A.8.31
개발, 시험, 운영 환경 분리
기술적 통제확인사항 6증적 6사례 6
통제 목적
개발/시험/운영 환경을 물리적 또는 논리적으로 분리하여, 검증되지 않은 코드나 설정 변경이 통제 절차를 거치지 않고 운영 서비스에 반영되거나 운영 데이터가 보안 수준이 낮은 하위 환경으로 유출되는 것을 예방하기 위한 통제입니다. 환경 간 경계와 이관 절차를 명확히 하여 운영 시스템의 무결성 및 가용성을 보호하고, 개발/시험 과정에서 발생하는 실수나 무단 변경이 운영에 미치는 영향을 최소화합니다. 온프레미스뿐 아니라 클라우드/컨테이너/CI-CD 등 자동화된 배포 환경에서도 동일한 분리 원칙이 일관되게 유지되어야 합니다.
주요 확인사항
- 개발/시험/운영 환경이 물리적 또는 논리적(네트워크/시스템/계정)으로 분리되어 있는가?
- 환경 간 소프트웨어 및 변경사항 이관 절차(승인, 변경관리 연계, 무결성 검증, 롤백)가 정의되고 시행되는가?
- 개발/시험 데이터의 민감도를 낮추고, 실제 운영 데이터가 꼭 필요한 경우 적법한 근거와 별도 승인 및 보호조치로 통제하는가?
- 환경별 접근권한이 분리되고, 개발자의 운영 환경 직접 접근이 최소화되고 통제되는가?
- 운영 환경에서 컴파일러/개발도구/소스코드 등 불필요한 개발 요소가 제거되어 최소 구성으로 유지되는가?
- 클라우드/컨테이너/IaC/CI-CD 등 자동화 배포 환경에서도 환경 분리와 계정/시크릿 분리가 적용되는가?
이행 지침
- 개발/시험/운영 환경을 물리적으로 분리하거나, 별도의 네트워크 세그먼트/VPC/구독/프로젝트/네임스페이스 및 계정으로 논리적으로 분리합니다.
- 하위 환경에서 운영 환경으로 이관할 때는 변경관리와 연계하여 승인하고 기록하며, 배포 산출물의 무결성 검증(서명, 아티팩트 검증) 및 롤백 절차를 마련합니다.
- 개발자의 운영 환경 직접 접근을 원칙적으로 차단하고, 필요 시 최소 권한/한시적 권한을 부여하고 특권접근관리(PAM)로 통제하며 기록합니다.
- 합성/가공 시험 데이터를 우선 사용하고 재식별 위험을 검증합니다. 실제 운영 데이터를 예외적으로 사용해야 하면 A.8.33에 따라 필요성, 적법한 근거, 책임자 승인, 최소 범위/기간, 충분한 보호조치를 확인합니다.
- 환경을 명확히 식별할 수 있도록 접속 배너/화면 색상/호스트 네이밍 규칙 등을 적용하여 운영-시험 간 오조작을 방지합니다.
- 운영 환경에서는 컴파일러/디버깅 도구/개발용 계정/소스코드 등 불필요한 요소를 제거하여 공격 표면을 최소화합니다.
- 클라우드/IaC/CI-CD에서도 환경별 권한, 네트워크 경계, 비밀정보, 배포 권한을 분리하고 실제 차단 효과를 시험합니다. 동일 플랫폼을 사용하는 경우에도 개발 주체가 운영에 무단 접근하지 못하도록 하며 승인된 배포 경로만 허용합니다.
증적자료
- 개발/시험/운영 환경 분리 정책/절차 및 네트워크 구성도
- 환경별 접근권한 부여 목록 및 접근권한 검토 기록
- 환경 간 이관/배포 승인 기록(변경관리 연계) 및 롤백 절차 문서
- 시험 데이터 마스킹/가명화 처리 내역 및 사용 승인 기록
- 클라우드/IaC 환경 분리 설정(계정/VPC/네임스페이스/시크릿 분리) 증적
- 운영 환경의 불필요한 개발 요소 제거 및 필요한 실행 구성의 접근 보호 점검 결과
부적합 사례
- 개발/시험/운영이 동일한 서버 또는 동일 네트워크 세그먼트에서 분리 없이 운영되는 경우
- 개발자의 상시 운영 접근에 업무상 근거, 최소 권한, 승인과 활동 검토가 없어 무단 변경 위험이 통제되지 않은 경우
- 운영 데이터를 시험 환경에 복제하면서 가공하지 않았고, 승인된 예외에 필요한 적법한 근거와 보호조치도 없는 경우
- 변경관리 승인 없이 개발자가 소스코드나 설정을 운영 환경에 직접 반영(핫픽스)하는 경우
- 실행에 필요하지 않은 개발 도구/소스/저장소 자료가 운영에 남아 있거나 필요한 실행 파일에 대한 접근이 보호되지 않은 경우
- 공유 클라우드 환경의 권한/네트워크 분리가 미흡하거나 자격증명을 공용으로 사용하여 개발에서 운영으로 무단 접근할 수 있는 경우