보안 요구사항 정의

※ 본 항목은 정보보호 관리체계 인증의 특례에 따른 **완화된 인증기준(별표 7의3)**이다. 위 인증기준/주요 확인사항은 완화/조정된 공식 원문이며, 아래 세부 설명/관련 법규/증거자료/결함사례는 동일 통제영역인 별표7 [2.8.1 보안 요구사항 정의]의 「ISMS-P 인증기준 안내서」 내용이다(완화 기준에서는 위 인증기준/확인사항 범위로 적용된다).

정보시스템을 신규로 도입/개발 또는 변경하는 경우 정보보호 및 개인정보보호 측면의 타당성을 검토하고 인수할 수 있도록 절차를 수립/이행하여야 한다.

• 새로운 정보시스템(서버, 네트워크 장비, 상용 소프트웨어 패키지) 및 보안시스템 도입 시 도입 타당성 분석 등의 내용이 포함된 도입계획 수립
  • 현재 시스템 자원의 이용률, 사용량, 능력한계에 대한 분석
  • 성능, 안정성, 보안성, 신뢰성 및 기존시스템과의 호환성, 상호 운용성 요건
  • 개인정보처리시스템에 해당될 경우 개인정보 보호법(개인정보의 안전성 확보조치 기준 고시 포함) 등에서 요구하는 법적 요구사항 준수
• 정보보호 및 개인정보보호 측면의 요구사항을 제안요청서(RFP)에 반영하고 업체 또는 제품 선정 시 기준으로 활용
• 정보시스템 인수 여부를 판단하기 위한 시스템 인수기준 수립
  • 도입계획 수립 시 정의된 성능, 보안성, 법적 요구사항 등을 반영한 인수 승인기준 수립
  • 시스템 도입 과정에서 인수기준을 준수하도록 구매계약서 등에 반영

정보시스템을 신규로 도입/개발 또는 변경하는 경우 법적 요구사항, 최신 취약점 등을 포함한 보안 요구사항을 명확히 정의하고 설계 단계에서부터 반영하여야 한다.

• 개인정보보호 관련 법적 요구사항 : 접근 권한, 접근통제, 암호화, 접속기록 등
• 상위 기관 및 내부 규정에 따른 정보보호 및 개인정보보호 요구사항
• 정보보호 관련 기술적 요구사항 : 인증, 개발보안 등
• 최신 보안취약점 등

정보시스템의 안전한 구현을 위한 코딩 표준을 마련하고 적용하여야 한다.

• 알려진 기술적 보안 취약점으로 인한 위협을 최소화하기 위하여 안전한 코딩 표준 및 규약 마련
• Java, PHP, ASP, 웹, 모바일 등 관련된 개발 언어 및 환경을 모두 포함
• 안전한 코딩 표준 및 규약에 대하여 개발자 대상 교육 수행

※ 소프트웨어 개발보안 방법론(예시)

단계	내용
요구사항분석	- 요구사항 중 보안항목 식별 - 요구사항 명세서
설계	- 위협원 도출을 위한 위협모델링 - 보안설계 검토 및 보안설계서 작성 - 보안통제 수립
구현	- 표준 코딩 정의서 및 SW 개발보안 가이드를 준수해 개발 - 소스코드 보안약점 진단 및 개선
테스트	- 모의침투 테스트 또는 동적분석을 통한 보안취약점 진단 및 개선
유지보수	- 지속적인 개선 - 보안패치

<출처> 소프트웨어 개발보안 가이드(행안부, KISA)