ISMS-P 결함사례 (4/7)

2.7.1 암호정책 적용
	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재   - 2.7 암호화적용 - 정키
사례 1 : 내부 정책․지침에 암호통제 관련 법적 요구사항을 고려한 암호화 대상, 암호 강도, 저장및 전송 시 암호화            방법, 암호화 관련 담당자의 역할 및 책임 등에 관한 사항이 적절히 명시되지 않은 경우 사례 2 : 암호정책을 수립하면서 해당 기업이 적용받는 법규를 잘못 적용하여(정보통신망법 대상자에게 개인정보            보호법의 암호화 요건 적용) 암호화 관련 법적 요구사항을 준수하지 못하고 있는 경우 사례 3 : 개인정보취급자 및 정보주체(이용자)의 비밀번호에 대하여 일방향 암호화를 적용하였으나 안전하지 않은            MD5 알고리즘을 사용한 경우 사례 4 : 정보통신망법 및 내부 규정에 따라 인터넷 웹사이트에 대하여 보안서버를 적용하였으나,회원정보 조회            및 변경, 비밀번호 찾기, 비밀번호 변경 등 개인정보가 전송되는 일부 구간에 암호화 조치가 누락된 경우 기타 : 회원가입 페이지 주소가 http로 되어 있음에도 별다른 보안프로그램이나 암호적용을 하지 않은 경우        (https로 하던지 아니면 http로 하되 대신 전송시 암호화를 할 수 있는 방안을 마련해야 함)    ★★★ 회원가입페이지나 로그인페이지의 URL주소를 유심히 봐야한다. https로 되어있는지.. ★★★★

2.7.2 암호키 관리
	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재    - 2.7 암호화적용 - 정키
사례 1 : 암호 정책 내에 암호키 관리와 관련된 절차, 방법 등이 명시되어 있지 않아 담당자 별로 암호키 관리 수준            및 방법이 상이한 등 암호키 관리 상에 취약사항이 존재하는 경우 사례 2 : 내부 규정에 중요 정보를 암호화할 경우 관련 책임자 승인 하에 암호화 키를 생성하고 암호키 관리대장을            작성하도록 정하고 있으나, 암호키 관리대장에 일부 암호키가 누락되어 있거나 현행화되어 있지 않은 경우

2.8.1 보안 요구사항 정의
(인증지표) 인수 전 보안성검증기준/절차 보안성검토 수행증적 개발지침에 보안요구사항 개발표준정의서	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재   - 2.8 정보시스템도입및개발보안 - 요검시데소운
사례 1 : 정보시스템 인수 전 보안성 검증 기준 및 절차가 마련되어 있지 않은 경우 사례 2 : 신규 시스템 도입 시 기존 운영환경에 대한 영향 및 보안성을 검토하도록 내부 규정을 마련하고 있으나           최근 도입한 일부 시스템에 대해 인수테스트(취약점 점검) 등의 관련 보안성검토 수행 증적이 확인되지           않은 경우 사례 3 : 개발 관련 내부 지침에 개발과 관련된 주요 보안요구사항(인증 및 암호화, 보안로그 등)이 정의되어 있지           않은 경우 사례 4 : ʻ개발표준정의서ʼ에 사용자 패스워드를 안전하지 않은 암호화 알고리즘(MD5, SHA1)으로 사용하도록              되어 있어 관련 법적 요구사항을 적절히 반영하지 않는 경우 (2.7.1 암호정책적용 결함 아님!!★)

2.8.2 보안 요구사항 검토 및 시험
(시입취PIA) 시험 입력값 유효성 취약성 점검/개선조치 PIA	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재    - 2.8 정보시스템도입및개발보안 - 요검시데소운
사례 1 : 정보시스템 구현 이후 개발 관련 내부 지침 및 문서에 정의된 보안요구사항을 시험하지 않고 있는 경우 사례 2 : 응용프로그램 테스트 시나리오 및 기술적 취약점 점검항목에 입력값 유효성 체크 등의 중요 점검항목            일부가 누락된 경우 사례 3 : 구현 또는 시험 과정에서 알려진 기술적 취약성이 존재하는지 여부를 점검하지 않거나, 타당한 사유 또는           승인 없이 확인된 취약성에 대한 개선조치를 이행하지 않은 경우 사례 4 : 공공기관이 5만명 이상 정보주체의 고유식별정보를 처리하는 등 영향평가 의무 대상 개인정보파일 및           개인정보처리시스템을 신규로 구축하면서 영향평가(PIA)를 실시하지 않은 경우 사례 5 : ★★★공공기관이 영향평가(PIA)를 수행한 후 영향평가 기관으로부터 영향평가서를 제출받은 지 2개월이            지났음에도 불구하고 영향평가서를 행정안전부장관에게 제출하지 않은 경우★★★

2.8.3 시험과 운영 환경 분리
(소누경) 소스코드 변경 검토.모니터링 누락 경유	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재    - 2.8 정보시스템도입및개발보안 - 요검시데소운
사례 1 : 타당한 사유 또는 승인 없이 별도의 개발환경을 구성하지 않고 운영환경에서 직접 소스코드 변경을 수행            하고 있는 경우 사례 2 : 불가피하게 개발시스템과 운영시스템을 분리하지 않고 운영 중에 있으나, 이에 대한 상호검토 내역,            모니터링 내역 등이 누락되어 있는 경우 사례 3 : 개발시스템이 별도로 구성되어 있으나 개발환경으로부터 운영환경으로의 접근이 통제되지 않아 개발자            들이 개발시스템을 경유하여 불필요하게 운영시스템 접근이 가능한 경우           (예) 운영서버에 netstat -at 를 수행해보니깐 ftp 나 ssh 가 연결(established) 되어 있는 걸로 봐서 개발과                 운영환경이 분리가 안되어 있는거 같다)

2.8.4 시험 데이터 보안
	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재    - 2.8 정보시스템도입및개발보안 - 요검시데소운
사례 1 : 개발 서버에서 사용할 시험 데이터 생성에 대한 구체적 기준 및 절차가 수립되어 있지 않은 경우 사례 2 : 타당한 사유 및 책임자 승인 없이 실 운영데이터를 가공하지 않고 시험 데이터로 사용하고 있는 경우 사례 3 : 불가피한 사유로 사전 승인을 받아 실 운영데이터를 시험 용도로 사용하면서, 테스트 DB에 대해 운영 DB            와 동일한 수준의 접근통제를 적용하고 있지 않은 경우            (예) 운영DB를 데이터를 테스트DB 에 복사해서 사용하고 있음에도 테스트서버에 대한 보안등급이 운영서버                 보다 낮게 설정되어 있어 접근통제가 미흡한 경우 사례 4 : 실 운영데이터를 테스트 용도로 사용한 후 테스트가 완료되었음에도 실 운영데이터를 테스트 DB에서            삭제하지 않은 경우

2.8.5 소스 프로그램 관리
(이형최) 이전 소스 형상관리 최신 소스	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재    - 2.8 정보시스템도입및개발보안 - 요검시데소운
사례 1 : 별도의 소스 프로그램 백업 및 형상관리 시스템이 구축되어 있지 않으며, 이전 버전의 소스코드를 운영            서버 또는 개발자 PC에 승인 및 이력관리 없이 보관하고 있는 경우 사례 2 : 형상관리시스템을 구축하여 운영하고 있으나 형상관리시스템 또는 형상관리시스템에 저장된 소스코드에           대한 접근제한, 접근 및 변경이력이 적절히 관리되지 않고 있는 경우 사례 3 : 내부 규정에는 형상관리시스템을 통해 소스 프로그램 버전관리를 하도록 되어 있으나, 최신 버전의 소스            프로그램은 개발자 PC에만 보관되어 있고 이에 대한 별도의 백업이 수행되고 있지 않은 경우

2.8.6 운영환경 이관
	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재    - 2.8 정보시스템도입및개발보안 - 요검시데소운
사례 1 : 개발․변경이 완료된 소스 프로그램을 운영환경으로 이관 시 검토 ․ 승인하는 절차가 마련되어 있지 않은            경우 사례 2 : 운영서버에 서비스 실행에 불필요한 파일(소스코드 또는 배포모듈, 백업본, 개발 관련 문서,매뉴얼 등)이            존재하는 경우             (운영서버에 소스를 카피해놓고 거기서 컴파일 하는 것은 '소스프로그램관리' 결함이고              운영서버에 소스가 존재하는 경우는 '운영환경이관' 결함이다) 사례 3 : 내부 지침에 운영환경 이관 시 안전한 이관 ․ 복구를 위해 변경작업 요청서 및 결과서를 작성하도록            정하고 있으나 관련 문서가 확인되지 않는 경우

2.9.1 변경관리
D네변 DMZ변경 영향도분석 네트워크 변경 검토및 공지 변경관리시스템 우회	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재   - 2.9 시스템및 서비스 운영관리 - 변성 백로 점시재
사례 1 : 최근 DMZ 구간 이중화에 따른 변경 작업을 수행하였으나 변경 후 발생할 수 있는 보안위험성 및 성능           평가에 대한 수행 ․ 승인 증적이 확인되지 않은 경우 사례 2 : 최근 네트워크 변경 작업을 수행하였으나 관련 검토 및 공지가 충분히 이루어지지 않아 네트워크 구성도           및 일부 접근통제시스템(침입차단시스템, DB접근제어시스템 등)의 접근통제리스트(ACL)에 적절히 반영되           어 있지 않은 경우           (예) 협력사가 철수했으나 방화벽 운영팀에 공지되지 않아 방화벽ACL rule에 여전히 그때 쓰던 IP가 남아있음 사례 3 : 변경관리시스템을 구축하여 정보시스템 입고 또는 변경 시 성능 및 보안에 미치는 영향을분석 ․ 협의하고           관련 이력을 관리하도록 하고 있으나 해당 시스템을 통하지 않고도 시스템 변경이 가능하며 관련 변경사항           이 적절히 검토되지 않는 경우

2.9.2 성능 및 장애관리
(임초반대)	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재    - 2.9 시스템및 서비스 운영관리 - 변성 백로 점시재
사례 1 : 성능 및 용량 관리를 위한 대상별 요구사항(임계치 등)을 정의하고 있지 않거나 정기 점검보고서 등에            기록하고 있지 않아 현황을 파악할 수 없는 경우            (예, IPS임계치에 대한 정의및 임계치 초과시 별도의 대응계획이 존재하지 않음) 사례 2 : 성능 또는 용량 기준을 초과하였으나 관련 검토 및 후속조치방안 수립 ․ 이행이 이루어지고 있지 않은            경우 사례 3 : 전산장비 장애대응절차를 수립하고 있으나 네트워크 구성 및 외주업체 변경 등의 내 ․외부 환경변화가            적절히 반영되어 있지 않은 경우            (네트워크 보안장비 장애 시 대응절차가 수립되어 있으나 담당자 연락처가 이전 유지보수 업체인원의             연락처로 되어 있고, 금년도 도입된 신규장비의 대응절차가 누락되어 있는 경우) 사례 4 : 장애처리절차와 장애유형별 조치방법 간에 일관성이 없거나 예상소요시간 산정에 대한 근거가 부족해            신속 ․ 정확하고 체계적인 대응이 어려운 경우

2.9.3 백업 및 복구관리
	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재    - 2.9 시스템및 서비스 운영관리 - 변성 백로 점시재
사례 1 : 백업 대상, 주기, 방법, 절차 등이 포함된 백업 및 복구 절차가 수립되어 있지 않은 경우 사례 2 : 백업정책을 수립하고 있으나 법적 요구사항에 따라 장기간(6개월, 3년, 5년 등) 보관이 필요한 백업 대상           정보가 백업 정책에 따라 보관되고 있지 않은 경우 사례 3 : 상위 지침 또는 내부 지침에 따라 별도로 백업하여 관리하도록 명시된 일부 시스템(보안시스템 정책 및            로그 등)에 대한 백업이 이행되고 있지 않은 경우 사례 4 : 상위 지침 또는 내부 지침에는 주기적으로 백업매체에 대한 복구 테스트를 수행하도록 정하고 있으나            복구테스트를 장기간 실시하지 않은 경우

2.9.4 로그 및 접속기록 관리
(절차수립-로그기록-로그백업)	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재    - 2.9 시스템및 서비스 운영관리 - 변성 백로 점시재
사례 1 : 로그 기록 대상, 방법, 보존기간, 검토 주기, 담당자 등에 대한 세부 기준 및 절차가 수립되어 있지 않은            경우 사례 2 : 보안 이벤트 로그, 응용 프로그램 및 서비스 로그(Windows 2008 서버 이상) 등 중요 로그에 대한 최대           크기를 충분하게 설정하지 않아 내부 기준에 정한 기간 동안 기록 ․ 보관되고 있지 않은 경우 사례 3 : 중요 Linux/UNIX 계열 서버에 대한 로그 기록을 별도로 백업하거나 적절히 보호하지 않아 사용자의 명령           실행 기록 및 접속 이력 등을 임의로 삭제할 수 있는 경우 사례 4 : 개인정보처리시스템에 접속한 기록을 확인한 결과 접속자의 계정, 접속 일시, 접속자 IP주소 정보는 남기           고 있으나 수행업무(조회, 변경, 삭제, 다운로드 등)와 관련된 정보를 남기고 있지 않은 경우 사례 5 : 로그 서버의 용량의 충분하지 않아서 개인정보처리시스템 접속기록이 3개월 밖에 남아 있지 않은 경우

2.9.5 로그 및 접속기록 점검
	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재    - 2.9 시스템및 서비스 운영관리 - 변성 백로 점시재
사례 1 : 중요 정보를 처리하고 있는 정보시스템에 대한 이상접속(휴일 새벽 접속, 우회경로 접속등) 또는 이상행위            (대량 데이터 조회 또는 소량 데이터의 지속적 ․ 연속적 조회 등)에 대한 모니터링 및 경고 ․ 알림 정책            (기준)이 수립되어 있지 않은 경우 사례 2 : 내부 지침 또는 시스템 등에 접근 및 사용에 대한 주기적인 점검 ․ 모니터링 기준을 마련하고 있으나            실제 이상접속 및 이상행위에 대한 검토 내역이 확인되지 않는 경우 사례 3 : 정보통신망법을 적용받는 정보통신서비스 제공자가 개인정보처리시스템의 접속기록 점검주기를            반기 1회로 정하고 있는 경우 (월1회로 변경)

2.9.6 시간 동기화
	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재    - 2.9 시스템및 서비스 운영관리 - 변성 백로 점시재
사례 1 : 일부 중요 시스템(보안시스템, CCTV 등)의 시각이 표준시와 동기화되어 있지 않으며 관련 동기화 여부에            대한 주기적 점검이 이행되고 있지 않은 경우 사례 2 : 내부 NTP 서버와 시각을 동기화하도록 설정하고 있으나 일부 시스템의 시각이 동기화되지 않고 있고,            이에 대한 원인분석 및 대응이 이루어지고 있지 않은 경우

2.9.7 정보자산의 재사용 및 폐기
	2. 보호대책 요구사항 - 정인외물 인접암정 운보사재    - 2.9 시스템및 서비스 운영관리 - 변성 백로 점시재
사례 1 : 개인정보취급자 PC를 재사용할 경우 데이터 삭제프로그램을 이용하여 완전삭제 하도록 정책 및 절차가           수립되어 있으나, 실제로는 완전삭제 조치 없이 재사용 하거나 기본 포맷만 하고 재사용하고 있는 등 관련           절차가 이행되고 있지 않은 경우 사례 2 : 외부업체를 통해 저장매체를 폐기하고 있으나, 계약 내용 상 안전한 폐기 절차 및 보호대책에 대한 내용이            누락되어 있고 폐기 이행 증적 확인 및 실사 등의 관리 ․ 감독이 이루어지지 않은 경우 사례 3 : 폐기된 HDD의 일련번호가 아닌 시스템 명을 기록하거나 폐기 대장을 작성하지 않아 폐기 이력 및 추적            할 수 있는 증적을 확인할 수 없는 경우 사례 4 : 회수한 폐기 대상 하드디스크가 완전 삭제되지 않은 상태로 잠금장치 되지 않은 장소에 방치되고 있는           경우