2.6.1. 네트워크 접근

네트워크에 대한 비인가 접근을 통제하기 위하여 IP관리, 단말인증 등 관리절차를 수립·이행하고, 업무목적 및 중요도에 따라 네트워크 분리(DMZ, 서버팜, 데이터베이스존, 개발존 등)와 접근통제를 적용하여야 한다. 

 

1. 조직의 네트워크에 접근할 수 있는 모든 경로를 식별하고 접근통제 정책에 따라 내부 네트워크는 인가된 사용자만이 접근할 수 있도록 통제하고 있는가? 

상세 기준

  - 정보시스템, 개인정보처리시스템, PC 등에 IP주소 부여 시 승인절차에 따라 부여하는 등 허가되지 않은 IP사용 통제

  - 비인가자 및 단말의 내부 네트워크 접근 통제

  - 네트워크 장비에 설치된 불필요한 서비스 및 포트 차단 등 

 

(가상자산사업자) 가상자산 노드서버존(블록체인 참여 및 거래를 발생시킬 수 있는 서버 등)은 내부 및 다른 서버존의 장비들과 불필요한 통신/터미널 접속이 발생하지 않도록 접근을 제어하고 있는가?

상세 기준

  - 가상자산 노드서버존(블록체인 참여 및 거래를 발생시킬 수 있는 서버 등)은 내부 및 다른 서버존의 장비들과 불필요한 통신/터미널 접속이 발생하지 않도록 접근 제어

 

(가상자산사업자) 노드서버들에 대하여 필수적으로 필요한 포트만 허용하고 있는가

상세 기준

  - (권고)1024 이후 포트로 적용

 

2. 서비스, 사용자 그룹, 정보자산의 중요도, 법적 요구사항에 따라 네트워크 영역을 물리적 또는 논리적으로 분리하고 각 영역 간 접근통제를 적용하고 있는가? 

상세 기준

  - 위험평가를 통하여 핵심 업무영역의 네트워크 분리 및 영역 간 접근통제 수준 결정

    ※ 접근통제 영역 접근통제 적용 예시

      - DMZ: 외부 서비스를 위한 웹서버, 메일서버 등 공개서버는 DMZ에 위치, DMZ를경유하지 않은 인터넷에서 내부 시스템으로의 직접 연결은 차단

      - 서버팜: 다른 네트워크 영역과 구분하여 구성, 인가받은 내부 사용자의 접근만 허용하도록 접근통제 정책 적용

      - DB존 : 개인정보 등 중요정보가 저장된 데이터베이스가 위치한 네트워크 영역은 다른 네트워 크 영역과 분리

      - 운영자 환경: 서버, 보안장비, 네트워크 장비 등을 운영하는 운영자 네트워크 영역은 일반 사용자 네트워크 영역과 분리

      - 개발 환경: 개발업무(개발서버, 테스트서버 등)에 사용되는 네트워크는 운영 네트워크와 분리

      - 외부자 영역: 외부 인력이 사용하는 네트워크 영역(외주용역, 민원실, 교육장 등)은 내부 업무용 네트워크와 분리

      - 기타: 업무망의 경우 업무의 특성, 중요도에 따라 네트워크 대역 분리기준을 수립하여 운영

        : 클라우드 서비스를 이용하는 경우 클라우드 환경의 특성을 반영한 접근통제 기준을 수립· 이행

        : 다만 기업의 규모 등을 고려하여 서버팜과 데이터베이스팜 등을 구분하기 어려운 경 우 위험평가 결과 등을 기반으로 보완대책을 적용할 필요가 있음 (호스트 기반 접근통제 등)

  - 접근통제 정책에 따라 분리된 네트워크 영역 간에는 침입차단시스템, 네트워크 장비 ACL 등을 활용 하여 네트워크 영역 간 업무수행에 필요한 서비스의 접근만 허용하도록 통제

 

(가상자산사업자) 월렛 접근 인원/시스템에 대한 별도 네트워크 존을 구성하고 접근통제 정책을 적용하고 있는가?

상세 기준

  - 월렛 접근 인원/시스템에 대한 별도 네트워크 존을 구성하고 접근통제 정책 적용

 

3. 네트워크 대역별 IP주소 부여 기준을 마련하고 데이터베이스 서버 등 외부 연결이 필요하지 않은 경우 사설 IP로 할당하는 등의 대책을 적용하고 있는가?

상세 기준

  - IP주소 할당 현황을 최신으로 유지하고, 외부에 유출되지 않도록 대외비 이상으로 안전하게 관리

  - 내부망에서의 주소 체계는 사설 IP주소 체계를 사용하고 외부에 내부 주소체계가 노출되지 않도록 NAT(Network Address Translation) 기능 적용

  - 사설 IP주소를 할당하는 경우 국제표준에 따른 사설 IP주소 대역 사용

    ※ 사설IP주소 대역

      - A Class  10.0.0.1 ~ 10.255.255.255

      - B Class  172.16.0.1 ~ 172.31.255.255

      - C Class  192.168.0.1 ~ 192.168.255.255

 

4. 물리적으로 떨어진 IDC, 지사, 대리점, 협력업체, 고객센터 등과의 네트워크 연결 시 전송구간 보호대책을 마련하고 있는가?

상세 기준

  - 전용회선 또는 VPN(가상사설망) 등을 활용하여 안전한 접속환경을 구성

 

    운영 내역(증적) 예시

 

  • 네트워크 구성도
  • IP 관리대장
  • 정보자산 목록
  • 방화벽룰

 

    ** 인증심사 결함사항 예시 **

 

  1. 외부자(외부 개발자, 방문자 등)에게 제공되는 네트워크를 별도의 통제 없이 내부 업무 네트워크와 분리하지 않은 경우
  2. 내부 규정과는 달리 MAC 주소 인증, 필수 보안 소프트웨어 설치 등의 보호대책을 적용하지 않은 상태로 네트워크 케이블 연결만으로 사내 네트워크에 접근 및 이용할 수 있는 경우
  3. 내부망에 위치한 데이터베이스 서버 등 일부 중요 서버의 IP주소가 내부 규정과 달리 공인 IP로 설정 되어 있고, 네트워크 접근 차단이 적용되어 있지 않은 경우
  4. 서버팜이 구성되어 있으나 네트워크 접근제어 설정 미흡으로 내부망에서 서버팜으로의 접근이 과도하게 허용되어 있는 경우
  5. 네트워크 구성도와 인터뷰를 통하여 확인한 결과, 외부 지점에서 사용하는 정보시스템 및 개인정보처리시스템과 IDC에 위치한 서버간의 연결 시 일반 인터넷 회선을 통하여 데이터 송수신을 처리하고 있어 내부 규정에 명시된 VPN이나 전용망 등을 이용한 통신이 이루어지고 있지 않은 경우

  6. (CELA)(AWS)네트워크를 분리하지 않고 WEB/WAS/DB 서버를 단일 서버(EC2)에 운영하는 경우

  7. (CELA)(AWS)클라우드 EC2가 역할과 용도에 따라 서브넷으로 분리되지 않고 접근통제가 적용되지 않은 경우

  8. (CELA)(AWS)S3 버킷이 Public 액세스 설정이 적용되어 비인가자의 접근이 가능한 경우
  9. (CELA)(AWS)VPC 내 과도한 인바운드 및 아웃바운드 정책(ANY 등)을 허용하는 경우

  10. (CELA)IP 접근통제가 적용되지 않아 DB 접속 시 접근통제가 적용되지 않고 직접 접속이 가능한 경우
  11. (CELA)IDC에 위치한 서버 간 연결 시 방화벽을 통한 통제 없이 직접 연결이 가능한 경우

  12. (CELA)업무망과 IDC DMZ망 연계 시 VPN을 적용하지 않고 외부 인터넷을 경유하여 IDC 방화벽을 통해 접근하는 경우
  13. (CELA)DMZ 영역에 웹서버 이외에 중요 시스템(개발 서버, DB 서버 등)이 존재하는 경우

  14. (CELA)서버 Zone 등 동일 네트워크 구간 내 서버에서 서버 접근 시 접근통제가 적용되지 않는 경우
  15. (CELA)사내 유·무선 네트워크가 동일 IP 대역을 사용하여 유·무선 네트워크간 접근통제가 적용되지 않는 경우

  16. (CELA)(AWS) 본사와 클라우드 간 접속 시 VPN, 전용선 등 안전한 접속수단을 적용하지 않고 외부 인터넷을 통해 접속하고 있는 경우

2.6.2. 정보시스템 접근

서버, 네트워크시스템 등 정보시스템에 접근을 허용하는 사용자, 접근제한 방식, 안전한 접근수단 등을 정의하여 통제하여야 한다.

 

1. 서버, 네트워크시스템, 보안시스템 등 정보시스템 별 운영체제(OS)에  접근이 허용되는 사용자, 접근 가능 위치, 접근 수단 등을 정의하여 통제하고 있는가?

상세 기준

  - 계정 및 권한 신청· 승인 절차

  - 사용자별로 개별 계정 부여 및 공용 계정 사용 제한

  - 계정 사용 현황에 대한 정기 검토 및 현행화 관리: 장기 미사용 계정, 불필요한 계정 존재여부 등

  - 접속 위치 제한: 접속자 IP주소 제한 등

  - 관리자 등 특수권한에 대한 강화된 인증수단 고려: 인증서, OTP 등

  - 안전한 접근수단 적용: SSH, SFTP

  - 동일 네트워크 영역 내 서버 간 접속에 대한 접근통제 조치 등

 

(가상자산사업자) 월렛관련 서버에 직접 접속(SSH 등)하거나 클라우드 환경에서 해당 서비스를 변경할 수 있는 관리콘솔에 대한 접근통제(접근권한 분리, 망분리,추가인증,보안토큰 등) 대책을 마련하고 있는가? 

상세 기준

  - 월렛관련 서버에 직접 접속(SSH 등)하거나 클라우드 환경에서 해당 서비스를 변경할 수 있는 관리콘솔에 대한 접근통제(접근권한 분리, 망분리,추가인증,보안토큰 등) 대책을 마련

 

2. 정보시스템에 접속 후 일정시간 업무처리를 하지 않는 경우 자동으로 시스템 접속이 차단되도록 하고 있는가?

상세 기준   - 서버별 특성, 업무 환경, 위험의 크기, 법적 요구사항 등을 고려하여 세션 유지시간 설정

 

3. 정보시스템의 사용목적과 관계없거나 침해사고를 유발할 수 있는 서비스 또는 포트를 제거하고 있는가? (개정 23.11.23.)

상세 기준

  - 안전하지 않은 서비스, 프로토콜, 데몬에 대해서는 추가적인 보안기능 구현

  - Netbios, File-Sharing, Telnet, FTP 등과 같은 안전하지 않은 서비스를 보호하기 위하여 SSH, SFTP, IPSec VPN 등과 같은 안전한 기술 사용

    ※ 주요 OS별 서비스 확인 방법(예시)

      - 리눅스:  /etc/xinetd.conf 파일의 서비스 목록 확인 또는 /etc/xinetd.d 디렉터리에 서비스 파일 사용 여부 확인

      - 윈도우: [시작]>[제어판]>[관리 도구]>[서비스] 에서 각 서비스 별로 사용 여부를 점검 (개정 23.11.23.)

 

4. 주요 서비스를 제공하는 정보시스템은 독립된 서버로 운영하고 있는가?

상세 기준

  - 외부에 직접 서비스를 제공하거나 민감한 정보를 보관· 처리하고 있는 웹서버, 데이터베이스 서버, 응용프로그램 등은 공용 장비로 사용하지 않고 독립된 서버 사용

 

    운영 내역(증적) 예시

 

  • 정보시스템 운영체제 계정 목록
  • 서버 보안 설정
  • 서버접근제어 정책(SecureOS 관리화면 등)
  • 서버 및 네트워크 구성도
  • 정보자산 목록

 

    ** 인증심사 결함사항 예시 **

 

  1. 타당한 사유 또는 보완 대책 없이 안전하지 않은 접속 프로토콜(telnet, ftp 등)을 사용하여 접근하고 있으며, 불필요한 서비스 및 포트를 오픈하고 있는 경우
  2. 모든 서버로의 접근은 서버접근제어 시스템을 통하도록 접근통제 정책을 가져가고 있으나, 서버접근제어 시스템을 통하지 않고 서버에 접근할 수 있는 우회 경로가 존재하는 경우 (개정 23.11.23.)
  3. 사무실에서 서버관리자가 IDC에 위치한 윈도우 서버에 접근 시 터미널 서비스를 이용하여 접근하고 있으나 터미널 서비스에 대한 Session Timeout 설정이 되어 있지 않아 장시간 아무런 작업을 하지 않아도 해당 세션이 차단되지 않는 경우
  4. 서버 간의 접속이 적절히 제한되지 않아 특정 사용자가 본인에게 인가된 서버에 접속한 후 해당 서버를 경유하여 다른 인가받지 않은 서버에도 접속할 수 있는 경우

  5. (CELA)(AWS)서버에서 무분별한 인터넷 접속이 통제되지 않는 경우 : Security Group 에서 아웃바운드가 모두 오픈되어 있음

  6. (CELA)업무용 PC에서 접근통제 시스템을 우회하여 통제 없이 주요 정보시스템에 접근이 가능한 경우
  7. (CELA)(AWS)Admin 권한 사용자에 대한 IP 주소기반의 접근통제가 적용되지 않은 경우

  8. (CELA)(AWS)Admin 권한 사용자에 대한 2-Factor 인증이 적용되지 않은 경우
  9. (CELA)(AWS)EC2 접속 시 SSH Key 인증을 사용하고 있으나 임직원 퇴직 시 해당 Key에 대한 권한이 회수되지 않은 경우

  10. (CELA)(AWS)클라우드 EC2에 외부 인터넷에서 직접 SSH 접속이 가능한 경우
  11. (CELA)(AWS)서버 접속 시 인증 용도로 사용되는 PEM 키의 주기적인 교체가 미흡한 경우

  12. (CELA)형상관리 서버의 세션 타임아웃을 지침에 따라 운영하고 있지 않은 경우
  13. (CELA)과도한 세션 타임아웃(2시간 이상 등)이 설정된 경우

  14. (CELA)중요 시스템의 원격 데스크톱 포트에 대한 IP 접근통제가 적용되어 있지 않은 경우
  15. (CELA)중요 시스템 접속 시 안전한 추가 인증수단(OTP 등)이 적용되지 않은 경우

  16. (CELA)서버에 패스워드 파일을 불필요하게 백업하여 장기간 삭제되지 않고 남아 있는 경우
  17. (CELA)서버에 관리자 계정 정보를 저장하여 서버에서 자동 로그인이 가능한 경우

  18. (CELA)개인정보처리시스템에 대한 망분리가 미흡하여 외부 인터넷에서 개인정보 다운로드가 가능한 경우
  19. (CELA)서버 접근제어 솔루션을 도입하였으나 연동에 누락된 서버가 존재하는 경우

  20. (CELA)서버에 기본 공유 폴더가 설정되어 있는 경우
  21. (CELA)망분리 VDI에서 중요 시스템(DB, 서버 등)에 접근하고 있으나 망분리 대역이 아닌 인터넷 PC에서도 접속이 가능한 경우

  22. (CELA)(AWS)EC2가 Public VPC에 존재하여 외부 접근이 가능한 경우

2.6.3. 응용프로그램 접근

사용자별 업무 및 접근 정보의 중요도 등에 따라 응용프로그램 접근권한을 제한하고, 불필요한 정보 또는 중요정보 노출을 최소화할 수 있도록 기준을 수립하여 적용하여야 한다.

 

1. 중요정보 접근을 통제하기 위하여 사용자의 업무에 따라 응용프로그램 접근권한을 차등 부여하고 있는가?

상세 기준

  - 내부에서 사용하는 응용프로그램(백오피스시스템, 회원관리시스템 등)을 명확하게 식별

  - 응용프로그램 중 개인정보를 처리하는 개인정보처리시스템 식별

  - 최소권한 원칙에 따른 사용자 및 개인정보취급자 접근권한 분류체계(권한분류표 등) 마련

  - 중요정보 및 개인정보 처리(입력, 조회, 변경, 삭제, 다운로드, 출력 등) 권한을 세분화하여 설정할 수 있도록 응용프로그램 기능 구현

  - 식별된 응용프로그램 및 개인정보처리시스템에 대한 계정 및 권한을 부여하는 절차 수립· 이행

  - 권한 부여· 변경· 삭제 관련 기록을 보관하여 접근권한의 타당성 검토

 

2. 개인정보 및 중요정보의 불필요한 노출(조회, 화면표시, 인쇄, 다운로드 등)을 최소화할 수 있도록 응용프로그램을 구현하여 운영하고 있는가? (개정 23.11.23.)

상세 기준

  - 응용프로그램(개인정보처리시스템 등)에서 개인정보 등 중요정보 출력 시(인쇄, 화면표시, 다운로드 등) 용도를 특정하고 용도에 따라 출력항목 최소화

  - 개인정보 검색 시에는 과도한 정보가 조회되지 않도록 일치검색(equal검색)이나 두 가지 조건 이상 의 검색조건 사용 등

(이하 개정 23.11.23.)

- 업무 수행 형태 및 목적, 유형, 장소 등 여건 및 환경에 따라 개인정보처리시스템에 대한 접근권한 범위 내에서 최소한의 개인정보 출력

- 업무상 반드시 필요한 경우가 아니라면 개인정보 검색 시 like 검색이 되지 않도록 조치

- 오피스 파일(엑셀 등)에서 개인정보가 숨겨진 필드 형태로 저장되지 않도록 조치

- 웹페이지 소스 보기 등을 통하여 불필요한 개인정보가 출력되지 않도록 조치 등

 

3. 일정시간 동안 입력이 없는 세션은 자동 차단하고, 동일 사용자의 동시 세션 수를 제한하고 있는가?

상세 기준

  - 응용프로그램 및 업무별 특성, 위험의 크기 등을 고려하여 접속유지 시간 결정 및 적용

  - 개인정보처리시스템의 경우 법적요구사항에 따라 일정시간 이상 업무처리를 하지 않는 경우 자동으로 시스템 접속이 차단되도록 조치

  - 동일 계정으로 동시 접속 시 경고 문자 표시 및 접속 제한

 

4. 관리자 전용 응용프로그램(관리자 웹페이지, 관리콘솔 등)은 비인가자가 접근할 수 없도록 접근을 통제하고 있는가?

상세 기준

  - 관리자 전용 응용프로그램의 외부 공개 차단 및 IP주소 등을 통한 접근제한 조치

  - 불가피하게 외부 공개가 필요한 경우 안전한 인증수단(OTP 등) 또는 안전한 접속수단(VPN 등) 적용

  - 관리자(사용자), 개인정보취급자의 접속 로그 및 이벤트 로그에 대한 정기적 모니터링

  - 이상징후 발견 시 세부조사, 내부보고 등 사전에 정의된 절차에 따라 이행

 

5. 개인정보 및 중요정보의 표시제한 보호조치의 일관성을 확보할 수 있도록 관련 기준을 수립하여 적용하고 있는가? (개정 23.11.23.)

상세 기준

 - 개인정보 및 중요정보 표시제한 조치 기준 예시

  : 성명 : 성명의 가운데 글자(단, 성명이 2글자인 경우 뒷글자, 성명이 4글자 이상인 경우 첫 번째 글자와 마지막 글자를 제외한 글자)

  : 주민등록번호 : 13자리 중 뒤 7자리

  : 전화번호, 휴대전화 : 국번

  : 주소 : 도로명 이하의 건물번호 및 상세주소의 숫

  : 이메일주소 : ID 중 앞 2자리를 제외한 나머지

  : 카드번호 : 7번째 번호부터 6자리

  : IP 주소 : 17-24비트(Ver. 4), 113-128비트(Ver. 6) 등

※ 개인정보 및 중요정보 표시제한 조치 적용(예시)

 - 성명 : 현*, 김*하, 김*우, 선**녀

 - 주민등록번호 : 040101-*******

 - 휴대전화번호 : 010-****-0913

 - 주소 : 서울시 성북구 북악산로 *** ***동 ****호

 - 이메일주소 : ma******@abcd.com

 - 카드번호 : 4558-12**-****-0116

 - IP주소 : 123.123.***.123

(개정 23.11.23.)

 

    운영 내역(증적) 예시 (개정 23.11.23.)

 

  • 응용프로그램 접근권한 분류 체계
  • 응용프로그램 계정/권한 관리 화면
  • 응용프로그램 사용자/관리자 화면(개인정보 조회 등)
  • 응용프로그램 세션 타임 및 동시접속 허용 여부 내역
  • 응용프로그램 관리자 접속로그 모니터링 내역
  • 정보자산 목록
  • 개인정보처리시스템의 개인정보 조회, 검색 화면 (개정 23.11.23.) 
  • 개인정보 마스킹 표준 (개정 23.11.23.) 
  • 개인정보 마스킹 적용 화면 (개정 23.11.23.)

 

    ** 인증심사 결함사항 예시 ** (개정 23.11.23.)

 

  1. 응용프로그램의 개인정보 처리화면 중 일부 화면의 권한 제어 기능에 오류가 존재하여 개인정보 열람 권한이 없는 사용자에게도 개인정보가 노출되고 있는 경우
  2. 응용프로그램을 통하여 개인정보를 다운로드 받는 경우 해당 파일 내에 주민등록번호 등 업무상 불필요한 정보가 과도하게 포함되어 있는 경우
  3. 응용프로그램의 개인정보 조회화면에서 like 검색을 과도하게 허용하고 있어, 모든 사용자가 본인의 업무 범위를 초과하여 전체 고객 정보를 조회할 수 있는 경우
  4. 응용프로그램에 대하여 타당한 사유 없이 세션 타임아웃 또는 동일 사용자 계정의 동시 접속을 제한하고 있지 않은 경우
  5. 응용프로그램의 관리자 페이지가 외부인터넷에 오픈되어 있으면서 안전한 인증수단이 적용되어 있지 않은 경우
  6. 개인정보 표시제한 조치 기준이 마련되어 있지 않거나 이를 준수하지 않는 등의 사유로 동일한 개인정보 항목에 대하여 개인정보처리시스템 화면별로 서로 다른 마스킹 기준이 적용된 경우 (개정 23.11.23.)
  7. 개인정보처리시스템의 화면상에는 개인정보가 마스킹되어 표시되어 있으나, 웹브라우저 소스보기를 통하여 마스킹되지 않은 전체 개인정보가 노출되는 경우 (개정 23.11.23.)
  8. (CELA)관리자 계정에 대한 접근을 공인 IP로 통제하여 접속자의 개별 IP 식별이 어려운 경우
  9. (CELA)관리자 페이지를 통한 개인정보 송수신 시 SSL이 적용되지 않은 경우
  10. (CELA)개인정보 처리시스템 망분리가 미흡하여 외부 인터넷이 가능한 PC에서 개인정보 다운로드, 삭제, 접근권한 설정이 가능한 경우 
  11. (CELA)계정관리시스템에서 모든 사용자가 다른 사용자의 계정 정보 조회·수정이 가능한 경우
  12. (CELA)외부에서 개인정보처리시스템 접속 시 안전한 추가 인증수단(OTP 등)이 적용되지 않은 경우
  13. (CELA)개인정보 마스킹 적용시 일관성이 확보되지 않아 조합을 통하여 재식별이 가능한 경우
  14. (CELA)개인정보처리시스템에서 개인정보 메뉴 접근 시 마스킹이 적용되지 않은 개인정보 전체 목록이 출력되는 경우
  15. (CELA)불필요한 메뉴에서 개인정보 다운로드 기능이 구현되고 권한이 부여된 경우

2.6.4. 데이터베이스 접근
테이블 목록 등 데이터베이스 내에서 저장· 관리되고 있는 정보를 식별하고, 정보의 중요도와 응용프로그램 및 사용자 유형 등에 따른 접근통제 정책을 수립· 이행하여야 한다.

 

1. 데이터베이스의 테이블 목록 등 저장‧관리되고 있는 정보를 식별하고 지속적으로 현행화하여 관리하고 있는가? (개정 23.11.23.)

상세 기준

  - 데이터베이스에서 사용되는 테이블 목록, 저장되는 정보, 상관관계 등을 식별

  - 중요정보 및 개인정보의 저장 위치(데이터베이스 및 테이블명· 컬럼명) 및 현황(건수, 암호화 여부 등) 식별

  - 데이터베이스 현황에 대하여 정기적으로 조사하여 현행화 관리

 

(가상자산사업자) 가상자산 거래 관련 중요 DB(월렛관련 DB, 회원DB, 가상자산 보유 현황 등)의 테이블 목록 등 저장, 관리되고 있는 정보를 식별하고 있는가?

상세 기준

  - 가상자산 거래 관련 중요 DB(월렛관련 DB, 회원DB, 가상자산 보유 현황 등)의 테이블 목록 등 저장, 관리되고 있는 정보 식별

 

2. 데이터베이스 내 정보에 접근이 필요한 응용프로그램, 정보시스템(서버) 및 사용자를 명확히 식별하고 접근통제 정책에 따라 통제하고 있는가?

상세 기준

  - 데이터베이스 접속 권한을 관리자(DBA), 사용자로 구분하여 직무별 접근통제 정책 수립· 이행(최소 권한 원칙에 따른 테이블, 뷰, 컬럼, 쿼리 레벨에서 접근통제 등)

  - 중요정보가 포함된 테이블, 컬럼은 업무상 처리 권한이 있는 자만 접근할 수 있도록 제한

  - DBA 권한이 부여된 계정과 조회 등 기타 권한이 부여된 계정 구분

  - 응용프로그램에서 사용하는 계정과 사용자 계정의 공용 사용 제한

  - 계정별 사용 가능 명령어 제한

  - 사용하지 않는 계정, 테스트용 계정, 기본 계정 등 삭제

  - 일정시간 이상 업무를 수행하지 않는 경우 자동 접속차단

  - 비인가자의 데이터베이스 접근 제한

  - 개인정보를 저장하고 있는 데이터베이스는 DMZ 등 공개된 네트워크에 위치하지 않도록 제한

  - 다른 네트워크 영역 및 타 서버에서의 비인가된 접근 차단

  - 데이터베이스 접근을 허용하는 IP주소, 포트, 응용프로그램 제한

  - 일반 사용자는 원칙적으로 응용프로그램을 통해서만 데이터베이스에 접근 가능하도록 조치 등

 

    운영 내역(증적) 예시

 

  • 데이터베이스 현황(테이블, 컬럼 등)
  • 데이터베이스 접속자 계정/권한 목록
  • 데이터베이스 접근제어 정책(데이터베이스 접근제어시스템 관리화면 등)
  • 네트워크 구성도(데이터베이스존 등)
  • 정보자산 목록

 

    ** 인증심사 결함사항 예시 **

 

  1. 개인정보를 저장하고 있는 데이터베이스의 테이블 현황이 파악되지 않아, 임시로 생성된 테이블에 불필요한 개인정보가 파기되지 않고 대량으로 저장되어 있는 경우
  2. 대량의 개인정보를 보관·처리하고 있는 데이터베이스를 인터넷을 통하여 접근 가능한 웹 응용프로그램과 분리하지 않고 물리적으로 동일한 서버에서 운영하고 있는 경우
  3. 개발자 및 운영자들이 응응 프로그램에서 사용하고 있는 계정을 공유하여 운영 데이터베이스에 접속하고 있는 경우
  4. 내부 규정에는 데이터베이스의 접속권한을 오브젝트별로 제한하도록 되어 있으나, 데이터베이스 접근권한을 운영자에게 일괄 부여하고 있어 개인정보 테이블에 접근할 필요가 없는 운영자에게도 과도하게 접근 권한이 부여된 경우
  5. 데이터베이스 접근제어 솔루션을 도입하여 운영하고 있으나, 데이터베이스 접속자에 대한 IP주소 등이 적절히 제한되어 있지 않아 데이터베이스 접근제어 솔루션을 우회하여 데이터베이스에 접속하고 있는 경우

  6. (CELA)데이터베이스의 테이블 목록에서 암호화 여부가 식별되지 않은 경우


2.6.5. 무선 네트워크 접근

무선 네트워크를 사용하는 경우 사용자 인증, 송수신 데이터 암호화, AP 통제 등 무선 네트워크 보호대책을 적용하여야 한다. 또한 AD Hoc 접속, 비인가 AP 사용 등 비인가 무선 네트워크 접속으로부터 보호대책을 수립· 이행하여야 한다.

 

1. 무선네트워크를 업무적으로 사용하는 경우 무선 AP 및 네트워크 구간 보안을 위하여 인증, 송수신 데이터 암호화 등 보호대책을 수립‧이행하고 있는가?

상세 기준

  - 무선네트워크 장비(AP 등) 목록 관리

  - 사용자 인증 및 정보 송수신 시 암호화 기능 설정(WPA2-Enterprise mode, WPA3-Enterprise mode 등)

  - 무선 AP 접속 단말 인증 방안(MAC 인증 등)

  - SSID 숨김 기능 설정

  - 무선네트워크에 대한 ACL 설정

  - 무선 AP의 관리자 접근 통제(IP제한) 등

 

2. 인가된 임직원만이 무선네트워크를 사용할 수 있도록 사용 신청 및 해지 절차를 수립‧이행하고 있는가?

상세 기준

  - 무선네트워크 사용권한 신청 및 승인 절차(사용자 및 접속단말 등록 등)

  - 퇴직, 기간 만료 등의 사유로 무선네트워크 사용이 필요하지 않은 경우 접근권한 해지 절차

  - 외부인에게 제공하는 무선네트워크는 임직원이 사용하는 무선네트워크와 분리

 

3. AD Hoc 접속 및 조직내 허가 받지 않은 무선 AP 탐지‧차단 등 비인가된 무선네트워크에 대한 보호대책을 수립‧이행하고 있는가?

상세 기준

  - WIPS(무선침입방지시스템) 설치· 운영, 주기적으로 비인가 AP(Rogue AP) 설치 여부 점검 등

 

(가상자산사업자) IDC 내부에 무선통신망 설치 및 운용을 금지하고 있는가?

상세 기준

  - IDC 내부에 무선통신망 설치 및 운용 금지

 

    운영 내역(증적) 예시

 

  • 네트워크 구성도
  • AP 보안 설정 내역
  • 비인가 무선 네트워크 점검 이력
  • 무선네트워크 사용 신청·승인 이력

 

    ** 인증심사 결함사항 예시 ** (개정 23.11.23.)

 

  1. 무선 AP 설정 시 정보 송수신 암호화 기능을 설정하였으나 안전하지 않은 방식으로 설정한 경우
  2. 업무 목적으로 내부망에 연결된 무선AP에 대하여 SSID 브로드캐스팅 허용, 무선AP 관리자 비밀번호 노출(디폴트 비밀번호 사용), 접근제어 미적용 등 보안 설정이 미흡한 경우 (개정 23.11.23.)
  3. 외부인용 무선 네트워크와 내부 무선 네트워크 영역대가 동일하여 외부인도 무선네트워크를 통하여 별도의 통제없이 내부 네트워크에 접근이 가능한 경우

  4. (CELA)개발 업무를 목적으로 모바일 기기에 AD Hoc 접근하여 통제 및 모니터링이 불가한 경우

  5. (CELA)무선 네트워크 관리자 시스템에 대한 IP 접근 통제가 적용되지 않은 경우
  6. (CELA)무선 네트워크에 대한 SSID 숨김 기능이 설정되지 않은 경우
  7. (CELA)무선 네트워크 관리자 시스템 비밀번호의 주기적인 변경이 미흡한 경우
  8. (CELA)무선 네트워크에 대한 ACL이 적용되지 않아 외부인용 무선 네트워크와 임직원용 무선 네트워크가 구분 되지 않는 경우

2.6.6. 원격접근 통제

보호구역 이외 장소에서의 정보시스템 관리 및 개인정보 처리는 원칙적으로 금지하고, 재택근무· 장애대응· 원격협업 등 불가피한 사유로 원격접근을 허용하는 경우 책임자 승인, 접근 단말 지정, 접근 허용범위 및 기간 설정, 강화된 인증, 구간 암호화, 접속단말 보안(백신, 패치 등) 등 보호대책을 수립· 이행하여야 한다.

 

1. 인터넷과 같은 외부 네트워크를 통한 정보시스템 원격운영은 원칙적으로 금지하고 장애대응 등 부득이하게 허용하는 경우 보완대책을 마련하고 있는가?

상세 기준

  - 원격 운영 및 접속에 대한 책임자의 승인

  - 안전한 인증수단(인증서, OTP 등) 적용

  - 안전한 접속수단(VPN 등) 적용

  - 한시적 접근권한 부여 및 권한자 현황 관리

  - 백신 설치, 보안패치 등 접속 단말 보안

  - 원격운영 현황 모니터링(WN 계정 발급· 사용 현황의 주기적 검토 등)

  - 원격접속 기록 로깅 및 주기적 분석

  - 원격 운영 관련 보안인식 교육 등

 

(가상자산사업자) 월렛 관련 시스템의 접속은 예외없이 외부네트워크를 통한 원격 접근을 금지하고 있는가? 

상세 기준

  - 월렛 관련 시스템의 접속은 예외없이 외부네트워크를 통한 원격 접근 금지

 

2. 내부 네트워크를 통하여 원격으로 정보시스템을 운영하는 경우 특정 단말에 한해서만 접근을 허용하고 있는가?

상세 기준

  - 접속 가능한 단말을 IP주소, MAC주소 등으로 제한

  - 정상적인 원격접속 경로를 우회한 접속경로 차단 등

 

3. 재택근무, 원격협업, 스마트워크 등과 같은 원격업무 수행 시 중요정보 유출, 해킹 등 침해사고 예방을 위한 보호대책을 수립‧이행하고 있는가?

상세 기준

  - 스마트워크 업무형태 정의: 재택근무, 스마트워크 센터, 원격협업, 모바일오피스 환경

  - 스마트워크 업무형태에 따른 업무 허가 범위 설정: 내부 시스템 및 서비스 원격접근 허용 범위

  - 스마트워크 업무 승인절차: 스마트워크를 위한 원격접근 권한 신청, 승인, 회수 등

  - 원격접근에 필요한 기술적 보호대책 전송구간 암호화(VPN 등), 강화된 사용자 인증(OTP 등) 

  - 접속 단말(PC, 모바일기기 등) 보안 백신 설치, 보안패치 적용, 단말 인증, 분실·도난 시 대책(신고 절차, 단말잠금, 중요정보 삭제 등), 중요정보 저장 금지(필요시 암호화 조치) 등

  - 스마트워크 업무환경 정보보호지침 수립 및 교육 등

 

4. 개인정보처리시스템의 관리, 운영, 개발, 보안 등을 목적으로 원격으로 개인정보처리시스템에 직접 접속하는 단말기는 관리용 단말기로 지정하고 임의조작 및 목적 외 사용 금지 등 안전조치를 적용하고 있는가?

상세 기준

  - 관리용 단말기 지정 및 목록관리

  - 인가받지 않은 사람이 관리용 단말기에 접근하여 임의로 조작하지 못하도록 조치

  - 등록된 관리용 단말기이외에는 접근하지 못하도록 조치

  - 본래 목적 외로 사용되지 않도록 조치

  - 관리용 단말기에 악성프로그램 감염 방지 등을 위한 보호조치 적용

 

    운영 내역(증적) 예시

 

  • VPN 등 사외접속 신청서
  • VPN 계정 목록
  • VPN 접근제어 정책 설정 현황
  • IP 관리대장
  • 원격 접근제어 설정(서버 설정, 보안시스템 설정 등)
  • 관리용 단말기 지정 및 관리 현황
  • 네트워크 구성도

 

    ** 인증심사 결함사항 예시 ** (개정 23.11.23.)

 

  1. 내부 규정에는 시스템에 대한 원격 접근은 원칙적으로 금지하고 불가피한 경우 IP 기반의 접근통제를 통하여 승인된 사용자만 접근할 수 있도록 명시하고 있으나 시스템에 대한 원격 데스크톱 연결, SSH 접속이 IP주소 등으로 제한되어 있지 않아 모든 PC에서 원격 접속이 가능한 경우
  2. 원격운영관리를 위하여 VPN을 구축하여 운영하고 있으나 VPN에 대한 사용 승인 또는 접속 기간 제한 없이 상시 허용하고 있는 경우
  3. 외부 근무자를 위하여 개인 스마트 기기에 업무용 모바일 앱을 설치하여 운영 하고 있으나 악성코드, 분실·도난 등에 의한 개인정보 유출을 방지하기 위한 적절한 보호대책(백신, 초기화, 암호화 등)을 적용하고 있지 않은 경우
  4. 외부 접속용 VPN에서 사용자별로 원격접근이 가능한 네트워크 구간 및 정보시스템을 제한하지 않아 원격접근 인증을 받은 사용자가 전체 내부망 및 정보시스템에 과도하게 접근이 가능한 경우 (개정 23.11.23.)
  5. (CELA)IDC 원격 접속용 PC에서 외부 인터넷 사용이 가능한 경우

2.6.7. 인터넷 접속 통제

인터넷을 통한 정보 유출, 악성코드 감염, 내부망 침투 등을 예방하기 위하여 주요 정보시스템, 주요 직무 수행 및 개인정보 취급 단말기 등에 대한 인터넷 접속 또는 서비스(P2P, 웹하드, 메신저 등)를 제한하는 등 인터넷 접속 통제 정책을 수립· 이행하여야 한다.

 

1. 주요 직무 수행 및 개인정보 취급 단말기 등 업무용 PC의 인터넷 접속에 대한 통제정책을 수립‧이행하고 있는가?

상세 기준

  - 인터넷 연결 시 네트워크 구성 정책

  - 외부 이메일 사용, 인터넷 사이트의 접속, 소프트웨어 다운로드 및 전송 등의 사용자 접속정책

  - 유해사이트(성인, 오락 등) 접속 차단 정책

  - 정보 유출 가능 사이트(웹하드, P2P, 원격접속 등) 접속 차단 정책

  - 망분리 또는 인터넷망 차단 조치 관련 정책(망분리 적용 여부, 망분리 대상자, 망분리 방식, 망간 자료전송 절차 등)

  - 인터넷 접속내역 검토(모니터링) 정책 등

 

2. 주요 정보시스템(데이터베이스 서버 등)에서 불필요한 외부 인터넷 접속을 통제하고 있는가?

상세 기준

  - 악성코드 유입, 정보 유출, 역방향 접속 등이 차단되도록 내부 서버(데이터베이스 서버, 파일서버 등)에서 외부 인터넷 접속 제한

  - 불가피한 사유가 있는 경우 위험분석을 통하여 보호대책을 마련하고 책임자의 승인 후 허용

 

(가상자산사업자) 콜드월렛 작업시 월렛 및 개인키를 사용하는 노트북은 전용장비로 구성하고, 사용하지 않을때에는 전원을 OFF 또는, 네트워크의 접속을 차단하고 있는가?

상세 기준

  - 목적외 SW 설치 및 인터넷 사용 금지

 

3. 관련 법령에 따라 인터넷 망분리인터넷망 차단 의무가 부과된 경우 망분리 대상자를 식별하여 안전한 방식으로 망 분리를 적용하고 있는가? (개정 23.11.23.)

상세 기준

  - 망분리 의무 대상자 및 망분리 적용이 필요한 개인정보취급자

    : 전년도 말 직전 3개월간 개인정보가 저장· 관리하고 있는 이용자수가 일일평균 100만명 이상 또는 정보통신서비스부문 전년도 매출액이 100억 원 이상인 정보통신서비스 제공자 등

    : 개인정보처리시스템에서 개인정보를 다운로드, 파기, 접근권한을 설정할 수 있는 경우

  - 개인정보 보호법에 따른 인터넷망 차단 조치 적용 대상 (개정 23.11.23.) 

   : (의무대상 개인정보처리자) 전년도 말 직전 3개월간 그 개인정보가 저장·관리되고 있는 이용자 수가 일일평균 100만 명 이상인 개인정보처리자

   : (의무대상 컴퓨터 등) 개인정보처리시스템에서 개인정보를 다운로드, 파기, 접근권한을 설정할 수 있는 개인정보취급자의 컴퓨터 등

   :  (외부 클라우드서비스 이용 시 조치사항) 클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제2조제3호에 따른 클라우드컴퓨팅서비스를 이용하여 개인정보처리시스템을 구성·운영하는 경우에는 해당 서비스에 대한 접속 외에는 인터넷을 차단하는 조치 적용 

  - 다음의 사항을 고려하여 안전한 방식으로 망분리 적용

   : 망분리 의무대상 여부 검토 및 의무 대상인 경우 망분리 대상자 식별

   : 망분리 의무대상이 아닌 경우 위험분석 결과 등에 따라 망분리 여부 결정

   : 물리적(네트워크가 분리된 2대의 PC) 또는 논리적(VDI 등 가상화 기술 활용) 망분리 적용

   : 망분리 우회 경로 파악 및 차단 조치

   : 망간 자료전송을 위한 통제 방안 마련

   : 망분리 환경의 적정성 및 취약점 존재여부에 대한 정기 점검 수행 등

 

    운영 내역(증적) 예시

 

  • 비업무사이트(P2P 등) 차단정책(비업무사이트 차단시스템 관리화면 등)
  • 인터넷 접속내역 모니터링 이력
  • 망분리 대상자 목록
  • 망간 자료 전송 절차 및 처리내역(신청·승인내역 등)
  • 네트워크 구성도

 

    ** 인증심사 결함사항 예시 ** (개정 23.11.23.)

 

  1. DMZ 및 내부망에 위치한 일부 서버에서 불필요하게 인터넷으로의 직접 접속이 가능한 경우
  2. 인터넷 PC와 내부 업무용 PC를 물리적 망분리 방식으로 인터넷망 차단 조치를 적용하고 망간 자료전송시스템을 구축·운영하고 있으나, 자료 전송에 대한 승인 절차가 부재하고 자료 전송내역에 대한 주기적 검토가 이루어지고 있지 않은 경우 (개정 23.11.23.)
  3. 내부 규정에는 개인정보취급자가 P2P 및 웹하드 사이트 접속 시 책임자 승인을 거쳐 특정 기간 동안만 허용하도록 되어 있으나, 승인절차를 거치지 않고 예외 접속이 허용된 사례가 다수 존재하는 경우 (개정 23.11.23.)
  4. 개인정보 보호법상 정보통신서비스 제공자 특례조항 등 관련 법규에 따라 인터넷망 차단 조치를 적용하였으나, 개인정보처리시스템의 접근권한 설정 가능자 등 일부 의무대상자에 대하여 망분리 적용이 누락된 경우
  5. 망분리 의무대상으로서 망분리를 적용하였으나 타 서버를 경유한 우회접속이 가능하여 망분리가 적용되지 않은 환경에서 개인정보처리시스템 접속 및 개인정보의 다운로드, 파기 등이 가능한 경우 개인정보 보호법에 따른 인터넷망 차단 조치 의무대상으로서 인터넷망 차단 조치를 적용하였으나, 다른 서버를 경유한 우회접속이 가능하여 인터넷망 차단 조치가 적용되지 않은 환경에서 개인정보처리시스템에 접속하여 개인정보의 다운로드, 파기 등이 가능한 경우 (개정 23.11.23)
  6. (CELA)망분리 적용이 미흡하여 개인정보 취급자 단말기에서 내부 시스템과 외부 인터넷 모두 접근이 가능한 경우
  7. (CELA)유해사이트 차단 시스템을 운영하고 있으나 차단 정책이 적용되지 않은 경우
  8. (CELA)개인정보 취급자 PC에서 P2P 및 웹하드 사이트에 접속이 가능하여 인터넷 접속 통제가 미흡한 경우