[붙임3] 취약점 분석ㆍ평가 기준 ‘중’, ‘하’ 항목

□ 관리적 분야

분류	번호	취약점 점검 항목	등급
정보 보호 정책	A-44	정보보호정책이 문서화되어 있으며 경영자층의 승인획득	중
	A-45	정보보호정책서가 모든 임직원 및 관련자에게 배포되고 모든 임직원 및 관련자가 정보보호정책을 고지	중
	A-46	기관의 정보보안 강화를 위한 중장기(3년 이상) 계획 수립	중
정보 보호 조직	A-47	보안관련 전문가 집단으로부터 조언을 받고 해당 내용 반영	중
	A-48	정보보호 관련 주요 의사결정을 수행하는 정보보호위원회가 구성되어 있으며 위원회의 역할 및 책임을 문서화	하
인적 보안	A-49	모든 인력에 대하여 정보보호의 책임과 역할을 문서로 명확화	중
	A-50	정보보안정책을 불이행할 경우 이에 대한 징계와 관련된 사항을 규정에 명시	중
	A-51	고용계약 만료시 자산 반납 및 접근권한을 삭제하는 절차 명시	중
외부자 보안	A-52	제3자의 보안요구사항 준수 검토를 위해 제3자 관리책임자로부터 보안관리 상황에 대한 주기적인 보고를 받고 수시 점검 수행	하
	A-53	외부 관계자에게 정보나 자산에 접근할 수 있는 보안 규정을 사전 통보	하
	A-54	제3자(외부유지보수, 외부용역 등)에 대한 보안서약서 징구	하
자산 분류	A-55	조직의 주요 자산 목록을 작성하고 변경사항을 유지 관리	하
	A-56	자산에 대한 등급별 보호절차, 접근통제 수행	하
매체 관리	A-57	미디어 장치(노트북, 테블릿, 이동식저장장치 등)의 반출입 시 접근통제 수행	하
매체 관리	A-58	노트북, USB 메모리 등 이동형 장치의 분실을 통한 자료 유출 대비책 보유	중
	A-59	보조기억매체의 사용을 주기적으로 점검하고 운영 현황을 최신화	중
교육 및 훈련	A-60	교육 및 훈련은 대상자의 직위 및 업무 특성에 따라 구분하여 실시하고 있는가?	하
	A-61	교육 훈련의 효과가 측정, 분석되어 차기 교육에 반영	하
	A-62	직원을 대상으로 사이버안전센터 보안권고문·해킹메일주의공지, 윈도우 보안업데이트 사항, 보안취약점 조치요령 등을 공지	중
접근 통제	A-63	접근통제에 대한 주기적 검토를 통해 접근통제 정책이 적합한지 검토	중
	A-64	보안상 중요한 접근통제 규칙은 관리자의 승인을 거쳐서 설정 또는 변경	하
	A-65	안전한 로그온 절차, 식별 및 인증관리 등과 같은 시스템 운영체제 접근 통제 방법이 존재하고 이에 따라 이행	중
	A-66	외부에서의 사용자 접근에 대한 안전한 인증방식을 사용	하
	A-67	외부에서 내부 시스템의 기능을 사용할 수 있다면 VPN 등 안전한 접속방법을 제공	하
	A-68	제3자가 원격에서 진단, 관리 등을 위한 서비스를 제공할때 필요할 때만 연결을 허용	하
	A-69	제3자와의 정보 공유, 네트워크 공유 등에 대한 보안위협에 대한 대책 운영	하
	A-70	민감한 시스템에 따라 네트워크를 분리 운영하여 서로간의 접근을 통제	하
	A-71	방화벽, 침입탐지 등 안전한 네트워크를 위한 대책을 마련	중
	A-72	내부망(업무망)과 인터넷망을 분리하여 사용	중
	A-73	망분리 후 안전한 자료전송을 위한 시스템을 도입하여 사용	중
	A-74	인터넷 전화망과 일반 전산망은 분리하여 운용	하
	A-75	제3자의 내부 상주 인력에 대한 네트워크를 분리 운영	하
	A-76	보안책임자는 정보자산 도입 시 보안 정책에 부합하는지 확인 및 승인	하
운영 관리	A-77	보안정책에 의해 정의된 운영지침과 절차는 문서화되어 관리	중
	A-78	정보시스템의 변경관리 절차가 존재하며 이에 따라 변경관리가 수행	중
	A-79	중요 시스템 및 정보보호제품의 설정 전 승인을 받고 수행	중
	A-80	개발자와 운영자의 접근 권한 분리	중
	A-81	중요 데이터와 일반데이터가 다른 서버에 분리 보관	하
	A-82	장애탐지, 장애기록, 장애분석, 장애복구, 장애보고 등의 사항을 포함하는 시스템의 장애관리 지침 문서화	하
운영 관리	A-83	네트워크 운영 보안 유지를 위해 접근권한 통제, 원격접속 관리, 네트워크 분리 등의 내용을 포함한 네트워크 운영 보안정책을 수립 및 이행	하
	A-84	시스템과 네트워크의 사용 및 접근에 대한 모니터링 절차와 책임이 정의되어 있고 이에 따라 수행	하
	A-85	네트워크를 통해 시스템을 운영하는 경우 원칙적으로 시스템 관리는 내부의 특정 터미널에서만 할 수 있도록 제한	중
	A-86	네트워크, 메신저 등으로부터의 허가되지 않았거나 불분명한 파일의 다운로드를 금지하고, 부득이 다운로드받을 경우 바이러스 검사 수행	중
	A-87	유지보수 작업 전 승인과, 작업 중 통제 및 감독 수행	하
	A-88	원격 유지보수 및 진단 활동에 대한 감시	하
	A-89	암호키에 대한 관리지침이 마련되어 있고 이에 따라 관리	하
	A-90	암호키를 복구하기 위한 복구 절차가 수립되고 복구 내역 검토	하
	A-91	침입차단 및 탐지 도구는 조직의 보안 정책과 규칙에 적합하게 설치하여 운영	하
	A-92	공중망 및 사설망 통신경로에 대한 신뢰성을 평가	하
	A-93	스팸 메일 수신을 줄이기 위한 방안(스팸차단 솔루션)을 마련	하
	A-94	홈페이지 게시 자료에 대해 게시 절차를 마련하고 시행	중
	A-95	업무용 시스템 및 홈페이지 등 정보시스템의 소스코드 관리	중
업무 연속성 관리	A-96	모의 훈련 등을 통한 업무 연속성 관리가 지속적으로 검토되고 있으며 조직 내의 변경이 있을 경우 이에 대한 사항을 반영	중
	A-97	보안중요성이 높은 등급의 시스템들은 이중화하여 관리	중
	A-98	백업은 대상, 주기, 방법, 보관 장소, 보관기간, 소산 등의 관련 절차를 수립하여 이행	중
사고 대응	A-99	부정접근 사례나 보안사고 내역을 지속적으로 모니터링	중
	A-100	보안사고 유형, 범위, 영향 등을 포함한 보안사고 분석을 기록되어 관리	하
	A-101	보안 취약점 및 사고 발생시 이에 대한 보완작업 절차 마련	중
	A-102	사이버침해사고 발생 후 재발방지 대책을 수립 및 시행	중
	A-103	침해사고 대응계획 즉 대응범위, 역할, 임무, 대응절차 등을 문서화	하
	A-104	사이버위기 ‘주의’이상 경보 발령 및 피해발생 등 필요시 대응할 수 있는 ‘긴급대응반’을 구성	중
	A-105	침해사고시 외부기관 및 전문가들과의 대응협조체계가 구축	중
	A-106	침해사고 대응절차 및 방법 숙지를 위해 정기적인 교육을 실시	중
	A-107	서비스 거부 공격(DDoS) 방지를 위한 대응방안(그린DDoSZone 등) 수립 및 운영	중
감사	A-108	정보시스템 관련 법, 규제, 계약상의 요구사항을 정의하여 문서화	하
	A-109	특허권 및 저작권법, 컴퓨터프로그램보호법 등 관련 법규를 준수 (불법 복제 및 해적판 소프트웨어의 사용 금지 등)	하
	A-110	보안사고 처리, 계약증빙 및 소송 등을 위한 적정한 증거자료 확보에 관한 지침이 존재하고 이에 따라 이행	하
	A-111	주기적으로 보안감사계획을 수립하고 시행	하
	A-112	감사결과를 관리책임자에게 보호하여 적정한 사후관리를 시행	하
모의해킹	A-113	주요정보통기반시설 직 간접적으로 관련된 시스템을 모의해킹 대상으로 식별하여 모의해킹 수행 및 보안대랙 마련	하

□ 물리적 분야

분류	번호	취약점 점검 항목	등급
접근 통제	P-8	민감한 시설에 대해 물리적으로 접근하는 사람들의 출입기록 및 허가의 타당성을 주기적으로 검토	중
감시 통제	P-9	제한구역에서의 작업에 대한 추가적인 통제 수단 및 안내 지침 보유	중
	P-10	전산 장비실에 외부협력업체 출입 시 내부 임직원이 상시 동행	중
	P-11	시각적으로 구분이 가능한 신분증 패용	하
전력 보호	P-12	전원공급 이상이나 기타 전기관련 사고로부터 장비를 보호하기 위해 설비 상태에 대해 정기적으로 검토	하
	P-13	전원선 및 통신선은 도청이나 손상으로부터 보호	중
	P-14	누전이 발생하였을 때 이를 차단할 수 있도록 누전차단기 또는 누전경보기의 설치	중
환경 통제	P-15	물리적 중요도에 따라 제한구역, 통제구역 등으로 분류하는 다단계 보호 대책 수행	중
	P-16	주요장비, 대체시스템 및 자료들이 화재, 습도 등의 환경재해로부터 보호되는 적절한 곳에 배치하여 보호	중
	P-17	전산실에 24시간 항온, 항습을 유지하기 위하여 온습도 측정이 가능하도록 항온항습기가 설치 및 운영	하
	P-18	주요시설(중앙감시실, 전산실, 전력관련시설, 통신장비실, 방재센터 등)에는 기존 조명설비의 작동이 멈추는 경우에도 작업이 가능하도록 비상조명을 설치	중

□ 기술적 분야

가. 유닉스

분류	번호	취약점 점검 항목	등급
계정 관리	U-44	root 이외의 UID가 '0' 금지	중
	U-45	root 계정 su 제한	하
	U-46	패스워드 최소 길이 설정	중
	U-47	패스워드 최대 사용 기간 설정	중
	U-48	패스워드 최소 사용기간 설정	중
	U-49	불필요한 계정 제거	하
	U-50	관리자 그룹에 최소한의 계정 포함	하
	U-51	계정이 존재하지 않는 GID 금지	하
	U-52	동일한 UID 금지	중
	U-53	사용자 shell 점검	하
	U-54	Session Timeout 설정	하
파일 및 디렉토리 관리	U-55	hosts.lpd 파일 소유자 및 권한 설정	하
	U-56	UMASK 설정 관리	중
	U-57	홈디렉토리 소유자 및 권한 설정	중
	U-58	홈디렉토리로 지정한 디렉토리의 존재 관리	중
	U-59	숨겨진 파일 및 디렉토리 검색 및 제거	하
서비스 관리	U-60	ssh 원격접속 허용	중
	U-61	ftp 서비스 확인	하
	U-62	ftp 계정 shell 제한	중
	U-63	Ftpusers 파일 소유자 및 권한 설정	하
	U-64	Ftpusers 파일 설정	중
	U-65	at 파일 소유자 및 권한 설정	중
	U-66	SNMP 서비스 구동 점검	중
	U-67	SNMP 서비스 커뮤니티스트링의 복잡성 설정	중
	U-68	로그온 시 경고 메시지 제공	하
	U-69	NFS 설정 파일 접근 권한	중
	U-70	expn, vrfy 명령어 제한	중
	U-71	Apache 웹서비스 정보 숨김	중
로그 관리	U-72	정책에 따른 시스템 로깅 설정	하

나. 윈도우즈

분류	번호	취약점 점검 항목	등급
계정관리	W-46	Everyone 사용 권한을 익명 사용자에게 적용	중
	W-47	계정 잠금 기간 설정	중
	W-48	패스워드 복잡성 설정	중
	W-49	패스워드 최소 암호 길이	중
	W-50	패스워드 최대 사용 기간	중
	W-51	패스워드 최소 사용 기간	중
	W-52	마지막 사용자 이름 표시 안함	중
	W-53	로컬 로그온 허용	중
	W-54	익명 SID/이름 변환 허용	중
	W-55	최근 암호 기억	중
	W-56	콘솔 로그온 시 로컬 계정에서 빈 암호 사용 제한	중
	W-57	원격터미널 접속 가능한 사용자 그룹 제한	중
서비스 관리	W-58	터미널 서비스 암호화 수준 설정	중
	W-59	IIS 웹서비스 정보 숨김	중
	W-60	SNMP 서비스 구동 점검	중
	W-61	SNMP 서비스 커뮤니티스트링의 복잡성 설정	중
	W-62	SNMP Access control 설정	중
	W-63	DNS 서비스 구동 점검	중
	W-64	HTTP/FTP/SMTP 배너 차단	하
	W-65	Telnet 보안 설정	중
	W-66	불필요한 ODBC/OLE-DB 데이터 소스와 드라이브 제거	중
	W-67	원격터미널 접속 타임아웃 설정	중
	W-68	예약된 작업에 의심스러운 명령이 등록되어 있는지 점검	중
패치관리	W-69	정책에 따른 시스템 로깅 설정	중
로그관리	W-70	이벤트 로그 관리 설정	하
	W-71	원격에서 이벤트 로그 파일 접근 차단	중
보안관리	W-72	Dos공격 방어 레지스트리 설정	중
	W-73	사용자가 프린터 드라이버를 설치할 수 없게 함	중
	W-74	세션 연결을 중단하기 전에 필요한 유휴시간	중
	W-75	경고 메시지 설정	하
	W-76	사용자별 홈 디렉터리 권한 설정	중
	W-77	LAN Manager 인증 수준	중
	W-78	보안 채널 데이터 디지털 암호화 또는 서명	중
	W-79	파일 및 디렉토리 보호	중
	W-80	컴퓨터 계정 암호 최대 사용 기간	중
	W-81	시작프로그램 목록 분석	중
DB관리	W-82	Windows 인증 모드 사용	중

다. 보안 장비

분류	번호	취약점 점검 항목	등급
계정관리	S-17	로그인 실패횟수 제한	중
로그관리	S-18	보안장비 로그 설정	중
	S-19	보안장비 로그 정기적 검토	중
	S-20	보안장비 로그 보관	중
	S-21	보안장비 정책 백업 설정	중
	S-22	원격 로그 서버 사용	중
	S-23	로그 서버 설정 관리	하
	S-24	NTP 서버 연동	중
기능관리	S-25	유해 트래픽 차단 정책 설정	중

라. 네트워크 장비

분류	번호	취약점 점검 항목	등급
계정관리	N-15	사용자․명령어별 권한 수준 설정	중
접근관리	N-16	VTY 접속 시 안전한 프로토콜 사용	중
	N-17	불필요한 보조 입출력 포트 사용 금지	중
	N-18	로그온 시 경고 메시지 설정	중
	N-19	원격 로그서버 사용	하
로그관리	N-20	로깅 버퍼 크기 설정	중
	N-21	정책에 따른 로깅 설정	중
	N-22	NTP 서버 연동	중
	N-23	timestamp 로그 설정	하
기능관리	N-24	TCP keepalive 서비스 설정	중
	N-25	Finger 서비스 차단	중
	N-26	웹 서비스 차단	중
	N-27	TCP/UDP small 서비스 차단	중
	N-28	Bootp 서비스 차단	중
	N-29	CDP 서비스 차단	중
	N-30	Directed-broadcast 차단	중
	N-31	Source 라우팅 차단	중
	N-32	Proxy ARP 차단	중
	N-33	ICMP unreachable, Redirect 차단	중
	N-34	identd 서비스 차단	중
	N-35	Domain lookup 차단	중
	N-36	pad 차단	중
	N-37	mask-rely 차단	중
	N-38	스위치 허브 보안 강화	하

마. 제어시스템

분류	번호	취약점 점검 항목	등급
계정 관리	C-23	제어시스템 계정을 관리, 운영, 유지보수 등 용도에 따라 분리하고 운용	중
	C-24	제어시스템 계정에 대해 관리, 운영, 유지보수 등 용도에 맞는 최소 권한 부여	중
	C-25	제어시스템 운전원 별 유일 계정 부여 또는 시간별 사용자 기록 유지	중
서비스 관리	C-26	제어시스템 구성요소에 대한 관리자 페이지 운영 시 이에 대한 접근통제(사전인가 접근만 허용) 수행	중
	C-27	제어시스템 내 파일/디렉토리 접근권한 및 신뢰관계를 적절히 부여	중
	C-28	제어시스템 내 제어와 직접적인 관련이 없는 불필요 프로그램 삭제	중
	C-29	제어시스템 운영 정보, 제어명령 등 중요정보에 대한 위변조 및 replay 공격 방지 대책 적용	중
	C-30	제어시스템 내 전달되는 제어명령 및 파라미터의 정상 범위를 식별하고 관리	하
	C-31	제어시스템 내 사용자 통신세션에 대해 세션타임아웃 적용	하
	C-32	GPS 스푸핑/재밍 공격 등 시각동기화 서비스를 교란하기 위한 공격에 대비한 보안조치 수행	하
패치 관리	C-33	운영체제, 응용프로그램, 펌웨어 등에 대한 안정성이 확인된 최신 버전의 소프트웨어 사용 및 기술지원이 종료된 제품 미사용	중
	C-34	제어시스템 개선, 신규 시스템 도입, 패치 및 수정 시, 안전성을 테스트하기 위한 테스트베드 또는 시험환경을 구축	하
네트워크 접근통제	C-35	제어 네트워크를 용도에 따라 세분화하고, 접근제어를 수행하여 제어시스템 운영에 필요한 네트워크, 시스템 간의 통신만 허용	하
물리적 접근통제	C-36	제어시스템 구성요소를 물리적으로 보호할 수 있는 조치 적용(잠금장치가 있는 함체, 랙, 수납책상 등)	중
보안위협 탐지	C-37	이상 트래픽 발생 탐지 등 제어시스템 내의 보안 관리를 위해 적합한 침입탐지시스템 등을 구축 및 운용하고, 구축된 보안 솔루션 및 보안장비에서 탐지한 보안 이벤트에 대해 모니터링 수행	하
복구 대응	C-38	제어시스템의 장애발생, 사이버 공격, 물리적 테러 등에 대한 비상계획 수립	중
	C-39	제어시스템의 장애발생, 사이버 공격, 물리적 테러 등에 대한 비상계획 훈련을 정기적으로 시행	중
	C-40	제어시스템 조작불능에 대비하여 수작업 운전 매뉴얼 작성 및 교육훈련 시행	중
	C-41	제어시스템의 각종 이벤트에 대한 로그를 관리하기 위한 중앙집중식 로그 관리 수행	하
	C-42	제어시스템 구성요소의 기준 형상을 설정하고 변경 및 업데이트 시 형상관리 수행	하
	C-43	제어시스템 주요 장비 및 제어 네트워크 장비에 대해 이중화	하
	C-44	제어시스템 보호를 위한 화재탐지 설비 및 화재 진압설비를 구비	하
	C-45	제어시스템 보호를 위한 누수탐지 설비 및 침수 대응 장비 구비	하
	C-46	제어시스템에 대하여 정기적으로 사이버 위험 시나리오를 식별하고, 완화 방안 수립	하
보안 관리	C-47	제어시스템의 특성을 반영한 정보보안 정책, 지침을 수립	중
	C-48	제어시스템 운영업무에 대해 표준업무절차서를 작성하고 적용	중
	C-49	제어시스템 유지보수를 위한 전용 장비(노트북 등)를 마련하고 관련 정책을 시행	하
교육 훈련	C-50	제어시스템 운전원, 관리자, 유지보수인력, 보안인력에 대해 각 직무별 직무교육을 정기적으로 실시	하

바. PC

분류	번호	취약점 점검 항목	등급
계정관리	PC-15	복구 콘솔에서 자동 로그온을 금지하도록 설정하여 사용	중
서비스 관리	PC-16	파일 시스템이 NTFS 포맷으로 설정	중
	PC-17	대상 시스템이 windows 서버를 제외한 다른 OS로 멀티 부팅이 가능하지 않도록 설정	중
	PC-18	브라우저 종료 시 임시 인터넷 파일 폴더의 내용을 삭제하도록 설정	하
보안관리	PC-19	원격 지원을 금지하도록 정책이 설정	중

사. 데이터베이스

분류	번호	취약점 점검 항목	등급
계정관리	D-12	패스워드 재사용에 대한 제약 설정	중
	D-13	DB 사용자 계정을 개별적으로 부여하여 사용	중
접근관리	D-14	불필요한 ODBC/OLE-DB 데이터 소스와 드라이브를 제거하여 사용	중
	D-15	일정 횟수의 로그인 실패 시 이에 대한 잠금정책이 설정	중
	D-16	데이터베이스의 주요 파일 보호 등을 위해 DB 계정의 umask를 022 이상으로 설정하여 사용	하
	D-17	데이터베이스의 주요 설정파일, 패스워드 파일 등과 같은 주요 파일들의 접근 권한이 적절하게 설정	중
	D-18	관리자 이외의 사용자가 오라클 리스너의 접속을 통해 리스너 로그 및 trace 파일에 대한 변경 제한	하
옵션관리	D-19	패스워드 확인함수가 설정되어 적용	중
	D-20	인가되지 않은 Object Owner의 제한	하
	D-21	인가되지 않은 GRANT OPTION 사용 제한	중
	D-22	데이터베이스의 자원 제한 기능을 TRUE로 설정	하
패치관리	D-23	보안에 취약하지 않은 버전의 데이터베이스를 사용	중
	D-24	Audit Table은 데이터베이스 관리자 계정에 접근하도록 제한	하

아. 클라우드

분류	번호	취약점 점검 항목	등급
접근통제	CA-1	클라우드 서비스 로그오프/세션 관리	중
	CA-2	클라우드 서비스 외부접속 차단	중
보안관리	CA-3	클라우드 서비스 루트계정 관리	중
	CA-4	클라우드 서비스 계정 권한 관리	중
	CA-5	클라우드 서비스 사용자 인증 강화	중