보안시스템 운영

※ 본 항목은 정보보호 관리체계 인증의 특례에 따른 **완화된 인증기준(별표 7의3)**이다. 위 인증기준/주요 확인사항은 완화/조정된 공식 원문이며, 아래 세부 설명/관련 법규/증거자료/결함사례는 동일 통제영역인 별표7 [2.10.1 보안시스템 운영]의 「ISMS-P 인증기준 안내서」 내용이다(완화 기준에서는 위 인증기준/확인사항 범위로 적용된다).

조직에서 운영하고 있는 보안시스템에 대하여 다음 내용을 포함한 운영절차를 수립/이행하여야 한다.

• 보안시스템 유형별 책임자 및 관리자 지정
• 보안시스템 정책(룰셋 등) 적용(등록, 변경, 삭제 등) 절차
• 최신 정책 업데이트 방안 : IDS, IPS 등의 보안시스템의 경우 새로운 공격기법을 탐지하기 위한 최신 패턴(시그너처) 및 엔진의 지속적 업데이트
• 보안시스템 이벤트 모니터링 절차(정책에 위배되는 이상징후 탐지 및 확인 등)
• 보안시스템 접근통제 정책(사용자 인증, 관리자 단말 IP 또는 MAC 등)
• 보안시스템 운영현황의 주기적 점검
• 보안시스템 자체에 대한 접근통제 방안 등

※ 보안시스템 유형(예시)

• 네트워크 보안시스템 : 침입차단시스템(방화벽), 침입방지시스템(IPS), 침입탐지시스템(IDS), 네트워크 접근제어(NAC), DDoS대응시스템, 가상사설망(VPN) 등
• 서버 보안시스템 : 시스템 접근제어, 보안운영체제(SecureOS)
• 데이터베이스 보안시스템 : 데이터베이스 접근제어
• 정보유출 방지시스템 : Network DLP(Data Loss Prevention), Endpoint DLP 등
• 개인정보보호 시스템 : 개인정보 검출솔루션, 출력물 보안, 개인정보 접속기록관리솔루션 등
• 암호화 솔루션 : 데이터베이스암호화, DRM 등
• 악성코드 대응 솔루션 : 백신, 패치관리시스템(PMS), EDR(Endpoint Detection Response) 등
• 기타 : APT대응솔루션, SIEM(Security Incident & Event Monitoring), 웹방화벽 등

보안시스템 관리자 등 접근이 허용된 인원을 최소화하고 비인가자의 접근을 엄격하게 통제하여야 한다.

• 강화된 사용자 인증(OTP 등), 관리자 단말 IP 또는 MAC 접근통제 등의 보호대책을 적용하여 보안시스템 관리자 등 접근이 허용된 인원 이외의 비인가자 접근을 엄격히 통제
• 주기적인 보안시스템 접속로그 분석을 통하여 비인가자에 의한 접근시도 여부 점검

보안시스템별로 정책의 신규 등록, 변경, 삭제 등을 위한 공식적인 절차를 수립/이행하여야 한다.

• 방화벽, DLP 등 보안시스템별 정책 등록, 변경, 삭제를 위한 신청 및 승인 절차
• 책임추적성을 확보할 수 있도록 보안시스템 정책 신청/승인/적용 기록 보존
• 보안시스템 정책(룰셋) 적용 시 고려사항
  • 최소권한의 원칙에 따라 업무상 필요한 최소한의 권한만 부여
  • 네트워크 접근통제 정책은 전체 차단을 기본으로 하되 업무상 허용하여야 하는 IP와 Port만 개별적으로 추가하여 관리
  • 보안정책 설정 시 목적에 따라 사용기간을 한정하여 적용
  • 보안정책의 등록/변경은 공식적인 절차를 통하도록 관리 등

보안시스템의 예외 정책 등록에 대하여 절차에 따라 관리하고 있으며, 예외 정책 사용자에 대하여 최소한의 권한으로 관리하여야 한다.

• 신청사유의 타당성 검토
• 보안성 검토 : 예외 정책에 따른 보안성 검토 및 보완대책 마련
• 예외 정책 신청/승인 : 보안시스템별로 책임자 또는 담당자 승인
• 예외정책 만료 여부 및 예외 사용에 대한 모니터링 등

보안시스템에 설정된 정책의 타당성 여부를 다음 사항을 고려하여 주기적으로 검토하여야 한다.

• 내부 보안정책/지침 위배(과다 허용 규칙 등)
• 공식적인 승인절차를 거치지 않고 등록된 정책
• 장기 미사용 정책
• 중복 또는 사용기간 만료 정책
• 퇴직 및 직무변경자 관련 정책
• 예외 관련 정책 등

개인정보처리시스템에 대한 불법적인 접근 및 개인정보 유출 방지를 위하여 법령에서 정한 기능을 수행하는 보안시스템을 설치하여 운영하여야 한다.

• 개인정보보호 관련 법령에서 요구하는 접근통제 시스템 필수 요구 기능
  1. 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한
  2. 개인정보처리시스템에 접속한 IP주소 등을 분석하여 개인정보 유출 시도 탐지 및 대응
• 클라우드 환경에서 개인정보처리시스템을 구성한 경우, 클라우드서비스 제공자가 제공하는 보안기능 또는 서비스를 이용하여 접근통제 기능 구현 가능