2.6.7 인터넷 접속 통제

가상자산

인증 기준

인터넷을 통한 정보 유출, 악성코드 감염, 내부망 침투 등을 예방하기 위하여 주요 정보시스템, 주요 직무 수행 및 개인정보 취급 단말기 등에 대한 인터넷 접속 또는 서비스 (P2P, 웹하드, 메신저 등)를 제한하는 등 인터넷 접속 통제 정책을 수립·이행하여야 한다.

주요 확인사항

주요 직무 수행 및 개인정보 취급 단말기 등 업무용 PC의 인터넷 접속에 대한 통제정책을 수립·이행하고 있는가?
주요 정보시스템(DB서버 등)에서 불필요한 외부 인터넷 접속을 통제하고 있는가?
관련 법령에 따라 인터넷망 차단 의무가 부과된 경우 대상자를 식별하여 안전한 방식으로 인터넷망 차단 조치를 적용하고 있는가?

결함 사례

개인정보 보호법에 따라 인터넷망 차단 조치를 적용하였으나, 개인정보처리시스템의 접근권한 설정 가능자 등 일부 의무대상자에 대하여 인터넷망 차단 조치 적용이 누락된 경우
개인정보 보호법에 따른 인터넷망 차단 조치 의무대상으로서 인터넷망 차단 조치를 적용하였으나, 다른 서버를 경유한 우회접속이 가능하여 인터넷망 차단 조치가 적용되지 않은 환경에서 개인정보처리시스템에 접속하여 개인정보의 다운로드, 파기 등이 가능한 경우
DMZ 및 내부망에 위치한 일부 서버에서 불필요하게 인터넷으로의 직접 접속이 가능한 경우
인터넷 PC와 내부 업무용 PC를 물리적 망분리 방식으로 인터넷망 차단 조치를 적용하고 망간 자료전송시스템을 구축·운영하고 있으나, 자료 전송에 대한 승인 절차가 부재하고 자료 전송 내역에 대한 주기적 검토가 이루어지지 않은 경우
내부 규정에는 개인정보취급자가 P2P 및 웹하드 사이트 접속 시 책임자 승인을 거쳐 특정 기간 동안만 허용하도록 되어 있으나, 승인절차를 거치지 않고 예외 접속이 허용된 사례가 다수 존재하는 경우

업종 특화

이 항목이 업종에 따라 달라지는 지점

가상자산사업자

가상자산 특화

콜드월렛 작업시 월렛 및 개인키를 사용하는 노트북은 전용장비로 구성하고, 사용하지 않을때에는 전원을 OFF 또는, 네트워크의 접속을 차단하고 있는가?
(금융회사) 전산실에 위치한 정보처리시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기를 인터넷 등 외부통신망으로부터 물리적으로 분리하고 있는가?

함께 보는 항목

이 기준과 맞물려 나오는 개념

접근 통제

개념

불법적인 접근 및 침해사고 방지를 위해 IP 제한·침입 탐지·인터넷망 차단 등을 통해 개인정보처리시스템 접근을 통제하는 조치를 말한다.

법령 참조

개인정보의 안전성 확보조치 기준 제6조, 6조의2

주요내용

IP 주소 등으로 접속 권한 제한, 유출 시도 탐지 및 대응
외부에서 개인정보처리시스템 접속 시 안전한 인증수단 필수 적용
* 단, 이용자 아닌 정보주체 처리 시스템은 안전한 접속수단 또는 안전한 인증수단 중 선택 가능
일정 시간 이상 미사용 시 자동 접속 차단 (화면잠금 해당 안 됨)
인터넷망 차단 대상: 일일평균 100만 명 이상 이용자 처리 시 개인정보 ①다운로드 ②파기 ③접근권한설정 가능한 취급자 PC
단, 위험이 현저히 낮거나, 보호조치를 적용한 경우에 한해 일부 인터넷망 차단 예외 가능
* 클라우드 서비스 이용 시 해당 서비스 접속 외 인터넷 차단

결함 사례

외부 개발자·방문자 네트워크를 내부 업무망과 분리하지 않은 경우
이용자의 개인정보를 처리하는 개인정보처리시스템을 외부에서 접속하는데 안전한 접속수단만 적용된 경우

참고

접근통제 3요소: ①접근통제 정책(DAC·MAC·RBAC·ABAC) ②접근통제 메커니즘(ACL·CL·SL) ③접근통제 모델(BLP·BIBA·Clark-Wilson·만리장성)

정리

인터넷 망 차단 예외 조항이 신설되었으므로 반드시 학습
안전한 인증수단과 안전한 접속수단 차이 확인

구분		설명
안전한 인증수단	인증서	전자상거래 등에서 상대방과의 신원확인, 위변조 여부 검증 등을 위해 사용하는 전자서명으로서 해당 전자서명을 생성한 자의 신원을 확인하는 수단
	보안토큰	인증서 등을 안전하게 보호할 수 있는 수단으로 스마트카드, 토큰 등이 해당
	OTP	무작위로 생성되는 난수를 일회용 비밀번호로 한 번 생성하고, 그 인증값이 한 번만 사용 가능하도록 하는 방식
안전한 접속수단	VPN	원격으로 접속할 때 암호 프로토콜을 사용한 터널링 기술을 통해 안전한 암호통신을 이행(IPsecVPN, SSLVPN 등)
안전한 접속수단	전용선	두 지점 간에 독점적으로 사용하는 회선으로 개인정보처리자와 개인정보 취급자 또는 본점과 직점 간 직통으로 연결하는 회선 등을 의미

핵심 키워드

인터넷 접속 통제정책
DB서버 외부접속 차단
망분리 의무
P2P·웹하드 제한

이 항목을 카드로 외우고 결함 판별 문제로 확인하기

출처: ISMS-P 인증제도 누리집(isms-p.or.kr) 제도소개