JLabs

2.6.6 원격접근 통제

인증 기준

보호구역 이외 장소에서의 정보시스템 관리 및 개인정보 처리는 원칙적으로 금지하고, 재택근무·장애대응·원격협업 등 불가피한 사유로 원격접근을 허용하는 경우 책임자 승인, 접근 단말 지정, 접근 허용범위 및 기간 설정, 강화된 인증, 구간 암호화, 접속단말 보안 (백신, 패치 등) 등 보호대책을 수립·이행하여야 한다.

주요 확인사항

  • 인터넷과 같은 외부 네트워크를 통한 정보시스템 원격운영은 원칙적으로 금지하고 장애대응 등 부득이하게 허용하는 경우 보완대책을 마련하고 있는가?
  • 내부 네트워크를 통하여 원격으로 정보시스템을 운영하는 경우 특정 단말에 한해서만 접근을 허용하고 있는가?
  • 재택근무, 원격협업, 스마트워크 등과 같은 원격업무 수행 시 중요정보 유출, 해킹 등 침해사고 예방을 위한 보호대책을 수립·이행하고 있는가?
  • 개인정보처리시스템의 관리, 운영, 개발, 보안 등을 목적으로 원격으로 개인정보처리 시스템에 접속하는 단말기는 관리용 단말기로 지정하고 임의조작 및 목적 외 사용 금지 등 안전조치를 적용하고 있는가?

결함 사례

  • 내부 규정에는 시스템에 대한 원격 접근은 원칙적으로 금지하고 불가피한 경우 IP 기반의 접근통제를 통하여 승인된 사용자만 접근할 수 있도록 명시하고 있으나, 시스템에 대한 원격 데스크톱 연결, SSH 접속이 IP주소 등으로 제한되지 않아 모든 PC에서 원격 접속이 가능한 경우
  • 원격운영관리를 위하여 VPN을 구축하여 운영하고 있으나, VPN에 대한 사용 승인 또는 접속 기간 제한 없이 상시 허용하고 있는 경우
  • 외부 근무자를 위하여 개인 스마트 기기에 업무용 모바일 앱을 설치하여 운영하고 있으나, 악성코드, 분실·도난 등에 의한 개인정보 유출을 방지하기 위한 적절한 보호대책(백신, 초기화, 암호화 등)을 적용하지 않은 경우
  • 외부 접속용 VPN에서 사용자별로 원격접근이 가능한 네트워크 구간 및 정보시스템을 제한하지 않아 원격접근 인증을 받은 사용자가 전체 내부망 및 정보시스템에 과도하게 접근이 가능한 경우

업종 특화

이 항목이 업종에 따라 달라지는 지점

가상자산사업자

가상자산 특화

  • 월렛 관련 시스템의 접속은 예외없이 외부네트워크를 통한 원격 접근을 금지하고 있는가?

함께 보는 항목

이 기준과 맞물려 나오는 개념

접근 통제

개념

  • 불법적인 접근 및 침해사고 방지를 위해 IP 제한·침입 탐지·인터넷망 차단 등을 통해 개인정보처리시스템 접근을 통제하는 조치를 말한다.

법령 참조

  • 개인정보의 안전성 확보조치 기준 제6조, 6조의2

주요내용

  • IP 주소 등으로 접속 권한 제한, 유출 시도 탐지 및 대응
  • 외부에서 개인정보처리시스템 접속 시 안전한 인증수단 필수 적용
  • * 단, 이용자 아닌 정보주체 처리 시스템은 안전한 접속수단 또는 안전한 인증수단 중 선택 가능
  • 일정 시간 이상 미사용 시 자동 접속 차단 (화면잠금 해당 안 됨)
  • 인터넷망 차단 대상: 일일평균 100만 명 이상 이용자 처리 시 개인정보 ①다운로드 ②파기 ③접근권한설정 가능한 취급자 PC
  • 단, 위험이 현저히 낮거나, 보호조치를 적용한 경우에 한해 일부 인터넷망 차단 예외 가능
  • * 클라우드 서비스 이용 시 해당 서비스 접속 외 인터넷 차단

결함 사례

  • 외부 개발자·방문자 네트워크를 내부 업무망과 분리하지 않은 경우
  • 이용자의 개인정보를 처리하는 개인정보처리시스템을 외부에서 접속하는데 안전한 접속수단만 적용된 경우

참고

  • 접근통제 3요소: ①접근통제 정책(DAC·MAC·RBAC·ABAC) ②접근통제 메커니즘(ACL·CL·SL) ③접근통제 모델(BLP·BIBA·Clark-Wilson·만리장성)

정리

  • 인터넷 망 차단 예외 조항이 신설되었으므로 반드시 학습
  • 안전한 인증수단과 안전한 접속수단 차이 확인
  • 구분설명
    안전한
    인증수단    		 인증서 전자상거래 등에서 상대방과의 신원확인, 위변조 여부 검증 등을 위해 사용하는 전자서명으로서 해당 전자서명을 생성한 자의 신원을 확인하는 수단
    보안토큰인증서 등을 안전하게 보호할 수 있는 수단으로 스마트카드, 토큰 등이 해당
    OTP무작위로 생성되는 난수를 일회용 비밀번호로 한 번 생성하고, 그 인증값이 한 번만 사용 가능하도록 하는 방식
    안전한
    접속수단    		 VPN 원격으로 접속할 때 암호 프로토콜을 사용한 터널링 기술을 통해 안전한 암호통신을 이행(IPsecVPN, SSLVPN 등)
    전용선두 지점 간에 독점적으로 사용하는 회선으로 개인정보처리자와 개인정보 취급자 또는 본점과 직점 간 직통으로 연결하는 회선 등을 의미

핵심 키워드

  • 원격접근 금지 원칙
  • 책임자 승인
  • 단말 지정
  • 강화 인증
  • 구간 암호화
  • 관리용 단말기

헷갈리는 항목

이 항목을 카드로 외우고 결함 판별 문제로 확인하기

출처: ISMS-P 인증제도 누리집(isms-p.or.kr) 제도소개