[가이드 개정] 2021년 주요정보통신기반 시설 취약점 분석·평가 가이드 개정 내용 정리

주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드가 2017년 이후, 약 4년만에 개정되었습니다.

2021년 3월 29일 날짜로 가이드가 개정되어 나왔습니다.

 

아시다시피 주요정보통신기반시설로 지정이 되면 정보통신기반 보호법에 따라서 매년 취약점 분석과 평가를 수행하여 보호대책을 수립할 의무를 가지게 되는데요.

 

개정된 내용을 살펴보면 ICT 변화에 따라 이동통신과 클라우드에 대해 신규 항목을 개설하고 제어시스템 항목이 대폭 추가되었습니다.

또 "조치불가 취약점"에 대해 정의를 하고 관리되도록 명시해두었습니다.

 

관련된 내용을 살펴보고 개인적으로 아래와 같이 정리해보았습니다.^^

 

O 변경사항 로드맵

 

 

O 주요 변경사항

[고시 변경사항] - "조치불가 취약점"에 대한 분류를 추가하고 조치불가 증빙자료와 보완 대책을 반영하고 관리하도록 하였습니다. [분야별 점검대상 변경사항] - 보안장비와 데이터베이스에 대해 점검대상 장비가 추가되었습니다.    ① 보안장비 : "Anti-DDOS" 대상 추가    ② 데이터베이스 : "PostgreSQL" 대상 추가 - 이동통신과 클라우드가 신설되었습니다. 관련 점검대상 장비는 아래와 같습니다.    ① 이동통신 : "이동통신 관련 설비" 대상 신설    ② 클라우드 : "VMWare, KVM, XenServer" 대상 신설 [분야별 점검분류/점검항목 변경사항] - 이동통신과 클라우드가 신설되었고, 제어시스템 분류가 대폭 증가되었습니다.    ① 이동통신의 운영관리 4항목 신설          ② 클라우드의 접근통제 2항목, 보안관리 3항목 신설           ③ 타 분야 일부 변경

 

 

O 세부 변경사항

[점검항목 세부 변경사항] - 제어시스템 분야의 항목수가 22개에서 50개로 증가되었습니다. -UNIX, 보안장비, PC 분야의 항목이 1개씩 삭제되었습니다.  ① UNIX : "2. 파일 및 디렉터리 > NIS 서비스 비활성화" 항목 삭제  ② 보안장비 : "5. 기능관리 > 부가 기능 설정" 항목 삭제  ③ PC : "4. 보안관리 > 시스템 부팅 시 Windows Messenger가 자동으로 시작되지 않도록 설정되어 있는가?" 항목 삭제

 

 

 

참고로 관련한 원본 자료는 아래 경로에서 확인이 가능합니다.

1. 개정 고시 다운로드

www.msit.go.kr/bbs/view.do?sCode=user&mId=108&mPid=103&bbsSeqNo=83&nttSeqNo=3175381

훈령예규고시 - 과학기술정보통신부 >

2. 개정 가이드 다운로드

www.krcert.or.kr/data/guideView.do?bulletin_writing_sequence=35988&queryString=YnVsbGV0aW5fd3JpdGluZ19zZXF1ZW5jZT0zNTk4OA==

KISA 인터넷 보호나라&KrCERT