서버·DBMS 접근제어 및 명령어(쿼리) 통제 쟁점

핵심 판단

서버·DBMS 접근이 접근제어 솔루션·게이트웨이를 경유하고, 특권계정 사용이 승인·기록되며, 위험 명령어(대량 조회·DDL·삭제)에 대한 통제와 접속기록 점검이 이루어지는지가 핵심이다.

배경

DB 직접 접속·공용 특권계정 사용, 명령어 통제 부재로 대량 유출·오조작 위험이 발생한다. 접속기록 점검은 법정 의무다.

주요 쟁점 및 심사 포인트

• 서버·DB 접근제어 시스템 경유 및 우회 차단 여부
• 특권계정 사용 승인·개인별 식별·명령어 통제 여부
• 접속기록 보관·점검 및 이상행위 탐지 여부

관련 인증기준

ISMS-P 인증기준(2023) 기준. 항목명은 「금융권 ISMS-P 인증기준 점검항목 안내서」로 검증함.

• 2.6.2 정보시스템 접근
• 2.6.4 데이터베이스 접근
• 2.5.5 특수 계정 및 권한관리

관련 법령·가이드

조문 번호·명칭은 개정으로 달라질 수 있어, 실제 심사·인용 시 국가법령정보센터(law.go.kr) 최신본 재확인을 권장한다.

• 「개인정보의 안전성 확보조치 기준」 제5조(접근 권한의 관리)·제6조(접근통제)
  • 최소권한 부여·접근통제 및 우회 차단 의무.
• 「개인정보의 안전성 확보조치 기준」 제8조(접속기록의 보관 및 점검)
  • 접속기록 보관·월 1회 이상 점검 의무.
• 「전자금융감독규정」 제13조(전산자료 보호대책)
  • 금융 전산자료 접근통제·보호 근거.(금융권)

참고 가이드

• 「개인정보의 안전성 확보조치 기준 안내서」 접근권한·접근통제·접속기록 부분

심사 시 확인사항 (증적)

• DB 접근제어(게이트웨이) 구성 및 직접접속 차단 정책
• 특권계정 목록·사용 승인·개인 매핑 및 명령어 통제 룰
• 접속기록 보관기간·점검 결과

주요 결함 사례

운영 DB에 개발자가 공용 특권계정으로 직접 접속하고, 대량 조회·DDL 명령에 대한 통제와 접속기록 점검이 없음.

보완 대책

1. DB 접근제어 솔루션 경유 강제·직접접속 차단 및 특권계정 개인화
2. 위험 명령어 통제·승인 및 접속기록 정기 점검

연관 쟁점

• [ISSUE-007] 개인정보 오남용 모니터링 탐지룰 최적화 및 소명 관리 쟁점
• [ISSUE-017] 세션 타임아웃 단축 및 동시접속 차단 쟁점

---

본 문서는 ISMS-P 인증심사 실무 참고용이며, 법적 자문이 필요한 사안은 법률 전문가 확인이 필요합니다. (v2 · 2026-08)