ISMS(정보보호관리체계) 인증 기준 2.6.2 정보시스템 접근

2. 보호대책 요구사항 > 2.6 접근통제 > 2.6.2 정보시스템 접근

항목		상세내용
2.6.2	정보시스템 접근	서버, 네트워크 기기 등 정보시스템 기기에 접근이 허용되는 사용자, 접근제한 방식, 안전한 접근 수단 등을 정의하여 통제하여야 한다.
주요 확인사항		ㆍ서버, 네트워크시스템, 보안시스템 등 정보시스템 별 운영체제(OS)에 접근이 허용되는 사용자, 접근 가능 위치, 접근 수단 등을 정의하여 통제하고 있는가? ㆍ정보시스템에 접속 후 일정시간 업무처리를 하지 않는 경우 자동으로 시스템 접속이 차단되도록 하고 있는가? ㆍ정보시스템의 사용목적과 관계없는 서비스를 제거하고 있는가? ㆍ주요 서비스를 제공하는 정보시스템은 독립된 서버로 운영하고 있는가?
관련 법규		ㆍ개인정보 보호법 제29조(안전조치의무) ㆍ개인정보의 안전성 확보조치 기준 제6조(접근통제)

 

● 중요사안

- 정보자산으로 식별된 서버의 중요도를 평가하고 위협분석을 통한 위험 관리계획을 수립하여야 함. 위험관리계획에 따라 서버 보안 대책을 마련하여야 한다.

- 서버 접속 시에는 사용자 식별 및 인증, 암호화 통신, 세션 타임아웃 설정 등의 보안 조치를 취해야 한다.

- 각 서버의 역할에 따라 별도의 통제 대책을 수립하여 운영하고 설정파일, 서버 접근로드 등 중요 정보에 대한 백업을 수행하여야 한다.

 

● 운영현황

- 서버 접속 시 접근통제시스템을 통하여 접속하고 있으며 2factor 인증수단을 적용하고 있음

- 접근통제시스템을 통해 패스워드 복잡성, 세션 타임아웃, 로그인 잠금 임계값, 2차 인증수단 등의 보안설정을 적용하고 있음

- 접근통제시스템 보안정책의 적정성을 주기적으로 검토하고 불필요한 서비스 또는 포트를 제거하고 있음

 

● 기록(증적자료)

- 접근통제시스템 보안정책 설정화면

- 서버/네트워크보안 관리지침 문서

- 사용자 계정 신청서

- 일/월별 서버/네트워크 접근통제 점검보고서

 

● 주요 결함사례

- 서버 접속 후 일정시간 미사용 세션에 대한 세션 타임아웃 설정이 내부 수립 기준과 상이한 경우(기준 대비 과도한 허용 시간 설정, 또는 기준없음)

- 서버 간의 SSH 또는 원격 데스크톱 연결이 제한되지 않아 특정 사용자가 서버에 접속한 후 해당 서버를 통해 다른 비인가 서버에도 접속 가능한 경우

- 서버접근을 제한하는 시스템(통합계정권한관리시스템, 서버접근통제시스템 등)을 도입, 운영하고 있으나 해당 시스템을 통하지 않고도 우회하여 서버에 직접 접속할 수 있는 경우

- 타당한 사유 또는 적절한 보완대책 없이 안전하지 않은 프로토콜(telnet, ftp 등)을 사용하여 접근하고 있거나 불필요한 서비스 또는 포트를 오픈하고 있으나 그에 따른 위험분석/평가가 이루어지지 않은 경우