ISMS-P 인증 기준, 로그 및 접속기록 관리

 

ISMS-P 인증 

2.9. 시스템 및 서비스 운영관리

2.9.1.변경관리
2.9.2.성능 및 장애관리
2.9.3.백업 및 복구관리
2.9.4.로그 및 접속기록 관리
2.9.5.로그 및 접속기록 점검
2.9.6.시간 동기화
2.9.7.정보자산의 재사용 및 폐기

 

ISMS-P 간편인증(7의2)

2.8. 시스템 및 서비스 운영관리

2.8.1. 변경관리

2.8.2. 백업 및 복구관리

2.8.3. 로그 및 접속기록 관리

 

ISMS-P 간편인증(7의3) 

2.9. 시스템 및 서비스 운영관리

2.9.1. 변경관리

2.9.2. 백업 및 복구관리

2.9.3. 로그 및 접속기록 관리

(7의2) 대상: 소기업, 정보통신서비스 부문 매출액 300억 미만의 중기업
(7의3) 대상: 주요 정보통신설비를 보유하지 않은 정보통신서비스 부문 매출액 300억 이상의 중기업

 

 

개요

인증기준

서버, 응용프로그램, 보안시스템, 네트워크시스템 등 정보시스템에 대한 사용자 접속기록, 시스템로그, 권한부여 내역 등의 로그유형, 보존기간, 보존방법 등을 정하고 위·변조, 도난, 분실 되지 않도록 안전하게 보존·관리하여야 한다.

 

주요확인사항

1. ISMS-P 인증, 간편인증(7의3)
* 서버, 응용프로그램, 보안시스템, 네트워크시스템 등 정보시스템에 대한 로그관리 절차를 수립하고 이에 따라 필요한 로그를 생성하여 보관하고 있는가?
* 정보시스템의 로그기록은 별도 저장장치를 통해 백업하고 로그기록에 대한 접근권한은 최소화하여 부여하고 있는가?
* 개인정보처리시스템에 대한 접속기록은 법적 요구사항을 준수할 수 있도록 필요한 항목을 모두 포함하여 일정기간 안전하게 보관하고 있는가?

2. ISMS 간편인증(7의2)
* 서버, 응용프로그램, 보안시스템, 네트워크시스템 등 정보시스템에 대한 로그관리 절차를 수립하고 이에 따라 필요한 로그를 생성하여 보관하고 있는가?
* 정보시스템의 로그기록은 위∙변조 및 도난, 분실되지 않도록 안전하게 보관하고 로그기록에 대한 접근권한은 최소화하여 부여하고 있는가?
* 개인정보처리시스템에 대한 접속기록은 법적 요구사항을 준수할 수 있도록 필요한 항목을 모두 포함하여 일정기간 안전하게 보관하고 있는가?
* 정보시스템 관련 오류, 오∙남용(비인가접속, 과다조회 등), 부정행위 등 이상징후를 인지할 수 있도록 로그 검토 주기, 대상, 방법 등을 포함한 로그 검토 및 모니터링 절차를 수립∙이행하고 있는가?
* 로그 검토 및 모니터링 결과를 책임자에게 보고하고 이상징후 발견 시 절차에 따라 대응하고 있는가?개인정보처리시스템의 접속기록은 관련 법령에서 정한 주기에 따라 정기적으로 점검하고 있는가?

 

관련법규

* 개인정보 보호법 제29조(안전조치의무)
* 개인정보의 안전성 확보조치 기준 제8조(접속기록의 보관 및 점검)

세부 설명

1. 로그 관리 절차 수립 및 로그 생성·보관
서버, 응용프로그램, 보안시스템, 네트워크시스템 등 정보시스템에 대한 로그관리 절차를 수립하고, 이에 따라 필요한 로그를 생성하여 보관하여야 한다.
* 보존이 필요한 로그유형 및 대상시스템 식별

※ 주요 로그유형(예시)

* 시스템 이벤트 로그: 운영체제 구성요소에 의하여 발생하는 로그(시스템 시작, 종료, 상태, 에러 코드 등)
* 네트워크 이벤트 로그: IP주소 할당, 주요 구간 트래픽 로그
* 보안시스템 로그: 관리자 접속, 보안정책(룰셋) 등록·변경·삭제 등
* 보안관련 감사 로그: 사용자 접속기록, 인증 성공/실패 로그, 파일 접근, 계정 및 권한 등록* 변경·삭제 등(서버, 응용프로그램, 보안시스템, 네트워크시스템, 데이터베이스 등)
* 개인정보처리시스템 접속기록: 개인정보취급자가 개인정보처리시스템에 접속한 사실을 알 수 있는 접속자 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등
* 기타 정보보호 관련 로그

 

* 각 시스템 및 장비별 로그 형태, 보존기간, 로그 보존(백업) 방법 등 정의
* 로그관리 절차 수립 및 이에 따른 로그 생성·보관

 

2. 로그기록은 안전하게 보관 및 접근권한 최소화
정보시스템의 로그기록은 위,변조 및 도난, 분실되지 않도록 안전하게 보관, 로그기록에 대한 접근권한은 최소화하여 부여하여야 한다.
* 로그기록은 스토리지 등 별도 저장장치를 사용하여 백업하고 로그기록에 대한 접근권한 부여는 최소화하여 비인가자에 의한 로그기록 위·변조 및 삭제 등이 발생하지 않도록 하여야 함.

 

3. 개인정보처리시스템 로그 보관 규정 준수
개인정보처리시스템에 대한 접속기록은 법적 요구사항을 준수할 수 있도록 필요한 항목을 모두 포함하여 일정기간 안전하게 보관하여야 한다.
* 개인정보처리시스템 접속기록에 반드시 포함되어야 할 항목

항목	설명
식별자	개인정보취급자 ID 등 접속한 자의 식별정보
접속일시	접속한 시간 또는 업무를 수행한 시간(연월일 및 시분초)
접속자 정보	접속자 IP주소 등
처리한 정보주체 정보	정보주체의ID, 고객번호, 학번, 사번 등
수행업무	개인정보 조회, 변경, 입력, 삭제, 출력 다운로드 등

 

* 개인정보처리시스템 접속기록 보존기간

구분		보존기간
개인정보취급자의 접속기록	5만명 이상의 정보주체에 관한 개인정보를 처리하는 개인정보처리시스템에 해당하는 경우	최소 2년 이상
	고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템에 해당하는 경우
	개인정보처리자로서 전기통신사업법 제16조제1항에 따라 등록을 하거나 같은 항 단서에 따라 신고한 기간통신사업자에 해당하는 경우
	위의 3가지 조건에 해당하지 않을 경우	최소 1년 이상

 

* 개인정보 접속기록이 위·변조, 도난, 분실되지 않도록 안전하게 보관 필요

※ 접속기록의 안전한 보관방법(예시)

* 상시적으로 접속기록 백업을 수행하여 개인정보처리시스템 이외의 별도의 보조저장매체나 별도의 저장장치, 오브젝트 스토리지 등에 보관
* 접속기록에 대한 위, 변조를 방지하기 위해 CD-ROM, DVD-R, WORM(Write Once Read Many)등 덮어쓰기 방지 매체 사용
* 접속기록을 수정 가능한 매체(하드디스크, 자기 테이프 등)에 백업시 무결성 보장을 위해 위, 변조 여부를 확인 할 수 있는 정보(MAC값, 전자서명값 등)를 별도 장비에 보관, 관리 등

증거자료

* 로그관리 절차
* 로그기록 내역
* 로그 저장장치에 대한 접근통제 내역
* 개인정보 접속기록 내역

결함사례

* 로그 기록 대상, 방법, 보존기간, 검토 주기, 담당자 등에 대한 세부 기준 및 절차가 수립되어 있지 않은 경우
* 보안 이벤트 로그, 응용 프로그램 및 서비스 로그(윈도우 2008 서버 이상) 등 중요 로그에 대한 최대 크기를 충분하게 설정하지 않아 내부 기준에 정한 기간 동안 기록·보관되고 있지 않은 경우
* 중요 Linux/UNIX 계열 서버에 대한 로그 기록을 별도로 백업하거나 적절히 보호하지 않아 사용자의 명령 실행 기록 및 접속 이력 등을 임의로 삭제할 수 있는 경우
* 개인정보처리시스템에 접속한 기록을 확인한 결과 접속자의 계정, 접속 일시, 접속자 IP주소 정보는 남기고 있으나, 처리한 정보주체 정보 및 수행업무(조회, 변경, 삭제, 다운로드 등)와 관련된 정보를 남기고 있지 않은 경우
* 로그 서버의 용량의 충분하지 않아서 개인정보처리시스템 접속기록이 3개월밖에 남아 있지 않은 경우
* 개인정보처리자가 정보주체 10만 명의 개인정보를 처리하는 개인정보처리시스템의 개인정보취급자 접속기록을 1년간만 보관하고 있는 경우

참고 문헌

* 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2023.11.23)

ISMS-P 인증기준 안내서(2023.11.23).pdf

8.11MB