2.6.6 원격접근 통제

기준 판본: KISA ISMS-P 인증기준 안내서(2023.11.23). 관련 법령: 2026-07-26 기준. 내용 구분: §1은 KISA 안내서와 법령을 요약했다. §3~§4에는 작성자의 실무 경험을 반영했다.

1. ISMS-P 기준 요약

외부에서 시스템을 관리하거나 개인정보를 처리하는 업무는 원칙적으로 제한한다. 원격접근이 불가피하다면 먼저 승인받고 지정 단말을 사용해야 한다. 접속 범위와 기간을 제한하고 강화된 인증, 구간 암호화, 단말 보안을 적용한다.

감사 대상 시스템으로 이어지는 원격 관리자 경로를 모두 파악한다. 사용자와 단말, 접속 기간, 대상 시스템을 필요한 범위로 제한했는지와 인증·로그·승인 절차가 실제로 작동하는지를 함께 본다.

ISMS-P 요구사항	ITGC 테스트 절차	모집단	표본
원격접근 승인	VPN·점프서버 사용자와 승인·만료일 대조	원격접근 권한자	전수 또는 표본
접근범위	사용자별 허용 시스템·네트워크·프로토콜 확인	관련 정책	규칙 기반 검토
인증·기록	MFA·암호화·접속 및 관리자 행위 로그 확인	접속기록	감사계획에 따른 표본

재택근무에 쓰는 개인 단말의 보안, 모바일 기기 관리와 개인정보 원격처리는 일반 보안·개인정보보호 영역에서 별도로 검토한다.

A. 아니다. VPN은 안전한 전송 경로를 제공할 뿐 원격접근 통제 전체를 대신하지는 않는다. 사용자 승인과 MFA, 접근 대상·기간 제한을 확인해야 한다. 관리 단말 보안과 세션 기록, 퇴직자·계약 종료자 권한 회수도 함께 본다.