접근권한 검토

정보시스템과 개인정보 및 중요정보에 대한 사용자 계정 및 접근권한 생성/등록/부여/이용/변경/말소 등의 이력을 남겨야 한다.

• 사용자 계정 및 접근권한에 대한 내역은 책임추적성을 확보할 수 있도록 필요한 사항을 모두 포함하여 기록
  • 계정/접근권한 신청정보 : 신청자 또는 대리신청자, 신청일시, 신청목적, 사용기간 등
  • 계정/접근권한 승인정보 : 승인자, 승인 또는 거부 여부, 사유 및 일시 등
  • 계정/접근권한 등록정보 : 등록자, 등록일, 등록방법(결재시스템 연동, 수작업 등록 등)
  • 계정/접근권한 정보 : 대상 시스템명, 권한명, 권한 내역 등
• 접근권한 기록은 법적 요구사항 등을 반영하여 일정기간 이상 보관
  • 「개인정보 보호법」에 따른 개인정보처리자 : 최소 3년간 보관

정보시스템과 개인정보 및 중요정보에 대한 사용자 계정 및 접근권한의 적정성 검토 기준, 검토주체, 검토방법, 주기 등을 수립하여 정기적 검토를 이행하여야 한다.

• 접근권한 검토 주체, 방법, 기준, 주기(최소 분기 1회 이상 권고), 결과보고 등 검토 절차 수립

  ※ 접근권한 부여의 적정성 검토 항목(예시)

  • 공식적인 절차에 따른 접근권한 부여 여부
  • 접근권한 분류체계의 업무목적 및 보안정책 부합 여부
  • 접근권한 승인자의 적절성
  • 직무변경 시 기존 권한 회수 후 신규 업무에 대한 적절한 권한 부여 여부
  • 업무 목적 외 과도한 접근권한 부여 여부
  • 특수권한 부여/변경/발급 현황 및 적정성
  • 협력업체 등 외부자 계정/권한 발급 현황 및 적정성
  • 접근권한 신청/승인 내역과 실제 접근권한 부여 현황의 일치 여부
  • 장기 미접속자 계정 현황 및 삭제(또는 잠금) 여부
  • 휴직, 퇴직 시 지체 없이 계정 및 권한 회수 여부 등

접근권한 검토 결과 접근권한 과다 부여, 권한부여 절차 미준수, 권한 오/남용 등 문제점이 발견된 경우 그에 따른 조치절차를 수립/이행하여야 한다.

• 접근권한 검토 결과 권한의 과다 부여, 절차 미준수, 권한 오/남용 등 의심스러운 상황이 발견된 경우 소명요청 및 원인분석, 보완대책 마련, 보고체계 등이 포함된 절차 수립/이행
• 접근권한 검토 후 변경 적용된 권한에 대해서는 사용자 및 관련자에게 통지
• 유사한 문제가 반복될 경우 근본 원인 분석 및 재발방지 대책 수립 등