로그 및 접속기록 관리

※ 본 항목은 정보보호 관리체계 인증의 특례에 따른 **완화된 인증기준(별표 7의2)**이다. 위 인증기준/주요 확인사항은 완화/조정된 공식 원문이며, 아래 세부 설명/관련 법규/증거자료/결함사례는 동일 통제영역인 별표7 [2.9.4 로그 및 접속기록 관리] 및 [2.9.5 로그 및 접속기록 점검]의 「ISMS-P 인증기준 안내서」 내용이다(완화 기준에서는 위 인증기준/확인사항 범위로 적용된다).

서버, 응용프로그램, 보안시스템, 네트워크시스템 등 정보시스템에 대한 로그관리 절차를 수립하고, 이에 따라 필요한 로그를 생성하여 보관하여야 한다.

• 보존이 필요한 로그유형 및 대상시스템 식별

  ※ 주요 로그유형(예시)

  • 시스템 이벤트 로그 : 운영체제 구성요소에 의하여 발생하는 로그(시스템 시작, 종료, 상태, 에러코드 등)
  • 네트워크 이벤트 로그 : IP주소 할당, 주요 구간 트래픽 로그
  • 보안시스템 로그 : 관리자 접속, 보안정책(룰셋) 등록/변경/삭제 등
  • 보안관련 감사 로그 : 사용자 접속기록, 인증 성공/실패 로그, 파일 접근, 계정 및 권한 등록/변경/삭제 등(서버, 응용프로그램, 보안시스템, 네트워크시스템, 데이터베이스 등)
  • 개인정보처리시스템 접속기록 : 개인정보취급자가 개인정보처리시스템에 접속한 사실을 알 수 있는 접속자 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등
  • 기타 정보보호 관련 로그

• 각 시스템 및 장비별 로그 형태, 보존기간, 로그 보존(백업) 방법 등 정의

• 로그관리 절차 수립 및 이에 따른 로그 생성/보관

정보시스템의 로그기록은 위/변조 및 도난, 분실되지 않도록 안전하게 보관하고, 로그기록에 대한 접근권한은 최소화하여 부여하여야 한다.

• 로그기록은 스토리지 등 별도 저장장치를 사용하여 백업하고 로그기록에 대한 접근권한 부여는 최소화하여 비인가자에 의한 로그기록 위/변조 및 삭제 등이 발생하지 않도록 하여야 함

개인정보처리시스템에 대한 접속기록은 법적 요구사항을 준수할 수 있도록 필요한 항목을 모두 포함하여 전자적으로 기록하고 일정기간 안전하게 보관하여야 한다.

• 개인정보처리시스템 접속기록에 반드시 포함되어야 할 항목

  항목	설명
  식별자	개인정보취급자 ID 등 접속한 자의 식별정보
  접속일시	접속한 시간 또는 업무를 수행한 시간 (연월일 및 시분초)
  접속지 정보	접속자 IP주소 등
  처리한 정보주체 정보	정보주체의 ID, 고객번호, 학번, 사번 등
  수행업무	개인정보 조회, 변경, 입력, 삭제, 출력, 다운로드 등

• 개인정보처리시스템 접속기록 보존기간

  구분	보존 기간
  개인정보취급자의 접속기록 - 5만명 이상의 정보주체에 관한 개인정보를 처리하는 개인정보처리시스템에 해당하는 경우	최소 2년 이상
  개인정보취급자의 접속기록 - 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템에 해당하는 경우	최소 2년 이상
  개인정보취급자의 접속기록 - 개인정보처리자로서 「전기통신사업법」제6조제1항에 따라 등록을 하거나 같은 항 단서에 따라 신고한 기간통신사업자에 해당하는 경우	최소 2년 이상
  개인정보취급자의 접속기록 - 위의 3가지 조건에 해당하지 않을 경우	최소 1년 이상

• 개인정보 접속기록이 위/변조, 도난, 분실되지 않도록 안전하게 보관 필요

  ※ 접속기록의 안전한 보관방법(예시)

  • 상시적으로 접속기록 백업을 수행하여 개인정보처리시스템 이외의 별도의 보조저장매체나 별도의 저장장치, 오브젝트 스토리지 등에 보관
  • 접속기록에 대한 위/변조를 방지하기 위해서는 CD-ROM, DVD-R, WORM(Write Once Read Many) 등과 같은 덮어쓰기 방지 매체를 사용
  • 접속기록을 수정 가능한 매체(하드디스크, 자기 테이프 등)에 백업하는 경우에는 무결성 보장을 위해 위/변조 여부를 확인할 수 있는 정보(MAC값, 전자서명값 등)를 별도의 장비에 보관/관리 등

정보시스템 관련 오류, 오/남용(비인가접속, 과다조회 등), 부정행위 등 이상징후를 인지할 수 있도록 로그 검토 주기, 대상, 방법 등을 포함한 로그 검토 및 모니터링 절차를 수립/이행하여야 한다.

• 검토 주기
• 검토 대상
• 검토 기준 및 방법
• 검토 담당자 및 책임자
• 이상징후 발견 시 대응절차 등

로그 검토 및 모니터링 결과를 책임자에게 보고하고 이상징후 발견 시 절차에 따라 대응하여야 한다.

• 로그 검토 및 모니터링 기준에 따라 검토를 수행한 후 이상징후 발견 여부 등 그 결과를 관련 책임자에게 보고
• 이상징후 발견 시 정보유출, 해킹, 오/남용, 부정행위 등 발생 여부를 확인하기 위한 절차를 수립하고 절차에 따라 대응
• 개인정보를 다운로드한 것이 확인된 경우 내부 관리계획 등 로그검토 기준에서 정하는 바에 따라 그 사유를 확인하고, 개인정보의 오/남용이나 유출 목적으로 다운로드한 것이 확인되었다면 지체 없이 개인정보취급자가 다운로드한 개인정보를 회수하여 파기하는 등의 필요한 조치 이행

개인정보처리시스템의 접속기록은 관련 법령에서 정한 주기에 따라 정기적으로 점검하여야 한다.

• 법령에 따른 개인정보 접속기록 점검 주기 : 월 1회 이상