인증 기준
소스 프로그램은 인가된 사용자만이 접근할 수 있도록 관리하고, 운영환경에 보관하지 않는 것을 원칙으로 하여야 한다.
주요 확인사항
- 비인가자에 의한 소스 프로그램 접근을 통제하기 위한 절차를 수립·이행하고 있는가?
- 소스 프로그램은 장애 등 비상시를 대비하여 운영환경이 아닌 곳에 안전하게 보관하고 있는가?
- 소스 프로그램에 대한 변경이력을 관리하고 있는가?
결함 사례
- 별도의 소스 프로그램 백업 및 형상관리시스템이 구축되지 않으며, 이전 버전의 소스 코드를 운영 서버 또는 개발자 PC에 승인 및 이력관리 없이 보관하고 있는 경우
- 형상관리시스템을 구축하여 운영하고 있으나 형상관리시스템 또는 형상관리시스템에 저장된 소스코드에 대한 접근제한, 접근 및 변경이력이 적절히 관리되지 않고 있는 경우
- 내부 규정에는 형상관리시스템을 통하여 소스 프로그램 버전관리를 하도록 되어 있으나, 최신 버전의 소스 프로그램은 개발자 PC에만 보관되어 있고 이에 대한 별도의 백업이 수행되고 있지 않은 경우
업종 특화
이 항목이 업종에 따라 달라지는 지점
가상자산사업자
가상자산 특화
- 월렛과 관련된 소스프로그램은 개발자 및 관리자 등 접근 권한을 구분하고 인가된 사용자만 접근할 수 있도록 엄격하게 통제하고 있는가?
- 중요도가 높은 소스 코드(커스터마이징한 월렛, 키관리 소프트웨어, 거래 프로그램 등)는 사용자 인증·권한관리 절차를 수립·이행하고 있는가? (※클라우드/외부 형상관리 솔루션으로 소스 버전관리 시 중요 소스의 외부 접속·다운로드 위험, KMS·HSM 외 자체 개발 키관리 소프트웨어의 안전한 관리 필요)
- 소스 프로그램 변경이 필요한 경우 해당 프로그램을 개발 또는 시험 시스템에 복사 후 변경하고 있는가?
MVNO(알뜰폰)
MVNO 특화
- (추가) 소스 프로그램 변경이 필요한 경우 해당 프로그램 개발 또는 시험 시스템에 복사 후 변경하고 있는가?
- (신규) 프로그램 설명서, 입·출력 레코드·설명서, 프로그램 목록 및 사용자·운영자지침서 등 소스 프로그램 유지보수에 필요한 문서를 작성·관리하고 있는가?
MVNO 결함사례
- 소스 프로그램 유지관리 담당자가 업무이동으로 변경되었으나, 인수인계 과정에서 프로그램 관련 문서들이 기록에서 누락된 경우
- 소스 프로그램 변경을 개발 서버에서 수행하지 않고 운영서버에서 변경하는 경우
핵심 키워드
- 소스 프로그램 접근통제
- 운영환경 외 보관
- 변경이력 관리
헷갈리는 항목
출처: ISMS-P 인증제도 누리집(isms-p.or.kr) 제도소개