yakdoli/chandra-27b-ocr-v1 huggingface dataset:
제16567호                       관           보             2007. 8.14. (화요일)

    통제분야             통제목적             통 제 사 항           통   제     내      용

                                                  외부위탁 업체가 계약서 및 서비스 수준
                                      외부위탁        협약 명시된 보안요구사항을 충분히 이
                              3.2.1
                                      보안관리        행하는지 주기적으로 점검하고, 필요시
                                                  감사를 수행하여야 한다.
                    외부자 보안
              3.2                                 신청기관의 정보자산에 대한 제3자의 접
                     실행관리
                                                  근을 통제하여야 한다. 업무상 불가피하
                                       제3자
                              3.2.2               게 접근을 허용해야 할 경우에는 접근유
                                      보안관리
                                                  형 및 접근사유를 파악하고 위험 요소를
                                                  고려하여 관리하여야 한다.


                                                  신청기관의 정보자산을 조사하고 정보자
                                      정보자산        산별로 신청기관에서의 가치, 업무 영향,
                              4.1.1
                                        조사        법적 준수사항 등을 고려하여 중요도를
                    정보자산의                         결정하여야 한다.
              4.1 조사 및 책임
                      할당                          조사된 정보자산에 대하여 소유자, 관리
                                      정보자산별       자, 사용자를 확인하고, 적절한 통제 유
                              4.1.2
                                      책임할당        지를 위해 책임 소재를 명확히 하여야
                                                  한다.
    정보자산
4
     분류
                                                  정보자산이 신청기관에서 차지하는 가치
                                      정보자산의
                              4.2.1               와 신청기관에 미치는 영향을 고려하여
                                        분류
                                                  분류방식을 선택하고 분류하여야 한다.

                    정보자산의
              4.2                                 중요도에 따라 분류된 정보자산에 보안
                    분류 및 취급
                                                  등급을 부여하고, 물리적, 전자적 보안등
                                      보안등급과
                              4.2.2               급 표시를 부착, 관리하여야 한다. 또한
                                        취급
                                                  보안등급의 부여에 따른 취급 절차도 정
                                                  의하여 이행하여야 한다.

                                                  정보보호 인식제고 및 실제 운영에 필요
                                       교육 및
                              5.1.1               한 교육·훈련 계획을 종합적으로 수립
                    교육 및 훈련           훈련계획
    정보보호 교                                        하여 이행하여야 한다
5             5.1    프로그램
    육 및 훈련
                      수립
                                       교육 및       교육 및 훈련의 대상에는 신청기관의 임
                              5.1.2
                                      훈련대상        직원 및 관련 외부자를 포함하여야 한다.


                                        52
제16567호                      관           보           2007. 8.14. (화요일)

    통제분야            통제목적             통 제 사 항         통   제     내      용

                                               교육 및 훈련은 정보보호정책, 정보보호
                                               인식, 보안요구사항, 법적인 책임, 보안
                                     교육 및 훈련 사고 대응절차, 업무연속성관리 등을 포
                             5.1.3
                                       내용      함하여야 하고, 교육대상자의 직위 및
                                               담당하는 업무의 특성에 따라 구분하여
                                               실시하여야 한다.

                                               교육 및 훈련은 정기적으로 실시하여야
                                               하며, 정보보호정책이나 절차 및 역할의
                     시행 및                      변경이 있는 경우에는 수시로 실시하고
              5.2
                     평가                        이에 대한 기록을 남겨야 한다. 또한 교
                                               육훈련 종료 후 검토를 통하여 차기 교
                                               육에 반영하여야 한다.

                                               정보보호업무를 이행하는 역할과 책임을
                                               문서화하여야 한다. 문서화의 내용에는
                                               정보보호정책을 수립, 구현, 운영하는 일
                             6.1.1    책임할당
                                               반적인 책임과 특정 정보자산의 보호와
                                               활동에 대한 구체적인 책임을 포함하여
                                               야 한다.

                    책임할당
              6.1                              인사규정에는 정보보호에 대하여 직원이
                    및 규정화
                                               지켜야 할 책임 및 관련 법규상의 책임
                                               을 명시하여야 한다. 특히, 정보보호업무
                                               를 담당하는 자와 정보시스템 사용자 및
6   인적 보안                    6.1.2    인사규정
                                               관리자는 보다 명확한 책임을 명시하여
                                               야 하며, 직원이 책임을 이행하지 않는
                                               경우를 대비한 적절한 처벌규정을 포함
                                               하여야 한다.

                                               계약직 및 임시직원은 물론 정식직원 채
                                               용시 신원, 업무능력, 교육정도, 경력 등
                    적격심사 및                     에 대한 적격심사가 이루어져야 한다.
              6.2   주요직무     6.2.1    적격심사     직원들이 용역회사를 통하여 충원되는
                    담당자 관리                     경우에는 용역회사와의 계약서에 적격심
                                               사에 따르는 책임사항을 명문화하여야
                                               한다.

                                       53
제16567호                      관           보             2007. 8.14. (화요일)

    통제분야            통제목적             통 제 사 항           통   제     내      용

                                                 정보시스템 접근 권한을 포함하는 업무가
                                     주요직무        새로이 할당될 때, 특히 재무정보나 비밀
                             6.2.2
                                     담당자 관리 정보와 같이 중요한 정보를 처리하는 담
                                                 당자는 별도의 관리를 수행하여야 한다.

                                                 직원으로부터 비밀유지 서약서에 서명을
                                                 받아야 하며, 임시직원이나 제3자에게
                                                 정보에 대한 접근 권한을 부여할 경우에
                                     비밀유지        도 그들로부터 비밀유지 서약서에 서명
              6.3   비밀유지     6.3.1
                                      서약서        을 받아야 한다. 직원의 고용계약에 변
                                                 경이 있을 경우, 특히 직원이 퇴사하거
                                                 나 계약기간이 만료될 때에는 비밀유지
                                                 서약서를 환기시켜야 한다.

                                                 특별한 보호가 필요한 시설 및 장비를
                                                 권한 없는 자의 물리적 접근 및 각종 물
                                                 리적, 환경적 재난으로부터 보호하기 위
                                      물리적        하여 보호구역을 정의하고 이에 따른 보
                             7.1.1
                                     보호구역        안대책을 수립·이행하여야 한다. 이 경
                                                 우 제한구역, 접견구역, 장비출하구역 등
                    물리적 보안
              7.1                                을 별도로 지정하여 각각에 적합한 보안
                     대책
                                                 조치와 절차를 수립하여야 한다.

                                                 보호구역을 출입하는 자를 감시·통제하
                                                 고 권한 없는 자의 출입을 방지하기 위
    물리적                               물리적
7                            7.1.2               하여 수립된 보안 절차에 따라 필요한
     보안                              접근통제
                                                 조치를 수행하고 주기적으로 검토하여야
                                                 한다.

                                                 데이터센터는 물리적, 환경적 위험이 적
                                      위치 및
                             7.2.1               은 곳에 위치하고 구조의 안정성을 확보
                                     구조 조건
                                                 하여야 한다.

                     데이터                         데이터센터의 출입은 적절한 출입통제절
              7.2
                    센터 보안                        차에 의하여 이행되어져야 하며, 출입자
                             7.2.2   출입통제        를 식별하고 기록·관리하여야 한다. 또
                                                 한 출입자 기록 대장은 정기적으로 점검
                                                 하여야 한다.

                                       54
제16567호                    관           보          2007. 8.14. (화요일)

통제분야            통제목적           통 제 사 항        통   제     내      용

                                         화재·수재 등의 각종 재해에 대비한 시
                                         설을 충분히 설치하여야 하고, 비상연락
                       7.2.3    내부설비
                                         장치 및 비상구, 물리적 접근통제 및 시
                                         건장치를 설치하여야 한다.

                                         신청기관내의 주요 시스템에 대한 별도
                                         의 출입통제를 실시하거나 이중의 보호
                                 주요
                       7.3.1             장치를 설치하고, 시스템관리자는 주요
                               시스템 보호
                                         시스템 접근에 대한 보안대책을 수립하
                                         여야 한다.

                                         장비는 환경적인 위협과 위험, 불법 접
                                         근에 대한 위험을 감소시키기 위해 적절
                       7.3.2   장비의 배치
                                         한 위치에 배치하고 이를 보호하여야 한
                                         다.

                                         전원공급 이상이나 기타 전기관련 사고
                                         발생시 전원을 지속적으로 공급하기 위
                       7.3.3    전원공급
                                         하여 장비 제조업체의 사양에 따라 적절
                                         히 관리하여야 한다.

          7.3   장비보호                     데이터를 송·수신하거나 정보서비스를
                                         지원하는 전력 및 통신 케이블은 방해되
                       7.3.4   케이블 보호
                                         거나 손상을 입지 않도록 보호하여야 한
                                         다.

                                         장비는 지속적인 가용성과 무결성을 위
                                         하여 장비 제공자가 지시한 명세에 따라
                       7.3.5   장비의 보수
                                         유지·보수를 하여야 하고 유지·보수에
                                         대한 기록을 남겨야 한다.

                                         중요한 정보를 담고 있는 저장 매체의
                                         폐기시에는 이를 물리적으로 파기하여야
                               장비의 안전한
                                         하며, 중요 데이터나 정품 소프트웨어는
                       7.3.6    폐기 및
                                         폐기하기 전에 매체에 기록된 내용이 완
                                재사용
                                         전히 삭제되어 복구가 불가능한지 확인
                                         하고 점검하여야 한다.


                                 55
제16567호                       관          보              2007. 8.14. (화요일)

    통제분야             통제목적             통 제 사 항       통       제     내      용

                                                 책상 위에 중요한 문서나 저장 매체를
                                                 남겨놓지 않도록 하고, 통상 근무시간
                                                 동안이나 그 외의 시간에 비인가된 자에
              7.4 사무실 보호
                                                 의한 정보 접근, 손상을 방지하기 위하
                                                 여 컴퓨터 화면에 정보처리에 관한 사항
                                                 을 남겨놓지 않도록 하여야 한다.

                                                 새로운 시스템 개발, 기존시스템 개선시
                                                 보안요구사항을 문서로 명확히 하여야
                                      보안 요구사항
                              8.1.1              하며, 보안요구사항에는 사용자 접근권
                                        정의
                                                 한의 부여원칙과 접근통제 유형 등을 포
                                                 함하여야 한다.

                                                 응용시스템 설계시 입력 요구사항을 정
                                      입력 데이터 의하고 문서화하여야 하며, 입력 데이터
                              8.1.2
                                        검증       의 정확성, 무결성, 신뢰성을 판단하기
                                                 위한 표준을 마련하여야 한다.

                                                 응용시스템 설계시 내부처리 요구사항을
                                        내부       정의하고 문서화하여야 하며, 응용소프트
                              8.1.3
                                      처리의 검증 웨어의 처리 작업을 검증하고, 무결성을
                                                 회복할 수 있는 기능을 포함하여야 한다.
    시스템             분석 및 설계
8             8.1                                응용시스템 설계시 출력 요구사항을 정
    개발보안             보안관리
                                      출력 데이터 의하고 문서화하여야 하며, 출력 데이터
                              8.1.4
                                        검증       의 정확성, 무결성, 신뢰성을 판단하기
                                                 위한 대책을 마련하여야 한다.

                                                 응용시스템 설계시 반드시 사용자 인증에
                                                 대한 보안 요구사항을 고려하여야 한다.
                              8.1.5   인증 및 암호 중요한 메시지의 경우 무결성이 요구될
                                                 때 메시지 인증기법을 적용하고 비밀성이
                                                 요구될 시 암호화를 적용하여야 한다.

                                                 응용시스템 설계시 사용자의 인증, 데이
                                                 터 분실, 수정, 오남용 등을 점검하고 방
                              8.1.6 보안기록 관리 지하기 위하여 보안에 관련된 로그, 감
                                                 사증적 등을 확보할 수 있는 기능을 반
                                                 영하여야 한다.

                                        56
제16567호                       관            보         2007. 8.14. (화요일)

통제분야             통제목적             통 제 사 항      통     제     내      용

                                            응용시스템 구현시 코딩표준에 따라 응
                          8.2.1   구현 및 시험 용시스템을 구현하고, 보안요구사항에
                                            대한 시험을 수행하여야 한다.

                                            운영 프로그램의 수정은 적절한 권한을
                                            지닌 사람만이 시행하여야 하고, 운영시
                                  운영환경 이행
                          8.2.2             스템은 실행코드만 보유하여야 한다. 실
                                    보안
                                            행코드는 성공적인 시험과 사용자 인수
                                            후에 실행하여야 한다.

                                            시험 데이터는 운영데이터에 준하여 보호
                                            하고 통제하여야 하며, 운영환경에 대하
                구현 및 이행                     여 적용되는 접근통제 절차를 시험환경에
          8.2
                 보안관리               시험      도 적용하여야 한다. 운영데이터가 시험
                          8.2.3
                                  데이터의 보안 환경으로 복사될 경우 허가절차를 수립하
                                            여 이행하고 시험 완료 후 운영데이터는
                                            시험시스템에서 삭제하여야 한다. 운영데
                                            이터 사용 및 복사는 기록을 남겨야 한다.

                                            소스 프로그램은 실제 운영 환경에 보관
                                            하지 않는 것을 원칙으로 하며, 소스 프
                                  소스 프로그램 로그램 관리자는 각 운영시스템 별로 지
                          8.2.4
                                  의 접근보안 정하여야 한다. 또한 소스 프로그램 접
                                            근에 대한 통제절차를 수립하고 이행하
                                            여야 한다.

                                            정보시스템의 파괴와 손상을 최소화하기
                          8.3.1 변경관리 절차 위하여 공식적인 변경관리 절차를 수립
                                            하고 이행하여야 한다.

                                            운영체제 변경이 필요한 경우 응용시스
                                  운영체제 변경
                          8.3.2             템의 운영이나 보안에 미치는 영향을 분
                                   시의 검토
          8.3    변경관리                       석, 검토하여야 한다.

                                            소프트웨어 패키지는 가능한 수정하지
                                            않고 사용하고, 패키지 변경시에는 공
                                  소프트웨어 패
                          8.3.3             급자의 동의를 얻으며, 수정이 가능한지
                                   키지 변경
                                            확인하여야 한다. 모든 변경사항은 시험
                                            하고 문서화하여야 한다.

                                    57
제16567호                      관            보             2007. 8.14. (화요일)

     통제분야             통제목적             통 제 사 항           통   제     내      용

                                                   암호사용에 대한 정책을 수립하여야 한
               9.1    암호 정책
                                                   다.


                                                   암호 정책에 따른 암호 사용시 적절한
               9.2    암호사용                         암호 알고리즘의 유형, 신뢰성 및 키 길
9    암호 통제
                                                   이를 결정하여야 한다.


                                                   암호 키에 대한 관리지침, 절차 및 방법
               9.3    키관리                          을 마련하고 필요시 복구방안을 마련하
                                                   여야 한다.

                                                   업무 요구사항에 따라 접근 통제의 방법
                                        정책의
                              10.1.1               과 범위 등을 정의하고 문서화하여야 한
                                        문서화
                                                   다.

                                                   접근통제 정책은 데이터, 프로그램, 주요
                                                   시스템, 네트워크 등에 대한 접근제한을
                                                   포함하여야 하며, 여기에는 보안요구사
                              10.1.2   정책의 내용
                                                   항, 데이터 및 서비스 접근시의 법적, 계
                                                   약적 제한, 분산 네트워크상의 접근권한
                                                   관리 등을 포함하여야 한다.

                      접근통제                         항상 존재하는 규칙과 일정기간이나 선
               10.1
                       정책                          택적으로 존재하는 규칙에 대한 구분, 실
                                       접근 통제
                              10.1.3               행 전에 관리자의 승인을 필요로 하는 규
10   접근통제                                규칙
                                                   칙과 그렇지 않은 규칙의 구분 등을 포
                                                   함한 접근 통제 규칙을 명시하여야 한다.

                                                   접근통제 방법은 정책 및 절차에 의해
                                       접근통제
                              10.1.4               결정된 접근권한을 적절하게 반영하여야
                                         방법
                                                   한다.

                                                   접근에 대한 모니터링을 통해 정책과의
                                       접근통제
                              10.1.5               일치성을 주기적으로 검토하고, 접근통
                                       정책 검토
                                                   제 정책의 적정성을 확인하여야 한다.

                                                   정보시스템 및 서비스에 대한 접근을 통
                      사용자
               10.2           10.2.1   사용자 등록 제하기 위한 공식적인 사용자 등록 및
                      접근 관리
                                                   해지 절차를 마련하여야 한다.

                                         58
제16567호                     관            보            2007. 8.14. (화요일)

통제분야             통제목적            통 제 사 항         통    제     내      용

                                           시스템이나 응용프로그램에 대한 통제를
                        10.2.2 특수권한 관리 우회할 수 있는 특수권한의 할당 및 사
                                           용을 관리하여야 한다.

                                 사용자 패스워 사용자 패스워드의 관리절차를 수립하고
                        10.2.3
                                  드 관리     이행하여야 한다.

                                           데이터나 정보 서비스에 대한 접근을 관
                                 사용자의 접근
                        10.2.4             리하기 위해서 정기적으로 접근 권한에
                                  권한검토
                                           대하여서 점검을 하여야 한다.

                                           시스템 및 패스워드 관리 책임은 사용자
                        10.2.5 사용자의 책임 자신에게 있음을 주지시키고 관리지침을
                                           제공하여야 한다.

                                           비인가된 접근을 막기 위해 네트워크의
                                           내·외부 연결통제, 사용자 터미널과 컴
                                           퓨터 서비스간에 물리적 및 논리적 경로
                        10.3.1 네트워크 접근
                                           의 통제, 사용자 인증, 고장 진단 포트에
                                           대한 접근 통제 등을 포함한 네트워크
                                           접근정책을 수립하고 이행하여야 한다.

                                           안전한 로그온 절차, 식별 및 인증관리,
                                           필요시 터미널 자동확인 등을 포함하여
                        10.3.2 운영체제 접근
                                           시스템의 운영체제 접근을 통제하여야
                                           한다.

                                           사용자 접근이 허가되지 않은 응용 프로
                 접근통제
          10.3                             그램의 기능들에 대한 정보 제공을 제한
                  영역
                                           하여야 한다. 또한 민감한 정보를 처리
                                 응용 프로그램
                        10.3.3             하는 응용 프로그램의 출력물은 허가된
                                   접근
                                           위치에서만 전달하여야 한다. 민감한 응
                                           용 시스템은 반드시 일반적인 환경과 분
                                           리하여야 한다.

                                           데이터베이스의 뷰, 레코드 또는 필드
                                           레벨에서의 데이터에 대한 접근통제, 데
                                 데이터베이스 이터사전 및 데이터베이스 유틸리티에
                        10.3.4
                                   접근      대한 접근통제, 민감 정보의 암호화 등
                                           을 통해 데이터베이스내의 정보를 보호
                                           하여야 한다.

                                   59
제16567호                      관             보             2007. 8.14. (화요일)

     통제분야              통제목적            통 제 사 항            통   제     내      용

                                                    보안정책에 의해 정의된 운영지침과 절
                                       운영절차의 문 차는 문서화하여 관리하여야 한다. 운영
                              11.1.1
                                         서화         관리를 외부에 용역을 주는 경우에도 계
                                                    약서에 이를 반영하여야 한다.

                                                    정보시스템 관련 자산들을 조사하고, 모
                                       정보자산의 변
                              11.1.2                든 변경사항들을 반영할 수 있는 공식적
                                        경관리
                                                    인 관리책임 및 절차를 수립하여야 한다.

                                                    부주의에 의한 또는 고의적인 시스템 오
                                                    용의 위험을 감소시키기 위해 직무를 분

                      운영 절차와 11.1.3     직무 분리       리하고, 직무 분리가 어려운 특수한 경
               11.1
                        책임                          우 별도의 관리감독 대책을 수립하여야
                                                    한다.


                                                    원칙적으로 개발, 시험, 운영 환경을 분
                                       개발과 운영환 리하여야 한다. 또한 응용프로그램을 개
                              11.1.4
                                        경의 분리       발환경으로부터 운영환경으로 이전하는
11   운영관리                                           절차를 정의하고 문서화하여야 한다.


                                                    외부자가 정보시스템 및 장비를 관리하
                                        외부 운영       는 경우 데이터의 손상, 손실 등의 상황
                              11.1.5
                                       설비·관리        을 고려하여 통제방안을 수립하고 계약
                                                    서에 반영하여야 한다.

                                                    정보시스템의 도입을 위해서 도입계획
                              11.2.1   시스템 도입
                                                    및 정책을 수립하여야 한다.

                                                    새로운 정보시스템의 설치 또는 수정에
                                                    따른 인수기준을 수립하고, 시스템 구매
                              11.2.2   시스템 인수 계약서에 반영하여야 한다. 또한 시스템
               11.2 시스템 운영
                                                    은 이 기준에 의해 시험을 한 후 인수하
                                                    여야 한다.


                                                    신청기관에서 요구되는 성능 요구사항을
                              11.2.3    성능관리        충족시킬 수 있도록 성능관리를 수행하
                                                    여야 한다.


                                         60