네트워크 보안관리지침은 클라우드컴퓨팅서비스를 제공하기 위한 운영문서로서 검토되고 승인됨
제1조(목적)
이 지침은 주식회사 팀모노리스의 ‘정보보호정책서’에 의거 구성원의 네트워크 보안관리에 필요한 사항을 규정함을 목적으로 한다.
제2조(적용 범위)
이 지침은 주식회사 팀모노리스의 클라우드 컴퓨팅 서비스 업무에 종사하는 임직원 및 주식회사 팀모노리스와 계약을 맺어 클라우드 컴퓨팅 서비스 업무 외부 업체 직원 모두에게 적용된다.
제3조(용어 정의)
이 지침에서 사용되는 용어 정의는 다음 각 호와 같다.
“내부망”이라 함은 외부에서 직접 접근이 불가능한 네트워크 영역으로 내부 IP 체계에 따라 운영되는 네트워크 영역을 말한다.
“네트워크시스템”이라 함은 유·무선 네트워크 서비스 제공을 위해 사용되는 시스템을 말한다.
제4조(네트워크시스템 운영관리)
① 인프라 담당자는 네트워크시스템을 신규 설치 변경한 후 별지 제1호 서식 ‘네트워크 시스템 이력 관리대장’을 작성하여 변경사항을 기록, 유지한다.
② 인프라 담당자는 네트워크시스템의 구성 정보 등의 변경은 다음 각 호에 따른다.
네트워크시스템 변경을 위한 작업계획 수립 및 보고
필요 시 관련 업무 담당자에게 문서 발송
작업수행 및 검증 테스트
완료 보고서 작성 및 보고
③ 네트워크시스템 구성 정보는 장애 등에 대비하기 위하여 백업하여야 한다.
제5조(네트워크시스템 주소 관리)
① 모든 네트워크 사용자는 고정된 IP 주소를 사용한다.
② 인프라 담당자는 네트워크시스템에서 사용하는 IP 주소를 체계적으로 관리하여야 한다.
③인프라 담당자는 IP 주소 및 환경정보, 구성도 등은 외부로 유출되지 않도록 대외비로 관리한다.
제6조(네트워크시스템 접근관리)
① 인프라 담당자는 별지 제2호 서식 ‘네트워크시스템 계정 및 비밀번호 관리대장’을 유지하고 주기적으로 계정, 비밀번호 및 권한에 대한 현황을 점검하여야 한다.
② 인프라 담당자는 최소한의 계정만을 생성하여 제한된 사용자만이 사용하도록 하여야 한다.
③ 네트워크시스템 설치 시 기본적으로 생성되는 불필요한 계정을 삭제하고, 해당 계정이 필요한 경우 비밀번호를 변경하여 사용하여야 한다. 다만, 해당 기능이 없는 장비인 경우는 제외한다.
④ 네트워크시스템의 관리자 계정 접속은 콘솔포트 및 특정 PC에서만 접근 가능하도록 설정한다. 다만, 해당 네트워크시스템에 접속 제한 기능이 없는 경우는 별도의 보안대책을 강구한다.
⑤ 네트워크시스템의 비밀번호 및 인증에 관한 사항은 「시스템개발보안지침」으로 따로 정한다.
제7조(네트워크시스템 보안관리)
① 인프라 담당자는 네트워크시스템 운용을 위하여 적용할 보안 조치 사항은 다음 각 호와 같다.
네트워크시스템에 대한 원격접속은 장비 관리 목적으로 특정 내부IP‧MAC 주소에서의 접속만 허용
물리적으로 안전한 장소에 설치하여 비인가자의 무단 접근통제
최초 설치 시 보안취약점을 점검하여 제거하고 주기적으로 보안패치 실시
불필요한 서비스 포트 제거
제8조(네트워크시스템 운영관리)
① 유·무선 네트워크 장비(공유기, 무선AP 등)의 추가 설치 및 실습실 네트워크 구성 변경 등이 필요한 경우에는 정보보호최고책임자와 사전 협의하여야 한다.
② 연구실, 실습실 등에서 IP 주소가 추가로 필요한 경우에는 정보보호최고책임자와 사전 협의하여야 하며, 사전 협의 대상은 다음 각 호와 같다.
독자적으로 IP 주소, 도메인 사용이 필요한 경우
대량으로 IP 주소 할당이 필요한 경우(NAT: Network Address Translation 사용 등)
많은 트래픽 발생이 예상되는 경우
서비스의 추가 또는 변경 등이 필요한 경우
임시 테스트로 사용이 필요한 경우
③ 인프라 담당자는 사전 협의 없이 교내 네트워크 서비스에 영향을 주는 경우 네트워크 사용을 제한할 수 있다.
제9조(네트워크시스템 보안 패치 관리)
① 새로운 취약점에 대한 보안패치가 발표되면 해당 네트워크시스템의 보안사고 예방을 위한 보안조치 사항은 다음 각 호와 같다.
보안패치 정보를 주기적으로 확인하여 적용한다.
주요 보안패치에 대해서는 적용일 등 패치 정보를 별지 제3호 서식 ‘네트워크시스템 보안패치 관리대장’을 작성하여 관리한다.
② 패치 적용 대상 네트워크시스템 별로 보안패치 방법 및 절차는 다음 각 호와 같다.
네트워크시스템 최신 버전 확인 시 보안패치를 진행한다.
패치는 업무시간 종료 이후 또는 점심시간에 적용함을 원칙으로 한다.
테스트 장비가 존재할 경우에는 테스트 장비에서 먼저 패치를 적용하여 이상 여부를 확인한 후 운영 장비에 적용한다.
다수의 장비에 동시 적용하는 경우 1개의 장비에 먼저 패치를 적용하여 안정성을 확인한 후 나머지 장비에 확대 적용한다.
네트워크시스템의 보안패치 적용은 일정을 수립하여 패치를 적용한다.
패치 적용 후 네트워크시스템이 정상작동 되는지에 대해 테스트를 수행하고, 장애 발생 시 즉시 대응하며 원인 파악이 길어질 경우 원상 복구한다.
패치로 인한 성능, 환경 등의 운영에 문제 발생할 우려가 있는 경우 긴급 취약점 패치만 적용하는 것을 허용한다.
제10조(네트워크시스템 유지관리)
① 인프라 담당자는 유·무선 네트워크시스템의 가용성을 보장하기 위해 유지보수 업체에 예방 점검을 요청하여 정기점검을 실시하여야 한다.
② 인프라 담당자는 네트워크시스템의 안정적인 운용을 위해 최신 운영체제 중 가장 안전한 버전을 사용하여야 하며, 새로운 운영체제 적용 시에는 모든 보안취약점을 제거하여야 한다.
③ 유지보수 수행 과정에서 네트워크시스템 정보가 유지보수 인력에 의해 유출되지 않도록 조치하여야 한다.