yakdoli/chandra-27b-ocr-v1 huggingface dataset:
제18076호                                 관          보      2013. 8. 8.(목요일)
    분류      번호                               취약점 점검 항목                 등급
           U-19    Finger 서비스 비활성화                                    상
           U-20    Anonymous FTP 비활성화                                 상
           U-21    r 계열 서비스 비활성화                                      상
           U-22    cron 파일 소유자 및 권한 설정                                상
           U-23    DoS 공격에 취약한 서비스 비활성화                               상
           U-24    NFS 서비스 비활성화                                       상
           U-25    NFS 접근통제                                           상
           U-26       automountd 제거                                   상
           U-27    RPC 서비스 확인                                         상
           U-28       NIS, NIS+ 점검                                    상
서          U-29    tftp, talk 서비스 비활성화                                상
비          U-30       Sendmail 버전 점검                                  상
스          U-31    스팸 메일 릴레이 제한                                       상
관
리          U-32    일반사용자의 Sendmail 실행 방지                              상
           U-33    DNS 보안 버전 패치                                       상
           U-34    DNS ZoneTransfer 설정                                상
           U-35    Apache 디렉토리 리스팅 제거                                 상
           U-36    Apache 웹 프로세스 권한 제한                                상
           U-37    Apache 상위 디렉토리 접근 금지                               상
           U-38    Apache 불필요한 파일 제거                                  상
           U-39    Apache 링크 사용금지                                     상
           U-40    Apache 파일 업로드 및 다운로드 제한                            상
           U-41    Apache 웹 서비스 영역의 분리                                상
패치관리       U-42    최신 보안패치 및 벤더 권고사항 적용                               상
로그관리       U-43    로그의 정기적 검토 및 보고                                    상

나. 윈도우즈
    점검분류      번호                               취약점 점검 항목                  등급
             W-1     Administrator 계정 이름 바꾸기                          상
             W-2     Guest 계정 상태                                      상
계정           W-3     불필요한 계정 제거                                       상
관리
             W-4     계정 잠금 임계값 설정                                     상
             W-5     해독 가능한 암호화를 사용하여 암호 저장                           상
                                               26
제18076호                       관           보          2013. 8. 8.(목요일)
점검분류      번호                             취약점 점검 항목                  등급
       W-6     관리자 그룹에 최소한의 사용자 포함                              상
       W-7     공유 권한 및 사용자 그룹 설정                                상
       W-8     하드디스크 기본 공유 제거                                   상
       W-9     불필요한 서비스 제거                                      상
       W-10    IIS 서비스 구동 점검                                    상
       W-11    IIS 디렉토리 리스팅 제거                                  상
       W-12    IIS CGI 실행 제한                                    상
       W-13    IIS 상위 디렉토리 접근 금지                                상
       W-14    IIS 불필요한 파일 제거                                   상
       W-15    IIS 웹 프로세스 권한 제한                                 상
       W-16    IIS 링크 사용금지                                      상
       W-17    IIS 파일 업로드 및 다운로드 제한                             상
       W-18    IIS DB 연결 취약점 점검                                 상
서비스    W-19    IIS 가상 디렉토리 삭제                                   상
관리
       W-20    IIS 데이터 파일 ACL 적용                                상
       W-21    IIS 미사용 스크립트 매핑 제거                               상
       W-22    IIS Exec 명령어 쉘 호출 진단                             상
       W-23    IIS WebDAV 비활성화                                  상
       W-24    NetBIOS 바인딩 서비스 구동 점검                            상
       W-25    FTP 서비스 구동 점검                                    상
       W-26    FTP 디렉토리 접근권한 설정                                 상
       W-27    Anonymouse FTP 금지                                상
       W-28    FTP 접근 제어 설정                                     상
       W-29    DNS Zone Transfer 설정                             상
       W-30    RDS(RemoteDataServices)제거                        상
       W-31    최신 서비스팩 적용                                       상
패치     W-32    최신 HOT FIX 적용                                    상
관리     W-33    백신 프로그램 업데이트                                     상
로그     W-34    로그의 정기적 검토 및 보고                                  상
관리     W-35    원격으로 액세스할 수 있는 레지스트리 경로                          상
       W-36    백신 프로그램 설치                                       상
       W-37    SAM 파일 접근 통제 설정                                  상
       W-38    화면보호기 설정                                         상
       W-39    로그온하지 않고 시스템 종료 허용                               상
 보안    W-40    원격 시스템에서 강제로 시스템 종료                              상
 관리    W-41    보안 감사를 로그할 수 없는 경우 즉시 시스템 종료                     상
       W-42    SAM 계정과 공유의 익명 열거 허용 안 함                         상
       W-43    Autologon 기능 제어                                  상
       W-44    이동식 미디어 포맷 및 꺼내기 허용                              상
       W-45    디스크볼륨 암호화 설정                                     상
                                   27
제18076호                           관             보   2013. 8. 8.(목요일)
다. 보안 장비
 점검분류      번호                            취약점 점검 항목                  등급
            S-1   보안장비 Default 계정 변경                                 상
  계정        S-2   보안장비 Default 패스워드 변경                               상
  관리        S-3   보안장비 계정별 권한 설정                                     상
            S-4   보안장비 계정 관리                                         상
            S-5   보안장비 원격 관리 접근 통제                                   상
  접근        S-6   보안장비 보안 접속                                         상
  관리
            S-7   Session timeout 설정                                 상
 패치관리       S-8   벤더에서 제공하는 최신 업데이트 적용                          상
            S-9   정책 관리                                             상
           S-10   NAT 설정                                            상
           S-11   DMZ 설정                                            상
  기능       S-12   최소한의 서비스만 제공                                      상
  관리       S-13   이상징후 탐지 경고 기능 설정                                  상
           S-14   장비 사용량 검토                                         상
           S-15   SNMP 서비스 확인                                       상
           S-16   SNMP community string 복잡성 설정                      상

라. 네트워크 장비
 점검분류      번호                            취약점 점검 항목                  등급
           N-1    패스워드 설정                                            상
계정 관리      N-2    패스워드 복잡성 설정                                        상
           N-3    암호화된 패스워드 사용                                       상
           N-4    VTY 접근(ACL) 설정                                     상
접근 관리
           N-5    Session Timeout 설정                                 상
 패치관리      N-6    최신 보안 패치 및 벤더 권고사항 적용                              상
           N-7    SNMP 서비스 확인                                        상
           N-8    SNMP community string 복잡성 설정                       상
           N-9    SNMP ACL 설정                                        상
           N-10   SNMP 커뮤니티 권한 설정                                    상
기능 관리      N-11   TFTP 서비스 차단                                        상
           N-12   Spoofing 방지 필터링 적용                                 상
           N-13   DDoS 공격 방어 설정                                      상
           N-14   사용하지 않는 인터페이스의 shutdown 설정                         상
                                        28
제18076호                          관           보              2013. 8. 8.(목요일)
마. 제어시스템
 점검분류    번호                              취약점 점검 항목                     등급
           C-1    제어시스템 운영, 관리를 위한 계정이 타 사용자와 공유되지 않음                  상
계정 관리      C-2    ID/PW, 접속경로, 인증서 등이 하드코딩되지 않음                        상
           C-3    제어시스템 운영, 관리를 위한 계정의 로그인, 사용 기록 저장                   상
패치 관리             제어시스템에 대한 최신 업데이트, 보안패치를 안전하게 적용하기 위한 테스트 등의 상
           C-4    절차 수립
           C-5    제어시스템 운영자의 운영 권한은 제한된 범위 및 명령으로 제한                   상
           C-6    제어시스템은 업무망, 인터넷 망과 물리적으로 분리                          상
                  제어 네트워크 외부와 자료연계시 물리적 일방향 환경을 구축하여 제어 네트워크로의 상
접근 통제      C-7    침입을 근본적으로 차단
                  제어 네트워크에 무선인터넷, 테더링, 외부 유선망 연결 등의 외부망 연결을 제한하 상
           C-8    고 점검
           C-9    제어 네트워크에 비인가된 시스템에 대한 연결 및 접속 차단                     상
         C-10     제어시스템 구성도, 운용 매뉴얼, 비상조치 절차서 등을 작성하고 최신으로 관리          상
         C-11     제어시스템에서의 USB 사용을 금지하고, 사용시 USB 등의 이동형 저장매체 사용 통제     상
         C-12     제어명령에 대한 위변조 방지 대책 적용                                상
보안 관리    C-13     제어명령 replay 공격에 대한 방지 대책 적용                          상
         C-14     제어시스템 개발자, 운영자, 관리자에 대한 접근권한 분리                      상
         C-15     제어시스템, 제어기기에 (vendor default) 은닉서비스 및 취약한서비스가 없도록 설정 상
                  제어프로그램의 입력창에 비정상적인 특정값을 입력할 시 사전에 정의한 에러 메시 상
         C-16     지가 출력되도록 하여 시스템 중요정보가 노출되지 않도록 설정

바. PC
 점검분류      번호                            취약점 점검 항목                        등급
           PC-1   패스워드의 주기적 변경                                             상
 계정 관리
           PC-2   패스워드 정책이 해당기관의 보안정책에 적합하게 설정                            상
           PC-3   공유폴더 제거                                                 상
서비스 관리     PC-4   불필요한 서비스 제거                                             상
           PC-5   Windows Messenger(MSN, .NET 메신저 등)와 같은 상용 메신저의 사용 금지    상
           PC-6   HOT FIX 등 최신 보안패치 적용                                    상
 패치 관리     PC-7   최신 서비스팩 적용                                              상
                  MS-Office, 글, 어도브 아크로뱃 등의 응용 프로그램에 대한 최신 보안 패치 및       상
           PC-8   벤더 권고사항 적용
                                       29
제18076호                              관              보                  2013. 8. 8.(목요일)
  점검분류       번호                            취약점 점검 항목                                      등급
            PC-9    바이러스 백신 프로그램 설치 및 주기적 업데이트                                             상
            PC-10   바이러스 백신 프로그램에서 제공하는 실시간 감시 기능 활성화                                      상
            PC-11   OS에서 제공하는 침입차단 기능 활성화                                                  상
 보안 관리      PC-12   화면보호기 대기 시간을 5~10분으로 설정 및 재시작시 암호로 보호하도록 설정                            상
                    CD, DVD, USB메모리 등과 같은 미디어의 자동실행 방지 등 이동식 미디어에                          상
            PC-13   대한 보안대책 수립
            PC-14   PC 내부의 미사용(3개월) ActiveX 제거                                             상

사. 데이터베이스
  점검분류      번호                                 취약점 점검 항목                                   등급
            D-1     기본 계정의 패스워드, 정책 등을 변경하여 사용                                              상
            D-2     scott 등 Demonstration 및 불필요 계정을 제거하거나 잠금설정 후 사용                         상
 계정 관리
            D-3     패스워드의 사용기간 및 복잡도를 기관의 정책에 맞도록 설정                                        상
            D-4     데이터베이스 관리자 권한을 꼭 필요한 계정 및 그룹에 대해서만 허용                                   상
            D-5     원격에서 DB 서버로의 접속 제한                                                      상
 접근 관리      D-6     DBA이외의 인가되지 않은 사용자가 시스템 테이블에 접근할 수 없도록 설정                               상
            D-7     오라클 데이터베이스의 경우 리스너의 패스워드를 설정하여 사용                                       상
            D-8     응용프로그램 또는 DBA 계정의 Role이 Public으로 설정되지 않도록 조정                            상
 옵션 관리              OS_ROLES, REMOTE_OS_AUTHENTICATION, REMOTE_OS_ROLES를 FALSE로
            D-9     설정                                                                      상
            D-10    데이터베이스에 대해 최신 보안패치와 밴더 권고사항을 모두 적용                                      상
 패치 관리              데이터베이스의 접근, 변경, 삭제 등의 감사기록이 기관의 감사기록 정책에
            D-11    적합하도록 설정                                                                상

아. 웹(Web)
 코드       취약점명                                                   설명                          등급
  BO   버퍼오버플로우          메모리나 버퍼의 블록 크기보다 더 많은 데이터를 넣음으로써 결함을 발생시키는 취약점                       상
  FS   포맷스트링            스트링을 처리하는 부분에서 메모리 공간에 접근할 수 있는 문제를 이용하는 취약점                         상
                        LDAP(Lightweight Directory Access Protocol) 쿼리를 주입함으로서 개인정보 등의 내용
  LI   LDAP인젝션                                                                               상
                        이 유출될 수 있는 문제를 이용하는 취약점
  OC   운영체제명령실행         웹사이트의 인터페이스를 통해 웹서버를 운영하는 운영체제 명령을 실행하는 취약점                          상
  SI   SQL인젝션           SQL문으로 해석될 수 있는 입력을 시도하여 데이터베이스에 접근할 수 있는 취약점                        상
                        SSI(Server-side Include)는 “Last modified"와 같이 서버가 HTML 문서에 입려갛는 변수 값
  SS   SSI인젝션           으로, 웹서버상에 있는 파일을 include 시키고, 명령문이 실행되게 하여 데이터에 접근할 상
                        수 있는 취약점
  XI   XPath인젝션
                        조작된 XPath(XML Path Language) 쿼리를 보냄으로써 비정상적인 데이터를 쿼리해 올 상
                        수 있는 취약점
                                              30
제18076호                        관           보               2013. 8. 8.(목요일)
코드     취약점명                                   설명                           등급
DI   디렉토리인덱싱      요청 파일이 존재하지 않을 때 자동적으로 디렉토리 리스트를 출력하는 취약점                상
IL   정보누출         웹 사이트 데이터가 노출되는 것으로 개발과정의 코멘트나 오류 메시지 등에서 중요한 정보 상
                  가 노출되어 공격자에게 2차 공격을 하기 위한 중요한 정보를 제공할 수 있는 취약점
CS   악성콘텐츠        웹애플리케이션에 정상적인 컨텐츠 대신에 악성 컨텐츠를 주입하여 사용자에게 악의 상
                  적인 영항을 미치는 취약점
XS
     크로스사이트스크 웹애플리케이션을 사용해서 다른 최종 사용자의 클라이언트에서 임의의 스크립트가 실행 상
     립팅           되는 취약점
BF   약한문자열강도 사용자의        이름이나 패스워드, 신용카드 정보나 암호화 키 등을 자동으로 대입하여 여러 상
                  시행착오 후에 맞는 값이 발견되는 취약점
IA   불충분한 인증      민감한 데이터에 접근할 수 있는 곳에 취약한 인증 메커니즘으로 구현된 취약점               상
PR
     취약한          취약한 패스워드 복구 메커니즘(패스워드 찾기 등)에 대해 공격자가 불법적으로 다른 사 상
     패스워드 복구      용자의 패스워드를 획득, 변경, 복구할 수 있는 취약점
CF
     크로스사이트       CSRF 공격은 로그온한 사용자 브라우저로 하여금 사용자의 세션 쿠키와 기타 인증 정보         상
     리퀘스트변조(CSRF) 를 포함하는 위조된 HTTP 요청을 취약한 웹애플리케이션에 전송하는 취약점
SE   세션 예측        단순히 숫자가 증가하는 방법 등의 취약한 특정 세션의 식별자(ID)를 예측하여 세션을 가 상
                  로챌 수 있는 취약점
IN   불충분한 인가      민감한 데이터 또는 기능에 대한 접근권한 제한을 두지 않은 취약점                     상
SC   불충분한 세션만료 세션의      만료 기간을 정하지 않거나, 만료일자를 너무 길게 설정하여 공격자가 만 상
                  료되지 않은 세션 활용이 가능하게 되는 취약점
SF   세션고정         세션값을 고정하여 명확한 세션 식별자(ID) 값으로 사용자가 로그인하여 정의된 세션 상
                  식별자(ID)가 사용 가능하게 되는 취약점
AU   자동화공격        웹애플리케이션에 정해진 프로세스에 자동화된 공격을 수행함으로써 자동으로 수많은 상
                  프로세스가 진행되는 취약점
PV   프로세스검증누락 공격자가 응용의 계획된 플로우 통제를 우회하는 것을 허가하는 취약점                        상
FU   파일업로드        파일을 업로드 할 수 있는 기능을 이용하여 시스템 명령어를 실행할 수 있는 웹 프로그 상
                  램을 업로드 할 수 있는 취약점
FD   파일다운로드       파일 다운로드 스크립트를 이용하여 첨부된 주요 파일을 다운로드 할 수 있는 취약점            상
AE   관리자페이지 노출 단순한     관리자 페이지 이름(admin, manager 등)이나 설정, 프로그램 설계상의 오류로 인해 상
                  관리자 메뉴에 직접 접근할 수 있는 취약점
PT   경로추적         공격자에게 외부에서 디렉터리에 접근할 수 있는 것이 허가되는 문제점으로 웹 루트 싱
                  디렉터리에서 외부의 파일까지 접근하고 실핼할 수 있는 취약점
PL   위치공개         예측 가능한 디렉토리나 파일명을 사용하여 해당 위치가 쉽게 노출되어 공격자가 이를 악 상
                  용하여대상에대한 정보와 민감한 정보가 담긴 데이터에 접근이 가능하게 되는 취약점
SN   데이터평문전송 서버와       클라이언트간 통신 시 암호화하여 전송을 하지 않아 중요 정보 등이 평문으로 전 상
                  송되는 취약점
CC   쿠키변조         적절히보호되지않은쿠키를사용하여쿠키인젝션등과 같은 쿠키 값 변조를 통한 다른 사용 상
                  자로의 위장 및 권한 상승 등이 가능한 취약점

※ 중요도 등급 “중”, “하”는 참고자료[취약점 분석 평가 선택점검 항목]를 활용
                           31
제18076호                      관         보             2013. 8. 8.(목요일)
[붙임3]
                        취약점 분석 평가 선택 점검항목
□ 관리적 분야
    분류      번호                         취약점 점검 항목                   등급
            A-40   정보보호정책이 문서화되어 있으며 경영자층의 승인을 받고 있는가?              중
            A-41
                   정보보호정책서가 모든 임직원 및 관련자에게 배포되고 모든 임직원 및 관          중
    정보             련자가 정보보호정책을 이해하고 있는가?
    보호
    정책      A-42
                   정보보호정책의 내용과 기관의 사업 목표 및 전략 등과의 일관성이 검토되          하
                   었는가?
            A-43   기관의 정보보안 강화를 위한 중장기(3년 이상) 계획이 있는가?              중
            A-44   보안관련 전문가 집단으로부터 조언을 받고 해당 내용을 반영하고 있는가?          중
    정보             정보보호 관련 주요 의사결정을 수행하는 정보보호위원회가 구성되어 있으며 위원
    보호      A-45
                   회의 역할 및 책임이 명확히 기술되어 있는가?                        하
    조직
            A-46   정보보호관리자의 역할 및 책임이 규명되어 있는가?                      하
            A-47   민감한 직무담당자에 대해 강화된 적격심사가 수행되고 있는가?                하
                   모든 인력에 대하여 정보보호의 책임과 역할을 기술하는 직무기술서가 존재          중
    인적      A-48
                   하는가?
    보안
            A-49   정보보안정책을 불이행할 경우 이에 대한 징계가 규정에 명시되어 있는가?          중
            A-50   고용계약 만료시 자산 반납 및 접근권한을 삭제하는 절차가 있는가?             중
            A-51
                   제3자의 보안요구사항 준수 검토를 위해 제3자 관리책임자로부터 보안관리 상        하
   외부자             황에 대한 주기적인 보고를 받고 수시 점검을 수행하는가?
    보안      A-52   외부 관계자에게 정보나 자산에 접근할 수 있는 보안 규정을 사전 통보하고 있는가?    하
            A-53   제3자(외부유지보수직원, 외부용역자포함)에 대한 보안서약서를 가지고 있는가?       하
    자산      A-54   조직의 주요 자산 목록을 작성하고 변경사항을 유지 관리하고 있는가?            하
    분류      A-55   자산에 대한 등급별 보호절차, 접근제한을 실시하고 있는가?                 하
            A-56   안전을 요하는 매체가 운반될 때 접근 통제가 이루어지고 있는가?              하
    매체      A-57   노트북, USB 메모리 등 이동형 장치의 분실을 통한 자료 유출 대비책이 있는가?    중
    관리
            A-58   보조기억매체의 사용을 주기적 점검을 통해 최신자료를 유지하는가?              중
            A-59
                   정보보호 인식제고를 위한 교육 및 훈련 계획을 종합적으로 수립하여 정기          중
                   적으로 실시하고 있는가?
    교육      A-60   교육 및 훈련은 대상자의 직위 및 업무 특성에 따라 구분하여 실시하고 있는가?      하
    및
    훈련      A-61   교육 훈련의 효과가 측정, 분석되어 차기 교육에 반영되는가?                하
            A-62
                   직원을 대상으로 사이버안전센터 보안권고문·해킹메일주의공지, 윈도우 보안          중
                   업데이트 사항, 보안취약점 조치요령 등을 공지하는가?
                                   32
제18076호                     관          보            2013. 8. 8.(목요일)
분류        번호                        취약점 점검 항목                   등급
          A-63   접근통제에 대한 주기적 검토를 통해 접근통제 정책이 적합한지를 확인하고 있는가?    중
          A-64
                 보안상 중요한 접근통제 규칙은 관리자의 승인을 거쳐서 설정 또는 변경하도        하
                 록 하고 있는가?
          A-65   접근통제 방법은 내부 관련 정책 및 절차에 따라 결정되어 반영되는가?          하
          A-66
                 안전한 로그온 절차, 식별 및 인증관리 등과 같은 시스템 운영체제 접근 통제      중
                 방법이 존재하고 이에 따라 이행하고 있는가?
          A-67   외부에서의 사용자 접근에 대한 안전한 인증방식을 사용하고 있는가?            하
          A-68
                 외부에서 내부 시스템의 기능을 사용할 수 있다면 VPN 등 안전한 접속방        하
접근               법을 제공하고 있는가?
통제        A-69
                 제3자가 원격에서 진단, 관리 등을 위한 서비스를 제공할때 필요할 때만 연결      하
                 을 허용하고 있는가?
          A-70   제3자와의 정보 공유, 네트워크 공유 등에 대한 보안위협에 대한 대책이 있는가?    하
          A-71   민감한 시스템에 따라 네트워크를 분리 운영하여 서로간의 접근을 막고 있는가?      하
          A-72   방화벽, 침입탐지 등 안전한 네트워크를 위한 대책을 마련하고 있는가?          중
          A-73   내부망(업무망)과 인터넷망을 분리하여 사용하는가?                     중
          A-74   망분리 후 안전한 자료전송을 위한 시스템을 도입하여 사용하고 있는가?          중
          A-75   인터넷 전화망과 일반 전산망은 분리하여 운용하는가?                    하
          A-76   제3자의 내부 상주 인력에 대한 네트워크를 분리 운영하고 있는가?            하
          A-77   보안책임자는 정보자산 도입 시 보안 정책에 부합하는지 확인하고 승인하는가?       하
          A-78   보안정책에 의해 정의된 운영지침과 절차는 문서화되어 관리되고 있는가?          중
          A-79   정보시스템의 변경관리 절차가 존재하며 이에 따라 변경관리가 수행되는가?         중
          A-80   중요 시스템 및 정보보호제품의 설정관리가 승인과정을 통해 이행되는가?          중
          A-81   개발자와 운영자의 접근 권한은 분리되어 있는가?                      중
          A-82   중요 데이터와 일반데이터가 다른 서버에 분리되어 보관되는가?               하
          A-83   장애탐지, 장애기록, 장애분석, 장애복구, 장애보고 등의 사항을 포함하는 시      하
                 스템의 장애관리 지침이 존재하는가?
          A-84   네트워크 운영 보안 유지를 위해 접근권한 통제, 원격접속 관리, 네트워크 분리     하
                 등의 내용을 포함한 네트워크 운영 보안정책이 수립되어 이행되는가?
          A-85   시스템과 네트워크의 사용 및 접근에 대한 모니터링 절차와 책임이 정의          하
                 되어 있고 이에 따라 이행하고 있는가?
  운영      A-86   네트워크를 통해 시스템을 운영하는 경우 원칙적으로 시스템 관리는 내부의         중
  관리             특정 터미널에서만 할 수 있도록 제한하고 있는가?
          A-87   네트워크, 메신저 등으로부터의 허가되지 않았거나 불분명한 파일의 다운로드를 금지    중
                 하고, 부득이 다운로드받을 경우 바이러스 검사를 받는가?
          A-88   유지보수 도구를 사용하기 위한 사용 승인 및 통제, 감독이 이루어지는가?        하
          A-89   원격 유지보수 및 진단 활동에 대한 감시가 이루어지는가?                 하
          A-90   암호키에 대한 관리지침이 마련되어 있고 이에 따라 관리되고 있는가?           중
          A-91   암호키를 복구하기 위한 복구 절차가 수립되고 복구 내역이 확인되는가?          하
          A-92   침입차단 및 탐지 도구는 조직의 보안 정책과 규칙에 적합하게 설치되어 있는가?     하
          A-93   공중망 및 사설망 통신경로에 대한 신뢰성을 평가하고 있는가?               하
          A-94   스팸 메일 수신을 줄이기 위한 방안(스팸차단 솔루션)이 마련되어 있는가?        하
          A-95   홈페이지 게시 자료에 대해 게시 절차를 마련하고 시행하고 있는가?            중
          A-96   업무용 시스템 및 홈페이지 등 정보시스템의 소스코드를 관리하는가?            중
                                 33
제18076호                      관          보            2013. 8. 8.(목요일)
  분류        번호                         취약점 점검 항목                   등급
            A-97    모의 훈련 등을 통한 업무 연속성 관리가 지속적으로 검토되고 있으며 조직        중
   업무               내의 변경이 있을 경우 이에 대한 사항이 반영되고 있는가?
  연속성       A-98    보안중요성이 높은 등급의 시스템들은 이중화하여 관리하고 있는가?             중
   관리
            A-99    백업은 정기적으로 수행하고 물리적으로 분리된 지역에 보관하는가?             중
            A-100   부정접근 사례나 보안사고 내역을 지속적으로 모니터링 하고 있는가?            하
            A-101   보안사고 유형, 범위, 영향 등을 포함한 보안사고 분석이 기록되어 관리 되는가?    중
            A-102   보안 취약점 및 사고 발생시 이에 대한 보완작업 절차를 마련하고 있는가?        중
            A-103   사이버침해사고 발생 후 재발방지 대책을 수립하고 시행하였는가?              중
            A-104   침해사고 대응계획 즉 대응범위, 역할, 임무, 대응절차 등이 문서화되어 있는가?    하
  사고
  대응                사이버위기 ‘주의’이상 경보 발령 및 피해발생 등 필요시 대응할 수 있는 ‘긴급
            A-105
                    대응반’이 구성되어 있는가?                                 중
            A-106   침해사고시 외부기관 및 전문가들과의 대응협조체계가 구축되어 있는가?           중
            A-107   침해사고 대응절차 및 방법 숙지를 위해 정기적인 교육을 실시하는가?           중
            A-108   서비스 거부 공격에 대해 공격 정도에 따른 대응 방안이 수립되어 있는가?        하
            A-109   내부의 DDoS공격방지(그린DDoSZone)를 위한 대응방안이 있는가?         중
            A-110   정보시스템 관련 법, 규제, 계약상의 요구사항을 정의하고 문서화하고 있는가?      하
            A-111   특허권 및 저작권법, 컴퓨터프로그램보호법 등 관련 법규를 준수하고 있는가?(불법    하
                    복제 및 해적판 소프트웨어의 사용 금지 등)
  감사        A-112   보안사고 처리, 계약증빙 및 소송 등을 위한 적정한 증거자료 확보에 관한        하
                    지침이 존재하고, 이에 따라 이행되고 있는가?
            A-113   주기적으로 보안감사계획을 수립하고 시행하고 있는가?                    하
            A-114   감사결과를 관리책임자에게 보호하여 적정한 사후관리를 시행하고 있는가?          하

□ 물리적 분야
   분류        번호                      취약점 점검 항목                     등급
    접근       P-8
                    민감한 시설에 대해 물리적으로 접근하는 사람들의 출입기록 및 허가의 타당        중
    통제              성을 주기적으로 검토하는가?
             P-9    제한구역에서의 작업에 대한 추가적인 통제 수단 및 안내 지침이 존재하는가?       중
    감시       P-10   전산 장비실에 외부협력업체 출입 시 내부 임직원이 상시 동행하는가?           중
    통제       P-11   시각적으로 구분이 가능한 신분증을 가지고 있으며 패용하고 있는가?            하
             P-12
                    유리창 내 파손감지기, 진동감지기 등 침입감지와 관련된 장비를 설치하여 감       하
                    시하고 있는가?
             P-13
                    전원공급 이상이나 기타 전기관련 사고로부터 장비를 보호하기 위해 설비          하
                    상태에 대해 정기적으로 검토하는가?
   전력
   보호        P-14   전원선 및 통신선은 도청이나 손상으로부터 보호되고 있는가?                중
             P-15
                    누전이 발생하였을 때 이를 차단할 수 있도록 누전차단기 또는 누전경보          중
                    기가 설치되어 있는가?
                                    34