시스템개발 보안지침은 클라우드컴퓨팅서비스를 제공하기 위한 운영문서로서 검토되고 승인됨

제목 없음

주식회사 팀모노리스 시스템개발 보안지침

2024. 07 .11

개정 이력

제1장 총칙

제1조(목적)

이 지침은 주식회사 팀모노리스의 ‘정보보호정책서’에 의거 구성원의 시스템개발 및 도입과 관련한 보안 사항을 규정함을 목적으로 한다.

제2조(적용 범위)

이 지침은 주식회사 팀모노리스의 클라우드 컴퓨팅 서비스 업무에 종사하는 임직원 및 주식회사 팀모노리스와 계약을 맺어 클라우드 컴퓨팅 서비스 업무 외부 업체 직원 모두에게 적용된다.

제3조(용어 정의)

이 지침에서 사용되는 용어 정의는 다음 각 호와 같다.

  1. “시스템”이라 함은 클라우드 컴퓨팅 서비스 제공을 목적으로 도입, 구축, 운영하는 시스템을 말한다.

제2장 시스템 개발

제4조(보안요구사항 정의)

① 신규 시스템 개발 및 기존 시스템 변경 시 정보보호 관련 법적 요구사항, 최신 보안 취약점, 정보보호 기본 요소(기밀성, 무결성, 가용성) 등을 고려하여 보안요구사항을 명확히 정의하고 이를 적용하여야 한다.

② 정의된 보안 요구사항을 반영하여 설계하고 개발을 하여야 한다

③ 신규 클라우드 시스템 개발 및 기존 시스템 변경 시 아래의 정보를 참고하여 요구사항 정의부터 운영까지 일관성 있게 적용할 수 있도록 하여야 한다.

제5조(인증 및 암호화 기능)

① 클라우드 시스템 설계 시 사용자 인증에 대한 보안 요구사항을 정의하여 반영하여야 한다.

② 중요 정보의 입·출력(저장 및 조회) 시 암호화가 요구되는 경우 법적 요구사항을 고려한 적절한 암호화 방법을 사용하여야 한다.

③ 클라우드시스템을 통해 중요 정보를 송∙수신하는 경우 기밀성 및 무결성을 지원하는 안전한 채널을 통하여 중요 정보를 송∙수신하여야 한다.

제6조(보안로그 기능)

① 보안사고 발생 시, 책임 추적을 위하여 클라우드 시스템은 다음과 같은 감사증적(로그)을 확보할 수 있도록 설계하여야 한다.

② 보안로그를 보호하기 위한 대책을 마련하여야 한다.

③ 보안로그는 다음과 같은 사항이 포함되어야 한다.

④ 보안로그 저장소의 한계를 초과하기 전에 인프라 담당자에게 경보, 알람 등을 보낼 수 있도록 하여야 한다.

제7조(권한 부여 기능)

① 관리, 사고 발생 시 책임 추적성을 위해 접근 권한 부여 기록을 확보할 수 있는 기능을 반영하여야 한다.

② 로그를 보호하기 위한 대책을 마련하여야 한다.

③ 접근 권한 부여 로그는 다음과 같은 사항이 포함되어야 한다.

제8조(구현)

① 시스템 및 어플리케이션에서 알려진 기술적 보안취약점으로 인한 위협을 최소화하기 위하여 안전한 코딩표준 및 규약을 마련하여야 하며, 이에 따라 클라우드 시스템을 구현하여야 한다.

② 코딩 완료 후 안전한 코딩표준 및 규약 준수 여부를 점검하고 기술적 보안취약점이 존재하는지 확인하여 취약점 발견 시 재코딩을 하여야 한다.

제9조(시험)

① 시스템 및 애플리케이션 구현 완료 후 사전 정의된 보안 요구사항을 충족하는지 확인하기 위하여, 시험 시나리오, 체크리스트 등을 작성하여 시험을 수행하여야 한다.

② 시험을 수행하기 위해 시험 목적, 시험의 대상 기능, 시험 환경(도구 포함), 시험 절차 등이 포함된 별지 제1호 서식 ‘시험서’에 시험계획을 수립하고, 시험 계획에 따라 시험을 수행한 후 시험 결과를 포함하여 문서로 기록하여야 한다.

③ 시험 환경에서는 운영 데이터의 사용을 금지한다.

④ 시스템 및 어플리케이션이 운영되기 전에는 시험 과정에 사용된 디버깅 코드, 계정 및 데이터를 모두 삭제하고 운영되어야 한다.

제10조(개발환경 분리)

①  원칙적으로 개발·시험 환경과 운영 환경은 분리되어야 한다.

② 분리된 네트워크 간에는 방화벽, IPTABLE 등과 같은 접근통제 기능을 제공하는 도구를 이용하여 접근통제를 적용하여야 한다.

③ 개발·시험 환경과 운영 환경을 분리하기 어려운 경우 다음 사항을 포함한 보안대책을 수립한 후 적용하여야 한다.

④ 개발·시험이 완료된 결과를 운영환경으로 이관하기 위한 절차를 수립하여야 한다.