IT 위키 - 사용자 기여 [ko]

ISMS-P 인증 기준 1.1.3.조직 구성

2023-04-03T22:01:20Z

Jsp: /* 개요 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 1.관리체계 수립 및 운영|1.관리체계 수립 및 운영]]
*'''분류''': [[ISMS-P 인증 기준 1.1.관리체계 기반 마련|1.1.관리체계 기반 마련]]

==개요==
{| class="wikitable"
!항목
!<big>1.1.3.조직 구성</big>
|-
| style="text-align:center" |'''인증기준'''
|최고경영자는 정보보호와 개인정보보호의 효과적 구현을 위한 실무조직, 조직 전반의 정보보호와 개인정보보호 관련 주요 사항을 검토 및 의결할 수 있는 위원회, 전사적 보호활동을 위한 부서별 정보보호와 개인정보보호 담당자로 구성된 협의체를 구성하여 운영하여야 한다.
|-
|'''주요 확인사항'''
|
*정보보호 최고책임자 및 개인정보 보호책임자의 업무를 지원하고 조직의 정보보호 및 개인정보보호 활동을 체계적으로 이행하기 위해 전문성을 갖춘 실무조직을 구성하여 운영하고 있는가?
*조직 전반에 걸친 중요한 정보보호 및 개인정보보호 관련사항에 대하여 검토, 승인 및 의사결정을 할 수 있는 위원회를 구성하여 운영하고 있는가?
*전사적 정보보호 및 개인정보보호 활동을 위하여 정보보호 및 개인정보보호 관련 담당자 및 부서별 담당자로 구성된 실무 협의체를 구성하여 운영하고 있는가?
|}
==세부 설명==

====조직 구성·운영 및 근거 마련====
조직의 규모, 업무 중요도 등의 특성을 고려하여 정보보호 및 개인정보보호 관리체계를 구축하고 지속적으로운영하기 위하여 필요한 조직 구성의 근거를 [[정보보호 정책|정보보호 및 개인정보보호 정책서]] 등에 명시하고, 전문성을 갖춘 실무조직을 구성하여 운영하여야 한다.

*[[정보보호 최고책임자]], [[개인정보 보호책임자]], 개인정보보호 실무조직, 위원회 등 정보보호 및 개인정보보호 조직의 구성·운영에 대한 사항을 정책서, [[내부 관리계획|내부관리계획]] 등에 명시
*실무조직의 구성형태 및 규모는 전사 조직의 규모, 업무, 서비스의 특성, 처리하는 정보 및 개인정보의중요도, 민감도, 법 규제 등 고려
*실무조직은 전담조직 또는 겸임조직으로 구성할 수 있으나, 겸임조직으로 구성하더라도 실질적인역할 수행이 가능하도록 역할 및 책임이 공식적으로 부여되어야 함.
*실무조직의 구성원은 정보보호 및 개인정보보호 전문성과 다양한 서비스에 대한 이해도와 경험이 많은직원으로 구성(관련 학위 및 자격증 보유, 실무 경험 보유, 관련 교육 이수 등)

====위원회 구성·운영====
[[정보보호위원회|조직 전반에 걸친 중요한 정보보호 및 개인정보보호 관련사항에 대하여 검토, 승인 및 의사결정을 할 수있는 '''위원회''']]를 구성하여 운영하여야 한다.

*위원회는 정보보호 및 개인정보보호 관련하여 조직 내 이해관계를 대변하고 의사결정을 할 수 있도록경영진, 임원, 정보보호 최고책임자, 개인정보 보호책임자 등 실질적인 검토 및 의사결정 권한이 있는임직원으로 구성
*정기 또는 사안에 따라 수시로 위원회 개최
*위원회는 조직 전반에 걸친 주요 사안에 대한 검토, 승인 및 의사결정 수행

<blockquote>'''※ 위원회에서 검토 및 의사결정이 필요한 주요 사안(예시)'''

*정보보호 및 개인정보보호 정책·지침의 제·개정
*위험평가 결과
*정보보호 및 개인정보보호 예산 및 자원 할당
*내부 보안사고 및 주요 위반사항에 대한 조치
*내부감사 결과 등
</blockquote>

====실무 협의체 구성·운영====
전사적 정보보호 및 개인정보보호 활동을 위하여 정보보호 및 개인정보보호 관련 담당자 및 부서별담당자로 구성된 실무 협의체를 구성하여 운영하여야 한다.

*조직의 규모 및 관리체계 범위 내 서비스의 중요도에 따라 실무 협의체 구성원, 조직체계 등을 결정
*실무 협의체에서는 정보보호 및 개인정보보호 관련 사항에 대하여 실무 차원에서 공유·조정·검토·개선하고, 의사결정 및 경영진 지원이 필요한 경우에는 위원회에 상정하여 논의

==증거 자료==

*정보보호 및 개인정보보호위원회 규정/회의록
*정보보호 및 개인정보보호 실무 협의체 규정/회의록
*정보보호 및 개인정보보호 조직도
*내부관리계획
*직무기술서

==결함 사례==

*정보보호 및 개인정보보호위원회를 구성하였으나, 임원 등 경영진이 포함되어 있지 않고 실무부서의 장으로 구성되어 있어 조직의 중요 정보 및 개인정보 보호에 관한 사항을 결정할 수 없는 경우
*내부 지침에 따라 중요 정보처리부서 및 개인정보처리부서의 장(팀장급)으로 구성된 정보 보호 및 개인정보보호 실무 협의체를 구성하였으나, 장기간 운영 실적이 없는 경우
*정보보호 및 개인정보보호위원회를 개최하였으나, 연간 정보보호 및 개인정보보호 계획 및 교육 계획, 예산 및 인력 등 정보보호 및 개인정보보호에 관한 주요 사항이 검토 및 의사 결정이 되지 않은 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 1.1.2.최고책임자의 지정

2023-04-03T21:57:47Z

Jsp: /* 정보통신서비스 제공자 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 1.관리체계 수립 및 운영|1.관리체계 수립 및 운영]]
*'''분류''': [[ISMS-P 인증 기준 1.1.관리체계 기반 마련|1.1.관리체계 기반 마련]]

==개요==
{| class="wikitable"
!항목
!1.1.2.최고책임자의 지정
|-
| style="text-align:center" |'''인증기준'''
|최고경영자는 정보보호 업무를 총괄하는 정보보호 최고책임자와 개인정보보호 업무를 총괄하는 개인정보보호 책임자를 예산·인력 등 자원을 할당할 수 있는 임원급으로 지정하여야 한다.
|-
|'''주요 확인사항'''
|
*최고경영자는 정보보호 및 개인정보보호 처리에 관한 업무를 총괄하여 책임질 최고책임자를 공식적으로 지정하고 있는가?
*정보보호 최고책임자 및 개인정보 보호책임자는 예산, 인력 등 자원을 할당할 수 있는 임원급으로 지정하고 있으며 관련 법령에 따른 자격요건을 충족하고 있는가?
|}
==세부 설명==

==== 인사발령을 통합 공식적 지정 ====
최고경영자는 조직 내에서 정보보호 및 개인정보보호 관리 활동을 효과적으로 추진하기 위하여 이를 총괄하여 책임질 수 있는 [[정보보호 최고책임자]] 및 [[개인정보 보호책임자]]를 인사발령 등의 절차를 통하여 공식적으로 지정하여야 한다.

*정보보호 최고책임자 및 개인정보 보호책임자는 인사발령 등을 통하여 공식으로 임명하여야 하며, 당연직의 경우 정보보호 및 개인정보보호 정책서에 그 직위를 명시하여야 함.

==== 자격요건을 충족하는 임원급으로 지정 ====
정보보호 최고책임자 및 개인정보 보호책임자는 예산, 인력 등 자원을 할당할 수 있는 임원급으로 지정하고 관련 법령에 따른 자격요건을 충족하여야 한다([[정보통신망법 시행령 제36조의7]] 참고).

*정보보호 최고책임자 및 개인정보 보호책임자는 조직의 정보보호 및 개인정보보호 업무를 실질적으로 총괄할 수 있도록 정보보호 및 개인정보보호 관련 지식 및 소양이 있는 자로서 예산, 인력 등 자원을할당할 수 있는 임원급으로 지정

===정보통신서비스 제공자===
정보통신서비스 제공자는 정보통신시스템 등에 대한 보안 및 정보의 안전한 관리를 위하여 대통령령으로 정하는 기준에 해당하는 임직원을 [[정보보호 최고책임자]]로 지정하고 과학기술정보통신부장관에게 신고. 다만, 대통령령으로 정하는 기준에 해당하는 경우 신고 예외

*정보보호 최고책임자 지정에 대한 법적 요건 준수 필요( ※정보통신망법 제45조의3 참고)
**정보보호 최고책임자는 다음 업무 수행
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">
1. 정보보호 최고책임자는 다음 각 목의 업무를 총괄한다.

*가. 정보보호 계획의 수립·시행 및 개선
*나. 정보보호 실태와 관행의 정기적인 감사 및 개선
*다. 정보보호 위험의 식별 평가 및 정보보호 대책 마련
*라. 정보보호 교육과 모의 훈련 계획의 수립 및 시행
2. 정보보호 최고책임자는 다음 각 목의 업무를 겸할 수 있다.
*가. ｢정보보호산업의 진흥에 관한 법률｣ 제13조에 따른 정보보호 공시에 관한 업무
*나. ｢정보통신기반 보호법｣ 제5조제5항에 따른 정보보호 책임자의 업무
*다. ｢전자금융거래법｣ 제21조의2제4항에 따른 정보보호 최고책임자의 업무
*라. ｢개인정보 보호법｣ 제31조제2항에 따른 개인정보 보호책임자의 업무
*마. 그 밖에 이 법 또는 관계 법령에 따라 정보보호를 위하여 필요한 조치의 이행</div>

===개인정보 처리자===
개인정보 보호책임자 지정에 대한 법적 요건 준수 필요([[개인정보 보호법 시행령 제32조]] 참고)

'''개인정보 보호책임자는 다음 업무 수행'''<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">
*1. 개인정보 보호 계획의 수립 및 시행
*2. 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선
*3. 개인정보 처리와 관련한 불만의 처리 및 피해 구제
*4. 개인정보 유출 및 오·남용 방지를 위한 내부통제시스템 구축
*5. 개인정보 보호 교육 계획의 수립 및 시행
*6. 개인정보파일의 보호 및 관리·감독
*7. 그 밖에 개인정보의 적절한 처리를 위하여 대통령령으로 정한 업무</div>'''개인정보 보호책임자 지정요건(공공기관)'''<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">
*가. 국회, 법원, 헌법재판소, 중앙선거관리위원회의 행정사무를 처리하는 기관 및 중앙행정기관: 고위공무원단에 속하는 공무원(이하 ʻ고위공무원ʼ이라 함.) 또는 그에 상당하는공무원
*나. 가목 외에 정무직공무원을 장(長)으로 하는 국가기관: 3급 이상 공무원(고위공무원을 포함한다.)또는 그에 상당하는 공무원
*다. 가목 및 나목 외에 고위공무원, 3급 공무원 또는 그에 상당하는 공무원 이상의 공무원을 장으로하는 국가기관: 4급 이상 공무원 또는 그에 상당하는 공무원
*라. 가목부터 다목까지의 규정에 따른 국가기관 외의 국가기관(소속 기관을 포함한다.): 해당기관의 개인정보 처리 관련 업무를 담당하는 부서의 장
*마. 시·도 및 시·도 교육청: 3급 이상 공무원 또는 그에 상당하는 공무원
*바. 시·군 및 자치구: 4급 공무원 또는 그에 상당하는 공무원
*사. 제2조제5호에 따른 각급 학교: 해당 학교의 행정사무를 총괄하는 사람
*아. 가목부터 사목까지의 규정에 따른 기관 외의 공공기관: 개인정보 처리 관련 업무를 담당하는부서의 장. 다만 개인정보 처리 관련 업무를 담당하는 부서의 장이 2명 이상인 경우에는 해당공공기관의 장이 지명하는 부서의 장이 된다</div>'''개인정보 보호책임자 지정요건(민간기업)'''<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">② 개인정보처리자는 법 제31조제1항에 따라 개인정보 보호책임자를 지정하려는 경우에는 다음각 호의 구분에 따라 지정한다.

*2. 공공기관 외의 개인정보처리자: 다음 각 목의 어느 하나에 해당하는 사람
**가. 사업주 또는 대표자
**나. 임원(임원이 없는 경우에는 개인정보 처리 관련 업무를 담당하는 부서의 장)

③ 제2항에도 불구하고 개인정보처리자가 ｢소상공인기본법｣ 제2조에 따른 소상공인에 해당하는경우에는 별도의 지정 없이 그 사업주 또는 대표자를 개인정보 보호책임자로 지정한 것으로본다. 다만 개인정보처리자가 별도로 개인정보 보호책임자를 지정한 경우에는 그렇지 않다.
</div>
==증거 자료==

*정보보호 최고책임자 및 개인정보 보호책임자 임명관련 자료(인사명령, 인사카드 등)
*정보보호 및 개인정보보호 조직도
*정보보호 및 개인정보보호 정책·지침
*직무기술서(정보보호 최고책임자 및 개인정보 보호책임자의 역할 및 책임에 관한 사항)
*정보보호 최고책임자 지정 내역
*[[내부 관리계획|내부관리계획]](개인정보 보호책임자 지정에 관한 사항)

==결함 사례==

*정보통신망법에 따른 정보보호 최고책임자 지정 및 신고 의무 대상자임에도 불구하고 정보보호 최고책임자를 지정 및 신고하지 않은 경우
*개인정보 보호법을 적용받는 민간기업이 개인정보 처리업무 관련 임원이 존재함에도 불구하고 부서장을 개인정보 보호책임자로 지정한 경우
*조직도상에 정보보호 최고책임자 및 개인정보 보호책임자를 명시하고 있으나, 인사발령 등의 공식적인 지정절차를 거치지 않은 경우
*ISMS 인증 의무대상자이면서 전년도 말 기준 자산총액이 5천억 원을 초과한 정보통신서비스 제공자이지만 '''정보보호 최고책임자가 CIO를 겸직'''하고 있는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.5.6.접근권한 검토

2023-03-20T23:54:34Z

Jsp: /* 개요 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.5.인증 및 권한관리|2.5.인증 및 권한관리]]

==개요==
{| class="wikitable"
!항목
!2.5.6.접근권한 검토
|-
| style="text-align:center" |'''인증기준'''
|정보시스템과 개인정보 및 중요정보에 접근하는 사용자 계정의 등록·이용·삭제 및 접근권한의 부여·변경·삭제 이력을 남기고 주기적으로 검토하여 적정성 여부를 점검하여야 한다.
|-
|'''주요 확인사항'''
|
*정보시스템과 개인정보 및 중요정보에 대한 사용자 계정 및 접근권한 생성‧등록‧부여‧이용‧변경‧말소 등의 이력을 남기고 있는가?
*정보시스템과 개인정보 및 중요정보에 대한 사용자 계정 및 접근권한의 적정성 검토 기준, 검토주체, 검토방법, 주기 등을 수립하여 정기적 검토를 이행하고 있는가?
*접근권한 검토 결과 접근권한 과다 부여, 권한부여 절차 미준수, 권한 오남용 등 문제점이 발견된 경우 그에 따른 조치절차를 수립‧이행하고 있는가?
|-
|'''관련 법규'''
|
* [https://www.law.go.kr/법령/개인정보보호법/(20200805,16930,20200204)/제29조 개인정보 보호법 제29조(안전조치의무)]
* [https://www.law.go.kr/행정규칙/(개인정보보호위원회)개인정보의안전성확보조치기준/(2021-2,20210915)/제6조 개인정보의 안전성 확보조치 기준 제6조(접근통제)]
* [https://www.law.go.kr/행정규칙/(개인정보보호위원회)개인정보의기술적·관리적보호조치기준/(2021-3,20210915)/제4조 개인정보의 기술적·관리적 보호조치 기준 제4조(접근통제)]
|}
==세부 설명==

====접근권한 관리 기록====
정보시스템과 개인정보 및 중요정보에 대한 사용자 계정 및 접근권한 생성·등록·부여·이용·변경·말소 등의 이력을 남겨야 한다.

*사용자 계정 및 접근권한에 대한 내역은 책임추적성을 확보할 수 있도록 필요한 사항을 모두 포함하여 기록
**계정·접근권한 신청정보: 신청자 또는 대리신청자, 신청일시, 신청목적, 사용기간 등
*계정·접근권한 승인정보: 승인자, 승인 또는 거부 여부, 사유 및 일시 등
**계정·접근권한 등록정보: 등록자, 등록일, 등록방법(결재시스템 연동, 수작업 등록 등)
*계정·접근권한 정보: 대상 시스템명, 권한명, 권한 내역 등
*접근권한 기록은 법적 요구사항 등을 반영하여 일정기간 동안 보관
**개인정보 보호법에 따른 '''개인정보처리자''': 최소 3년간 보관
**개인정보 보호법 특례조항에 따른 '''정보통신서비스''' '''제공자''' 등: 최소 5년간 보관

====접근권한 기록 검토====
정보시스템과 개인정보 및 중요정보에 대한 사용자 계정 및 접근권한의 적정성 검토 기준, 검토주체, 검토방법, 주기 등을 수립하여 정기적 검토를 이행하여야 한다.

*접근권한 검토 주체, 방법, 기준 주기(최소 분기 1회 이상 권고), 결과보고 등 검토 절차 수립

{| class="wikitable"
|'''※ 접근권한 부여의 적정성 검토 항목(예시)'''
*공식적인 절차에 따른 접근권한 부여 여부
*접근권한 분류체계의 업무목적 및 보안정책 부합 여부
*접근권한 승인자의 적절성
*직무변경 시 기존 권한 회수 후 신규 업무에 대한 적절한 권한 부여 여부
*업무 목적 외 과도한 접근권한 부여 여부
*특수권한 부여·변경·발급 현황 및 적정성
*협력업체 등 외부자 계정·권한 발급 현황 및 적정성
*접근권한 신청·승인 내역과 실제 접근권한 부여 현황의 일치 여부
*장기 미접속자 계정 현황 및 삭제(또는 잠금) 여부
*휴직, 퇴직 시 지체 없이 계정 및 권한 회수 여부 등
|}

====접근권한 검토 결과에 대한 이행·사후관리====
접근권한 검토 결과 접근권한 과다 부여, 권한부여 절차 미준수, 권한 오·남용 등 문제점이 발견된 경우 그에 따른 조치절차를 수립·이행하여야 한다.

*접근권한 검토 결과 권한의 과다 부여, 절차 미준수, 권한 오·남용 등 의심스러운 상황이 발견된 경우 소명요청 및 원인분석, 보완대책 마련, 보고체계 등이 포함된 절차 수립·이행
*접근권한 검토 후 변경 적용된 권한에 대해서는 사용자 및 관련자에게 통지
*유사한 문제가 반복될 경우 근본 원인 분석 및 재발방지 대책 수립

==증거 자료==

*접근권한 검토 기준 및 절차
*접근권한 검토 이력
*접근권한 검토 결과보고서 및 후속조치 내역

==결함 사례==

*접근권한 검토와 관련된 방법, 점검주기, 보고체계, 오·남용 기준 등이 관련 지침에 구체적으로 정의되어 있지 않아 접근권한 검토가 정기적으로 수행되지 않은 경우
*내부 정책, 지침 등에 장기 미사용자 계정에 대한 잠금(비활성화) 또는 삭제 조치하도록 되어 있으나, 6개월 이상 미접속한 사용자의 계정이 활성화되어 있는 경우(접근권한 검토가 충실히 수행되지 않아 해당 계정이 식별되지 않은 경우)
*접근권한 검토 시 접근권한의 과다 부여 및 오·남용 의심사례가 발견되었으나, 이에 대한 상세조사, 내부보고 등의 후속조치가 수행되지 않은 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.5.5.특수 계정 및 권한 관리

2023-03-20T23:52:24Z

Jsp: /* 개요 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.5.인증 및 권한관리|2.5.인증 및 권한관리]]

==개요==
{| class="wikitable"
!항목
!2.5.5.특수 계정 및 권한 관리
|-
| style="text-align:center" |'''인증기준'''
|정보시스템 관리, 개인정보 및 중요정보 관리 등 특수 목적을 위하여 사용하는 계정 및 권한은 최소한으로 부여하고 별도로 식별하여 통제하여야 한다.
|-
|'''주요 확인사항'''
|
*관리자 권한 등 특수권한은 최소한의 인원에게만 부여될 수 있도록 공식적인 권한 신청 및 승인 절차를 수립‧이행하고 있는가?
**(가상자산사업자) 가상자산 노드서버, 키관리 시스템, 월렛서버, 월렛관련 어플리케이션 등 주요 직무에 필요한 정보시스템에 접속할 수 있는 계정·권한을 특수 계정·권한으로 식별하고 있는가?
*특수 목적을 위해 부여한 계정 및 권한을 식별하고 별도의 목록으로 관리하는 등 통제절차를 수립‧이행하고 있는가?
|-
|'''관련 법규'''
|
* [https://www.law.go.kr/법령/개인정보보호법/(20200805,16930,20200204)/제29조 개인정보 보호법 제29조(안전조치의무)]
* [https://www.law.go.kr/행정규칙/(개인정보보호위원회)개인정보의안전성확보조치기준/(2021-2,20210915)/제5조 개인정보의 안전성 확보조치 기준 제5조(접근 권한의 관리)]
* [https://www.law.go.kr/행정규칙/(개인정보보호위원회)개인정보의기술적·관리적보호조치기준/(2021-3,20210915)/제4조 개인정보의 기술적·관리적 보호조치 기준 제4조(접근통제)]
|}
==세부 설명==

====특수 권한 최소한으로 부여====
관리자 등 특수권한은 최소한의 인원에게만 부여될 수 있도록 공식적인 권한 신청 및 승인 절차를 수립·이행하여야 한다.

*정보시스템 관리, 개인정보 및 중요정보 관리 등 특수목적을 위한 계정 및 권한 유형 정의

{| class="wikitable"
|'''※ 특수권한(예시)'''
*관리자 권한(Root, Administrator, admin, sys, system, sa 등 최상위 권한)
*배치프로그램 실행이나 모니터링을 위하여 부여된 권한
*보안시스템 관리자 권한
*계정 생성 및 접근권한을 설정할 수 있는 권한 등
|}

*특수 계정 및 권한이 필요한 경우 '''공식적인 절차에 따라 신청 및 승인'''이 이루어질 수 있도록 ʻ특수 계정·권한 발급·변경·해지 절차ʼ를 수립·이행
*특수 계정·권한을 최소한의 업무 수행자에게만 부여할 수 있도록 '''일반 사용자 계정·권한 발급 절차보다 엄격한 기준''' 적용(임원 또는 보안책임자 승인 등)

====특수 목적 권한 별도 관리====
특수 목적을 위하여 부여한 계정 및 권한을 식별하고 별도의 목록으로 관리하는 등 통제절차를 수립·이행하여야 한다.

*특수권한자 목록 작성·관리
*특수권한자에 대해서는 예외조치 최소화, 모니터링 강화 등의 통제절차 수립·이행
*정보시스템 유지보수 등 외부자에게 부여하는 특수권한은 필요시에만 생성, 업무 종료 후에는 즉시 삭제 또는 정지하는 절차를 적용
*특수권한자 현황을 정기적으로 검토하여 목록 현행화

==증거 자료==

*특수권한 관련 지침
*특수권한 신청·승인 내역
*특수권한자 목록
*특수권한 검토 내용

==결함 사례==

*정보시스템 및 개인정보처리시스템의 관리자 및 특수권한 부여 등의 승인 이력이 시스템이나 문서상으로 확인이 되지 않거나, 승인 이력과 특수권한 내역이 서로 일치되지 않는 경우
*내부 규정에는 개인정보 관리자 및 특수권한 보유자를 목록으로 작성·관리하도록 되어 있으나 이를 작성·관리하고 있지 않거나, 보안시스템 관리자 등 일부 특수권한이 식별· 관리되지 않는 경우
*정보시스템 및 개인정보처리시스템의 유지보수를 위하여 분기 1회에 방문하는 유지보수용 특수 계정이 사용기간 제한없이 상시로 활성화되어 있는 경우
*관리자 및 특수권한의 사용 여부를 정기적으로 검토하지 않아 일부 특수권한자의 업무가 변경되었음에도 불구하고 기존 관리자 및 특수권한을 계속 보유하고 있는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.5.4.비밀번호 관리

2023-03-20T23:48:33Z

Jsp: /* 개요 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.5.인증 및 권한관리|2.5.인증 및 권한관리]]

==개요==
{| class="wikitable"
!항목
!2.5.4.비밀번호 관리
|-
| style="text-align:center" |'''인증기준'''
|법적 요구사항, 외부 위협요인 등을 고려하여 정보시스템 사용자 및 고객, 회원 등 정보주체(이용자)가 사용하는 비밀번호 관리절차를 수립·이행하여야 한다.
|-
|'''주요 확인사항'''
|
*정보시스템 및 개인정보처리시스템에 대한 안전한 사용자 비밀번호 관리절차 및 작성규칙을 수립‧이행하고 있는가?
*정보주체(이용자)가 안전한 비밀번호를 이용할 수 있도록 비밀번호 작성 규칙을 수립‧이행하고 있는가?
|-
|'''관련 법규'''
|
* [https://www.law.go.kr/법령/개인정보보호법/(20200805,16930,20200204)/제29조 개인정보 보호법 제29조(안전조치의무)]
* [https://www.law.go.kr/행정규칙/(개인정보보호위원회)개인정보의안전성확보조치기준/(2021-2,20210915)/제5조 개인정보의 안전성 확보조치 기준 제5조(접근 권한의 관리)]
* [https://www.law.go.kr/행정규칙/(개인정보보호위원회)개인정보의기술적·관리적보호조치기준/(2021-3,20210915)/제4조 개인정보의 기술적·관리적 보호조치 기준 제4조(접근통제)]
|}
==세부 설명==

====내부 사용자 비밀번호 관리 규칙 수립·이행====
사용자, 관리자 및 개인정보취급자가 안전한 비밀번호를 설정하여 사용할 수 있도록 비밀번호 관리절차 및 작성규칙을 수립·이행하여야 한다.

*비밀번호 관리절차 예시

{| class="wikitable"
|
*시스템 도입 시 설정된 초기 또는 임시 비밀번호의 변경 후 사용
*비밀번호 처리(입력, 변경) 시 마스킹 처리
*종이, 파일, 모바일 기기 등에 비밀번호 기록·저장을 제한하고, 부득이하게 기록·저장하여야 하는 경우 암호화 등의 보호대책 적용
*침해사고 발생 또는 비밀번호의 노출 징후가 의심될 경우 지체 없이 비밀번호 변경
*비밀번호 분실 등에 따른 재설정 시 본인확인 절차 수행
*관리자 비밀번호는 비밀등급에 준하여 관리 등
|}

====이용자 비밀번호 관리 규칙 수립·이행====
정보주체(이용자)가 안전한 비밀번호를 설정하여 사용할 수 있도록 비밀번호 작성규칙을 수립·이행하여야 한다.

*사용자 및 개인정보취급자 비밀번호 작성규칙을 참고하되, 서비스의 특성 및 민감도 등을 고려하여 적절한 수준에서 비밀번호 작성규칙 적용
*비밀번호 분실, 도난 시 본인확인 등을 통한 안전한 재발급 절차 마련 등

==증거 자료==

*웹페이지, 정보시스템 및 개인정보처리시스템 비밀번호 설정 화면
*비밀번호 관리 정책 및 절차

==결함 사례==

*정보보호 및 개인정보보호 관련 정책, 지침 등에서 비밀번호 생성규칙의 기준을 정하고 있으나, 일부 정보시스템 및 개인정보처리시스템에서 내부 지침과 상이한 비밀번호를 사용하고 있는 경우
*비밀번호 관련 내부 규정에는 비밀번호를 초기화 시 임시 비밀번호를 부여받고 강제적으로 변경하도록 되어 있으나, 실제로는 임시 비밀번호를 그대로 사용하고 있는 경우
*사용자 및 개인정보취급자의 비밀번호 변경주기가 규정되어 있음에도 불구하고 변경하지 않고 그대로 사용하고 있는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.5.3.사용자 인증

2023-03-20T23:45:48Z

Jsp: /* 개요 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.5.인증 및 권한관리|2.5.인증 및 권한관리]]

==개요==
{| class="wikitable"
!항목
!2.5.3.사용자 인증
|-
| style="text-align:center" |'''인증기준'''
|정보시스템과 개인정보 및 중요정보에 대한 사용자의 접근은 안전한 인증절차와 필요에 따라 강화된 인증방식을 적용하여야 한다. 또한 로그인 횟수 제한, 불법 로그인 시도 경고 등 비인가자 접근 통제방안을 수립·이행하여야 한다.
|-
|'''주요 확인사항'''
|
*정보시스템 및 개인정보처리시스템에 대한 접근은 사용자 인증, 로그인 횟수 제한, 불법 로그인 시도 경고 등 안전한 사용자 인증 절차에 의해 통제하고 있는가?
*정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우에는 법적 요구사항에 따라 안전한 인증수단 또는 안전한 접속수단을 적용하고 있는가?
|-
|'''관련 법규'''
|
* [https://www.law.go.kr/법령/개인정보보호법/(20200805,16930,20200204)/제29조 개인정보 보호법 제29조(안전조치의무)]
* [https://www.law.go.kr/행정규칙/(개인정보보호위원회)개인정보의안전성확보조치기준/(2021-2,20210915)/제5조 개인정보의 안전성 확보조치 기준 제5조(접근 권한의 관리)], [https://www.law.go.kr/행정규칙/(개인정보보호위원회)개인정보의안전성확보조치기준/(2021-2,20210915)/제6조 제6조(접근통제)]
* [https://www.law.go.kr/행정규칙/(개인정보보호위원회)개인정보의기술적·관리적보호조치기준/(2021-3,20210915)/제4조 개인정보의 기술적·관리적 보호조치 기준 제4조(접근통제)]
|}
==세부 설명==

==== 안전한 사용자 인증 절차 마련 ====
정보시스템 및 개인정보처리시스템에 대한 접근 시 사용자 인증, 로그인 횟수 제한, 불법 로그인 시도경고 등 안전한 사용자 인증 절차에 따라 통제하여야 한다.

*사용자 인증 수단 예시

{| class="wikitable"
!구분
!인증 수단
!비고
|-
!지식 기반
|'''비밀번호'''
|안전한 비밀번호 작성규칙 및 주기적 변경 필요<br>비밀번호 도용, 무작위 대입 공격 등에 대한 대응 필요<br>시스템 설치 시 제품 등에서 제공하는 디폴트 계정 및 비밀 번호 사용정지 또는 변경 필요
|-
! rowspan="3" |소유 기반
|[[공개키 기반 구조|'''인증서(PKI)''']]
|개인키의 안전한 보관 필요(안전한 보안매체에 보관 권고)
|-
|'''[[OTP]]'''
|OTP토큰, 모바일OTP 등 다양한 방식 존재
|-
|'''기타'''
|스마트 카드 방식<br>물리적 보안토큰 방식 등
|-
!생체 기반
|'''지문, 홍채, 얼굴 등'''
|생체 정보의 안전한 관리 필요

* 참고: [[FIDO|FIDO(Fast Identity Online)]]
|-
! rowspan="4" |기타 방식
|'''IP주소'''
|특정 IP주소에서만 해당 ID로 접속할 수 있도록 제한하는 방식
|-
|'''MAC주소'''
|단말기의 MAC주소를 기반으로 등록된 단말기에서만 접속할 수 있도록 제한하는 방식
|-
|'''기기 일련번호'''
|특정 PC 또는 특정 디바이스(스마트폰 등)에서만 접속할 수 있도록 제한하는 방식
|-
|'''기타'''
|위치 정보, 디바이스 이용 패턴 등
|}

*계정 도용 및 불법적인 인증시도 통제방안 예시

{| class="wikitable"
!구분
!설명
|-
|'''로그인 실패횟수 제한'''
|계정정보 또는 비밀번호를 일정횟수 이상 잘못 입력한 경우 접근 제한

* [[개인정보의 안전성 확보조치 기준 제5조]]제6항
|-
|'''접속 유지시간 제한'''
|접속 후 일정시간 이상 업무처리를 하지 않은 경우 자동으로 시스템 접속 차단(세션 타임아웃 등)

* [[개인정보의 안전성 확보조치 기준 제6조]]제5항
* [[개인정보의 기술적·관리적 보호조치 기준 제4조]]제10항
|-
|'''동시 접속 제한'''
|동일 계정으로 동시 접속 시 접속차단 조치 또는 알림 기능 등
|-
|'''불법 로그인 시도 경고'''
|
* 국외 IP주소 등 등록되지 않은 IP주소에서의 접속 시 차단 및 통지
* 주말, 야간 접속 시 문자 알림
* 관리자 등 특수권한 로그인 시 알림 등
|}

==== SSO 활용 시 보호대책 마련 ====
업무의 편리성을 제공하기 위하여 싱글사인온(Single Sign-On)을 사용하는 경우에는 계정 도용 시 피해 확대 가능성이 있으므로 위험평가에 기반하여 강화된 인증 적용, 중요 시스템 접속 시 재인증 요구 등 추가 보호대책 마련

==== 외부 접속 시 안전한 인증·접속수단 마련 ====
인터넷 등 정보통신망을 통하여 외부에서 개인정보처리시스템에 접속하려는 경우에는 법적 요구사항에 따라 안전한 인증수단 또는 안전한 접속수단을 적용하여야 한다.

*'''안전한 인증수단:''' 인증서(PKI), 보안토큰, 일회용 비밀번호(OTP) 등
*'''안전한 접속수단:''' 가상사설망(VPN), 전용망 등

==증거 자료==

*정보시스템 및 개인정보처리시스템 로그인 화면
*로그인 횟수 제한 설정 화면
*로그인 실패 메시지 화면
*외부 접속 시 절차(외부접속 신청서, 외부접속자 현황 등)

==결함 사례==

*개인정보취급자가 공개된 외부 인터넷망을 통하여 개인정보처리시스템에 접근 시 안전한 인증수단을 적용하지 않고 ID·비밀번호 방식으로만 인증하고 있는 경우
*정보시스템 및 개인정보처리시스템 로그인 실패 시 해당 ID가 존재하지 않거나 비밀번호가 틀림을 자세히 표시해 주고 있으며, 로그인 실패횟수에 대한 제한이 없는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.5.1.사용자 계정 관리

2023-03-20T23:20:36Z

Jsp: /* 개요 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.5.인증 및 권한관리|2.5.인증 및 권한관리]]

==개요==
{| class="wikitable"
!항목
!2.5.1.사용자 계정 관리
|-
| style="text-align:center" |'''인증기준'''
|정보시스템과 개인정보 및 중요정보에 대한 비인가 접근을 통제하고 업무 목적에 따른 접근권한을 최소한으로 부여할 수 있도록 사용자 등록·해지 및 접근권한 부여·변경·말소 절차를 수립·이행하고, 사용자 등록 및 권한부여 시 사용자에게 보안책임이 있음을 규정화하고 인식시켜야 한다.
|-
|'''주요 확인사항'''
|
*정보시스템과 개인정보 및 중요정보에 접근할 수 있는 사용자 계정 및 접근권한의 등록‧변경‧삭제에 관한 공식적인 절차를 수립‧이행하고 있는가?
*정보시스템과 개인정보 및 중요정보에 접근할 수 있는 사용자 계정 및 접근권한 생성‧등록‧변경 시 직무별 접근권한 분류 체계에 따라 업무상 필요한 최소한의 권한만을 부여하고 있는가?
*사용자에게 계정 및 접근권한을 부여하는 경우 해당 계정에 대한 보안책임이 본인에게 있음을 명확히 인식시키고 있는가?
|-
|'''관련법규'''
|
* [https://www.law.go.kr/법령/개인정보보호법/(20200805,16930,20200204)/제29조 개인정보 보호법 제29조(안전조치의무)]
* [https://www.law.go.kr/행정규칙/(개인정보보호위원회)개인정보의안전성확보조치기준/(2021-2,20210915)/제5조 개인정보의 안전성 확보조치 기준 제5조(접근 권한의 관리)]
* [https://www.law.go.kr/행정규칙/(개인정보보호위원회)개인정보의기술적·관리적보호조치기준/(2021-3,20210915)/제4조 개인정보의 기술적·관리적 보호조치 기준 제4조(접근통제)]
|}
==세부 설명==

==== 접근권한 관리 절차 수립·이행 ====
정보시스템과 개인정보 및 중요정보에 대한 비인가 접근을 통제하기 위하여 다음 사항을 고려하여 공식적인 사용자 계정 및 접근권한 등록·변경·삭제·해지 절차를 수립·이행하여야 한다.

*사용자 및 개인정보취급자별로 고유한 사용자 계정 발급 및 공유 금지
*사용자 및 개인정보취급자에 대한 계정 발급 및 접근권한 부여·변경 시 승인 절차 등을 통한 적절성 검토
*전보, 퇴직 등 인사이동 발생 시 지체 없이 접근권한 변경 또는 말소(계정 삭제 또는 비활성화 포함)
*정보시스템 설치 후 제조사 또는 판매사의 기본 계정, 시험 계정 등은 제거하거나 추측하기 어려운 계정으로 변경
*사용자 계정 및 접근권한의 등록·변경·삭제·해지 관련 기록의 유지·관리 등

==== 직무에 따른 필요최소한의 권한 부여 ====
정보시스템과 개인정보 및 중요정보에 접근할 수 있는 사용자 계정 및 접근권한 생성·등록·변경 시 직무별 접근권한 분류 체계에 따라 업무상 필요한 최소한의 권한만을 부여하여야 한다.

*정보시스템 및 개인정보처리시스템에 대한 접근권한은 업무 수행 목적에 따라 최소한의 범위로 업무 담당자에게 차등 부여
*중요 정보 및 개인정보에 대한 접근권한은 알 필요(need-to-know), 할 필요(need-to-do)의 원칙에 따라 업무적으로 꼭 필요한 범위에 한하여 부여
*불필요하거나 과도하게 중요 정보 또는 개인정보에 접근하지 못하도록 권한 세분화
*권한 부여 또는 변경 시 승인절차 등을 통하여 적절성 검토 등

==== 계정 보안 인식 제고 ====
사용자에게 계정 및 접근권한을 부여하는 경우 해당 계정에 대한 보안책임이 본인에게 있음을 명확히 인식시켜야 한다.

*정보보호 및 개인정보보호 정책, 서약서 등에 계정에 대한 책임과 의무를 명기(타인에게 본인 계정 및 비밀번호 공유 대여 금지, 공공장소에서 로그인 시 주의사항 등)
*서약서, 이메일, 시스템 공지, 교육 등 다양한 방법 활용

==증거 자료==

*사용자 계정 및 권한 신청서
*사용자 계정 및 권한 관리대장 또는 화면
*정보시스템 및 개인정보처리시스템별 접근권한 분류표
*정보시스템 및 개인정보처리시스템별 사용자, 관리자, 개인정보취급자 목록

==결함 사례==

*사용자 및 개인정보취급자에 대한 계정·권한에 대한 사용자 등록, 해지 및 승인절차 없이 '''구두 요청, 이메일 등으로 처리'''하여 이에 대한 승인 및 처리 '''이력이 확인되지 않는 경우'''
*개인정보취급자가 휴가, 출장, 공가 등에 따른 업무 백업을 사유로 공식적인 절차를 거치지 않고 개인정보취급자로 '''지정되지 않은 인원에게 개인정보취급자 계정을 알려주는 경우'''
*정보시스템 또는 개인정보처리시스템 사용자에게 필요 이상의 과도한 권한을 부여하여 '''업무상 불필요한 정보 또는 개인정보에 접근이 가능한 경우'''

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.5.1.사용자 계정 관리

2023-03-20T23:20:10Z

Jsp: /* 개요 */ 관련법규

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.5.인증 및 권한관리|2.5.인증 및 권한관리]]

==개요==
{| class="wikitable"
!항목
!2.5.1.사용자 계정 관리
|-
| style="text-align:center" |'''인증기준'''
|정보시스템과 개인정보 및 중요정보에 대한 비인가 접근을 통제하고 업무 목적에 따른 접근권한을 최소한으로 부여할 수 있도록 사용자 등록·해지 및 접근권한 부여·변경·말소 절차를 수립·이행하고, 사용자 등록 및 권한부여 시 사용자에게 보안책임이 있음을 규정화하고 인식시켜야 한다.
|-
|'''주요 확인사항'''
|
*정보시스템과 개인정보 및 중요정보에 접근할 수 있는 사용자 계정 및 접근권한의 등록‧변경‧삭제에 관한 공식적인 절차를 수립‧이행하고 있는가?
*정보시스템과 개인정보 및 중요정보에 접근할 수 있는 사용자 계정 및 접근권한 생성‧등록‧변경 시 직무별 접근권한 분류 체계에 따라 업무상 필요한 최소한의 권한만을 부여하고 있는가?
*사용자에게 계정 및 접근권한을 부여하는 경우 해당 계정에 대한 보안책임이 본인에게 있음을 명확히 인식시키고 있는가?
|-
|'''관련'''
'''법규'''
|
* [https://www.law.go.kr/법령/개인정보보호법/(20200805,16930,20200204)/제29조 개인정보 보호법 제29조(안전조치의무)]
* [https://www.law.go.kr/행정규칙/(개인정보보호위원회)개인정보의안전성확보조치기준/(2021-2,20210915)/제5조 개인정보의 안전성 확보조치 기준 제5조(접근 권한의 관리)]
* [https://www.law.go.kr/행정규칙/(개인정보보호위원회)개인정보의기술적·관리적보호조치기준/(2021-3,20210915)/제4조 개인정보의 기술적·관리적 보호조치 기준 제4조(접근통제)]
|}
==세부 설명==

==== 접근권한 관리 절차 수립·이행 ====
정보시스템과 개인정보 및 중요정보에 대한 비인가 접근을 통제하기 위하여 다음 사항을 고려하여 공식적인 사용자 계정 및 접근권한 등록·변경·삭제·해지 절차를 수립·이행하여야 한다.

*사용자 및 개인정보취급자별로 고유한 사용자 계정 발급 및 공유 금지
*사용자 및 개인정보취급자에 대한 계정 발급 및 접근권한 부여·변경 시 승인 절차 등을 통한 적절성 검토
*전보, 퇴직 등 인사이동 발생 시 지체 없이 접근권한 변경 또는 말소(계정 삭제 또는 비활성화 포함)
*정보시스템 설치 후 제조사 또는 판매사의 기본 계정, 시험 계정 등은 제거하거나 추측하기 어려운 계정으로 변경
*사용자 계정 및 접근권한의 등록·변경·삭제·해지 관련 기록의 유지·관리 등

==== 직무에 따른 필요최소한의 권한 부여 ====
정보시스템과 개인정보 및 중요정보에 접근할 수 있는 사용자 계정 및 접근권한 생성·등록·변경 시 직무별 접근권한 분류 체계에 따라 업무상 필요한 최소한의 권한만을 부여하여야 한다.

*정보시스템 및 개인정보처리시스템에 대한 접근권한은 업무 수행 목적에 따라 최소한의 범위로 업무 담당자에게 차등 부여
*중요 정보 및 개인정보에 대한 접근권한은 알 필요(need-to-know), 할 필요(need-to-do)의 원칙에 따라 업무적으로 꼭 필요한 범위에 한하여 부여
*불필요하거나 과도하게 중요 정보 또는 개인정보에 접근하지 못하도록 권한 세분화
*권한 부여 또는 변경 시 승인절차 등을 통하여 적절성 검토 등

==== 계정 보안 인식 제고 ====
사용자에게 계정 및 접근권한을 부여하는 경우 해당 계정에 대한 보안책임이 본인에게 있음을 명확히 인식시켜야 한다.

*정보보호 및 개인정보보호 정책, 서약서 등에 계정에 대한 책임과 의무를 명기(타인에게 본인 계정 및 비밀번호 공유 대여 금지, 공공장소에서 로그인 시 주의사항 등)
*서약서, 이메일, 시스템 공지, 교육 등 다양한 방법 활용

==증거 자료==

*사용자 계정 및 권한 신청서
*사용자 계정 및 권한 관리대장 또는 화면
*정보시스템 및 개인정보처리시스템별 접근권한 분류표
*정보시스템 및 개인정보처리시스템별 사용자, 관리자, 개인정보취급자 목록

==결함 사례==

*사용자 및 개인정보취급자에 대한 계정·권한에 대한 사용자 등록, 해지 및 승인절차 없이 '''구두 요청, 이메일 등으로 처리'''하여 이에 대한 승인 및 처리 '''이력이 확인되지 않는 경우'''
*개인정보취급자가 휴가, 출장, 공가 등에 따른 업무 백업을 사유로 공식적인 절차를 거치지 않고 개인정보취급자로 '''지정되지 않은 인원에게 개인정보취급자 계정을 알려주는 경우'''
*정보시스템 또는 개인정보처리시스템 사용자에게 필요 이상의 과도한 권한을 부여하여 '''업무상 불필요한 정보 또는 개인정보에 접근이 가능한 경우'''

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.5.2.사용자 식별

2023-03-20T23:11:56Z

Jsp: /* 개요 */ 관련법규

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.5.인증 및 권한관리|2.5.인증 및 권한관리]]

==개요==
{| class="wikitable"
!항목
!2.5.2.사용자 식별
|-
| style="text-align:center" |'''인증기준'''
|사용자 계정은 사용자별로 유일하게 구분할 수 있도록 식별자를 할당하고 추측 가능한 식별자 사용을 제한하여야 하며, 동일한 식별자를 공유하여 사용하는 경우 그 사유와 타당성을 검토하여 책임자의 승인 및 책임추적성 확보 등 보완대책을 수립·이행하여야 한다.
|-
|'''주요 확인사항'''
|
*정보시스템 및 개인정보처리시스템에서 사용자 및 개인정보취급자를 유일하게 구분할 수 있는 식별자를 할당하고 추측 가능한 식별자의 사용을 제한하고 있는가?
*불가피한 사유로 동일한 식별자를 공유하여 사용하는 경우 그 사유와 타당성을 검토하고 보완대책을 마련하여 책임자의 승인을 받고 있는가?
|-
|'''관련 법규'''
|
* [https://www.law.go.kr/법령/개인정보보호법/(20200805,16930,20200204)/제29조 개인정보 보호법 제29조(안전조치의무)]
* [https://www.law.go.kr/행정규칙/(개인정보보호위원회)개인정보의안전성확보조치기준/(2021-2,20210915)/제5조 개인정보의 안전성 확보조치 기준 제5조(접근 권한의 관리])
* [https://www.law.go.kr/행정규칙/(개인정보보호위원회)개인정보의기술적·관리적보호조치기준/(2021-3,20210915)/제4조 개인정보의 기술적·관리적 보호조치 기준 제4조(접근통제)]
|}
==세부 설명==

==== 사용자별 1인1계정 발급 ====

*정보시스템 및 개인정보처리시스템에 대한 사용자 등록 시 사용자 및 개인정보취급자별로 유일하게 구분할 수 있는 식별자를 할당하고 추측 가능한 식별자 사용을 제한하여야 한다.
**1인 1계정 발급을 원칙으로 하여 사용자에 대한 책임추적성 확보
**계정 공유 및 공용 계정 사용 제한
**시스템이 사용하는 운영계정은 일반 사용자의 접근 제한
**시스템 설치 후 제조사 또는 판매사의 기본계정 및 시험계정은 제거 또는 추측이 어려운 계정으로 변경하여 사용(디폴트 패스워드 변경 포함)
**관리자 및 특수권한 계정의 경우 쉽게 추측 가능한 식별자(root, admin, administrator 등)의 사용을 제한

==== 계정 공유 시 보호조치 ====
업무상 불가피하게 동일한 식별자를 공유하여 사용하는 경우 그 사유와 타당성을 검토하고 책임자의 승인을 받아야 한다.

*업무 분장상 '''정·부의 역할이 구분'''되어 관리자 계정을 공유하는 경우에도 '''사용자 계정을 별도로 부여'''하고 사용자 계정으로 로그인 후 관리자 계정으로 변경
*유지보수 업무 등을 위하여 임시적으로 계정을 공유한 경우 업무 종료 후 즉시 해당 계정의 비밀번호 변경
*업무상 불가피하게 공용계정 사용이 필요한 경우 그 '''사유와 타당성을 검토'''하여 '''책임자의 승인'''을 받고 책임추적성을 보장할 '''추가 통제방안 적용'''

==증거 자료==

*정보시스템 및 개인정보처리시스템 로그인 화면
*정보시스템 및 개인정보처리시스템 관리자, 사용자, 개인정보취급자 계정 목록
*예외 처리에 대한 승인 내역

==결함 사례==

*정보시스템(서버, 네트워크, 침입차단시스템, DBMS 등)의 계정 현황을 확인한 결과, '''제조사에서 제공하는 기본 관리자 계정을 변경하지 않고 사용'''하고 있는 경우
*개발자가 개인정보처리시스템 '''계정을 공용으로 사용'''하고 있으나, 타당성 검토 또는 '''책임자의 승인 등이 없이''' 사용하고 있는 경우
*'''외부직원이 유지보수'''하고 있는 정보시스템의 '''운영계정'''을 별도의 '''승인 절차 없이 개인 계정처럼 사용'''하고 있는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)