인증 기준
정보시스템의 취약점이 노출되어 있는지를 확인하기 위하여 정기적으로 취약점 점검을 수행하고, 발견된 취약점에 대해서는 신속하게 조치하여야 한다. 또한 최신 보안취약점의 발생 여부를 지속적으로 파악하고, 정보시스템에 미치는 영향을 분석하여 조치하여야 한다.
주요 확인사항
- 정보시스템 취약점 점검 절차를 수립하고, 정기적으로 점검을 수행하고 있는가?
- 발견된 취약점에 대한 조치를 수행하고, 그 결과를 책임자에게 보고하고 있는가?
- 최신 보안취약점 발생 여부를 지속적으로 파악하고, 정보시스템에 미치는 영향을 분석하여 조치하고 있는가?
- 취약점 점검 이력을 기록관리하여 전년도에 도출된 취약점이 재발생하는 등의 문제점에 대하여 보호대책을 마련하고 있는가?
결함 사례
- 내부 규정에 연 1회 이상 주요 시스템에 대한 기술적 취약점 점검을 하도록 정하고 있으나, 주요 시스템 중 일부가 취약점 점검 대상에서 누락된 경우
- 취약점 점검에서 발견된 취약점에 대한 보완조치를 이행하지 않았거나, 단기간 내에 조치할 수 없는 취약점에 대한 타당성 검토 및 승인 이력이 없는 경우
업종 특화
이 항목이 업종에 따라 달라지는 지점
가상자산사업자
가상자산 특화
- 정보시스템 취약점 점검 절차를 수립하고 정기적으로 점검을 수행하고 있는가?
- (금융회사 및 전자금융업자) 전자금융기반시설에 대하여 관리적, 물리적, 기술적 취약점을 연 1회 이상(홈페이지는 6개월에 1회 이상) 점검하여 식별된 보안 취약점을 제거 또는 보완하여 그 결과와 보완조치 이행계획서를 취약점 분석ㆍ평가 종료 후 30일 이내에 금융위원회에 제출하고 있는가?
MVNO(알뜰폰)
MVNO 특화
- (추가) MVNO와 관련된 대외서비스는 최소 반기 1회 이상 웹서비스 취약점을 수행하고 조치하고 있는가?
MVNO 결함사례
- 내부 규정에 따라 반기 1회 이상 MVNO와 관련된 대외서비스에 대한 웹서비스 취약점 점검을 하도록 정하고 있으나, 연 1회 취약점 점검을 한 경우
핵심 키워드
- 정기 취약점 점검
- 신속 조치
- 책임자 보고
- 최신 취약점 모니터링
- 점검 이력 관리
헷갈리는 항목
출처: ISMS-P 인증제도 누리집(isms-p.or.kr) 제도소개