IT 위키 - 사용자 기여 [ko]

ISMS-P 인증 기준 2.9.4.로그 및 접속기록 관리

2023-03-17T03:45:24Z

Shindarf: /* 개요 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.9.시스템 및 서비스 운영관리|2.9.시스템 및 서비스 운영관리]]

==개요==
{| class="wikitable"
!항목
!2.9.4.로그 및 접속기록 관리
|-
| style="text-align:center" |'''인증기준'''
|서버, 응용프로그램, 보안시스템, 네트워크시스템 등 정보시스템에 대한 사용자 접속기록, 시스템로그, 권한부여 내역 등의 로그유형, 보존기간, 보존방법 등을 정하고 위·변조, 도난, 분실 되지 않도록 안전하게 보존·관리하여야 한다.
|-
|'''주요 확인사항'''
|
*서버, 응용프로그램, 보안시스템, 네트워크시스템 등 정보시스템에 대한 로그관리 절차를 수립하고 이에 따라 필요한 로그를 생성하여 보관하고 있는가?
*정보시스템의 로그기록은 별도 저장장치를 통해 백업하고 로그기록에 대한 접근권한은 최소화하여 부여하고 있는가?
*개인정보처리시스템에 대한 접속기록은 법적 요구사항을 준수할 수 있도록 필요한 항목을 모두 포함하여 일정기간 안전하게 보관하고 있는가?
|-
|관련 법규
|
* 개인정보 보호법 제29조(안전조치의무)
* 개인정보의 안전성 확보조치 기준 제8조(접속기록의 보관 및 점검)
* 개인정보의 기술적·관리적 보호조치 기준 제5조(접속기록의 위·변조 방지)
|}
==세부 설명==

====로그 관리 절차 수립 및 로그 생성·보관====
서버, 응용프로그램, 보안시스템, 네트워크시스템 등 정보시스템에 대한 로그관리 절차를 수립하고, 이에 따라 필요한 로그를 생성하여 보관하여야 한다.

*보존이 필요한 로그유형 및 대상시스템 식별

<blockquote>'''※ 주요 로그유형(예시)'''

*시스템 이벤트 로그: 운영체제 구성요소에 의하여 발생하는 로그(시스템 시작, 종료, 상태, 에러 코드 등)
*네트워크 이벤트 로그: IP주소 할당, 주요 구간 트래픽 로그
*보안시스템 로그: 관리자 접속, 보안정책(룰셋) 등록·변경·삭제 등
*보안관련 감사 로그: 사용자 접속기록, 인증 성공/실패 로그, 파일 접근, 계정 및 권한 등록* 변경·삭제 등(서버, 응용프로그램, 보안시스템, 네트워크시스템, 데이터베이스 등)
*개인정보처리시스템 접속기록: 개인정보취급자가 개인정보처리시스템에 접속한 사실을 알 수 있는 접속자 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등
*기타 정보보호 관련 로그
</blockquote>

*각 시스템 및 장비별 로그 형태, 보존기간, 로그 보존(백업) 방법 등 정의
*로그관리 절차 수립 및 이에 따른 로그 생성·보관

====로그 분리보관 및 접근권한 최소화====
정보시스템의 로그기록은 '''별도 저장장치를 통하여 백업'''하고, 로그기록에 대한 접근권한은 최소화하여 부여하여야 한다.

*로그기록은 스토리지 등 별도 저장장치를 사용하여 백업하고 로그기록에 대한 접근권한 부여는 최소화하여 비인가자에 의한 로그기록 위·변조 및 삭제 등이 발생하지 않도록 하여야 함.

====개인정보처리시스템 로그 보관 규정 준수====
개인정보처리시스템에 대한 접속기록은 법적 요구사항을 준수할 수 있도록 필요한 항목을 모두 포함하여 일정기간 안전하게 보관하여야 한다.

*개인정보처리시스템 접속기록에 반드시 포함되어야 할 항목

{| class="wikitable"
!개인정보의 안전성 확보조치 기준
!개인정보의 기술적·관리적 보호조치 기준
!비고
|-
|계정
|식별자
|개인정보취급자 ID 등
|-
|접속일시
|접속일시
|접속한 시간 또는 업무를 수행한 시간 (연월일 및 시분초)
|-
|접속지 정보
|접속지를 알 수 있는 정보
|접속자 IP주소 등
|-
|처리한 정보주체 정보
| rowspan="2" |수행업무
|개인정보취급자가 누구의 개인정보를 처리하였는지 알 수 있는 식별정보 (정보주체 또는 이용자 ID, 고객번호, 학번, 사번 등)
|-
|수행업무
|개인정보 조회, 변경, 입력, 삭제, 출력 다운로드 등
|}

*개인정보 접속기록 보존기간
**개인정보처리자
***최소 '''1년''' 이상
***다만 5만 명 이상의 정보주체에 관하여 개인정보를 처리하거나, 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템의 경우 '''2년''' 이상
**정보통신서비스 제공자 등
***최소 '''1년''' 이상
***｢전기통신사업법｣ 제5조에 따른 기간통신사업자: 최소 '''2년''' 이상

====로그 기록의 안전한 보관====
개인정보 접속기록이 위·변조, 도난, 분실되지 않도록 안전하게 보관 필요<blockquote>'''※ 접속기록의 안전한 보관방법(예시)'''

*물리적으로 분리된 별도의 저장장치에 백업 보관
*DVD, WORM Disk 등 덮어쓰기가 방지된 저장매체에 보존 등
</blockquote>

==증거 자료==

*로그관리 절차
*로그기록 내역
*로그 저장장치에 대한 접근통제 내역
*개인정보 접속기록 내역

==결함 사례==

*로그 기록 대상, 방법, 보존기간, 검토 주기, 담당자 등에 대한 세부 기준 및 절차가 수립되어 있지 않은 경우
*보안 이벤트 로그, 응용 프로그램 및 서비스 로그(윈도우 2008 서버 이상) 등 중요 로그에 대한 최대 크기를 충분하게 설정하지 않아 내부 기준에 정한 기간 동안 기록·보관되고 있지 않은 경우
*중요 Linux/UNIX 계열 서버에 대한 로그 기록을 별도로 백업하거나 적절히 보호하지 않아 사용자의 명령 실행 기록 및 접속 이력 등을 임의로 삭제할 수 있는 경우
*중요 Linux/UNIX 계열 서버에 대한 로그 기록을 별도로 백업하거나 적절히 보호하지 않아 사용자의 명령 실행 기록 및 접속 이력 등을 임의로 삭제할 수 있는 경우개인정보처리시스템에 접속한 기록을 확인한 결과 접속자의 계정, 접속 일시, 접속자 IP주소 정보는 남기고 있으나, 처리한 정보주체 정보 및 수행업무(조회, 변경, 삭제, 다운로드 등)와 관련된 정보를 남기고 있지 않은 경우
*로그 서버의 용량의 충분하지 않아서 개인정보처리시스템 접속기록이 3개월밖에 남아 있지 않은 경우
*공공기관 등 개인정보처리자가 정보주체 10만 명의 개인정보를 처리하는 개인정보처리 시스템의 접속기록을 1년간만 보관하고 있는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.8.2.보안 요구사항 검토 및 시험

2023-02-02T03:49:35Z

Shindarf: 관련 법규 추가

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.8.정보시스템 도입 및 개발 보안|2.8.정보시스템 도입 및 개발 보안]]

==개요==
{| class="wikitable"
!항목
!2.8.2.보안 요구사항 검토 및 시험
|-
| style="text-align:center" |'''인증기준'''
|사전 정의된 보안 요구사항에 따라 정보시스템이 도입 또는 구현되었는지를 검토하기 위하여 법적 요구사항 준수, 최신 보안취약점 점검, 안전한 코딩 구현, 개인정보 영향평가 등의 검토 기준과 절차를 수립·이행하고, 발견된 문제점에 대한 개선조치를 수행하여야 한다.
|-
|'''주요 확인사항'''
|
*정보시스템의 도입, 개발, 변경 시 분석 및 설계 단계에서 정의한 보안 요구사항이 효과적으로 적용되었는지를 확인하기 위한 시험을 수행하고 있는가?
*정보시스템이 안전한 코딩 기준 등에 따라 안전하게 개발되었는지를 확인하기 위한 취약점 점검이 수행되고 있는가?
*시험 및 취약점 점검 과정에서 발견된 문제점이 신속하게 개선될 수 있도록 개선계획 수립, 이행점검 등의 절차를 이행하고 있는가?
*공공기관은 관련 법령에 따라 개인정보처리시스템 신규 개발 및 변경 시 분석‧설계 단계에서 영향평가기관을 통해 영향평가를 수행하고 그 결과를 개발 및 변경 시 반영하고 있는가?
|-
|'''관련 법규'''
|
* 개인정보 보호법 제33조(개인정보 영향평가)
* 개인정보 영향평가에 관한 고시
|}
==세부 설명==

==== 보안 요구사항 적용 검토 기준·절차 수립 및 시험 ====
정보시스템의 도입, 개발, 변경 시 분석 및 설계 단계에서 정의한 보안 요구사항이 효과적으로 적용되었는지를 확인하기 위한 검토기준과 절차를 수립하고 이에 따른 시험을 수행하여야 한다.
*정보시스템 인수 전 인수기준 적합성 여부를 확인하기 위한 시험 수행
**정보시스템이 사전에 정의한 보안 요구사항을 만족하여 개발·변경 및 도입되었는지 확인하기 위한 인수기준 및 절차 수립
*정보시스템을 인수하기 전 사전 정의한 인수기준과의 적합성 여부를 테스트 등을 통하여 확인한 후 인수 여부를 결정
**시스템 보안 설정, 불필요한 디폴트 계정 제거 여부, 최신 보안취약점 패치 여부 등 확인 필요
*개발·변경 및 구현된 기능이 사전에 정의된 보안 요구사항을 충족하는지 시험 수행
**시험 계획서, 체크리스트, 시험 결과서 등에 반영

==== 취약점 점검 수행 ====
정보시스템이 안전한 코딩 기준 등에 따라 안전하게 개발되었는지를 확인하기 위한 취약점 점검을 수행하여야 한다.
*코딩 완료 후 안전한 코딩 표준 및 규약 준수 여부를 점검하고 기술적 보안 취약점이 존재하는 지 점검 수행
**시스템이 안전한 코딩표준에 따라 구현하는지 소스코드 검증(소스코드 검증도구 활용 등)
*코딩이 완료된 프로그램은 운영환경과 동일한 환경에서 취약점 점검도구 또는 모의진단을 통한 취약점 노출 여부 점검

==== 발견된 취약점 개선계획 수립 및 이행점검 ====
시험 및 취약점 점검 과정에서 발견된 문제점이 신속하게 개선될 수 있도록 개선계획 수립, 이행점검 등의 절차를 이행하여야 한다.
*발견된 문제점은 시스템 오픈 전에 개선될 수 있도록 개선계획 수립, 내부 보고, 이행점검 등의 절차 '''수립·이행'''
*불가피한 사유로 시스템 '''오픈 전에 개선이 어려울 경우'''에는 이에 따른 영향도 평가, 보완 대책, 내부 보고 등 위험을 줄일 수 있는 '''대책 마련'''

==== 공공기관 개인정보처리시스템 영향평가 ====
공공기관은 관련 법령에 따라 개인정보처리시스템 신규 개발 및 변경 시 분석·설계 단계에서 영향평가 기관을 통하여 영향평가를 수행하고 그 결과를 개발 및 변경 시 반영하여야 한다(개인정보 보호법 시행령 제35조 참고).

*공공기관은 개인정보처리시스템 신규 개발 또는 변경을 위한 계획 수립 시 개인정보 영향평가 의무 대상 여부를 검토하여 의무 대상인 경우에 영향평가 계획을 수립하고 관련 예산 확보

<blockquote>'''※ 개인정보 영향평가 의무 대상'''

*1. '''(5만 명 조건)''' 5만 명 이상의 정보주체에 관한 민감정보 또는 고유식별정보의 처리가 수반되는 개인정보파일
*2. '''(50만 명 조건)''' 공공기관 내부 또는 외부에서 구축·운용하고 있는 다른 개인정보파일과 연계하려는 경우로서 연계 결과 50만 명 이상의 정보주체에 관한 개인정보가 포함되는 개인정보파일
*3. '''(100만 명 조건)''' 100만 명 이상의 정보주체에 관한 개인정보파일
*4. '''(변경 시)''' 영향평가를 받은 후 개인정보파일의 운용체계를 변경하는 경우 변경된 부분에 대해서는 영향평가를 실시
</blockquote>

*공공기관은 개인정보처리시스템 신규 개발 및 변경 시 분석·설계 단계에서 개인정보보호위원회가 지정한 영향평가기관을 통하여 영향평가를 수행하고 그 결과를 개발 및 변경 시 반영
**영향평가기관 지정현황은 ʻ개인정보보호 종합포털(www.privacy.go.kr)ʼ에서 확인 가능
*영향평가 수행절차, 평가기준 등은 ʻ개인정보 영향평가 수행안내서ʼ 참고
*공공기관은 개인정보 영향평가서를 개인정보처리시스템 오픈 전 및 영향평가 종료 후 2개월 이내에 개인정보보호위원회에 제출
**개인정보보호 종합지원시스템(intra.privacy.go.kr)에 영향평가서 등록
*개인정보 영향평가 결과에 따른 개선요구사항에 대하여 이행 여부를 관리
**개선요구사항에 대한 상세 이행계획 수립
*정기적인 이행 상황 점검
**불가피하게 기간 내 조치가 어려운 경우 타당한 사유를 기록·보고하고 향후 조치를 위한 이행계획 수립
*영향평가서를 받은 공공기관의 장은 개선사항으로 지적된 부분에 대한 이행현황을 1년 이내에 개인 정보보호위원회에 제출(개선계획 이행점검 확인서)

==증거 자료==

*정보시스템 인수 시험 결과
*요구사항 추적 매트릭스
*시험 계획서, 시험 결과서
*취약점 점검 결과서
*개인정보 영향평가서
*개인정보 영향평가 개선계획 이행점검 확인서

==결함 사례==

*정보시스템 구현 이후 개발 관련 내부 지침 및 문서에 정의된 보안 요구사항을 시험하지 않고 있는 경우
*응용프로그램 테스트 시나리오 및 기술적 취약점 점검항목에 입력값 유효성 체크 등의 중요 점검항목 일부가 누락된 경우
*구현 또는 시험 과정에서 알려진 기술적 취약성이 존재하는지 여부를 점검하지 않거나, 타당한 사유 또는 승인 없이 확인된 취약성에 대한 개선조치를 이행하지 않은 경우
*공공기관이 5만 명 이상 정보주체의 고유식별정보를 처리하는 등 영향평가 의무 대상 개인 정보파일 및 개인정보처리시스템을 신규로 구축하면서 영향평가를 실시하지 않은 경우
*공공기관이 영향평가를 수행한 후 영향평가기관으로부터 영향평가서를 받은 지 2개월이 지났음에도 불구하고 영향평가서를 개인정보보호위원회에 제출하지 않은 경우

== 관련 인증 기준 ==
'''[[ISMS-P 인증 기준 2.8.1.보안 요구사항 정의|2.8.1.보안 요구사항 정의]]'''
* 정보시스템의 도입∙개발∙변경 시 정보보호 및 개인정보보호 관련 법적 요구사항, 최신 보안취약점, 안전한 코딩방법 등 보안 요구사항을 정의하고 적용하여야 한다.

'''[[ISMS-P 인증 기준 2.8.3.시험과 운영 환경 분리|2.8.3.시험과 운영 환경 분리]]'''

* 개발 및 시험 시스템은 운영시스템에 대한 비인가 접근 및 변경의 위험을 감소시키기 위하여 원칙적으로 분리하여야 한다.

'''[[ISMS-P 인증 기준 2.8.4.시험 데이터 보안|2.8.4.시험 데이터 보안]]'''

* 시스템 시험 과정에서 운영데이터의 유출을 예방하기 위하여 시험 데이터의 생성과 이용 및 관리, 파기, 기술적 보호조치에 관한 절차를 수립·이행하여야 한다.

'''[[ISMS-P 인증 기준 2.8.5.소스 프로그램 관리|2.8.5.소스 프로그램 관리]]'''

* 소스 프로그램은 인가된 사용자만이 접근할 수 있도록 관리하고, 운영환경에 보관하지 않는 것을 원칙으로 하여야 한다.

'''[[ISMS-P 인증 기준 2.8.6.운영환경 이관|2.8.6.운영환경 이관]]'''

* 신규 도입·개발 또는 변경된 시스템을 운영환경으로 이관할 때는 통제된 절차를 따라야 하고, 실행코드는 시험 및 사용자 인수 절차에 따라 실행되어야 한다.

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.7.1.암호정책 적용

2023-02-02T03:46:32Z

Shindarf: '관련 법규' 굵은 글씨로 변경

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.7.암호화 적용|2.7.암호화 적용]]

==개요==
{| class="wikitable"
!항목
!2.7.1.암호정책 적용
|-
| style="text-align:center" |'''인증기준'''
|개인정보 및 주요정보 보호를 위하여 법적 요구사항을 반영한 암호화 대상, 암호 강도, 암호 사용 정책을 수립하고 개인정보 및 주요정보의 저장·전송·전달 시 암호화를 적용하여야 한다.
|-
|'''주요 확인사항'''
|
*개인정보 및 주요정보의 보호를 위하여 법적 요구사항을 반영한 암호화 대상, 암호강도, 암호사용 등이 포함된 암호정책을 수립하고 있는가?
*암호정책에 따라 개인정보 및 중요 정보의 저장, 전송, 전달 시 암호화를 수행하고 있는가?
|-
|'''관련 법규'''
|
* 개인정보 보호법 제24조의2(주민등록번호 처리의 제한), 제29조(안전조치의무)
* 개인정보의 안전성 확보조치 기준 제7조(개인정보의 암호화)
* 개인정보의 기술적·관리적 보호조치 기준 제6조(개인정보의 암호화)
|}
==세부 설명==

====암호 정책 수립====
개인정보 및 주요정보의 보호를 위하여 법적 요구사항을 반영한 암호화 대상, 암호강도, 암호사용 등이 포함된 암호정책을 수립하여야 한다.

*'''암호화 대상''': 법적 요구사항, 처리 정보 민감도 및 중요도에 따라 정의

{| class="wikitable"
! rowspan="2" |구분
! colspan="2" |개인정보 보호법에 따른 암호화 대상 개인정보
|-
!개인정보처리자
!정보통신서비스 제공자
|-
|정보통신망을 통한 전송 시
|고유식별정보, 비밀번호, 생체인식정보
|개인정보, 인증정보
|-
|보조저장매체로 저장·전달 시
|고유식별정보, 비밀번호, 생체인식정보
|개인정보
|-
| rowspan="4" |개인정보 처리시스템 저장 시
|비밀번호, 생체인식정보 (다만 비밀번호는 일방향 암호화)
|비밀번호, 생체인식정보 (다만 비밀번호는 일방향 암호화)
|-
| -
|신용카드번호, 계좌번호
|-
|주민등록번호
|주민등록번호
|-
|여권번호, 외국인등록번호, 운전면허번호<br>인터넷구간, DMZ 저장 시 암호화 저장<br>내부망 저장 시 암호화 저장 또는 위험도 분석 (또는 영향평가)
|여권번호, 외국인등록번호, 운전면허번호
|-
|업무용 컴퓨터/ 모바일 기기 저장 시
|고유식별정보, 비밀번호, 생체인식정보
|개인정보
|}

*'''암호화 알고리즘''': 법적 요구사항 등을 고려하여 안전한 암호화 알고리즘 및 보안강도 선택

{| class="wikitable"
!구분
!알고리즘 명칭
|-
|대칭키 암호 알고리즘
|SEED, ARIA-128/192/256, AES-128/192/256, HIGHT, LEA 등
|-
|공개키 암호 알고리즘
|RSAES-OAEP, RSAES-PKCS1 등
|-
|일방향 암호 알고리즘
|SHA-256/384/512 등
|}

====정책에 따른 암호화 수행====
암호정책에 따라 개인정보 및 중요정보의 저장, 전송, 전달 시 암호화를 수행하여야 한다.

*암호화 위치, 시스템 특성 등을 고려하여 암호화 방식 선정 및 적용구분

{| class="wikitable"
!구분
!암호화 방식
|-
|'''정보통신망을 통한 전송 시'''
|
* 1. 웹서버에 [[TLS(SSL)|SSL(Secure Socket Layer)]] 인증서를 설치하여 전송하는 정보를 암호화 송수신
* 2. 웹서버에 암호화 응용프로그램을 설치하여 전송하는 정보를 암호화하여 송수신
* 3. 그 밖에 암호화 기술 활용 : [[가상 사설망|VPN]], [[PGP]] 등
|-
|'''보조저장매체로 전달 시'''
|
* 1. 암호화 기능을 제공하는 보안 저장매체 이용([[보안 USB|보안USB]] 등)
* 2. 해당 정보를 암호화한 후 보조저장매체에 저장 등
|-
|'''개인정보처리시스템 저장 시'''
|
* 1. 응용프로그램 자체 암호화(API 방식)
* 2. 데이터베이스 서버 암호화(Plug-in 방식)
* 3. DBMS 자체 암호화([[TDE]] 방식)
* 4. DBMS 암호화 기능 호출
* 5. 운영체제 암호화(파일암호화 등)
* 6. 그 밖의 암호화 기술 활용
|-
|'''업무용 컴퓨터 및 모바일 기기 저장 시'''
|
* 1. 문서도구 자체 암호화(오피스 등에서 제공하는 암호 설정 기능 활용)
* 2. 암호 유틸리티를 이용한 암호화
* 3. DRM(Digital Right Management) 적용 등
|}

==증거 자료==

*암호통제 정책(대상, 방식, 알고리즘 등)
*암호화 적용현황(저장 및 전송 시)
*위험도 분석 결과(내부망 고유식별정보 암호화 미적용 시)
*암호화 솔루션 관리 화면

==결함 사례==

*내부 정책·지침에 암호통제 관련 법적 요구사항을 고려한 암호화 대상, 암호 강도, 저장 및 전송 시 암호화 방법, 암호화 관련 담당자의 역할 및 책임 등에 관한 사항이 적절히 명시되지 않은 경우
*암호정책을 수립하면서 해당 기업이 적용받는 법규를 잘못 적용하여(정보통신서비스 제공자에게 ｢개인정보의 안전성 확보조치 기준｣ 요건 적용) 암호화 관련 법적 요구사항을 준수하지 못하고 있는 경우
*개인정보취급자 및 정보주체(이용자)의 비밀번호에 대하여 일방향 암호화를 적용하였으나, 안전하지 않은 MD5 알고리즘을 사용한 경우
*정보통신서비스 제공자가 관련 법규 및 내부 규정에 따라 인터넷 웹사이트에 대하여 보안 서버를 적용하였으나, 회원정보 조회 및 변경, 비밀번호 찾기, 비밀번호 변경 등 개인정보가 전송되는 일부 구간에 암호화 조치가 누락된 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.7.2.암호키 관리

2023-02-02T03:45:24Z

Shindarf: 인증기준 관련 법규 추가

[[분류: ISMS-P 인증 기준]]
* '''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
* '''분류''': [[ISMS-P 인증 기준 2.7.암호화 적용|2.7.암호화 적용]]
== 개요 ==

{| class="wikitable
!항목
!2.7.2.암호키 관리
|-
| style="text-align:center"|'''인증기준'''
|암호키의 안전한 생성·이용·보관·배포·파기를 위한 관리 절차를 수립·이행하고, 필요 시 복구방안을 마련하여야 한다.
|-
|'''주요 확인사항'''
|
* 암호키 생성, 이용, 보관, 배포, 변경, 복구, 파기 등에 관한 절차를 수립‧이행하고 있는가?
* 암호키는 필요시 복구가 가능하도록 별도의 안전한 장소에 보관하고 암호키 사용에 관한 접근권한을 최소화하고 있는가?
|-
|'''관련 법규'''
|
* 개인정보 보호법 제29조(안전조치의무)
* 개인정보의 안전성 확보조치 기준 제7조(개인정보의 암호화)
* 개인정보의 기술적·관리적 보호조치 기준 제6조(개인정보의 암호화)
|}

== 세부 설명 ==

* 암호키 생성, 이용, 보관, 배포, 파기에 대하여 다음과 같은 내용이 포함된 정책 및 절차를 수립하여야 한다.
** 암호키 관리 담당자
** 암호키 생성, 보관(소산 백업 등) 방법
** 암호키 배포 대상자 및 배포방법(복호화 권한 부여 포함)
** 암호키 사용 유효기간(변경 주기) : 암호키 변경 시 비용, 업무중요도 등을 고려하여 결정
** 암호키 복구 및 폐기 절차와 방법
** 소스코드에 하드코딩 방식의 암호키 기록 금지에 관한 사항 등
* 암호키는 필요시 복구가 가능하도록 별도의 안전한 장소에 보관하고 암호키 사용에 관한 접근권한을 최소화하여야 한다.
** 암호키 손상 시 시스템 또는 암호화된 정보의 복구를 위하여 암호키는 별도의 매체에 저장한 후 안전한 장소에 보관(암호키 관리시스템, 물리적 분리된 곳 등)
** 암호키에 대한 접근권한 최소화 및 접근 모니터링
== 증거 자료 ==
* 암호키 관리정책
* 암호키 관리대장 및 관리시스템 화면
== 결함 사례 ==
* 암호 정책 내에 암호키 관리와 관련된 절차, 방법 등이 명시되어 있지 않아 담당자별로 암호키 관리 수준 및 방법 상이 등 암호키 관리에 취약사항이 존재하는 경우
* 내부 규정에 중요 정보를 암호화할 경우 관련 책임자 승인 하에 암호화 키를 생성하고 암호키 관리대장을 작성하도록 정하고 있으나, 암호키 관리대장에 일부 암호키가 누락되어 있거나 현행화되어 있지 않은 경우
== 같이 보기 ==
* [[정보보호 및 개인정보보호관리체계 인증]]
* [[ISMS-P 인증 기준]]
* [[ISMS-P 인증 기준 세부 점검 항목]]
== 참고 문헌 ==
* 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.7.1.암호정책 적용

2023-02-02T03:41:12Z

Shindarf: /* 개요 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.7.암호화 적용|2.7.암호화 적용]]

==개요==
{| class="wikitable"
!항목
!2.7.1.암호정책 적용
|-
| style="text-align:center" |'''인증기준'''
|개인정보 및 주요정보 보호를 위하여 법적 요구사항을 반영한 암호화 대상, 암호 강도, 암호 사용 정책을 수립하고 개인정보 및 주요정보의 저장·전송·전달 시 암호화를 적용하여야 한다.
|-
|'''주요 확인사항'''
|
*개인정보 및 주요정보의 보호를 위하여 법적 요구사항을 반영한 암호화 대상, 암호강도, 암호사용 등이 포함된 암호정책을 수립하고 있는가?
*암호정책에 따라 개인정보 및 중요 정보의 저장, 전송, 전달 시 암호화를 수행하고 있는가?
|-
|관련 법규
|
* 개인정보 보호법 제24조의2(주민등록번호 처리의 제한), 제29조(안전조치의무)
* 개인정보의 안전성 확보조치 기준 제7조(개인정보의 암호화)
* 개인정보의 기술적·관리적 보호조치 기준 제6조(개인정보의 암호화)
|}
==세부 설명==

====암호 정책 수립====
개인정보 및 주요정보의 보호를 위하여 법적 요구사항을 반영한 암호화 대상, 암호강도, 암호사용 등이 포함된 암호정책을 수립하여야 한다.

*'''암호화 대상''': 법적 요구사항, 처리 정보 민감도 및 중요도에 따라 정의

{| class="wikitable"
! rowspan="2" |구분
! colspan="2" |개인정보 보호법에 따른 암호화 대상 개인정보
|-
!개인정보처리자
!정보통신서비스 제공자
|-
|정보통신망을 통한 전송 시
|고유식별정보, 비밀번호, 생체인식정보
|개인정보, 인증정보
|-
|보조저장매체로 저장·전달 시
|고유식별정보, 비밀번호, 생체인식정보
|개인정보
|-
| rowspan="4" |개인정보 처리시스템 저장 시
|비밀번호, 생체인식정보 (다만 비밀번호는 일방향 암호화)
|비밀번호, 생체인식정보 (다만 비밀번호는 일방향 암호화)
|-
| -
|신용카드번호, 계좌번호
|-
|주민등록번호
|주민등록번호
|-
|여권번호, 외국인등록번호, 운전면허번호<br>인터넷구간, DMZ 저장 시 암호화 저장<br>내부망 저장 시 암호화 저장 또는 위험도 분석 (또는 영향평가)
|여권번호, 외국인등록번호, 운전면허번호
|-
|업무용 컴퓨터/ 모바일 기기 저장 시
|고유식별정보, 비밀번호, 생체인식정보
|개인정보
|}

*'''암호화 알고리즘''': 법적 요구사항 등을 고려하여 안전한 암호화 알고리즘 및 보안강도 선택

{| class="wikitable"
!구분
!알고리즘 명칭
|-
|대칭키 암호 알고리즘
|SEED, ARIA-128/192/256, AES-128/192/256, HIGHT, LEA 등
|-
|공개키 암호 알고리즘
|RSAES-OAEP, RSAES-PKCS1 등
|-
|일방향 암호 알고리즘
|SHA-256/384/512 등
|}

====정책에 따른 암호화 수행====
암호정책에 따라 개인정보 및 중요정보의 저장, 전송, 전달 시 암호화를 수행하여야 한다.

*암호화 위치, 시스템 특성 등을 고려하여 암호화 방식 선정 및 적용구분

{| class="wikitable"
!구분
!암호화 방식
|-
|'''정보통신망을 통한 전송 시'''
|
* 1. 웹서버에 [[TLS(SSL)|SSL(Secure Socket Layer)]] 인증서를 설치하여 전송하는 정보를 암호화 송수신
* 2. 웹서버에 암호화 응용프로그램을 설치하여 전송하는 정보를 암호화하여 송수신
* 3. 그 밖에 암호화 기술 활용 : [[가상 사설망|VPN]], [[PGP]] 등
|-
|'''보조저장매체로 전달 시'''
|
* 1. 암호화 기능을 제공하는 보안 저장매체 이용([[보안 USB|보안USB]] 등)
* 2. 해당 정보를 암호화한 후 보조저장매체에 저장 등
|-
|'''개인정보처리시스템 저장 시'''
|
* 1. 응용프로그램 자체 암호화(API 방식)
* 2. 데이터베이스 서버 암호화(Plug-in 방식)
* 3. DBMS 자체 암호화([[TDE]] 방식)
* 4. DBMS 암호화 기능 호출
* 5. 운영체제 암호화(파일암호화 등)
* 6. 그 밖의 암호화 기술 활용
|-
|'''업무용 컴퓨터 및 모바일 기기 저장 시'''
|
* 1. 문서도구 자체 암호화(오피스 등에서 제공하는 암호 설정 기능 활용)
* 2. 암호 유틸리티를 이용한 암호화
* 3. DRM(Digital Right Management) 적용 등
|}

==증거 자료==

*암호통제 정책(대상, 방식, 알고리즘 등)
*암호화 적용현황(저장 및 전송 시)
*위험도 분석 결과(내부망 고유식별정보 암호화 미적용 시)
*암호화 솔루션 관리 화면

==결함 사례==

*내부 정책·지침에 암호통제 관련 법적 요구사항을 고려한 암호화 대상, 암호 강도, 저장 및 전송 시 암호화 방법, 암호화 관련 담당자의 역할 및 책임 등에 관한 사항이 적절히 명시되지 않은 경우
*암호정책을 수립하면서 해당 기업이 적용받는 법규를 잘못 적용하여(정보통신서비스 제공자에게 ｢개인정보의 안전성 확보조치 기준｣ 요건 적용) 암호화 관련 법적 요구사항을 준수하지 못하고 있는 경우
*개인정보취급자 및 정보주체(이용자)의 비밀번호에 대하여 일방향 암호화를 적용하였으나, 안전하지 않은 MD5 알고리즘을 사용한 경우
*정보통신서비스 제공자가 관련 법규 및 내부 규정에 따라 인터넷 웹사이트에 대하여 보안 서버를 적용하였으나, 회원정보 조회 및 변경, 비밀번호 찾기, 비밀번호 변경 등 개인정보가 전송되는 일부 구간에 암호화 조치가 누락된 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)