A.6.7
원격 근무
인적 통제확인사항 6증적 7사례 6
통제 목적
조직의 물리적 통제 범위를 벗어난 장소(재택, 이동 중, 고객사, 공유 사무실 등)에서 임직원이 정보에 접근하거나 정보를 처리 또는 보관할 때에도 사내 근무와 동등한 수준으로 정보를 보호하도록 하는 통제입니다. 원격 근무 환경은 통제되지 않은 네트워크, 가족/타인과 공유되는 공간, 분실/도난에 취약한 단말 등으로 인해 사내보다 위협에 더 많이 노출됩니다. 따라서 이 통제는 조직이 원격 근무를 허용하는 조건과 그때 지켜야 할 기술적/물리적/절차적 보호대책을 사전에 정의하고 이행하도록 요구합니다. 목적은 근무 장소가 어디든 정보의 기밀성, 무결성, 가용성이 유지되고 접근이 통제되도록 하는 것입니다.
주요 확인사항
- 원격 근무를 허용하는 조건, 대상, 승인 절차와 지켜야 할 보안 요구사항을 규정한 정책/지침이 수립되어 있는가?
- 원격지에서 사내 시스템/데이터에 접근할 때 안전한 연결(VPN 등)과 강화된 인증(다중 인증 등)을 강제하고 있는가?
- 원격 근무에 사용하는 단말(회사 지급 또는 개인 소유 BYOD)에 대한 보안 요구사항(암호화, 백신, 화면잠금, 패치 등)을 정의하고 점검하는가?
- 물리적 환경(공유 공간에서의 화면 노출, 인쇄물/저장매체 관리, 분실/도난 대응)에 대한 보호 수칙이 마련되어 있는가?
- 원격 근무자의 접근권한과 로그를 관리/모니터링하고, 원격 근무 종료 또는 직무 변경 시 더 이상 필요하지 않은 권한과 자산을 회수하는가?
- 원격 근무자에게 관련 정책과 사고 발생 시 보고 절차를 교육하고 준수 여부를 점검하는가?
이행 지침
- 원격 근무 허용 대상/장소/조건, 승인 및 예외 절차, 사용 가능한 단말과 서비스 범위를 명시한 정책을 수립하고 경영진 승인을 받습니다.
- 원격지에서 사내 자원 접근 시 VPN 등 암호화된 통신 채널과 다중 인증을 강제하고, 필요 시 접근 대상/시간/네트워크를 제한합니다.
- 원격 단말에 암호화, 악성코드 대응, 화면 잠금, 패치 등 유형에 맞는 보안 기준을 적용합니다. 원격 삭제는 기기 지원 여부, 연결 상태, 승인된 삭제 범위를 확인하고, 수행할 수 없으면 접근 차단 등 대체 대응을 마련합니다.
- BYOD에는 업무/개인 영역 분리, 접근 범위, 로컬 저장 조건, 모니터링과 삭제 권한을 명확히 정하고 필요한 동의/허가를 확보합니다. 개인 정보와 콘텐츠가 승인 범위를 넘어 수집되거나 삭제되지 않도록 합니다.
- 공유/공공 공간에서의 화면 훔쳐보기 방지(보안필름, 좌석 배치), 인쇄물/보조저장매체 통제, 공용 와이파이 사용 제한 등 물리적/네트워크 수칙을 안내합니다.
- 분실/도난이나 유출을 즉시 신고할 절차와 연락처를 제공합니다. 세션/토큰 회수와 접근 차단을 수행하고, 원격 잠금/삭제는 기기 지원 여부와 승인 범위에 따라 실행하여 결과를 확인합니다.
- 원격 근무 종료 또는 직무 변경 시 업무 필요를 재평가하여 불필요한 원격 접근권한을 회수하고, 반환/삭제 대상 자산과 업무정보를 확인합니다. 계속 필요한 업무 권한과 법적 보존 기록은 승인된 범위에서 유지합니다.
증적자료
- 원격 근무 정책/지침 및 경영진 승인 문서
- 원격 근무 신청/승인 기록 및 대상자 명단
- VPN/다중 인증 설정 내역 및 원격 접속 기록(로그)
- 원격 단말 보안 기준 및 점검 결과(암호화, 백신, 패치 현황 등)
- BYOD 허용 조건, 사용자 동의서, 접근 범위 설정 내역
- 원격 근무자 대상 보안 교육 자료 및 이수 기록
- 원격 근무 종료 시 권한 회수/자산 반납 기록
부적합 사례
- 원격 근무를 광범위하게 시행하고 있으나 이를 규율하는 정책/승인 절차가 없어 통제 근거가 확인되지 않는 경우
- 원격 접근에 필요한 암호화 또는 강화된 인증이 적용되지 않아 내부 정보에 무단 접근할 위험이 있는 경우
- 원격 단말에 디스크 암호화나 화면잠금이 적용되지 않아 분실/도난 시 정보 유출이 통제되지 않는 경우
- 개인 소유 단말(BYOD)을 별도 조건이나 동의 없이 업무에 사용하고 자료가 개인 단말에 저장되거나 남아 있는 경우
- 원격 근무자의 접속 기록이 수집/모니터링되지 않아 이상 접근을 탐지하지 못하는 경우
- 원격 근무 종료 후 필요 없어진 권한이 남거나 반환/삭제 대상으로 정한 자산과 업무정보가 회수되지 않은 경우