A.7.9
사외 자산 보안
물리적 통제확인사항 6증적 6사례 6
통제 목적
사외 자산 보안은 조직이 통제하는 시설(사무실, 전산실 등) 밖에서 사용되거나 보관되는 자산을 도난, 분실, 훼손, 무단 접근 및 열람으로부터 보호하기 위한 통제입니다. 노트북, 모바일 기기, 이동형 저장매체 등 반출되는 자산뿐 아니라 재택/원격/출장/현장 근무, 수리, 위탁, 임대 등을 위해 외부에 위치한 장비까지 대상으로 합니다. 조직이 물리적 환경에 대한 통제력을 온전히 행사하기 어려운 사외 상황에서도 정보의 기밀성/무결성/가용성이 유지되도록 하는 것이 목적입니다.
주요 확인사항
- 자산의 사외 반출을 사전에 승인/등록하고 반출자, 자산, 반출 기간, 목적을 기록/추적하는 절차가 마련되어 있는가?
- 외부 사용 노트북/모바일에 암호화, 강한 인증, 자동 잠금 등 필요한 보호를 적용하고, 원격 잠금/삭제는 지원 여부와 승인 범위에 맞게 준비하는가?
- 이동 중, 공공장소, 대중교통, 차량, 숙박시설 등에서 자산을 방치하지 않도록 하는 물리적 보호 지침이 있는가?
- 재택/원격/현장 근무자의 자산 취급 책임과 보안 준수 사항이 정의되어 있고, 근무자에게 전달되고 있는가?
- 외부 수리/위탁/임대와 폐기를 구분하여 정보 보호, 매체 분리 또는 삭제/파기 및 반환 확인 절차를 정하는가?
- 사외 자산의 분실/도난 발생 시 신고 및 대응(원격 잠금/삭제, 자격증명 폐기 등) 절차가 마련되어 있는가?
이행 지침
- 사외 반출 대상 자산과 반출 조건(승인권자, 허용 기간, 사용 범위)을 정책으로 정의하고, 반출입 대장 등으로 반출/회수 이력을 관리합니다.
- 외부 사용 기기와 매체에 암호화, 강한 인증, 자동 잠금을 적용합니다. 원격 위치 확인/잠금/삭제는 법적 권한, 기기 지원 및 연결 상태에 따라 사용하고, 명령 전송만으로 완료를 단정하지 않습니다.
- 공공장소, 대중교통, 차량, 숙박시설 등에서 자산을 방치하지 않도록 하고, 훔쳐보기 방지(화면 보호 필름)와 물리 잠금장치 사용을 권고합니다.
- 제조사 권고(온도, 습도, 충격, 전자기 노출 등)와 운송 중 손상 방지 지침을 반영하여 장비를 취급/운송합니다.
- 재택/원격/현장 근무 시 유의사항(신뢰할 수 없는 네트워크 회피, 안전한 보관, 가족 및 제3자 접근 차단)을 교육하고 취급 책임을 명확히 합니다.
- 외부 수리/위탁 전에는 필요한 백업을 한 뒤, 저장매체 분리, 데이터 삭제 또는 적절한 암호화와 접근 제한으로 정보를 보호합니다. 폐기/재사용 시에는 A.7.14의 검증된 삭제/파기 절차를 적용하며, 암호화가 켜져 있다는 사실만으로 삭제 완료를 판단하지 않습니다. 계약에는 보호 의무와 반환/처리 증빙을 포함합니다.
- 필요 시 보험 또는 책임 한도를 설정하고, 분실/도난 시 신고 창구와 원격 대응 절차를 사전에 정의합니다.
증적자료
- 사외 자산 반출입 승인 기록 및 반출입 대장
- 단말 암호화/MDM/EMM 정책 및 적용 현황(구성 화면, 등록 단말 목록)
- 원격/재택 근무 보안 지침 및 교육/서약 기록
- 수리/위탁 반출 시 데이터 삭제/암호화 확인서 및 위탁계약서
- 분실/도난 신고 및 대응(원격 잠금/삭제, 자격증명 폐기) 처리 기록
- 사외 반출 자산의 회수/반납 확인 기록
부적합 사례
- 노트북/모바일 기기를 승인/등록 없이 사외로 반출하여 반출 이력이 확인되지 않는 경우
- 외부 사용 기기에 필요한 암호화/인증/잠금과 분실 대응이 마련되지 않아 분실 시 정보가 노출될 수 있는 경우
- 재택/원격 근무자에 대한 자산 취급 지침이나 책임 규정이 없어 보호 수준이 개인 판단에 의존하는 경우
- 수리 반출 시 민감정보가 남은 저장매체를 분리하지도, 데이터를 삭제하지도 않고 적절한 암호화/접근 제한도 없이 외부자에게 제공하는 경우
- 사외 자산의 분실/도난에 대한 신고 및 대응 절차가 없어 사후 조치가 지연되는 경우
- 반출된 자산의 회수/반납 여부를 추적하지 않아 미반납 자산이 방치되는 경우