사 이 버 침 해 사 고  대 응 매 뉴 얼

2015. 12

청와대소방대

사 이 버 침 해 사 고 대 응 매 뉴 얼

제1장 총칙

제1조(목적)

본 매뉴얼은 청와대소방대에서 발생하는 사이버 침해사고를 신속하게 대응하기 위한 준비와 대응지침을 기술하여 침해사고로부터의 피해를 최소화하고 후속 보안대책을 세울 수 있도록 하는데 그 목적이 있다.

제2조(적용범위)

본 매뉴얼은 청와대소방대 모든 직원 및 대통령경호실 직원을 포함한다.

제3조(용어의 정의)

① “침해사고”라 함은 정보통신시스템을 대상으로 관련 규정에 위배되는 사건이나 해킹, 컴퓨터 웜.바이러스, 서비스거부, 비인가된 접근, 정보시스템의 오남용(비인가된 사용) 등을 말하며 정상적인 업무에 지장을 초래하는 사고를 말한다.

② “사이버침해사고대응팀”이라 함은 CERT(Computer Emergency Response Team)라고도 하며 해킹 또는 바이러스 사고 발생에 사고의 분석, 처리, 사후복구, 사후 예방 조치 등을 주요 업무로 하는 정보보안 조직을 말한다.

③ “사이버 공격”이라 함은 해킹.컴퓨터바이러스.논리폭탄.메일폭탄.서비스방해 등 전자적 수단에 의하여 정보통신망을 불법 침입.교란.마비.파괴하거나 정보를 절취.훼손하는 일체의 사이버공격 행위를 말한다.

④ “백도어(Backdoor)”이라 함은 시스템의 보안설정을 우회할 수 있는 비밀 통로로서 서비스 기술자나 유지보수개발자들의 접근편의를 위해 고의적으로 만들어 놓은 것을 말하며 악의적인 목적을 가진 공격자가 시스템 보안후 해당 시스템의 재보안을 목적으로 만들어 놓은 것을 포함한다.

⑤ 기타 용어정의는 “국가 정보보안 기본지침”, “서울시 정보통신 보안업무 처리규칙”, “서울시 사이버침해사고 대응매뉴얼” 등의 용어정의에 따른다.

제2장 침해사고 대응조직 구성.운영

제4조(조직체계)

① 침해사고대응팀은 부대장, 보안담당자, 제대장 등으로 구성할 수 있으며 사정에 따라서 1명 이상의 팀원으로 구성할 수 있다.

② 소방대장은 침해사고대응팀의 보안정책 및 요구사항에 대해서 적극적으로 협력하여 기관과 관련된 보안사고에 대해서 대응할 수 있도록 한다.

③ 침해사고대응팀은 “침해사고 종류 및 기준”에서 ‘2등급’ 이상의 등급인 경우에 해당하는 침해사고가 발생하는 경우에 소집되며 필요시 외부 지원기관으로 구성.운영하고 청와대소방대 사이버침해대응팀은 다음과 같이 구성.운영한다.

침해사고대응팀

침해사고대응반 (교육담당)	지원반 (1제대장)	외부대응반 (2제대장)
- 사고접수, 원인 조사 및 조치 본부 및 정보통신보안담당관 보고 등	침해사고대응팀 및 외부대응팀 업무 지원 관련자 신원확보 및 직원교육 등	대외 언론 및 동향파악 비상연락망 가동 등

제5조(인력구성 책임)

① 침해사고대응반의 장은 침해사고대응팀의 실무책임자로 침해사고대응 업무를 총괄하여 빠른 사고대응 업무가 가능하도록 한다. 기관 내의 타 부서 및 관계 기관과의 업무조율 역할과 대내외의 침해사고대응팀과의 협력관계를 구축하여야 한다.

1) 기관의 대내외 업무 조율을 위한 실무 대표자 역할을 하며, 주로 사고 대응을 위한 대내외 협력 업무에 대한 연락처로써의 역할을 수행한다.

2) 해킹 및 바이러스 등의 침해사고 접수, 사고 할당, 사고 접수 자료에 대한 관리 및 보안사고의 초기 접수에서 사고 여부의 초기 판단 업무를 수행 한다.

3) 해킹사고 발생 시, 해당사고를 정확히 분석하고 대응할 수 있는 사고분석 전문 역할을 수행한다.

② 지원반장은 침해사고대응반 및 외부대응반 업무에 필요한 인적・물적자원을 지원 하여야 하며, 관련자 신원 확보 및 재발방지를 위한 보안교육 후 기관 내 상황전파를 통해 확산에 방지하는 역할을 수행한다.

③ 대외대응반장은 외부언론, 외부기관 동향파악 및 대외언론 보도자료 작성이 필요한 경우 침해사고대응반과 협의 후 보도자료 작성,  등 대외 동향파악 업무 역할을 수행한다.

※ 보도자료 작성 시 소방재난본부 및 정보통신보안담당관과 협의 후 작성 배포

제3장 침해사고의 범위

제6조(침해사고의 종류)

침해사고의 종류에는 비 인가된 시스템 사용 또는 사용자의 계정 도용, 악성코드 유입 및 실행, 정보서비스의 방행 등이 해당되며, 다음과 같이 종류를 구분할 수 있다.

① 악성프로그램 유포 : 제작자가 의도적으로 다른 정보시스템 이용자에게 피해를 주고자하는 악의적 목적으로 만든 프로그램 및 실행 가능한 코드를 의미한다.
“악성코드”라 표현하기도 하며, E-mail, 메신저, 문서의 매크로 기능 등을 이용하여 악성 프로그램을 실행시키고 공격에 사용한다. 주요 형태로는 컴퓨터 바이러스, 인터넷 웜, 트로이 목마 등이 공격에 이용된다.

② 서비스거부 공격(DoS, Denial of Service) : 시스템 또는 네트워크 서비스의 정상적인 운영을 방해하는 공격으로, 시스템을 다운시키거나 네트워크에 과부하의 트래픽을 유발 시켜 사용자들이 서비스를 이용하지 못하게 하는 공격이다.

③ 시스템 침입(비 인가된 접근) : 시스템 또는 네트워크의 취약성을 이용하여 시스템을 침입 하는 공격이다. 보통 특정 취약점을 공격하는 해킹프로그램을 이용하거나, 잘못된 서버 운영상의 문제를 이용하여 시스템에 침입한다.

④ 오·남용 : 시스템 및 네트워크 자원을 허가받지 않은 방법으로 사용하거나 악용하는 공격 이다. 스팸메일을 보낼 때 다른 사이트의 시스템을 이용하는 방법이나 다른 사람의 계정을 도용하는 행위 등이 대표적인 예이다.

⑤ 정보수집 : 특정 사이트의 시스템 및 네트워크에 대한 정보를 수집하기 위한 공격으로 포트스캔, 전화번호 스캔 등이 있다. 공격자는 정보수집을 통해 특정 사이트에 어떠한 시스템이 존재하는지, 어떠한 서비스가 제공되는지, 어떠한 네트워크 구조를 갖고 있는지, 그리고 어떠한 취약성이 있는지를 조사하게 된다.

제7조(침해사고 판단기준)

① 웜/바이러스 및 해킹 등의 공격에 의해 피해 받은 대상 및 피해범위의 확산 범위를 기준으로 사용한다.

② 피해범위의 분류는 다음과 같다.

1) 개별 시스템(PC 및 정보시스템 포함)

2) 단일 네트워크 내의 시스템군

3) 2개 이상 개별 네트워크 내의 시스템군

③ 피해상황과 업무영향에 따라 다음과 같이 침해사고 등급을 정한다.

구분	피 해 상 황	업무 영향	보고범위
1등급 (심각)	- 국가적 차원의 네트워크 및 정보시스템 이용 불가 - 전체 정보시스템에 대한 침해사고나 지속적인 공격 발생 - 초고속통신망실, 정보시스템실 건물 화재 또는 붕괴 - 정전 또는 인터넷 회선 장애(12시간 이상) - 주요 정보통신기반시설 침해사고 발생	핵심서비스 업무중단 또는 전체업무에 중대한 영향초래	소방대장
2등급 (경계)	- 개별서버에 대한 침해사고나 지속적인 공격 발생 - 일부기관에서 침해사고 발생, 다수기관으로 확산 - 외부기관(국가사이버안전센터, 지역정보개발원) 침해사고조사 - 언론 부정적보도(정보유출, 해킹, 위변조 등) - 정전 또는 인터넷 회선 장애(1~12시간) - 주요 정보통신기반시설 운영기관 침해사고 발생	기관업무중단 또는 일부업무 활동 영향 초래	부대장
3등급 (주의)	- 업무에 지속적인 영향없고 정보시스템에 일시적 문제발생 - 외부기관(국가사이버안전센터, 한국지역정보개발원) 자료요청 - 해외 사이버공격 피해 확산으로 국내 유입 우려 상황 전파 - 정전 또는 인터넷 회선 장애(60분이내)	기관업무영향 없으나 시스 템 문제발생,	제대장
4등급 (관심)	- 해외 사이버공격 피해 확산으로 국내 유입 우려 상황 전파 - 위험도가 높은 바이러스, 취약점 및 해킹기법 출현 - 개인PC의 랜섬웨어, 악성코드 등 이상징후 발견	침해사고 이상징후 탐 지	교육담당 (보안담당)

④ 침해사고 등급에 따른 주요 조치사항은 다음과 같다.

구분	주요 조치사항	비 고
1등급 (심각)	. 침해사고 긴급대응팀 구성.운영 . 피해발생 가능성이 높은 네트워크 단절 . 전기관 PC 사용 최소화 권고 . 공격대상 서비스 포트 자체 차단
2등급 (경계)	. 침해사고 긴급대응팀 구성.운영 . 집중 모니터링 대상에 대한 보안취약점 재점검 . 서비스거부 공격에 대한 이상 징후 포착 시 공격 차단 . 정보시스템 긴급 백업
3등급 (주의)	. 사고 발생 정보자산 감시 . 정보보호시스템 보안정책 점검 및 유해 패턴 경로 감시 . 정보시스템 긴급 백업 . 사이버보안관제 운영 강화 및 유관기관 공조체계 점검
4등급 (관심)	. 주기적인 악성코드 점검 . 새로운 악성코드, 취약점, 악용공격도구 정보 파악 . 취약점이 발표된 소프트웨어는 보안패치 적용 또는 업데이트 . 불필요한 서비스 점검.차단 및 백신프로그램 최신 업데이트

제4장 침해사고 대응 및 복구

제8조(침해사고 대응 절차)

① 운영기관(부서)에서는 침해사고 발생 또는 발생할 우려가 있는 것을 인지한 경우에는 초동조치와 동시에 소방행정과 장비회계팀 및 서울시 통합보안관제센터에 즉시 상황보고를 하여야 하고 ‘붙임2. 침해사고 신고서’를 작성 제출하여야 한다. 또한 사고원인 규명시까지 피해시스템에 대한 증거를 보전하고 임의로 자료를 삭제하거나 포맷하여서는 아니된다.

1. 초동조치 : LAN케이블 분리, IP차단, 자료삭제/PC포맷/전원차단 금지, 상황전파 등 현장보전

2. 침해사고 : 해킹, APT, DDoS, 악성메일 수신, 악성코드 감염, 개인 및 행정정보 유.노출

3. 보고시기 : 침해사고 발생시, 침해사고 발생 우려시, 침해사고 관련 언론보도 시

4. 제출서류 : 침해사고 신고서(사이버침해대응시스템 또는 이메일)

5. 조치기한 : 30분 이내(접수시간으로부터)

6. 회신기한 : 긴급 접수시 30분 이내, 일반접수시 60분 이내(접수시간로부터)

② 침해사고 발생 시 장비회계팀장은 피해상황을 판단하고 침해사고 2등급 발령 시 자체 침해사고대응팀(SCERT)을 구성.운영하여야 하고 자체 기술 인력으로 원인 분석 및 복구 등을 수행할 수 없는 경우에는 서울시 통합 보안관제센터 및 소방재난보부 전산기획팀에 지원을 요청할 수 있다.

③ 침해사고대응팀은 침해사고의 내용을 파악한 후 정보통신보안담당관에게 초동보고를 하여야 하며 조사결과 범죄의 혐의가 있다고 판단되는 경우 수사기관의 장에게 그 내용을 통보할 수 있다.

④ 침해사고대응팀은 침해사고에 대한 예방, 대응 및 복구를 위해 외부기관(국가정보원, 국가사이버안전센터, 한국지역정보개발원 사이버침해대응센터 등)과의 협조체계를 유지 하고, 침해사고 발생시 신고와 언론기관 대응을 총괄 수행한다.

⑤ 침해사고대응팀은 침해사고를 조치하고 단계별 진행사항을 중간보고를 하여야 하며, 사고분석 완료 후 ‘붙임4. 침해사고 조사분석 결과보고서’를 작성하여 내부결재를 득한 후 소방재난본부 및 서울특별시장(정보통신보안담당관)에게 제출하여야 한다.

⑥ 침해사고의 내용은 발생경위 및 이에 대한 조사가 종료될 때까지 공개하지 않으며, 침해사고에 대한 최종 침해사고 조사.분석 결과보고서를 바탕으로 문제점과 원인을 면밀히 분석하여 해당기관(부서)에 통보하고 동일한 침해사고 재발 방지를 위해 전 기관(부서)내에 정보를 공유하여야 한다.

⑦ 침해사고가 발생한 경우 다음과 같이 7단계 절차에 따라 대응한다.

1. 사고 전 준비과정 : 사고가 발생하기 전 침해사고 종류에 따라 침해사고대응팀과 조직적인 대응을 준비

2. 사고 탐지 : 정보시스템 및 네트워크 장비에 의한 이상 징후 탐지, 관리자에 의한침해사고의 식별

3. 초기대응 : 초기조사 수행, 사고 정황에 대한 기본적인 세부사항 기록, 보안사고 신고 및 소집, 침해사고 관련 부서에 통지, 초동조치, 상황전파

4. 체계화 : 최적의 전략을 결정하고 관리자 승인을 획득, 초기 조사결과를 참고해 소송이 필요한 사항인지를 결정하여 사고 조사과정시 수사기관 공조 여부를 판단

5. 사고조사 : 데이터 수집 및 분석을 통하여 수행, 언제, 누가, 어떻게 사고가 일어 났는지 피해 확산 및 사고 재발을 어떻게 방지할 것인지를 결정

6. 보고서 작성 : 의사 결정자가 쉽게 이해할 수 있는 형태로 사고에 대한 정확한 보고서를 작성

7. 재발방지 : 차기 유사 공격을 식별 및 예방하기 위한 보안사고 관련 지침 및 절차 변경, 사건의 기록, 기술 수정 계획 수립 등을 결정

제9조(침해사고의 인지)

해당 시스템에 다음과 같은 비정상적인 활동이나 징후가 나타나면, 해당 시스템담당자는 시스템에 불법 침입자가 침투했을 가능성이 있으므로 점검하여야 한다.

1. 한 사용자가 다수의 로그인 상태로 중요 환경설정에 접근하는 경우

2. 네트워크에 로드가 비정상적으로 상승하고 이상한 프로그램을 실행하는 경우

3. 네트워크 스캐닝, 취약성 스캐닝 등의 공격 시도가 발견되는 경우

4. 외부에서 지속적으로 내부 시스템 및 네트워크에 접속하려는 경우

5. 비인가자의 의해 관리자 명령이 지속적으로 수행되는 경우

6. 불법적으로 시스템 리소스를 사용하는 프로그램이 실행되고 있는 경우

7. 일반 사용자의 home directory에 시스템 파일이 존재하는 경우

8. 일반적이지 않은 hidden file 또는 디렉토리가 존재하는 경우

9. 휴가이거나 근무시간이 아닌데 사용하는 경우

10. 해당 시스템담당자가 알지 못하는 사용자가 추가되었거나, 사용자 권한의 변경이 일어난 경우

제10조(사고 전 준비과정)

정보시스템담당자는 정보시스템에 침입자가 침입할 가능성이 있는 부분을 수시로 점검하여 불법침입자의 침입을 사전에 예방한다.

1. 불필요한 계정이나 패스워드가 없는 계정에 대한 조치를 취한다.

2. 보안진단도구를 이용하여 정보시스템을 수시로 점검한다.

3. 접근통제 도구를 설치하여 불법 침입자의 접근을 차단한다.

4. 최근의 해킹방법 및 대처방안에 대한 자료를 입수하여 대비한다.

5. 침입탐지시스템을 설치하여 실시간으로 침입을 식별한다.

6. 규칙적인 백업 수행을 시행한다.

제11조(사고탐지)

① 효과적으로 사고를 탐지할 수 없다면 사고대응을 성공적으로 수행할 수 없다.

② 최초 탐지하게 된 경위와 인지된 상황을 기록하고, 대응절차를 단계별로 수행하기 위해 “붙임2. 침해사고 신고서”를 작성 후, 보고하여 신속한 대응이 가능하도록 한다.

제12조(초기대응)

① 초기대응의 첫 단계는 침해사고처리담당자가 조치를 수행하고, 침해사고의 종류에 따라 침해사고대응팀을 구성하여 “붙임3. 침해사고 발견 및 조치대장”을 작성한다.

② 초기대응 이후에 관련 데이터를 수집하게 되는데, 이 과정에서는 다음과 같은 작업을 포함한다.

1. 사건의 기술적인 내용을 통찰할 수 있는 침해사고처리 담당자와의 면담

2. 사건 분석을 위한 정황을 제공해 줄 수 있는 직원들과의 면담

3. 침입탐지 로그와 데이터 식별을 위한 네트워크 기반 로그의 분석

4. 공격 경로와 수단을 알아내기 위한 네트워크 구조와 접근통제 리스트의 통지

③ 초기대응 단계를 통해 실제로 사고가 일어났는지(혹은 오탐인지), 침해된 정보시스템에 대한 적당한 대응책이 있는지, 사건의 유형은 무엇인지, 그리고 사고로 인한 잠재적인 업무 영향은 무엇인지를 알아내야 한다.

④ 초기대응 단계 분석을 통해 적절한 정보가 준비되면 이를 판단근거로 하여, 현재 사고를 어떻게 처리할 것인지를 결정(대응전략 수립)을 한다.

제13조(대응전략 수립)

① 대응전략 수립단계의 목표는 주어진 사건의 환경에서 가장 적절한 대응전략을 결정한다.

② 침해사고처리담당자는 침해사고 처리시 사태의 지연 및 확산이 불가피하다고 판단될 경우, 사고지연을 막기 위해 시스템 사용의 중단 등을 정보보안관리자의 승인을 거쳐 실시할 수 있다.

③ 아래와 같은 긴급한 사항에서는 침해사고대응팀과 각 시스템 담당자의 협의하고 피해를 최소화하기 위하여 네트워크 인터페이스 단절, 전원 off 등의 先조치를 수행할 수 있다.

1. DDoS 공격을 당하고 있어 정상적인 동작이 불가능한 경우

2. 침입자에 의해 시스템의 중요 파일이 삭제되고 있는 경우

3. 트로이 목마, 백도어 등의 악성코드가 실행되어 정상적인 접근제어를 적용하더라도 다른 경로를 통한 침입자의 지속적 공격시도가 있는 경우

4. 기타 침입자의 공격에 대한 대응수단이 없는 경우

④ 공격환경과 대응능력을 고려하여, 다양한 대응을 다음과 같이 대응전략을 수립할 수 있다.

사고	예	대응전략	예상결과
DDoS 공 격	TFN DDoS 공격	Flooding의 효과를 최소화하 기 위해 라우터 재설정	라우터 재설정으로 공격의 효과를 완화
비인가 사 용	업무용 컴퓨터 오용	증거물의 포렌식 이미지 확보 와 조사 용의자와 면담	범인식별, 징계를 위한 증거 확보, 해당 직원의 직위나 과거 조직 정책의 위반 등을 고려하여 징계
파괴행위	웹 사이트 손상	웹 사이트 모니터 온라인 상태로 조사 웹 사이트 복구	웹 사이트 복구 범인 식별을 위해 수사기관이 참여할 수 있음
정보의 도 난	중요 정보 유출	관련된 시스템의 이미지 확 보, 법적대응 준비	상세한 조사 시작, 수사 기관 참여 예상된 피해복구를 위한 민사 소송 얼마간 시스템의 오프라인 유지
컴퓨터 침 입	Buffer Overflow 또는 IIS 공격을 통한 원격 접속	공격자의 활동 감시 비인가 접속 봉쇄 시스템의 보안 재설정 및 복구	침입에 사용된 취약점을 식 별하고 수정 및 패치 시행 범인의 식별 유무를 결정

제14조(침해사고 분석)

① 시스템의 침해사고에 대한 분석을 하지 않고도 시스템 재설치를 하여 원상태로 복구 할 수 있지만, 이는 지속적인 침입을 당할 수 있는 여지를 남기게 되므로 전체시스템의 보안수준을 떨어뜨리는 결과를 초래할 수 있다.

② 침해사고대응팀은 피해 정보시스템에서 다음의 항목을 점검하여 침해현황을 분석한다.

1. 정보시스템 로그 파일

2. 주요 서비스 로그파일(예 : 웹 서버 로그, 메일/파일서버 로그 등)

3. 프로세스 현황

4. 열려진 포트 현황

5. 사용자 디렉토리 점검

6. 백도어 프로그램 점검(주요 설정파일, 파일 생성기간, 파일 무결성 등)

7. 최신 해킹 프로그램 점검

③ 피해시스템 업무 담당자는 침해사고대응팀과 피해시스템을 분석할 수 있도록 관리자 계정 및 접근 환경 제공 등의 지원 조치를 수행한다.

제15조(보고서 작성)

① 침해사고대응팀은 침해사고 대응 분석 및 대응이 완료된 후, “붙임4. 침해사고 조사. 분석 결과보고서”를 작성하여 소방재난본부 및 정보통신보안담당관에게 보고하여야 한다.

② 침해사고 대응 결과보고서에는 다음과 같은 내용을 포함한다.

1. 침해사고 유형 및 종류

2. 침해사고 발생 일지

3. 침해사고 대상 시스템 호스트명 및 IP

4. 침해사고 내용

5. 침해사고 발생원인

6. 침해사고 조치 시간

7. 침해사고 조치 내용

8. 재발방지를 위한 대책

제16조(재발방지)

① 침해사고로 인해 제2, 제3의 피해를 막고 재발을 방지하기 위해 다음과 같은 방안을 조치하여야 한다.

1. 조직의 위험 우선순위 식별

2. 사건의 본질의 기술 : 보안사고의 원인과 호스트, 네트워크 복원 시 필요한 조치

3. 사건의 조치에 필요한 근원적이고 조직적인 원인 파악

4. 침해 컴퓨터의 복구

5. 해당 부서(팀) 및 사용자를 대상으로 침해사고 대응 교육 수행

5장. 교육.훈련 및 상벌

제17조(접근기록의 관리)

① 정보보안담당자는 정보시스템의 효율적인 통제관리, 사고발생시 추적 등을 위하여 사용자의 정보시스템 접근기록을 유지관리하여 야 한다.

② 제1항의 접근기록에는 다음 각 호의 내용이 포함되어야 한다.

1. 접속자, 정보시스템.응용프로그램 등 접속 대상

2. 로그 온.오프, 파일 열람.출력 등 작업종류, 작업시간

3. 접속 성공실패 등 작업결과

4. 전자우편 사용 등 외부발송 정보 등

③ 정보보안담당자는 접근기록을 분석한 결과, 비인가자의 접속시도, 정보 위변조 및 무단삭제 등의 의심스러운 정황이나 위반한 사실을 발견한 경우 서울특별시장(정보통신 보안담당관)에게 즉시 보고하여야 한다.

④ 접근기록은 정보보안 사고 발생시 확인 등을 위하여 최소 6개월이상 보관하여야 하며 접근기록 위변조 및 외부 유출 방지 대책을 강구하여야 한다.

제18조(관련 자료의 보존)

① 침해사고가 신고(접수)된 경우에는 침해사고의 원인을 조사.분석하기 위해 침해 사고와 관련된 시스템 이벤트, 접속기록 등 모든 관련 로그들을 수집, 별도 보관한다.

② 정보보호 침해사고 접수 후 정보시스템별 담당자는 침해사고 유형별로 다음 각 호의 절차에 따라 관련 자료를 보존 한다

1. 정보보안담당자는 보안사고 처리에 관련된 모든 활동 및 정보를 기록하여 보관한다.

2. 보안사고 대응활동과 관련하여 생성된 문서는 비인가자의 접근을 제한하며, 열람 및 사용은 정보보안담당관의 승인을 득하여야 한다.

제19조(교육 및 훈련)

① 정보보안담당관은 재발방지를 위하여 부서 보안담당자 및 사용자 등을 대상으로 침해사고 발생에 대한 대응방안을 교육하여야 하며, 기록을 유지관리하여야 한다.

② 정보보안담당관은 침해사고 대응훈련이 필요하다고 판단 시 다음 각 호와 같이 침해사고 대응 및 복구 훈련을 실시하여, 침해사고 대응능력을 확보하여야 한다.

1. 훈련내용 : 정보보호 침해사고 대응

2. 훈련주관 : 정보보안담당관

3. 훈련대상 : 전 직원

4. 훈련일정 및 기간 : 연중

제20조(상벌)

① 정보보안담당관은 내부자에 의해 발생한 정보보호 침해사고에 대해 관련된 규정 등의 준수 여부를 고려하여 다음 각 호의 규칙을 위반한 사람에 대해서는 개인정보보호법 및 정보통신망 이용촉진 및 정보보호 등에 관한 법률 등 관련법에 의해 처벌하여야 한다.

1. 기밀 및 중요정보 누설

가. 해당기관 주요정보의 위조.변조.훼손 및 유출한 자

나. 주민등록번호 등 고유식별정보를 포함한 중요 개인정보를 유.노출한 자

다. 상용메일 등을 통한 비밀 등 중요정보 무단 유통한 자

2. 주요 보안시스템 고의적 훼손

가. 주전산기(주요 서버 등), 대용량 전자기록(DB) 훼손한 자

나. 중요 정보시스템 및 정보통신실 파괴한 자

다. 고의적인 중요 정보시스템 기능 장애 및 정지한 자

라. 정보통신망에 대한 해킹.악성코드의 유포한 자

② 사이버공격 탐지 및 방어 훈련, 침해사고발생 시 신속한 제보와 대응으로 보안사고의 확산방지에 기여한 자는 포상할 수 있다.

제21조(준용)

이 매뉴얼에 명시되지 않은 사항은 다음 각 호의 관련규정 및 지침에 따른다.

1. 『국가 정보보안 기본지침』(국가정보원)

2. 『서울특별시 정보통신 보안업무 처리규칙』

3. 『국가전산망보안관제지침』(국가정보원)

4. 『국가위기관리기본지침』(국가정보원)

5. 『국가사이버안전관리규정』(국가정보원)

6. 서울시 사이버침해사고 대응매뉴얼

7. 그 밖의 관계 법령 및 지침