정보화 사업 보안성 검토 요청서

Ⅰ. 사업개요

사 업 명	119종합전산정보시스템 IP관리 솔루션 구매	사업기관(부서)	서울종합방재센터 (전산통신과)
사업기간	2021년 11월 ~ 12월	총사업비	19,741,020원
사업목적	고도화·지능화 되고 있는 사이버위협이 지속적으로 발생함에 따라, 119종합전산정보시스템 보안강화를 위한 네트워크 접근통제 및 IP관리 솔루션을 도입하고자 함
사업내용	◦ IP관리 정책서버모듈 1대 ◦ IP관리 차단센서모듈 1대 ◦ IP관리 사용자라이센스 550대

Ⅱ. 시스템 구성

사업 유형	□ 정보통신망 신설․재구성 □ 행정업무시스템 개발 □ 서버 구축 ■ 정보보호시스템 도입 □ 무선통신망 구축 □ 보안컨설팅(취약점 점검 포함) □ 정보보안규정 제․개정 □ 기타
시스템 설치장소	서울종합방재센터	망 구분	■ 지령망 □ 내부행정망 □ 외부망, DMZ
연계시스템	종합재난관리시스템	유통 정보	■ 비밀(대외비 포함) □ 개인정보 □ 공개대상 정보
시스템계통도 또는 정보통신망 구성도	시스템 구성도

○ 시스템 구성도

Ⅲ. 정보 보안대책

1. 보안관리 수행체계

지 정 근 거	직 책	소 속	책임자	운 영
공공기관의개인정보보호에관한법률	개인정보관리책임관	종합상황실	종합상황실장	상황총괄팀 보안담당
행정정보공동이용지침 행정안전부예규 제204호	기관총괄책임자(본부)	소방재난본부	안전지원과장	정보통신팀 보안담당
	권한부여책임자(센터)	전산통신과	전산운영팀장	정보통신팀 보안담당
서울특별시보안업무처리규칙	정보통신보안담당관	전산통신과	전산통신과장	정보통신팀 보안담당
행정안전부 공공기관 CCTV 관리 가이드라인 소방재난본부장 방침 제(187)호 청사방호 및 개인정보 보호를 위한 CCTV관리운영지침	공공기관CCTV 총괄책임자	종합상황실	종합상황실장	영상관제 보안담당
	운영책임자 지정 (청사감시)	자원관리과	자원관리과장	행정팀 일반보안담당
	운영책임자 지정 (화재감시)	전산통신과	정보통신팀장	화재감시 보안담당
	운영책임자 지정 (전산기계실 감시)	전산통신과	전산운영팀장	유지관리 담당

2. 물리적 보안통제대책(시스템 설치장소의 보안관리)

1) 「국가정보보안기본지침」및 「서울시 정보통신 보안업무처리 규칙」등 정보보호 관리규정을 준수하여 하여야 한다.

2) 투입인력 전원에 대한 신원조사 실시 후 부적격자는 교체 할 수 있다.

3) 청사 출입 통제 절차를 준수해야하며, 청사 출입증 발급으로 본인 이외에 청사의 출입을 제한한다.

4) 정보시스템실은 통제구역으로 지정되어 있으므로 출입 시 반드시 정보시스템실 출입이 허가된 직원과 동행하여야 한다.

5) 투입인력 전원은 근태관리 및 출입통제를 위해 지문등록시스템에 등록을 하여야 한다.

6) 정보시스템실의 서버 작업 등을 위해서는 허가된 직원과 동행하여 작업지시서를 작성 후 작업을 하여야 한다.

7) 신원조사, 출입자 명부관리, 출입증 패용, 근무복 착용을 준수하여야 한다.

8) 비상주출입자 방문증 교부, 관계 공무원 동행 및 출입상황 기록하여야 한다.

9) 정보시스템실 외부인 방문시 방호원은 전산실 관리자에게 출입을 요청하고 방문 승인을 허가받은 후 임시 출입증 발급하여 관리한다.

10) 전산실 출입문은 한 곳으로 정하고, 방문자기록부를 기록한다.

3. 정보보호시스템 운영방안

1) 운영 장비 : 방화벽(UTM), 백신시스템(V3)

2) 운영 장소 : 종합방재센터 정보시스템실

- 출입통제, 무정전전원공급장치, 항온항습기, 화재경보기 등 정보시스템실 기반 설비에 의해 시스템 운영환경 보장

3) 관리자의 책입

- 정보보호시스템에 대한 운영 관리, 시스템 접근 통제 및 보안정책 적용

- 정기적 로그 분석 및 보관, 분석 결과에 대한 시스템 보안정책 반영

- 정보시스템에 대한 사이버 위협 및 장애 발생 시 대응 조치

4) 접근통제 및 사용자 관리

- 정보보호시스템으로 직접적인 인터넷을 통한 접속은 차단하며, 원칙적으로 시스템에 대한 작업은 콘솔에서 하여야 한다, 단 부득이하게 내부에서 원격 접속하고자 하는 경우 관리자의 사전 승인 후 한다.

- 시스템에 대한 모든 접속 및 로그는 저장하여 기록하며, 국가 정보 보안 기본치짐 제55조(로그기록 유지)에 따른다.

- 내부 네트워크는 신뢰할 수 없는 경로로 우회하여 접속되지 않도록한다.

- 사용자 계정은 국가 정보 보안 기본치짐 제75조(계정 관리) 및 제76조(비밀번호 관리)에 따른다.

- 정보보호시스템 관리자는 정기적으로 정보보안에 대한 교육을 이수한다.

- 비인가 USB 사용금지 및 USB 자동 실행를 금지 하여 이를 점검 하여야 한다.

- 공유폴더 사용은 금지 하며, 필요시 방재센터의 승인하에 비밀번호를 설정해 사용한다.

- 무선네트워크 사용을 금지 하며 이를 주기적으로 점검한다.

4. 분야별 기술적 보안대책

1) 소프트웨어 유지관리 보안 방안

- 소프트웨어 유지관리 과정에서 개발자의 실수, 논리적 오류 등으로 SW 보안위협을 최소화하고 안전한 SW 개발을 할 수 있도록 행안부의 소프트웨어 개발보안 가이드, 소프트웨어 보안약점 진단 가이드 등을 적용 한다.

2) 사업관리 보안

- 본 사업 수행 중 취득한 지식에 대하여 과업수행 중은 물론 사업이 완료된 후에라도 비밀 보안 준수하고 참여하는 모든 인원은 별도양식에 의한 보안각서를 반드시 제출하여야 한다.

- 사업보안 관리자를 지정하고, 프로그램 소스코드 및 관련 S/W의 유출을 방지하기 위해 디스크, CD, 출력물 등은 별도 관리해야 한다.

- 보안에 따르는 예산초과 등 리스크 발생을 사전 예방하고 발생 시 사후 대처방안을 주사업자가 제시하여야 한다.

3) 장비에 대한 보안관리

- PC(노트북 포함)는 반입시마다 최신 바이러스 백신프로그램 설치와 바이러스 감염 여부를 확인하여야 한다.

- 업무 수행을 위해 반입된 PC는 업무 종료 시까지 반출을 할 수 없다. 다만, 불가피한 경우 감독공무원의 승인 후 반출할 수 있으며, 이때 전산장비 반출입대장을 작성하여야 한다.

- USB 등의 보조기억매체는 사용할 수 없다. 다만, 불가피한 경우는 종합방재센터의 승인 후 사용할 수 있으며, 이때 휴대용저장매체 반출입대장을 작성하여야 한다..

- 사업 종료 시 PC 및 사용된 보조기억매체는 복구가 불가능하도록 자료완전 삭제 하고 감독공무원 승인 후 반출한다.

- PC 등 단말기에 대한 보안 관리는 국가 정보보안 기본지침 제26조(PC 등 단말기 보안관리)에 따른다.

- USB 포트는 USB락 장치를 통해 잠금 처리하며 필요시 방재센터의 승인하에 사용한다.

- 시스템 해킹사고 및 장애 발생시 추적 등을 위해 관리자 및 사용자 계정별로 서버 접속·작업내용에 대하여 6개월 이상 로그 기록을 유지한다.

4) 내부 자료에 대한 보안관리

- 업무 수행을 위해 제공하는 내부 자료는 자료관리대장을 작성하여 인수․인계 시 직접 서명한다.

- 제공된 내부 자료에 대해 복사 및 외부반출을 할 수 없으며, 업무 완료 후 종합방재센터에 반환한다.

- 제공된 내부 자료는 매일 퇴근 시 반납하여야 한다.

5) 내․외부망 접근에 대한 보안관리

- 사용자계정(ID)은 사용자계정별로 정보시스템에 접근권한을 부여토록 한다.

- 각 시스템의 관리자 페이지가 외부로 노출되지 않도록 주의하여야 하며, 원격에서의 작업은 금지하여야 한다.

- 패스워드는 영문, 숫자, 특수기호 등을 조합해 유추가 어렵도록 9자리 이상의 패스워드로 설정하고, 분기별 1회이상 주기적으로 변경 한다.

- 사용자계정별로 부여된 권한은 불필요 시 곧바로 권한을 해지하거나 계정을 폐기토록 한다.

- 종합방재센터는 사용자별로 부여한 계정에 접속하여 저장된 자료와 작업이력을 확인할 수 있다.

- 담당자는 정보시스템에 대한 접근기록을 확인하도록 하며, 국가 정보보안 기본지침 제55조(로그기록 유지)에 따른 정보시스템 접근 기록을 유지 관리 한다.

- PC(노트북 포함)는 인터넷 연결을 금지한다. 다만, 불가피한 경우는 필요한 보안조치를 실시하고 종합방재센터의 승인 확인 후 사용한다.

- 상주 용역 인원은 업무목적이더라도 기관에서 제공하지 않은 시스템 사용을 금지하며, 부득이한 경우 담당자 승인 하에 사용하여야 한다.

6) 기타 산출물에 대한 보안관리 등

- 업무 수행 시 생산되는 모든 산출물은 담당 부서의 파일서버에 저장하거나, 종합방재센터에서 지정한 PC에 저장한다.

- 업무 수행으로 생산되는 모든 산출물 및 기록은 서울시가 인가하지 않은 자에게 제공․대여․열람을 금지한다.

- 업무 수행으로 생산되는 모든 산출물 및 기록의 소유권 및 지적재산권은 종합방재센터에 있다.

- 보안사고 발생 시 또는 인지 시에는 즉시 종합방재센터에 통보하여야 한다.

- 참여인력 보안서약서, 사업 종료시 보안확약서 제출(대표자 포함)

- 서울시 보안정책 위반시 보안위규처리기준에 따라 보안위약금 부과

· 사업자 보안위규 처리기준(심각, 중대, 보통, 경미) 준용

· 보안위규 수준별 위약금 징구

(심각1건 : 부정당업체 등록, 중대1건 : 계약금액의 5%이하, 보통2건 :  계약금액의 3%이하, 경미3건이상 : 계약금액의 1%이하)

※ 보안위규처리기준

- 심각 : 비밀 및 대외비 급 정보를 유출시도 등

- 중대 : 비공개정보 관리소홀, 보호구역 보안관리 소홀 등

- 보통 : 민감자료 관리소홀, 사무실 보안관리 소홀 등

- 경미 : 업무서류 관리소홀, 보안관련 소프트웨어 점검위반 등

5. 재난복구계획

1) 재난발생 사전예방을 위하여 시스템 점검을 수시(정기)로 실시

2) 재난복구체계 및 데이터 및 시스템 복구 등을 위한 시스템 공급           업체와의 유기적인 지원체제 구축 유지(유지보수 계약체결 운영)

3) 통합백업시스템을 통한 데이터 자동 백업 체계 운영

4) 데이터 유실시 백업 소산 데이터 활용한 복구

5) Network 장애 시 백업 네트워크로 자동 전환 후 미해결 시 회선 교체