A.5.19
공급자 관계에서의 정보보안
조직적 통제확인사항 6증적 5사례 6
통제 목적
공급자 관계에서의 정보보안은 외부 제품/서비스 공급자를 이용하면서 조직의 정보 및 정보처리시설에 발생할 수 있는 정보보안 위험을 식별하고 관리하기 위한 정책과 절차를 수립하고 운영하도록 요구하는 통제입니다. 공급자가 조직의 자산에 접근하거나 이를 처리, 저장, 전송하는 과정에서 발생하는 노출, 변조, 서비스 중단 위험을 관계 전 주기(선정, 계약, 운영, 종료)에 걸쳐 일관되게 통제하는 것을 목적으로 합니다. 조직은 공급자 유형과 접근 범위에 상응하는 보안 요구사항을 정의하고, 관계에 대한 책임과 승인 절차를 명확히 하여 공급망을 경유한 침해를 예방해야 합니다.
주요 확인사항
- 공급자 관계의 정보보안 정책/절차가 수립되어 있고, 접근 유형, 취급 정보의 민감도, 위험 수준에 따라 보안 요구사항이 정의되어 있는가?
- 조직의 정보 및 정보처리시설에 접근하는 공급자 목록(현황)을 식별/문서화하고 최신 상태로 유지하는가?
- 공급자 선정/계약 전에 보안 위험을 평가하고 그 결과를 승인 및 계약에 반영하는가?
- 공급자 유형(하드웨어/소프트웨어/클라우드/유지보수/인력 파견 등)에 따라 차등화된 통제를 적용하는가?
- 공급자 관계의 개시/변경/종료에 대한 내부 책임자와 승인 절차가 지정되어 있는가?
- 재위탁(하도급) 및 공급망 하위 단계에 대한 보안 요구사항 전파를 관리하는가?
이행 지침
- 공급자를 접근 범위, 취급 정보의 민감도, 서비스 중요도 기준으로 분류하고 유형별 최소 보안 요구사항 기준선을 정의합니다.
- 조직 정보/정보처리시설에 접근하는 모든 공급자를 등록하는 현황 대장을 운영하고 담당 부서/책임자/접근 범위/계약 기간을 기록합니다.
- 공급자 선정 단계에서 보안 실사(체크리스트/설문/증빙 검토)를 수행하고 위험 평가 결과를 승인 근거로 남깁니다.
- 공급자에게 요구할 보안 통제(접근통제, 자산 반환, 사고 통지, 감사 권한, 재위탁 제한 등)를 표준 요구사항 세트로 문서화하여 계약/합의에 반영합니다.
- 공급자 관계의 개시/변경/종료에 대한 승인 및 책임 체계(RACI 등)를 정의하고, 여기에 관계 종료 시 접근권한 회수/자산 반환/데이터 파기 절차를 포함합니다.
- 정책/절차를 정기적으로 검토하고 법규 변화, 서비스 범위 변경, 위험 변화에 맞춰 갱신합니다.
증적자료
- 공급자 관계 정보보안 정책/절차서
- 공급자 현황 대장(접근 범위/책임자/계약 기간 포함)
- 공급자 보안 실사/위험 평가 기록 및 선정 승인 문서
- 공급자 유형별 보안 요구사항 기준선/실사 체크리스트
- 공급자 관계 개시/종료 승인 기록 및 접근권한 회수/자산 반환 내역
부적합 사례
- 조직 정보시스템에 접근하는 유지보수 업체가 존재하나 공급자 현황 대장에 등록되어 있지 않은 경우
- 공급자 관계 보안 정책은 있으나 공급자 유형/위험 수준별 차등 요구사항이 정의되지 않아 모든 공급자에 동일한 문구만 적용되는 경우
- 신규 공급자 선정 시 보안 실사나 위험 평가 없이 계약이 체결되는 경우
- 재위탁(하도급)이 발생하였으나 하위 공급자에 대한 보안 요구사항 전파나 승인 절차가 없는 경우
- 공급자 관계가 종료된 후에도 해당 업체의 계정/접근권한이 회수되지 않고 유지되는 경우
- 공급자 현황이 오래되어 실제 접근 중인 업체와 대장 내용이 일치하지 않는 경우