보안 요구사항. 아래 용어는 다음과 같이 사용됩니다.
보안 요구사항. 요구사항 고유번호 SER-001
1) 한국산업은행「보안세칙」,「정보시스템세칙」,「개인정보보호세칙」 2)행정자치부 「개인정보보호법」,「개인정보의 안전성확보조치기준 및해설서」 3)국가정보원「국가정보보안기본치침」 4)금융감독원「전자금융감독규정」 ○ 위 보안요구사항은 위 관계법령 및 규정을 참조하여 작성 하였으며, 관련 규정 및 상세대책 수립(변경)시 사업진행 중이라도 이후 보안활동의 경우에는 준수하여야 한다 산출물 보안관련약정(계약시 날인후 제출), 신원진술서, 보안서약서, 보안성검토 요청서 등 요구사항 명칭 물리적 보안 요구사항 분류 보안 요구사항 응락수준 필수 요구사항 내용 ○ 사무실 보안 ￭ 사업자는 사무실 또는 본 사업을 수행하는 공간에 대해 보안점검을 주 1회 이상 실시하여야 하며, 결과 내용에 대해 사업담당자의 확인 및 개선 조치요구에 따라야 함 ￭ 자체보안점검, 비인가자의 출입관리, PC 보안 프로그램 설치(백신, 매체 통제 등), 파일서버 운용, 인터넷 통제, 시건장치 설치 및 보안통제 가능한 공간 확보 등 본 제안 요청서 및 당행 내부규정을 준용하여 관리해야 함 ○ 매체 및 장비 반출입 보안 ￭ 사업자는 노트북 PC 등 휴대용 정보기기를 반입할 수 없으며 부득이한 경우에는 당행의 보안담당자 확인을 받고 필요한 보안조치 후 반입 ￭ 사업자는 반입한 PC 등 정보기기에 당행이 제시하는 보안 소프트웨어를 반드시 설치하여야 하며 임의로 삭제하거나 그 실행을 중단시키지 아니함 ￭ USB 메모리 등 휴대용 저장매체, CD/DVD-Writer 등 휴대용 저장매체에 대한 데이터 기록 장치, WIFI 등 무선 통신장치 및 비인가 주변장치의 부착을 금지하며, USB PORT는 물리적인 차단 조치를 하여야 함. 업무상 필요 하여 당행 보안담당자의 확인을 득한 경우에 한하여 사용 가능 ￭ 사업자는 PC에 전원기동(CMOS) 패스워드, 윈도우 로그인 패스워드, 화면 보호기(10분간격) 패스워드를 영문자 및 숫자가 조합된 9자리 이상으로 설정하여야 함 ￭ 인터넷사용 단말과 내부용 단말을 엄격히 분리함 산출물 보안조치사항점검보고서 등 요구사항 명칭 기술적 보안 요구사항 분류 보안 요구사항 응락수준 필수 요구사항 내용 ○ 시큐어코딩 가이드 준수 ￭ 사업 수행단계별 이행할 사항 1) 요구정의단계 : 시큐어코딩 표준 작성 및 개발자 교육 실시 2) 설계 및 구현 단계 : 시큐어코딩 표준 준수 및 검토 3) 테스트 단계 : 시큐어코딩 진단 및 보안 취약점 보완 ￭ 발견된 취약점은 사업수행 기간내에 보완 조치 ￭ 시큐어코딩 진단시 자동화 진단 도구를 활용 ○ 식별 및 인증￭ 관리자 또는 사용자 신원을 검증하기 위해 식별 및 인증기능 제공 ￭ 관리자 인증 실패가 설정된 횟수에 도달하면, 식별 및 인증기능이 비활성 ￭ 패스워드 등록시 보안성 기준(영문대문자/영문소문자/숫자/특수 문자 중 3가지 이상의 규칙조합 및 9자리 이상으로 구성)을 만족 ￭ 패스워드가 마스킹(예 : **** 등)되어 표시 ￭ 식별 및 인증 실패시, 실패이유에 대한 피드백(예 : ID 오류, 패스워드 오류 등)을 제공하지 않아야 함 ￭ 관리자가 제품에 최초 접속시 제품이 기본적으로 제공하는 ID 및 패스워드의 변경을 강제화하는 기능 제공 ￭ 관리자의 패스워드가 제품에 하드코딩되거나 평문(단순 인코딩 포함)으로 저장되지 않아야 함 ￭ 인증정보가 재사용되는 것을 방지(타임스탬프 사용 등)해야 함 ○ 접속기록 ￭ 입·출력 및 수정사항, 파일별·담당자별 데이터 접근내역 등을 자동으로 기록하는 로그 파일을 생성하여 불법적인 접근 또는 행동을 확인할 수 있어야 함 ￭ 업무시스템에 접속하여 수행한 업무 내역에 대하여 식별자, 접속일시, 접속지를 알 수 있는 정보, 수행업무 등의 접속 기록을 최소 6개월 이상 저장하고 정기적으로 확인할 수 있어야 함 요구사항 고유번호 SER-003 (계속) 요구사항 명칭 기술적 보안 요구사항 분류 보안 요구사항 응락수준 필수 요구사항 내용 <접속기록 항목> ○ 개인정보 보안 ￭ 개인의 실명, 주민등록번호 등 중요정보가 있는 경우 암호화 하여 저장하고 출력할 경우 정보의 일부분을 마스킹하여 표시하며, 네트워크 전송시에도 암호화 조치 ￭ 「개인정보보호법」및 「전자금융감독규정」준수 ○ 데이터 보안 ￭ DB 데이터 중 보안이 필요한 패스워드 및 개인정보 등, 외부 유출시 문제가 될 수 있는 중요 정보는 반드시 암호 화하며 단방향 암호화 방식을 사용함 ￭ 사용자 권한에 따른 화면별 접근 권한 설정 ○ 네트워크 보안 ￭ 외부기관에서 당행 네트워크에 접속하는 In-bound 방식 통신은 허용불가 산출물 소스코드 취약점 보고서 등 접속자 IP 주소 접속지 정보 수행 업무 열람, 수정, 삭제, 입력 등