Korea Associatiion of Information and Telecommunication

HOME>온라인 신청접수>시스템 보안(A그룹)

[※] 표시는 필수 입력 사항 입니다.
1. 보안과 신뢰성 확보를 위한 물리적 요건

1.1 물리적 접근 제어시설
※1.1.1 귀사(단체)는 이용자 정보 보호를 위해 불법 침입에 대비해서 어떤 종류의 물리적 보안시 설을 설치하고 있습니까?
	① 일반적인 열쇠/자물쇠를 이용한 단순 잠금 장치를 사용한다. ② 보안 기능을 가진 잠금 장치를 사용한다. ③ 생체 특성을 이용한 잠금 장치를 사용한다. ④ 접근 및 조작에 대한 경보 시스템을 사용한다 ⑤ 행동 감지 장치 (Motion detection device)를 사용한다.
1.1.2. 귀사(단체)의 물리적 보안장치, 도난 방지장치의 운용 방식은 무엇입니까?
	① 사내에서 자체적으로 경비 및 보안 전담반을 조직하여 운용한다. ② 일반 사원들을 대상으로 순번제로 담당한다(순번 주기). ③ 건물 보안을 담당하는 경비 업체가 담당한다. ④ 외부 보안 업체나 도난 방지 설비 업체가 담당한다. ◆ 검증 근거 및 위치 : ()
1.2 유사시를 대비한 대책
※1.2.1 귀사(단체)는 비상시를 대비할 경우 안정적인 전원 공급을 위하여 어떠한 조치를 취하고 있습니까?
	① UPS를 사용한다(용량 표시). ② 자체 발전기를 사용한다(용량 표시). ③ 서버 운영실 및 통신 시설에 대해 독립 전원을 사용한다. ④ 통제 시스템 및 비상전등 시설에 대해 독립 전원을 사용한다.
※1.2.2. 귀사(단체)는 재해 예방을 위하여 어떠한 설비를 깆추고 있습니까?
	① 화재 경보장치를 갖추고 있다. ② 화재 소화장치를 갖추고 있다. ③ 내진 설비를 갖추고 있다. ④ 낙뢰 방지 설비 혹은 피뢰 설비를 갖추고 있다
1.3 서버운영실 및 서버 운영환경
※1.3.1. 귀사(단체)가 서버운영실에서 서버를 보관 및 관리하는 방식은 무엇입니까?
	① 모든 서버를 안전한 곳에 보관한다. ② 중요한 서버만을 보관한다. ③ 임시로 보관장소를 만들어 사용한다. ④ 사무실과 같은 개방 공간에서 보관 및 관리한다.
※1.3.2 귀사(단체)의 서버운영실의 출입통제 방식은 무엇입니까?
	① 출입통제 관리기록. ② 열쇠/자물쇠를 사용한다 ③ 키카드 혹은 스마트 카드를 사용한다. ④ 생체 특성을 이용한 잠금장치를 사용한다. ⑤ CCTV를 사용하여 출입자를 감시한다.
※1.3.3 귀사(단체)의 서버운영실 출입통제 대상은 누구입니까?
	① 외부 출입자 ② 내부 사용자 ③ 담당자를 제외한 모두 ◆ 검증 근거 및 위치 : ()
※1.3.4 귀사(단체)의 서버운영실 물리적 경비 담당자는 누구입니까?
	① 전담 직원이 있다. ② 경비 회사에서 담당한다. ③ 일반 직원이 한다. ◆ 검증 근거 및 위치 : ()
※1.3.5 귀사(단체)의 서버 내구성을 위한 환경 조성 수준은 어느 정도입니까?
	① 시스템을 보호하기 위한 화재, 도난, 훼손 방지 시스템과 체계를 갖추고 있다. ② 시스템의 내구성을 보장하기 위해 별도 환경을 갖추고 있다. ③ 일반 시스템과 동일한 환경의 내구성 보장을 위한 환경을 사용한다.
1.4 백업에 관한 물리적 보호
※1.4.1 귀사(단체)의 백업 미디어 보관 방법은 무엇입니까?
	① 서버운영실에 함께 보관한다. ② 서버와는 다른 곳에 보관한다. ③ 화재 방지 및 환경 조절이 가능한 곳에 보관한다. ◆ 검증 근거 및 위치 : ()
1.5 통신선로 및 통신장비 보호
1.5.1. 귀사(단체)의 사내 통신 선로 보호 대책은 무엇입니까?
	① 물리적으로 일반인의 인력이 닿지 않는 곳에 격리 되어 있다. ② 보호 시설을 이용해 일반인의 접근으로부터 보호되어 있다. ③ 특수 매체를 사용하여 도청이 어렵거나 불가능하다. ④ 단선 및 도청에 대한 경보장치를 가지고 있다.
※1.5.2. 귀사(단체)의 통신 경로상의 주요 네트워크 장비에 대한 보호 대책은 무엇입니까?
	① 물리적으로 일반인의 인력이 닿지 않는 곳에 격리되어 있다. ② 보호 시설을 이용해 일반인의 접근으로부터 보호되어 있다. ③ 접근 혹은 파손에 대한 경보장치가 되어있다.

2. 보안과 신뢰성 확보를 위한 기술적 요건

2.1 침입차단기술
※2.1.1 귀사(단체)의 라우터 장비의 보안 기능 활용 방법은 무엇입니까?
	① 접근 통제 목록을 사용하여 패킷 필터링을 하고 있다. ② NAT 기능을 이용하여 내부 네트워크를 보호한다. ③ 소스 라우팅과 같은 특수한 경우에 대해 필터링을 하고 있다. ◆ 검증 근거 및 위치 : ()
※2.1.2 귀사(단체)는 어떤 종류의 침입차단시스템(Firewall)을 사용하고 있습니까?
	① 이중 구조를 사용하며 침입차단시스템을 이용하는 보안 체계를 갖추고 시행한다. ② 상용 침입차단시스템을 갖추고 사용하고 있다. (제품명) ③ 공개용 침입차단시스템을 갖추고 사용하고 있다. (제품명) ④ 패킷 필터링 기능을 사용하고 있다 ⑤ 응용게이트웨이 방식을 사용한다 ⑥ 필터링과 응용게이트웨이 방식을 혼합한 혼용 방식을 사용하고 있다. ⑦ 침입차단시스템은 없으나 기본적인 침입차단 기능은 가지고 있다. (설명 필요)
2.2 침입탐지 기술
※2.2.1 귀사(단체)는 어떤 종류의 침입탐지시스템(IDS)을 사용을 하고 있습니까?
	① 상용 침입탐지시스템을 갖추고 사용하고 있다. (제품명) ② 공개용 침입탐지시스템을 갖추고 사용하고 있다. (제품명) ③ 호스트 기반의 침입탐지시스템을 갖추고 있다. ④ 네트워크 기반의 침입탐지시스템을 갖추고 있다. ⑤ 혼용 방식을 사용하고 있다. ⑥ 침입탐지시스템은 없으나 기본적인 침입탐지 기능은 가지고 있다. (설명 필요)
2.3 시스템 취약성진단기술
※2.3.1 귀사(단체)는 어떤 종류의 시스템 취약성 진단 시스템을 사용하고 있습니까?
	① 상용 시스템 취약성 진단 소프트웨어를 사용한다. ② 자체 개발한 시스템 취약성 진단 소프트웨어를 사용한다. ③ 공개용 시스템 취약성 진단 소프트웨어를 사용한다. ④ 계약된 외부 전문 기관이 시스템 취약성 분석을 대행한다. ◆ 검증 근거 및 위치 : ()
※2.3.2 귀사(단체)의 취약성 분석 업무 수행 방법은 무엇입니까?
	① 시스템 취약성 분석 소프트웨어를 사용한다. ② 내부 전문가가 수작업으로 취약성의 존재 유무를 확인한다. ③ 외부 전문 기관이나 외부 전문가에게 요청한다. ◆ 검증 근거 및 위치 : ()
※2.3.3 귀사(단체)에서 발견된 시스템 취약 부분에 대한 대처 방법은 무엇입니까?
	① 취약점을 수정할 수 있는 자동화된 도구를 사용한다. (제품명) ② 취약점을 해결할 수 있는 내부 보안 전문 인력이 있다. ③ 보안 전문 서비스 혹은 자문 업체와 계약되어 있다. ④ 자체적으로 비전문 내부 인력이 해결하거나 전문 업체와 필요에 따라 연계한다. ◆ 검증 근거 및 위치 : ()
2.4 데이터 및 메시지 보호기술
2.4.1 데이터의 비밀성이 요구될 경우, 사용되는 방법은 무엇입니까?
	① 비 암호화 알고리즘을 사용한다. ② 자체적인 암호화 알고리즘을 사용한다(키길이 128bit 이하) ③ 공인된 암호화 알고리즘을 사용한다(키길이 128bit 이상) ④ 물리적으로 격리하여 책임자만이 접근 가능하도록 한다. ◆ 검증 근거 및 위치 : ()
2.4.2 데이터를 암호화할 시 암호화 범위는 어느 정도입니까?
	① 데이터 전체를 암호화한다. ② 데이터 인덱스 및 식별자 영역을 암호화한다. ③ 데이터의 부분을 암호화한다. ◆ 검증 근거 및 위치 : ()
2.4.3 데이터의 무결성이 요구되는 경우, 사용되는 방법은 무엇입니까?
	① 공인된 무결성 검사값을 사용한다 (알고리즘 종류) ② 자체적인 무결성 검사값을 사용한다. ③ 전자 서명/인증을 사용한다. ◆ 검증 근거 및 위치 : ()
2.4.4 메시지 보호를 위해 어떤 종류의 가상 사설망(VPN) 사용합니까?
	① 상용 가상 사설망 시스템을 갖추고 사용하고 있다. (제품명) ② 공개용 가상 사설망 시스템을 갖추고 사용하고 있다. (제품명) ③ 자체 프로토콜을 사용하여 내부적인 가상 사설망을 갖추고 있다.
2.5 컴퓨터바이러스 대응기술
※2.5.1 어떤 종류의 컴퓨터 바이러스 대응시스템을 사용하고 있습니까?
	① 상용 바이러스 진단 시스템을 갖추고 사용하고 있다. (제품명) ② 공개용 바이러스 진단 시스템을 갖추고 사용하고 있다. (제품명) ③ 중앙 통제 및 자동 갱신이 가능한 바이러스 진단 시스템을 가지고 있다. ④ 개별적으로 갱신이 가능한 바이러스 진단 시스템을 가지고 있다. ⑤ 실시간 탐지 및 감시가 가능한 바이러스 진단 시스템을 가지고 있다.
※2.5.2 바이러스 감염에 대비한 백신 운용 형태는 무엇입니까?
	① 실시간으로 바이러스 감염 여부를 점검한다. ② 계속적으로(1일 1회 이상) 바이러스 감염 여부를 점검한다. ③ 부정기적으로(1주 1회) 바이러스 감염 여부를 점검한다. (진단 주기) ④ 필요에 따라 부정기적으로 바이러스 감염 여부를 점검한다. ◆ 검증 근거 및 위치 : ()
2.6 자료 유출방지기술
※2.6.1 귀사(단체)의 내부 자료의 유출에 대비한 대처 방법은 무엇입니까?
	① 자료 유출 탐지 소프트웨어를 사용하여 자동 탐지한다. ② 로그 파일을 만들어 직원이 감시한다. ③ 로그 파일을 외부 전문가가 분석하도록 한다. ◆ 검증 근거 및 위치 : ()
2.7 보안관리기술
※2.7.1 귀사(단체)는 어떤 종류의 전체적인 보안 관리 시스템(Security Management System)의 사용하고 있습니까?
	① 보고 기능을 가진 소프트웨어를 사용하고 있다. ② 실시간으로 보안 관리를 하는 시스템을 사용하고 있다. ③ 관리 인력이 직접 수작업으로 보안 관리를 한다. ④ 부분적으로 보안관리를 한다. (설명 필요) ⑤ 통합 보안 관리 시스템을 설치하여 사용하고 있다.
2.8 백업기술
※2.8.1 귀사(단체)의 시스템에 대한 백업 실시 형태는 무엇입니까?
	① 주기적으로 자동화하여 실시한다. (백업 주기) ② 주기적으로 수작업으로 실시한다. (백업 주기) ③ 필요에 따라 부정기적으로 백업을 실시한다. ◆ 검증 근거 및 위치 : ()
※2.8.2 귀사(단체)는 어느 정도의 범위에서 시스템 백업을 실시하고 있습니까?
	① 모든 파일에 대해 백업을 실시한다. ② 시스템의 중요 파일과 사용자 파일에 대해 백업을 실시한다. ③ 사용자 파일에 대해서만 백업을 실시한다. ◆ 검증 근거 및 위치 : ()
※2.8.3 귀사(단체)의 어떤 장소에서 시스템 백업 자료를 보관 및 관리합니까?
	① 보안이 유지되는 안전한 장소에 따로 보관한다. ② 시스템과 같은 장소에 함께 보관한다. ③ 백업 관리자 개인이 보관한다.
2.9 인증기술
※2.9.1 귀사(단체)는 사용자의 인증을 위해 어떤 종류의 패스워드의 암호화를 사용합니까?
	① 일반 패스워드 화일을 사용한다. ② 제 3 자 인증 서비스를 사용한다. ③ 일회용 패스워드를 사용한다. ④ 비밀 토큰을 사용한다.
2.10 접근통제기술
※2.10.1 귀사(단체)가 접근 통제를 위해 사용하는 메커니즘의 형태는 무엇입니까?
	① 실패한 접속 시도는 규정된 횟수만큼만 허용한다. (접속 실패 허용 횟수) ② 일정한 수의 접속 실패 시 경고한다. ③ 일정한 수의 접속 실패 시 통신 선로를 물리적으로 단절한다. ④ 임의적 접근 통제 방법을 사용한다. ⑤ 강제적 접근 통제 방법을 사용한다.
2.11 장애대처기술
※2.11.1 귀사(단체)가 시스템 장애 대처 방법으로 사용하고 있는 대체 시스템의 복구 능력은 어느 정도입니까?
	① 완전 대체 시스템으로 실시간 복구가 가능하다. ② 중요 부분을 대체할 수 있으며 실시간으로 가능하다. ③ 중요 부분에 대체 시스템을 사용하고 있으며 일정 시간 내에 복구가가능하다. (평균 복구 소요시간) ④ 시스템 장애 복구를 위한 외부 기관과 계약을 맺고 시행한다. (평균 복구 소요시간)

3. 보안과 신뢰성 확보를 위한 관리적 요건

3.1 사용자 계정관리
※3.1.1. 귀사(단체)에서 이용하는 사용자 계정관리 방법은 무엇입니까?
	① 사용자가 임의로 관리한다. ② 관리자가 임의로 관리한다. ③ 사용자와 관리자가 공동으로 합의하여 관리한다. ◆ 검증 근거 및 위치 : ()
※3.1.2. 귀사(단체)의 사용자 계정의 관리 주기는 얼마입니까?
	① 하루에 1회 이상 실시한다. ② 1주일에 1회 이상 실시한다. ③ 1개월에 1회 이상 실시한다. ④ 필요한 때마다 실시한다. ◆ 검증 근거 및 위치 : ()
※3.1.3 귀사(단체)에서는 사용자들이 비밀 번호를 관리할 수 있도록 어떤 방법을제시하고 있습니까?
	① 추측 가능한 비밀번호를 사용하지 못하도록 한다. ② 주기적으로 비밀 번호를 바꾸도록 한다. ③ 사안별 작업별로 서로 다른 비밀번호를 사용하도록 한다. ◆ 검증 근거 및 위치 : ()
3.2 감사기록(로그 파일) 관리
※3.2.1 귀사(단체)에서 로그 파일 관리를 위해 어떠한 분야를 대상으로 하고 있습니까?
	① 네트워크 접속 관련 로그 정보를 수집한다. ② 시스템 접속관련 로그 정보를 수집한다. ③ 응용프로그램 사용 관련 로그 정보를 수집한다. ④ 침입 로그 및 접근 시도 로그 정보를 수집한다. ⑤ 각종 로그 파일에 대한 접근 정보를 수집한다. ◆ 검증 근거 및 위치 : ()
※3.2.2 귀사(단체)의 시스템 관련 로그 파일의 작성 및 분석의 대상이 되는 정보의 범위는 어느 정도입니까?
	① 각종 정보에 관한 로그 파일을 만들고 정밀하게 분석하고 있다. ② 필요한 정보에 관한 로그 파일을 만들어 분석하고 있다. ③ 로그 파일은 만들지만 분석은 필요한 경우에만 한다. ◆ 검증 근거 및 위치 : ()
※3.2.3 귀사(단체)는 로그 파일에 대한 물리적, 논리적 접근 권한을 어떠한 형태로 제한합니까?
	① 관리자 이외에는 접근하지 못하도록 엄격하게 제한한다. ② 관리자와 보안 전문 인력이 접근할 수 있다. ③ 내부 인력만이 접근 할 수 있도록 제한한다. ◆ 검증 근거 및 위치 : ()
※3.2.4 귀사(단체)의 로그 파일의 최대 저장 기간 및 복구 방법은 무엇입니까?
	① 반영구적으로 보관하며 사고 즉시 복구 가능하다(5년 이상). ② 적어도 1년 정도는 보관하며 사고 즉시 복구 가능하다. ③ 적어도 6개월은 보관하며 수 작업으로 수일 내에 복구 가능하다 ◆ 검증 근거 및 위치 : ()
3.3 제반 인적자원에 대한 교육
※3.3.1 귀사(단체)의 일반 사용자에 대한 보안 교육 주기는 얼마입니까?
	① 자체적으로 자주(1개월에 1회 이상) 실시한다. ② 자체적으로 필요에 따라 실시한다. ③ 외부 위탁 형태로 1개월에 1회 이상 실시한다. ④ 1년에 한번 정도 실시한다. ◆ 검증 근거 및 위치 : ()
※3.3.2 귀사(단체)의 시스템 운영관리자에 대한 보안 교육은 어떠한 방법으로 이루어지고 있습니까?
	① 보안시스템 사용여부(보안등급, 평가제품 사용여부)에 관해 교육한다. ② 담당자 보안에 관해 재교육을 실시한다. ③ 목적 외 다른 용도 사용여부를 교육한다. ④ 주기적인 보안점검 및 조치여부를 교육한다. ◆ 검증 근거 및 위치 : ()
※3.3.3 귀사(단체)에 보안 전문 인력이 있는지의 여부와 있다면 그 교육은 어떠한 형태로 이루어지고 있습니까?
	① 보안전담인력을 두고 정기적으로 교육하고 있다. (시스템규모 대비 인원수) ② 보안전문인력이 있으나, 타 업무를 함께 수행하고 있다. ③ 내부 엔지니어가 교육을 받으며 운영하고 있다. (설명 필요) ◆ 검증 근거 및 위치 : ()
3.3.4. 귀사(단체)에서 정보 보안에 관한 교육을 어떠한 형태로 실시하고 있습니까?
	① 시스템보안 관련 직원 교육을 별도로 실시하며, 전 직원 보안 교육도 정기적으로 실시한다. ② 시스템보안과 관련된 직원을 정기적으로 교육한다. ③ 필요에 따라 보안 관련 직원을 교육하고 있다. ◆ 검증 근거 및 위치 : ()
3.3.5 귀사(단체)에서 시스템을 관리하는 전문 인력이 있는지의 여부와 있다면 그 전문 인력에 대한 교육은 어떠한 방식으로 이루어지고 있습니까?
	① 전문인력이 있고 정기적으로 시스템관련 교육을 한다(. 인원 및 교육 빈도) ② 전문 인력은 없으나 전담하는 직원이 있으며 정기적으로 교육한다. ③ 내부 직원이 분담하고 있으며 정기적으로 교육한다. ◆ 검증 근거 및 위치 : ()
3.4 각종 지침, 절차 수립 및 관리
※3.4.1 귀사(단체)에서는 어떠한 방법으로 백업을 복구하며 또 그 복구 절차에 대해 규정하고 시행을 하고 있습니까?
	① 백업 복구 및 절차에 대한 지침을 규정 및 시행하고 있다. ② 가장 최근의 백업본을 이용하여 복구한다. ③ 관리자의 임의의 판단에 의해 복구한다. ◆ 검증 근거 및 위치 : ()
※3.4.2 귀사(단체)에서는 보안 체계를 수립하고 이를 준행하고 있습니까?
	① 국제적으로 인정된 보안 체계를 준행한다 ② 보안 전문가가 작성한 인정할 수 있는 보안 체계를 준행한다. ③ 내부적으로 보안 체계를 작성하여 준행한다. (설명 필요) ◆ 검증 근거 및 위치 : ()
※3.4.3 귀사(단체)에서는 보안정책, 지침 및 절차를 수립하여 사용하고 있습니까?
	① 표준안을 사용한다. ② 자체적으로 수립하여 사용한다. ③ 보안 관리자가 임의로 수립 및 사용하고 있다. ◆ 검증 근거 및 위치 : ()
3.4.4 귀사(단체)에서는 어떤 부분의 정보통신 보안 수행 체계를 수립하여 사용하고 있습니까?
	① 보안절차, 보안통제 점검/감독한 보안관리체계여부 ② 관리부서의 권한 및 인적자원 보유여부 ③ 보안교육 계획 및 실시여부 ④ 전직원에 대한 보안교육실시 여부 ⑤ 사고유형 및 사고조치 절차 숙지여부 ◆ 검증 근거 및 위치 : ()
3.4.5. 귀사(단체)에서 직원이 숙지하고 있는 정보 보호에 관한 문서의 종류는 무엇입니까?
	① 정보 보호 정책에 관한 문서를 보유하고 담당 직원이 숙지하고 있다. ② 정보 보호 지침서를 보유하고 담당 직원이 숙지하고 있다. ③ 정보 보호 절차서를 보유하고 담당 직원이 숙지하고 있다(중 1개). ④ 기타 보안사항에 관한 문서를 보유하고 숙지하고 있다. ◆ 검증 근거 및 위치 : ()
3.5 보안 시스템 운용 및 관리 형태
※3.5.1 귀사(단체)에서 침입차단시스템(firewall)을 운영하는 형태는 무엇입니까?
	① 침입차단시스템 운영전문가를 두어 정책을 설정하고, 자체적으로 시스템을 정비 할 능력이 있다. ② 침입차단시스템 운영전문가는 없으나, 부정기적으로 침입차단시스템 전문가의점검을 받도록 계약되어 있다. (점검 주기) ③ 내부 엔지니어가 교육을 받으며 운영하고 있다. (설명 필요) ④ 자체적으로 침입차단시스템을 사용하는 관리 지침을 규정 및 실시하고 있다(문서확인). ◆ 검증 근거 및 위치 : ()
※3.5.2 귀사(단체)에서 침입탐지시스템(IDS) 운용하는 형태는 무엇입니까?
	① 침입탐지시스템 운영전문가를 두고 정책을 설정하고, 자체적으로 시스템을 정비 할 능력이 있다. ② 침입차단시스템 운영전문가는 없으나, 부정기적으로 침입차단시스템 전문가의 점검을 받도록 계약되어 있다. (점검 주기) ③ 내부 엔지니어가 교육을 받으며 운영하고 있다 (설명 필요) ④ 자체적으로 침입탐지시스템을 사용하는 관리 지침을 규정 및 실시하고 있다(문서확인). ◆ 검증 근거 및 위치 : ()
3.5.3 귀사(단체)에서는 어떤 방법으로 가상 사설망(VPN) 운용하고 있습니까?
① 가상 사설망 운영전문가를 두어 정책을 설정하고, 자체적으로 시스템을 정비할 능력이 있다. ② 가상 사설망 운영전문가는 없으나, 부정기적으로 보안 전문가의 분석을 받도록 계약되어 있다. (분석 주기) ③ 내부 엔지니어가 교육을 받으며 운영하고 있다. (설명 필요) ④ 구체적으로 가상 사설망 운영을 위한 지침을 규정 및 시행하고 있다(문서확인). ◆ 검증 근거 및 위치 : ()
3.5.4 귀사(단체)에서는 얼마의 주기로 시스템 취약성 분석하고 있습니까?
	① 계속적으로 실시한다 ② 1일 1회 이상 혹은 계속적으로 분석하고 점검한다. ③ 1주 1회 이상 분석하고 점검한다. ④ 1개월에 1회 이상 분석하고 점검한다. ⑤ 필요에 따라 비정기적으로 실시한다. ◆ 검증 근거 및 위치 : ()
※3.5.5 귀사(단체)에서 시스템의 취약성 분석을 담당하는 자는 누구입니까?
	① 외부 보안 전문 인력이 계약에 의해 취약성 진단을 대행한다. (진단 주기) ② 자체적으로 일반 직원이 취약성 진단을 수행한다. ③ 자체 전문 인력이 취약성 진단을 수행한다. ◆ 검증 근거 및 위치 : ()
※3.5.6 귀사(단체)에서는 어떤 방법으로 보안 관리 시스템을 운용하고 있습니까?
	① 실시간으로(지속적으로) 전담 인력이 관리한다. ② 자체 보안 관리 전문가는 없으나, 부정기적으로 외부 전문가의 분석을 받도록 계약되어 있다. (분석 주기) ③ 내부 엔지니어가 교육을 받으며 운영하고 있다. (설명 필요) ④ 자체적으로 보안 관리를 위한 지침을 규정 및 실시하고 있다(문서확인). ◆ 검증 근거 및 위치 : ()
3.6 정보보호 업무수행 인력 관리
※3.6.1 귀사(단체)에서 정보보호 업무를 수행하는 담당자는 누구입니까?
	① A/P 운영자 ② 네트워크/시스템 운영자 ③ 정보보호 전담자 ④ 타 업무를 담당하고 있는 일반 사원 ◆ 검증 근거 및 위치 : ()
3.6.2 귀사(단체)에서 정보보호 업무를 수행하는 담당자의 전문성 정도는 어느 수준입니까?
	① 책이나, 인터넷을 통해 전문 지식 습득 ② 국내의 (전문) 교육 과정 수료 ③ 관련 석,박사 학위 또는 관련 자격증(CISSP, CISA, 감리 등) 소지 ◆ 검증 근거 및 위치 : ()
3.7 사후 처리능력 관리
※3.7.1 귀사(단체)에서 발생한 보안문제에 대한 대처 방법은 무엇입니까?
	① 자체적으로 해결할 수 있다. ② 외부 전문 기관에 의뢰하도록 되어있다. ③ 미리 만들어진 지침에 따라 해결한다. ④ 비상 사태에 대비하여 대응 훈련을 실시한다. ◆ 검증 근거 및 위치 : ()
※3.7.2 귀사(단체)에서 보안문제 발생 시 이에 대응할 수 있는 인력이 있습니까?
	① 전문 교육 이수자를 충분히 보유하고 있다. ② 자체적으로 전문 인력에 대한 교육을 실시한다. ③ 외부 전문 기관에 속한 인력 지원을 의뢰한다. ◆ 검증 근거 및 위치 : ()
※3.7.3 귀사(단체)에서 전산 시스템 및 네트워크에 이상 징후 발견 시 처리 능력 정도는 어느 수준입니까?
	① 모든 직원이 대응 절차를 숙지하고 있다. ② 일부 직원만이 숙지하고 있다. ③ 보안 관련 전문 요원이 숙지하고 있다. ④ 보안 관련 전문 기관에게 의존한다. ⑤ 공인 정보보호기관이나 팀에게 의존하고 있다. ⑥ 시스템 및 네트워크 관리자들이 숙지하고 있다. ⑦ 시스템 및 네트워크 설치를 담당한 외부 기관에게 의존한다. ◆ 검증 근거 및 위치 : ()
3.7.4 귀사(단체)에서는 공격에 의한 시스템 문제 발생 시 어떤 방법으로 대처합니까?
	① 실시간으로 담당자에게 연락된다. ② 실시간으로 자동 복구되도록 되어 있다. ③ 실시간으로 자동 격리되도록 되어 있다. ④ 로그 파일을 남긴 상태에서 전화, 팩스 그리고 별도의 인터넷 통신 수단이 있다. ◆ 검증 근거 및 위치 : ()
※3.7.5 귀사(단체)에서 보안 위반 시도 시 혹은 발생 시 대처 방법은 무엇입니까?
	① 위반 상황을 기록하고 위반 내용과 현재 상태 등을 관리자에게 실시간으로 통보 한다. ② 불법 접근 시도에 대해 적절하게 조치하고 있다. ③ 추후의 시도를 방지하기 위해 타 보안 시스템과 연계한다. ◆ 검증 근거 및 위치 : ()
※3.7.6 귀사(단체)의 시스템이 폐해 발생 후 어느 정도의 복구 시간이 소요됩니까?
	① 복구할 수 있는 체계가 마련되어 있으며 즉시 복구가 가능하다. (평균 소요 시간) ② 복구할 수 있는 체계는 없으나 복구의 준비는 부분적으로 되어있다. ③ 상황에 따라 대처할 수 있는 기술 인력과 연계가 가능하다. ◆ 검증 근거 및 위치 : ()
※3.7.7 귀사(단체)에서는 보안 위반사항 관리기능을 사용하고 있습니까?
	① 보안 위반 사항 관리를 자동화하여 사용하고 있다. ② 보안 위반 사항의 발견 및 경고, 확인기능을 가지고 있다. ③ 보안 위반 사항의 기록을 안전하게 유지하고 있다. ◆ 검증 근거 및 위치 : ()
※3.7.8 귀사(단체)에서 인터넷 해킹 사건/사고의 처리 담당자는 누구입니까?
	① 모든 사건/사고는 경영층에 보고된다. ② 부서 내에서 처리된다. ③ 담당자 및 책임자 선에서 처리된다. ④ 내부적인 전담 팀, 전담자에 의해서 처리된다. ⑤ 외부적인 침해사고 대응팀, 대응 기관에 의해서 처리된다. ⑥ 외부적인 전문 기관과의 계약에 의해서 처리된다 ◆ 검증 근거 및 위치 : ()
※3.7.9 귀사(단체)에서 보안문제(H/W, S/W) 발생을 대비하여 어떠한 예비 요소 확보하고 있습니까?
	① 예비 H/W와 예비 S/W를 확보하고 있다. ② 예비 H/W만을 확보하고 있다. ③ 예비 S/W만을 확보하고 있다.
3.7.10 귀사(단체)에서는 어떠한 방법으로 중요한 자료를 보관하고 있습니까?
	① 중요성에 근거하여 별도 접근 통제 방식을 사용한다. ② 전송시 무결성을 위한 조치를 별도로 한다. ③ 기록관리 및 로그관리를 별도로 한다. ④ 정기적인 백업관리를 별도로 한다. ⑤ 중요정보는 비밀성 보장을 위해 암호화하여 저장한다. ◆ 검증 근거 및 위치 : ()
3.8 정책 및 감사 관리
※3.8.1 귀사(단체)에서는 어떠한 방법으로 보안 정책을 수립하고 있습니까?
	① 보안 전문가가 책임 영역 내에서 독립적으로 수립하고 시행하고 있다. ② 다수의 보안 전문가가 협의를 거쳐 전체적으로 수립하고 시행하고 있다. ③ 내부 인력(보안 전문가, 관리자, 내부 사용자 등)이 공동으로 협의를 거쳐 수립하여 시행한다. ④ 필요에 따라 각 담당자가 독립적으로 수립하여 시행한다. ◆ 검증 근거 및 위치 : ()
※3.8.2 귀사(단체)에서 어떠하 형태로 보안 감사를 실시하고 있습니까?
	① 자문기관, 외부 보안전문기관이나 회사가 보안 감사를 실시한다(감사 주기 표시) ② 내부 보안 전문가가 정기적으로 보안 감사를 실시한다(감사 주기 표시). ③ 내부 인력이 비정기적으로 보안 감사를 실시한다. ◆ 검증 근거 및 위치 : ()
3.9 중요 인적 자원, 및 인적 요소 관리
※3.9.1 귀사(단체)는 어떠한 형태로 민감한 정보를 취급하는 사람을 채용합니까?
	① 단순한 면접을 통하여 채용한다. ② 신원조회를 통해 채용한다. ③ 전문회사를 통한 배경 조사를 한 후 채용한다. ◆ 검증 근거 및 위치 : ()
※3.9.2 귀사(단체)에서는 민감한 정보를 취급하는 중요한 위치에 있는 사람에 대한 보안서약서는 언제 받습니까?
	① 채용 시에 받는다. ② 채용 시 및 해고 시에 받는다. ③ 매년마다 정기적으로 받는다, ④ 취급 정보에 따라 받는다. ◆ 검증 근거 및 위치 : ()
※3.9.3 귀사(단체)에서는 어느 정도의 범위로 시스템/네트워크 운영자에게 권한을 부여합니까?
	① 전체 시스템과 네트워크에 접근, 업무를 수행할 수 있다. ② 부분적으로만 접근 또는 업무를 수행 할 수 있다. ③ 통제하에 접근 또는 업무를 수행 할 수 있다. ④ 일반 프로그램에는 전혀 접근할 수 없다. ◆ 검증 근거 및 위치 : ()
※3.9.4 귀사(단체)에서 일반 프로그램의 설치, 변경 및 시스템/네트워크 정책 설정시 어떠한 형태로 담당자가 수행하고 있습니까?
	① 담당 책임자의 전권하에 수행된다. ② 담당 책임자가 사후에 확인한다. ③ 담당 책임자가 사전/사후 통제할 수 있도록 절차가 마련되어 있다.

주소 : 서울시 서초구 서초동 1678-2 동아빌라트 2Town 2F