- 접견구역, 제한구역, 통제구역 등으로 물리적 보호구역을 지정

  - 보호구역의 용어와 구분은 조직의 환경에 맞게 선택

    ※ 물리적 보호구역(예시)

      - 접견구역:  외부인이 별다른 출입증 없이 출입이 가능한 구역(예: 접견장소 등)

      - 제한구역:  비인가 접근을 방지하기 위하여 별도의 출입통제 장치 및 감시시스템이 설치된 장소로 출입 시 직원카드와 같은 출입증이 필요한 장소(예: 부서별 사무실 등)

      - 통제구역:  제한구역의 통제항목을 모두 포함하고 출입자격이 최소인원으로 유지되며 출입을 위하여 추가 절차가 필요한 곳(예: 전산실, 통신장비실, 관제실, 공조실, 발전실, 전원실 등)

  - 콜드-핫 월렛 관련 보관, 금고, 월렛 사용을 위한 공간 등 중요 통제구역을 일반 업무/보호구역과 별도로 분리하고, 통제구역으로 지정 및 관리

  - 구역별로 출입통제 방식(ID카드, 생체인식 등), 출입 가능자, 출입 절차, 영상감시 등 보호대책 적용

  - 통제구역은 조직 내부에서도 출입 인가자를 최소한으로 제한하고 있으므로 필요시 통제구역임을 표시하여 접근시도 자체를 원천적으로 차단하고 불법적인 접근시도 여부를 주기적으로 검토

  - 출입구에 CCTV 설치

  - 월렛룸 출입부터 금고까지의 접근 권한 최소화 및 권한 분산

    : Ex) 출입권한 보유자, 금고열쇠 보유자, 금고번호 보유자 분산

  - 출입통제장치를 통한 출입 기록

  - 금고관리대장을 통한 금고열람 기록

  - 보호구역별로 출입 가능한 부서· 직무· 업무를 정의, 출입권한이 부여된 임직원 식별하고 그 현황을 관리

  - 통제구역의 경우 업무목적에 따라 최소한의 인원만 출입할 수 있도록 통제

  - 출입절차 : 출입신청, 책임자 승인, 출입권한부여 및 회수, 출입내역 기록, 출입기록 정기적 검토 등

  - 출입통제 장치 설치 : 비밀번호 기반, ID카드 기반, 생체정보 기반 등

  - 출입통제 절차 수립· 운영 : 출입자 등록· 삭제, 출입권한 관리, 방문자 관리, 출입대장 관리 등

  - 출입자에 대한 최소 권한 부여

  - 출입권한 부여는 출입권한을 보유한 인원이 부여

  - 출입기록을 일정기간 보존하여 사후 모니터링이 가능하도록 문서적 또는 전자적으로 보존

  - 출입기록 및 출입권한 검토 : 장기 미출입자, 비정상적인 출입 시도, 출입권한 과다부여 여부 등

  - 비인가자 출입 시도, 장기 미출입자 등을 확인하여 그 사유를 확인하고 조치

  - 주기적 검토를 통하여 퇴직자 출입증 회수 및 출입권한 삭제, 직무변경에 따른 출입권한 조정

  - 시스템적으로 출입로그를 남길 수 없는 경우 출입대장을 작성하여 출입기록 확인

  - 출입관리시스템, CCTV, 출입관리대장의 정상 기록 여부 및 출입 기록 일치성 점검

  - 비인가 출입 시도 이력 점검

  - 출입권한 최소부여 및 적절성 점검

  - 정보시스템, 개인정보처리시스템, 네트워크 장비, 보안시스템, 백업 장비 등 정보시스템의 특성에 따라 전산랙을 이용하여 시스템을 외부로부터 보호

  - 개인정보처리시스템 등 중요도가 높은 경우에는 최소한의 인원만 접근이 가능하도록 전산랙에 잠금 장치 설치, 별도의 물리적 안전장치가 있는 케이지(cage) 등에서 관리

  - 보안사고, 장애 발생 시 신속한 조치를 위한 물리적 배치도(시설 단면도, 배치도 등), 자산목록 관리

  - 자산목록 등에 물리적 위치 항목을 포함하고 현행화하여 최신본 유지

  - 물리적으로 구분· 배선, 식별 표시, 상호 간섭 받지 않도록 거리 유지, 케이블 매설 등 조치 

  - 배전반, 강전실, 약전실 등에는 인가된 최소한의 인력만 접근할 수 있도록 접근통제

 ※ 물리적 보호설비(예시)

  - 온· 습도 조절기(항온항습기 또는 에어컨)

  - 화재감지 및 소화설비

  - 누수감지기

  - UPS, 비상발전기

  - 전압유지기, 접지시설

  - 이중전원선

  - 침입 경보기

  - CCTV

  - 출입통제시스템(ID카드, 생체인식, 무게감지 등)

  - 비상등, 비상로 안내표지 등

 - 정보보호 관련 법규 준수, 화재, 전력 이상 등 재난· 재해 대비, 출입통제, 자산 반출입 통제, 영상감시 등 물리적 보안통제 적용 및 사고 발생 시 손해 배상에 관한 사항 등

 - IDC의 책임보험 가입여부 (미가입 시 1천만원2천만원(개정 23.11.23.) 이하의 과태료 부과)

  ※ 집적정보통신시설 관련 참고 법령 및 고시

   - 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제46조(집적된 정보통신시설의 보호)

   - 정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령 제38조(보험가입)

   - 집적정보통신시설 보호지침

   - 방송통신발전 기본법 제35조의3(통신시설의 등급 지정), 제36조(방송통신재난관리기본계획의 수립절차), 제36조의2(방송통신재난관리계획의 이행)

   - 방송통신발전 기본법 시행령 제23조(주요방송통신사업자), 제23조의3(통신시설의 등급 분류기준 등)

   - 주요통신사업자의 통신시설 등급 지정 및 관리 기준

(개정 23.11.23) 

  - 작업절차: 통제구역에서 작업 수행 시 작업 신청, 승인, 작업 기록 작성 등

  - 작업기록: 작업일시, 작업목적 및 내용,  작업업체 및 담당자명, 검토자 및 승인자 등

  - 통제방안: 작업 수행을 위한 보호구역 출입 절차, 작업내역에 대한 책임추적성 확보 및 모니터링 방안 등

  - 보호구역 내 작업절차에는 소지품 제한, 주소 오입력 방지, 작업내용 사전 공유/승인, 1원 전송, 작업 감시(입회인), 작업 이후 검증 등의 절차 포함

  ※ 실제 거래는 불가하더라도, 테스트넷을 통한 활용, 관련 인프라, 시스템, 절차 등을 오픈했을 때와 동일하게 준비 필요

  - 작업검토: 사전 승인 내역, 출입기록, 작업 기록 등에 대한 정기적 검토 수행 등

  - 검토방법: 출입 신청서와 출입 내역(관리대장, 시스템 로그 등) 일치성 등

  - 반출입 통제 대상: 정보시스템(서버, 네트워크 장비 등), 모바일기기(노트북, 스마트패드, 스마트폰 등), 저장매체(HDD, SDD, USB메모리, 외장하드디스크, CD/DVD, 테이프 등) 등

  - 반출입 통제 절차: 보호구역 출입통제 책임자 사전승인, 반출입 관리 대장 기록, 반출입 기기에 대한 보안점검 수행(백신설치 여부, 보안업데이트 여부, 악성코드 감염 여부, 보안스티커 부착 여부, 중요 정보 유출 여부 등) 반· 출입 내역 주기적 검토 등

  - 예외 사용 절차 예외 신청· 승인, 반출입 관리대장 기록 등

    ※ 반출입 관리대장 기록사항(예시)

      - 반출입 일시 및 장소

      - 사용자 정보

      - 기종(모델), 기기식별정보(시리얼번호 등)

      - 반출입 사유

      - 보안 점검 결과

      - 관리자 확인 서명 등

  - 보호구역 내 반출입 이력에 대한 기록 유지(반출입 관리대장, 반출입 통제시스템 로그 등)

  - 보호구역 내 반출입이 통제 절차에 따라 적절하게 수행되었는지 여부 검토

  - 문서고: 출입인원 최소화, 부서· 업무별 출입 접근권한 부여, 출입이력 관리

  - 공용PC: 담당자 지정, 화면보호기 설정, 로그인 암호설정, 주기적 패스워드 변경, 중요정보 저장 제한, 백신 설치, 보안업데이트 등

  - 공용사무기기: 팩스, 복사기, 프린트 등의 공용사무기기 주변에 중요 문서 방치 금지

  - 파일서버: 부서별, 업무별 접근권한 부여, 불필요한 정보공개 최소화, 사용자별 계정 발급

  - 공용 사무실: 회의실, 프로젝트룸 등 공용사무실 내 중요정보(개인정보) 문서 방치 금지

  - 기타 공용업무환경에 대한 보호대책 수립

  - 이석 시 보호조치 개인정보 및 개인정보가 포함된 서류와 보조저장매체 방치 금지(클린데스크), 화면보호기 및 비밀번호 설정 등

  - 모니터 및 책상 등에 로그인 정보(비밀번호 등) 노출 금지

  - 개인정보 및 중요정보가 포함된 서류 및 보조저장매체는 잠금장치가 있는 안전한 장소에 보관

  - 개인정보 및 중요정보가 포함된 서류는 세절기 등을 이용하여 복구되지 않도록 파쇄 

  - 인가받지 않은 사람이 관리용 단말기에 접근하여 임의로 조작하지 못하도록 조치 등

 ※ 출력·복사물 보호조치(예시)

  - 출력·복사물 보호 및 관리 정책, 규정, 지침 등 마련

  - 출력·복사물 생산·관리 대장 마련 및 기록

  - 출력·복사물 운영·관리 부서 지정 및 운영

  - 출력·복사물 외부반출 및 재생산 통제·신고·제한

  - 인쇄자, 인쇄일시 등 출력·복사물 기록 저장·관리

  - 종이 인쇄물에 대한 파기 절차, 파기여부 확인 등을 포함하는 파기계획 수립 및 주기적 점검

  - 복합기 보안, 출력물 워터마크 등 출력·복사물 보안기술 적용 등

(개정 23.11.23.)

  - 개인 및 공용업무 환경 보안규정 미준수자는 상벌규정에 따라 관리

    ※ 사무실 보안점검 방안(예시) 

      - 개인업무 환경: 정보보호 준수여부를 자가진단, 주기적으로 관리부서에서 정보보호 준수여부 점검

      - 공용업무 환경: 공용업무 보호대책 준수 여부를 주기적으로 점검, 미준수 사항은 공지 또는 교육 수행