시스템개발사업 구조적 정보공학적 모델, 설계 단계, 시스템아키텍처 세부검토내용 "03. 현행시스템의 관리적, 기술적, 물리적 보안 취약점에 대한 분석과 목표 시스템의 보안 요구 수준 설정을 기반으로 적절한 보안대책이 설계되었는지 확인한다."의 세부검토방법
01. 보안설계서에 기술한 보안 대책과 설정된 보안 수준이 사용자 요구사항 및 업무의 특성과 사용자의 접근성, 편의성 등을 고려하여 적절하게 수립되었는지 검토한다. - 보안설계서의 보안 대책이 사용자 보안 요구와 업무적 특성이 충분히 고려되어 타당하게 선정되었는지 검토한다. - 시스템에 적용되는 보안 정책과 요구사항정의서 및 조직의 보안 정책 등을 상호 비교 검토하여 보안 정책의 일관성을 확인한다. - 선정된 보안 대책 또는 보안 수준과 사용자의 접근성과 편의성 간의 절충(Trade Off)이 적절히 이루어졌는지 검토한다. - 보안 설계서에 현행 시스템의 보안 구성이 갖는 보안 취약점과 위험에 대한 분석 결과를 토대로 관리적, 기술적, 물리적 측면의 보안 대책이 수립되어 명세가 작성되었는지 확인한다. 02. 관리적 보안 대책이 보안 설계서에 적절히 반영되었는지 확인한다. - 보안설계서에 보안정책 및 조직, 인원 보안, 보안 운영관리, 업무 연속성 등 관리적 보안 대책이 반영되어 있는지 검토한다. - 정보보호 정책 및 지침이 제안요청서, 제안서, 요구사항정의서 등의 내용을 반영하고 있으며 일관성을 확보하였는지 검토한다. - 정보보호 조직 및 책임자, 담당자 등이 지정되어 역할과 책임이 명확히 정의되어 있는지 검토한다. - 내외부 인원의 불법적 시스템 접근에 대한 보안대책과 보안 인식을 제고하기 위한 보안교육 계획, 보안 역할과 책임 등이 보안설계서에 명확히 정의되어 있는지 검토한다. - 정보화 관련 자산에 대한 목록과 보안등급 분류 기준이 보안설계서에 적절하게 정의되어 있는지 확인한다. - 운영 및 변경관리 및 사고관리 절차, 직무 분리 등 시스템 운영관리를 위한 절차가 적절히 정의되었는지 검토한다. - 시스템의 용량계획, 백업 및 로깅, 정보교환을 위한 보안 정책이 적절하게 보안설계서에 반영되었는지 검토한다. - 업무연속성 확보를 위한 비상계획과 재난 복구 계획 등 정책 및 방안이 문서화되었는지 검토한다. - 보안 설계서의 보안 대책이 제안요청서, 제안서, 요구사항정의서 및 조직의 보안 정책 및 지침과 일관성을 유지하고 있는지 검토하고, 정기적인 준거성 점검을 위한 계획이 수립되었는지 확인한다. 03. 기술적 보안 대책이 보안 설계서에 적절히 반영되었는지 확인한다. - 보안설계서에 응용보안, 데이터보안, 네트워크 보안, 시스템 및 클라이언트 보안 등 기술적 보안 대책이 반영되어 있는지 검토한다. - 응용시스템에 대한 보안요구에 따라 입출력 데이터 유효성 점검, 메시지 무결성 확보를 위한 인증기능, 응용시스템 계정 및 권한 설정과 패스워드 관리, 민감한 정보를 보호하기 위한 암호화 통제 정책(암호화, 전자서명, 부인 방지기능, 암호화 키 보호, 절차, 방법 등)이 보안설계서에 적절히 반영되었는지 검토한다. - 데이터 보호를 위하여 데이터베이스 인증 및 접근 통제, 데이터베이스 로그 관리 및 보호 대상 중요 데이터에 대한 식별과 암호화 등 데이터 보호를 위한 보안 대책이 적절히 수립되었는지 보안설계서를 검토한다. - 네트워크에 대한 사용정책의 수립과 사용자 인증, 포트 접근 통제, 네트워크 분리(subnet 구성), 외부 사용자 네트워크 접속 통제 등 접근통제와 보안사고 대응방안이 적절히 반영되었는지 보안설계서를 검토한다. - 서버에 대한 접근통제, 계정/패스워드 및 권한관리, 모니터링과 보안 감사 활동 등에 대한 정책이 적절히 반영되었는지 보안설계서를 검토한다. - 클라이언트 접근을 위한 인증 및 접근 통제 대책, 악성 프로그램 대책 및 이동 컴퓨팅과 원격지(외부) 근무에 대한 보안 대책 등이 보안설계서에 적절히 반영되었는지 검토한다. 04. 물리적 환경적 보안 대책이 보안 설계서에 적절히 반영되었는지 확인한다. - 전산실(보호 구역 또는 제한 구역)에 대한 출입통제 및 물품의 반입반출에 대한 통제 대책(출입 통제 장치 및 절차, 책임자 및 담당자 배정, 기록 등)이 보안설계서 적절히 수립되었는지 검토한다. - 전산 장비를 보호하기 위한 비상전원장치(UPS), 먼지/진동/습기/온도 등의 최적화 및 화재 진화를 위한 집진 설비, 내진설비, 항온항습 장비, 방화 장치 등이 보안설계서에 적절히 반영되었는지 확인한다. - 보안 설계서에 장비 보안, 출입통제 등 물리적 보안 대책과 항온항습 및 먼지 제거 등 환경적 보안 대책이 적절한지를 검토한다.