ISMS-P 인증 기준 2.10.1.보안시스템 운영
From CS Wiki
- 영역: 2.보호대책 요구사항
- 분류: 2.10.시스템 및 서비스 보안관리
개요
| 항목 | 2.10.1.보안시스템 운영 |
|---|---|
| 인증기준 | 보안시스템 유형별로 관리자 지정, 최신 정책 업데이트, 룰셋 변경, 이벤트 모니터링 등의 운영절차를 수립·이행하고 보안시스템별 정책적용 현황을 관리하여야 한다. |
| 주요 확인사항 |
|
세부 설명
- 조직에서 운영하고 있는 보안시스템에 대하여 다음 내용을 포함한 운영절차를 수립·이행하여야 한다.
- 보안시스템 유형별 책임자 및 관리자 지정
- 보안시스템 정책(룰셋 등) 적용(등록, 변경, 삭제 등) 절차
- 최신 정책 업데이트 방안 : IDS, IPS 등의 보안시스템의 경우 새로운 공격기법을 탐지하기 위한 최신 패턴(시그너처) 및 엔진의 지속적 업데이트
- 보안시스템 이벤트 모니터링 절차(정책에 위배되는 이상징후 탐지 및 확인 등)
- 보안시스템 접근통제 정책(사용자 인증, 관리자 단말 IP 또는 MAC 등)
- 보안시스템 운영현황의 주기적 점검
- 보안시스템 자체에 대한 접근통제 방안 등
- ※ 보안시스템 유형(예시)
- 네트워크 보안시스템 : 침입차단시스템(방화벽), 침입방지시스템(IPS), 침입탐지시스템(IDS), 네트워크 접근제어(NAC), DDoS대응시스템 등
- 서버 보안시스템 : 시스템 접근제어, 보안운영체제(SecureOS)
- 데이터베이스 보안시스템 : 데이터베이스 접근제어
- 정보유출 방지시스템 : Network DLP(Data Loss Prevention), Endpoint DLP 등
- 개인정보보호 시스템 : 개인정보 검출솔루션, 출력물 보안 등
- 암호화 솔루션 : 데이터베이스암호화, DRM 등
- 악성코드 대응 솔루션 : 백신, 패치관리시스템(PMS) 등
- 기타 : VPN, APT대응솔루션, SIEM(Security Incident & Event Monitoring), 웹방화벽 등
- 강화된 사용자 인증(OTP 등), 관리자 단말 IP 또는 MAC 접근통제 등의 보호대책을 적용하여 보안시스템 관리자 등 접근이 허용된 인원 이외의 비인가자 접근을 엄격히 통제
- 주기적인 보안시스템 접속로그 분석을 통하여 비인가자에 의한 접근시도 여부 점검
- 방화벽, DLP 등 보안시스템별 정책 등록, 변경, 삭제를 위한 신청 및 승인 절차
- 책임추적성을 확보할 수 있도록 보안시스템 정책 신청·승인·적용 기록 보존
- 보안시스템 정책(룰셋) 적용 시 고려사항
- 최소권한의 원칙에 따라 업무상 필요한 최소한의 권한만 부여
- 네트워크 접근통제 정책은 전체 차단을 기본으로 하되 업무상 허용하여야 하는 IP와 Port만개별적으로 추가하여 관리
- 보안정책 설정 시 목적에 따라 사용기간을 한정하여 적용
- 보안정책의 등록·변경은 공식적인 절차를 통하도록 관리 등
- 신청사유의 타당성 검토
- 보안성 검토 : 예외 정책에 따른 보안성 검토 및 보완대책 마련
- 예외 정책 신청·승인 : 보안시스템별로 책임자 또는 담당자 승인
- 예외정책 만료 여부 및 예외 사용에 대한 모니터링 등
- 내부 보안정책·지침 위배(과다 허용 규칙 등)
- 공식적인 승인절차를 거치지 않고 등록된 정책
- 장기 미사용 정책
- 중복 또는 사용기간 만료 정책
- 퇴직 및 직무변경자 관련 정책
- 예외 관련 정책 등
- 개인정보보호 관련 법령에서 요구하는 접근통제 시스템 필수 요구 기능
증거 자료
- 보안시스템 구성
- 보안시스템 운영절차
- 방화벽 정책
- 방화벽 정책 설정/변경 요청서
- 보안시스템 예외자 목록
- 보안시스템별 관리 화면(방화벽, IPS, 서버접근제어, DLP, DRM 등)
- 보안시스템 정책 검토 이력
결함 사례
- 침입차단시스템 보안정책에 대한 정기 검토가 수행되지 않아 불필요하거나 과도하게 허용된 정책이 다수 존재하는 경우
- 보안시스템 보안정책의 신청, 변경, 삭제, 주기적 검토에 대한 절차 및 기준이 없거나, 절차는 있으나 이를 준수하지 않은 경우
- 보안시스템의 관리자 지정 및 권한 부여 현황에 대한 관리감독이 적절히 이행되고 있지 않은 경우
- 내부 지침에는 정보보호담당자가 보안시스템의 보안정책 변경 이력을 기록·보관하도록 정하고 있으나, 정책관리대장을 주기적으로 작성하지 않고 있거나 정책관리대장에 기록된 보안 정책과 실제 운영 중인 시스템의 보안정책이 상이한 경우
같이 보기
참고 문헌
- 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)
