ISMS-P(2019.1) 2.6접근 통제 결함사례

네트워크 구성도와 인터뷰를 통해 확인한 결과, 외부 지점에서 사용하는 정보시스템 및 개인정보처리시스템과 IDC에 위치한 서버간의 연결 시 일반 인터넷 회선을 통해 데이터 송수신을 처리하고 있어 내부 규정에 명시된 VPN이나 전용망 등을 이용한 통신이 이루어지고 있지 않은 경우

내부망에 위치한 DB서버 등 일부 중요 서버의 IP주소가 내부 규정과 달리 공인 IP로 설정되어 있고, 네트워크 접근 차단이 적용되어 있지 않은 경우

서버팜이 구성되어 있으나 네트워크 접근제어 설정 미흡으로 내부망에서 서버팜으로의 접근이 과도하게 허용되어 있는 경우

외부자(외부 개발자, 방문자 등)에게 제공되는 네트워크를 별도의 통제 없이 내부 업무 네트워크와 분리하지 않은 경우

내부 규정과는 달리 MAC 주소 인증, 필수 보안 소프트웨어 설치 등의 보호대책을 적용하지 않은 상태로 네트워크 케이블 연결만으로 사내 네트워크에 접근 및 이용할 수 있는 경우

2.6.2정보시스템 접근

사무실에서 서버관리자가 IDC에 위치한 윈도우 서버에 접근 시 터미널 서비스를 이용하여 접근하고 있으나 터미널 서비스에 대한 Session Timeout 설정이 되어 있지 않아 장시간 아무런 작업을 하지 않아도 해당 세션이 차단되지 않는 경우

서버 간의 접속이 적절히 제한되지 않아 특정 사용자가 본인에게 인가된 서버에 접속한 후 해당 서버를 경유하여 다른 인가받지 않은 서버에도 접속할 수 있는 경우

타당한 사유 또는 보완 대책 없이 안전하지 않은 접속 프로토콜(telnet, ftp 등)을 사용하여 접근하고 있으며, 불필요한 서비스 및 포트를 오픈하고 있는 경우

2.6.3응용프로그램 접근

응용프로그램의 개인정보 처리화면 중 일부 화면의 권한 제어 기능에 오류가 존재하여 개인정보 열람 권한이 없는 사용자에게도 개인정보가 노출되고 있는 경우

응용프로그램의 관리자 페이지가 외부인터넷에 오픈되어 있으면서 안전한 인증수단이 적용되어 있지 않은 경우

응용프로그램에 대해 타당한 사유 없이 세션 타임아웃 또는 동일 사용자 계정의 동시 접속을 제한하고 있지 않은 경우

응용프로그램을 통해 개인정보를 다운로드 받는 경우 해당 파일 내에 주민등록번호 등 업무상 불필요한 정보가 과도하게 포함되어 있는 경우

응용프로그램의 개인정보 조회화면에서 like 검색을 과도하게 허용하고 있어, 모든 사용자가 본인의 업무 범위를 초과하여 전체 고객 정보를 조회할 수 있는 경우

2.6.4데이터베이스 접근

대량의 개인정보를 보관 ․ 처리하고 있는 데이터베이스를 인터넷을 통해 접근 가능한 웹 응용프로그램과 분리하지 않고 물리적으로 동일한 서버에서 운영하고 있는 경우

개발자 및 운영자들이 응응 프로그램에서 사용하고 있는 계정을 공유하여 운영 데이터베이스에 접속하고 있는 경우

내부 규정에는 데이터베이스의 접속권한을 오브젝트별로 제한하도록 되어 있으나, 데이터베이스 접근권한을 운영자에게 일괄 부여하고 있어 개인정보 테이블에 접근할 필요가 없는 운영자에게도 과도하게 접근 권한이 부여된 경우

DB접근제어 솔루션을 도입하여 운영하고 있으나, 데이터베이스 접속자에 대한 IP주소 등이 적절히 제한되어 있지 않아 DB접근제어 솔루션을 우회하여 데이터베이스에 접속하고 있는 경우

개인정보를 저장하고 있는 데이터베이스의 테이블 현황이 파악되지 않아, 임시로 생성된 테이블에 불필요한 개인정보가 파기되지 않고 대량으로 저장되어 있는 경우

2.6.5무선 네트워크 접근

외부인용 무선 네트워크와 내부 무선 네트워크 영역대가 동일하여 외부인도 무선네트워크를 통해 별도의 통제없이 내부 네트워크에 접근이 가능한 경우

무선 AP 설정 시 정보 송수신 암호화 기능을 설정하였으나 안전하지 않은 방식으로 설정한 경우

업무 목적으로 내부망에 연결된 무선AP에 대하여 SSID 브로드캐스팅 허용, 무선AP 관리자 비밀번호 노출(디폴트 비밀번호 사용), 접근제어 미적용 등 보안 설정이 미흡한 경우

2.6.6원격접근 통제

내부 규정에는 시스템에 대한 원격 접근은 원칙적으로 금지하고 불가피한 경우 IP 기반의 접근통제를 통해 승인된 사용자만 접근할 수 있도록 명시하고 있으나 시스템에 대한 원격데스크톱 연결, SSH 접속이 IP주소 등으로 제한되어 있지 않아 모든 PC에서 원격 접속이 가능한 경우

원격운영관리를 위해 VPN을 구축하여 운영하고 있으나 VPN에 대한 사용 승인 또는 접속기간 제한 없이 상시 허용하고 있는 경우

외부 근무자를 위해 개인 스마트 기기에 업무용 모바일 앱을 설치하여 운영 하고 있으나 악성코드, 분실 ․ 도난 등에 의한 개인정보 유출을 방지하기 위한 적절한 보호대책(백신, 초기화, 암호화 등)을 적용하고 있지 않은 경우

2.6.7인터넷 접속 통제

정보통신망법 등 관련 법규에 따라 망분리를 적용하였으나 개인정보처리시스템의 접근권한 설정 가능자 등 일부 의무대상자에 대해 망분리 적용이 누락된 경우

망분리 의무대상으로서 망분리를 적용하였으나 타 서버를 경유한 우회접속이 가능하여 망분리가 적용되지 않은 환경에서 개인정보처리시스템 접속 및 개인정보의 다운로드, 파기 등이 가능한 경우

DMZ 및 내부망에 위치한 일부 서버에서 불필요하게 인터넷으로의 직접 접속이 가능한 경우

인터넷 PC와 내부 업무용 PC를 망분리하고 망간 자료전송시스템을 구축 ․ 운영하고 있으나, 자료 전송에 대한 승인 절차가 부재하고 자료 전송 내역에 대한 주기적 검토가 이루어지고 있지 않은 경우

내부 규정에는 개인정보취급자가 P2P 및 웹하드 사이트 접속 시 책임자 승인을 거쳐 특정기간 동안만 허용하도록 되어 있으나, 승인절차를 거치지 않고 예외 접속이 허용된 사례가 다수 존재하는 경우

-----★-----☆-----★----- 링 크 모 음 -----★-----☆-----★-----

ISMS-P(2019.1) 2.1. 정책, 조직, 자산 관리 인증기준

ISMS-P(2019.1) 2.2. 인적 보안 인증기준

ISMS-P(2019.1) 2.3. 외부자 보안 인증기준

ISMS-P(2019.1) 2.4. 물리 보안 인증기준

ISMS-P(2019.1) 2.5. 인증 및 권한관리인증기준

ISMS-P(2019.1) 2.6. 접근통제 인증기준

ISMS-P(2019.1) 2.7. 암호화 적용 인증기준

ISMS-P(2019.1) 2.8. 정보시스템 도입 및 개발 보안 인증기준

ISMS-P(2019.1) 2.9. 시스템 및 서비스 운영관리 인증기준

ISMS-P(2019.1) 2.10. 시스템 및 서비스 보안관리 인증기준

ISMS-P(2019.1) 2.11. 사고 예방 및 대응 인증기준

ISMS-P(2019.1) 2.12. 재해복구 인증기준

-----★-----☆-----★-----☆------★-----☆-----★-----☆-----

#ISMS-P #ISO27001 #ISMS-P인증심사원 #PIMS #ISMS인증 #ISO27001인증 #ISMSP #ISMS인증심사 #ISMS심사 #ISMS컨설팅 #ISMSP인증심사원 #ISMSCIENCEENGINEERINGMTRLS

#포렌식 #해킹 #해커 #관제 #개인정보유출사례 #개인정보보호교육 #정보보안 #SPARROW #HACKER #디도스공격 #정보보호 #개인정보보호방법 #ISMS #ISMS-P #ISMS-P인증심사원

이 블로그 검색

길드장

태그목록

ISMS-P(2019.1) 2.6접근 통제 결함사례

이 블로그의 인기 게시물

키움 HTS 수식관리자 상한가 이후 3일 피보나치 수식

키움 영웅문 일정 기간 특정일 고가-저가 피보나치 수식

[주식이야기] 키움 조건 검색식 모음03(대신증권, 매수신호)