정보보호 지침

제    정: 2022. 8. 17.

1. 총칙

1.1. 목적

이 지침은 정보보호의 중요성을 임직원에게 널리 알리며, 정보자산 유출 및 파괴를 방지하고자 필요한 사항을 규정하고, 고객의 정보를 안전하게 유지함으로써 기업 영속성 유지와 사업상의 손실을 최소화하는데 있다. 즉, 비인가자에 의한 정보의 오∙남용, 훼손, 변조, 유출 등 발생할 수 있는 보안과 관련된 위험요소 및 사고를 회피 혹은 그 영향을 최소화하여 자산의 기밀성, 무결성 및 가용성을 확보하는 것이다.

1.2. 범위

이 지침은 모든 임직원 및 회사와 계약관계에 있는 모든 외부인 대상으로 한다.

1.3 용어정의

(1) “개인정보보호책임자(CPO, Chief Privacy Officer)” 라 함은 회사의 개인정보보호 업무 및 조직을 총괄하여 지위하는 자를 말하며, CPO는 정보기술 부문의 안정성 확보, 보호를 위한 계획 수립, 보안사고 예방 및 조치 등 정보보안 업무를 총괄하는 역할을 겸임한다.

(2) “정보보안” 또는 “정보보호”라 함은 정보시스템 및 정보통신망을 통해 수집 가공 저장 검색 송수신 되는 정보의 유출·위변조·훼손 등을 방지하기 위하여 관리적·물리적·기술적 수단을 강구하는 일체의 행위로서 사이버안전을 포함한다.

(3) “정보통신망”이라 함은 「전기통신기본법」 규정에 의한 전기통신설비를 활용하거나 전기통신 설비와 컴퓨터 및 컴퓨터의 이용기술을 활용하여 정보를 수집, 가공, 저장, 검색, 송수신하는 정보통신체제를 말하며 정보시스템 일체를 포함한다.

(4) “데이터베이스”라 함은 여러가지 업무에 공동으로 필요한 데이터를 유기적으로 결합하여 저장한 집합체를 말한다.

(5) “네트워크 트래픽” 이라 함은 통신시설이나 서버에 인터넷 연결선을 통해 전송되는 데이터의 양을 말하며, 트래픽의 양에 따라 접속 지연 등이 발생될 수 있다.

(6) “취약점” 이라 함은 보안상의 문제점을 안고 있는 컴퓨터 시스템의 약점을 말하며, 공격자는 이 약점을 통하여 여러 공격을 할 수 있다.

(7) “항온항습기”라 함은 공기의 온도와 습도를 일정하게 유지하는 장치로서, 여러장치가 조합되어 자동으로 제어된다.

(8) “사회공학 공격(Social Engineering)”이라 함은 시스템이 아닌 사람의 심리를 이용하여 원하는 정보를 얻는 공격 기법을 말하며, 신뢰할 수 있는 사람으로 위장하여 다른 사람의 전화, 이메일, 메신저 등에 접근하는 해킹 기법이다.

(9) “정보시스템”이라 함은 일상의 업무를 전산적으로 처리토록 전산 프로그램화한 어플리케이션 프로그램과 상용화된 소프트웨어 및 이들의 운영에 사용되는 전산 기기를 통칭한다.

(10) “전산실”이라 함은 서버 등이 설치되는 전산기계실과 스위치, 라우터 등 통신 및 전송장비 등이 설치 운용되는 통신실, 전산자료 보관실 등을 말한다.

(11) “UPS(Uninterruptible Power Supply)”라 함은 무정전 전원공급장치 라고도 하며, 일반 전원 또는 예비 전원 등을 사용할 때 전압 변동, 주파수 변동, 순간 정전, 과도 전압 등으로 인한 전원 이상을 방지하고 상 안정된 전원을 공급하여 주는 장치를 말한다.

(12) “CCTV”이라 함은 일정한 공간에 설치된 촬영기기로 수집한 영상정보를 폐쇄적인 유.무선을 통하여 전송함으로써 특정인만이 수신할 수 있는 통신장비 일체로서 폐쇄회로 텔레비전을 말한다.

(13) “정보주체”라 함은 영상정보 등에 의하여 식별되는 주체가 되는 사람을 말한다.

(14) “외부인” 이라 함은 “임직원“이 아닌 자로서 특정한 업무수행을 위한 법령 또는 계약에 의해 고용된 외부 업체의 직원을 말한다.

(15) “외부위탁”이라 함은 특정업무를 외부업체에 위탁하여 처리하는 방식을 말한다.

(16) “서비스수준약정서(SLA : Service Level Agreements)”라 함은 외부업체와 운영위탁 처리에 대한 일정 수준의 서비스를 명시한 계약서를 말하며, 서비스를 평가할 수 있는 항목과 측정방법 및 측정지표, 페널티 등을 포함한다.

(17) “상용 소프트웨어"란 합법적인 사용권을 얻은 후 PC에 설치하여 사용하는 소프트웨어들을 말한다.

(18) “랜섬웨어” 라 함은 ‘몸값’(Ransom)과 ‘소프트웨어’(Software)의 합성어로서, 시스템을 잠그거나 데이터를 암호화해 사용할 수 없도록 만든 뒤, 이를 인질로 금전을 요구하는 악성 프로그램을 말한다.

(19) “백도어” 라 함은 인증되지 않은 사용자에 의해 컴퓨터의 기능이 무단으로 사용될 수 있도록 컴퓨터에 몰래 설치된 통신 연결 기능을 말한다.

(20) “RTO” 라 함은 Recovery Time Objective , IT 서비스 및 시스템 중단시점부터 복구되어 정상가동 될 때까지의 복구목표시간을 말한다.

(21) “RPO” 라 함은 Recovery Point Objective, IT 서비스 및 시스템이 복구되어야 하는 복구목표시점을 말한다.

2. 정보보호 실행 계획

2.1. 실행계획 수립 및 승인

(1) 정보보호관리자는 정보보호 정책을 바탕으로 필요시 예산편성에 따라 당해 년도 정보보호 실행계획을 수립해야 한다.

(2) 정보보호관리자는 수립된 계획에 대한 구체적인 수행방안을 마련하고 개인정보보호책임자(CPO)의 승인을 받아 실행해야 한다.

2.2. 실행계획 구성 요소

(1) 정보보호 대책 및 활동

(2) 정보보호 연간 예산

(3) 정보보호 일정 및 운영계획

(4) 취약점 점검 등 자체점검 내용, 일정, 방법

3. 정보보호 분류

정보보호 체계는 다음과 같은 분야로 이루어진다.

3.1. 정보보호조직 관리

(1) 정보보호의 효율적 관리를 위한 조직 구성 및 책임에 대해 정의한다.

(2) 개인정보보호책임자(CPO), 정보보호관리자/담당자 등 구성원의 역할을 정의한다.

3.2 정보자산 분류 및 관리

(1) 정보자산을 분류하고 이에 대한 생성/변경/파기에 대한 관리를 정의한다.

(2) 정보자산의 분류는 일정 기간마다 새롭게 지정, 변경 및 해제하여 관리한다.

3.3. 물리적 보안

(1) 정보처리 시설의 접근 방지를 위한 물리적 보안 관리를 정의한다.

(2) 정보시스템 및 관련 장비의 설치, 보호 및 반출에 대한 기록 관리를 한다.

(3) 보호 구역을 설정하고 책임자를 지정하여 감독업무 및 정기적으로 보호대책을 강구한다.

3.4. 권한 및 접근통제

(1) 정보자산의 접근에 대한 권한 통제를 정의한다.

(2) 모든 내∙외부인 및 정보시스템에 대해 식별하고, 권한을 부여하여 안전한 접근을 유도한다.

(3) 접근 권한 관련자들의 의무와 책임을 명확히 하고, 책임을 추적할 수 있어야 한다.

(4) 세부 사항은 수탁사의 ‘권한 및 접근통제 지침’ 을 따른다.

3.5. 네트워크 보안

(1) 네트워크 구성, 장비, 정보보호시스템에 대한 관리를 정의한다.

(2) 내·외부 IP 주소 및 네트워크 트래픽 탐지 관리를 통해 안정적인 네트워크 환경을 구성한다.

(3) 통제시스템을 활용하여 암호화 접속 및 전송 등 내부 정보자산을 보호하여야 한다.

(4) 세부 사항은 수탁사의 ‘네트워크 보안 지침’ 을 따른다.

3.6. 서버 보안

(1) 정보시스템 및 정보 저장에 대한 관리를 정의한다.

(2) 서버, 디스크 등 하드웨어의 설치 및 모니터링 관리를 통해 안정적인 서비스를 제공한다.

(3) 운영체제, 응용시스템 등 소프트웨어의 보안 요구사항을 주기적으로 점검 관리한다.

(4) 세부 사항은 수탁사의 ‘서버 보안 지침’ 을 따른다.

3.7. 개발 및 응용시스템 보안

(1) 정보시스템 개발에 대한 보안 관리를 정의한다.

(2) 정보시스템 개발자들의 개발내용 내 보안사항을 규정하여, 취약점을 관리하여야 한다.

(3) 세부 사항은 수탁사의 ‘개발 및 응용시스템 보안 지침’ 을 따른다.

3.8. 인적 관리 및 PC 보안

(1) 임직원, 외부인의 행동 보안 및 PC 관리를 정의한다.

(2) 회사와 상호 협력관계를 유지하는 모든 업체 및 계약에 대해 보안서약서를 징구하여야 한다.

(3) PC의 보안사고 방지를 위해, 올바른 사용 관리에 대한 정의를 하여야 한다.

3.9. 보안사고 대응 및 처리

(1) 보안사고 발생에 대한 대응을 정의한다.

(2) 보안교육 및 훈련을 통해 보안사고 방지를 위한 노력을 하여야 한다.

(3) 보안과 관련된 사고가 발생한 경우에 발견자는 반드시 우선 보고하여야 한다.

□ 단, 위 분야 중 별도로 존재하지 않는 분야에 대해서는 수탁사의 지침서 기준을 따른다.

4. 정보보호 운영 관리

4.1. 정책 준수

(1) 회사 임직원은 보안과 관련된 정책, 지침 및 절차 등을 준수하여야 한다.

(2) 협력사 직원, 아웃소싱 직원과 같은 외부인도 동등하게 보안 정책, 지침 등을 준수하여야 한다.

4.2. 정책 검토 수정

(1) 정보보호관리자는 업무환경 변화에 따라 정보보호 지침의 타당성을 연 1회 정기적으로 검토해야 하며, 필요 시 추가 검토를 수행하여 변경할 수 있다.

(2) 정보보호관리자는 관련 전문가와 해당 실무자들과 함께 개정요인을 검토 후 개정한다.

(3) 정보보호 지침 개정 시, 개인정보보호책임자(CPO)의 승인을 득해야 한다.

4.3. 교육 및 훈련

(1) 정보보호관리자 및 담당자, 사업 관리자는 보안과 관련된 교육 및 훈련을 실시할 책임을 가진다.

(2) 회사 임직원 및 협력사 직원, 임시 직원, 아웃소싱 직원과 같은 외부인은 회사 업무에 관계하기 전에 반드시 보안 교육을 받아야 한다.

4.4. 보안감사

(1) 회사는 년 1회 이상 정기적으로 임직원과 각 부서를 대상으로 보안감사를 실시하여야 하며, 필요시 특정 임직원 및 부서를 선정하여 불시에 점검할 수 있다.

(2) 보안감사 결과는 CPO 및 경영진에게 보고되고, 각 계열사에 공지되어 자체적인 개선활동이 이루어지도록 조치한다.

4.5. 재난·재해 대응 훈련

(1) 매년 재난∙재해에 대비한 보안계획을 수립하여 CPO 의 승인을 얻은 후 시행한다. 단, 전사 ‘정기 재해복구 훈련’ 시 위탁하여 대체 시행이 가능하다.

(2) 시행하기 전에 회사의 업무 연속성을 위한 영향도 여부를 파악하고, 내∙외부의 보안위협 및 취약점에 대해 대응책 수립을 위한 위험평가 업무를 수행한다.

(3) 훈련 종료 결과를 바탕으로 보안서비스 중지 절차서, 시간 등을 개선하여 보안계획을 수정한다.

4.6. 징계

(1) 정보보호 정책∙지침 및 절차를 위반하거나 업무상 비밀 및 기밀을 누설하여 회사에 피해를 입힌 자는 징계대상자로, 소속부서장은 CPO 와 협의하여 정보보호위원회 및 인사위원회에 회부할 수 있다.

(2) 인사위원회는 보고된 보안사고에 대하여 인사상 조치 또는 징계를 할 수 있으며 사안에 따라 형사상 조치를 취할 수 있다.

5. 정보보호조직 관리

5.1. 목적

이 조항은 회사 조직의 구성과 운영에 대한 사항을 규정하여 체계적인 관리를 시행함으로서, 각 정보보호 활동을 통해 예방 및 빠른 대처를 목적으로 한다.

5.2. 정보보호 조직의 구성

(1) 보안 책임 및 조직체계를 규정하여 전체적인 정보보호조직을 명확히 하고 각 구성원들의 역할과 책임을 구체화하여 정보보호조직 운영 및 관리가 원활히 이루어질 수 있도록 한다.

(2) 정보보호 및 개인정보보호에 대한 검토 및 의결할 수 있는 위원회, 개인정보보호책임자, 실무조직인 정보보호담당자, 계열사 정보보호 조직, 협의체인 정보보호 지원조직으로 구성된다.

(3) 정보보호 조직은 조직의 특성을 고려하여 운영 효율을 제고하기 위해 겸임 가능하나, 정보보호전담조직의 정보보호담당자 1인 이상은 독립적인 보안업무를 수행하여야 한다.

5.3. 개인정보보호책임자

(1) 개인정보보호책임자(CPO)는 ‘준법감시인’으로 하며 최고경영자(CEO)가 지정하도록 한다.

(2) 개인정보보호책임자(CPO)는 다음 각 항목의 업무를 담당한다.

① 정보보호 업무에 대한 지도, 감독

② 정보보호위원회에 정보보호 분야 안건 상정

③ 정보보호 활동 및 예산 책정 관련 의사결정을 통한 적극적인 경영진 참여 유도

④ 정보보호 정책의 수립, 적용, 통제 등 총괄

⑤ 정보 보안 감사 내용 검토 및 개선 지시

⑥ 보안침해사고 발생 시 보안사고 대응 업무

⑦ 정보보호 조직 및 관리자의 지정

⑧ 기타 정보보호 관련 사항

(3) 개인정보보호 책임자(CPO)는 ‘개인정보 내부관리 계획’ 을 검토 및 승인한다.

5.4. 정보보호 전담 조직

(1) 정보보호의 전담 조직으로서, ‘아주큐엠에스 내 인프라서비스팀’으로 한다.

(2) 정보보호 조직은 변경될 수 있으며, 개인정보보호의 업무도 포함된다.

(3) 정보보호 전담 조직은 다음 각 호의 업무를 담당한다.

① 정보보호 활동 계획의 수립

② 정보보호 관련 소요 예산 편성 및 집행

③ 네트워크망 및 하드웨어 신∙증설 시 보안대책 수립

④ 정보보호시스템의 도입 검토 및 운영 관리

⑤ 보안업무 지도, 감독 및 교육자료 작성

⑥ 보안침해사고 조사 및 처리

⑦ 정보보안 감사의 준비

⑧ 정보보호 관련 지침 등 제도 개선

⑨ 취약성 점검 및 진단

⑩ 기타 정보보호 관련 사항

5.5. 회사 정보보호 조직

(1) 그룹 정보보호의 전담 조직과 협업함으로서, ‘회사 정보보호 조직’ 으로 한다.

(2) 회사 정보보호 조직은 다음 각 호의 업무를 담당한다.

① 부서에 보안지침 및 준수사항 전파

② 개인정보보호책임자(CPO)의 관리 실무 지원 및 보고

③ 보안침해사고에 대한 신속 보고

④ 보안준수 점검 및 정보보안 감사의 지원

⑤ 정보보호 지침의 수행

⑥ 임직원 정보보호 행위 및 교육 시행

⑦ 정보보호 관련 각 사별 현황 및 의견 수렴

⑧ 운영 한계성을 고려하여, 직무 분리 원칙의 수행

5.6. 정보보호 위원회

(1) 정보보호 및 개인정보보호 정책·지침의 제·개정

(2) 정보보호 및 개인정보보호 활동에 대한 진행 내용 공유

(3) 위험평가 결과 검토·승인 및 의사결정 수행

(4) 정보보호 및 개인정보보호 관련 예산 및 시스템 도입 검토

(5) 보안침해사고 및 주요 위반사항에 대한 판단 등 조치

(6) 외부 법령 의무 기준에 대한 이슈 대응 검토

(7) 내 외부 보안감사 결과 검토·승인

5.7. 직무 분리 필요성

(1) 정보보호 업무를 다루는 개인정보보호책임자 및 관리자는 관리적 보안통제 관련 중요 업무에 대해서 실수 또는 고의적인 보안 사고 예방을 위해 분리가 이루어지도록 한다.

(2) 업무 및 시스템의 특성을 고려하여 불가피한 경우 겸임이 가능하나, 겸직 관련 법령 이슈가 없어야 한다. 또한, 겸임 시 시스템 접근이나 보안 구역 접근에 관한 통제를 수행해야 하고, 이에 대한 비밀 유지 서약과 지속적인 교육 등 대체 방안을 고려해야 한다.

(3) 정보시스템 운영 업무를 위탁 시, 직무 분리 등 운영상태 체크를 하도록 한다.

(4) 정보보호 인력 부족 시, 회사는 정보보호 업무에 대해 겸임을 할 수 있다.

6. 정보자산 분류 및 관리

6.1. 목적 및 범위

(1) 이 조항은 회사의 중요 정보자산을 비용대비 효과적으로 보호하기 위하여 자산 분류지침을 정하고 관리하는 것을 목적으로 한다.

(2) 이 조항은 인쇄물 및 컴퓨터나 정보저장매체 등에 기록된 전자문서의 형태로 존재하는 회사의 모든 정보자산에 대하여 적용하며 신규 또는 폐기되는 자산도 대상이 된다.

6.2. 정보자산 분류

정보자산 분류는 다음과 같은 모든 IT 관련 자산에 한하여 분류하며, 중요도를 선정한 후 유형에 따라 다음과 같이 분류한다.

(1) 데이터

① 경영기획/지원분야 : 회계 정보, 재무 정보, 인사 정보, 마케팅 정보, 고객 정보, 영업 정보 등

② 고객 대응/ 서비스분야 : 고객정보, 전산처리요청서, 회의자료, 통화기록 등

③ 영업분야 : 고객정보 프로젝트 산출물, 영업자료, 제품정보, 견적자료, 교육자료 등

④ 연구분야 : 프로그램 개발계획서, 설계서, 개발 데이터, 회의자료 등

□ 전자적 형태로 보관되는 정보 및 출력물

(2) 소프트웨어 및 시스템 문서

① 소프트웨어 : 운영 S/W, 어플리케이션 S/W, 개발 S/W, 사용자 S/W 등

② 시스템 문서 : 시스템 매뉴얼, 시스템 점검 문서, 시스템 장애 기록 문서 등

(3) 하드웨어 및 부대설비

① 시스템 하드웨어 : 서버, 네트워크 장비, 보안 장비, 데스크톱, 노트북 등

② 집기 및 부대설비 : 프린터, 팩스기, 복사기, 전산랙, 항온항습기, 하론소화기 등

6.3. 보안 등급

식별된 정보·데이터 등과 같은 정보자산은 업무 중요도 및 영향도에 따라 보안 등급을 부여하며, ‘비밀’, “대외비”, “일반” 등급으로 분류된다.

등급은 정보의 생성 시 정보의 소유자가 분류하며, ‘비밀’ 등급은 부서장의 승인을 받아야 한다.

(1) 비밀 등급

① 회사 내∙외에서 알 필요에 의하여 접근권한이 부여되는 민감한 정보이다.

② 변조된 정보에 의해 회사업무의 방해 및 업무수행에 지장을 초래하는 자료이다.

③ 회사의 비밀관리 대장에 기재한다.

(2) 대외비 등급

① 회사 내 직원 모두에게 공개되는 정보이다.

② 회사 외부로 공개 혹은 유출 시, 회사에 손해를 끼칠 수 있는 정보이다.

③ 별도의 분류 및 표시가 없는 경우 “대외비” 등급으로 한다.

(3) 일반 등급

① 상기 정보 외에 일반적으로 업무 상 취급되는 정보이다.

② 회사 외부에 공개가 가능한 정보이다.

6.4. 정보자산 접근권한

(1) 정보 생성 소속 부서장은 ‘비밀’ 등급 분류 시, 최소 권한 부여 원칙에 따라 범위를 지정하여 담당임원에게 승인 받는다.

(2) 전 임직원과 계약관계에 있는 모든 사용자는 권한 외의 어떠한 정보자산에 접근을 시도해서는 안된다.

(3) 모든 정보자산의 접근권한은 정보소유자 또는 권한을 위임 받은 관리자(시스템 운영팀)에 의해 부여된다.

(4) 접근권한에 대한 추가적인 사항은 수탁사의 ‘권한 및 접근통제 지침’ 내 지침을 따른다.

6.5. 정보자산 처리 및 관리

(1) ‘비밀’등급은 별도의 ‘[별첨1] 비밀 관리 대장’에 관리 기록하며, 정보자산별 관리 책임자 및 담당자를 파악하여 책임소재를 명확히 한다.

(2) ‘비밀’ 등급은 최종승인권자(담당임원)의 사전승인 없이 외부로 유출 또는 공개해서는 안된다.

(3) 부서장은 ‘비밀’ 등급의 공개 결정 시, 반드시 보안성 검토를 하여야 한다.

(4) ‘비밀’ 등급 전자문서의 경우 필히 암호 설정 후 PC에 안전하게 저장한다.

(5) 종이문서, 디스켓, 테이프 등의 경우 잠금 장치가 있는 보관소에 별도 보관한다.

(6) 퇴근 시 책상 치우기 등 물리적 보안을 통하여 사회 공학 공격을 예방한다.

(7) 소유 중인 모든 정보자산은 소유자가 년 1회 이상 정보자산의 가치를 재검토하여 최신화한다.

(8) 모든 정보자산은 자산소유자가 백업 및 복구 절차에 따라 관리한다.

6.6. 정보자산의 파기

(1) 비밀등급

① 파기 시기 : 기간만료시, 소유자 의뢰 시, 사용 완료 시 등 담당임원의 승인을 거쳐 파기한다.

② 재분류 : 부서 내에서 생산된 기밀정보의 경우 보존기간 만료 시 파기하거나, 등급을 변경하거나, 보존기간을 연장할 수 있다. 이 경우 새로운 관리번호로 재 등록하여 관리한다.

③ 파기 장소 : 보존부서 내에서 파기하는 것을 원칙으로 하나, 파기 장소를 위탁할 수는 있다

④ 파기 방법 : 종이문서의 경우 세절, 소각 혹은 별도의 안전한 처리 등으로 원형을 복구할 수 없도록 파기한다. 디스크(자기, 광), 테이프 등의 경우 덮어쓰기 또는 전자장 등을 이용하여 전자적으로 데이터를 복구할 수 없도록 조치 후에 물리적으로 완전 파기한다.

⑤ 파기 확인 : 파기 시에는 소유자 또는 처리 담당자가 입회하여 확인 후, ‘[별첨1] 비밀 관리 대장’에 파기 일자를 기입하고 서명한다.

(2) 대외비 등급

① 파기 시기 : 보존기간 만료 시, 소유자 의뢰 시, 사용 완료 시 등 소속부서장의 승인을 거쳐 파기한다.

② 파기 장소 : 보존부서 내에서 파기하는 것을 원칙으로 하나, 파기 장소를 위탁할 수는 있다

③ 파기 방법 : 종이문서의 경우 세절, 소각 혹은 별도의 안전한 처리 등으로 원형을 복구할 수 없도록 파기한다. 디스크(자기, 광), 테이프 등의 경우 덮어쓰기 또는 전자장 등을 이용하여 전자적으로 데이터를 복구할 수 없도록 조치 후에 물리적으로 완전 파기한다.

④ 파기 확인 : 파기 시에는 소유자 또는 소유자가 승인한 자가 입회하여 확인한다.

(3) 일반등급

별도의 제한 사항을 두지 않는다.

7. 물리적 보안

7.1. 목적

이 조항은 훼손, 변조, 도난, 유출 등의 다양한 형태의 침해 위협으로부터 회사의 정보시스템과 연관된 중요 자산을 물리적으로 보호하기 위해 필요한 세부사항을 정함을 목적으로 한다.

7.2. 보호구역 설정 및 통제

(1) 보호구역 설정

① 회사의 물리적 보안을 위해 보호구역을 설정하여 관리한다.

② 보호구역은 그 중요도에 따라 통제구역, 제한구역으로 구분한다.

③ 통제구역은 회사 내의 보안을 위해 극히 중요한 구역으로서 모든 출입자의 통제가 요구되는 구역을 말한다.(예 : 전산실)

④ 보호구역의 설정 후 외부인에게 공개하지 않는 것을 기본 원칙으로 한다.

(2) 제한구역 통제

① 출입통제 및 감시를 위해 출입통제시스템, CCTV 등을 설치한다.(예 : 사무실)

② 제한구역을 출입하는 전 임직원은 반드시 ID 카드를 패용하거나, 이에 상응하는 출입수단 등록을 한다.

③ ID카드를 분실 또는 도난 당한 직원은 이를 즉시 해당부서에 구두, 전화, 메일 등으로 신고한다.

④ 퇴직, 전배, 이직 등으로 고용관계가 변경된 임직원에 대한 불필요한 접근권한은 정보보호담당자 또는 물리적보안담당자에 의해 즉시 해제되어야 한다.

⑤ 외부인의 제한구역 내 출입은 업무상의 필요에 따라 허가되어야 하며, 임직원 입회를 통해 이들의 제한구역 내 활동은 지속적으로 감독되어야 한다.

⑥ 퇴직, 보직 변경된 임직원에 대한 불필요한 출입권한은 즉시 해제되어야 한다.

(3) 통제구역 통제

① 출입통제 및 감시를 위해 출입통제시스템, CCTV 등을 설치한다.

② 비인가자의 출입이 제한되는 보호구역에는‘통제구역’ 표시를 하여야 한다.

③ 외부 게시물 및 건물 구조도에는 통제구역의 위치를 표시하지 않는다.

④ 통제 구역의 출입 권한 등록은 최소한의 인원으로 제한한다.

⑤ 출입문에는 필요 시 시건 장치를 하거나 자동화된 개폐장치를 사용하여야 하며, 통제구역 출입자명부를 비치하고 관리하여야 한다.

⑥ 인가자의 출입로그 및 비인가자의 출입일시, 목적이 기록된 ‘별첨2.통제구역 출입 일지’는 6개월 이상 보관하며, 비인가자의 불법 접근 또는 시도는 통제구역 담당자에게 즉시 보고한다.

⑦ 화재경보기, 소화장비 및 화재 시 대피장치 등과 같은 적절한 안전장비를 비치하고, 장비의 작동 점검을 주기적으로 실시한다.

⑧ 통제 구역 내 정보시스템 도입, 유지보수 등으로 작업이 필요한 경우에 작업계획서 작성을 통해 작업일시, 작업목적, 업체 및 담당자명, 승인자 등을 기록해야 한다.

7.3. 통제구역 위치 및 관리

(1) 통제구역 물리적 배치

① 건축물 내에서 진동, 침수, 가연성 또는 부식성의 가스, 증기, 염분 등으로부터 영향을 받지 않는 위치에 설치한다.

② 불특정 다수인이 출입하는 장소로부터 격리한다.

③ 제3자가 침입할 우려가 적은 장소에 설치한다.

④ 외부 집적정보통신시설(IDC)에 위탁 운영하는 경우 물리적 운영 상태를 주기적으로 검토한다.

(2) 통제구역 구조 조건

① 재해발생시 대피 및 보수를 위해 필요한 공간을 확보한다.

② 통제구역은 최소한으로 꼭 필요한 장비만을 설치하여 기타 다른 사정으로 인해 전산 기능이 마비되는 일을 막을 수 있어야 한다.

③ 사무실과 통제구역을 구분하는 칸막이는 천정까지 닿아 있어 통제구역과 사무실이 완전히 분리되어 있어야 한다.

④ 통제구역은 방수처리를 하여야 하며, 마루, 내벽, 천정 등에 사용하는 내장재는 불연재 또는 난연 재료를 사용한다. 단, 석면 등의 재료는 피한다.

⑤ 통제구역에는 정전기 및 전자기의 영향이 없도록 조치를 강구한다.

⑥ 벽면은 항온과 항습을 위하여 단열 구조 및 이에 필요한 설비를 갖추어야 한다.

(3) 통제구역 내부 설비

① 자동 화재경보 설비를 설치한다.

② 하론 소화기 등 소화시 장비에 피해를 주지 않는 자동소화 설비의 설치를 권장하며 자동 소화설비가 없을 경우 소화기를 확보한다.

③ 출입구는 화재에 대비하여 방화문으로 설치한다.

④ 정전에 대비하여 별도의 전원공급 시설 또는 UPS를 설치한다.

⑤ 온습도를 적절히 유지할 수 있는 공기조화설비를 설치한다.(예 : 항온항습기, 에어컨)

⑥ 충분한 밝기를 갖는 조명설비를 설치한다.

7.4. 전산장비 보호 및 관리

(1) 전산장비 배치 및 제한

① 전산장비는 환경상의 위협을 최소화할 수 있도록 배치하고, 비인가자의 침해를 방지할 수 있도록 적절한 대책으로 보호한다.

② 전산장비 주위에서의 흡연 및 취식은 제한한다

③ 업무활동 지원을 위해 외부에서 사용되는 전산장비는 회사 내의 전산장비와 비슷한 수준으로 보호한다.

④ 전산장비는 홍수와 같은 재난에 대비하여 가능한 일층 이상의 장소에 배치한다.

⑤ 전산장비는 화재와 같은 인재에 대비하여 건물 외벽과 거리를 두고 배치하고, 가능한 취사시설, 화장실 등으로부터 거리를 두고 배치한다.

⑥ 전산장비에 연결되는 케이블은 매설 등을 통해 물리적 차단이나 손상으로부터 보호하고, 감시 또는 정기적인 점검을 한다.

(2) 전산장비 관리

① 비상시를 대비하여 핵심 업무활동을 지원하는 전산장비에는 필히 UPS를 설치한다 .

② 시스템, DB, 네트워크, 보안 장비는 각 담당자가 자산을 관리한다.

③ 전산장비에 대한 실사는 정보보호담당자가 필요시에 실시할 수 있다.

④ 전산장비의 반출입 필요시 반출입자는 ‘별첨3.전산장비 반출입 요청서’를 작성한다.

⑤ 각 담당자는 ‘전산장비 반출입 요청서’를 확인 및 해당 전산장비의 저장매체 내 데이터를 검토하고 승인한다.

⑥ 전산장비는 정ㆍ부 담당자를 지정하여 관리하고, 각 전산장비가 회사 자산임을 손쉽게 확인할 수 있도록 눈에 잘 띄는 곳에 식별 표시를 부착한다 .

(3) 전산장비 파기

① 중요한 정보를 담고 있는 장비를 폐기할 때 물리적으로 파괴하거나 저장된 정보가 완전하게 제거될 수 있는 방법을 사용하여야 한다.

② 장비, 저장매체의 폐기는 다음 각 호의 절차에 따라 수행한다.

i) 파기 장소: 회사 및 전산센터에서 파기하는 것이 원칙이나 분량이 많을 경우 별도의 파기 대행 위탁업체에서 파기할 수 있다.

ii) 파기 방법: 종이문서의 경우 세절, 소각, 용해 혹은 별도의 안전한 처리 등으로 원형을 복구할 수 없도록 파기한다. 하드디스크, 디스켓, 테이프 등의 경우 덮어쓰기 또는 전자장 등을 이용하여 전자적 물리적으로 데이터를 복구할 수 없도록 완전히 파기한다.

iii) 파기 확인: 파기 시에는 소유자 또는 해당 시설관리자가 입회하여 확인 후 파기 관리대장에 파기일자를  기입하고 서명한다. 파기대행 위탁업체를 이용하는 경우 정보의 유출 시 발생할 수 있는 손해에 대해 배상책임 조항이 포함되어야 하고 정보의 파기 시에는 관련 업무수행 담당자가 입회하여야 한다.

③ 폐기된 장비는 자산 주체를 명확히 확인 후, 시스템을 통해 자산을 관리한다.

8. 인적 관리 및 PC 보안

8.1. 임직원 인적 보안

(1) 보안 관리

① 임직원 채용 시 회사 기밀사항에 관하여 임직원이 지켜야 할 사항을 명시한 보안서약서를 징구하여야 한다.

② 보안서약서에는 업무상 취득한 정보에 대하여 어떠한 경우에도 공개하지 않으며, 이를 위반하였을 때에는 민/형사상 책임과 관계 법령에 의한 조치에 따를 것을 명시하여야 한다.

③ 기밀준수는 회사에서 근무하는 시간 외 외부에서의 일상적인 시간까지도 적용된다.

④ 인사이동 시에는 인사명령과 동시에 모든 권한이 적절하게 변경되어야 한다.

⑤ 퇴직 시 개인 소유를 제외한 본 회사에서 지급받은 모든 자산을 회사에 반납하여야 하며, 업무 상 취득한 정보 자산 및 기술을 퇴직 후 개인적으로 이용할 수 없다.

⑥ 각종 서버 및 시스템 접근권한을 가지고 있는 임직원이 퇴직 시 접근 권한을 즉시 삭제하여야 한다.

⑦ 임직원의 퇴직 시 비밀유지를 위한 보안확약서를 징구하여야 한다.

(2) 보안 교육

① 임직원을 대상으로 년 1회 이상 보안교육을 실시되어야 하며, 이와 별개로 신규 임직원 채용 시 보안교육을 실시하여야 한다.

② 임직원은 보안정책 및 개인정보보호지침 등에 관한 내용을 이해할 수 있도록 보안교육에 참여 의무를 갖도록 한다.

8.2. 외부인 인적 보안

(1) 외부위탁 계약

① 외부위탁 계약 시 사전에 요구되는 보안사항을 점검하여야 한다.

② 외부위탁 계약 시 정보시스템, 네트워크, 인력 및 사무환경 등을 관리 통제하기 위한 보안요구사항을 계약서에 명시하여야 한다.

③ 외부위탁 계약 시 보안요구사항에 대한 위반 시 처벌 및 손해배상에 대한 조항이 포함되어야 한다.

④ 외부위탁 계약 시 계약서에는 외부인의 보안준수와 관련된 내용이 반드시 포함되어야 한다.

⑤ 외부인 계약 시에는 계약사항에 다음 각 호의 사항을 고려하여야 한다.

i) 직무수행 능력(자격, 경력 등)

ii) 직무수행 경험 (유사업무 수행 경험)

iii) 용역 외주업체와의 인력 교체 가능 여부 및 교체 시기의 신속성

iv) 외부인 적격심사에 따른 책임사항

v) 서비스수준약정(SLA) 기준 명시

(2) 보안 관리

① 프로젝트 개발, 전산업무 관리 등 외부 위탁을 시행 시 업무 성격상 회사 기밀 사항이나 고객 정보에 관한 사항을 접할 수 있는 경우 외부인으로부터 보안유지 및 책임에 관한 ‘별첨1.보안서약서(외부인용)’ 을 받아야 한다.

② 외부인의 고의, 부주의 등으로 인한 보안 장애사고를 미연에 방지하고, 발생 시 책임 추적성을 명확히 할 수 있도록 통제 방안을 수립하여 적용한다.

③ 외부인이 보안관리 기준을 준수하고 있는지 여부에 대해 지속적인 모니터링을 실시해야 한다.

④ 회사 내에서 상시 근무할 외부위탁업체 직원의 출입증을 발급하고 신원 조회에 필요한 서류를 징구 할 수 있다.

⑤ 전산자료의 보안관리를 위해 외부위탁업체로 하여금 보안규칙 및 보안관련 지침의 준수와 전산자료 보안관리 계획서 제출을 요청할 수 있다.

⑥ 외부인의 권한 신청은 반드시 전산처리요청서 접수를 통하여야 한다. 전산처리요청서는 담당 부서의 임직원이 작성하여 접수한다.

⑦ 외부인이 사무실을 사용할 경우 업무를 수행하는 공간에 대한 보안점검을 실시한다.

⑧ 회사에 상주하여 프로젝트 수행할 시 정보유출을 방지하기 위해 별도의 업무공간을 제공하여 임직원들과 물리적으로 업무환경을 분리하도록 한다.

⑨ 임직원들은 장시간 자리 비우거나 퇴근시, 중요정보를 담고 있는 업무 파일은 시건장치가 있는 캐비닛에 보관해야 한다.

⑩ 외부인은 USB 등 저장매체 및 노트북∙PC 반입을 할 수 없으며, 반입해야 할 경우에는 사전에 정보보호 관리자의 승인을 얻어야 한다.

(3) 보안 교육

① 프로젝트 개발, 위탁 운용 업무 등 외부 위탁의 시작 시, 보안교육을 실시한다.

② 외부인과 계약관계에 있는 부서의 부서장은 정보보안 준수사항을 분기1회 이상 교육하여야 한다.

③ 6개월 이상의 장기계약을 대상으로 하며, 교육 내용은 보안서약서 내용을 반복 강조한다.

④ 계약관계의 종료 시, 사업 관련 자료 및 사업과정에서 생성된 모든 산출물은 담당 부서의 부서장에게 이관하고 그 외 PC 등의 전산기기에서 모두 파기하도록 교육한다.

8.3. PC 사용 관리

(1) PC 사용 윤리

① 회사에 제공한 PC는 개인적인 사업 목적이나 이익을 위하여 사용할 수 없으며, 업무용으로만 사용하여야 한다.

② 회사의 PC 관련 자료를 무단을 변조하거나 훼손하지 않아야 한다.

③ 개인에게 제공된 ID와 패스워드는 절대 타인과 공유하지 않는다.

④ 타인의 ID와 패스워드를 알려고 하지 않으며, 이를 이용하여 허가 받지 않은 PC 에 임의로 접근하지 않아야 한다.

⑤ 타인의 패스워드를 무단 변경하여 업무 수행을 방해하지 않는다.

⑥ 업무상 취득한 회사의 정보 또는 제3자 소유의 PC관련 자료를 승인 없이 누설하지 않아야 한다.

⑦ 회사에서 비밀로 관리하는 정보자산은 부서별 부서장 승인 없이 외부로 유출하지 않아야 한다.

⑧ 저작권을 침해할 수 있는 자료를 회사 네트워크를 통하여 무단으로 배포하지 않는다.

⑨ PC 사용자는 스팸메일, 불건전한 메일 등 물의를 야기할 수 있는 정보 또는 메일을 회사 네트워크를 통하여 유통시키지 않아야 하며, 유해사이트, P2P 등의 접속은 하지 않아야 한다.

(2) PC 사용 원칙

① PC의 보안관리에 대한 1차적 책임은 사용자에게 있다.

② PC는 인가된 업무상의 목적을 위해서만 사용하여야 한다.

③ 임직원 및 외부인이 본인 소유의 PC를 회사로 반입하여 사용하지 않아야 한다.

④ 부득이한 사유로 본인 소유의 PC 사용 필요 시, 반입 및 반출에 대해 포맷을 하여야 하며 정보보호 관리자에게 사용 요청하여야 한다.

⑤ PC 사용 시 자리를 비울 경우는 비밀번호가 설정된 화면보호기 혹은 동등한 기능을 작동시키거나, 전원을 종료하여야 한다.

⑥ 모든 사용자는 PC 부팅이 불가능하거나 하드디스크 고장과 같은 비상시에 대비하여 중요 자료를 정기적으로 백업하여야 한다.

(3) 소프트웨어 설치제한

① 소프트웨어는 업무상의 인가된 목적으로만 사용되어야 한다.

② 회사의 정보시스템을 침해하거나 우회할 수 있는 소프트웨어를 임의로 설치해서는 아니 된다.

③ 업무용 목적 이외의 프로그램(게임 등)을 설치하지 않아야 한다.

④ 상용 P2P 메신저, 웹하드 및 기타 인터넷 자료 공유 기능 등 정보유출 우려가 있는 보안에 취약한 프로그램은 사용하지 않아야 한다.

⑤ 모든 PC에는 적법한 절차에 따른 정품 소프트웨어만 설치되어야 하며, 사용권한이 없거나 임의로 복제된 불법 소프트웨어는 사용하지 않아야 한다.

⑥ 타인의 PC에 접근하거나, 정보를 수집할 수 있는 악의적인 프로그램 설치는 사용하지 않아야 한다.

(4) 사용자 PC 비밀번호 설정

① 사용자는 PC의 무단사용 방지를 위하여 분기마다 비밀번호 설정을 변경하여야 한다.

② 제1항에 대한 비밀번호 작성 규칙은 아래와 같다.

최소 2종류 이상의 문자를 조합하여 최소 8자리 이상의 길이로 구성하되 문자의 종류는 다음과 같다.

- 영문 대문자(26개)

- 영문 소문자(26개)

- 숫자(0~9까지)

- 특수문자(32개)

③ 연속적인 숫자나 생일, 전화번호 등 추측하기 쉬운 개인정보 또는 3자리이상 연속된 문자의 사용은 사용하지 않아야 한다.

④ 비밀번호는 유효기간을 설정하여야 한다.

(5) 화면보호기 설정

① 모든 PC에는 화면보호기를 설정하여 사용자가 자리를 비운 사이에 비인가자가 해당 PC를 이용하는 것을 방지하여야 한다.

② 비인가자의 접근을 방지하기 위해서 사용자가 일정시간 이상 입력이 없을 경우 비밀번호가 설정된 화면보호기가 자동으로 작동되도록 하여야 한다.

③ 화면보호기 기능은 전사적 의무로서 보안솔루션 등 시스템을 통해 임의 적용될 수 있다.

(6) 공유폴더 관리

① 공유폴더는 사용하지 않는 것을 원칙으로 한다.

② 필요에 의해 파일 공유 기능을 사용 시에는 반드시 비밀번호를 설정하여야 한다.

③ 사용 완료 후에는 공유를 반드시 해제하여야 한다.

④ 파일 전달이 주된 목적일 경우에는 반드시 읽기 권한만을 주고 상대방이 쓰기를 할 경우에 있어서는 개별적으로 쓰기 권한을 설정하도록 한다.

⑤ 공유는 전체를 대상으로 해서는 아니 되며, 최소한의 파일만 공유하여야 한다.

(7) 바이러스 관리

① 모든 PC(노트북 포함)에는 회사에서 제공하는 정품 백신프로그램을 설치하여야 하고, PC 운영체제 재설치 등의 작업 후에도 백신프로그램은 즉시 설치하여 항상 정상 작동하도록 하여야 한다.

② 모든 사용자 PC는 백신 업데이트가 신속하게 적용되도록 하고, 주기적으로 점검되도록 하여야 한다.

③ 백신프로그램은 항상 최신 버전으로 업데이트하여 사용하여야 한다.

④ 백신프로그램 설치 후 백신프로그램에서 제공하는 실시간 감시 기능 및 예약기능을 설정하여, 다운로드한   ⑤ 파일이나 첨부파일이 실행되기 전 바이러스 감염여부가 자동적으로 점검되도록 하여야 한다.

⑥ 바이러스 감염여부가 검증되지 않은 프로그램이나 파일을 메일 등으로 타인에게 전송하거나 게시해서는 아니 된다.

⑦ 바이러스 예방을 위해 출처가 분명하지 않은 전자메일은 열지 않도록 한다.

⑧ 바이러스 등이 설치되거나 감염된 사실이 발견되었을 경우, 즉시 전산망과의 접속을 분리시킨다.

⑨ 바이러스 감염 확산방지를 위하여 정보보호 담당자에게 관련 내용 및 보안조치 사항을 보고한다.

⑩ 바이러스 감염의 재발을 방지하기 위하여 원인 분석 및 예방조치를 수행한다.

⑪ 정보보호 관리자는 바이러스 신종이 발견되거나 감염 피해가 심각하다고 판단되는 경우 관련 사항을 정보보호위원회 등 관계 기관에 즉시 통보하여야 한다.

(8) 휴대용 PC 관리

① 장기 미사용 휴대용 PC(노트북 등)는 잠금장치가 있는 서랍이나 캐비닛에 보관하도록 한다.

② 업무용으로 외부에 반출한 휴대용 PC(노트북 등)는 공공장소에 방치하지 않도록 하며 장시간 이석 시에는 휴대하도록 한다.

③ 비밀번호 설정 규칙을 준수하여 도난 및 분실에 대비하여야 한다.

④ 휴대용 PC(노트북 등) 내에 저장된 비밀, 대외비 문서는 암호 설정 적용을 권고하며, 문서 관리에 각별한 주의를 하도록 한다.

(9) PC 유지보수 관리

① PC 유지보수는 계약에 의한 인가된 직원에 의해서만 수행되어야 하며, 유지보수 업체 직원 외 확인 시 내부직원의 참석 하에 유지보수가 이루어지는 것을 원칙으로 한다.

② PC 유지보수를 위하여 외부로 반출이 필요한 경우는 보안조치를 적용하여 해당 승인을 득하여야 한다.

(10) 사용자 PC 보안점검

① 사용자는 이 지침의 준수여부 확인을 위한 보안점검 및 감사업무에 적극 협조하여야 한다.

② 정보보호 관리자는 회사 내 PC를 이용하는 임직원 및 외부인에 대해 소프트웨어 불법 복제를 포함하여 이 지침의 준용여부를 정기적으로 점검 할 수 있다.

③ 정보보호 관리자는 PC보안의 중요성을 인식시키고 경각심을 제고시키기 위하여 제2항에 따른 결과를 토대로 PC보안 교육을 실시하여야 한다.

④ 소프트웨어를 불법 복제 사용으로 외부기관 단속 적발 시 1차적인 책임은 해당 사용자 본인에게 있다.

⑤ 개인정보보호 담당자는 개인정보유출방지 시스템을 통해 모든 개인정보취급자 PC에 대하여 개인정보 보유 여부를 년 1회 이상 점검하고, 이에 대한 결과를 개인정보보호책임자(CPO)에게 보고하여야 한다.

9. 보안사고 대응 및 처리

9.1. 목적

이 조항은 회사의 내∙외부 침해사고 및 개인정보 유출 등의 보안사고가 발생했을 경우 이에 신속하고 효과적으로 대처할 수 있는 일련의 방법 및 절차를 제공하고, 보안사고 내용을 전파 및 보고하는 것을 목적으로 한다.

9.2. 보안침해사고 정의

(1) 보안침해사고 유형

① 악성 소프트웨어(바이러스, 백도어 등)에 의한 침해

② 네트워크∙시스템 침해 및 징후 포착

③ 자산의 도난, 분실, 파손 및 파괴

④ 정보 자산의 유출 및 변조

⑤ 대내∙외 비인가 된 해킹 시도

⑥ 기타 발견된 보안취약성, 소프트웨어 오동작, 시스템 오류 등

(2) 보안침해사고 대응 조직 역할

① 정보보호 메인담당자(그룹 전담조직)

i) 침입자가 시스템 내에서 활동 중이거나 침입 흔적이 있는지 여부를 조사한다.

ii) 사고 경위에 대해 개인정보보호 책임자(CPO)에게 신속한 방식으로 보고한다.

iii) 정보자산의 중요도 및 피해 상황, 영향도 등에 대한 기술적인 내용을 파악한다.

iv) 근본적인 문제점을 파악하여 재발방지 대책 마련 및 복구를 우선하고, 보고서를 산출한다.

v) 취약점 점검 등 사전 예방을 위해 정기적으로 점검 수행하고 분석 후 조치한다.

□ 위 i) ~ v) 업무는 정보보호 전담조직에 위임한다.

② 개인정보보호 책임자(CPO)

i) 보고된 보안 사고 경위를 검토 후, 재발방지를 위한 후속 조치 대응안을 지시한다.

ii) 사고 경중에 따라 CEO 보고 및 전문가의 지원 요청을 결정한다.

iii) 외부 기관 신고 및 계열사 전파 여부를 ‘아주 준법경영실’ 과 협의하여 결정한다.

iv) 취약점 점검 진행 사항을 검토하고, 최종 승인한다.

③ 정보보호 조직

i) 해킹이 의심되거나 판단될 시 정보보호관리자는 정보보호 메인담당자(그룹 전담조직)에 신속히 신고하고, 되도록 예방에 대한 초동 조치를 할 수 있도록 한다.

ii) 정보보호 메인담당자가 증거 수집, 발생 경위 등 요청하는 사항에 대해 적극 지원을 한다.

④ 정보보호 기타관련 조직(준법경영실)

i) CPO 와 협력하여 보안사고 경위 확인 및 대응, 징계 등을 결정한다.

ii) 사고 경중에 따라 보안사고 처리 결과에 대해 CEO 보고 및 계열사 전파를 지원한다.

9.3. 보안침해사고 예방 및 취약점 점검

(1) 보안침해사고 예방

① 보안 사고를 예방하고 사고 발생 시 신속하게 대응하기 위해 다음의 내용을 포함하여 준비한다.

i) 보안침해사고 유형 및 중요도, 그에 따른 대응∙복구 절차

ii) 보안침해사고 선포 절차 및 방법

iii) 비상연락망 등의 연락 체계

iv) 보안침해사고 발생 시 기록 및 보고 절차

v) 보안침해사고 신고 및 통지 절차

vi) 보안침해사고 보고서 작성

vii) 보안침해사고 조사 및 복구 역할

viii) 보안침해사고 대응 및 복구 훈련 시나리오

② 보안관제서비스 혹은 유지보수 등 외부 기관 및 업체를 통해 체계를 구축∙운영하는 경우 보안침해사고 대응절차를 계약서에 반영하는 것을 권고한다.

③ 보안침해사고의 모니터링, 대응 및 처리를 위하여 전문가, 전문업체, 전문기관 등과의 협조 체계를 사전 수립하여야 한다.

(2) 취약점 사전 점검

① 정보시스템의 취약점이 노출되어 있는지를 확인하기 위해 정기적으로 다음의 내용을 포함하여 준비 및 점검하여야 한다.

i) 취약점 점검 대상 (서버, 네트워크 장비 등)

ii) 취약점 점검 주기 및 중요도에 따른 조치

iii) 취약점 점검 담당자 및 책임자 지정

iv) 취약점 점검 절차 및 방법 등

v) 취약점 점검 결과 보고 절차

vi) 미 조치 취약점에 대한 보안성 검토 등

② 취약점 사전 점검 대상은 다음과 같다.

i) 라우터 등 네트워크 시스템 구성 및 설정 취약점

ii) 서버 OS 보안 설정 취약점

iii) 방화벽 등 보안시스템 취약점

iv) 어플리케이션 취약점

v) 웹 서비스 취약점

vi) 전산기기 및 모바일 서비스 취약점

③ 취약점 점검 시 회사의 규모 및 보유하고 있는 정보자산의 중요도, 일정 등에 따라 모의침투 테스트를 고려한다.

(3) 모니터링 기준 정의

① 침해시도, 개인정보유출 시도, 부정행위 등 이상행위의 판단 및 조사 등 후속 조치가 적시에 이루어지도록 임계치 및 기준을 정의하고, 주기적으로 검토하여 최적화하여야 한다.

② 이상행위 판단을 위해 정보시스템, 보안시스템, 네트워크 장비 등의 로그를 수집하고 분석하는 체계를 갖추고, 그에 따른 분석 및 모니터링 결과의 보고 방법에 대해서도 고려하여야 한다.

□ 본 조의 보안침해사고 예방 및 취약점 점검은 수탁사에 위탁하여 운용한다.

9.4. 보안침해사고 대응 절차

(1) 사고 조사 및 대응 절차

① 정보보호담당자는 랜섬웨어 등의 바이러스 감염이나 해커 침입, 내부정보 유출과 같은 이상 징후 탐지 시 신속히 초기 대응을 수행한다.

② 보안과 관련한 범죄를 통해 피해를 입었음이 분명하다고 판단될 경우, 이를 정보보호 전담조직의 정보보호담당자가 사고경위를 조사하고 정보보호 지원조직의 준법경영실이 지원하여 CPO 및 각 계열사 정보보호 담당 조직에 신속히 전파해야 한다.

③ 사고에 대한 상세 조사를 통하여 동일한 사고가 발생되지 않도록 필요한 예방조치를 취한다. 단, 사고의 내용은 경위에 대한 조사가 종결될 때까지 공개하지 않는다.

④ 조사 종결 후, 중요사항을 포함한 보고서를 작성하여 CPO와 같은 결정권자의 의사 결정 여부를 확인하고, 그에 따른 개선 및 정책 수정 등을 보완 조치한다.

(2) 취약점 점검 절차

① 내부 전문인력에 의한 점검 혹은 외부 전문기관을 통한 점검 여부를 결정한다

② 주요 시스템에 대한 취약점 점검 계획서를 작성 후 CPO 에게 보고하여 승인 받는다.

③ 연 1회 이상 취약점 점검을 수행 및 조치하고, 이력 관리가 될 수 있도록 점검일시, 점검대상, 점검방법, 점검내용, 발견사항, 조치사항 등이 포함된 보고서를 작성하여 CPO 에게 보고한다.

④ 취약점 별로 조치사항 확인을 위해 이행점검 등을 통하여 완료 여부를 점검한다.

⑤ 불가피하게 조치를 할 수 없는 취약점에 대해서는 그 사유를 명확하게 확인하고 이에 따른 보안성 등을 CPO 에게 최종 보고한다.

⑥ 정기적인 보안취약점 점검 이외에도 지속적으로 최신 보안취약점을 파악하여, 정보시스템에 미치는 영향을 분석하여 필요 시 대응 조치한다.

⑦ 취약점 점검 이력을 확인하여 전년도에 도출된 취약점의 재발생 여부 등을 확인하고, 문제점에 대해 근본원인 분석 및 재발방지 대책을 마련하여야 한다.

□ 본 항의 취약점 점검은 수탁사에 위탁하여 운용한다.

(3) 보안침해사고 징계 및 신고

① 보안침해사고 발생 시 사규에 따라 징계가 이루어지며, 징계의 수위는 정보보호 위원회 혹은 인사위원회에서 결정한다.

② 위반 사안 및 내용에 따라 외부 관계기관에 고발 조치될 수 있다.

- KISA 한국인터넷진흥원   : www.boho.or.kr     T: 118

- 경찰청 사이버안전지킴이 : www.police.go.kr     T: 182

9.5. 보안침해사고 및 재난·재해 대응 훈련

(1) 보안침해사고 대응 훈련

① 보안침해사고 대응 절차의 적절성을 검토하고 사고 발생 시 신속한 대응이 가능하도록 모의훈련 계획을 수립 및 이행한다.

② 최신 침해사고 사례, 해킹 동향, 비즈니스 특성 등을 반영하여 현실적이고 실질적인 모의훈련 시나리오를 마련한다.

③ 연 1회 이상 주기적으로 모의훈련을 수행하여, 대응에 대한 숙련도를 높일 수 있게 한다. 단, 모의훈련은 재난·재해 대응 훈련에 포함하여 대체 할 수 있다.

④ 모의훈련 시행 후 결과보고서 작성 및 내부 보고를 진행하고, 훈련 결과를 바탕으로 개선사항을 도출하여 필요 시 사고 대응 절차에 반영하도록 한다.

(2) 재난·재해 대응 훈련

① 조직의 핵심 서비스(업무) 연속성을 위협할 수 있는 IT 재해 유형을 식별한다.

- 자연재해 : 화재, 홍수, 지진, 태풍 등

- 외부요인 : 해킹, 통신장애, 정전 등

- 내부요인 : 시스템 결함, 기계적 오류, 사용자 실수, 의도적·악의적 운영 등

② 재해유형별 조직의 핵심 서비스 중단 시 피해규모 및 영향을 분석하여 핵심 IT 서비스 및 시스템을 식별한다.

i) 재무적 측면 : 매출감소, 계약 위약금 지급 등

ii) 법적 측면 : 손해배상 소송 등

iii) 정성적 측면 : 대외 이미지 하락, 경쟁력 손상 등

③ 핵심 IT 서비스∙시스템의 중요도 및 특성에 따른 복구 목표시간(RTO), 복구 목표시점(RPO)을 정의한다.

④ 신속한 복구가 가능하도록 복구조직 및 역할, 비상연락망, 복구 대책, 복구 절차 등 IT 재해복구 체계를 구축한다.

⑤ 수립된 IT 재해복구 체계의 실효성을 판단하기 위해 년 1회 이상 재해복구 훈련을 이행한다.

⑥ 재해복구 훈련 결과를 토대로 개선하고, 복구 계획을 정기적으로 검토·보완한다.

□ 본 조의 보안침해사고 및 재난·재해 대응 훈련은 수탁사에 위탁하여 운용한다.

부 칙

제1조(시행일) 본 지침은 2022년 8월 17일부터 시행한다.

[별첨1] 비밀 관리 대장

순번	자료명	자료 소유부서	자료생성일/ 자료 입수일	배포(입수)형태	파기일자	자료관리 담당자	비고

[별첨2] 통제구역 출입 일지

[별첨3] 전산장비 반출입 요청서

[별첨4] 보안서약서(외부인용)

보 안 서 약 서

소 속 :

직 위 :

성 명 :

목 적 :

상기 본인은 아주아이비투자 주식회사(이하 “회사”라 한다)의 프로젝트(또는 용역) 업무를 수행함에 있어 회사의 보안관리 규정을 충분히 숙지하고, 다음의 사항을 성실히 준수할 것에 동의하며, 만일 이를 이행하지 않을 경우에는 부정경쟁방지법에 의한 책임은 물론 관련 법규에 따른 민∙형사상의 어떠한 처벌도 감수할 것이며 회사에 끼친 손해에 대해 지체 없이 변상, 복구 시킬 것을 엄숙히 서약합니다.

회사의 정보보호정책 및 지침을 철저히 준수하며, 자신에게 할당된 사용자 ID나 패스워드 관리를 철저히 하고 타인에게 누설되지 않도록 한다.

물품이나 서류, 카메라, 컴퓨터와 그 주변기기와 관련 저장매체 등의 반출입은 회사의 규정대로 지킬 것이다.

프로젝트(또는 용역) 업무의 수행과 관련하여 습득 또는 지득한 회사의 소유정보 및 제3자의 소유정보를 프로젝트(또는 용역) 업무 수행에 한하여 이용하며, 정보자산의 외부 발신 시 회사의 통제절차를 지킬 것이다.

프로젝트(또는 용역) 업무 수행시를 제외하고 어떠한 경우라도 회사가 소유한 정보내용을 변경하지 아니하며, 정당한 절차에 의하여 허가 받지 아니하거나 허가 없이 무단으로 회사의 정보나 시설에 접근하지 아니한다.

상대가 누구이던 간에(동료직원이나 고객 혹은 타 용역, 계약직 사원 등) 정보내용을 인지할 권한이 없는 자에게 회사 또는 제3자 소유정보를 누설하지 않는다.

프로젝트(또는 용역) 업무가 종료되더라도 업무수행 기간 중에 지득한 회사의 기밀내용 등 일체의 유, 무형 정보(본인의 업무와의 관련 유무불구)에 대하여 어떠한 경우라도 회사의 의사에 반하여 이를 유출, 공개 및 개인의 업무에 이용하지 아니한다.

20   년   월    일

서 약 인 :                 (인)

아주아이비투자(주) 귀 중