728x90
반응형
SMALL

● 개인정보의 안전성 확보조치 기준과 개인정보의 기술적.관리적 보호조치 기준상의 용어정리

개인정보의 안전성 확보조치 기준 개인정보의 기술적, 관리적 보호조치 기준
1. '정보주체' 란 처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람을 말한다.  
2. '개인정보파일' 이란 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물을 말한다. (전자문서 뿐만 아니라 수기도 포함)  
3. '개인정보처리자' 란 업무를 목적으로 개인정보를 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관,법인,단체및 개인 등을 말한다.  
8. '개인정보보호책임자' 1. '개인정보관리책임자'
9. '개인정보취급자' 란 개인정보처리자의 지휘.감독을 받아 개인정보를 처리하는 업무를 담당하는 자로서 임직원,파견근로자,시간제근로자 등을 말한다. 2. '개인정보취급자' 란 이용자의 개인정보를 수집.보관.처
  리,이용,제공,관리 또는 파기 등의 업무를 하는 자를
  말한다.
10. '개인정보처리시스템' 이란 데이터베이스시스템 등 개인정보를 처리할 수 있도록 체계적으로 구성한 시스템을 말한다. 4. '개인정보처리시스템' 이란 개인정보를 처리할 수 있도
 록 체계적으로 구성한 데이터베이스시스템을 말한다.
11. '위험도 분석' 이란 개인정보 유출에 영향을 미칠 수 있는 다양한 위험요소를 식별.평가하고 해당 위험요소를 적절하게 통제할 수 있는 방안마련을 위한 종합적으로 분석하는 행위를 말한다  
19. '접속기록' 이란 개인정보취급자 등이 개인정보처리시스템에 접속한 사실을 알수 있는 계정, 접속일시, 접속자정보, 수행업무 등을 전자적으로 기록한 것을 말한다.  7. '접속기록' 이라 함은 이용자 또는 개인정보취급자 등이
 개인정보처리시스템에 접속하여 수행한 업무내역에 대하여 식별자, 접속일시, 접속지를 알수 있는 정보, 수행업무 등 접속한 사실을 전자적으로 기록하는 것을 말한다.
  3. '내부 관리계획' 이란 정보통신서비스 제공자등이
  개인정보의 안전한 취급을 위하여 개인정보보호 조직의
  구성, 개인정보취급자의 교육, 개인정보 보호조치 등을
  규정한 계획을 말한다.
  11. '보안서버' 라 함은 정보통신망에서 송.수신하는 정보를
  암호화하여 전송하는 웹서버를 말한다.
  12. '인증정보' 라 함은 개인정보처리시스템 또는 정보통신
  망을 관리하는 시스템 등이 요구한 식별자의 신원을
  검증하는 데 사용되는 정보를 말한다

 

● 개인정보보호책임자 (CPO) 지정

국법헌중 고
정3교3군4
34학행
민간기업 사업주 또는 대표자, 임원
(임원이 없는 경우 담당부서장)		 개인정보보호법
임원, 담당부서장
(상시종업원5명미만시 지정안하거나 대표자가 CPO)		 정보통신망법
공공기관 국회,법원,헌법재판소,중앙선관위의 행정사무처리기관
 및 중앙행정기관		 고위공무원단에 속하는 공무원 개인정보보호법
정무직공무원을 장으로 하는
국가기관		 3급 이상 공무원
시.도 및 시.도교육청 3급 이상 공무원
시.군 및 자치구 4급 공무원
3급 공무원을 장으로 하는
국각기관		 4급 이상 공무원
학교 행정사무 총괄자
기타 공공기관 개인정보 처리관련업무를 담당하는
부서의 장

 

정책 (Policy) 반드시 충족해야할 특정 요구사항 또는 규칙에 대한 윤곽을 명세한 문서
표준 (Standard) 모든 사람에게 의해 충족되어야 할 모임 또는 시스템에 특화되거나 절차에 특화된
요구사항
지침 (GuideLine) 최상의 실행을 위해 시스템에 특화되거나 절차에 특화된 제안의 모임
절차 (Procedure) 정보보호 정책 표준 지침을 잘 적용할 수 있도록 도와주는 것으로
사용자 시스템 곤리자 및 운영자가 새로운 계정을 준비하고 적절한 권한을 할당하는
 등의 특정 작업을 수행하는 사람들이 따라할 수 있는 자세한 내용
규정 사내의 내부적인 문서로 특정 프로세스 수행 시 반드시 지켜야 할 항목을 나열한 것.

 

● 암호화 알고리즘 수학적 기반 원리

대칭키 블록암호 DES, AES, ARIA, SEED
스트림암호 RC4
공개키 이산대수 DSA, DH, Elgmal
소인수분해 RSA, Robin
타원곡선 ECC, ECDSA, KCDSA
해시 MDC MD5, SHA-1, SHA-2
MAC HMAC, CMAC, GMAC

 

● 암전한 암호화 알고리즘

  취약한 알고리즘 안전한 알고리즘
대칭키 DES, RC4
128비트 미만 AES, ARIA, SEED		 SEED,
128비트 이상의 ARIA, AES, Blowfish
HEIGHT, LEA, KASUMI
공개키 2048비트 미만의 RSA RSAES-OAEP, RSAES-PKCS1
해시 MD5, SHA-1 , HAS-160 SHA-256 이상
Whirpool

 

728x90
반응형
LIST

'ISMS-P' 카테고리의 다른 글

ISMS-P 키워드별 정리 (9/10)  (0) 2021.06.17
ISMS-P 키워드별 정리 (8/10)  (0) 2021.04.28
ISMS-P 키워드별 정리(6/10)  (4) 2021.02.17
ISMS-P 키워드별 정리(5/10)  (0) 2021.02.15
ISMS-P 키워드별 정리(4/10)  (0) 2021.02.10
728x90
반응형
SMALL
키워드 인증기준 차이점
이상행위 2.9.5 로그및 접속기록 점검 로그및 접속기록 점검에서의 이상접속,이상행위에 대한 모니터링및
점검은 정보시스템 등 내부시스템에서 정상적인 사용자의 정상적인
로그기록을 점검해서 이상행위(과다조회 및 특정범위조회등)를 찾는다는
의미이고
2.11.3 이상행위 분석및 모니터링 이상행위 분석및 모니터링에서의 이상행위란 외부의 비정상적인
해킹시도나 침해시도를 말하는 것이다.
모바일 기기 및
단말기 		2.6.6 원격접근통제
(IP VPN 외부) 		외부근무자를 위해서 근무자의 개인 핸드폰에 업무용 모바일앱을 설치
하는 경우 적절한 보호대책을 하고 있는지츨 체크하는 것이
2.6.6 원격접근통제이고

사례: 외부근무자를 위해 개인 스마트기기에 업무용 모바일앱을 설치하여
       운영하고 있으나 악성코드,분실,도난 등에 의한 개인정보 유출을 방지
       하기 위한 적절하 보호대책을 적용하고 있지 않은 경우
사례 : 장애대응을 위해 장애 대응 전담인원의 핸드폰에 업무용 앱을
        설치하여 내부 시스템 제어를 할수 있게 하였으나 백신 등 보안조치
        를 별도로 적용하지 않은 경우
2.10.6 업무용 단말기의 보안 사무실에서 회사가 제공하는 업무용 PC나 모바일 즉 업무용 단말기들에
대한 보호 및 보안대책을 체크하는 것이 업무용 단말기 보안이다.

사례: 개인정보 업무처리에 이용되는 모바일 기기에 대하여 비밀번호
       설정 등 분실에 대한 보호대책이 적용되어 있지 않은 경우
책상서랍 2.2.3 보안서약 제출된 보안서약서들을 사무실 책상서랍에 방치하는 거나
외주인력에게 징구한 보안서약서를 담당자의 책상서랍에 방치하는건
2.2.3 보안서약 결함이고
2.4.7 업무환경보안 가입신청서 등 개인정보가 포함된 서류를 사무실 책상
서랍에 방치하는 건 2.4.7 업무환경 보안 결합이다.
2.10.7 보조저장매체 관리 개인정보가 포함된 보조저장매체를 사무실 책상서랍에
방치하는 건 2.10.7 보조저장매체 관리의 결함이다.
단순 조회자 2.5.3 사용자 인증 단순 조회업무라고 해도 외부에서 개인정보처리시스템 접속시 안전한
인증수단(OTP) 을 적용해야 한다.

"개인정보의 기술적 관리적 보호조치 기준"에 따르면 개인정보취급자가
외부에서 개인정보처리시스템에 접속시 안전한 인증수단을 적용해야한다.(제4조4항)
여기서 개인정보취급자란 신청기관의 직원뿐만아니라 협력사 및 알바생도
포함된다. 또한 "개인정보취급자"란 이용자의 개인정보를 수집,보관,처리,
이용,제공,관리,파기 등의 업무를 하는 자를 말한다. 그러므로 조회 업무만
하더라도 협력사 직원이 인터넷에서 개인정보처리시스템에 접속시 안전한
인증수단(OTP)을 적용해야 한다.
2.6.7 인터넷 접속 통제 망분리의 경우는 단순조회자의 PC는 망분리 대상이 아니다.
2.6.3 응용프로그램 접근 관리자 전용 응용프로그램은 비인가자가 접근할수 없도록 접근을 통제해
야 하나, 관리자전용 프로그램이 아닌 경우 단순조회권한을 가진 사용자가
로그인시 추가인증 수단(OTP)을 적용해야 하는 것은 아니다.
동의 받을 때
알려야하는
사항 		개인정보 유출시 정보주체에게 알려야할 사항
개인정보보호법 - 1.유출된 개인정보의 항목
                     2.유출된 시점과 그 경위
                     3.피해를 최소화하기 위해 정보주체가 할수 있는 방법
                     4. 개인정보처리자의 대응조치 및 피해 구제절차
                     5.담당부서 및 연락처
정보통신망법 - 1. 유출된 개인정보 항목
                   2. 유출등이 발생한 시점
                   3. 이용자가 취할 수 있는 조치
                   4. 정보통신제공자의 대응조치
                   5. 부서및 연락처
개인정보 수집,이용 동의시  개인정보보호법(목항기거)      정보통신망법(목항기)
1.수집.이용 목적               1.수집.이용 목적
2.항목                             2.항목
3.보유및 이용기간             3.보유및 이용기간
4.동의를 거부할 권리
간접수집 출처 고지 요청  2. 통지해야 할 사항 (출목정)
   - 개인정보의 수집 출처
   - 개인정보의 처리 목적
   - 개인정보 처리의 정지를 요구할 권리
공고성정보 수신동의 내용 통지 1. 전송자의 명칭
2. 수신자의 수신동의 사실과 수신 동의한 날짜
3. 수신동의에 대한 유지 또는 철회의 의사를 표하는 방법

(예) OO쇼핑몰 수신동의 내역을 알려드립니다.
      …………………………….
    가. 광고정보 수신 동의여부및 동의일자
         광고성 문자 : 미동의
         광고성 Email : 동의 (2020-05-17)
         광고성 전화 : 미동의
         APP Push : 동의 (2020-05-17)
    나. 동의 철회방법
         .......................................
공공기관 목적외 이용,제공시 제공대장에 기록 항목 명명 목항기 근형
[개인정보보호법 시행령]
제15조 (개인정보의 목적외 이용 또는 제3자 제공의 관리)
<목적외 이용 및 제3자 제공 대장 기록 항목>
1. 이용하거나 제공하는 개인정보 또는 개인정보파일의 명칭
2. 이용기관 또는 제공받는 기관의 명칭
3. 이용 목적 또는 제공받는 목적
4. 이용 또는 제공의 법적 근거
5. 이용하거나 제공하는 개인정보의 항목
6. 이용 또는 제공 날짜,주기 또는 기간
7. 이용하거나 제공하는 형태
3자 제공 동의     개인정보보호법(목항기거자)             정보통신망법(목항기자)
1.제공받는자                                    1.제공받는자
2.제공받는자의 이용목적                    2.제공받는자의 이용목적
3.제공하는 개인정보 항목                   3.제공하는 개인정보 항목
4.제공받는자의 보유및 이용기간          4.제공받는자의 보유및 이용기간
5.동의를 거부할 권리
업무 위탁 정통망법 에서만 위탁시 동의 필요
  (1) 처리위탁을 받은 자
  (2) 처리위탁하는 업무의 내용
영업 양도 시  1.개인정보를 이전하려는 사실
 2.이전받는자의 성명,주소,전화번호 및 연락처
   (이전하는 자의 정보는 고지 안해도 됨)
 3.이전을 원하지 않는 경우 조치방법 및 절차
국외 이전 시    개인정보법    - 목항기거자
   정보통신망법 - 목항기자 국일방
          - 이전되는 개인정보 항목
          - 이전되는 국가. 이전일시, 이전방법 (국일방)
          - 이전받는 자의 성명
          - 이전받는 개인정보의 목적및 보유.이용기간
 법률에 의해 장기간 보관 3.4.1 개인정보의 파기 콜센터에서 수집되는 민원처리 관련 개인정보(상담이력, 녹취 등)를 전자상거래법을 근거로 3년간 보존하고 있으나, 3년이 경과한 후에도 파기하지 않고 보관하고 있는 경우 
 -> 파기하지 않고 있다는게 결함
3.4.2 처리목적 달성 후 보유 시 조치 전자상거래법에 따른 소비자 불만 및 분쟁처리에 관한 기록을 법적 의무보존 기간인 3년을 초과하여 5년간 보존하고 있는 경우.
-> 파기는 했으나 3년만 보관하고 파기해야 하나 5년
   이나 보관한 후 파기했다는 것이 결함
과도한 권한부여 2.2.1 주요 직무자 지정 및 관리
(누포괄) 		사례: 부서단위로 개인정보취급자 권한을 일괄 부여하고 있어 실제 개인정보를 취급할 필요가 없는 인원까지 과다하게 개인정보취급자로 지정된경우
2.5.1 사용자 계정 관리
(발최본 공퇴어) 		사례: 정보시스템 또는 개인정보처리시스템 사용자에게 필요 이상의 과도한 권한을 부여하여 업무상 불필요한 정보 또는 개인정보 접근이 가능한
경우
조직구성 1.1.1 경영진의 참여

(권장절증) 		사례 : 경영진의 정보보호및 개인정보보호 업무에 참여를 명시한 정책 또는
        문서화된 증적이 없다.
1.1.3 조직구성 사례 : 정보보호 최고책임자(CISO), 개인정보 보호책임자(CPO), 개인정보보호 실무조직, 위원회 등 정보보호 및 개인정보호보 조직의 구성.운영 관련
사항이 정책서에 명시되지 않았다.
2.1.2 조직의 유지관리

(역평의명) 		사례: 정보보호 최고책임자 및 개인정보 보호책임자가 지정되어 있으나, 관련 법령에서 요구하는 역할 및 책임이 내부 지침이나 직무기술서 등에 구체적으로 명시되어 있지 않은 경우
내부관리계획 2.1.1 정책수립

(의전공열내) 		50만명 이상의 정보주체에 대한 개인정보를 보유하고 있는 중견기업에서
개인정보 관련 내규 및 내부관리계획을 수립하였으나 관련법규에서 요구하는 내부관리계획요건이 포함되어 있지 않다
 -> 내부관리계획은 작성했으나 항목구성이 불충분하다는 뜻.
2.1.1 정책의 유지관리

일신명변 		사례 5 : 개인정보 보호 관련 법령, 고시 등에 중대한 변경사항이 발생하였으나 이러한 변경이 개인정보보호 정책 및 시행문서에 미치는 영향을 검토
하지 않았거나 변경사항을 반영하여 개정하지 않은 경우
 -> 내부관리계획 항목은 맞게 작성했으나 일부 항목이 변경된 법령을 반영
     하지 못하고 있는 경우를 뜻한다.
외부에서 접근 2.5.3 사용자 인증
       (외실실B) 		사례 1 : 개인정보취급자가 공개된 외부 인터넷망을 통해서 개인정보처리시스템에 접근 시 안전한 인증수단(OTP)을 적용하지 않고 아이디․비밀번호
방식으로만 인증하고 있는 경우
2.6.6 원격접근 통제
   (IP VPN 외부) 		사례 3 : 외부 근무자를 위해 개인 스마트 기기에 업무용 모바일 앱을 설치하여 운영 하고 있으나 악성코드 , 분실․도난 등에 의한 개인정보 유출을
방지하기 위한 적절한 보호대책(백신, 초기화, 암호화 등)을 적용 하고 있지
않은 경우
취약점 2.8.2 보안 요구사항 검토 및 시험 사례 3 : 구현 또는 시험 과정에서 알려진 기술적 취약성이 존재하는지 여부를 점검하지 않거나, 타당한 사유 또는 승인 없이 확인된 취약성에 대한
개선조치를 이행하지 않은 경우
2.11.2 취약점 점검 및 조치 사례 2 : 취약점 점검에서 발견된 취약점에 대한 보완조치를 이행하지 않았거나,단기간 내에 조치 할 수 없는 취약점에 대한 타당성 검토 및 승인 이력이 없는 경우
직무분리 2.2.2 직무 분리 기타 : Devops 도입으로 인하여 개발과 운영직무를 별도 분리하고 있지 않는 정책을 운영하고 있지만 별도 보안통제가 이루어지지 않는 경우
2.8.3 시험과 운영 환경 분리 사례 2 : 불가피하게 개발시스템과 운영시스템을 분리하지 않고 운영 중에 있으나, 이에 대한 상호검토 내역, 모니터링 내역 등이 누락되어 있는 경우
법개정 반영 1.4.1 법적요구사항준수 검토 사례 1 : 정보통신망법 및 개인정보 보호법이 최근 개정되었으나, 개정사항이 조직에 미치는 영향을 검토하지 않았으며 정책서 및 시행문서에도 해당
내용을 반영하지 않아 정책서 및 시행문서의 내용이 법령의 내용과 일치
하지 않은 경우
2.1.1 정책의 유지관리

일신명변 		사례 5 : 개인정보 보호 관련 법령, 고시 등에 중대한 변경사항이 발생하였으나 이러한 변경이 개인정보보호 정책 및 시행문서에 미치는 영향을 검토
하지 않았거나 변경사항을 반영하여 개정하지 않은 경우
재위탁 2.3.3 외부자 보안 이행 관리 사례 3 : 정보통신서비스 제공자인 신청기관으로부터 개인정보 처리업무를
  위탁받은 수탁자 중 일부가 신청기관의 동의 없이 해당 업무를 재위탁한
  경우
3.3.2 업무위탁에 따른 정보주체고지 사례 3 : 정보통신서비스 제공자로부터 개인정보 처리업무를 위탁받은 수탁자가 위탁자의 승인없이 개인정보 처리업무를 재위탁 한 경우

 

728x90
반응형
LIST

'ISMS-P' 카테고리의 다른 글

ISMS-P 결함사례 (2/7)  (0) 2021.01.25
ISMS-P 결함사례(1/7)  (0) 2021.01.22
ISMS-P 유사 인증기준 항목 비교 (1/2)  (0) 2021.01.19
ISMS-P 인증기준 - 3. 개인정보 처리단계별 요구사항(3/3)  (0) 2021.01.17
ISMS-P 인증기준 - 3. 개인정보 처리단계별 요구사항(2/3)  (0) 2021.01.15
728x90
반응형
SMALL

 

2. 보호대책 요구사항 - 정인외물 인접암정 운보사재
2.1 정책,조직,자산 정 – 정조자  2.1.1 정책의 유지관리
2.1.2 조직의 유지관리
2.1.3 정보자산 관리
2.2 인적보안 인 – 직분서인퇴위 2.2.1 주요 직무자 지정 및 관리
2.2.2 직무 분리
2.2.3 보안 서약
2.2.4 인식제고 및 교육훈련
2.2.5 퇴직 및 직무변경 관리
2.2.6 보안 위반 시 조치
2.3 외부자보안 외 – 현계보변 2.3.1 외부자 현황 관리
2.3.2 외부자 계약 시 보안
2.3.3 외부자 보안 이행 관리
2.3.4 외부자 계약 변경 및 만료시 보안
2.4 물리보안 물 – 구출정설작반업  2.4.1 보호구역 지정
2.4.2 출입통제
2.4.3 정보시스템 보호
2.4.4 보호설비 운영
2.4.5 보호구역 내 작업
2.4.6 반출입 기기 통제
2.4.7 업무환경 보안
2.5 인증및 권한관리 인 – 계식인비특접 2.5.1 사용자 계정 관리
2.5.2 사용자 식별
2.5.3 사용자 인증
2.5.4 비밀번호 관리
2.5.5 특수 계정 및 권한관리
2.5.6 접근권한 검토
2.6 접근통제 접 – 네정응데무원인  2.6.1 네트워크 접근
2.6.2 정보시스템 접근
2.6.3 응용프로그램 접근
2.6.4 데이터베이스 접근
2.6.5 무선 네트워크 접근
2.6.6 원격접근 통제
2.6.7 인터넷 접속 통제
2.7 암호화적용 암 – 정키 2.7.1 암호정책 적용
2.7.2 암호키 관리
2.8 정보시스템 도입및개발보안 정 – 요검시데소운 2.8.1 보안 요구사항 정의
2.8.2 보안 요구사항 검토 및 시험
2.8.3 시험과 운영환경 분리
2.8.4 시험 데이터 보안
2.8.5 소스 프로그램 관리
2.8.6 운영환경 이관
2.9 시스템 및 서비스 운영관리 운 – 변성 백로 점시재  2.9.1 변경관리
2.9.2 성능 및 장애관리
2.9.3 백업 및 복구관리
2.9.4 로그 및 접속기록 관리
2.9.5 로그 및 접속기록 점검
2.9.6 시간 동기화
2.9,.7 정보자산 재사용 및 폐기
2.10 시스템 및 서비스 보안관리 보 – 보클 공거전 업보 패악 2.10.1 보안시스템 운영
2.10.2 클라우드 보안
2.10.3 공개서버 보안
2.10.4 전자거래 및 핀테그 보안
2.10.5 정보전송 보안
2.10.6 업무용 단말기 보안
2.10.7 보조저장매체 관리
2.10.8 패치관리
2.10.9 악성코드 통제
2.11 사고예방 및 대응 사 – 체취이훈대 2.11.1 사고예방 및 대응체계 구축
2.11.2 취약점 점검 및 조치
2.11.3 이상행위 분석 및 모니터링
2.11.4 사고대응훈련 및 개선
2.11.5 사고대응 및 복구
2.12 재해복구 재 – 안시 2.12.1 재해.재난 대비 안전조치
2.12.2 재해 복구 시험 및 개선

 

2.5 인증 및 권한관리 (계신인비특접)

항목 설명 및 사례 keyword
2.5.1 사용자 계정 관리
 
    (발최본 공퇴어)
발급절차
최소한의 권한
본인
공유금지
퇴직 등 지체없이
어려운 계정으로		 •사용자계정및 접근권한 등록.변경.삭제 절차 수립 
•최소한의 권한만 부여  
•본인계정에 대한 보안책임은 본인에게 있음. 
  (공식적인 절차없이 다른직원에게 본인의 계정정보 알려줌) 
  (출장가면서 다른사람에게 개인정보취급자 계정을 알려준경우)
① 정보시스템과 개인정보 및 중요정보에 대한 비인가 접근을 통제하기 위하여 다음의 사항을 고려하여 공식적인 사용자 계정 및 접근권한 등록 ․변경․삭제․해지 절차를 수립 ․이행하여야 한다. 
  ▶ 사용자 및 개인정보취급자 별로 고유한 사용자 계정 발급 및  
      공유 금지  
  ▶ 사용자 및 개인정보취급자에 대한 계정 발급 및 접근권한 부여․변경 
      시 승인 절차 등을 통한 적절성 검토 
  ▶ 전보, 퇴직 등 인사이동 발생 시 지체없이 접근권한 변경 또는 말소 
      (계정 삭제 또는 비활성화 포함) 
  ▶ 정보시스템 설치 후 제조사 또는 판매사의 기본 계정, 시험 계정 등 
      은 제거하거나 추측하기 어려운 계정으로 변경 
  ▶ 사용자 계정 및 접근권한의 등록․변경․삭제․해지 관련 기록의 유지 
       관리 등
② 정보시스템과 개인정보 및 중요정보에 접근할 수 있는 사용자 계정  
    및 접근권한 생성․등록․변경 시 직무별 접근권한 분류 체계에 따라  
    업무상 필요한 최소한의 권한만을 부여하여야 한다. 
 ▶ 정보시스템 및 개인정보처리시스템에 대한 접근권한은 업무 수행  
     목적에 따라 최소한의 범위로 업무 담당자에게 차등 부여 
 ▶ 중요 정보 및 개인정보에 대한 접근권한은 알 필요(need-to-know),  
     할 필요(need-to-do)의 원칙에 의해 업무적으로 꼭 필요한 범위에  
     한하여 부여 
 ▶ 불필요하거나 과도하게 중요 정보 또는 개인정보에 접근하지 못하 
     도록 권한 세분화 
 ▶ 권한 부여 또는 변경 시 승인절차 등을 통하여 적절성 검토 등 

③ 사용자에게 계정 및 접근권한을 부여하는 경우 해당 계정에 대한  
    보안책임이 본인에게 있음을 명확히 인식시켜야 한다.
 발급절차(등록,변경,삭제),  
최소권한,  
계정책임(본인) 
2.5.2 사용자 식별 •사용자별로 유일하게 구분할수 있도록 식별자 할당 
  -.1인1계정으로 책임추적성 확보 
  -.운영계정은 일반사용자가 사용금지 
  -.제조사의 기본계정,시험계정은 변경해서 사용 
•추측가능한 식별자 사용 제한 
•불가피하게 식별자 공유시 승인을 받아야 함. 
(즉 공유는 가능하나 승인을 받아라)
 ★ 2.5.1 사용자계정관리의 공유는 자기 계정을 다른사람에게 알려주는 것을 말함.  여기서의 공유는 하나의 계정을 여러사람이 같이 사용하는 것을 말함
예) 다수의 개발자가 계정을 공용을 사용하고 있음 
     외주직원이 별도 승인없이 운영계정을 개인계정처럼 사용하고 있음		 유일식별자,  
추측제한,  
공유식별자 타당성,  
보완대책,  
승인 
2.5.3 사용자 인증

(외실실B)
외부에서 접속시
로그인 실패시
로그인 실패횟수
Brute Fore		 •안전한 인증절차와 강화된 인증방식 
•로그인횟수 제한, 불법로그인시도 경고 
•외부에서 접속시 인증수단 적용(인증서,보안토큰,OTP) 
예) 외부에서 접근시 아이디.비밀번호로만 인증  
    로그인실패시 왜 틀렸는지 자세히 알려줌 
    로그인실패 횟수에 대한 제한이 없음 
    Brute Force 비밀번호 공격에 취약하다		 인증 절차, 
로그인 횟수제한, 
불법 로그인 시도 경고, 
외부 개처시 안전 인증&접속 
2.5.4 비밀번호 관리 • 개인정보취급자의 비밀번호는 
 - 영문,숫자,특수문자 중 2종류 이상을 조합하여  최소10자리
 - 3종류 이상을 조합하여 최소8자리 이상
• 이용자의 비밀번호는 비밀번호 작성규칙을 따르면된다		 관리 절차, 
작성규칙(사용자, 이용자) 
2.5.5 특수 계정 및 권한관리 •관리자권한등 특수권한은 최소한으로 공식적인
  승인절차를 수립.이행
•특수목적용 계정및 권한 통제절차
(예, 방화벽 관리자 계정,네트워크관리자계정,분기별 외부 유지보수 계정)		 최소인원,
공식 승인,
별도 목록화,
검토 
2.5.6 접근권한 검토 •계정및 권한에 대한 등록,부여,이용,변경,삭제,말소에
  대한 이력을 관리
•계정및 권한에 대한 적성성 검토 절차 수립 및 이행
•적정성검토시 발견된 오남용 사례에 대한 조치이행
예) 내부지침에는 장기미사용자 계정은 삭제조치를 하도록 되어있으나
     6개월이상 미사용자 계정이 활성화되어 있음 (접근권한검토가 충실
     히 수행되지 않아 해당 계정이 식별되지 않은 경우)		 계정및 접근권한 변경이력 남김,
검토(기준, 주체, 방법, 주기),
문제점 조치 

 

2.6 접근통제 (네정응데무원인)

항목 설명 및 사례 keyword
2.6.1 네트워크 접근 •네트워크에 접근가능한 모든 경로식별 및 통제
  - 불필요한 서비스 및 포트 차단
•중요도에 따라 논리적,물리적 분리
  - DMZ,서버팜,DB판,운영환경,개발환경,외부자환경
•대역별로 IP주소 부여기준 마련
  - 내부망에서는 NAT , 사설IP 사용
•외부에서 접속시 VPN,전용선 사용
예) 내부규정과 달리 MAC주소인증, 필수보안 소프트웨어 설치 등의 보호
     대책을 적용시키지 않은상태로 네트워크 케이블만으로 사내 네트워
     크에 접속허용
예) 서버팜이 구성되어 있으나 네트워크접근설정 미흡으로 내부망에서
     서버팜으로의 과도한 접근이 발생
예) 내부망 일부 DB서버가 공인IP로 설정되어 있음 		내부망 인가 사용자 접근,
영역간 접근통제,
IP주소 기준(사설 IP),
원거리 전송구간 보호 
2.6.2 정보시스템 접근 •정보시스템의 OS운영체제에 접근가능한 사용자관리
 -접속한 서버에서 다른 미인가서버로 우회접속이 가능
   * 서버팜 내 서버간의 접근제어가 미흡한 경우
 -응용프로그램의 시스템에 접근가능한 IP를 제한
•일정시간 사용안할시 자동로그아웃(Session Timeout)
•침해사고 유발가능한 서비스(Telnet,FTP..), 포트 차단
 - Telnet  대신 안전한 SSH  사용
•주요서비스는 독립서버로 제공
① 서버, 네트워크시스템, 보안시스템 등 정보시스템 별 운영체제(OS)에
   접근이 허용되는 사용자, 접근 가능 위치, 접근 수단 등을 정의하여
   통제하여야 한다. ( 안전한 접근수단 적용 : SSH, SFTP )
② 정보시스템에 접속 후 일정시간 업무처리를 하지 않는 경우 자동으로
    시스템 접속이 차단되도록 조치 하여야 한다.
③ 정보시스템의 사용 목적과 관련이 없거나 침해사고를 유발할 수 있는
    서비스 또는 포트를 확인하여 제거 또는 차단하여야 한다
④ 주요서비스를 제공하는 서버는 독립된 서버로 운영하여야 한다
   (예를 들어 백업서버에 보안 솔루션 관리자 프로그램을 깔아서 같이
    서버를 사용하는 경우)		 서버, NW, 보안 Sys OS 접근통제
,세션타임아웃
,불필요 서비스, 포트
,주요서비스 독립서버 
2.6.3 응용프로그램 접근 •응용프로그램 자체 접근권한
•응용프로그램내 메뉴들에 대한 접근권한
•응용프로그램내 조회,화면표시,인쇄,다운로드시 중요정보 노출 최소화
 (과도한 Like 허용으로 전체정보조회)
•일정시간 세션 자동로그아웃 및 동시접속 제한
•관리자전용 응용프로그램 접근통제		 접근권한 차등부여,
정보노출 최소화,
세션타입아웃,
동시접속 제한,
관리자페이지 통제 
2.6.4 데이터베이스 접근 •무선AP및 네트워크 구간보호를 위해 인증,송수신데이터 암호화 보호
 대책 수립.이행  (SSID를 허용했다든지, 암호화를 안전하지 않은 방식
  으로 했다든지..)
•무선네트워크 사용신청 절차 수립.이행
•Ad-Hoc접속및 미인가 AP탐지
예) DB서버를 다른 응용프로그램서버와 물리적으로 동일한 서버에서
    운영
예) 계정을 공유하여 DB에 접속
예) 테이블현황이 파악되지 않아 개인정보가 임시저장된 테이블에
     불필요한 개인정보가 파기되지 않고 저장되어 있는 경우 		테이블 목록 식별,
접근통제(응용프로그램, 서버, 사용자
2.6.5 무선 네트워크 접근 •무선AP및 무선네트워크 구간을 위한 보호대책 수립,이행.
 - AP목록관리 , 무선네트워커 ACL설정
 - 정보송수신시 암호화 (WPA2-Enterprise)
 - 무선AP 접속단말 인증 (MAC인증)
 - SSID숨김기능 설정
 - WIPS 운영
•원격접속은 원천적으로 금지하고 불가피한 경우  IP기반으로 승인		 무선네트워크 보호대책 (인증, 암호화),
사용절차,
비인가 무선네트워크 대책 
2.6.6 원격접근 통제 •외부인터넷을 통한 정보시스템 원격운영 금지.
 허용한다면 보완대책마련 (백신,도난방지등)
•내부에서 원격으로 정보시스템 원격운영시 허용된 IP만 허용
•재택근무,장애대응,원격협업 시 보호대책 수립.이행
•개인정보처리시스템의 관리, 운영, 개발, 보안 등을 목적으로 원격으로
  개인정보처리시스템에 직접 접속하는 단말기(관리용 단말기)에 대하여
  보호조치(단말지정)를 적용하여야 한다.
•외부 근무자의 스마트기기에 업무용 모바일앱을 설치하여 운영하는
 경우 분실,악성코드에 의한 개인정보유출 방지하기 위한 보호대책
  적용해야함		 원칙금지,
보완대책(승인, 접근 단말 지정,허용범위, 기간,강화 인증, 암호화,보안) 
2.6.7 인터넷 접속 통제 •업무용 단말기의 인터넷접속 통제
  - P2P,웹하등
•정보시스템에서 불필요한 인터넷접속 통제
•망분리 적용 (100만명, 100억)  <- 이용내역 통지대상 조건도 100,100
  (단, 망분리는 정통망법에 의한 정보통신서비스제공자가 대상이지 공공기관은 아님)
•망간 자료전송(망연계시스템)에 대한 승인절차가 있어야 하고
 주기적으로 전송내역에 대한 검토를 해야한다		 주요 직무자, 취급 단말기
인터넷 접속 통제,
정보시스템(DB서버) 인터넷 접속
, 망분리 

 

2.7 암호화 적용 (정키)

항목 설명 및 사례 keyword
2.7.1 암호정책 적용 •법적 요구사항을 반영한 암호정책 수립
•암호정책에 따라 암호화 수행

예)암호정책을 수립하면서 정보통신망법 대상자에게 개인정보보호법
    암호화 요건을 적용한 경우
예)정보주체 비밀번호 암호화를 MD5로 지정한 경우
예)내부정책에 법적요구사항을 고려한 암호화 대상 및 강도 등이 명시
   되어 있지 않은 경우 		암호정책(대상, 강도, 사용),
저장, 전송, 전달 시 암호화 
2.7.2 암호키 관리 예)정책내에 암호키 관리와 관련된 절차,방법등이 명시되지 않아 담당자
   별로 암호키 관리 수준 및 방법이 상이함
예)암호키 관리대장에 일부 암호키가 누락되거나 현행화 되어 있지 않은
   경우		 암호키 관리절차(생성, 이용,변경,파기),
복구방안(보관, 접근권한 최소화) 


2.8 정보시스템 도입 및 개발보안 (요검시대소운)

항목 설명 및 사례 keyword
2.8.1 보안 요구사항 정의 •정보시스템 도입,개발,변경하는 경우 보안성 검증 기준 및 절차 명시
  (RFP,구매계약서)
•보안요구사항을 설계단계 및 내부개발지침에 적용
•개발표준정의서에 시큐어코딩 기준 마련
예) 정보시스템 인수 전 보안성검증절차가 마련되지 않은 경우
예) 개발표준정의서에 사용자 패스워드를 안전하지 않은 암호화알고리즘
    을 사용하도록 되어있는경우
예) 개발관련 내부지침에 보안요구사항이 정의되어 있지 않은 경우
① 정보시스템을 신규로 도입․개발 또는 변경하는 경우 정보보호 및
    개인정보보호 측면의 타당성을 검토 하고 인수할 수 있도록 절차를
    수립․이행하여야 한다
② 정보시스템을 신규로 도입․개발 또는 변경하는 경우 법적 요구사항,
    최신 취약점 등을 포함한 보안 요구사항을 명확히 정의하고
    설계 단계에서부터 반영하여야 한다
③ 정보시스템의 안전한 구현을 위한 시큐어 코딩 표준을 마련하고 적용		 도입 시 타당성 검토 및 인수절차
보안요구사항 정의
시큐어코딩 표준 
2.8.2 보안 요구사항 검토및 시험 •2.8.1에서 명시된 보안요구사항을 시험 및 검증수행
•취약점점검, 소스코드검증
•개인정보 영향평가 의무대상인지를 검토하여 대상이
 면 영향평가를 수행해야 한다.
 * 개인정보 영향평가 의무대상(PIA) *
 - 5만명 이상의 민감정보,고유식별정보 처리
 - 50만명 이상의 연계결과 개인정보처리 시
 - 100만명 이상의 정보주체에 대한 개인정보파일		 검토기준(법 요건, 보안취약점, 시큐어코딩, 개인정보영향평가)수립 및 점검, 개선조치 
2.8.3 시험과 운영환경 분리 •개발환경과 운영환경을 분리
•만약 분리안할려면 대신 상호체크, 상급자승인 ,모니터링, 책임추적성
 확보
예)별도의 개발환경이 없지만 계정분리를 통해서 개발자와 운영자가
   접근할 수 있는 디스크를 분리했다
   (개발환경이 따로없지만 대신 보완통제를 하고있다)
예)개발서버 다운으로 개발팀장 승인을 받아 운영서버에서 긴급 테스트
   후 배포 (상급자 승인을 거쳤음)		 개발 및 시험과 운영시스템 분리,
어려울 경우 보안대책(상호검토, 변경승인, 상급자, 백업) 
2.8.4 시험 데이터 보안 •개발환경에서 실제 운영데이터 사용제한
•불가피하게 사용시 통제방안 수립.이행
•개발서버에서 사용할 시험데이터 생성에 대한 절차
•테스트후에는 실데이터를 개발서버에서 삭제
•테스트DB에  운영DB의 실데이터를 복사해서 사용함에도 테스트DB에 대한 접근통제절차가 운영DB와 동일하지 않고 낮은 경우 		운영데이터 사용 제한,
불가피 사용 시 보완통제 (책임자,모니터링,시험후 삭제)
2.8.5 소스 프로그램 관리 •비안가자에 의한 소스프로그램 접근통제
•소스프로그램은 운영환경이 아닌 별도 안전한곳에
•소스변경이력 관리 (형상관리)
•소스프로그램 백업
예) 소스코드를 운영서버에 복사해서 컴파일한다.
(이관시 소스코드가 운영서버에 복사되는것은 2.8.6 운영환경 이관 결함) 		소스 접근통제 절차,
안전 보관, 변경이력 
2.8.6 운영환경 이관 •신규프로그램 운영이관에 대한 통제절차
•이관시 발생할 문제점 대응 (Rollback)
•이관시 불필요한 파일(소스파일,백업문서..)이 운영서버에 설치X
예)운영서버에 소스코드가 존재한다.		 변경 절차,
변경 전 영향 분석 

 

728x90
반응형
LIST

'ISMS-P' 카테고리의 다른 글

ISMS-P 인증기준 - 3. 개인정보 처리단계별 요구사항(1/3)  (0) 2021.01.13
ISMS-P 인증기준 - 2. 보호대책 요구사항 (3/3)  (0) 2021.01.11
ISMS-P 인증기준 - 2. 보호대책 요구사항 (1/3)  (0) 2021.01.06
ISMS-P 인증기준 - 1. 관리체계 수립 및 운영  (0) 2021.01.06
ISMS-P 인증기준항목 두음신공 정리  (0) 2021.01.06

+ Recent posts

티스토리툴바