10.1.1 접근통제 정책 수립

통제목적

: 비인가자가 정보시스템(서버, 네트워크, DB, 응용프로그램 등)에 무단으로 접근하는걸 막기 위해

각 시스템별 접근통제 영역 및 범위를 설정해야 하며 영역별 접근통제 규칙, 방법등을 포함해 접근통제 정책을 수립해야 합니다.

세부 항목

- 정보시스템 구성요소별 세부 접근 통제영역 정의

- 정보시스템 영역별로 구분하여 접근통제 규칙, 방법, 절차가 마련되어 있는지 확인

- 긴급 시 내부망에 접근 할 수 있으며, 해당 기록을 남기고 책임자의 승인을 받아야 함

추가 확인사항

- 접근통제 정책 및 지침에 기재된 내용과 시스템에 적용된 정책의 현행화 사항을 정기적으로 점검

- rlogin, telnet 등의 원격 접속이 이루어지는지 유틸리티 프로그램을 사용해 점검

(telnet 접속 차단 여부, ssh 접속 포트는 유추가 불가능하도록 다른 포트로 변경했는지 여부 확인)

긴급, 장애 시 비인가자에 대한 접근 허용 예시

- 긴급시나 장애시 비인가자에 대한 접근을 허용 하기 위해선 기존 계정이 아닌 임시계정을 생성해야 합니다.

- 인사팀은 계정을 생성 하는 전산팀에게 요청을 보낼 수 있도록 합니다.

- 임시계정 발급 신청서 대로 계정 발급을 완료한 전산팀에서는 계정ID, PW관한 정보를 보안상에 따라 자료를 첨부 할 수 있도록 합니다.

- 임시계정이 생기게 되면 기록과 책임자의 승인이력, 허가기간을 적용해야 합니다.

- 책임자인 인사팀에서 생성이 된 것을 알리게 되며 임시계정 사용자는 기록을 남기고 허가기간을 요청합니다.

- 마지막으로 책임자인 인사팀에서 허가기간을 허용하고 이력을 남겨달라는 메시지와 함께 비인가자에 대한

접근은 허용하게 됩니다.

- 만약, 허가 기간이 지나게 되면 책임자팀에서 계정을 회수 해 가도록 합니다.