[붙임3]

취약점 분석‧평가 선택 점검항목

□ 관리적 분야

분류	번호	취약점 점검 항목	등급
정보 보호 정책	A-40	정보보호정책이 문서화되어 있으며 경영자층의 승인을 받고 있는가?	중
	A-41	정보보호정책서가 모든 임직원 및 관련자에게 배포되고 모든 임직원 및 관련자가 정보보호정책을 이해하고 있는가?	중
	A-42	정보보호정책의 내용과 기관의 사업 목표 및 전략 등과의 일관성이 검토되었는가?	하
	A-43	기관의 정보보안 강화를 위한 중장기(3년 이상) 계획이 있는가?	중
정보 보호 조직	A-44	보안관련 전문가 집단으로부터 조언을 받고 해당 내용을 반영하고 있는가?	중
	A-45	정보보호 관련 주요 의사결정을 수행하는 정보보호위원회가 구성되어 있으며 위원회의 역할 및 책임이 명확히 기술되어 있는가?	하
	A-46	정보보호관리자의 역할 및 책임이 규명되어 있는가?	하
인적 보안	A-47	민감한 직무담당자에 대해 강화된 적격심사가 수행되고 있는가?	하
	A-48	모든 인력에 대하여 정보보호의 책임과 역할을 기술하는 직무기술서가 존재하는가?	중
	A-49	정보보안정책을 불이행할 경우 이에 대한 징계가 규정에 명시되어 있는가?	중
	A-50	고용계약 만료시 자산 반납 및 접근권한을 삭제하는 절차가 있는가?	중
외부자 보안	A-51	제3자의 보안요구사항 준수 검토를 위해 제3자 관리책임자로부터 보안관리 상황에 대한 주기적인 보고를 받고 수시 점검을 수행하는가?	하
	A-52	외부 관계자에게 정보나 자산에 접근할 수 있는 보안 규정을 사전 통보하고 있는가?	하
	A-53	제3자(외부유지보수직원, 외부용역자포함)에 대한 보안서약서를 가지고 있는가?	하
자산 분류	A-54	조직의 주요 자산 목록을 작성하고 변경사항을 유지 관리하고 있는가?	하
	A-55	자산에 대한 등급별 보호절차, 접근제한을 실시하고 있는가?	하
매체 관리	A-56	안전을 요하는 매체가 운반될 때 접근 통제가 이루어지고 있는가?	하
	A-57	노트북, USB 메모리 등 이동형 장치의 분실을 통한 자료 유출 대비책이 있는가?	중
	A-58	보조기억매체의 사용을 주기적 점검을 통해 최신자료를 유지하는가?	중
교육 및 훈련	A-59	정보보호 인식제고를 위한 교육 및 훈련 계획을 종합적으로 수립하여 정기적으로 실시하고 있는가?	중
	A-60	교육 및 훈련은 대상자의 직위 및 업무 특성에 따라 구분하여 실시하고 있는가?	하
	A-61	교육 훈련의 효과가 측정, 분석되어 차기 교육에 반영되는가?	하
	A-62	직원을 대상으로 사이버안전센터 보안권고문·해킹메일주의공지, 윈도우 보안업데이트 사항, 보안취약점 조치요령 등을 공지하는가?	중

접근 통제	A-63	접근통제에 대한 주기적 검토를 통해 접근통제 정책이 적합한지를 확인하고 있는가?	중
	A-64	보안상 중요한 접근통제 규칙은 관리자의 승인을 거쳐서 설정 또는 변경하도록 하고 있는가?	하
	A-65	접근통제 방법은 내부 관련 정책 및 절차에 따라 결정되어 반영되는가?	하
	A-66	안전한 로그온 절차, 식별 및 인증관리 등과 같은 시스템 운영체제 접근 통제 방법이 존재하고 이에 따라 이행하고 있는가?	중
	A-67	외부에서의 사용자 접근에 대한 안전한 인증방식을 사용하고 있는가?	하
	A-68	외부에서 내부 시스템의 기능을 사용할 수 있다면 VPN 등 안전한 접속방법을 제공하고 있는가?	하
	A-69	제3자가 원격에서 진단, 관리 등을 위한 서비스를 제공할때 필요할 때만 연결을 허용하고 있는가?	하
	A-70	제3자와의 정보 공유, 네트워크 공유 등에 대한 보안위협에 대한 대책이 있는가?	하
	A-71	민감한 시스템에 따라 네트워크를 분리 운영하여 서로간의 접근을 막고 있는가?	하
	A-72	방화벽, 침입탐지 등 안전한 네트워크를 위한 대책을 마련하고 있는가?	중
	A-73	내부망(업무망)과 인터넷망을 분리하여 사용하는가?	중
	A-74	망분리 후 안전한 자료전송을 위한 시스템을 도입하여 사용하고 있는가?	중
	A-75	인터넷 전화망과 일반 전산망은 분리하여 운용하는가?	하
	A-76	제3자의 내부 상주 인력에 대한 네트워크를 분리 운영하고 있는가?	하
운영 관리	A-77	보안책임자는 정보자산 도입 시 보안 정책에 부합하는지 확인하고 승인하는가?	하
	A-78	보안정책에 의해 정의된 운영지침과 절차는 문서화되어 관리되고 있는가?	중
	A-79	정보시스템의 변경관리 절차가 존재하며 이에 따라 변경관리가 수행되는가?	중
	A-80	중요 시스템 및 정보보호제품의 설정관리가 승인과정을 통해 이행되는가?	중
	A-81	개발자와 운영자의 접근 권한은 분리되어 있는가?	중
	A-82	중요 데이터와 일반데이터가 다른 서버에 분리되어 보관되는가?	하
	A-83	장애탐지, 장애기록, 장애분석, 장애복구, 장애보고 등의 사항을 포함하는 시스템의 장애관리 지침이 존재하는가?	하
	A-84	네트워크 운영 보안 유지를 위해 접근권한 통제, 원격접속 관리, 네트워크 분리 등의 내용을 포함한 네트워크 운영 보안정책이 수립되어 이행되는가?	하
	A-85	시스템과 네트워크의 사용 및 접근에 대한 모니터링 절차와 책임이 정의되어 있고 이에 따라 이행하고 있는가?	하
	A-86	네트워크를 통해 시스템을 운영하는 경우 원칙적으로 시스템 관리는 내부의 특정 터미널에서만 할 수 있도록 제한하고 있는가?	중
	A-87	네트워크, 메신저 등으로부터의 허가되지 않았거나 불분명한 파일의 다운로드를 금지하고, 부득이 다운로드받을 경우 바이러스 검사를 받는가?	중
	A-88	유지보수 도구를 사용하기 위한 사용 승인 및 통제, 감독이 이루어지는가?	하
	A-89	원격 유지보수 및 진단 활동에 대한 감시가 이루어지는가?	하
	A-90	암호키에 대한 관리지침이 마련되어 있고 이에 따라 관리되고 있는가?	중
	A-91	암호키를 복구하기 위한 복구 절차가 수립되고 복구 내역이 확인되는가?	하
	A-92	침입차단 및 탐지 도구는 조직의 보안 정책과 규칙에 적합하게 설치되어 있는가?	하
	A-93	공중망 및 사설망 통신경로에 대한 신뢰성을 평가하고 있는가?	하
	A-94	스팸 메일 수신을 줄이기 위한 방안(스팸차단 솔루션)이 마련되어 있는가?	하
	A-95	홈페이지 게시 자료에 대해 게시 절차를 마련하고 시행하고 있는가?	중
	A-96	업무용 시스템 및 홈페이지 등 정보시스템의 소스코드를 관리하는가?	중

업무 연속성 관리	A-97	모의 훈련 등을 통한 업무 연속성 관리가 지속적으로 검토되고 있으며 조직내의 변경이 있을 경우 이에 대한 사항이 반영되고 있는가?	중
	A-98	보안중요성이 높은 등급의 시스템들은 이중화하여 관리하고 있는가?	중
	A-99	백업은 정기적으로 수행하고 물리적으로 분리된 지역에 보관하는가?	중
사고 대응	A-100	부정접근 사례나 보안사고 내역을 지속적으로 모니터링 하고 있는가?	하
	A-101	보안사고 유형, 범위, 영향 등을 포함한 보안사고 분석이 기록되어 관리 되는가?	중
	A-102	보안 취약점 및 사고 발생시 이에 대한 보완작업 절차를 마련하고 있는가?	중
	A-103	사이버침해사고 발생 후 재발방지 대책을 수립하고 시행하였는가?	중
	A-104	침해사고 대응계획 즉 대응범위, 역할, 임무, 대응절차 등이 문서화되어 있는가?	하
	A-105	사이버위기 ‘주의’이상 경보 발령 및 피해발생 등 필요시 대응할 수 있는 ‘긴급대응반’이 구성되어 있는가?	중
	A-106	침해사고시 외부기관 및 전문가들과의 대응협조체계가 구축되어 있는가?	중
	A-107	침해사고 대응절차 및 방법 숙지를 위해 정기적인 교육을 실시하는가?	중
	A-108	서비스 거부 공격에 대해 공격 정도에 따른 대응 방안이 수립되어 있는가?	하
	A-109	내부의 DDoS공격방지(그린DDoSZone)를 위한 대응방안이 있는가?	중
감사	A-110	정보시스템 관련 법, 규제, 계약상의 요구사항을 정의하고 문서화하고 있는가?	하
	A-111	특허권 및 저작권법, 컴퓨터프로그램보호법 등 관련 법규를 준수하고 있는가?(불법 복제 및 해적판 소프트웨어의 사용 금지 등)	하
	A-112	보안사고 처리, 계약증빙 및 소송 등을 위한 적정한 증거자료 확보에 관한 지침이 존재하고, 이에 따라 이행되고 있는가?	하
	A-113	주기적으로 보안감사계획을 수립하고 시행하고 있는가?	하
	A-114	감사결과를 관리책임자에게 보호하여 적정한 사후관리를 시행하고 있는가?	하

□ 물리적 분야

분류	번호	취약점 점검 항목	등급
접근 통제	P-8	민감한 시설에 대해 물리적으로 접근하는 사람들의 출입기록 및 허가의 타당성을 주기적으로 검토하는가?	중
감시 통제	P-9	제한구역에서의 작업에 대한 추가적인 통제 수단 및 안내 지침이 존재하는가?	중
	P-10	전산 장비실에 외부협력업체 출입 시 내부 임직원이 상시 동행하는가?	중
	P-11	시각적으로 구분이 가능한 신분증을 가지고 있으며 패용하고 있는가?	하
	P-12	유리창 내 파손감지기, 진동감지기 등 침입감지와 관련된 장비를 설치하여 감시하고 있는가?	하
전력 보호	P-13	전원공급 이상이나 기타 전기관련 사고로부터 장비를 보호하기 위해 설비 상태에 대해 정기적으로 검토하는가?	하
	P-14	전원선 및 통신선은 도청이나 손상으로부터 보호되고 있는가?	중
	P-15	누전이 발생하였을 때 이를 차단할 수 있도록 누전차단기 또는 누전경보기가 설치되어 있는가?	중
환경 통제	P-16	소방훈련과 같은 재해훈련 시 비상탈출 및 복귀절차가 확립되어 있는가?	하
	P-17	물리적 중요도에 따라 제한구역, 통제구역 등으로 분류하는 다단계 보호 대책이 있는가?	중
	P-18	제한구역의 선택, 설계시 화재, 홍수, 폭발, 폭동 혹은 다른 형태의 자연재해 또는 인재로 인한 피해가능성을 고려하였는가?	하
	P-19	데이터센터는 물리적, 환경적 위험이 적은 곳에 위치하고 건물구조가 안정성을 확보하고 있는가?	하
	P-20	주요장비, 대체시스템 및 자료들이 화재, 습도 등의 환경재해로부터 보호되는 적절한 곳에 배치되어 보호되고 있는가?	중
	P-21	전산실에 24시간 항온, 항습을 유지하기 위하여 온습도 측정이 가능하도록 항온항습기가 설치되어 있는가?	하
	P-22	전산실은 천장을 통하여 외부와의 왕래가 불가능하도록 전산실의 벽면과 접한 천장을 차단하는 조치가 되어 있는가?	하
	P-23	방재센터는 화재감지센서의 작동상황이 실시간으로 파악되도록 하고, 화재발생시에 경보신호를 통해 상황을 알 수 있도록 화재감지센서와 연동된 경보장치가 설치되어 있는가?	하
	P-24	주요시설(중앙감시실, 전산실, 전력관련시설, 통신장비실, 방재센터 등)에는 기존 조명설비의 작동이 멈추는 경우에도 작업이 가능하도록 비상조명이 설치되어 있는가?	중
	P-25	배달 및 하역구역은 비인가 지역과 격리되어 보호되고 있는가?	하
	P-26	단위면적당 규정하중을 견딜 수 있도록 설계되어 있는가?	하

□ 기술적 분야

가. 유닉스

분류	번호	취약점 점검 항목	등급
계정 관리	U-44	root 이외의 UID가 '0' 금지	중
	U-45	root 계정 su 제한	하
	U-46	패스워드 최소 길이 설정	중
	U-47	패스워드 최대 사용 기간 설정	중
	U-48	패스워드 최소 사용기간 설정	중
	U-49	불필요한 계정 제거	하
	U-50	관리자 그룹에 최소한의 계정 포함	하
	U-51	계정이 존재하지 않는 GID 금지	하
	U-52	동일한 UID 금지	중
	U-53	사용자 shell 점검	하
	U-54	Session Timeout 설정	하
파일 및 디렉토리 관리	U-55	hosts.lpd 파일 소유자 및 권한 설정	하
	U-56	NIS 서비스 비활성화	중
	U-57	UMASK 설정 관리	중
	U-58	홈디렉토리 소유자 및 권한 설정	중
	U-59	홈디렉토리로 지정한 디렉토리의 존재 관리	중
	U-60	숨겨진 파일 및 디렉토리 검색 및 제거	하
서비스 관리	U-61	ssh 원격접속 허용	중
	U-62	ftp 서비스 확인	하
	U-63	ftp 계정 shell 제한	중
	U-64	Ftpusers 파일 소유자 및 권한 설정	하
	U-65	Ftpusers 파일 설정	중
	U-66	at 파일 소유자 및 권한 설정	중
	U-67	SNMP 서비스 구동 점검	중
	U-68	SNMP 서비스 커뮤니티스트링의 복잡성 설정	중
	U-69	로그온 시 경고 메시지 제공	하
	U-70	NFS 설정 파일 접근 권한	중
	U-71	expn, vrfy 명령어 제한	중
	U-72	Apache 웹서비스 정보 숨김	중
로그 관리	U-73	정책에 따른 시스템 로깅 설정	하

나. 윈도우즈

분류	번호	취약점 점검 항목	등급
계정 관리	W-46	Everyone 사용 권한을 익명 사용자에게 적용	중
	W-47	계정 잠금 기간 설정	중
	W-48	패스워드 복잡성 설정	중
	W-49	패스워드 최소 암호 길이	중
	W-50	패스워드 최대 사용 기간	중
	W-51	패스워드 최소 사용 기간	중
	W-52	마지막 사용자 이름 표시 안함	중
	W-53	로컬 로그온 허용	중
	W-54	익명 SID/이름 변환 허용	중
	W-55	최근 암호 기억	중
	W-56	콘솔 로그온 시 로컬 계정에서 빈 암호 사용 제한	중
	W-57	원격터미널 접속 가능한 사용자 그룹 제한	중
서비스 관리	W-58	터미널 서비스 암호화 수준 설정	중
	W-59	IIS 웹서비스 정보 숨김	중
	W-60	SNMP 서비스 구동 점검	중
	W-61	SNMP 서비스 커뮤니티스트링의 복잡성 설정	중
	W-62	SNMP Access control 설정	중
	W-63	DNS 서비스 구동 점검	중
	W-64	HTTP/FTP/SMTP 배너 차단	하
	W-65	Telnet 보안 설정	중
	W-66	불필요한 ODBC/OLE-DB 데이터 소스와 드라이브 제거	중
	W-67	원격터미널 접속 타임아웃 설정	중
	W-68	예약된 작업에 의심스러운 명령이 등록되어 있는지 점검	중
패치 관리	W-69	정책에 따른 시스템 로깅 설정	중
로그 관리	W-70	이벤트 로그 관리 설정	하
	W-71	원격에서 이벤트 로그 파일 접근 차단	중
보안 관리	W-72	Dos공격 방어 레지스트리 설정	중
	W-73	사용자가 프린터 드라이버를 설치할 수 없게 함	중
	W-74	세션 연결을 중단하기 전에 필요한 유휴시간	중
	W-75	경고 메시지 설정	하
	W-76	사용자별 홈 디렉터리 권한 설정	중
	W-77	LAN Manager 인증 수준	중
	W-78	보안 채널 데이터 디지털 암호화 또는 서명	중
	W-79	파일 및 디렉토리 보호	중
	W-80	컴퓨터 계정 암호 최대 사용 기간	중
	W-81	시작프로그램 목록 분석	중
DB 관리	W-82	Windows 인증 모드 사용	중

다. 보안 장비

분류	번호	취약점 점검 항목	등급
계정 관리	S-17	로그인 실패횟수 제한	중
로그 관리	S-18	보안장비 로그 설정	중
	S-19	보안장비 로그 정기적 검토	중
	S-20	보안장비 로그 보관	중
	S-21	보안장비 정책 백업 설정	중
	S-22	원격 로그 서버 사용	중
	S-23	로그 서버 설정 관리	하
	S-24	NTP 서버 연동	중
기능 관리	S-25	부가 기능 설정	중
	S-26	유해 트래픽 차단 정책 설정	중

라. 네트워크 장비

분류	번호	취약점 점검 항목	등급
계정 관리	N-15	사용자․명령어별 권한 수준 설정	중
접근 관리	N-16	VTY 접속 시 안전한 프로토콜 사용	중
	N-17	불필요한 보조 입출력 포트 사용 금지	중
	N-18	로그온 시 경고 메시지 설정	중
로그 관리	N-19	원격 로그서버 사용	하
	N-20	로깅 버퍼 크기 설정	중
	N-21	정책에 따른 로깅 설정	중
	N-22	NTP 서버 연동	중
	N-23	timestamp 로그 설정	하
기능 관리	N-24	TCP keepalive 서비스 설정	중
	N-25	Finger 서비스 차단	중
	N-26	웹 서비스 차단	중
	N-27	TCP/UDP small 서비스 차단	중
	N-28	Bootp 서비스 차단	중
	N-29	CDP 서비스 차단	중
	N-30	Directed-broadcast 차단	중
	N-31	Source 라우팅 차단	중
	N-32	Proxy ARP 차단	중
	N-33	ICMP unreachable, Redirect 차단	중
	N-34	identd 서비스 차단	중
	N-35	Domain lookup 차단	중
	N-36	pad 차단	중
	N-37	mask-rely 차단	중
	N-38	스위치 허브 보안 강화	하

마. 제어시스템

점검분류	번호	취약점 점검 항목	등급
보안 관리	CS-17	정보시스템에 대한 정책과 별도로 제어시스템에 대한 정보보안 정책, 지침이 수립되어 있는가?	중
	CS-18	비인가자 또는 인증과정이 없이 제어시스템, 제어기기에 대한 환경 설정이 가능하지 않도록 되어있는가?	중
	CS-19	제어시스템 및 운영시스템은 제어를 위한 목적으로만 사용되도록 다른 기능 및 서비스를 제거하였는가?	중
	CS-20	운영에 있어 사용가능한 제어명령 및 안전한 제어를 위한 파라미터의 범위를 제한하고 있는가?	중
	CS-21	제어시스템 개선, 신규 시스템 도입, 패치 및 수정 시, 안전성을 테스트하기 위한 테스트베드 또는 시험환경을 구축하였는가?	중
	CS-22	제어 네트워크는 각각의 세부망으로 세분화하고 제어시스템 운영에 필요한 네트워크, 시스템간으로 통신을 제한하고 있는가?	중

바. PC

점검분류	번호	취약점 점검 항목	등급
계정 관리	PC-15	복구 콘솔에서 자동 로그온을 금지하도록 설정하여 사용하고 있는가?	중
서비스 관리	PC-16	파일 시스템이 NTFS 포맷으로 되어 있는가?	중
	PC-17	대상 시스템이 windows 서버를 제외한 다른 OS로 멀티 부팅이 가능하지 않도록 설정하여 사용하는가?	중
	PC-18	브라우저 종료 시 임시 인터넷 파일 폴더의 내용을 삭제하도록 설정하여 사용하는가?	하
보안 관리	PC-19	시스템 부팅 시 Windows Messenger가 자동으로 시작되지 않도록 설정되어 있는가?	중
	PC-20	원격 지원을 금지하도록 정책이 설정되어 사용되는가?	중

사. 데이터베이스

점검분류	번호	취약점 점검 항목	등급
계정 관리	D-12	패스워드 재사용에 대한 제약이 설정되어 있는가?	중
	D-13	DB 사용자 계정을 개별적으로 부여하여 사용하고 있는가?	중
접근 관리	D-14	불필요한 ODBC/OLE-DB 데이터 소스와 드라이브를 제거하고 사용하는가?	중
	D-15	일정 횟수의 로그인 실패 시 이에 대한 잠금정책이 설정되어 있는가?	중
	D-16	데이터베이스의 주요 파일 보호 등을 위해 DB 계정의 umask를 022 이상으로 설정하여 사용하는가?	하
	D-17	데이터베이스의 주요 설정파일, 패스워드 파일 등과 같은 주요 파일들의 접근 권한이 적절하게 설정되어 있는가?	중
	D-18	관리자 이외의 사용자가 오라클 리스너의 접속을 통해 리스너 로그 및 trace 파일에 대한 변경이 가능하지 않는가?	하
옵션 관리	D-19	패스워드 확인함수가 설정되어 적용되는가?	중
	D-20	인가되지 않은 Object Owner가 존재하지 않는가?	하
	D-21	grant option이 role에 의해 부여되도록 설정되어 있는가?	중
	D-22	데이터베이스의 자원 제한 기능을 TRUE로 설정하고 사용하는가?	하
패치 관리	D-23	보안에 취약하지 않은 버전의 데이터베이스를 사용하고 있는가?	중
로그관리	D-24	Audit Table은 데이터베이스 관리자 계정에 속해 있도록 설정되어 있는가?	하