문서번호	안전지원과-1520
결재일자	2018.1.22.
공개여부	부분공개(5)
방침번호

				시 민
지방행정사무관	전산기획팀장	안전지원과장
김상수	김형국	01/22 김송연
협 조
	담당자		남창수

2018년 정보보안 추진 계획

2018. 1.

안전지원과

☞ 해당사항이 있는 부분에 ‘ ■ ’ 표시하시기 바랍니다. (※ 비고 : 필요시 검토내용 기재)
구 분	사전 검토항목 점검 사항	검토완료	해당없음	비 고
시민 참여	● 시민 의견 반영 및 사업 참여 방안을 검토하였습니까? 예) 청책토론회, 설문조사, 시민공모 등	□	■
전문가 자문	● 관련 전문가 의견을 반영하였습니까? 예) 자문위원회 개최, 타당성 검토, T/F 운영 등	□	■
갈 등	● 이해 당사자 간 갈등발생 가능성을 검토하였습니까? 예) 주택가 공공주차장 조성, 택시 불법영업 단속 등	□	■
사회적 약자 배려	● 사회적 약자에 대한 배려를 검토하였습니까? 예) 아동, 장애인, 한부모 가정 등	□	■
성별분리통계	● 성별분리통계 작성여부를 검토하였습니까? 예) 인적통계 남·여 구분, 수혜집단의 남·여 구분 등	□	■
일자리	● 일자리 창출 효과 및 일자리 수를 검토하였습니까? 예) 직·간접 채용, 취업알선, 전문인력양성, 창업지원 등	□	■
선거법	● 공직선거법에 저촉 여부를 검토하였습니까? 예) 홍보물 배포, 표창수여, 경품지급, 기부행위 등	□	■
안전	● 시민 안전 위험요인과 안전대책을 검토하였습니까? 예) 장소·시설물 점검, 안전관리 인력확보 등	□	■
타 기관	● 타 기관 협의·협력(타 자원 활용 등)을 하였습니까? 예) 중앙부처, 타 지자체, 투자·출연기관, 민간단체 등	□	■
홍 보	● 사업 홍보 방안을 검토하였습니까? 예) 보도자료, 기자 설명회, 현장 설명회 등	□	■
정 책 영문화	● 정책 영문화 및 해외홍보 방안을 검토하였습니까? 예) 영문 제목‧요약, 해외 언론 보도, 외국어 홈페이지 등	□	■
바른 우리말	● 불필요한 외국어·외래어 표현 대신 바른 우리말을 사용하였습니까? 예) 스페이스, 플랜, 앵커시설, 거버넌스, 인큐베이팅, 매칭 등	■	□
결재문서공개	● 공개 여부를 “비공개”로 설정했다면 법적근거를 명확히 검토하였습니까? 예) 정보공개법 제9조 제1항 제1호~제8호	□	■
지속 가능성	● 정책·계획 등의 지속가능성을 검토하였습니까? 예) 지역경제 발전, 사회적 형평성, 환경의 보전 등	□	■

2018년 정보보안 추진 계획

정보시스템 보호 및 보안관리 활동을 강화하여 정보유출을 방지하고, 사이버 침해를 예방함으로써 안전한 정보보호 기반을 조성하고자 함

1		운영 개요

□ 관련 근거

○ 전자정부법 제56조(정보통신망 등의 보안대책 수립․시행)

○ 개인정보보호법 제3조, 29조

○ 국가정보보안기본지침 제6조, 제17조

○ 서울시 정보통신 보안업무처리규칙

2		`17년 성과 평가

□ 보안 정책 및 기본계획 수립ㆍ시행

○ 「2017년 정보보안 추진계획」수립(2월)

○  소방정보보안지침 수립(6월)

□ 사이버보안진단 10대 사항 점검

*********************************

**	**	**	**	**	**	**	**	**	**	***	***	***
****	****	****	****	****	**	**	****	****	****	****	****	****
****	****	****	****	****	****	****	****	****	****	****	****	****
****************************************************

□ 사이버 공격 초동조치 및 대응 수행

****************************************

□ 정보시스템 보안 주요 활동 내용

*******************************

*************************************

***************************************

***************************

*****	**	****	**
********************	*	*******	********
****************	*	*******	*********
*****************	*	*******	***
**************************	*	*******	***
*********************	*	*******	**********
*******************	*	****	*******
*********************	*	****	***
**********************	*	****	***
*****************************	*	****	********
**************	*	*******	*****
*******************	*	*******	********
**************	*	*******	*********
************************	*	******* *******	**** ****
****************	*	******* *******	**** ****
******	*	*******	************
***********************	*	*******	*****
**	**

3		정보보안 및 법률 개정현황

□ 한국인터넷진흥원 2018년 정보보호 7대 이슈

○ 지능형 공격과 결합한 랜섬웨어 공격 진화

○ 가상화폐 관련 서비스와 금전이익을 노리는 공격 증가

○ SW 개발체계 해킹을 통한 대규모 악성코드 감염

○ 취약한 IoT 기기의 오프라인 범죄 악용

○ 사회적 이슈 관련 대규모 공격 위험

○ 악성코드 감염 및 유포 방법의 다양화

○ 중앙관리 SW 취약점 및 관리 미흡을 통한 표적 공격 지속

□ 시만텍 2018년 인터넷 10대 이슈

○ 랜섬웨어보다 금융 악성코드로 인한 피래 규모 증가

○ 비트코인 등 가상화폐에 대한 공격 증가

○ 인공지능과 머신러닝을 이용한 사이버 범죄 등장

○ 랜셈웨어, 고가의 가정용 스마트 기기를 겨냥

○ IoT 기기의 편리성을 악용한 사이버 공격 증가

○ 가정용 IoT 기기, 네트워크 침투를 위한 거점으로 악용

○ 파일리스 및 파일라이트 악성코드의 폭증

○ 서비스형 소프트웨어 보안과의 전쟁 지속

○ 서비스형 인프라로 인한 데이터 유출 증가

○ 공급망(Supply Chain) 관련 공격 증가

□ 개인정보보호법 관련 개정 현황

○ 개인정보 수집 동의시 강조할 내용 정의 및 방법 명시 <2016.10.19. 시행>

시행규칙 제4조(서면 동의 시 중요한 내용의 표시 방법)

법 제22조제2항에서 "행정안전부령으로 정하는 방법"이란 다음 각 호의 방법을 말한다.

1. 글씨의 크기는 최소한 9포인트 이상으로서 다른 내용보다 20퍼센트 이상 크게 하여 알아보기 쉽게 할 것

2. 글씨의 색깔, 굵기 또는 밑줄 등을 통하여 그 내용이 명확히 표시되도록 할 것

3. 동의 사항이 많아 중요한 내용이 명확히 구분되기 어려운 경우에는 중요한 내용이 쉽게 확인될 수 있도록 그 밖 의 내용과 별도로 구분하여 표시할 것

○ 개인정보 유출 신고에 대한 범위 하향 조정 (1만명 → 1천명)

시행령 제40조(개인정보 유출 통지의 방법 및 절차)

~

③ 제1항과 제2항에도 불구하고 법 제34조제3항 및 이 영 제39조제1항에 따라 1천명 이상의 정보주체에 관한 개 인정보가 유출된 경우에는 서면등의 방법과 함께 인터넷 홈페이지에 정보주체가 알아보기 쉽도록 법 제34조제1항 각 호의 사항을 7일 이상 게재하여야 한다. 다만, 인터넷 홈페이지를 운영하지 아니하는 개인정보처리자의 경우에 는 서면등의 방법과 함께 사업장등의 보기 쉬운 장소에 법 제34조제1항 각 호의 사항을 7일 이상 게시하여야 한다.

○ 개인정보 처리시 안정성 확보를 위한 규정 강화 <2016.9.30. 시행>

법 제 20조 (정보주체 이외로부터 개인정보의 수집 출처 등 고지)

~

③제2항 본문에 따라 알리는 경우 정보주체에게 알리는 시기·방법 및 절차 등 필요한 사항은 대통령령으로 정한다.

④ 제1항과 제2항 본문은 다음 각 호의 어느 하나에 해당하는 경우에는 적용하지 아니한다. 다만, 이 법에 따른 정보주체의 권리보다 명백히 우선하는 경우에 한한다.

1. 고지를 요구하는 대상이 되는 개인정보가 제32조제2항 각 호의 어느 하나에 해당하는 개인정보파일에 포함되어 있는 경우

2. 고지로 인하여 다른 사람의 생명·신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가있는 경우

○ 민감정보의 처리 제한

법 제 23조(민감정보의 처리 제한)

~

② 개인정보처리자가 제1항 각 호에 따라 민감정보를 처리하는 경우에는 그 민감정보가 분실·도난·유출·위조·변조 또는 훼손되지 아니하도록 제29조에 따른 안전성 확보에 필요한 조치를 하여야 한다.

4		정보보안업무 추진 계획

□ 추진 방향

○ 정보보안 정책 및 기본계획 수립ㆍ시행 (시 정보통신보안담당관)

○ 실시간 관제에 따른 사이버 위협 및 공격에 대응 (시 통합보안관제센터)

○ 정보시스템의 취약점 진단 및 정보보호시스템 안정적 운영 추진

○ 정보보안 점검 및 모의훈련 시행

□ 정보보안 추진체계

○ 시 정보통신보안담당관 : 종합 상황 관리·감독

○ 시 통합보안  관제센터 : 침해 사고 대응

○ 전 산 기 획 팀 : 정보보호 추진계획 수립, 정보보안교육,
침해사고 대응, 장애긴급복구, 취약점 보완조치

○ 각 소 방 관 서 : 개인 PC 및 장비 보안(붙임6), 침해사고 대응

**********************************************

□ 중점 추진 방안

***********************************

**********************************

*******************************************

**********************************************

******************************************

*************************

****************************

************************

***************************************************

****************************************

********************************************************************************************

*******************************************

***************************

************************

**************************

****************************************************

********************************************

***************************

*******************************

**************************************

**********************************

***********************************

*******************************

******************************

*********************************************

*****************

****************************

************************************************************************************

********

******************************

********************************************

***************************************

******************

***********

*****************************

********************************************

********************************************

*******************************

*******************************

***********************************************

*******************************

******************************************

*****************************

***********************************************

******************************************

***************************************

******************

***************************************************************************************************************

********

**************************************

******************

***********

*******************

******************************************

***************************************

*******************************

*****************

****************

****************************************************************************

***********************************************

***************************************

***************

***************************************

*************************************

*******************************

*******************************

***************************************************

*******

**********************************

*********************************************

****************************************************************************************

*******

*****************************************

*******************************

*************************************

********************

***********

*********

***********************

*********************************************************************

****************************

************************************

**************************

****************

*********************************

*******

********************************

******************************

************************

***********************************

***********************************************************************

*******

********************************************

*************************************************************************************************

******************

*********

************************

***********************************

*********************************

***************************************

**********************************

******************************

***********************

*******************

**********************************************************************

*******

***********************************

*************************************

******************

**********

***********************************

**************************

***************************

***************************************

*************************************

***************************************

**************************************

*******

*********************************

*************

******************************

**************************

**********************

***********************************************************************************************************************

****************

*********************************************

붙임 : 1. 정보 보안 추진 현황

2. 월별 중점 점검사항 1부.

3. 보안지도 체크리스트 1부.

4. ｢사이버보안진단의 날｣ 체크리스트 1부.

5. 네트워크접근관리시스템 차단 예외 신청서 1부.

6. PC 보안업무 준수 수칙 1부,

7. 정보시스템 보안업무 준수 수칙 1부.

8. 단말기 취급관리 대장 1부.  끝.

붙임1

정보 보안 추진 현황

******************

****************************************

****************************************

*****************************************

**************************************

*******************************************

************************************

***********************************************

************************************

*************************************************

****************************************

**************************************************

************************************

********************

*******************************************************

************************************

********************************************************

************************************

****************

****************************

****************************

***************************************************

붙임2

월별 중점 점검사항

구 분	중점 점검사항
공통사항 <매월점검>	o 정보화사업 입찰․계약․수행․종료 등 단계별 용역업체 보안관리 o 정보화시스템 현황, 통신망 구성도, IP 현황 등 정보통신망 자료관리 o 업무방․인터넷 분리기관은 망분리 정책 위배여부 점검 - 업무망에서 인터넷 우회접속 가능 여부 - 망간 자료전송시스템 보안점검 o PC 취약점 점검 및 제거여부 o 사용메일, 웹하드, P2P, 메신저 차단목록 갱신․추가 및 차단여부 o 인터넷 PC내 업무자료 저장여부 점검
1월 (1.17)	o 정보시스템 보안관리 실태 점검 - 중요정보 암호화 및 관리자 권한 설정 - 인터넷 등 외부망 연결 적절성 확인 o PC진단 결과 통계 작성(7~12月) - 전체PC 대수, 진단 PC 대수 - 백신설치 PC 대수, 바이러스 발견․치료 PC대수, 보안패치 적응완료 PC 대수 등 o 행정정보 홈페이지 게재관련 보안관리 강화 - 사전 보안성 검토를 거친 자료에 한해 홈페이지 게제 - 개인정보, 중요 정책정보는 비공개 - 비밀 등을 홈페이지에 게재한 경우 국정원 통보 및 경위조사 실시
2월 (2.14)	o 청사 내 무단 설치된 비인가 무선인터넷 시스템(AP) 점검 o 인가 무선인터넷 시스템(AP) 점검 - 암호화 적용 여부, 관리자 비밀번호 설정 여부(기본 비밀번호 사용 등) - 비인가 사용자 접근통제 대책 ο 부처 내 상주 유지보수업체 보안점검 - 메신저, P2P, 웹하드 등 비인가 서비스 사용여부 점검 - PC내 중요자료 저장여부 확인
3월 (3.14)	o 노트북 관리현황 점검 및 재정비 - 노트북內 업무자료 존재여부, 대여 시 포맷 상태 점검여부, - 반납 후 노트북 포맷여부, 관리대장 관리 및 유지여부 등 점검 o 정보시스템 사용자 권항부여 적절성 확인 및 인증절차, 접속로그 백업 여부 점검 - 정보보호시스템 관리자 권한 무단접속 가능여부 점검 병행
4월 (4.18)	o 부처 내 공유폴더 사용실태 점검(비밀번호 설정 등 접근 통제 여부, 불필요 공유폴더등) o 방화벽ㆍ침입방지시스템 등 정보보안 장비 보안정책 재정비 o 사이버침해 대비 비상연락체계 재정비 - 대외기관, 부서 정보보안담당자등 유관 연락처
5월 (5.16)	o 업무용 시스템 및 홈페이지 등 정보시스템內 불필요 서비스 포트 활성화 여부 o 부처 시스템內 Telnet 등 원격서비스 사용여부 점검 및 사용목적 관리 등 재정비 - SSH 기본 포트 변경사용 및 접근제어 o 하드디스크 내장형 디지털 OA 기기 현황 파악 포트 변경사용 및 접근제어 o 해외출장자에 대한 보안조치 실태 점검 - 반출 노트북 등에 대한 보안성 검토 - FTA 등 중요 협상자 출장시 안전한 통신수단 확보 - 서약서 징구, 보안교육 확행 등
6월 (6.13)	ο 부처내 상주 유지보수업체 보안점검 - 메신저, P2P, 웹하드 등 비인가 서비스 사용여부 점검 - PC내 중요자료 저장여부 확인 o 보안USB관리시스템 점검 - 비밀용, 대외비용, 일반용 USB 등 구분사용 여부 점검 - 매체제어시스템 정상작동 여부 점검 o 직원의 재택․파견․이동근무 등 원격 근무시 보안관리 절차 준수여부 확인 o 불용 PC, 복사기, 카메라 등 디지털 저장매체 불용처리 실태 확인
7월 (7.18)	o 노트북 관리현황 점검 및 재정비 - 노트북內 업무자료 존재여부, 대여 시 포맷 상태 점검여부, - 반납 후 노트북 포맷여부, 관리대장 관리 및 유지여부 등 점검 - 업무용·인터넷용 구분여부, WiFi 통신기능 차단여부 등 점검 o PC 진단 결과 통계 작성(1~6月) - 전체PC 대수, 진단 PC 대수 - 백신설치 PC 대수, 바이러스 발견․치료 PC대수, 보안패치 적응완료 PC 대수 등
8월 (8.15)	o 홈페이지 내 을지연습자료, 개인정보 등 민감자료 게시여부 점검 o 홈페이지 Database 점검 - 기본 패스워드 변경 등 계정ㆍ패스워드 보안관리 재정비 - 특이 Table 존재여부 점검 o 소속직원 비상연락망 일제 점검 및 훈련 실시 o 을지연습 대비 암호장비․논리, 보안자재 관리 o 을지연습 관련 비밀작성용 PC에 인터넷 연결 금지
9월 (9.19)	o 청사 내 무단 설치된 비인가 무선인터넷 시스템(AP) 점검 o 인가 무선인터넷 시스템(AP) 점검 - 암호화 적용 여부, 관리자 비밀번호 설정 여부(기본 비밀번호 사용 등) - 비인가 사용자 접근통제 대책 o 국회 ‘의정자료 전자유통시스템’ 실태점검 및 사용 독려
10월 (10.17)	o 라우터, 스위치 등 네트워크 장비보안 재정비 - 관리자 비밀번호 설정여부(기본 비밀번호 사용 등) - 불필요 접근포트 차단 - ACL(접근제어목록) 재정비 등 o 불용PC HDD 정상 소거여부 확인 - PC반납시 개인이 중요자료 삭제후 반납, 불용 HDD 정상 소거여부 등 점검
11월 (11.14)	o 홈페이지 보안취약점 점검 - SQL인젝션, 파일 다운로드 웹 취약점 점검 - 관리자 접근 페이지 차단, 디렉토리 리스팅 여부 확인 o 부처 내 공유폴더 사용실태 점검(비밀번호 설정 등 접근통제 여부, 불필요 공유폴더 등) o 비밀 외주발간 시 보안대책 점검 - 발간업체 PC 등에 작업내용 저장 여부 중점 확인 - 비밀발간 의뢰시 출력물 또는 인가 받은 비밀용USB만 사용 여부
12월 (12.19)	o 장기간 미사용 등 불필요 VPN 계정 재정비 o 내년도 정보공개 관련 공개 ․ 비공개 기준 재정비 o 보안USB관리시스템 점검 - 비밀용, 대외비용, 일반용 USB 등 구분사용 여부 점검 - 매체제어시스템 정상작동 여부 점검

붙임3

보안지도 체크리스트

기관(부서)명 : 작성일 : 2015. . .
구분	번호	점 검 항 목	결과 (○/×)	점검 주체
PC 보안 진단 실시	1	｢사이버보안진단의 날｣ 자체 행사계획을 수립하였는가?		기관
	2	｢사이버보안진단의 날｣ 행사 관련 3일前 기관 업무망에 공지하였는가?		“
	3	PC진단프로그램을「사이버․보안진단의 날」에 실행하였는가?		개인
진단 결과 보완	4	PC진단프로그램 실행후 파악된 취약점을 보완 조치하였는가?		“
		1) 바이러스 백신 설치 및 실행 여부		“
		2) 바이러스 백신의 최신 보안패치 여부 점검		“
		3) 운영체제, MS Office의 최신 보안패치 설치 여부		“
		4) 한글프로그램의 최신 보안패치 설치 여부 점검		“
		5) 로그인 패스워드 안전성 여부		“
		6) 로그인 패스워드의 분기 1회 이상 변경 여부		“
		7) 화면보호기 설정 여부		“
		8) 사용자 공유 폴더 설정 여부		“
		9) USB 자동 실행 허용여부 점검		“
		10) 미사용(3개월) ActiveX 프로그램 존재 여부 점검		“
중점 점검	5	｢사이버보안진단의 날｣ 월별 중점점검사항을 점검하였는가?		기관

붙임4

｢사이버보안진단의 날｣ 체크리스트

▢ 기관(부서)명 :
구분	번호	공 통 점 검 항 목
PC 진단 실시	1	자체 보유중인 PC는 모두 몇 대입니까?	전체 PC ( )대
	2	PC진단프로그램(내PC지키미)이 설치된 PC는 몇 대입니까?	설치 PC ( )대
	3	이번 달 내PC지키미로 점검을 수행한 PC는 몇 대 입니까?	수행 PC ( )대
구분	번호	서울시 정보보안평가시스템 항목
정보 보호 검토	4	‘사이버보안진단의 날’ 월별 중점 점검사항에 대해 매월 점검하는가?	Y / N / 기타( ) ※ 근거자료 필수(N은 불필요)
	5	‘사이버보안진단의 날’ 수행 결과 발견된 문제점․미비점 등을 조치하고 있는가?	Y / N / 기타( ) ※ 근거자료 필수(N은 불필요)
PC 보안 관리	6	사용자는 윈도우 자동 업데이트를 설정하고 매월 최신 업데이트를 수행하는가?	전체 ( )대 중 ( )대 수행
	7	최신 업데이트를 적용한 백신프로그램으로 월 1회 이상 검사를 수행하는가?	전체 ( )대 중 ( )대 수행
	8	사용자 생성 공유폴더를 사용하는가?	전체 ( )대 중 ( )대 미사용
구분	번호	1월 중점 점검항목 [매월 중점점검 사항]
정보 시스템 보안관리	9	o 정보시스템 보안관리 실태 점검 - 중요정보 암호화 및 관리자 권한 설정 - 인터넷 등 외부망 연결 적절성 확인 o PC진단 결과 통계 작성(7~12月) - 전체PC 대수, 진단 PC 대수 - 백신설치 PC 대수, 바이러스 발견․치료 PC대수, 보안패치 적응완료 PC 대수 등 o 행정정보 홈페이지 게재관련 보안관리 강화 - 사전 보안성 검토를 거친 자료에 한해 홈페이지 게제 - 개인정보, 중요 정책정보는 비공개 - 비밀 등을 홈페이지에 게재한 경우 국정원 통보 및 경위조사 실시	○ / X

2016.  1.    .

작 성 자    정보보안담당자    직급      성명         (인)

확 인 자    부 서 명(과장)    직급      성명         (인)

붙임5

네트워크접근관리(NAC)시스템 차단 예외 신청서

소속기관		부 서 명	안전지원과(전산기획팀)
성 명		직위 및 직급
전자우편 (E-mail)		전화번호	사무실 :
			휴대폰 :
이용자 IP		이용자(인증)ID
운영체제(OS)	WINDOW XP/ 7 / 10
신청내용	네트워크접근관리(NAC)시스템 차단 예외
용 도	통제구역 출입관리 (서버용/업무용)
차단예외 신청사유	상세한 사유 명시하여 주시기 바랍니다
신청기간
※ 네트워크접근관리(NAC)시스템은 비인가 PC에 대한 업무망 접근을 차단하기 위하여 업무망을 사용하는 모든 PC에 에이전트를 설치하여 관리감독 합니다. ① 인사이동 등으로 인해 개별정책 이용사유 소멸 시에는 즉시 관리책임자에게 통보 하여 정책변경 요청 ② 요청 사유 및 필요성이 미비하다고 판단될 경우, 예외정책 허용 불가 ③ 개별정책이 부여된 PC를 통해 바이러스 감염 및 자료 유출이 발생된 경우, 이에 대한 제반 책임은 ID 소유자에게 있음을 인정하고 관련규정에 따라 처벌을 감수함 본인은 위의 사항에 대하여 동의하고, 네트워크접근관리(NAC)시스템 차단 예외를 신청합니다. 2017년 월 일 신청인 : 직 성명 ( 서명 또는 □ )

붙임6

PC 보안업무 준수 수칙

□ 추진 방향

○ 현재의 정보시스템은 특성상 개인이 보안을 어길 경우 그 피해가 소방재난본부 및 산하기관 전역으로 확대되는 점을 감안, 부서별 보안관리를 부서장 책임하에 중점 관리

○ 전문적인 보안업무는 정보보안담당자가 시행·관리하고, 각 부서는 최소한의 보안사항만을 관리

□ 개인용 PC 보안관리

○ 관리책임자(정·부) 지정 운영하고, 단말기 취급자 관리대장에 기록 관리 철저
(별지 1호 서식)

○ 부팅 및 사용자 계정에 비밀번호(대소문자, 숫자, 특수문자를 반드시 포함하여 최소 9자 이상으로 설정)를 부여하여 사용

○ 컴퓨터의 화면보호 모드를 설정한 후 비밀번호를 부여하여 사용

○ 윈도우 폴더를 공유할 경우 비밀번호를 부여하여 사용하고, 사용 후에 반드시 공유 해제

○ 컴퓨터에 부여된 네트워크 IP 주소는 사용자 임의로 절대 변경 금지

○ 자리 이석시 화면보호기 강제 적용(윈도우로고키 + L)

○ 업무 및 기밀문서, 각종 이미지 등 중요 자료를 별도 저장장치에 주기적으로 백업

○ 발신자가 명확하지 않은 이메일에 포함된 의심스러운 파일 실행을 자제

○ 운영체제, 브라우저 및 주요 어플리케이션의 최신 업데이트 실시

○ 필요시 중요 문서에 대해서 파일 속성을 읽기 전용으로 설정

□ PC 바이러스 감염 방지

○ 바이러스 백신 프로그램(V3)을 반드시 설치하고, 최신버전으로 지속적으로 업데이트함

○ 망(외부 인터넷)을 통한 전송 자료는 항상 바이러스 검사후 사용

○ 바이러스 감염시 즉시 컴퓨터를 네트워크에서 분리 후 치료 조치

□ 보조기억매체(USB 메모리) 보안관리

○ 보조기억매체 관리 대장 등재 및 관리책임자 지정 관리

○ 보조기억매체 사용현황 점검

붙임7

정보시스템 보안업무 준수 수칙

□ 정보보호시스템

○ 관리자 이외 접근통제 설정

- 정보보호시스템의 관리자 접속은 콘솔에서 함을 원칙으로 하고, 콘솔에 물리적으로 접근할 수 있는 사람은 보안시스템 관리자로 제한

- 내부망을 통한 정보보호시스템 관리 시 접속 가능한 IP는 보안시스템 관리자 단말기로 제한, 별도의 접속 Port 지정하여 사용.

-  정보보호시스템 IP 주소, 라우팅 테이블, DNS Name, NAT등의 정보가 유출되지 않도록 유의

○ 침입차단시스템 보안정책 활용

- 외부로부터의 접속은 반드시 필요한 서비스를 위한 접속만을 허용

- 내부자료 유출 등 보안이 취약한 서비스는 사용을 금지

- 보안정책의 적용

․ 외부로부터 인바운드 되는 NetBIOS 패킷 차단

․ 네트워크에서 발생하는 브로드캐스팅 패킷을 차단

․ 외부로부터 인바운드 되는 패킷은 외부에 서비스하는 패킷(HTTP, SMTP 등) 외엔 모두 차단 (필요시 별도 Port지정 사용)

※ 외부에서 인바운드 되는 패킷 중 보안상 차단하여야 할 패킷 (SNMP, telnet, ftp, echo, daytime, chargen, finger, sunrpc, rlogin, rsh)

○ 보안시스템 관리자는 주기적으로 침입차단시스템 보안정책을 점검하여 현재 사용하고 있지 않거나, 사용기간이 경과된 보안정책(Rule Set)을 삭제하고, 그 내용을 기록 유지

○ 로그 및 백업 관리

- 보안시스템관리자는 모든 보안적 예외사항 및 보안시스템 구성정보의 변경사항을 기록하고 지속적으로 관리

- 모니터링 중 혹은 로그기록의 분석 중에 중요하거나 심각한 사건을 발견한 경우 정보보안담당관에게 보고

- 보안시스템의 로그는 6개월 이상 보관하여야 하고, 로그의 복사본은 백업의 목적으로 별도의 장소에 보관

- 백업파일은 물리적으로 안전한 곳에 보관하고, 저장매체는 다른 사람이 내용을 수정할 수 없도록 접근통제 실시

□ 서버 보안관리

○ 서버의 도입 및 설치 시 보안관리

- 신규 서버 도입시 자체보안대책수립 및 설치전 취약성 점검 및 조치

- 업무 목적 외 불필요한 프로그램 설치 금지

- 원격관리가 필요할 경우 별도의 보안대책 수립

○ 서버 운영시 보안관리

- 주기적 보안패치 설치 및 운영체제별 보안설정 적용

- 중요도에 따른 서버그룹 분리 및 접근통제 시행

□ 데이터베이스 보안관리

○ 데이터베이스 보안설정

- 데이터베이스 설치 시 취약점 제거 및 패치 수행

- 불필요한 디폴트 계정 삭제 및 비밀번호 변경

○ 데이터베이스 운영시 보안관리

- 데이터베이스 자료 변경 시 작업 내역 철저 기록관리

- 데이터베이스 보안툴 도입 검토(패스워드 필드 암호화 등 처리)

□ 네트워크 보안관리

○ 네트워크 보안관리

- 응용시스템별, 서비스별 네트워크 분리 및 접근통제 설정

- 외부에서 유입되는 트래픽(침입)에 대한 접근통제 강화

- 외부인 IP배정 및 LAN사용 허가시 보안사항 준수 여부 확인

- 보안조치 없이 상용 전자우편을 이용한 중요자료 전송 금지

- 출처가 불분명한 전자우편 열람 금지 및 삭제 조치

- 용역업체(개발·유지보수 등)의 원격작업을 금지, 예외적인 경우 승인절차에 따라 보안대책 마련 후 한시적 허용

○ 정보보호시스템 운영

- 침입차단시스템 보안정책에 대한 등록, 변경, 삭제 절차 수립․시행

- 보안정책에 대한 정기적 재검토를 통해 불필요 서비스 삭제 등 조치

□ 물리적 시설 보안관리

○ 통제구역에 대한 비인가자의 출입 통제 등 보안절차를 준수

- 출입자 관리대장 등을 통한 출입관리

○ 통제구역 출입 통제 장치 설치

○ UPS, 발전기, 비상전원 장비, 재해방지 설비의 주기적 점검

□ 응용시스템 보안

○ 응용시스템 계정/권한 관리 및 접근통제

- 주기적인 계정/권한 재확인을 통한 전출․퇴직자의 계정삭제 등 사용자 계정 및 권한 관리 철저

- 계정 생성, 변경, 삭제절차 수립․시행 및 보안규정에 따른 관리자/사용자의 비밀번호 설정

- 중요 시스템에 대한 관리자 접속 IP제한, 포트 설정

- 정보시스템 로그인 허용 전 불법접근 금지․처벌 등 보안권고문 공지

○ 응용시스템 취약점 점검

- 정보시스템 유지보수 업체를 통해 연 1회 이상 전체 시스템에 대한 취약점 점검 및 신규 시스템 도입 시 수시 점검 실시

- 취약점 점검 결과 중․장기 보완 계획 수립․시행

- 단기 미조치 사항에 대한 기록 관리 및 미조치 취약점 상시 모니터링

○ 응용시스템 무결성 점검 및 로그 분석

- 중요 시스템에 대한 관리자 및 사용자의 감사로그 생성

- 중요 정보에 대한 접근기록 모니터링, 로그에 대한 정기적 분석

- 정보시스템 유지보수 업체를 통해 연 2회 이상 전체 시스템 점검

별지 제1호 서식

단말기 취급 관리대장

연번	소속	성명	관리 번호	기종		사양	관리책임자		확인
				단말기	모니터		정	부

○ 관리번호에는 PC 관리번호 기재

○ 확인란에는 관리책임자 승인 서명