제4조(접근통제 정책)

① 서버관리자는 운영 · 관리 중인 서버에는 업무 중요도 및 IaaS공급사에 따라 접근통제가 이루어지도록 한다.

② 서버관리자는 접근통제시스템을 우회하여 접근하지 않도록 하여야 한다.

③ 서버관리자는 서버가 정상적으로 동작하지 않는 경우 정상 동작 시까지 사용자의 접근을 제한할 수 있다.

④ 5회에 걸쳐 사용자 인증 실패 시 서버접속을 중지시키고 비인가자의 침입 여부를 점검하여야 한다.

⑤ 클라우드 관리시스템으로 접근하는 단말을 지정하고 무선을 통한 접근은 원천적으로 차단되어야 한다.

⑥ 시스템관리용 PC는 외부 인터넷을 원천 차단하며, PC 보안설정 및 취약점 진단을 수행 및 조치해야 한다.

- 중복 세션 차단

- 미사용시 화면보호기(10분이내)

- DHCP 불가(고정IP)

- 주기적인 패스워드 변경(90일)

- 정기적 또는 긴급 보안 패치 수행

- 불법 S/W 사용 불가

- 백신등 보안 시스템 주기적 업데이트

제5조(원격접속 관리)

① 서버관리자는 원칙적으로 원격접속을 허용하지 않으며 다만 부득이한 경우 다음 각 호의 사항을 확인하고 정보보호 담당자의 승인을 득한 경우는 허용할 수 있다.

1. 별지 제2호 ‘원격접속 보안 서약서’

2. 원격접속 시간의 최소화

3. 원격접속에 대한 인증기능 사용

② 원격접속 관리를 위하여 통제할 사항은 다음 각 호와 같다.

1. 원격접속이 필요한 경우 접근통제 기능을 적용하여 제한된 서비스만을 사용하도록 통제하여야 한다.

2. 원격접속 시는 사용자 인증, 패스워드 사용기준(자릿수, 변경주기, 사용기간 등) 및 사용기록 로깅 등의 보안기능을 적용하여야 한다.

3. 원격접속에 대한 무결성 및 비밀성 확보를 위해 암호화된 프로그램 또는 가상사설망(VPN)을 적용하여야 한다.

4. 인가하지 않은 사용자의 접근이 시도 되고 있는지 주기적으로 점검(원격 접속 주소, 시간 등) 하여야 한다

③ 원격접속시 각IaaS공급사별로 각각 접속해야 하며 동시에 두개 이상의 IaaS공급사에 접속하지 않도록 해야 한다..

제6조(사용자 계정 관리)

① 사용자 계정 등록(신규, 변경, 삭제)이 필요한 경우 정보보호 담당자에게 제출하여야 하는 서류는 다음 각 호와 같다.

1. 원격작업 : 별지 제1호 ‘사용자 계정(신규, 변경, 삭제, 공용) 신청서’ 및 별지 제2호 ‘원격접속 보안서약서’

2. 사용자 계정 : 별지 제1호 ‘사용자 계정(신규, 변경, 삭제, 공용) 신청서

② 서버관리자 정보보호 담당자의 승인을 득한 후 사용자 계정을 생성하고 별지 제3호 ‘서버관리자 계정 관리대장’을 관리하여야 한다.

제7조(관리자 계정 관리)

① 클라우드 서비스 환경에서 상위 서비스(IaaS, PaaS 등)로 통신하는 인터페이스 및 API 뿐만 아니라 SaaS 이용자가 클라우드 서비스 환경으로 접근할 수 있는 인터페이스 및 API를 식별하여야 한다.

② 상위 서비스(IaaS, PaaS 등) 사업자가 제공하는 안전한 인터페이스 및 API를 사용하여야 하며 상위 서비스(IaaS, PaaS 등) 사업자가 제공하는 인터페이스 및 API가 아닌 경우 해당 인터페이스 및 API가 안전한지 여부를 확인하고 사용되어야 한다.

③ 식별된 인터페이스를 통한 중요 데이터 통신 시 암호화 등을 통하여 보호하여야 한다.

④ 관리자 계정은 IaaS공급사별로 분리하여 각각 관리(신청,변경,폐기등)해야 한다.

제8조(사용자 권한 관리)

① 서버관리자는 서버접근 및 사용 권한 부여 시 고려하여야 하는 사항은 다음 각 호와 같다.

1. 유지보수, 장애처리 등의 업무적인 필요성에 의하여 제3자에게 접근권한을 부여하여야 하는 경우 정보보호 담당자의 승인을 득한 후 부여한다.

2. 서버의 정상적인 운용을 방해하거나, 다른 사용자의 사용을 저해하는 등의 행위가 발견되거나 의심이 될 때, 사용자의 권한을 제한 또는 회수할 수 있다.

② 직무, 역할, 서비스 유형 별 등 클라우드 시스템 접근권한을 정의한 접근권한 분류체계를 수립하고 관리하여야 한다.

③ 클라우드 시스템에 대한 접근권한은 업무 수행에 필요한 최소한으로 할당하여야 하며, 업무 담당자 직무에 따라 차등 부여하여야 한다.

④ 접근권한 부여의 적정성을 다음과 같은 항목을 기준으로 정기적(분기 1회)으로 검토하여야 한다.

1. 공식적인 절차에 따른 접근권한 부여 여부

2. 접근권한 분류체계의 업무목적(직무) 및 보안정책 부합 여부

3. 접근권한 부여 승인자에 대한 적정성

4. 직무변경 시 기존 권한 회수 후 신규업무에 적합한 권한부여 여부

⑤ 장기 미사용, 직무변경, 휴직, 퇴직, 업무시간 외 사용 등의 경우에도 접근권한 사용 현황을 검토하여야 한다.

⑥ IaaS 공급사 별로 계정을 분리, 관리(신청,변경,폐기등)해야 한다.

제9조(사용자 식별 및 인증)

① 사용자를 유일하게 구분할 수 있는 식별자(아이디)를 할당하여 모든 사용자의 책임추적성을 보장하여야 한다.

② 관리자 및 특수권한 계정의 경우 추측 가능한 식별자(root, admin, administrator 등)의 사용을 제한하여야 한다.

③ 기본 계정(User,SYSTEM등) 할 수 없도록 제한하여야 한다.

④ 계정 및 패스워드의 도용을 방지하기 위하여 다음과 같은 항목이 포함된 관리절차를 수립하고 이행하여야 한다.

1. 안전한 패스워드 작성규칙 수립 (패스워드 복잡도 등)

2. 연속 숫자, 생일, 전화번호, 아이디 등 추측하기 쉬운 개인 신상정보를 활용한 취약 패스워드 사용 제한

3. 초기/임시 패스워드를 발급할 경우 최초 로그인 시 변경

4. 주기적인 패스워드 변경 유도

5. 패스워드 처리(입력, 변경) 시 마스킹 처리 등

⑤ 사용자의 안전한 패스워드 사용 및 관리절차(작성규칙 등)을 수립하고 이행하여야 한다. 패스워드 작성규칙은 다음과 같다.

1. 문자(영문 대소문자), 숫자, 특수문자를 조합하는 패스워드 생성규칙 적용

2. 패스워드의 주기적으로 변경 (분기 1회 이상 권고, 동일 패스워드 재사용 금지)

3. 연속 숫자, 생일, 전화번호 등 추측하기 쉬운 개인 신상정보를 활용한 패스워드 사용 제한

4. 클라우드 시스템 최초 접근 시 패스워드 강제 변경

5. 패스워드 처리(입력, 변경) 시 마스킹 처리

6. 종이, 파일, 포켓용 소형기기 등에 패스워드 기록·저장을 제한하고 부득이하게 기록·저장해야 하는 경우 암호화 등의 보호대책 적용

7. 클라우드 시스템 침해사고가 발생 또는 패스워드의 노출 징후가 의심될 경우 즉시 패스워드 변경

8. 자동 로그인 금지

9. 개인정보취급자의 경우, 인증수단을 안전하게 적용하고 관리

10. 패스워드 분실, 도난 시 본인확인 등을 통한 안전한 재발급 절차 마련 등

⑥ 클라우드 시스템에 대한 접근은 사용자 인증, 로그인 횟수 제한, 불법 로그인 시도 경고 등 안전한 사용자 인증 절차에 의해 통제하여야 한다.

⑦ 공개 인터넷망을 통하여 접속을 허용하는 SaaS 포털 시스템의 경우 아이디, 패스워드 기반의 사용자 인증 이외의 강화된 인증 수단(OTP, 공인인증서 등)을 적용하여야 한다.

⑧ 이용자가 클라우드 컴퓨팅 서비스에 대해 다중 요소 인증 등 강화된 인증 수단을 요청하는 경우 이를 제공하기 위한 방안을 마련하여 한다.

⑨ 고객, 회원 등 외부 이용자가 접근하는 클라우드 시스템 또는 웹 서비스의 안전한 이용을 위하여 계정 및 패스워드 등의 관리절차를 마련하고 관련내용을 공지하여야 한다.

제10조(외부인 접근통제)

① 서버관리자는 업무적인 필요성에 의하여 외부인에게 계정을 부여하는 경우 별지 제1호 ‘사용자 계정(신규, 변경, 삭제) 신청서’를 제출 받아 정보보호 담당자의 승인을 득한 후에 부여한다.

② 서버관리자는 외부인의 출입현황을 관리하고 입회 감독 하에 작업을 수행하도록 하여야 한다.