시계가 틀리면 점검기록의 '언제'도 틀립니다 — PIC/S PI 041-1 #9.5

점검기록(감사추적)에는 '누가, 무엇을, 언제'가 남습니다. 그런데 '언제'는 그 기록을 만든 시스템의 시계가 맞을 때에만 믿을 수 있습니다. 오늘은 새 소식 대신, 현행 PIC/S PI 041-1(2021년 7월 1일 발효)에서 시계를 다룬 대목을 다시 읽습니다.

PI 041-1 #9.5(컴퓨터화 시스템의 보안)는 두 가지를 한 문장에 묶었습니다.

"The operating system clock should be synchronized with the clock of connected systems and access to all clocks restricted to authorised personnel."

같은 #9.5는 일반 사용자가 접근해서는 안 되는 기능의 예로 "system clocks"를 들었습니다. #9.6은 점검기록이 활동이 일어난 실제 시각을 반영해야 한다고 하고, #9.8은 여러 지역이 함께 쓰는 시스템이라면 동시성을 보이기 위해 시간대(time zone) 기록이 필요할 수 있다고 적었습니다. 맞추기(동기화)와 못 바꾸게 하기(접근 제한)는 한 쌍입니다. 맞춰 두어도 사용자가 바꿀 수 있거나, 잠가 두어도 틀린 채 흘러가면 기록의 '언제'는 증거가 되지 못합니다.

오늘 확인할 것

• 대상 목록: 네트워크에 연결되지 않은 독립형 장비·PC까지 포함해, 장비별 시간 동기화 방식(자동·수동)과 주기가 컴퓨터화 시스템 목록에 적혀 있습니까?
• 변경 권한: 시험·제조 장비 PC에 일반 사용자 계정으로 로그인해 날짜·시간·시간대를 바꿀 수 있는지 직접 확인해 보세요. 바꾼 이력은 어디에 남습니까?
• 차이를 발견했을 때: 시계를 다시 맞추는 것으로 끝납니까, 아니면 직전 확인 이후 만들어진 데이터에 미친 영향을 평가하고 기록합니까?

시간 동기화는 IT 설정이 아니라, 동시성을 증명하는 근거입니다.