평가 07. 물리적 보안 구축

사고 보고서	결 재	담 당	팀 장
		홍길동

 

□ 현황 및 문제점

- hkit의 401호의 창문을 통해 악의적 목적을 가지고 침입하여 랙(Rack)에 설치된 DB 서버의 자료를 모두 백업하여 간 사건이 발생함.(랙에 시건 장치 없음) 이에 3층 303호에 MDF(Main Distribute Frame)를 구축 운영하기로 결정하고 아래와 같은 항목들을 파악하여 개선하고자 함

 

- 사고 발생 후 각 층 계단과 출입구에 있는 CCTV확인 결과 특별한 상황은 인지가 안되는 상태임

 

□ 현재 물리적 보안 상황

- 본관 각 층 계단과 출입구에 CCTV 설치

- 임직원 지문 인식 및 비콘 근태 관리 시스템 설치

- 출입 관리 대장 구비

- 서버실(DB) 문 시건 장치 설치

 

□ 사고 발생 후 물리적 보안 개선 상황

- 3층 303호를 주 전산실로 운영하고 관계자 외 출입을 엄격히 규제

- 주 전산실의 DB서버의 접근을 막기 위한 추가적인 물리적 보안

- 차량 접근통제를 통해 외부 차량 관리 및 운영

- 외주 인력 관리 시스템 구비 및 운영

- 사무실 보안을 위한 공용 사무기기에 대한 자료 누출 보안

- 그 외 추가적인 물리적 보안 구축 희망

 

 

---

□ 개선안

1. 출입 규제를 위한 물리적 보안 시스템 강화

 

□ 검토(안)

 

[침입경로 및 각종 가능성]
1) 401호의 경우 위치 상 4층인 점. 창문을 통한 출입은 옥상에서부터 접근했을 가능성
2) 옥상에 도달하기 위해서 1층 출입구, 엘리베이터 및 계단을 이용했을 가능성
3) 각층 출입구와 계단에 CCTV 사각지대 존재 가능성
4) 건물 외부 CCTV의 고장 및 부재 가능성

 

1) 개선사항 외 추가적인 물리적 보안 시스템 강화 방안
가. 건물 내부 CCTV 위치 및 상태 재점검 및 건물 외부 CCTV 추가 설치
나. CCTV 사각지대 파악 및 해당 구역 보안요원 배치
다. 외부침임감지 및 경보, 무인경비 시스템 설치
라. 출입통제시스템 강화(예, 바이오인식, 스마트카드, RFID 등)

 

 

 

---

2. 사람 및 차량 접근에 대한 물리적 보안 시스템

□ 검토(안)

1) 인원출입통제 시스템 강화
가. 스마트카드, 바이오 인식, RFID(Radio-Frequency Idendification),

금속탐지기 활용, 권한등급에 따른 출입 구역 통제, 전자기기 보안스티커 부착
나. 핵심시설에 대한 출입통제
출입 인가자 지정관리
허가된 인원 외 출입 금지
다. 외주인력에 대한 출입통제
신원확인에 필요한 서류 확보
외주인력용 보안서약서에 출입자의 서명을 득하여 관리
라. 임의 출입통제
출입대장을 이용하여 인적사항, 방문목적 및 방문대상 직원 기재
신분 확인 및 직원 안내에 따른 출입통제

2) 차량출입통제 시스템
가. 차량의 경우 물품 운반 및 반·출입에 대한 검색, 통제 수행
나. 장비 및 물품 반·출입 대장 작성

 

□ 뒷면 첨부 자료
첨부 자료: P1(외부방문자 출입관리대장), P2(물품 반·출입대장)

 

 

 

 

P1

 

P2

 

 

 

---

3. DB서버 접근에 대한 물리적 보안 시스템 강화

□ 검토(안)

현재 주 전산실 위치: 3층 303호

분류: 핵심시설

 

□ 문제점
DB서버랙 시건장치의 부재

 

□ 핵심 제안 사항

1) DB서버실 보안 강화
가. DB서버랙 시건장치 설치
나. 각 시건장치에 별도의 접근 제어 시스템 추가 설치(생체인식, 물리적 잠금 도구 등)
다. CCTV 상시 가동 및 모니터링
라. 케이블 보호를 통해 전원을 공급하는 전력선과 데이터를 전송하는 통신선을 손상이나 도청 으로부터 보호
마. 금속 혹은 도전성 물체로 케이블 쉴드 처리

 

 

2) 핵심시설로 분류된 구역에 따른 출입통제
가. 출입권한 부여 및 권한등급에 따른 직원 출입통제
나. 출입인가자 지정관리
다. 인가 및 허가된 인원 외 출입금지
라. 보안스티커로 촬영이 가능한 모든 전자기기 카메라 봉인 및 보관 (문서 하단 첨부 P3 참고)
마. 신분증 제출 유도 및 패찰 증정(패찰 반납 시 신분증 반환)

 

 

3) 외주 인력에 대한 보안정책 수립
가. 외주 인력을 용역으로 활용할 때 출입통제 절차에 따라 외부방문자 출입대장, 반·출입대장, 일시 등을 기록하여 관리
나. 별도의 물리적으로 분리된 구역에 용역업체 직원 배치
다. 필요한 정보가 있을 시, 이를 담당자가 별도 고지

 

 

---

4. 사무실 보안 구축 방안

□ 핵심 제안 사항

 

1) 일반업무 환경
가. PC, 노트북, 저장매체, 출력물 등에 대한 업무 환경 파악
나. 별도의 시건장치 설치
다. 각 PC 보안패치, 이메일 보안, 비밀번호 및 화면보호기 설정 생활화에 대한 직원 교육 실시

 

2) 공용업무 환경
가. 팩스, 복사기, 프린트 등 공용사무기기에 대한 보안
나. 출력물 처리를 위한 세절기 배치
다. 파일서버에 대한 부서별, 업무별 등 접근 권한 부여

 

사용자 별도 접근계정 발급
정보공개 최소화
라. 문서고에 대한 부서별, 업무별 등 접근 권한 부여
CCTV 및 출입통제 시스템 설치 및 출입이력 관리
출입가능인원 최소화
마. 보안정책 수립 후 시정조치 통보 및 이행

 

3) 담당자 및 관리자 분리에 따른 보안정책 강화

보안담당자	사내의 정보보안 담당
시스템관리자	시스템, 서버 운용 · 유지 및 관리
개발자	업무영역별 SW, 시스템, 솔루션 개발
업무담당자	회계, 기획, 재무, 전산/정보, 판매, 영업 등

 

4) 추가적 물리 보안 구축
가. 분실 및 물리적 보안 사고 발생 시 신고할 수 있는 프로세스와 그에 해당하는 담당자 배정
나. 핵심 시설에 대한 비인가 접근 시도 시 근접 탐지 시스템을 통한 탐지 및 경보
다. 데이터센터에 있는 창문 일괄 봉인(필요시 고정창 혹은 불투명창으로 대체)