A.5.9
정보 및 관련 자산 목록
조직적 통제확인사항 5증적 5사례 5
통제 목적
정보 및 관련 자산 목록은 조직이 보호해야 할 정보자산과 이를 처리/저장/전송하는 관련 자산을 빠짐없이 식별하고, 목록으로 정리하여 최신 상태로 유지하기 위한 통제입니다. 무엇을 보유하고 있고 그 자산이 어디에 있으며 누가 책임지는지를 모르면 위험평가, 접근통제, 사고대응 등 모든 후속 보호활동의 근거가 성립하지 않습니다. 따라서 이 통제는 자산 식별, 소유자 지정, 자산 목록의 정확성 유지를 요구하여 정보보호 관리체계 전반의 기초 데이터를 확보하는 것을 목적으로 합니다.
주요 확인사항
- 정보자산과 관련 자산(하드웨어, 소프트웨어, 서비스, 시설, 인력 등)을 식별하는 기준과 절차가 정의되어 있는가?
- 식별한 자산이 목록으로 관리되며, 각 자산에 소유자/책임자, 위치, 유형, 중요도 등 필요한 속성이 기록되어 있는가?
- 자산 도입/변경/폐기 등 생애주기 변동이 발생할 때 목록이 적시에 갱신되는가?
- 자산 목록이 관리체계 범위와 일치하며 누락/중복 없이 실제 운영 환경을 반영하는가?
- 자산 목록의 정확성을 주기적으로 검토/실사하고, 그 결과가 위험평가 및 보호대책에 연계되는가?
이행 지침
- 정보자산(문서, 데이터베이스, 파일, 개인정보 등)과 이를 지원하는 관련 자산(서버/단말 등 하드웨어, 응용/시스템 소프트웨어, 클라우드/외부 서비스, 네트워크, 시설, 인력)을 유형별로 구분하여 식별합니다.
- 각 자산에 대해 고유 식별자, 명칭, 유형, 위치(물리/논리), 소유자 및 관리자, 중요도/분류 등급, 도입/폐기 일자 등 관리에 필요한 속성을 정의하여 목록에 기록합니다.
- 모든 자산에 소유자(책임 주체)를 지정하여 자산 분류, 접근권한 승인, 목록 정확성 유지의 책임 소재를 명확히 합니다.
- 취득, 이전, 반환, 변경, 폐기 등의 변동을 변경관리/구매 절차와 연계하여 자산대장을 갱신합니다. 반환 자산은 보관 또는 재지급 상태로 전환하고, 폐기 이력은 정해진 보존 기준에 따라 유지합니다.
- CMDB, 자산관리 시스템, 네트워크 자산 탐지 도구 등을 활용하여 목록의 정확성과 최신성을 높이고, 수기 관리에 따른 누락을 보완합니다.
- 자산 목록을 위험평가, 자산 분류(A.5.12), 접근통제, 사고대응, 폐기 절차의 기준 데이터로 활용하고, 주기적 실사로 실제 현황과의 일치 여부를 확인합니다.
증적자료
- 자산 식별 기준 및 자산관리 절차서(소유자 지정, 갱신 주기, 실사 방법 포함)
- 정보자산 및 관련 자산 목록(식별자, 유형, 위치, 소유자, 중요도 등 속성 포함)
- 자산 도입/변경/폐기 이력 및 변경관리 연동 기록
- 자산 목록 정기 실사/검토 결과 및 불일치 조치 내역
- 자산 목록과 위험평가/자산 분류 결과 간 연계 증적
부적합 사례
- 자산 목록이 존재하나 최근 도입한 서버/클라우드 서비스가 누락되어 실제 운영 환경과 일치하지 않는 경우
- 자산에 소유자/책임자가 지정되지 않아 분류, 접근권한 승인, 목록 갱신의 책임 주체가 불명확한 경우
- 반환 또는 폐기된 자산의 상태, 보관 위치, 관리 책임자가 갱신되지 않아 실제 보유 현황과 자산대장이 불일치하는 경우
- 자산 목록에 중요도/분류 등급이 없어 위험평가 및 보호대책 우선순위 산정의 근거로 활용되지 못하는 경우
- 자산 목록을 최초 작성 후 갱신하지 않고 정기 실사도 수행하지 않아 최신성이 확보되지 않는 경우