업무환경 보안

※ 본 항목은 정보보호 관리체계 인증의 특례에 따른 **완화된 인증기준(별표 7의2)**이다. 위 인증기준/주요 확인사항은 완화/조정된 공식 원문이며, 아래 세부 설명/관련 법규/증거자료/결함사례는 동일 통제영역인 별표7 [2.4.7 업무환경 보안]의 「ISMS-P 인증기준 안내서」 내용이다(완화 기준에서는 위 인증기준/확인사항 범위로 적용된다).

문서고, 공용 PC, 복합기, 파일서버 등 공용으로 사용하는 시설 및 사무용기기에 대한 보호대책을 수립/이행하여야 한다.

• 문서고 : 출입인원 최소화, 부서/업무별 출입 접근권한 부여, 출입 이력관리
• 공용PC : 담당자 지정, 화면보호기 설정, 로그인 암호설정, 주기적 패스워드 변경, 중요정보 저장 제한, 백신 설치, 보안업데이트 등
• 공용사무기기 : 팩스, 복사기, 프린트 등의 공용사무기기 주변에 중요 문서 방치 금지
• 파일서버 : 부서별/업무별 접근권한 부여, 불필요한 정보공개 최소화, 사용자별 계정 발급
• 공용 사무실 : 회의실, 프로젝트룸 등 공용사무실 내 중요정보(개인정보) 문서 방치 금지
• 기타 공용업무환경에 대한 보호대책 수립

업무용 PC, 책상, 서랍 등 개인업무 환경을 통한 개인정보 및 중요정보의 유/노출을 방지하기 위한 보호대책을 수립/이행하여야 한다.

• 이석 시 보호조치 : 개인정보 및 개인정보가 포함된 서류와 보조저장매체 방치 금지(클린데스크), 화면보호기 및 비밀번호 설정 등
• 모니터 및 책상 등에 로그인 정보(비밀번호 등) 노출 금지
• 개인정보 및 중요정보가 포함된 서류 및 보조저장매체는 잠금장치가 있는 안전한 장소에 보관
• 개인정보 및 중요정보가 포함된 서류는 세절기 등을 이용하여 복구되지 않도록 파쇄
• 인가받지 않은 사람이 관리용 단말기에 접근하여 임의로 조작하지 못하도록 조치 등

개인정보가 포함된 종이 인쇄물 등 개인정보의 출력/복사물을 통한 개인정보의 분실/도난/유출 등을 방지하고 출력/복사물을 안전하게 관리하기 위하여 필요한 보호조치를 하여야 한다.

※ 출력/복사물 보호조치(예시)

• 출력/복사물 보호 및 관리 정책, 규정, 지침 등 마련
• 출력/복사물 생산/관리 대장 마련 및 기록
• 출력/복사물 운영/관리 부서 지정 및 운영
• 출력/복사물 외부반출 및 재생산 통제/신고/제한
• 인쇄자, 인쇄일시 등 출력/복사물 기록 저장/관리
• 종이 인쇄물에 대한 파기 절차, 파기여부 확인 등을 포함하는 파기계획 수립 및 주기적 점검
• 복합기 보안, 출력물 워터마크 등 출력/복사물 보안기술 적용 등

개인 및 공용업무 환경에서의 정보보호 준수 여부를 주기적으로 검토하여야 한다.

• 개인 및 공용업무 환경 보안규정 미준수자는 상벌규정에 따라 관리

※ 사무실 보안점검 방안(예시)

• 개인업무 환경 : 정보보호 준수 여부를 자가진단, 주기적으로 관리 부서에서 정보보호 준수 여부 점검
• 공용업무 환경 : 공용업무 보호대책 준수 여부를 주기적으로 점검, 미준수 사항은 공지 또는 교육 수행