문서번호	정수시설과-731
결재일자	2024. 3. 15.
공개여부	부분공개(2,5)
방침번호

			시 민
주무관		정수시설과장	구의아리수정수센터소장
박병석		代강석윤	03/15
			김재웅
협 조
	주무관			노성제

2024년 주요정보통신기반시설(제어시스템)보호대책

추진근거	대내(외) 협력 현황			사 업 비
	부서(단체)명	협의내용	협의결과

2024년 주요정보통신기반시설(제어시스템) 보호대책

우리 센터 주요정보통신기반시설인『정수 제어시스템』을 각종 전자적 침해

행위로부터 보호 및 안전성을 확보하여 정보보호에 만전을 기하고자 함.

Ⅰ		관련근거

□『행정안전부 소관 주요정보통신기반시설 보호지침』

□ 행정안전부 고시 제2012-9호, 53호(상수도제어시설의 기반시설 지정)

□『서울아리수본부 소관 주요정보통신기반시설 보호지침』

Ⅱ		주요정보통신기반시설 현황

ㅇ 현  황

계	서 버	보안장비	P C		기타 (RCS)
			운영	감시
35	4	3	9	3	16

ㅇ 네트워크 구성도

ㅇ 정보보호 전담조직 구성

관리기관	서울아리수본부 (정보보호책임자: 요금관리부장)
관리기관	서울아리수본부 (분임정보보호책임자: 전산정보과장)
운영기관	구의아리수정수센터 (정보보호실무책임자: 정수시설과장)
정보보호담당자 (제어시스템 보안담당자)					제어시스템 운영자 (제어시스템 운영 및 생산팀)
제어시스템 보안관리 직원 정보보안교육 사이버침해사고 대응 등					제어시스템 보안이행 침해사고 신고 중앙제어실 등 출입통제

Ⅲ		추진계획

□ 훈련 및 교육 계획

ㅇ 해킹사고대응 훈련 실시

– 훈련목적 : 사이버 위기 경보 발생 시 상황 전파, 비상대응체계 정비, 사고 발생

시 상황보고 등 연습

– 훈련주관 : 행정안전부

– 훈련일정 : '24. 1. 29. ~ 2. 1.(4일간)  ※실시완료

- 훈련방법 : 시나리오 기반 도상 훈련

1단계	⇨	2단계	⇨	3단계	⇨	4단계	⇨	5단계
· 사고메시지 통보		· 위기 경보 유관부서 전파 · 비상대응체계 정비		· 사고 신고 · 백업시스템 가동 여부 판단		· 초동조치 및 통보		· 대국민 안내 조치
행안부·ISAC → 정수센터		정수센터		정수센터 → 행안부·ISAC		정수센터 → 행안부·ISAC		정수센터

ㅇ 사이버공격 대응 실전훈련 실시

– 훈련기간 : '24. 4월, 7월 예정(기간 중 2일)

– 훈련주관 : 국가정보원(행정안전부) 서울시 합동

– 훈련내용

⦁훈련관계자 훈련계획 설명회 및 교육 참석

⦁훈련메시지에 따른 상황 대응(해킹메일 대응 등) 및 수행결과 제출

ㅇ 해킹메일 훈련실시

– 훈련기간 : 연 2회(상반기 : 3 ~ 5월, 하반기 : 7 ~ 9월)

– 훈련주관 : 행정안전부, 서울시

– 훈련대상 : 누출금지 정보 등 중요자료 취급 직원

- 훈련방법 : 피싱메일, 악성 첨부파일 열람을 유도하는 메일, 문자메시지 등 전송 후

해킹메일 열람 시 신고서 제출

ㅇ 정보보호 실무교육

– 교육대상 : 주요정보통신기반시설 담당자

– 교육시간 : 연 40시간 이상

– 교육일정 : 별도통보

– 교육방법 : 집합교육 및 외부 전문기관 온라인 교육 수강(KLID)

ㅇ 정보보안 일반교육

– 대 상 자 : 정수센터 전직원

– 일    시 : 연 1회 이상

– 교육방법 : 자체교육 및 온라인교육(인재개발원) 수강

ㅇ 외주업체 정보보호 교육실시

– 대 상 자 : 자동제어 및 제어시스템 화이트백신 서버 유지관리용역  수행 인력

– 일    시 : 분기별 1회 (보안서약서 작성)

– 교육방법 : 정보보호 담당자 교육 실시

□ 기반시설 취약점 분석·평가 실시

ㅇ 주요정보통신기반시설(제어시스템) 취약점 분석·평가 실시

– 수행일정 : '24. 4. 1. ~ 4. 12.(2주)

– 수행기관 : 한국지역정보개발원 위탁(KLID)

– 수행내용

⦁기반시설의 관리적, 물리적, 기술적 취약점 분석평가, 개선 조치 가이드 제시

⦁'24년도 취약점 개선 이행점검, ’25년도 보호대책 수립

※ 취약점 분석·평가 수행 시 모의해킹을 통해 내부시스템 침투 실시

1단계	⇨	2단계	⇨	3단계	⇨	4단계	⇨	5단계
· 취약점 분석평가 계획 수립		· 기반시설 자산파악		· 취약점 진단수행		· 취약점 분석·평가 및 보호대책 수립		· 이행조치
본부		정수센터		수행기관		수행기관		정수센터

※ '24년도 보호대책 추진과제 이행

구분	과제 분류	추 진 내 용	기간	예산	대상 시설
침해사고 예방계획	기관 대표	① 과제명: 정보보호 교육 훈련 강화	‘24.01 ~ ’24.12	N/A	구의 아리수 정수센터
		- 목적 : 임직원 및 외부 용역 직원의 보안사고 예방 및 정보보안 인식 강화 - 성과평가지표 : 외부 용역 직원의 분기 1회 이상 교육 시행 결과
	기타 과제	② 과제명: CC인증이 만료된 보안장비 교체 검토	‘24.01 ~ ’24.12	N/A	관리기관 전체
		- 목적 : CC인증 만료 제품의 교체 검토를 통한 보안성 확보 - 성과평가지표 : CC인증 만료 제품 교체 검토 결과
	기타과제	③ 과제명: 기술적 취약점 조치활동 수행	‘24.01 ~ ’24.12	N/A	관리기관 전체
		- 목적 : 주요 시스템 기술적 취약점 조치를 통한 보안수준 향상 - 성과평가지표 : 기술적 취약점 조치 결과 이력
	정부 중점	④ 과제명: 기반시설 위협정보 공유를 통한 보안역량 강화	‘24.01 ~ ’24.12	N/A	관리기관 전체
		- 목적 : 기반시설 사이버 공격 대비 사전 예방조치 - 성과평가지표 : 기반시설 위협정보 가입 현황
침해사고 대응·복구계획	정부 중점	⑤ 과제명: 기반시설 모의침투 훈련을 통한 대응력 강화	‘24.01 ~ ’24.12	N/A	관리기관 전체
		- 목적 : 사이버공격에 의한 시스템 운영 중단에 대비한 가용성·복원력 확보를 위한 실전형 훈련 실시 - 성과평가지표 : 대응 훈련 결과 보고서
	정부 중점	⑥ 과제명: 업무 연속성 관리계획 수립	‘24.01 ~ ’24.12	N/A	관리기관 전체
		- 목적 : 재해 발생 시 제어시스템의 신속한 복구방안 확보 - 성과평가지표 : 재해발생, 복구완료, 사후관리 등의 복구 절차 정의 및 계획 수립

□ 제어시스템 보안관리 및 시설물 유지관리

ㅇ 자동제어설비 유지관리용역

– 목    적 : 정수공정 자동제어설비에 대하여 최적의 기능유지와 장애발생시 신속한

복구체계를 구축

– 추진내용 : 자동제어시스템 유지관리 및 프로그램 점검(복구) 등

– 기    간 : '24. 4. ~ '25. 3.

※'24년 3월 자동제어설비 유지관리용역 발주 및 계약 예정

ㅇ 제어시스템 백신서버 유지관리용역

– 목    적 : 제어시스템 서버 관리를 통한 안정성 확보 및 보안강화

– 추진내용 : 서버(하드웨어, 소프트웨어) 점검 및 소프트웨어 업그레이드 패치 관리

– 기    간 : '24. 2. ~ '24. 12.

ㅇ 원격제어설비(RCS) 개량

– 목    적 : 노후(성능저하)에 따른 교체로 정수공정 안정성 확보 및 제어시스템

기능 유지

– 추진내용 : 1정수장(약품투입동, 여과지동)2면, 염소투입동 1면 교체

– 기    간 : '24. 3. ~ '24. 8.

ㅇ 주요정보통신기반시설 백업데이터 분산보관 실시

– 목   적 : 비상시 대응능력 향상을 위해 백업메체를 물리적으로 분리된 제3의 장                    소에 분산 보관

– 백업주기 : 분기 1회

– 백업본 보관장소 : 광암아리수정수센터

– 백업대상 : 제어 H/W, 제어S/W 프로그램 설정정보 등(광디스크)

Ⅳ		행정사항

□ '24년도 취약점 진단결과에 따른 취약점 보호 조치 이행실적 제출

□ 제어시스템 자체 보안점검(월간) 실시

□ 제어시스템 화이트백신 업데이트 실시(매월)

- 기반시설 업무지원시스템(CTSS) : 점검결과 업로드.  끝.