A.7.13
장비 유지보수
물리적 통제확인사항 6증적 6사례 6
통제 목적
장비 유지보수는 정보를 저장/처리/전송하는 장비를 제조사 권장 사양과 조직의 운영 요구에 맞게 점검하고 정비하여 오작동, 고장, 성능 저하로 인한 정보 가용성 손실을 예방하기 위한 통제입니다. 유지보수는 계획된 예방정비와 고장 발생 후의 수리/교체를 모두 포함하며, 자격을 갖춘 승인된 인원만 수행하도록 통제되어야 합니다. 특히 외부 기술자가 수행하는 정비, 원격 유지보수, 장비 반출 수리 과정에서 저장된 정보가 노출/변조되지 않도록 보호하여 가용성뿐 아니라 기밀성과 무결성까지 함께 보장하는 것이 목적입니다.
주요 확인사항
- 장비별 유지보수 대상/주기/책임자가 자산 목록과 제조사 권장 사양에 근거하여 정의되고 준수되고 있는가?
- 유지보수는 자격을 갖춘 승인된 인원만 수행하며, 외부 기술자의 경우 입회/감독과 접근 범위 제한이 적용되는가?
- 유지보수 이력(일시, 수행자, 조치 내용, 발견 결함, 교체 부품 등)이 기록/보존되고 있는가?
- 외부/원격 유지보수와 수리 반출 시 정보 노출/변조 방지 조치(매체 분리, 삭제/암호화, 접근 제한, NDA, 세션 기록)를 복구를 위한 백업과 구분해 마련하는가?
- 유지보수 계약/SLA, 보증 조건, 관련 법규(전기/소방 등 안전 점검) 요구사항이 정의되고 준수 여부가 확인되는가?
- 유지보수 이후 장비의 정상 동작과 보안 설정(권한, 패치, 구성)이 훼손되지 않았는지 재점검하는가?
이행 지침
- 자산 목록을 기준으로 유지보수 대상 장비, 예방정비 주기, 책임자를 정의하고 제조사 권장 사양과 운영 중요도를 반영하여 유지보수 계획을 수립합니다.
- 예방정비(정기 점검, 소모품/부품 교체, 펌웨어 점검)와 교정정비(고장 대응, 수리, 교체)를 구분하여 절차와 승인 기준을 마련합니다.
- 유지보수는 자격을 갖춘 승인된 인원만 수행하도록 제한하고, 외부 기술자 작업 시 입회/감독, 접근 범위 최소화, 작업 전후 확인을 적용합니다.
- 외부 정비나 장비 반출 수리 전에는 저장된 민감 정보를 백업한 뒤 제거하거나 저장 매체를 분리하고, 그럴 수 없으면 암호화 및 기밀유지계약(NDA)으로 보호합니다.
- 원격 유지보수는 사전 승인, 최소 권한 계정, 암호화 연결, 세션 로깅/모니터링을 적용하고 작업 종료 후 접근 권한을 회수합니다.
- 유지보수 계약/SLA에 보안 요구사항(보증 범위, 대응 시간, 정보 보호 의무, 재위탁 통제)을 포함하고 이행 여부를 주기적으로 점검합니다.
- 유지보수 완료 후 장비가 정상 동작하는지, 보안 구성/패치/접근 권한이 유지되는지 확인하고 결과와 이력을 기록/보존합니다.
증적자료
- 유지보수 대상 자산 목록 및 유지보수 계획서/일정표(예방정비 주기 포함)
- 유지보수 이력대장/작업지시서/점검 체크리스트(수행자, 조치 내용, 교체 부품 등)
- 유지보수 계약서/SLA, 보증 문서, 외부 기술자 기밀유지계약(NDA)
- 외부 기술자 출입/입회 기록 및 접근 범위 승인 내역
- 원격 유지보수 접근 승인 기록 및 세션 로그
- 장비 반출 수리 시 데이터 백업/제거 확인 및 유지보수 후 정상 동작/보안 설정 재점검 기록
부적합 사례
- 중요 장비의 유지보수 주기가 정의되지 않았거나 예방정비가 지속적으로 지연되어 고장/성능 저하 위험이 방치된 경우
- 유지보수 이력이 기록되지 않거나 조치 내용/교체 부품 등이 누락되어 정비 이력을 추적할 수 없는 경우
- 외부 기술자가 입회/감독 없이 장비에 접근하여 저장된 민감 정보가 노출될 위험이 있는 경우
- 수리 반출 시 민감정보를 삭제하거나 매체를 분리하지 않고 적절한 암호화/접근 제한도 적용하지 않아 유출 위험을 남긴 경우
- 원격 유지보수 계정이 공용으로 사용되거나 세션이 로깅되지 않아 누가 무엇을 했는지 확인할 수 없는 경우
- 보증/SLA가 만료된 장비를 계약 갱신이나 대체 없이 방치하여 장애 발생 시 적시 복구가 어려운 경우