시스템개발사업 구조적 정보공학적 모델, 분석 단계, 데이터베이스 세부검토내용 "01. 데이터 접근권한 및 통제에 대한 분석을 수행하였는지 확인한다."의 세부검토방법
01. 사용자별/그룹별 분류가 명확히 이루어졌는지 확인한다. - 사용자별/그룹별 분류가 시스템 보안정책서에 정의된 주체들을 반영하고 있고, 모든 데이이터베이스 사용자를 포함하고 있는지 검토 및 확인한다. - 실제 데이터베이스 사용자 및 그룹의 분류가 사용자별/그룹별 분류체계에 따라 분류 되었고, 사용자 및 그룹의 분류가 명확한지 검토한다. - 사용자와 그룹의 생성, 삭제 절차에 대한 분석이 이루어졌고, 이에 대한 세부적인 방안이 수립되어 있는지 사용자 요구사항 정의서를 확인한다. 02. 데이터 접근에 대한 사용자의 계정관리 및 패스워드 관리방안에 대하여 분석이 되었는지 확인한다. - 사용자별/그룹별 분류체계에 정의되어 있는 모든 사용자의 계정이 데이터베이스 사용자 지침서에 정의되어 있는지 검토한다. - 데이터베이스 관리자 계정과 일반 업무 사용자계정이 명확히 분류되었는지 확인하다. - 데이터베이스 사용자 지침서를 통하여 패스워드 구성체계가 시스템 보안정책 또는 패스워드 관리정책에 따라 부여되도록 되었는지 검토한다. 03. 데이터의 영역별로 책임이 명확히 구분되어 있고, 권한 및 통제에 대한 분석이 이루어졌는지 확인한다. - 사용자별/그룹별 분류체계 또는 데이터베이스 사용자지침서에서 데이터 영역별로 사용자(개발자, 업무담당자) 계정이 분류되어 있는지 확인한다. - 사용자별/그룹별 분류체계 또는 데이터베이스 사용자 지침서에 데이터 영역별 책임자의 계정과 일반사용자 계정이 분류되었고, 각각의 책임과 데이터 접근권한이 분석되었는지 확인한다. - 데이터의 영역별로 데이터에 대한 접근권한 부여 및 통제 체계가 구축되어 있는지 데이터베이스 사용자지침서 또는 사용자 요구사항 정의서를 통해 확인한다. 04. 데이터베이스 관리자(DBA)의 권한 및 역할에 대한 적절한 분석이 이루어졌는지 확인한다. - 데이터베이스관리자(DBA)의 책임과 의무가 명시되었고, 담당자가 지정되었는지 데이터베이스 사용자 지침서 및 사용자 요구사항 정의서를 통하여 확인한다. - 데이터베이스 전체에 대해 데이터베이스관리자(DBA)만이 슈퍼권한을 부여받고, 각각의 데이터 영역별로 서로 다른 책임자 계정이 분류 되었는지 확인한다. - 전체 데이터베이스에 대한 접근권한 및 통제 역할을 수행하는 데이터베이스관리자(DBA)에 대한 관리방안이 마련되어 있는지 데이터베이스 사용자 지침서를 확인한다. 05. 데이터의 처리 및 사용자 접근․통제의 보안기록 관리(Log관리)에 분석이 이루어졌는지 확인한다. - 데이터의 read/write/insert/update/delete기능이 적절히 수행되어지고, 기록에 남겨 관리하는 방안이 마련되었는지 확인한다. - 데이터 값이나 데이터베이스를 변형할 수 있는 다른 기능들(function, built-in procedure)이 있는지 데이터베이스 사용자지침서 및 기능 정의서를 확인하고, 사용자의 이용을 통제하는 방안이 마련되었는지 확인한다. - 데이터베이스 접근 기록(Database Access Log)에 대한 수시 또는 정기적인 백업방안이 마련되어 있는지 데이터베이스 사용자지침서를 확인한다. - 데이터의 중요도에 따라 로깅(Logging) 대상자료가 데이터베이스 사용자 지침서 또는 시스템 보안정책서에 명시되어 확인한다. - 데이터베이스 로깅자료의 접근권한 및 통제에 대한 방안이 데이터베이스 사용자 지침서에 적절히 수립되어 있는지 확인한다.