정보통신보안성 검토 요청서

Ⅰ. 사업개요

사 업 명	2018년 저층주거지 주택개량종합정보시스템 유지보수 용역	사업기관(부서)	주거환경개선과
사업기간	게약일로부터~2018. 12.31	총사업비	32,227천원
사업목적	○ 맞춤형 주택개량 지원을 통한 쾌적하고 지속가능한 주거환경조성 ○ 업무처리기능 강화 및 시스템 연계를 통한 업무처리의 간소화 ○ 지속적 업무환경 변화에 따른 기술지원 확립 ○ 정기적인 시스템 점검관리 및 신속한 장애 복구로 높은 신뢰도의 서비스 제공
사업내용	○ 시스템의 안정적 운영을 위한 정기·수시점검 및 장애처리 ○ 시스템 성능향상을 위한 프로그램 변경· 추가 및 기술자문, 지원 ○ 운영환경, 업무, 관계법령 개정 등에 의한 프로그램 변경 및 보완 ○ 타 시스템 변경·연동에 따른 프로그램 변경 및 기술지원 ○ 집수리 매뉴얼 및 동영상 등 수시 업그레이드 지원

Ⅱ. 시스템 구성

사업 유형	□ 정보통신망 신설․재구성 ■ 홈페이지․행정업무시스템 개발 □ 서버 구축 □ 정보보호시스템 도입 □ 무선통신망 구축 □ 보안컨설팅(취약점 점검 포함) □ 정보보안규정 제․개정 □ 기타
시스템 설치장소	데이터센터	망 구분	■ 내부행정망 ■ 외부망, DMZ
연계시스템	인터넷건축행정시스템 국가주소정보시스템	유통 정보	□ 비밀(대외비 포함) ■ 개인정보 ■ 공개대상 정보
시스템계통도 또는 정보통신망 구성도	- 집수리닷컴 · HW : 웹서버 및 DB서버 등 1식 · SW : DBMS, WAS/Web서버 등 각 1식

Ⅲ. 보안대책 강구사항

가. 보안관리 수행체계

구 분		부 서	직 위	성 명
기관	정보보안담당관
	정보보안담당자
사업수행부서	보안담당관	주거환경개선과	팀 장	김 지 환
	보안담당자	주거환경개선과	담 당	이 동 호
사업 수행 업체

나. 물리적 보안통제대책(시스템 설치장소의 보안관리)

○ 서울시 데이터센터 보안관리 규정에 따름

○ WEB서버는 데이터센터의 프론트오피스 DMZ존에 설치하여 방화벽, IDS 등의 보안장비를 거친 후 접속하도록 함

○ 서버는 보안점검 툴을 이용, 사전점검을 실시하여 보안패치 등을 완료한 후 개발프로그램을 탑재함

○ WEB서버와 기존 서버간의 연동은 허용된 최소한의 포트만을 사용하여 자료 송수신을 하고, 별도의 포트를 생성하지 않음

○ 외부망에서 WEB서버로의 접속은 방화벽을 통해서만 허용하고, 방화벽을 우회하는 모든 경로 폐쇄 (로그기록 보관 : 데이터센터)

○ 방화벽은 NAT(Network Address Translator)기능을 사용하고 최소한의 필요한 서비스 포트만 허용

○ H/W 설치장소에 대한 보안대책

․서울특별시 보안업무처리규칙 제73조(보호구역의 설정)에 의거 제한구역으로 설정된 데이터센터 정보시스템실에 WEB/AP/DB서버 설치 운영

․시스템실 관리책임자 및 담당자 지정 운영

○ 자동화재탐지 및 소화설비를 운영하고, 화재발생시 방재실과 자동연동함

○ 지문인식시스템을 운영하여 비인가자 출입 통제

○ 시스템실에서 주야간 감시를 위한 출입통제장치 및 CCTV 설치운영

○ 업무상 부득이한 사유로 시스템실 출입시는 인가자 명부를 확인하고 출입자 대장에 서명 후 담당자의 안내를 받아 출입

○ 장비설치장소의 출입통제(전자IC카드 및 지문인식도어 등)

○ 외부(유지보수업체) 파견 근무 직원 신원조사 실시

다. 홈페이지 개설 등 웹페이지 구축

○ 정보시스템 구축•운영지침(SW개발보안의무화)에 따라 행정안전부 소프트웨어 개발보안 가이드, 소프트웨어 보안약점진단 가이드를 활용하여 소프트웨어 개발

○ 게시판 프로그램 등 웹 응용소프트웨어 소스코드의 보안취약점 사전 발굴 제거

○ 타 시스템 연계시 필요한 최소한의 IP 및 포트만 open 하여 업무 연계하고 사전 정해진 데이터 형식만 전달토록 구성

○ 자체 회원DB 구축시 개인정보보호법 준수(최소정보 징구 및 보관, 탈퇴시 바로삭제)

○ 개인정보 및 인증정보 입력시 이용자 단말기에 키로깅, 화면캡쳐 방지 대책 등 마련

○ 사용자 개인정보•인증정보의 소통 또는 저장시 암호화 확행

○ 사용자 계정은 해당 업무와 관련된 정보시스템, 응용 프로그램 및 정보에 대해서만 접근할 수 있도록 직위 및 임무에 따라 접근 권한 제한

○ 웹사이트 서비스 개시 전, 반드시 정보통신담당관의 홈페이지 취약점 점검 및 개인정보 노출점검 이행 후 오픈

○ 웹 로그 및 이벤트 로그 6개월 이상 저장

라. 기타 보안대책

- 초기 제조사 패스워드 또는 취약한 패스워드 설정 금지

- 정보시스템 관리자 계정은 관리자 접속 IP만 접근토록 설정

- 비인가 관리계정은 주기적으로 확인 후 삭제

- 웹사이트 서비스 개시 전 웹취약점 점검 실시 후 제거

- 관리자 기능은 내부망의 지정된 시스템에서만 접근할 수 있도록 접근 통제

- telnet, ssh 등 원격접속 서비스, 포트 제거

- 시스템 설치나 장애처리 목적으로 원격 접속 서비스 금지

- 도입장비 환경 설정 시 보안취약점 사전 제거

- 장비 설치 구역의 물리적 접근통제

- 외주 용역업체 보안관리 철저

‣『외주 용역업체 보안관리 강화방안(‘12.1.10)』을 준용하여 사업진행

‣업체의 노트북 및 휴대용 저장장치(USB메모리, 외장HDD 등) 반입을 통제하며 안정성이 검증된 기관의 PC 및 노트북을 통해 작업진행

‣용역업체에 제공할 자료는 인수인계대장을 비치, 보안조치 후 인계·인수하고 무단복사 및 외부반출 금지

‣용역 참여직원에 대한 변동사항을 확인하고 신원조사 실시, 보안서약서 징구, 용역사업 산출물 및 취득 지식에 대한 보안교육 실시

‣용역인력의 정보통신망을 행정망과 분리하여 행정정보의 외부유출 방지

‣용역업무 수행과정 보안관리 실태 수시 점검

‣기관 내부 자료 제공시 반드시 회수

‣용역사업 종료시 노트북, USB 메모리 등 저장자료 완전삭제

‣사업착수시 용역업체 보안의 중요성 인식제고를 위한 대표자 명의 보안서약서 징구

‣사업완료 이후 사업관련 제반자료 반납, 저장매체내 자료 삭제 및 사업산출물 복사본 등을 보관하지 않는다는 대표명의 확약서 징구

라. 정보자료 보호대책

○ 서울시 데이터센터 백업정책에 따름

○ 정보자료는 스케줄링된 백업시스템에 의해 매일 정해진 시간에 백업을 실시하고, 필요의 경우 Full Backup을 실시함

○ 정보자료 보유현황을 관리하고, 보안이 요구되는 정보자료 반출․입시 반출․입 대장 등재

마. 재난 예방 및 복구계획

○ 서울시 데이터센터 표준운영절차(SOP)에 정의된 장애관리, 변경관리, 구성관리, 성능관리, 보안관리 프로세스를 준수함

○ 재난발생 사전예방을 위하여 시스템 점검을 수시(정기)로 실시함

○ 재난복구체계 및 비상연락망 유지를 통한 신속한 장애대응

○ 재난 예방을 위한 정기점검 및 재난복구훈련 등 실시