정보시스템 감리지침, 시스템개발사업, 객체지향 컴포넌트기반 모델, 요구분석 단계, 시스템아키텍처 세부검토내용 "02. 시스템의 전반적인 보안요건 분석을 통하여 적절한 대응책이 마련되었는지 확인한다."의 세부검토방법
01. 구축될 시스템의 유/무형 자산에 대한 자산분석이 수행되었는지 확인한다. - 네트워크, 서버, 어플리케이션, 데이터베이스 등 구축될 시스템을 구성하는 자산에 대한 세부 목록이 보안 취약점 분석평가 보고서에 작성되었는지 검토한다. - 시스템 보안정책서에 자산의 중요도 평가 기준이 수립되어 있는지 검토한다. - 중요도에 대한 평가기준이 없을 시 정성적 평가기준이나 정량적 평가기준을 제시하고 시스템에 적합한 방법을 권고한다. - 정성적/정량적 방법을 통하여 수립된 중요도 평가기준에 의거하여 보안 취약점 분석평가 보고서에 조사된 자산들이 적절한 등급으로 분류되었는지 검토한다. - 조사된 정보자산에 대하여 보호대상 식별과 범위를 명확히 계획하였는지 확인한다. - 분석된 결과가 시스템 보안정책서에 반영되었는지 검토한다. 02. 구축될 시스템에 영향을 미치는 위협이 분석되었는지 확인한다. - 네트워크, 서버, 응용시스템, 데이터베이스 등 목표 시스템의 구성요소별로 직관적으로 예상되는 위협들이 보안 취약점 분석평가 보고서에 정의되었는지 검토한다. - 보호대상 정보자산의 관리/물리/기술적 보안 측면의 취약점에 대하여 대표적인 위협들이 시스템 구성요소별로 빠짐없이 정의되었는지 검토한다. - 보안 취약점 분석평가 보고서에 발생 빈도의 등급에 대한 기준이 정의되어 있는지 검토한다. - 보안 취약점 분석평가 보고서에 대상 위협의 예상 발생 빈도가 정의되었는지 검토한다. - 보안 취약점 분석평가 보고서에 위협발생시 예상되는 충격을 기준으로 위협순위의 분류 기준이 정의되어 있는지 검토한다. - 분석된 위협들에 대하여 위협 순위의 분류기준에 의거하여 적절하게 위협 순위가 보안 취약점 분석평가 보고서에 정의되었는지와 해당 시스템에 미치는 영향도를 고려하여 위협순위가 적정한지 검토한다. 03. 구축될 시스템에 내재된 보안 취약성이 분석되었는지 확인한다. - 네트워크, 서버, 응용시스템, 데이터베이스 등 목표 시스템의 구성 요소별로 직관적으로 예상되는 취약성이 분석되어 보안 취약점 분석평가 보고서에 정의되었는지 검토한다. - 대표적인 취약성이 시스템 구성 요소별로 빠짐없이 정의되어 보안 취약점 분석평가 보고서에 기술되었는지 검토한다. - 보안 취약점 분석평가 보고서에 시스템에 미치는 영향 및 보안정책을 고려하여 취약성에 대한 분류기준이 정의되었는지 검토한다. - 취약점 분류기준에 따라 해당 취약점들이 분류되었는지 검토한다. - 취약성의 분류기준은 시스템에 미치는 영향 및 보안정책을 고려하여 규정되어야 하며, 시스템의 성격에 따라 세분화되어 기술될 수 있음을 주지하고 취약성 등급의 적정성을 검토한다. 04. 분석된 위협 및 취약성을 최소화할 수 있는 적절한 보안대책이 수립되었는지 확인한다. - 사용자 보안 요구사항 정의서를 검토하여 각 요구사항에 대한 대응책이 구체적으로 기술되었는지 검토한다. - 사용자 요구사항의 내용과 위협 및 취약성 분석 결과를 비교 검토하여 공통적인 사항에 대한 검토가 이루어졌는지 확인한다. - 보호대상 정보자산의 보안취약점과 위협에 대한 심각성을 고려하여 적절한 보안 대책이 대안으로 제시되었으며, 프로젝트 투입자원과 비용효과 측면을 고려하여 적절한 우선순위가 설정되었는지 검토한다. - 보안취약점과 위협에 대하여 최종 선정된 보안대책이 사용자의 보안목표(보안 요구수준)를 만족하는지와 프로젝트 투입 자원범위 내에서 달성 가능한 적절한 결정인지를 확인한다. - 보안대책 결정에 대한 프로젝트 조직 내부의 적정성 검토활동과 승인(사인)이 이루어졌는지 확인한다. - 보안 취약성 분석평가 보고서에 자산, 위협, 취약성, 대응책의 상호관계가 정의되어 제반 보안 분석활동의 관계가 명확히 규정되었는지 검토한다. - 보안 취약성 분석평가 보고서의 자산, 위협, 취약성, 대응책의 상호관계를 참조하여 네트워크, 서버, PC 및 단말기 보안을 위한 대응책의 설계 방안이 계획되어 시스템 보안정책서에 반영되었는지 검토한다. - 네트워크, 서버, PC 및 단말기 보안 대응책은 사용자의 인증 및 식별, 네트워크 구조 구성 방안, 관리방안 등 설계단계서 상세설계가 이루어질 항목으로 분류되었는지 검토한다. 05. 보안시스템 도입 타당성과 시스템에 미치는 영향에 대한 분석이 이루어졌는지 확인한다. - 아키텍처 설계서 등에 보안시스템에 대한 자세한 규격 및 기능들이 분석되어 이에 따른 용도가 규정되었는지 검토한다. - 위협 및 취약점을 제거 또는 완화하도록 보안시스템의 기능에 따라 적절히 매핑되었는지 검토한다. - 보안시스템의 운영으로 트래픽, 대역폭, 전송속도 등과 같은 시스템 성능에 미치는 영향에 대한 분석이 이루어졌는지 확인한다. - 보안시스템으로 인한 성능저하의 대책으로 강구한 성능향상 방안이 요구 성능을 만족하는 적절한 방안인지 검토가 이루어지고 결정되었는지 확인한다. - 필요시 보안시스템에 대한 인증여부를 확인한다.