[ISMS] 보안시스템 운영 관리 지침

실제 인증 받은 지침이 아니며 학습을 하며 작성해본 내용이기에 부족하거나 잘못된 부분이 있을 수 있습니다.

 

보안시스템 운영 관리 지침

제1조(목적) 이 지침은 조직의 정보시스템을 보호하기 위한 보안 시스템 운영,관리에 대한 사항을 정함을 목적으로 한다.

제2조(적용범위) 조직의 보안시스템 및 관련 담당자를 적용 범위로 한다.

제3조(용어정의) 본 지침에서 사용하는 용어 정의는 다음과 같다.
1. 정보시스템: 정보 처리와 관련된 전체 시스템
2. 보안시스템: 정보 시스템을 포함한 내부 자산을 보호하기 위한 시스템

 

제4조(보안시스템 책임) 정보보안 책임자는 보안시스템 도입 및 운영하는 경우 해당 장비의 담당자 및 관리 책임자를 지정하여야 한다.

 

제5조(보안시스템 정책 관리)

1. 침입차단 시스템 정책은 전체 차단을 기본으로 한다.

2. 침입차단 시스템 정책의 등록, 변경, 예외가 필요한 요청자는 '[서식]정책 변경 신청서'를 작성하여 공식적인 절차로 요청한다.

3. 정보보안 담당자는 침임차단 시스템 정책의 등록, 변경 요청을 받은 경우 타당도 및 보안성을 검토하고 적용한다.

4. 정보보안 담당자는 하기 사항을 고려하여 월 1회 이상 보안시스템 정책의 타당도 및 보안성을  검토한다. 필요한 경우 정책을 등록, 변경, 삭제할 수 있으며 처리 이력을 관리한다.

- 내부 보안정책·지침 위배
- 사유 및 출처를 확인할 수 없는 정책
- 장기 미사용 정책
- 중복 또는 사용기간 만료 정책

5. 정보보안 담당자는 보안시스템 정책 및 엔진을 최신화하여야 한다.

 

제6조(보안시스템 접근통제)

1. 정보보안 담당자는 업무 수행을 위한 최소 인원에게 최소한의 권한 부여하며 분기별 1회 접근 권한을 검토한다.

2. 보안시스템에 물리적으로 접근할 수 있는 인원은 해당 시스템의 관리하는 정보보안 담당자로 제한한다. 단, 필요한 경우 정보보안 담당자 인솔 하에 외부 인력이 접근 가능하다.

3. 보안시스템 운영 및 관리 업무를 수행할 수 있는 관리용 단말을 지정하여 IP 기반으로 접근을 통제한다.

4. 정보보안 담당자는 보안시스템으로 비정상 접근이 있었는지 월 1회 이상 점검하여야 한다.

5. 보안시스템 접근은 암호화 통신으로 해야하며 Session-Timeout을 설정하여야 한다.

 

제7조(보안시스템 운영 관리)

1. 보안시스템 변경 및 업그레이드는 공식 절차에 따라 변경에 따른 영향을 최소화할 수 있도록 영향을 분석하고 정보보안 책임자의 승인을 받아야 한다.

2. 보안시스템 가용성 보장을 위하여 성능 및 용량을 지속적으로 모니터링하여야 한다.

3. 각 보안시스템에서 발생하는 로그는 3개월 이상 보관하여야 한다.

4. 정보보안 담당자는 보안시스템 로그를 월별, 분기별로 분석하여 특이사항 여부를 확인하여야 한다. 

5. 정보보안 담당자는 보안시스템 주 1회 이상 백업을 관리하여야 한다.

 

[절차]

정책 변경 절차

보안시스템 변경 및 업그레이드 절차

 

[서식]

정책 변경(예외) 신청서

보안시스템 변경 및 업그레이드 작업 계획서

 

[문서]

정보시스템 관리대장

보안시스템 정책 관리대장