2.6.2 정보시스템 접근

2. 보호대책 요구사항 (64개)

[두음] 정인외물재 인접 암개 운보사

2.6 접근통제	2.6.1 네트워크 접근
	2.6.2 정보시스템 접근
	2.6.3 응용프로그램 접근
	2.6.4 데이터베이스 접근
	2.6.5 무선 네트워크 접근
	2.6.6 원격접근 통제
	2.6.7 인터넷 접속 통제

---

---

사방수 세제독

사용자, 접근제한 방식, 안전한 접근수단 정의 · 통제

세션 타임아웃 설정, 불필요 서비스 · 포트 제거, 주요 서비스 독립 서버로 운영

인가받지 않은 서버 경유 접속 제한

핵심 키워드 & 내용

 

- 정보시스템에 접근을 허용하는 사용자, 접근제한 방식, 안전한 접근수단의 정의 및 통제
- 정보시스템 별 OS 접근이 허용되는 사용자, 접근 수단 등 정의
- 장시간 미사용 시 시스템 접속 차단 조치 (세션 타임아웃 설정)
- 사용목적과 관계 없는 서비스 및 포트 제거
- 주요 서비스 제공 서버는 독립된 서버로 운영

 

연관 두음

 

▶ 정보시스템 접근 핵심 키워드

[두음] 사방수 세제독
사용자, 접근제한 방식, 안전한 접근수단
세션 차단, 불필요한 서비스 및 포트 제거, 독립된 서버

 

---

 

인증기준

 

서버, 네트워크시스템 등 정보시스템에
접근을 허용하는 사용자, 접근제한 방식, 안전한 접근수단 등을 정의하여 통제하여야 한다.

 

주요 확인사항

 

* 서버, 네트워크시스템, 보안시스템 등 정보시스템별 운영체제(OS)에
  접근이 허용되는 사용자, 접근 가능 위치, 접근 수단 등을 정의하여 통제하고 있는가?

* 정보시스템에 접속 후 일정시간 업무처리를 하지 않는 경우 자동으로 시스템 접속이 차단되도록 하고 있는가?

* 정보시스템의 사용목적과 관계 없는 서비스를 제거하고 있는가?

* 주요 서비스를 제공하는 정보시스템은 독립된 서버로 운영하고 있는가?

 

세부 설명

 

□ 서버, 네트워크시스템, 보안시스템 등 정보시스템별 운영체제(OS)에

   접근이 허용되는 사용자, 접근 가능 위치, 접근 수단 등을 정의하여 통제하여야 한다.

 

□ 정보시스템에 접속 후 일정시간 업무처리를 하지 않는 경우

   자동으로 시스템 접속이 차단되도록 조치 하여야 한다.

 

▶ Netbios, File-Sharing, Telnet, FTP 등과 같은 안전하지 않은 서비스를 보호하기 위하여

    SSH, SFTP, IPSec VPN 등과 같은 안전한 기술 사용

 

□ 주요서비스를 제공하는 서버는 독립된 서버로 운영하여야 한다.

 

결함사례

 

사례 1 :
사무실에서 서버관리자가 IDC에 위치한 윈도우 서버에 접근 시
터미널 서비스를 이용하여 접근하고 있으나,
터미널 서비스에 대한 세션 타임아웃 설정이 되어 있지 않아
장시간 아무런 작업을 하지 않아도 해당 세션이 차단되지 않는 경우

사례 2 : ★
서버 간 접속이 적절히 제한되지 않아 특정 사용자가 본인에게 인가된 서버에 접속한 후
해당 서버를 경유하여 다른 인가받지 않은 서버에도 접속할 수 있는 경우

사례 3 :
타당한 사유 또는 보완 대책 없이
안전하지 않은 접속 프로토콜(telnet, ftp 등)을 사용하여 접근하고 있으며,
불필요한 서비스 및 포트를 오픈하고 있는 경우

---

가상자산 사업자 대상 주요 확인사항

 

월렛관련 서버에 직접 접속(SSH 등)하거나 
클라우드 환경에서 해당 서비스를 변경할 수 있는 관리콘솔에 대한 
접근통제(접근권한 분리, 망분리,추가인증,보안토큰 등) 대책을 마련하고 있는가? 

---

참고 자료

 

ISMS-P 인증기준 안내서(2022.4.22)

 

※ 주요 서비스 포트

 

• 7 : echo
• 19 : chargen
• 20,21 : ftp
• 22 : ssh
• 23 : telnet
• 25 : smtp
• 37 : time
• 53 : DNS
• 69 : tftp
• 79 : finger
• 80,443 : http(s)
• 110 : pop3
• 137-139: NetBIOS
• 445 : SMB