2.10.3 공개서버 보안
인증 기준
외부 네트워크에 공개되는 서버의 경우 내부 네트워크와 분리하고 취약점 점검, 접근통제, 인증, 정보 수집·저장·공개 절차 등 강화된 보호대책을 수립·이행하여야 한다.
주요 확인사항
- 공개서버를 운영하는 경우 이에 대한 보호대책을 수립·이행하고 있는가?
- 공개서버는 내부 네트워크와 분리된 DMZ 영역에 설치하고 침입차단시스템 등 보안시스템을 통하여 보호하고 있는가?
- 공개서버에 개인정보 및 중요정보를 게시하거나 저장하여야 할 경우 책임자 승인 등 허가 및 게시절차를 수립·이행하고 있는가?
- 조직의 중요정보가 웹사이트 및 웹서버를 통하여 노출되고 있는지 여부를 주기적으로 확인하여 중요정보 노출을 인지한 경우 이를 즉시 차단하는 등의 조치를 취하고 있는가?
결함 사례
- 인터넷에 공개된 웹사이트의 취약점으로 인하여 구글 검색을 통하여 열람 권한이 없는 타인의 개인정보에 접근할 수 있는 경우
- 웹사이트에 개인정보를 게시하는 경우 승인 절차를 거치도록 내부 규정이 마련되어 있으나, 이를 준수하지 않고 개인정보가 게시된 사례가 다수 존재한 경우
- 게시판 등의 웹 응용프로그램에서 타인이 작성한 글을 임의로 수정·삭제하거나 비밀번호로 보호된 글을 열람할 수 있는 경우
업종 특화
이 항목이 업종에 따라 달라지는 지점
MVNO(알뜰폰)
MVNO 특화
- (신규) 공개서버에서 제공하는 서비스와 무관한 소프트웨어·스크립트·실행파일 설치를 금지하고 있는가?
MVNO 결함사례
- 공개용 웹서버에 불필요한 개발 도구가 제거되지 않고 남아 있는 경우
핵심 키워드
- DMZ 분리
- 공개서버 보호대책
- 중요정보 게시 승인
- 취약점 점검
- 노출 모니터링·차단
헷갈리는 항목
출처: ISMS-P 인증제도 누리집(isms-p.or.kr) 제도소개