2.7.2 암호키 관리

인증 기준

암호키의 안전한 생성·이용·보관·배포·파기를 위한 관리 절차를 수립·이행하고, 필요 시 복구방안을 마련하여야 한다.

암호 정책 내에 암호키 관리와 관련된 절차, 방법 등이 명시되지 않아 담당자별로 암호키 관리 수준 및 방법 상이 등 암호키 관리에 취약사항이 존재하는 경우
내부 규정에 중요 정보를 암호화 할 경우 관련 책임자 승인 하에 암호화 키를 생성하고 암호키 관리대장을 작성하도록 정하고 있으나, 암호키 관리대장에 일부 암호키가 누락되어 있거나 현행화되지 않은 경우
개발시스템에 적용되어 있는 암호키와 운영시스템에 적용된 암호키가 동일하여, 암호화된 실데이터가 개발시스템을 통해 쉽게 복호화가 가능한 경우

업종 특화

월렛(핫·콜드 등) 개인키의 유출·도난·분실을 방지하기 위한 보안대책 및 절차(신규 코인 상장 시 키 생성·배포·보관, passphrase 설정·관리, 안전한 보관, 접근·사용 절차, 권한자 오남용 방지, 백업·소산, 책임추적성, 핫/콜드 월렛 보유량 변동 모니터링, 키분할·passphrase 분할·멀티시그·H/W월렛 등)를 수립·이행하고 있는가?
멀티시그를 지원하지 않는 코인·토큰·플랫폼의 경우에도 가상자산 송/수신 시 2인 이상 MFA(Multi-Factor Authentication) 인증, 자체 개발 멀티시그(2개 이상의 key 거래 통제) 등 보안 강화 안전장치를 적용하고 있는가?
외부 인터넷 구간 가상자산 노드서버와 분산원장을 동기화하는 노드서버에서는 개인키 및 개인키가 포함된 월렛을 사용하지 않도록 분리하고 있는가? (분리 불가 시 그에 대한 보호대책 마련 여부 포함)
월렛 개인키 보안 강화를 위해 멀티시그, 자체 개발 MFA 등 추가 인증수단을 적용하고 있는가?
핫/콜드 월렛에서 사용되는 키·passphrase는 물리적으로 안전한 장소에 소산하여 보관하고 있는가?

출처: ISMS-P 인증제도 누리집(isms-p.or.kr) 제도소개