ISMS-P 결함사례 (3/7)

2.4.1 보호구역 지정
	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재      - 2.4 물리적보안 - 구출정설작반업
사례 1 : 내부 물리보안 지침에는 개인정보 보관시설 및 시스템 구역을 통제구역으로 지정한다고 명시되어 있으나            멤버십 가입신청 서류가 보관되어 있는 문서고 등 일부 대상 구역이 통제구역에서 누락된 경우 사례 2 : 내부 물리보안 지침에 통제구역에 대해서는 지정된 양식의 통제구역 표지판을 설치하도록 명시하고 있           으나 일부 통제구역에 표시판을 설치하지 않은 경우

2.4.2 출입통제
(출개과퇴) 출입기록검토 개방된 상태 과도한 출입권한 권한목록에 퇴사자가	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재       - 2.4 물리적보안 - 구출정설작반업
사례 1 : 통제구역을 정의하여 보호대책을 수립하고 출입 가능한 임직원을 관리하고 있으나 (여기까지는 2.4.1 보호               구역지정), 출입기록을 주기적으로 검토하지 않아 퇴직, 전배 등에 따른 장기 미 출입자가 다수 존재하고            있는 경우 (출입기록 검토는 '출입통제' 역할) 사례 2 : 전산실, 문서고 등 통제구역에 출입통제 장치가 설치되어 있으나 타당한 사유 또는 승인 없이 장시간           개방 상태로 유지하고 있는 경우 사례 3 : 일부 외부 협력업체 직원에게 과도하게 전 구역을 상시 출입할 수 있는 출입카드를 부여하고 있는 경우 사례 4 : 통제구역 권한목록에 퇴사자가 존재 기타 : 출입통제 앞에 CCTV 안내판을 설치하지 않았다. (X)        -> 결함아님.. 공개된 장소가 아니기 때문에 안내판 설치는 의무가 아니다.

2.4.3 정보시스템 보호
	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재       - 2.4 물리적보안 - 구출정설작반업
사례 1 : 시스템 배치도가 최신 변경사항을 반영하여 업데이트 되지 않아 장애가 발생된 정보시스템을 신속하게            확인할 수 없는 경우 사례 2 : 서버실 바닥 또는 랙에 많은 케이블이 정리되지 않고 뒤엉켜 있어 전기적으로 간섭, 손상,누수, 부주의            등에 의한 장애 발생이 우려되는 경우 기타 : 렉실장도를 최신화하지 않아 장애시 장애시스템의 위치를 파악하지 못해 RTO를 초과하여 복구하였다.

2.4.4 보호설비 운영
	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재       - 2.4 물리적보안 - 구출정설작반업
사례 1 : 본사 전산실 등 일부 보호구역에 내부 지침에 정한 보호설비를 갖추고 있지 않은 경우 사례 2 : 전산실 내에 UPS, 소화설비 등의 보호설비는 갖추고 있으나 관련 설비에 대한 운영 및 점검기준을 수립           하고 있지 않은 경우 사례 3 : 운영지침에 따라 전산실 내에 온 ․ 습도 조절기를 설치하였으나 용량 부족으로 인하여 표준 온 ․ 습도를           유지하지 못하여 장애발생 가능성이 높은 경우.

2.4.5 보호구역 내 작업
(승인 & 점검) 작업 승인 작업기록 분기별 1회 점검	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재       - 2.4 물리적보안 - 구출정설작반업
사례 1 : 전산실 출입로그에는 외부 유지보수 업체 직원의 출입기록이 남아 있으나, 이에 대한 보호구역 작업           신청 및 승인 내역은 존재하지 않은 경우(내부 규정에 따른 보호구역 작업 신청없이 보호구역 출입 및            작업이 이루어지고 있는 경우) 사례 2 : 내부 규정에는 보호구역 내 작업기록에 대해 분기별 1회 이상 점검하도록 되어 있으나, 특별한 사유            없이 장기간 동안 보호구역 내 작업기록에 대한 점검이 이루어지고 있지 않은 경우

2.4.6 반출입 기기 통제
	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재       - 2.4 물리적보안 - 구출정설작반업
사례 1 : 이동컴퓨팅기기 반출입에 대한 통제 절차를 수립하고 있으나, 통제구역 내 이동컴퓨팅기기 반입에 대한            통제를 하고 있지 않아 출입이 허용된 내외부인이 이동컴퓨팅기기를 제약없이 사용하고 있는 경우 사례 2 : 내부 지침에 따라 전산장비 반.출입이 있는 경우 작업계획서에 반출입 내용을 기재하고 관리책임자의            서명을 받도록 되어 있으나, 작업계획서의 반출입 기록에 관리책임자의 서명이 다수 누락되어 있는 경우

2.4.7 업무환경 보안
	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재       - 2.4 물리적보안 - 구출정설작반업
사례 1 : 개인정보 내부관리계획서 내 개인정보보호를 위한 생활보안 점검(클린데스크 운영 등)을 정기적으로            수행하도록 명시하고 있으나 이를 이행하지 않은 경우 사례 2 : 멤버십 가입신청서 등 개인정보가 포함된 서류를 잠금장치가 없는 사무실 문서함에 보관한 경우 사례 3 : 직원들의 컴퓨터 화면보호기 및 패스워드가 설정되어 있지 않고 휴가자 책상 위에 중요문서가 장기간            방치되어 있는 경우 사례 4 : 회의실 등 공용 사무 공간에 설치된 공용PC에 대한 보호대책이 수립되어 있지 않아 개인정보가 포함된           파일이 암호화되지 않은 채로 저장되어 있거나 보안 업데이트 미적용, 백신미설치 등 취약한 상태로 유지           하고 있는 경우

2.5.1 사용자 계정 관리
(발최본 공퇴어) 발급절차 수립 최소한 권한만 부여 본인계정에 대한 책임은 본인 공유금지(계정) 퇴직,전보시 지체없이 권한 변경.말소 제조사 기본계정은 어려운 계정으로 변경	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재   - 2.5 인증및 권한관리 - 계식인비특접
사례 1 : 사용자 및 개인정보취급자에 대한 계정 및 권한에 대한 사용자 등록, 해지 및 승인절차 없이 구두 요청,           이메일 등으로 처리하여 이에 대한 승인 및 처리 이력이 확인되지 않는 경우 사례 2 : 개인정보취급자가 휴가, 출장, 공가 등에 따른 업무 백업을 사유로 공식적인 절차를 거치지 않고 개인정            보취급자로 지정되지 않은 인원에게 개인정보취급자 계정을 알려주는 경우            (즉 휴가가면서 내 아이디/패스워드를 다른사람한테 알려주는거 자체가 결함이 아니라 알려줘도 되지만             대신 팀장한테 승인을 받는다던지 하는 공식적인 절차의 의해서 알려줘야 한다는 뜻) 사례 3 : 정보시스템 또는 개인정보처리시스템 사용자에게 필요 이상의 과도한 권한을 부여하여 업무상 불필요한           정보 또는 개인정보에 접근이 가능한 경우

2.5.2 사용자 식별
(제공운admin) 제조사에서 제공하는 기본계정 승인없이 계정을 공유 운영계정을 개인계정처럼 Admin계정을 그대로 사용	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재    - 2.5 인증및 권한관리 - 계식인비특접
사례 1 : 정보시스템(서버, 네트워크, 침입차단시스템, DBMS 등)의 계정 현황을 확인한 결과, 제조사에서 제공하는          기본 관리자 계정을 변경하지 않고 사용하고 있는 경우 사례 2 : 개발자가 개인정보처리시스템 계정을 공용으로 사용하고 있으나, 타당성 검토 또는 책임자의 승인 등이           없이 사용하고 있는 경우 사례 3 : 외부직원이 유지보수하고 있는 정보시스템의 운영계정을 별도의 승인 절차 없이 개인 계정처럼 사용하            고 있는 경우 사례 4 : 관리자가 Admin 계정의 이름을 바꾸지 않고 그대로 사용하고 있다.  * 위 사례들은 결국 실제 누가 접근했는지를 정확하게 식별할수 없게 하는 행위들을 가리킨다.  ▶ 1인 1계정 발급을 원칙으로 하여 사용자에 대한 책임추적성(Accountability) 확보 ▶ 계정 공유 및 공용 계정 사용 제한 ▶ 시스템이 사용하는 운영계정은 사용자가 사용하지 못하도록 제한 ▶ 시스템 설치 후 제조사 또는 판매사의 기본계정 및 시험계정은 제거 또는 추측이 어려운 계정으로 변경하여 사용(디폴트 패스워드 변경 포함) ▶ 관리자 및 특수권한 계정의 경우 쉽게 추측 가능한 식별자(root, admin, administrator 등)의 사용을 제한 업무상 불가피하게 동일한 식별자를 공유하여 사용하는 경우 그 사유와 타당성을 검토하고 책임자의 승인을 받아야 한다. ▶ 업무 분장상 정 ․ 부의 역할이 구분되어 관리자 계정을 공유하는 경우에도 사용자 계정을 별도로 부여 하고 사용자 계정으로 로그인 후 관리자 계정으로 변경 ▶ 유지보수 업무 등을 위하여 임시적으로 계정을 공유한 경우 업무 종료 후 즉시 해당 계정의 비밀번호 변경 ▶ 업무상 불가피하게 공용계정 사용이 필요한 경우 그 사유와 타당성을 검토하여 책임자의 승인을 받 고 책임추적성을 보장할 추가적인 통제방안 적용

2.5.3 사용자 인증
(외실실B)	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재    - 2.5 인증및 권한관리 - 계식인비특접
사례 1 : 개인정보취급자가 공개된 외부 인터넷망을 통해서 개인정보처리시스템에 접근 시 안전한 인증수단(OTP)을           적용하지 않고 아이디 ․ 비밀번호 방식으로만 인증하고 있는 경우 사례 2 : 정보시스템 및 개인정보처리시스템 로그인 실패 시 해당 아이디가 존재하지 않거나 비밀번호가 틀림을           자세히 표시해주고 있으며, 로그인 실패 횟수에 대한 제한이 없는 경우 사례 3 : 개인정보처리시스템이 Brute Force 공격에 취약한 것으로 확인 된 경우            (로그인 실패횟수에 제한을 걸었다면 Brute Force 공격이 성공될수 없었겠지..)

2.5.4 비밀번호 관리
(상임변)	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재    - 2.5 인증및 권한관리 - 계식인비특접
사례 1 : 정보보호 및 개인정보보호 관련 정책, 지침 등에서 비밀번호 생성규칙의 기준을 정하고 있으나 일부 정보            시스템 및 개인정보처리시스템에서 내부 지침과 상이한 비밀번호를 사용하고 있는 경우 사례 2 : 비밀번호 관련 내부 규정에는 비밀번호를 초기화 시 임시 비밀번호를 부여받고 강제적으로 변경하도록           되어 있으나, 실제로는 임시 비밀번호를 그대로 사용하는 경우 사례 3 : 사용자 및 개인정보취급자의 비밀번호 변경주기가 규정되어 있음에도 불구하고 변경하지 않고 그대로 사용            하고 있는 경우

2.5.5 특수 계정 및 권한 관리
	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재    - 2.5 인증및 권한관리 - 계식인비특접
사례 1 : 정보시스템 및 개인정보처리시스템의 관리자 및 특수 권한 부여 등의 승인 이력이 시스템이나 문서상           으로 확인이 되지 않거나, 승인 이력과 특수권한 내역이 서로 일치하지 않는 경우 사례 2 : 내부 규정에는 개인정보 관리자 및 특수권한자를 목록으로 작성 ․ 관리하도록 되어 있으나 이를 작성 ․           관리하고 있지 않거나, 보안시스템 관리자 등 일부 특수권한이 식별 ․ 관리되지 않는 경우 사례 3 : 정보시스템 및 개인정보처리시스템의 유지보수를 위하여 분기 1회에 방문하는 유지보수용 특수 계정이           사용기간 제한이 없이 상시로 활성화되어 있는 경우            (ex) 매월 1회 외주직원이 Anti-Dos 유지보수를 위해 방문하며, 이때 사용되는 계정이 상시 활성화 되어 있음 사례 4 : 관리자 및 특수 권한의 사용 여부를 정기적으로 검토하지 않아 일부 특수권한자의 업무가 변경되었음에            도 불구하고 기존 관리자 및 특수 권한을 계속 보유하고 있는 경우            (ex) 방화벽 관리자가 타부서로 발령났으나 여전히 방화벽 접속권한을 보유하고 있음)

2.6.1 네트워크 접근
(V공내외케)	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재   - 2.6 접근통제 - 네정응데무원인
사례 1 : 네트워크 구성도와 인터뷰를 통해 확인한 결과, 외부 지점에서 사용하는 정보시스템 및 개인정보처리시            스템과 IDC에 위치한 서버간의 연결 시 일반 인터넷 회선을 통해 데이터 송수신을 처리하고 있어 내부            규정에 명시된 VPN이나 전용망 등을 이용한 통신이 이루어지고 있지 않은 경우 사례 2 : 내부망에 위치한 DB서버 등 일부 중요 서버의 IP주소가 내부 규정과 달리 공인 IP로 설정되어 있고, 네트            워크 접근 차단이 적용되어 있지 않은 경우 사례 3 : 서버팜이 구성되어 있으나 네트워크 접근제어 설정 미흡으로 내부망에서 서버팜으로의 접근이 과도하게            허용되어 있는 경우 사례 4 : 외부자(외부 개발자, 방문자 등)에게 제공되는 네트워크를 별도의 통제 없이 내부 업무 네트워크와 분리            하지 않은 경우 사례 5 : 내부 규정과는 달리 MAC 주소 인증, 필수 보안 소프트웨어 설치 등의 보호대책을 적용하지 않은 상태로            네트워크 케이블 연결만으로 사내 네트워크에 접근 및 이용할 수 있는 경우

2.6.2 정보시스템 접근
(세경불독 IP제한)	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재    - 2.6 접근통제 - 네정응데무원인
서버, 네트워크시스템, 보안시스템 등 정보시스템 별 운영체제(OS)에 접근이 허용 되는 사용자, 접근 가능 위치, 접근 수단 등을 정의하여 통제하고 있는가? Ÿ 정보시스템에 접속 후 일정시간 업무처리를 하지 않는 경우 자동으로 시스템 접속이 차단되도록 하고 있는가? Ÿ 정보시스템의 사용목적과 관계없는 서비스를 제거하고 있는가? Ÿ 주요 서비스를 제공하는 정보시스템은 독립된 서버로 운영하고 있는가 사례 1 : 사무실에서 서버관리자가 IDC에 위치한 윈도우 서버에 접근 시 터미널 서비스를 이용하여 접근하고           있으나 터미널 서비스에 대한 Session Timeout 설정이 되어 있지 않아 장시간 아무런 작업을 하지           않아도 해당 세션이 차단되지 않는 경우 사례 2 : 서버 간의 접속이 적절히 제한되지 않아 특정 사용자가 본인에게 인가된 서버에 접속한 후 해당 서버를           경유하여 다른 인가받지 않은 서버에도 접속할 수 있는 경우 사례 3 : 타당한 사유 또는 보완 대책 없이 안전하지 않은 접속 프로토콜(telnet, ftp 등)을 사용하여 접근하고 있으            며, 불필요한 서비스 및 포트를 오픈하고 있는 경우 사례 4 : 응용프로그램의 시스템에 접근 가능한 IP를 제한하지 않는 경우

2.6.3 응용프로그램 접근
(노관동과Like)  : 노출    관리자페이지    동시접속 제한    과도한 정보포함    Like검색	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재    - 2.6 접근통제 - 네정응데무원인
사례 1 : 응용프로그램의 개인정보 처리화면 중 일부 화면의 권한 제어 기능에 오류가 존재하여 개인정보 열람            권한이 없는 사용자에게도 개인정보가 노출되고 있는 경우 사례 2 : 응용프로그램의 관리자 페이지가 외부인터넷에 오픈되어 있으면서 안전한 인증수단이 적용되어 있지            않은 경우 사례 3 : 응용프로그램에 대해 타당한 사유 없이 세션 타임아웃 또는 동일 사용자 계정의 동시 접속을 제한하고            있지 않은 경우 사례 4 : ★★응용프로그램을 통해 개인정보를 다운로드 받는 경우 해당 파일 내에 주민등록번호 등 업무상 불필요한           정보가 과도하게 포함되어 있는 경우 사례 5 : 응용프로그램의 개인정보 조회화면에서 like 검색을 과도하게 허용하고 있어, 모든 사용자가 본인의 업무            범위를 초과하여 전체 고객 정보를 조회할 수 있는 경우

2.6.4 데이터베이스 접근
(물공괄우임) 물리적 동일서버 DB계정 공유 DB접근권한 일괄부여 우회하여 DB접근 임시테이블	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재    - 2.6 접근통제 - 네정응데무원인
사례 1 : 대량의 개인정보를 보관 ․처리하고 있는 데이터베이스를 인터넷을 통해 접근 가능한 웹 응용프로그램과           분리하지 않고 물리적으로 동일한 서버에서 운영하고 있는 경우           또는 DB서버가 DMZ내에 WAS서버와 같이 존재하는 경우           (프로그램들을 같은 서버에 설치하는 경우 2.6.2 정보시스템 접근 결함이고 이건 DB서버를 다른 서버와 같이            운영하는 것을 말한다) 사례 2 : 개발자 및 운영자들이 응응 프로그램에서 사용하고 있는 계정을 공유하여 운영 데이터베이스에 접속하고           있는 경우 (계정공유는 2.5.2 사용자 식별 결함이지만 여기서는 그 계정으로 개인정보처리시스템에 접속한                        게 아니라 운영 DB에 접속한거기때문에 데이터베이스 접근 결함으로 본다) 사례 3 : 내부 규정에는 데이터베이스의 접속권한을 오브젝트별로 제한하도록 되어 있으나, 데이터베이스 접근권           한을 운영자에게 일괄 부여하고 있어 개인정보 테이블에 접근할 필요가 없는 운영자에게도 과도하게 접근          권한이 부여된 경우 (이것도 과도한 권한부여는 2.5.1 사용자계정 결함에 속할수있지만 테이블에 직접 접근                                   하는 계정을 말하는 것으로 데이터베이스 접근 결함으로 봄) 사례 4 : DB접근제어 솔루션을 도입하여 운영하고 있으나, 데이터베이스 접속자에 대한 IP주소 등이 적절히 제한           되어 있지 않아 DB접근제어 솔루션을 우회하여 데이터베이스에 접속하고 있는 경우            (이것도 IP주소제한은 2.6.2.정보시스템 접근 결함으로 볼수 있으나 DB접근제어를 우회하여 DB에 접속한             것으로 데이터베이스 접근 결함이다.) 사례 5 : 개인정보를 저장하고 있는 데이터베이스의 테이블 현황이 파악되지 않아, 임시로 생성된 테이블에 불필           요한 개인정보가 파기되지 않고 대량으로 저장되어 있는 경우

2.6.5 무선 네트워크 접근
	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재    - 2.6 접근통제 - 네정응데무원인
사례 1 : 외부인용 무선 네트워크와 내부 무선 네트워크 영역대가 동일하여 외부인도 무선네트워크를 통해 별도의            통제없이 내부 네트워크에 접근이 가능한 경우 사례 2 : 무선 AP 설정 시 정보 송수신 암호화 기능을 설정하였으나 안전하지 않은 방식으로 설정한 경우 사례 3 : 업무 목적으로 내부망에 연결된 무선AP에 대하여 SSID 브로드캐스팅 허용, 무선AP 관리자 비밀번호            노출(디폴트 비밀번호 사용), 접근제어 미적용 등 보안 설정이 미흡한 경우

2.6.6 원격접근 통제
(IP VPN 외부)	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재    - 2.6 접근통제 - 네정응데무원인
사례 1 : 내부 규정에는 시스템에 대한 원격 접근은 원칙적으로 금지하고 불가피한 경우 IP 기반의 접근통제를            통해 승인된 사용자만 접근할 수 있도록 명시하고 있으나 시스템에 대한 원격데스크톱 연결, SSH 접속            이 IP주소 등으로 제한되어 있지 않아 모든 PC에서 원격 접속이 가능한 경우 사례 2 : 원격운영관리를 위해 VPN을 구축하여 운영하고 있으나 VPN에 대한 사용 승인 또는 접속기간 제한 없이            상시 허용하고 있는 경우 사례 3 : ★★★ 외부 근무자를 위해 개인 스마트 기기에 업무용 모바일 앱을 설치하여 운영 하고 있으나 악성코드          , 분실․도난 등에 의한 개인정보 유출을 방지하기 위한 적절한 보호대책(백신, 초기화, 암호화 등)을 적용           하고 있지 않은 경우 ★★★★ 기타  : 장애대응을 위해 장애대응전담인원의 핸드폰에 업무용앱을 설치하여 내부시스템을 제어할 수 있게 했으나          백신 등 별도의 보안조치를 하지 않은 경우

2.6.7 인터넷 접속 통제
(망분리 망간 P2P웹하드)	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재    - 2.6 접근통제 - 네정응데무원인
사례 1 : 정보통신망법 등 관련 법규에 따라 망분리를 적용하였으나 개인정보처리시스템의 접근권한 설정 가능자            등 일부 의무대상자에 대해 망분리 적용이 누락된 경우 사례 2 : 망분리 의무대상으로서 망분리를 적용하였으나 타 서버를 경유한 우회접속이 가능하여 망분리가 적용           되지 않은 환경에서 개인정보처리시스템 접속 및 개인정보의 다운로드, 파기등이 가능한 경우 사례 3 : DMZ 및 내부망에 위치한 일부 서버에서 불필요하게 인터넷으로의 직접 접속이 가능한 경우 사례 4 : 인터넷 PC와 내부 업무용 PC를 망분리하고 망간 자료전송시스템을 구축 ․ 운영하고 있으나, 자료 전송에           대한 승인 절차가 부재하고 자료 전송 내역에 대한 주기적 검토가 이루어지고 있지 않은 경우 사례 5 : 내부 규정에는 개인정보취급자가 P2P 및 웹하드 사이트 접속 시 책임자 승인을 거쳐 특정기간 동안만            허용하도록 되어 있으나, 승인절차를 거치지 않고 예외 접속이 허용된 사례가 다수 존재하는 경우