ISMS-P 인증 준비, 사용자 인증

ISMS-P 인증 

2.5 인증 및 권한관리

2.5.1 사용자 계정 관리

2.5.2 사용자 식별

2.5.3 사용자 인증

2.5.4 비밀번호 관리

2.5.5 특수 계정 및 권한 관리

2.5.6 접근권한 검토

2.4.7 업무환경 보안

 

ISMS-P 간편인증(7의2)

2.4 인증 및 권한관리

2.4.1 사용자 계정 관리

2.4.2 사용자 식별

2.4.3 사용자 인증

2.4.4 비밀번호 관리

 

ISMS-P 간편인증(7의3) 

2.5 인증 및 권한관리

2.5.1 사용자 계정 관리

2.5.2 사용자 식별

2.5.3 사용자 인증

2.5.4 비밀번호 관리

(7의2) 대상: 소기업, 정보통신서비스 부문 매출액 300억 미만의 중기업
(7의3) 대상: 주요 정보통신설비를 보유하지 않은 정보통신서비스 부문 매출액 300억 이상의 중기업

 

 

개요

인증기준

정보시스템과 개인정보 및 중요정보에 대한 사용자의 접근은 안전한 인증절차와 필요에 따라 강화된 인증방식을 적용하여야 한다. 또한 로그인 횟수 제한, 불법 로그인 시도 경고 등 비인가자 접근 통제방안을 수립ㆍ이행하여야 한다.

 

주요확인사항

* 정보시스템 및 개인정보처리시스템에 대한 접근은 사용자 인증, 로그인 횟수 제한, 불법 로그인 시도 경고 등 안전한 사용자 인증 절차에 의해 통제하고 있는가?
* 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우에는 법적 요구사항에 따라 안전한 인증수단 또는 안전한 접속수단을 적용하고 있는가?

 

관련법규

* 개인정보 보호법 제29조(안전조치의무)
* 개인정보의 안전성 확보조치 기준 제5조(접근 권한의 관리), 제6조(접근통제)
* 개인정보의 기술적·관리적 보호조치 기준 제4조(접근통제)

 

세부 설명

1. 안전한 사용자 인증 절차 마련
정보시스템 및 개인정보처리시스템에 대한 접근 시 사용자 인증, 로그인 횟수 제한, 불법 로그인 시도경고 등 안전한 사용자 인증 절차에 따라 통제하여야 한다.

* 사용자 인증 수단 예시

구분	인증수단	비고
지식기반	비밀번호	안전한 비밀번호 작성규칙 및 주기적 변경 필요 비밀번호 도용, 무작위 대입 공격 등에 대한 대응 필요 시스템 설치 시 제품 등에서 제공하는 디폴트 계정 및 비밀 번호 사용정지 또는 변경 필요
소유기반	인증서(PKI)	개인키의 안전한 보관 필요(안전한 보안매체에 보관 권고)
	OTP	OTP토큰, 모바일OTP 등 다양한 방식 존재
	기타	스마트 카드 방식 물리적 보안토큰 방식 등
생체기반	지문, 홍채, 얼굴 등	생체 정보의 안전한 관리 필요
기타방식	IP주소	특정 IP주소에서만 해당 ID로 접속할 수 있도록 제한하는 방식
	MAC주소	단말기의 MAC주소를 기반으로 등록된 단말기에서만 접속할 수 있도록 제한하는 방식
	기기 일련번호	특정 PC 또는 특정 디바이스(스마트폰 등)에서만 접속할 수 있도록 제한하는 방식
	기타	위치 정보, 디바이스 이용 패턴 등

 

* 계정 도용 및 불법적인 인증시도 통제방안 예시

구분설명

구분	설명
로그인 실패횟수 제한	계정정보 또는 비밀번호를 일정횟수 이상 잘못 입력한 경우 접근 제한
접속 유지시간 제한	접속 후 일정시간 이상 업무처리를 하지 않은 경우 자동으로 시스템 접속 차단(세션 타임아웃 등)
동시 접속 제한	동일 계정으로 동시 접속 시 접속차단 조치 또는 알림 기능 등
불법 로그인 시도 경고	* 국외 IP주소 등 등록되지 않은 IP주소에서의 접속 시 차단 및 통지 * 주말, 야간 접속 시 문자 알림 * 관리자 등 특수권한 로그인 시 알림 등

 

2.2 SSO 활용 시 보호대책 마련

업무의 편리성을 제공하기 위하여 싱글사인온(Single Sign-On)을 사용하는 경우에는 계정 도용 시 피해 확대 가능성이 있으므로 위험평가에 기반하여 강화된 인증 적용, 중요 시스템 접속 시 재인증 요구 등 추가 보호대책 마련

 

2.3 외부 접속 시 안전한 인증·접속수단 마련

인터넷 등 정보통신망을 통하여 외부에서 개인정보처리시스템에 접속하려는 경우에는 법적 요구사항에 따라 안전한 인증수단 또는 안전한 접속수단을 적용하여야 한다.

* 안전한 인증수단: 인증서(PKI), 보안토큰, 일회용 비밀번호(OTP) 등
* 안전한 접속수단: 가상사설망(VPN), 전용망 등

증거자료

* 정보시스템 및 개인정보처리시스템 로그인 화면
* 로그인 횟수 제한 설정 화면
* 로그인 실패 메시지 화면
* 외부 접속 시 절차(외부접속 신청서, 외부접속자 현황 등)

결함사례

* 개인정보취급자가 공개된 외부 인터넷망을 통하여 개인정보처리시스템에 접근 시 안전한 인증수단을 적용하지 않고 ID·비밀번호 방식으로만 인증하고 있는 경우
* 정보시스템 및 개인정보처리시스템 로그인 실패 시 해당 ID가 존재하지 않거나 비밀번호가 틀림을 자세히 표시해 주고 있으며, 로그인 실패횟수에 대한 제한이 없는 경우

참고 문헌

* 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2023.11.23)

ISMS-P 인증기준 안내서(2023.11.23).pdf

8.11MB