ISMS-P 인증 기준, 소스 프로그램 관리

 

ISMS-P 인증 

2.8 정보시스템 도입 및 개발 보안

2.8.1 보안 요구사항 정의

2.8.2 보안 요구사항 검토 및 시험

2.8.3 시험과 운영 환경 분리

2.8.4 시험 데이터 보안

2.8.5 소스 프로그램 관리

2.8.6 운영환경 이관

 

ISMS-P 간편인증(7의2)

2.7 정보시스템 도입 및 개발 보안

2.7.1 보안 요구사항 정의

2.7.2 시험과 운영 환경 분리

2.7.3 시험 데이터 보안

2.7.4 소스 프로그램 관리

 

ISMS-P 간편인증(7의3) 

2.8 정보시스템 도입 및 개발 보안

2.8.1 보안 요구사항 정의

2.8.2 시험 데이터 보안

2.8.3 소스 프로그램 관리

 

(7의2) 대상: 소기업, 정보통신서비스 부문 매출액 300억 미만의 중기업
(7의3) 대상: 주요 정보통신설비를 보유하지 않은 정보통신서비스 부문 매출액 300억 이상의 중기업

 

개요

인증기준

소스 프로그램은 인가된 사용자만이 접근할 수 있도록 관리하고, 운영환경에 보관하지 않는 것을 원칙으로 하여야 한다. 

 

주요확인사항

* 비인가된 자에 의한 소스 프로그램 접근을 통제하기 위한 절차를 수립‧이행하고 있는가?
* 취급업소에서 클라우드 또는 외부 형상관리 솔루션을 통해 소스코드 버전관리를 하는 경우, 중요 소스프로그램에 대해 외부에서 접속/다운로드 가능 한 위험이 존재 상용 KMS 솔루션, HSM 등의 키관리 장비 외에도, 키관리용 소프트웨어를 자체 개발하여 사용하는 경우가 있으므로, 이때 사용되는 소스 프로그램에 대한 안전한 관리가 필요함 소스 프로그램은 장애 등 비상시를 대비하여 운영환경이 아닌 곳에 안전하게 보관하고 있는가?
* 소스 프로그램에 대한 변경이력을 관리하고 있는가? 

세부 설명

1.  소스코드 접근 통제
비인가자에 의한 소스 프로그램 접근을 통제하기 위한 절차를 수립·이행하여야 한다.

* 소스 프로그램의 접근 및 사용에 대한 절차 수립
* 인가된 개발자 및 담당자만이 접근할 수 있도록 접근권한을 부여하고 비인가자의 접근 차단
* 소스 프로그램이 보관된 서버(형상관리서버 등)에 대한 접근통제 조치

 

2. 운영환경이 아닌 곳에 소스코드 보관
소스 프로그램은 장애 등 비상시를 대비하여 운영환경이 아닌 곳에 안전하게 보관하여야 한다.

* 최신 소스 프로그램 및 이전 소스 프로그램에 대한 백업 보관
* 운영환경이 아닌 별도의 환경에 저장·관리
* 소스 프로그램 백업본에 대한 비인가자의 접근 통제

 

3. 소스 프로그램 변경 이력 관리
소스 프로그램에 대한 변경이력을 관리하여야 한다.

* 소스 프로그램 변경 절차 수립: 승인 및 작업 절차, 버전관리 방안 등
* 소스 프로그램 변경 이력관리: 변경·구현·이관 일자, 변경 요청사유, 담당자 등
* 소스 프로그램 변경에 따른 시스템 관련 문서(설계서 등)에 대한 변경통제 수행
* 소스 프로그램 변경 이력 및 변경통제 수행내역에 대한 정기적인 검토 수행

 

증거자료

* SVN 등 형상관리시스템 운영 현황(접근권한자 목록 등)
* 소스 프로그램 변경 이력

 

결함사례

* 별도의 소스 프로그램 백업 및 형상관리 시스템이 구축되어 있지 않으며, 이전 버전의 소스 코드를 운영 서버 또는 개발자 PC에 승인 및 이력관리 없이 보관하고 있는 경우
* 형상관리시스템을 구축하여 운영하고 있으나 형상관리시스템 또는 형상관리시스템에 저장된 소스코드에 대한 접근제한, 접근 및 변경이력이 적절히 관리되지 않고 있는 경우
* 내부 규정에는 형상관리시스템을 통하여 소스 프로그램 버전관리를 하도록 되어 있으나, 최신 버전의 소스 프로그램은 개발자 PC에만 보관되어 있고 이에 대한 별도의 백업이 수행되고 있지 않은 경우

참고 문헌

* 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2023.11.23)

ISMS-P 인증기준 안내서(2023.11.23).pdf

8.11MB