A.5.3
직무 분리
조직적 통제확인사항 5증적 5사례 5
통제 목적
상충되는 직무와 책임 영역을 분리하여, 한 사람이 민감한 업무를 처음부터 끝까지 혼자 수행하고 그 과정을 스스로 은폐할 수 없도록 하는 통제입니다. 요청/승인/실행/검토처럼 서로 견제해야 하는 활동이 한 개인에게 집중되면 부정, 오류, 권한 남용이 발생해도 이를 걸러낼 장치가 사라집니다. 이 통제는 조직이 상충되는 직무와 책임 영역을 식별하여 분리하도록 요구합니다. ISO/IEC 27002 지침에서는 규모가 작아 직무를 완전히 분리하기 어려운 조직에 보완통제를 고려하도록 권고합니다. 보완통제를 두면 분리하지 못한 직무에서도 견제 기능을 유지할 수 있습니다.
주요 확인사항
- 상충되는 직무와 책임(요청/승인/실행/검토, 개발/운영, 자산 등록/폐기 승인 등)을 식별하고 분리 기준을 문서화하였는가?
- 식별한 상충 직무를 실제 권한 부여 및 업무 배정에 반영하여, 한 사람이 견제 없이 전 과정을 수행하지 못하도록 통제하고 있는가?
- 특권 계정 관리, 보안 정책 설정, 로그 관리 등 고위험 직무 조합에 별도의 통제를 적용하고 있는가?
- 조직 규모나 인력 제약으로 완전한 직무 분리가 어려운 경우, 활동 감시, 이중 승인, 독립적인 로그 검토 등 보완통제를 정의하고 운영하는가?
- 직무 분리 위반(권한 충돌, 겸직으로 인한 권한 집중)을 주기적으로 점검하고 발견 시 시정하는가?
이행 지침
- 요청/승인/실행/검토, 개발/운영, 변경 요청/변경 승인 등 서로 견제해야 하는 활동을 상충 직무 매트릭스(SoD 매트릭스)로 정의하고, 동시에 보유하면 안 되는 권한 조합을 명시합니다.
- 최소권한 원칙에 따라 직무별로 필요한 권한만 부여하고, 상충되는 권한이 한 계정이나 한 개인에 집중되지 않도록 권한 부여/회수 절차에 검증 단계를 둡니다.
- 개발과 운영, 운영과 보안 감사 등 고위험 영역을 분리하고, 특권 계정 사용은 요청/승인/실행 주체를 나누어 통제합니다.
- 인력이 부족하여 겸직이 불가피한 경우, 상급자 승인, 이중 통제, 활동 로그의 독립적 검토 등 보완통제를 설계하여 견제 기능을 대신하게 합니다.
- IAM/권한관리 도구로 상충 권한 조합을 자동 탐지하고, 정기 접근권한 검토 시 SoD 위반 여부를 함께 점검합니다.
- 조직 개편, 인사 이동, 신규 시스템 도입 시 직무 분리 기준을 재검토하고 권한을 재배정합니다.
증적자료
- 상충 직무 매트릭스(SoD 매트릭스) 또는 직무 분리 기준을 정의한 정책/규정
- 직무별 권한 부여 대장과 부여/승인 기록
- 접근권한 검토 결과 및 SoD 위반 점검 내역
- 겸직/보완통제 운영 기록(이중 승인 내역, 로그 독립 검토 기록 등)
- 조직도, 직무기술서, 개발/운영 분리 현황 자료
부적합 사례
- 한 담당자가 접근권한 요청부터 승인, 부여, 검토까지 모두 수행하여 상호 견제가 작동하지 않는 경우
- 개발자가 운영 시스템/데이터베이스를 직접 변경하면서 독립적인 승인이나 활동 검토 등 보완통제도 적용되지 않는 경우
- 상충 직무를 식별한 매트릭스나 기준이 없어 어떤 권한 조합이 위험한지 판단할 근거가 없는 경우
- 소규모 조직에서 겸직이 불가피함에도 이중 승인, 로그 독립 검토 등 보완통제 없이 운영하는 경우
- 접근권한 검토를 형식적으로만 수행하여 특정 개인에게 상충 권한이 누적된 것을 발견하거나 시정하지 못한 경우