A.7.3
사무실, 공간 및 설비 보안
물리적 통제확인사항 6증적 6사례 6
통제 목적
사무실, 작업실, 설비 등 정보와 정보처리 활동이 이루어지는 개별 공간 자체에 물리적 보안을 설계하고 적용하여, 인가되지 않은 접근/열람/훼손과 정보의 외부 노출을 막는 것이 목적입니다. 물리적 보안 경계(A.7.1)가 구역 전체를 둘러싼다면, 본 통제는 그 경계 안의 각 공간에서 다루는 정보의 민감도에 맞게 배치/차폐/노출 최소화를 구현하도록 요구합니다. 이렇게 하면 중요 설비의 위치와 내부 활동이 외부인에게 쉽게 드러나지 않고, 각 공간의 보호 수준도 그 안에 있는 자산의 가치에 비례하게 유지됩니다.
주요 확인사항
- 사무실/작업실/설비의 물리적 보안 요구수준을 해당 공간에서 다루는 정보의 민감도와 위험 평가 결과에 맞춰 정의하고 설계에 반영하였는가?
- 전산실/통신실/문서고 등 중요 설비를 외부인 및 일반 통행 동선에서 벗어난 위치에 배치하고, 일반 사무 공간과 구분하고 있는가?
- 안내판/디렉터리/표지/도어사인/공개 자료 등이 중요 정보처리 설비의 위치와 용도를 불필요하게 노출하지 않는가?
- 창문/유리벽/개방 공간 등을 통해 외부에서 내부의 화면/문서/작업 내용이 관찰되거나 대화가 청취되지 않도록 조치하였는가?
- 무인 시간대 및 근무 외 시간에 사무실과 설비를 잠금/봉인 상태로 유지하고, 그 상태를 점검하는 절차가 있는가?
- 화재, 침수, 폭발, 소요/폭동 등 자연재해 및 인적재해를 고려하여 중요 공간의 위치 선정과 내부 설계가 이루어졌는가?
이행 지침
- 각 사무실/작업실/설비에서 다루는 정보의 민감도를 기준으로 물리적 보안 요구수준을 정하고, 공간별 보호 조치와 책임을 문서화합니다.
- 전산실/통신실/문서고 등 중요 설비는 외부인 접근이 잦은 로비/접수처/공용 통로에서 떨어진 위치에 두고, 일반 업무 공간과 별도로 격리합니다.
- 외부 표지판, 층별 안내, 출입문 명칭과 공개 자료에서 중요 시설의 위치와 용도가 불필요하게 노출되는 것을 줄입니다. 소방, 대피, 작업 안전 및 긴급 대응에 필요한 표지는 유지합니다.
- 외부에서 내부가 들여다보이는 창문/유리벽에는 블라인드나 필름, 파티션을 적용하고, 민감한 논의가 이루어지는 공간은 방음과 차폐를 고려하여 배치합니다.
- 근무 외 시간과 무인 시간대에는 사무실/설비를 잠금 상태로 유지하고, 열쇠, 출입매체, 잠금 상태를 정기적으로 점검하여 이상이 있으면 시정합니다.
- 중요 공간은 침수 우려가 있는 지하/최상층, 외벽에 인접한 취약 위치, 위험물 보관 구역 인근 등을 피해 배치하고, 화재/누수 감지 및 공조/전력 설비를 함께 고려하여 설계합니다.
- 사무실/설비의 신설/이전/용도 변경 시 물리적 보안 요구수준을 재평가하고, 배치도, 공간 목록, 보호 조치 문서를 갱신합니다.
증적자료
- 공간별 물리적 보안 요구수준 정의 및 보호 조치 지침
- 시설 배치도(중요 설비 위치 및 일반 공간과의 구분 표시)와 공간/설비 목록
- 안내판/디렉터리/도어사인 표기 기준 및 현황 자료
- 창문/유리벽 차폐, 방음/파티션 등 노출 방지 조치 현황
- 무인 시간대 사무실/설비 잠금 점검 체크리스트 및 점검 기록
- 공간 신설/이전/용도 변경 시 보안 요구수준 재평가 및 승인 문서
부적합 사례
- 전산실이 로비/접수처 바로 옆에 있어 외부인이 상시 근접할 수 있고 일반 공간과 구분되지 않는 경우
- 필요성과 위험을 검토하지 않은 외부 안내 자료에 중요 시설의 상세 위치와 접근 정보가 과도하게 공개된 경우
- 도로에 면한 대형 유리벽을 통해 업무 화면과 문서가 외부에서 관찰 가능한데 차폐 조치가 없는 경우
- 근무 외 시간에 문서고/작업실이 잠기지 않은 채 방치되고 잠금 상태 점검 절차가 없는 경우
- 중요 설비를 침수 이력이 있는 지하층에 두고도 누수/화재 감지 설비를 고려하지 않은 경우
- 사무실 이전 후 물리적 보안 요구수준 재평가와 배치도 갱신이 이루어지지 않아 문서와 실제가 불일치하는 경우