A.8.1
사용자 엔드포인트 기기
기술적 통제확인사항 6증적 6사례 6
통제 목적
노트북, 스마트폰, 태블릿을 분실하거나 기기가 침해되면 저장된 업무정보와 연결된 시스템이 위험해질 수 있습니다. 이 통제는 단말에 보관할 수 있는 정보와 필요한 보호를 사전에 정하고, 등록, 구성, 사용자 책임을 관리하는 데 목적이 있습니다. 기기를 손에 넣은 사람이 곧바로 정보에 접근할 수 있는 것은 아니며, 암호화, 잠금, 인증과 세션 보호가 실제 접근 가능성을 좌우합니다. 외부 환경과 기기 특성에 맞는 정책과 기술적 보호를 함께 적용합니다.
주요 확인사항
- 사용자 엔드포인트 기기의 안전한 구성 및 사용을 규정한 정책이 있고, 사용자가 자신의 책임을 인지하도록 하고 있는가?
- 조직 정보에 접근하는 엔드포인트 기기를 등록/식별하고, 소유 형태(회사 지급 / 개인 소유(BYOD))를 구분하여 관리하는가?
- 디스크 암호화, 화면 잠금, 악성코드 방어, 패치 적용, 미인가 소프트웨어 제한 등 기술적 기준선을 엔드포인트에 적용하는가?
- 분실/도난 신고와 접근 차단 절차를 마련하고, 원격 잠금/삭제는 기기 지원 여부와 승인 범위에 맞게 적용하고 결과를 확인하는가?
- BYOD의 경우 업무 데이터와 개인 데이터를 분리하고, 지식재산권/라이선스/사생활 보호 등을 사용자 동의하에 다루는가?
- 공용 네트워크 접속이나 원격근무 등 네트워크 위치/신뢰 수준에 따라 정보 접근과 기기 사용을 통제하는가?
이행 지침
- 등록, 허용 용도, 최소 보안 구성, 사용자 의무를 포함한 엔드포인트 기기 정책을 수립하고 사용자 확인/서명을 받습니다.
- MDM/UEM 등 엔드포인트 관리수단으로 기술적 기준선(저장매체 암호화, 자동 화면 잠금, 강화된 인증, 패치, 악성코드 방어)을 강제 적용합니다.
- 미인가 소프트웨어 설치를 제한하고 관리자 권한을 통제하며, BYOD는 컨테이너화/프로파일로 업무와 개인 영역을 분리합니다.
- 분실/도난 신고를 사고 대응(A.5.24)과 연결하고 세션/토큰 회수 등 신속한 접근 차단을 준비합니다. 원격 잠금/삭제를 적용할 때는 기기의 지원 여부와 연결 상태를 고려하고, BYOD에서는 승인된 업무정보 범위와 필요한 법적 권한을 확인하여 개인 콘텐츠를 보호합니다.
- 최소권한을 적용하고, 위험이 높은 경우 중앙집중/가상 접근을 활용해 민감정보를 로컬에 저장하지 않도록 하며, 신뢰할 수 없는 공용망 접속을 통제합니다.
- 사용 종료 시 안전한 반납/삭제(A.8.10)와 접근권한 회수를 수행하고, 오프사이트 기기의 물리적 보호(A.7.9)를 확보합니다.
증적자료
- 엔드포인트 기기 보안정책 / 허용 가능한 사용정책 및 사용자 확인(서명) 기록
- 엔드포인트/기기 자산목록(BYOD 포함)과 소유 형태/할당 현황
- MDM/UEM 구성 화면: 암호화, 화면 잠금, 패치 상태, 애플리케이션 통제
- 분실/도난 신고 기록 및 원격 잠금/삭제 실행 로그
- 사용 종료/퇴직 시 안전한 삭제/반납 및 권한 회수 기록
- 업무/개인 영역 분리, 사생활 보호, 지식재산권/라이선스를 다룬 BYOD 동의서
부적합 사례
- 민감정보가 저장된 노트북이 암호화되어 있지 않아 분실/도난 시 정보가 노출되는 경우
- 엔드포인트 기기가 등록/식별되지 않아 관리되지 않는 기기가 조직 정보에 접근하는 경우
- 분실 기기의 신고/접근 차단 절차가 없거나 작동하지 않고, 원격 잠금/삭제를 할 수 없을 때의 대안도 마련되지 않은 경우
- BYOD 기기가 개인 영역과 분리되지 않은 채 업무 데이터에 접근하며 사용자 동의 절차도 없는 경우
- 엔드포인트 패치 및 악성코드 방어가 일관되게 적용되지 않아 기기가 장기간 미패치 상태로 방치되는 경우
- 사용자에게 로컬 관리자 권한이 부여되어 있고, 사용자가 미인가 소프트웨어를 자유롭게 설치해 기준선이 무력화되는 경우