# ISMS
ISMS git branch 전략
ISMS 및 내부회계감사 정책에 따르면 개발자는 운영서버에 직접 소스 배포가 불가능하다 현재 팀에는 개발자들로만 구성되어 있는데 배포운영자는 개발자여서는 안된다는 정책때문에 이와 같이 티오를 마련하지 못한 회사들의 경우 어떻게 해야될까
ISMS : 보안 강화할게 - RDS Aurora MySQL CloudWatch 감사로그
회사 보안 지침에 따른 RDS Aurora MySQL 감사 로그 생성
[정보보호관리체계] ISMS 소개
인증심사 : 인증 심사원은 결함을 업체에 제시> 업체가 결함을 고치면 통과인증심사 이전에 사전심사가 있음(본 심사를 받을 만한 수준인지 판별)인증 : 체계 기준에 적합함을 증명인증 심사 : 서면심사 및 현장심사의 방법으로 적합 여부 확인정보보호관리체계 인증심사 기준은
2.12 재해 복구
자연재해, 통신·전력 장애, 해킹 등 조직의 핵심 서비스 및 시스템의 운영 연속성을 위협할 수 있는 재해 유형을 식별하고, 유형별 예상 피해규모 및 영향을 분석하여야 한다. 또한 복구 목표시간, 복구 목표시점을 정의하고 복구 전략 및 대책, 비상시 복구 조직, 비상연락
2.11 사고 예방 및 대응
침해사고 및 개인정보 유출 등을 예방하고 사고 발생 시 신속하고 효과적으로 대응할 수 있도록 내·외부 침해시도의 탐지·대응·분석 및 공유를 위한 체계와 절차를 수립하고, 관련 외부기관 및 전문가들과 협조체계를 구축하여야 한다.침해사고의 정의 및 범위(개인정보 유출사고,
2.10 시스템 및 서비스 보안관리
보안시스템 유형별로 관리자 지정, 최신 정책 업데이트, 룰셋 변경, 이벤트 모니터링 등의 운영절차를 수립·이행하고 보안시스템별 정책적용 현황을 관리하여야 한다.보안시스템 접근통제 정책(사용자 인증, 관리자 단말 IP 또는 MAC 등)보안시스템 운영현황의 주기적 점검네트
2.9 시스템 및 서비스 운영관리
정보시스템 관련 자산의 모든 변경내역을 관리할 수 있도록 절차를 수립·이행하고, 변경 전 시스템의 성능 및 보안에 미치는 영향을 분석하여야 한다.운영체제 업그레이드, 상용 소프트웨어 설치, 운영 중인 응용프로그램 기능 개선, 네트워크 구성 변경, CPU·메모리·저장장치
2.8 정보시스템 도입 및 개발 보안
정보시스템의 도입·개발·변경 시 정보보호 및 개인정보보호 관련 법적 요구사항, 최신 보안취약점, 안전한 코딩방법 등 보안 요구사항을 정의하고 적용하여야 한다.새로운 정보시스템(서버, 네트워크 장비, 상용 소프트웨어 패키지) 및 보안시스템 도입 시 도입 타당성 분석 등의
2.7 암호화 적용
개인정보 및 주요정보 보호를 위하여 법적 요구사항을 반영한 암호화 대상, 암호 강도, 암호 사용 정책을 수립하고 개인정보 및 주요정보의 저장·전송·전달 시 암호화를 적용하여야 한다.비밀번호는 일방향 암호화안전한 암호 알고리즘 (예시)대칭키 암호 알고리즘 : SEED,
2.6 접근통제
네트워크에 대한 비인가 접근을 통제하기 위하여 IP관리, 단말인증 등 관리절차를 수립·이행하고, 업무목적 및 중요도에 따라 네트워크 분리DMZ(Demilitarized Zone), 서버팜, 데이터베이스존, 개발존 등와 접근통제를 적용하여야 한다.정보시스템, 개인정보처리
2.5 인증 및 권한관리
2.5.1 사용자 계정 관리 > 정보시스템과 개인정보 및 중요정보에 대한 비인가 접근을 통제하고 업무 목적에 따른 접근권한을 최소한으로 부여할 수 있도록 사용자 등록·해지 및 접근권한 부여·변경· 말소 절차를 수립·이행하고, 사용자 등록 및 권한부여 시 사용자에게 보안책임이 있음을 규정화하고 인식시켜야 한다. 정보시스템 설치 후 제조사 또는 판매사의 기본...
2.4 물리 보안
물리적/환경적 위협으로부터 개인정보 및 중요정보, 문서, 저장매체, 주요 설비 및 시스템 등을 보호하기 위하여 통제구역/제한구역/접견구역 등 물리적 보호구역을 지정하고 구역별 보호대책을 수립/이행 하여야 한다.내부 물리보안 지침에는 개인정보 보관시설 및 시스템 구역을
2.3 외부자 보안
업무의 일부(개인정보취급, 정보보호, 정보시스템 운영 및 개발 등)를 외부에 위탁하거나 외부의 시설 또는 서비스(집적정보통신시설, 클라우드 서비스, 애플리케이션 서비스 등)를 이용하는 경우 그 현황을 식별하고 법적 요구사항 및 외부 조직, 서비스로부터 발생되는 위험을
2.2 인적 보안
개인정보 및 중요정보의 취급이나 주요 시스템 접근 등 주요 직무의 기준과 관리방안을 수립하고, 주요 직무자를 최소한으로 지정하여 그 목록을 최신으로 관리하여야 한다.중요정보(개인정보, 인사정보, 영업비밀, 산업기밀, 재무정보 등) 취급중요 정보시스템(서버, 데이터베이스
사이트들의 비밀번호 요구사항이 왜 이상한가?
외국 서비스와 다르게 희한하게도 우리나라 서비스에서는 비밀번호를 8자 이상 영문, 숫자, 특수문자를 섞어서 쓰라며 외우지도 못할 비밀번호를 만들라고 강제하는 경우가 많다.이는 관계 법령 때문이다.'정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령' 제47조 ~ 제
ISMS 오라클 암호화키 관리
이전 글에선 WAS에서 jar모듈로 암호화키를 관리하는 포스팅을 올렸는데 오라클 스케줄러 내 호출하는 프로시저에서 암/복호화를 할 시 관리 방법에 대해 포스팅한다
ISMS 비밀번호 SHA-256 암호화
비밀번호는 복호화 할 수 없는 단방향 암호화를 사용해야 하지만 양방향 암호화로 되어 있어 해당 내용 포스팅하게 됨