[ISMS-P] 보호대책 요구사항 (2.11 사고 예방 및 대응)

#보호대책 요구사항 기준

2.11 사고 예방 및 대응

2.11.1 사고 예방 및 대응체계 구축

인증기준 : 침해사고 및 개인정보 유출 등을 예방하고 사고 발생 시 신속하고 효과적으로 대응할 수 있도록 내/외부 침해시도의 탐지, 대응, 분석 및 공유를 위한 체계와 절차를 수립하고 관련 외부기관 및 전문가들과 협조체계를 구축하여야 한다.

 

확인사항

- 침해사고 및 개인정보 유출사고를 예방하고 사고 발생 시 신속하고 효과적으로 대응하기 위한 체계와 절차를 마련하고 있는가?

- 보안관제서비스 등 외부 기관을 통하여 침해사고 대응체계를 구축, 운영하는 경우 침해사고 대응절차의 세부사항을 계약서에 반영하고 있는가?

- 침해사고의 모니터링, 대응 및 처리를 위하여 외부전문가, 전문업체, 전문기관 등과의 협조체계를 수립하고 있는가?

 

관련법규

- 개인정보 보호법 제34조(개인정보의 유출통지 등), 제39조의4(개인정보 유출 등의 통지, 신고에 대한 특례)

- 정보통신망법 제48조의3(침해사고의 신고 등), 48조의4(침해사고의 원인분석 등)

 

증거자료

- 침해사고 대응 지침,절차,메뉴얼

- 침해사고 대응 조직도 및 비상연락망

- 보안관제서비스 계약서(SLA 등)

 

결함사례

1) 침해사고에 대비한 침해사고 대응 조직 및 대응 절차를 명확히 정의하고 있지 않은 경우

2) 내부 지침 및 절차에 침해사고 단게별(사고 전, 인지, 처리, 복구, 보고 등) 대응 절차를 수립하여 명시하고 있으나, 침해사고 발생 시 사고 유형 및 심각도에 따른 신고, 통지 절차, 대응 및 복구 절차의 일부 또는 전부를 수립하고 있지 않은 경우

3) 침해사고 대응 조직도 및 비상연락망 등을 현행화하지 않고 있거나, 담당자별 역할과 책임이 명확히 정의되어 있지 않은 경우

4) 침해사고 신고, 통지 및 대응 협조를 위한 대외기관 연락처에 기관명, 홈페이지, 연락처 등이 잘못 명시되어 있거나, 일부 기관 관련 정보가 누락 또는 현행화되지 않은 경우

5) 외부 보안관제 전문업체 등 유관기관에 침해사고 탐지 및 대응을 위탁하여 운영하고 있으나 침해사고 대응에 대한 상호 간 관련 역할 및 책임 범위가 계약서나 SLA에 명확하게 정의되지 않은 경우

6) 침해사고 대응절차를 수립하였으나 개인정보 침해 신고 기준, 시점 등이 법적 요구사항을 준수하지 못하는 경우

---

2.11.2 취약점 점검 및 조치

인증기준 : 정보시스템의 취약점이 노출되어 있는지를 확인하기 위하여 정기적으로 취약점 점검을 수행하고 발견된 취약점에 대해서는 신속하게 조치하여야 한다. 또한 최신 보안취약점의 발생 여부를 지속적으로 파악하고 정보시스템에 미치는 영향을 분석하여 조치하여야 한다.

 

확인사항

- 정보시스템 취약점 점검 절차를 수립하고 정기적으로 점검을 수행하고 있는가?

- 발견된 취약점에 대한 조치를 수행하고 그 결과를 책임자에게 보고하고 있는가?

- 최신 보안취약점 발생 여부를 지속적으로 파악하고 정보시스템에 미치는 영향을 분석하여 조치하고 있는가?

- 취약점 점검 이력을 기록관리하여 전년도에 도출된 취약점이 재발생하는 등의 문제점에 대하여 보호대책을 마련하고 있는가?

 

관련법규

- 개인정보 보호법 제29조(안전조치의무)

- 개인정보의 안전성 확보조치 기준 제6조(접근통제)

- 개인정보의 기술적,관리적 보호조치 기준 제4조(접근통제)

 

증거자료

- 취약점 점검 계획서

- 취약점 점검 결과보고서(웹, 모바일 앱, 서버, 네트워크시스템, 보안시스템, DMMS 등)

- 취약점 점검 이력

- 취약점 조치계획서

- 취약점 조치완료보고서

- 모의해킹 계획서/결과보고서

 

결함사례

1) 내부 규정에 연 1회 이상 주요 시스템에 대한 기술적 취약점 점검을 하도록 정하고 있으나, 주요 시스템 중 일부가 취약점 점검 대상에서 누락된 경우

2) 취약점 점검에서 발견된 취약점에 대한 보완조치를 이행하지 않았거나 단기간 내에 조치할 수 없는 취약점에 대한 타당성 검토 및 승인 이력이 없는 경우

---

2.11.3 이상행위 분석 및 모니터링

인증기준 : 내/외부에 의한 침해시도, 개인정보유출 시도, 부정행위 등을 신속하게 탐지, 대응할 수 있도록 네트워크 및 데이터 흐름 등을 수집하여 분석하며, 모니터링 및 점검 결과에 따른 사후조치는 적시에 이루어져야 한다.

 

확인사항

- 내/외부에 의한 침해시도, 개인정보유출 시도, 부정행위 등 이상행위를 탐지할 수 있도록 주요 정보시스템, 응용프로그램, 네트워크, 보안시스템 등에서 발생한 네트워크 트래픽, 데이터 흐름, 이벤트 로그 등을 수집하여 분석 및 모니터링하고 있는가?

- 침해시도, 개인정보유출시도, 부정행위 등의 여부를 판단하기 위한 기준 및 임계치를 정의하고 이에 따라 이상행위의 판단 및 조사 등 후속조치가 적시에 이루어지고 있는가?

 

관련법규

- 개인정보 보호법 제29조(안전조치의무)

- 개인정보의 안전성 확보조치 기준 제6조(접근통제)

- 개인정보의 기술적/관리적 보호조치 기준 제4조(접근통제)

 

증거자료

- 이상행위 분석 및 모니터링 현황

- 이상행위 발견 시 대응 증적

 

결함사례

1) 외부로부터의 서버, 네트워크, 데이터베이스, 보안시스템에 대한 침해 시도를 인지할 수 있도록 하는 상시 또는 정기적 모니터링 체계 및 절차를 마련하고 있지 않은 경우

2) 외부 보안관제 전문업체 등 외부 기관에 침해시도 모니터링 업무를 위탁하고 있으나 위탁업체가 제공한 관련 보고서를 검토한 이력이 확인되지 않거나 위탁 대상에서 제외된 시스템에 대한 자체 모니터링 체계를 갖추고 있지 않은 경우

3) 내부적으로 정의한 임계치를 초과하는 이상 트래픽이 지속적으로 발견되고 있으나 이에 대한 대응조치가 이루어지고 있지 않은 경우

 

2.11.4 사고 대응 훈련 및 개선

인증기준 : 침해사고 및 개인정보 유출사고 대응 절차를 임직원과 이해관계자가 숙지하도록 시나리오에 따른 모의훈련을 연 1회 이상 실시하고 훈련결과를 반영하여 대응체계를 개선하여야 한다.

 

확인사항

- 침해사고 및 개인정보 유출사고 대응 절차에 관한 모의훈련계획을 수립하고 이에 따라 연 1회 이상 주기적으로 훈련을 실시하고 있는가?
- 침해사고 및 개인정보 유출사고 훈련 결과를 반영하고 침해사고 및 개인정보 유출 사고 대응체계를 개선하고 있는가?

 

증거자료

- 침해사고 및 개인정보 유출사고 대응 모의훈련 계획서

- 침해사고 및 개인정보 유출사고 대응 모의훈련 결과서

- 침해사고 대응 절차

 

결함사례

1) 침해사고 모의훈련을 수행하지 않았거나 관련 계획서 및 결과보고서가 확인되지 않은 경우

2) 연간 침해사고 모의훈련 계획을 수립하였으나 타당한 사유 또는 승인 없이 해당 기간 내에 실시하지 않은 경우

3) 모의훈련을 계획하여 실시하였으나, 관련 내부 지침에 정한 절차 및 서식에 따라 수행하지 않은 경우

---

2.11.5 사고 대응 및 복구

인증기준 : 침해사고 및 개인정보 유출 징후나 발생을 인지한 때에는 법적 통지 및 신고 의무를 준수하여야 하며, 절차에 따라 신속하게 대응 및 복구하고 사고 분석 후 재발방지 대책을 수립하여 대응체계에 반영하여야 한다.

 

확인사항

- 침해사고 및 개인정보 유출의 징후 또는 발생을 인지한 경우 정의된 침해사고 대응 절차에 따라 신속하게 대응 및 보고가 이루어지고 있는가?

- 개인정보 침해사고 발생 시 관련 법령에 따라 정보주체(이용자) 통지 및 관계기관 신고 절차를 이행하고 있는가?

- 침해사고가 종결된 후 사고의 원인을 분석하여 그 결과를 보고하고 관련 조직 및 인력과 공유하고 있는가?

- 침해사고 분석을 통하여 얻은 정보를 활용하여 유사 사고가 재발하지 않도록 대책을 수립하고 필요한 경우 침해사고 대응절차 등을 변경하고 있는가?

 

관련법규

- 개인정보 보호법 제34조(개인정보의 유출통지 등), 제39조의4(개인정보 유출 등의 통지, 신고에 대한 특례)

- 정보통신망법 제48조의3(침해사고의 신고 등), 제48조의4(침해사고의 원인분석 등)

 

증거자료

- 침해사고 대응 절차

- 침해사고 대응보고서

- 침해사고 관리대장

- 개인정보 유출신고서

- 비상연락망

 

결함사례

1) 내부 침해사고 대응지침에는 침해사고 발생 시 개인정보보호위원회 및 이해관계 부서에게 보고하도록 정하고 있으나 침해사고 발생 시 담당 부서에서 자체적으로 대응 조치 후 정보보호위원회 및 이해관계 부서에 보고하지 않은 경우

2) 최근 DDoS 공격으로 의심되는 침해사고로 인하여 서비스 일부가 중단된 사례가 있으나 이에 대한 원인 분석 및 재발방지 대책이 수립되지 않은 경우