반출입 기기 통제

※ 본 항목은 정보보호 관리체계 인증의 특례에 따른 **완화된 인증기준(별표 7의2)**이다. 위 인증기준/주요 확인사항은 완화/조정된 공식 원문이며, 아래 세부 설명/관련 법규/증거자료/결함사례는 동일 통제영역인 별표7 [2.4.5 보호구역 내 작업] 및 [2.4.6 반출입 기기 통제]의 「ISMS-P 인증기준 안내서」 내용이다(완화 기준에서는 위 인증기준/확인사항 범위로 적용된다).

정보시스템 도입, 유지보수 등으로 보호구역 내 작업이 필요한 경우에 대한 공식적인 작업신청 및 수행 절차를 수립/이행하여야 한다.

• 작업 절차 : 통제구역에서 작업 수행 시 작업 신청, 승인, 작업 기록 작성 등
• 작업 기록 : 작업일시, 작업목적 및 내용, 작업업체 및 담당자명, 검토자 및 승인자 등
• 통제 방안 : 작업 수행을 위한 보호구역 출입 절차, 작업내역에 대한 책임추적성 확보 및 모니터링 방안 등

보호구역 내 작업이 통제 절차에 따라 적절히 수행되었는지 여부를 확인하기 위하여 작업 기록을 주기적으로 검토하여야 한다.

• 작업 검토 : 사전 승인 내역, 출입기록, 작업 기록 등에 대한 정기적 검토 수행 등
• 검토 방법 : 출입 신청서와 출입 내역(관리대장, 시스템 로그 등) 일치성 등

정보시스템, 모바일 기기, 저장매체 등을 보호구역에 반입하거나 반출하는 경우 정보유출, 악성코드 감염 등 보안사고 예방을 위한 통제 절차를 수립/이행하여야 한다.

• 반출입 통제 대상 : 정보시스템(서버, 네트워크 장비 등), 모바일 기기(노트북, 스마트패드, 스마트폰 등), 저장매체(HDD, SSD, USB메모리, 외장하드디스크, CD/DVD, 테이프 등) 등
• 반출입 통제 절차 : 보호구역 출입통제 책임자 사전승인, 반출입 관리대장 기록, 반출입 기기에 대한 보안점검 수행(백신설치 여부, 보안업데이트 여부, 악성코드 감염 여부, 보안스티커 부착 여부, 중요정보 유출 여부 등), 반출입 내역 주기적 검토 등
• 예외 사용 절차 : 예외 신청/승인, 반출입 관리대장 기록 등

※ 반출입 관리대장 기록사항(예시)

• 반출입 일시 및 장소
• 사용자 정보
• 기종(모델), 기기식별정보(시리얼번호 등)
• 반출입 사유
• 보안 점검 결과
• 관리자 확인 서명 등

반출입 통제절차에 따른 기록을 유지/관리하고, 절차 준수 여부를 확인할 수 있도록 반출입 이력을 주기적으로 점검하여야 한다.

• 보호구역 내 반출입 이력에 대한 기록 유지(반출입 관리대장, 반출입 통제시스템 로그 등)

• 반출입 이력을 주기적으로 점검하여 보호구역 내 반출입이 통제 절차에 따라 적절하게 수행되었는지 여부 검토