적 보호구역 지정기준을 마련하여야 한다.

• 접견구역, 제한구역, 통제구역 등으로 물리적 보호구역을 지정

• 보호구역의 용어와 구분은 조직의 환경에 맞게 선택

  ※ 물리적 보호구역(예시)

  • 접견구역 : 외부인이 별다른 출입증 없이 출입이 가능한 구역(예 : 접견장소 등)
  • 제한구역 : 비인가 접근을 방지하기 위하여 별도의 출입통제 장치 및 감시시스템이 설치된 장소로 출입 시 직원카드와 같은 출입증이 필요한 장소(예 : 부서별 사무실 등)
  • 통제구역 : 제한구역의 통제항목을 모두 포함하고 출입자격이 최소인원으로 유지되며 출입을 위하여 추가 절차가 필요한 곳(예 : 전산실, 통신장비실, 관제실, 공조실, 발전실, 전원실 등)

물리적 보호구역 지정기준에 따라 보호구역을 지정하고 구역별 보호대책을 수립/이행하여야 한다.

• 구역별로 출입통제 방식(ID카드, 생체인식 등), 출입 가능자, 출입 절차, 영상감시 등 보호대책 적용
• 통제구역은 조직 내부에서도 출입 인가자를 최소한으로 제한하고 있으므로 필요시 통제구역임을 표시하여 접근시도 자체를 원천적으로 차단하고 불법적인 접근시도 여부를 주기적으로 검토

보호구역별로 허가된 자만이 출입할 수 있도록 내/외부자 출입통제 절차를 마련하고, 출입 가능한 인원 현황을 관리하여야 한다.

• 보호구역별로 출입 가능한 부서/직무/업무를 정의, 출입권한이 부여된 임직원을 식별하고 그 현황을 관리
• 통제구역의 경우 업무목적에 따라 최소한의 인원만 출입할 수 있도록 통제
• 출입절차 : 출입신청, 책임자 승인, 출입권한 부여 및 회수, 출입내역 기록, 출입기록 정기적 검토 등
• 출입통제 장치 설치 : 비밀번호 기반, ID카드 기반, 생체정보 기반 등
• 출입통제 절차 수립/운영 : 출입자 등록/삭제, 출입권한 관리, 방문자 관리, 출입대장 관리 등

각 보호구역에 대한 내/외부자 출입기록을 일정기간 보존하고, 출입기록 및 출입권한을 주기적으로 검토하여야 한다.

• 출입기록을 일정기간 보존하여 사후 모니터링이 가능하도록 문서적 또는 전자적으로 보존
• 출입기록 및 출입권한 검토 : 장기 미출입자, 비정상적인 출입 시도, 출입권한 과다부여 여부 등
• 비인가자 출입 시도, 장기 미출입자 등을 확인하여 그 사유를 확인하고 조치
• 주기적 검토를 통하여 퇴직자 출입증 회수 및 출입권한 삭제, 직무변경에 따른 출입권한 조정
• 시스템적으로 출입로그를 남길 수 없는 경우 출입대장을 작성하여 출입기록 확인