안녕하세요,
ISMS 인증 심사 중 보호대책 요구사항의 정보시스템 도입 및 개발 보안에 대하여 작성해보려 합니다.
참고하시어 보안 강화에 보탬이 되었으면 좋겠습니다.
2.8.1 보안 요구사항 정의
✅ Details
정보시스템의 도입∙개발∙변경 시 정보보호 및 개인정보보호 관련 법적 요구사항, 최신 보안취약점, 안전한 코딩방법 등 보안 요구사항을 정의하고 적용하여야 한다.
「개인정보 보호법 제29조」 안전성 확보조치 의무
정보시스템을 신규로 도입‧개발 또는 변경하는 경우 정보보호 및 개인정보보호 측면의 타당성 검토 및 인수 절차를 수립‧이행하고 있는가?
📌 조치 사항
- RFP에 개인정보 처리 요구사항 명시 (수집, 저장, 파기 흐름 등)
- 계약서에 인수 기준(개인정보 적합성 포함)과 검수 절차 반영
- 사업수행계획서에 인수 절차, 역할, 일정 정의
- 인수시험 계획 수립 및 결과 보고서 작성
「개인정보 보호법 제29조, 정보통신망법 제28조」 안전성 확보조치 의무, 개인정보 보호조치 의무
정보시스템을 신규로 도입‧개발 또는 변경하는 경우 법적 요구사항, 최신 취약점 등을 포함한 보안 요구사항을 명확히 정의하고 설계 단계에서부터 반영하고 있는가?
📌 조치 사항
- 요구사항정의서에 법규 매핑 표 작성
- 보안아키텍처 설계서에 인증, 인가, 암호화, 로깅 반영
- 화면설계서에 개인정보 입력 시 마스킹, HTTPS 적용
- 시험계획서에 OWASP 기반 보안 테스트 케이스 포함
- 취약점 점검 보고서 작성 및 개선계획 수립
🔎 증적 자료 수집
1) 정보시스템 도입 RFP(제안요청서) 및 구매계약서
2) 개발산출물
- 사업수행계획서
- 요구사항 정의서
- 화면설계서
- 보안 아키텍처 설계서
- 시험계획서 등.
2.8.2 보안 요구사항 검토 및 시험
✅ Details
사전 정의된 보안 요구사항에 따라 정보시스템이 도입 또는 구현되었는지를 검토하기 위하여 법적 요구사항 준수, 최신 보안취약점 점검, 안전한 코딩 구현, 개인정보 영향평가 등의 검토 기준과 절차를 수립·이행하고, 발견된 문제점에 대한 개선조치를 수행하여야 한다.
「개인정보 보호법 제29조」 안전성 확보조치 의무
정보시스템의 도입, 개발, 변경 시 분석 및 설계 단계에서 정의한 보안 요구사항이 효과적으로 적용되었는지를 확인하기 위한 시험을 수행하고 있는가?
📌 조치 사항
- 시험 계획 수립
- 인수 기준(보안 요구사항 충족 여부) 정의
- 시험 항목 : 접근통제, 암호화, 계정관리, 로그기록, 취약점 패치 등
- 운영환경과 동일한 테스트 환경에서 기능·보안 시험 및 시험 결과서 작성 & 승인 절차
- 화이트박스 테스트(코드 기반), 블랙박스 테스트(기능 기반) 방법론 활용
「개인정보 보호법 제29조, 정보통신망법 제28조」 기술적·관리적 조치 의무, 개인정보 보호조치 의무
정보시스템이 안전한 코딩 기준 등에 따라 안전하게 개발되었는지를 확인하기 위한 취약점 점검이 수행되고 있는가?
📌 조치 사항
- 취약점 점검 수행 기준
- 안전한 코딩 기준(행안부 개발보안 가이드) 준수 여부 확인
- 정적 분석(SAST) + 동적 분석(DAST) 수행 // Checkmarx + Opentext 등 도구 활용 가능.
- OWASP Top 10, CWE 기반 점검
- 개선계획 수립
- 취약점 심각도별 조치 기한 설정 (예: Critical 즉시, Medium 30일 이내 등.)
- 담당자 지정 및 승인 절차
- 이행 점검
- 조치 완료 여 부 재검증 및 개선 불가 시 영향도 평가 및 보완대책 마련
🔎 증적 자료 수집
1) 정보시스템 인수 시험 결과서 및 체크리스트
2) 요구사항 추적 매트릭스
3) 시험 계획서, 시험 결과서 등.
4) 취약점 점검 결과서, 개선 계획서, 이행점검 보고서 등.
2.8.3 시험과 운영 환경 분리
✅ Details
개발 및 시험 시스템은 운영시스템에 대한 비인가 접근 및 변경의 위험을 감소시키기 위하여 원칙적으로 분리하여야 한다.
「개인정보 보호법 제29조」 접근권한 관리, 접속기록 보관, 위변조 방지
정보시스템의 개발 및 시험 시스템을 운영시스템과 분리하고 있는가?
📌 조치 사항
- 물리적 & 논리적 분리 필요
- 개발/시험 환경과 운영 환경을 별도 네트워크로 구성
- 운영 DB 접근 차단, 운영 계정 사용 금지
- 접근 통제
- 운영 환경 접근은 운영 담당자만 허용 (RBAC 적용)
- VPN, MFA 필수 적용
- 배포 절차 : 운영 반영 시 승인 프로세스 적용 (Change Management)
「개인정보 보호법 제29조」 내부관리계획, 접근통제, 접속기록 관리 의무
불가피한 사유로 개발과 운영환경의 분리가 어려운 경우 상호검토, 상급자 모니터링, 변경 승인, 책임추적성 확보 등의 보안대책을 마련하고 있는가?
📌 조치 사항
- 운영 반영 전 Peer Review 수행 (상호 검토)
- 변경 작업 실시간 모니터링 및 승인
- 변경 승인에 대해 Change Request → 승인자 확인 → 작업 로그 기록 문서화
- 모든 변경 작업 로그 기록 및 보관
🔎 증적 자료 수집
1) 네트워크 구성도 (시험환경 포함)
2) 운영 및 개발 환경 간 접근통제 설정 현황
3) 작업 로그 및 모니터링 보고서
4) 변경관리 절차서, 변경 승인 기록, 변경 관리 로그 기록
2.8.4 시험 데이터 보안
✅ Details
시스템 시험 과정에서 운영데이터의 유출을 예방하기 위하여 시험 데이터의 생성과 이용 및 관리, 파기, 기술적 보호조치에 관한 절차를 수립·이행하여야 한다.
「개인정보 보호법 제21조, 제29조」 개인정보의 파기 의무, 개인정보의 안전성 확보를 위한 기술 및 관리적 조치
정보시스템의 개발 및 시험 과정에서 실제 운영 데이터의 사용을 제한하고 있는가?
📌 조치 사항
- 운영 데이터 사용 금지 원칙 : 시험 데이터는 가명처리, 마스킹, 샘플링을 통해 생성
- 시험 데이터 생성 절차 : 데이터 생성, 관리, 폐기 절차 문서화
- 접근 통제 : 시험 환경에서 운영 DB 접근 차단
「개인정보 보호법 제21조, 제29조」 개인정보의 파기 의무, 접근통제 및 접속기록 관리
불가피하게 운영데이터를 시험 환경에서 사용할 경우 책임자 승인, 접근 및 유출 모니터링, 시험 후 데이터 삭제 등의 통제 절차를 수립∙이행하고 있는가?
📌 조치 사항
- 사전 승인 : 운영 데이터 사용 시 책임자 승인 필수 (문서화)
- 접근 및 유출 모니터링 : 시험 환경 접근 로그 기록 및 실시간 모니터링 필수
- 시험 후 데이터 삭제 : 시험 종료 후 운영 데이터 완전 삭제 (복구 불가)
- 책임추적성 확보 : 승인 기록, 작업 로그, 삭제 증적 보관 필수
🔎 증적 자료 수집
1) 시험 데이터 현황 분서
2) 시험 데이터 생성, 관리 절차
3) 운영 데이터를 시험 환경에 사용한 경우, 관련 사용 승인 이력
4) 시험 후 데이터 삭제 보고서
5) 접근 로그 및 모니터링 보고서
2.8.5 소스 프로그램 관리
✅ Details
소스 프로그램은 인가된 사용자만이 접근할 수 있도록 관리하고, 운영환경에 보관하지 않는 것을 원칙으로 하여야 한다.
「개인정보 보호법 제29조」 접근권한 관리, 접속기록 보관
1) 비인가된 자에 의한 소스 프로그램 접근을 통제하기 위한 절차를 수립‧이행하고 있는가?
2) 소스 프로그램은 장애 등 비상시를 대비하여 운영환경이 아닌 곳에 안전하게 보관하고 있는가?
📌 조치 사항
- 접근 권한 관리
- 소스 저장소(SVN, Git 등) 접근은 인가된 사용자만 허용
- RBAC(Role-Based Access Control) 적용
- 인증 강화
- MFA(다중인증) 적용, 접근 로그 기록 및 주기적 검토
- 정기 점검
- 접근권한 목록 정기 검토 및 불필요한 권한 제거
「개인정보 보호법 제29조」 기술적, 관리적 조치(암호화, 접근통제)
소스 프로그램에 대한 변경이력을 관리하고 있는가?
📌 조치 사항
- 운영환경과 분리 : 소스는 운영 서버에 저장하지 않고 별도 형상관리시스템에 보관
- 백업 및 복구 : 정기 백업 수행, 재해복구 계획(DRP) 수립
🔎 증적 자료 수집
1) SVN 등 형상관리시스템 운영 현황 (접근권한자 목록 등)
2) 형상관리시스템 구성도
3) 백업 정책 및 로그, 점검 보고서 등
2.8.6 운영환경 이관
✅ Details
신규 도입·개발 또는 변경된 시스템을 운영환경으로 이관할 때는 통제된 절차를 따라야 하고, 실행코드는 시험 및 사용자 인수 절차에 따라 실행되어야 한다.
「개인정보 보호법 제29조」 내부관리계획, 접근통제 및 접속기록 관리
신규 도입‧개발 및 변경된 시스템을 운영환경으로 안전하게 이관하기 위한 통제 절차를 수립‧이행하고 있는가
📌 조치 사항
- 이관 절차 문서화
- 신규 시스템 운영 반영 시 승인 프로세스 정의
- 이관 단계별 체크리스트 작성 (테스트 완료, 보안 검증, 승인 등)
- 변경 관리 : Change Request → 승인 → 이관 작업 → 검증
- 이관 후 검증 : 운영 환경에서 정상 동작 및 보안 설정 확인
「개인정보 보호법 제29조」 내부관리계획, 접근통제 및 접속기록 관리, 재해 재난 대비
1) 운영환경으로의 이관 시 발생할 수 있는 문제에 대한 대응 방안을 마련하고 있는가?
2) 운영환경에는 서비스 실행에 필요한 파일만을 설치하고 있는가?
📌 조치 사항
- 리스크 분석 및 대응 계획
- 이관 시 장애, 데이터 손실, 보안 사고 가능성 평가
- 롤백 절차 마련 (이관 실패 시 원상복구)
- 비상 연락망 및 장애 대응 매뉴얼 준비
- 운영환경 최소화
- 운영환경에는 서비스 실행에 필요한 파일만 설치
- 개발용 툴, 테스트 스크립트, 샘플 데이터 제거
- 검증 및 승인
- 이관 전 보안 검증 완료
- 운영환경 파일 검증 보고서 작성
🔎 증적 자료 수집
1) 이관 절차, 이관 내역(신청 및 승인, 시험, 이관 등)
2) 대응 방안 문서화
- 장애 대응 매뉴얼
- 롤백 절차 문서
- 운영환경 파일 검증 보고서