전자우편ㆍ메신저 보안관리 강화대책

□ 위협실태

o 최근 국가ㆍ공공기관 직원의 상용메일 및 스마트폰 메신저를 통해 업무자료가 유출되는 사고가 지속 발생

o 공격자는 기관메일의 보안관리 강화로 해킹이 어려워지자 상용메일을 대상으로 관리자를 사칭하는 등 해킹메일을 발송, 비밀번호를 탈취

- 일부 공직자는 업무편의 등을 이유로 중요 업무자료를 상용메일로 송ㆍ수신하다 메일함에 보관된 업무자료 전량유출

* 특히, 업무활용 목적으로 자신의 상용메일로 주요인사 연락처 등 다량의 업무자료를 전송ㆍ보관하다 유출되는 사고가 발생

o 또한 스마트폰 활용이 증가함에 따라 업무자료를 촬영하여 문자ㆍ메신저를 통해 공유하는 등 보안자료의 외부 유출이 빈번하게 발생

□ 보안대책

【 전자우편 보안관리 】

o 업무자료 소통은 공직자통합메일 또는 기관메일을 통해서만 송ㆍ수신,대외비 이상 중요문건은 ‘비밀관리시스템’을 활용

- 공직자통합메일 또는 기관메일에서 업무편의를 위해 중요 업무자료를 본인 또는 동료직원 등 상용메일로 발송 금지

* 민간 및 각종 위원회 등에 업무자료 제공시 결재권자 승인 및 자체 보안성심의 절차를 준수하여 제공

- 공직자통합메일 또는 기관메일을 통해 송ㆍ수신한 자료는 활용후 메일함에서 즉시 삭제하여 자료유출 방지

- 공직자통합메일 또는 기관메일을 상용메일로 자동 포워딩하거나 상용메일에서 기관메일을 불러올 수 없도록 보안 조치

* 기관메일 서버에서 POP3ㆍIMAP 등의 기능을 제거하거나 방화벽에서 해당 포트 차단

o GPKI(행정전자서명) 인증서를 메일함 또는 클라우드 저장소에 보관 금지

- 특히, 해킹에 의한 인증서 유출이 의심되는 경우에는 반드시 인증서 폐기후 재발급 조치

* 인증서 비밀번호는 중앙서버에서 관리하지 않고 인증서에 포함되어 관리되므로 인증서 비밀번호를 변경하더라도 유출된 인증서는 기존 비밀번호로 로그인 가능

o 공직자통합메일 및 기관메일에서 제공하는 보안기능 적극 활용

- GPKIㆍOTPㆍSMS 인증 등을 사용하여 본인 인증절차 강화

- ‘해외 로그인 차단’ㆍ‘국가별 로그인 허용’ 등 보안기능을 사용하여 비인가 불법접속 차단

- ‘로그인 기록’ㆍ‘최근활동 보기’ 등 이력 조회기능을 통해 전자우편 계정에 대한 비인가자 접근여부 정기점검 실시(월 1회 이상)

- 자체 기관메일 운영시 인증서기반 로그인, 발신IPㆍ국가명 표시, 해킹메일 신고 등 ‘공직자통합메일’과 동일한 수준의 보안기능 구현

o 자택 등 사적공간에서 개인목적으로 상용메일 이용시 2단계 인증, 접속이력 확인, 해외접속 차단 등 상용메일 보안기능 적극 활용

o 개인 상용메일 비밀번호와 기관메일 비밀번호를 다르게 설정, 상용메일 해킹이 기관메일 해킹으로 확산되는 것을 방지

o 분기별 1회 이상 숫자ㆍ문자ㆍ특수문자 등을 혼합한 9자리 이상의 비밀번호를 설정ㆍ변경하고 아래와 같은 요건을 충족토록 조치

- 사용자 아이디와 동일하지 않은 것

- 개인 신상 및 부서명칭 등과 관계가 없는 것

- 일반 사전에 등록된 단어는 사용을 피할 것

- 동일단어 또는 숫자를 반복하여 사용하지 말 것

- 사용된 비밀번호는 재사용하지 말 것

- 동일 비밀번호를 여러 사람이 공유하여 사용하지 말 것

- 자동 비밀번호 입력기능은 사용하지 말 것

o 知人 사칭 해킹메일 유포에 대비하여 첨부파일이 있을 경우, 반드시 발송자에게 유선확인 후 열람하고 해킹메일 의심시 신속 신고

* 국가사이버안전센터(cert@ncsc.go.kr) 또는 해당기관 정보보안담당자

- 해킹메일을 지속적으로 수신하고 있거나 비밀번호가 유출되었을 경우 전자우편 계정 변경

- 해킹메일 유포 및 지속적 사이버공격시도 등 피해우려 요청 접수시 해킹메일ㆍIP 유입차단 등 기관內 신속 보안조치

o 수신메일內 첨부파일이 자동실행 되지 않도록 환경 설정하고, 첨부파일 다운로드시 반드시 백신으로 악성코드 은닉여부 검사

o 명함에 ‘상용메일 주소’ 표기 금지

o 기타 전자우편 보안관리 관련 세부사항은「국가정보보안기본지침」제26ㆍ27ㆍ35조에 명시된 보안조치 사항 준수

【 메신저 보안관리 】

o 카카오톡ㆍ밴드 등 메신저ㆍSNS 프로그램을 통한 업무관련 소통을 엄금하고 업무관련 소통을 위해서는 ‘바로톡(업무용메신저)’ 활용

o 스마트폰 앱은 공인 앱스토어를 통해서만 설치하고, 확인되지 않은 URL 메시지ㆍ문자는 접속 및 실행 금지, 관련내용 신고 철저

o 중요회의 개최시 스마트폰 휴대금지 또는 전원차단 등 스마트폰을  이용한 도청ㆍ도촬에 대한 보안대책 강구

o 스마트폰에 업무자료 저장을 금지하고, 수리 또는 판매시 스마트폰 초기화 등 저장자료 유출방지 대책 강화

o 공공장소에서 보안이 취약한 개방형 Wi-Fi 이용에 주의

□ 행정사항

o 全 직원에게 전자우편 및 메신저 보안관리 방안을 긴급 전파하고 숙지토록 다각적인 조치 추진

* 내부 공문, 내부망 공지, 보안교육 등 방법으로 비서실ㆍ보좌관 등 기관內 全직원이 반드시 숙지토록 전파

o 특히, 스마트폰 메신저를 이용한 업무자료 활용시 바로톡 메신저를 통해서만 전파ㆍ공유가 가능함을 강조, 중요자료 대외유출에 유의

o 상용메일을 통한 업무자료 전송ㆍ보관 등은 보안위규 사항임을 주지시켜 해킹사고 발생여부와 관계없이 보안위규로 간주하여 처리

* 단순주의, 경고조치, 벌당직 등 재발방지 실효성이 없는 위규처리 지양