A.7.1
물리적 보안 경계
물리적 통제확인사항 6증적 6사례 6
통제 목적
정보와 정보처리 설비가 있는 공간을 외부와 명확히 구분되는 물리적 경계로 둘러싸서, 인가되지 않은 접근과 물리적 손상 및 간섭으로부터 보호하는 것이 목적입니다. 조직은 자산의 중요도와 위험 수준에 따라 경계를 계층적으로 설계하고, 각 경계의 강도가 보호 대상의 가치에 비례하도록 유지해야 합니다. 명확하게 정의된 경계는 이후의 출입통제, 감시, 내부 작업통제가 효과를 발휘하기 위한 물리적 토대가 됩니다.
주요 확인사항
- 정보처리 설비와 중요 정보가 있는 구역의 물리적 경계(벽, 출입문, 접수처, 펜스 등)가 명확히 정의되고 문서화되어 있는가?
- 자산의 중요도 및 위험 평가 결과에 따라 경계를 여러 등급(일반/제한/통제 구역 등)으로 구분하고, 등급별 보호 수준을 차등 적용하고 있는가?
- 경계를 구성하는 벽, 천장, 바닥, 창문, 출입구가 무단 침입에 견디도록 물리적으로 견고하게 시공/유지되고 있는가?
- 경계에 존재하는 모든 개구부(출입문, 비상구, 창문, 배관/케이블 통로 등)가 식별되고 각각에 대한 보호 조치가 마련되어 있는가?
- 경계 및 보호구역의 변경(신규 설치, 이전, 폐쇄)이 발생할 때 이를 검토/승인하고 관련 문서를 갱신하는 절차가 있는가?
- 무인 구역이나 근무 외 시간대에 경계의 무결성을 유지하기 위한 잠금/감지/점검 방안이 마련되어 있는가?
이행 지침
- 자산 중요도와 위험 평가를 기반으로 보호구역을 정의하고, 각 구역의 물리적 경계 위치와 보호 등급을 도면 및 목록으로 문서화합니다.
- 경계는 하나의 방벽이 아닌 다층 구조로 설계하여, 외곽에서 핵심 자산으로 갈수록 통제 강도가 높아지도록 구성합니다.
- 경계를 이루는 구조물에는 침입에 견딜 수 있는 재질과 시공 기준을 적용하고, 창문/환기구/천장 위 공간/바닥 밑 공간 등 우회 침입 경로까지 포함해 점검합니다.
- 방문자와 외부자의 신원, 방문 목적 및 출입 승인을 확인하고 기록할 수 있는 접수/통제 수단을 마련합니다. 현장 인력, 원격 접수 등은 시설 위험과 대응 역량에 맞춰 선택합니다.
- 출입문과 비상구의 무단 진입을 통제하되, 적용되는 소방/피난 요건에 맞는 내부 탈출과 긴급 대응 인력의 접근을 보장합니다. 잠금이나 경보가 대피를 방해하지 않는지 확인합니다.
- 데이터센터/전산실 등 고위험 구역은 일반 사무 공간과 분리된 독립 경계로 격리하고, 소방/전력/배관 설비 통로가 경계를 우회하지 않도록 관리합니다.
- 경계 및 보호구역의 변경 이력을 관리하고, 정기적으로 물리적 상태를 점검하여 손상/노후/우회 경로를 시정합니다.
증적자료
- 보호구역 지정 및 등급 분류 정책/지침
- 시설 배치 도면(보호구역 경계 및 출입구 표시)과 보호구역 목록
- 물리적 경계 점검 체크리스트 및 정기 점검 결과 기록
- 경계/보호구역 변경 검토 및 승인 문서
- 출입문/비상구 잠금 및 개구부 보호 조치 현황 자료
- 접수처/유인 통제 지점 운영 기록
부적합 사례
- 전산실이 별도 경계 없이 일반 사무 공간과 같은 공간에 있어 물리적으로 구분되어 있지 않은 경우
- 보호구역 등급 구분 없이 모든 구역에 동일한 최소 수준의 통제만 적용하는 경우
- 비상구의 무단 진입 방지나 감시가 미흡하여 권한 없는 외부자가 경계를 우회해 들어올 수 있는 경우
- 창문/환기구/천장 위 공간 등 우회 침입 경로가 식별/점검 대상에서 누락된 경우
- 보호구역 배치 도면이 실제 시설 현황과 불일치하고 변경 이력이 관리되지 않는 경우
- 위험에 맞는 방문자 확인 및 출입 기록 수단이 없어 외부자의 경계 진입을 통제할 수 없는 경우