A.8.34
감사 시험 중 정보시스템 보호
기술적 통제확인사항 6증적 6사례 6
통제 목적
운영 중인 정보시스템을 대상으로 하는 감사, 취약점 점검, 침투 시험, 기술적 준거성 검토 등 각종 점검/보증 활동이 서비스 중단, 데이터 훼손, 민감정보 노출을 유발하지 않도록, 이러한 활동을 사전에 계획하고 합의된 범위 내에서 수행하게 하는 통제입니다. 점검 대상, 시기, 방법, 접근 권한을 대상 시스템 책임자와 합의하고, 가능한 경우 읽기 전용 접근으로 제한하며, 점검용 계정/도구와 점검 중 접근 활동을 기록하고 관리하도록 요구합니다. 이로써 점검 활동 자체가 운영 안정성과 정보 보호를 훼손할 위험을 최소화하는 것을 목표로 합니다.
주요 확인사항
- 운영 시스템을 대상으로 하는 감사/취약점 점검/침투 시험 등의 활동이 사전에 계획되고, 대상 시스템 책임자와 범위/시기/방법/접근 권한을 합의하는가?
- 점검 시 운영 시스템 및 데이터에 대한 접근이 목적에 필요한 최소 범위로 제한되고, 가능하면 읽기 전용 접근이나 격리된 복제본을 사용하는가?
- 점검용 임시 계정 및 점검 도구에 부여된 권한이 목적에 한정되고, 점검 종료 후 계정/임시 접근 권한/도구가 회수 및 제거되는가?
- 점검 중 발생한 접근 및 수행 내역이 로그로 기록되고 모니터링되어 사후 검증이 가능한가?
- 성능/가용성/무결성에 영향을 줄 수 있는 시험(부하 유발, 스캔, 변경 유발 등)은 영향도 평가와 승인을 거쳐 저부하 시간대 등 통제된 조건에서 수행되는가?
- 점검으로 취득한 데이터/결과/증적이 접근통제된 상태로 안전하게 보관되고 보존 기간 경과 시 파기되는가?
이행 지침
- 운영 시스템을 대상으로 하는 감사/보증 활동(내부/외부 심사, 취약점 진단, 모의해킹, 준거성 점검 등)의 요청, 범위, 일정, 접근 권한, 책임자, 비상 연락 체계를 사전에 합의하고 문서화합니다.
- 최소 권한과 읽기 전용을 기본으로 하고 쓰기/변경 시험은 가능한 경우 격리된 복제본이나 시험 환경에서 수행합니다. 운영에서 수행해야 하는 경우 시스템 책임자의 명시적 승인을 받고 범위 제한, 감시, 중단 기준과 복구 절차를 마련합니다.
- 점검용 임시 계정과 도구에 유효기간과 사용 범위를 지정하고, 점검 종료 후 즉시 회수/삭제하여 계정이나 도구가 운영 시스템에 잔류하지 않도록 합니다.
- 점검 중 접근 및 수행 명령을 로깅하고 모니터링하며(A.8.15, A.8.16), 이상 징후나 장애 발생 시 즉시 중단하거나 롤백할 수 있는 절차를 마련합니다.
- 성능/가용성에 영향을 줄 수 있는 시험(부하 시험, 대량 스캔, 취약점 익스플로잇 등)은 영향도 평가와 승인 후 저부하 시간대나 사전에 합의된 점검 시간대에 수행합니다.
- 취득한 운영 데이터, 결과와 증거는 필요한 최소 범위만 접근통제된 저장소에 보관합니다. 보존 기간 종료 시 법적 보존 의무나 필요한 조사 보존 여부를 확인하고, 더 이상 근거가 없으면 안전하게 삭제하고 삭제 내역을 기록합니다.
증적자료
- 감사/점검 계획서 및 대상 시스템 책임자와의 범위/일정/접근 권한 합의 기록
- 점검용 임시 계정 발급/권한 부여 및 점검 종료 후 회수/삭제 기록
- 점검 중 접근/수행 로그 및 모니터링 기록
- 영향도 평가 및 부하/변경 유발 시험에 대한 승인 기록
- 점검 도구 목록 및 점검 후 도구 제거 확인 기록
- 점검 결과 보고서, 취득 데이터 보관/파기 기록
부적합 사례
- 운영 시스템에 대한 취약점 점검이나 모의해킹을 사전 합의/승인 없이 수행하여 서비스 장애를 유발한 경우
- 점검용으로 발급한 임시 계정이나 설치한 점검 도구가 점검 종료 후에도 회수/제거되지 않고 운영 시스템에 잔류한 경우
- 점검 시 운영 데이터에 대해 필요 이상의 쓰기/변경 권한이 부여되어 데이터가 훼손된 경우
- 점검 중 접근 및 수행 내역이 로깅되지 않아 사후에 무엇을 점검했는지 확인할 수 없는 경우
- 부하를 유발하는 시험을 영향도 평가 없이 업무 시간에 수행하여 성능 저하나 서비스 중단이 발생한 경우
- 점검으로 취득한 데이터/결과를 접근통제 없이 보관하거나 보존 근거가 사라졌는데도 삭제하지 않아 유출 위험을 남긴 경우