안녕하세요,
ISMS 인증 심사 중 보호대책 요구사항의 시스템 및 서비스 운영관리에 대하여 작성해보려 합니다.
참고하시어 보안 강화에 보탬이 되었으면 좋겠습니다.
2.9.1 변경 관리
✅ Details
정보시스템 관련 자산의 모든 변경내역을 관리할 수 있도록 절차를 수립·이행하고, 변경 전 시스템의 성능 및 보안에 미치는 영향을 분석하여야 한다.
「개인정보 보호법 제29조」 안전성 확보조치 의무
정보시스템 관련 자산(하드웨어, 운영체제, 상용 소프트웨어 패키지 등) 변경에 관한 절차를 수립‧이행하고 있는가?
📌 조치 사항
- 변경관리 정책 제정
- 범위(Infra, OS, DB, 네트워크, 애플리케이션, IaC, SaaS 설정 포함)와 변경 유형(표준/정상/긴급) 정의
- 승인 체계(CAB, 시스템 오너, 보안/개인정보 책임자), 역할과 책임(RACI) 명시
- 표준 운영절차(SOP) 수립
- Change Request → 영향분석 → 승인 → 테스트/검증 → 배포 → 검증 → 종료(로그/증적 정리)
- 긴급 변경 별도 절차(사후승인, 롤백 필수) 정의
- 형상관리/배포 통제
- 형상 아이템(CI) 등록, 버전관리(Git/SVN), 릴리즈 승인(PR/Code Review)
- 운영 반영은 승인된 아티팩트만 배포(CI/CD 파이프라인 승인 게이트)
📌 실무 포인트
- 변경 유형별 SLA
- 표준(루틴) 변경: 사전 정의된 템플릿+자동 승인
- 정상(일반) 변경: CAB 승인, 시험/리그레션 필수
- 긴급 변경: 운영 안정성 우선, 사후 CAB 검토·재점검
- CI/CD 보안 게이트
- 테스트 통과, 취약점 스캔 패스, 서명된 아티팩트만 프로덕션 배포
- 클라우드/IaC 포함
- Terraform/CloudFormation 변경은 Git PR + 승인이력 + Plan/Apply 로그를 증적화
- 데이터베이스 변경 통제
- DDL/DML 변경 스크립트 사전 리뷰, 롤백 스크립트 동시 준비, 트랜잭션 보호
「개인정보 보호법 제29조」 안전성 확보조치 의무
정보시스템 관련 자산 변경을 수행하기 전 성능 및 보안에 미치는 영향을 분석하고 있는가?
📌 조치 사항
- 영향분석 템플릿 의무화
- 성능: 자원 사용량(CPU/Mem/IO), 응답시간, TPS, 장애지표(SLO/SLA)
- 보안/개인정보: 접근통제 영향, 권한 변화, 암호화 적용 변화, 로그·모니터링 포인트, 개인정보 처리 흐름 변화(수집/보관/전송/파기)
- 시험/검증 계획 연계
- 성능 테스트(부하/스트레스/용량), 보안 테스트(SAST/DAST/취약점 스캔)
- 회귀 테스트로 ‘기존 기능/보안 설정’ 영향 검증
- 릴리스 기준(Go/No‑Go) 정의
- 성능 임계치, 취약점 임계치(Critical/High 미해결 시 배포 불가), 장애 발생 시 즉시 롤백
📌 실무 포인트
- 위협모델링(Threat Modeling)
- 변경으로 신규 위협(권한 상승, 민감정보 노출, 경계 약화) 발생 여부 분석
- 개인정보 흐름도/데이터 분류 업데이트
- 변경 후 민감/개인 데이터 경로, 암호화 스킴(AES‑256 at rest, TLS 1.2+ in transit) 재확인
- 릴리스 헬스 체크 & 릴리스 후 검증
- 배포 직후 스모크 테스트 + 실시간 APM/로그 지표 감시
- 성능·보안 이벤트 회고, 표준에 반영(PDCA)
🔎 증적 자료 수집
1) 정책/절차
- 변경관리 정책, SOP(표준/정상/긴급, 승인체계, RACI, 롤백)
2) 요청/승인/검증
- 변경요청서(CR), CAB 회의록
- 영향분석서(성능·보안·개인정보), 시험계획서/결과서
- 취약점 보고서(심각도/조치기한), 릴리스 Go/No-Go 기록
- 롤백 계획/실행 결과, 운영 준비도 점검(ORR) 체크리스트
3) 형상/배포/로그
- Git/SVN 변경이력, 릴리스 태그/해시
- CI/CD 승인 로그, 배포 로그
- 운영 설정 변경 diff, 접근/작업 로그, 알림/장애 리포트
2.9.2 성능 및 장애관리
✅ Details
정보시스템의 가용성 보장을 위하여 성능 및 용량 요구사항을 정의하고 현황을 지속적으로 모니터링하여야 하며, 장애 발생 시 효과적으로 대응하기 위한 탐지·기록·분석·복구·보고 등의 절차를 수립·관리하여야 한다.
「개인정보 보호법 제29조」 안전성 확보조치 의무 (재해·재난 대비, 시스템 가용성 유지)
정보시스템 성능 및 용량 요구사항(임계치)을 초과하는 경우에 대한 대응절차를 수립‧이행하고 있는가?
📌 조치 사항
- 성능·용량 기준서 작성
- 서비스별 SLO/SLA 정의 (예: 응답시간, TPS, 에러율)
- 임계치 설정 (Warning/Critical 단계)
- 모니터링 체계 운영
- APM, 로그, 인프라 메트릭 대시보드 구축
- 임계치 초과 시 자동 알림 및 대응 Runbook 실행
- 대응 절차 수립 : 오토스케일링, 캐시 정책, DB 튜닝 등 성능 개선 프로세스 문서화
📌 실무 포인트
- 임계치 설계: Warning/Critical 단계별 자동화 대응 연결
- 성능 테스트 연계: 부하·스트레스 테스트 결과를 SLO에 반영
- 예측 기반 계획: 트래픽 패턴 분석, 캠페인 대비 Headroom 확보
「개인정보 보호법 제29조」 탐지·대응·복구 체계 유지
1) 장애 발생 시 절차에 따라 조치하고 장애조치보고서 등을 통해 장애조치내역을 기록하여 관리하고 있는가?
2) 심각도가 높은 장애의 경우 원인분석을 통한 재발방지 대책을 마련하고 있는가?
📌 조치 사항
- 장애관리 정책 및 SOP : 심각도 분류(Sev1~Sev4), MTTR 목표, 보고 체계
- 탐지·통지·대응 프로세스 : 이벤트 → 알림 → 초동조치 → 복구 → 검증 → 보고
- 장애조치 보고서 작성 : 장애 개요, 영향 범위, RCA(근본원인분석), 시정·예방조치
- 재발방지 대책 : RCA 결과를 표준 프로세스에 반영
- 훈련 : DR 모의훈련, 페일오버 테스트 정기 수행
🔎 증적 자료 수집
1) 성능 및 용량 모니터링 증적
- 성능·용량 기준서(SLO/SLA, 임계치), 모니터링 리포트 및 알림 로그, 용량 계획서 및 증설 승인 기록
2) 장애 관련 보고서
- 장애관리 SOP, 장애 티켓 관리 및 알림 로그, 장애 조치 보고서(RCA 포함), DR/페일오버 UAT결과
2.9.3 백업 및 복구 관리
✅ Details
정보시스템의 가용성과 데이터 무결성을 유지하기 위하여 백업 대상, 주기, 방법, 보관장소, 보관기간, 소산 등의 절차를 수립·이행하여야 한다. 아울러 사고 발생 시 적시에 복구할 수 있도록 관리하여야 한다.
「개인정보 보호법 제29조」 재해·재난 대비 및 개인정보 무결성 확보 의무
백업된 정보의 완전성과 정확성, 복구절차의 적절성을 확인하기 위하여 정기적으로 복구 테스트를 실시하고 있는가?
📌 조치 사항
- 복구 절차 수립 및 목표 정의
- 복구 단계별 Runbook 작성(복구 순서, 담당자, 승인 절차)
- RTO(Recovery Time Objective), RPO 설정
- 재해복구(DR) 계획 : DR 사이트 운영, 페일오버 테스트
📌 실무 포인트
- 테스트 범위: 전체 복구 + 부분 복구 + 랜덤 샘플 복구
- 테스트 주기: 최소 연 1회 이상, 중요 시스템은 분기별
- 검증 항목: 데이터 완전성, 복구 시간, 절차 적합성
「개인정보 보호법 제29조」 재해·재난 대비 및 개인정보 무결성 확보 의무
중요정보가 저장된 백업매체의 경우 재해‧재난에 대처할 수 있도록 백업매체를 물리적으로 떨어진 장소에 소산하고 있는가?
📌 조치 사항
- 백업 정책 수립 : 백업 대상(시스템, DB, 로그, 설정), 주기(일간/주간/월간), 방법(전체·증분·차등) 정의
- 백업 매체 및 보관
- 암호화 적용(예: AES-256), 접근권한 최소화
- 백업 매체는 운영환경과 분리된 안전한 장소에 보관
- 소산 & 백업 로그 관리
- 중요정보는 이중화 및 물리적 소산(Off-site) 적용
- 백업 성공/실패 로그 기록 및 점검
🔎 증적 자료 수집
1) 복구테스트 계획서 및 결과 보고서, 복구 절차서 및 승인 기록
2) DR 모의 훈련 기록
3) 소산 백업 현황
4) 백업 정책 문서, 백업 로그 성공 및 실패 보고서
2.9.4 로그 및 접속기록 관리
✅ Details
서버, 응용프로그램, 보안시스템, 네트워크시스템 등 정보시스템에 대한 사용자 접속기록, 시스템로그, 권한부여 내역 등의 로그유형, 보존기간, 보존방법 등을 정하고 위·변조, 도난, 분실 되지 않도록 안전하게 보존·관리하여야 한다.
「개인정보 보호법 제29조」 접속기록 보관 및 위·변조 방지 의무
서버, 응용프로그램, 보안시스템, 네트워크시스템 등 정보시스템에 대한 로그관리 절차를 수립하고 이에 따라 필요한 로그를 생성하여 보관하고 있는가?
📌 조치 사항
- 로그 정책 수립
- 로그 대상(서버, DB, 네트워크, 보안시스템, 개인정보처리시스템)
- 로그 항목(사용자 ID, 접속 IP, 접속 일시, 수행 작업, 결과)
- 로그 생성 설정
- OS/DB/애플리케이션에서 감사 로그(Audit Log) 활성화
- 개인정보처리시스템은 접속기록 필수 항목(법적 요구사항) 포함
- 로그 무결성 보장
- 로그 위·변조 방지(암호화, 해시, WORM 스토리지)
- 보관 기간 준수
- 개인정보 접속기록은 최소 1년 이상 보관(법적 기준)
📌 실무 포인트
- 로그 항목 표준화: 사용자 ID, IP, MAC, 접속시간, 작업내역, 결과
- 로그 용량 관리: 순환 정책 + 장기보관 백업
- 실시간 모니터링: SIEM 연계, 이상행위 탐지
「개인정보 보호법 제29조」 접속기록 안전 보관 및 접근통제
1) 정보시스템의 로그기록은 별도 저장장치를 통해 백업하고 로그기록에 대한 접근권한은 최소화하여 부여하고 있는가
2) 개인정보처리시스템에 대한 접속기록은 법적 요구사항을 준수할 수 있도록 필요한 항목을 모두 포함하여 일정기간 안전하게 보관하고 있는가?
📌 조치 사항
- 별도 저장장치에 로그 백업 : 운영서버와 분리된 안전한 스토리지에 저장
- 접근권한 최소화 : 접근은 관리자 중 최소 인원에게만 허용, MFA 적용
- 정기점검 : 로그 접근 권한 검토, 무결성 확인
📌 실무 포인트
- WORM 스토리지: Write Once Read Many 방식으로 위·변조 방지
- 암호화: 로그 파일 (예: AES-256) 암호화
- 접근통제: RBAC, 세션 로깅, 접근 알림
- 백업 주기: 일간 증분 + 주간 전체 백업
🔎 증적 자료 수집
1) 로그 기록 관련
- 로그 정책 문서, 로그 설정 스크린샷, 로그 무결성 검증 보고서 등.
- 로그 저장소 접근통제 내역, 로그 백업 정책 및 실행 기록
2) 개인정보 접속기록
2.9.5 로그 및 접속기록 점검
✅ Details
정보시스템의 정상적인 사용을 보장하고 사용자 오·남용(비인가접속, 과다조회 등)을 방지하기 위하여 접근 및 사용에 대한 로그 검토기준을 수립하여 주기적으로 점검하며, 문제 발생 시 사후조치를 적시에 수행하여야 한다.
「개인정보 보호법 제29조, 안전성 확보조치 제6조」 접속기록 관리 및 이상행위 탐지 의무, 접속기록 점검 의무
1) 정보시스템 관련 오류, 오‧남용(비인가접속, 과다조회 등), 부정행위 등 이상징후를 인지할 수 있도록 로그 검토 주기, 대상, 방법 등을 포함한 로그 검토 및 모니터링 절차를 수립‧이행하고 있는가?
2) 로그 검토 및 모니터링 결과를 책임자에게 보고하고 이상징후 발견 시 절차에 따라 대응하고 있는가?
📌 조치 사항
- 정책 수립 및 체계적인 운영
- 로그 검토 정책 수립 : 검토 주기(일간/주간/월간), 대상(서버, DB, 네트워크, 보안시스템), 방법 정의
- 모니터링 체계 운영 : SIEM, IDS/IPS, APM 연계하여 실시간 이상행위 탐지
- 이상징후 탐지 및 대응
- 탐지 : 비인가접속, 과다조회, 권한오남용, 비정상 트래픽
- 보고 및 대응 : 이상징후 발견 시 즉시 책임자 보고, 사후조치 기록
📌 실무 포인트
- 로그 분석 기준 : 사용자 ID, IP, 접속시간, 작업내역, 실패 시도 횟수
- 자동화 활용 : 이상행위 탐지 룰 설정(Threshold, Behavior Analytics)
- 대응 절차 : 계정 잠금, 세션 종료, 비상연락망 가동
- 정기 리뷰 : 월간 로그 분석 보고서 작성, 경영진 보고
「개인정보 보호법 제29조, 안전성 확보조치 제6조」 접속기록 관리 및 점검 의무, 접속기록 보관 및 정기점검 의무
개인정보처리시스템의 접속기록은 관련 법령에서 정한 주기에 따라 정기적으로 점검하고 있는가?
📌 조치 사항
- 접속기록 점검 주기 준수 : 최소 월 1회 이상 개인정보처리시스템 접속기록 점검
- 점검 항목 : 비인가접속, 과다조회, 다운로드 사유 확인
- 사후 조치 : 이상행위 발견 시 계정 차단, 재발방지 대책 수립
🔎 증적 자료 수집
1) 로그 검토 결과 보고서
2) 이상징후 탐지 내역 및 대응 기록
3) 모니터링 시스템 설정 스크린샷
4) 개인정보 접속기록 점검 내역
5) 개인정보 다운로드 시 사유 확인 결과 보고서
2.9.6 시간 동기화
✅ Details
로그 및 접속기록의 정확성을 보장하고 신뢰성 있는 로그분석을 위하여 관련 정보시스템의 시각을 표준시각으로 동기화하고 주기적으로 관리하여야 한다.
「개인정보 보호법 제29조」 안전성 확보조치 의무
정보시스템의 시간을 표준시간으로 동기화하고 있는가?
📌 조치 사항
- 시간 동기화 정책 수립
- 표준시간 기준(권장: UTC 기반 운영, 표시만 KST)과 적용
- 범위(서버, DB, 네트워크, 보안시스템, 컨테이너/VM, 클라우드 자원, OT/IoT 포함) 정의
- 표준 시간대 및 포맷
- 애플리케이션/로그는 UTC 타임스탬프 + ISO‑8601(예: 2025-11-27T00:40:19Z) 권장, 표시 레이어에서 KST 변환
「개인정보 보호법 제29조」 안전성 확보조치 의무
시간 동기화가 정상적으로 이루어지고 있는지 주기적으로 점검하고 있는가?
📌 조치 사항
- 정기점검 관련하여 리포트 작성 시 일일/주간/월간 리포트에 포함하여 검증
- 중앙 모니터링(SIEM/APM)에서 NTP/Chrony 동기화 상태, 오프셋, 지터 수집/대시보드화
🔎 증적 자료 수집
1) 시간 동기화 정책/표준 문서, NTP/Chrony/PTP 설정 스크린샷 또는 템플릿
2) 표준 NTP 서버 구성도(상위 소스, 스트라텀, 접근통제)
2.9.7 정보자산의 재사용 및 폐기
✅ Details
정보자산의 재사용과 폐기 과정에서 개인정보 및 중요정보가 복구·재생되지 않도록 안전한 재사용 및 폐기 절차를 수립·이행하여야 한다.
「개인정보 보호법 제29조, 안전성 확보조치 제8」 개인정보 파기 의무, 저장매체 폐기 시 복구 불가능 방식 적용
1) 자체적으로 정보자산 및 저장매체를 폐기할 경우 관리대장을 통해 G158남기고 폐기확인 증적을 함께 보관하고 있는가?
2) 외부업체를 통해 정보자산 및 저장매체를 폐기할 경우 폐기 절차를 계약서에 명시하고 완전히 폐기했는지 여부를 확인하는가?
📌 조치 사항
- 폐기 정책 수립
- 대상: 서버, 스토리지, PC, 백업매체, 이동식 저장장치
- 절차: 폐기 요청 → 승인 → 데이터 완전 삭제 → 물리적 파기 → 증적 기록
- 폐기 이력 관리
- 폐기 관리대장 작성(자산번호, 담당자, 폐기일자, 방법)
- 증적(사진, 파기 인증서) 보관
📌 실무 포인트
- 중요정보 보호 : 재사용 전 반드시 데이터 삭제
- 폐기 표준 준수 : NIST 800-88, KISA 가이드라인 적용
- 증적 보관 : 최소 3년 이상 보관(감사 대비)
「개인정보 보호법 제29조」 개인정보 처리 안전성 확보
정보시스템, PC 등 유지보수, 수리 과정에서 저장매체 교체, 복구 등 발생 시 저장매체 내 정보를 보호하기 위한 대책을 마련하고 있는가?
📌 조치 사항
- 저장 매체 교체 시 : 교체 전 데이터 완전 삭제, 폐기 절차 동일 적용
- 복구 작업 시 : 개인정보 유출 방지 대책 마련(암호화 유지, 작업 로그 기록)
- 외부 반출 시 : 반출 승인 절차 및 보안 봉인 적용
🔎 증적 자료 수집
1) 저장 매체 관리 대장, 폐기 증적 (사진 또는 인증서)
2) 만약 위탁 업체가 있다면 위탁계약서 및 폐기확인서
3) 유지보수 작업 기록
4) 반출 승인서