감사 결과 처분요구서
- 2017년도 하반기 Smart 상시감사 -
2017. 12.
감 사 실
- 1 -
Ⅰ. 감사 실시 개요
1. 감사 배경 및 목적
○ 공사 생산시설에 대한 정보보안 관리 및 개인정보보호의 적정성을 점검
○ 비효율적 업무처리 사항에 대해 개선 방안을 합리적으로 제시함으
로써 내부통제 및 생산시설 운용PC 관리체계를 강화
2. 감사 대상 및 범위
○ 대상기관 : ◎◎본부
○ 범위 : 2016. 1. 1.부터 감사일 현재까지 감사대상기관에서 수행한
정보보안 및 개인정보보호 업무 전반
3. 감사 인원 및 기간
○ 기간 : 2017. 12. 4. ~ 12. 5.(2일)
4. 감사 중점
○ 현장에서 운용 중인 주요 △△△△ 운용PC 및 운용프로그램에 대한
정보보안 측면에서 관리의 적정성
○ 정보자산에 대한 보호정책 및 대응절차의 적정성
- 2 -
Ⅱ. 감사 결과
1. 총괄
(단위 : 건, 명, 천 원)
계
행정상 조치
신분상
조치
재정상
조치
시정 경고 주의 개선 권고 통보
현지
조치
모범
사례
건수
인원
금액 건수 건수 건수 건수 건수 건수 건수 건수 건수 인원 건수 금액
2
-
-
-
-
-
1
-
-
1
-
-
-
-
-
2. 감사결과 처분요구서 : 별첨
- 1 -
[별첨]
개선하여야 할 사항
번호
1
관련기관
◎◎본부
제 목
△△△△ 운용PC 원격지원 보안대책 불합리
내 용
◎◎본부는 ☆☆☆ 등 주요 제품 생산을 위한 △△△△를 운용하면서 필요 시
인터넷망을 통해 외부 유지보수업체로부터 △△△△ 운용PC에 대한 원격지원을
제공받고 있다([별표] “△△△△ 운용PC 원격지원 현황” 참조).
외부 유지보수업체가 원격지원 시 원격제어 대상이 되는 △△△△ 운용PC의
보안관리가 취약할 경우 컴퓨터 바이러스 유입 및 △△△△ 내 자료 유출 등 각종
보안사고 발생이 우려되므로 ◎◎본부는 원격지원을 최소화하되 불가피할 경우
관리적․기술적 보안대책1)을 마련하여 시행하는 것이 바람직하다.
1) ISMS* 인증체계 중 운영보안-원격운영 관리에 따른 관리적․기술적 보안대책
구분
보안조치
관리적 보안대책
- 원격지원에 대한 책임자 승인절차
- 원격지원 업체에 대한 한시적 접근권한 부여
- 보안서약서 징구
- 원격지원 관리대장 운영
- 원격지원 관련 보안인식 교육
기술적 보안대책
- 원격지원 구간 암호화
- 원격지원 대상PC 보안조치(백신 프로그램 설치 및 운영체제 보안 업데이트 등)
- 원격 접속 기록 로깅 및 주기적 분석
* ISMS(Information Security Management System, 정보보호관리체계) : 한국인터넷진행원(KISA)이 주관
하고 있으며, 정보통신망의 안정성 확보를 위해 수립․운영되고 있는 기술적․물리적 보호조치 등 종합적인
관리체계에 대한 인증제도임.
- 2 -
그런데 2017. 12. 5. 감사일 현재 최근 2년 간 외부 유지보수업체로부터 원격지원을
제공받았던 △△△△ 운용PC를 점검한 결과 ◎◎본부는 아래 [표]와 같이 △△△△
운용PC에 대한 보안조치가 미흡하였다.
[표] △△△△ 운영PC 보안조치 점검 결과
구분
♠♠♠♠♠♠♠♠
♧♧♧ ♧♧♧♧♧
▣▣▣▣▣
보안서약서 징구
미징구
미징구
징구
백신 프로그램 설치
미설치
미설치
-주)
원격지원 관리대장 작성
없음
없음
없음
주) 운용PC의 운영체제가 Windows Embeded Standard 버전으로 별도 백신 프로그램 설치 가능
여부 확인 필요
따라서 ◎◎본부는 원활한 제품 생산을 위하여 불가피하게 외부 유지보수업체로
부터 원격지원을 제공받을 경우 정보보안 강화를 위한 보안대책을 마련하여 시행할
필요가 있다.
조치하여야 할 사항
◎◎본부장은
① 원격지원 시 외부 유지보수업체의 보안서약서를 징구하시고,
② △△△△ 운용PC에 백신 프로그램을 설치하시고, 원격지원 요청 전 윈도우
및 백신 프로그램을 최신 버전으로 업데이트하여 유지하는 한편,
③ △△△△ 운용부서는 접속업체, 접속일시, 정비내역 및 책임자 확인서명이
포함된 원격지원 관리대장을 운영․관리하시기 바랍니다.
- 3 -
번호
건명 및 내용
처분 관련부서
(기관)
2
△△△△ 운용프로그램 백업관리 미흡
◦ 내용
◎◎본부는 「△△△△ 운용프로그램 백업관리 지침」에
따라 은행권 주요 △△△△의 운용프로그램(이하 “프로그램”
이라 한다)
을 주기적으로 백업관리하고 있다.
△△△△ 프로그램은 △△△△ 가동에 핵심적인 역할을
하므로 설정 및 프로그램 오류 등으로 가동이 중단되지
않도록 주기적으로 백업하여 관리하여야 한다.
그런데 2017. 12. 5. 감사일 현재 △△△△ 프로그램 백업
관리 실태를 점검한 결과 ◎◎본부는 아래 [표]와 같이 백업
관리를 하지 않고 있었다.
［표］△△△△ 프로그램 백업관리 미수행 내역
△△△△명
최초 도입시기
프로그램 업그레이드
☼☼☼☼☼☼☼☼
(☽☽☽ 등 ☺☺☺☺시설)
20♘♘. ♘♘월
1차 : 20♘♘. ♘♘월
2차 : 20♘♘. ♘♘월
◦ 조치하여야 할 사항
－ ☼☼☼☼☼☼☼☼ 운용프로그램에 대한 주기적인 백업관리
현지
시정
◎◎본부
