인증 기준
PC, 모바일 기기 등 단말기기를 업무 목적으로 네트워크에 연결할 경우 기기 인증 및 승인, 접근 범위, 기기 보안설정 등의 접근통제 대책을 수립하고 주기적으로 점검하여야 한다.
주요 확인사항
- PC, 노트북, 가상PC, 태블릿 등 업무에 사용되는 단말기에 대하여 기기인증, 승인, 접근범위 설정, 기기 보안설정 등의 보안 통제 정책을 수립·이행하고 있는가?
- 업무용 단말기를 통하여 개인정보 및 중요정보가 유출되는 것을 방지하기 위하여 자료공유프로그램 사용 금지, 공유설정 제한, 무선망 이용 통제 등의 정책을 수립· 이행하고 있는가?
- 업무용 모바일 기기의 분실, 도난 등으로 인한 개인정보 및 중요정보의 유·노출을 방지하기 위하여 보안대책을 적용하고 있는가?
- 업무용 단말기기에 대한 접근통제 대책의 적절성에 대하여 주기적으로 점검하고 있는가?
결함 사례
- 업무적인 목적으로 노트북, 태블릿PC 등 모바일 기기를 사용하고 있으나, 업무용 모바일 기기에 대한 허용 기준, 사용 범위, 승인 절차, 인증 방법 등에 대한 정책이 수립되지 않은 경우
- 모바일 기기 보안관리 지침에서는 모바일 기기의 업무용 사용을 원칙적으로 금지하고 필요시 승인 절차를 통하여 제한된 기간 동안 허가된 모바일 기기만 사용하도록 정하고 있으나, 허가된 모바일 기기가 식별·관리되지 않고 승인되지 않은 모바일 기기에서도 내부 정보시스템 접속이 가능한 경우
- 개인정보 처리업무에 이용되는 모바일 기기에 대하여 비밀번호 설정 등 도난·분실에 대한 보호대책이 적용되지 않은 경우
- 내부 규정에서는 업무용 단말기의 공유폴더 사용을 금지하고 있으나, 이에 대한 주기적인 점검이 이루어지지 않아 다수의 업무용 단말기에서 과도하게 공유폴더를 설정하여 사용하고 있는 경우
업종 특화
이 항목이 업종에 따라 달라지는 지점
가상자산사업자
가상자산 특화
- 가상자산 취급업소의 주요 작업 담당자 및 개인정보취급자 업무용 단말기, 콜드/핫 월렛용 단말기에 대해 자료공유프로그램 사용 금지, 공유설정 제한, 무선망 이용 통제 등의 강화된 통제정책을 수립ㆍ이행하고 있는가?
- (금융회사) 전자금융감독규정에서 “단말기”란 내부통신망에 접속하거나, 접속이 가능한 전자적 장치 등을 의미하고, 내부통신망에 접속하지 못하도록 통제된 컴퓨터 등은 적용대상 제외
- (금융회사 및 전자금융업자) 단말기에 이용자 정보 등 주요정보를 보관하고 있지 않더라도 단말기 공유 금지
MVNO(알뜰폰)
MVNO 특화
- (신규) MVNO서비스를 위해 네트워크에 연결하는 단말기는 업무목적과 관계없는 비인가 또는 불법 소프트웨어 설치를 제한하고 있는가?
- (신규) MVNO서비스의 중요시스템을 관리하기 위해 접속하는 단말기를 지정하고, 외부반출, 단말기 공유금지, 인터넷 및 그룹웨어 접속 금지 등의 보호대책을 적용하고 있는가?
MVNO 결함사례
- 중요단말기를 지정하였으나, MVNO서비스 등 중요시스템 관리용 단말기를 다수 누락한 경우
핵심 키워드
- 기기 인증·승인
- 보안설정
- 자료공유 금지
- 모바일 분실·도난
헷갈리는 항목
출처: ISMS-P 인증제도 누리집(isms-p.or.kr) 제도소개