A.5.10
정보 및 관련 자산의 허용된 사용
조직적 통제확인사항 5증적 5사례 5
통제 목적
정보 및 관련 자산의 허용된 사용은 임직원 및 외부 이용자가 정보와 정보처리 자산을 어떻게 사용할 수 있고 무엇을 해서는 안 되는지 규칙으로 정하고, 이를 준수하도록 요구하는 통제입니다. 자산의 분류 수준에 상응하는 취급/보관/전송/폐기 방법을 규정하여 오용, 무단 반출, 부적절한 공유로 인한 정보 유출 및 훼손 위험을 줄이는 것을 목적으로 합니다. 규칙을 문서화하고 자산을 사용하는 모든 대상에게 전달하여, 각자가 자신의 책임을 명확히 인지한 상태에서 자산을 사용하도록 하는 데 그 취지가 있습니다.
주요 확인사항
- 정보 및 관련 자산의 허용된 사용에 관한 규칙(정책/지침)이 수립되어 있으며 자산 분류 수준과 연계되어 있는가?
- 규칙이 임직원 및 외부 이용자 등 자산을 사용하는 모든 대상에게 전달되고, 사용자가 이를 인지/동의하도록 하는 절차가 있는가?
- 자산의 취급/보관/전송/이동/폐기 등 생애주기 단계별로 허용/금지 행위가 구체적으로 규정되어 있는가?
- 원격근무, 개인 소유 기기(BYOD), 이동식 매체, 클라우드/외부 서비스 사용에 대한 허용 기준이 마련되어 있는가?
- 규칙 위반 시 조치 및 책임 관계가 정의되어 있고, 규칙의 준수 여부가 점검되는가?
이행 지침
- 정보 분류 체계(예: 대외비/내부용/공개)와 연계하여, 분류 수준별로 허용되는 취급 및 사용 방식을 규정합니다.
- 화면/문서 노출 관리, 반출입 및 외부 전송, 출력/복사, 이동식 매체 사용, 개인 클라우드/메신저 등 외부 서비스 이용에 대한 허용 및 금지 사항을 명확히 정합니다.
- 원격근무 및 개인 소유 기기(BYOD) 사용 시 준수해야 할 최소 보안 요건(암호화, 화면잠금, 분실 신고 등)을 규칙에 포함합니다.
- 규칙을 입사/계약 시점과 정기 교육 때 전달하고, 보안 서약 또는 사용 동의 형태로 인지와 수용을 확인받습니다.
- 규칙 위반 시의 조치 절차(경고, 접근권한 회수, 징계 연계 등)와 책임 소재를 사전에 정의합니다.
- 자산 사용 규칙은 조직 변화, 신기술 도입, 사고 사례를 반영하여 주기적으로 검토하고 최신 상태로 유지합니다.
증적자료
- 정보 및 관련 자산의 허용된 사용 규칙(정책/지침/취급 절차서)
- 정보 분류 수준별 취급/보관/전송/폐기 기준 문서
- 보안 서약서 또는 자산 사용 동의 기록
- 원격근무/BYOD/이동식 매체 사용에 대한 승인 및 관리 기록
- 규칙 전달/교육 이력 및 위반 시 조치 기록
부적합 사례
- 자산의 허용된 사용 규칙이 문서로 존재하지 않거나, 존재해도 자산 분류 수준과 연계되지 않은 경우
- 규칙이 임직원에게만 적용되고 외주/파견 등 외부 이용자에게는 전달/적용되지 않는 경우
- 이동식 매체나 개인 클라우드/메신저를 통한 업무 정보 반출에 대한 허용/금지 기준이 없어 통제되지 않는 경우
- 보안 서약이나 사용 동의 절차 없이 자산을 부여하여 사용자가 자신의 책임 범위를 인지하지 못하는 경우
- 규칙 위반이 확인되어도 조치 절차나 책임 소재가 정의되지 않아 실질적 후속 조치가 이루어지지 않는 경우