2.6.7 인터넷 접속 통제

기준 판본: KISA ISMS-P 인증기준 안내서(2023.11.23). 관련 법령: 2026-07-26 기준. 내용 구분: §1은 KISA 안내서와 법령을 요약했다. §3~§4에는 작성자의 실무 경험을 반영했다.

1. ISMS-P 기준 요약

정보 유출과 악성코드 감염, 내부망 침투를 막기 위해 주요 시스템·직무자·개인정보취급자의 단말에서 인터넷 접속을 위험에 따라 제한해야 한다. P2P·웹하드·메신저 같은 서비스도 같은 원칙으로 통제한다.

재무보고 핵심 서버가 인터넷과 직접 통신하는 경로부터 파악한다. 관리자 단말의 망 경계와 자료전송 통제가 비인가 변경이나 정보 유출 위험을 충분히 낮추는지도 평가한다.

ISMS-P 요구사항	ITGC 테스트 절차	모집단	표본
서버 인터넷 차단	감사 범위 서버의 외부 통신 규칙·프록시 경로 확인	관련 서버·규칙	규칙 기반 검토
관리자 단말	고위험 직무자의 인터넷·업무망 분리와 예외 승인 확인	주요 직무자	전수 또는 표본
자료전송	망간 전송 승인·악성코드 검사·기록 검토 확인	전송기록	표본

전 임직원을 대상으로 한 유해 사이트·P2P·메신저 통제는 보안 운영 영역에서 다룬다. 법에서 정한 망 분리 대상인지는 개인정보보호 준거성 관점에서 따로 판단해야 한다.

A. 곧바로 결함으로 보지는 않는다. 접속 목적·대상·시간을 제한한 프록시나 저장소 경로를 사용하고 승인·기록을 남긴다면 허용할 수 있다. 필요한 통신만 열어 둔 설계인지가 판단의 핵심이다.