A.7.6
보안구역 내 작업
물리적 통제확인사항 6증적 6사례 6
통제 목적
보안구역(전산실, 통신실, 자료보관실, 데이터센터 등) 안에서 이루어지는 유지보수, 공사, 설치, 청소, 방문, 반출입 등 각종 작업이 통제되지 않은 상태로 진행될 때 발생할 수 있는 정보 유출, 훼손, 무단 조작, 서비스 중단을 예방하는 것이 목적입니다. 출입통제나 경계 같은 물리 보안 장치가 갖춰져 있어도 실제 작업 시점에는 인가받지 않은 행위나 촬영, 매체 반입, 임의 설정 변경이 일어날 수 있습니다. 따라서 조직은 작업을 사전에 승인하고 작업 중에 감독하며 작업 기록을 보관하여, 작업 중에도 보안 수준이 유지되도록 해야 합니다. 이 통제는 사람과 장비가 보안구역에 실제로 개입하는 순간의 위험을 관리하여 물리 보안 체계의 실효성을 보완합니다.
주요 확인사항
- 보안구역별로 허용되는 작업 유형, 승인권자, 작업 가능 시간대 등을 정의한 작업 통제 절차가 마련되어 있는가?
- 보안구역 내 작업이 사전 신청/승인 절차를 거쳐 수행되며, 작업 목적/범위/인원/사용 장비가 기록으로 관리되는가?
- 외부 유지보수 인력 등 외부 작업자에 대해 신원 확인, 임시 출입증 발급, 상시 동행/감독이 이루어지는가?
- 작업 중 촬영, 저장매체/휴대기기 반입, 무단 네트워크 연결 등 위험 행위에 대한 준수사항을 사전에 고지하고 해당 행위를 통제하고 있는가?
- 무인 상태에서 하는 단독 작업이 제한되고, 취약 시간대(업무 외 시간 등) 작업에 대한 추가 통제가 적용되는가?
- 작업 완료 후 반입 장비/매체의 반출 확인, 임시 변경 사항의 원상복구, 작업 기록 검토가 수행되는가?
이행 지침
- 보안구역별로 허용 작업 유형, 승인권자, 작업 가능 시간대, 필수 준수사항을 문서화하고 구역 특성에 맞게 통제 강도를 차등 적용합니다.
- 작업 신청서에 작업 목적, 범위, 참여 인원, 반입 장비/매체, 예상 소요시간을 기재하도록 하고 작업 전 승인을 받은 뒤에만 진행하도록 합니다.
- 외부 작업자에게는 신원 확인 후 임시 출입증을 발급하고, 담당자의 상시 동행/감독하에서만 작업하도록 하며 작업 종료 시 출입증을 회수합니다.
- 카메라/휴대기기/저장매체 반입 제한, 촬영 금지, 임의 네트워크 연결 및 시스템 조작 금지 등 작업 중 준수사항을 사전 고지하고 위반 시 조치 기준을 정합니다.
- 단독 작업은 구역의 정보보안 위험과 작업 안전에 따라 제한합니다. 위험한 작업이나 취약 시간대에는 2인 작업, 사전 승인, 원격 감시, 정기 연락 등 적절한 통제를 정하고, 허용 조건과 비상 대응을 기록합니다.
- 작업 종료 시 반입 장비/매체의 반출을 확인하고, 작업 중 임시로 부여한 권한과 변경한 설정을 원상복구하며, 작업 기록(신청서, 출입 로그, CCTV 등)을 검토해 이상 여부를 확인합니다.
- 정기 점검 등 반복 작업에 대해서는 표준 작업 절차와 승인 방식을 정형화하고, 작업 결과와 특이사항을 기록해 개선에 반영합니다.
증적자료
- 보안구역 작업 통제 절차서/지침(허용 작업, 승인권자, 준수사항 등)
- 작업 신청/승인 기록(전자결재 포함) 및 작업 결과 확인서
- 외부 작업자 신원 확인 자료, 임시 출입증 발급/회수 대장, 동행/감독 기록
- 작업 시 반입/반출 장비 및 저장매체 관리 대장
- 작업 구간 CCTV 영상, 출입 로그, 취약 시간대 작업 승인 기록
- 임시 권한/설정 부여 및 원상복구 확인 기록
부적합 사례
- 유지보수 업체가 사전 신청/승인 없이 전산실에 들어가 작업을 수행하는 경우
- 외부 작업자가 담당자 동행/감독 없이 단독으로 서버실에 출입해 작업하는 경우
- 작업 신청서에 반입한 노트북/저장매체 기록이 없어 작업 종료 시 반출 여부를 확인할 수 없는 경우
- 작업 중 임시로 개방한 방화벽 정책이나 부여한 계정 권한이 작업 완료 후 원상복구되지 않는 경우
- 보안구역 내 촬영 금지 규정이 있으나 작업자의 휴대폰 촬영이 실제로는 통제되지 않는 경우
- 심야 시간대 무인 상태에서 단독 작업이 이루어졌으나 이를 제한하거나 감독하는 통제가 없는 경우