붙임 1		‘15년도 하반기 전자정부 웹서비스 인증서(G-SSL) 적용 실태점검 계획

행정기관 웹사이트에 대한 G-SSL* 구축 및 운영 현황을 파악하여 미적용 사이트들의 보안 강화를 위한 하반기 실태점검 계획

* 전자정부 웹서비스 인증서(이하, G-SSL) : 인터넷상에서 전송되는 자료를 암호화하여 송수신하는 기능을 제공하는 웹서버로서 SSL방식과 응용프로그램방식으로 구축 가능

점검개요

❍ 기 간 : ‘15. 11. 25.(수) ～ 12. 11.(금)

❍ 대 상 : 행정/공공기관에서 구축·운영 중인 웹사이트(약13,261개*)

※ 행자부 정보자원정책과 등록 웹사이트 및 G-SSL발급 웹사이트(’15.11월 기준)

❍ 방 법 : 자동*/수동점검 및 G-SSL 발급기관의 점검확인을 통한 다중점검

* G-SSL 인증서 적용 사이트에서 점검 S/W(Security Scanner)로 점검

점검방법

❍ (1차) 웹사이트에 점검프로그램으로 자동 접속하여 점검 (11.25.~11.27.)

- G-SSL 적용 여부, G-SSL인증서 만료 및 개인정보 취급여부 등 조사

❍ (2차) 수동점검 (12.1.~12.8.)

- 수동점검은 자동화된 툴로 점검이 곤란한 사이트를 직접 접속하여 확인

❍ (3차) 점검 결과에 대한 추가 보완 (12.9.~12.11.)

☞ 사이트 담당자별로 “G-SSL 기관관리사이트”에 가입하여 상하반기 점검결과 확인하고 추가정보 기입(12.3 ~ )  * [붙임3] G-SSL 기관관리사이트 사용자 가이드 참고

점검결과 조치계획

❍ G-SSL 기관관리시스템 등록․확인(12.9~12.11.)

❍ 점검결과 확인 및 분석(12.14.), 유효기간 만료 도래 인증서 재발급 독려, 개선 등 공문발송(12월말), 적용사이트 확정 및 결과보고(’16.1)

* G-SSL 미적용 및 인증서 만료 사이트 구축 독려(유선, 이메일)(~12월말 포함)

참고1		G-SSL 실태점검 상세계획

항 목			내 용	일 자
1	점검 준비 (완료)	대상 선정	○ 행자부 정보자원정책과 등록 웹사이트, 행자부 G-SSL인증서 발급 웹사이트	11.23(월) ~ 11.24(화)
2		실태점검 환경 확인 및 자동점검 환경 구성	○ 인터넷망, 행정망에서 예비점검을 통해 실태점검 환경 확인 ○ 자동점검 도구 환경 구성
3	점검 추진	자동점검(인터넷망)	○ 점검도구를 이용한 자동점검 (인터넷망) 1회차 : 전체 / 2회차 : 실패건	11.25(수) ~ 11.27(금)
4		자동점검(행정망)	○ 점검도구를 이용한 자동점검 (행정망) ※ 대상 : 1, 2차 검사결과 중 접속실패 사이트
5		수동점검 대상 선정	○ 수동점검 대상 선정(G-SSL 미적용 웹사이트) ※ 접속실패 웹사이트는 제외	11.30(월)
6		수동점검(인터넷망)	○ 미적용건 육안점검 시행(인터넷망 점검)	12.1(화) ~ 12.8(화)
7		수동점검(행정망)	○ 미적용건 육안점검 시행(행정망 점검) ※ 대상 : 인터넷망에서 접속 실패건
8	실태 점검 결과 보완		○ 점검 결과 추가 보완	12.9(수) ~ 12.11(금)
9	결과보고서 작성		○ 점검결과 취합 및 보고서 작성	12.14(월)
10	점검결과 시스템 등록		○ G-SSL 보급관리시스템 등록	12.15(화) ~ 12.16(수)

참고2		전자정부 웹서비스 인증서(G-SSL) 개요

G-SSL 정의 및 근거

□ 웹브라우저-웹서버 간에 설치되어, 서비스 수행기관에 대한 신뢰성 확보 및 주요 정보 송수신시 암호화에 사용되는 인증서

(신뢰성) 웹페이지에서 자물쇠 이미지 및 설치된 G-SSL 인증서의 발급기관 확인을

통하여 웹사이트의 신뢰성 확인

(암호화) 인터넷상에서 사용자 PC와 웹서버 사이에 송수신되는 개인정보 및 주요정보 등을

암호화하여 전송함으로써 정보유출 방지

□ 추진근거

- 개인정보보호법·개인정보 안전성 확보조치 기준 제6조(개인정보의 암호화)

- 개인정보보호법 제24조(고유식별정보의 처리제한)

- 제73조(벌칙) 안정성 미조치 시 2년이하 징역 또는 2천만원 이하의 벌금

웹서비스의 신뢰성 확인(정보유출[스니핑] 방지)

□ 주소창에 자물쇠 모양을 클릭시 웹사이트 주소, G-SSL인증서 발급기관 등의 확인을 통하여 신뢰성 확보

송‧수신 정보 암호화(위조사이트(피싱) 방지))

□ 사용자PC와 웹서버 간의 송수신 되는 개인정보 등 주요정보에 대해 암호화를 통하여 개인정보 등 중요정보의 유출 방지

참고3		G-SSL 추진관련 법률근거(상세)

『개인정보 보호법』의 위임행정규칙인 『개인정보의 안전성 확보조치 기준 고시』 제6조에 의거, [고유식별정보(주민등록번호 등), 비밀번호, 바이오정보](이하 “암호화대상 개인정보”라 하겠습니다)를 송․수신할 경우 이를 암호화해야 합니다.

개인정보보호법

제29조 (안전조치의무) 개인정보처리자는 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 하여야 한다.

※ 위임행정규칙 : 개인정보의 안전성 확보조치 기준(행정자치부고시 제2014-7호)

개인정보보호법 시행령(대통령령 제26140호)

제30조 (개인정보의 안전성 확보 조치)

① 개인정보처리자는 법 제29조에 따라 다음 각호의 안전성 확보 조치를 하여야 한다.

3. 개인정보를 안전하게 저장·전송할 수 있는 암호화 기술의 적용 또는 이에 상응하는 조치

개인정보의 안전성 확보조치 기준 고시(행정자치부 고시 제2014-07호)

제6조 (개인정보의 암호화) ②개인정보처리자는 제1항에 따른 개인정보를 정보통신망을 통하여 송·수신하거나 보조저장매체 등을 통하여 전달하는 경우에는 이를 암호화하여야 한다

신용카드번호, 계좌번호 등의 개인정보와 비밀번호, 바이오 정보 등의 인증정보를 정보통신망 외부로 송수신 할 경우에는 해당 데이터를 임의의 사용자가 내용을 확인 할 수 없도록 암호화 전송하여 노출 및 불법적인 접근을 차단해야 한다

- SSL인증서를 이용한 보안서버는 별도의 보안 프로그램 설치 없이, 웹서버에 설치된 SSL 인증서를 통해 개인정보를 암호화 전송하는 방식이다

- 응용프로그램을 이용한 보안서버는 웹서버에 접속하여 보안 프로그램을 설치하여 이를 통해 개인정보를 암호화 전송하는 방식이다.

개인정보의 기술적·관리적 보호조치 기준(방송통신위원회 고시 제2015-03호)

제6조 (개인정보의 암호화)

③ 정보통신서비스 제공자 등은 정보통신망을 통해 이용자의 개인정보 및 인증정보를 송·수신할 때에는 안전한 보안서버 구축 등의 조치를 통해 이를 암호화해야 한다. 보안서버는 다음 각 호 중 하나의 기능을 갖추어야 한다.

1. 웹서버에 SSL(Secure Socket Layer) 인증서를 설치하여 전송하는 정보를 암호화하여 송·수신하는 기능

2. 웹서버에 암호화 응용프로그램을 설치하여 전송하는 정보를 암호화하여 송·수신하는 기능