2.8.6 운영환경 이관

기준 판본: KISA ISMS-P 인증기준 안내서(2023.11.23). 관련 법령: 2026-07-26 기준. 내용 구분: §1은 KISA 안내서와 법령을 요약했다. §3~§4에는 작성자의 실무 경험을 반영했다.

1. ISMS-P 기준 요약

새로 도입하거나 변경한 시스템은 정해진 절차에 따라 시험과 사용자 인수를 마친 뒤 운영환경으로 이관해야 한다. 이관 중 문제가 생겼을 때의 대응 방안을 마련하고, 운영환경에는 서비스 실행에 필요한 파일만 설치한다.

승인과 시험을 마친 버전만 운영환경에 배포되는지 확인한다. 배포는 권한 있는 이관자나 통제된 파이프라인이 수행해야 하며, 실패했을 때 되돌릴 수 있어야 한다.

ISMS-P 요구사항	ITGC 테스트 절차	모집단	표본
이관 승인	변경요청·시험·승인·배포 버전 연결 확인	운영 배포	감사계획에 따른 표본
이관 권한	개발자·승인자·배포자 권한 분리 확인	배포 권한자	전수
복구·최소파일	롤백 계획·결과와 운영파일 구성 확인	중요 변경	표본

운영 서버에 남은 불필요한 파일이 일으키는 기술적 보안 위험은 서버 보안 진단에서 함께 평가한다.

A. 자동 배포에서도 직무분리는 필요하다. 사람이 직접 이관하지 않는 대신 파이프라인 권한과 승인 게이트를 통제한다. 코드 작성자 한 사람이 승인·병합·배포 정책을 우회할 수 있는지 확인해야 한다.