A.5.26
정보보안 사고 대응
조직적 통제확인사항 5증적 6사례 5
통제 목적
정보보안 사고로 분류된 사안에 대해 사전에 정한 역할과 절차로 평가, 확산 방지, 원인 제거, 복구 및 종료 판단을 수행하는 통제입니다. 증거 보존과 이해관계자 통지/보고는 대응 전 과정에서 함께 진행하며, 외부 보고를 복구나 사고 종료 이후로 미루지 않습니다. 처리 과정과 결과를 기록하여 피해와 재발 가능성을 줄이고 후속 개선의 근거로 활용합니다.
주요 확인사항
- 사고 유형/심각도별로 대응 절차와 대응 조직(역할/책임/에스컬레이션 경로)을 사전에 정의하였는가?
- 사고 접수 후 억제, 근절, 복구, 종료에 이르는 단계별 조치를 지정된 담당자가 수행하고 기록하는가?
- 대응 과정에서 후속 분석/법적 대응에 필요한 증거를 훼손 없이 수집하고 보존하는가?
- 법령/계약상 통지 의무(감독기관, 정보주체/고객, 협력사)를 파악하고 기한 내에 통지하는가?
- 사고 대응 결과(원인, 조치, 영향, 재발방지)를 기록하고 관련 부서/경영진에 보고하는가?
이행 지침
- 사고 심각도 등급(예: 상/중/하)을 정의하고, 등급별 대응 시간 목표와 에스컬레이션 기준을 문서화합니다.
- 초동 대응 시 영향 범위를 파악하고, 확산을 막기 위한 억제 조치(계정 잠금, 세션 차단, 네트워크 격리 등)를 우선 수행합니다.
- 근본 원인을 제거하고 취약점을 조치한 뒤 서비스/시스템을 정상 상태로 복구하며, 복구 후 정상 동작과 재감염 여부를 검증합니다.
- 로그, 이미지, 메모리 덤프 등 증거를 원본성을 유지할 수 있는 방식으로 수집하고 확보/이관 이력(연계보관성)을 기록합니다.
- 신고/통지 대상 사고는 대응 초기부터 법정/계약상 요건, 기산점, 수신자를 확인하고 대응과 병행하여 기한 내 보고합니다. 조사가 끝나지 않았으면 허용되는 초기 보고와 후속 갱신 절차를 적용합니다.
- 대응 전 과정을 시간순으로 기록(incident log)하고, 종료 시 처리 결과 보고서를 작성하여 교훈 도출(A.5.27)로 연계합니다.
증적자료
- 사고 대응 절차서 및 심각도 등급/에스컬레이션 기준
- 사고 대응 조직도 및 역할/책임(RACI) 정의
- 개별 사고 처리 기록(사고 로그, 억제/복구 조치 내역, 타임라인)
- 증거 수집/연계보관성 기록
- 감독기관/정보주체 등 대외 통지/신고 문서 및 발송 증빙
- 사고 종료 보고서 및 경영진 보고 내역
부적합 사례
- 사고 대응 절차는 존재하나 심각도 등급/에스컬레이션 기준이 없어 사고마다 대응 수준이 달라지는 경우
- 억제 조치 없이 복구부터 진행하여 공격자가 잔존한 상태에서 사고가 재발하는 경우
- 대응 과정에서 로그를 임의로 삭제하거나 덮어써 원인 분석과 법적 대응에 필요한 증거가 소실되는 경우
- 개인정보 유출 사고를 인지하고도 법정 기한 내에 감독기관/정보주체에게 통지하지 않는 경우
- 사고를 처리했으나 처리 결과와 원인을 기록하지 않아 재발방지와 교훈 도출로 연결되지 않는 경우