https://OpenChain-Project.github.io/OpenChain-KWG/tags/%EC%A6%9D%EC%A0%81/Recent content in 증적 on OpenChain KWGHugokohttps://OpenChain-Project.github.io/OpenChain-KWG/guide/finance-oss-guide/artifacts/3-audit-evidence/Mon, 01 Jan 0001 00:00:00 +0000https://OpenChain-Project.github.io/OpenChain-KWG/guide/finance-oss-guide/artifacts/3-audit-evidence/<p>금융권은 내외부감사와 금융감독원의 정보기술(IT) 검사에 대비해 오픈소스 관리 활동의 증적을 보관해야 한다. 관리 단계의 점검 기록이 그대로 증적이 되므로, 따로 만들지 말고 평소 활동에서 나오는 기록을 체계적으로 모은다. 자세한 맥락은 <a href="https://OpenChain-Project.github.io/OpenChain-KWG/guide/finance-oss-guide/5-manage/#%ea%b0%90%ec%82%ac-%ec%a6%9d%ec%a0%81-%ea%b4%80%eb%a6%ac">관리</a>를 참고한다.</p> <h2 id="증적-체크리스트">증적 체크리스트</h2> <p>아래 증적은 ISO/IEC 5230·18974의 입증자료와 겹친다. ISO 자가 인증을 준비하며 만든 문서가 그대로 감사 증적이 된다. 보관 위치와 기간은 조직 규정에 맞게 정한다.</p> <table> <thead> <tr> <th>증적</th> <th>생성 활동</th> <th>관련 ISO 입증자료</th> <th>보관 위치(예시)</th> <th>비고</th> </tr> </thead> <tbody> <tr> <td>오픈소스 정책 문서와 개정 이력</td> <td>거버넌스</td> <td>5230 3.1.1.1</td> <td>문서 관리 시스템</td> <td>버전 이력 포함</td> </tr> <tr> <td>역할·책임 문서, 담당자 지정 기록</td> <td>거버넌스</td> <td>5230 3.1.2.1, 3.2.2.1</td> <td>문서 관리 시스템</td> <td></td> </tr> <tr> <td>SBOM과 갱신 이력</td> <td>식별</td> <td>5230 3.3.1.1, 3.3.1.2</td> <td>SBOM 관리 도구</td> <td>시스템별</td> </tr> <tr> <td>취약점 점검 결과</td> <td>이슈 파악·해결</td> <td>18974 4.3.2.1, 4.3.2.2</td> <td>취약점 관리 도구</td> <td>날짜별</td> </tr> <tr> <td>취약점 조치 기록(조치 불필요 판단 포함)</td> <td>이슈 파악·해결</td> <td>18974 4.3.2.2</td> <td>취약점 관리 도구</td> <td>VEX 포함</td> </tr> <tr> <td>라이선스 검토 기록</td> <td>이슈 파악·해결</td> <td>5230 3.3.2.1</td> <td>문서 관리 시스템</td> <td></td> </tr> <tr> <td>사용 승인 신청·검토·결정 기록</td> <td>사용 승인</td> <td>5230 3.1.5.1</td> <td>승인 관리 도구</td> <td>위원회 결정 근거</td> </tr> <tr> <td>망분리 예외 자체 위험평가서</td> <td>사용 승인</td> <td>(전자금융감독규정)</td> <td>문서 관리 시스템</td> <td>정보보호위원회(CISO) 승인 이력, 재평가 이력</td> </tr> <tr> <td>반입 승인 기록</td> <td>폐쇄망 운영</td> <td>—</td> <td>문서 관리 시스템</td> <td>검증 결과 포함</td> </tr> <tr> <td>정기 재평가 결과</td> <td>관리</td> <td>18974 4.1.2.5</td> <td>문서 관리 시스템</td> <td>주기별</td> </tr> <tr> <td>컴플라이언스 산출물(고지문 등)</td> <td>관리</td> <td>5230 3.4.1.1, 3.4.1.2</td> <td>배포 산출물 저장소</td> <td>배포 소프트웨어</td> </tr> <tr> <td>외주 계약의 오픈소스 요구 조항과 제출 SBOM</td> <td>사용 승인</td> <td>(전자금융감독규정 제21조 내부통제)</td> <td>계약 관리 시스템</td> <td>전자금융보조업자</td> </tr> </tbody> </table> <h2 id="보관관리-원칙">보관·관리 원칙</h2> <p>증적은 만드는 것만큼 지키는 것이 중요하다.</p>