A.5.15
접근통제
조직적 통제확인사항 6증적 6사례 6
통제 목적
접근통제는 정보 및 관련 자산에 대한 물리적/논리적 접근을 업무상 필요와 정보보안 요구사항에 근거하여 허용하거나 제한하는 규칙을 수립하고 이행하도록 요구하는 통제입니다. 알 필요(need-to-know)와 사용 필요(need-to-use)에 따라 최소한의 권한만 부여하고, 권한 없는 접근을 차단하여 정보의 노출, 변조, 훼손과 서비스 오용 위험을 줄이는 것을 목적으로 합니다. 조직은 접근통제 정책을 문서화하고, 자산의 분류 및 위험 수준에 상응하는 접근 규칙을 일관되게 적용하여 사용자, 시스템, 네트워크 서비스 전반에 걸쳐 접근을 관리해야 합니다.
주요 확인사항
- 업무 및 정보보안 요구사항에 근거한 접근통제 정책(규칙)이 문서화되어 있고 최소권한/직무분리 원칙을 반영하고 있는가?
- 자산의 분류/중요도와 사용자의 역할에 따라 접근 규칙이 정의되고, 물리적 접근과 논리적 접근 모두를 포괄하는가?
- 네트워크 및 네트워크 서비스에 대한 접근이 업무상 승인된 범위로 제한되고 있는가?
- 접근권한의 부여/변경/회수가 승인 절차를 거쳐 이루어지고 기록되는가?
- 접근 규칙의 적정성을 주기적으로 검토하고, 조직 변화 및 위험 변화를 반영하여 갱신하는가?
- 접근통제 정책이 관련 임직원 및 외부자에게 전달되어 일관되게 적용되고 있는가?
이행 지침
- 접근통제 정책을 문서화하고, 알 필요/사용 필요, 최소권한, 직무분리 고려 등 핵심 원칙을 명시합니다.
- 자산의 분류 수준과 위험 평가 결과에 따라 접근 규칙을 정하고, 역할 기반(RBAC) 또는 속성 기반(ABAC) 등 조직에 맞는 권한 모델을 선택합니다.
- 물리적 접근(보호구역/시설)과 논리적 접근(시스템/응용/데이터베이스/네트워크)을 하나의 정책 체계에서 일관되게 관리합니다.
- 네트워크 및 네트워크 서비스 접근은 명시적으로 승인된 범위로 한정하고, 기본 정책은 '명시적 허용 외 차단(deny by default)'으로 설정합니다.
- 접근권한의 요청/승인/부여/변경/회수 절차를 정의하고, 각 단계의 책임자와 기록 항목을 지정합니다.
- 권한이 과도하게 누적되지 않도록 정기적으로 접근권한을 검토하고, 직무 변경/퇴직/계약 종료 시 지체 없이 권한을 조정하거나 회수합니다.
- 접근 규칙과 부여 결과의 일관성(정책과 실제 설정의 일치 여부)을 점검하고 이력을 유지합니다.
증적자료
- 접근통제 정책/지침 문서(원칙, 적용 범위, 권한 모델 포함)
- 자산 분류/중요도와 연계된 접근 규칙 정의서(역할별 권한 매트릭스 등)
- 접근권한 요청/승인/부여/변경/회수 기록
- 네트워크 및 네트워크 서비스 접근 승인/설정 내역(방화벽/접근제어 목록 등)
- 접근권한 정기 검토 결과 및 조치 기록
- 접근통제 정책 전달/교육 이력
부적합 사례
- 접근통제 정책이 문서화되어 있지 않거나, 있어도 최소권한/직무분리 등 핵심 원칙이 반영되지 않은 경우
- 자산의 분류나 위험 수준과 무관하게 일괄적으로 동일한 접근권한이 부여되어 통제되지 않는 경우
- 네트워크 서비스 접근이 기본 허용으로 열려 있어 업무상 승인 범위를 벗어난 접근이 가능한 경우
- 권한 부여/변경/회수가 승인 절차나 기록 없이 임의로 이루어지는 경우
- 직무 변경이나 퇴직 후에도 기존 접근권한이 회수되지 않아 불필요한 권한이 잔존하는 경우
- 접근권한 검토가 수행되지 않아 정책과 실제 시스템 설정이 불일치하는 경우