2011학년도 대신대학교

정보통신보안 및 개인정보보호

2011. 8.

대신대학교 전산실

< 차 례 >

★ 정보통신보안

I.  개요

Ⅱ. 정보통신보안 운영 및 관리

Ⅲ. 정보통신보안 기본 수칙

Ⅴ. 정보통신보안 사고처리 절차

Ⅳ. 실천사항

★ 개인정보보호

1. 기본방향

2. 개인정보관리 책임관 및 담당자지정․운영

3. 개인정보 보유현황

4. 개인정보 침해신고의 신속한 처리

5. 개인정보 처리시스템에 대한 기술적 관리적 보호대책

6. 개인정보의 열람

7. 개인정보보호를 위한 준수사항

8. 개인정보보호 교육계획

'11년 대신대학교

정보통신보안 업무

Ⅰ. 개 요

1. 배경

○ 교육기관 해킹사고 발생건수 매년 증가 및 발생률 최고

- 교내 행정자료의 정보화에 따라 대부분의 자료가 전자적 형태로 생성․보관․유통 되는 추세 강화

- 정보의 집적으로 새로운 위협요소(해킹, 바이러스, 개인정보유출등) 발생 증대

○ 정보통신보호 위협에 대한 사전예방기능 강화 필요

- 해킹, 바이러스유포 등의 지능화, 자동화, 분산화로 단시간에 광범위한 분야에 대규모 피해 유발

○ 정보통신보호 강화를 위한 종합적인 조직체제 구축 필요

- 정보보호 위협에 대한 예․경보 실시간 전파, 침해사고 접수등 자동화된 보안 경보체제 구축 필요

2. 근거

○ 「교육(행정기관) 정보통신보안 기본지침」

3. 방침

○ 교육(행정) 기관 정보통신보안 기본지침 및 각종 정보보안 관련법규의 엄격 시행

○ 전산실, 단말기, 개인용PC 등의 정보통신기기 운영시 전산보안 엄정 수행

○ 전교직원의 정보통신보안 윤리의식 확립으로 신뢰행정 달성

Ⅱ. 정보통신보안 운영 및 관리

1. 정보통신보안 관리 조직 체계

○ 정보통신보안 관리 조직 :

○ 정보통신보안 주무부서 : 기획팀 (황보 수 팀장)

- 정보보안 실무담당 : 이상민

- 시스템 보안 실무담당 : 이상민

2. 정보통신보안 영역

○ 기술적 보안 : 정보보호를 위한 기술적 보안시스템

① 한국교육전산망(KREN) 구축

② 위협정보 탐지모듈 설치

③ 침입차단 시스템(Firewalls-포티게이트, 소리게이트)

④ PC 보안 및 문서 보안(DRM)

⑤ 인증(OTP, EPKI, SSO)서 관리, 데이터 암호화 및 Data Base 보안

⑥ 정보보안 보안관제 시스템(SIMS)

⑦ 통합보안관리

⑧ 바이러스 방지 및 탐지 시스템(백신프로그램 설치)

○ 관리적 보안 : 조직을 운영하는데 필요한 관리상의 정보통신 보안시스템

① 정보통신보안관리 조직 체계

② 정보통신보안 지침과 절차

③ 비상대책 수립과 보안사고 대응책

④ 인사상의 보안 관리 및 보안교육 실시

○ 물리적 보안 : 물리적 위협에서 정보 저장 시설을 보호하기 위한 보안시스템

① 입출입 통제 시스템

② 자연 재해(화재,수해, 지진) 통제 시스템 및 환경(온도,습도) 통제

③ 데이터 백업 및 저장매체 반출입 통제시스템

④ 전원 및 케이블 보호

⑤ 재난복구 시스템

3. 정보통신보안 업무 담당자별 활동

○ 정보통신보안 담당관

① 기관 내 정보보호 활동 추진

- 주기적인 불법 S/W 점검실시

- 기관 내 주요 홈페이지 보안 점검 등

- 정보보호 인식제고 프로그램 운용

② 정보보호 커뮤니티(또는 게시판) 구축 운영

- 최신 정보보호 정보 공유

- 각종 정보보호 관련 질의응답, 공지사항 알림

- 관련 법령, 학내 규정, 정보보안 사건사고 등 정보공유

○ 시스템 관리자

① 정보보안시스템 보안정책 설정 및 점검

- 침입차단시스템, 침입탐지시스템 등 보안정책 점검

② 홈페이지, 행정정보시스템 등 각종 웹서버 취약성 점검

- 불필요한 포트 개방 여부점검

- 해킹 프로그램 설치여부 점검

- 사용자 ID, 비밀번호 취약성 점검

- 불필요한 개인정보 노출 여부 점검

③ 유해정보 차단

- 유해사이트(음란, 오락 등) 차단, 필요시 P2P 제한, 스펨 메일 차단 등

○ PC 사용자

① 신규 PC 이용시 전산실 신고(미신고시 인터넷 사용불가)

② 깨끗한 PC 만들기

- PC 비밀번호(부팅 비밀번호, 로그인 비밀번호, 화면보호기 등) 설정

- 최신 백신 및 보안패치 업데이트

- 불법 S/W 제거

- 불필요한 폴더 공유기능 제거(필요시 비밀번호 설정)

③ 불필요한 개인정보 삭제

- PC에 저장된 불필요한 개인정보 삭제

- 홈페이지 등 기관 내 웹 서버, 민간업체 포탈시스템(다음, 네이버 등 )등에 업무관련 파일(개인정보 등) 탑재여부 점검

④ 개인 정보관리 철저

- 개인 공인인증서(금융결재원, 한국전산원(NPKI), 행정전자서명(GPKI)  등) 철저히 관리

※ 디스켓, USB 등에 백업여부 등 usb 사용지양.

- 각종 아이디, 비밀번호 주기적으로 변경

- 패스워드는 8자리 이상의 영문과 숫자로 만들고 3개월마다 변경하기

- 공공기관 개인정보관리 업무 매뉴얼 적극 활용

⑤ 개인 PC 교체시 사용중이던 기기의 HDD 초기화후 반납

Ⅲ. 정보통신보안 기본수칙

1. 본교에서 운영중인 백신 소프트웨어 설치 및 실시간 감시기능 의무사용

2. PC지킴이 알약 등의 검색엔진을 이용한 주기적인 PC 점검 및 삭제(사용 S/W는 전산실에 문의)

3. 출처, 첨부파일 등이 의심스러운 전자우편은 열람하지 말고 삭제

4. 정기, 비정기적인 윈도 보안패치 실시(MS 정기 보안패치는 매월 둘째 주 수요일 - 윈도우 XP 상의 Update 필수 설치)

5. 개인 컴퓨터에 부팅, 로그임, 화면보호기의 패스워드를 설정하고 반드시 사용

6. 공유폴더 사용은 최소화하고 사용 시 반드시 패스워드 설정

7. 패스워드는 영문, 숫자, 특수기호 등을 조합해 8자리 이상으로 설정하고 주기적(분기 당 1회 이상 권장)으로 변경

8. 웹사이트 방문시 설치하는 프로그램은 인증서 및 디지털 서명을 참고해 신뢰성 확인 후 설치

9. P2P, 메신저 등을 이용한 파일 다운로드 시 최신 백신 소프트웨어로 점검 후 사용(최신 백신으로 발견되지 않는 악성 프로그램이 있음을 주의)

10. 중요한 자료는 패스워드를 설정해 저장하고 주기적인 백업의 생활화

11. 민감한 자료는 인터넷이 접속된 PC에 저장 금지

12. 정품 소프트웨어 사용

Ⅳ. 정보통신보안 사고처리 절차

1. 사전준비

① Backup 장비 및 매체

② NoteBook

2. 확인

① 해당 event가 실제사고인지 파악

② 일반적인 이상증후 여부 확인

• (네트워크 트랙픽, 이상 프로세스 동작여부, 이상 포트 open 여부 등, 신규계정 생성여부)

③ 증거자료 보관

3. 피해확산방지

① 네트워크분리

② 바이너리백업

③ 주변시스템 로그 분석

④ 패스워드교체

⑤ Windows 공유제한

4. 원인제거로그분석(Router, Firewall , System Log)

① 공격자가 남겨놓은 파일분석

② 취약점분석(패치유무확인, S/W 버전확인, 기타위험분석)

③ 사고원인 제거

5. 원상복구

① 백업본으로 Restore

② 시스템 정상상태 복귀여부 확인

③ 운영 재개시점 결정

④ 시스템 재개후 모니터링

6. 보고

① 재발방지 대책 수립

② 상위 기관에 결과 보고

Ⅴ. 실천사항

1. 정보통신 보안 교육 실시

○ 동․하계 방학중 정보통신보안 교육실시

○ 전자결재내 게시판 및 홈페이지를 통한 정보통신 보안 주요 이슈에 대한 설명 및 해결책 공지

2. 개인PC 보안 점검 실시

○ 동․하계 방학중 연구․행정용 PC 및 실습용 PC의 보안점검을 실시

3. 사이버보안진단의날 운영

○ 사이버보안진단의날 시행

① 매월 셋째주 금요일을 “사이버보안진단의날”로 지정, 정보보안 침해 예방활동 추진

② 행정부서 및 각 학부/과에서 운영중인 전체 PC 점검

- 국정원 배포 “내PC지키미” S/W 이용

③ 침해사고 예방 필수사항 점검 매월 반복시행

- 바이러스 및 악성코드 제거, 보안패치, 패스워드 변경등

④ 전산정보운영팀에서 운영중인 각종 서버 점검(17:00~19:00)

- 시스템 점검을 위하여 각종 서버의 서비스는 중지될 수 있음

⑤ 매월 자체점검후 “사이버보안 시행결과” 서식 작성후 정보원으로 송부(그룹웨어 내에 전산정보운영팀 서식을 이용하여  전자결재로 처리)

4. 비밀문서 보안관리

○ 각 학부(과) 및 행정부서에서 생성된 비밀문서는 인터넷에 연결된 개인 PC에 저장하지 말고 보조저장장치(CD-ROM, USB memory 등)에 별도 저장 관리한다.

'11년 대신대학교

개인정보보호 업무

1. 기본방향

○ 컴퓨터에 의한 정보처리의 진전에 따라 개인정보의 적법하고 안전한 처리․관리를 통하여 학생정보 이용과 제공에 대한 준수사항 이행 확인을 하고, 행정업무의 적정한 수행과 교직원 및 학생의 권익보호

2. 개인정보관리 책임관 및 담당자지정․운영

○ 개인정보관리 책임관 : 기획팀 황보 수 실장

○ 개인정보관리 담당자 : 기획팀 이상민

○ 개인정보관리 책임관의 업무 해당 기관의 개인정보보호 계획의 수립, 실태점검 및 감독 등

3. 개인정보 보유현황

연번	업무분야	개인정보파일명	개인정보수집대상	주관부서
1	학적관리	제적생명부(학부)	학부 제적생 전원	교무팀
2		제적생명부(대학원)	대학원 재적생 전원	교무팀
3	인사관리(급여관리)	교원명부(조교포함)	본교 교원	교무팀
4		직원명부	본교 직원	총무팀
5	수강관리	수강신청명부(학부)	학부 수강신청자	교무팀
6		수강신청명부(대학원)	대학원 수강신청자	교무팀
7	입학관리	입학지원자명부	입학지원자	입학학생팀
8	장학관리	장학금수혜자명부	장학금수혜자	입학학생팀
9	등록관리	등록자명부	본교 등록자	총무팀 경리과
10	회계관리	거래처명부	회계관련 거래처	총무팀 경리과
11	관생관리	관생명부	생활관 입소자	생활관
12	외국인유학생관리	외국인유학생명부	본교 외국인유학생	입학학생팀
13	홈페이지관리	홈페이지회원명부	홈페이지 가입자	기획팀 전산실
14	평생교육원관리	평생교육원 수강생 명부	평생교육원 수강자	평생교육원
15	도서대출관리	도서회원명부	도서관 회원	문헌정보팀
16	기부금관리	기부금 기탁자 명부	발전기금 기탁자	총무팀 경리과

4. 개인정보 침해신고의 신속한 처리

○「개인정보침해신고처리대장」에 침해 신고를 접수․처리

○ 개인정보 침해신고의 처리절차는 민원사무처리 관계법령 준용

5. 개인정보 처리시스템에 대한 기술적 관리적 보호대책

○ 업무별 접근권한 설정 및 주기적인 비밀번호 변경

- 사용자별 이용 업무를 고려하여 정보의 대상별, 지역관할별, 취급자별, 업무관리범위별 등으로 접근권한을 세분화 조치하여 접근권한 설정

- 허가 받은 개인정보취급자만 파일 접근 및 단말기 등 취급

○ 입․출력 및 수정 사항, 파일별․담당자별 데이터 접근내역 등을 자동으로 기록하는 로그파일의 생성

- 개인정보 취급시의 책임을 명확히 할 목적이외에 로그파일 사용금지

○ 단말기 및 시스템 등 사용하지 않을 경우는 반드시 전원차단, 화면보호기 비밀번호를 설정하여 타인의 사용을 예방

○ 본교에서는 전자서명 인증서 보급, 보안서버(SSL), 공공 I-PIN 보급과 더불어 각 개인마다 개인정보 유출 방지를 위해 노력하고 있음.

6. 개인정보의 열람

○ 열람청구

- 본인 청구 시 사본제공을 요하는 경우 또는 제3자와 관련사항(진정, 신고 등)이 있는 정보를 제외하고는 열람결정통지서를 생략하고 즉시 열람 조치(단, 법령상 제한이 있는 경우 제외)

- 사본제공의 경우 정보주체(본인)에게 불이익이 돌아올 수 있다는 내용을 주지시킨 후 제공

○ 열람편의 제공

- 법률 제12조 및 제16조에 따라 대리인의 열람(문서에 의한 사본 제공 포함)이 가능하므로 정보주체 뿐 아니라 정보주체가 지정하는 자에게도 전송이 가능

※ 다만, 다른 목적으로 사용하지 못하도록 안전조치 강구

○ 열람장소의 지정

- 개인정보를 실제 보유하고 있는 기관의 개인정보파일 사용부서

- 개인정보파일대장 사본의 전부 또는 일부를 비치

7. 개인정보보호를 위한 준수사항

□ 개인정보의 수집 및 보유 등에 있어 준수사항

○ 반드시 법령에 근거하거나 정보주체의 동의에 의하되, 목적 달성에 필요한 최소한의 범위내로 함

- 당해 파일의 보유가 소관업무 수행에 필요할 뿐 아니라 기록항목, 개인정보의 범위, 보유(폐기)기간도 필요한 범위내로 한정

- 당해 개인정보를 수집․처리함으로써 개인이 입는 사생활 침해와 그로 인해 얻는 공익상의 목적달성 사이에 비례 관계 유지

○ 정보주체의 동의에 의해 수집할 경우 사전에 수집목적, 보유기간, 이용범위, 목적달성 후 처리방법 및 이의제기 절차 등에 대한 충분한 사전 설명 후 수집

※ 이 경우 보유기간을 초과하여 보유하고자 할 때에는 정보주체의 동의 필요

○ 수집한 개인정보는 수집목적을 달성한 즉시 폐기하되, 그 원 형태 및 수록된 데이터를 식별할 수 없도록 파쇄기 또는 소각의 방법 등을 통해 폐기(단, 법령에 보유기간 등이 명시되어 있는 경우에는 예외)

□ 웹사이트에 게재 및 수집 가능한 개인정보

○ 국민들의 공공기관 업무 접촉 편의를 제공하기 위한 업무별 담당자의 성명, 전화번호, 이메일 주소 등 정보는 게재할 수 있음

※ 이메일 주소는 직접 나타나게 하지 않고 연결시스템을 갖추어도 무방

○ 기관 홈페이지의 개선․보완 및 침입탐지 등의 목적을 위해 필요할 경우 홈페이지 이용자에 대한 최소한의 정보 수집

□ 입출력자료관리대장 작성 유지

○ 개인정보취급자가 업무상 수행하여야 할 개인정보의 수정, 입력, 삭제, 정정 등에 대하여는 입출력자료관리대장에 기록 유지(별지 제2호 서식)

○ 전자문서관리시스템 또는 개인정보의 수정, 입력, 삭제, 정정 등이 기록되는 로그파일을 입출력자료관리대장으로 활용가능

□ 개인정보의 이용 및 제공시 지켜야 할 사항

○ 기관 내 부서간의 개인정보이용 또는 조회는 법령에 근거하거나 소관업무를 수행하기 위해 필요한 최소한의 범위로 제한

※ 수집당시의 배경․기준 등에 대한 이해부족 또는 부분정보의 이용에 따른 오판 등으로 정보주체의 권익 침해 가능성 상존

○ 정보주체의 동의 없이 개인정보를 수집하거나 보유 목적 외 또는 보유목적에 맞더라도 권한을 넘어서는 부당한 목적으로 내부직원 등이 이용 또는 조회하지 못하도록 엄격하게 관리

○ 타 기관 제공은 사전에 다음 사항을 확인 후 종합적으로 판단

- 법령상 요청 근거 또는 이용목적

- 요청목적에 따른 제공 항목의 적정성

- 적절한 보안대책 등

※ 보유기관의 장은 제공요건, 정보내용, 이용목적 등을 고려하여 결정하되,  사용목적, 사용방법 등 필요한 제한을 할 수 있음

※ 정보통신망을 이용하여 제공할 경우 : 송·수신과정에서 개인정보가 훼손·변조 또는 유출되지 않도록 암호화 전송 또는 행정전자서명 및 이에  상응하는 보안기술을 적용하여 송신

○ 처리정보를 법률에 의해 제공할 때에도 다음의 조치 사항을 명확히 하도록 함

- 제공범위, 데이터의 가공여부, 제공하는 파일의 형태 및 특성에 따른 보안방법 등 보호조치

- 제공된 처리정보(출력자료를 포함)의 폐기방법 및 확인에 관한 사항 등

※ 제공받은 기관은 제공기관장의 동의 없이 다른 기관에 재 제공 금지, 동의 없는 재 제공이 이루어질 경우 정보제공 중지

□ 웹사이트 상 개인정보보호 강화

○ 각종 공지시 법령상 반드시 필요한 경우를 제외하고는 주민등록번호 등 개인정보가 노출되지 않도록 처리

- 웹사이트 운영부서 또는 각 부서는 자료게재 담당자 지정 및 자료게재 시 부서장 확인 의무화

○ 홈페이지 게시판 등에 글을 게시할 경우 본인확인 절차 구현

- 공인인증서, 공공 I-PIN 등

※ 공공 I-PIN : 본인 확인을 위한 주민번호 대체 ID(행정안전부에서 개발 보급)

○ 홈페이지 접속 시 개인정보 유출방지 방안 추진

- 특히, 키보드 해킹(keyboard hacking)에 의한 개인정보 유출방지를 위해 키보드 해킹방지 툴 설치 등 대책 추진

□ 내부 직원의 개인정보와 관련한 업무처리 시 유의사항

○ 정보주체에게 제공되는 개인정보 중 연금내역 안내 등 내부 문서수발 절차에 의한 경우에도 제3자에 의한 노출에 유의

※ 내역서 등에 기재되는 민감한 개인정보(특히 주민등록번호,계좌번호)는 “*”처리

○ 개인정보가 포함된 사항을 시연회 등에 이용

- 목적 달성 후 폐기하거나 계속 이용할 경우 식별할 수 없도록 조치

□ 개인정보 사무의 인계인수 사항

○ 통상적으로 제공하는 개인정보에 관한 사항

○ 기타 개인정보보호업무 수행에 필요한 사항

○ 개인정보보호 관련 공문 및 첨부문서, 책자, 교육교재 등

□ 개인정보 기록물 등의 폐기 시 주의사항

○ 전자매체(USB 등 보조기억 매체 포함)에 수록된 개인정보 폐기

- 파일 복구기술이 발달되고 있는 점을 감안, 개인정보파일 삭제 및 파기 시 완전 포맷 또는 소자 등 재생이 불가토록 조치

※ 컴퓨터 등의 불용처분 및 매각 시에도 저장된 개인정보 완전 소자 처리

○ 출력물로 나타난 개인정보 폐기

- 직접 파쇄 조치 후 매각

- 특히, 매각 시 재생지 용도로만 활용

- 폐․휴지 수집업자에 출력물의 원형으로 매각 등 금지(원형으로 매각할 경우에는 제지공장의 용해작업을 현장 확인)

8. 개인정보보호 교육계획

○ 동․하계 방학중 정보통신보안 교육실시

○ 전자결재내 게시판 및 홈페이지를 통한 정보통신 보안 주요 이슈에 대한 설명 및 해결책 공지