A.8.21
네트워크 서비스 보안
기술적 통제확인사항 6증적 6사례 6
통제 목적
조직이 사용하는 네트워크 서비스(내부에서 운영하거나 외부 공급자로부터 제공받는 회선, 연결성, VPN, DNS, 방화벽/IPS, 부하분산, DDoS 방어, 관리형 보안 서비스 등)의 보안 기능, 서비스 수준, 서비스 요구사항을 명확히 식별하고 구현하며 지속적으로 모니터링하기 위한 통제입니다. 네트워크 서비스는 업무 시스템의 가용성과 전송 정보의 기밀성/무결성을 좌우하므로, 각 서비스에 요구되는 보안 특성과 성능/가용성 수준을 사전에 정의하고 계약 또는 내부 기준에 반영해야 합니다. 또한 제공되는 보안 기능이 실제로 이행되고 합의된 수준을 충족하는지 정기적으로 검증하여, 서비스 저하나 보안 기능 미이행으로 인한 위험을 통제해야 합니다.
주요 확인사항
- 조직이 이용하는 네트워크 서비스(내부 제공/외부 위탁 포함)의 목록과 각 서비스의 보안 기능/요구사항이 식별되어 관리되고 있는가?
- 각 네트워크 서비스에 요구되는 보안 특성(인증, 암호화, 필터링, 격리 등)과 서비스 수준(가용성, 대역폭, 장애 복구 시간 등)이 정의되고 합의되어 있는가?
- 외부 공급자가 제공하는 네트워크 서비스의 보안 기능/서비스 수준(SLA)이 계약/협약에 명시되고, 재위탁 및 책임 범위가 규정되어 있는가?
- 네트워크 서비스의 보안 기능이 실제 설정/운영에 구현되어 있고, 서비스 수준 충족 여부가 모니터링되고 있는가?
- 네트워크 서비스 이용 시 접근 권한(어떤 사용자/시스템이 어떤 서비스를 이용하는지)이 최소 권한으로 통제되는가?
- 서비스 저하, 장애, 보안 기능 미이행 등 이상 상황에 대한 탐지/보고/대응 절차가 마련되어 있는가?
이행 지침
- 조직이 사용하는 모든 네트워크 서비스(전용회선/MPLS, 인터넷 회선, VPN, DNS, 방화벽/IPS, 부하분산, DDoS 방어, 클라우드 연결, 관리형 보안 서비스 등)를 목록화하고, 서비스별로 필요한 보안 기능과 서비스 요구사항을 정의합니다.
- 서비스별로 요구되는 보안 특성(전송 암호화, 상호 인증, 접근 필터링, 트래픽 격리, 로깅 제공 등)과 서비스 수준 목표(가용성, 대역폭, 지연, 장애 복구 시간, 지원 시간대)를 문서화하고 위험도에 맞게 설정합니다.
- 외부 공급자로부터 제공받는 네트워크 서비스의 계약/SLA에는 보안 기능, 서비스 수준, 책임 범위, 재위탁 조건, 침해/장애 통지 의무, 감사/보고 권한을 명시하고, 종료 시 연결 해지 및 자료 반환 절차도 포함합니다.
- 정의된 보안 기능이 실제 구성(예: VPN 암호 스위트, 방화벽 서비스 정책, DNS 보안 설정)에 반영되었는지 검증하고, 네트워크 서비스별로 어떤 사용자/시스템이 이용할 수 있는지 최소 권한 원칙에 따라 통제합니다.
- 가용성/성능 지표, 보안 이벤트, SLA 리포트로 서비스 수준 및 보안 기능 이행 여부를 지속적으로 모니터링하고, 합의 수준에 미달하면 시정 요구 및 에스컬레이션 절차를 운영합니다.
- 신규 네트워크 서비스 도입 또는 변경 시 보안 요구사항 검토와 변경관리(A.8.32) 절차를 적용하고, 서비스 목록/요구사항/계약을 주기적으로 재검토하여 최신 상태로 유지합니다.
증적자료
- 네트워크 서비스 목록 및 서비스별 보안 기능/요구사항 정의서
- 서비스 수준(가용성/대역폭/복구 시간 등) 및 보안 특성 정의 문서
- 외부 네트워크 서비스 계약서/SLA 및 보안 요구사항 명시 내역(재위탁/통지/감사 조항 포함)
- 보안 기능 구현 검증 내역(VPN/방화벽/DNS 등 설정 스냅샷, 점검 결과)
- 서비스 수준/보안 기능 모니터링 리포트 및 미달 시 시정 요구/에스컬레이션 기록
- 네트워크 서비스 신규 도입/변경에 대한 보안 검토 및 변경관리 기록
부적합 사례
- 조직이 사용하는 네트워크 서비스의 보안 기능/요구사항이 식별되지 않아, 각 서비스에 어떤 보안 특성이 필요한지 정의되어 있지 않은 경우
- 외부 공급자와의 계약/SLA에 보안 기능이나 서비스 수준이 명시되지 않아 이행 여부를 확인할 수 없는 경우
- 정의된 보안 기능(예: 전송 암호화, 접근 필터링)이 실제 서비스 설정에 반영되지 않은 경우
- 네트워크 서비스의 가용성/성능 및 보안 기능 이행이 모니터링되지 않아 서비스 저하나 미이행을 인지하지 못하는 경우
- 외부 공급자의 재위탁, 침해/장애 통지 의무, 책임 범위가 규정되지 않아 사고 발생 시 대응 근거가 없는 경우
- 신규 네트워크 서비스를 도입하면서 보안 요구사항 검토 없이 연결해 통제되지 않은 경로가 생긴 경우