4.3.3 보안 요구사항 (SER)

개요

보안 요구사항(SER, Security Requirement)은 시스템의 기밀성·무결성·가용성을 보장하기 위한 기술적·관리적 통제 사항을 정의합니다. 본 분류는 암호화, 인증·인가, 취약점 평가, 로그·모니터링, 시스템 하드닝, 데이터 보호 및 규정 준수 등 6개 영역으로 구성되며, 개인정보보호법 및 정보보호 관련 법령 준수를 목표로 합니다.

각 요구사항은 목표와 세부 내용을 명시하고, 제안사는 해당 요구사항을 충족하기 위한 구체적인 구현 방안과 산출정보를 제안서에 포함해야 합니다.

보안 요구사항 목록

SER-001

항목	내용
요구사항 분류	암호화
요구사항 고유번호	SER-001
요구사항명	암호화
요구사항 상세설명	(1) 목표 - 전송 구간 및 저장 구간에서 민감 정보의 기밀성을 보장하고, 암호화 키의 안전한 관리 체계를 수립합니다. (2) 세부 내용 - 모든 외부 통신(클라이언트-서버, 서버-외부 API)은 TLS 1.3 이상을 강제 적용합니다. - 개인정보(이름, 전화번호, 주소 등)는 데이터베이스 필드 단위로 AES-256 암호화를 적용합니다. - 암호화 키는 별도의 키 관리 시스템(KMS) 또는 하드웨어 보안 모듈(HSM)에서 관리하며, 정기적인 키 교체 절차를 수립합니다. - 암호화 알고리즘 및 키 길이는 국가정보원 암호 알고리즘 및 키 길이 이용 안내서를 준수합니다.
산출정보	- 암호화 적용 대상 목록(필드별) - 키 관리 절차서(생성·교체·폐기) - TLS 구성 리포트(프로토콜·암호 스위트) - KMS 또는 HSM 연동 설계서 - 암호화 성능 영향 분석 보고서

SER-002

항목	내용
요구사항 분류	인증·인가
요구사항 고유번호	SER-002
요구사항명	인증·인가
요구사항 상세설명	(1) 목표 - 사용자 신원 확인 및 역할 기반 접근 제어를 통해 무단 접근을 방지하고, 외부 콜센터 등 제3자 접근 시 최소 권한 원칙을 적용합니다. (2) 세부 내용 - 사용자 인증은 토큰 기반(JWT 등) 방식을 사용하며, 관리자 계정은 2단계 인증(2FA)을 필수로 적용합니다. - 역할별 메뉴·버튼·API 엔드포인트 접근 권한을 정의하고, RBAC(Role-Based Access Control) 정책을 구현합니다. - 외부 콜센터 등 제3자 접근 시 IP 화이트리스트를 적용하고, 개인정보 조회 권한을 축소(예: 주소 뒷자리 마스킹)합니다. - 비밀번호는 최소 10자 이상, 영문·숫자·특수문자 조합을 강제하며, 90일마다 변경을 권고합니다.
산출정보	- 인증·인가 정책 문서 - RBAC 권한 테이블(역할별 메뉴·기능) - 2FA 설정 가이드(관리자용) - IP 화이트리스트 관리 절차서 - 비밀번호 정책 설정 문서

SER-003

항목	내용
요구사항 분류	취약점·평가
요구사항 고유번호	SER-003
요구사항명	취약점·평가
요구사항 상세설명	(1) 목표 - 정기적인 보안 점검 및 취약점 스캔을 통해 시스템의 보안 수준을 유지하고, 발견된 취약점을 신속히 조치합니다. (2) 세부 내용 - 정적 애플리케이션 보안 테스트(SAST) 도구(예: SonarQube)를 CI/CD 파이프라인에 통합하여 코드 커밋 시 자동 검사를 수행합니다. - 연 1회 이상 외부 전문 기관을 통한 침투 테스트(Penetration Test)를 실시하고, 결과를 문서화합니다. - 월 1회 이상 자동화된 취약점 스캔(예: Nessus, OpenVAS)을 수행하고, 발견된 취약점은 우선순위에 따라 조치합니다. - OWASP Top 10, SQL Injection, XSS 등 주요 웹 취약점에 대한 방어 체계를 구축합니다(예: WAF 적용).
산출정보	- 보안 점검 결과서(침투 테스트 포함) - 취약점 조치 목록(우선순위·조치 일정) - SAST 도구 설정 파일 및 통합 가이드 - WAF 룰셋 및 적용 현황 - 월간 취약점 스캔 리포트 양식

SER-004

항목	내용
요구사항 분류	로그·모니터링
요구사항 고유번호	SER-004
요구사항명	로그·모니터링
요구사항 상세설명	(1) 목표 - 모든 중요 기능 및 개인정보 접근에 대한 감사 로그를 기록하고, 위변조 방지 및 장기 보관 체계를 수립합니다. (2) 세부 내용 - 모든 중요 기능(CRUD)과 개인정보 조회·수정·삭제 작업에 대해 감사 로그를 기록합니다(수행자, IP 주소, 수행 시각, 변경 전후 값). - 감사 로그는 위변조 방지를 위해 별도의 로그 저장소에 보관하며, 최소 3년 이상 보관합니다. - 개인정보 조회 시 사용자에게 조회 사유 입력을 강제하고, 조회 이력을 트레일 리포트로 제공합니다. - 로그 분석 도구(예: ELK Stack, Splunk)를 통해 이상 징후를 실시간 모니터링하고, 알림 체계를 구축합니다.
산출정보	- 감사 로그 스키마(테이블 구조·필드 정의) - 로그 보관 정책 문서(보관 기간·백업 절차) - 개인정보 조회 트레일 리포트 양식 - 로그 분석 도구 연동 설계서 - 이상 징후 탐지 룰 및 알림 설정 문서

SER-005

항목	내용
요구사항 분류	시스템 하드닝
요구사항 고유번호	SER-005
요구사항명	시스템 하드닝
요구사항 상세설명	(1) 목표 - 운영 서버 및 미들웨어의 보안 설정을 강화하고, 정기적인 패치 관리를 통해 알려진 취약점을 제거합니다. (2) 세부 내용 - 운영 서버의 OS(Windows Server, Linux 등) 및 WAS(Tomcat, IIS 등)에 대해 정기적인 보안 패치 스케줄을 수립하고 적용합니다. - 불필요한 서비스·포트·계정을 차단 또는 삭제하고, 최소 권한 원칙을 적용합니다. - 현행 시스템의 EOL(End of Life) 소프트웨어(예: Tomcat 7, MSSQL 2008)에 대해 업그레이드 또는 가상 패치(Virtual Patching) 방안을 명시합니다. - 서버 하드닝 체크리스트(예: CIS Benchmark)를 기준으로 설정을 점검하고, 주기적으로 재검토합니다.
산출정보	- 서버 하드닝 체크리스트(OS·WAS별) - 패치 적용 로그 및 스케줄 - EOL 소프트웨어 완화 방안 보고서 - 불필요 서비스·포트 차단 목록 - 하드닝 설정 스크립트(자동화)

SER-006

항목	내용
요구사항 분류	데이터 보호·규정 준수
요구사항 고유번호	SER-006
요구사항명	데이터 보호·규정 준수
요구사항 상세설명	(1) 목표 - 개인정보보호법 등 관련 법령을 준수하고, 개인정보의 보유·파기·비식별화 절차를 자동화하여 법적 리스크를 최소화합니다. (2) 세부 내용 - 개인정보보호법 제21조에 따라 개인정보 보유 기간을 관리하고, 매월 자동으로 보유 기간이 경과한 데이터를 파기합니다. - 파기 시 파기 대상·일시·담당자를 기록한 파기 대장을 자동 생성하고, 최소 3년 이상 보관합니다. - 100건 초과 개인정보 다운로드 시 관리자 승인 및 사유 입력을 강제하고, 다운로드 이력을 별도 관리합니다. - 통계·분석 목적의 데이터 활용 시 비식별화 절차(가명 처리, 총계 처리 등)를 적용하고, 재식별 가능성을 평가합니다.
산출정보	- 개인정보 보유·파기 정책서 - 파기 대장 샘플 및 자동 생성 스크립트 - 비식별화 절차서 및 샘플 스크립트 - 대량 다운로드 승인 프로세스 문서 - 재식별 위험 평가 보고서 양식

다음 단계

보안 요구사항 검토를 완료한 후, 데이터 요구사항(DAR)에서 데이터 마이그레이션, 백업·복구, 데이터 품질 관리 등 데이터 관련 요구사항을 확인하시기 바랍니다.