정보보호정책수립지침 - ITFIND · - 3 - 제 출 문 정보통신부장관귀하 본보고서를 정보보호정책수립지침의 년도결과보고서로제출합니다“

- 1 -

기반보호연구기반보호연구기반보호연구기반보호연구 02-0702-0702-0702-07

정보 보호 정책 수립 지침정보 보호 정책 수립 지침정보 보호 정책 수립 지침정보 보호 정책 수립 지침

Guideline for Establishing Information Security PolicyGuideline for Establishing Information Security PolicyGuideline for Establishing Information Security PolicyGuideline for Establishing Information Security Policy

2002. 112002. 112002. 112002. 11

- 2 -

서 문서 문서 문서 문

날로 급증하는 해킹이나 컴퓨터 바이러스 등으로 인한 전자적 침해행위로부터 주요 정보통

신기반시설을 보호하기 위해 년 월 정보통신 기반보호법이 공포되어 시행되었습니다2001 7 .

동 법에 의거하여 주요정보통신 기반시설을 관리하는 기관은 이들 시설에 대한 취약점을 분

석하고 평가하여 보호대책을 마련해야 합니다.

이에 따라 본원에서는 지정된 주요 정보통신기반시설을 관리하는 관리 기관이 취약점 분석

ㆍ평가를 수행하거나 상시적으로 취약점을 모니터링 함으로써 시설의 안전ㆍ신뢰성을 높이

는데 일조하기 위하여 각종 지침의 제작 및 정보보호 관련 기술지원을 수행하고 있습니다.

본 「정보 보호 정책 수립 지침」 은 관리기관이 정보보호 정책 수립시에 효율적이고 실제

사용 가능한 체계적인 정책서를 작성할 수 있도록 정보보호 개념 개 업무 계층별 정보보, 3

호 생명주기 단계의 정보보호 정책 수립 시 고려사항으로 구성하고 이를 토대로 작성 방, 3

법 및 사례연구하여 정책 문서 작성에 필요한 사항들을 제시하고 있습니다.

당초 대상으로 한 주요정보통신기반시설의 관리기관들뿐만 아니라 정보통신시설을 보유하고

있는 모든 기관들이 활용할 수 있도록 본 지침서를 제작한 것이므로 적극적으로 활용하여

주시기를 부탁드리며 그 동안 사용자 요구사항 등을 제시하여 주신 분들에게 깊이 감사 드,

립니다.

2002 112002 112002 112002 11年年年年

한국정보보호진흥원장한국정보보호진흥원장한국정보보호진흥원장한국정보보호진흥원장

조 휘 갑조 휘 갑조 휘 갑조 휘 갑

- 3 -

제 출 문제 출 문제 출 문제 출 문

정보통신부 장관 귀하정보통신부 장관 귀하정보통신부 장관 귀하정보통신부 장관 귀하

본 보고서를 정보 보호 정책 수립 지침 의 년도 결과보고서로 제출합니다“ ” 2002 .

년 월 일년 월 일년 월 일년 월 일2002 11 302002 11 302002 11 302002 11 30

사업책임자사업책임자사업책임자사업책임자 :::: 단 장 고 승 철 기반보호사업단단 장 고 승 철 기반보호사업단단 장 고 승 철 기반보호사업단단 장 고 승 철 기반보호사업단( )( )( )( )

연구책임자연구책임자연구책임자연구책임자 :::: 팀 장 이 강 신 기반보호팀팀 장 이 강 신 기반보호팀팀 장 이 강 신 기반보호팀팀 장 이 강 신 기반보호팀( )( )( )( )

연구원 조 태 희 기반보호팀연구원 조 태 희 기반보호팀연구원 조 태 희 기반보호팀연구원 조 태 희 기반보호팀( )( )( )( )

연구원 김 정 희 기반보호팀연구원 김 정 희 기반보호팀연구원 김 정 희 기반보호팀연구원 김 정 희 기반보호팀( )( )( )( )

연구원 임 용 현 기반보호팀연구원 임 용 현 기반보호팀연구원 임 용 현 기반보호팀연구원 임 용 현 기반보호팀( )( )( )( )

연구원 최 광 희 기반보호팀연구원 최 광 희 기반보호팀연구원 최 광 희 기반보호팀연구원 최 광 희 기반보호팀( )( )( )( )

- 4 -

요 약 문요 약 문요 약 문요 약 문

제목제목제목제목1.1.1.1.

정보 보호 정책 수립 지침“ ”

(Guideline for Establishing Information Security Policy)

연구 목적연구 목적연구 목적연구 목적2.2.2.2.

정보보호 정책은 정부의 국정 운영을 위한 여러 가지 정책과 마찬가지로 정보보호에 있어서

도 정보보호 목적과 목표를 명확히 하는 정보보호 정책이 필요하다.

이처럼 정보보호정책은 조직의 정보보호를 수립하고 체계화의 중요한 부분임에도 불구하고

현재 국내 주요정보통신기반시설의 전산관련 부서는 자체 정보보호 정책을 보유하고 있으

나 단지 활용하지 않는 문서로 존재한다 이에 관리기관이 손쉽게 정보보호 정책 수립을 위, .

한 지침으로서 활용할 수 있도록 본 지침서를 연구 개발하였다/ .

연구 내용 및 범위연구 내용 및 범위연구 내용 및 범위연구 내용 및 범위3.3.3.3.

국내외적으로 활용되고 있는 많은 관련 자료와 이론적 모델 등을 연구하여 우리의 현실과

국제환경에 적응하고 효율적인 정보보호정책서 수립 지침서를 작성하여 실무자부터 관리층

에 이르기까지 누구나 손쉽게 활용하고 도움을 받을 수 있는 실질적인 정보보호 정책서 작

성 방법을 개발하기 위하여 다음과 같은 내용과 범위에 대하여 연구를 하였습니다.

제 장에서는 정보보호의 정의 및 기본목표에 대해서 설명을 하였고 정보보호를 수행하는데1

필요한 기본요소를 나열하였고 이를 토대로 정보 보호 시행상의 가능한 오류에 대해서 살펴

보았다.

제 장에서는 조직이 정보보호를 체계적으로 추진하기 위해서는 보유 자산에 기초한 위험을2

도출하고 보호대책을 수립하고 수립된 대책을 유지보수하기 위한 일련의 과정이 필요하다는

것을 기술하였다.

- 5 -

그리고 정보보호의 생명주기는 어떻게 구성되어 있으며 이 생명주기를 통해서 정보보호 정,

책수립과 정보보호간의 연관관계도 살펴보았다.

제 장에서는 정보보호 정책에 관련된 정책 표준 지침 및 절차에 대한 정의와 예를 들어3 , , ,

각 용어간의 정확한 정의를 내려 정보보호 정책수립 시 용어의 혼용 문제를 살펴보았다.

또한 정책서 개발 방법에 대해 분석하여 정책서 수립의 개요와 유형을 분류하고 정책서 수

립 시 고려할 요건 내용 및 서술기법을 연구하였고 조직마다 사용하는 정책서의 분류 및,

정책서 수립 전 진행 중 그리고 후에 필요한 고려사항을 연구하였다, .

사례연구를 통해서 작성 양식을 제작하고 양식에 대한 설명과 더불어 예제를 들어 실무자,

들이 손쉽게 정책서를 수립할 수 있도록 연구하였다.

활용에 대한 건의활용에 대한 건의활용에 대한 건의활용에 대한 건의4.4.4.4.

주요정보통신기반시설 관리기관이 정책서를 작성 시 현실적이고 활용성을 높여 소장용,●

이 아닌 실무에 적용할 수 있는 지침을 제공하여 참고자료로 활용할 수 있다.

정보보호에 관련된 실무자 관리자 운영자 및 사용자 모두가 임무수행에 반영할 수 있, ,●

다.

지속적인 업데이트를 통해 급속하게 변해가는 환경에 대응할 수 있게 지원할 수 있다IT .●

정보보호 정책에 대한 교육 자료로도 활용하여 사용할 수 있다.●

정보보호 계획 구현 및 운영관리 단계에 까지 폭넓게 관리기관이 정보보호를 수행할 수,●

있는 지침이 될 것이다.

기대효과기대효과기대효과기대효과5.5.5.5.

관리기관의 임직원이 정보보호 정책에 대한 책임과 의무를 인식하고 이를 토대로 효율적●

이고 체계적인 정보보호 인식을 확산시킬 수 있다.

- 6 -

본 지침을 토대로 관리기관이 자체적으로 정보보호 정책을 효율적으로 수립할 수 있도록●

할 수 있다.

향후 계획향후 계획향후 계획향후 계획6.6.6.6.

정보보호 정책 항목을 지속적으로 개발 발굴하여 업데이트하여 급변하는 환경에 적IT●

응할 수 있도록 지원

정책에서 더 확장된 개념으로 표준 지침 절차 및 운영 매뉴얼까지 그 영역을 확대하여, ,●

백과사전 형식의 지침을 작성하여 관리기관의 환경에 맞는 정보보호관련 문서 작성을 지원

손쉽게 작성할 수 있는 자동화 도구를 개발 예정●

- 7 -

목 차목 차목 차목 차< >< >< >< >

정보보호의 개념정보보호의 개념정보보호의 개념정보보호의 개념1.1.1.1.

정보보호의 정의 및 기본목표정보보호의 정의 및 기본목표정보보호의 정의 및 기본목표정보보호의 정의 및 기본목표1.11.11.11.1

기밀성기밀성기밀성기밀성1.1.11.1.11.1.11.1.1

무결성무결성무결성무결성1.1.21.1.21.1.21.1.2

가용성가용성가용성가용성1.1.31.1.31.1.31.1.3

정보보호 기본요소정보보호 기본요소정보보호 기본요소정보보호 기본요소1.21.21.21.2

정보보호 시행상의 오류정보보호 시행상의 오류정보보호 시행상의 오류정보보호 시행상의 오류1.31.31.31.3

정보보호 생명주기정보보호 생명주기정보보호 생명주기정보보호 생명주기2.2.2.2.

정보보호 관리자 관점정보보호 관리자 관점정보보호 관리자 관점정보보호 관리자 관점2.12.12.12.1

개요개요개요개요2.1.12.1.12.1.12.1.1

정보보호 관리의 개념정보보호 관리의 개념정보보호 관리의 개념정보보호 관리의 개념2.1.22.1.22.1.22.1.2

접근 방식접근 방식접근 방식접근 방식2.1.2.12.1.2.12.1.2.12.1.2.1

목표 전략 정책목표 전략 정책목표 전략 정책목표 전략 정책2.1.2.2 , ,2.1.2.2 , ,2.1.2.2 , ,2.1.2.2 , ,

정보보호 요소정보보호 요소정보보호 요소정보보호 요소2.1.32.1.32.1.32.1.3

자산자산자산자산2.1.3.12.1.3.12.1.3.12.1.3.1

위협위협위협위협2.1.3.22.1.3.22.1.3.22.1.3.2

취약성취약성취약성취약성2.1.3.32.1.3.32.1.3.32.1.3.3

영향영향영향영향2.1.3.42.1.3.42.1.3.42.1.3.4

위험위험위험위험2.1.3.52.1.3.52.1.3.52.1.3.5

대책대책대책대책2.1.3.62.1.3.62.1.3.62.1.3.6

잔류 위험잔류 위험잔류 위험잔류 위험2.1.3.72.1.3.72.1.3.72.1.3.7

제약 사항제약 사항제약 사항제약 사항2.1.3.82.1.3.82.1.3.82.1.3.8

정보보호 관리 프로세스정보보호 관리 프로세스정보보호 관리 프로세스정보보호 관리 프로세스2.1.42.1.42.1.42.1.4

형상관리형상관리형상관리형상관리2.1.4.12.1.4.12.1.4.12.1.4.1

변화 관리변화 관리변화 관리변화 관리2.1.4.22.1.4.22.1.4.22.1.4.2

위험 관리위험 관리위험 관리위험 관리2.1.4.32.1.4.32.1.4.32.1.4.3

- 8 -

위험 분석위험 분석위험 분석위험 분석2.1.4.42.1.4.42.1.4.42.1.4.4

책임추적성책임추적성책임추적성책임추적성2.1.4.52.1.4.52.1.4.52.1.4.5

정보보호 인식정보보호 인식정보보호 인식정보보호 인식2.1.4.62.1.4.62.1.4.62.1.4.6

모니터링모니터링모니터링모니터링2.1.4.72.1.4.72.1.4.72.1.4.7

비상계획과 재난복구비상계획과 재난복구비상계획과 재난복구비상계획과 재난복구2.1.4.82.1.4.82.1.4.82.1.4.8

시스템 관리자 관점시스템 관리자 관점시스템 관리자 관점시스템 관리자 관점2.22.22.22.2

정보보호 정책정보보호 정책정보보호 정책정보보호 정책2.2.1 IT2.2.1 IT2.2.1 IT2.2.1 IT

목표목표목표목표2.2.1.12.2.1.12.2.1.12.2.1.1

경영진 참여경영진 참여경영진 참여경영진 참여2.2.1.22.2.1.22.2.1.22.2.1.2

정책 관계정책 관계정책 관계정책 관계2.2.1.32.2.1.32.2.1.32.2.1.3

정보보호 정책요소정보보호 정책요소정보보호 정책요소정보보호 정책요소2.2.1.4 IT2.2.1.4 IT2.2.1.4 IT2.2.1.4 IT

정보보호의 조직적 측면정보보호의 조직적 측면정보보호의 조직적 측면정보보호의 조직적 측면2.2.2 IT2.2.2 IT2.2.2 IT2.2.2 IT

역할과 책임역할과 책임역할과 책임역할과 책임2.2.2.12.2.2.12.2.2.12.2.2.1

참여참여참여참여2.2.2.22.2.2.22.2.2.22.2.2.2

일관된 접근일관된 접근일관된 접근일관된 접근2.2.2.32.2.2.32.2.2.32.2.2.3

위험 분석 전략의 선택위험 분석 전략의 선택위험 분석 전략의 선택위험 분석 전략의 선택2.2.32.2.32.2.32.2.3

기준선 접근기준선 접근기준선 접근기준선 접근2.2.3.12.2.3.12.2.3.12.2.3.1

비공식적 접근비공식적 접근비공식적 접근비공식적 접근2.2.3.22.2.3.22.2.3.22.2.3.2

세부적 위험 분석세부적 위험 분석세부적 위험 분석세부적 위험 분석2.2.3.32.2.3.32.2.3.32.2.3.3

조합적 접근조합적 접근조합적 접근조합적 접근2.2.3.42.2.3.42.2.3.42.2.3.4

정보보호 권고안정보보호 권고안정보보호 권고안정보보호 권고안2.2.4 IT2.2.4 IT2.2.4 IT2.2.4 IT

대책의 선택대책의 선택대책의 선택대책의 선택2.2.4.12.2.4.12.2.4.12.2.4.1

위험 허용위험 허용위험 허용위험 허용2.2.4.22.2.4.22.2.4.22.2.4.2

시스템 정보보호 정책시스템 정보보호 정책시스템 정보보호 정책시스템 정보보호 정책2.2.5 IT2.2.5 IT2.2.5 IT2.2.5 IT

정보보호 계획정보보호 계획정보보호 계획정보보호 계획2.2.6 IT2.2.6 IT2.2.6 IT2.2.6 IT

대책 구현대책 구현대책 구현대책 구현2.2.72.2.72.2.72.2.7

정보보호 인식정보보호 인식정보보호 인식정보보호 인식2.2.82.2.82.2.82.2.8

후속조치후속조치후속조치후속조치2.2.92.2.92.2.92.2.9

유지보수유지보수유지보수유지보수2.2.9.12.2.9.12.2.9.12.2.9.1

정보보호 준수정보보호 준수정보보호 준수정보보호 준수2.2.9.22.2.9.22.2.9.22.2.9.2

- 9 -


사고 처리사고 처리사고 처리사고 처리2.2.9.42.2.9.42.2.9.42.2.9.4

실무자 관점실무자 관점실무자 관점실무자 관점2.32.32.32.3

정보보호 목표 전략 정책정보보호 목표 전략 정책정보보호 목표 전략 정책정보보호 목표 전략 정책2.3.1 , ,2.3.1 , ,2.3.1 , ,2.3.1 , ,

정보보호 목표 및 전략정보보호 목표 및 전략정보보호 목표 및 전략정보보호 목표 및 전략2.3.1.12.3.1.12.3.1.12.3.1.1

정보보호 정책정보보호 정책정보보호 정책정보보호 정책2.3.1.2 IT2.3.1.2 IT2.3.1.2 IT2.3.1.2 IT

위험 분석 전략 선택위험 분석 전략 선택위험 분석 전략 선택위험 분석 전략 선택2.3.22.3.22.3.22.3.2


비공식 접근비공식 접근비공식 접근비공식 접근2.3.2.22.3.2.22.3.2.22.3.2.2



조합적 접근조합적 접근조합적 접근조합적 접근2.3.32.3.32.3.32.3.3

상위 수준의 위험 분석상위 수준의 위험 분석상위 수준의 위험 분석상위 수준의 위험 분석2.3.3.12.3.3.12.3.3.12.3.3.1



대책 선정대책 선정대책 선정대책 선정2.3.3.42.3.3.42.3.3.42.3.3.4

위험 수용위험 수용위험 수용위험 수용2.3.3.52.3.3.52.3.3.52.3.3.5

시스템 정보보호 정책시스템 정보보호 정책시스템 정보보호 정책시스템 정보보호 정책2.3.3.6 IT2.3.3.6 IT2.3.3.6 IT2.3.3.6 IT

정보보호 계획정보보호 계획정보보호 계획정보보호 계획2.3.3.7 IT2.3.3.7 IT2.3.3.7 IT2.3.3.7 IT

정보보호 계획의 구현정보보호 계획의 구현정보보호 계획의 구현정보보호 계획의 구현2.3.4 IT2.3.4 IT2.3.4 IT2.3.4 IT

대책의 구현대책의 구현대책의 구현대책의 구현2.3.4.12.3.4.12.3.4.12.3.4.1


정보보호 훈련정보보호 훈련정보보호 훈련정보보호 훈련2.3.4.32.3.4.32.3.4.32.3.4.3

시스템 승인시스템 승인시스템 승인시스템 승인2.3.4.4 IT2.3.4.4 IT2.3.4.4 IT2.3.4.4 IT



정보보호 준수 점검정보보호 준수 점검정보보호 준수 점검정보보호 준수 점검2.3.5.22.3.5.22.3.5.22.3.5.2



사고처리사고처리사고처리사고처리2.3.5.52.3.5.52.3.5.52.3.5.5

- 10 -

정보보호 정책서 개발정보보호 정책서 개발정보보호 정책서 개발정보보호 정책서 개발3.3.3.3.

정보보호 정책의 정의 및 분류정보보호 정책의 정의 및 분류정보보호 정책의 정의 및 분류정보보호 정책의 정의 및 분류3.13.13.13.1

정책 정의 및 분류정책 정의 및 분류정책 정의 및 분류정책 정의 및 분류3.1.13.1.13.1.13.1.1

정책정책정책정책3.1.1.13.1.1.13.1.1.13.1.1.1

표준표준표준표준3.1.1.23.1.1.23.1.1.23.1.1.2

지침지침지침지침3.1.1.33.1.1.33.1.1.33.1.1.3

절차절차절차절차3.1.1.43.1.1.43.1.1.43.1.1.4

예제예제예제예제3.1.23.1.23.1.23.1.2

정책정책정책정책3.1.2.1 (Policy)3.1.2.1 (Policy)3.1.2.1 (Policy)3.1.2.1 (Policy)

표준표준표준표준3.1.2.2 (Standard)3.1.2.2 (Standard)3.1.2.2 (Standard)3.1.2.2 (Standard)

지침지침지침지침3.1.2.3 (Guideline)3.1.2.3 (Guideline)3.1.2.3 (Guideline)3.1.2.3 (Guideline)

절차절차절차절차3.1.2.4 (Procedure)3.1.2.4 (Procedure)3.1.2.4 (Procedure)3.1.2.4 (Procedure)

정보보호 정책수립의 개요정보보호 정책수립의 개요정보보호 정책수립의 개요정보보호 정책수립의 개요3.23.23.23.2

정보보호 정책의 필요성정보보호 정책의 필요성정보보호 정책의 필요성정보보호 정책의 필요성3.2.13.2.13.2.13.2.1

정보보호 정책의 문서화정보보호 정책의 문서화정보보호 정책의 문서화정보보호 정책의 문서화3.2.23.2.23.2.23.2.2

문서화의 내용문서화의 내용문서화의 내용문서화의 내용3.2.2.13.2.2.13.2.2.13.2.2.1

정책 개발전의 고려사항정책 개발전의 고려사항정책 개발전의 고려사항정책 개발전의 고려사항3.2.33.2.33.2.33.2.3

초기에 언급해야 할 요소초기에 언급해야 할 요소초기에 언급해야 할 요소초기에 언급해야 할 요소3.2.3.13.2.3.13.2.3.13.2.3.1

정책서 수립시 고려요소정책서 수립시 고려요소정책서 수립시 고려요소정책서 수립시 고려요소3.2.3.23.2.3.23.2.3.23.2.3.2

정책개발 시기정책개발 시기정책개발 시기정책개발 시기3.2.3.33.2.3.33.2.3.33.2.3.3

관련 자료의 수집관련 자료의 수집관련 자료의 수집관련 자료의 수집3.2.3.43.2.3.43.2.3.43.2.3.4

정책의 프레임 정의정책의 프레임 정의정책의 프레임 정의정책의 프레임 정의3.2.3.53.2.3.53.2.3.53.2.3.5

정책 수립 비용정책 수립 비용정책 수립 비용정책 수립 비용3.2.3.63.2.3.63.2.3.63.2.3.6

정보보호 정책 수립 팀 구성정보보호 정책 수립 팀 구성정보보호 정책 수립 팀 구성정보보호 정책 수립 팀 구성3.2.3.73.2.3.73.2.3.73.2.3.7

정책 개발중의 고려사항정책 개발중의 고려사항정책 개발중의 고려사항정책 개발중의 고려사항3.2.43.2.43.2.43.2.4

적용 매트릭스 의 준비적용 매트릭스 의 준비적용 매트릭스 의 준비적용 매트릭스 의 준비3.2.4.1 (Coverage Matrix)3.2.4.1 (Coverage Matrix)3.2.4.1 (Coverage Matrix)3.2.4.1 (Coverage Matrix)

법규 및 윤리법규 및 윤리법규 및 윤리법규 및 윤리3.2.4.23.2.4.23.2.4.23.2.4.2

조직의 적절한 정책 분량조직의 적절한 정책 분량조직의 적절한 정책 분량조직의 적절한 정책 분량3.2.4.33.2.4.33.2.4.33.2.4.3

정보보호 수행 기간 결정정보보호 수행 기간 결정정보보호 수행 기간 결정정보보호 수행 기간 결정3.2.4.43.2.4.43.2.4.43.2.4.4

- 11 -

정책서의 유형선정정책서의 유형선정정책서의 유형선정정책서의 유형선정3.2.4.53.2.4.53.2.4.53.2.4.5

정책서에 포함될 내용정책서에 포함될 내용정책서에 포함될 내용정책서에 포함될 내용3.2.4.63.2.4.63.2.4.63.2.4.6

정책서 수립시 서술기법정책서 수립시 서술기법정책서 수립시 서술기법정책서 수립시 서술기법3.2.4.73.2.4.73.2.4.73.2.4.7

정보보호 조직의 구성 및 책임과 역할정보보호 조직의 구성 및 책임과 역할정보보호 조직의 구성 및 책임과 역할정보보호 조직의 구성 및 책임과 역할3.2.4.83.2.4.83.2.4.83.2.4.8

정책 개발후의 고려사항정책 개발후의 고려사항정책 개발후의 고려사항정책 개발후의 고려사항3.2.53.2.53.2.53.2.5

효과적인 검토 인준 시행 과정의 구축효과적인 검토 인준 시행 과정의 구축효과적인 검토 인준 시행 과정의 구축효과적인 검토 인준 시행 과정의 구축3.2.5.1 , ,3.2.5.1 , ,3.2.5.1 , ,3.2.5.1 , ,

정책의 해석 및 배포정책의 해석 및 배포정책의 해석 및 배포정책의 해석 및 배포3.2.5.23.2.5.23.2.5.23.2.5.2

교육 및 훈련교육 및 훈련교육 및 훈련교육 및 훈련3.2.5.33.2.5.33.2.5.33.2.5.3

정책 위반정책 위반정책 위반정책 위반3.2.5.43.2.5.43.2.5.43.2.5.4

정책 위반시 조치사항정책 위반시 조치사항정책 위반시 조치사항정책 위반시 조치사항3.2.5.53.2.5.53.2.5.53.2.5.5

내부 사용자의 정책 위반시 조치사항내부 사용자의 정책 위반시 조치사항내부 사용자의 정책 위반시 조치사항내부 사용자의 정책 위반시 조치사항3.2.5.63.2.5.63.2.5.63.2.5.6

정책의 재검토와 평가정책의 재검토와 평가정책의 재검토와 평가정책의 재검토와 평가3.2.5.73.2.5.73.2.5.73.2.5.7

정보보호 정책서의 분류 및 예제정보보호 정책서의 분류 및 예제정보보호 정책서의 분류 및 예제정보보호 정책서의 분류 및 예제3.2.63.2.63.2.63.2.6

결 론결 론결 론결 론4.4.4.4.

참고문헌참고문헌참고문헌참고문헌

부록부록부록부록

- 12 -

그 림 목 차그 림 목 차그 림 목 차그 림 목 차< >< >< >< >

그림 정보보호관리 과정그림 정보보호관리 과정그림 정보보호관리 과정그림 정보보호관리 과정[ 2-1][ 2-1][ 2-1][ 2-1]

그림 위험관리그림 위험관리그림 위험관리그림 위험관리[ 2-2][ 2-2][ 2-2][ 2-2]

그림 위협의 유형그림 위협의 유형그림 위협의 유형그림 위협의 유형[ 2-3][ 2-3][ 2-3][ 2-3]

그림 정보보호 관리 측면그림 정보보호 관리 측면그림 정보보호 관리 측면그림 정보보호 관리 측면[ 2-4] IT[ 2-4] IT[ 2-4] IT[ 2-4] IT

그림 위험관리 관계도그림 위험관리 관계도그림 위험관리 관계도그림 위험관리 관계도[ 2-5][ 2-5][ 2-5][ 2-5]

그림 정책 관계그림 정책 관계그림 정책 관계그림 정책 관계[ 2-6][ 2-6][ 2-6][ 2-6]

그림 세부적 위험분석을 포함한 위험관리그림 세부적 위험분석을 포함한 위험관리그림 세부적 위험분석을 포함한 위험관리그림 세부적 위험분석을 포함한 위험관리[ 2-7][ 2-7][ 2-7][ 2-7]

- 13 -

정보보호의 개념정보보호의 개념정보보호의 개념정보보호의 개념1.1.1.1.

정보보호의 정의 및 기본목표정보보호의 정의 및 기본목표정보보호의 정의 및 기본목표정보보호의 정의 및 기본목표1.11.11.11.1

정보란 컴퓨터에 의해 가공 처리 저장되는 데이터뿐만 아니라 이들 데이터로부터 유추해, , ,

낸 자료들로 정의한다 정보보호는 이러한 유형 무형 정보들을 내부 또는 외부의 위협으로. ,

부터 보호하는 것을 말한다.

정보보호에 대한 요구사항은 처리 대상인 정보의 속성에 따라 다양할 수 있지만 크게 기밀

성 무결성 가용성 의 세가지로 구분된다 이러한 요(Confidentiality), (Integrity), (Availability) .

구사항은 정보보호의 속성일 뿐만 아니라 정보보호의 기본적인 목표이기도 하다 정보보호.

의 기본적인 목표는 내부 또는 외부의 침입자에 의해 행해지는 각종 정보의 파괴 변조 및,

유출 등과 같은 정보 범죄로부터 중요한 정보를 보호하는 것이다 .

기밀성기밀성기밀성기밀성1.1.11.1.11.1.11.1.1

기밀성은 정보의 소유자가 원하는 대로 정보의 비밀이 유지되어야 한다는 원칙이다 정보는.

소유자의 인가를 받은 사람만이 접근할 수 있어야 하며 인가되지 않은 정보의 공개는 반드,

시 금지되어야 한다 기밀자료는 비밀성이 노출되지 않도록 반드시 인가된 자에 의해서만.

접근이 가능해야 한다.

무결성무결성무결성무결성1.1.21.1.21.1.21.1.2

무결성이란 비인가된 자에 의한 정보의 변경 삭제 생성 등으로부터 보호하여 정보의 정확, ,

성 완전성이 보장되어야 하는 원칙이다 즉 정보는 항상 정확성을 일정하게 유지하여야 하, . ,

며 인가 받은 방법에 의해서만 변경되어야 한다 무결성을 보장하기 위한 정책에는 정보 변, .

경에 대한 통제뿐만 아니라 오류나 태만 등으로부터의 예방도 포함되어야 한다.

- 14 -

즉 정보는 의도적이든 우발적이든 간에 허가없이 변경되어서는 안된다, , .

가용성가용성가용성가용성1.1.31.1.31.1.31.1.3

정보시스템은 적절한 방법으로 작동되어야 하며 정당한 방법으로 권한이 주어진 사용자에,

게 정보 서비스를 거부하여서는 안된다는 것이 가용성이다 사용자가 소유하고 있는 정보를.

적시에 적절하게 사용할 수 없다면 그 정보는 이미 소유의 의미를 잃게 되거나 정보 자체의

가치를 상실하게 된다 가용성을 확보하기 위한 통제 수단에는 데이터의 백업 중복성의 유. ,

지 물리적 위협 요소로부터의 보호 등이 있다, .

정보보호 기본요소정보보호 기본요소정보보호 기본요소정보보호 기본요소1.21.21.21.2

정보보호를 성공적으로 이루기 위해선 기본적으로 고려해야 되는 부분들이 있다 일반적으.

로 정보보호는 개의 기본요소에 기반을 두고 있다9 .

정보보호는 조직의 임무를 지원정보보호는 조직의 임무를 지원정보보호는 조직의 임무를 지원정보보호는 조직의 임무를 지원2.2.12.2.12.2.12.2.1

정보보호의 목적은 회사의 자원 예를 들면 정보 하드웨어 및 소프트웨어 등을 보호하기, , ,

위한 것이다 적절한 보호 장비의 선택과 적용을 통하여 보안은 물리적 재정적 지원 명성. , , ,

법적 지위 고용인 유형 무형의 재산을 보호함으로써 조직의 임무를 원활히 수행토록 한다, , , .

그렇지만 불행하게도 보안은 잘못된 선택과 사용자 관리자 그리고 시스템에 귀찮은 규칙과, ,

절차로 인하여 때로는 조직의 업무 성취를 방해하는 것으로 보이기도 한다 반면 잘 선택한. ,

정보보호 규칙과 절차는 중요한 자산을 보호하는 역할을 담당하게 되고 조직 전체의 임무,

를 지원하게 된다.

보안은 조직의 목표달성을 위한 수단이지 보안 그 자체가 목표는 아니다.

- 15 -

따라서 보안은 조직의 이익과 능력을 향상시키는 방향으로 구성되어야만 한다 공공기관의.

보안도 시민에게 제공하여야 할 최우선의 서비스가 아니라 시민에게 제공하는 서비스를 향

상시키는데 도움이 되어야 한다.

이것을 수행하기 위해서 관리자는 그들 조직의 임무를 잘 파악하고 각 정보 시스템이 어떻

게 그 임무를 지원하는가를 이해해야만 한다 시스템의 역할이 정의된 이후에야 그 역할에.

대한 보안 요구사항이 정의될 수 있다.

정보보호는 조직경영 관리를 위한 필수요소정보보호는 조직경영 관리를 위한 필수요소정보보호는 조직경영 관리를 위한 필수요소정보보호는 조직경영 관리를 위한 필수요소◆◆◆◆

정보와 컴퓨터 시스템은 조직의 임무를 지원하는 결정적인 자산이다 그 자산을 보호하는.

것은 돈이나 물리적 자산 종업원과 같은 조직의 다른 자원을 보호하는 만큼이나 중요할 수,

있다.

그러나 정보 및 컴퓨터 관리에 대한 보호문제를 고려하는 것만으로는 이들 자산의 피해 가

능성을 완전히 제거하지는 못한다 궁극적으로 조직의 관리자는 보안 통제의 비용을 고려하.

여 어느 선으로 위험을 받아들일 것인지를 결정해야 한다.

다른 자원들처럼 정보 및 컴퓨터에 대한 관리는 조직의 영역을 넘어설 수도 있다 조직의.

정보와 컴퓨터 시스템이 외부 시스템과 연결될 때 관리자의 책임 역시 조직영역 밖으로까지

확장된다 이것은 관리자가 외부 시스템에서 적용된 일반적인 보안의 수준이나 형태가 무엇.

인지를 알아야하고 외부 시스템이 조직에서 요구하는 적절한 보안 수준을 제공하는지 확인

할 필요성이 있음을 의미한다.

컴퓨터 보안은 비용대비 효과 고려컴퓨터 보안은 비용대비 효과 고려컴퓨터 보안은 비용대비 효과 고려컴퓨터 보안은 비용대비 효과 고려◆◆◆◆

보안은 금전적인 면과 비금전적인 면 모두에서 소요되는 통제비용이 예상되는 이익보다 초

과되지 않도록 검토되어야 한다 보안은 컴퓨터 시스템에 대한 의존도 가치 잠재적인 위협. , ,

의 심각성 및 발생가능성 등을 고려하고 적절하고 균형있게 이루어져야 한다.

일반적으로 보안은 훌륭한 경영시행의 한 예이다 보안 수단의 투자로 인해 조직은 정보보.

호 관련 손실의 빈도와 정도를 줄일 수 있다.

- 16 -

예를 들면 조직은 컴퓨터 시스템의 부정 조작을 통한 자산상의 연간 손실을 향상된 접근통,

제 시스템과 같은 보안 수단을 사용하면 현저히 줄일 수 있다.

나아가 견고한 정보보호 프로그램은 해커 등의 외부 침입자를 견제할 수 있고 바이러스의

빈도를 줄일 수도 있다 이러한 위협을 없애는 것은 조직의 사기와 생산성을 증가시킬 뿐.

아니라 조직의 신뢰도에 대한 부정적인 영향을 줄일 수 있다.

그러나 정보보호의 장점을 취하기 위해선 직접 비용과 간접비용 모두가 요구된다 직접 비.

용은 접근통제 소프트웨어나 보안 장비의 구입 설치 관리를 포함한다 보안 장비는 시스템, , .

성능 직원의 사기 또는 직원의 재교육 요구사항에 영향을 미칠 수 있다 이러한 모든 것은, .

통제 자체에 드는 기본적인 비용과 함께 고려되어야 한다 이러한 부가적인 비용은 초기 통.

제 비용을 훨씬 초과할 수도 있다.

만약 위험을 방치했을 때 발생되는 손실보다 직 간접적으로 더 많은 비용이 든다면 보안대,

책은 비용대비 효과 면에서 고려되어야 한다.

정보보호에 대한 책임과 책임추적성정보보호에 대한 책임과 책임추적성정보보호에 대한 책임과 책임추적성정보보호에 대한 책임과 책임추적성◆◆◆◆

컴퓨터 시스템의 소유자 공급자 사용자 및 보안에 관련된 직원들의 책임과 책임추적성이, ,

분명해야 한다 책임의 부과는 조직의 내부에서 이루어지나 조직의 밖으로 확장될 수도 있.

다.

조직의 크기에 따라서 프로그램은 심지어 다른 관리자의 부서적 임무까지도 크거나 작아질

수 있다 그러나 작은 조직일자라도 조직의 정책을 서술하고 정보보호 책임을 분명하게 하.

는 문서를 준비할 수 있다 문서상에 각 개인의 의무가 모든 시스템에 대해 반드시 부과되.

어야 한다고 상술할 필요는 없다 예를 들면 정보 전달 시스템은 사용자의 인증을 요구하지. ,

않는다 그렇기 때문에 사용자에게 책임을 물을 방법이 없는 것 이 다. .

조직 외부에 대해서도 보안 책임조직 외부에 대해서도 보안 책임조직 외부에 대해서도 보안 책임조직 외부에 대해서도 보안 책임◆◆◆◆

- 17 -

만약 시스템에 외부 사용자가 있다면 소유자는 그 시스템이 안전하다는 것을 사용자들이,

충분히 확신할 수 있도록 운용하고 있는 보안 장비의 전반적인 범위에 대한 적절한 지식을

사용자들과 공유할 책임을 가진다 이것은 시스템 소유자가 현 시스템의 보안 상태에 대해.

그들의 고객이나 사용자에게 알려주어야 한다는 것을 의미한다.

조직의 관리자는 정보보호에 대한 정보를 공유하는 것 외에도 다른 사람에 대한 피해를 예

방할 수 있도록 시기 적절하고 조화된 방법으로 침해를 막고 대응하여야 한다 그러나 그러.

한 조치들이 시스템의 보호를 위태롭게 해서는 안된다.

정보보호는 포괄적이고 통합된 접근방법이 필요정보보호는 포괄적이고 통합된 접근방법이 필요정보보호는 포괄적이고 통합된 접근방법이 필요정보보호는 포괄적이고 통합된 접근방법이 필요◆◆◆◆

효율적인 컴퓨터 보안은 모든 영역을 고려하는 포괄적인 접근법을 필요로 한다 이러한 포.

괄적인 접근법은 정보의 생명주기 동안 계획해서 이루어져야 한다.

보안통제는 효율적인 수행을 위해 다른 통제의 적절한 기능과 상호 의존관계가 많이 존재한

다 보안통제가 적절하게만 선택된다면 관리적 운영적 기술적 통제가 함께 상승효과를 내. , , ,

지만 보안통제의 상호의존에 대한 확고한 이해가 없다면 각각이 서로를 훼손시킬 수도 있

다 예를 들면 바이러스 검출 패키지를 사용하는 방법과 시기에 대한 적절한 교육 없이는. ,

사용자는 그 패키지를 잘못 사용할 수도 있을 것이고 때문에 비효과적일 수도 있다 그 결.

과 사용자는 시스템이 항상 바이러스에 걸리지 않는다고 잘못 믿음으로써 무심코 바이러스,

를 퍼뜨릴 수도 있다 현실적으로 이들의 상호의존성은 매우 복잡하고 확인하기 어렵다는.

것이 문제이다.

보안통제의 효과는 시스템 관리 법적 문제 품질보증 내부 통제 및 관리 통제와 같은 요인, , ,

에 의해서도 좌우될 수도 있다 컴퓨터 보안은 물리적 보안과 인적 보안을 포함하는 전통적.

인 보안 기능과 함께 시행되는 것이 필요하다 조직이다 시스템 환경에는 독특하고 중요한.

상호의존 관계가 존재하는 것이다.

- 18 -

관리자는 컴퓨터 보안이 어떻게 다른 영역의 시스템과 조직관리에 연계되어 있는가를 잘 인

식해야 한다.

정보보호는 정기적으로 재평가정보보호는 정기적으로 재평가정보보호는 정기적으로 재평가정보보호는 정기적으로 재평가◆◆◆◆

컴퓨터와 그 운영 환경은 동적이다 그래서 시스템 기술과 사용자 시스템내의 데이터와 정. ,

보 시스템과 관련된 위험과 보안 요구는 항상 변화한다 기술의 발전 외부 네트워크와의, . ,

연결 정보의 가치와 사용에 있어서의 변화 또는 새로운 위협의 출현 등 많은 형태의 변화,

가 시스템보안에 영향을 준다.

시스템 사용자와 운영자는 의도적이든 아니든 보안을 우회하거나 파괴하는 새로운 기법을

발견할 수도 있다 또한 시스템이나 환경의 변화는 새로운 취약성을 만들 수 있다 이러한. .

모든 문제들은 정보보호의 재평가를 필요하게 만든다.

정보보호는 타 요소와 조직 문화를 고려정보보호는 타 요소와 조직 문화를 고려정보보호는 타 요소와 조직 문화를 고려정보보호는 타 요소와 조직 문화를 고려◆◆◆◆

조직의 임무를 지원하는 보안 능력은 사회적 쟁점과 같은 다양한 요인에 의해 제한될 수 있

다 보안에 대한 근본 사상은 보안 수단이 다른 사람의 권리와 법적 이익을 보장하는 선에.

서 선택되고 시행되어야 한다는 것이다 이것은 정보 소유자의 보안 필요성과 사회적 목적.

을 가진 사용자와의 균형을 의미한다.

프라이버시는 아주 중요한 사회적 쟁점이지만 그것만이 유일한 것은 아니다 특별히 정부와. ,

시민 사이에서의 정보 흐름은 사회적 목적을 지원하기 위해 보안이 수정될 수도 있는 분야

이다 더구나 망막 검사와 같은 인증 수단은 어떤 환경과 문화 속에서의 권리를 침해 당하.

는 것으로 생각될 수도 있다.

정보보호에 대한 근본 사상은 보안 수단이 다른 사람의 권리와 법적이익을 보장하는 선에서

선택되고 시행되어야 한다는 것이다 이것은 정보 소유자의 정보보호 필요성과 사회적 목적.

을 가진 사용자와의 균형을 의미한다.

- 19 -

그러나 규칙과 기대는 보안통제의 적절한 사용에 대한 시각과 함께 변화한다 이러한 변화.

들은 정보보호를 증진시킬 수도 감소시킬 수도 있다.

그러나 보안과 사회적 규범과의 관계는 꼭 상반되는 것은 아니다 보안은 보다 정확하고 믿.

을 만한 정보를 제공하고 시스템의 가용성을 높임으로써 정보와 데이터의 접근과 흐름을 강

화시킬 수 있다 또한 보안은 개인에게 알맞은 프라이버시를 증가시킬 수도 있으며 사회의.

다른 목적들을 이루는데 도움이 될 수도 있다.

잔여 위험에 대한 이해 필요성잔여 위험에 대한 이해 필요성잔여 위험에 대한 이해 필요성잔여 위험에 대한 이해 필요성◆◆◆◆

모든 다른 경우와 마찬가지로 정보보호에서의 완벽이란 달성 불가능한 경우가 많다 그러나.

어떤 시스템의 정보보호가 아무리 우수하더라도 일정 수준의 위험은 항상 남게 된다 모든.

위험을 완전하게 취급한다는 것은 비용상으로 비현실적이며 기술적으로도 불가능하다 이.

잔여 위험의 크기를 이해하고 가능한 한 이를 계량화하는 것이 중요하다 이런 방식으로 잔.

여 위험이 수용가능한지 또는 잔여위험을 수용 가능한 수준으로 낮추는 데에 추가적인 안전

장치가 요구되는지에 대해 평가할 수 있다 수용 가능한 위험과 수용 불가능한 위험간의 균.

형은 경영 의사결정의 사안에 속한다 따라서 위험의 수용 역시 경영자의 결정에 따라야 한.

다.

모든 경우에 있어 예산과 기술의 제약 조건 내에서 최선의 정보보호를 제공하는 것이 목표,

가 되어야 한다 시스템 또는 환경상의 변화에 의해 이전에 알려지지 않았던 취약성이 발견.

되기도 한다 절차가 엄수되는 경우는 드물며 시간에 따라 절차는 진 부화된다 이러한 모. , .

든 문제로 인하여 정보보호에 대한 재평가가 필요하게 되는 것이다.

정보보호 시행상의 오류정보보호 시행상의 오류정보보호 시행상의 오류정보보호 시행상의 오류1.31.31.31.3

개인이나 조직을 막론하고 정보보호를 위한 시행하면서 다음과 같은 몇 가지의 모순이나 오

류 등을 범하고 있다.

- 20 -

이것 역시 정보보호의 정책수립을 위한 중요한 고려요소임에 틀림없다.

정보보호의 정책수립이 미흡하거나 부재정보보호의 정책수립이 미흡하거나 부재정보보호의 정책수립이 미흡하거나 부재정보보호의 정책수립이 미흡하거나 부재◆◆◆◆

정보보호에도 원칙이 있고 정해진 기준이 있고 절차 등이 있다 정책을 수립하기 위해서는.

원칙과 기준 표준과 지침 정보보호의 각종 모델 국내외적 법규 등 고려하여야 할 요소들, , ,

이 많이 있다 그러나 각 조직은 그 동안 안이하고 소홀하게 정보보호정책을 수립해 왔다. .

정보보호는 적당주의적 사고방식으로는 결코 성공할 수 가 없는 것이다 강력한 정보보호는.

철저한 정책수립이 필요로 한다 그러나 심한 경우에는 정보보호 정책자체를 아예 수립하지.

않는 조직과 기업도 많이 있다 결국 이러한 조직과 기업은 언젠가는 큰 피해를 입을 위험.

에 처해 있게 되는 것이다 정책이 수립되어 있지 않은 조직은 관리통제도 소홀할 수밖에.

없기 때문이다.

정보보호의 관리 통제가 미흡하거나 소홀정보보호의 관리 통제가 미흡하거나 소홀정보보호의 관리 통제가 미흡하거나 소홀정보보호의 관리 통제가 미흡하거나 소홀◆◆◆◆

시스템 구축은 제대로 구축 운영하면서 후속조치가 미흡한 경우가 많다 시스템 구축 후 관.

리 통제를 하지 않거나 다만 형식적 관리를 하는 경우가 많이 있다 또는 정보보호에 작고.

큰 문제가 발생하였을시 근본적인 대책을 취하고 그에 합당한 조치를 취하기보다는 단지 미

봉책만으로 덮어두려 하는 것이다 구축도 중요하지만 운영 역시 중요하며 이를 위한 유지. ,

보수가 중요한 것이다 결국 컴퓨터는 하나의 도구일 뿐 그것을 사용하는 것은 사람이며 정.

보범죄를 시도하고 시행하는 주체는 사람이기 때문에 관리통제가 더욱 중요해지는 것이다.

자산에 대한 위험분석 부재자산에 대한 위험분석 부재자산에 대한 위험분석 부재자산에 대한 위험분석 부재◆◆◆◆

조직이나 기업이 보유하고 있는 자산에 대한 위협이 무엇이며 취약성이 무엇이고 그것이,

어떤 위험에 처해 있는지 또한 조직이나 기업에 어떤 영향을 미칠 것인가를 알고 있지도 못

하고 혹은 알고자 하는 노력조차도 하지 않고 다만 안전하기를 바라는 것은 모순된 행동이

다.

- 21 -

정보자산의 성공적인 보호를 위해서는 당연히 운영중인 시스템에 대한 위험분석을 하여야

할 뿐 아니라 그것도 주기적이고 지속적으로 시행하여야 한다 이것은 마치 사람의 주기적.

인 종합검진 개념과도 같은 것이다 기술의 발달로 인해 수많은 위험분석 기법이 개발되었.

고 자동화 도구도 많이 제품화되어 있기 때문에 그 시행이 그다지 어렵지는 않지만 조직이,

나 기업의 문화적 기술적 환경적 배경에 따라 자동화 도구의 사용이 용이하지 않으므로 조, ,

직에 적합한 위험분석 기법을 시행착오를 거치면서 적합한 기법을 숙지하고 응용하는 것이

바람직하다.

정보의 중요성 구분과 보호수준을 고려하지 않음정보의 중요성 구분과 보호수준을 고려하지 않음정보의 중요성 구분과 보호수준을 고려하지 않음정보의 중요성 구분과 보호수준을 고려하지 않음◆◆◆◆

정보는 그 중요성을 구분하여 등급에 따라 보호정책을 세워야 하고 그에 대한 보호수준도

결정해야 한다 예를 들면 일반정보와 국가의 국방외교정책상의 정보의 보호수준은 당연히. ,

차별화되어야 한다 그럼에도 불구하고 그것을 무시하고 무조건 모든 정보를 다 함께 보호.

하려 하거나 또는 다 같은 수준으로 보호하려 한다는 것은 분명히 불필요한 낭비를 초래하

기 마련이다 공개해도 무관한 정보는 공개하고 꼭 보호해야 할 중요한 정보는 더욱 더 철.

저히 그러고 더욱 높은 수준의 보호를 해야 한다 정보의 가치성 평가와 보호수준의 결정이.

필요하다.

적정대응시기적정대응시기적정대응시기적정대응시기◆◆◆◆

기술적 특성이나 정보범죄의 행태별 특성상 적시 적절한 대응조치를 취하는 것이 중요하다.

옛말에 소 잃고 외양간 고친다 라는 속담과 동일한 개념의 의미로서 새로운 형태의 위험“ ” ,

으로부터 보호대책을 수정 보완하지 않고 방치하여 동일한 형태의 위험에 재노출되는 경우

가 많고 침해사고 발생시 대처요령이나 절차 등이 부재하여 방지할 수 있는 사건들을 놓치

는 경우가 있다.

내부자의 범행에 대한 대응 소홀내부자의 범행에 대한 대응 소홀내부자의 범행에 대한 대응 소홀내부자의 범행에 대한 대응 소홀◆◆◆◆

- 22 -

국내외의 여러 침해사고에 관련된 통계자료에 의하면 내부자의 소행이 전체의 넘게 발80%

생했음에도 불구하고 정보보호 관리자나 해당 관련자의 초점은 오직 외부자의 범행 방지에

만 집중되어 있고 내부에서 외부로의 범행도 관심을 기울이지 않고 있다 따라서 내부자에.

대한 강력한 통제가 더욱 더 필요하다.

정보보호의 발전을 위한 저해요소의 인식이 부족정보보호의 발전을 위한 저해요소의 인식이 부족정보보호의 발전을 위한 저해요소의 인식이 부족정보보호의 발전을 위한 저해요소의 인식이 부족◆◆◆◆

▶ 진정한 의미의 정보보호 기술의 전문가가 부족하다.

▶ 독창적 정보보호 기술 및 관리 기법 개발이 부족하다.

▶ 새로운 정보범죄에 대한 적시 적절한 사법 대응이 미흡하다.

정보보호차원의 국익보호를 위한 국제적 참여 활동이 부족하다.▶

표준 및 기준 등의 재정활동 각종 정보보호 위원회의 등의 의결활동, , OECD■

정보보호를 위한 투자비율이 부족하다.▶

정보보호 및 윤리의식 강화를 위한 교육 훈련이 부족하다.▶

시스템 운영의 확인 감독 감사 활동이 부족하다 또한 제도적으로도 미흡하다, , . .▶

- 23 -

정보보호 생명주기정보보호 생명주기정보보호 생명주기정보보호 생명주기2.2.2.2.

정보는 적절한 수준의 기밀성 무결성 가용성 등의 기능을 가지고 있어야 한다 그러나 예, , .

기치 못한 위험에 의해 그 가치가 파괴되거나 손실되는 경우가 종종 발생하여 엄청난 경제

적 손실은 물론 조직의 이미지 등을 손상시킨다 이로 인하여 위험에 대한 보호대책을 세우. ,

고 위험을 감소하기 위한 업무를 진행하면서 문제점을 다시 발견하고 수정 보완하는 과정들

이 필요하다 이러한 과정을 정보보호 생명주기 라하며 정보보호 정책서 역시 정. (life cycle) , ,

보보호 생명주기에 의해 많은 영향을 받으므로 정보보호 생명주기를 연구하면서 정책서의

생명주기를 분석할 필요가 있다 이를 위해 및 을 참조하여. ISO/IEC TR 13335 Part 1, 2 3

본 정보보호 생명주기를 작성하였다.

정보보호의 생명주기는 이러한 일련의 과정을 수없이 반복하면서 효율적이고 적절한 대책을

마련하고 환경변화에 의해 변경된 새로운 문제점과 기본의 문제점들을 체계적이고 합리적으

로 대처할 수 있다.

이러한 정보보호 생명주기는 기관이나 조직의 각기 계층별로 고려해야 할 관점이 각각 다르

다 즉 정보보호 관리자가 고려해야 할 관점은 숲을 보는 것과 같고 시스템 관리자는 숲을. ,

이루고 있는 나무를 보는 것이고 실무자는 나무를 구성하는 잎 등을 고려하는 것과 같다.

이를 크게 다음과 같이 분류할 수 있다.

정보보호 관리자의 관점에서는 정보보호 관리를 설명하기 위해 사용되는 기본적인 개념 및

모델에 대한 내용에 대해 인식하고 있어야 하고 은 정보보호를 책임지는 관리자들과 조2.1

직의 전반적인 정보보호 프로그램을 책임지고 있는 관리자에게 적합하다 고위 경영층을 대.

상으로 정보기술 보안관리에 관한 기본적인 보안 개념과 모델 과정을 소개하기 위한 목적,

으로 설명이 되어 있다 정보보호 관리는 정보와 정보기술 서비스로부터 적절한 수준의 비.

밀성 무결성 가용성을 달성하고 유지하기 위한 하나의 과정으로 정의하고 있다, , .

- 24 -

즉 정보보호 관리는 조직 내 정보보안 환경을 설계 구축 운영 감시하는 활동으로 구성된, , , ,

생명주기를 기획 관리하는 과정이라고 할 수 있다 특기할 만한 점은 정보보호 관리를 위해, .

서 시스템적인 접근방법을 제시하고 있다 이를 위해서는 우선적으로 조직 상부계층에서 시.

스템 계층까지 여러 수준에 적합한 보안 목표 전략 정책을 개발해야 하며 주기적인 보안, , ,

검토의 결과와 비즈니스 목표의 변화 등을 반영하여 지속적으로 갱신해야 한다.

는 시스템의 설계 구현 시험 조달 운영을 감독 및 책임지고 있는 시스템 관리자 혹은2.2 , , , , ,

시스템을 실제로 사용하는 활동에 대한 책임있는 관리자 등에 적합한 내용이다 정보보호.

관리기능 및 과정을 소개하고 있으며 정보보호 정책의 계층적 구조와 담당 조직의 역할을

기술하고 있다 또한 조직 내에 비용 효과적인 정보보호를 구축하기 위해 정보보호계획수립.

을 강조하고 있다 또한 아래 그림과 같이 정보보호관리 과정을 기술하고 있다. .

그림 정보보호관리 과정그림 정보보호관리 과정그림 정보보호관리 과정그림 정보보호관리 과정[ 2-1][ 2-1][ 2-1][ 2-1]

출처 정보기술 보안관리 지침 표준화 동향 중앙대 김정덕 정보보호뉴스: “ ISO ”, , 2002.

11

- 25 -

은 계획 설계 구현 시험 습득 또는 운영과 같은 프로젝트주기 동안 관리활동에 개입된2.3 , , , ,

사람들이 활용할 수 있는 내용이다 에서 제시한 정보보호관 리 과정에서 사용될 수 있는. 2.2

구체적 기법 및 방법을 제시하여 주고 있다 특히 정보보호관리 과정에서 중요한 위험관리와

위험분석에 대해 상세하게 기술하고 있다 일반적인 위험관리 과정을 소개하고 있어 구체적.

인 위험관리 방법론의 개발 또는 선정 시 기본적인 프레임워크로서 활용될 수 있다 상세.

위험분석 과정은 우선 보호 대상인 정보자산의 가치와 상호의존도를 파악하고 자산에 손해

를 미칠 수 있는 위협의 유형을 파악하여 이의 강도와 빈도를 측정하는 위협분석을 수행하

며 동시에 자산이 보유하고 있는 취약성을 평가하는 과정을 포함하고 있다 이를 통해 자산.

의 가치와 위협 및 취약성 평가의 결과를 토대로 위험을 측정 평가하는 과정으로 구성되어,

있다.

그림 위험관리그림 위험관리그림 위험관리그림 위험관리[ 2-2][ 2-2][ 2-2][ 2-2]

출처 정보기술 보안관리 지침 표준화 동향 중앙대 김정덕 정보보호뉴스: "ISO " , , 2002.

11

- 26 -

정보보호 관리자 관점정보보호 관리자 관점정보보호 관리자 관점정보보호 관리자 관점2.12.12.12.1

개요개요개요개요2.1.12.1.12.1.12.1.1

정부와 관리기관은 사업 활동을 수행하기 위해 정보 이용에 크게 의존한다 정보와 서비스.

의 비밀성 무결성 가용성 책임추적성 진정성 신뢰성 상실은 기관에 해가 될 수 있다 결, , , , , .

론적으로 기관내에서 정보보호와 정보기술 시스템 정보보호 관리의 필요성이 절실하다(IT) .

대다수 조직이 대내외적으로 시스템 네트워크에 연결되어있기 때문에 오늘날의 환경에IT

서는 정보보호를 위한 이러한 요건이 특히 중요하다.

정보보호 생명주기는 적절한 수준의 비밀성 무결성 가용성 책임추적성 진정성 신뢰성을, , , , ,

실현 유지하기 위한 프로세스이다 기능에는 다음이 포함된다, . .

조직의 정보보호 목표 전략 정책 결정, ,◆

조직의 정보보호 요건 결정◆

조직내 자산에 대한 정보보호 위협요소 식별 및 분석◆

위험의 식별 및 분석◆

적절한 대책의 규정◆

조직 내에서 비용 효율적으로 정보 서비스를 보호하는 데 필요한 대책의 실행 운영 모, ,◆

니터링

정보보호 인식 프로그램의 개발 실행,◆

사고의 감지 대응,◆

시스템에 대한 이러한 관리 책임을 수행하기 위해서 정보보호는 조직의 전반적인 관리 계획

에 절대적으로 필요한 부분이다.

정보보호 관리의 개념정보보호 관리의 개념정보보호 관리의 개념정보보호 관리의 개념2.1.22.1.22.1.22.1.2

- 27 -

문화와 환경은 정보보호에 대한 전체적인 접근 방식에 큰 영향을 미치기 때문에 조직이 운

영되는 문화와 환경을 고려해야 한다 또한 문화와 환경은 조직의 특정 부분에 대한 보호를.

책임지는 사람들에게도 영향을 미친다 어떤 경우는 정부가 그 책임자가 될 수 있으며 정부.

는 법률의 집행을 통해 이러한 의무를 이행한다 기관의 소유자나 관리자가 책임자가 될 수.

도 있다 이러한 문제는 접근 방식의 채택에 지대한 영향을 미친다. .

접근 방식접근 방식접근 방식접근 방식2.1.2.12.1.2.12.1.2.12.1.2.1

조직 내 정보보호 요건을 식별하려면 체계적인 접근 방식이 필요하다 이는 또한 정보보호.

의 구현과 관리에도 적용된다 이 프로세스를 정보보호 생명주기라 하고 다음 활동을 포함.

한다.

정보보호 정책 개발◆

조직내 역할과 책임의 확인◆

다음 사항의 식별 평가를 포함하는 위험 관리,◆

보호해야 할 자산 위협 취약성 영향 위험 대책 잔류 위험 제약, , , , , , , ,■

형상 관리◆

변화 관리◆

비상 계획 및 재난 복구 관리◆

대책 선택 및 구현◆

정보보호 인식◆

다음 사항을 포함한 후속조치◆

유지보수 정보보호 감사 모니터링 검토 사고 처리, , , ,■

목표 전략 정책목표 전략 정책목표 전략 정책목표 전략 정책2.1.2.2 , ,2.1.2.2 , ,2.1.2.2 , ,2.1.2.2 , ,

조직내의 효율적인 정보보호를 위한 기반으로 기관의 정보보호 목표 전략 정책을 공식화할, ,

필요가 있다 이것은 조직의 사업을 지원하는 동시에 모든 대책간의 일관성을 보장한다. .

- 28 -

목표란 무엇을 달성해야 하는가를 식별하고 전략이란 이 목표를 달성하기 위한 방법 정책, ,

이란 실행해야 할 사항을 말한다.

목표 전략 정책은 조직의 운영 차원에 이르기까지 조직적으로 발전될 수 있다 목표 전략, , . , ,

정책에는 조직의 요건이 반영되어야 하고 조직의 제약 사항을 고려 각 단계별 전체 차원의, ,

일관성 유지가 보장되어야 한다 정보보호는 조직 내 모든 관리 차원의 책임이며 시스템 생.

명주기의 모든 단계에서 발생한다 목표 전략 정책은 정기적인 정보보호 검토 즉 위험 관. , , ( ,

리 정보보호 감사 결과와 사업 목표의 변화를 기초로 유지 갱신되어야 한다, ) ,

◆ 정보보호 정책정보보호 정책정보보호 정책정보보호 정책 본질적으로 조직 전체 차원의 정보보호 원칙과 지침으로 구성되어야 한:

다 정보보호 정책에는 개인의 권리 법적 요건 기준에 대한 정책을 포함한 좀더 광범위한. , ,

정책이 반영되어야 한다.

◆ 정보보호 정책정보보호 정책정보보호 정책정보보호 정책ITITITIT 정보보호 정책에 적용되는 필수적인 원칙과 지침 조직 내 시스: , IT

템의 일반적인 사용이 반영되어야 한다.

◆ 시스템 정보보호 정책시스템 정보보호 정책시스템 정보보호 정책시스템 정보보호 정책ITITITIT 정보보호 정책에 포함된 정보보호 원칙과 지침이 반영되: IT

어야 한다 또한 특정한 정보보호 요건과 대책 구현의 세부 사항 적절한 정보보호를 보장하. ,

기 위한 이들 사항의 활용을 포함해야 한다 모든 경우에 있어서 취해진 접근 방식이 조직.

의 사업상 필요와 관련하여 효율적이어야 함이 중요하다.

정보보호 목표 전략 정책은 시스템의 정보보호 관점에서 기대할 수 있는 것을 표현하는 것, ,

이다 여기서는 비밀성 무결성 가용성 책임추적성 진정성 및 신리성과 같은 정보보호. , , , , IT

주제를 다루어야한다 목표 전략 정책을 통해 조직의 정보보호 수준 한계 위험 허용 조직. , , , , ,

의 비상계획 요건을 정한다.

정보보호 요소정보보호 요소정보보호 요소정보보호 요소2.1.32.1.32.1.32.1.3

다음은 정보보호 생명주기와 관련한 주된 요소들을 높은 수준에서 설명한다.

- 29 -

각 요소들을 소개하고 기여하는 요인을 식별한다 이들 요소 및 요소간 관계에 대한 좀더.

상세한 설명은 다른 계층별도 상세하게 설명한다.

자산자산자산자산2.1.3.12.1.3.12.1.3.12.1.3.1

자산의 적절한 관리는 조직의 성공에 매우 중요하며 관리 등급 전체의 주요 책임이다 조직.

의 자산에는 다음이 포함된다.

물리적 자산 컴퓨터 하드웨어 통신 설비 건물 등( , , )◆

정보 데이터 서류 데이터베이스 등/ ( , )◆

소프트웨어 프로그램 등( )◆

제품 생산 서비스 제공 능력,◆

사람◆

무형 자산 신용 기관 이미지( , )◆

이러한 자산의 대부분은 일정 정도의 보호 가치가 충분한 것으로 간주된다 자산이 보호되.

지 않는 경우 허용되는 위험의 평가가 필요하다 정보보호의 관점에서 조직의 자산이 식별, . ,

되지 않는다면 성공적인 정보보호 프로그램의 구현은 불가능하다 자산 식별과 가치 부여.

프로세스는 매우 높은 수준에서 이루어질 수 있으며 비용과 시간이 드는 세부적인 분석이

필요하지 않을 수도 있다 어떤 경우 세부내용의 수준은 정보보호 목표에 기초하여 결정해. ,

야 한다 대부분의 경우 자산을 분류하는 것이 유용하다. .

고려해야 할 자산의 속성에는 가치 중요도 및 고유의 대책이 포함된다 자산의 보호 요건은, .

특정한 위협이 존재할 때의 취약성으로 인해 영향을 받는다 자산 소유자가 이러한 상황을.

파악한 경우 이 즉시 파악하고 해결해야 한다 조직이 운영되는 환경과 문화가 자산과 그, .

속성에 영향을 끼칠 수 있다 예를 들면 어떤 문화는 개인 정보의 보호를 매우 중요하게 여. ,

기는 반면 다른 문화는 이 문제에 큰 중요성을 두지 않는다 이러한 환경적 문화적 차이는. ,

국제적 규모의 조직 및 그들의 시스템 사용에 중요한 의미를 가질 수 있다.

- 30 -

위협위협위협위협2.1.3.22.1.3.22.1.3.22.1.3.2

자산은 다양한 종류의 위협에 처해 있다 위협은 시스템 조직 조직의 자산에 피해를 주는. , ,

원치 않는 사고를 일으킬 잠재성을 갖는다 이러한 피해는 비인가된 파괴 공개 변경 훼손. , , , ,

불가용성 손실 등 시스템에 의해 처리되는 정보 또는 서비스에 대한 직간접의 공격으로, IT

부터 발생할 수 있다 자산에 피해를 입히기 위하여 위협은 자산의 취약점을 이용한다 위협. .

은 크게 사람과 비인간으로 구분할 수 있고 동기부여를 우연 또는 계획적으로 발생할 수 있

다 모든 경우의 위협을 식별하고 그 수준과 가능성을 평가해야 한다. .

그림 위협의 유형그림 위협의 유형그림 위협의 유형그림 위협의 유형[ 2-3][ 2-3][ 2-3][ 2-3]

- 31 -

다양한 유형의 환경적 위협에 관하여 통계 자료를 이용할 수 있다 그러나 국내 실정에는.

이러한 위협에 대한 자료를 보관 및 관리를 하지 않고 있었으므로 통계 자료를 국내 실정에

맞는 자료를 찾기는 어렵도 앞으로 이러한 자료가 될 수 있도록 관리가 필요하다 이 자료.

는 위협 평가 프로세스에서 조직이 획득 활용해야 한다 위협은 조직의 특정부분에 영향을, .

주는 데 예를 들면 어떤 위협은 시스템이나 조직이 위치한 주변 환경에 의한 것일 수 있는,

데 예를 들면 허리케인이나 번개가 건물에 충격을 가하는 일 등이다 조직 내 직원들의 태, .

업 조직외부에서의 악의적인 해킹이나 산업 스파이 등도 위협이 될 수 있다 원치 않은 사, .

고에 의한 피해는 자산의 파괴 정도에 따라 일시적 또는 영구적인 것이 될 수 있다 위협에.

의한 피해 규모는 경우 별로 광범위하다 예를 들면. ,

소프트웨어 바이러스는 활동 양상에 따라 피해 규모가 달라진다.◆

특정 지역의 지진은 발생할 때마다 강도가 다르다.◆

이러한 위협에는 심각성의 측정이 따른다 예를 들면. ,

바이러스는 파괴적 비파괴적으로 기술된다, .◆

지진의 세기는 리히터 강도로 기술된다.◆

어떤 위협은 하나 이상의 자산에 영향을 줄 수 있다 그러한 경우 어떤 자산이 영향을 받느. ,

냐에 따라 영향이 다를 수 있다 예를 들면 한대의 개인 컴퓨터에 침입한 소프트웨어 바이. ,

러스의 영향은 제한적 국소적이다 그러나 동일한 바이러스가 파일 서버를 기반으로 하는, .

네트워크에 퍼진다면 그 영향은 광범위하다 다른 위협 또는 다른 장소에서의 동일한 위협.

은 그로 인한 피해의 규모에 일관성을 갖기도 한다 위협이 야기하는 피해가 일관적이라면.

총체적인 접근 방식을 취할 수 있다 그러나 광범위한 피해의 경우에는 각각의 위협에 대한.

좀더 구체적인 접근이 적절하다.

위협은 위협 자체에 가지고 있는 특성들이 있다 이러한 특성은 위협을 평가하기에 유용한.

정보이다 이러한 정보의 예는 다음과 같다. .

- 32 -

출처 즉 내부 또는 외부,◆

동기 즉 재정 이익 또는 경쟁 우위,◆

발생빈도◆

위협의 심각한 정도◆

조직이 처한 환경과 문화는 조직에 대한 위협의 취급과 지대한 관계 영향을 갖는다 극단적, .

인 경우 어떤 위협은 문화에 따라 유해한 것으로 인식되지 않기도 한다 위협을 다룰 때는, .

환경 문화의 측면을 반드시 고려해야 한다, .

취약성취약성취약성취약성2.1.3.32.1.3.32.1.3.32.1.3.3

자산과 관련된 취약성은 물리적 배치 조직 절차 인력 관리 행정 하드웨어 소프트웨어, , , , , , ,

또는 정보상의 약점을 포함한다 취약성은 시스템이나 사업 목표에 유해한 위협이 침투. IT

하는 경로가 된다 취약성 자체는 피해를 일으키지 않는다 취약성은 단지 하나의 조건 즉. . ,

위협에 의해 자산이 피해를 입게 되는 경우이다 다양한 근원의 취약성을 고려해야 하는데.

예를 들면 자산 고유의 취약성 등이다 취약성이 더 이상 적용되지 않게 자산 자체가 변화, .

하지 않는 한 취약성은 잔류한다.

취약성에는 악용의 소지가 있고 바람직하지 않은 결과를 초래할 수 있는 시스템상의 약점이

포함된다 취약성은 위협이 피해를 일으키는 기회가 된다 예를 들면 접근 통제 메카니즘의. . ,

부재는 침투 위협을 야기하여 자산의 손실을 가져오는 취약성이다 특정 시스템이나 조직내.

의 모든 취약성이 위협으로 직결되는 것은 아니다 취약성에 대응하는 위협이 존재하는 경.

우가 관심의 대상이다 그러나 환경이 역동적으로 변화하면서 위협에 노출되는 취약성을 식. ,

별하기 위해서는 모든 취약성을 주의 깊게 지켜봐야 한다.

취약성 분석은 식별된 위협이 침투할 수 있는 약점을 점검하는 것이다.

- 33 -

취약성 분석에서는 환경과 기존의 대책을 고려해야 한다 위협에 대한 특정 시스템이나 자.

산의 취약성은 시스템 또는 자산이 피해를 입을 수 있는 지름길이다.

영향영향영향영향2.1.3.42.1.3.42.1.3.42.1.3.4

영향은 계획적으로 또는 우연히 일어난 사고의 결과로 자산에 피해를 줄 수 있다 결과는.

어떤 자산의 파괴 시스템에 대한 손상 비밀성 무결성 가용성 책임추적성 진정성 또는 신, , , , , ,

뢰성의 손실이 될 수 있다 간접적인 결과로는 재무적 손실 시장 점유율 하락 또는 회사 이. ,

미지실추 등을 들 수 있다 영향의 측정을 통해 원치 않은 사고의 결과와 그에 따른 대책.

비용의 균형을 유지할 수 있다 원치 않는 사고의 발생빈도를 고려할 필요가 있다 영향에. .

대한 평가는 위험 평가와 대책 선택에 있어 중요한 요소이다 영향에 대한 정량적 정성적. ,

측정은 다양한 방법으로 이루어 질 수 있다 예를 들면. ,

재정비용의 수립◆

경험적인 심각한 정도의 계량화 예를 들면 등급. 1 10 .◆ ～

사전 정의한 형용사의 사용 예를 들면 상.◆ ㆍ 중ㆍ 하

위험위험위험위험2.1.3.52.1.3.52.1.3.52.1.3.5

위험은 취약 부분에 위협이 가해져 자산 등이 손실 손상되어 직간접으로 조직에 피해를 줄,

수 있는 잠재성이다 하나의 또는 다수의 위협은 하나 또는 다수의 취약성을 이용할 수 있.

다.

위험 시나리오에서는 특정 위협 또는 위협의 그룹이 자산을 위험에 노출시키는 특정 취약성

또는 취약성의 그룹을 이용하는지를 기술한다 위험은 두 가지 요인 즉 원치 않는 사고의. ,

발생 가능성과 그 영향의 조합으로 특징지어 진다 자산 위협 취약성 대책의 변화는 위험. , , ,

에 중대한 영향을 미칠 수 있다 환경 또는 시스템 내에서 변화의 초기감지 인식은 위험을. ,

감소시킬 적절한 조치를 취할 기회를 증대시킨다.

- 34 -

대책대책대책대책2.1.3.62.1.3.62.1.3.62.1.3.6

대책은 위협을 방지하고 취약성을 감소시키고 원치 않는 사고의 영향을 제한하고 원치 않, , ,

는 사고를 감지하고 복구를 촉진하는 실행 절차 메카니즘이다 일반적으로 효과적인 정보, , , .

보호에는 자산에 대한 정보보호 계층을 제공하는 다양한 대책의 조합이 요구된다 예를 들.

면 컴퓨터에 적용되는 접근 통제 메카니즘은 감사 통제 인사 절차 교육훈련 물리적 정보, , , ,

보호로 지원되어야 한다 어떤 대책은 환경의 일부 또는 자산의 고유한 측면에서 이미 존재.

할 수도 있고 시스템이나 조직에 이미 마련되어 있을 수도 있다.

대책은 감지 억제 방어 제한 교정 복구 모니터링 인식 중 하나 이상의 기능을 수행하는, , , , , , ,

것으로 간주한다 대책의 적절한 선택은 정보보호 프로그램의 올바른 구현에 필수적이다 많. .

은 대책들은 복합적인 기능을 수행한다 하나 이상의 기능을 만족시키는 대책을 선택하는.

것이 더욱 비용효율적이다 대책이 사용될 수 있는 영역의 예는 다음과 같다. .

물리적 환경◆

기술적 환경 하드웨어 소프트웨어 통신( , , )◆

인력◆

행정◆

정보보호 인식은 인적 영역에 관련된 대책이다 조직이 운영되는 환경과 문화는 대책의 선.

택 조직의 정보보호 인식과 관련이 있다 어떤 대책은 조직의 정보보호 태도에 대해 강력하, .

고 명확한 메시지를 전송한다 이러한 관점에서 조직이 운영되는 문화 또는 사회에 공격적. ,

이지 않은 대책을 선택하는 것이 중요하다 대책의 예는 다음과 같다. .

네트워크 침입차단◆

- 35 -

네트워크 모니터링 분석,◆

비밀성을 위한 암호화◆

전자서명◆

바이러스 방지 소프트웨어◆

정보의 백업◆

비상 전원◆

접근 통제 메카니즘◆

잔류 위험잔류 위험잔류 위험잔류 위험2.1.3.72.1.3.72.1.3.72.1.3.7

보통 대책에 의해서도 위험은 부분적으로 감소될 뿐이다 부분적 감소는 일반적으로 달성할.

수 있는 전부이고 더 이상의 감소에는 비용이 증가한다 이는 일반적으로 잔류 위험이 존재.

함을 의미하는 것이다 정보보호가 조직의 필요에 적절한지 여부를 판단하는 것을 잔류 위.

험의 허용이다 이 과정을 위험 허용이라 한다. .

사건의 발생 가능성과 영향의 관점에서 모든 잔류 위험을 인식할 수 있어야 한다 원치 않.

는 사고의 발생에 의한 영향의 결과를 허용할 수 있는 위치에 있는 사람들 및 잔류 위험의

수준을 허용할 수 없을 때 추가적인 대책의 구현하는 권한을 가진 사람이 잔류 위험의 허용

여부에 대한 결정을 내려야 한다.

제약사항제약사항제약사항제약사항2.1.3.82.1.3.82.1.3.82.1.3.8

제약은 일반적으로 조직의 관리를 통해 설정 인식되며 조직이 운영되는 환경의 영향을 받,

는다 다음의 고려해야 할 제약 사항의 예이다. .

조직적 재정적 환경적 인적 시간적 법적 기술적 문화적 사회적 제약, , , , , , , /◆

이러한 모든 요소는 대책을 선택 구현할 때 반드시 고려되어야 한다, .

- 36 -

주기적으로 기존의 제약과 새로운 제약을 검토하여 변화를 식별해야한다 또한 제약 사항은.

조직의 문화뿐 아니라 시간 지리 조건 사회적 변혁과 함께 변화함에 유의해야 한다 조직, , .

이 운영되는 환경과 문화는 몇 가지 정보보호 요소 특히 위협 위험 대책과 관계된다, , , .

정보보호 관리 프로세스정보보호 관리 프로세스정보보호 관리 프로세스정보보호 관리 프로세스2.1.42.1.42.1.42.1.4

정보보호 관리는 다양한 프로세스로 구성된 진행형 프로세스이다 형상관리 변화 관리와 같. ,

은 프로세스는 정보보호 보다는 규율에 더 적합하다 일반적으로 정보보호 관리에 매우 유.

용한 것으로 여겨지는 한가지 프로세스는 위험 관리와 그 부속 프로세스인 위험 분석이다.

위험관리 위험 분석 변화 관리 형상관리를 포함한 정보보호 관리의 몇 가지 측면을 그림, , ,

에 나타내었다3-4 .

형상관리형상관리형상관리형상관리2.1.4.12.1.4.12.1.4.12.1.4.1

형상관리는 시스템에 대한 변화의 기록을 유지하는 프로세스로 공식적 비공식적으로 실행,

될 수 있다 형상관리의 차 정보보호 목표는 시스템에 대한 변화가 대책과 조직의 전체적. 1

인 정보보호 효율성을 감소시키지 않음을 보장하는 것이다.

형상관리의 정보보호 목표는 변화가 일어났으나 시스템의 변화를 방지하기 위해 정보보IT

호 조치가 실행되지 않은 경우를 알아내는 것이다 어떤 경우 정보보호를 떨어뜨리는 변화. ,

의 사유가 있을 수 있다 이런 경우 반드시 정보보호성의 감소를 평가하고 모든 관련 요소.

들에 기초하여 관리 결정을 내려야 한다 다시 말하면 시스템에 대한 변화가 적절하게 정보.

보호 문제와 관련되어야 한다 형상관리의 또 다른 목적은 재난 복구 비상 계획 등의 다른. ,

문서에 시스템의 변화가 반영되었음을 보장하는 것이다 중대한 변화의 경우 시스템 대책의. ,

전부 또는 일부를 재분석할 필요가 있다.

- 37 -

그림 정보보호 관리 측면그림 정보보호 관리 측면그림 정보보호 관리 측면그림 정보보호 관리 측면[ 2-4] IT[ 2-4] IT[ 2-4] IT[ 2-4] IT

출처: ISO 13335, Part1

변화관리변화관리변화관리변화관리2.1.4.22.1.4.22.1.4.22.1.4.2

변화관리는 시스템 변화가 발생할 경우 새로운 정보보호 요건의 식별에 도움을 주는 프로세

스이다 시스템과 시스템이 운영되는 환경은 끊임없이 변화한다 이러한 변화들은 새로운. .

특성과 서비스의 가용성 새로운 위협 취약성 발견의 결과이다 시스템 변화는 다음을IT , , .

포함한다.

새로운 절차◆

새로운 특성◆

소프트웨어 업데이트◆

하드웨어 도입◆

외부 단체 익명 단체를 포함한 새로운 사용자,◆

추가적인 네트워킹 상호연결,◆

- 38 -

시스템에 대한 변화가 발생하거나 계획되면 그 변화가 시스템의 정보보호에서 어떤 영향 만(

일 있다면 을 주게 될 것인지 결정하는 것이 중요하다 시스템 내에서 형상통제 위원회나) .

기타 기술적인 시스템 변화를 관리할 조직적 구조가 운영되고 있다면 위원회에 정보보호담

당자를 배치 정보보호에 영향을 주는 변화 및 그 양상에 관한 의사결정 책임을 부여해야,

한다.

새로운 하드웨어 소프트웨어 서비스 구매와 관련된 중대한 변화의 경우 새로운 정보보호, , ,

요건의 결정에는 분석이 필요하다 한편 시스템에 경미한 변화가 많이 일어난 경우에는 변. ,

화가 중대할 때 필요한 광범위한 분석이 요구되지 않는다 두 가지 유형의 변화에 있어 이. ,

윤과 비용을 고려한 위험 평가를 실시해야 한다 경미한 변화의 경우 회의 등에서 비공식적. ,

인 위험 평가를 실행할 수 있으나 그 결과 및 관리결정은 반드시 문서화해야 한다.

위험관리위험관리위험관리위험관리2.1.4.32.1.4.32.1.4.32.1.4.3

위험관리 활동은 시스템의 생명주기 전체에 걸쳐 이루어질 때 가장 효과적이다 위험 관리.

는 그 자체가 주요한 생명주기이다 전체 주기가 새로운 시스템을 따라가는 동시에 기존 시.

스템의 경우 위험 관리는 시스템의 생명주기 중 어떤 시점에서도 개시될 수 있다, .

전략을 통해 시스템 생명주기의 어느 시점 또는 미리 정한 시점에 검토가 이루어져야 한다.

정보보호장비의 구현 진행 상황을 점검하기 위한 목적으로 이전의 검토로부터 후속 조치가

있을 수 있다 시스템설계 개발 기간 중 위험 관리를 수행하기 위한 요건이 있을 수 있고. ,

따라서 가장 비용효율적인 시점에서의 정보보호 설계 구현이 보장된다 시스템의 중요한 변, .

화를 계획할 때 위험 관리도 개시되어야 한다.

그림 에 위험 관리에 관계된 요소들을 나타내었다2-5 .

- 39 -

그림 위험관리 관계도그림 위험관리 관계도그림 위험관리 관계도그림 위험관리 관계도[ 2-5][ 2-5][ 2-5][ 2-5]


어떤 위험 관리 방법 또는 기법을 사용하더라도 모든 시스템의 적절한 보호를 보장하는 동

시에 대책의 식별 구현에 소용되는 시간과 자원의 최소화에 있어 균형을 유지하는 것이 중,

요하다.

위험 관리는 평가된 위험과 대책의 이득 또는 비용을 비교하여 기관 정보보호 정책과 사업

목표에 부합하는 구현 전략 시스템 정보보호 정책을 도출하는 프로세스이다 다양한 유형의, .

대책을 고려하고 비용 및 또는 이윤 분석을 실행해야 한다 대책은 위험 및 잠재적 영향과/ .

관련하여 선택한다 동시에 허용 잔류 위험 수준을 고려해야 한다. .

대책 자체에 취약성이 있어 새로운 위험이 될 수 있다는 점도 간과해서는 안된다 따라서.

위험을 줄이는 것뿐만 아니라 잠재적인 새로운 위험을 도입하지 않기 위해서도 적절한 대책

의 선택에 신중해야한다 .

위험 분석위험 분석위험 분석위험 분석2.1.4.42.1.4.42.1.4.42.1.4.4

- 40 -

위험 분석은 통제하거나 허용할 위험을 식별하는 것이다 정보보호의 관점에서 시스. IT , IT

템에 대한 위험 분석은 자산 가치 위협 취약성의 분석을 포함한다 위험은 비밀성 무결성, , . , ,

가용성 책임추적성 진정성 신뢰성의 훼손에 의한 잠재적 영향의 관점에서 평가된다 위험, , , .

분석 검토의 결과는 자산에 대한 가능성 있는 위험을 평가하는 것이다.

위험 분석은 위험 관리의 일부로 모든 시스템에 대한 간단한 초기 분석을 통해 불필요한,

시간과 자원의 투자 없이 실시할 수 있다 이는 어떤 시스템이 관행 규약이나 기준선 통제.

로 보호될 수 있는지 어떤 시스템에 세부적인 위험 분석 검토가 효과적인지 결정하는 것이,

다.

책임추적성책임추적성책임추적성책임추적성2.1.4.52.1.4.52.1.4.52.1.4.5

효과적인 정보보호에는 책임추적성과 정보보호 책임의 명확한 할당 승인이 요구된다 책임, .

과 책임추적성이 자산의 소유자 제공자 시스템 사용자들에게 할당되어야 한다 결론적, , IT .

으로 자산 소유 및 관련 정보보호 책임이 정보보호 수행 감사와 함께 효율적인 정보보호에

중요한 역할을 한다.


정보보호 인식은 효율적 정보보호에 있어 필수적인 요소이다 조직의 정보보호 인식의 결여.

와 인적 차원의 저급한 정보보호 수행은 대책의 유효성을 심각하게 저하할 수 있다 조직.

내에서 개인은 일반적으로 가장 취약한 정보보호 연계의 일부로 간주한다 조직내의 적절한.

정보보호 인식 수준을 보장하기 위해서는 효과적인 정보보호 인식 프로그램을 확립 유지하,

는 것이 중요하다 정보보호 인식 프로그램의 목적은 직원 파트너 공급자에게 다음을 설명. , ,

하는 것이다.

정보보호 목표 전략 정책, ,◆

정보보호의 필요성 및 관련된 역할 책임,◆

- 41 -

덧붙여 프로그램은 직원 파트너 공급자에게 동기를 부여하여 그들이 정보보호 책임을 수, , ,

용할 수 있도록 설계해야 한다 정보보호 인식 프로그램은 최고 경영자에서 개인의 업무활.

동을 책임지는 개인에 이르기까지 기관 모든 수준에서 구현되어야 한다 종종 다채로운 인.

식자료를 개발하여 역할과 책임이 다양한 기관의 여러 부서 인원들에게 전달하는 것이 필요

하다 종합적인 정보보호 인식 프로그램은 단계별로 개발 전달한다 각 단계는 정보보호의. , .

개념부터 시작하여 정보보호의 구현과 모니터링 책임에 이르기까지 이전의 학습을 바탕으로

구성한다.

정보보호 인식 프로그램은 다양한 활동을 포함한다 그 중 하나는 정보보호 인식 자료 포스. (

터 게시판 팜플렛 브리핑 등 의 개발과 배포이다 자료의 목적은 임직원과 계약자들의 일, , , ) .

반적인 인식을 증진하는 것이다 또 다른 활동은 올바른 정보보호 수행을 주제로 특정 직원.

들을 훈련시키는 강좌이다 궁극적으로 강좌를 통해 매우 구체적인 정보보호 주제에 대한.

전문적인 수준의 교육이 이루어진다 어떤 경우에는 정보보호 인식 교육을 다른 교육 프로.

그램과 통합 운영하는 것이 효과적이다 조직의 문화적 관리적 요건과 융화되는 정보보호. ,

인식 프로그램을 개발하기 위해서는 필요성 분석 프로그램 전달 모니터 및 인식 프로그램, ,

의 내용 등의 측면을 고려해야 한다.


대책이 적절히 기능하고 있는지 환경의 변화가 대책의 효율성을 저해하는지 책임추적성이, ,

시행되고 있는지 모니터링 해야 한다 시스템 로그의 검토 분석 자동화는 의도한 수행의 보. ,

장에 도움을 주는 효율적인 도구이다 또한 이러한 도구는 원치 않는 사건을 감지하는 데사.

용되므로 억제 효과를 갖기도 한다.

정보보호 대책의 유효성은 주기적으로 검증되어야 한다 이는 대책이 제 기능을 하고 있는.

지 계획대로 수행하고 있는지를 확인하기 위한 모니터링과 준수성 점검을 통해 이루어진다, .

대부분 대책은 정보보호를 위해 반드시 점검해야 하는 중요한 사건 즉 로그 비상 차단 등, ,

을 생성한다.

- 42 -

일반 시스템 감사 기능은 정보보호 계획으로부터 유용한 정보를 제공하며 이러한 측면에서

활용할 수 있다.

비상계획과 재난복구비상계획과 재난복구비상계획과 재난복구비상계획과 재난복구2.1.4.82.1.4.82.1.4.82.1.4.8

비상계획은 시스템을 포함한 지원 프로세스가 저하되거나 사용이 불가능할 때의 사업 운영

방법에 대한 정보를 포함한다 비상계획에서는 다음을 고려한 다양한 시나리오의 조합을 다.

루어야 한다.

장해의 지속기간◆

시설 유형에 따른 손실◆

물리적 구내 접근의 총 손실◆

재난 발생 전 상태로의 복구 필요성◆

재난복구계획은 원치 않은 사고의 영향을 받은 시스템의 복구 방법을 설명하는 것이다 재.

난복구계획은 다음을 포함한다.

재난의 분류 기준◆

복구계획 실시의 책임◆

복구 활동 별 책임◆

복구 활동 설명◆

- 43 -

시스템 관리자 관점시스템 관리자 관점시스템 관리자 관점시스템 관리자 관점2.22.22.22.2

정보보호 정책정보보호 정책정보보호 정책정보보호 정책2.2.1 IT2.2.1 IT2.2.1 IT2.2.1 IT

목표목표목표목표2.2.1.12.2.1.12.2.1.12.2.1.1

목표 달성하고자 하는 것 전략 목표 달성 방법 정책 목표 달성을 위한 규칙 이 기관의 각( ), ( ), ( )

단계 및 사업 단위 또는 부서별로 정의되어야 한다 효율적인 정보보호를 위해서 각각의. IT

기관 수준과 사업 단위별로 다양한 목표 전략 정책을 조정할 필요가 있다 다양한 관점의, , .

영향을 받겠지만 해당 자료간의 일관성이 중요하다 많은 위협 시스템 해킹 파일 삭제 및. ( ,

화재 등 은 사업상의 공통되는 문제이기 때문이다) .

경영진 참여경영진 참여경영진 참여경영진 참여2.2.1.22.2.1.22.2.1.22.2.1.2

정보보호에 대한 최고 경영진의 참여가 중요하며 공식적으로 합의 및 문서화된 정보보IT

호 정책으로 귀결되어야 한다 정보보호 정책은 정보보호 정책으로부터 파생되어야 한. IT

다.

정책 관계정책 관계정책 관계정책 관계2.2.1.32.2.1.32.2.1.32.2.1.3

정보보호 정책은 전략 진술의 토대가 되는 기관의 기술 및 관리 정책 범위에 적절하IT IT

게 포함될 수 있다 전략 진술은 정보보호의 중요성에 대한 설득력 있는 어구로 이루어. IT

져야 하는데 특히 정보보호가 그러한 전략에 따라 필요한 경우에 그러하다 그림 은 다. 3-6

양한 정책간의 관계를 보여준다 조직의 문서 자료와 구조에 관계없이 기술된 정책의 다양. ,

한 내용을 다루고 일관성을 유지하는 것이 중요하다.

- 44 -

그림 정책 관계그림 정책 관계그림 정책 관계그림 정책 관계[ 2-6][ 2-6][ 2-6][ 2-6]


더욱 세부적인 기타 정보보호 정책이 특정 시스템 및 서비스 또는 시스템 및 서비스IT IT

그룹을 위해서 필요하다 이것은 보통 시스템 정보보호 정책으로 알려져 있다 업무 및. IT .

기술적 사유에 근거를 두고 적용범위 및 한계가 명확하게 정의된 중요한 관리 측면이다.

정보보호 정책 요소정보보호 정책 요소정보보호 정책 요소정보보호 정책 요소2.2.1.4 1T2.2.1.4 1T2.2.1.4 1T2.2.1.4 1T

정보보호 정책은 적어도 다음의 주제를 포괄해야 한다IT .

자산 소유자의 관점에서 본 비밀성 무결성 가용성 진정성 책임추적성 신뢰성에 관한, , , , , ,◆

정보보호 요건IT .

조직의 기반구조 및 책임 할당.◆

시스템 개발 조달과 정보보호의 통합, .◆

지침과 절차.◆

정보 분류 등급 규정◆

- 45 -

위험 관리 전략.◆

비상 계획◆

인력 문제 유지보수 인력 및 시스템 관리와 같이 신지를 필요로 하는 지위의 인력에 특(◆

별한 주의를 기울여야 한다).

인식 훈련,◆

법과 규제의 준수.◆

외주 관리.◆

사고 처리.◆

정보보호의 조직적 측면정보보호의 조직적 측면정보보호의 조직적 측면정보보호의 조직적 측면2.2.2 IT2.2.2 IT2.2.2 IT2.2.2 IT

역할과 책임역할과 책임역할과 책임역할과 책임2.2.2.12.2.2.12.2.2.12.2.2.1

정보보호는 기관 내 모든 프로젝트 시스템 및 모든 사용자들과 상호연계가 되는IT IT , IT

주제이다 책임을 적절하게 할당 구분하여 중요한 모든 업무가 효율적으로 수행될 수 있도. ,

록 해야 한다 비록 이러한 목표가 다양한 조직의 계획을 통해 달성되더라도 조직 규모 및. ,

구조에 따라서 다음 역할은 모든 조직에 포함될 필요가 있다.

상호연계 사안의 해결하고 지침 표준을 승인하는 정보보호 포럼, IT .◆

기관의 모든 정보보호 측면에서 중추적인 역할을 하는 정보보호 담당IT IT .◆

정보보호 포럼과 정보보호담당에게는 정의가 분명한 명확한 임무가 주어져야 하고IT IT

정보보호정책에 참여할 수 있는 지위에 있어야한다 조직은 정보보호담당에 대한 통IT . IT

신 책임 권한의 명확한 선을 정하고 임무는 정보보호 포럼이 승인해야 한다 이러한 임, , IT .

무 수행은 외부 컨설턴트를 통해 보완할 수 있다.

정보보호 포럼정보보호 포럼정보보호 포럼정보보호 포럼2.2.2.1.1 IT2.2.2.1.1 IT2.2.2.1.1 IT2.2.2.1.1 IT

- 46 -

포럼은 요건 식별 정책 입안 정보보호 프로그램 설계 성과 검토 및 기관 정보보호담당, , , IT

을 지도하기 위해 필요한 기술을 소유한 사람들을 포함해야 한다 이미 적절한 포럼이 있을.

수 있거나 개별적인 정보보호 포럼이 우선될 수 있다 그러한 포럼이나 위원회의 역할은IT .

다음과 같다.

전략적 정보보호 계획과 관련하여 운영위원회에 조언IT .◆

전략적 지원에 관련하여 정보보호 정책을 수립하고 운영위원회로부터 승인 획IT IT IT◆

득.

정보보호 정책을 정보보호 프로그램으로 전환IT IT .◆

정보보호 프로그램 실행을 모니터링IT .◆

정보보호 정책의 유효성 검토IT .◆

정보보호 문제 인식 촉진IT .◆

계획 프로세스를 지원 및 정보보호 프로그램 실행을 지원하는데 필요한 자원 인력IT ( ,◆

예산 지식 등 에 입각하여 조언, ) .

효율적 운영을 위하여 포럼은 시스템의 정보보호 및 기술적 측면에 대한 배경지식을 소IT

유한 구성원들과 시스템 제공자 및 사용자 대표들 역시 포함한다 이러한 모든 영역으로IT .

부터 얻은 지식과 기술은 실질적인 정보보호 정책 개발을 위해 필요하다IT .

정보보호 담당정보보호 담당정보보호 담당정보보호 담당2.2.2.1.2 IT2.2.2.1.2 IT2.2.2.1.2 IT2.2.2.1.2 IT

정보보호에 대한 책임은 공유되기 때문에 결국에는 어느 누구도 전혀 책임을 느끼지 못IT

할 수도 있는 위험이 있다 정보보호담당은 기관의 모든 정보보호 측면의 구심점 역. IT IT

할을 해야 한다 전문 부서의 설치를 권장하지만 추가적인 책임을 맡을 수 있는 적합한 인.

력이 이미 있을 수 있다 와 정보보호에 관한 배경지식이 있는 사람을 기관 정보보호. IT IT

담당으로 선발하는 것이 바람직하다 그들의 중요한 임무는 다음과 같다. .

정보보호 프로그램 실행을 감독IT .◆

- 47 -

정보보호 포럼 및 기관 정보보호담당에 대한 연락 및 보고IT .◆

기관 정보보호 정책과 지침을 유지IT .◆

사고 조사 조정.◆

기관의 전반적인 정보보호 인식 프로그램 관리.◆

프로젝트 및 시스템 정보보호담당 및 관련 부서 정보보호담당 의 권한 결정IT ( IT ) .◆

프로젝트 정보보호담당과 시스템 정보보호담당프로젝트 정보보호담당과 시스템 정보보호담당프로젝트 정보보호담당과 시스템 정보보호담당프로젝트 정보보호담당과 시스템 정보보호담당2.2.2.1.3 IT IT2.2.2.1.3 IT IT2.2.2.1.3 IT IT2.2.2.1.3 IT IT

개별 프로젝트와 시스템에는 일반적으로 정보보호담당이라고 부르는 정보보호 책임자가IT

있어야 한다 몇몇 경우에 이들은 상근직이 아닐 수도 있다 이러한 담당자들의 기능적 관리. .

는 기관 정보보호담당 또는 부서 정보보호담당 의 책임이 될 것이다 정보보호담당IT ( IT ) .

은 하나의 프로젝트 시스템 혹은 시스템 그룹에 대한 모든 측면의 구심점 역할을 한다 주, .

된 임무는 다음과 같다.

정보보호 포럼 및 정보보호담당 또는 적절한 경우 부서 정보보호담당 에 대한IT IT ( , IT )◆

연락 및 보고.

프로젝트 또는 시스템 정보보호 정책을 수립 유지IT , .◆

정보보호 계획을 개발 구현, .◆

대책의 구현 및 사용을 매일 모니터링IT .◆

사고 조사의 착수 지원, .◆

참여참여참여참여2.2.2.22.2.2.22.2.2.22.2.2.2

모든 수준에서의 관리가 개인들의 노력을 지원한다는 사실은 효율적인 정보보호 있어IT

매우 중요하다 정보보호 목표에 대한 전체적인 참여에는 다음이 포함된다. IT .

기관의 목표의 필요성 이해.◆

기관 내의 정보보호에 대한 필요성 이해IT .◆

정보보호 참여의 증명IT .◆

- 48 -

정보보호 필요성을 다루려는 의지IT .◆

정보보호에 자원을 할당하려는 의지IT .◆

정보보호의 의미와 구성 요소 적용범위 한계 를 높은 수준으로 인식IT ( , ) .◆

정보보호 목표는 조직 전반에 널리 보급되어야 한다 개개의 직원 혹은 계약자는 그들의IT .

역할과 책임 정보보호에 관한 그들의 공헌을 알아야 하며 그러한 목표를 달성하기 위한, IT

역할이 부여되어야 한다.

일관된 접근일관된 접근일관된 접근일관된 접근2.2.2.32.2.2.32.2.2.32.2.2.3

정보보호에 대한 일관된 접근은 모든 개발 유지 운영 활동에 적용된다 보호는 계획에IT , , .

서 폐기까지 정보와 시스템의 생명주기 전체에서 보장되어야 한다IT .

조직 구조는 조직 전반에서 정보보호를 위한 조화로운 접근을 지원할 수 있다 이는 표IT .

준에 대한 참여의 지원을 받을 필요가 있다 표준은 국제적 국가적 지역적 산업 부문 및. , ,

조직의 기관 표준 또는 규칙을 포함할 수 있으며 조직의 필요에 따라 선택 적용된다 기술, .

표준은 그 구현 및 이용 그리고 관리에 대한 규칙이나 지침으로 보완되어야 한다 표준 사.

용의 이점은 다음과 같다.

통합된 정보보호.◆

상호운용성.◆

일관성.◆

이식성.◆

규모의 경제.◆

조직간 네트워킹.◆

위험 분석 전략의 선택위험 분석 전략의 선택위험 분석 전략의 선택위험 분석 전략의 선택2.2.32.2.32.2.32.2.3

정보보호 강화를 원하는 조직은 환경에 맞는 위험 관리 전략을 세워야 한다.

- 49 -

그리고 효율적인 방법으로 위험을 다루는 방법이 포함되어야 한다 전략에는 어디에 정보보.

호 노력을 집중시킬 것인지 어떤 접근이 비용 시간이 효율적인지가 필요하다, .

모든 시스템에 대해 세부적인 검토를 수행하는 것은 시간이나 자원 측면에서 효율적이지 않

다 그렇다고 중대한 위험을 다루지 않는 것도 효율적이라 할 수 없다 이러한 극단적인 사. .

항간의 균형을 고려한 접근은 필요성에 따른 상위 수준의 검토를 포함한다 이는 심도 있는.

분석으로 시스템의 정보보호 필요성을 결정하기 위한 것이다 어떤 조직의 정보보호 필IT .

요성은 조직 규모 조직이 영위하는 사업 유형 그리고 환경과 문화에 따라 다르다 위험 분, .

석 전략의 선택은 이러한 사실에 직접 관련된다.

어떤 상황에서 조직은 아무 조치도 취하지 않거나 대책 구현의 연기를 결정할 수 있다 이.

러한 관리 결정은 조직이 상위 수준 검토를 완료한 후에 이루어져야 한다 그러나 만약 이.

러한 결정이 내려진다면 경영진은 책임져야 하는 위험 원치 않는 사고의 발생 가능성을 완,

전히 인지해야한다 이러한 지식이 없다면 조직은 의도하지 않아도 법이나 규정을 위반하게.

될 수 있고 사업은 잠재적 손실에 노출될 수 있다 아무조치도 취하지 않거나 대책 구현의.

연기 결정 및 판단은 이러한 사항과 다른 가능한 역효과를 신중히 고려한 후 내려져야 한

다.

상위 수준의 검토 결과를 토대로 위험을 경감시키는 대책은 아래의 네가지 사항 중 하나로

선택될 수 있다 다음 항은 각 선택의 장단점을 설명한다. .


첫 번째 선택은 모든 시스템에 대한 보호 기준선 수준을 달성하기 위한 일련의 대책을 선택

하는 것이다 다양한 표준 대책은 기준선 자료와 관행규약으로 제안된다. .

- 50 -

또한 기본적인 요건의 검사 후 국제적 국가적 표준 단체 산업부문 표준 권고안 또는 적절, , ,

한 유사성 사업목표 규모 시스템 및 어플리케이션 등 을 지닌 다른 기관들과 같은 다른( , , IT )

단체가 이러한 대책들을 채택할 수 있다 이러한 접근에는 다양한 장점이 있다. .

세부적인 위험 분석을 위한 자원이 필요 없으며 대책 선택에 사용되는 시간과 노력이 감◆

소된다 일반적으로 중요한 자원이 기준선 대책을 식별하는 데 필요하지 않다. .

동일하거나 유사한 기준선 대책을 많은 노력을 들이지 않고 다른 시스템에 적용할 수 있◆

다 조직의 대다수 시스템이 공통적인 환경에서 운영되는 경우와 사업 요건의 비교가 가능.

한 경우에 기준선 대책은 비용 효율적인 해법을 제공할 수 있다.

단점단점단점단점

기준선이 너무 높이 설정되면 어떤 시스템에 대해서는 너무 비용이 많이 들고 제한적인◆

정보보호가 되고 기준선이 너무 낮으면 어떤 시스템에 대해서는 너무 불충분한 정보보호가

되는 점이다.

정보보호 관련 변화를 관리하는 데 어려움이 있을 수 있다 예를 들어 시스템이 갱신되.◆

었다면 여전히 기존 기준선 대책을 충족시키는지 평가하는 데 어려움이 있을 수 있다.

비공식적 접근비공식적 접근비공식적 접근비공식적 접근2.2.3.22.2.3.22.2.3.22.2.3.2

두 번째 선택은 모든 시스템에 대해 비공식적 실용적인 위험 분석을 수행하는 것이다 비공, .

식적 접근은 구체화된 방법에 기초하는 것이 아니라 개인의 지식과 경험을 활용하는 것이

다 내부 정보보호 전문가가 없다면 외부 컨설턴트가 분석을 할 수 있다. .

장점장점장점장점

이러한 비공식적 분석을 하기 위한 추가의 기술 습득을 요하지 않으며 세부적인 위험 분◆

석보다 신속한 분석을 수행한다 따라서 이러한 접근은 비용 효율적이며 소규모 조직에 적.

합할 수 있다.

- 51 -

몇 가지 단점이 존재한다.

구조화되지 못하여 몇몇 위험 및 관심 영역에 미치지 못할 가능성이 증가한다.◆

비공식적인 특성 때문에 결과가 검토자의 주관적 견해 및 편견에 영향을 받을 수 있다.◆

선택한 대책의 정당성을 확보할 수 없다 따라서 대책 경비의 정당화하기 어렵다. .◆

검토를 반복하지 않고는 시간 경과에 따른 정보보호 관련 변화를 관리하기 어렵다.◆


세 번째 선택은 모든 시스템에 대해 세부적인 위험 분석을 수행하는 것이다 세부적인 위험.

분석은 정당성과 자산 가치 자산을 겨냥한 위협 수준 평가 및 그러한 자산 취약성을 포함,

한다 이러한 정보는 위험 평가를 위해 사용되고 위험 분석은 자산에 대한 식별된 위험에.

의해 정당화되는 대책의 식별 선택 채택을 지원하고 관리에 의해 규정된 허용 수준까지 그, ,

러한 위험의 감소를 뒷받침한다 세부적 위험 분석은 자체가 자원을 소모하는 프로세스이다. .

그러므로 주의 깊은 범위의 설정 및 지속적인 관리 주의가 필요하다.


정보보호 수준이 각 시스템에 대한 정보보호 필요에 적합하게 식별된다.◆

세부적 위험 분석에서 얻은 추가 정보로부터 정보보호 관련 변화의 관리에 대한 혜택을◆

볼 수 있다.


가시적인 결과를 얻기 위해서는 상당히 많은 시간 노력 및 전문기술이 소요된다, .◆

- 52 -


네 번째 선택은 상위 수준의 위험 분석 접근으로 사업 운영에 치명적이거나 위험이 큰 시스

템들을 우선적으로 식별하는 것이다 이러한 결과를 토대로 시스템을 적절한 보호를 위한.

세부적 위험 분석을 요하는 시스템과 기준선 보호로 충분한 시스템으로 분류한다.

이 접근은 기준선 접근과 세부적 위험 분석의 장점을 조합한 것이다 결과적으로 이는 모든.

시스템들이 적절하게 보호되고 있음을 검증하는 동시에 대책 식별에 소요되는 시간과 노력

의 충분한 균형을 유지하는 것이다.


중요한 자원의 투입에 앞서 필요한 정보를 수집하기 위한 간단한 상위 수준 접근방식의◆

활용은 위험 관리 프로그램에 더욱 적합하다.

조직 정보보호 프로그램의 신속한 전략적 구상이 가능하고 그러한 프로그램을 훌륭한 계◆

획의 보조도구로 사용할 수 있다.

가장 이익이 되는 곳에 자원과 자본을 투자하고 위험 가능성이 큰 시스템을 초기에 다룰◆

수 있다.


만약 상위 수준의 위험 분석이 부정확한 결과를 가져오면 세부적 위험 분석을 요하는 어◆

떤 시스템에 대처하지 못할 수 있다 이는 상위 수준의 위험 분석 결과가 적절히 점검된다.

면 그럴 가능성이 없겠지만 어떤 사건에서는 여전히 기준선 대책이 그러한 시스템에 적용된

다.

대부분의 환경에서 이 방식이 가장 효율적인 접근을 제공하고 대개의 경우 조직에서 많이

권장되는 위험 분석 접근이다.

정보보호 권고안정보보호 권고안정보보호 권고안정보보호 권고안2.2.4 IT2.2.4 IT2.2.4 IT2.2.4 IT

- 53 -

위험분석 접근 방식 중 어떤 것은 허용가능 수준까지 정보보호 위험을 줄이기 위한 많은 권

고안을 제공한다 이러한 권고안은 경영진의 승인을 얻어야 하며 다음을 포함한다. .

해당 시스템의 허용가능 위험 수준 결정의 기준IT .◆

허용가능 수준까지 위험을 감소시키는 대책의 선택.◆

이러한 대책의 구현과 관련되는 혜택과 대책에 의해 달성되는 위험 감소.◆

모든 대책이 구현되었을 때 여전히 존재하는 잔류 위험의 허용.◆

대책의 선택대책의 선택대책의 선택대책의 선택2.2.4.12.2.4.12.2.4.12.2.4.1

원치 않는 사고의 예방 축소 모니터링 감지 수정 복구 등 몇 가지 유형의 대책이 있다, , , , , .

예방은 원치 않는 행위의 억제와 정보보호 인식을 강화하는 활동을 포함한다 대책이 적용.

되는 주된 영역과 각 영역에 대한 몇 가지 예들은 다음과 같다.

하드웨어 백업 키( , )◆

소프트웨어 전자 서명 기록 안티바이러스 도구( , , )◆

통신 침입차단 데이터 암호화( , )◆

물리적 환경 장벽 배지( , )◆

인력 직원 인식 고용종료 절차( , )◆

관리 허가 하드웨어 폐기 면허 규제( , , )◆

대책은 상호 독립적이지 않고 흔히 조합하여 작용한다 선택 프로세스는 대책의 상호의존성.

을 반드시 고려해야 한다 대책 선택시 공백이 없는지 점검해야 한다 그러한 공백은 기존의. .

대책에 방해가 되어 우연한 위협으로 인한 손실을 초래한다.

새로운 시스템의 경우 또는 기존 시스템에 중요한 변화가 있는 경우 대책 선택은 정보보호,

구조를 포함한다 정보보호 구조는 정보보호요건이 시스템을 충족시키는 방법을 설명하. IT

는 전체 시스템 구조의 일부이다.

- 54 -

정보보호 구조는 기술적 대책을 다루는 동시에 비기술적인 측면을 고려한다.

모든 대책들은 효율적인 작동을 보장하는 관리를 요하며 많은 대책들은 유지 목적을 위하여

관리적 지원을 필요로 할 것이다 이러한 요소들을 대책 선택 프로세스 동안 유념해야 한다. .

대책은 부적당한 사용자나 관리 비용을 유발하지 않고 효과적으로 구현되는 것이 중요하다.

만약 대책들이 중요한 변화를 초래하고 있다면 대책 구현을 정보보호 인식 프로그램 변화,

관리 그리고 형상 관리와 연계해야 한다.

위험 허용위험 허용위험 허용위험 허용2.2.4.22.2.4.22.2.4.22.2.4.2

선택된 대책의 구현 후에도 잔류 위험은 항상 남게 마련이다 이는 어떤 시스템도 절대적으.

로 안전하게 만들어질 수 없기 때문이며 특정 자산은 의도적으로 보호되지 않는 채로 남아

있기 때문이다 위험이 낮은 것으로 가정하거나 보호할 자산의 평가값에 비하여 권장 대책(

비용이 상대적으로 높기 때문).

위험 허용 프로세스의 첫 번째 단계는 선택된 대책을 검토하고 모든 잔류 위험을 식별 평,

가하는 것이다 다음으로 조직에서 허용가능 한 것으로 간주하는 위험과 허용불가 한 것. “ ” “ ”

으로 간주하는 위험으로 잔류위험을 분류한다.

허용 불가한 위험이 허용될 수 없는 것은 명백하다 따라서 그러한 위험의 충격 및 결과를.

제한하는 추가 대책을 고려해야 한다 그러한 각각의 경우에 있어 업무 결정이 내려져야 한.

다 위험을 허용가능 한 것으로 판정하거나 허용가능 수준으로 위험을 감소시킬 추가의. “ ”

대책 비용을 승인해야 한다.

시스템 정보보호 정책시스템 정보보호 정책시스템 정보보호 정책시스템 정보보호 정책2.2.5 IT2.2.5 IT2.2.5 IT2.2.5 IT

시스템 정보보호를 위해 개발된 정책은 기관과 부서 정보보호 정책에 근거를 두어야 한IT

다.

- 55 -

이러한 시스템 정보보호 정책들은 시스템 및 서비스 보호를 위한 일련의 원칙 및 규칙을 구

성한다 정책은 시스템과 서비스의 완전한 보호 수준을 보장하는 적절한 대책을 적용하여.

구현해야 한다.

시스템 정보보호 정책은 적용 및 시행을 위한 재정적 인적 자원의 투입이 보장되는 강IT ,

제적인 일련의 원칙 및 규칙으로 고위 경영진이 서명해야 한다 각각의 시스템 정보보호. IT

를 결정할 때 고려해야 하는 주요 사안은

해당 시스템 및 그 범위치 정의IT .◆

시스템을 통해 달성하고자 하는 사업 목표의 정의 이는 사업목표가 시스템 정보보호 정.◆

책 및 대책의 선택과 구현에 충격을 가할 수 있기 때문이다.

잠재적인 업무상의 역충격은 다음에서 비롯된다.◆

정보를 포함한 서비스 혹은 자산의 불가용성 거부 파손, , .■

정보 혹은 소프트웨어의 비인가된 변경.■

비인가된 정보 누출.■

및 직간접의 금전적 손실과 같은 정량적 결과와 신용 상실 인명 피해 개인 프라이버시 침, ,

해와 같은 정성적 결과.

투자 수준IT◆

시스템 및 정보 취급에 대한 중대한 위협IT .◆

시스템이 식별된 위협에 노출되는 결점을 비롯한 취약성IT .◆

식별된 위험에 대응하기 위해 필요한 정보보호 대책.◆

정보보호 비용 즉 자산 보호 비용 정보보호 비용은 시스템 소유 비용의IT . , IT (IT IT◆

일부로 간주해야 한다).

외주업체 컴퓨팅 센터나 지원센터 와의 관계 및 선정 원칙( PC ) .◆

정보보호는 계획된 접근을 필요로 하며 단독으로 고려할 수 없다 그것은 전략적인 계획IT .

프로세스의 특징을 갖추어야 한다 따라서 정보보호는 시작부터 시스템 내에서 계획 설계되. ,

어야 한다 대부분의 상황에서 나중에 대책을 보강하는 것이 비용이 더 많이 들고 비실용적.

이다.

- 56 -

정보보호 계획정보보호 계획정보보호 계획정보보호 계획2.2.6 IT2.2.6 IT2.2.6 IT2.2.6 IT

정보보호 계획은 시스템 정보보호 정책을 구현하기 위한 조정 활동을 정의하는 문서IT IT

이다 이 계획은 단기 중기 장기로 실행할 주요 활동을 포함한다 또한 투자 운영 비용 작. , , . , ,

업량 등과 구현 시간 일정과 관련된 비용을 포함한다 계획에는 다음이 포함되어야 한다. .

전반적인 정보보호 구조 설계, .◆

최대 재정 손실 재정 궁핍 회사이미지 등이 반영된 조직의 정보보호 목표와 부합되는, , ,◆

시스템의 간략한 검토IT .

관리에 의한 유지 및 검증으로 평가 위험에 상응하는 대책 식별.◆

대책의 유효성 측정을 포함하는 대책의 실제 신뢰 수준 평가.◆

정해진 시스템 혹은 그 적용의 관계에서 잔류 위험에 대한 전체적인 평가.◆

대책을 구현하기 위해서 상대적인 우선순위에 따른 작업의 정의 식별, .◆

우선순위 예산 시간 일정을 포함하는 대책 구현을 위한 세부작업 계획, , .◆

다음을 포함하는 프로젝트 통제 활동.◆

자원 투입과 책임 할당.■

진행보고 절차 규정.■

직원과 최종 사용자의 정보보호 인식과 훈련IT .◆

정보보호 운영 개발과 행정 절차 요건.◆

추가로 계획은 그 자체의 변경을 포함하여 상기 요점들 각각의 검증을 위한 조건과 작업 규

정 절차를 포함해야 한다.

대책 구현대책 구현대책 구현대책 구현2.2.72.2.72.2.72.2.7

정보보호 계획 수립 후에는 실행하는 것이 중요하다IT .

- 57 -

보통 시스템 정보보호담당이 그것에 대해 책임이 있다 다음 목표에는 정보보호 구현시IT .

각별한 주의를 기울여야 한다 다음을 보장해야 한다. .

대책의 비용은 승인된 범위 내에서 유지한다.◆

대책은 정보보호 계획이 요구하는 대로 정확히 구현된다IT .◆

대책은 정보보호 계획이 요구하는 대로 운영 관리된다IT , .◆

대부분의 기술적 대책은 운영 및 관리적 절차에 의해 구현될 필요가 있다 순수하게 기술적.

수단으로 실행할 수 없다 따라서 절차는 선형관리에 의해 지원 실시된다. , .

정보보호 인식과 훈련도 대책으로 간주된다 정보보호 인식은 모든 인력에 적용되는 반면.

구체적인 정보보호 훈련은 다음 부문에서 요한다.

시스템 개발을 책임지는 인력IT .◆

시스템 운영을 책임지는 인력IT .◆

프로젝트 및 시스템 정보보호담당IT .◆

정보보호 관리 접근 통제 등 를 책임지는 인력( ) .◆

정보보호 계획의 구현이 완료되었을 때 시스템 정보보호 계획에 명시된 대책의 구현IT , IT

을 위한 공식적인 프로세스가 발생한다 승인을 얻으면 그 때 시스템 혹은 서비스가 운. IT

영되도록 허가한다 몇몇 공동체에서 승인 프로세스는 인가 라 하기. (approval) (accreditation)

도 한다 시스템이나 서비스에 어떤 중요한 변화가 발생한 경우 시스템 혹은 서비스. IT , IT

를 재점검 재시험 재승인해야 한다, , .

정보보호 인식정보보호 인식정보보호 인식정보보호 인식2.2.82.2.82.2.82.2.8

정보보호 인식 프로그램은 최고 경영진에서 최종 사용자에 이르기까지 조직 전 계층을 통해

구현되어야 한다 사용자 수준의 인력 수용 및 개입 없이는 정보보호 인식 프로그램이 성공.

할 수 없다 사용자들은 프로그램의 성공에 대한 자신들의 중요성을 이해할 필요가 있다. .

- 58 -

정보보호 인식 프로그램은 기관의 정보보호 정책에 대한 지식에 입각하여 통과되며 정IT

보보호 지침과 적합한 작업에 대한 완전한 이해를 확신한다 뿐만 아니라 정보보호 인식 프.

로그램은 시스템 정보보호 계획의 목표를 내포한다 프로그램은 최소한 다음 주제를 다루어.

야 한다.

정보 보호의 기본적 필요성.◆

조직과 사용자를 위한 정보보호 사고.◆

위험과 대책의 이해로 이어지는 정보보호 정책 위험 관리전략의 목표와 설명IT , .◆

대책의 구현과 점검을 위한 정보보호 계획IT .◆

정보 분류.◆

데이터 보유자의 책임.◆

책임 직무 해설 및 절차, .◆

정보보호 훼손 또는 시도의 조사 보고 필요성, .◆

인가된 방법 훈련 활동 포함 으로 활동하지 않은 경우의 결과( ) .◆

정보보호 준수 점검.◆

변화 및 형상 관리.◆

효과적인 정보보호 인식 프로그램은 소책자 핸드북 포스터 비디오 신문 실제 연습 강습, , , , , ,

회 세미나 강의와 같은 다양한 매체를 사용할 것이다 인식 프로그램의 실시는 사회적 문, , . ,

화적 심리적 측면을 고려해야 하고 정보보호의 중요성을 완전히 인식하는 문화를 발전시켜,

야한다는 사실이 중요하다.

정보보호 인식은 조직의 모든 사람과 관계가 있으며 행동에 영향을 주어야 하고 모든 사람

의 책임 증진으로 확대되어야 한다 중요한 요소는 경영진이 정보보호의 중요성을 인식하도.

록 하는 것이다 직원들의 정보보호 인식을 확인하는 것이 관리자 업무의 일부이다 그러므. .

로 상응하는 예산을 수립해야 한다 큰 조직의 경우 정보보호 인식의 책임은 기관 정. IT IT

보보호담당에게 있다 인식 프로그램의 목적은 시스템에 중요한 위험이 존재하고 있고. IT

정보가 손실되고 있고 비인가된 변경 혹은 공개가 조직과 직원에게 심각한 결과를 가져올

수 있다는 사실을 관계자들에게 확신시키는 것이다.

- 59 -

정보보호 인식 강의는 현재 임직원의 지식을 향상시키고 새로운 직원에게 교육 위하여 주기

적으로 반복되어야 한다 더욱이 각각의 새로운 직원 새로 직무 전환한 직원 새로 승진한. , ,

직원은 그들의 새로운 책임에 대해서 교육받아야 한다 정보보호 측면의 다른 과정으로. IT

통합하는 것도 바람직하다 정보보호 인식은 진행형 프로세스이며 결코 완벽할 수는 없음을.

강조한다.


모든 대책은 예측가능하며 적절한 방법으로 기능하고 그 기능을 지속하기 위해 유지보수를

요한다 정보보호의 이러한 측면은 가장 중요한 면의 하나이지만 일반적으로 가장 적은 관.

심을 받았다 대개 시스템이나 서비스는 이미 존재하는 것이고 정보보호는 뒤늦은 생각으로.

추가되고 그리고 나서 잊어버리는 것이었다 구현된 대책을 무시하는 경향이 있으며 기껏해.

야 정보보호 향상과 유지에는 조금 신경을 쓸 뿐이다 더욱이 대책의 노후화는 우연에 의해.

서가 아니라 계획된 행동에 의해 발견되어야 한다 추가로 정보보호 준수 점검 운영 환경. ,

모니터링 사용 기록 검토 사고 처리는 진행중인 정보보호를 보장하는 데 필요한 것들이다, , .


관리를 포함하는 대책의 유지보수는 조직 정보보호 프로그램의 필수적 부분이다 이는 다음.

을 보장하기 위한 모든 수준의 관리 책임이다.

조직의 자원을 대책 유지를 위해 배분한다.◆

대책이 그들의 계획대로 수행을 계속한다는 것을 보증하기위하여 주기적으로 정당성을◆

재검토한다.

새로운 요건 발견시 대책을 갱신한다.◆

대책 유지에 대한 책임을 명확히 수립한다.◆

- 60 -

시스템에 대한 하드웨어와 소프트웨어 변경 및 갱신은 기존대책의 수행 의도를 변경IT◆

하지 않는다.

기술상의 진보는 새로운 위협이나 취약성을 유도하지 않는다.◆

상기 언급한 유지보수 활동이 완성되면 기존의 대책은 의도대로 수행을 지속하고 역행하는,

비용의 충격을 피할 수 있을 것이다.

정보보호 준수정보보호 준수정보보호 준수정보보호 준수2.2.9.22.2.9.22.2.9.22.2.9.2

정보보호 감사나 정보보호 검토로 알려져 있는 정보보호 준수는 시스템 정보보호 계획IT

과의 부합 순응을 확인하기 위하여 사용되는 중요한 활동이다 적절한 정보보호 수준이, . IT

여전히 유효하다는 사실을 보증하기 위하여 프로젝트 또는 시스템 정보보호 계획에 대IT

책을 규정하고 구현된 대책을 준수하고 이를 지속적으로 유지하는 것이 필수이다 모든. IT

프로젝트와 시스템에 대해서 다음의 작업시 이것이 이루어져야 한다.

설계 및 개발.◆

운영 수명시간.◆

교체 또는 폐기.◆

정보보호 준수 점검은 외부 혹은 내부 인력 감사자 등 을 이용하여 실행할 수 있으며 필수( )

적으로 정보보호이나 시스템 정보보호 정책에 관계되는 점검 목록 사용에 근거한다IT .

정보보호 준수 점검은 계획된 다른 활동과 같이 계획하고 통합시킨다 현장 점검은 운영 지.

원 직원과 사용자들이 명시한 대책들과 절차에 따라 수행하고 있는지 여부를 결정하는 데

있어 특히 유용하다.

점검은 정보보호 대책의 구현 정확한 구현 정확한 사용 적절한 경우 시험을 보장하도록, , ,

해야 한다 어떤 대책이 정보보호를 준수하지 않는 것을 발견한 경우 정정 작업 계획을 구. ,

상 실시하고 그에 따른 결과를 재검토한다, .

- 61 -


모니터링은 정보보호 생명주기의 중대한 부분이다 적절한 모니터링 수행은 관리자들에IT .

게 다음과 같은 명확한 의견을 제공한다.

설정된 목표 및 데드라인과 비교하여 성취한 사항들.◆

성취 사항의 만족도 및 구체적인 착수의 실시 여부.◆

자산 위협 취약성 및 대책들에 대한 모든 변화는 잠재적으로 위험에 대해 중요한 영향을, ,

줄 수 있고 변화의 조기 감지는 예방 조치가 실행되도록 한다 많은 대책들은 정보보호 관.

련 사건의 출력 기록을 생성한다 이러한 기록은 최소한 주기적으로 검토되어야 한다 그리. .

고 변화 추세의 조기 감지 및 반대 사건 재발의 감지를 위한 통계적 기법을 이용하여 분석

함으로써 가능하다 사건 후 분석만을 위한 사용 기록은 잠재적으로 매우 강력한 대책 구조.

를 무시할 수도 있다 모니터링은 규칙적인 분석에 대해 정보보호담당 및 관리자에게 보. IT

고하기 위한 절차 또한 포함한다.


정보보호 사고 발생은 불가피한 일이다 각각의 사고는 사고로 인한 손상에 대해서 심도 있.

게 측정해야 한다 사고 처리는 정상적인 시스템 운영에 대한 우연적 혹은 의도적인 파. IT

손에 대응할 정도의 능력을 제공한다 따라서 사고 보고 및 조사 계획을 조직 전체의 시. IT

스템과 서비스에 적합한 것으로 개발한다 나아가 사고 처리는 정보보호사고와 관련 위. IT

협의 발생 및 자산 및 업무 운영에 대한 사고 관련 영향의 더 광의의 관점에서 내부 조IT

직의 보고 계획으로 연결되기 위해 고려되어야 한다 사고 조사중의 기본 목표는. IT

합리적이고 효율적 방법으로 사고에 대응.◆

앞으로 유사한 사건을 방지하기 위해서 사고에서 교훈 습득.◆

- 62 -

미리 정의한 결정으로 준비한 행동 계획은 더 이상의 손상을 제한하는 합리적 시간에 또한

보조 수단으로 감소된 업무를 계속하기에 적절한 경우에 조직이 반응하도록 허용한다 사고.

처리 계획은 모든 사건과 작업의 연대기적 자료 요건을 반드시 포함해야 한다 이는 사건의.

원인 식별을 위한 것이다 이는 대책을 개선하여 앞으로의 위험을 줄이기 위한 두 번째 목.

적에 도달하는 전제 조건이다 한 사건의 개시 효과는 대책에 투자하는 의욕을 증가시킨다. .

다음의 질문들을 다루면서 사고 분석의 실행 및 문서화가 중요하다

언제 무엇이 일어났는가?◆

직원은 계획을 수행했는가?◆

필수 정보는 제때에 직원들에게 가용했는가?◆

직원들은 다음에는 다르게 일을 처리하기 위해 무엇을 제안했나?◆

이러한 질문의 대답은 사고를 이해하는 데 도움이 될 것이다 이는 차례로 관련 시스템. IT

정책 및 계획 즉 대책 개선 취약성 감소 그리고 정보보호 인식 프로그램 채택 을 갱신하여( , , )

위험을 줄이는 데 사용되어야 한다.

- 63 -

실무자 관점실무자 관점실무자 관점실무자 관점2.32.32.32.3

정보보호 목표 전략 정책정보보호 목표 전략 정책정보보호 목표 전략 정책정보보호 목표 전략 정책2.3.1 , ,2.3.1 , ,2.3.1 , ,2.3.1 , ,

조직의 정보보호 목적을 설정한 후 정보보호 전략은 정보보호 정책 개발을 위한 기반을IT

형성하기 위해서 개발되어야 한다 정보보호 정책 개발은 위험 관리 공정에 대한 결과가. IT

적절하고 효율적이라고 보증하기 위해서 필수적이다 조직 전반에 대한 관리 지원은 정책의.

개발 및 효율적 실행을 위해 필수이다 정보보호 정책은 기관 목적 및 특히 조직의 특수. IT

측면을 고려해야 한다는 것은 필수적이다 정보보호 정책과 업무 정책은 대등해야 한다 이. .

러한 일직선상에서 정보보호 정책은 가장 효과적으로 자원을 사용할 수 있도록 도움을IT

주며 상이한 시스템 환경 범위를 가로지는 정보보호를 위한 일관된 접근을 보장할 것이다.

개별 또는 몇몇 시스템에 대한 별도의 그리고 구체적인 정보보호 정책을 개발하는 것이 필

요하다 이러한 정책은 위험 분석과 기준선결과에 기반을 두고 정보보호 정책과 준수하. IT

여야 한다 그에 따라서 그것이 관계하는 시스템을 위하여 정보보호 권고안을 고려한다. .

정보보호 목표 및 전략정보보호 목표 및 전략정보보호 목표 및 전략정보보호 목표 및 전략2.3.1.12.3.1.12.3.1.12.3.1.1

정보보호 관리 공정의 첫 단계로서 광범위한 수준의 위험이 그 조직에 얼마나 수용 가능한

가 라는 의문을 고려해야 한다 수용 가능한 위험의 정확한 수준 성공적인 정보보호 관리? .

핵심이다 그러므로 적절한 정보보호 수준이 이루어진다 필요한 광범위한 정보보호 수준은. .

하나의 조직이 충족시키고자 하는 정보보호 목적에 의해 결정된다 이러한 정보보호 목IT .

표를 평가하기 위해서는 자산과 그 자산이 조직에 얼마나 가치 있는가를 고려해야 한다 이.

것은 주로 가 조직의 업무 수행을 지원하기 때문에 가 가지고 있는 중요성에 의해서IT IT

결정된다 따라서 그 자체 비용은 단지 그의 가치중의 일부에 불과하다. IT .

- 64 -

다음은 조직의 사업이 에 얼마나 많이 의존하느냐를 평가하기 위해서 가능한 질문들이다IT .

지원 없이 수행될 수 없는 중요한 매우 중요한 업무 영역은 무엇인가IT / ?◆

도움으로 할 수 있는 과업은 무엇인가IT ?◆

어떠한 필수적인 결정이 이러한 정보가 얼마나 최근의 것인가에 입각하여 혹은 에 의IT◆

해 처리되는 정보의 정확성 무결성 가용성에 의존하는가, , ?

처리된 기밀적 정보 중 어떠한 것이 보호되어야 하는가?◆

조직에 대한 원치 않은 정보보호 사고에 대한 연루 관계는 무엇인가?◆

이러한 질문에 대답은 조직의 정보보호 목표를 평가하는데 도움이 된다 예를 들어 만약 어.

떠한 중요한 혹은 매우 중요한 사업의 일부가 정확하며 최신 정보에 의존한다면 그럴 경우

이 조직의 정보보호 목적 중의 하나는 시스템에서 처리되는 것과 같이 정보의 무결성IT

및 시기 적절성이 될 것이다 또한 중요한 사업 목적 및 그들의 정보보호 관계는 정보보호.

목적을 평가할 때 고려되어야 한다.

정보보호 목적에 의하여 이러한 목적을 달성하기 위한 전략은 준수하여야 한다 선정된 전.

략은 자산 가치를 보호하기 위하여 적합해야 한다 예를 들어 만약 상기의 질문들 중의 하.

나 또는 그 이상에 대한 대답은 예 라면 그 때 조직은 높은 정보보호 요건을 가지는 경우“ ”

이다 이러한 요건을 만족시키기 위한 충분한 노력을 포함하는 전략 선정하는 것이 바람직.

하다.

정보보호 전략은 일반적으로 어떤 조직이 그 정보보호 목적을 어떻게 달성할 것인가IT IT

에 대하여 개괄적으로 설명한다 그러한 전략이 설명해야 하는 주제는 그러한 목적의 수 형. ,

태 및 중요성에 달려 있으며 보통 조직을 통하여 일목요연하게 조직을 설명해야 하는 중요

하다고 간주하는 것들이다 주제는 본질적으로 매우 구체적이거나 광범위할 수도 있다. .

- 65 -

전자의 경우 어떤 조직은 그 사업의 본질 때문에 조직의 모든 시스템이 상위 수준의 가용성

을 유지해야 한다는 중요한 정보보호 목적을 가질 수 있다 이러한 경우 하나의 전략 주IT .

제는 바이러스 백신 소프트웨어를 전체 조직에 설치하여 바이러스 감염을 최소화하는 목표

를 제시해 줄 수 있다.

광의의 의미에서 후자를 설명하기 위해서는 어떤 조직은 그 조직의 업무가 서비스 판매IT

이기 때문에 시스템 정보보호는 그들의 잠정적인 고객들에게 증명되어야 한다는 정보보IT

호 목적을 가질 수 있다 이러한 경우 전략 주제는 모든 시스템은 승인된 제 자에 의해서. 3

안전하다고 정당화되어야 하는 것일 수 있다 정보보호 전략에 대한 가능한 다른 주제는. IT

그 주제로 인한 구체적인 대상이나 결합 때문에 다음을 포함한다.

조직 전반에 걸쳐 선정되는 위험 분석 및 방법◆

각 시스템에 대한 정보보호 정책의 필요성IT◆

각 시스템에 대한 정보보호 작동 절차 필요성◆

조직 전반의 정보 중요도 분류 계획◆

다른 조직이 연결되기 전 연결 정보보호 조건이 충족 및 점검될 필요성◆

일반적으로 사용되는 사고처리 계획◆

일단 결정되면 정보보호 정책과 그 하위 주제들은 정보보호 정책으로 통과되어야 한다IT .

정보보호 정책정보보호 정책정보보호 정책정보보호 정책2.3.1.2 IT2.3.1.2 IT2.3.1.2 IT2.3.1.2 IT

정보보호 정책은 합의된 정보보호 정책 및 전략을 기반으로 책정되어야 한다 기관IT IT .

업무 정보보호 정책과 관련이 있는 정보보호 정책 및 정보보호 관련법과 규정을 수, , IT IT

립 및 유지하는 것이 필요하다.

- 66 -

정보보호 정책에 영향을 주는 중요한 요소는 조직이 사용하고 있는 에 얼마나 의존하IT IT

고 있는가 이다 사용이 중요하고 조직이 보다 많이 에 의존할수록 업무 목적이 충족. IT IT

되도록 보장하기 위해서 더 많은 정보보호를 필요로 한다 정보보호 정책을 기록할 때. IT

문화적 환경적 조직적 특징들을 신중히 고려해야 한다 이는 정보보호 정책은 정보보호, , . IT

에 대한 접근 방식에 영향을 줄 수 있기 때문이다 예를 들면 어떤 환경에는 쉽게 수용될.

수 있는 어떤 대책들이 다른 환경에서는 완전히 수용될 수 없는 어떤 대책과 같은 것이다.

정보보호 정책에서 기술하는 정보보호 관련 활동은 조직 목적 전략 이전의 정보보호IT , ,

위험분석과 관리 검토의 결과 구현된 대책 매일 사용하는 정보보호 모니터링과 검토, , IT

그리고 정보보호 관련 사고보고서의 정보보호 준수 점검과 같은 후속조치 활동의 결과에 근

거할 수 있다 이러한 활동 중에 감지된 심각한 위협이나 취약성은 조직의 전반적인 접근.

방식이 이러한 정보보호 문제를 다루도록 기술하는 정보보호 정책으로 설명되어야 할IT

필요가 있다 정보보호 정책을 개발할 때 다음의 기능으로부터 대표자들이 참여한다. IT , .

감사◆

재정◆

정보 시스템 기술자 사용자( , )◆

시설 하부 구조 구조 권고안 공기 조절에 대한 책임이 있는 사람/ ( , , )◆

인력◆

정보보호◆

상위 사업 관리◆

정보보호 목적과 전략에 따라서 조직은 채택한 전략에 따라 정보보호 정책의 적절한 세IT

부 수준을 결정한다 최소한 정책은 다음사항을 기술해야 한다. IT .

- 67 -

영역 및 목표◆

법적 규정 의무 업무 목적과 준수하는 정보보호 목적, ,◆

비밀성 무결성 가용성 책임추적성 진정성 정보의 신뢰성을 조건으로 하는 정보보, , , , , IT◆

호 요건

조직과 개인의 책임 및 권한을 포함하는 정보 보호 관리◆

조직이 선정하는 위험 관리 접근◆

대책 구현에 관하여 우선권을 결정하는 수단◆

관리에 의해 탐색되는 광의의 정의보호 수준 및 잔류 위험◆

접근 통제 빌딩 방 시스템 정보에 대한 논리적 접근 통제뿐만 아니라 물리적 접근 통( , , ,◆

제 에 대한 일반적 규칙)

조직내의 정보보호 인식 및 훈련을 위한 접근◆

정보보호 점검 및 유지 보수하는 광의의 절차◆

일반적인 인사 정보보호 사안◆

관련된 모든 사람들에게 정책이 통신되는 수단◆

정책 검토중인 환경◆

정책 변화를 통제하는 방법◆

더욱 세부적인 정보보호 정책이 필요한 경우 다음의 문제를 고려해야 한다IT

조직 전반에 걸친 정보보호 모델 및 절차◆

표준 사용◆

대책 구현을 위한 절차◆

후속조치 활동에 대한 접근◆

정보보호 준수 점검■

대책 모니터링■

정보보호 관련 사고 처리■

시스템 사용 모니터링IT◆

외부의 정보보호 자문위원을 고용하고 있는 환경◆

이전의 위험 분석 및 관리 검토의 결과 정보보호 준수 점검 및 정보보호 사고는 기관, IT

정보보호 정책에 영향을 줄 수 있다.

- 68 -

이는 교대로 이미 정의된 전략 또는 정책의 검토 및 정비를 요한다.

모든 정보보호 관련 측정을 위한 적절한 지원을 보장하기 위해서 정보보호 정책은 최고IT

경영진에 의해 승인되어야 한다 정보보호정책에 원칙에 입각하여 지시 방향을 작성해야. IT

하며 이는 모든 관리자와 고용인에게 적용되고 있다 이는 조직 내에서 모든 사람들이 정보.

보호책임에 대한 개별적인 책임을 인식할 것을 서류 상에 각 고용인의 서명을 요한다 더욱.

이 정보보호 인식과 훈련 프로그램은 이러한 측면과의 통신을 위해 개발 및 실행되어야 한

다.

정보보호 정책과 이 정책이 조직의 요건과 실제의 상태를 반영하고 있음을 보장하기 위IT

하여 책임을 지는 개인을 임명하여야 한다 그 사람은 대체로 정보보호 임원이며 그와. IT

같은 임원은 다른 것들 중에서도 후속조치 활동에 대해 책임을 진다 이는 정보보호 준수.

점검검토 사고 처리와 정보보호 약점 이러한 활동 결과에 따라 필요한 기관 정보보호, IT

정책에 대한 어떤 변화를 포함한다.

위험 분석 전략 선택위험 분석 전략 선택위험 분석 전략 선택위험 분석 전략 선택2.3.22.3.22.3.22.3.2

어떤 위험 분석 활동에 착수하기 전 조직은 반드시 이러한 분석을 위해 전략을 적절하게 사

용해야 한다 그리고 그것의 구성 영역 방법 기법 들은 정보보호 정책으로 문서 증명되. ( , ) IT

어야 한다 위험 분석 방법 선정을 위한 수단 및 기준을 조직과 합의한다 위험 분석 전략은. .

선정된 접근 방식이 환경에 적합하다는 사실과 그러한 위험 분석 전략은 실제로 필요한 경

우에 정보보호 노력을 집중시킨다는 사실을 보증해야 한다 아래에 설명된 조건들은 네 가.

지의 상이한 위험 분석을 설명한다 각각의 이러한 조건이 기본적 차이는 위험 분석 심도의.

차이이다 일반적으로 모든 시스템에 대한 세부적인 위험 분석을 수행하는 것은 너무 비. IT

용이 많이 들며 심각한 위험에 대한 단지 주변적인 주의를 기울이는 것은 효율적이지 못하

기 때문에 이러한 조건들간의 균형이 필요하다 아무 일도 하지 않고 가능성 및 미확인의.

중요하고 엄격하다고 알려진 많은 위험에 노출이 있을 것이라는 사실을 수용하는 가능성은

별도로 하더라도 위험 분석 전략을 위한 네 가지의 기본적 조건이 있다.

- 69 -

시스템에 직면하고 있는 위험과 관계없이 모든 시스템에 대한 동일한 기준선 접근을IT◆

이용한다 그리고 정보보호 수준이 항상 적절할 수 없음을 수용한다. .

위험 분석 수행에 비공식적 접근 방식을 이용하고 상위 위험에 노출되어 있다고 인식하◆

는 시스템에 전념한다IT .

모든 시스템에 대한 공식적인 접근을 이용하는 세부적인 위험 분석을 실행하라IT .◆

상위 위험 노출 시스템의 세부적인 위험 분석을 따라 그리고 다른 모든 시스템에 대IT◆

해 기준선 정보보호를 적용하여 기준선에 대하여 중요한 것들과 상위 위험에 노출된 시IT

스템을 식별하기 위하여 초기의 상위 수준 의 위험 분석을 수행한다“ ” .

정보보호 위험을 설명하는 것으로 이러한 상이한 가능성들은 아래에서 논의하고 그런 다음

권고안은 우선적인 접근에 관하여 작성한다 만약 어떤 기관이 정보보호에 대해 아무것도.

하지 않기로 하고 대책의 구현을 연기한다면 관리는 이러한 결정으로 인한 의미를 인식해야

한다 반면 이러한 결정이 시간 돈 인력 다른 어떤 자원도 필요로 하지 않는다면 그러한. , , ,

결정은 다수의 불리함이 있다 기관이 시스템의 중요하지 않은 본성에 대해 확신하지 않. IT

는다면 심각한 결과들로 조직을 개방시켜 두는 것이다 만약 어떤 기관이 정보보호상 파기.

에 관련이 있거나 어떠한 예방 조치도 취하지 않았다고 보여지면 그러한 기관은 법과 규정

을 지키지 않았을지도 모르며 그 명성은 크게 타격을 받게 된다 만약 어떤 기관이 정보. IT

보호에 대한 많은 주의를 기울이지 않고 어떤 중요한 업무 시스템을 가지고 있지 않다면 이

것이 아마 존속 가능한 전략이 될 것이다 그러나 기관은 그 상황이 얼마나 좋고 나쁜지 구.

별하지 못하는 위치에 남겨져 있고 대부분의 기관에 있어 이는 좋은 해결 방안은 될 수 없

는 것이다.


- 70 -

첫 번째 조건으로 어떤 조직은 표준 대책을 선정함으로써 모든 시스템에 대해 기준선IT

정보보호를 적용할 수 있다.


개별 대책 구현을 위한 위험 분석 및 관리를 위해서 단지 최소의 자원을 필요로 하고 따◆

라서 정보보호 대책을 선택하는데 보다 적은 시간과 노력이 소요된다.

기준선 대책은 비용 효율적인 해결 방안을 제공한다 이는 조직의 많은 수의 시스템이.◆

평범한 환경에서 작동하고 정보보호 필요성 하다면 큰 노력 없이 많은 시스템에 동일하거나

유사한 기준 대책들이 선정되었기 때문이다.


기준선 수준이 너무 높이 책정되면 몇몇 시스템에서는 너무 극단의 정보보호수준을IT◆

요한다.

기준선 수준이 너무 낮게 책정되면 몇몇 시스템에서는 상위 수준의 노출을 초래하여IT◆

정보보호 결핍 현상이 인다.

정보보호 관련 변화를 관리하는데 있어 어려움이 있다 예를 들면 어떤 시스템이 갱신된. ,◆

경우에 본래의 기준선 대책이 여전히 완전한지 여부를 평가하는 것은 어렵다.

만약 조직의 모든 시스템 하위 수준의 정보보호 요건만이 존재할 경우 이는 가장 비용IT

효율적인 전략이 될 것이다 이러한 경우에 기준선은 대부분의 시스템이 요구하는 보호. IT

정도를 반영하는 것으로 선정되어야 한다 대부분의 조직은 중요 자료 보호 및 자료 보호법.

과 같은 데이터 보호 규정과 같은 법과 규정에 부응하기 위해 몇 가지 최소의 표준을 충족

시킬 필요가 있다 그러나 조직의 시스템은 사업 중요도 규모 복합성으로 변화하는 경우에. , ,

모든 시스템에 공통 표준을 적용하는 것은 논리적이지도 비용 효율적이지도 못하다

비공식 접근비공식 접근비공식 접근비공식 접근2.3.2.22.3.2.22.3.2.22.3.2.2

- 71 -

본 조건은 비공식적인 실용적 위험 분석을 수행하는 것이다 비공식적 접근은 구조적인 방.

법에 기초하지 않고 개인의 지식과 경험을 이용하는 것이다.


일반적으로 많은 시간과 자원을 요하지 않는다 비공식 분석을 수행하기 위해서 추가의.◆

기술 습득을 요하지 않고도 세부적인 위험 분석보다 신속하게 수행할 수 있다.

그러나 단점단점단점단점이 더 많다.

어떤 종류의 공식적 접근이나 포괄적인 점검 목록 없이 중요한 세부사항의 일부를 상실◆

할 가능성이 증가한다.

이러한 방법으로 평가된 위험에 대응하는 대책구현을 정당화하는 것은 어렵다.◆

위험 분석에 있어 최소한의 경험을 가진 사람은 이와 같은 과업에 있어 그들을 지원하는◆

지침서는 거의 없다.

과거의 어떤 접근은 취약성이 진전하도록 이루어져 왔다 즉 대책은 이와 같은 식별된.◆

취약성을 기반으로 구현되어 왔으나 이러한 취약성 유발 경향이 있는 어떤 위험이 존재하는

지 여부를 고려하지 않았다 즉 대책에 대해서 실제 필요성이 있는지의 여부를 말한다. .

주관성의 정도를 소개할 수 있다 즉 검토자의 특정 편견이 결과에 영향을 미칠 수 있다. .◆

비공식 위험 분석을 수행했던 사람이 조직을 이탈한다면 문제가 발생할 수 있다.◆

위의 단점을 기초로 하여 본 조건은 많은 조직들에 대한 위험 분석을 위하여 효과적인 접근

은 아니다.


세 번째 조건은 조직 내 모든 시스템에 대한 세부적인 위험 분석을 수행하기 위한 것이IT

다.

- 72 -

세부적인 위험 분석은 심도 있는 식별 및 자산평가 그러한 자산에 대한 위협평가 취약성, ,

평가를 포함한다 그런 후 이러한 활동의 결과는 위험을 평가 및 정당한 정보보호 대책들을.

식별하기 위하여 사용한다.


적절한 대책은 모든 시스템에 대하여 식별될 수 있다.◆

세부적인 위험 분석 결과는 정보보호 변화 관리에 사용될 수 있다.◆


결과 얻기 위한 많은 노력 시간 전문가를 필요로 한다, , .◆

중요한 시스템에 대한 보호 필요성이 너무 늦게 파악될 가능성이 있다 왜냐하면 모든.◆

시스템이 동일한 세부 사항으로 간주될 수 있고 분석을 완성하는 데 상당한 시간이 소IT

요되기 때문이다.

그러므로 모든 시스템에 세부적인 위험 분석을 사용하는 것은 바람직하지 않다 만약 이IT .

러한 접근이 선정되면 여러 가지 가능한 연루 관계들이 있다, .


모든 시스템에 대한 초기의 상위 수준의 위험 분석을 수행하는 것이다 시스템의 업IT . IT

무 가치 및 그것이 노출되어 있는 심각한 위험에 입각하여 강조하는 각각의 경우에 해당한

다 높은 위험에 노출되거나 조직의 사업을 위하여 중요한 것으로 식별된 시스템에 대해. IT

기준선 접근을 선정해야 한다 본 접근방식은 어떤 점에서 항과 항에서 설명한. 2.3.2.1 2.3.2.3

방식 중에서 최고의 요점만을 혼합한 것으로서 대책 식별에 소요되는 시간과 노력을 최소화

하는 정돈된 균형을 규정하는 반면에 높은 위험을 지닌 시스템은 적절히 보호된다고 보장한

다.

- 73 -

추가적인 장점장점장점장점

초기의 신속 및 간단한 접근의 통합은 위험 분석 프로그램 수용을 얻는 경향이 있다.◆

조직의 정보보호 프로그램을 위한 전략적 구도를 신속히 수립하는 것이 가능하다 즉 이. ,◆

는 훌륭한 계획 지원으로서 작동할 수 있다.

가장 효용이 있는 경우에 자원 및 자본을 투입할 수 있으며 가장 많은 보호 필요성을 요◆

하는 시스템이 먼저 설명될 것이다 그리고 후속조치 활동이 보다 성공적으로 이루질 수 있.

다.

잠재적인 단점단점단점단점

초기의 위험 분석이 높은 수준에 있고 잠재적으로 다소 정확도가 떨어질 때 몇몇 시스, ,◆

템들은 세부적인 위험 분석을 요하기 때문에 식별될 수 없다 그러나 기준선 정보보호로 여.

전히 이러한 시스템을 방어할 수 있다 또한 이러한 시스템은 기준선 접근 외에 그 이상을.

필요로 하는지 여부 점검이 필요할 때마다 재점검될 수 있다.

기준선 접근과 결합된 높은 수준의 접근 채택 및 적절한 경우에 세부적인 위험 분석은 대다

수의 조직들에게 가장 효율적인 진행 방법을 제공한다.

조합적 접근조합적 접근조합적 접근조합적 접근2.3.32.3.32.3.32.3.3

혼합 위험 분석 전략을 실행하기 위한 지침을 제공한다.

상위 수준의 위험 분석상위 수준의 위험 분석상위 수준의 위험 분석상위 수준의 위험 분석2.3.3.12.3.3.12.3.3.12.3.3.1

어떤 접근 방식이 각각의 시스템에 적절한 것인가를 식별하기 위하여 초기의 상위 수준IT

의 위험 분석을 수행하는 것이 필요하다 이러한 상위 수준의 위험 분석은 시스템 및 정. IT

보 처리의 업무 가치 그리고 조직의 업무 주요 관점에서 나오는 위험을 고려한다.

- 74 -

접근방식이 어떤 시스템에 적합한가에 관한 결정을 위한 입력은 다음의 고찰 사항으로IT

부터 얻을 수 있다.

시스템을 사용하여 달성하는 업무 목적IT◆

조직의 업무가 시스템에 의존하는 정도 즉 조직이 조직의 생존 혹은 효율적인 업무IT .◆

수행을 위하여 중요하다고 간주하는 기능이 이러한 시스템에 의존하든지 아니면 비밀성 무,

결성 가용성 책임추적성 신빙성 및 시스템의 프로세스 정보 신뢰성에 달려 있는지의 여부, , ,

를 말한다.

개발 유지 시스템 교체를 조건으로 본 시스템에 대한 투자 수준, , IT◆

조직이 직접적으로 가치를 할당하는 것에 대한 시스템 자산IT◆

이러한 항목들이 평가되었을 때 결정은 일반적으로 쉽다 시스템 목적이 조직의 업무 수행, .

에 중요할 경우 시스템 교체 비용이 높은 경우 혹은 자산 가치가 위험에 노출한 수준이 높, ,

을 경우에 시스템에 대한 세부적인 위험 분석이 필요하다 이러한 조건들 모두 세부적인 위.

험분석 수행을 정당화하기에 충분하다.

시스템 정보보호 부족이 조직 업무 프로세스 자산에 심각한 손상이나 피해를 가져올IT , ,

수 있다면 이 때 잠재 위험을 식별키 위한 세부적인 위험 분석이 필요하다 다른 모든 경우, .

에는 기준선 접근적용이 적절한 보호를 제공한다.


기준선 보호의 목적은 기관의 모든 혹은 일부의 시스템 보호를 위한 최소의 대책을 구축하

는 데 있다 이러한 접근을 사용하여 전반적인 조직에 기준선 보호를 적용한다 상기의 반영. .

한 바와 같이 더욱이 높은 위험 수준에 시스템 및 업무상 중요한 시스템을 보호하기 위IT

하여 세부적인 위험 분석 검토를 사용한다 기준선 접근 방식 사용은 조직이 위험 분석 검.

토의 수행 중에 실행해야 하는 투자를 감소시킨다.

- 75 -

적절한 기준선 보호는 가장 일반적인 위협에 대항하여 시스템을 보호하는 대책을 제안IT

하는 대책 카탈로그 사용함으로써 달성될 수 있다 기준선 정보보호 수준은 조직의 필요에.

따라 조정될 수 있다 위협 취약성 위험에 대한 세부적인 평가는 필요하지 않다 기준선 보. , , .

호를 적용하기 위하여 시행해야 하는 모든 것은 고려된 시스템과 관련하는 대책 카탈로IT

그에서 그러한 부분들을 선정해야 한다 이미 적소에 설치된 대책 식별 후에 기준선 카탈로.

그에 수록된 대책들과 비교되어야 한다 제 위치에 있지 않은 것들과 적용 가능한 것들을.

실행해야 한다.

기본적인 필요성 검토 후 상당수의 상이한 조직은 기준선 대책 카탈로그 사용이 가능하다.

예를 들어 기준선 대책 카탈로그는 다음으로부터 얻을 수 있다, .

국제 국가 표준화 기구,◆

산업 영역 표준이나 권고안◆

동일한 사업 목적 혹은 비교 가능한 타 회사의 자료◆

물론 어떤 조직은 전형적 환경과 사업 목적에 알맞게 수립된 자체의 기준을 만들 수 있다.


시스템에 대한 세부적인 위험 분석은 관련 위험 식별 및 규모평가에 포함한다 상위 수IT .

준의 위험 수준이 모든 시스템에 대하여 수행될 경우 시간 및 자본에 있어서 불필요한 투,

자가 없이 결정될 수 있다 이는 항에서 권고한 바와 같이 상위 수준의 위험 혹은 중요. 2.3.3

한 시스템에 대해서만 수행하는 세부적인 위험 분석에 따라서 후속 조치되기 때문이다.

위험 분석은 원치 않은 사고와 발생 가능성에 대한 잠재적인 불리한 업무 영향 식별에 의해

실행될 수 있다 원치 않은 사고는 업무 개인 조직의 다른 가치 있는 실체에 불리하게 영. , ,

향을 줄 수 있다.

- 76 -

원치 않은 사고의 영향은 위험에 처한 자산 가치에 관련되는 가능한 손상의 구성이다 발생.

가능성은 잠재적인 공격 요소가 발생하기에 자산이 얼마나 매력적인가에 달려 있으며 위협,

발생 가능성 취약성이 개발될 수 있는 느슨함도 이와 같다 위험 분석의 결과는 식별된 위, .

험이 허용 가능 수준까지 줄이기 위하여 사용될 수 있는 대책 식별 및 선정으로 이어진다.

세부 위험 분석은 그림 에 묘사된 각 단계별 심도 있는 검토를 포함한다 이는 위험 관2-7 .

리 프로세스의 일부로써 정당화된 대책의 선정으로 이어진다 이러한 대책에 대한 요건은.

시스템 정보보호 정책 및 관련 정보보호 계획에 문서로 증명되어야 한다 시스템 정IT IT .

보보호 요건에 영향을 끼치는 다수의 사고 및 외부 영향들은 일부 또는 전체 위험 분석을

다시 고려하도록 한다 이러한 영향은 시스템에 대한 최근의 심각한 변화 계획된 변화 다. , ,

루어져야 할 사건의 결과들이다.

점검표 기준 접근에서 구조적 분석 기준 기법에 이르기까지 분포하는 위험 분석 수행을 위

하여 존재한다 자동 컴퓨터 지원 혹은 수동 기준제품이 사용될 수 있다 조직이 사용하는. ( ) .

방법과 제품이 무엇이든 최소한 다음 항에서 식별된 주제들을 설명해야만 한다 사용된 방.

법은 조직의 문화에 알맞아야 한다는 것이 중요하다.

일단 시스템에 대한 세부적인 위험 분석 검토가 첫 번째로 완료되면 자산 및 가치 위협 취, ,

약성 및 위험 수준 그리고 식별된 대책들과 같은 검토 결과들을 데이터 베이스로 보관해야

한다 명백히 소프트웨어 지원자동화 도구를 사용하는 방법은 이러한 활동을 훨씬 쉽게 만.

든다 그러한 설명은 때로 모델로 언급되어 시간을 초과하여 변화가 발생할 시에 중요한 결.

과로 사용된다 그들은 형상 프로세스 정보 유형 위협 시나리오 등이 될 것이다 우선 그러. , , .

한 방법은 상이한 옵션을 검사하는데 신속히 사용될 수 있으며 본질적으로 유사한 다른 시,

스템에 사용되는 것과 마찬가지로 새로운 시스템 개발 중에도 사용된다.

- 77 -

그림 세부적 위험분석을 포함한 위험관리그림 세부적 위험분석을 포함한 위험관리그림 세부적 위험분석을 포함한 위험관리그림 세부적 위험분석을 포함한 위험관리[ 2-7][ 2-7][ 2-7][ 2-7]


검토 영역 설정검토 영역 설정검토 영역 설정검토 영역 설정2.3.3.3.12.3.3.3.12.3.3.3.12.3.3.3.1

그림 에서 제시된 바와 같이 자산 식별 및 평가를 위한 정보 수집에 앞서서 검토 영역2-7

이 정의되어야 한다 본 단계상의 신중한 경계 규정은 불필요한 작업을 피하고 위험 분석의.

품질을 갱신시킨다 경계의 기술은 고려된 시스템에 대한 위험 분석 검토를 수행할 때. IT

다음 중 어떤 것이 고려되도록 분명히 정의한다.

자산 예 하드웨어 소프트웨어 정보IT ( , , , )◆

사람 예 직원 하위 계약자 기타 외부 인력( , , , )◆

환경 건물 시설 등( , )◆

활동 운영( )◆

- 78 -

자산 식별자산 식별자산 식별자산 식별2.3.3.3.22.3.3.3.22.3.3.3.22.3.3.3.2

자산은 조직이 직접 가치를 할당하는 총 시스템 중 일부 혹은 구성 요소이다 그러므로 그.

러한 자산을 위하여 조직은 보호를 요한다 자산 식별을 위해 시스템이 하드웨어 및 소. IT

프트웨어 외에 그 이상으로 이루어져 있다고 확신해야 한다 예를 들면 자산 유형은 다음.

중 어떤 것도 될 수 있다.

정보 데이터 예 세부적인 지불 사항을 담은 파일 제품 정보/ ( , , )◆

하드웨어 예 컴퓨터 프린터( , , )◆

응용을 포함한 소프트웨어 예 특정 개발 프로그램( , )◆

통신 장비 예 전화 케이블 섬유( , , , )◆

펌 웨어 예 플로피 디스크 롬( , , CD , ROM)◆

문서 예 계약서( , )◆

자금 자동 응답기( )◆

제조 상품◆

서비스 예 정보서비스 산정 자료( , , )◆

서비스 확신 및 신뢰 예 지불 서비스( , )◆

환경 장비◆

인력◆

조직 이미지◆

설정된 검토 영역내의 모든 자산이 식별되어야 한다 반대로 어떤 이유든지 검토 영역에서.

배제된 어떤 자산은 그들이 불인식하거나 무시되지 않음을 보장하기 위하여 또 다른 검토로

할당할 필요가 있다.

자산 가치 및 자산간 의존성 구축자산 가치 및 자산간 의존성 구축자산 가치 및 자산간 의존성 구축자산 가치 및 자산간 의존성 구축2.3.3.3.32.3.3.3.32.3.3.3.32.3.3.3.3

검토중인 시스템의 모든 자산을 기록하여 자산 식별 목적을 충족시킨 다음 가치는 이러IT

한 자산으로 할당되어야 한다 이러한 가치는 조직의 업무를 위하여 자산의 중요성을 말한.

다 이는 노출 변형 불가용성 정보의 파기 혹은 다른 시스템 자산으로부터 유발되는 잠재. , , ,

적인 불리한 업무 충격과 같은 정보보호 사건을 조건으로 하여 나타낼 수 있다.

- 79 -

따라서 조직의 업무 필요성을 기반으로 하는 이러한 자산 식별 및 평가는 위험 결정에 있어

서 중요한 요소이다.

자산 평가 정보는 자산 소유자 혹은 사용자에 의해 제공되어야 한다 위험 분석을 수행하는.

사람 들 은 자산 목록을 작성할 것이다 그들은 이러한 각각의 자산에 대한 가치를 식별하기( ) .

위하여 업무 계획 재정 정보 시스템 및 다른 적절한 활동과 관련된 다른 것들로부터 원조, ,

를 구해야 한다 할당된 가치는 자산 취득 및 유지보수 비용 비밀성 무결성 가용성 책임. , , , ,

추적성 진정성 신뢰성 손실로부터 유발되는 잠재적인 불리한 업무 충격과 관계가 있어야, ,

한다 식별된 각각의 자산은 조직에게 가치 있는 것이어야 한다 그러나 모두를 위하여 재정. .

적 가치를 수립하는 직접적이고 용이한 방법은 없다 또한 비재정적 즉 조직을 조건으로 하. ,

여 질적으로 중요성의 가치나 범위를 설정하는 것이 필요하다 그렇지 않으면 조직은 보호.

의 수준 및 자산 보호를 위해 전념하는 자원의 양을 식별하는 것은 어려울 것이다 그러한.

평가척도를 위한 한 가지 예는 상 중 하 사이의 구별이 될 수 있어야 한다 좀 더 구체적, , .

으로 하면.

경미함 하 중 상 매우 높음- - - -

가능한 손상을 고려하여 보다 세부적인 사항은 자산에 대해 가치를 부여하는 용도를 위하여

가능한 척도를 기관에 맞게 작성하여 정한다 어떤 척도가 사용되는지 관계하지 않고 평가.

에서 고려될 사안은 다음 중 비롯되는 가능한 손상일 수 있다.

법 혹은 규정 위반◆

업무 수행의 부적절성◆

영업권 상실 명성에 대한 부정적 결과/◆

개인 정보 관련 비밀성 위반◆

개인 안전의 위험◆

법의 시행에 대한 불리한 효과◆

- 80 -

공공질서 위반◆

재정적 손실◆

업무 활동에 가해지는 파손◆

환경적 안전의 위험◆

기관은 업무상 중요한 다른 기준을 생각해 볼 필요가 있으며 낮은 혹은 높은 손상과 같, “ ” “ ”

은 피해에 대하여 자체적인 한계를 규정해야 한다 예를 들면 소규모 회사에게 재난이 될.

있는 재정적 피해는 큰 회사에게는 아주 낮거나 혹은 무시해도 좋은 것이 될 수도 있다 평.

가 방법은 수량적 평가뿐만 아니라 수량적 평가가 불가능하거나 비논리적인 경우에는 질적

평가를 허용해야 한다고 강조한다 예 수명 손실의 잠재성 업무 영업권 손실( , , ).

사용된 평가 척도에 대한 설명이 있어야 한다 다른 자산에 대한 자산 의존도는 자산 가치.

에 영향을 줄 수 있으므로 반드시 식별해야 한다 예를 들어 데이터 비밀성은 그 프로세스. ,

를 통해 지켜져야 하고 프로그램을 공정중인 데이터에 대한 정보보호 필요성은 공정 완료된

데이터의 비밀성을 나타내는 가치에 직접적으로 연관되어야 한다 업무 프로세스가 어떤 프.

로그램에 의해 산출되고 있는 특정 데이터에 대한 무결성에 의지하고 있다면 본 프로그램의

입력 데이터는 적절한 신뢰성을 구성해야 한다 더욱이 정보 무결성은 저장 및 프로세스로.

사용되는 하드웨어 및 소프트웨어에 달려 있다 또한 하드웨어는 동력 공급과 어쩌면 공기.

조절 장치에 의존할 수도 있다 따라서 의존성에 대한 정보는 관련 위협 및 특히 취약성의.

식별하는데 지원할 것이다 또한 자산의 진정한 가치는 그 자산에 정해진다는 사실과 그에.

따라서 보호의 적절한 수준을 보장한다는 사실을 보증하는데 도움을 준다 다른 자산이 의.

존하는 자산 가치는 다음의 방법으로 변경될 수 있다.

의존적 자산 가치 예 데이터 가 고려된 자산 가치 예 소프트웨어 보다 낮거나 같을 때( , ) ( , ) ,◆

가치는 동일하다.

의존적 자산의 가치 예 데이터 가 클 때 고려된 자산의 가치 예 소프트웨어 는 다음에( , ) , ( , )◆

따라 증가되어야 한다.

- 81 -

의존도■

다른 자산의 가치■

어떤 조직은 소프트웨어 프로그램의 복제 혹은 대부분의 사무실에서 사용되는 동일한 유형

의 와 같이 한번 이상 가용한 어떤 자산을 가질 수 있다 자산 평가 실행 시 이러한 사PC .

실을 고려하는 것은 중요하다 한편 이러한 복제 같은 것은 쉽게 무시되고 그래서 그 모두. ,

를 식별하는데 주의를 기울여야 한다 반면에 이러한 복사본들은 가용성 문제를 줄이기 위.

하여 사용될 수 있다 본 단계의 최종 결과는 노출 비밀성 보존 변경 무결성 보존 불가용. ( ), ( ),

성 및 파손 가용성보존 과 교체 비용에 관계하는 자산 목록 및 자산 가치이다( ) .

위협 평가위협 평가위협 평가위협 평가2.3.3.3.42.3.3.3.42.3.3.3.42.3.3.3.4

위협은 검토 중인 시스템 및 자산에 피해를 줄 수 있는 잠재성을 갖는다 위협이 발생하IT .

면 원하지 않은 사고 및 그에 따른 불리한 충격을 초래하는 것은 여러 가지 방법으로 IT

시스템 상에서 충돌할 수 있다 위협은 자연적이거나 인간의 본성일지도 모른다 그리고 우. .

연적 혹은 의도적일 수 도 있다 우연적 혹은 의도적 위협의 근원을 식별해야 하고 그들의.

발생 가능성을 평가해야 한다 시스템 정보보호상에 고장이나 결점을 초래할 수 있기 때. IT

문에 반드시 어떠한 관련 위협도 무시해서는 안된다.

위협 평가를 위한 정보는 자산 소유자 혹은 사용자 인력 부서 직원 시설 계획 및 전문, , IT

가뿐만 아니라 조직의 보호를 책임지는 사람들부터 취득해야 한다 법인체나 국가정부 기구.

와 같은 다른 조직들은 예를 들어 위협 통계를 제공함으로써 지원할 수 있다 일반적으로, .

가능한 위협의 목록은 위협 평가 수행하는데 유용하다 가장 일반적인 위협 조짐 중의 몇몇.

은 다음과 같다.

실수 및 누락◆

부정 수단 및 절도◆

- 82 -

고용인 태업◆

물리적 손실 및 하부 구조 지원◆

위장을 통한 악의적 해킹◆

악의적 코드◆

산업 스파이활동◆

위협 카탈로그나 초기 위협 평가 자료를 사용할 때 특히 사업 환경이나 가 변하는 경우IT

위협도 계속적으로 변한다는 것을 잘 인지해야 한다 예를 들면 년대의 바이러스는. , 2000

년대의 바이러스보다 상당히 훨씬 복잡하다 바이러스 검색 소프트웨어와 같은 대책 구1990 .

현은 언제나 현재의 대책에 저항하는 새로운 바이러스 개발을 유도하였다.

위협의 근원 누가 그리고 무엇이 그 위협을 야기 시키는가 와 위협 목표 시스템 중 어떤 요( ) (

소가 위협으로 인해 영향 받을 수 있는가 를 식별한 다음 위협 가능성을 평가하는 것이 필)

요하다 다음을 고려해야 한다. .

통계 자료가 만약 적용될 수 있는 경우의 위협 빈도 경험 혹은 통계상으로 얼마나 자주(◆

일어나는가)

동기 인식 및 필요한 용량 가능한 공격 요소에게 유용한 자원 가능한 공격 요소에 대, , ,◆

한 시스템 자산의 매력 및 취약성 지각IT

우연적 위협 자원으로 인한 화학 석유 공장 극도의 기후 조건 및 인간의 실수 유발과, ,◆

기계의 오작동에 영향을 줄 수 있는 요소의 가능성에 근접성과 같은 지질학적 요소들.

정확성을 위한 필요에 의존하여 구성 요소로 자산을 분리하고 분리자산에 위협을 관련시킬

필요가 있다 예를 들어 물리적 자산은 처음에는 중앙 데이터 서버 로 간주되었지만 이러. , “ ”

한 서버가 서로상이한 지역적인 위치에 있을 시 중앙 데이터 서버 과 중앙 데이터 서버“ 1” “

로 분리해야 한다 왜냐하면 위협은 서로 상이하며 서로 다른 수준에 존재하는 것이기 때2” .

문이다.

- 83 -

유사하게 소프트웨어 자산은 처음에는 응용 소프트웨어 로 간주될 수 있지만 이후에는 응“ ” “

용 소프트웨어 의 두 개 혹은 그 이상의 경우로 고장 날 수 있다 데이터 자산과 관련 좋은” .

예는 형사상의 기록 텍스트 와 형사상의 기록 이미지 로 분리할 수 있다” “ ” .

위협 평가 완성 시점에서 식별된 위협 위협이 영향 줄 수 있는 자산이나 그들이 영향을 줄,

수 있는 집단 자산 목록이 있을 것이다 그리고 상 중 저와 같은 척도로 발생하는 위협 가. , ,

능성에 대한 측정이 있을 것이다.

취약성 평가취약성 평가취약성 평가취약성 평가2.3.3.3.52.3.3.3.52.3.3.3.52.3.3.3.5

본 평가는 자산이나 업무에 피해를 야기하는 위협 자원이 이용하는 물리적 환경 조직 절, ,

차 인력 관리 경영 하드웨어 소프트웨어 통신 장비 및 그들이 지원하는 업무상의 결점, , , , , ,

식별을 포함한다 취약성의 존재는 취약성을 이용하는 위협이 있기 때문에 그 자체 내에서.

피해를 유발하지는 않는다 상응하는 위협을 가지지 못한 취약성은 대책의 구현을 요하지.

않지만 변화에 대하여 모니터 및 승인되어야 한다 부정확하게 구현되었거나 제대로 작동하.

지 않는 대책 혹은 부정확하게 사용되는 대책은 그 자체가 취약성일 수 있다는 것이 인지되

어야 한다.

취약성은 자산이 구입 및 생성되었을 때 계획된 취약성 외에 어떤 방식으로나 어떤 목적을

위해서 혹은 다른 방식으로 사용될 수 있는 자산의 특성 및 소유에 관련될 수 있다 예를.

들어 전자적으로 삭제 가능 메모리 의 특성중의 하나는 이것에 저장된 정보는 삭, EEPROM( )

제 또는 교체될 수 있다는 것이다 이는 의 설계 기준의 하나이다 그러나 이러한. EEPROM .

자산의 의미는 에 저장된 정보의 비인가된 파괴가 또한 가능하다는 것을 의미한EEPROM

다 이는 취약성이 될 수 있다. .

이러한 평가는 위협이 이용하는 취약성을 식별하고 그들의 유사한 수준의 결점 즉 용이한,

이용 수준을 평가한다 예를 들어 어떤 자산은 쉽게 처리되거나 쉽게 감춰지거나 전달될 수. ,

있는데 이러한 모든 특성은 취약성에 관련될 수 있다.

- 84 -

취약성 평가를 위한 정보는 자산 소유자나 사용자 설비 전문가 하드웨어 및 소프트웨어상, ,

의 시스템 전문가 전문가로부터 얻어져야 한다 취약성의 예는 다음이다IT . .

보호되지 않은 연결 인터넷의 경우( )◆

훈련되지 않은 사용자◆

잘못된 패스워드 선정 및 사용◆

부적절한 접근 통제 논리적 및 또는 물리적( / )◆

백업 복사가 안된 정보 혹은 소프트웨어◆

범람에 민감한 지역 위치◆

취약성이 얼마나 쉽게 그들이 이용되는가를 평가하는 것은 중요하다 취약성은 특정한 상황.

에서 취약성을 이용할 수 있는 각각의 위협과 관련시켜 평가되어야 한다 예를 들면 하나의. ,

시스템은 자원의 오용이나 사용자 신원을 위장하는 위협에 대하여 취약성을 가질 수 있다.

사용자 인증 결여 때문에 다른 사용자의 신원을 위장하는 취약성은 높아질 수 있다 반면에.

자원을 오용하는 취약성은 낮을 수 있다 이는 사용자 인증 결여되어도 자원이 오용되는 수.

단은 한정되어 있기 때문이다 이러한 단계의 결과는 상 중 하 척도로 이용의 용이함 평가. , ,

및 취약성 목록이다.

기존의 계획된 대책 식별기존의 계획된 대책 식별기존의 계획된 대책 식별기존의 계획된 대책 식별2.3.3.3.6 /2.3.3.3.6 /2.3.3.3.6 /2.3.3.3.6 /

위험 분석 검토를 수행하는 식별된 대책은 기존의 그리고 계획된 대책의 어떤 것으로 추가

되어야 한다 예를 들어 대책의 복제 시 불필요한 작업 혹은 비용을 피하기 위한 기존의 계. , /

획된 대책이 이러한 프로세스의 일부로 식별되어야 하는 것은 중요하다 기존의 계획된 대. /

책이 정당화되지 않았다는 것 또한 식별되어야 한다 이러한 경우 또 다른 대책 보다 적합. ,

한 대책으로 교제되어야 하는지 혹은 제거되어야 하는지 여부를 검사하거나 혹은 그것이 적

소에 설치되었는지를 검사해야 한다 예 비용 면에서( , )

- 85 -

추가로 위험 분석 검토를 수행하도록 선정된 대책이 기존의 계획된 대책과 유사한지를 결정/

하는 점검도 필요하다 즉 선정된 대책 및 기존의 대책은 서로 저지하지 않아야 한다 기존. , .

의 대책을 식별하는 동안 대책의 정확한 작동하는지 보장하기 위해서 점검이 이루어져야 한

다 정확하게 작업에 의존하는 대책은 업무 프로세스로 기능하지는 않지만 있음직한 취약성.

의 근원이다.

위험 평가위험 평가위험 평가위험 평가2.3.3.3.72.3.3.3.72.3.3.3.72.3.3.3.7

본 단계의 목적은 적절하고 정당한 정보보호 대책을 선정하고 식별하기 위하여 시스템IT

및 그 자산이 노출된 위험을 평가하고 식별하기 위한 것이다 위험은 위험에 처한 자산 잠. ,

재적인 불리한 업무 충격을 유발하기 위하여 발생하는 위협 가능성 식별된 위협으로 인한,

취약성의 용이한 사용 및 위험을 감소시키는 기존의 혹은 계획된 어떤 대책 위협 가능성,

이 모든 것들의 기능적 가치이다.

위험 측정 평가를 위해 수행하는 어떤 방법이든지 간에 이러한 단계의 결과는 고려된, IT

시스템에 대한 노출 변경 불가용성 파괴로 인한 각각의 충격에 대한 측정된 위험 목록이, , ,

어야 한다 더욱이 위험 측정은 대책 선정 시 어떤 위험이 먼저 다루어야 하는가를 식별하.

도록 한다 사용 방법은 반복적이고 추적 가능해야 한다. .

초기에 반영된 것과 같이 여러 가지 자동 소프트웨어 도구는 위험 분석 프로세스의 일부 혹

은 전체를 지원하는데 사용된다 어떤 조직이 도구를 사용하기로 결정하면 사용된 접근은.

조직의 정보보호 전략과 정책에 준수해야 한다는 것을 주의해야 한다 또한 도구는 도구IT .

정보가 허용하는 만큼만 정확히 작업하므로 정확한 정보를 취득하는데 노력을 기울여야 한

다.

대책 선정대책 선정대책 선정대책 선정2.3.3.42.3.3.42.3.3.42.3.3.4

적절하고 정당한 대책은 허용 가능 수준으로 평가된 위험을 줄이기 위해 식별 및 선정한다.

- 86 -

기존의 그리고 계획된 대책 정보보호 구조 여러 가지 유형의 제한 사항은 적절한 선정, IT ,

을 위해 허용하기 위해서 고려되어야 한다.

대책 식별대책 식별대책 식별대책 식별2.3.3.4.12.3.3.4.12.3.3.4.12.3.3.4.1

이전의 단계에서 결정된 위험 측정은 적절한 보호에 필요한 모든 대책을 식별하기 위한 원

칙으로 사용한다 평가된 위험에 대응하여 효율적으로 보호하는 대책을 선정하기 위해 위험. ,

분석 결과를 고려해야 한다 관련 위협에 대한 취약성은 추가적인 보호가 필요한 곳 및 어.

떤 방식을 취해야 하는가를 지적한다 고려된 대책 비용에 따라 결정되는 대안이 있다 대책. .

이 적용되는 영역은 다음을 포함한다.

물리적 환경◆

인력◆

경영◆

하드웨어 소프트웨어/◆

통신◆

대책이 충분히 효율적이지 않는 경우 기존의 또는 계획된 대책은 개선 또는 제거의 관점에

서 유지 보수를 포함하는 비용 대조를 조건으로 하여 재검토되어야 한다 때로는 대책을 적.

소에 두는 것보다 부적절한 대책을 제거하는 것이 더 비용이 많이 든다는 것을 알아야 한

다 더욱이 현재의 검토 영역 외의 자산을 위해 대책의 보호를 제공하는 것이 가능하다. .

대책 식별로 인해 취약성이 보호되어야 하는 취약성 및 이러한 취약성을 이용할 수 있는 관

련 위협을 갖는 것은 유용하다 일반적으로 위험을 경감시킬 많은 가능성들이 있다. .

위험 회피◆

위험 전환 예 보험( , )◆

위협 감소◆

- 87 -

취약성 감소◆

가능한 충격 감소◆

원치 않은 사고 감지 대응 복구 등,◆

이러한 가능성들 이 요소들의 결합 중 어떤 것이 환경에 따라 가장 적절한 것이다 대책 카( ) .

탈로그도 유용하다 그러나 카탈로그에서 대책을 선정하는데 있어서 기관의 특수한 필요성.

에 그들을 맞추는 것이 중요하다.

대책 선정에 있어 중요한 또 다른 측면은 비용 요소이다 대책이 보호해야 하는 자산의 가.

치보다도 유지 및 실행에 있어 훨씬 더 비싼 대책 권고안은 부적절하다 조직이 정보보호를.

위해 배정한 예산보다도 훨씬 비싼 대책을 추천하는 것은 부적절하다 그러나 실행될 대책.

의 품질이나 수를 감소시키는 예산의 경우에는 많은 주의를 기울여야 한다 왜냐하면 계획.

된 것보다 큰 불분명한 위험 허락으로 이어질 수 있기 때문이다 대책을 위해 수립된 예산.

은 상당한 주의를 가지고 제한적 요소로서 사용되어야 한다.

시스템 보호를 위해 기준선 접근이 선정되는 경우에는 대책 선정은 비교적 간단하다 대IT .

책 카탈로그는 가장 일반적인 위협에 대해 시스템을 보호하기 위한 일련의 대책을 제안IT

한다 이러한 추천된 대책들은 기존의 그리고 계획된 대책들과 이미 적소에 없거나 기준선.

보호를 취득하기 위해 실행되는 대책 목록 형식으로 계획되지 않은 것들과 비교된다 대책.

선정은 작동 및 기술적 대책들의 균형을 항상 포함한다 작동중인 대책은 물리적 인력 및.

관리적 정보보호를 제공하는 것 들을 포함한다.

물리적 정보보호 대책은 내부 건물 벽 키 코드 문 잠금 장치 화재 억제 시스템 방어 장치, , ,

및 위험 방지기의 강화를 포함한다 인력 정보보호는 인력 채용 점검 직원 모니터링 보인. , ,

인식 프로그램을 포함한다.

절차상의 정보보호는 안전한 작동 절차 문서 응용 개발 수용 절차뿐만 아니라 사고 처리, ,

절차를 포함한다.

- 88 -

이러한 범주에 관련하여 일관된 계획 재난 복구를 포함하여 적절한 업무 지속성 전략 및/ ,

계획 들 은 각각의 시스템을 위해서 개발된다는 것은 매우 중요하다 계획은 재난이나 서비( ) .

스 중단이 발생되었을 시 복구를 위한 핵심 기능과 우선권 프로세스 필요성 및 수행할 조,

직의 절차의 세부사항을 포함한다 그러한 계획은 사업을 계속하게 하는 한편 중요한 정보.

가 대책에 프로세스 되도록 요하는 단계를 포함해야 한다.

기술적 정보보호는 통신 대책뿐만 아니라 하드웨어와 소프트웨어를 포함한다 이러한 대책.

들은 위험이 정보보호 기능 및 보증을 제공하는 정도에 따라 선정된다 예를 들어 기능은.

식별 인증 논리적 접근 통제 요건 감사 추적 정보보호 기록 필요성 다이얼 백, , , / , - (dial-back),

메시지 인증 암호화 등을 포함한다 보증 요건은 정보보호 기능 및 그에 따른 점검 수량 및, .

유형 등에 필요한 신뢰 수준을 문서로 증명한다 작동 및 기술적 대책의 알맞은 융합에 대.

한 결정에 있어서 기술적 정보보호 요건을 실행하기 위한 상이한 옵션이 있을 것이다 기술.

정보보호가 요하는 바와 같이 기술 정보보호 구조는 정보보호가 제공할 수 있는 것을 식별

하도록 각각의 조건에 대하여 정의되어야 한다 또한 정보보호가 가용한 기술로 사용 가능.

하도록 정의되어야 한다.

기관은 최종 시스템 해결의 일부로 평가된 제품 및 시스템을 사용하도록 결정한다 평가된.

제품은 제 자에 의해 검사된 것들이다 제 자는 동일한 조직의 또 다른 부분이거나 또는3 . 3

제품 및 시스템 평가에 있어서 전문성이 있는 독립 조직이다 특히 평가는 구축 중인 시스.

템을 위해 만들어진 일련의 전 기준에 대응하여 수행될 수 있고 여러 상황에서 사용될 수,

있는 일련의 일반화된 기준이다 평가 기준은 기능적 요건 혹은 보증 요건을 규정한다 많은. .

평가 계획이 실재하며 그들 중 대다수는 정부 및 국제 표준 단체가 지원한다 조직이 구현.

된 일련의 기능이 필요한 것이라는 확신을 요구할 때 그리고 그러한 기능의 실행 중 정확성

과 완전성에 관하여 신뢰할 필요가 있을 때 평가된 제품 및 시스템을 사용할 수 있다 대안.

적으로 강조하는 실용적인 정보보호 시험은 정보보호 제공에 있어서 확실한 보증을 제공한

다.

- 89 -

실행 대책 선정 시 많은 요소들은 다음을 포함하여 고려된다.

대책 사용의 용이성◆

사용자를 위한 명백성◆

그들을 수행하는 사용자를 위해 제공하는 도움◆

대책의 상대적 강화◆

수행 기능의 유형 예방 조치 제지 감지 복구 교정 모니터링 인식- , , , , , ,◆

일반적으로 대책은 이러한 기능들 중의 하나 이상을 충족시킨다 많이 충족하면 할수록 좋.

다 전반적인 정보보호나 사용될 일련의 대책을 검사할 때 가능하다면 기능 유형간의 균형. ,

을 유지한다 이는 전체적인 정보보호들이 더욱 효율적이고 능률적이게 한다 비용 혜택 분. . /

석을 요구할 뿐만 아니라 거래 분석 특수한 상황에 관하여 상대적인 중요성에 무게를 두는(

일련의 기준을 사용하는 경쟁 대안을 분석하는 방법 도 마찬가지로 요구될 수 있다) .

정보보호 구조정보보호 구조정보보호 구조정보보호 구조2.3.3.4.2 IT2.3.3.4.2 IT2.3.3.4.2 IT2.3.3.4.2 IT

정보보호 구조는 정보보호 요건이 전체 시스템 구조의 일부로써 시스템을 충족시키IT IT

는 방법을 설명한다 그러므로 대책 선정 프로세스 동안 정보보호 구조를 고려하는 것은. IT

중요하다.

정보보호 구조는 새로운 시스템 개발 및 기존의 시스템에 중요한 변화가 일어날 때 사IT

용될 수 있다 위험 분석 결과 또는 기준선 접근에 기초하여 정보보호는 정보보호 요건. IT

들을 작성하고 그러한 요건을 만족시키는 시스템에 대한 일련의 기술적 정보보호 서비스로

정제한다 어떤 경우에는 특히 기존의 시스템에 변화가 일어날 때 몇몇 요건들은 형식적으. ,

로 사용되는 특정한 대책들이 있다.

정보보호 구조는 기술적 정보보호 서비스와 기술적 정보보호 서비스들이 정보보호 목적IT

을 충족시키는 방법에 중점을 둔다.

- 90 -

이것을 실행하는 데 있어서 비 기술 관련 정보보호 대책들을 고려해야 한다 그러한 구조는.

상이한 전망과 접근으로부터 구성되지만 하나의 근본적인 원칙을 반드시 고려해야 한다. IT

정보보호 구조는 보통 하나 혹은 그이상의 정보보호 도메인으로 이루어져 있다 정보보호.

도메인은 조직이 사용하고 수립해 온 업무 도메인을 수행해야 한다 이러한 사업 도메인들.

은 급여대장 제조 고객 서비스와 같은 특수한 업무 기능 부서를 수행한다 또는 이메일 서, , .

비스나 사무실 서비스와 같은 서비스 업무 부서를 수행하기도 한다 정보보호 도메인은 다.

음의 속성들 중 하나 또는 그 이상에 의해 구별된다.

도메인내 접근 가능한 정보 수준 범주 유형, ,◆

도메인에 적용하는 운영◆

도메인내 관련된 이익 집단(COI)◆

다른 도메인과 환경과의 관계◆

도메인내 가 요구하는 기능 혹은 정보의 접근 유형COI◆

정보보호 구조를 구축에 관하여 설명해야 할 사안은 다음과 같다IT .

독특한 정보보호 도메인간의 상호 관계와 상호 독립성◆

정보보호 서비스를 약화시키는 상호 관계와 상호 독립성의 충격 또는 연루 관계◆

결점 교정 통제 계산을 요하는 별도의 서비스 또는 주의 사항, ,◆

하나의 구조는 홀로 작용할 수 없으며 다른 문서들에 의지하거나 상호 교류한다 이들IT .

중 가장 중요한 것은 시스템 구조 및 하드웨어 통신 응용과 같은 다른 관련 구조들이다, , .

하나의 정보보호 구조는 시스템의 완전한 설명을 내포하지 않고 단지 정보보호에 관련IT

된 기술적 측면 및 요소를 설명한다 하나의 구조는 환경이 적소에서 최적의 보호를 소. IT

유하고 있음을 보장하는 반면 가능한 한 최소한으로 사용자에게 반대로 영향을 주는 것을

목표로 한다 많은 다른 문서는 정보보호 구조에 관련되었거나 혹은 그것에 의존한다. IT .

문서는 다음을 포함한다.

- 91 -

정보보호 설계IT◆

정보보호 작동상의 개념IT◆

정보보호 계획IT◆

시스템 정보보호 정책IT◆

필요한 경우 시스템 인증 및 인정 문서IT .◆

제약의 식별 및 검토제약의 식별 및 검토제약의 식별 및 검토제약의 식별 및 검토2.3.3.4.32.3.3.4.32.3.3.4.32.3.3.4.3

대책 선정에 영향을 주는 많은 제한이 있다 권고안 작성 시 그리고 실행 시 반드시 이러한.

제한을 고려해야 한다 전형적인 제약은. ,

시간적 제약시간적 제약시간적 제약시간적 제약

많은 형태의 시간 제한이 존재한다 예를 들어 관리를 위해서 수용하는 시간적 기간 내 대.

책을 구현해야 한다 또 다른 형태의 시간 제한은 대책이 기간 내에 구현되는지 여부이며.

세 번째의 시간 제한은 아마도 관리가 결정하는 시간적 기간이 시스템을 특수한 위험에 노

출되도록 남겨 두는 허용 가능 기간이다.

재정적 제약재정적 제약재정적 제약재정적 제약

대책은 보호하기 위하여 설계된 자산가치 보다 실행을 위한 것이 보다 비싸지 않다 모든.

노력은 배정된 예산을 초과하지 말아야 한다 그러나 몇몇 경우에 원하는 정보보호 및 그러.

한 예산 한도내에서 위험 수용 수준을 달성하는 것은 가능하다 따라서 이것은 이러한 상황.

의 해결에 대한 관리 결정이다.

기술적 제약기술적 제약기술적 제약기술적 제약

프로그램이나 하드웨어의 호환성과 같은 기술적 문제는 대책 선정 시 그들에 대한 평가가

이루어진다면 쉽게 회피될 수 있다 또한 기존의 시스템에 대한 회상적 대책 구현은 기술적.

제한으로 인해 흔히 저지된다 이러한 난관들은 대책의 균형이 절차상 그리고 물리적 정보.

보호 측면을 지향하도록 한다.

- 92 -

사회적 제약사회적 제약사회적 제약사회적 제약

대책 선정에 대한 사회학적 제한은 국가 영역 조직 심지어 조직내의 부서에게까지 구체적, ,

이다 많은 기술적 대책들이 직원의 능동적인 지원에 의존하기 때문에 이러한 사회학적 제.

한은 무시될 수 없다 만약 직원이 대책에 대한 필요성을 이해하지 못하고 문화적으로 수용.

할만하다는 것을 알지 못한다면 대책은 시간이 지날수록 비효율적인 것이 될 것이다.

환경적 제약환경적 제약환경적 제약환경적 제약

환경적 요소들은 자연적 도시적 등의 지리학 주위에서 공간 가용성이나 극한의 기후 조건,

들과 같은 대책 선정에 영향을 끼칠 것이다.

법적 제약법적 제약법적 제약법적 제약

정보 프로세스에 대한 개인 자료 보호나 형사상의 법적 조항들과 같은 법적 요소들은 대책

의 선정에 영향을 미칠 수 있다 화재부서규정 노동법과 같은 비 의 특수 법과 규정은. , IT

대책 선정에 영향을 미칠 수 있다.

위험 수용위험 수용위험 수용위험 수용2.3.3.52.3.3.52.3.3.52.3.3.5

대책을 선정하고 이러한 대책들이 달성하려고 하는 위험 감소를 식별한 후에도 항상 잔류

위험은 존재한다 어떠한 시스템도 절대적으로 안전할 수 없다 이러한 잔류 위험은 조직을. .

위해 허용 가능 또는 허용 불가능 으로 구분한다 이러한 범주는 위험과 연관된 잠재적인“ ” “ ” .

불리한 업무 충격을 검토하여 수행될 수 있다 분명히 허용 가능 위험은 추가의 고찰사항.

없이 허용되어서는 안된다 이러한 위험들이 다른 제한 빌딩으로의 비행기 추락 지진과 같. ( ,

은 경우와 같이 비용이나 단순한 보호 불능 같은 그러나 그러한 사고에 대한 복구계획은 여

전히 만들어질 수 있음 으로 인해 수용될 것인가 또는 어쩌면 추가의 비용이 드는 대책이)

허용 불가능한 위험을 감소시키기 위해서 선정되는가는 결정 사항이다.

- 93 -

시스템 정보보호 정책시스템 정보보호 정책시스템 정보보호 정책시스템 정보보호 정책2.3.3.6 IT2.3.3.6 IT2.3.3.6 IT2.3.3.6 IT

시스템 정보보호 정책은 필수 대책 세부사항을 포함해야 하고 그들이 필요한 이유를 설IT

명해야 한다 시스템에 대한 정보보호 계획은 그들을 실행하는 방법을 다룬다 많은 시. IT .

스템이 그들 자체의 정보보호 정책을 요하며 이는 위험 분석 검토에 근거를 두어야 한다.

이것은 보통 거대하고 복잡한 시스템 혹은 조직의 다른 시스템에서 발견되지 않는 독특하고

특수한 고찰 사항을 유도하는 시스템을 가진 경우이다 시스템 정보보호 정책은 기관. IT IT

정보보호 정책과 호환성이 있어야 하며 어떠한 대립도 지나쳐서는 안된다 이는 정보보. IT

호 정책 문제보다 낮은 수준의 문제를 설명해야 한다 정보보호 시스템 정책은 본 시스. IT

템에 대한 위험 분석 검토 및 대책 식별 결과에 기초를 두고 평가 위험에 따라서 선정하는

일련의 대책이 지원한다 이러한 대책들은 시스템에 대하여 적절한 보호 수준이 이루어졌다.

는 것을 보장한다.

시스템 정보보호 정책은 사용되는 기관 위험 분석 전략에 관계없이 다음 정보에 원칙을IT

두며 고찰된 시스템에 대하여 적절한 정보보호 수준달성을 위하여 필요한 대책 절차포함 를( )

포함해야 한다.

시스템 정의 그 구성 요소 및 경계 설명 시스템을 구성하는 모든 하드웨어 소프트웨IT , ( ,◆

어 사람 환경과 활동을 포괄해야 한다, , ),

시스템 업무의 목적 설명 이는 시스템에 대한 정보보호 정책 선택된 위험 분IT - IT ,◆

석 정책 대책과 그에 대한 실행 우선권 선정에 관하여 영향을 줄 수 있다, .

시스템에 대한 정보보호 목적 식별,◆

시스템 시스템이 충족시키고자 하는 과업 프로세스 정보의 손실 및 절충안에 따IT , IT ,◆

라서 조직의 사업이 얼마나 위태로워질 수 있는가를 전제 조건에서 시스템에 대한 넓은IT

의존도,

자본 작동 및 교환 시설비용과 함께 시스템 개발 유지 보수 및 교체하는 비용을 전, IT ,◆

제 조건에서 에 대한 투자 수준IT

- 94 -

시스템을 위해 선정된 위험 분석 접근IT◆

조직이 보호하고자 하는 시스템 자산IT◆

이러한 자산이 절충되는 경우 노출 변경 불가용성 본 정보의 파괴 관점에서 유발되는( , , ,◆

잠재적 불리한 업무 충격을 조건으로 하여 정보의 가치를 설명해야 한다 조직에 일어나는)

무언가를 전제 조건으로 하는 자산 가치

자산과 위협간의 관계를 포함하여 시스템 및 정보 처리에 대한 위협 및 그러한 위협IT◆

발생 가능성

위협이 이용할 수 있는 고유의 결점 설명을 포함하여 시스템 및 정보 처리의 취약성IT◆

다음의 결과로써 시스템에 대한 정보보호 위험IT◆

조직 업무에 대한 잠재적 불리한 충격■

위협 발생 가능성■

취약성 사용의 용이성■

시스템 보호를 위해 식별된 대책 목록IT◆

정보보호의 평가된 비용IT◆

기준선 보호만을 요하는 것으로 판정된 시스템의 경우에 세부적인 분석이 수행된 시스템보

다는 덜 세부적인 경우가 있지만 상기 표제의 정보를 제공하는 것은 여전히 가능하다.

정보보호 계획정보보호 계획정보보호 계획정보보호 계획2.3.3.7 IT2.3.3.7 IT2.3.3.7 IT2.3.3.7 IT

정보보호 계획은 시스템을 위해 필수의 대책 구현을 위해 실행해야 하는 작업을 정IT IT

의하는 통합 문서이다 본 계획은 적절한 정보보호 수준 비용 실행 계획을 유지 및 달성하. , ,

기 위하여 상기에서 단기 중기 장기적인 시간적 구조 내에서 작업이 수행되도록 설명한 검, ,

토 결과를 포함한다 각각의 시스템을 위하여 다음을 포함해야 한다. .

비밀성 무결성 가용성 책임 추적성 진정성 신뢰성을 조건으로 하는 정보보호 목적, , , , ,◆

- 95 -

본 시스템을 위해 꾸준히 결정된 위험 분석 조건IT◆

대책이 식별되도록 구현한 후 예상 및 허용되는 잔류 위험 평가◆

실행시키는 대책의 선정 목록과 대책의 효율성 측정 및 필요한 대책 갱신을 포함하여 기◆

존의 그리고 계획된 대책 목록

기존의 대책 갱신과 선정한 대책의 실행에 대한 우선권◆

이러한 대책들이 실제로 작동하는 방법◆

이러한 대책들에 대한 설치와 작동 비용의 평가◆

이러한 대책의 실행과 후속조치 활동을 위한 인력 자원의 평가◆

실행하기 위하여 세부적인 작업 계획◆

우선권◆

우선권에 따른 실행 계획◆

필요한 예산◆

책임◆

대책의 유효성을 보장할 필요가 있는 직원과 사용자에 대한 정보보호 인식 및 훈련IT◆

절차

필요한 경우 발생하는 승인 프로세스에 관한 계획◆

후속조치 절차를 위한 계획◆

더욱이 정보보호 계획은 다음과 같은 대책 정확한 실행 프로세스를 통제하기 위한 시설IT

을 설명해야 한다.

절차보고 경과 정의◆

가능한 어려움을 식별하는 절차◆

필요시 계획 자체 또는 일부분 중 가능한 변경에 관련된 절차를 포함하여 상기에 기록된◆

각각의 요점을 확인하는 절차

본 단계의 결과는 대책 실행 방법 적절한 대책이 정보보호 수준을 달성하는 방법에 대한,

설명과 준수하여 시스템에 대한 위험으로부터 유도되는 우선권에 따라 대책이 시기 적IT

절하게 실행된다는 것을 보장해야 한다 이는 또한 정보보호 수준을 유지하기 위하여 후속.

조치 절차의 계획도 포함한다.

- 96 -

정보보호 계획의 구현정보보호 계획의 구현정보보호 계획의 구현정보보호 계획의 구현2.3.4 IT2.3.4 IT2.3.4 IT2.3.4 IT

정보보호 대책의 정확한 실행은 잘 구성되고 문서로 증명된 정보보호 계획에 따라 의존IT

한다 각각의 시스템 관련 정보보호 인식 및 훈련은 병행하여 실시한다 정보보호 계. IT . IT

획 구현이 완성될 때 대책에 대한 승인은 시스템 또는 서비스가 직무상의 사용되기 전에,

이루어져야 한다.

대책의 구현대책의 구현대책의 구현대책의 구현2.3.4.12.3.4.12.3.4.12.3.4.1

대책 구현을 위해서 정보보호 계획에서 설명한 모든 필요한 단계가 반드시 수행되어야IT

한다 계획을 총괄하는 사람은 우선성 및 정보보호 계획에 요약된 계획을 수행한다. IT .

지속성과 일관성을 보장하기 위해서는 대책에 대한 문서는 정보보호 자료 중 중요한 부IT

분이다 이러한 프로세스는 상이한 여러가지 방법으로 이루어질 수 있으며 여러 가지 정보.

보호 문서의 일부이다 즉 정보보호 계획 업무 지속성 계획 위험 분석 자료 정보보호 정책. , , ,

및 절차와 같은 일련의 정보보호 문서들이다 이는 형상 및 변화 관리에 관련된 직원들 관. ,

리자 사용자 시스템 관리자 유지 인력의 필요성을 충족시키기 위해 설계되었다 완벽한 상, , , .

세 내용으로 정보보호 착오 또는 과실을 없애고 정보보호 작동이 정확하고 능률적으로 수행

될 것이라고 보증하는 정보를 유포하고 제공할 필요가 있다 특히 위협 취약성 위험에 대. , ,

한 많은 문서는 매우 중요하고 비인가된 노출에 대비하여 항상 이들을 보호해야 한다 결과.

적으로 대부분의 조직들은 이러한 문서를 매우 조심스럽게 처리할 필요가 있고 안전한 배“ ”

치 절차를 사용해야한다 그러한 절차가 사용될 경우 대책 정보의 중요한 부분들을 어떻게.

저장하고 접근하여 사용할 것인지에 대한 설명하는 방법의 문서 자료로 증명되어야 한다.

더욱이 절차는 그 대책 정보가 저장되는 방법 결정에 대해 누가 책임을 지고 있으며 누가

그러한 절차를 사용 및 평가할 수 있을 것인지 식별해야 한다.

- 97 -

배치 절차 설계 시 대책 정보 접근성은 중요한 시기에 재난 혹은 다른 예상하지 못한 사건

이 발생 시 비상 계획 및 재난 복구 계획을 포함하여 업무 지속성 전략 계획을 찾아내고,

사용하는 필요성과 같은 구체적인 요소를 고려해야 한다 마지막으로 비의도적으로 또는 모.

르고 대책의 유효성을 감소시키는 것이 비인가된 변화를 초래할 수 없다는 사실을 보장하기

위하여 대책 문서 자료의 엄격한 형상 통제 역시 필요하다.

정보보호 계획이 일단 완료되고 책임 있는 기능에 의해 서명으로 마무리되면 대책 실행IT

및 시험하고 정보보호 준수를 점검한다 정보보호 준수 점검 검토는 정보보호 대책이 정확.

히 실행되었는지 그리고 효율적으로 사용 중이며 적절히 시험되고 있는지를 확인하기 실시

된다 정보보호 시험은 본 검토의 일부로써 실시될 수 있다 시험은 실행이 정확하게 수행되. .

어 완성되었음을 보증하는 중요한 기법이다 정보보호 시험은 시험 접근 계획 및 환경을 설. ,

명하는 정보보호 시험 계획에 의해 지도되어야 한다 침투 시험은 평가된 위험에 의해 정당.

화되면 사용될 수 있다 세부적인 정보보호 시험 절차를 반드시 기록하고 표준 시험 보고서.

를 사용해야 한다 목적은 규정한 대로 정보보호 계획 요건을 충족시키고 감소되었음을. IT

보증하는 방법으로 실행 및 시험을 수행하는 것이다.


정보보호 인식 프로그램의 목적은 기관 내의 인식 수준을 정보보호가 두번째 본질이 되고

프로세스는 모든 사람이 쉽게 수행할 수 있는 경로가 되는 수준까지 증대시키는 것이다 프.

로그램은 직원 및 최종 사용자들이 시스템에 대한 충분한 지식을 가지고 있고 대책IT IT

이 필요한 이유와 그것을 정확하게 이용하고 이해하는 방법을 그들이 이해하고 있다는 사실

을 보장해야 한다 직원이 대책을 수용하면 최종 사용자들이 효율적으로 작업할 수 있. IT

다.

- 98 -

정보보호 인식 프로그램에 대한 정보는 기관의 모든 단계로부터 나온다 이는 정보보호. IT

정책을 포함해야 하며 조직의 정보보호 계획의 모든 목적을 포함한다 인식팀을 위하여IT .

모든 부서로부터의 관리 지원이 필요하다 정보보호 인식 프로그램에 기술된 일정 강연 및. ,

다른 모든 활동에 의해 다음 주제들을 상세하게 다루어져야 한다.

조직과 개인 모두에게 정보보호의 중요성 설명◆

비밀성 무결성 가용성 책임추적성 진정성 신뢰성을 조건으로 시스템을 위한 정보, , , , , IT◆

보호 필요성 및 목적

조직과 개인 간 정보보호 사고의 밀접한 관계◆

하드웨어와 소프트웨어를 포함하여 시스템의 정확한 사용IT◆

위험과 대책에 대한 이해로 유도하여 배후의 목적과 기관 정보보호 정책 모든 정보IT ,◆

보호 지침 지시사항 위험 관리 전략의 설명, ,

시스템 위험과 시스템 보호IT IT◆

영역 인가된 인력 문 잠금 장치 배지 입회 기록 과 정보 논리 접근 통제 판독 갱신IT ( , , , ) ( , /◆

권리 에 대한 제한된 접근 그리고 이러한 제한이 필요한 이유)

정보보호 및 기획 위반을 보고할 필요성◆

절차 책임 작업 설명, ,◆

정보보호 요소이기 때문에 직원 및 최종 사용자들이 하지 말아야 할 모든 것IT◆

만약 직원이 정보보호 위반에 책임을 지는 경우의 결과◆

대책을 실행 및 점검하는 시스템 정보보호 계획IT◆

이러한 대책이 필요한 이유와 정확하게 사용하는 방법◆

정보보호 준수 검사 관련 절차◆

변화 및 형상 관리◆

정보보호 인식 프로그램 개발은 정보보호 전략 대상 정책 검토로 시작한다 이러한 프로세, , .

스는 조직의 중요한 기능을 식별할 정도의 지위에 있을 뿐 아니라 상위 관리 그룹의 완전한

지원을 받는 개인들로 구성된 팀이 수행해야 한다.

- 99 -

검토 팀은 정보보호 정책에 따라 요건의 파기를 반드시 결정한다 이는 전반적인 정보보IT .

호 시작과 결합시킨다 즉 단지 만이 아닌 인식 포스터 간행물 회사 소개서 내부 우편( , IT ). , , ,

과 같은 여러 가지 포맷으로 간행되어야 한다.

그리고 팀은 정보보호 문제들에 대한 구체적인 브리핑을 실시한다 요건의 완전한 검토는.

브리핑을 위해 필수 정보 기반을 구축하기 위하여 수행해야 한다 모든 직원들이 현대 정보.

기술에서 고유의 위험에 익숙하다는 것을 보증하기 위하여 각각의 브리핑은 주기적인 간격

으로 실시해야 한다.

인식 프로그램의 목적 및 내용을 결정에 관한 책임은 상위 관리 수준으로 정보보호 포IT

럼에 배정되어야 한다 기관 임원 및 정보보호 인식 개발 팀에게 개발 및 실행을 위한. IT

책임을 할당해야 한다 이는 다른 기관 훈련 및 교육 활동과 연계하여 실행해야 한다 그러. .

나 그들의 작업 환경의 정보보호 정책 및 절차를 검토하고 그들에게 익숙해지는 것은 개개

인 모두의 책임이다 따라서 정보보호 인식 프로그램은 비로서 조직의 모든 계층에게 이행.

된다 정보보호 인식 프로그램을 성공적으로 개발하기 위해서는 다음의 구성 요소들을 통합.

해야 한다.

필요성 분석필요성 분석필요성 분석필요성 분석2.3.4.2.12.3.4.2.12.3.4.2.12.3.4.2.1

목표 그룹 실행자 관리 피고용인 내에 이미 존재하는 인식 수준과 새로운 정보를 전달하는( , , )

가장 수용할 만한 방법을 결정하기 위해서 정보보호 지식 필요성 분석을 수행할 필요가 있

다 필요성 분석은 헌재의 실제 수행과 관련하여 정책 절차 태도 정보보호 지식 그리고 원. , , ,

하는 수행을 검사한다.

프로그램 배급프로그램 배급프로그램 배급프로그램 배급2.3.4.2.22.3.4.2.22.3.4.2.22.3.4.2.2

전체적인 정보보호 인식 프로그램은 상호작용 및 촉진 기법을 포함한다 인식 프로그램 본.

영역의 초점은 필요성 분석을 통해 식별된 결핍이다.

- 100 -

고용인은 자산이 가치 있고 자산에 대한 위험이 사실이라고 인정하고 이해를 얻을 필요IT

가 있다.

그러한 조직의 정보보호 인식 프로그램에서 도출되는 하나의 혜택은 정보보호 프로그램에

참가할 기회를 고용인들에게 제공한다는 사실이다 상호 작용 기법은 직원 회의 훈련 과정. ( , )

은 참가자와 정보보호 인력들이 필요성 분석에서 기인하는 개념 및 요건들을 확인하도록 두

가지 통신 방법을 제공한다 촉진 기법은 비디오 이메일 정보보호 배너 포스터 출판물 은. ( , , , )

단일 방향의 통신 도구이며 이들은 관리 집단이 저렴한 방법으로 개념 정보 태도를 방송하, ,

도록 허용한다.

정보보호 인식 프로그램의 모니터링정보보호 인식 프로그램의 모니터링정보보호 인식 프로그램의 모니터링정보보호 인식 프로그램의 모니터링2.3.4.2.32.3.4.2.32.3.4.2.32.3.4.2.3

정보보호 인식 프로그램의 효과적인 모니터링을 구성하는 두 가지의 특징적 요소가 있다.

주기적 수행 평가 정보보호 관련 작동 모니터링으로 인해 인식 프로그램의 유효성을-◆

결정하고 프로그램 배급에 영향을 주는 변화를 요하는 곳을 식별하는 것이다.

인식 변화 관리 전체 정보보호 프로그램에 변화가 있을 때마다 그러한 변화들을 반영-◆

하여 기존의 지식 및 기술 수준을 향상시키는 정보보호 인식 프로그램을 개조할 필요성이

있다.

정보보호 훈련정보보호 훈련정보보호 훈련정보보호 훈련2.3.4.32.3.4.32.3.4.32.3.4.3

조직내의 모든 사람에게 적용하는 일반적인 정보보호 인식 프로그램 외에 구체적인 정보보

호 훈련이 시스템에 관련된 과업 및 책임을 가진 인력에 요구된다 정보보호 훈련의 심IT .

도는 정보보호가 조직에 대해 가지는 전체적 중요성에 달려 있고 수행된 직무의 정보보IT ,

호 요건에 따라 다르다 필요한 경우 대학 강의 과정에 참여와 같은 보다 광범위한 교육이. ,

제공되어야 한다 정보보호 훈련 프로그램은 조직에 관련된 모든 정보보호 필요성을 다. IT

루기 위해 개발되어야 한다.

- 101 -

구체적인 정보보호 훈련이 필요한 인력을 결정할 때 다음을 고려되어야 한다 .

시스템 설계 및 개발에 대해 중요한 책임을 가진 인력IT◆

시스템 작동에 대해 중요한 책임을 가진 인력IT◆

기관 프로젝트 정보보호 임원, IT , IT◆

접근 통제 혹은 디렉토리 관리와 같은 관리적 책임을 가진 인력◆

더욱이 진행 중이거나 계획된 과업 또는 프로젝트 등에 대하여 특수 정보보호 훈련을 요하

는 경우를 알기 위하여 점검이 이루어져야 한다 구체적인 정보보호 요건을 가진 과업 혹은.

프로젝트에 착수시 상응하는 프로젝트 착수 전에 정보보호 훈련 프로그램이 개발되고 그러

한 활동이 제때에 수행되어야 함을 보증해야 한다 정보보호 훈련 과정이 다루는 주제는 참.

가 인력의 직무 및 직능에 달려 있다.

정보보호는◆

비밀성 무결성 가용성 위반의 예방 조치이다, , .■

조직 또는 개인에 대한 잠재적 불리한 사업 영향■

정보 중요도 분류 계획■

전체적인 정보보호 프로세스◆

전체적인 프로세스 설명■

위험 분석 요소■

대책과 이를 수행하기 위하여 필요한 훈련◆

직무 및 책임◆

시스템 정보보호 정책IT◆

대책의 정확한 구현 및 사용은 정보보호 훈련 프로그램이 다루어야 할 가장 중요한 사안 중

의 하나이다 각각의 조직은 필요에 따라 그 자체의 정보보호 훈련 프로그램 및 기존의 혹.

은 계획된 대책을 개발해야 한다 다음은 기술적 및 비 기술적 대책간 균형을 위한 필요성.

을 강조하고 다루어야 할 대책 관련 주제의 예이다.

- 102 -

정보보호 하부 조직◆

직무 및 책임■

정보보호 정책■

주기적인 정보보호 준수 점검■

정보보호 사고 처리■

물리적 정보보호◆

빌딩■

사무 지역 장비실,■

장비■

인력 정보보호◆

매체 정보보호◆

하드웨어 소프트웨어 정보보호/◆

식별 및 인증■

논리 접근 통제■

회계 및 정보보호 감사■

실제의 저장 배치■

통신 정보보호◆

네트워크 하부 조직■

다리 통행로 출구 방화벽, , ,■

인터넷과 다른 외부 연결■

비상 계획 재난 복구를 포함하는 업무 지속성 전략 및 계획/ ,◆

시스템 승인시스템 승인시스템 승인시스템 승인2.3.4.4 IT2.3.4.4 IT2.3.4.4 IT2.3.4.4 IT

조직은 시스템 정보보호 정책과 정보보호 계획의 요건을 충족시키기 위하여 선정된IT IT

시스템 혹은 모든 시스템에 대한 승인을 보증한다 이러한 승인 프로세스는 정보보호IT IT .

준수 점검 정보보호 시험 시스템 평가와 같은 기법에 근거한다 절차는 내부 또는 외부 표, , .

준을 수행할 수도 있고 승인 프로세스 수행의 주체는 조직의 내부 또는 외부일 수도 있다.

- 103 -

승인 프로세스는 주로 시스템을 위해 실행되고 유지되는 정보보호 대책이 적절한 수준IT

의 보호를 제공한다는 사실을 확신하는 것에 목표로 둔다 이러한 승인은 정의된 작동 환경.

에 대하여 그리고 시스템 정보보호 정책 및 계획에 진술된 시간의 제한 기간 동안 효력IT

을 지닌다.

구현된 정보보호 대책에 대한 모든 중요한 변화 또는 정보보호 관련운영상의 절차 변화는

재 승인을 요구할 수도 있다 재 승인을 위한 기준은 시스템 정보보호 정책에 포함된다. IT .

승인 프로세스는 주로 문서 검토 물리적 조사 기술적 평가로 구성된다 이를 수행하기 위, , .

해서는 다음의 주요 사안이 설명될 필요가 있다.

승인 프로세스는 반드시 계획되어 특수 시스템을 향한 접근을 맞추어야 한다 첫 번IT .◆

째 단계는 일정 필요한 자원 책임을 정의한다, , .

이러한 프로세스 고려 시 사용된 문서◆

문서 검토는 그러한 문서의 찬성 및 다른 서류와 내부의 일관성을 검사하기 위하여 수행◆

된다.

시스템 계획에 설명된 기준 검토 및 시험을 완료한다IT .◆

보고서는 승인 프로세스 결과를 요약하고 시스템 정보보호가 완전한 부분적 제한적 또, ,◆

는 승인되지 않은 어떤 기권 프로세스에 대한 어떤 제한 그리고 그들의 유효기간을 소유하,

는지의 여부를 진술하는 양식으로 작성된다.

시스템이나 그 환경이 변화하면 재승인을 해야 한다 또한 승인 기간의 마지막에 실IT .◆

시한다.

승인 프로세스가 일단 실행되면 후속조치를 실행한다 후속조치는 시스템과 시스템의 정보, .

보호 및 환경 내에서 변화를 감지하고 조사해야 한다 갱신은 감지를 수행하여 승인이 일어.

나는 어떤 경우에 실행될 필요가 있다.

거래처의 시스템 승인은 합의 기준선 정보보호 또는 조직의 실천코드에 대응하여 다음IT

의 사실을 필요로 한다.

- 104 -

기준선 정보보호에 대한 조직 고유의 맞춤 버전과 실천 코드 제정을 요한다 그리고. IT◆

장비에 연결하기 전 준수 및 승인 목적을 위해 공급자나 거래처에 그 버전을 유포한다.

여러 다른 회사들과의 거래하며 가 연결을 요하지만 그렇게 하기 위해서는 일반적으IT◆

로 기준선 정보보호나 실천 코드에 대응하여 허용 가능한 정보보호 태도를 증명할 필요가

있다.

조직의 설비에 연결하고 있는 다른 회사들과 관련하여 정보보호 위험 수준과 조직이IT◆

다른 회사에게 기대하는 정보보호 태도 제정을 요한다 이는 회사가 기준선 정보보호 혹은.

코드의 그러한 부분과 준수 정보보호 프로필과 일관된 실천 코드나 기준선 정보보호 영역의

준수를 지적하여 정보보호 준수 점검 검토를 토대로 하여 승인을 실시하도록 한다.


흔히 무시되는 후속조치는 정보보호의 가장 중요한 측면의 하나이다 실행된 정보보호대IT .

책이 실제 업무 활동에서 점검되면 효율적으로 작용할 수 있다 이는 대책이 정확하게 사용.

되고 있고 어떤 정보보호 사고와 변화가 감지 및 처리되고 있다는 사실을 보증하는 것이어

야 한다 후속조치 활동의 기본적 의도는 정보보호 대책 실행과 같이 기능이 지속된다는 사.

실을 보장하는 것이다 시간이 경과하면서 어떤 서비스나 메카니즘 수행이 악화되는 경향이.

있다 후속조치는 이 같은 악화를 감지하고 교정 행위를 착수하기 위하여 계획되었다 이것. .

은 시스템을 보호하기 위하여 필요한 정보보호 수준을 유지하는 유일한 방법이다 본 항IT .

에 기술한 절차는 효율적인 후속조치 프로그램의 토대를 형성한다 정보보호 관리는. IT IT

정보보호 계획 실행 후에 중지하지 않는 진행하는 프로세스이다.


대부분의 대책은 그들의 수명 동안 정확하고 적절한 기능한다는 것을 보장하기 위하여 유지

보수 및 관리적 지원을 필요로 한다.

- 105 -

이러한 활동은 유지보수 및 관리 주기적으로 일정의 기반으로 계획 및 수행되어야 한다 이( ) .

러한 방법으로 대책의 경비를 줄이고 그 가치를 보존한다.

오작동 감지하기 위해서 주기적인 점검이 필요하다 점검되지 않은 대책은 전혀 가치가 없.

다 이는 그 대책을 신임 사항을 알 수 있는 방법이 없기 때문이다 유지보수 활동은 다음을. .

포함한다.

로그 파일 점검◆

변화 및 추가 사항을 반영하는 매개변수 변경◆

원인 가치 혹은 계수기의 재 시작◆

새로운 버전으로 갱신◆

유지와 관리비용은 상이한 대책 선정 및 평가 시 반드시 고려해야 한다 유지보수 및 관리.

비용은 하나의 대책과 다른 것 사이의 유지와 관리비용이 크게 다르기 때문이다 따라서 대.

책 선정 시 중요한 결정요인이 된다 일반적으로 일시적 비용이 아니라 재 발생 비용을 대.

표하는 어느 곳에서든지 진행중인 유지보수 관리비용을 최소화하는 것이 바람직하다.

정보보호 준수 점검정보보호 준수 점검정보보호 준수 점검정보보호 준수 점검2.3.5.22.3.5.22.3.5.22.3.5.2

정보보호 준수 점검은 실행된 대책의 검토와 분석이다 이는 시스템이나 서비스가 시. IT IT

스템 정보보호와 시스템 정보보호 계획에 준수하는지 여부를 검사하기 위하여 사용한다IT .

정보보호 준수 점검은 다음의 준수를 검사하는데 사용된다.

시스템과 서비스가 실행된 후 새로운 시스템과 서비스IT IT◆

시간의 경과 기간이 발생 후 기존의 시스템 또는 서비스IT◆

시스템 정보보호 정책을 유지하기 위하여 어떤 조정이 필요한가를 알기 위해서IT IT◆

시스템 정보보호 정책에 대한 변화가 이루어졌을 때 기존의 시스템과 서비스IT

- 106 -

정보보호 준수 점검은 내부 혹은 외부적 정보보호 정책을 이용하여 수행될 수 있고 시IT

스템 정보보호 정책에 관련된 점검표를 사용을 필수 원칙으로 한다 시스템 보호 대책은. IT

다음과 같이 검사될 수 있다.

주기적 검사 및 시험 실시◆

발생하는 실제의 사고에 대한 운영상의 수행 모니터링◆

특수한 중요도 혹은 관심 분야에서 정보보호 수준 및 목적의 상태 검사를 위한 현장에서◆

실시

어떤 정보보호 준수 점검 수행을 지인하기 위한 시스템 활동에 대한 가치 있는 정보를IT

다음으로부터 얻을 수 있다.

사고 기록에 사용된 소프트웨어 패키지 사용◆

전체적인 사건 전체의 변천을 추적하기 위한 감사 추적 사용◆

승인 및 주기적 점검을 위한 정보보호 준수 점검은 마지막 위험 분석 결과로부터 취득된 합

의 대책 목록 시스템 정보보호 정책 사고 보고서를 포함하여 관리그룹이 서명한 정, IT , IT

보보호 운영 절차를 원칙으로 한다 목적은 대책이 실행되었는가 정확히 실행되었는가 정. , ,

확히 사용 및 관련 경우에 시험되었는가를 확인하는 것이다.

정보보호 준수 검사자 조사자는 정상 작업 일에 빌딩을 순시하고 정보보호 대책이 실행되/

는 방법을 주시해야 한다 물론 면담도 중요하지만 결과를 가능한 많이 다른 각도에서 검사.

해야 한다 누군가 말하는 것을 믿을 수는 있지만 그것이 아닐 수도 있다 모든 사람 즉 남. . /

여 작업으로 다른 각도에서 검사한다.

이는 전체적인 점검 표와 준수하는 보고서 포맷을 가지도록 한다 이들을 저조하게 평가해.

서는 안된다 이러한 점검 표들은 형상 세부 사항들 정보보호 책임 정책 문서 주변 위치와. , , ,

같은 일반적인 식별 정보를 다룬다 물리적 정보보호는 외부 빌딩처럼 맨홀 덮개를 통하는.

접근성을 포함하는 외부적 측면과 건축 누수 감지 전력 부족 등과 유사하게 건축 소음 잠, , ,

금 화재 감지와 같은 내부 측면을 반드시 설명해야 한다, .

- 107 -

다음과 같은 감지할 여러 가지 일들이 있다.

물리적 침투나 우회적인 통제로 개방된 지역 예를 들면 키패드나 카드 시스템으로 작동:◆

하는 문 밑의 웨지

부족 또는 저급한 분배 잘못된 형태의 감지시설과 같은 부정확한 메카니즘 메카니즘 부, ,◆

정확한 설치 어떤 지역에 대하여 연기 혹은 열 감지기가 정확한 높이에 충분히 많이 있는.

가 경보에 대한 적절한 응답은 있는가 경보는 통제 포인트에 적절히 연결되어 있는가? ? ?

적절한 전력 백업 및 고장 절차는 있는가 정확한 유형의 케이블을 사용하는가 그리고 날카?

로운 장애물의 가장자리에 근접하여 위치하지 않는가?

정보보호의 다른 측면을 위한 정보보호 틈을 감지하기 위하여 다음의 질문은 도움이 된다.

◆ 인력 정보보호에 대하여인력 정보보호에 대하여인력 정보보호에 대하여인력 정보보호에 대하여,,,, 고용에 대한 정보보호 주목 실제로 참조는 적절히 이루어지.

는가 고용 차이는 검사되는가 인력은 정보보호를 정말로 인식 및 인지하고 있는가 핵심? ? ?

기능에 대하여 한 사람에 의존되어 있는가?

◆ 관리 정보보호 문서에 대하여관리 정보보호 문서에 대하여관리 정보보호 문서에 대하여관리 정보보호 문서에 대하여/ ,/ ,/ ,/ , 어떻게 배치되었는가 일반적으로 문서는 가장 최근의,

것인가 위험 분석 상태 점검 및 사고의 보고 활동이 실제로 규정대로 사용되는가 업무? , ?

지속성 계획 적용 범위는 정확하고 현재 유포되었는가?

◆ 하드웨어 소프트웨어 정보보호에 대하여하드웨어 소프트웨어 정보보호에 대하여하드웨어 소프트웨어 정보보호에 대하여하드웨어 소프트웨어 정보보호에 대하여/ ,/ ,/ ,/ , 필수적인 수준에 대해 여유가 있는가 사용?

자 패스워드 선정 및 절차는 얼마나 완전한가 감사 추적은 바른 모양과 선택까지 에러ID/ ?

기록 및 추적성을 포함하는가 평가된 제품은 합의된 요건을 충족시키는가? ?

◆ 통신 정보보호에 대하여통신 정보보호에 대하여통신 정보보호에 대하여통신 정보보호에 대하여,,,, 필수 여유가 있는가 다이얼업 설비가 있다면 필요한? (dial-up)

설비와 소프트웨어는 적소에 적절히 사용되는가?

- 108 -


변화 관리가 운영되는 시스템과 환경은 지속적으로 변한다 이러한 변화는 새로운 특징IT .

및 서비스 가용성의 결과이거나 새로운 위협과 취약성에 대한 발견의 결과이다 이러한 변.

화 또한 새로운 위협과 취약성으로 귀착한다 시스템 변화는 다음을 포함한다. IT .

새로운 절차◆

새로운 특징◆

소프트웨어 갱신◆

하드웨어 개정◆

외부 집단이나 동일 그룹을 포함하려는 새로운 사용자◆

추가의 네트워킹과 상호연결◆

시스템에 대한 변화가 발생 시 또는 계획이 있다 해도 그러한 변화가 시스템 정보보호IT

에 어떤 충격을 줄 것인가를 결정하는 것은 중요하다 만약 그 시스템이 기술적 시스템 변.

화를 관리하는 다른 조직적 구조나 형상 통제 회의가 있다면 시스템 정보보호 임원 혹IT

은 남 여 대표자들은 본 회의로 배정되어야 하며 어떤 변화가 정보보호에 충격을 줄 것인가/

그러하다면 어떻게 할 것인지에 대해 결정하는 책임을 지도록 한다 새로운 하드웨어 소프. ,

트웨어 서비스를 구매에 관련되는 주요한 변화로 인해 새로운 정보보호 요건을 결정하기,

위하여 분석이 필요하다 반면에 시스템에 일어나는 많은 변화들은 본질적으로 사소한 것들.

이다 주된 변화를 위하여 필요한 광범위한 분석을 요하지는 않지만 몇몇의 분석을 요한다. .

두 가지 유형의 변화에 대하여 효과 및 비용을 고려하는 분석이 이루어져야 한다 사소한.

변화들에 대하여 회의에서 비공식적으로 분석이 이루어질 수 있지만 결과 및 관리 결정은

문서로 제출해야 한다.


- 109 -

모니터링은 시스템 사용자 환경이 정보보호 계획에서 요약된바와 같이 정보보호 수준, , IT

을 유지하는가를 점검하는 지속적인 활동이다 일일 모니터링 계획은 안전한 작동을 진행하.

도록 보장하기 위한 추가의 지침 및 절차를 제공하기 위하여 마련되었다 사용자 운영 인력. ,

및 시스템 설계자는 모든 정보보호 문제들을 완전히 설명되고 정보보호 계획이 가장 최IT

근까지 남아 있다는 것을 보장하기 위하여 주기적으로 자문을 받아야 한다.

모니터링이 정보보호 유지의 중요한 부분이라는 이유들 중의 하나는 정보보호 관련 변IT

화를 감지할 수 있는 하나의 방법이기 때문이다 반드시 모니터하는 몇몇 측면은 자산 자산. ,

가치 자산에 대한 위협 및 자산의 취약성 자산을 보호하는 대책들이다 자산 가치를 감지, , .

하기위해서 그리고 시스템의 정보보호 목적의 변화를 감지하기 위해서 자산을 모니터링IT

한다.

조직의 사업 목적◆

시스템 상에서 작동하는 응용IT◆

시스템의 프로세스 정보IT◆

장비IT◆

위협과 취약성은 심각한 변화 예를 들면 환경 하부 구조의 변화 기술적 가능성으로부터 초( , ,

래되는 변화에 의해 유발됨 와 초기 단계의 다른 위협이나 취약성의 출현을 감지하기 위하)

여 모니터링 한다 이러한 위협과 취약성의 변화는 자산 변화에 의해 영향 받을 수 있다. .

시간의 경과에 따라 대책의 실행 및 유효성을 점검하기 위해 대책을 모니터링 한다 대책이.

필요한 보호 수준에 따라 시스템을 보호하고 적절하다는 사실이 보증되어야 한다 자산IT . ,

위협 취약성의 변화가 대책의 유효성 및 정확성에 영향을 준다는 것이 가능하다, .

추가적으로 새로운 시스템이 소개될 때 혹은 기존의 시스템에 변화가 발생할 때 그러한IT

변화가 기존의 대책 상황에 영향을 미치지 않으며 새로운 시스템이 적소에서 안전한 정보보

호 대책으로 소개되었다는 사실을 보장해야 한다.

- 110 -

정보보호 변칙이 발견되면 대책의 가능한 검토를 위해 발견 사항들을 조사하고 관리그룹에

게 보고 해야 할 필요가 있고 또는 심각한 상황에서는 시스템 정보보호 정책 검토를 조IT

사하고 위험분석 활동을 착수한다 시스템 정보보호 정책에 관한 충실함을 확보하기 위. IT

하여 적절한 자원은 다음을 매일 모니터하는 적절한 수준을 유지하기 위하여 주력해야 한

다.

기존의 대책◆

새로운 시스템이나 서비스 소개◆

기존의 시스템이나 서비스에 대한 계획적 변화◆

많은 대책들은 사고 발생 기록 유형으로 유발되는 결과를 만들어 낸다 이러한 기록들은 변.

화 추세에 대한 초기 감지 반복적으로 발생하는 사고 감지를 허용하는 통계적 기법을 사용,

하여 분석할 수 있다 이러한 기록 분석에 대한 책임을 배정해야 한다. .

구별된 환경에서 기록은 단일 환경에 관련된 정보만을 기록할 수 있다 복잡한 사건의 본질.

을 충실히 이해하기 위해서는 서로 상이한 기록으로부터 정보를 가져오는 것이 필요하다.

그리고 단일 사건 기록으로 그들을 융합시킨다 사건 기록 융합은 복잡한 과제이며 가장 중.

요한 측면은 상이한 사용 기록이 확실하게 융합시키는 매개변수의 식별이다.

매일 모니터링 통제를 위한 관리 기법은 필요한 활동에 대한 정보보호 운영 절차 서류를 준

비하는 것이다 이러한 문서는 시간의 경과하면서 시스템과 서비스 전개에 따라 모든 시스.

템과 서비스에 대한 정보보호수준은 유지하되 절충해서는 안 된다는 것을 보장하기 위하여

필요한 모든 행위를 설명한다.

정보보호 형상을 향상시키기 위한 절차는 문서로 증명되어야 한다 그러한 절차는 조정된.

정보보호 매개 변수와 어떠한 정보보호 관리 정보를 향상시키는 매개변수를 포함한다 이러.

한 변화는 형상 관리 프로세스에 의해 기록 및 승인되어야 한다.

- 111 -

수행 경로 유지보수를 위한 절차는 정보보호가 절충되지 않는다는 사실을 보장하기 위하여

제정된다 안전한 구별 절차는 허용 가능한 경우에 각각의 정보보호 구성요소를 설명해야.

한다.

정보보호 대책을 모니터링을 위한 절차를 설명할 필요가 있다 정보보호 기록 검토의 접근.

및 빈도를 진술해야 한다 통계적 분석 기법과 도구의 사용 역시 진술해야 한다 여러 가지. .

작동 조건을 토대로 하는 감사 발단을 조절하는 방법에 대한 지침을 정해야 한다.


위험을 식별하고 위험의 엄격성을 측정하기 위해서 위험 분석이 필요성을 강조해 왔다 위.

험 분석을 지원하고 결과를 향상시키기 위해서 정보보호 사고에 대한 정보가 필요하다 안.

전한 방법으로 이러한 정보를 수집하고 분석해야 하며 혜택을 제공하기 위하여 이해해야 한

다 따라서 모든 조직은 작동 시 적절하게 구성 및 조직된 사고 분석 계획 과 수용. IT (IAS)

및 프로세스 정보가 위험 분석 관리 다른 정보보호 관련 활동을 지원하는데 유용해야 한, ,

다.

사용자와 잠재적인 사용자의 요구를 충족시키고 성공시키기 위하여 사고 분석 계획은IT

사용자의 요구에 토대로 하여 구성되어야 한다 그보다도 어떤 실제의 작동에 앞서서 정보.

보호 인식 프로그램 상에서 사고처리의 중요한 적용범위이어야 한다 그러한 프로그램은 포.

함되는 것같은 모든 것은 사고 분석 계획 제정하고 혜택을 제공하는 것들 그리고 그러IT

한 취득 결과가 다음에 사용되는 방법을 이해한다고 보장한다.

위험 분석과 관리 검토를 개선◆

사고의 예방조치에 관한 지원◆

정보보호 관련 사안들에 대한 인식 수준 향상IT◆

컴퓨터 긴급 대응 팀과 같은 팀의 사용을 위하여 경고 정보를 제공“ ”◆

- 112 -

이들에 관련된 어떤 사고 분석 계획 설명해야 하는 핵심 측면은IT .

내부적인 그리고 외부적인 논리적 물리적 공격으로 발생되거나 사고 장비 오작동 혹은,◆

사람의 잘못으로 인해 유발되든지 간에 원치 않은 사고 발생 시 그러한 사고의 처리를 위,

해 사전에 결정된 계획의 설정.

컴퓨터 긴급 대응 팀을 형성하는 경우에 사고 조사에 임명된 인력 훈련.◆

컴퓨터 긴급 대응 팀은 사고의 원인 조사하거나 혹은 앞으로 잠재적 발생 및 변화 데이IT

터의 주기적인 연구 및 분석을 수행하는 인력 집단으로 정식 승인되었다 그 결론은 복구.

행위로 결론이 유발되어야 한다 컴퓨터 긴급 사항 대응 팀은 조직의 내부 혹은 외부적 계. (

약 일수도 있다) .

원치 않은 사고 진행 시 적소에 있는 계획 및 훈련된 인력으로 성급한 결정을 회피할 수 있

고 사고 원인 식별 및 추적을 위하여 사용될 수 있는 증거를 보존할 수 있다 가치 있는 자, .

산에 대한 보호를 신속히 수립할 수 있고 사고뿐만 아니라 대응 비용도 감소될 것이다 더.

욱이 부정적인 공고도 감소될 것이다 모든 조직은 적소에 배치된 효율적인 를 가지고. ISA

사고에 대비하여 준비 및 계획하여야 하며 다음을 포함한다.

준비 미리 문서 자료 예방조치 척도 사고 처리 지침 및 절차 증거 보호 사고로 그 유- , ( ,◆

지 공공 관계 취급을 포함하여 필수적인 문서 업무 지속성 계획, ), ,

통보 누군가에게 사건을 보고하기 위한 수단 및 책임-◆

평가 사고 조사 및 심각성 조사를 위한 절차 및 책임-◆

관리 사고 처리 피해 제한 사고 근절 상부 보고에 대한 절차 및 책임- , , ,◆

복구 정상 서비스 재구축을 위한 절차 및 책임-◆

- 113 -

검토 법적 연루 관계에 대한 조사 및 분석을 포함한 후기 사고 조치에 대한 절차 및-◆

책임

사고 분석 계획 사용으로 개별 조직에 전달되는 혜택이 있는 한편 몇몇 조직은 경향을IT ,

신속히 식별하고 보호를 가능하게 하기 위한 경고 를 취득하기 위한 것으로부터 보다 넓은“ ”

기반을 제공하기 위하여 다른 사고들과 몇몇 사고를 공유함으로써 보다 많은 혜택을 얻을

수 있다고 생각할 수 있다 이를 용이하게 하기 위하여 전체적인 모든 영역 위협 형태 및. ( ,

충격 적합한 위협 및 세부적인 충격 필요성에 대한 요건의 범위를 포함할 정도로 충분히)

탄력적인 사고 분석 계획 데이터베이스 구조를 사용해야 한다 조직 내부 혹은 상호간에IT .

각각의 연결 사고 분석 계획은 사고에 대한 정보를 기록하는 유사한 유형학 작시법 및IT ,

구조를 사용한다 이는 비교 및 분석을 가능케 한다 공통 구조의 사용은 보다 포괄적인 결. .

과를 가능케 하는데 있어서 중요하다 그리고 개별 사고 분석 계획을 통해서는 식별되지. IT

않는 경우에서는 특히 경고 의 신속한 식별을 위한 튼튼한 토대를 마련하는데 중요하다“ ” .

상기에서 암시하는 바와 같이 위험 분석 관리 방법 사이의 인터페이스 달성은 결과를IAS, ,

크게 개선시키고 그에 따라서 사고 분석 계획으로부터 취득되는 혜택을 증가시킨다IT .

위협 발생 정보는 위험 평가의 품질 및 그에 따른 위험 평가를 크게 지원한다 그 보다도.

사건 발생 시 사고들에 대한 조사 시 취약성과 그들이 이용되는 방법과 관련하여 새로운 추

가의 정보를 수집한다 사고 분석 계획 사용은 사용자로 하여금 취약성을 식별 및 평가. IT

하도록 하고 위험 분석 접근에 대한 가치있는 정보를 제공한다 이는 위협과 사고 조사 결.

과에 부분적으로 관련하여 소개된 정보에 대하여 부분적으로 토대를 둔다고 컴퓨터 응급 대

응 팀이 말한다 하나의 예로써 논리적 침입의 위협 공격자의 존재와 공정화 된 정보의 매. (

력 은 논리적 침투 적절한 논리접근 통제 메커니즘이나 부적합성 은 취약성과 결합할 수 있) ( )

다 이것으로 위험이 창출된다 그러므로 취약성에 대한 식별 및 평가를 위한 사고 분석. . IT

계획의 사용은 기존의 보고되고 다른 자원으로부터 얻은 정보와 결합된 사고로부터 데이터

베이스로 입력된 위협 정보의 사용을 통하여 발생한다.

- 114 -

그리고 특히 컴퓨터 응급 대응팀이 조사 및 연구하는 것은 이전에 식별되지 않은 취약성을

포함하지 않는다.

는 발생된 사고에 관련하여 보고된 자료에 따라 기능한다는 사실을 인지해야 한다 그ISA .

러므로 사고 분석 계획은 존재하지만 사고에 아직 연루 관계되지 않은 취약성들에IT IT

대한 정보를 직접적으로 제공할 수 없다 더욱이 통계학상의 분석 경향에 대하여 신중하게.

사고 분석 계획 데이터를 사용해야 한다 그럼에도 불구하고 컴퓨터 긴급사항 대응팀 조IT .

사의 결과는 이전에 예상하지 못한 취약성에 대한 몇몇 검토를 제공할 수 있다 전체적으로.

위험 분석과 관리 검토에 대한 사고 분석 계획 정보는 위협 위험 취약성 평가의 품질IT , , ,

을 향상시키는데 도움이 된다.

- 115 -

정보보호 정책서 개발정보보호 정책서 개발정보보호 정책서 개발정보보호 정책서 개발3.3.3.3.

조직이나 기업에서 정보보호를 효과적으로 운영하기 위해서는 다양한 기술적인 보호대책뿐

만 아니라 이들을 계획하고 설계하고 관리하기 위한 관리적 제도 정책 및 절차 등이 확립,

되어야 한다.

정보보호 정책은 조직과 직원들의 임무에 관련이 있으며 임무 수행에 대한 위험을 줄이기,

위한 목표를 가지고 있으며 정보보호 정책은 조직이 사용하는 자원에 대한 보안 요구사항,

을 문서화 한다 이러한 보안 요구사항은 조직체의 정보 및 기타의 시스템 자원에 대하여.

조직이 요구하는 보호를 표현한다.

보안 요구사항은 전체 조직을 위한 것이든 혹은 특정한 임무를 위한 것이든 간에 정보보호

정책과 동일한 방식으로 설정된다 우선 관리하여야 하는 정보를 식별하고 정보 사용을 위.

한 요구사항을 기술하고 정보의 가치를 결정하고 정보에 대한 잠재적인 위협을 식별하고 잠

재된 위험을 줄이기 위한 보호대책이 필요하게 된다 전체 조직을 위한 또는 특정한 임무를.

위한 정보보호 정책을 수립할 수 있다.

정보보호에 관련된 각각의 요소들은 서로 긴밀한 유기적 관계를 유지하고 이런 관계가 지속

적으로 반복되면서 문제점을 도출하고 도출된 문제점에 대한 새로운 대책을 세우는 과정의

연속인 것이다.

정보보호 정책의 정의 및 분류정보보호 정책의 정의 및 분류정보보호 정책의 정의 및 분류정보보호 정책의 정의 및 분류3.13.13.13.1

정책 정의 및 분류정책 정의 및 분류정책 정의 및 분류정책 정의 및 분류3.1.13.1.13.1.13.1.1

정보보호 정책은 조직의 상위 수준에서 운영수준까지 계층 구조별로 일관성을 유지하여야

하며 달성해야 할 정보보호의 목적 목적을 달성하기 위한 전략과 이를 위한 문서화를 위한, ,

규정 절차 및 지침 등으로 세분하여 구축해야 한다, .

- 116 -

정책은 개괄적으로 작성되기 때문에 조직은 정책을 구현하고 조직 목표와 일치하도록 명확,

한 접근방식으로 사용자 관리자 및 제 자에게 제공할 수 있는 표준 지침 절차를 개발한다, 3 , , .

표준과 지침은 시스템을 보호하기 위한 기술과 방법을 명시한다 절차는 특정 보안과 관련.

된 작업을 수행하기 위한 것으로 더 상세하게 작성된다 표준 지침 절차는 핸드북 규정 또. , , ,

는 편람을 통해서 조직에 공표될 수 있다.

정책정책정책정책3.1.1.13.1.1.13.1.1.13.1.1.1

정책의 정의는 반드시 충족해야 할 특정 요구사항 또는 규칙에 대한 윤곽을 명세한 문서“ ”

또는 조직의 기술과 정보자산에 접근하는 사람들이 준수해야 하는 규칙에 대한 정형적 문“

장 이다 조직이 어떻게 운영되어야 하는가를 나타내는 관리명령” . (Management Instruction)

이며 개괄적으로 폭넓은 의미로 작성한다 정책이란 지침 과 유사하나 지침에서. (Guidelines)

필수적으로 반드시 가 붙으면 정책 이 된다 일반적으로 정책은 다년“ (Must), (Should)” (Policy) .

간 지속되는 것을 전제로 한다 그리고 관리에 초점을 맞추어 유의하여야 할 영역을 다룬다. .

표준표준표준표준3.1.1.23.1.1.23.1.1.23.1.1.2

표준의 정의는 모든 사람에게 의해 충족되어야 할 모임 또는 시스템에 특화되거나 절차에“

특화된 요구사항 또는 기술 패러미터 및 절차 등에 있어서 일원화된 사용방법이 조직에” “ ,

게 이익이 되는 경우 일관된 사용방법을 명시한 것 이다 미국 국가표준국” . (American

등의 국제표준과 국내 표준 과 혼동되지 않는 조직의National Standard), FIPS (KS, TTA)

표준은 기술 패러미리 절차 등에 있어서 일원화된 사용방법이 조직에게 이익이 되는 경우, ,

일관된 사용방법을 명시한다 전 조직의 신원확인 뱃지의 표준화는 직원들의 유동을 용이하.

게 하며 출입시스템의 자동화를 구현할 수 있는 전형적인 예이다 이러한 표준은 보통 조직.

내에서 필수적이다.

- 117 -

지침지침지침지침3.1.1.33.1.1.33.1.1.33.1.1.3

지침의 정의는 최상에 실행을 위해 시스템에 특화되거나 절차에 특화된 제안의 모임 이다“ ” .

지침은 시스템을 보호하는데 있어서 사용자 시스템 관리자 및 제 자를 효율적으로 보조한, , 3

다 하지만 지침의 본질은 시스템이 크게 변형되는 것과 표준의 목표가 항상 달성되고 적. , ,

절하며 비용 효율적이지만은 않다는 사실을 인식하는 것이다 예를 들어 조직의 지침은 시, . ,

스템의 명확한 표준 처리절차를 개발하는 데 도움이 되도록 사용될 수 있다 비록 정확하게.

구현할 수 있는 보안 수단이 여러 가지일 지라도 특정 보안 수단을 지나치지 않도록 하는데

이 지침이 사용되어지고 있다.

절차절차절차절차3.1.1.43.1.1.43.1.1.43.1.1.4

절차의 정의는 정보보호 정책 표준 지침을 잘 적용할 수 있도록 도와준다 사용자 시스템, , . ,

관리자 및 운영자가 새로운 계정을 준비하고 적절한 권한을 할당하는 등의 특정 작업을 수

행하는 사람들이 따라 할 수 있는 자세한 내용을 말한다.

어떤 조직은 전반적인 내용의 컴퓨터 보안 편람 규정 핸드북 및 유사 문서 등을 발행한다, , .

이러한 것들은 정책 지침 표준 처리절차 등이 긴밀한 연계성을 가지고 있으므로 혼합되어, , ,

작성될 수도 있다 핸드북과 규정이 중요한 도구로서 제공될 수 있는 반면에 정책과 정책의.

구현을 분명하게 분리한다면 더욱 유용하게 사용될 수 있을 것이다 이것은 정책적 목적을.

달성하기 위해 다른 구현 방법을 제공함으로써 유연성과 비용효과를 증대하는데 도움을 줄

수 있다.

예제예제예제예제3.1.23.1.23.1.23.1.2

정책정책정책정책3.1.2.1 (Policy)3.1.2.1 (Policy)3.1.2.1 (Policy)3.1.2.1 (Policy)

- 118 -

보안 정책은 무엇을 보호할 것인가에 대한 기술로써 정책 자체에는 어떻게 에 대한

언급은 없다 예를 들어 모든 사용자들은 인증되어야 한다 라고 정보보호 정책에 명시할. , ‘

수 있지만 패스워드를 사용하여 인증할지 일회용 패스워드로 할지 아님 스마트카드를 사용, ,

하여 인증할 것인지에 대한 방법은 기술하지 않는다 왜냐하면 사용자 인증 방식은 조직의.

정보보호 수준이나 인증 방식 등의 고려에 따라 언제라도 변경될 수 있는 것이기 때문이다.

따라서 정보보호 정책은 어떤 식으로든 실행 가능한 형태로 구현하여야 하는데 정보보호,

정책의 구현 방식은 일반적으로 다음과 같은 세 가지로 구분할 수 있다.

표준표준표준표준3.1.2.2 (Standard)3.1.2.2 (Standard)3.1.2.2 (Standard)3.1.2.2 (Standard)

조직의 전반에 걸쳐 일률적으로 사용하는 보호 대책을 명시한다 예를 들어 사용자 인증을. ,

위하여 동일한 스마트 카드 의 사용을 표준으로 명시할 수 있다(ISO 7816) .

지침지침지침지침3.1.2.3 (Guideline)3.1.2.3 (Guideline)3.1.2.3 (Guideline)3.1.2.3 (Guideline)

정책은 해야만 한다 라는 의미이고 지침은 할 수 있다 라는 의미이다 즉 지침은 선택. ,

적이거나 권고 사항으로 보다 융통성을 갖는다 예를 들어 사용자 접근 통제를 위한 지침에. ,

서 강력한 사용자 인증을 위하여 스마트 카드를 사용할 수 있다 라고 표현할 수 있다“ ” .

절차절차절차절차3.1.2.4 (Procedure)3.1.2.4 (Procedure)3.1.2.4 (Procedure)3.1.2.4 (Procedure)

보안 관련 사안에 대한 상세한 보안 조치를 기술한다 예를 들어 직원이 퇴직하였을 때 사. , “

용자 인증을 위해 받은 스마트 카드와 같은 토큰은 반납 확인을 요하고 시스템에 대한 접근

권한을 바로 삭제한다 등의 상세한 절차가 존재하며 이에 따른 조치가 취하는 등은 절차에”

해당 된다.

- 119 -

정보보호 정책수립의 개요정보보호 정책수립의 개요정보보호 정책수립의 개요정보보호 정책수립의 개요3.23.23.23.2

표준 지침 및 절차 등은 정책이 조직 내에서 어떻게 구현되어야 하는지를 설명하는 자료이,

다 정보보호 관리자는 여러 가지 유형의 정책을 숙지함으로써 자신의 조직에 중요한 정보.

보호 문제를 용이하게 다룰 수 있다 정보보호 정책을 효과적으로 수립함으로써 궁극적으로.

는 더 나은 정보보호 프로그램을 개발 및 구현할 수 있고 이에 따라 시스템과 정보를 적절,

히 보호할 수 있다.

정보보호 정책의 필요성정보보호 정책의 필요성정보보호 정책의 필요성정보보호 정책의 필요성3.2.13.2.13.2.13.2.1

정보보호 정책은 조직의 정보와 프로세스를 보호하겠다는 목표의 제시와 함께 반드시 실행

되도록 조직의 책임자 혹은 관리조직이 이를 뒷받침하는 선언이다 정보보호 정책이 갖는, .

중요성 및 타당성은 다음과 같다.

최소한의 투자로 최대의 보안 효과를 얻는다.◆

정보보호 노력에 대한 진실성과 가시성을 구축한다.◆

현재와 미래의 변화에 대처하는 기준이 된다.◆

최고 경영자의 지원을 증명한다.◆

관련된 내부정책과 충돌을 피한다.◆

책임회피를 방지한다.◆

감사를 위한 참고 자료로 활용한다.◆

통제의 일관성을 가진다.◆

징계의 기초자료로 활용한다.◆

정보 자산에 대한 비밀 보호를 유지한다.◆

신용 의무의 위한 소홀함 등을 방지한다, .◆

정보보호 정책은 시스템의 상대적 도안을 측정하는데 사용한다.◆

정보보호 정책은 외부 협력사들과의 인터페이스를 정의한다.◆

정보보호와 관련하여 필수적인 법적 요구사항들이 있다.◆

정보보호 정책은 품질 관리의 필수요건이다.◆

- 120 -

정책은 조직문화의 방향설정을 제시한다.◆

정책에도 무엇을 보호하고 왜 보호하는가가 기술되어 있다.◆

정책은 무엇을 제일 우선적으로 보호해야 하며 비용은 얼마를 투자해야 하는가에 대한◆

우선 순위를 정한다.

보안의 가치와 중요성에 대한 여러 조직간의 명백한 합의를 도출한다.◆

이사회나 총회 등 조직의 의사결정기구를 통한 가시적 반영 효과를 갖는다.◆

정책은 보안담당 부서에게 직권 을 부여하지만 한편으로는 그들의 경솔한 행(Authority)◆

위를 방지한다.

정책은 통제의 적절한 시행을 보증해준다.◆

조직의 기반구조를 지원하기 위해서는 다음과 같은 사항을 필요로 한다.◆

문서화된 정책(Documented Policies)■

지침서(Guidelines)■

표준(Standards)■

절차(Procedures)■

조직의 책임상황(Responsibility Statements)■

보안수단추진절차(Enforcement Procedures)■

위험평가분석절차(Risk Assessment Process)■

보안계획수립절차(Security Planning Process)■

조직의 기반구조를 구축하기 위한 첫 단계는 정책수립과 위험평가 분석의 착수이다 그.◆

순서는 우선 위험의 평가 분석을 하고 그에 맞는 정책을 수립하는 것이다.

정책은 보안제품 선정과 개발과정의 지침을 제공한다.◆

법적 책임을 보호해준다.◆

정보보호 정책의 문서화정보보호 정책의 문서화정보보호 정책의 문서화정보보호 정책의 문서화3.2.23.2.23.2.23.2.2

조직의 정보보호를 위한 환경을 수립하기 위해서는 정보보호 정책을 수립하고 문서화를 해

야 한다 그를 위해선 다음과 같은 내용들을 포함해야 한다. .

- 121 -

정책은 조직 내에서 알려진 유일한 운영 환경에 맞도록 구성하며 정책이 서비스해야 할 운,

영 목적을 포함한다 정보보호 정책의 운영절차는 다음과 같다. .

조직의 자산을 보호하기 위해 최소로 요구되는 방법을 임직원 계약자 및 관련자 등에게,◆

알린다.

자산의 정보보호에 대한 임직원 계약자 관련자 등의 책임과 임무를 명시한다, , .◆

최고 경영자 정보보호 책임자 그리고 그 밖의 사용자는 표준 정책과 절차를 준수하며, ,◆

정보보호를 위한 의사결정을 한다.

조직 내부의 서로 다른 그룹들과의 조정을 통하여 정보자원의 위치 형식 또는 지원기술, ,◆

에 상관없이 적절하고 일관성 있게 보호한다 .

정보시스템 보안감사의 수행과 검토를 위한 지침을 제공한다.◆

문서화의 내용문서화의 내용문서화의 내용문서화의 내용3.2.2.13.2.2.13.2.2.13.2.2.1

정보보호 목표는 목표 달성하고자 하는 것 전략 목표 달성 방법 정책 목표 달성을 위한( ), ( ), (

규칙 이 조직의 각 단계 및 사업 단위 또는 부서별로 정의할 수 있도록 포괄적으로 작성한)

다 또한 효율적인 정보보호를 위한 각각의 조직 수준과 단위별로 다양한 목표 전략 정책. , ,

을 조정할 수 있도록 작성한다 또한 정보보호에 대한 최고 경영진의 참여가 중요하며 공식.

적으로 합의 및 문서화된 정보보호 정책을 제시한다.

정보보호 정책은 그 범위와 적용성에 관하여 특정한 정보를 제공하며 정보보호 정책의 적용

과 범위는 다음과 같다 적용 분류 방법은.

정보를 표현하는 방법에 따른 분류 읽기 쓰기 말하기 전자적 등: , , ,◆

정보를 조작하는데 사용되는 기술에 따른 분류 파일 저장장치 팩스 컴퓨터 응답기: , , , ,◆

등LAN

- 122 -

정보위치에 따른 분류 사이트 부서 컴퓨터 등: , ,◆

생명주기에 따른 분류 시행시점 시스템 내부 진입시 진행 확산 저장 그리고 폐기 등, , , ,◆

또한 범위의 분류 방법은 다음과 같다.

정책의 대상 임직원 계약자 일반 외부 사용자 등 정책에 대상에 대한 한계를 명시한다: , , .◆

정책의 일관성 각 개인은 부서의 대표 또는 상위 계층의 관리자로부터 특정한 허가가:◆

없는 한 정책을 준수한다.

정책 문구의 범위 정보 자산의 보호에 관한 조언을 제공하기 위해 정보보호 부서의 책:◆

임을 언급하고 정보자산을 적절히 보호하는 방향으로 정책들을 제공한다.

정보보호 정책의 요구사항을 도출하기 위해서 정보보호 정책을 경영진으로부터 승인을 받은

후 적절한 수준으로 모든 임직원에게 알린다 정책은 최소한 다음과 같은 사항들을 포함한, .

다.

정보보호의 정의 정보보호의 전반적인 목적 및 영역 정보공유를 위한 메커니즘으로서의, ,◆

정보보호의 중요성 등을 명시한다.

정보보호의 목적 및 원칙을 지지하기 위한 최고경영자의 의지를 표명한다.◆

정보보호정책 원칙 기준 그리고 다음과 같은 사항들의 준수성 요구에 대한 간략히 설, , ,◆

명한다.

법적 계약적 요구사항에 대한 준수성■

정보보호 교육 요구사항■

바이러스 및 다른 악성 소프트웨어 예방 및 탐지■

업무 연속성 관리■

정보보호 정책 위반 결과■

보안사고 보고 등을 포함한 정보보호 관리에 대한 일반적인 책임과 특정한 책임에 대한◆

정의한다.

- 123 -

정책을 지원하는 문서 즉 특정 정보시스템 대한 세부적인 정보보호 지침이나 절차 사용( , ,◆

자가 준수해야 할 정보보호 규칙들 에 대한 언급하며 이러한 정책들은 조직 내에서 상호) ,

협의를 한다.

또한 정보보호 정책에는 정보보호 조직에 관하여 언급하며 조직을 구성하는 구성요소 위원, (

회 책임자 팀원 등 의 역할과 책임을 포괄적으로 정의한다 조직의 관리자들은 정책이 이, , ) .

행되도록 해야 할 책임이 있다.

상기에 포함된 내용은 정책서에 포함될 내용 에서 다시 한번 언급하겠지만 이러한 내용“ ” ,

은 일반적인 내용을 권고하므로 조직의 환경에 맞게 재구성하여 작성시 고려해야 할 것이

다.

정책 개발전의 고려사항정책 개발전의 고려사항정책 개발전의 고려사항정책 개발전의 고려사항3.2.33.2.33.2.33.2.3

정책은 관리적 선언을 포함하고 있지만 기술적인 지식을 배경으로 하여 시행 가능하여야 한

다 따라서 최고 관리자와 정보보호 관리자 및 해당 업무 실무자들이 협력해서 정책을 개발.

하여야 한다 정책을 작성하는 동안 정책을 준수 가능한 실무적인 것으로 만들기 위하여 여.

러 계층의 직원과 협의를 하여야 한다 이에는 시스템 관리자 정보보호 전문가 일반 사용. , ,

자 감사자 물리적 보안 직원 등이 포함된다 그리고 정책의 내용에는 주기적인 위험 분석, , .

결과에 따라 제시된 보안 우선 순위에 대한 결정을 반영해야 한다.

초기에 언급해야 할 요소초기에 언급해야 할 요소초기에 언급해야 할 요소초기에 언급해야 할 요소3.2.3.13.2.3.13.2.3.13.2.3.1

정보보호에 대한 노력을 막 기울이고 있는 조직의 경우 정보보호 범위와 영역의 복잡도는,

초기의 이러한 노력을 감소시키는 영향을 미친다 그리고 정보보호와 익숙하지 않은 사용자.

들을 위해 보호를 쉽게 하기 위해서 정책 작성자들은 초기에 필수적인 정책들만 언급해야

한다 이후 이해가 쉽고 지원이 가능한 보수적 정책들이 제기될 수 있다 각 조직마다 다르. .

지만 초기 정책 진술에서 강조되어야 할 주제들이 존재한다 일반적으로 이런 주제들을 포.

함함을 권고한다.

- 124 -

정보보호에 대한 책임◆

컴퓨터 바이러스◆

데이터 백업◆

패스워드 관리◆

침해사고 발생시 대응 계획◆

시스템 접근 제어 권한◆

이러한 초기의 정책의 수립은 성공적인 정보보호를 수행하기 위한 발판이므로 기초를 세우

는데 도움이 되어야 한다 이러한 초기의 정책 표준 등이 포함된다. , .

정책서 수립시 고려요소정책서 수립시 고려요소정책서 수립시 고려요소정책서 수립시 고려요소3.2.3.23.2.3.23.2.3.23.2.3.2

우선적으로 조직의 특성을 고려하여야 한다 정부 기관 공공 기관 기업 내의 부서 개인 등. , , ,

조직의 규모와 정보 시스템의 활용 특성 등 비용 효과적인 보안 목적을 달성할 수 있도록

정책 적용의 대상이 되는 조직을 충분히 파악하여야 한다.

둘째 새롭게 제정 또는 개정되는 정보보호 정책은 기존의 상위 정책이나 규칙 법령 등과, ,

부합되어야 한다 조직이 계층 구조로 이루어져 있고 단위 조직별로 정책을 가질 경우 상부. ,

조직의 정책을 준수하면서 자신의 환경에 맞게 세분화하여야 한다 정부 기관이나 공공 조.

직의 경우 각각의 조직은 자체적인 정책을 제정하기 전에 국가의 법령이나 정책을 기반으,

로 하여야 한다 정보보호 정책서 수립시 필요한 세부적 항목은 다음과 같다. .

모든 조직의 정보보호 정책은 동일하지 않다 따라서 조직의 임무 정보시스템의 종류. , ,◆

규모 역할 운영방식 등 조직의 목표와 특성에 맞도록 정책을 수립하여야 한다, , .

정보보호 원칙을 유념하고 그에 부합되도록 정책을 수립한다.◆

정책은 조직원의 이해와 시행에 혼선을 초래하도록 모호하고 복잡하게 수립되어서는 안◆

된다.

- 125 -

정책은 경직되어서는 안된다 조직의 목표변화 기술능력의 변화 보안 요구의 변화 등에. , ,◆

따라 융통성을 가질 수 있어야 한다.

정책에는 실행 가능한 목표만 포함시켜야 한다 비현실적이거나 달성하기 어려운 요구는.◆

정책을 무가치하게 만들거나 폐기토록 만든다.

정책은 흑백의 논리를 피하여야 하며 직원들에게 위협이 되어서는 안된다.◆

정책은 조직의 임무와 목표 정보시스템의 현황 및 보안 요구 등 내용에 가장 정통한 지,◆

식과 기술을 가진 사람에 의해 작성되어야 한다.

정책수립상의 장애와 애로를 고려해야 한다.◆

우선순위 결정 임무의 긴급성과 긴급한 시스템 설치 등 현실적인 문제와 정보보호 정책- :

의 우선순위 선후와 중요도의 경량이 바뀌어서는 안된다.

내부정책 내부정책요소에 의해 받는 영향- :

소유권 소유권을 희망하는 조직과 거부하는 조직간의 조정애로- :

작성의 난이성 정확하고 모든 경우를 예견한 작성이 어려움- :

다음과 같은 요소들을 고려하여 조정하여야 한다.◆

오늘의 좋은 정책은 내년의 최상의 정책보다 더 좋은 것이다- .

다소 미약한 정책이라도 널리 전파된 정책이 아무도 읽어보지 않는 강력한 정책보다 좋-

다.

쉽게 이해할 수 있는 단순 정책이 누구나 읽어서 혼돈스럽고 복잡한 정책보다 좋다- .

사소한 잘못이 있을지라도 상세하게 설명을 한 정책이 간략하게만 설명한 정책보다 좋다- .

지속적으로 수정 보완을 하는 현실성 있는 정책이 훌륭한 정책이다- .

정책개발 시기정책개발 시기정책개발 시기정책개발 시기3.2.3.33.2.3.33.2.3.33.2.3.3

- 126 -

정보보호 정책을 위한 관리자의 승인을 받고 서술하기 전에 정책을 누가 담당해야 할 것인

가에 대한 책임을 명확히 하는 것이 필요하다 일단 정보보호 정책을 위한 책임이 명백히.

부여되면 정책 개발에 착수해야한다 이것은 중앙 통제된 정보보호 정책팀에 관련 작업 설.

명에 대한 준비와 정책 작성 전에 정책 개발의 승인을 의미한다 이러한 책임 문제가 명확.

하게 되어 있지 않았으면 이를 우선 시행하여야 한다 이 과정이 무시된다면 내부적인 인간.

관계에 대한 도전과 의도적인 작업 지연에 대한 준비가 필요할 것이다.

성공적인 정보보호 정책을 수립하기 위한 또 다른 사전조치 사항은 경영자의 견해이다 정.

보보호가 필요하다는 경영자의 관심을 끌어내는 중요한 사항 때문이다 이 견해는 정보자원.

관리와 정보를 자산으로 여기는 개념으로 볼 수 있다 경영자는 먼저 정보를 관리하는 책임.

이 스스로에게 있다는 필요를 깨달아야 하고 이를 위한 새로운 도구와 기술을 도입해야 한

다 관리자가 자기 조직에서 정보의 중요성을 잘 이해하지 않으면 정보보호 정책 작성 노력.

은 결실을 얻지 못할 것이다 필요한 기초 환경이 확립되지 않으면 많은 좋은 취지의 정책.

도 효과가 없다 이러한 기초 환경은 경영자의 정보보호 인식수준을 나타내기도 한다 이상. .

적인 정책 개발 노력은 포괄적인 정보보호 위험분석의 다음에 이루어져야한다.

위험분석은 의문이 제기되는 정보의 가치 이 정보가 직면하게 될 위험 이 정보를 현재의, ,

방법으로 취급할 때 야기될 수 있는 통제의 취약성 등을 찾아 내는 것이다 위험분석은 비.

용 효과면에서 적용할 수 있는 어떤 정책이 있는지를 결정하는 기초 정보로 유용성을 제공

한다 어떤 조직이 직면하게 되는 일반적 위협형태는 정책서를 작성하는데 포함될 수 있다. .

정보보호 정책을 개발하는 적절한 시기는 정보보호 매뉴얼이 준비될 때이며 이 매뉴얼이,

조직 전체에 폭넓게 확산되기 때문에 정보보호 정책을 언급하는 좋은 시험이다 특정 정책.

은 훈련과 인식을 위해 자료를 편집할 때 준비되어도 좋다.

- 127 -

비디오 테이프 강좌 포스터 사내 신문의 기고문 등이 좋은 예이다, , , .

정책을 준하는데 또 다른 좋은 시점은 중요 정보가 침해를 받았을 때 보호관련 소송이 제,

기될 때 광범위한 최고 경영자의 관심을 받았을 때 등이다 특히 경영자가 정보보호에 관심, .

을 가지고 있을 때 진행시키는 것이 좋은 시점이다 이러한 시점에서 정책 작성 참여자는.

경영자의 관심 정도만큼 신속하게 작업하게 된다 시스템 개발자 지참 접근 제어패키지 구. ,

현 컴퓨터 기술 표준 내부 통제 절차 설명서 그리고 특정 정보보호 문서를 준비하기 위한, , ,

방향을 제공하기 위해서 정책은 정보보호 노력의 생명 주기에 앞서 먼저 준비되어야 한다.

최초의 정책 안 은 아주 단순하며 이후에 좀 더 자세한 정책서가 특정한 관심 영역으로 확( )

대되어 간다 정책을 기술함에 있어 마음에 새기어야 할 것은 약 년 내에 수정되지 않도록. 3

기술하는 것이다 실제로 정책은 단지 짧게는 개월 길게는 년 후에 다시 수정되곤 한다. 6 1 .

정책이 가까운 미래에 사장되지 않도록 위해서는 정책을 특정 부분에 대해서 특정 조직 구,

조에 대해서 특정법과 규약에 대해서 독립적으로 작성되어져야 한다 그럼에도 불구하고 특, .

정 영역에서 보면 일반적 정보보호 정책관련 아이디어가 정책서에 포함될 수도 있다 정보.

보호를 포함해서 신기술분야는 매우 빠르게 변화한다 예를 들면 년 전에는 대부분의 기. , 10

관이 인터넷 정보보호 정책을 적용할 필요가 없었지만 오늘날에는 매우 중요하다 비기술적.

요소 조직 구조 법률과 제도 마케팅 전략 등 도 정보보호 정책에 영향을 미칠 수 있다 따( , , ) .

라서 몇 년마다 정보보호 정책은 재평가되고 수정될 수 있다 이러한 필요에 의해서 정책들.

을 계속 환경에 따라 확장하고 수정되어야 한다.

관련 자료의 수집관련 자료의 수집관련 자료의 수집관련 자료의 수집3.2.3.43.2.3.43.2.3.43.2.3.4

정보보호 정책을 개발할 때 정책 작성자는 최근의 위험분석 평가 를 참고해야 한다 위험분( ) .

석은 그 조직의 현재 정보보호 요구사항을 명확히 해준다 사건사고 및 중요 사항에 대한.

과거자료가 중요자료로 활용할 수 있으며 이러한 자료로 좀더 주의가 필요한 영역을 식별,

하는데 도움이 다른 관련 기관의 정책 사본을 참고하면 도움이 된다.

- 128 -

이들 관련 참고 정책들은 인터넷 정보보호 정책 이메일 보안 정책 암호화 정책 시스템 보, , ,

안 정책 네트워크 보안 정책 등을 포함한다 쉽게 참고할 만한 정책을 확보할 수 있다면 동, .

종 업에서 다른 조직의 정책 확보는 유용한 배경 정보를 제공한다 만약 어떤 다른 조직이.

자기 조직의 자회사이거나 제휴된 조직이라면 그 조직의 정책이 확보되어야만 하고 참고 자

료로 사용되어야 한다.

정책의 프레임 정의정책의 프레임 정의정책의 프레임 정의정책의 프레임 정의3.2.3.53.2.3.53.2.3.53.2.3.5

참고 자료가 편집되어진 후에 정보보호 정책의 새롭고 좀더 포괄적인 집합으로 나타낼 수

있는 모든 주제들의 목록을 준비해야 한다 그 목록은 앞으로 채택해야 할 정책은 물론이고. ,

즉각적으로 채택해야 할 정책들을 포함해야 한다 그 후에 그 기관이 정책을 표현하고 사용.

하는 방법에 대한 정의를 한다.

조직은 특정한 분야에 대해서 정책들을 정의할 수도 있으며 그 경우에는 아주 구체적인 정,

책이 취해질 수도 있다 반대로 조직은 아주 개괄적인 면에서 정책을 정의할 수도 있으며.

그 경우에는 단지 간략한 포괄적 문구가 적당할 수도 있다 정책의 문구 표현과 사용에 관.

한 내용이 드물게 만들어지기는 하지만 이는 기존 정책 문구의 글을 담긴 숨을 뜻을 이해함

으로써 해결할 수 있다 또한 보다 신속한 적용을 위해서 새로운 정보보호 정책은 기존 정.

책과 비슷하게 닮은 형식으로 작성될 수도 있으며 기존 정책처럼 사용되어질 수 있다.

정책 수립 비용정책 수립 비용정책 수립 비용정책 수립 비용3.2.3.63.2.3.63.2.3.63.2.3.6

정보보호 정책을 개발 구현하는데 관련된 잠재적 비용에는 여러 가지가 있다 전체적으로, .

볼 때 정책 비용의 대부분은 정책의 구현에 소용되는 비용이다 이외의 비용은 정책에 대한, .

설계 검토 조정 배포 등의 정책 수립 과정에 소요되는 비용이다 일반적으로 정보보호 정, , , .

책의 수립 및 구현에 소요되는 비용은 허용할 위험 수준을 성취하는데 필요한 보호대책 구

현에 따라 차이가 난다.

- 129 -

최근 들어 정보보호의 중요성을 인식하고 많은 조직들이 정보보호 컨설팅을 받고 있다 컨, .

설팅을 수행하면서 컨설턴트들이 정책서 지침서 절차서 등을 작성하여 해당 조직에 전달하, ,

고 있다 이런 컨설팅을 통한 정책 수립의 비용은 전체 비용이 정보보호 정책서 수립에 포.

함된다고 해도 무관하다 정보보호 컨설팅을 통해서 조직의 위험을 식별하여 위험을 줄이기.

위한 정보보호계획이 결국에는 이를 수행하기 위한 문서로서 정보보호 정책서에 모든 내용

들이 함축해 들어가 있는 것이다 따라서 정책서 수립 비용은 적은 금액이 아니며 단기간에. ,

작성하고 그만 두는 것이 아니라 장기 지속적으로 유지를 위한 업데이트를 해야 하는 것이,

기 때문에 수립 비용이 많이 든다.

사실상 정보보호 정책서 작성 전에 수립비용을 산정하는 것은 무리이나 예산이 책정되거나,

예정인 예산을 고려하여 컨설팅을 받은 후에 단 중 장기적인 계획을 갖고 단계적으로 예산, ,

수립을 하는 것이 급선무이다.

정보보호 정책 수립 팀 구성정보보호 정책 수립 팀 구성정보보호 정책 수립 팀 구성정보보호 정책 수립 팀 구성3.2.3.73.2.3.73.2.3.73.2.3.7

적절하고 효과적인 정보보호 정책을 위해 조직 내 모든 임직원의 모든 계층의 동의와 지지

를 갖는 것이 필요하다 특히 공동 관리에 임직원에 영향을 줄 수 있는 정보보호 정책 과정. ,

을 완전히 지지하는 것은 특히 중요하다 정보보호 정책 문서의 생성과 검토 과정에 참여해.

야 할 구성을 나타낸 것이다.

정보보호 관리자◆

정보기술 직원 예를 들면 전산소의 직원( , )◆

조직 안의 거대한 사용자 그룹의 관리자 사업 분야 대학의 전산학과 등( , )◆

정보보호 사고 대응팀◆

정보보호 정책에 영향을 받는 사용자 그룹의 대표자◆

책임이 있는 관리자◆

- 130 -

법적 자문역◆

위의 목록은 많은 조직들을 대표하지만 그러나 반드시 포괄적인 것은 아니다 이러한 구성, .

원은 기관의 문화적 환경적 차이에 따라 각기 여러 형태로 구성할 수 있다, .

정책 개발중의 고려사항정책 개발중의 고려사항정책 개발중의 고려사항정책 개발중의 고려사항3.2.43.2.43.2.43.2.4

정책서 개발전과 개발중의 업무를 정확하게 나누는 것은 문제가 있지만 이렇게 분류하는 이

유는 체계적이고 효율적으로 정책서를 작성하기 위해서 분류를 한 것이다 반드시 정책 개.

발 후의 고려사항을 제외하고는 융통성 있게 순서를 정하여 순차적으로 수행할 수 있도록

하는 것이 작성자가 용이하게 수용할 수 있을 것이다.

적용 매트릭스 의 준비적용 매트릭스 의 준비적용 매트릭스 의 준비적용 매트릭스 의 준비3.2.4.1 (Coverage Matrix)3.2.4.1 (Coverage Matrix)3.2.4.1 (Coverage Matrix)3.2.4.1 (Coverage Matrix)

주의가 필요한 영역의 목록을 준비한 후에 조직이 정책을 어떻게 표현하고 사용할 것인지,

의 방법이 정해지고 나면 작성자는 필요한 정책들을 준비해야 한다 언급이 없는 영역에 확.

신이 없다면 비슷한 범주를 원용할 수 있다.

정책 작성자는 앞서 언급한 준비된 영역의 목록에 해당되는 잠재적 정책들을 참고함으로써

효율적인 구축이 가능하다 대부분의 정책들은 여러 대상을 목표로 다양하게 만들어진다 예. .

를 들면 일반 사용자들을 위해서 기본적으로 지켜야 할 중요한 정보보호 정책을 소책자 형,

식으로 준비할 수도 있다 대상이 여러 집단이라면 작성자는 새로운 정책을 기술하기 전에.

적용 매트릭스를 준비하는 것이 좋다.

적용 매트릭스는 적절한 대상에 따라 적절한 정보보호 정책자료를 구축하는데 용이한 도구

이다 이것은 구축해야 할 내용을 알기 쉽게 정리해 줄 수 있는 아주 효율적인 방법이다 예. .

를 들어 행에는 정책이 지향하는 대상 일반 사용자 관리자 정보시스템 부서원 외주인원, ( , , , ,

고객 등 을 나열하고 열에는 요구되는 정책 범위를 나열하거나 정책 분야를 나열 할 수 있) ,

다.

- 131 -

적용 매트릭스는 많은 열을 필요로 하고 행은 단지 몇 개일 수 있기 때문에 표준 적용 매트

릭스를 만들어 사용할 수 있다 일반적으로 대부분의 조직은 개 대상 그룹으로 분류한. 2 3～

다 개의 가능한 대상 그룹은 일반 사용자와 전산부서원이다 개의 가능한 대상 그룹은 일. 2 . 3

반 사용자 관리자 그룹 전산부서원이다 조직의 규모와 환경에 따라 대상 그룹을 더 확대, , .

할 수 있다 거의 모든 경우에 대상 그룹 각각에 적용되는 정책 내용은 중복되는 경우가 많.

다 시간 절감 방법으로 정책 작성자는 단지 하나의 대상 그룹을 대상으로 먼저 작업하고.

점차 이를 기반으로 확대 적용한다 정책 작성자는 필요로 하는 정책과 이들 정책이 적용되.

어야할 대상을 정하여 적용 매트릭스에 기록한다 정책 작성 과정이 완료되면 적용 매트릭.

스는 보관해야 하고 수시적으로 적용해야 할 항목들이 늘어나 매트릭스에 적용시켜야 한다.

법규 및 윤리법규 및 윤리법규 및 윤리법규 및 윤리3.2.4.23.2.4.23.2.4.23.2.4.2

정보보호의 정책수립과 관리지침을 개발하는 과정에서 정보보호에 관한 국내외 법규를 인식

하고 있어야 한다 폭 넓게는 국가의 법률을 알아야 하며 기관의 측면에서는 기존의 보안규.

칙이나 지침 및 규정 등을 정확히 숙지하고 정보보호 정책을 수립하여야 한다.

정보범죄에 대한 국제적 공조체계나 각국의 국가적 이익을 수호하기 위하여 현재 정보범죄

방지 조사 추적 및 처벌을 위한 국제법률제정이 활발하게 추진되고 있다 상세한 법률관련.

자료는 부록 를 참조하기 바랍니다5 .

조직의 적절한 정책 분량조직의 적절한 정책 분량조직의 적절한 정책 분량조직의 적절한 정책 분량3.2.4.33.2.4.33.2.4.33.2.4.3

정보보호 정책은 기관의 요구 목적에 맞게 구성되어야 한다 조직의 환경 및 문화적 차이.

등으로 인해 정책의 분량이 많거나 적을 수도 있다 예를 들어 영국 최대. , British Telecom(

의 전신 전화회사 의 경우 페이지 이상이고 록히드 항공기 제작 회사 는 페이지) 150 , ( ) 75 ,

철도 관련회사 는 약 페이지 분량의 정보보호 정책 매뉴얼을 사용하고 있다CSX( ) 25 .

- 132 -

일부 부서는 정보보호 문제에 관한 분명하게 해야 한다고 판단한 경우 많은 정책의 요구가

있을 수 있다 직원의 직업적 판단의 신뢰를 강조하는 다른 부서의 경우는 많은 통제 항목.

의 정책 사용을 꺼려한다.

정책 작성시의 일반적인 원칙을 다른 방법으로 보면 절대적으로 필요한 정책들만을 논점으

로 삼는 것이 현명하다 이것은 정책을 결정하는 그룹들 즉 사람들이 계속해서 다르기 때문. ,

이다 모든 사람에게 포괄적 규칙 이라는 것을 강요하기 위해 불법적이면서 국부적 결과를.

이끌도록 한정짓는 것이다 절대적으로 필요한 정책들만을 소유하기 위한 것이지만 개인적. ,

독창성 창조성 그리고 명백한 표현을 허용한다 사람들은 일반화하고 표준화시키려는 경향, , .

이고 그러한 절차들이 일을 수행하는데 방해가 되는 조직이 있을 수 있다.

포괄적인 결과를 이끌어 내면서 가능성이 매우 작고 간결한 정책서를 만드는 것보다 처음부

터 본질적인 것에만 초점을 맞추는 것이 가장 좋다 사정상 용납될 때만 정책 결정자들이.

부수적인 정책을 첨가시킬 수 있다 이 접근 방법은 인터넷 그리고 와 같은 문제. , LAN, PC

영역을 강조하는 주장을 분리시킬 수 있는 형태로 자주 취급된다 여기서 강조한 접근 방법.

은 관리자들의 승인뿐만 아니라 사용자들의 불만을 사기 쉽다 더구나 정보보호 결과의 신.

빙성은 정책 결정자들이 빈번한 승인과 피드백을 받기 때문에 그와 같이 강조된 접근방법과

함께 높은 수준으로 유지되기 쉽다.

적절한 정책은 강제적 명령 정책 의 사용을 최소화하기는 것이다 가령 지침 절차 또는 다( ) . , ,

른 비강제적 접근 방식이 그 일을 수행하면 그 정책은 적절한 것이 된다 다시 말해서 본질. ,

적인 문제로서 정책을 엄격히 제한시키는 것이 현명하다 지침과 다른 비강제적 명령들이.

효과적이지 않으면 정책을 강제적 요구사항이 되도록 변경시킬 수밖에 없다.

적절한 정책은 작성자들의 역할이다 예를 들어 일부 문서들은 사용자 관리자 그리고 기술. , , ,

자 개인 위주로 해석이 가능하다 이러한 각 문서의 정책은 상세성 정도 기술적 용어의 사. ,

용 그리고 수 많은 예들이 다양하더라도 같아질 수 밖에 없다 독자들이 일반 사용자들로만, .

구성되면 많은 정책이 몇 페이지로 한정될 것이다.

- 133 -

관리자 측면에서는 법적 문제 같은 부수적 사항을 고려할 것이며 이는 요구한 정책을 확장

하기도 쉬워진다 기술자 입장에서 정책은 더욱 더 세부적 이게 된다 따라서 얼마나 많은. . “

정책을 필요로 하는가 라는 물음에 대한 답변은 실제로 계획된 작성자들에게 의존한다?” .

어떤 조직에서 요구하는 보호의 정도 는 포괄적이고 일반적인 관리(the degree of security)

자 조직 활동에 집약된 더 많은 정보 보호에 대한 더 나은 요구들처럼 수 많은 정책에 영, ,

향을 주는 요소들이다 예를 들어 정보가 매우 집약된 은행은 많은 정책을 보유한 반면. , ( )

특별히 정보 집약적이지 않은 대형 할인은 극소의 정책을 갖는다 물론 의료기관 같은( ) . , ( )

인간 활동 지원 또는 군사적으로 밀접한 국방처럼 특별히 민감한 활동과의 연관은 보호의( )

필요성을 한층 더 북돋울 것이다 따라서 정보보호가 전혀 필요없는 조직에서는 저 수준의.

정보보호 요구가 필요하며 거의 정책을 보유하지 않게 되며 정보보호 기준을 거의 구현하, ,

지 않는다 중요한 정보를 다루는 조직의 경우 많은 정책을 갖게 되며 정보보호 기준을 더. , ,

욱 많이 구현하게 된다.

정보보호 수행 기간 결정정보보호 수행 기간 결정정보보호 수행 기간 결정정보보호 수행 기간 결정3.2.4.43.2.4.43.2.4.43.2.4.4

정책서의 수를 결정한 다음에는 정책서의 분량을 얼마나 정해야 되는 지를 고려해야 한다.

정책 개발 기간에 영향을 주는 정책 문서의 중요한 부분은 정책 동기의 서술과 확장 부분이

다 정보보호 정책을 지원하려면 정책이 왜 중요한가를 이해하는 것이 필요하다 정책 동기. .

를 알리기 위해 요구되는 정보의 양은 매우 다양할 수 있다 컴퓨터 전문가들이 정보 이용.

을 극대화하기 위해 여기서는 동기 유발에 필요한 정보의 양을 최소한으로 유지하고 있다.

그럼에도 불구하고 각 정책 동기에 관한 전반적 지침들이 각 정책의 논평 섹션에서 찾을,

수 있다 이미 작성된 정책을 제외하고 많은 기관에서 동기 유발은 생생한 교육 및 훈련 또.

는 다른 기준으로 일어난다.

문서의 양에 대한 고려를 하지 않는다면 위에서 언급하지 않은 정보보호 정책문서의 다른

부분들은 다음 내용을 포함할 수 있다.

- 134 -

목록표◆

색인표◆

용어표◆

정보보호와 관련된 조직도◆

정보보호 책임의 기술◆

다른 관련 내부 문서의 부록◆

위험 분석 및 평가 방법론 설명◆

정보시스템 보호 표준 모음집◆

정보보호 절차 모음집◆

해당 자료가 어떻게 적용되는가를 나타내는 사례 연구◆

정보보호 정책서에 포함하기 위한 특정한 자료는 질의 정보보호 영역에서의 기관의 억지, ,

이미 해제된 문서들 그리고 정책을 준비하는 그룹의 책임 등의 필요에 의해 결정되어야 한,

다 앞서 언급된 보완 자료를 모두 포함하는 정보보호 정책 문서는 페이지 이상으로 분. 100

량이 늘어날 수 있다.

정책서의 유형선정정책서의 유형선정정책서의 유형선정정책서의 유형선정3.2.4.53.2.4.53.2.4.53.2.4.5

정보보호 정책은 조직 내에서 정보보호 임무를 관리하기 위한 수단이다 그러나 모든 조직.

에 적용할 수 있는 하나의 정형화된 정책이 존재하는 것은 아니다 정보보호의 관점에서 정.

책은 다양한 의미를 갖는다 정책은 보안 프로그램을 생성하고 그 목표를 설정하며 책임을. ,

부여하는 등과 같은 최고 경영자의 지시를 의미하거나 특정한 시스템을 위한 보안 규칙을

의미하기도 한다 정책의 유형은 크게 아래의 네 가지로 구분할 수 있으며 아래의 유형인. ,

일반적이고 조직의 문화와 환경에 따라 혼용해서 쓰는 경우가 많다 어떤 정책의 유형을 사.

용하던 간에 중요한 점은 전체 직원이 손쉽게 접근할 수 있고 정보보호 정책으로 인하여 잠

재적 위험을 내포하고 있는 자산을 보호할 수 있는 자발적 참여가 중요하다

규제형 정책(Regulatory type)◆

무엇을 해야 된다 언제 해야 된다 누가 해야 한다“ ”, “ ”, “ ”

- 135 -

이러한 정책을 수립해 놓으면 일관성 있고 모순이 없는 절차를 확립할 수가 있다 이러한.

정책이 있으면 기술적으로나 시행에 미숙한 사람들에게 이 정책의 지침이나 절차대로 하면

틀림없다는 확신을 갖게 해준다 이 규제형에는 특정 제한사항이나 배제 사항이 있게 된다. .

권고형 정책(Advisory type)◆

정책에 대한 잘 인식하지 못하는 직원들에게 가르쳐주며 정책을 따르게 하는 방법이다 어.

떤 기능을 완수하기 위해서는 어떤 조치를 취하여야 한다는 것을 권고하는 것이다 상황에.

따라서는 강력한 제안을 포함한다.

고지형(Informative type)◆

단순히 알리는 형태를 말한다 이 정책에는 어떤 행동을 묵시적으로 기대하거나 상벌규정.

등이 없다.

흑백형(Black & White type)◆

규제형 정책과 비슷한 형태이나 이보다 단순화된 정책을 반드시 해야 되는 일 과 반드시“ ” “

하면 안되는 일 로 구분하여 단순 명료하게 만든 정책서이다 강제성이 강하여 권고하고” .

싶은 정책서의 유형은 아니다.

정책서에 포함될 내용정책서에 포함될 내용정책서에 포함될 내용정책서에 포함될 내용3.2.4.63.2.4.63.2.4.63.2.4.6

정책수립상 정책문서에 포함될 내용은 정책을 서술하는 일반적인 사항과 정보보호를 위한

특정 대응수단의 내용으로 대별할 수가 있다 또한 컴퓨터 정보보호 정책 정보기술 정보보. ,

호 정책 등으로 구분하여 기술할 수도 있으며 물리적 논리적 정책통신 네트워크 정보보호, , ,

정책 등 세분화하여 기술할 수도 있다 그러한 내용은 조직의 정책 수립의 목적과 특성에.

따라 조정 될 수가 있다 따라서 정책수립에 포함시켜야 할 대표적인 구성요소들을 열거해.

보면 다음과 같다.

- 136 -

서론◆

정책수립의 목적 중요성의 강조 및 고위관리자의 의지를 포함한다, .

정보보호 정책 내용◆

이것은 서면화되는 정보보호 정책의 제일 중요한 부분이다 포함되어야 할 요소들을 총괄적.

으로 열거하면 다음과 같다 이러한 요소들을 정책수립의 특성에 따라 추가하거나 제거하여.

야 한다.

용어의 정의 정보보호 정책 정보자산 위협 취약성 보호대책 등: , , , ,◆

보안원칙 보안모델 국내외 표준 지침 기준관계법령 등을 반영, , , , (OECD, GASSP,◆

및 국내 정보보호관련 법률 등ISO/ISE, GMIT, Common Criteria )

조직의 목표 정보기술 총괄통제 정책 반영,◆

정보보호 정책의 목표제시◆

정책의 유형 선정 규제형 권고형 고지형 정책: , ,◆

보호대상 및 보호우선 순위 직원의 안전 법률의 준수 조직의 이익 보존순: , ,◆

정보보호 정책의 적용 대상 전 직원 또는 특정고용인 특정부서 특정시스템 등: , ,◆

정보보호 수준의 형태 등급설정 보호 비밀 대외비 혹은 급 형태 책임 소재를 명시: ( , , 1,2,3 )◆

시스템 사용자의 계층별 책임 기술 경영자 정보보호책임자 전산담당자 시스템 관리 운영: ( , , , /

자 사용자 등, )

공통책임 정책 인지 정책준수 정책의 위반사항 보고 정책의 문제점 보고: . , ,◆

시스템 관리 운영자 모든 사용자의 정보는 비밀로 취급 비밀정보에 대한 비인가 접근금/ : ,◆

지

정보자산의 정당한 사용 지침 명시◆

공통책임 업무시간 중 개인용도로 인터넷 사용금지:■

시스템 관리자 비즈니스와 보안 운영을 위한 정당한 접근:■

위험분석 결과에 다른 보안수단 선정 및 운영지침 명시◆

- 137 -

감독 및 통제정책 기술 시스템 감사 및 통제 모니터링 절차: , CERT,◆

위반사항의 조치 및 처벌◆

보안검토 위원회의 구성 및 권한◆

사고처리 및 비상 대응조치◆

전속 및 이직자의 보안관리지침◆

보안교육훈련 지침◆

이의 제기 및 수정요청 절차◆

정책 인가자◆

정책 입안자◆

유효일자 및 유효기간◆

참고문헌 및 자료◆

정책서 수립시 서술기법정책서 수립시 서술기법정책서 수립시 서술기법정책서 수립시 서술기법3.2.4.73.2.4.73.2.4.73.2.4.7

정책수립 시 문장작성을 위한 서술기법의 몇 가지를 예시하면 다음과 같다.

보편성이 없는 특수용어의 사용을 피하고 간단한 언어표현을 하여야 한다 전문기술 직.◆

원이 아닌 일반인 모두가 이해할 수 있도록 작성하고 모든 정책문서가 동일한 용어로 통일

되어야 한다.

정책은 명료하고 간략하고 포괄적인 용어로 작성되어야 한다.◆

장기적 안목에서 작성되어야 한다 정책이란 장기간 변하지 않도록 수립된 정책이 최선.◆

이다 따라서 현재 기준으로 한 가변적이거나 일시적인 컴퓨터 기술 또는 소프트웨어 제품.

등이 정책에 포함되어서는 안된다 직원명 전화번호 또는 자주 바뀌는 우편 주소보다 부서. , , ,

직위 고정된 주소 등으로 표현되어야 한다, .

직위의 독립성이 보장되도록 작성되어야 한다 읽는 직원의 직위와 구분이 여러 가지일.◆

수 있기 때문에 관리자의 당신의 동료 등으로 기술해서는 안된다“ ”, “ ?", .…

특수한 기술이나 방법론의 서술은 배제하여야 한다 직원들이 쉽고 명확하게 이해할 수.◆

있도록 기본 수준의 정책에는 특수한 기술이나 또는 방법론의 서술은 피하여야 한다.

- 138 -

그러한 특수한 기술이나 방법론은 운영 메뉴얼이나 절차에 상세히 수록하도록 한다.

적용대상을 명시하여야 한다 때로는 그 정책이 나에게는 적용되지 않을 것이라 생각하.◆

는 직원들이 있다 이들을 위해 그 정책의 해당 대상을 전원 또는 특정부서 등으로 정확하.

게 명시하여야 한다 예를 들면 이 정책은 근무시간 외에 접근하는 고용인에게 적용된다. , “ .

단 시간외에 접근하는 자는 제외된다 라는 표현이 더 명확하다는 것이다” .

정보보호정책의 양식은 일정한 것이 없다 모든 조직의 정보보호정책이 같지 않으면 정.◆

책수립의 목적과 특성이 다르기 때문에 일정한 양식을 강요하기가 어려운 것이다 따라서.

보편적으로 포함되어야 할 요소들은 가급적 전부 포함시키되 그 수록 양식은 필요에 따라

선택하여 사용토록 한다.

정보보호 조직의 구성 및 책임과 역할정보보호 조직의 구성 및 책임과 역할정보보호 조직의 구성 및 책임과 역할정보보호 조직의 구성 및 책임과 역할3.2.4.83.2.4.83.2.4.83.2.4.8

정보보호 관리 활동을 위해서는 관리조직이 필요하다 이러한 정보보호 관리 조직은 조직의.

규모와 특성에 맞게 구축되어야 한다 조직도는 대규모 조직 중규모 조직 소규모로 분류한. , ,

다 구축된 관리 조직에서는 정보보호 목표설정 목표 도달을 위한 정책 수립 정보보호 조. , ,

직의 각 요소에 대한 책임과 역할을 명시하고 정보보호 활동을 통하여 조직의 정보보호 목

표를 달성하도록 해야 한다.

일반적으로 조직이나 기관에서는 상위 관리자 즉 최고 경영층 그리고 그 산하에 기관의 기, ,

본적인 업무를 수행하는 경영 부서 등의 현업부서와 이를 지원하는 전산부서를 가지고 있으

며 기관 전체의 운영을 감사하는 감사 부문 내부 외부 을 가지고 있다 현업부서의 구조는, ( ) .

조직의 특성에 따라 다양하게 구성될 수 있고 전산부서는 현업부서와 와 관련하여 긴밀IT

한 관련을 가지고 있으며 기관 전체의 전산시스템의 운영을 책임지고 있다 일반적으로 조.

직의 경영층에는 전산담당 상위 관리자를 두게 되어 있으며 이러한 임원을, CIO(Chief

정보 담당 임원 라고 한다Information Officer, ) .

- 139 -

는 주로 정보시스템의 구축 등의 전산 관련 분야의 리더의 역할을 수행하고 있다CIO .

최근 들어 정보보호의 중요성을 인식하여 전산부서에 정보보호에 대한 업무를 병행하여 수,

행하고 있다 그러나 이러한 병행으로 인한 문제점 등으로 인하여 기관 내의 전산부서 이외.

의 정보보호 기능을 수행하는 독립적인 정보보호 부서를 신설하는 추세이다 이러한 업무를.

담당하는 상위관리자를 보안담당 임원 를 임명하기도 한다CSO(Chief Security Officer. ) .

는 정보보호를 확보하기 위해서 모든 부문의 정보보호를 총괄하고 기관 전체를 대표해CSO

서 최고 경영층에 정보보호 현황 및 문제점들을 직접 보고한다 일반적으로 이러한 조직 체.

계를 구성할 경우 임원직을 비롯한 부서의 역할을 정리해보면 다음과 같다.

최고 경영층 조직의 경영방침과 사업전략 등 관한 의사결정을 행하는 최고 경영층은 정:◆

보보호 대책의 강구 여부에 대한 최종적 판단의 책임이 있고 정보보호에 대한 최고경영층의

인식과 지지가 매우 중요하다.

는 정보보호 부서에 대한 모든 실질적인 의사 결정 권한을 가지며 정보보호CSO: CSO■

부서장으로부터 보고를 받는다 는 조직 전체의 정보보호 중심이 되며 정보보호 부서. CSO ,

의 운영을 보고 받고 확인하며 다른 부서의 정보보호에 대한 방향을 제시한다 정보보호 부, .

서장의로서의 역할 조직전체의 중심으로서의 역할 및 타 부서의 정보보호에 대한 방향 제,

시 등의 아래의 역할들을 수행한다.

▶ 정보보호 부서의 운영을 보고 받고 확인한다.

▶ 조직 전체의 정보보호 시행 규칙 표준 지침 절차 등을 들고 정보보호 정책을 시행한다, , , .

▶ 정보보호 시스템의 효과를 수행할 수 있는 기법을 개발한다.

▶ 조직전체를 통해 정보 자산의 보호가 제대로 수행되는지를 검토한다.

- 140 -

▶ 사업 시행계획과 전략적 계획에서의 정보보호에 관련된 사항을 검토하고 직면한

정보보호 이슈들을 해결한다.

▶ 현업부서와 전산부서에서 요청한 자산 보호에 대한 규칙 표준 지침 절차 등을, , ,

검토한다.

▶ 현업부서와 전산부서의 정보보호 사건들을 감시한다.

▶ 정보보호 통제 방안들을 평가하고 추천한다.

▶ 현업부서와 전산부서에서 정보 자산 보호 책임과 요구사항들에 관한 교육과 방향이

제대로 제공되는지를 확인한다.

▶ 전산시스템의 사용자 정보 자산의 책임자 정보보호 부서원들에 대해 상담을 하고, ,

조언하며 방향을 제시한다.

전산 부서장은 에게 보고하며 는 전산 부서에 대한 모든 실질적인 의사 결CIO: CIO , CIO■

정 권한을 가진다 정보보호에 관련된 의 역할과 책임은 다음과 같다. CIO .

▶ 정보보호 부서와 협력하여 자체적으로도 자산 보호 능력을 향상을 위하여 노력을

지지한다.

▶ 조직의 정보보호 정책 목표 방향을 지원하는 차원에서 전산 부서의 자산 보호의 목표를, ,

설정하고 실행한다.

▶ 전산부서의 자산 보호를 위하여 규정 지침 및 절차 등을 공표한다, .

▶ 전산 부서의 정보보호 운영을 보고 받고 최고 경영층에 보고한다.

정보보호 협의회 정보보호 협의회는 최고 경영자 내부 감사 책임자 와 현업: , , CSO, CIO◆

부서장으로 구성되며 정보보호의 명백한 방향을 제시하며 경영층의 절대적 지지를 확고히, ,

하여 조직 내에 정보보호를 위한 노력을 해야 한다 또한 정보보호 협의회는 전산부서와 정.

보보호 부서간의 갈등 요소에 대한 기본적인 방향을 제시함으로써 부서간의 마찰을 줄이는

역할도 한다 이러한 협의회를 통하여 정보보호 부문의 실무적인 독립성의 보장을 더욱 확.

신 시킬 수 있으면 이러한 구체적 역할은 다음과 같다.

- 141 -

정보보호정책과 전체적인 책임을 검토하고 승인한다.■

정보보호 사건들을 검토하고 관찰한다.■

기타 정보보호에 관련된 일들을 검토하고 승인한다.■

현업부서 기관의 업무를 실제로 수행하는 현업부서의 경우 엄부가 실제로는 전산부서에:◆

서 운영하는 컴퓨터나 네트워크를 통해 가동되고 있는 경우에도 업무 운영의 책임은 어디까

지나 해당 업무의 현업부서에 있다 현업부서에서는 업무상에 필요한 응용시스템에 의한 정.

보보호를 확보하기 위해서 정보 자산의 가치 및 중요성을 충분히 인식하고 부여된 정보보호

책임 사항들을 성실히 수행할 의무를 가진다 현업 부서는 부서원들이 정보보호를 수행하기.

위하여 다음의 기능에 대한 임무와 책임을 가져야 한다.

각 부서는 부서가 보유한 정보 자산의 비밀성 무결성 가용성을 확보하기 위하여 정보, ,■

자산에 대한 적절한 통제 기능을 운영하여야 한다.

▶ 위험평가 및 통제 방안 선택의 타당성 확인

▶ 정보자산의 취급을 규정대로 운영 관리하기 위해 정보의 비밀 등급 분류 및 정보자산

식별

▶ 응용업무의 기획 및 개발 단계에서 각종 사업상의 통제와 필요한 감사의 구축을

요구하며 시스템 시동 전에 요구한 대로 되어 있는지 확인한다, .

▶ 통제수단의 효율적 운영을 위해서 응용업무시스템을 이용해서 업무를 수행하는 사용자에

대해 알 필요의 원칙 에 의하여 접속 권한을 부여한다 또 접속권한부여 리스트를.

보유하고 직원들이 업무목적 이외에 정보처리기기를 사용하지 않도록 해야 한다.

▶ 자연재해 또는 화재 등 예측이 불가능한 사태가 발생해서 장기간에 걸쳐 컴퓨터가

정지할 때의 백업 체제 및 경우에 따라서는 컴퓨터 시스템이 없는 상태에서의 업무수행을

위한 예측 불허 사태를 위한 업무지속성 계획을 수립해야 한다.

정보 자산의 보호에 대한 책임을 분배하고 이 책임을 위임할 수 있는 상황과 위임과정이■

명시화되어 있어야 한다.

- 142 -

정보자산의 사용 현황을 상세하게 문서화하여 상황 점검을 지속적으로 하여야 한다.■

직원의 정보자산을 적절하게 사용하는지 여부를 점검하고 문제점을 발견되면 상위 관리■

자에게 보고하여 적절한 대응을 해야 한다.

임직원을 대상으로 한 훈련과 교육으로 정보보호에 대한 인식을 깊이 심어주어야 한다.■

전산부서 응용 시스템의 개발 및 유지보수 및 응용시스템을 운영하며 사용자의 요구에:◆

맞게 하드웨어와 소프트웨어의 변경을 수행하는 등의 기본 업무를 수행하고 있으며 추가적,

으로 사용자에 대한 컴퓨터나 통신 시스템의 기술적 지원 및 헬프 데스크를 운영하여 사용

자의 질문사항에 응하는 의무를 가지고 있다 다음과 같은 역할과 책임을 수행하여야 한다. .

모든 시스템에 대한 안전관리를 해야 한다.■

각 응용 업무가 서로 간섭받지 않고 다른 시스템으로부터도 간섭받지 않도록 유지해야■

한다.

현업부서의 규정에 따라 정보자산을 관리한다.■

응용 업무의 서비스 시간 등을 파악하고 서비스 시간 동안에 서비스를 유지시켜야 한다.■

환경 변화에 따른 적절한 조치를 취해야 한다.■

정보보호 부서 정보보호에 관련된 임무를 수행하는 부서로서 정보보호에 대한 실무적인: ,◆

책임이 있으며 는 정보보호 구축에 비전을 제시하고 이를 최고 경영층에 정보보호 상, CSO

황 및 문제점 등을 보고할 의무가 있고 다음과 같은 역할과 책임을 수행하여야 한다.

조직의 정보보호 목표 및 지침 제공■

정보보호 통제 방법 환경검토 비상계획 등의 관리, ,■

정보보호 필요성 및 이를 위한 인식제고 등의 교육■

정보보호의 효율성 검토■

정보보호의 통제 방안 검토 및 정보 자산에 대한 감사■

내부감사 부서 내부감사 부서는 업무감사와 전산 회계감사 외에도 조직내의 전산시스: ( )◆

템에 대한 감사도 실시한다.

- 143 -

정기적인 감사를 수행하여 정보의 유용 변조 사기 등을 감사하여 점검하고 추후 그 성과를, ,

감독할 필요가 있다 전산 시스템의 감사부분을 세분화하면 응용 시스템 감사 시스템 개발. , ,

감사 일반적 업무 절차에 대한 감사 정보보호 통제에 관한 감사 시스템 소프트웨어의 감, , ,

사 유지 보수 절차의 감사 등 그 분야가 넓어 기관의 문화와 정책에 맞게 수행하는 것이, ,

중요하다.

정책 개발후의 고려사항정책 개발후의 고려사항정책 개발후의 고려사항정책 개발후의 고려사항3.2.53.2.53.2.53.2.5

효과적인 검토 인준 시행 과정의 구축효과적인 검토 인준 시행 과정의 구축효과적인 검토 인준 시행 과정의 구축효과적인 검토 인준 시행 과정의 구축3.2.5.1 , ,3.2.5.1 , ,3.2.5.1 , ,3.2.5.1 , ,

일단 정보보호 정책이 기술되면 해당되는 각 계층별로 검토를 부탁해야 한다 이 검토의 결.

과로서 정책은 수정될 부분과 좀더 명확하고 자세히 그리고 조건에 따른 대응 등을 보강하

게 된다 이렇게 검토 받은 정책은 조직의 정보보호에 대한 의사결정을 내리는 위원회 정보. (

보호 협의회 등을 통해서 검토를 받아야 한다 이러한 위원회의 가장 중요한 기능 중의 하) .

나는 실행 가능성 비용대비 이익 다른 내부 정책과의 연계 등에서 정책을 평가한다 정책, , .

의 검토 과정이 끝나면 대부분의 조직에서는 위원회가 승인하고 그 다음으로 조직의 최고

경영자 사장 대표이사등 이 정책을 인준하고 정책을 지지하는 것이 중요하다( , ) .

승인된 정책을 기반으로 하여 적절한 시행 절차를 만들어야 한다 정책이 시행될 수 없다면.

무의미하고 새로운 정책이 발표되면 정책 작성자는 내부 감사 전산 부서원 및 정보보호부,

서원 등과 협조하여 표준 지침 절차 등을 작성한다, , .

정책의 해석 및 배포정책의 해석 및 배포정책의 해석 및 배포정책의 해석 및 배포3.2.5.23.2.5.23.2.5.23.2.5.2

정책을 적절하게 작성하였다고 하더라도 때에 따라서 해석에 차이가 있을 수가 있다 따라.

서 필요할 때 정책의 검토 해석 개정 등을 수행할 담당자나 위원회가 존재하여야 한다, , .

- 144 -

그리고 모든 이해 당사자의 의견을 충분히 반영할 수 있는 기간을 두어 정책이 효과적일 수

있도록 해야 한다 정책이 작성되면 이를 전체 직원 및 해당 담당자들 등 모두에게 알리고.

이해시켜야 한다 즉 해당 부서의 정보보호 담당자에게 정보보호 정책서의 이해와 해석을. ,

위해 교육을 시키고 이를 담당 부서원들에게 전달 교육할 수 있도록 해야 한다 이를 위한.

방법으로는 비디오 등의 매체를 통한 교육 온라인 메모 게시 외부 정보보호 전문가 초청, ,

강연회 등을 통해 전체 임직원에게 정보보호에 대한 우선적인 관심을 나타내어야 한다 정.

책의 배포에 대한 초기 노력에 더하여 정보보호 정책에 대한 계속적인 인식을 유지하는 것

이 필요한데 현재의 직원에게는 주기적인 재교육을 신규 사용자에게는 신입 교육의 일부로,

써 정보보호 정책교육을 실시하고 정책을 이해하고 준수하겠다는 내용의 보안 서약서를 받

는 것도 향후 정책 위반시 법률적 조치에 도움이 된다.

교육 및 훈련교육 및 훈련교육 및 훈련교육 및 훈련3.2.5.33.2.5.33.2.5.33.2.5.3

경영층에서 제시한 정보보호 정책이 존재한다고 해서 모든 임직원이 항시 존중할 것으로 생

각하면 잘못이다 임직원은 왜 이러한 정책이 필요한지가 이해가 안되면 정책을 무시하는.

경향이 있고 때로는 반발하기도 한다 위에서 일방적으로 지시하는 형태의 정책은 할 수 없.

이 수행하는 귀찮은 업무로 생각하기 쉽다 정보보호 정책에는 정보보호가 왜 필요한고 이.

것이 적절히 이루어지지 못할 때 어떠한 피해가 돌아오게 될 것인가 등에 대한 설명이 있어

야 하고 이에 대한 홍보와 교육이 뒤따라야 한다 반면 정보보호 문제를 관리하고 있는 관.

련부서에서는 정보보호 업무를 일방적인 지시와 규정에 따라 관련부서에서 요구하는 대로

타 부서 및 관련 임직원이 수행해야 한다는 일방적인 사고방식을 버려야 한다 이러한 방식.

은 정보보호에 대한 인식의 부족을 초래하여 자칫 형식적인 정보보호 업무에 그치게 되기

쉽다.

따라서 임직원들에 대해서는 정보보호에 대한 인식을 높이기 위한 교육과 정보보호 절차와

사용법에 대한 훈련이 이루어 져야 한다 정보보호에 대한 인식을 높이기 위해서는 현 조직.

의 정보보호에 관한 위험의 심각성이라든지 정보보호의 의의 중요성 등을 정기적으로 교육,

할 필요가 있다.

- 145 -

특히 관리자들에게 실행하는 정보보호 교육은 정보보호 정책 시행에의 적극적인 참여를 유

도한다는 의미도 있다 이렇게 함으로써 사용자가 정보보호의 위협을 깨닫고 관심을 가지게.

되어 정보보호 책임감이 강화된다 문서화된 정보보호 정책 정보자산 보호기준 등을 정기적. ,

으로 숙지하고 서명하게 하게 한다.

조직의 모든 피고용자들에게 필요한 경우에는 외부 용역제공업체의 피고용자들까지도 조직

의 정책과 절차에 대한 적절한 훈련을 받고 새로운 내용을 정규적으로 제공 받아야 한다.

여기에는 로그온 절차나 소프트웨어 패키지 같은 정보처리 시설의 올바른 사용에 대한 훈,

련뿐 아니라 정보보호 준수사항 법적 책임 기업 통제 사항 등에 대한 교육이 포함된다 이, , .

러한 정보보호 절차와 정보처리 시설의 올바른 사용에 대한 교육으로 정보보호 위험을 줄일

수 있다.

정책 위반정책 위반정책 위반정책 위반3.2.5.43.2.5.43.2.5.43.2.5.4

정보보호 정책을 위반하게 되면 시스템은 물론 조직의 자산들이 보안 위협에 노출된다 어, .

떤 유명의 정책을 시행하더라도 일부 사용자는 정보보호 정책을 위반할 수 있다 이러한 위, .

반행위가 발견되지 않을 수도 있으나 보안 위반사항이 감지되지 않을 채로 유지되는 가능,

성을 최소화 시켜야 한다.

정책의 위반이 발생하는 경우는 당사자의 태만과 우연의 실수를 비롯하여 현재의 정책을 적

절하게 인지하지 못하였거나 현재의 정책을 이해하지 못하고 있는데 관련이 있다 물론 정.

책을 알면서도 위반 행위를 하는 경우도 있다 이러한 위반이 발생할 경우에는 조직 차원에.

서 즉시 대응할 수 있는 지침이 사전에 마련되어야 한다 지침에는 위반 행위의 방법과 원.

인을 조사하고 적절한 원상 복구 조치에 대한 언급도 포함되어야한다 또한 외부 조직과 언.

제 누가 어떻게 접촉하였는지 등에 대한 절차도 포함된다, , .

- 146 -

지금까지의 정책 위반에 대해서 일부 조직에서는 관대하게 다뤄왔으나 이러한 관대한 정책,

으로 인하여 정책의 이행사항들을 무시하고 고려하지 않고 있었다 정책 위반에 대한 처벌.

규정 등이 명확하게 정의해 중복된 위반이 재발되지 않도록 노력을 기울여야 할 것이며 조,

직의 문화적 환경적 차이에 따라 위반시의 적용되는 처벌규정의 강도가 차이가 있겠지만 가

능하면 정책 위반으로 인하여 조직의 임무를 수행하는데 걸림돌이 되지 않기 위해서는 엄,

중하게 처벌하는 규정이 필요하다.

임직원과의 계약서에는 만일 이들이 정보보호 정책을 이행하지 않을 경우의 처벌 내용을 명

시하는 문구가 들어 있어야 한다 외부의 서비스 제공업자들에 대해서도 마찬가지로 서비스.

계약서에 이들의 불법적인 접속 시도에 대한 처벌 내용이 들어 있어야 한다 그리고 조직의.

정보보호 정책이나 절차를 위반한 임직원에 대한 공식적인 처벌절차도 있어야 한다 이러한.

절차는 정보보호 정책을 무시하려는 경향이 있는 직원들을 억제시키는 기능을 한다 뿐만.

아니라 심각하고 지속적인 정보보호 문제를 야기시켰다고 의심이 가는 임직원들에 대해서도

확인될 때까지는 올바르고 공정한 대우를 보장해야 한다.

정책 위반시 조치사항정책 위반시 조치사항정책 위반시 조치사항정책 위반시 조치사항3.2.5.53.2.5.53.2.5.53.2.5.5

보안 정책을 위반할 경우 이에 대한 적절한 조치가 이루어져야 하며 이러한 조치는 위반을, ,

한 사용자의 유형에 따라 다를 수 있다 정보보호 정책을 위반하는 사용자는 내부 사용자일.

수도 있고 외부 사용자 일 수도 있다 정보보호 정책 위반에 대한 조치의 예로는 구두 질, .

책 경고 정식 서한 통보 법적 처벌까지 다양하다, , , .

정보보호 정책에는 위반의 유형에 따른 조치 사항을 규정할 필요가 있다 이 조치사항은 정.

보보호 정책을 위반하는 사용자 종류에 따라 명확하게 구분할 필요가 있다 어떤 기관의 내.

부 네트워크 사용자와 외부 사용자는 그 기관의 네트워크 정책을 알아야 한다 컴퓨터 네트.

워크를 합법적으로 사용하는 외부 사용자가 있다면 이 사람들에게 조직이 수립한 정책을,

알리는 것은 조직의 책임이다 특히 조직의 정책 위반자에게 법적인 조치를 취할 때 더욱.

중요하다 손실이 크면 클수록 보다 철저한 조치를 취해야 한다. , .

- 147 -

만약 외부에 공포되는 것이 불리하다고 판단되면 보안 취약점을 개선하고 법적 조치를 취,

하지 않는 쪽을 선택할 수 있다 보안 위반 사항에 대한 기록을 유지하면 주기적으로 검토. ,

하여 위반의 경향을 파악하는 자료로 활용할 수 있다 이러한 분석자료를 통해 새로운 위협.

에 대처할 수 있도록 정보보호 정책을 개선시킬 수 있을 것이다.

내부 사용자의 정책 위반시 조치사항내부 사용자의 정책 위반시 조치사항내부 사용자의 정책 위반시 조치사항내부 사용자의 정책 위반시 조치사항3.2.5.63.2.5.63.2.5.63.2.5.6

내부 사용자가 정보보호 정책을 위반하는 경우가 있다 이것은 다음과 같은 상황에서 발생.

할 수 있다.

내부 사용자가 내부 정보보호 정책을 위반-

내부 사용자가 외부 정보보호 정책을 위반-

첫 번째의 경우 내부 정보보호 정책을 위반하였으므로 보안 위반에 대한 조치 유형에 따라, ,

통제할 수 있다 두 번째의 경우 내부 사용자는 다른 조직의 정보보호 정책을 위반하는 것. ,

이다 이 상황은 다른 조직에 대한 정보보호 정책을 위반한 것이기 때문에 내부 사용자에.

대한 조치사항을 해당 기관과 협의해야 한다 또한 회사 변호사나 컴퓨터 보안 법률을 전공.

한 변호사와 상담해야 할 것이다.

정책의 재검토와 평가정책의 재검토와 평가정책의 재검토와 평가정책의 재검토와 평가3.2.5.73.2.5.73.2.5.73.2.5.7

정보보호 정책 문서에는 정해진 책임자가 있어서 재검토 과정에 따라 이를 유지 관리하고

재검토하는 책임을 져야 한다 기존에 수행된 위협평가의 기본적 사항에 영향을 미칠만한.

상황의 변화가 있을 때에는 이에 대응하여 정보보호 정책의 재검토 과정이 이루어 져야 한

다 이러한 예로는 심각한 정보보호 사고가 발생한 경우나 조직구조나 기술의 기반구조에. ,

있어서의 새로운 취약점이나 변동 사항이 있는 경우를 들을 수 있다 예를 들어 불과 년. , 10

전에는 대부분의 조직이 인터넷 정보보호 정책을 적용할 필요가 없었겠지만 현재에는 가장

중요한 정보보호의 문제가 되었다 그리고 다음 사항에 대해서도 주기적인 검토가 이루어져.

야한다.

- 148 -

과거에 일어난 정보보호 사건들의 성격 빈도 및 이들이 끼친 영향들로부터 평가된 현,◆

정보보호 정책의 효과성

정보보호 통제의 비용과 이러한 통제가 조직 본연의 사업 효율성에 미치는 영향◆

기술의 변화가 가져오는 영향◆

정보보호 정책 문서는 정보보호에 대한 정책과 책임을 나타낸다 과연 조직 운영이 이 정책.

을 적절히 반영하고 잇는지 그리고 이 정책이 수행 가능한 것이고 효율적이라는 것을 확신,

하기 위하여 이 정책 문서의 실행은 독립적으로 재검토되어야 한다 이러한 재검토는 내부.

감사 기능이나 독립적인 관리자 또는 이러한 검토에 전문성을 가지고 적절한 기술과 경험, ,

을 가진 제 의 기관에 의해 수행될 수도 있다3 .

정보보호 정책서의 분류 및 예제정보보호 정책서의 분류 및 예제정보보호 정책서의 분류 및 예제정보보호 정책서의 분류 및 예제3.2.63.2.63.2.63.2.6

정보보호 정책 분류하는 방법은 여러 가지의 종류가 있으며 정책수립의 목적 조직 임무의,

특성 및 보호수준에 따라 그 분류의 종류도 다양해진다 이러한 정보보호 정책의 분류는 조.

직이 정보보호에 대한 적용범위 보호분야 등에 따라 적절하게 분류할 수 있으며 조직의 사, ,

회적 문화적 환경에 맞게 분류할 수 있다 그 종류의 몇 가지 예를 들면 다음과 같다, . .

적용범위에 따른 분류◆

컴퓨터 정보보호 정책-

정보시스템 정보보호 정책-

정보기술 정보보호 정책-

보호분야에 따른 분류◆

보안관리 정책-

물리적 보안정책-

논리적 정보보호 정책-

정보통신 정보보호 정책-

네트워크 정보보호 정책-

- 149 -

데이터 정보보호 정책-

암호정책-

인증정책-

키 관리 정책-

컴퓨터 정보보호 정책의 세분화 분류◆

프로그램 정책-

개별쟁점 정책-

개별시스템 정책-

컴퓨터 보안 정책◆

목적1.

범위2.

용어의 정의3.

특정 정책4.

가 일반보안 정책.

나 보안 정책. H/W

다 보안 정책. S/W

라 데이터 정보보호 정책.

책임5.

연락처6.

징계절차7.

유효일자8.

전자우편 정보보호 정책◆

회사의 자산1.

사용인가2.

부여된 특권3.

사용자의 분리4.

사용자의 책임추적성5.

보호조치 없는 정보보호5.

프라이버스 권리의 존중7.

보장없는 메시지 모니터링8.

- 150 -

정규적인 메시지 모니터링9.

통계자료10.

사고적인 정보노출11.

메시지 발송12.

전자메시지의 제거13.

컴퓨터 네트워크 정보보호 정책◆

목적1.

범위2.

일반정책3.

책임4.

가 정보시스템 보안위원회.

나 정보기술 책임자.

다 보안 책임자.

라 공동사용 컴퓨터 시스템 관리자.

마 부서장.

바 사용자.

시스템 접근통제5.

가 사용자 패스워드.

나 패스워드 시스템 설정.

다 로그인 로그오프 절차. /

라 시스템 특권.

시스템 접근 최소화-

시스템 특권 교부절차-

시스템 접근 취소절차-

접근로의 설정-

컴퓨터 바이러스 웜 트로잔 호스6. , ,

데이터 및 프로그램 백업7.

암호화8.

이동 컴퓨터9.

원격 프린팅10.

프라이버시11.

- 151 -

로깅 및 기타 시스템 보안툴12.

네트워크 보안정보의 취급절차13.

컴퓨터와 통신장비의 물리적 보안14.

특혜15.

위반16.

용어풀이17.

인터넷 보안 정책◆

서론1.

정보의 이동2.

정보의 보호3.

프라이버스 보호의 기대치4.

자원의 사용5.

대외공표5.

접근통제7.

보안문제의 보고절차8.

상기 분류방법에 의한 정책서는 부록 를 참조하기를 바랍니다4 .

- 152 -

결론결론결론결론4.4.4.4.

정보통신기반구조의 침해는 국가의 주요 정보시스템 정보통신망뿐만 아니라 민간 산업분야, ,

에도 막대한 피해를 초래하고 그 파급효과 또는 대규모로 확산될 가능이 크므로 우리의 실,

정에 맞는 정보통신기반시설의 보호가 시급히 추진되어야 할 당면한 과제이다 본 지침은.

이러한 목표에 부합하기 위해 정보보호정책수립지침을 작성하게 되었다.

국내외적으로 활용되고 있는 많은 관련 자료와 이론적 모델 등을 연구하며 우리의 현실과

국제환경에 적응하고 효율적인 정보보호정책서 수립지침서를 작성하여 실무자부터 관리층에

이르기까지 누구나 손쉽게 활용하고 도움을 받을 수 있는 실질적인 정보보호 정책서 작성

방법을 개발하기 위하여 다음과 같은 내용과 범위에 대하여 살펴보았다.

정보보호 정책 작성 시에 필요한 정보보호의 일반적 개념을 설명하고 이러한 설명으로 작성

자가 현실적인 정보보호의 기본목표를 이해하고 수립하는데 도움이 되고자 간략하게 설명하

였고 또한 정보보호를 수행하는데 필요한 기본요소와 정보보호의 시행상 가능한 오류에 대

해서 살펴보았다.

정보는 예기치 못한 위험에 의해 그 가치가 파괴되거나 손실되는 경우가 종종 발생하여 엄

청난 경제적 손실은 물론 조직의 이미지 등을 손상시킨다 이로 인하여 위험에 대한 보호대. ,

책을 세우고 위험을 감소하기 위한 업무를 진행하면서 문제점을 다시 발견하고 수정 보완하

는 과정인 정보보호 생명주기가 필요하며 정보보호 정책서 역시 정보보호 생명주기에 의해, ,

많은 영향을 받으므로 정보보호 생명주기를 고려하고 기관이나 조직의 각기 계층별 정보보(

호 관리자 시스템 관리자 실무자 로 고려해야 할 관점을 생명주기와 연계하여 효율적인 정, , )

보보호 생명주기를 유지할 수 있는 방안을 모색하였다.

- 153 -

많은 조직에서 혼용해서 사용하고 있는 정보보호 정책에 관련된 정책 표준 지침 및 절차에, ,

대한 정의와 예를 들고 정보보호 정책이 왜 필요한지를 서술하여 작성자나 사용자가 정보보

호 정책의 필요성을 인식시키기 위해 설명하였다.

관리기관이 정책을 수립 시에 필요한 고려사항을 단계로 구분하였다 작성전의 경우는 초3 .

기 작성시 고려해야 할 요소들과 정책의 개발시기 관련 자료 수집 방법 정책의 프레임 정, , ,

책 수립비용 및 정책 수립 팀 구성 등에 대해서 살펴보았습니다.

작성중의 경우는 본 지침의 부록에 첨부된 적용 매트릭스 의 적용방법 법(Coverage Matrix) ,

규 적용 정책서의 유형 선정 정책서에 포함되어야 할 내용 정책서 작성 서술기법 및 정보, , ,

보호 조직의 구성 및 책임과 역할에 대해서 언급하였다.

작성후의 경우는 정책서를 효과적으로 운영하기 위한 검토 인준 시행 정책 해석 배포 교, , , , ,

육 훈련 정책 위반시 조치사항 및 정책의 재검토와 평가에 대해서 서술하였고 기존에 사용, ,

하고 있는 정책서의 분류 및 예제를 통한 이해를 돕고자 했습니다.

부록 에서 적용 매트릭스를 사용한 예제를 들어 관리기관이 매트릭스의 행과 열에 들어갈1 ,

적용 대상과 기준을 관리기관의 환경에 맞게 재구성할 수 있는 프레임을 제공하여 효율적인

적용 매트릭스를 사용할 수 있도록 하였다.

부록 에서는 적용 매트릭스에 들어갈 개의 정보보호 정책 항목을 나열하여 관리기관에2 730

해당되는 통제 항목을 선택할 수 있게 제공하였다.

부록 에서는 정보보호 정책을 널리 배포할 수 있도록 제공할 수 있는 정책서 요약본의 실3

제 사용 사례를 제시하여 관리기관이 이를 통해서 쉽게 이해하고 작성할 수 있도록 지원하

였다.

부록 에서는 혼용하고 사용하고 있는 정책서의 분류와 예제를 들어 관리기관이 이해할 수4

있도록 지원하였다.

부록 에서는 관리기관의 정보보호 정책이 상위법에 적용을 받아야함으로 관리기관을 위한5

정보보호에 관련된 법률을 제공하였다.

- 154 -

결론적으로 관리기관이 본 지침을 활용하여 현재 보유하고 있거나 작업중인 정보보호 정책

을 수립하는데 도움을 주고자 작성하였다 본 지침을 통해서 손쉽게 정보보호 정책서를 작, .

성하고 예시된 사례와 작성용 항목들을 이용하여 관리기관이 정보보호 정책을 보다 효율적

이고 실무적으로 적용하기 위한 지침입니다.

본 지침의 발간을 위해 사전에 관리기관의 정보보호 담당자 및 정보보호전문업체의 전문가

들의 검토의견을 수렴하였다 앞으로도 보다 나은 지침이 되기 위한 검토와 아낌 없는 의견.

의 개진을 바라는 바입니다.

- 155 -

참고문헌참고문헌참고문헌참고문헌

한국정보보호센터 안전한 전산망운영을 위한 보안기술지침서연구 및 개발[1] , “ ”, 1997. 12

한국정보보호센터 정보보호 정책수립 및 개발지침 개발[2] , “ ”, 2000.12

한국정보보호센터 인터넷정보보호 운영규범 개발[3] , “ ”, 1998. 12

한국정보보호진흥원 정보통신기반의 위험관리 표준모델 연구[4] , “ ”, 2001. 11

한국정보보호센터 정보통신망 안전 신뢰성에 관한 기준 해설서 개발[5] , “ ”. 1999. 10

정보보호진흥원 정보보호관리기준 해설서[6] , “ ”, 2001. 11

한국정보보호센터 컴퓨터 보안 입문[7] , “ ”, 1999.11

한국정보보호진흥원 정보보호 관리 및 정책[8] , “ ”, 2002. 8

한국전산원 전산망간 상호접속시 보안대책에 관한 연구[9] , “ ”, 1996

한국전산원 전산망 보안관리를 위한 지침서 소프트웨어 개발 및 변경 보안[10] , “ - ”,

표준화 협의회, 1995

한국전산원 전산망 보안관리를 위한 지침서 네트워크 보안[11] , “ - ”, 1995

한국전산원 전산망 안전 보안 구축 실무지침[12] , “ ”, 1994

한국전산원 전산망 안전 보안 구축 실무지침[13] , “ ”, 1994

한국정보통신기술협회 인터넷 접속시 보안관리를 위한 지침서[14] , “ ”, 1997

한국정보통신기술협의회 공공기관 정보시스템 구축 준비단계의 보안지침서[15] , “ ”,

정보통신단체표준(TTAS.KO-12.0008), 2000.

한국정보통신기술협의회 공공정보시스템 보안을 위한 위험분석표준 위험분석방법론[16] , “ -

모델 정보통신단체표준”, (TTAS.KO-12.0008),2000,

[17] ISO/IEC TR 13335-1 : Information technology - Guidelines for the management of

IT Security(GMITS) Part 1 : Concepts and models for IT Security. 1996.

- 156 -

[18] “ISO/IEC TR 13335-2” Information technology - GMITS Part 2 : Managing and

planning IT Security, 1997.

[19] “ISO/IEC TR13335-3” : Information technology)- Security techniques - GMITS Part

3: Techniques for the management of IT Security, 1998.

[20] vBS7799 Part 1: The Code of Practice” , British Standard Institution.

[21] “BS7799 Part 2. The Management Standard”.

[22] “BS7799 PD3002: Guide to BS7799 Risk Assessment and Risk Management”. 1999

[23] “IT Baseline Protection Manual”, GISA, 2000.

일본 통상 산업성 고시 제 호 제 호 제 호 및 해설서 일본통산성[24] “ ( 362 , 534 , 952 ) ”, . 2000.

[25] Charles Cresson Wood," Information Security Policies Made Easy version 5”,

Baseline Software. Inc USA".

[26] Charles Cresson Wood, “ Information Security Roles & Responsibilities Made Easy

v1" , Pentasafe, 2002

[27] Harold F. Tipton Micki Krause, “Information Security Management HAND BOOK”,

Auerbach, 4th, 2000.

[28] Jan Killmeyer Tudor, “ Information Security Architecture”, 2000

[29] Edward Amoroso, “ Fundamentals of Computer Security Technology”, 1994

[30] Thomas R. Peltier, “ Information Security Risk Analysis" .2001

[31] Thomas R. Peltier, “ Information Security Policies and Procedures, A Practitioner”s

Reference" . 1999

[32] Thomas R. Poltier, “ Information Security Policies, Procedures, and Standards”, 2002

[33] Bosworth Kabay, Comptuer Security Handbook v3” . 1998

[34] Bosworth Kabay, Comptuer Security Handbook v4” . 2001

- 157 -

[35] I.C.Plamer, G.A. Potter, “ Computer Security Risk Management” . 1989

[36] National Security Agency, “ Information Assurance Technical Framework” . 2000

[37] Charles A sennewald, “ Effective Security Management , 1985

[38] Barman, Scoot, “ Writing Information Security Policies” , 2002.

[39] http://rr.sans.org/policy/index.php

[40] “Model Security Policies" , SANS Institute, 1999,

URL:http://www.sans.org/newlook/resources/policies/policies.htm(July 17, 2001)

[41] “The Guide To Developing Your Company's Internet Acceptable Use Policy”,

SurfControl plc, April 2001,

http://www.surfcontrol.com/resources/business/acceptable_use_policy/aupuk _0401.pdf(July

17, 2001)

[42] VGS Security Awareness Program, Bruce Johnston, 1999

URL http://home.att.net/ vgscs～

[43] Making your security policies work in practice, C & A Systems Security Ltd, 1999

URL http://www.pcorp.u-net.com

[44] .SAFE™ Awareness Program, Spectria InfoSec Services, 1998 URL

http://www.infosec.spectria.com/products/safe.htm

[45] Security Awareness For Everyone, Security Awareness Inc, 2000 URL

http://www.securityawareness.com/intranet.htm

[46] Boran, Sean. “Combining Organizational, Physical & IT Security.” “An Overview of

Corporate Information Security.” 13 Dec. 1999.

URL: http://securityportal.com/cover/coverstory19991213.html(11 Sep.2000).

[47] C & A Systems Security Ltd. “The Benefits of Risk Analysis."1999.

URL: http://www.pcorp.u-net.com/riskben.htm(11 Sep. 2000).

- 158 -

[48] C & A Systems Security Ltd. “THE NEW ERA IN SECURITY RISK

MANAGEMENT. ” 1999. URL: http://www.pcorp.u-net.com/risk.htm(11 Sep. 2000).

[49] Cohen, Fred. “Risk Management or Risk Analysis?" “Managing Network Security. ”

1997. URL: http://www.all.net/journal/netsec/9703.html(11 Sep. 2000)

[50] Hurwitz Group, Inc. “Risk Management: The New IT Challenge-BindView. ” Mar.

2000. URL: http://www.bindview.com/hurwitz_wp(11 Sep. 2000).

[51] Information Systems Security Organization. “INFOSEC Assessmet methodology.” 24

Jul. 2000. URL: http://www.nsa.gov/isso/iam/index.htm (11. Sep. 2000).

[52] "INTRODUCTION TO RISK ANALYSIS”.

URL: http://www.riskserver.co.uk/introduction.htm(11 Sep. 2000).

[53] Johnson, John D. “Conducting Risk Analysis to Evaluate Enterprise Security.” 5

Nov. 1999. URL: http://securityportal.com/topnews/conduct-risk.html (11 Sep.2000)

[54] The SANS Institute. “Essential Security Actions: Step By Step.” 1999. URL:

http://www.sang.org/newlook/resources/esa.htm(11 Sep. 2000)

[55] Winkler, Ira S. “Who are the Hackers?”

URL: http;//www.infowar.com/hacker/whohacks.html-ssi(31 Jan 2002).

[56] Shaw, George, “Port Scanning Graphs.” Hacking Information and Statistics. 18 Feb

2001. URL:http;//www.btinternet.com/~~~~shawweb/george/hacks/graphs.html(31 Jan 2002).

- 159 -

[57] Shaw, George. “Hacking Graphs.” Hacking Information and Statistics. 18 Feb 2001.

http://www.btinternet.com/~shawweb/george/hacks/graphs1.html(31 Jan 2002).

[58] University of Vanderbilt. “Brief introduction to Viruses, Trojans, and Worms.”

AntiVirus Information. URL: http://www.vanderbilt.edu/its/antivirus/AVInformation.html

(31 Jan 2002).

[59] SANS Institute. “Guidelines on Anti-Virus Process.”

URL: http://www.sans.org/newlook/resources/policies/Anti-virus_Guidelines.pdf(4 Feb

2002).

[60] BakBone Software. “Developing a Disaster Recovery Procedure with NetVault

Backup Software. ” URL: http://www.storagesearch.com/bakboneart.html(4 Feb 2002).

[61] BakBone Software. “Developing a Disaster Recovery Procedure with NetVault

Backup Software.” URL:http://www.storagesearch.com/bakboneart.html (4 Feb 2002).

[62] SurfControl. “How to write an Email Acceptable Use Policy.” The Manager's Email

Guide. URL :

http://www.surfcontrol.com/general/assets/whitepapers/how_to_write_an_email_aup_uk..pdf(

20 Feb 2002).

[63] SANS Institute. “Remote Access Policy.”

URL: http://www.sans.org/newlook/resources/policies/Remote_Access_Policy.pdf(20 Fed

2002).

[64] Bounds, Nadine M., Dart, Susan. “The Beginning to your CM solution.” 26 Nov

2001.

URL: http://www.sei.cmu.edu/legacy/scm/papers/CM_Plans/CMPlans.MasterToC.html(28

Feb 2002).

- 160 -

[65] Fraser, B. “Site Security Handbook.” September 1997. URL:

http://www.zvon.org/tmRFC/RFC2196/Output/chapter2.html(24 Feb 2002).

[66] Dr. Hartley, Bruce V.. “You Need a Corporate Security Policy”. Business Security

Advisor magazine. June 1998. URL:

http://www.advisor.com/Articles.nsf/aidp/HARTB03(27 Sept. 2001).

[67] Glendalesystems.com Ltd. RU Information Security Policies. Version 2.0. 2001. URL:

http://www.information-security-policies-and-standards.com/(24 July 2001)

[68] Internet Security System (ISS). Creating, Implementing and Managing the

Information Security Lifecycle - Security Policy, E-Business and You. URL:

http://www.iss.net/customer_care/resource_center/whitepapers(25 Sept. 2001).

[69] Milford, David, “A System Security Policy for You”. 25 April 2001. URL:

http://www.sans.org/infosecFAQ/policy/sys_sec.htm(7 Aug. 2001).

[70] Sun. “How to Develop a Network Security Policy”. An Overview of Internetworking

Site Security. URL: http://www.sun.com/software/white-papers/wp-security-devsecpolicy

(29 Sept. 2001).

[71] Naidu, Krishni. “How to Check Compliance with your Security Policy”. 30 Jan. 2001.

URL: http://www.sans.org/infosecFAQ/policy/compliance.htm (7 Aug.2001).

- 161 -

[72] CSA, COMPUTER SECURITY ACT OF 1987, Public Law 100-235 (H.R.145)

January 8, 1988. http://www.cio.gov/Documents/computer_security_act_Jan_1998.html

[73] The Council on Library and Information Resources, “Risk Management of Digita

Information: A File Format Investigation”, June 2000, Gregory W. Lawrence, William R.

Kehoe, Oya Y. Rieger, William H. Walters, Anne R. Kenney.

URL: http://www.clir.org/pubs/reports/pub93/contents.html

[74] CSCI, RiskPac Software, URL: http://www.csciweb.com/rip.htm

[75] ISACA ,™ Information Systems Audit and Control Association,

URL: http://www.isaca.org/standard/guide19.htm

[76] ICSA. Net, 23 October 2000, “2000 Computer Virus Prevalence Survey”

URL: http://www.securitystats.com/reports.asp

- 162 -

부록부록부록부록 1.1.1.1.

를 이용한를 이용한를 이용한를 이용한Coverage MatrixCoverage MatrixCoverage MatrixCoverage Matrix

정책항목의 적용대상 적용수준정책항목의 적용대상 적용수준정책항목의 적용대상 적용수준정책항목의 적용대상 적용수준////

- 163 -

본 작성 지침은 포함된 세부정책문“Information Security Policies Made Easy(Version5.0)”

의 항목을 요약하여 다음과 같이 분류하였고 현재 까지 출시되었지만 저작권 등Version 8 ,

의 문제로 인하여 구버전으로 분류하였으며 본 자료는 의 저작권, “Charles Cresson Wood”

이 있으므로 본 항목들은 정보보호 정책서를 작성하기 위한 예시를 위한 참고용으로 작성된

부록이다 다음과 같은 정보보호 정책항목을 참고하여 조직에 맞는 정보보호 정책서를 작성.

하는데 도움이 되고자 첨부한다, .

논리적 보호정책논리적 보호정책논리적 보호정책논리적 보호정책1.1.1.1.

소프트웨어 보호정책소프트웨어 보호정책소프트웨어 보호정책소프트웨어 보호정책1.1.1.1.1.1.1.1.

시스템 접근제어시스템 접근제어시스템 접근제어시스템 접근제어1.1.11.1.11.1.11.1.1

패스워드 관리패스워드 관리패스워드 관리패스워드 관리1)1)1)1)

가 패스워드와 사용자 구성가 패스워드와 사용자 구성가 패스워드와 사용자 구성가 패스워드와 사용자 구성. ID. ID. ID. ID

나 패스워드 시스템의 사용자 인터페이스 설계나 패스워드 시스템의 사용자 인터페이스 설계나 패스워드 시스템의 사용자 인터페이스 설계나 패스워드 시스템의 사용자 인터페이스 설계....

다 패스워드 시스템 내부설계다 패스워드 시스템 내부설계다 패스워드 시스템 내부설계다 패스워드 시스템 내부설계....

라 패스워드와 관련한 사용자 책임라 패스워드와 관련한 사용자 책임라 패스워드와 관련한 사용자 책임라 패스워드와 관련한 사용자 책임....

마 패스워드와 관련한 관리자 책임마 패스워드와 관련한 관리자 책임마 패스워드와 관련한 관리자 책임마 패스워드와 관련한 관리자 책임....

로그 인 과정로그 인 과정로그 인 과정로그 인 과정2) -2) -2) -2) -

권한 통제권한 통제권한 통제권한 통제1.1.21.1.21.1.21.1.2

시스템의 사용시스템의 사용시스템의 사용시스템의 사용1)1)1)1)

정보 중심 접근 제어정보 중심 접근 제어정보 중심 접근 제어정보 중심 접근 제어2)2)2)2)

사용자 분리사용자 분리사용자 분리사용자 분리3)3)3)3)

특별 권한특별 권한특별 권한특별 권한4)4)4)4)

기타 권한 제약기타 권한 제약기타 권한 제약기타 권한 제약5)5)5)5)

관리자 행동 사항관리자 행동 사항관리자 행동 사항관리자 행동 사항6)6)6)6)

로깅로깅로깅로깅1.1.31.1.31.1.31.1.3

로그에 포함되는 정보로그에 포함되는 정보로그에 포함되는 정보로그에 포함되는 정보1)1)1)1)

로그의 운용로그의 운용로그의 운용로그의 운용2)2)2)2)

시스템 개발과 변경 통제시스템 개발과 변경 통제시스템 개발과 변경 통제시스템 개발과 변경 통제1.21.21.21.2

컴퓨터바이러스와 웜컴퓨터바이러스와 웜컴퓨터바이러스와 웜컴퓨터바이러스와 웜1.2.11.2.11.2.11.2.1

개발 과정개발 과정개발 과정개발 과정1.2.21.2.21.2.21.2.2

개발 도구와 기술개발 도구와 기술개발 도구와 기술개발 도구와 기술1)1)1)1)

- 164 -

개발 권한과 관련성개발 권한과 관련성개발 권한과 관련성개발 권한과 관련성2)2)2)2)

변경통제과정변경통제과정변경통제과정변경통제과정1.2.31.2.31.2.31.2.3

제 자 개입 문제제 자 개입 문제제 자 개입 문제제 자 개입 문제1.2.4 31.2.4 31.2.4 31.2.4 3

컴퓨터 운영컴퓨터 운영컴퓨터 운영컴퓨터 운영1.2.51.2.51.2.51.2.5

데이터 보호데이터 보호데이터 보호데이터 보호1.31.31.31.3

지적 소유권지적 소유권지적 소유권지적 소유권1.3.11.3.11.3.11.3.1

지적 소유권의 할당지적 소유권의 할당지적 소유권의 할당지적 소유권의 할당1)1)1)1)

지적소유권의 보호지적소유권의 보호지적소유권의 보호지적소유권의 보호2)2)2)2)

데이터 프라이버시데이터 프라이버시데이터 프라이버시데이터 프라이버시1.3.21.3.21.3.21.3.2

프라이버시 권리의 제한프라이버시 권리의 제한프라이버시 권리의 제한프라이버시 권리의 제한1)1)1)1)

특정 형태의 개인자료수집특정 형태의 개인자료수집특정 형태의 개인자료수집특정 형태의 개인자료수집2)2)2)2)

개인자료의 누설개인자료의 누설개인자료의 누설개인자료의 누설3)3)3)3)

가 작업자 개인자료의 누설가 작업자 개인자료의 누설가 작업자 개인자료의 누설가 작업자 개인자료의 누설....

나 제 자 개인자료의 누설나 제 자 개인자료의 누설나 제 자 개인자료의 누설나 제 자 개인자료의 누설. 3. 3. 3. 3

개인 자료의 관리개인 자료의 관리개인 자료의 관리개인 자료의 관리4)4)4)4)

데이터 기밀성데이터 기밀성데이터 기밀성데이터 기밀성1.3.31.3.31.3.31.3.3

데이터 기밀성 정책의 개관데이터 기밀성 정책의 개관데이터 기밀성 정책의 개관데이터 기밀성 정책의 개관1)1)1)1)

데이터 분류 범위데이터 분류 범위데이터 분류 범위데이터 분류 범위2)2)2)2)

데이터 분류 표시데이터 분류 표시데이터 분류 표시데이터 분류 표시3)3)3)3)

분류시스템 구현분류시스템 구현분류시스템 구현분류시스템 구현4)4)4)4)

가 복사와 인쇄가 복사와 인쇄가 복사와 인쇄가 복사와 인쇄....

나 탁송과 수작업나 탁송과 수작업나 탁송과 수작업나 탁송과 수작업....

다 팩스와 전화에 의한 전송다 팩스와 전화에 의한 전송다 팩스와 전화에 의한 전송다 팩스와 전화에 의한 전송....

라 기밀정보의 이동라 기밀정보의 이동라 기밀정보의 이동라 기밀정보의 이동....

마 저장과 파기마 저장과 파기마 저장과 파기마 저장과 파기....

기밀자료에 대한 접근허가기밀자료에 대한 접근허가기밀자료에 대한 접근허가기밀자료에 대한 접근허가5)5)5)5)

알 권리알 권리알 권리알 권리6)6)6)6)

회의에서 기밀자료의 취급회의에서 기밀자료의 취급회의에서 기밀자료의 취급회의에서 기밀자료의 취급7)7)7)7)

기타 기밀정책기타 기밀정책기타 기밀정책기타 기밀정책8)8)8)8)

데이터 위험데이터 위험데이터 위험데이터 위험1.3.41.3.41.3.41.3.4

시스템 설계시스템 설계시스템 설계시스템 설계1)1)1)1)

비상계획비상계획비상계획비상계획2)2)2)2)

- 165 -

데이터의 백 업 기록보관 누설데이터의 백 업 기록보관 누설데이터의 백 업 기록보관 누설데이터의 백 업 기록보관 누설3) - , ,3) - , ,3) - , ,3) - , ,

자료 무결성자료 무결성자료 무결성자료 무결성1.3.5.1.3.5.1.3.5.1.3.5.

무결성 상태의 인식무결성 상태의 인식무결성 상태의 인식무결성 상태의 인식1)1)1)1)

정보소스의 무결성정보소스의 무결성정보소스의 무결성정보소스의 무결성2)2)2)2)

수정 통제수정 통제수정 통제수정 통제3)3)3)3)

자료의 일관된 표현자료의 일관된 표현자료의 일관된 표현자료의 일관된 표현4)4)4)4)

자료의 검열제도자료의 검열제도자료의 검열제도자료의 검열제도5)5)5)5)

통신 보안통신 보안통신 보안통신 보안1.41.41.41.4

접근 패스와 시스템 구축접근 패스와 시스템 구축접근 패스와 시스템 구축접근 패스와 시스템 구축1.4.11.4.11.4.11.4.1

방화벽을 포함한 흐름제어 시스템방화벽을 포함한 흐름제어 시스템방화벽을 포함한 흐름제어 시스템방화벽을 포함한 흐름제어 시스템1)1)1)1)

네트워크의 연결네트워크의 연결네트워크의 연결네트워크의 연결2)2)2)2)

암호화암호화암호화암호화1.4.21.4.21.4.21.4.2

암호를 사용할 때암호를 사용할 때암호를 사용할 때암호를 사용할 때1)1)1)1)

암호키 관리암호키 관리암호키 관리암호키 관리2)2)2)2)

기타 암호문제기타 암호문제기타 암호문제기타 암호문제3)3)3)3)

전화를 통한 컴퓨터 통신전화를 통한 컴퓨터 통신전화를 통한 컴퓨터 통신전화를 통한 컴퓨터 통신1.4.31.4.31.4.31.4.3

전송받은 자료전송받은 자료전송받은 자료전송받은 자료1.4.41.4.41.4.41.4.4

전화시스템전화시스템전화시스템전화시스템1.4.51.4.51.4.51.4.5

전자우편 시스템전자우편 시스템전자우편 시스템전자우편 시스템1.4.61.4.61.4.61.4.6

컴퓨터 재택 근무 설비들컴퓨터 재택 근무 설비들컴퓨터 재택 근무 설비들컴퓨터 재택 근무 설비들1.4.71.4.71.4.71.4.7

인터넷 연결인터넷 연결인터넷 연결인터넷 연결1.4.81.4.81.4.81.4.8

관리적 보안관리적 보안관리적 보안관리적 보안2.2.2.2.

관리자 보안관리자 보안관리자 보안관리자 보안2.12.12.12.1

교육과 인식교육과 인식교육과 인식교육과 인식2.1.12.1.12.1.12.1.1

보안문제의 보고보안문제의 보고보안문제의 보고보안문제의 보고2.1.22.1.22.1.22.1.2

통제 선택통제 선택통제 선택통제 선택2.1.32.1.32.1.32.1.3

통제와 시스템 설계통제와 시스템 설계통제와 시스템 설계통제와 시스템 설계1)1)1)1)

통제와 업무고려통제와 업무고려통제와 업무고려통제와 업무고려2)2)2)2)

기타 통제선택 문제기타 통제선택 문제기타 통제선택 문제기타 통제선택 문제3)3)3)3)

직원 보안직원 보안직원 보안직원 보안2.22.22.22.2

징계와 파면징계와 파면징계와 파면징계와 파면2.2.12.2.12.2.12.2.1

- 166 -

직원 신뢰직원 신뢰직원 신뢰직원 신뢰2.2.22.2.22.2.22.2.2

배경 확인배경 확인배경 확인배경 확인2.2.32.2.32.2.32.2.3

기타 직원문제기타 직원문제기타 직원문제기타 직원문제2.2.42.2.42.2.42.2.4

조직 구조조직 구조조직 구조조직 구조2.32.32.32.3

정보보호책임정보보호책임정보보호책임정보보호책임2.3.12.3.12.3.12.3.1

운영자 역할운영자 역할운영자 역할운영자 역할1)1)1)1)

정보 보호 부서 책임정보 보호 부서 책임정보 보호 부서 책임정보 보호 부서 책임2)2)2)2)

기타 정보보호역할기타 정보보호역할기타 정보보호역할기타 정보보호역할3)3)3)3)

소유자 고객 사용자 책임소유자 고객 사용자 책임소유자 고객 사용자 책임소유자 고객 사용자 책임4) , ,4) , ,4) , ,4) , ,

물리적 보안물리적 보안물리적 보안물리적 보안3.3.3.3.

물리적 접근 보안물리적 접근 보안물리적 접근 보안물리적 접근 보안3.13.13.13.1

빌딩 접근제어빌딩 접근제어빌딩 접근제어빌딩 접근제어3.1.13.1.13.1.13.1.1

자물쇠와 방벽자물쇠와 방벽자물쇠와 방벽자물쇠와 방벽1)1)1)1)

빌딩 접근 기록빌딩 접근 기록빌딩 접근 기록빌딩 접근 기록2)2)2)2)

방문자 관리방문자 관리방문자 관리방문자 관리3)3)3)3)

컴퓨터 시설에 대한 접근 제한컴퓨터 시설에 대한 접근 제한컴퓨터 시설에 대한 접근 제한컴퓨터 시설에 대한 접근 제한3.1.23.1.23.1.23.1.2

컴퓨터 위치와 설비구축컴퓨터 위치와 설비구축컴퓨터 위치와 설비구축컴퓨터 위치와 설비구축3.23.23.23.2

구체적 정책항목과 정책문은 부록 에 나타나 있다 부록 의 열에 나타난2 . 1. E, M, T, L,

의 의미는 다음과 같다M, H .

적용 대상

최종 사용자E : (End-User)

관리자M : (Management)

기술요원T : (Technical staff)

적용 수준

낮음 수준L : (Low level)

중간 수준M : (Medium level)

높음 수준H : (High level)

- 167 -

의 구성의 구성의 구성의 구성Coverage MatrixCoverage MatrixCoverage MatrixCoverage Matrix

는 각각의 정책항목별 관련조직 업무와 책임 과 정책간의 연관관계를 식별Coverage Matrix ( )

하기 위해서 사용되고 특정 정책항목의 경우 여러 관련조직에 관련되어 수행되어야 한다.

이를 통하여 관련조직 및 조직원의 임무와 책임을 명확히 정의할 수 있으며 적용성 및 효율

성을 높일 수 있다 또한 정보보호 수준의 일관성 유지를 위해 여러 가지 지침서에 동시에.

반영되어야 할 정책항목의 경우에도 를 활용할 수 있다Coverage Matrix .

이러한 를 이용하여 각 정책통제 항목들이 분류와 상관없이 하나의 정책통Coverage Matrix

제항목만을 유지 관리함으로써 통제항목 자체로 일관성을 가질 수 있고 수정 보완 및 관리, ,

에 드는 시간과 노력을 최소화함으로써 효율적인 정책서 작성에 도움이 될 수 있다.

각 조직은 여기에서 제시한 적용대상에 따라 정책수준을 결정하여 정보보호정책을 수립할

수 있다.

그러나 여기에서 제시한 적용대상과 적용수준을 적용할 대상조직에 따라 반드시 적용하는

것은 아니며 조직의 문화적 사회적 환경에 맞게 재구성을 위한 권고안이므로 이를 참고하, , ,

여 조직의 특성에 맞는 정책수립이 요구된다 즉 적용대상이 임무와 역할에 따라 계층으로. , 3

분류되었지만 현 조직에선 이보다 더 많은 조직이 필요할 경우 조직에 맞게 확대하여 세분

하여 분류할 수 있고 정책수준도 조직에 맞게 확대 및 축소하여 분류할 수 있다.

- 168 -

또한 여기에서 언급하지 않은 부분 특히 보안기술 기반 정책 은 계속 그 기술이 발전되고( )

있어 보안정책의 수립 후에 계속적인 추가 갱신을 할 필요가 있다/ .

적용 매트리스 는 적절한 대상에 따라 적절한 정보보호 정책 자료를 구축(Coverage Matrix)

하는데 용이한 도구이다 이미 부록 에서는 정책서에 포함될 항목들과 각각의 항목에 작성. 1

된 것이 적용 매트리스 기법을 이용한 것이지만 이것은 간략하게 작성된 것이고 부록 에, 3

서는 이를 이용 및 응용한 실제 사례를 설명하겠다.

- 169 -

기술적 보호정책기술적 보호정책기술적 보호정책기술적 보호정책1.1.1.1.

소프트웨어 보호정책소프트웨어 보호정책소프트웨어 보호정책소프트웨어 보호정책1.11.11.11.1

시스템 접근제어시스템 접근제어시스템 접근제어시스템 접근제어1.1.1.1.1.1.1.1.1.1.1.1.

패스워드 관리패스워드 관리패스워드 관리패스워드 관리1)1)1)1)

가 패스워드와 사용자 구성가 패스워드와 사용자 구성가 패스워드와 사용자 구성가 패스워드와 사용자 구성. ID. ID. ID. ID

정 책 항 목 U M T L M H ㆍ

패스워드의 최소 길이1. O O O OO O O

추측하기 어려운 패스워드의 요구2. O O O O O O

주기적인 패스워드 사용금지3. O O O O O O

전에 사용된 패스워드를 다시 사용해서는 안된다4. . O O OO O O O

패스워드는 알파벳과 알파벳이 아닌 문자를 포함해야 한다5. . O O O O O O

패스워드는 대 소문자를 포함해야 한다6. .ㆍ O O O O O O

시스템 생성 패스워드를 위한 초기값7. O O O

발음할 수 있는 시스템 생성 패스워드8. O O O

시스템 생성 패스워드의 저장9. O O O

패스워드 생성 자료의 삭제10. O O O

패스워드 생성 알고리즘의 보호11. O O O

이전 패스워드의 기억 파일12. O O O O

익명의 사용자13. ID O O

나 패스워드 시스템의 사용자 인터페이스 설계나 패스워드 시스템의 사용자 인터페이스 설계나 패스워드 시스템의 사용자 인터페이스 설계나 패스워드 시스템의 사용자 인터페이스 설계....


패스워드의 출력과 표시14. O O O O

주기적으로 강요되는 패스워드 변경15. O O O O

만기된 패스워드의 할당16. O O O O

패스워드의 연속적인 실패의 한계17. O O O O

하나의 확인 과정18. O O O O

- 170 -

다 패스워드 시스템 내부설계다 패스워드 시스템 내부설계다 패스워드 시스템 내부설계다 패스워드 시스템 내부설계....


시스템 외부에서 절대 볼 수 없는 형식의 패스워드19. O O O O

메일을 통해 보내지는 패스워드 보호20. O O O O

읽을 수 없는 형식으로 패스워드 저장21. O O O O O O

패스워드의 암호화22. O O O

소프트웨어로 패스워드 조합23. O O O O

패스워드 검색 예방24. O O O O

운영체제 사용자 인증 과정 신뢰25. O O O O

개인적인 패스워드를 가지고 시스템 접근 제어26. O O O O O

듀레스 패스워드의 사용27. (Duress) O O

판매자의 기본 패스워드 변경28. O O O O

라 패스워드와 관련한 사용자 책임라 패스워드와 관련한 사용자 책임라 패스워드와 관련한 사용자 책임라 패스워드와 관련한 사용자 책임....


시스템마다 다른 패스워드 요구29. O O O O

다른 시스템에 같은 패스워드 사용허가30. O O O O

예상되는 공개는 강제로 패스워드를 변경시킨다31. . O O O O O O

다른 사람이 발견할 수 있는 곳에 패스워드를 기록하고 남겨두는32.문제

O O O O O O

비밀 기능을 이용해서 패스워드 쓰기33. O O O O O O

패스워드 분배 금지34. O O O O O O

개인사용자 를 포함하여 모든 행동에 대한 사용자 책임35. ID O O O O

마 패스워드와 관련한 관리자 책임마 패스워드와 관련한 관리자 책임마 패스워드와 관련한 관리자 책임마 패스워드와 관련한 관리자 책임....


모든 패스워드의 강제 변경36. O O O O

개인적인 패스워드를 가지기 위한 신분 증명37. O O O O O O

보안관리자에 의해 필요시 패스워드는 확인될 수 있다38. . O O O O

- 171 -

로그 인 과정로그 인 과정로그 인 과정로그 인 과정2) -2) -2) -2) -


시스템 사용을 위한 명확한 신분증명 요구39. O O O O O O

컴퓨터 접속 네트워크에 접근하기 위해 요구되는 사용자 와 패스40. ID워드

O O O O

필요한 유일한 사용자 와 패스워드41. ID O O O O

부정확한 로그 인 정보의 누설42. - O O O O

부정확한 로그 인에 대한 어떤 피드백이 있어서는 안된다43. - . O O

시스템 로그 인 문구에 보안 공고44. - O O O O

시스템 로그 인 문구에 정보 제공45. - O O O O

필요한 네트워크 로그 인 문구46. - O O O O

마지막 로그 인 시간과 날짜의 경고47. - O O O

온라인으로 다중 사용금지48. O O O O

자동 로그 오프 과정49. - O O O O

로그 오프없이 중요한 시스템 접속 끊기50. - O O O O O O

네트워크에 접속한 개인 컴퓨터의 로그 오프51. - O O O O O O

권한통제권한통제권한통제권한통제1.1.2.1.1.2.1.1.2.1.1.2.

시스템의 사용시스템의 사용시스템의 사용시스템의 사용1)1)1)1)


회사 컴퓨터 시스템에 게임을 저장하거나 사용할 수 없다52. . O O O O O O

컴퓨터와 통신 시스템의 개인적 사용53. O O O O O O

업무용 시스템의 우발적인 개인적 사용54. O O O O O O

공인되지 않는 시스템 사용 금지55. O O O O O O

개인 목적을 위한 인터넷 사용 금지56. O O O O

개인적 시간에만 회사 인터넷 시설의 개인적 사용57. O O O O

회사 정보의 사용 범위58. O O O O O O

외부인에게 사용자 부여59. ID O O O O O

데이터와 프로그램에 대한 위험에 관한 책임 거부60. O O O O

- 172 -

정보 중심 접근 제어정보 중심 접근 제어정보 중심 접근 제어정보 중심 접근 제어2)2)2)2)


어디서 컴퓨터 시스템 접속제어를 사용하는가61. ? O O O O

패스워드에 기초한 접근 제어 패키지를 요구하는 시스템62. O O O O O

알 필요성 에 기초한 권한 제한63. “ ” O O O O O

특별한 정보 접근 정책이 준비되어야 한다64. . O O O O O

정보 소유권은 할당되어야 한다65. . O O O O

민감한 정보에 접근이 허가된 자는 반복허가가 필요 없다66. . O O O O

민감한 정보를 접근수준이 낮은 곳에 기록해서는 안된다67. . O O O O

사용자 분리사용자 분리사용자 분리사용자 분리3)3)3)3)


사용자 각각의 데이터와 활동의 분류68. O O O O O

사용자 는 단일 사용자로만 명시해야 한다69. ID . O O O O O

금지된 사용자 의 재사용70. ID O O O O O

모든 플랫폼을 사용하는 사용자는 단일 사용자 로 표준화71. ID O O O O

컴퓨터 업무시작에 요구되는 인증72. O O O O O O

특별 권한특별 권한특별 권한특별 권한4)4)4)4)


특별한 시스템 권한의 제한73. O O O O O

특별한 권한을 가진 사용자를 지원74. O O O O O

일반적 사용자 권한과 명백한 승인 요구75. O O O O O

제 자 전화 접속권한의 제한76. 3 O O O O

- 173 -

기타 권한 제약기타 권한 제약기타 권한 제약기타 권한 제약5)5)5)5)


시간 의존적 접속 제어77. O O O O

휴면 사용자 와 자동 권한 취소78. ID O O O O O

일반적인 접근 제어 권한 거부79. O O O O O

접속권한의 취소와 행동금지80. O O O O

운영체제 명령어에 대한 단말 사용자의 접근81. O O O

정보 시스템 제어 테스트 금지82. O O O O O

시스템 보안 취약성 탐험 금지83. O O O O O

강력한 보안도구의 분배시 수령인 선발84. O O O

강력한 정보 시스템 도구에 대한 기능상의 제한85. O O O

제품 사업 정보의 수정을 위한 권한86. O O O

제품사업정보의 수정에 대한 통제 과정87. O O O O

제품 담당자가 아닌 타인에 의한 사업 제품 정보 갱신88. O O O O O

기술 담당자 권한과 제품 시스템 변경 통제89. O O O O O

관리자 행동 사항관리자 행동 사항관리자 행동 사항관리자 행동 사항6)6)6)6)


주기적 검토 사용자 접속의 재허가90. O O O O O

사용자 의 배급을 위해 필요한 서약서91. ID O O O O

약정된 이름으로 다중 플랫폼 시스템 파라미터 설정92. O O O O O

모든 네트워크컴퓨터의 행정상 보안 관리93. O O O O

시스템 보안장치를 측정하기 위한 도구94. O O O O O

시스템 보안 관리를 위한 사용자 직무의 변경 통보95. O O O O O

마스터 사용자 와 사용자 권한의 유지관리96. ID DB O O O O O

퇴사후 정보관리자의 직무전환97. O O O O O O

작업자 퇴사에 따른 파일의 삭제에 대한 계획98. O O O O

- 174 -

로깅로깅로깅로깅1.1.31.1.31.1.31.1.3

로그에 포함되는 정보로그에 포함되는 정보로그에 포함되는 정보로그에 포함되는 정보1)1)1)1)


민감한 정보를 다루는 응용 프로그램에서 요구되는 로그들99. O O O O O

시스템 기록에 보안관련 사건의 포함100. O O O O

컴퓨터 시스템 기록은 감사를 지원해야 한다101. . O O O O O

권한과 관련한 모든 시스템 명령에 대한 책임과 추적102. O O O O O

기록의 보관 기간103. O O O O O

사용자에 의한 보안 관련 행동 기록104. O O O O O O

접속제어 권한 기록의 유지105. O O O O

제품 정보변경의 재구축106. O O O O O O

컴퓨터 범죄나 남용이 예상되는 정보 취득107. O O O O O

생산시스템의 신속한 재개를 위해 필요한 기록108. O O O O

로깅을 위한 시스템 구조109. O O O O

네트워크 상에서 정확한 사건의 기록을 위한 시간 동조110. O O O O

모든 대내 대외 팩스의 기록111. , O O O O O

로그의 운용로그의 운용로그의 운용로그의 운용2)2)2)2)


로그의 해체 수정 삭제에 대한 방어112. , , O O O O

기록열람을 허가 받은 사람113. O O O O

규칙적이고 신속한 시스템 로그 관찰114. O O O

보안 위반기록에 관하여 사용자에게 통지115. O O O O

- 175 -

시스템 개발과 변경 통제시스템 개발과 변경 통제시스템 개발과 변경 통제시스템 개발과 변경 통제1.21.21.21.2

컴퓨터바이러스와 웜컴퓨터바이러스와 웜컴퓨터바이러스와 웜컴퓨터바이러스와 웜1.2.11.2.11.2.11.2.1


사용자는 컴퓨터바이러스를 박멸하려고 시도해서는 안된다116. . O O O O

제 자 시스템으로부터의 다운로딩 금지117. 3 S/W O O O O O

회사 시스템을 사용하기 전에 바이러스 체크118. O O O O O

바이러스 체크는 생산과 관례없는 단일 시스템에서 시행119. O O O O

모든 외부 공급 플로피 디스크는 바이러스 체크가 요구됨120. O O O O

인터넷으로 다운받은 소프트웨어체크를 위해 필요 과정121. O O O O

개인 컴퓨터에 필요한 시스템 무결성 체크 프로그램122. O O O O O O

서버에는 증명된 바이러스 체크 프로그램이 요구123. PC/LAN O O O O

파일은 바이러스 체크 전에 압축이 풀려야 한다124. . O O O O

워크스테이션과 프로그램에 대한 쓰기 금지125. PC O O O O O

컴퓨터 소프트웨어의 초기 백업 복사126. PC O O O O O O

제 자에게 분배되기 전에 소프트웨어 테스트127. 3 O O O O O

과도한 시스템 자원을 소비하는 프로그램 사용금지128. O O O O O O

사용자는 컴퓨터 바이러스와 관계된 모든 시도를 금지129. O O O O O

개발 과정개발 과정개발 과정개발 과정1.2.21.2.21.2.21.2.2

개발 도구와 기술개발 도구와 기술개발 도구와 기술개발 도구와 기술1)1)1)1)


개발 또는 도입하기 전에 보안요구사항 확인130. O O O O

시스템 개발의 승인131. O O O O O O

소프트웨어의 바이러스 살균실험132. O O O O

사내 개발 소프트웨어의 오류 공고133. O O O O O

사내에서 개발된 소프트웨어의 사용자 입력에 대한 반응134. O O O O

사내 개발 소프트웨어에 요구되는 형식사양135. O O O O O

제품 소프트웨어에서 모든 불법 접촉경로의 삭제136. O O O O

완벽한 개발도구와 기술의 사용137. O O O O O

- 176 -

개발 도구와 기술 계속개발 도구와 기술 계속개발 도구와 기술 계속개발 도구와 기술 계속1) ( )1) ( )1) ( )1) ( )


고급 프로그램 언어 사용138. O O O O O O

사내에서 개발된 소프트웨어의 재사용139. O O O O

제품 파일은 이름이 있어야 한다140. . O O O O

생산 목적 트랜잭션이 아닌 표식141. O O O O

모든 제품 시스템을 위해서는 문서화가 요구된다142. . O O O O O O

사내에서 개발된 시스템에 허용될 수 있는 기능143. O O O O O

인간이 위태로울 때 즉각적인 시스템 중단이 가능해야 함144. O O O O O

자기진단 하드웨어와 소프트웨어의 사용 제한145. O O O O

생산 시스템 저장 매체에 저장된 시스템 유틸리티146. O O O O

시스템 소프트웨어 유틸리티 사용의 제한과 감시147. O O O O

개발 권한과 관련개발 권한과 관련개발 권한과 관련개발 권한과 관련2)2)2)2)


시스템 테스트를 위한 생산 정보에 대한 접근148. O O O O

생산과 개발 환경의 분리149. O O O O

생산응용 정보에 대한 개발 요원의 접근150. O O O O

시스템 개발자는 일반적인 테스트를 할 필요가 없다151. O O O O O

직원 안전문제를 포함하는 프로젝트에 필요한 특별한 서명152. O O O O

변경통제과정변경통제과정변경통제과정변경통제과정1.2.31.2.31.2.31.2.3


모든 생산 시스템에 필요한 공식적 변경 통제 절차153. O O O O

생산 시스템 변경에 대한 문서 준비 시기154. O O O O

생산 시스템에 필요한 훈련과 운용 문서155. O O O O O

네트워크로 연결된 컴퓨터에 외부 프로그램 적재156. O O O O O

외부로부터 공급된 프로그램은 사용되기 전에 테스트157. O O O O

사용자 응용프로그램의 자동확인158. O O O O

생산하기 위해 개발 소프트웨어의 이동 제어159. O O O O

생산시스템으로 이동하기 전에 필요한 검토와 재컴파일160. O O O O

- 177 -

변경통제과정 계속변경통제과정 계속변경통제과정 계속변경통제과정 계속1.2.3 ( )1.2.3 ( )1.2.3 ( )1.2.3 ( )


응용 프로그램에 필요한 공식적인 변경통제과정161. O O O O

생산 시스템 제어를 위해 필요한 별도 승인162. O O O O O O

다중 사용자 응용프로그램에 필요한 승인163. O O O O

단말 사용자 생산 시스템 개발을 위한 승인164. O O O O

생산 운영시스템을 변경하기 위한 특별한 승인165. O O O O O

생산 운영시스템 변경의 주기적 관찰166. O O O O

접근 제어를 함정에 빠뜨리기 위한 접근로 금지167. O O O O

보안문제를 고치는 소프트웨어 스크립트 등의 신속한 구현168. O O O O

생산 소프트웨어 패캐지 변경을 위해 필요한 특별한 승인169. O O O O O

오브젝트 코드보다 소스 코드로 소프트웨어 관리 유지170. O O O O

생산 소프트웨어 이전 버전으로 신속한 복구 절차171. O O O O

생산 소프트웨어의 비상 계획172. O O O O O

정보보호 영향 효과 분석이 요구될 때173. O O O O O

새롭거나 변경된 응용 프로그램에 대한 보안 영향 분석174. O O O O O

제 자 개입 문제제 자 개입 문제제 자 개입 문제제 자 개입 문제1.2.4 31.2.4 31.2.4 31.2.4 3


판매자가 공급하는 무결성 문서175. O O O

중요한 사업활동에 사용되는 소프트웨어를 위한 조건 증서176. O O O O

제 자에게 배포되는 회사의 소프트웨어 형식177. 3 O O O O

회사 소프트웨어 사용에 대한 제 자 동의178. 3 O O O O

제 자에게 시스템 문서 배포179. 3 O O O O O O

컴퓨터 운영컴퓨터 운영컴퓨터 운영컴퓨터 운영1.2.51.2.51.2.51.2.5


회사 이름 등으로의 접근180. O O O O

컴퓨터실에서 흡연과 식사와 음주181. O O O O O O

- 178 -

데이터 보호데이터 보호데이터 보호데이터 보호1.31.31.31.3

지적 소유권지적 소유권지적 소유권지적 소유권1.3.11.3.11.3.11.3.1

지적 소유권의 할당지적 소유권의 할당지적 소유권의 할당지적 소유권의 할당1)1)1)1)


중요한 회사의 자산으로서의 정보182. O O O O O O

특허권 저작권 그리고 다른 지적 소유권의 양도183. , , O O O O

컴퓨터 프로그램과 문서에 관한 소유권184. O O O O O

회사에 소속되어 있는 컴퓨터 관련 재산의 회수185. O O O O

정보에 대한 출처 제공186. O O O O O O

지적재산에 저작권 명시187. O O O O O O

지적소유권의 보호지적소유권의 보호지적소유권의 보호지적소유권의 보호2)2)2)2)


컴퓨터 프로그램과 문서에 저작권 표시188. O O O O

합리적이고 관례적이라면 다량의 복사를 해도 된다189. . O O O O O

소프트웨어 인증동의서의 주기적인 검토190. O O O O O

소프트웨어 인증서의 취득과 확인 체제191. O O O O O

매각인들과 정보시스템 제품들의 기록192. O O O O O

사업활동에 필요한 허가된 소프트웨어 복제에 대한 규정193. O O O O O O

소프트웨어에 추가 복제가 허가194. O O O O O

소프트웨어의 복제 전송 배포 금지195. , , O O O O

허가되지 않은 소프트웨어와 자료복사를 생성에 대한 책임196. O O O O

시스템 안전장치를 깨기 위해 사용되어지는 도구 사용금지197. O O O O O

제 자의 기밀적이고 사적인 정보의 처리198. 3 O O O O O

사업적인 목적이 아닌 회사정보의 사용199. O O O O O O

제 자에게 회사 정보의 전달200. 3 O O O O O O

외부와의 소프트웨어나 데이터의 교환은 동의서를 요구201. . O O O O O

경쟁정보로서의 소프트웨어와 시스템의 명시202. O O O O O

같은 비행기로 비행하는 중요한 지식과 고용인들의 손실203. O O O O O O

- 179 -

데이터 프라이버시데이터 프라이버시데이터 프라이버시데이터 프라이버시1.3.21.3.21.3.21.3.2

프라이버시 권리의 제한프라이버시 권리의 제한프라이버시 권리의 제한프라이버시 권리의 제한1)1)1)1)


시스템에 저장된 자료를 검색할 수 있는 경영자측의 권리204. O O O O O O

근로자들의 전자감시가 사용되어질 수 있는 지역205. O O O O

법 집행에 따른 회사의 정보 누설206. O O O O O O

특정 형태의 개인자료수집특정 형태의 개인자료수집특정 형태의 개인자료수집특정 형태의 개인자료수집2)2)2)2)


예비고용인에 대해서 수집이 허용된 정보207. O O O O

업무의 적합성에 필요한 개인정보208. O O O O O O

표현의 자유권리를 침해하는 정보 수집209. O O O O O

사적인 정보를 수집할 필요성은 우선 정당성210. O O O O

고객의 개인자료 수집 금지211. O O O O O

수집 가능하지만 배포 금지된 개인 정보212. O O O O O

고객으로부터 수집이 허용되는 정보213. O O O O O

직업에 관한 정보와 관련성에 대한 감시214. O O O O O O

회사 시스템에 저장된 정보215. O O O O

고용인의 취업 시간외의 행위에 대한 경영자 측의 배려216. O O O O

현존 감시 시스템의 대상자에 대한 통고217. O O O O O O

전화 대화의 감시와 기록218. O O O O O O

개인 모니터링이 아닌 집단 모니터링은 가능219. O O O O O

업무성과의 전자감시에 대한 고지의 시기220. O O O O

- 180 -

개인자료의 누설개인자료의 누설개인자료의 누설개인자료의 누설3)3)3)3)

가 작업자 개인자료의 누설가 작업자 개인자료의 누설가 작업자 개인자료의 누설가 작업자 개인자료의 누설....


인사기록을 담은 비밀 시스템의 존속221. O O O O O O

종업원에게 자신의 인사파일에 대한 접근보장222. O O O O O O

종업원 인사기록의 정기 배부223. O O O O O O

신용조회를 거부할 기회가 주어진 예비종업원224. O O O O O

제 자에게 개인정보의 누출225. 3 O O O O O O

종업원들의 성명 직함 그 밖의 세부내용들의 누출226. , , O O O O

종업원 해고 사유의 누출227. O O O O

종업원의 지위 전환 정보의 누출228. O O O O

종업원들이 비밀 자료 기록 누출에 접근 허용229. O O O O O

종업원 개인의 고과정보에 대한 비밀 보호230. O O O O O O

내부조사 정보의 비밀 보장231. O O O O

종업원의 건강과 안정 정보의 의무적 고지232. O O O O O O

정치적 종교적 정보를 의사 결정하는 자료로 이용금지233. , O O O O

나 제 자 개인자료의 누설나 제 자 개인자료의 누설나 제 자 개인자료의 누설나 제 자 개인자료의 누설. 3. 3. 3. 3


컴퓨터와 책상에 저장된 개인 파일의 보호234. O O O O O O

제 자에게 누출된 개인 정보의 기록 유지235. 3 O O O O O

고객 정보의 비밀 보호236. O O O O O

회사 시스템에 대한 고객의 익명 요청237. O O O O

고객 기록에 대한 통계정보의 배포금지238. O O O O O

고객 활동을 반영하는 컴퓨터 이력 기록의 누출239. O O O O O

고객 활동에 관한 이력정보의 삭제240. O O O O O

전자우편 메시지의 감시241. O O O O O O

제 자의 전자우편을 읽을 수 있는 회사 종업원의 권리242. 3 O O O O O O

비밀에 대한 회사의 권리에 대한 고용인 준수사항243. O O O O O O

의심나는 체제운영을 위하여 요구되는 비공식적인 동의244. O O O O O

수집 이전에 개인 정보의 의도적 사용에 대한 고지245. O O O O O O

고객은 우편물에 대한 수령여부를 통보할 기회를 제공246. O O O O O O

- 181 -

개인 자료의 관리개인 자료의 관리개인 자료의 관리개인 자료의 관리4)4)4)4)


개인 파일에 나타나는 정보의 복사247. O O O O O O

기록작성자는 그 기록 내용이 열람가능한지의 여부를 결정248. O O O O

고용인이 그들의 파일을 살펴볼 수 있는 조건249. O O O O

개인파일에 대한 부가설명을 할 수 있는 고용인의 권리250. O O O O O O

모든 개인 기록의 무결성을 위한 노력이 요구된다251. . O O O O O

개인기록이 의도된 대로 사용되는가를 보장하는 노력 요구252. O O O O O

새로운 목적으로서 개인 정보의 사용253. . O O O O O O

고객에 관한 개인 정보의 사용과 누출254. O O O O O O

개인 정보에 대한 고객의 알 권리255. O O O O

고객접촉정보의 재판매 또는 누설256. O O O O O

요구 받지 않은 회사의 판매자료의 배포257. O O O O O

주요한 시스템의 변경과 비밀 효과 검토 위원회258. O O O O O

개인정보와 연구자료 사이의 연계 제공259. O O O

개인정보와 다른 정보의 형태 사이의 무연관260. O O O O

개인자료시스템에 참여를 원하지않는 기회가 주어진 사람261. O O O O O

개인자료를 다루는 시스템에 포함될 주제의 명확성262. O O O O O

사람들은 그들의 개인자료가 사용되어지는 것을 금지263. O O O O O O

개인정보를 포함하는 데이터베이스에 대한 목록의 관리264. O O O O

불필요한 정보를 제공을 거절한 이유로 혜택의 거절265. O O O O

데이터 기밀성데이터 기밀성데이터 기밀성데이터 기밀성1.3.31.3.31.3.31.3.3

데이터 기밀성 정책의 개관데이터 기밀성 정책의 개관데이터 기밀성 정책의 개관데이터 기밀성 정책의 개관1)1)1)1)


모든 회사 근로자에게 요구된 비밀유지각서266. O O O O

회사정보의 유포에 제한267. O O O O O O

중요한 정보에 대한 미심쩍은 분실이나 누설의 고지268. O O O O O O

제 자에 대한 정보시스템 통제의 누설269. 3 O O O O O

정보시스템 취약성에 관한 정보의 누설270. O O O O O

시스템 취약성의 이용과 피해정보의 누설271. O O O O O

- 182 -

데이터 기밀성 정책의 개관 계속데이터 기밀성 정책의 개관 계속데이터 기밀성 정책의 개관 계속데이터 기밀성 정책의 개관 계속1) ( )1) ( )1) ( )1) ( )


시스템 침투 소프트웨어 지원과 분석에 대한 누설272. O O O O O

안전장치는 고객과 협상대상이 아니다273. . O O O O O

안정되고 안전한 이미지 창출274. O O O O O

정보접근 통제시스템과 모자이크 이론275. O O O

신호의 사실적인 속성을 감추는 상태276. O O O

단일시스템에 다양한 중요성 분류를 가지는 정보277. O O O

컴퓨터 저장매체 자료분류법 선정278. O O O O O O

데이터 분류 범위데이터 분류 범위데이터 분류 범위데이터 분류 범위2)2)2)2)


단계 자료 분류제도279. 4 O O O O O O

자료 분류범주를 위한 서술적인 접두어들280. O O O O O

데이터 분류 표시데이터 분류 표시데이터 분류 표시데이터 분류 표시3)3)3)3)


제한된 자료 분류체계의 구별요건281. O O O O O O

종합적인 자료분류체계의 구별요건282. O O O O O O

하드카피의 중요성 표기의 쪽 위치283. O O O O O O

제한된 하드카피자료와 중요성 표지284. O O O O O O

컴퓨터 사용자들을 위한 중요성 정보에 관한 표기285. O O O O

중요한 정보의 주기적 표기사용286. O O O O O O

다양한 중요성을 가진 수집된 정보들의 표기287. O O O O

- 183 -

분류시스템 구현분류시스템 구현분류시스템 구현분류시스템 구현4)4)4)4)

가 복사와 인쇄가 복사와 인쇄가 복사와 인쇄가 복사와 인쇄....


중요한 정보의 복사시 필요한 허가사항288. O O O O O O

중요한 정보의 복사 추적289. O O O O O O

중요한 정보를 담은 불완전한 복사물의 파기290. O O O O O

중요한 정보의 파지 복사본의 파기291. O O O O O

중요한 정보의 인쇄시 필요한 운영292. O O O O O O

중요한 정보에 대한 페이지 표기 및 임무293. O O O O O O

나 탁송과 수작업나 탁송과 수작업나 탁송과 수작업나 탁송과 수작업....


제 자 비누설 각서와 중요한 정보294. 3 O O O O O O

내 외 우편으로 보내진 개인 및 비밀정보295. , O O O O O O

내 외 우편에 의해 전달되는 기밀정보296. , O O O O O O

우편으로 발송되는 중요한 정보를 위한 중 봉투297. 2 O O O O O O

기밀 하드카피 정보를 전송하기 위한 가능한 방법298. O O O O O O

중요한 서류는 복사를 방지하는 특수한 용지에299. O O O O O O

의도된 수혜자에게 중요한 컴퓨터 정보를 보내기300. O O O O

기밀정보 전달을 위한 사전지식301. O O O O O

기밀정보의 수령에 대한 서면증명서302. O O O O O

기밀서류의 이동을 나타낸 기록부303. O O O O O

기밀서류의 분류번호304. O O O O O

다 팩스와 전화에 의한 전송다 팩스와 전화에 의한 전송다 팩스와 전화에 의한 전송다 팩스와 전화에 의한 전송....


중요한 정보를 팩스로 보내기 위한 사전 고지 및 운영305. O O O O

중요한 정보를 팩스로 보낼 때에는 수령인 존재306. O O O O

신뢰할 수 없는 제 자를 경유한 중요 정보를 팩스로 전송307. 3 O O O O

중요한 정보는 전송전 표지 수령증 확인308. O O O O

중요한 정보의 팩스가 허가될 때309. O O O

- 184 -

다 팩스와 전화에 의한 전송 계속다 팩스와 전화에 의한 전송 계속다 팩스와 전화에 의한 전송 계속다 팩스와 전화에 의한 전송 계속. ( ). ( ). ( ). ( )


중요한 정보 전송을 위한 목적지의 물리적 보안310. O O O O

팩스로 기밀정보 전송을 위해 필요한 암호화311. O O

팩스로 기밀정보 전송에 필요한 패스워드312. O O O

팩스표지는 승인된 것을 사용해야 한다313. . O O O

기밀정보의 토의와 마이크 달린 스피커 사용314. O O O

중요한 정보의 전화 회의시 준수 조건315. O O O

기밀토의를 위한 무선전화 또는 휴대폰의 이용316. O O O

라 기밀정보의 이동라 기밀정보의 이동라 기밀정보의 이동라 기밀정보의 이동....


기밀 정보의 재유포317. O O O O O O

기밀 정보를 가지고 공공교통수단 이동318. O O O O

공개된 지역에서의 중요한 정보의 누설319. O O O O O O

휴대 가능한 컴퓨터에 기밀정보 저장320. O O O O O

중요한 정보를 가진 수송 가능한 컴퓨터의 통제321. O O O O O

휴대 가능한 컴퓨터는 비행기에서 수하물로 처리322. O O O O O O

기밀정보를 외국으로 보내기323. O O O O

기밀정보를 외국으로 보내는데 필요한 허가증324. O O O

회사 건물로부터 중요한 정보의 반출325. O O O O O

회사에서 삭제된 중요한 정보에 대한 기록326. O O O O O

회사 건물 밖에서 중요한 정보 하드카피 처리327. O O O O

제 자에게 보내진 정보에 요구된 컴퓨터 저장매체328. 3 O O O O

저장매체의 회수보다 오히려 폐기의 증명329. O O O

회사 컴퓨터 관련 서류의 비밀330. O O O O O O

전자우편으로 전송된 기밀정보331. O O O O O

- 185 -

마 저장과 파기마 저장과 파기마 저장과 파기마 저장과 파기....


시기적으로 중요한 정보에 맞지 않는 정보시스템332. O O O

청결한 책상과 작업지역333. O O O O O O

깨끗한 책상 정책334. O O O O O

의도되지 않은 공간에서의 중요한 정보의 안전화335. O O O O O O

개인 컴퓨터에 중요한 정보의 저장336. O O O O O

사용하지 않을 때 중요한 정보의 저장337. O O O O O O

기밀문서 목록에 제거하는 날짜가 알려져 있다면 명기338. O O O O O O

중요한 정보의 해제 검토339. O O O O O

실제적으로 곧 요구되어지는 중요한 정보의 비밀해제340. O O O O O

모든 중요한 정보를 위해 요구되는 보존 기간341. O O O O O

중요한 정보의 매각과 파괴나 은폐342.O O O O O

중요한 정보의 저장을 위한 하드디스크 드라이브 사용343. O O O O O O

중요한 정보와 중요하지 않은 정보의 혼합344. O O O O O O

컴퓨터 저장매체에 있는 중요한 정보의 파괴345. O O O O O

중요한 정보 삭제가 요구되어지는 시점346. O O O O O

하드카피에 있는 중요한 정보파기를 위한 승인방법347. O O O O O O

중요한 정보의 파기는 특별한 절차를 따라야 한다348. . O O O O O O

중요한 회사의 정보 파괴가 승인된 사람들349. O O O O O O

파기될 중요 정보를 보관하기 위한 금속상자 사용350. O O O O O O

기록이나 정보의 파기는 관리자의 승인을 요한다351. . O O O O O O

중요한 정보를 처리할 때 사용되는 자료의 파기352. O O O O O

기밀자료에 대한 접근허가기밀자료에 대한 접근허가기밀자료에 대한 접근허가기밀자료에 대한 접근허가5)5)5)5)


중요하거나 가치있는 정보에 대한 접근 전에 요구되는 승인353. / O O O O O O

집단이 아닌 개인단위로 승인된 중요한 정보에 대한 접근354. O O O O O O

권한 대리위원에 의해 시스템 권한의 승인355. O O O O O

중요한 정보의 비밀 동의와 누설356. O O O O O O

중요한 정보 수령인을 위한 지침357. O O O O O O

- 186 -

기밀자료에 대한 접근허가 계속기밀자료에 대한 접근허가 계속기밀자료에 대한 접근허가 계속기밀자료에 대한 접근허가 계속5) ( )5) ( )5) ( )5) ( )


홍보에 언급된 회사의 정보에 대한 요청358. O O O O O O

회사 정보의 배포 전에 요구되는 승인359. O O O O O O

미래의 소득이나 새로운 생산 전망에 관한 공적인 표현360. O O O O O

요청된 정보의 외부누설 전에 기다리는 기간361. O O O O O

공공에 배포된 정보검토를 위한 절차 구축362. O O O O O O

연설 발표 기술적인 논문 등에 대한 사전 검토363. , , O O O O O Ov

제 자의 중요한 정보를 수용하는 조건364. 3 O O O O O O

임시 직원과 자문인의 중요한 정보 접근365. O O O O

알 권리알 권리알 권리알 권리6)6)6)6)


근로자가 모든 작업장의 위험에 대해 알 권리366. O O O O O O

위험한 생산물과 서비스의 등급 표시367. O O O O

경쟁사에서 근무했던 직원들에 대한 압력행사를 삼가368. O O O O

회의에서 기밀자료의 취급회의에서 기밀자료의 취급회의에서 기밀자료의 취급회의에서 기밀자료의 취급7)7)7)7)


기밀정보를 다루는 모임에 초청받지 않은 참석자369. O O O O

격리된 회의실에서 제 의 방문자들 회의370. 3 O O O O

회의에서의 비밀정보의 구두 누설371. O O O O

기타 기밀정책기타 기밀정책기타 기밀정책기타 기밀정책8)8)8)8)


회사 정보의 성질과 보관위치는 비밀이다372. . O O O O O O

비밀로 여겨지는 자료처리 센터의 위치373. O O O O O O

회사의 체제와 금지된 통신망에 관한 접속374. O O O O O O

개인 사용자 파일에 대한 인가된 시스템 관리자의 검사375. O O O O O

중요한 정보를 탑재하고 있는 시스템에 대한 전원공급중단376. O O O O

작업이 중단될 때 중요한 정보 보호하기377. O O O O

- 187 -

기타 기밀정책 계속기타 기밀정책 계속기타 기밀정책 계속기타 기밀정책 계속8) ( )8) ( )8) ( )8) ( )


창문을 고려한 컴퓨터 디스플레이 스크린의 위치 선정378. O O O O O O

피고용자의 주식거래 금지기간379. O O O O O O

중요한 정보처리를 위한 필기도구나 녹음기 사용380. O O O O O

고객 영수증 위에 기재된 고객번호 감추기381. O O O O

데이터 위험데이터 위험데이터 위험데이터 위험1.3.41.3.41.3.41.3.4

시스템 설계시스템 설계시스템 설계시스템 설계1)1)1)1)


시스템 유용성을 위한 특별한 양적 목표382. O O O O O

컴퓨터 서비스를 지연시키거나 방해한 사용자의 권한 제한383. O O O O

통제비상장치의 설립과 사용384. O O O O

통제비상장치의 사용할 조건에 대한 관리적 정의385. O O O O O

비상장치 사용을 나타내는 기록의 발생과 검토386. O O O O O

필요한 장비를 지원하기 위한 컴퓨터 환경387. O O O O O O

모든 마이크로 컴퓨터에 필요한 전력 조절장치388. O O O O O O

전력 차단시 보호장치와 부분적 조건389. O O O O

컴퓨터와 통신시스템의 분산390. O O O O

통신 네트워크 주요기능의 고장 예방391. O O O O

다양한 장거리 네트워크 경로의 필요392. O O O O

긴급사태나 재난 지원에 필요한 기준393. O O O O



복구순위에 의한 정보자원을 분류하는 기구394. O O O O

다중 이용자들을 위한 정기적인 위급성 평가395. O O O O

중요성 분류 기법396. O O O O

컴퓨터 비상대응 계획에 대한 준비와 관리397. O O O O O

컴퓨터 긴급 대응팀의 조직과 관리398. O O O O O

정보보호 경보시스템399. O O O O

- 188 -



작업을 방해하는 조건들을 관리자에게 통보400. O O O O

업무복구 동안에 예상되는 고용인들의 협조401. O O O O

주요 기술적 작업과 작업을 수행하는 개인들402. O O O O

중요한 기술 작업에서 직원의 교체훈련403. O O O O O

컴퓨터 재해 복구안에 대한 준비와 관리404. O O O O O

업무비상계획에 대한 준비와 관리405. O O O O O

컴퓨터 일련 계획 처리 과정과 사업406. O O O O O

비용 효율성이 가능하도록 단순 수작업으로의 전환407. / O O O O

정보시스템 하드웨어 소프트웨어 등의 목록408. , O O O O O

재난 또는 긴급 지원수준의 결정409. O O O O O

컴퓨터와 통신시스템의 비상계획 점검410. O O O O O

컴퓨터와 통신시스템상의 예방 관리411. O O O O

정보시스템 부서 직원의 긴급연락번호412. O O O O

데이터의 백 업 기록보관 누설데이터의 백 업 기록보관 누설데이터의 백 업 기록보관 누설데이터의 백 업 기록보관 누설3) - , ,3) - , ,3) - , ,3) - , ,


단말 이용자들의 파일 복구과정에 대한 접근통제413. O O O O

데이터 저장과 최소한의 백업처리의 빈도수414. O O O O O O

멀리 떨어진 곳에 저장된 백업매체 암호화415. O O O O O

단말 이용자들의 파일 복구과정에 대한 접근통제413. O O O O

데이터 저장과 최소한의 백업처리의 빈도수414. O O O O O O

멀리 떨어진 곳에 저장된 백업매체 암호화415. O O O O O

중요하거나 결정적이거나 가치있는 정보의 복수 복사416. , O O O O O O

단말 이용자의 백업과정의 관리자 검토417. O O O O O

백업 처리 과정과 빈도의 규정418. O O O O

지역 네트워크 서버에 자동 백업419. (LAN) O O O O O

정기적으로 백업된 모든 자료는 그 자료 사용자에게 통보420. O O O O

사용 전에 중요한 백업파일을 최소한 한 개의 복사본 생성421. O O O O O

백업매체의 외부 기억장치422. O O O O

- 189 -

데이터의 백 업 기록보관 누설 계속데이터의 백 업 기록보관 누설 계속데이터의 백 업 기록보관 누설 계속데이터의 백 업 기록보관 누설 계속3) - , , ( )3) - , , ( )3) - , , ( )3) - , , ( )


최소한도의 정보 보존기간423. O O O O O O

이미 필요로 하지 않은 정보의 정기적인 정리424. O O O O O

공문서 저장자료 보존계획의 정의425. O O O O O O

공문서 저장자료 보존계획에 대한 책임426. O O O O O

업무 자료문서 자료보존 요구들427. O O O O O

사업 자료문서 자료보전 기간428. O O O O O

공문서 저장에 유지되는 정보목록429. O O O O

공문서 저장 자료매체430. O O O O O O

공문서 저장 자료매체의 정기적인 검사431. O O O O

공문서 저장을 위해 사용된 자료매체의 정기적인 검사432. O O O O O O

공문서 창고에 자료의 보존유지433. O O O O O

자료 무결성자료 무결성자료 무결성자료 무결성1.3.51.3.51.3.51.3.5

무결성 상태의 인식무결성 상태의 인식무결성 상태의 인식무결성 상태의 인식1)1)1)1)


정보의 무결성을 관리자에게 고지434. O O O O O

정보 무결성 통제 실패의 고지435. O O O O O

정보 수정의 원인이 밝혀져야 한다436. . O O O O O

주요 결정 입력을 위해 요구되는 자원과 날짜 표시437. O O O O O

불충분하거나 시대에 뒤떨어진 정보의 삭제 또는 등급화438. O O O O

제품 입력처리는 연속된 번호를 가져야 한다439. . O O O O

정보소스의 무결성정보소스의 무결성정보소스의 무결성정보소스의 무결성2)2)2)2)


모든 생산 시스템 입력처리를 위해 요구되는 권한440. O O O O

중요하고 가치있고 결정적인 정보의 수정을 위한 요구들441. , O O O O

입력자료 확인과 항목처리의 거부442. O O O O

백만원 이상의 모든 금액에 대해 요구되어진 이중 암호443. O O O O

중요한 비서식 원문 메시지는 줄마다 번호 부여444. O O O O

- 190 -

정보소스의 무결성 계속정보소스의 무결성 계속정보소스의 무결성 계속정보소스의 무결성 계속2) (2) (2) (2) ( )


거래의 발기인은 명확하게 확인되어야 한다445. . O O O O

손으로 만들어진 공문서들은 오로지 잉크를 사용446. O O O O

개인에 의한 업무에 요구되는 검토447. O O O O O O

억원 정도 결정에 이용된 자료에 대한 적절한 통제448. 1 O O O O O O

수정 통제수정 통제수정 통제수정 통제3)3)3)3)


발견되지 않은 정보 변경이 수용할 수 있는 위험449. O O O O

개조된 사진은 표시가 붙어야 한다450. . O O O O O

임시파일을 통한 거부된 입력자료의 처리451. O O O O

임시파일에 있는 목록의 문제해결 시기452. O O O O

거부되거나 일시 유예된 입력자료에 대한 입력 확인 절차453. O O O O

제작 자료와 프로그램의 수정을 위한 허가권454. O O O O O O

제품 거래는 관리자에 의하여 허가되어야 한다455. . O O O O

내부기록에 대한 수정을 위한 타당성과 정확성 검토456. O O O O

기록에서 오류가 발견된 후에 필요한 조치457. O O O O O O

사업기록을 수정하기 위한 표준 통제절차458. O O O O O

자료의 일관된 표현자료의 일관된 표현자료의 일관된 표현자료의 일관된 표현4)4)4)4)


회사 사원들에 의한 진실한 표현459. O O O O O O

사원접촉정보 표현의 일관된 방법460. O O O O O O

중요한 정보에 관한 교차확인의 필요성461. O O O O O

모든 공적 표현은 홍보활동을 통해 알려져야 한다462. . O O O O O

- 191 -

자료의 검열제도자료의 검열제도자료의 검열제도자료의 검열제도5)5)5)5)


언론자유 권리가 회사 시스템에는 적용되지 않는다463. . O O O O

조직시스템에 관한 자료검열 권리464. O O O O

경고 없이 쓸데없는 자료를 삭제할 권리465. O O O O

회사의 컴퓨터와 통신시설의 이용금지466. O O O O

메시지 내용에 대한 의무 또는 책임 부인467. O O O O

시스템에 관한 논평들이 회사의 입장을 반영 금지468. O O O O

감정을 상하거나 불쾌감을 느끼는 경우에 대한 경고469. O O O O

제공되지 않는 통신망 보호 서비스470. O O O O

성차별 인종 및 민족 학대 금지471. , O O O O

통신 보안통신 보안통신 보안통신 보안1.41.41.41.4

접근 패스와 시스템 구축접근 패스와 시스템 구축접근 패스와 시스템 구축접근 패스와 시스템 구축1.4.11.4.11.4.11.4.1

방화벽을 포함한 흐름제어 시스템방화벽을 포함한 흐름제어 시스템방화벽을 포함한 흐름제어 시스템방화벽을 포함한 흐름제어 시스템1)1)1)1)


내부 통신망에 있는 주소들은 공개되어서는 안된다472. . O O O O

네트워크 컴퓨터에 필요한 정보통제장치473. O O O O O O

네트워크에 연결된 컴퓨터에 대한 접근통제 패키지474. O O O O O

거대한 네트워크는 독립된 도메인으로 나누어져야 한다475. . O O O O

방화벽 없이 허용할 수 있는 인터넷 접근476. (Firewalls) O O O O

전화회선에 의한 연결은 항상 방화벽을 이용해야만 한다477. . O O O

실시간의 외부 네트워크 접속은 방화벽을 요구한다478. . O O O O

인터넷 연결은 승인된 방화벽을 요구한다479. . O O O O

외부 조직 터널 들과의 직접적인 네트워크 연결들480. ( ) O O O O O

금지된 외부 위치로부터의 중앙연산처리 명령들481. O O O O

- 192 -

네트워크의 연결네트워크의 연결네트워크의 연결네트워크의 연결2)2)2)2)


네트워크로 비밀정보가 들어있는 시스템들을 격리482. O O

고객들은 새롭고 강화된 서비스를 받는 것에 동의483. O O O O O

공중통신업자들 의 표준은 적용되지 않는다484. (carriers) . O O O O

모든 통신회선의 변경을 위하여 요구된 사전 승인485. O O O O O

다중사용자 시스템들의 요구된 사전승인486. O O O O O

시스템 상호 연결을 위한 사전 승인487. O O O O O

제 자 시스템들에 연결된 네트워크를 위한 비밀488. 3 O O O O

인터넷 연결 설치를 위하여 요구된 승인489. O O O O O

서비스 제공자로서의 공공 네트워크들에 가입490. O O O O O

회사 소유인 근로자들에 속한 컴퓨터 시스템들의 사용491. O O O O O

재택 협약에서의 작업을 위한 보안 요구들492. O O O O O O

전자시스템들을 통한 구속력 있는 계약성립493. O O O O O

의 사용 전에 요구되는 무역상대동의494. EDI O O O O O O

은행구좌 번호들의 누설495. O O O O

전산화된 거래들에 관한 수용과 시행을 위한 기준496. O O O O O

전자 제공과 수용들을 위한 다양한 통신 채널들497. O O O O O

암호화암호화암호화암호화1.4.21.4.21.4.21.4.2

암호를 사용할 때암호를 사용할 때암호를 사용할 때암호를 사용할 때1)1)1)1)


사전인증이 없는 한 암호화 과정이 사용될 수 없다498. . O O O O

군사 규정에서의 국제 무역을 가지는 협약499. O O O

네트워크들을 통하여 전송되는 비밀자료들은 암호화500. O O O O

읽을 수 있는 컴퓨터 저장매체로의 비밀자료의 수송501. O O O O

비밀정보는 사용 중이 아닌 때에 암호화되어야 한다502. . O O O O

하드디스크 드라이버들에 저장된 자료는 암호화503. O O O O

- 193 -

암호키 관리암호키 관리암호키 관리암호키 관리2)2)2)2)


정부표준암호화 알고리즘과 수행504. O O O

암호키의 공개는 특별한 승인을 요구한다505. . O O O

암호키 관리시스템들과 관리 분리506. . O O O

키관리 책임의 위임을 위한 조건들507. . O O O O

자료들과 암호키를 위한 통신채널을 분리하라508. . O O

더 좋은 자동화된 암호키 관리시스템509. O O O

암호키의 최대수명510. O O O

모든 암호키에 대한 정기 수명511. O O O

암호키를 생성하기 위한 과정512. O O O

사용자 선택 암호키를 위한 최소길이513. O O O

암호키 생성자료를 위한 보호514. O O O

평문 암호 마스터키 를 위한 보호515. (master keys) O O O

암호키 생성자료의 파괴516. O O O

키교환자료의 파괴에 대한 시간 계획517. O O O

암호키의 승인되지 않은 누설방지518. O O O

금지된 평문 암호키의 전송519. O O O

보호될 자료와 동일한 매체에 암호키 저장금지520. O O O

일반적인 목적의 암호체계는 키의 안전한 처리과정을 포함521. O O O O

기타 암호문제기타 암호문제기타 암호문제기타 암호문제3)3)3)3)


암호화된 버전이 생성 후 읽을 수 있는 자료 삭제522. O O O O

암호키 관리기능의 분명한 지정523. O O O O

암호화와 메시지 인증에 대한 분리된 키524. O O O

기억장치에 보관되는 중요한 자료의 압축과 암호화525. O O O

암호화 과정에 대한 부정 조작할 수 없는 하드웨어 모듈526. O O O

- 194 -

전화를 통한 컴퓨터 통신전화를 통한 컴퓨터 통신전화를 통한 컴퓨터 통신전화를 통한 컴퓨터 통신1.4.31.4.31.4.31.4.3


전화번호부에 컴퓨터 관련 접촉번호들의 삽입527. O O O O O

컴퓨터 전송회선번호의 주기적 변화528. O O

회선에 요구되는 사용자 인증시스템529. O O O O

내부네트워크에 연결된 워크스테이션의 모뎀들530. O O O O O

자동응답방식 개인컴퓨터 모뎀에 대한 금지 조항531. O O O

걸려오는 회선전화는 네 번 울릴 때까지 받아서는 안된다532. . O O O O

걸려오는 회선전화를 수신하는 시스템에 요구되는 승인533. O O O O O

전화회선 승인기준에 대한 부서관리 책임534. O O O O O

전화회선 사용자들을 위한 최대 가능한 패스워드 시도535. O O O O

전송받은 자료전송받은 자료전송받은 자료전송받은 자료1.4.41.4.41.4.41.4.4


중요한 회사 정보를 전송받기 위해 요구되는 통제536. O O O O O

허가없이 금지된 기밀정보 전송 받기537. O O O O O

전화시스템전화시스템전화시스템전화시스템1.4.51.4.51.4.51.4.5


음성우편회선에서 금지된 수신자 또는 제삼자 지불 통화538. O O O O

모든 회사 에서 신용카드 통화금지539. PBX O O O O

통화지역으로 정의된540. PBX O O O O

근로자들은 신용카드통화 등 전화에 응하지 말아야 한다541. . O O O O O

자동응답기에 중요한 정보 녹음금지542. O O O O O

시스템을 통한 신용카드전화의 설치543. PBX O O O O O O

공중전화에서의 신용카드의 사용544. O O O O

내부시스템접근부분은 부정 탐지시설이 필요545. PBX- O O O O

전화번호부는 배포는 제한된다546. . O O O O O

스피커 폰 사용 또는 테이프 녹음에 대한 당사자의 동의547. - O O O O O

개인적인 목적으로 인한 전화 이용548. O O O O O

- 195 -

전화시스템 계속전화시스템 계속전화시스템 계속전화시스템 계속1.4.5 ( )1.4.5 ( )1.4.5 ( )1.4.5 ( )


개인적인 전화통화의 요금변제549. O O O O

원하지 않은 통신판매를 방지하기 위해 정확한 기록 보관550. O O O O O

전화를 통한 회사내부의 기록을 변경하는 지시들551. O O O O

필요할 때만 편성되는 전화회의체제552. (Conference Bridge) O O O O

컴퓨터 지원 식별코드553. O O O

전자우편시스템전자우편시스템전자우편시스템전자우편시스템1.4.61.4.61.4.61.4.6


다른 사람에게 배정된 전자우편함을 사용하는 것554. O O O O O

외부네트워크 주소로 전자우편물 발송555. O O O O O

전자우편의 기록과 보존556. O O O

기록 보관된 전자우편 메시지의 정기적인 폐기557. O O O O O

개인 전자우편558. O O O O O O

전자우편은 공공 통신으로 취급559. O O O O

전자우편 메시지는 회사 기록이다560. . O O O O

전자우편 시스템의 개인적인 이용561. O O O O O O

전자우편과 음성우편으로 방송을 내보낼 수 있는 권한562. O O O O

컴퓨터 재택 근무 설비들컴퓨터 재택 근무 설비들컴퓨터 재택 근무 설비들컴퓨터 재택 근무 설비들1.4.71.4.71.4.71.4.7


컴퓨터 재택근무를 위한 허용된 장치563. O O O O O

회사가 제공한 컴퓨터의 개조 확장564. / O O O O

대체 근무지에 있는 회사 자산의 보호565. O O O O O

대체 근무지 에서 개발된 지적소유권566. (off-site) O O O O O

재택 근무자와 작업환경 구축567. O O O O

재택 근무자의 원거리 조작과 정보 비밀절차568. O O O O

재택근무자 환경의 조사관리권569. O O O O

- 196 -

인터넷 연결인터넷 연결인터넷 연결인터넷 연결1.4.81.4.81.4.81.4.8


인터넷 이용을 희망하는 근로자는 훈련과정을 완료570. O O O O

모든 인터넷 개인 메시지에 회사이름 사용금지571. O O O O

회사 협력을 포함하는 인터넷 표현572. O O O O

공공 인터넷 토론회에 개인적 접촉정보의 누설573. O O O O

계약에 의해 허용된 비공식의 웹페이지574. O O O O O

인터넷을 통한 지불정보의 안전한 전송575. O O O O O

인터넷을 통하여 소프트웨어와 다른 중요한 정보를 전송576. O O O O

회사의 컴퓨터에 관한 공개 디렉토리는 야간에 확인577. O O O O

공개토론회에 게시된 부적당한 전자우편 제거578. O O O O O

공공 네트워크 게시를 통한 비밀정보 전송을 피하라579. . O O O O

인터넷으로부터 다운로드 받은 파일과 소프트웨어 처리580. O O O O O O

인터넷을 통해 전송받은 정보의 신뢰성581. O O O O

회사와 관련된 주제를 인터넷으로부터 정보입수582. O O O O O

인터넷상에서 외부 상대방의 신원확인583. O O O O

인터넷상에 회사 자료를 올리기584. O O O O

인터넷을 통한 정보교환585. O O O O

내부 인터넷 사용자를 위해 요구되는 확장된 사용자 인증586. O O O O

인터넷을 통한 고정된 패스워드를 가진 텔넷 연결은 금지587. O O O O O

인터넷을 통한 새로운 사업구상의 설정588. O O O O O

인터넷 웹싸이트를 통해 수집된 정보에 관한 사용자 통제589. O O O O

- 197 -

관리적 보안관리적 보안관리적 보안관리적 보안2.2.2.2.

관리자 보안관리자 보안관리자 보안관리자 보안2.12.12.12.1

교육과 인식교육과 인식교육과 인식교육과 인식2.1.12.1.12.1.12.1.1


모든 정보 취급 근로자들에 필요한 정보보호 교육590. O O O O O

훈련과 관련한 정보보호 부서 책임591. O O O O O

요구되는 정보보호 교육시간592. O O O O

모든 정보 취급 근로자들에 필요한 정보보호 교육590. O O O O O

훈련과 관련한 정보보호 부서 책임591. O O O O O

요구되는 정보보호 교육시간592. O O O O

정보보호 정책과 절차에 따른 작업593. O O O O

정보보호 교육지시에 대한 참가594. O O O O

계약 준수사항 이행의 요구595. O O O O

계약 준수사항 이해에 대한 인지서명596. O O O O

제 자의 정보보호 책임에 대한 정의597. 3 O O O O O

생산 시스템을 위해 요구되는 사용자 훈련598. O O O O

보안문제의 보고보안문제의 보고보안문제의 보고보안문제의 보고2.1.22.1.22.1.22.1.2


정보보호 문제에 대한 보고599. O O O O

정보보호 위반자와 문제에 대한 내부보고600. O O O O

정보보호 사고의 외부보고601. O O O O

의심되는 컴퓨터 바이러스 침입에 대한 즉각적인 보고602. O O O O

소프트웨어 오작동에 대한 보고 요구603. O O O O

컴퓨터 범죄에 따른 조사 요구604. O O O O O

정보보호 위반과 문제정보의 보존605. O O O O O

정보보호 위반과 문제에 대한 연례분석606. O O O O O

문제 보고와 관리 과정607. O O O O O

- 198 -

통제 선택통제 선택통제 선택통제 선택2.1.32.1.32.1.32.1.3

통제와 시스템 설계통제와 시스템 설계통제와 시스템 설계통제와 시스템 설계1)1)1)1)


새로운 정보시스템 보안제품에 대한 신뢰608. O O O

컴퓨터와 통신보안을 위해 요구되는 사용자 편의609. O O O O

정보보호 대책에 대한 사용자 수용요구610. O O O O

시스템 개발 생활주기에서의 보안611. O O O O

표준구매 경로에 의한 하드웨어와 소프트웨어의 입수612. O O O O O

발표에도 불구하고 일관된 정보보호613. O O O O

통제를 위한 일반 메커니즘 의존 최소화614. O O O O

통제를 위한 일반 메커니즘 의존 최소화614. O O O O

컴퓨터시스템에 대한 독립적인 보안시스템615. O O O O

최신 컴퓨터 운영체제버전의 사용616. O O O O

응용업무의 보안기능 유지617. O O O O

통제와 업무고려통제와 업무고려통제와 업무고려통제와 업무고려2)2)2)2)


생산 정보시스템을 위한 위험 평가618. O O O O

정보보호 시스템 개발 구성보다는 구매619. O O O O O

산업정보보호표준의 이행620. O O O O

정보보호 시스템통제 표준의 최소화621. O O O O O

모든 중요한 정보보호 위험에 요구되는 책임622. O O O O O

적절한 정보보호 보험 적용범위가 유지되어야만 한다623. . O O O O O

정보보호를 위한 충분한 자원의 할당624. O O O O O

정보보호는 재부담금 항목이 아니라 간접경비이다625. . O O O O

보안도 측정은 설치에 앞서 시행될 수 있어야 한다626. . O O O O O

기타 통제선택 문제기타 통제선택 문제기타 통제선택 문제기타 통제선택 문제3)3)3)3)


회사 정보를 취급하는 제 자와의 협정627. 3 O O O O O

필요할 때 평가된 보안제품 사용이 요구된다628. . O O O

- 199 -

직원 보안직원 보안직원 보안직원 보안2.22.22.22.2

징계와 파면징계와 파면징계와 파면징계와 파면2.2.12.2.12.2.12.2.1


이익의 직간접 충돌을 피하라629. . O O O O

정보보호 불이행에 대한 징계 대책630. O O O O

여러 가지 정보보호 위반에 대한 징계 대책631. O O O O

파면에 해당하는 정보보호 위반632. O O O O

경쟁자가 있는 작업 고용인의 숙지와 처리633. O O O O O

컴퓨터 작업자의 본의 아닌 퇴직634. O O O O O

회사퇴사와 분리와 동시에 회사 자산의 회수635. O O O O

근로자 해고에 대한 관리책임636. O O O O

파면된자는 재고용이나 복직되지 않는다637. . O O O O

근로자가 신규 재고용 복직되기 위한 수습기간638. , , O O O O

연장된 조사기간 동안은 무임금으로 한다639. . O O O O

보호 정책에 동의하는 서약서의 갱신640. O O O O

기소 또는 손해배상 할 때641. O O O O

직원 신뢰직원 신뢰직원 신뢰직원 신뢰2.2.22.2.22.2.22.2.2


중요한 결정에 요구되는 인간관계642. O O O O

중요한 시스템 전문기술에 대한 개인의 믿음643. O O O O O

매년 일 연속 휴가가 요구된다644. 5 . O O O O

컴퓨터 관련 근무자의 주기적 업무 순환645. O O O O O

신뢰 위치에 있는 컴퓨터 관련 직원의 보증646. O O O O

직무수행 상태 변화의 보고의무647. O O O

사소한 적발로 인한 직무의 전환648. O O O O

안전한 작업장과 기결수 근무649. O O O O

신뢰하는 컴퓨터 관련 직책의 기결수 근무650. O O O O

- 200 -

배경 확인배경 확인배경 확인배경 확인2.2.32.2.32.2.32.2.3


신뢰를 바탕으로 한 컴퓨터 관련직책 근무자의 경력 확인651. O O O O

민감한 정보에 접근하는 고용인의 지문채취652. O O O

컴퓨터 관련 종사자의 정직 감정 안정성 검사653. , O O O O

기타 직원문제기타 직원문제기타 직원문제기타 직원문제2.2.42.2.42.2.42.2.4


적절한 불만 해소 절차654. O O O O

작업자를 위한 비밀이 보장된 상담서비스655. O O O O

약물 알코올로부터 안전한 작업장656. , O O O O O O

고용자에게 경쟁하지 않는다는 협약서657. O O O O

조직구조조직구조조직구조조직구조2.32.32.32.3

정보보호책임정보보호책임정보보호책임정보보호책임2.3.12.3.12.3.12.3.1

운영자 역할운영자 역할운영자 역할운영자 역할1)1)1)1)


정보보호 운영위원회658. O O O O

정보 소유권과 운영자 책임659. O O O O O

정보보호 이행을 위한 부서660. O O O O

정보자산통제를 위한 책임 부여661. O O O O O

통제구현은 표준으로 구성되어야 한다662. . O O O O O

일반적으로 수용될 수 있는 통제활동의 융통성663. O O O O

정보 보호 부서 책임정보 보호 부서 책임정보 보호 부서 책임정보 보호 부서 책임2)2)2)2)


정보보호는 모든 작업자의 의무이다664. . O O O O O O

정보보호에 대한 총괄 책임665. O O O O O

정보보호 부서에 의해 수행되고 있는 임무의 개관666. O O O O

정보보호 부서에 의해 수행되고 있는 특별한 임무667..

O O O O O

정보보호 부서는 회사의 목표를 지원한다668. . O O O O O

- 201 -


해마다 정보보호 계획과정이 요구된다669. . O O O O

정보보호 매뉴얼이 요구된다670. . O O O O

사내의 정보보호 부서의 관련성671. O O O O O O

기타 정보보호역할기타 정보보호역할기타 정보보호역할기타 정보보호역할3)3)3)3)


컴퓨터와 통신서비스 수시 검토672. O O O O

누구나 정보보호요구에 동의해야 한다673. . O O O O

모든 다사용자 시스템을 위해 지정된 안전관리자674. O O O O O

각 부서는 상호정보를 보호해야만 한다675. . O O O O O

제 자와 관련된 실시간 안전 책임676. 3 O O O O O

정보시스템통제의 내부감사677. O O O O

정보시스템통제의 주기적 독립적인 검토678. O O O O

직무 기재사항에서의 정보보호책임679. O O O O

고용인 업무평가에 고려되는 정보보호680. O O O O

회사 자산에 대한 직무와 통제의 분리681. O O O O O

오류와 속임이 들어날 수 있도록 시스템을 설치한다682. . O O O O O

직무의 분리683. O O O O O

사고관리 책임684. O O O O

소유자 고객 사용자 책임소유자 고객 사용자 책임소유자 고객 사용자 책임소유자 고객 사용자 책임4) , ,4) , ,4) , ,4) , ,


정보자산의 일반목록685. O O O O O

정보소유권을 설정하는 기준686. O O O O

정보시스템부서는 정보소유자가 될 수 없다687. . O O O O O

중요한 정보 형태마다 지정 관리인이 요구됨688. O O O O O

정보관리인의 보안 책임689. O O O O O

정보사용자의 보안 책임690. O O O O O O

회사정보에 접근을 승인하는 과정691. O O O O O

정보소유자 직무의 위임 제한692. O O O O O

- 202 -

물리적 보안물리적 보안물리적 보안물리적 보안3.3.3.3.

물리적 접근 보안물리적 접근 보안물리적 접근 보안물리적 접근 보안3.13.13.13.1

빌딩 접근제어빌딩 접근제어빌딩 접근제어빌딩 접근제어3.1.13.1.13.1.13.1.1

자물쇠와 방벽자물쇠와 방벽자물쇠와 방벽자물쇠와 방벽1)1)1)1)


민감한 정보를 보관하는 구역에 대한 물리적 접근 통제693. O O O O

민감한 정보를 포함하는 구역의 안내원 혹은 접수원694. O O O O

회사를 방문할 때는 뱃지를 잘 보이는 곳에 착용695. O O O O

그들의 뱃지를 잃어버린 사람들을 위한 임시 뱃지696. O O O O

분실 도난당한 신분증명서의 신고와 시스템 접근 증명서697. , O O O O

통제된 출입문은 동반 방식으로 통과할 수 없다698. . O O O O

금지된 물리적인 접근 통제 시험699. O O O O

금지된 제한된 장소에서 단독 작업700. O O O

근무시간 동안만의 제한된 장소에서의 작업701. O O

모든 민감한 정보는 물리적 보안 혹은 암호화가 요구된다702. . O O O O

모든 컴퓨터와 통신장비의 자산 반출703. O O O O

작업자는 구내를 나올 때 수화물 내용을 보여야만 한다704. . O O O

재택 근무자는 철재 기구 준비705. O O O

빌딩 접근 기록빌딩 접근 기록빌딩 접근 기록빌딩 접근 기록2)2)2)2)


건물 접근 통제 시스템 기록의 유지706. O O O O O

해고자에 대한 물리적 접근 통제 코드의 변동707. O O O O O

물리적 접근을 허가한 목록의 유지708. O O O O

주기적인 신분증명서 갱신709. O O O O

방문자 관리방문자 관리방문자 관리방문자 관리3)3)3)3)


모든 방문객에게 요구되는 신분증과 사인하는 과정710. O O O O

모든 방문객을 위한 안내자711. O O O O

민감한 정보를 포함하는 지역에서 제 자의 관리712. 3 O O O O

신분증이 없는 사람은 거부되어야만 한다713. . O O O O

- 203 -

컴퓨터 시설에 대한 접근 제한컴퓨터 시설에 대한 접근 제한컴퓨터 시설에 대한 접근 제한컴퓨터 시설에 대한 접근 제한3.1.23.1.23.1.23.1.2


컴퓨터와 통신시스템을 위한 물리적인 보안대책714. O O O O O

컴퓨터센터는 출입을 폐쇄한다715. . O O O O O

자기테이프 디스크 문서 보관소의 제한된 접근716. , , O O O O O

컴퓨터 설비의 관람금지717. O O O O O O

컴퓨터 위치와 설비구축컴퓨터 위치와 설비구축컴퓨터 위치와 설비구축컴퓨터 위치와 설비구축3.23.23.23.2


새로운 컴퓨터나 통신센터의 위치718. O O O O O

부대 설비의 예비공급719. O O O O O

컴퓨터 혹은 통신센터의 적절한 건설720. O O O O O

건물 내에서 컴퓨터와 통신설비의 위치721. O O O O O

컴퓨터실 접근을 제한하기 위해 요구되는 중간지역722. O O O O O

컴퓨터 혹은 통신센터의 위치를 표시하는 안내판은 없다723. . O O O O

컴퓨터 센터 내화력과 자동개폐724. O O O O O

침입에 대한 컴퓨터장비와 출입구725. O O O O

컴퓨터 장비와 자동으로 잠기는 출입문726. O O O O

컴퓨터 보조장치 목록727. O O O O

고유번호를 가지고 있는 정보시스템728. O O O O

승인없는 마이크로 컴퓨터의 이동729. O O O O

훔쳐보기 위험을 줄이기 위한 워크스테이션730. O O O O O

- 204 -

부록부록부록부록 2222

를 이용할 정책항목를 이용할 정책항목를 이용할 정책항목를 이용할 정책항목Coverage MetricsCoverage MetricsCoverage MetricsCoverage Metrics

- 205 -

패스워드의 최소 길이패스워드의 최소 길이패스워드의 최소 길이패스워드의 최소 길이1.1.1.1.

패스워드의 길이는 사용자가 패스워드로 만들거나 선택할 때 항상 자동적으로 확인되어야

한다 모든 패스워드는 적어도 문자 이상이어야 한다. 8 .

추측하기 어려운 패스워드의 요구추측하기 어려운 패스워드의 요구추측하기 어려운 패스워드의 요구추측하기 어려운 패스워드의 요구2.2.2.2.

모든 컴퓨터 사용자는 쉽게 추측될 수 없는 패스워드를 선택해야 한다 이것은 패스워드가.

사용자의 직업 또는 개인적 생활에 관계가 없어야 함을 의미한다 예를 들어 자동차 면허번. ,

호 배우자의 이름 주소 등을 사용해서는 안된다 또한 패스워드는 사전이나 연설의 한 부, , .

분에서 찾을 수 없는 단어를 사용해야 한다는 것을 의미한다 예를 들어 고유 이름 장소. , , ,

속어가 사용되어서는 안된다.

주기적인 패스워드 사용금지주기적인 패스워드 사용금지주기적인 패스워드 사용금지주기적인 패스워드 사용금지3.3.3.3.

사용자가 예측할 수 있는 문자의 어떤 수로 조합되어 만들어진 패스워드를 만드는 것은 금

지한다 이 금지된 패스워드에는 한 달을 주기로 과제 분야 다른 쉽게 생각할 수 있는 요. , , ,

소를 기초해서 변하는 문자가 있다 예를 들어 사용자는 월에 월에는. , 1 'X34JAN', 2

와 같은 패스워드를 사용해서는 안된다'X34FEB' .

전에 사용했던 패스워드를 다시 사용해서는 안된다전에 사용했던 패스워드를 다시 사용해서는 안된다전에 사용했던 패스워드를 다시 사용해서는 안된다전에 사용했던 패스워드를 다시 사용해서는 안된다4. .4. .4. .4. .

사용자는 그들이 이전에 사용했던 패스워드와 똑같거나 비슷한 패스워드를 사용해서는 안된

다.

패스워드는 알파벳과 알파벳이 아닌 문자를 포함해야 한다패스워드는 알파벳과 알파벳이 아닌 문자를 포함해야 한다패스워드는 알파벳과 알파벳이 아닌 문자를 포함해야 한다패스워드는 알파벳과 알파벳이 아닌 문자를 포함해야 한다5. .5. .5. .5. .

사용자가 선택한 모든 패스워드는 적어도 하나의 알파벳과 하나의 알파벳이 아닌 문자를 가

져야 한다 알파벳이 아닌 문자는 까지 숫자와 구두점 을 포함한다. 0 9 (PUNCTUATION) .～

제어문자와 다른 표시되지 않은 문자의 사용은 그들이 우연히 네트워크 통신의 장애를 가져

올 수 있거나 어떤 시스템 유틸리티를 야기할 수도 있다.

패스워드는 대 소문자를 포함해야 한다패스워드는 대 소문자를 포함해야 한다패스워드는 대 소문자를 포함해야 한다패스워드는 대 소문자를 포함해야 한다6. , .6. , .6. , .6. , .

사용자가 선택한 모든 패스워드는 적어도 하나의 대문자와 하나의 소문자 알파벳 문자를 포

함한다 이것은 산업스파이와 해커가 패스워드를 상상하기 어렵게 할 것이다. .

- 206 -

시스템 생성 패스워드를 위한 기초값시스템 생성 패스워드를 위한 기초값시스템 생성 패스워드를 위한 기초값시스템 생성 패스워드를 위한 기초값7.7.7.7.

만약 시스템이 생성한 패스워드가 사용된다면 그들은 시스템 클럭의 오른쪽 비트 패턴을,

사용해서 생성하거나 다른 자주 변화하는 비주기적인 소스를 이용해서 생성하여야 한다, .

발음할 수 있는 시스템 생성 패스워드발음할 수 있는 시스템 생성 패스워드발음할 수 있는 시스템 생성 패스워드발음할 수 있는 시스템 생성 패스워드8.8.8.8.

사용자가 더 쉽게 패스워드를 기억하기 위해서 사용자가 써 놓을 필요가 없게 하기 위해서,

모든 시스템 생성 패스워드는 발음할 수 있어야 한다.

시스템 생성 패스워드의 저장시스템 생성 패스워드의 저장시스템 생성 패스워드의 저장시스템 생성 패스워드의 저장9.9.9.9.

패스워드나 개인고유번호가 컴퓨터 시스템에 의해 생성된다면 생성된 후에 즉시 사용된다.

그들이 택한 형식에 관계없이 사용되지 않은 패스워드와 개인고유번호가 관련된 컴퓨터 시

스템에 절대 저장되어서는 안된다.

패스워드 생성 자료의 삭제패스워드 생성 자료의 삭제패스워드 생성 자료의 삭제패스워드 생성 자료의 삭제10.10.10.10.

만약 패스워드나 개인고유번호가 컴퓨터에 의해 생성된다면 생성과정에서 사용된 모든 잔,

여 데이터를 지우는데 특별한 주의를 기울여야 한다 생성하고 할당하고 분배하고 패스워. , , ,

드나 개인고유번호를 암호화할 때 사용된 모든 컴퓨터 저장장치 마그네틱 테이프 플로피( ,

디스크 등 는 사용 후에 즉시 모두 삭제해야 한다 삭제는 저장장치를 이나 으로 반복적) . 1 0

으로 쓰는 것을 말한다 더욱이 패스워드나 개인고유번호를 유도할 때 사용된 컴퓨터 기억.

영역은 사용 후에 즉시 삭제해야 한다.

패스워드 생성 알고리즘의 보호패스워드 생성 알고리즘의 보호패스워드 생성 알고리즘의 보호패스워드 생성 알고리즘의 보호11.11.11.11.

만약 패스워드나 개인고유번호가 컴퓨터에 의해 생성된다면 공식 알고리즘 등 그 과정에서, ,

의 특별한 특성을 가지는 모든 소프트웨어와 파일은 가장 엄중한 보호 대책으로 통제되어야

한다.

이전 패스워드의 기억 파일이전 패스워드의 기억 파일이전 패스워드의 기억 파일이전 패스워드의 기억 파일12.12.12.12.

모든 다중 사용자 시스템에서 시스템 소프트웨어나 지역적으로 개발된 소프트웨어는 이전,

패스워드를 암호화해서 저장하였다 그 기억 파일은 사용자가 같은 패스워드를 다시 사용하.

는 것을 막아준다.

- 207 -

그 기억 파일은 적어도 각 사용자 에 대해 과거의 개의 패스워드를 가지고 있어야 한ID 13

다.

익명의 사용자익명의 사용자익명의 사용자익명의 사용자13. ID13. ID13. ID13. ID

사용자 는 순차적인 번호형태로 할당되어야만 하고 사용자 와 사용자의 현재 이름은ID ID

전혀 관련 없어야 한다.

패스워드의 출력과 표시패스워드의 출력과 표시패스워드의 출력과 표시패스워드의 출력과 표시14.14.14.14.

패스워드의 출력과 표시는 숨겨지거나 혹은 안보여야 한다 그렇게 해서 불법사용자가 지켜.

보거나 그 후에 패스워드를 바꾸는 것을 못하도록 해야 할 것이다.

주기적으로 강요되는 패스워드 변경주기적으로 강요되는 패스워드 변경주기적으로 강요되는 패스워드 변경주기적으로 강요되는 패스워드 변경15.15.15.15.

모든 사용자는 적어도 마다 그들의 패스워드를 변경하도록 자동적으로 강요된다90 .

만기된 패스워드의 할당만기된 패스워드의 할당만기된 패스워드의 할당만기된 패스워드의 할당16.16.16.16.

보안 관리자에 의해서 발행된 초기 패스워드는 사용자의 첫번째 접속에만 유효하다 그 때.

에 사용자는 다른 일을 하기 전에 패스워드를 바꾸어야만 한다.

패스워드의 연속적인 실패의 한계패스워드의 연속적인 실패의 한계패스워드의 연속적인 실패의 한계패스워드의 연속적인 실패의 한계17.17.17.17.

패스워드 예측 공격을 막기 위해서 틀린 패스워드의 연속적인 시도의 횟수는 엄격히 제한되

어야 한다 패스워드를 번 틀린 후에 접속한 사용자 는 시스템 관리자가 고칠 때까지 일. 3 ID

시적으로 중지되거나 임시로 분 정도 중지시키거나 만약 전화나 다른 외부 네트워크로 접3

속되었을 때는 끊어지게 된다.

확인 과정확인 과정확인 과정확인 과정18.18.18.18.

사용사의 단지 하나의 사용자 와 패스워드를 요구받고 그때 그들은 네트워크나 컴퓨터시ID

스템 접속한다 사용자 증명과 관련된 정보는 다른 컴퓨터와 데이터베이스 관리시스템과 응.

용프로그램에 전송된다

.

시스템 외부에서 절대로 볼 수 없는 형식의 패스워드시스템 외부에서 절대로 볼 수 없는 형식의 패스워드시스템 외부에서 절대로 볼 수 없는 형식의 패스워드시스템 외부에서 절대로 볼 수 없는 형식의 패스워드19.19.19.19.

- 208 -

저장된 패스워드는 절대 시스템 밖에서 볼 수 있는 형식이어서는 안된다.

메일을 통해 보내지는 패스워드 보호메일을 통해 보내지는 패스워드 보호메일을 통해 보내지는 패스워드 보호메일을 통해 보내지는 패스워드 보호20.20.20.20.

만약 일반적인 메일이나 비슷한 물리적으로 분리된 시스템에 의해 보내진 패스워드는 사용

자 와 분리되어서 보내져야 한다 이 메일은 동봉물의 성질을 가리키는 표시가 없어야 한ID .

다 패스워드는 쉽게 구할 수 있는 불투명한 봉투로 숨겨져야 한다. .

읽을 수 없는 형식으로 패스워드 저장읽을 수 없는 형식으로 패스워드 저장읽을 수 없는 형식으로 패스워드 저장읽을 수 없는 형식으로 패스워드 저장21.21.21.21.

패스워드는 권한이 없는 사람이 볼 수 있는 접근제어가 없는 컴퓨터나 유사장소에 터미널,

기능키나 소프트웨어 매크로나 자동 로그 인이나 배치파일 등에 읽을 수 있는 형식으로, , - ,

저장되어서는 안된다.

패스워드의 암호화패스워드의 암호화패스워드의 암호화패스워드의 암호화22.22.22.22.

패스워드는 네트워크를 통해 전송될 때나 어떤 시간 간격으로 저장될 때 항상 암호화되어,

야 한다 이것은 공개된 도청자와 기술자가 시스템 기록을 읽는 것과 다른 권한이 없는 사.

람으로부터 패스워드를 보호할 것이다.

소프트웨어로 패스워드 조합소프트웨어로 패스워드 조합소프트웨어로 패스워드 조합소프트웨어로 패스워드 조합23.23.23.23.

필요한 경우 패스워드를 변경하는 것을 허용하기 위해서 패스워드는 하드웨어적으로 조합되

지 않고 회사에 의해 변경되거나 개발된 소프트웨어로 조합되어야 한다.

패스워드 검색 예방패스워드 검색 예방패스워드 검색 예방패스워드 검색 예방24.24.24.24.

컴퓨터와 통신시스템은 그들이 암호화되었건 그렇지 않건 저장된 패스워드의 검색을 막기

위해 제어되고 테스트되고 설계되어야만 한다.

운영체제 사용자 인증 과정 신뢰운영체제 사용자 인증 과정 신뢰운영체제 사용자 인증 과정 신뢰운영체제 사용자 인증 과정 신뢰25.25.25.25.

회사 응용 시스템 개발자는 운영체제 기능을 이용한 접근 제어 패키지나 운영체제에 의해

제공되는 패스워드 접속 제어에 기반을 두고 개발해야 한다 개발자는 패스워드를 수집하거.

나 사용자 를 수집하는 구조를 분리해서 만들어서는 안되고 사용자 증명인증 또는 증명ID

하는 다른 구조에 기반을 두어서는 안된다.

- 209 -

개인적인 패스워드를 가지고 시스템 접근 제어개인적인 패스워드를 가지고 시스템 접근 제어개인적인 패스워드를 가지고 시스템 접근 제어개인적인 패스워드를 가지고 시스템 접근 제어26.26.26.26.

컴퓨터와 통신시스템 접근 제어는 각 개인 사용자에 부여된 패스워드에 의해 이루어져야 한

다 공용의 패스워드를 통하여 파일 데이터베이스 컴퓨터 그리고 다른 시스템 자원에 대한. , , ,

접근을 금지한다.

듀레스 패스워드의 사용듀레스 패스워드의 사용듀레스 패스워드의 사용듀레스 패스워드의 사용27. (Duress)27. (Duress)27. (Duress)27. (Duress)

특별히 가치 있거나 민감한 데이터를 사용자가 접근할 때마다 사용자가 로그 온하고 있는, -

시스템은 은밀한 신호를 보내준다 패스워드는 오직 경보가 울릴 환경에서만 사용되. Duress

는 특별한 패스워드이다 그러나 그 사용자와 함께 사용하는 사용자가 경보가 울린 것을 안.

다면 사용자의 안정은 위태로울 수 있다.

판매자의 기본 패스워드 변경판매자의 기본 패스워드 변경판매자의 기본 패스워드 변경판매자의 기본 패스워드 변경28.28.28.28.

모든 판매자가 제공하는 기본 패스워드는 어느 컴퓨터나 통신시스템 회사에 사용되기 전에

변경되어야 한다.

시스템마다 다른 패스워드 요구시스템마다 다른 패스워드 요구시스템마다 다른 패스워드 요구시스템마다 다른 패스워드 요구29.29.29.29.

다중 시스템의 손상을 막기 위해서 컴퓨터 사용자는 그들이 접속하고 있는 각 시스템마다

다른 패스워드를 사용해야 한다.

다른 시스템에 같은 패스워드 사용허가다른 시스템에 같은 패스워드 사용허가다른 시스템에 같은 패스워드 사용허가다른 시스템에 같은 패스워드 사용허가30.30.30.30.

부당하게 보안을 손상하지 않을 것이라는 정보보호 부서에 의한 허가를 받을 때까지 사용자

는 다중 컴퓨터 시스템에 같은 패스워드를 사용하지 말아야 한다.

예상되는 공개는 강제로 패스워드를 변경시킨다예상되는 공개는 강제로 패스워드를 변경시킨다예상되는 공개는 강제로 패스워드를 변경시킨다예상되는 공개는 강제로 패스워드를 변경시킨다31. .31. .31. .31. .

모든 패스워든 만약 누설이 예상되거나 권한 없는 사람에게 공개되었음을 알게 되면 즉시,

변경되어야 한다.

다른 사람이 발견할 수 있는 곳에 패스워드를 기록하고 남겨두는 문제다른 사람이 발견할 수 있는 곳에 패스워드를 기록하고 남겨두는 문제다른 사람이 발견할 수 있는 곳에 패스워드를 기록하고 남겨두는 문제다른 사람이 발견할 수 있는 곳에 패스워드를 기록하고 남겨두는 문제32.32.32.32.

패스워드는 권리가 없는 사람이 패스워드를 발견할 수 있는 장소에 기록하고 남겨두어서는

안된다.

- 210 -

비밀 기능을 이용해서 패스워드 쓰기비밀 기능을 이용해서 패스워드 쓰기비밀 기능을 이용해서 패스워드 쓰기비밀 기능을 이용해서 패스워드 쓰기33.33.33.33.

사용자는 그들의 전화번호나 외견상 관계없는 글자에서 효과적으로 숨겨지는 그런 패스워,

드를 가지거나 그들이 패스워드를 숨기기 위해서 코딩 시스템을 사용할 때까지 패스워드를,

기록으로 남겨서는 안된다.

패스워드 분배 금지패스워드 분배 금지패스워드 분배 금지패스워드 분배 금지34.34.34.34.

환경에 상관없이 패스워드는 절대 분배되거나 권한을 가진 사용자 외에 다른 사람에게 드러

나서는 안된다 그렇게 함으로써 권한자는 다른 사람이 패스워드를 가지는 행동에 대한 책.

을 가진다 만약 사용자가 컴퓨터 고유의 정보 분배를 원한다면 그들은 서비스나 이. , LAN

와 비슷한 구조에서 전자메일과 일반적인 디렉토리를 통하여 정보를 공유해야 한다.

개인 사용자 를 포함하여 모든 행동에 대한 사용자 책임개인 사용자 를 포함하여 모든 행동에 대한 사용자 책임개인 사용자 를 포함하여 모든 행동에 대한 사용자 책임개인 사용자 를 포함하여 모든 행동에 대한 사용자 책임35. ID35. ID35. ID35. ID

사용자는 그들의 개인 사용자 와 관련한 행동에 대한 책임이 있다 개인적인 사용자 는ID . ID

아무나 이용하는 것이 아니라 그것을 발행 받은 개인 사용하는 것이다 사용자는 타인이 자.

신의 를 가지고 행동하는 것을 허락해서는 안된다 사용자는 다른 사용자와 관계된 를ID . ID

가지고 어떠한 행동도 해서는 안된다.

모든 패스워드의 강제 변경모든 패스워드의 강제 변경모든 패스워드의 강제 변경모든 패스워드의 강제 변경36.36.36.36.

비권한자에 의해 시스템이 손상될 때마다 시스템 관리자는 즉시 시스템이 가지는 모든 패스

워드를 변경시켜야 한다 손상의 의심이 들더라도 모든 패스워드는 즉시 변경되도록 요구된.

다 이런 경우에 믿을 수 있는 운영시스템과 모든 보안 관련 소프트웨어는 다시 로드되어야.

한다 이런 경우에 모든 사용자와 시스템권한 변경은 권한 없이 변경되었는지 확인되어야.

한다.

개인적인 패스워드를 가지기 위한 신분 증명개인적인 패스워드를 가지기 위한 신분 증명개인적인 패스워드를 가지기 위한 신분 증명개인적인 패스워드를 가지기 위한 신분 증명37.37.37.37.

패스워드는 전화로 알려져서는 안된다 변화되거나 새로운 패스워드를 가지기 위해서 사용.

자는 개인적으로 적절한 신분을 밝혀야 한다.

보안관리자에 의해 필요시 패스워드는 확인할 수 있다보안관리자에 의해 필요시 패스워드는 확인할 수 있다보안관리자에 의해 필요시 패스워드는 확인할 수 있다보안관리자에 의해 필요시 패스워드는 확인할 수 있다38. .38. .38. .38. .

- 211 -

보안관리자는 새로운 사용자 가 할당되거나 가입한 사용자가 패스워드를 잊거나 잃어버ID ,

리거나 또는 를 다른 사람이 폐쇄하였을 때 패스워드를 알려줘야 한다 보안관리자는 사, ID .

용자가 신분을 대신할 명확한 증거를 제시할 때만 패스워드를 알려줄 수 있다.

시스템 사용을 위한 명확한 신분증명 요구시스템 사용을 위한 명확한 신분증명 요구시스템 사용을 위한 명확한 신분증명 요구시스템 사용을 위한 명확한 신분증명 요구39.39.39.39.

모든 사용자는 어느 다중 사용자 컴퓨터나 통신시스템을 사용할 때 보다 명확한 신분증명이

있어야 한다.

컴퓨터 접속 네트워크에 접근하기 위해 요구되는 사용자 와 패스워드컴퓨터 접속 네트워크에 접근하기 위해 요구되는 사용자 와 패스워드컴퓨터 접속 네트워크에 접근하기 위해 요구되는 사용자 와 패스워드컴퓨터 접속 네트워크에 접근하기 위해 요구되는 사용자 와 패스워드40. ID40. ID40. ID40. ID

모든 사용자는 회사 컴퓨터에 네트워크로 접속해서 사용하는 것을 허가 받기 전에 입증된

신분과 사용자 와 비밀 패스워드를 가지거나 그것과 같거나 더 보안적인 수단에 의해 그ID ,

들의 신분을 증명해야 한다.

필요한 유일한 사용자 와 패스워드필요한 유일한 사용자 와 패스워드필요한 유일한 사용자 와 패스워드필요한 유일한 사용자 와 패스워드41. ID41. ID41. ID41. ID

모든 사용자는 회사의 다중 사용자 컴퓨터나 컴퓨터 네트워크에 접속하기 위하여 유일한 사

용자 와 비밀 패스워드를 가져야 한다ID .

부정확한 로그 인 정보의 누설부정확한 로그 인 정보의 누설부정확한 로그 인 정보의 누설부정확한 로그 인 정보의 누설42. -42. -42. -42. -

회사의 컴퓨터나 데이터 통신시스템 접속할 때 로그 인 순서의 어느 한 부분이 틀렸다면- ,

사용자에게 그 문제를 특별히 지적하는 원인을 알려 주어서는 안된다 대신에 사용자는 단.

지 로그 인 과정이 잘못됐다는 정보만을 받아야 한다- .

부정확한 로그 인에 대한 어떤 피드백이 있어서는 안된다부정확한 로그 인에 대한 어떤 피드백이 있어서는 안된다부정확한 로그 인에 대한 어떤 피드백이 있어서는 안된다부정확한 로그 인에 대한 어떤 피드백이 있어서는 안된다43. - .43. - .43. - .43. - .

회사의 컴퓨터나 데이터 통신시스템에 접속할 때 로그 인 순서의 어느 부분이 틀렸다면 사- ,

용자는 그 문제의 원인을 가리키는 어떠한 내용도 통보 받지 못한다 대신에 그 시스템은.

접속을 끝내거나 올바른 로그 인 정보를 넣을 때까지 기다려야 한다, - .

시스템 로그 인 문구에 보안 공고시스템 로그 인 문구에 보안 공고시스템 로그 인 문구에 보안 공고시스템 로그 인 문구에 보안 공고44. -44. -44. -44. -

다중 사용자 컴퓨터에서 모든 로그 인 과정은 특별한 공지를 포함해야 한다- .

- 212 -

그 공고는

그 시스템은 권한 사용자만 사용할 수 있다.①

그 시스템을 사용하기 위한 사용자는 권한 받은 사용자라는 것을 밝혀야 한다.②

시스템 로그 인 문구에 정보 제공시스템 로그 인 문구에 정보 제공시스템 로그 인 문구에 정보 제공시스템 로그 인 문구에 정보 제공45. -45. -45. -45. -

네트워크로 접속된 회사 컴퓨터 시스템에 모든 로그 인 문구는 사용자가 로그 인 하기 위- -

한 간단한 질문을 해야 한다 단체대한 특별한 정보 컴퓨터 운영체제 네트워크 배열 또는. , , ,

다른 내적 문제는 사용자가 사용자 와 패스워드를 성공적으로 제공할 때까지 로그 인 문ID -

구를 제공하여서는 안된다.

필요한 네트워크 로그 인 문구필요한 네트워크 로그 인 문구필요한 네트워크 로그 인 문구필요한 네트워크 로그 인 문구46. -46. -46. -46. -

다음 경고 문구는 사용자가 회사의 내부 컴퓨터 네트워크에 접속하려고 할 때 사용되어야

한다 이 시스템은 권한이 부여된 사용자만을 위한 것이다 개인적으로 권한 없이 이 컴퓨. “ .

터 시스템을 사용하거나 그들의 권한을 넘어서는 것은 시스템에서 그들의 모든 행동이 감시

당하고 저장됨으로써 제재 받는다 이 시스템을 부적당하게 사용하는 개인을 감시하기 위해.

서 시스템을 유지하기 위해서 권한이 부여된 사용자의 행동 또한 감시 당한다 이 시스템, , .

을 사용하는 누구든지 명백히 이런 감시에 동의를 하고 이런 감시가 가능한 범법행위를 찾,

아낸다면 시스템 관리자는 법적으로 이런 감시의 증거를 제공할 수 있다는 것을 경고한다, .”

마지막 로그 인 시간과 날짜의 경고마지막 로그 인 시간과 날짜의 경고마지막 로그 인 시간과 날짜의 경고마지막 로그 인 시간과 날짜의 경고47. -47. -47. -47. -

로그 인할 때에 모든 사용자는 마지막 로그 인 시간과 날짜 정보를 제공 받는다 이것은 권- - .

한이 없는 시스템 사용자를 쉽게 발견하게 해준다.

온라인으로 다중 사용금지온라인으로 다중 사용금지온라인으로 다중 사용금지온라인으로 다중 사용금지48.48.48.48.

시스템 관리자가 특별히 허가하지 않는 한 컴퓨터 시스템은 어느 사용자라도 온라인 상으로

다중 접속을 금지해야 한다.

자동 로그 오프 과정자동 로그 오프 과정자동 로그 오프 과정자동 로그 오프 과정49. -49. -49. -49. -

만약 터미널이나 워크스테이션 가 분 정도 동안 운영되지 않는다면 그 시스템은 자동, PC 10

적으로 그 접속을 중지한다 그 접속 복구는 사용자가 고유의 패스워드로 다시 넣은 후에야.

가능하다.

- 213 -

로그 오프 없이 중요한 시스템 접속 끊기로그 오프 없이 중요한 시스템 접속 끊기로그 오프 없이 중요한 시스템 접속 끊기로그 오프 없이 중요한 시스템 접속 끊기50. -50. -50. -50. -

만약 민감하고 가치 있는 정보를 가진 시스템에 접속한다면 사용자는 그들의 나 워크스, PC

테이션 또는 터미널을 로그 오프 과정 없이 중간에 끊어서는 안된다, -

네트워크에 접속한 개인 컴퓨터의 로그 오프네트워크에 접속한 개인 컴퓨터의 로그 오프네트워크에 접속한 개인 컴퓨터의 로그 오프네트워크에 접속한 개인 컴퓨터의 로그 오프51. -51. -51. -51. -

만약 가 네트워크에 접속되어 있다면 접속을 끊을 때 항상 로그 오프를 해야한다PC , - .

회사 컴퓨터 시스템에 게임을 저장하거나 사용할 수 없다회사 컴퓨터 시스템에 게임을 저장하거나 사용할 수 없다회사 컴퓨터 시스템에 게임을 저장하거나 사용할 수 없다회사 컴퓨터 시스템에 게임을 저장하거나 사용할 수 없다52. .52. .52. .52. .

회사 컴퓨터 시스템에서 게임을 저장하거나 사용할 수 없다.

컴퓨터와 통신 시스템의 개인적 사용컴퓨터와 통신 시스템의 개인적 사용컴퓨터와 통신 시스템의 개인적 사용컴퓨터와 통신 시스템의 개인적 사용53.53.53.53.

회사 컴퓨터와 통신 시스템은 업무용으로만 사용되어야 한다 개인적 사용은 대표의 특별한.

허가에 의해서만 가능하다.

업무용 시스템의 우발적인 개인 사용업무용 시스템의 우발적인 개인 사용업무용 시스템의 우발적인 개인 사용업무용 시스템의 우발적인 개인 사용54.54.54.54.

회사의 정보시스템은 업무용으로만 사용된다 우발적인 개인적 사용은 만약 그 사용이 업무.

용으로 사용되는 자원이 극히 미비하거나 노동자의 생산성에 방해되지 않거나 어떤 업무적, ,

행위를 방해하지 않는다면 허용될 수 있다.

공인되지 않는 시스템 사용 금지공인되지 않는 시스템 사용 금지공인되지 않는 시스템 사용 금지공인되지 않는 시스템 사용 금지55.55.55.55.

회사 컴퓨터와 통신서비스 가입자는 시설을 관리자에게 허가 받은 것 이외의 업무를 하기

위해 물건을 팔거나 다른 상업적 행동을 해서는 안된다, .

개인 목적을 위한 인터넷 사용은 금지한다개인 목적을 위한 인터넷 사용은 금지한다개인 목적을 위한 인터넷 사용은 금지한다개인 목적을 위한 인터넷 사용은 금지한다56. .56. .56. .56. .

회사의 정보시스템을 개인적 목적을 위해서 인터넷에 접속하여 사용하는 것은 관대하게 봐

주지 않을 것이고 파면과 같은 징계행위의 정당한 이유로 고려될 수 있다 모든 인터넷 사, .

용자는 방화벽 같은 모든 서비스에 대한 요구에 대한 반응을 경계안과 밖에서 세밀한 감시

기록을 생성할 수 있다는 것을 알아야 한다.

- 214 -

개인적 시간에만 회사 인터넷 시설의 개인적 사용개인적 시간에만 회사 인터넷 시설의 개인적 사용개인적 시간에만 회사 인터넷 시설의 개인적 사용개인적 시간에만 회사 인터넷 시설의 개인적 사용57.57.57.57.

회사의 관리자는 근로자가 인터넷을 활용하도록 권고한다 그러나 만약 이 탐험이 개인적.

목적이라면 근무시간이 아닌 개인적 시간에 행해져야 한다 비슷하게 뉴스 토론 그룹 게임. , , ,

그리고 정확하게 개인적인 업무와 연관되었다고 정의할 수 없는 다른 행동들은 근무시간이

아닌 개인적 시간에 행해져야 한다는 것과 일맥 상통한다.

회사 정보의 사용 범위회사 정보의 사용 범위회사 정보의 사용 범위회사 정보의 사용 범위58.58.58.58.

회사의 정보는 관리자 의해 부여 받은 사업적 목적에만 사용해야 한다.

외부인에게 사용자 부여외부인에게 사용자 부여외부인에게 사용자 부여외부인에게 사용자 부여59. ID59. ID59. ID59. ID

고용되거나 계약자거나 고문이 아닌 개인은 관리자의 승인이 없으면 사용자 와 회사의, , ID

컴퓨터나 통신시스템을 사용할 수 있는 특권이 주어져서는 안된다.

데이터와 프로그램에 대한 위험에 관한 책임 거부데이터와 프로그램에 대한 위험에 관한 책임 거부데이터와 프로그램에 대한 위험에 관한 책임 거부데이터와 프로그램에 대한 위험에 관한 책임 거부60.60.60.60.

회사는 컴퓨터와 통신시스템에 의해 다루어지는 정보의 신뢰성 무결성 가용성을 보호하기, ,

위해 접근제어와 기타 보안대책을 사용한다 이러한 목적을 유지하기 위하여 관리자는 다음.

권한을 가진다.

어느 사용자의 권리도 제한하고 폐지할 수 있다.①

이 목적을 이루기 위하여 어떠한 데이터나 프로그램 또는 다른 시스템도 변화시키거나,②

이동 복사 점검을 할 수 있다, .

어느 다른 과정도 이 정보시스템은 보호 관리하기 위하여 필요하다고 생각되면 할 수 있③

다.

이러한 권한은 사용자에게 통고하거나 그렇지 않거나 행할 수 있다 회사는 데이터나 프로.

그램이 이 보안 목적에 맞게 영향을 받음으로써 나온 결과로 손상을 입는 것에 대한 어떠한

책임도 지지 않는다.

어디서 컴퓨터 시스템 접속제어를 사용하는가어디서 컴퓨터 시스템 접속제어를 사용하는가어디서 컴퓨터 시스템 접속제어를 사용하는가어디서 컴퓨터 시스템 접속제어를 사용하는가61.61.61.61.

- 215 -

모든 민감하고 중요하고 가치 있는 컴퓨터 내장정보는 부적당하게 끊어지거나 변경되거나, ,

지워지거나 불가능하게 표현되는 것이 아니라는 것을 보장하는 시스템 접속 제어를 가지고,

있어야 한다.

패스워드에 기초한 접근 제어 패키지를 요구하는 시스템패스워드에 기초한 접근 제어 패키지를 요구하는 시스템패스워드에 기초한 접근 제어 패키지를 요구하는 시스템패스워드에 기초한 접근 제어 패키지를 요구하는 시스템62.62.62.62.

만약 작은 시스템 등 이 중요하거나 기밀한 정보를 다룬다면 그 시스템은 인정된(PC, LAN ) ,

패스워드 기반 접근제어 시스템의 적절한 버전을 사용해야만 한다.

알 필요성 에 기초한 권한 제한알 필요성 에 기초한 권한 제한알 필요성 에 기초한 권한 제한알 필요성 에 기초한 권한 제한63. “ ”63. “ ”63. “ ”63. “ ”

컴퓨터와 통신시스템은 모든 사용자 시스템 프로그램의 모든 권한은 알 필요성 에 기초하, , “ ”

여 제한되어야 한다.

특별한 정보 접근 정책이 준비되어야 한다특별한 정보 접근 정책이 준비되어야 한다특별한 정보 접근 정책이 준비되어야 한다특별한 정보 접근 정책이 준비되어야 한다64. .64. .64. .64. .

관리자는 다양한 종류의 정보 접근을 허용 받는 사람들의 종류에 대해서 특별한 정책을 세

워야 한다 이 정책은 이 접근이 허용된 사람들이 이 정보의 사용에 관한 한계를 명시해야.

한다.

정보 소유권은 할당되어야 한다정보 소유권은 할당되어야 한다정보 소유권은 할당되어야 한다정보 소유권은 할당되어야 한다65. .65. .65. .65. .

관리자는 데이터베이스 마스터파일과 그 밖의 공유된 정보의 모음에 관한 소유권 책임을,

명확히 해야 한다 또한 이들 정보 모음에서 알려진 특정형태의 정보를 수정하거나 지우는. ,

권한을 가진 사람을 명시해야 한다.

민감한 정보에 접근이 허가된 자는 반복허가가 필요 없다민감한 정보에 접근이 허가된 자는 반복허가가 필요 없다민감한 정보에 접근이 허가된 자는 반복허가가 필요 없다민감한 정보에 접근이 허가된 자는 반복허가가 필요 없다66. .66. .66. .66. .

아주 민감한 수준으로 분류된 정보를 보도록 권한이 부여된 사람은 그 수준 혹은 그보다 낮

은 수준의 정보에 대한 접근은 자동적으로 허락되어야 한다.

민감한 정보를 접근수준이 낮은 곳에 기록해서는 안된다민감한 정보를 접근수준이 낮은 곳에 기록해서는 안된다민감한 정보를 접근수준이 낮은 곳에 기록해서는 안된다민감한 정보를 접근수준이 낮은 곳에 기록해서는 안된다67. .67. .67. .67. .

작업자는 이 행동이 승인된 비 분류된 일반적 분야가 아닌 한 민감한 수준의 정보를 그렇지

못한 수준으로 분류된 곳에 정보를 기록해서는 안된다.

사용자 각각의 데이터와 활동의 분류사용자 각각의 데이터와 활동의 분류사용자 각각의 데이터와 활동의 분류사용자 각각의 데이터와 활동의 분류68.68.68.68.

관리자는 다른 인터페이스를 가지고 다른 사용자의 개인적 활동이나 개인적인 데이터에 일

반 사용자가 접근할 수 없다는 사용자 권리를 준수해야 한다.

- 216 -

사용자 는 단일 사용자로만 명시해야 한다사용자 는 단일 사용자로만 명시해야 한다사용자 는 단일 사용자로만 명시해야 한다사용자 는 단일 사용자로만 명시해야 한다69. ID .69. ID .69. ID .69. ID .

각 컴퓨터와 통신시스템 사용자 는 단지 한 명의 사용자만을 위한 것이다 공개되거나 그ID .

룹 사용자 로는 허용되지 않는다ID .

금지된 사용자 의 재사용금지된 사용자 의 재사용금지된 사용자 의 재사용금지된 사용자 의 재사용70. ID70. ID70. ID70. ID

각 컴퓨터와 통신시스템 사용자 는 유일해야 하고 배당 받은 사용자 혼자 접속해야 한다ID .

작업자가 회사를 그만둔 후에 그 사용자 가 재사용되어서는 안된다ID .

모든 플랫폼을 사용하는 사용자는 단일 사용자 로 표준화한다모든 플랫폼을 사용하는 사용자는 단일 사용자 로 표준화한다모든 플랫폼을 사용하는 사용자는 단일 사용자 로 표준화한다모든 플랫폼을 사용하는 사용자는 단일 사용자 로 표준화한다71. ID .71. ID .71. ID .71. ID .

얼마나 많은 시스템에 접속하든지 상관없이 회사의 작업자들은 오직 하나의 사용자 를ID

가져야 한다 정보기술 강독자로부터 허가를 받았을지 라도 모든 컴퓨터 시스템 관리자는. ,

정보기술분야에 의해 명시된 사용자 명명기준을 일관되게 관찰해야 한다.

컴퓨터 업무시작에 요구되는 인증컴퓨터 업무시작에 요구되는 인증컴퓨터 업무시작에 요구되는 인증컴퓨터 업무시작에 요구되는 인증72.72.72.72.

회사의 이익을 위해 업무를 할 수 있는 권한은 개인 사용자 와 이 사용자 를 사용하고ID ID

있는 개인의 신분에 의해 제한되어야 한다.

특별한 시스템 권한의 제한특별한 시스템 권한의 제한특별한 시스템 권한의 제한특별한 시스템 권한의 제한73.73.73.73.

다른 사용자의 파일을 검사하는 것과 특별한 시스템 권한은 시스템 경영과 보안을 위해서

직접적으로 책임을 질 수 있는 사람에게 제한적으로 주어져야한다 이 권한은 공인된 시스.

템 관리자 교육을 이수한 사람에게만 허락된다.

특별한 권한을 가진 사용자를 지원특별한 권한을 가진 사용자를 지원특별한 권한을 가진 사용자를 지원특별한 권한을 가진 사용자를 지원74.74.74.74.

모든 다중 사용자 컴퓨터와 네트워크 시스템은 시스템의 보안 상태를 변경시킬 수 있는 사

용자를 지원할 수 있어야 한다.

일반적 사용자 권한과 명백한 승인 요구일반적 사용자 권한과 명백한 승인 요구일반적 사용자 권한과 명백한 승인 요구일반적 사용자 권한과 명백한 승인 요구75.75.75.75.

경영자의 승인 없이 관리자는 전자메일과 워드 작성기를 제외하고 어느 사용자에게도 시스

템 권한을 허가할 수 없다.

- 217 -

제 자 전화 접속권한의 제한제 자 전화 접속권한의 제한제 자 전화 접속권한의 제한제 자 전화 접속권한의 제한76. 376. 376. 376. 3

외부인은 단지 전화접속 유지 권한만을 가진다 시스템 관리자가 그들이 필요하다고 결정했.

을 때 이 권한은 그 일이 끝날 때까지 필요한 시간만큼 동안에만 가능하다.

시간 의존적 접속 제어시간 의존적 접속 제어시간 의존적 접속 제어시간 의존적 접속 제어77.77.77.77.

모든 다중 사용자는 시스템은 사용자 와 패스워드를 데이터와 프로그램에 접속 제어하는ID

데 사용한다 이 기본 접속제어 외에 사용자 행동은 하루 중 시간과 주중 날짜로 제한되어. ,

야 한다.

휴먼 사용자 계정과 자동 권한 취소휴먼 사용자 계정과 자동 권한 취소휴먼 사용자 계정과 자동 권한 취소휴먼 사용자 계정과 자동 권한 취소78. ID78. ID78. ID78. ID

모든 사용자 는 휴지상태로 한 달이 지나면 자동적으로 부여된 권한이 취소되어야 한다ID .

일반적인 접근 제어 권한 거부일반적인 접근 제어 권한 거부일반적인 접근 제어 권한 거부일반적인 접근 제어 권한 거부79.79.79.79.

만약 컴퓨터나 네트워크 접근 제어 시스템이 올바르게 작동하지 않는다면 시스템은 사용자

의 권한을 거부해야 한다.

접속 권한의 취소와 행동금지접속 권한의 취소와 행동금지접속 권한의 취소와 행동금지접속 권한의 취소와 행동금지80.80.80.80.

회사의 관리자는 어느 때 어느 사용자의 권한을 취소시킬 권한을 가진다 일반적이고 더 좋, .

은 회사 정보시스템의 운용을 방해하는 행동 이것은 이 정보시스템을 사용하는 다른 사람,

의 능력에 불리하게 영향을 미치거나 이것이 유해하거나 다른 사람에게 공격적인 행동은,

허용되지 않을 것이다.

운영체제 명령어에 대한 단말 사용자의 접근운영체제 명령어에 대한 단말 사용자의 접근운영체제 명령어에 대한 단말 사용자의 접근운영체제 명령어에 대한 단말 사용자의 접근81.81.81.81.

로그 인 후에 모든 다중 사용자 시스템의 사용자는 그들이 선택하도록 부여받은 표에서만-

선택해야만 한다 사용자가 운영체제 명령어를 사용하는 것이 허락되어서는 안된다. .

정보 시스템 제어 테스트 금지정보 시스템 제어 테스트 금지정보 시스템 제어 테스트 금지정보 시스템 제어 테스트 금지82.82.82.82.

- 218 -

작업자들은 특별하게 정보보호부서 관리자의 허가 없이 내부 제어를 손상시키려 시도하거나

테스트해서는 안된다.

시스템 보안 취약성 탐험 금지시스템 보안 취약성 탐험 금지시스템 보안 취약성 탐험 금지시스템 보안 취약성 탐험 금지83.83.83.83.

사용자들은 정보보호부서에서 시스템이나 정보에 위험하거나 그들이 다른 사용자들로부터,

자원을 가져가거나 이것을 제외한 다른 자원을 획득하기 위해서 적당한 허가를 받지 않은,

다른 시스템 접속하기 위해서 취약성이나 결함을 탐험해서는 안된다 모든 이런 취약성과.

결함은 즉시 정보보호 관리자에게 보고되어야 한다.

강력한 보안도구의 분배 시 수령인 선발강력한 보안도구의 분배 시 수령인 선발강력한 보안도구의 분배 시 수령인 선발강력한 보안도구의 분배 시 수령인 선발84.84.84.84.

취약성이 노출된 소프트웨어나 다른 정보시스템의 보안을 위태롭게 할 수 있는 도구를 분해

하기 전에 회사의 관리자는 이 도구를 필요로 하는 수령인을 확인하고 조사해야 한다.

강력한 정보 시스템 도구에 대한 기능상의 제한강력한 정보 시스템 도구에 대한 기능상의 제한강력한 정보 시스템 도구에 대한 기능상의 제한강력한 정보 시스템 도구에 대한 기능상의 제한85.85.85.85.

회사에 의해 만들어지거나 분배된 심각한 손상을 야기할 수 있는 모든 강력한 정보시스템

도구는 그들이 의도한 목적을 위해서만 사용될 수 있도록 자동적으로 제한되어야 한다.

제품 사업정보의 수정을 위한 권한제품 사업정보의 수정을 위한 권한제품 사업정보의 수정을 위한 권한제품 사업정보의 수정을 위한 권한86.86.86.86.

회사의 제품 사업정보의 수정을 허락하는 시스템 권한은 제품 응용분야에 제한되어야 한다.

제품 사업정보의 수정에 대한 통제 과정제품 사업정보의 수정에 대한 통제 과정제품 사업정보의 수정에 대한 통제 과정제품 사업정보의 수정에 대한 통제 과정87.87.87.87.

권한은 시스템 사용자가 자유롭게 제품 데이터를 수정할 수 없도록 만들어져야만 한다 사.

용자들은 단지 제품 정보의 원본을 유지한 채 이것을 변경할 수 있다 다시 말해 사용자는. ,

관리자가 허락한 통제과정을 이용할 때 오직 제품 정보를 변경하기 위해서만 허가를 받아야

한다.

제품 담당자가 아닌 타인에 의한 사업 제품 정보 갱신제품 담당자가 아닌 타인에 의한 사업 제품 정보 갱신제품 담당자가 아닌 타인에 의한 사업 제품 정보 갱신제품 담당자가 아닌 타인에 의한 사업 제품 정보 갱신88.88.88.88.

시스템 권한은 제품 관리자가 아닌 타인에게 내부감사 정보보호 관리자 프로그래머 컴퓨( , , ,

터 운영자 기타 등, )

- 219 -

기술담당자 권한과 제품 시스템 변경 통제기술담당자 권한과 제품 시스템 변경 통제기술담당자 권한과 제품 시스템 변경 통제기술담당자 권한과 제품 시스템 변경 통제89.89.89.89.

자신의 직무를 수행하는데 필요한 것 외에 컴퓨터 운영자를 제외한 운영자들은 제품 데이

터 제품 프로그램 또는 다른 운영 시스템에 접속하지 못하도록 해야한다, , .

주기적 검토 사용자 접속의 재허가주기적 검토 사용자 접속의 재허가주기적 검토 사용자 접속의 재허가주기적 검토 사용자 접속의 재허가90.90.90.90.

모든 사용자에게 부여된 시스템 권한은 관리자에 의해 개월마다 재평가를 받아야만 한다6 .

사용자 의 배급을 위해 필요한 서약서사용자 의 배급을 위해 필요한 서약서사용자 의 배급을 위해 필요한 서약서사용자 의 배급을 위해 필요한 서약서91. ID91. ID91. ID91. ID

사용자는 회사 시스템에 접속이 허가된 사용자 를 받기 전에 기밀성 동의와 정보시스템ID

보안동의에 서명해야 한다.

약정된 이름으로 다중 플랫폼 시스템 파라미터 설정약정된 이름으로 다중 플랫폼 시스템 파라미터 설정약정된 이름으로 다중 플랫폼 시스템 파라미터 설정약정된 이름으로 다중 플랫폼 시스템 파라미터 설정92.92.92.92.

다른 형식의 컴퓨터 시스템 사이의 일관성 있는 접속 제어를 이루기 위하여 표준 사용자

코드 제품 프로그램명 제품 파일명 시스템명과 그밖에 약정된 명으로 운용되어야만 한ID , , ,

다.

모든 네트워크 컴퓨터의 행정상 보안 관리모든 네트워크 컴퓨터의 행정상 보안 관리모든 네트워크 컴퓨터의 행정상 보안 관리모든 네트워크 컴퓨터의 행정상 보안 관리93.93.93.93.

회사의 네트워크에 접속된 모든 호스트에 대한 구성과 초기값 설정으로 회사내 보안관리 정

책과 표준을 따라야 한다.

시스템 보안상태를 측정하기 위한 도구시스템 보안상태를 측정하기 위한 도구시스템 보안상태를 측정하기 위한 도구시스템 보안상태를 측정하기 위한 도구94.94.94.94.

모든 다중 사용자 시스템은 정보보호 관리자가 컴퓨터의 보안 상태를 확인하는데 필요한 충

분한 자동화된 도구를 가지고 있어야 한다 이와 같은 도구는 보안 문제를 수집할 수 있는.

메커니즘을 포함하고 있어야만 한다.

시스템 보안 관리를 위한 사용자 직무의 변경 통보시스템 보안 관리를 위한 사용자 직무의 변경 통보시스템 보안 관리를 위한 사용자 직무의 변경 통보시스템 보안 관리를 위한 사용자 직무의 변경 통보95.95.95.95.

경영자는 사용자 를 취급하는 컴퓨터 시스템 정보보호 관리자에게 단말사용자의 직무와ID

고용상태 등의 모든 중요한 변동사항을 즉시 통보해야 한다.

- 220 -

마스터 사용자와 와 사용자 권한의 유지관리마스터 사용자와 와 사용자 권한의 유지관리마스터 사용자와 와 사용자 권한의 유지관리마스터 사용자와 와 사용자 권한의 유지관리96. ID DB96. ID DB96. ID DB96. ID DB

컴퓨터 시스템에 반영된 모든 개인 사용자 에 관한 기록과 권한은 간단한 통지로서 취소ID

될 수 있어야 하며 최신 정보를 유지해야만 한다.

퇴사 후 정보관리자의 직무전환퇴사 후 정보관리자의 직무전환퇴사 후 정보관리자의 직무전환퇴사 후 정보관리자의 직무전환97.97.97.97.

작업자가 회사를 퇴사할 때 컴퓨터 저장 파일과 종이 파일 모두는 즉시 직속상관에 의해 검

토되어야 하며 누가 그 파일을 관리할 것인지 결정해야 한다 컴퓨터 사용자의 관리자는 이, .

전 컴퓨터 사용자가 소유한 정보에 대한 책임 대리자와 컴퓨터 사용자의 직무를 즉시 통보

해야 한다.

작업자 퇴사에 다른 파일의 삭제에 대한 계획작업자 퇴사에 다른 파일의 삭제에 대한 계획작업자 퇴사에 다른 파일의 삭제에 대한 계획작업자 퇴사에 다른 파일의 삭제에 대한 계획98.98.98.98.

작업자가 회사를 떠난 후 주 이내에 복직 명령을 받지 않는 한 그 작업자의 계정에 있는4

모든 파일은 제거되어야 한다.

민감한 정보를 다루는 응용프로그램에서 요구되는 로그들민감한 정보를 다루는 응용프로그램에서 요구되는 로그들민감한 정보를 다루는 응용프로그램에서 요구되는 로그들민감한 정보를 다루는 응용프로그램에서 요구되는 로그들99.99.99.99.

민감한 회사 정보를 다루는 모든 제품 응용시스템은 이런 민감한 정보에 대해 모든 추가,

변경 삭제를 나타내는 기록을 생성해야 한다, .

시스템 기록에 보안 관련 사건의 포함시스템 기록에 보안 관련 사건의 포함시스템 기록에 보안 관련 사건의 포함시스템 기록에 보안 관련 사건의 포함100.100.100.100.

민감하고 가치 있는 중요한 정보를 다루는 컴퓨터 시스템은 모든 중요한 컴퓨터 보안 관련

사건을 안전하게 기록해야 한다 컴퓨터 보안 관련 사건의 예로 패스워드 추측 시도 권한이. ,

없는 특권사용 시도 제품응용 소프트웨어 변경 시스템 소프트웨어 변경 등이 있다, , .

컴퓨터 시스템 기록은 감사를 지원해야 한다컴퓨터 시스템 기록은 감사를 지원해야 한다컴퓨터 시스템 기록은 감사를 지원해야 한다컴퓨터 시스템 기록은 감사를 지원해야 한다101. .101. .101. .101. .

컴퓨터 보안 관련 사건의 기록은 보안평가에 따라 보안 평가의 포괄적인 감사를 지원하기

위해서 중요한 데이터를 공급할 수 있어야 한다.

권한과 관련한 모든 시스템 명령에 대한 책임과 추적권한과 관련한 모든 시스템 명령에 대한 책임과 추적권한과 관련한 모든 시스템 명령에 대한 책임과 추적권한과 관련한 모든 시스템 명령에 대한 책임과 추적102.102.102.102.

컴퓨터 시스템 운영자에 의한 모든 명령어는 포괄적인 로그를 통하여 개별적으로 추적할 수

있어야 한다.

- 221 -

기록의 보관 기간기록의 보관 기간기록의 보관 기간기록의 보관 기간103.103.103.103.

컴퓨터 보안관련 사건을 가지는 유지해야 한다 이 기간 동안 이런 기록들은 그들이 변경될.

수 없고 비권한자는 단지 읽을 수만 있도록 안전해야 한다 이 기록들은 오류수정 보안위, . ,

반 발견과 관련된 노력에 중요하다, .

사용자에 의한 보안 관련 행동 기록사용자에 의한 보안 관련 행동 기록사용자에 의한 보안 관련 행동 기록사용자에 의한 보안 관련 행동 기록104.104.104.104.

사용자가 회사 컴퓨터 시스템 대한 자신의 행동에 책임을 지는 것을 보장하기 위하여 특정

사용자에 대한 하나 또는 그 이상의 보안 관련 행동기록은 적절한 시간 동안 안전하게 유지

해야 한다.

접속제어 권한기록의 유지접속제어 권한기록의 유지접속제어 권한기록의 유지접속제어 권한기록의 유지105.105.105.105.

컴퓨터에 저장된 회사 다중 사용자 시스템과 네트워크의 각 사용자의 접속권한에 대한 기록

은 적절한 기간 동안 안전하게 유지해야 한다.

제품 정보변경의 재수축제품 정보변경의 재수축제품 정보변경의 재수축제품 정보변경의 재수축106.106.106.106.

부적당한 행위를 중단시키기 위해서 사용자 계정을 관리하기 위하여 편리한 시스템을 관리, ,

하기 위하여 제품정보에 영향을 미치는 모든 사용자 행동은 로그로부터 재구축될 수 있어,

야 한다.

컴퓨터 범죄나 남용이 예상되는 정보 취득컴퓨터 범죄나 남용이 예상되는 정보 취득컴퓨터 범죄나 남용이 예상되는 정보 취득컴퓨터 범죄나 남용이 예상되는 정보 취득107.107.107.107.

조사 수행 징계 행동을 위한 증거를 공급하기 위한 확실한 정보는 컴퓨터 범죄나 남용이,

일어날 것이라고 예상될 때마다 즉시 확보되어야 한다 또한 관련된 정보는 회사에 더 이상.

필요 없다고 법률고문이 확인할 때까지 안전하게 오프라인으로 저장되어야 한다 수집된 정.

보는 현재의 시스템 상태와 관련 파일의 백업 복사본을 포함한다.

생산시스템의 신속한 재개를 위한 필요한 기록생산시스템의 신속한 재개를 위한 필요한 기록생산시스템의 신속한 재개를 위한 필요한 기록생산시스템의 신속한 재개를 위한 필요한 기록108.108.108.108.

기록들은 회사 업무에 중요하기 때문에 생산관련 응용프로그램은 다른 것보다 더 광범위한

기록을 요구한다 모든 중요한 응용프로그램이 분 안에 다시 재개될 수 있도록 시스템 행. 15

동에 관한 기록이 지원되어야 한다.

- 222 -

로깅을 위한 시스템 구조로깅을 위한 시스템 구조로깅을 위한 시스템 구조로깅을 위한 시스템 구조109.109.109.109.

응용프로그램과 데이터베이스관리시스템 소프트웨어는 예상되는 사건을 반영하는 정보를 발

령하고 그것을 알리기 위한 행동과 관련된 통계와 사용자 행위에 관한 기록을 유지해야 한

다.

네트워크 상에서 정확한 사건의 기록을 위한 시간 동조네트워크 상에서 정확한 사건의 기록을 위한 시간 동조네트워크 상에서 정확한 사건의 기록을 위한 시간 동조네트워크 상에서 정확한 사건의 기록을 위한 시간 동조110.110.110.110.

회사의 내부 네트워크에 접속된 모든 다중 사용자 컴퓨터는 항상 정확하게 내부시간과 같은

현재 시간을 가져야 한다.

모든 대내 대외 팩스의 기록모든 대내 대외 팩스의 기록모든 대내 대외 팩스의 기록모든 대내 대외 팩스의 기록111. ,111. ,111. ,111. ,

모든 대내 대외 팩스송신은 기록되어야 하고 년간 유지해야 한다 자동적으로 팩스의 기, , 1 .

록을 생성하지 않는 팩스기계는 손으로 기록하여야 한다.

로그의 해제 수정 삭제에 대한 방어로그의 해제 수정 삭제에 대한 방어로그의 해제 수정 삭제에 대한 방어로그의 해제 수정 삭제에 대한 방어112. , ,112. , ,112. , ,112. , ,

중요한 컴퓨터 보안 사건을 기록하고 발견하는 매커니즘들은 공격에 방어할 수 있어야 한

다 이런 공격들은 로깅 소프트웨어나 로깅 자체를 해체 변경 또는 삭제하려고 시도하는. , ,

것을 포함한다.

기록 열람을 허가 받은 사람기록 열람을 허가 받은 사람기록 열람을 허가 받은 사람기록 열람을 허가 받은 사람113.113.113.113.

모든 시스템과 응용프로그램 기록은 권한 없는 사람이 볼 수 없는 형식으로 유지되어야 한

다 내부감사 요원 시스템 보안 시스템 관리부의 요원이 아니거나 통상직무를 수행하기 위. , , ,

해 접속이 필요한 사람 외에는 권한이 없다 비권한 사용자는 이런 접속 전에 정보기술 관.

리자로부터 서면 허가를 받아야 한다.

규칙적이고 신속한 시스템 로그 관찰규칙적이고 신속한 시스템 로그 관찰규칙적이고 신속한 시스템 로그 관찰규칙적이고 신속한 시스템 로그 관찰114.114.114.114.

적절한 대응을 위해서 컴퓨터 운영자나 정보보호 관리자는 다중 사용자에 관한 보안관련 사

건을 반영하는 기록을 주기적으로 시기 적절한 방법으로 관찰해야한다.

보안 위반기록에 관하여 사용자에게 통지보안 위반기록에 관하여 사용자에게 통지보안 위반기록에 관하여 사용자에게 통지보안 위반기록에 관하여 사용자에게 통지115.115.115.115.

사용자는 보안위반을 하는 특정행위에 대하여 알고 있어야 한다 사용자는 이런 위반이 기.

록될 것이라는 것을 알아야 한다.

- 223 -

사용자는 컴퓨터 바이러스를 제거하려고 시도해선 안된다사용자는 컴퓨터 바이러스를 제거하려고 시도해선 안된다사용자는 컴퓨터 바이러스를 제거하려고 시도해선 안된다사용자는 컴퓨터 바이러스를 제거하려고 시도해선 안된다116. .116. .116. .116. .

컴퓨터 바이러슨 허가 받지 않고 저장장치에 바이러스 데이터를 스스로 복제하고 살포하고

또는 네트워크에 접속하는 프로그램이다 바이러스 감염 조짐은 느려지는 컴퓨터 반응 시간. ,

설명할 수 없는 파일 손상 파일의 날짜 변경 파일 크기증가 등 모든 컴퓨터의 오류를 포함, ,

한다 바이러스는 매우 복잡하기 때문에 사용자는 그들의 시스템에서 바이러스를 퇴치하려.

고 시도해서는 안되다 만약 사용자가 컴퓨터에 바이러스 감염되었다고 생각되면 컴퓨터 사. ,

용을 즉시 멈추고 정보보호 부서에 알려야 한다.

제 자 시스템으로부터 소프트웨어 다운로딩 금지제 자 시스템으로부터 소프트웨어 다운로딩 금지제 자 시스템으로부터 소프트웨어 다운로딩 금지제 자 시스템으로부터 소프트웨어 다운로딩 금지117. 3117. 3117. 3117. 3

작업자는 전자 게시판 외부 전자우편 시스템 외부 통신네트워크 기타 회사 외부 시스템으, , ,

로부터 소프트웨어를 다운로드 하지 말아야 한다.

회사 시스템을 사용하기 전에 바이러스 체크회사 시스템을 사용하기 전에 바이러스 체크회사 시스템을 사용하기 전에 바이러스 체크회사 시스템을 사용하기 전에 바이러스 체크118.118.118.118.

컴퓨터 바이러스 감염을 막기 위해서 작업자는 알려지고 믿을 만한 공급자를 제외한 사람이

나 조직이 제공하는 프로그램을 사용해서는 안된다 소프트웨어가 사전에 정보보호 부서나.

정보보호 관리자로부터 테스트되고 증명되었을 때는 예외이다.

바이러스 체크는 생산과 관계없는 단일 시스템에서 시행바이러스 체크는 생산과 관계없는 단일 시스템에서 시행바이러스 체크는 생산과 관계없는 단일 시스템에서 시행바이러스 체크는 생산과 관계없는 단일 시스템에서 시행119.119.119.119.

소프트웨어가 파일을 외부로부터 받았을 때마다 이것이 회사의 정보시스템에 사용되기 전에

제품생산과 관계없는 인증된 소프트웨어로 독립된 시스템에서 검사를 받아야 한다.

모든 외부 공급 플로피 디스크는 바이러스 체크가 요구모든 외부 공급 플로피 디스크는 바이러스 체크가 요구모든 외부 공급 플로피 디스크는 바이러스 체크가 요구모든 외부 공급 플로피 디스크는 바이러스 체크가 요구120.120.120.120.

외부 공급 플로피 디스크는 바이러스가 없다고 사전 확인을 받거나 바이러스 체크를 받을,

때까지 회사의 개인 컴퓨터나 에 사용되어서는 안된다LAN .

인터넷으로부터 다운 받은 소프트웨어 체크를 위해 필요한 과정인터넷으로부터 다운 받은 소프트웨어 체크를 위해 필요한 과정인터넷으로부터 다운 받은 소프트웨어 체크를 위해 필요한 과정인터넷으로부터 다운 받은 소프트웨어 체크를 위해 필요한 과정121.121.121.121.

인터넷으로부터 다운 받은 소프트웨어는 트로이 목마와 웜과 같은 바이러스를 가지고 있을

수 있다.

- 224 -

이런 압축 소프트웨어를 풀기 전에 사용자는 모든 파일서버를 로그 아웃하고 모든 네트워크

접속을 종료해야 한다 그 소프트웨어가 실행되기 전에 이것은 증명된 바이러스 체크 프로.

그램으로 검사를 해야 한다 만약 바이러스가 발견되면 정보보호 부서에 즉시 알리고 바이. ,

러스가 제거될 때까지 이 워크스테이션으로 다른 일을 해서는 안된다 만약 그 소프트웨어.

가 바이러스를 가지고 있으면 그 손상은 해당 워크스테이션에 제한될 것이다.

개인 컴퓨터에 필요한 시스템 무결성 체크 프로그램개인 컴퓨터에 필요한 시스템 무결성 체크 프로그램개인 컴퓨터에 필요한 시스템 무결성 체크 프로그램개인 컴퓨터에 필요한 시스템 무결성 체크 프로그램122.122.122.122.

컴퓨터 바이러스의 확산을 막고 즉시 발견하기 위해 모든 회사 개인 컴퓨터와 서보는LAN

무결성 체크 소프트웨어를 실행해야 한다 이 소프트웨어는 구성파일 시스템 소프트웨어 파. ,

일 응용소프트웨어 파일과 다른 시스템 자원에서 변경을 탐지한다 무결성 체크 소프트웨어, .

는 지속적으로 실행되거나 매일 실행되어야 한다.

와 서버에는 증명된 바이러스 체크 프로그램이 요구된다와 서버에는 증명된 바이러스 체크 프로그램이 요구된다와 서버에는 증명된 바이러스 체크 프로그램이 요구된다와 서버에는 증명된 바이러스 체크 프로그램이 요구된다123. PC LAN .123. PC LAN .123. PC LAN .123. PC LAN .

정보보호 부서의 인증을 받은 바이러스 체크 프로그램은 모든 서버와 네트워크에 연결LAN

된 개인 컴퓨터에서 지속적으로 실행할 수 있어야 한다.

파일은 바이러스 체크 전에 압축이 풀려야 한다파일은 바이러스 체크 전에 압축이 풀려야 한다파일은 바이러스 체크 전에 압축이 풀려야 한다파일은 바이러스 체크 전에 압축이 풀려야 한다124. .124. .124. .124. .

모든 외부공급 컴퓨터가 읽을 수 있는 파일 소프트웨어 프로그램 데이터베이스 워드문서( , , ,

기타 은 증명된 바이러스 체크 과정을 수행하기 전에 압축이 풀려야 한다 많은 바이러스) .

체크 프로그램은 압축된 파일에서 바이러스를 발견할 수 없기 때문이다.

워크스테이션과 에서 프로그램에 대한 쓰기 금지워크스테이션과 에서 프로그램에 대한 쓰기 금지워크스테이션과 에서 프로그램에 대한 쓰기 금지워크스테이션과 에서 프로그램에 대한 쓰기 금지125. PC125. PC125. PC125. PC

와 워크스테이션에서 동작하는 모든 소프트웨어는 쓰기 금지가 되어 있어야 한다 그것PC .

은 컴퓨터 바이러스가 그 소프트웨어를 수정하려고 시도하면 오류를 발생시킬 것이다 그러.

나 실행되기 위해서 수정이 필요한 소프트웨어인 경우는 이 정책의 예외이다.

소프트웨어의 초기 백업 복사소프트웨어의 초기 백업 복사소프트웨어의 초기 백업 복사소프트웨어의 초기 백업 복사126. PC126. PC126. PC126. PC

모든 의 소프트웨어는 처음 사용되기 전에 사본이 복사되어야 한다PC .

- 225 -

그리고 이 복사본은 안전하게 그리고 보호된 곳에 저장해야 된다 마스터 복사본은 통상 업.

무에 사용되어서는 안되며 컴퓨터 바이러스 감염 하드디스크 파괴 그리고 다른 컴퓨터 문, ,

제를 복구하는데 사용되어져야 한다.

제 자에게 분배되기 전에 소프트웨어 테스트제 자에게 분배되기 전에 소프트웨어 테스트제 자에게 분배되기 전에 소프트웨어 테스트제 자에게 분배되기 전에 소프트웨어 테스트127. 3127. 3127. 3127. 3

어떠한 소프트웨어를 제 자에게 분배하기 전에 회사 작업자들은 컴퓨터 바이러스의 존재를3

확인하는 테스트를 포함하는 많은 테스트를 해야 한다.

과도한 시스템 자원을 소비하는 프로그램 사용 금지과도한 시스템 자원을 소비하는 프로그램 사용 금지과도한 시스템 자원을 소비하는 프로그램 사용 금지과도한 시스템 자원을 소비하는 프로그램 사용 금지128.128.128.128.

컴퓨터 사용자는 회사 일을 수행하기 위해 필요한 것보다 많은 컴퓨터 자원을 과도하게 사

용하는 어떠한 컴퓨터 프로그램이나 장치를 실행하거나 사용해서는 안된다.

사용자는 컴퓨터 바이러스와 관계된 모든 시도를 금지사용자는 컴퓨터 바이러스와 관계된 모든 시도를 금지사용자는 컴퓨터 바이러스와 관계된 모든 시도를 금지사용자는 컴퓨터 바이러스와 관계된 모든 시도를 금지129.129.129.129.

사용자는 자체 복제 손상 또는 컴퓨터의 기억장치 파일 시스템 또는 소프트웨어 등의 성능, ,

을 방해하는 컴퓨터 코드를 들여오려고 시도하거나 의도적으로 쓰거나 만들거나 컴파일, , , ,

복사 전파 실행하려고 하면 안된다, .

개발 또는 도입하기 전에 보안 요구사항 확인개발 또는 도입하기 전에 보안 요구사항 확인개발 또는 도입하기 전에 보안 요구사항 확인개발 또는 도입하기 전에 보안 요구사항 확인130.130.130.130.

새로운 시스템이 개발되거나 도입되기 전에 사용자 부서의 관리자는 보안에 과한 요구사항

을 확실히 해야 한다 보안과 다른 목적 편한 사용 동작의 간소화 업그레이드 받아들일 수. ( , ,

있는 가격 기타 등등 사이에 적당한 조화를 이루기위해서 변경된 것은 개발자나 공급자가, )

사전에 검토해야만 한다.

시스템 개발의 승인효력시스템 개발의 승인효력시스템 개발의 승인효력시스템 개발의 승인효력131.131.131.131.

관리자는 회사 정책 표준 절차 그리고 다른 시스템 개발 협약에 동의한 회사직원에 의해서

수행된 소프트웨어 개발과 관리유지 행위는 보장되어야 한다.

소프트웨어 바이러스 점검소프트웨어 바이러스 점검소프트웨어 바이러스 점검소프트웨어 바이러스 점검132.132.132.132.

정보보호 관리자에 의해 사전에 서면 허가 받을 때까지 모든 소프트웨어 테스팅은 안전한

제품으로 이루어져야 한다 바이러스의 위험으로부터 벗어난 정보는 더 이상 다른 조치를.

취할 필요가 없는 가치 있고 중요한 정보이다.

- 226 -

사내 개발 소프트웨어의 오류 공고사내 개발 소프트웨어의 오류 공고사내 개발 소프트웨어의 오류 공고사내 개발 소프트웨어의 오류 공고133.133.133.133.

사내용으로 개발된 소프트웨어는 예상되는 결과를 가지지 못할 때 항상 오류메시지나 다른

오류 표시를 제공해야 하며 사용자에게 알릴 수 있어야 한다.

사내에서 개발된 소프트웨어의 사용자 입력에 대한 반응사내에서 개발된 소프트웨어의 사용자 입력에 대한 반응사내에서 개발된 소프트웨어의 사용자 입력에 대한 반응사내에서 개발된 소프트웨어의 사용자 입력에 대한 반응134.134.134.134.

사내에서 개발된 소프트웨어가 사용자로부터 입력을 받을 때 입력에 대한 피드백이 있어야

한다 만약 사용자의 입력이 어떤 트랜잭션이나 사건을 요구한다면 사용자에게는 항상 트랜. ,

잭션이나 사건이 수행되어지고 있다는 반응을 보여야 한다.

사내 개발 소프트웨어에 요구되는 형식 사양사내 개발 소프트웨어에 요구되는 형식 사양사내 개발 소프트웨어에 요구되는 형식 사양사내 개발 소프트웨어에 요구되는 형식 사양135.135.135.135.

민감하고 가치 있고 중요한 정보를 저장하기 위하여 계획되어 사내에서 개발된 소프트웨어

는 정보 소유자와 시스템 개발자 사이에 사양서를 가져야 한다 사전 동의한 사양서는 프로.

그램이 시작되기 전에 완벽해야 하고 또한 보증 되어야한다.

제품 소프트웨어에서 모든 불법 접촉 경로의 삭제제품 소프트웨어에서 모든 불법 접촉 경로의 삭제제품 소프트웨어에서 모든 불법 접촉 경로의 삭제제품 소프트웨어에서 모든 불법 접촉 경로의 삭제136.136.136.136.

사내에서 개발된 소프트웨어가 제품화되기 전에 프로그래머와 다른 기술 관계자는 모든 특

별 접촉 경로를 제거해야 하고 접근은 정식 보안 채널을 통해야만 한다 이것은 보안을 위, .

태롭게 할 수도 있는 창문 등을 제거해야 함을 의미한다 마찬가지로 통상적 생산 행위에.

필요한 모든 시스템 권한외에는 제거되어야만 한다.

완벽한 개발도구와 기술의 사용완벽한 개발도구와 기술의 사용완벽한 개발도구와 기술의 사용완벽한 개발도구와 기술의 사용137.137.137.137.

특별한 관리자의 인증없이 모든 사내 소프트웨어 개발 프로젝트는 완벽한 개발도구와 기술

을 사용해야 한다.

고급 프로그램 언어 사용고급 프로그램 언어 사용고급 프로그램 언어 사용고급 프로그램 언어 사용138.138.138.138.

고급 프로그램 언어의 사용은 소프트웨어 유지의 어려움 응용프로그램을 개발하기 위해 필,

요한 시간 버그의 수 개발되어야 하는 코드의 크기를 줄인다 따라서 정보 시스템 관리자, , .

가 허가를 얻지 않는 한 모든 억원 이상의 사내 시스템 개발 계획은 고급 프로그램 언어, 1

로 프로그램 되어야 한다.

- 227 -

사내에서 개발된 소프트웨어의 재사용사내에서 개발된 소프트웨어의 재사용사내에서 개발된 소프트웨어의 재사용사내에서 개발된 소프트웨어의 재사용139.139.139.139.

예산 억원 이상의 모든 사내 개발 프로젝트는 공유될 수 있는 소프트웨어가 될 수 있도록1

신뢰할 수 있는 모듈화 소프트웨어 개발과 같은 차적 목적을 가져야 한다2 .

제품 파일은 이름이 있어야 한다제품 파일은 이름이 있어야 한다제품 파일은 이름이 있어야 한다제품 파일은 이름이 있어야 한다140. .140. .140. .140. .

테스트나 연습목적으로 사용되는 파일이름과 제품 목적으로 사용되는 파일이름은 확실하게

구별되어 사용되어야 한다.

생산 목적 트랜잭션이 아닌 표식생산 목적 트랜잭션이 아닌 표식생산 목적 트랜잭션이 아닌 표식생산 목적 트랜잭션이 아닌 표식141.141.141.141.

감사용 테스트용 연습용 다른 비제품화 목적으로 사용되는 트랜잭션은 표시되어야 하고, , , ,

제품용으로 사용되는 처리와 구별되어야 한다.

모든 제품 시스템을 위해서는 문서화가 요구된다모든 제품 시스템을 위해서는 문서화가 요구된다모든 제품 시스템을 위해서는 문서화가 요구된다모든 제품 시스템을 위해서는 문서화가 요구된다142. .142. .142. .142. .

회사 사업 활동에 사용되는 소프트웨어와 하드웨어를 개발하거나 구현하는 모든 사용자는

개발에 앞서 시스템을 문서화해야 한다 그 문서는 생소한 사람이 시스템을 동작시키기 위.

해서 쓰여져야 한다 이런 문서는 스프레드위트 프로그램과 같은 표준 소프트웨어가 사용될.

때도 준비되어야 한다.

사내에서 개발된 시스템에 허용될 수 기능사내에서 개발된 시스템에 허용될 수 기능사내에서 개발된 시스템에 허용될 수 기능사내에서 개발된 시스템에 허용될 수 기능143.143.143.143.

비상상태를 제외하고 인가된 시스템 설계문서로 기술된 기능들은 사내에서 개발되어온 임의

의 생산 컴퓨터나 통신시스템에 포함될 수 있다.

직원이 위태로울 때 즉각적인 시스템 중단이 가능해야 한다직원이 위태로울 때 즉각적인 시스템 중단이 가능해야 한다직원이 위태로울 때 즉각적인 시스템 중단이 가능해야 한다직원이 위태로울 때 즉각적인 시스템 중단이 가능해야 한다144. .144. .144. .144. .

로봇과 기타 다른 컴퓨터 기계의 현재 행동이 직원을 위태롭게 하거나 보안에 해롭다면 현,

재 행동을 즉시 정지시킬 수 있도록 프로그램 되어야 한다.;

자기진단 하드웨어와 소프트웨어의 사용 제한자기진단 하드웨어와 소프트웨어의 사용 제한자기진단 하드웨어와 소프트웨어의 사용 제한자기진단 하드웨어와 소프트웨어의 사용 제한145.145.145.145.

통신회선 감시와 같은 자기 진단 하드웨어와 소프트웨어는 개발 목적과 연습용으로 허가 받

은 개인에 의해서만 사용되어야 한다.

- 228 -

이런 하드웨어와 소프트웨어에 대한 접근은 엄격하게 통제되어야 한다.

생산 시스템 저장 매체에 저장된 시스템 유틸리티생산 시스템 저장 매체에 저장된 시스템 유틸리티생산 시스템 저장 매체에 저장된 시스템 유틸리티생산 시스템 저장 매체에 저장된 시스템 유틸리티146.146.146.146.

생산 컴퓨터 시스템에서 사용되는 디스크와 다른 온라인 저장 설비에 컴파일러 어셈블러, ,

텍스트 에디터 워드 프로세서 혹은 시스템 보안을 해치기 위해 사용될 수 있는 다른 일반,

적인 유틸리티를 포함해서는 안된다.

시스템 소프트웨어 유틸리티 사용의 제한과 감시시스템 소프트웨어 유틸리티 사용의 제한과 감시시스템 소프트웨어 유틸리티 사용의 제한과 감시시스템 소프트웨어 유틸리티 사용의 제한과 감시147.147.147.147.

시스템 소프트웨어 유틸리티에 대한 접근은 믿을 수 있고 권한을 가진 소수에게만 제한되어

야 한다 이 유틸리티가 실행되어질 때마다 그 행동결과는 안전하게 기록되어야 하고 즉시. ,

컴퓨터 운영 관리자는 이를 감시해야 한다.

시스템 테스트를 위한 생산 정보에 대한 접근시스템 테스트를 위한 생산 정보에 대한 접근시스템 테스트를 위한 생산 정보에 대한 접근시스템 테스트를 위한 생산 정보에 대한 접근148.148.148.148.

생산정보에 대한 접근이 요구되어지는 곳에서 신규 혹은 수정된 업무 응용시스템이 테스트

되어야 하는 예에서 읽기 와 복사 를 위한 접근은 테스팅을 하는 사람에게 허용되어야 한“ ” “ ”

다.

생산과 개발 환경의 분리생산과 개발 환경의 분리생산과 개발 환경의 분리생산과 개발 환경의 분리149.149.149.149.

새로운 업무 응용 소프트웨어 개발은 생산 응용 소프트웨어와 엄격하게 분리되어야 한다.

만약 존재하는 설비가 허용된다면 이 분리는 물리적으로 컴퓨터 시스템을 분리하여야 한다.

컴퓨터 시설이 이것을 허용하지 않을 때 디렉토리 라이브러리를 분리하여 엄격한 접근제어, ,

가 필요하다.

생산응용정보에 대한 개발 요원의 접근생산응용정보에 대한 개발 요원의 접근생산응용정보에 대한 개발 요원의 접근생산응용정보에 대한 개발 요원의 접근150.150.150.150.

업무 응용소프트웨어 개발 관계자는 그들이 현재 하고 있는 응용소프트웨어와 관련된 생산

정보 이외의 다른 생산정보에 접근이 허용되어서는 안된다.

시스템 개발자는 일반적인 테스트를 할 필요가 없다시스템 개발자는 일반적인 테스트를 할 필요가 없다시스템 개발자는 일반적인 테스트를 할 필요가 없다시스템 개발자는 일반적인 테스트를 할 필요가 없다151. .151. .151. .151. .

업무 응용 소프트웨어의 개발에 관련된 작업자는 일반적 테스트와 그 소프트웨어의 일상 운

영을 할 필요가 없다.

인간 안전 문제를 포함하는 프로젝트에 필요한 특별한 서명인간 안전 문제를 포함하는 프로젝트에 필요한 특별한 서명인간 안전 문제를 포함하는 프로젝트에 필요한 특별한 서명인간 안전 문제를 포함하는 프로젝트에 필요한 특별한 서명152.152.152.152.

- 229 -

인간 안전 문제를 포함하는 모든 개발 소프트웨어 프로젝트는 생산 사업목적으로 사용되기

전에 테스팅 허가서에 컴퓨터 개발 프로젝트 관리자의 사인을 받아야 한다 이 서류에는 관.

리자가 그의 전문가적 지식과 능력을 다해서 모든 필요한 통제가 소프트웨어에 포함됐다는

것과 이런 통제를 적절하게 테스트되었다는 것을 입증한다는 것을 나타내야 한다.

모든 생산 시스템에 필요한 공식적 변경 통제 절차모든 생산 시스템에 필요한 공식적 변경 통제 절차모든 생산 시스템에 필요한 공식적 변경 통제 절차모든 생산 시스템에 필요한 공식적 변경 통제 절차153.153.153.153.

회상서 생산과정에 쓰이는 모든 컴퓨터와 통신시스템은 허락된 변경만 된다는 것을 확실하

게 하기 위해 사용되는 공식적 변경 통제 절차를 가져야 한다.

생산 시스템 변경에 대한 문서 준비 시기생산 시스템 변경에 대한 문서 준비 시기생산 시스템 변경에 대한 문서 준비 시기생산 시스템 변경에 대한 문서 준비 시기154.154.154.154.

회사에서 컴퓨터와 통신 시스템을 생산하기 위한 모든 중요한 변경을 반영하는 문서는 변경

이 생긴지 일주일 안으로 준비되어야 한다 이 문서는 변경목적 관리자 승인과 변경이 수행. ,

되는 방법을 반영해야 한다.

생산 시스템에 필요한 훈련과 운용 문서생산 시스템에 필요한 훈련과 운용 문서생산 시스템에 필요한 훈련과 운용 문서생산 시스템에 필요한 훈련과 운용 문서155.155.155.155.

개발 또는 중요한 변경 중에서 있는 업무 응용 시스템은 알맞은 훈련자료와 운영 문서 없이

생산 처리 환경으로 이동되어서는 안된다.

네트워크로 연결된 컴퓨터에 외부 프로그램 적재네트워크로 연결된 컴퓨터에 외부 프로그램 적재네트워크로 연결된 컴퓨터에 외부 프로그램 적재네트워크로 연결된 컴퓨터에 외부 프로그램 적재156.156.156.156.

사용자는 자신의 워크스테이션 네트워크 서버 혹은 네트워크로 연결된 컴퓨터에 회사PC, , ,

외부에서 개발된 어떤 프로그램도 적재해서는 안 되며 필요하다면 사전에 정보시스템 부서,

의 허가를 받아야 한다.

외부로부터 공급된 프로그램은 사용되기 전에 테스트되어야 한다외부로부터 공급된 프로그램은 사용되기 전에 테스트되어야 한다외부로부터 공급된 프로그램은 사용되기 전에 테스트되어야 한다외부로부터 공급된 프로그램은 사용되기 전에 테스트되어야 한다157. .157. .157. .157. .

외부로부터 공급된 실행프로그램은 회사 생산 시스템에 인스톨되기 전에 눈으로 확인해야

한다 그 때 실행 가능한 프로그램 결과는 회사 생산 시스템에 인스톨되기 전에 테스트되어.

야 한다 이런 테스팅과 시험은 회사 표준으로 이루어져야 하고 적절하게 문서화되어야 한. ,

다.

사용자 응용프로그램의 자동확인사용자 응용프로그램의 자동확인사용자 응용프로그램의 자동확인사용자 응용프로그램의 자동확인158.158.158.158.

모든 작은 시스템은 라이센스 관리시스템에 등록된 인증된 정품 소프트웨어를 사용해야 한

다.

- 230 -

제 자 공급 소프트웨어의 불법 복제를 검출하는 동시에 이 라이센스 관리 시스템에 단말사3

용자에 의해 새로 개발되거나 수정된 응용 프로그램은 등록되어야 한다.

생산하기 위해 개발 소프트웨어의 이동 제어생산하기 위해 개발 소프트웨어의 이동 제어생산하기 위해 개발 소프트웨어의 이동 제어생산하기 위해 개발 소프트웨어의 이동 제어159.159.159.159.

업무 응용개발 요원은 생산 환경으로 어떠한 소프트웨어도 이동시킬 수 없어야한다.

생산 시스템으로 이동하기 전에 필요한 검토와 재컴파일생산 시스템으로 이동하기 전에 필요한 검토와 재컴파일생산 시스템으로 이동하기 전에 필요한 검토와 재컴파일생산 시스템으로 이동하기 전에 필요한 검토와 재컴파일160.160.160.160.

실행 가능한 모듈은 테스트 라이브러리에서 생산 라이브러리로 직접적으로 이동해서는 안된

다 완전히 테스트된 모듈은 생산 라이브러리로 이동하기 전에 재검사되고 재컴파일 되어야. ,

한다 재검사와 재컴파일 행위는 테스트 과정에 속하지 않은 기술관계자에 의해 수행되어야.

한다 이 과정은 트로이 목마나 다른 비권한 코드와 같은 에러를 발견하고 고치는데 도움이.

될 것이다.

응용 프로그램에 필요한 공식적인 변경 통제과정응용 프로그램에 필요한 공식적인 변경 통제과정응용 프로그램에 필요한 공식적인 변경 통제과정응용 프로그램에 필요한 공식적인 변경 통제과정161.161.161.161.

공식적으로 작성된 변경 통제과정은 정보시스템 부서 관리자와 사용자 조직 관리자로부터

인증을 받은 후에 모든 개발 응용 소프트웨어가 생산부서로 이동하는 것을 안전하게 하는데

사용되어야 한다.

생산 시스템 제어를 위해 필요한 별도 승인생산 시스템 제어를 위해 필요한 별도 승인생산 시스템 제어를 위해 필요한 별도 승인생산 시스템 제어를 위해 필요한 별도 승인162.162.162.162.

생산과정에 사용되기 전에 신규 또는 변경된 응용 시스템은 정보보호 부서의 관리자로부터

서면승인을 받아야 한다.

다중 사용자 응용프로그램에 필요한 승인다중 사용자 응용프로그램에 필요한 승인다중 사용자 응용프로그램에 필요한 승인다중 사용자 응용프로그램에 필요한 승인163.163.163.163.

특정 경영자 사용자 그리고 감사에 대한 서명 절차는 다중 사용자 시스템 프로그램이, EDP

사용되기 전에 이루어져야 한다.

단말 사용자 생산 시스템 개발을 위한 승인단말 사용자 생산 시스템 개발을 위한 승인단말 사용자 생산 시스템 개발을 위한 승인단말 사용자 생산 시스템 개발을 위한 승인164.164.164.164.

민감하고 중요하고 가치 잇는 정보를 다루는 모든 소프트웨어와 단말 사용자에 의해서 개발

되어 온 소프트웨어는 생산과정에 사용되기 전에 정보보호 부서의 승인통제가 있어야 한다.

- 231 -

생산 운영시스템을 변경하기 위한 특별한 승인생산 운영시스템을 변경하기 위한 특별한 승인생산 운영시스템을 변경하기 위한 특별한 승인생산 운영시스템을 변경하기 위한 특별한 승인165.165.165.165.

생산 운영시스템의 확장 대치는 정보보호 부서 관리자의 승인이 있을 때에만 이루어진다, .

소프트웨어에 유지이용을 하락시키기 위하여 그리고 부주의한 보안유출을 막기 위해서 이런

변경은 최소화되어야 한다.

생산 운영시스템 변경의 주기적 관찰생산 운영시스템 변경의 주기적 관찰생산 운영시스템 변경의 주기적 관찰생산 운영시스템 변경의 주기적 관찰166.166.166.166.

생산 운영시스템의 주기적 관찰은 승인된 변경여부를 확인할 수 있도록 이루어져야 한다.

접근 제어를 함정에 빠뜨리기에 위한 접근로 금지접근 제어를 함정에 빠뜨리기에 위한 접근로 금지접근 제어를 함정에 빠뜨리기에 위한 접근로 금지접근 제어를 함정에 빠뜨리기에 위한 접근로 금지167.167.167.167.

프로그래머와 다른 기술적인 관계자는 운영시스템과 접근 제어목록에서 발견된 승인된 접근

제어 원리를 파괴하는 접근로를 만들지 못하도록 해야 한다.

보안문제를 고치는 소프트웨어 스크립트 등의 신속한 구현보안문제를 고치는 소프트웨어 스크립트 등의 신속한 구현보안문제를 고치는 소프트웨어 스크립트 등의 신속한 구현보안문제를 고치는 소프트웨어 스크립트 등의 신속한 구현168.168.168.168.

운영시스템 판매자 컴퓨터 침해대응팀 요원 그리고 그 밖의 믿을 만한 제 자가 공, (CERT) 3

급하는 보안문제 해결 소프트웨어는 즉시 탑재되어야 한다.

생산 소프트웨어 패키지 변경을 위해 필요한 특별한 승인생산 소프트웨어 패키지 변경을 위해 필요한 특별한 승인생산 소프트웨어 패키지 변경을 위해 필요한 특별한 승인생산 소프트웨어 패키지 변경을 위해 필요한 특별한 승인169.169.169.169.

판매자가 공급하는 응용소프트웨어 변경은 정보시스템 부서 관리자의 허가를 받은 후에 이

루어져야 한다 만약 생산에 배치하기 전에 변경을 승인 받는다면 변경된 소프트웨어는 문. ,

서화되고 테스트되고 사내용으로 개발된 응용 소프트웨어를 위해 변경 통제 과정이 적용되,

어야 한다.

오브젝트 코드보다 소스 코드로 소프트웨어 관리유지오브젝트 코드보다 소스 코드로 소프트웨어 관리유지오브젝트 코드보다 소스 코드로 소프트웨어 관리유지오브젝트 코드보다 소스 코드로 소프트웨어 관리유지170.170.170.170.

생산 소프트웨어로 영구히 변경된 소프트웨어는 오브젝트 코드나 다른 실행코드보다 소스코

드로 유지 관리되어야 한다.

생산 소프트웨어 이전 버전으로 신속한 복구 절차생산 소프트웨어 이전 버전으로 신속한 복구 절차생산 소프트웨어 이전 버전으로 신속한 복구 절차생산 소프트웨어 이전 버전으로 신속한 복구 절차171.171.171.171.

적절한 복구절차가 생산 시스템 소프트웨어와 생산 응용 소프트웨어를 복구할 수 있도록 개

발되어야 한다 복구 절차는 사업활동이 지속될 수 있도록 이 소프트웨어의 이전 버전으로.

빠르고 편리하게 돌아가기 위한 데이터 처리를 해준다.

- 232 -

생산 소프트웨어의 비상 계획생산 소프트웨어의 비상 계획생산 소프트웨어의 비상 계획생산 소프트웨어의 비상 계획172.172.172.172.

신규 중요 변경 생산 소프트웨어가 회사에 일정 이상의 손해를 입힐 수 있는 잠재적인 문제

가 있을 때 특별한 절차가 요구된다 이 경우 관리자는 잠재적으로 영향을 받는 사용자에게.

계속적으로 서비스하기 위한 방법으로 비상계획을 준비해야 한다.

정보보호 영향 효과 분석이 요구될 때정보보호 영향 효과 분석이 요구될 때정보보호 영향 효과 분석이 요구될 때정보보호 영향 효과 분석이 요구될 때173.173.173.173.

민감한 정보가 네트워크에 연결된 컴퓨터에 탑재되어 있을 때 잠재적 보안 관련 위험 분석

이 먼저 행해져야 한다 만약 민감한 정보가 새로운 방법 혹은 부가적 방법으로 사용된다면.

이러한 분석은 꼭 행해져야 한다 이러한 분석을 통하여 산업스파이 파업 부정수단 서비스. , , ,

방해와 같은 보안 위험을 알리는 것 외에 제품의 질 소비자 신용 일반적 위험과 같은 사업, ,

상 고려되어야 하는 것을 찾아야 한다.

새롭거나 변경된 응용 프로그램에 대한 보안 영향 분석새롭거나 변경된 응용 프로그램에 대한 보안 영향 분석새롭거나 변경된 응용 프로그램에 대한 보안 영향 분석새롭거나 변경된 응용 프로그램에 대한 보안 영향 분석174.174.174.174.

생산에 사용되기 전에 새롭거나 중요하게 변경된 응용 시스템은 표준 절차에 의해 준비된

간단한 보안 영향분석을 포함해야 한다.

판매자가 공급하는 무결성 문서판매자가 공급하는 무결성 문서판매자가 공급하는 무결성 문서판매자가 공급하는 무결성 문서175.175.175.175.

만약 제 자로부터 프로그램을 공급받을 생각이라면 관리자는 공급하는 판매자로부터 무결3 ,

성 문서를 받아야 한다 이 문서는 그 소프트웨어가 가지지 않는 특성 소프트웨어의 보안을. ,

위태롭게 하는데 사용할 수 있는 숨겨진 구조를 가지고 잇지 않다는 것을 보장 해야 하며,

이것이 동작할 대 운영체제에서 발견될 수 있는 제어의 변경과 혼란을 야기하지 않을 것이

라는 것을 증명해야 한다.

중요한 사업활동에 사용되는 소프트웨어를 위한 조건증서중요한 사업활동에 사용되는 소프트웨어를 위한 조건증서중요한 사업활동에 사용되는 소프트웨어를 위한 조건증서중요한 사업활동에 사용되는 소프트웨어를 위한 조건증서176.176.176.176.

만약 제 자가 만든 소프트웨어가 고려되고 있다면 그리고 이 소프트웨어가 중요한 사업활3 ,

동에 사용될 것이라면 다음의 두 조건 중 하나가 사전에 충족되어야 한다, .

첫 번째 조건은 제 자가 회사에 소스 코드를 제공해야 한다는 것이다3 .

- 233 -

두 번째 조건은 제 자는 주기적으로 소스 코드를 보관할 또 다른 제 자에게 주기적으로3 3

소스 코드를 공급해야 한다는 것이다.

이 정책은 제 자가 파산하거나 생산을 중단하거나 문제를 해결하는데 소홀할지라도 회사3 ,

관계자가 그 소프트웨어를 계속 유지할 수 있도록 해준다.

제 자에게 배포되는 회사의 소프트웨어 형식제 자에게 배포되는 회사의 소프트웨어 형식제 자에게 배포되는 회사의 소프트웨어 형식제 자에게 배포되는 회사의 소프트웨어 형식177. 3177. 3177. 3177. 3

불법 복제와 회사의 지적재산권 사용을 막기 위해서는 관련자 고객 사업파트너 그리고 다, , ,

른 사람들이 회사가 개발한 모든 소프트웨어를 사용하도록 배포할 때는 단지 오브젝트 코드

형태이어야 한다.

회사 소프트웨어 사용에 대한 제 자 동의회사 소프트웨어 사용에 대한 제 자 동의회사 소프트웨어 사용에 대한 제 자 동의회사 소프트웨어 사용에 대한 제 자 동의178. 3178. 3178. 3178. 3

불법 사용을 막기 위해서 관련자 고객 사업 파트너 그리고 그 밖의 다른 사용자들에게 회, , ,

사가 개발한 모든 소프트웨어를 수령자가 회사에 동의한 것을 제외하고 다른 방법으로 그

프로그램을 사용하고 변경시키고 분해하지 않을 것이라는 문서에 동의하고 서명을 받은 후, ,

에 배포해야 한다.

제 자에게 시스템 문서 배포제 자에게 시스템 문서 배포제 자에게 시스템 문서 배포제 자에게 시스템 문서 배포179. 3179. 3179. 3179. 3

제 자에게 배포하기 전에 모든 회사 시스템과 시스템 절차를 설명한 문서는 정보보호 부서3

관리자에 의해 기밀정보가 소홀하게 공개되지 않는다는 것을 보장하는 검사를 받아야 한다.

회사 이름 등으로의 접근회사 이름 등으로의 접근회사 이름 등으로의 접근회사 이름 등으로의 접근180.180.180.180.

외부의 위협과 다른 비권한 조작을 줄이기 위해 회사 이름 공란 체크 기타 다른 형태로의, ,

접근은 그런 형식을 필요로 하는 사람에게만 가능하도록 해야한다.

컴퓨터실에서 흡연과 식사와 음주컴퓨터실에서 흡연과 식사와 음주컴퓨터실에서 흡연과 식사와 음주컴퓨터실에서 흡연과 식사와 음주181.181.181.181.

작업자와 방문자는 컴퓨터실이 있는 곳에서 흡연과 식사 음주를 해서는 안된다 그렇게 하, .

는 것은 데이터 저장장치를 오염시키는 것과 같은 장비에 대한 전기적 손상 위험을 야기시

킬 수 있다.

중요한 회사의 자산으로서의 정보중요한 회사의 자산으로서의 정보중요한 회사의 자산으로서의 정보중요한 회사의 자산으로서의 정보182.182.182.182.

- 234 -

정보는 중요한 회사의 자산이다 정확하고 시기 적절하게 보호된 정보는 회사의 절대적인.

요소이다 회사의 정보에 접근해서 사용하고 처리하는데 적절히 이용도는 것을 보장하기 위.

해서는 정책과 표준에 관계된 회사 정보시스템과 일치되어야 한다.

특허권 저작권 그리고 다른 지적 소유권의 양도특허권 저작권 그리고 다른 지적 소유권의 양도특허권 저작권 그리고 다른 지적 소유권의 양도특허권 저작권 그리고 다른 지적 소유권의 양도183. , ,183. , ,183. , ,183. , ,

회사의 고용되어 있을 동안에 모든 실무진들이 고안하거나 개발한 특허권 저작권 발명권, ,

또는 기타 지적 소유권에 대한 독점권은 회사에 귀속된다.

컴퓨터 프로그램과 문서에 관한 소유권컴퓨터 프로그램과 문서에 관한 소유권컴퓨터 프로그램과 문서에 관한 소유권컴퓨터 프로그램과 문서에 관한 소유권184.184.184.184.

특별히 서면으로 예외가 아니라면 회사의 이익을 위하여 고용자나 고문이나 계약인 들에,

의해 만들어지고 제공된 모든 프로그램과 문서는 회사의 소유이다 경영자는 그와 같은 프.

로그램과 문서를 제공하는 모든 근로자가 이들 권한의 제공에 앞서 이와 같은 취지의 문서

에 서명했는가를 확인해야 한다.

회사에 소속되어 있는 컴퓨터 관련 재산의 회수회사에 소속되어 있는 컴퓨터 관련 재산의 회수회사에 소속되어 있는 컴퓨터 관련 재산의 회수회사에 소속되어 있는 컴퓨터 관련 재산의 회수185.185.185.185.

고용인 임시고용인 계약인 그리고 고문들은 그들이 우선 회사에 속해 있는 모든 하드웨어, , ,

소프트웨어 작업자료 기밀정보 그리고 다른 재산을 반납해야만 그들의 마지막 봉급을 받, , ,

을 것이다.

정보에 대한 출처 제공정보에 대한 출처 제공정보에 대한 출처 제공정보에 대한 출처 제공186.186.186.186.

회사의 근로자는 회사 목적을 위해 사용된 정보의 출처를 항상 제공하여야만 한다.

지적재산에 저작권 명시지적재산에 저작권 명시지적재산에 저작권 명시지적재산에 저작권 명시187.187.187.187.

회사 전자게시판의 중개지역에 정보를 제공하는 모든 사람 근로자 고용인 등 은 그와 같은( , )

정보를 편집 복사 재출판 배포에 대한 권리가 회사에 주어진다 회사의 게시판에 정보를, , , .

제공하는 개인뿐만 아니라 다른 사람들이 그와 같은 정보에 대한 저작권 또는 추가적 권리,

를 가지고 있다면 그들은 그 정보가 제공되어지는 때에 이 사실을 제시해야 한다 이 같은, .

공지가 없을 때는 그들이 정보에 대한 권리가 없다는 것을 의미한다.

- 235 -

컴퓨터 프로그램과 문서에 저작권 표시컴퓨터 프로그램과 문서에 저작권 표시컴퓨터 프로그램과 문서에 저작권 표시컴퓨터 프로그램과 문서에 저작권 표시188.188.188.188.

회사가 소유한 모든 컴퓨터 프로그램과 프로그램 문서는 적당한 저작권 표시를 포함해야만

한다.

근로자는 오직 합리적이고 관례적이라면 다량의 복사를 해도 된다근로자는 오직 합리적이고 관례적이라면 다량의 복사를 해도 된다근로자는 오직 합리적이고 관례적이라면 다량의 복사를 해도 된다근로자는 오직 합리적이고 관례적이라면 다량의 복사를 해도 된다189. .189. .189. .189. .

저작권 소유자로부터 우선적으로 허락을 받지 않았다면 잡지 저널지 사보 그리고 다른 출, , , ,

판물로부터 자료를 다량 복사하는 것은 이것이 합리적이고 관례적이지 않고서는 금지된다.

공정한 사용이라는 개념은 국제적인 저작권법에 준한다.

소프트웨어 인증동의서의 주기적 검토소프트웨어 인증동의서의 주기적 검토소프트웨어 인증동의서의 주기적 검토소프트웨어 인증동의서의 주기적 검토190.190.190.190.

제 자로부터 인증된 모든 컴퓨터 프로그램에 대한 동의서는 회사를 위하여 주기적으로 검3

토되어져야 한다.

소프트웨어 인증서의 취득과 확인 체제소프트웨어 인증서의 취득과 확인 체제소프트웨어 인증서의 취득과 확인 체제소프트웨어 인증서의 취득과 확인 체제191.191.191.191.

복잡한 시스템이 도입될 때마다 도입된 소프트웨어에 대한 사용 인증 증명서류를 받아야,

한다.

매각인들과 정보시스템 제품들의 기록매각인들과 정보시스템 제품들의 기록매각인들과 정보시스템 제품들의 기록매각인들과 정보시스템 제품들의 기록192.192.192.192.

하드웨어와 소프트웨어 대한 지원과 제품의 업그레이드가 즉시 가능하다는 것을 확실히 하

기 이해서 모든 하드웨어와 소프트웨어의 생산품들은 매각들과 적절히 계약되어야 한다 이.

계약은 회사의 실무진들이 새롭게 한 단계 높은 정보시스템 제품을 받았을 때 발생한다.

사업활동에 필요한 허가된 소프트웨어 복제에 대한 규정사업활동에 필요한 허가된 소프트웨어 복제에 대한 규정사업활동에 필요한 허가된 소프트웨어 복제에 대한 규정사업활동에 필요한 허가된 소프트웨어 복제에 대한 규정193.193.193.193.

회사는 근로자들이 합당하고 능률적인 방법으로 그들의 일을 할 수 있게 소프트웨어의 허가

된 복사본의 충분한 수를 제공한다 경영자는 사업상 필요하기만 하다면 언제든지 가 복제. C

를 포함된 적당한 타협을 매각자와 해야만 한다.

소프트웨어 추가 복제가 허가소프트웨어 추가 복제가 허가소프트웨어 추가 복제가 허가소프트웨어 추가 복제가 허가194.194.194.194.

회사의 소유로 되어 있는 제 자의 소프트웨어는 그와 같은 복제가 적절한 허가동의서와 일3

치한다던가 경영자가 그 복제를 사전에 인가했다던가 비상계획 목적으로의 복제를 제외하, ,

고 복제되어서는 안된다.

- 236 -

소프트웨어의 복제 전송 배포 금지소프트웨어의 복제 전송 배포 금지소프트웨어의 복제 전송 배포 금지소프트웨어의 복제 전송 배포 금지195. , ,195. , ,195. , ,195. , ,

사용자는 플로피 디스켓이나 마그네틱 테이프 같은 어떤 저장매체에 회사가 제공한 소프트

웨어를 저장하거나 다른 컴퓨터에 그 소프트웨어를 전송하거나 정보기술 부서의 책임자로, ,

부터 서면 허가 없이 외부에 소프트웨어를 배포하는 행위를 하지 말아야 한다.

허가되지 않은 소프트웨어와 자료 복사를 만드는 것에 대한 책임허가되지 않은 소프트웨어와 자료 복사를 만드는 것에 대한 책임허가되지 않은 소프트웨어와 자료 복사를 만드는 것에 대한 책임허가되지 않은 소프트웨어와 자료 복사를 만드는 것에 대한 책임196.196.196.196.

회사는 허가동의서와 저작권을 가지고 있는 소프트웨어 공급자에게 충실하게 지원해야 한

다 인터넷 사용자나 다른 시스템 사용자가 소프트웨어의 허가없는 복사를 만들어 낸다면. ,

그 사용자는 그들을 대신해서 그렇게 하는 것이다 왜냐하면 이 같은 모든 복사는 엄격하게. ,

회사에 의해서 금지되어진다 한편 회사는 오직 공정한 사용 또는 저작이나 소유자의 허락. , ,

이 있다고 생각되어지는 법적 범위 안에서 저작권으로 보호되어진 자료의 재생산을 허용해

야 한다.

시스템 안전장치를 위협을 주는 도구 사용금지시스템 안전장치를 위협을 주는 도구 사용금지시스템 안전장치를 위협을 주는 도구 사용금지시스템 안전장치를 위협을 주는 도구 사용금지197.197.197.197.

정보보호 부서에 의해 특별히 승인되지 않았다면 회사의 근로자는 정보시스템 보완을 중재,

하고 평가하는데 이용되는 하드웨어 또는 소프트웨어의 도구를 취득하고 소유하고 매매하, ,

고 사용하지 말아야 한다 예를 들면 이러한 도구에는 소프트웨어 복사방지를 파괴 비밀, . , ,

패스워드 폭로 안정상의 취약점 확인 암호파일의 해독들이 있다, , .

제 자의 기밀적이고 사적인 정보의 처리제 자의 기밀적이고 사적인 정보의 처리제 자의 기밀적이고 사적인 정보의 처리제 자의 기밀적이고 사적인 정보의 처리198. 3198. 3198. 3198. 3

특별한 계약이 없다면 제 자에 의해 회사에 위임된 모든 기밀적이고 사적인 정보는 회사, 3

의 비밀 정보로서 취급되어져야 한다.

사업적인 목적이 아닌 회사정보의 사용사업적인 목적이 아닌 회사정보의 사용사업적인 목적이 아닌 회사정보의 사용사업적인 목적이 아닌 회사정보의 사용199.199.199.199.

회사의 정보 제품 설명서 데이터베이스 우편기록 내장된 소프트웨어 컴퓨터 문서 등 는( , , , , )

경영자에 의하여 특별히 허가된 사업적인 목적으로 오직 사용되어야 한다 어떤 다른 이유.

에서 이런 정보자원을 사용하는 것은 정보 소유자의 서면허가서에 의하여 허용될 것이다.

- 237 -

제 자에게 회사 정보의 전달제 자에게 회사 정보의 전달제 자에게 회사 정보의 전달제 자에게 회사 정보의 전달200. 3200. 3200. 3200. 3

회사의 소프트웨어 문서 그리고 모든 다른 형태의 내부 정보들은 경영자에 의해 분명히 허,

가된 사업 목적외의 어떤 다른 목적을 위해 회사가 아닌 다른 업체로 팔리거나 넘어가서는

안된다.

외부와의 소프트웨어나 데이터의 교환은 동의서를 요구한다외부와의 소프트웨어나 데이터의 교환은 동의서를 요구한다외부와의 소프트웨어나 데이터의 교환은 동의서를 요구한다외부와의 소프트웨어나 데이터의 교환은 동의서를 요구한다201. .201. .201. .201. .

서면동의서에 먼저 서명이 되지 않았다면 회사와 외부와 소프트웨어나 자료의 교환은 처리,

되지 말아야 한다 그와 같은 동의서에는 교환항목뿐만 아니라 소프트웨어나 데이터가 처리.

되어지고 보호되어지는 방법에 대해서 명확히 해야만 한다 이 정책은 시장 자료 구인광고. ( ,

등 공개적으로 명시되어야 할 정보는 제외한다) .

경쟁정보로서의 소프트웨어와 시스템의 명시경쟁정보로서의 소프트웨어와 시스템의 명시경쟁정보로서의 소프트웨어와 시스템의 명시경쟁정보로서의 소프트웨어와 시스템의 명시202.202.202.202.

정보보호 부서는 은밀히 개발된 경쟁적 이익으로 회사에 제공하는 소프트웨어와 시스템 목,

록을 매년 준비해야 한다.

같은 비행기로 비행하는 중요한 지식과 고용인들의 손실같은 비행기로 비행하는 중요한 지식과 고용인들의 손실같은 비행기로 비행하는 중요한 지식과 고용인들의 손실같은 비행기로 비행하는 중요한 지식과 고용인들의 손실203.203.203.203.

회사의 지식과 기술에 관한 자원을 보호하기 위해서 고용인들은 같은 비행기를 타서는 안된

다 그것이 같은 부서로부터 세 명이 이상의 사무원 다섯 명 이상의 고용인 두 명이 고급. , ,

기술자가 같은 비행을 할 경우 같은 비행기를 타지 말아야 한다, .

회사시스템 저정된 자료를 검색할 수 있는 경영자 측의 권리회사시스템 저정된 자료를 검색할 수 있는 경영자 측의 권리회사시스템 저정된 자료를 검색할 수 있는 경영자 측의 권리회사시스템 저정된 자료를 검색할 수 있는 경영자 측의 권리204.204.204.204.

회사의 컴퓨터와 통신시스템으로 보내진 모든 메시지는 회사의 자산이다 이 자산을 적절히.

보존하고 관리하기 위해서 경영자 측은 이 시스템에 의해 저장되거나 전송되어진 모든 자료

를 검색할 수 있는 권리를 보유한다 회사의 컴퓨터와 통신시스템은 오직 사업상의 목적으.

로 사용되어 져야만 하기 때문에 근로자는 이 시스템을 통해서 저장되거나 보내지는 정보,

와 관련된 사생활의 보호를 받지 못한다.

근로자들에 대한 전자감시가 사용되어질 수 있는 지역근로자들에 대한 전자감시가 사용되어질 수 있는 지역근로자들에 대한 전자감시가 사용되어질 수 있는 지역근로자들에 대한 전자감시가 사용되어질 수 있는 지역205.205.205.205.

- 238 -

근로자는 회사 내에 있는 동안에 전자감시를 받을 수 있다 이 감시는 근로자의 작업을 측.

정할 뿐만 아니라 근로자의 개인 자산 개인 아전 회사의 자산을 보호한다 화장실 의상실, , , . , ,

그리고 타의실과 같은 합리적인 사적인 장소에는 전자감시가 이루어지지 않을 것이다.

법 집행에 따른 회사의 정보 누설법 집행에 따른 회사의 정보 누설법 집행에 따른 회사의 정보 누설법 집행에 따른 회사의 정보 누설206.206.206.206.

회사의 시스템을 사용함으로써 사용자는 회사의 시스템에 저장된 모든 정보가 회사의 경영,

자측 재량으로 법집행에 따라 누설되어질 수 있는 것에 동의한다.

예비고용인에 대해서 수집이 허용된 정보예비고용인에 대해서 수집이 허용된 정보예비고용인에 대해서 수집이 허용된 정보예비고용인에 대해서 수집이 허용된 정보207.207.207.207.

예비고용인에 관한 개인적인 정보는 그것이 고용결정에 필요하거나 작업에 관한 문제에 관

련되지 않는 한 수집해서는 안된다 개인정보 항목에는 결혼상태 가족관계 여가활동 정치. , , ,

지향 이전직업에 관한 성적 이전고용자 약력 교육 다른 개인적인 세부 사항들에 기재된, , , , ,

다.

업무의 적합성에 필요한 개인정보업무의 적합성에 필요한 개인정보업무의 적합성에 필요한 개인정보업무의 적합성에 필요한 개인정보208.208.208.208.

회사는 업무의 적합성 판단에 필요한 정보만 오직 수집 처리 저장 그리고 보급해야 한다, , .

표현의 자유권리를 침해하는 정보수집표현의 자유권리를 침해하는 정보수집표현의 자유권리를 침해하는 정보수집표현의 자유권리를 침해하는 정보수집209.209.209.209.

회사는 근로자가 표현하는 권리에 관한 정보를 수집하지 말아야 하다.

사적인 정보를 수집할 필요성은 우선 정당성이 있어야 한다사적인 정보를 수집할 필요성은 우선 정당성이 있어야 한다사적인 정보를 수집할 필요성은 우선 정당성이 있어야 한다사적인 정보를 수집할 필요성은 우선 정당성이 있어야 한다210. .210. .210. .210. .

회사가 근로자 고객 기타 다른 사람에 관한 개인적 정보를 수집하기 전에 그와 같은 정보, ,

의 필요성은 사전에 에 의해 문서화되고 승인되어야 한다CIO .

고객의 개인자료 수집 금지고객의 개인자료 수집 금지고객의 개인자료 수집 금지고객의 개인자료 수집 금지211.211.211.211.

회사 컴퓨터와 통신시스템은 먼저 고객의 동의 없이 고객이나 잠재적 고객의 사적 자료를

절대로 수집해서는 안된다.

수집 가능하지만 배포 금지된 개인 정보수집 가능하지만 배포 금지된 개인 정보수집 가능하지만 배포 금지된 개인 정보수집 가능하지만 배포 금지된 개인 정보212.212.212.212.

회사가 거래하는 잠재적 고객이나 다른 사람들에 대한 개인적 정보 수집은 관례적이고 예상

되는 일이다.

- 239 -

이러한 정보에 접근은 알 필요성 원칙에서 엄격하게 통제되어야 한고 그 정보는 꼭 필요한“ ”

때에 한해서 내부적 사업목적에만 이용되어야 한다 서술된 정보는 개인의 동의가 먼저 얻.

어지지 않는 한 다른 호사의 판매 교환 또는 분배를 금지한다, .

고객으로부터 수집이 허용되는 정보고객으로부터 수집이 허용되는 정보고객으로부터 수집이 허용되는 정보고객으로부터 수집이 허용되는 정보213.213.213.213.

회사는 컴퓨터 처리과장에서 거래 또는 제품 및 서비스의 제공에 필요치 않은 고객 개인정

보 제공을 절대로 요구해서는 안된다.

직업에 관한 정보와 관련성에 대한 감시직업에 관한 정보와 관련성에 대한 감시직업에 관한 정보와 관련성에 대한 감시직업에 관한 정보와 관련성에 대한 감시214.214.214.214.

우선 관련 근로자들이 어떤 정보가 실제로 그들의 직업 관련 성과를 반영하고 있다는 점에

집단적으로 동의하지 않는다면 경영자 측은 컴퓨터를 이용하여 근로자의 성과와 관련된 정

보를 자동적으로 수집해서는 안된다 이 제한은 컴퓨터 시스템을 관리하고 적절히 보호하기.

위해 수집된 보호하기 위해 수집된 정보를 이용하지 않도록 한다.

회사 시스템에 저장된 정보회사 시스템에 저장된 정보회사 시스템에 저장된 정보회사 시스템에 저장된 정보215.215.215.215.

회사 경영자층은 수시로 그리고 사전 예고 없이 문서화된 전자우편 개인파일 디렉토리 하, ,

드디스크 드라이브 파일과 회사 정보시스템에 저장된 그 밖의 정보를 검색할 권리를 가진

다 내부 방침에 따르고 있는지를 확인하고 내부 조사행위를 뒷받침하고 회사 정보시스템의.

관리에 도움을 주기 위해서 이러한 검색이 행해진다.

고용인의 근무시간외의 행위에 대한 경영자 측의 배려고용인의 근무시간외의 행위에 대한 경영자 측의 배려고용인의 근무시간외의 행위에 대한 경영자 측의 배려고용인의 근무시간외의 행위에 대한 경영자 측의 배려216.216.216.216.

경영자 측은 종업원의 근무시간외 행위가 종업원 자신이나 그 밖의 사람들이 규칙적인 할당

된 일을 수행하는데 지장을 주거나 회사의 명예에 중대한 영향을 미치지 않는 한 종업원의

생활을 내사하거나 근무시간외 행위를 조정하려고 해서는 안된다.

현존 감시 시스템의 대상자에 대한 통고현존 감시 시스템의 대상자에 대한 통고현존 감시 시스템의 대상자에 대한 통고현존 감시 시스템의 대상자에 대한 통고217.217.217.217.

컴퓨터 관련 사용자들에게 자신들의 작업이 감시 받거나 관찰될 수 있다는 통고를 우선 받

지 않는 한 컴퓨터 사용자의 관찰과 감시를 위한 도구를 사용해서는 안된다.

- 240 -

이러한 방침의 유일한 예외는 범죄 용의자의 활동을 조사하는 것과 관련된 경우뿐이다.

전화 대화의 감시와 기록전화 대화의 감시와 기록전화 대화의 감시와 기록전화 대화의 감시와 기록218.218.218.218.

공개된 녹음을 수반되지 않는 한 회사의 종업원의 전화 대화가 감시되거나 기록되어서는 안

된다.

개인 모니터링이 아닌 집단 모니터링은 가능개인 모니터링이 아닌 집단 모니터링은 가능개인 모니터링이 아닌 집단 모니터링은 가능개인 모니터링이 아닌 집단 모니터링은 가능219.219.219.219.

감시가 개인 단위라기 보다 집단에 대하여 수행되지 않는 한 종업원들의 행위를 컴퓨터로,

감시해서는 안된다.

업무성과의 전자감시에 대한 고의 시기업무성과의 전자감시에 대한 고의 시기업무성과의 전자감시에 대한 고의 시기업무성과의 전자감시에 대한 고의 시기220.220.220.220.

전자적인 업무성과 모니터링을 예비 종업원 계약자들과 자문역들에게 적용할 경우에는 그,

들의 작업이 전자적으로 감시 받을 수 있다는 점을 최초의 구직 인터뷰 시에 그들에게 고지

해야 한다.

인사기록을 담은 기록은 비밀 시스템의 존속인사기록을 담은 기록은 비밀 시스템의 존속인사기록을 담은 기록은 비밀 시스템의 존속인사기록을 담은 기록은 비밀 시스템의 존속221.221.221.221.

범죄 조사의 경우를 제외하고 기록된 대상자들 또는 종업원들이 모르는 인사기록 시스템이

있어서는 안된다.

종업원에게 자신의 인사파일에 대한 접근보장종업원에게 자신의 인사파일에 대한 접근보장종업원에게 자신의 인사파일에 대한 접근보장종업원에게 자신의 인사파일에 대한 접근보장222.222.222.222.

서면 요구가 따르면 종업원은 누구나 자신의 인사 파일을 열람할 수 있어야 한다.

종업원 인사기록의 정기 배부종업원 인사기록의 정기 배부종업원 인사기록의 정기 배부종업원 인사기록의 정기 배부223.223.223.223.

각 종업원에게 자신의 정보를 숙지할 기회를 주고 그 내용상 오류가 없음을 확인시키기 위

해서 모든 종업원에게 일년에 한 번씩 종업원 인사기록 파일의 사본을 배부해야 한다.

신용조회를 거부할 기회가 주어진 예비종업원신용조회를 거부할 기회가 주어진 예비종업원신용조회를 거부할 기회가 주어진 예비종업원신용조회를 거부할 기회가 주어진 예비종업원224.224.224.224.

모든 예비 종업원들에게 모집과 선발과정의 일환으로 서류신용조사나 배경조사가 있을 것이

라는 점을 고지해야 한다.

- 241 -

그들이 만약 회사에 그러나 개인 인사정보를 누출시키고 싶지 않다면 그들에 대한 지원을

철회할 기회가 이들 예비종업원들에게 주어져야 한다.

제 자에게 개인정보의 누출제 자에게 개인정보의 누출제 자에게 개인정보의 누출제 자에게 개인정보의 누출225. 3225. 3225. 3225. 3

법의 요청이 있거나 당사자의 분명한 승낙이 없이는 회사 종업원에 대한 개인정보를 제 자3

에게 누출해서는 안된다.

종업원들의 성명 직함 그 밖의 세부내용들의 누출종업원들의 성명 직함 그 밖의 세부내용들의 누출종업원들의 성명 직함 그 밖의 세부내용들의 누출종업원들의 성명 직함 그 밖의 세부내용들의 누출226. , ,226. , ,226. , ,226. , ,

회사는 사업상 필요가 아니면 종업원들의 성명 직함 전화번호 소재지나 그밖의 세부 내용, , ,

들을 누출해서는 안된다 단 그러한 누출이 법률에 의해서 요구되거나 관계인이 사전에 승낙. ,

한 경우에는 예외이다.

종업원 해고 사유의 누출종업원 해고 사유의 누출종업원 해고 사유의 누출종업원 해고 사유의 누출227.227.227.227.

직원의 사생활 정보를 보호하기 위해서 종업원 해고 사유가 제 자에게 누출되어서는 안된3

다 두 가지 예외가 인정되는데 회사 고급간부의 사전 승인이나 법률에 의한 요청이 있을. ,

때이다.

종업원의 지위 전환 정보의 누출종업원의 지위 전환 정보의 누출종업원의 지위 전환 정보의 누출종업원의 지위 전환 정보의 누출228.228.228.228.

종업원의 지원 전환에 관한 정보는 엄격히 비밀이며 진정으로 알 필요가 있는 사람들 이외

에는 누구에게도 누출되어서는 안된다 지위 전환 정보에는 해고 은퇴 사직 휴가 조사결. , , , ,

과가 나올 때까지의 직무정지 부처간 이동 재배치 및 상담역이나 계약자 지위로의 전환 사, ,

유 등이 포함된다.

종업원들이 비밀 자료 기록 누출에 접근 허용종업원들이 비밀 자료 기록 누출에 접근 허용종업원들이 비밀 자료 기록 누출에 접근 허용종업원들이 비밀 자료 기록 누출에 접근 허용229.229.229.229.

종업원들이 자신의 비밀 정보가 제 자에게 누출되었음을 나타내는 기록을 입수할 수 있게3

해야 한다 또한 그들에게 오류를 수정하고 정보를 추가할 수 있도록 제 자와 접촉할 수. 3

있는 충분한 정보를 제공해 주어야 한다.

종업원 개인의 고과정보에 대한 비밀 보호종업원 개인의 고과정보에 대한 비밀 보호종업원 개인의 고과정보에 대한 비밀 보호종업원 개인의 고과정보에 대한 비밀 보호230.230.230.230.

종업원 개인의 고과정보를 게시판에 게시하거나 합법적인 사업 관련 상 필요하지 않은 사람

들이 이용할 수 있게 해서는 안된다.

- 242 -

내부조사 정보의 비밀 보장내부조사 정보의 비밀 보장내부조사 정보의 비밀 보장내부조사 정보의 비밀 보장231.231.231.231.

기소가 불가피하거나 징계처분이 내려질 때까지는 소위 부정행위나 범죄 행위에 대한 조사

일체는 혐의자의 명예가 지켜지도록 엄격히 비밀이 보장되어야 한다.

종업원의 건강과 안전 정보의 의무적 고지종업원의 건강과 안전 정보의 의무적 고지종업원의 건강과 안전 정보의 의무적 고지종업원의 건강과 안전 정보의 의무적 고지232.232.232.232.

경영자는 독성 물질의 실험결과와 종업원의 건강과 안전에 관한 정보를 해당 근로자들에게

충분히 고지해야 한다.

생활 양식 정치적 종교적 정보를 의사 결정하는 자료로 이용금지생활 양식 정치적 종교적 정보를 의사 결정하는 자료로 이용금지생활 양식 정치적 종교적 정보를 의사 결정하는 자료로 이용금지생활 양식 정치적 종교적 정보를 의사 결정하는 자료로 이용금지233. , ,233. , ,233. , ,233. , ,

회사의 구직자들이 마약복용 검사 에이즈 검사 심리 검사 구직자들의 생활양식 정치적 관, , , ,

련성이나 종교적 성향을 밝힐 수 있는 기타 검사를 받도록 해서는 안된다 그러나 이러한.

정보가 어떤 지위에 대한 구직자의 적합성을 결정하는데 명백히 필요한 경우에는 예외이다.

컴퓨터와 책상에 저장된 개인파일의 보호컴퓨터와 책상에 저장된 개인파일의 보호컴퓨터와 책상에 저장된 개인파일의 보호컴퓨터와 책상에 저장된 개인파일의 보호234.234.234.234.

회사의 컴퓨터와 종업원의 책상에 있는 개인 파일은 개인우편과 개인전화에 대한 비밀과 같

은 관점에서 취급되어야 한다 이것은 경영자가 시스템 관리자를 포함한 다른 종업들이 그.

와 같은 개인자료를 읽어서는 안된다는 것을 의미한다 단 정보보호 부서에 의해 공식적인. ,

조사가 이루어지거나 종업원이 회사를 떠난 후에 파일을 처분하거나 재정리하는 노력의 일

환으로 그러한 행위가 행해질 때는 예외이다.

제 자에게 누출된 개인 정보의 기록 유지제 자에게 누출된 개인 정보의 기록 유지제 자에게 누출된 개인 정보의 기록 유지제 자에게 누출된 개인 정보의 기록 유지235. 3235. 3235. 3235. 3

제 자에게 누출된 모든 개인적 정보는 기록되어 최소한 년간 보존되어야 한다3 5 .

고객 정보의 비밀 보호고객 정보의 비밀 보호고객 정보의 비밀 보호고객 정보의 비밀 보호236.236.236.236.

특정 고객과 직접 관련될 수 있는 정보는 고객이 사전에 서명동의를 제공했거나 회사측이

정보를 누출할 것을 법적으로 요구받았을 때만 제 자에게 누출될 수 있다3 .

- 243 -

회사 시스템에 대한 고객의 익명 요청회사 시스템에 대한 고객의 익명 요청회사 시스템에 대한 고객의 익명 요청회사 시스템에 대한 고객의 익명 요청237.237.237.237.

고객 정보의 비밀 보호에 도움을 주기 위해서 회사는 고객들이 회사 시스템을 이용할 때 익

명을 사용할 수 있는 시스템을 제공한다 회사는 법에 의해서 강제되지 않는 한 이러한 시.

스템 사용을 선택하는 고객들의 신원을 밝히지는 않을 것이다.

고객 기록에 대한 통계정보의 배포금지고객 기록에 대한 통계정보의 배포금지고객 기록에 대한 통계정보의 배포금지고객 기록에 대한 통계정보의 배포금지238.238.238.238.

고객 기록에서 도출된 통계적 정보는 그 정보에 의해서 관련 고객의 신원이 밝혀지지 않도

록 회사 밖의 제 자에게 누출되어서는 안된다3 .

고객 활동을 반영하는 컴퓨터 이력 기록의 누출고객 활동을 반영하는 컴퓨터 이력 기록의 누출고객 활동을 반영하는 컴퓨터 이력 기록의 누출고객 활동을 반영하는 컴퓨터 이력 기록의 누출239.239.239.239.

컴퓨터 사용자의 활동이나 컴퓨터에 의해서 제공되는 활동을 반영하는 이력기록은 회사가

법원명령 법률 또는 규정에 의해서 강요당하거나 관련 개인들로부터 그 문서를 승인 받은,

경우가 아니라면 제 자에게 누출되어서는 안된다3 .

고객 활동에 관한 이력정보의 삭제고객 활동에 관한 이력정보의 삭제고객 활동에 관한 이력정보의 삭제고객 활동에 관한 이력정보의 삭제240.240.240.240.

컴퓨터 사용자의 활동이나 컴퓨터에 의해서 제공되는 활동을 반영하는 이력 기록을 유지하

는 개인들은 회사와의 관련성이 끝남과 동시에 사용자나 서비스를 제공받은 사람들의 신원

을 밝히는 정보를 삭제해야 한다.

전자우편 메시지의 감시전자우편 메시지의 감시전자우편 메시지의 감시전자우편 메시지의 감시241.241.241.241.

회시의 내부 전자 우편시스템으로 보내진 메시지는 제정된 전자통신에 과한 비밀보호법의

비밀보호 조항의 적용을 받지 않으므로 회사 경영자와 시스템 관리자들은 그것들을 읽을 수

있다.

제 자의 전자우편 메시지를 읽을 수 있는 회사 종업원의 권리제 자의 전자우편 메시지를 읽을 수 있는 회사 종업원의 권리제 자의 전자우편 메시지를 읽을 수 있는 회사 종업원의 권리제 자의 전자우편 메시지를 읽을 수 있는 회사 종업원의 권리242. 3242. 3242. 3242. 3

제 자 고객과 공급자들 의 이용을 허용하는 전자우편 시스템을 통해서 전해진 메시지를 송3 ( )

신자나 수신자 어느 쪽이 먼저 허락하는 경우에만 본사 종업원들이 읽어야 한다 전자우편.

메시지가 상대방에게 보내질 때마다 암암리에 그러한 허가가 이루어진 것이다 제품이나 서.

비스에 대한 일반적 요구만을 담고 있는 전자우편 메시지를 회사의 내부에 보급하는 경우에

는 그렇게 제한적일 필요는 없다.

- 244 -

비밀에 대한 회사의 권리에 대한 고용인 준수사항비밀에 대한 회사의 권리에 대한 고용인 준수사항비밀에 대한 회사의 권리에 대한 고용인 준수사항비밀에 대한 회사의 권리에 대한 고용인 준수사항243.243.243.243.

상급관리자의 허가가 없다면 근로자들은 회사에 대한 해적행위에 동의하지 않아야 하고 비

밀에 대한 회사의 권리를 유린하지 않아야 한다 예를 들면 근로자들은 경찰이 적절한 수행. ,

조치사항에 대한 보증없이는 회시의 자산을 조사하도록 허락해서는 안된다.

의심나는 체제운영을 위하여 요구되는 비공식적인 동의의심나는 체제운영을 위하여 요구되는 비공식적인 동의의심나는 체제운영을 위하여 요구되는 비공식적인 동의의심나는 체제운영을 위하여 요구되는 비공식적인 동의244.244.244.244.

어떤 특별한 컴퓨터를 이용한 활동을 수행하는데 의심이 있을 때 회사의 근로자들은 그 활,

동이 영향을 주게 되는 사람들에게 알려주어야 한다 보고는 그들이 제안하는 활동에 대한.

묘사 그 활동의 이면적 의도와 그 활동이 의사전달의 전달자들에게 끼칠지 모르는 잠재적,

인 영향 등을 포함시켜야 한다 행동을 취하기 전에 영향을 받은 사람들은 그들의 동의를. ,

명백하게 제공하거나 적어도 행동을 취하기 전에 반대할 수 있는 기회를 제공해야 한다 그, .

러한 동의 없이는 행동을 취하기 전에 부사장의 허가를 반드시 얻어야 한다, .

수집 이전에 개인 정보의 의도적 사용에 대한 고지수집 이전에 개인 정보의 의도적 사용에 대한 고지수집 이전에 개인 정보의 의도적 사용에 대한 고지수집 이전에 개인 정보의 의도적 사용에 대한 고지245.245.245.245.

어떤 고객이 주문을 할 때 그 고객에 대한 개인정보를 수집하기 전에 회사의 대표자는 반드

시 개인정보를 누설하지 않으며 개인 정보가 사용되어 질 방법에 대하여 고지해야 한다, .

고객은 우편물에 대한 수령여부를 통보할 기회를 제공 받아야 한다고객은 우편물에 대한 수령여부를 통보할 기회를 제공 받아야 한다고객은 우편물에 대한 수령여부를 통보할 기회를 제공 받아야 한다고객은 우편물에 대한 수령여부를 통보할 기회를 제공 받아야 한다246. .246. .246. .246. .

회사의 고객들은 반드시 불필요한 직접적인 우편 판매촉진을 통해 접촉되기를 원하지 않는

다는 사실을 회사에게 통보할 수 있는 기회를 제공 받을 수 있어야 한다.

개인 파일에 나타나는 정보의 복사개인 파일에 나타나는 정보의 복사개인 파일에 나타나는 정보의 복사개인 파일에 나타나는 정보의 복사247.247.247.247.

고용인들은 반드시 그들의 개인 파일에 나타나는 정보를 복사하거나 조사 검토할 수 있도,

록 허용되어야 한다.

기록작성자는 그 기록내용이 열람 가능한지의 여부를 결정한다기록작성자는 그 기록내용이 열람 가능한지의 여부를 결정한다기록작성자는 그 기록내용이 열람 가능한지의 여부를 결정한다기록작성자는 그 기록내용이 열람 가능한지의 여부를 결정한다248. .248. .248. .248. .

환자들은 의료기록부를 만드는 의료처리담당자의 사전의 허가없이는 그들 자신의 의료기록

들을 볼 수 없다.

- 245 -

고용인이 그들의 파일을 살펴볼 수 있는 조건고용인이 그들의 파일을 살펴볼 수 있는 조건고용인이 그들의 파일을 살펴볼 수 있는 조건고용인이 그들의 파일을 살펴볼 수 있는 조건249.249.249.249.

자신의 개인파일을 열람하고자 하는 모든 고용인들은 인사관리 책임자에게 서면 요구서를

먼저 제출해야 한다 파일검토는 단지 적절한 시기에 업무 시간중에 인사관리 대료가 같이. ,

있는 가운데서 수행될 수가 있다.

개인 파일에 대한 부가설명을 추가할 수 있는 고용인의 권리개인 파일에 대한 부가설명을 추가할 수 있는 고용인의 권리개인 파일에 대한 부가설명을 추가할 수 있는 고용인의 권리개인 파일에 대한 부가설명을 추가할 수 있는 고용인의 권리250.250.250.250.

고용인들이 그들 개인 파일에 나타나는 정보의 정확성 연관성 완벽성에 문제를 제기한다면, ,

고용인들은 자에 이르는 보충설명서를 추가할 수 있는 기회를 보장 받을 수가 있다200 .

모든 개인 기록의 무결성을 위한 노력이 요구된다모든 개인 기록의 무결성을 위한 노력이 요구된다모든 개인 기록의 무결성을 위한 노력이 요구된다모든 개인 기록의 무결성을 위한 노력이 요구된다251. .251. .251. .251. .

관리자측은 회사에 의하여 관리되는 모든 개인정보가 정확하고 시기 적절하며 연관성이 있

고 안전한지를 확인할 수 있는 합리적인 노력을 해야 한다.

개인 기록이 단지 의도된 대로 사용되는가를 보장하는 노력이 요구된다개인 기록이 단지 의도된 대로 사용되는가를 보장하는 노력이 요구된다개인 기록이 단지 의도된 대로 사용되는가를 보장하는 노력이 요구된다개인 기록이 단지 의도된 대로 사용되는가를 보장하는 노력이 요구된다252. .252. .252. .252. .

관리자측은 모든 개인 정보가 단지 의도된대로 사용될 것인지와 오용을 막기 위한 사전경고

가 효과적이며 적절한 것인지를 보장할 수 있도록 하기 위한 합리적인 노력을 해야 한다.

새로운 목적으로서 개인 정보의 사용새로운 목적으로서 개인 정보의 사용새로운 목적으로서 개인 정보의 사용새로운 목적으로서 개인 정보의 사용253.253.253.253.

한가지 목적을 위하여 모인 고용인이나 상담자나 계약자에 대한 개인 정보는 관련된 사람, ,

들의 동의 없이는 다른 목적을 위하여 사용되지 못한다.

고객에 관한 개인 정보의 사용과 누출고객에 관한 개인 정보의 사용과 누출고객에 관한 개인 정보의 사용과 누출고객에 관한 개인 정보의 사용과 누출254.254.254.254.

회사에 속해 있는 개인 정보를 포함하는 모든 고객의 기록은 회사의 사업과 직접적으로 관

련이 있는 목적으로만 단지 사용될 수 있다 사회보장 번호 주민등록번호 의료카드번호 등. ( , )

구입된 생산품과 용역 은행계좌활동은 단지 고객의 허가에 의해서나 또는 그 회사가 법정,

의 명령이나 소환장을 발부 받았을 때만 외부의 당사자에게 알려줄 수가 있다.

- 246 -

개인 정보에 대한 고객의 알 권리개인 정보에 대한 고객의 알 권리개인 정보에 대한 고객의 알 권리개인 정보에 대한 고객의 알 권리255.255.255.255.

고객들은 그들에 관한 개인 정보가 회사 시스템에 보관되어 있을 때 회사로부터 확인점검을

할 수 있는 권리가 있다 보관된 정보와 이 정보가 일반적으로 어디에 위치하여 사용되어지.

는지 여부가 제공되어 져야 한다 만약 이것이 이루어지지 않는다면 회사가 이러한 요구를. ,

거절하는 이유를 즉시 제공해야 한다.

고객접촉정보의 재판매 또는 누설고객접촉정보의 재판매 또는 누설고객접촉정보의 재판매 또는 누설고객접촉정보의 재판매 또는 누설256.256.256.256.

고객 또는 잠재적 고객에 관한 전화번호나 주소 같은 수집된 정보는 반드시 내부적인 회사

목적으로만 사용되어 져야 한다.

요구받지 않은 회사의 판매자료의 배포요구받지 않은 회사의 판매자료의 배포요구받지 않은 회사의 판매자료의 배포요구받지 않은 회사의 판매자료의 배포257.257.257.257.

근로자들은 필요하지 않은 광고자료를 배포할 때 팩스 전자우편 자동 다이얼 음성통화 시, ,

스템 또는 다른 전자통신시스템을 사용해서는 안된다.

주요한 시스템의 변경과 비밀 효과 검토 위원회주요한 시스템의 변경과 비밀 효과 검토 위원회주요한 시스템의 변경과 비밀 효과 검토 위원회주요한 시스템의 변경과 비밀 효과 검토 위원회258.258.258.258.

개인의 비밀에 대하여 실제적으로 영향을 주는 모든 주요한 시스템의 개발과 향상 계획안은

독립위원회에서 반드시 검토되어야 한다.

개인들의 이 계획의 결과로서 위험에 처할지 또는 불이익을 받을지를 결정해야 한다.①

필요에 따라서는 보완조치를 권유해야 하며,②

만약에 필요하면 계획의 취소를 권유해야 한다, .③

개인정보와 연구자료 사이의 연계 제공개인정보와 연구자료 사이의 연계 제공개인정보와 연구자료 사이의 연계 제공개인정보와 연구자료 사이의 연계 제공259.259.259.259.

개인적인 이름 또는 다른 개인 확인정보와 개인 자료 사이의 연계는 반드시 자료가 원래 수

집되었던 목적을 이행하기 위하여 필요한 기간 이외에 더 이상 유지되어서는 안된다 이 정.

책은 의료 기록 등에 적용될 수 있다.

개인 정보와 다른 정보의 형태 사이의 무연관개인 정보와 다른 정보의 형태 사이의 무연관개인 정보와 다른 정보의 형태 사이의 무연관개인 정보와 다른 정보의 형태 사이의 무연관260.260.260.260.

상급관리기관의 동의 없이 정보시스템은 개인 정보와 똑 같은 개인에 관련된 다른 형태의

정보 사이에 어떤 유관이 유지되지 않아야 한다.

개인자료 시스템에 참여를 원하지 않은 기회가 주어진 사람들개인자료 시스템에 참여를 원하지 않은 기회가 주어진 사람들개인자료 시스템에 참여를 원하지 않은 기회가 주어진 사람들개인자료 시스템에 참여를 원하지 않은 기회가 주어진 사람들261.261.261.261.

- 247 -

개인자료를 다루는 어떤 새로운 것이나 또는 실제적으로 수정된 정보시스템의 실행 이전에

관련된 사람들에게 새로운 시스템 참가하기를 원하는지 어떤지를 선택할 수 있는 기회가 제

공되어져야 한다 이것은 기존 가격보다 낮은 가격으로 이루어져야만 한다. .

개인자료를 다루는 시스템에 포함될 주제의 명확성개인자료를 다루는 시스템에 포함될 주제의 명확성개인자료를 다루는 시스템에 포함될 주제의 명확성개인자료를 다루는 시스템에 포함될 주제의 명확성262.262.262.262.

개인자료를 취급하는 회사시스템 서술되기 이하여 포함된 주제들을 그 시스템에 포함하기

위해서는 특별히 선발해야 한다 이것은 직접적이고 분명하게 저렴한 방식으로 행하여져야.

한다.

사람들은 그들의 개인자료가 사용되어지는 것을 막아야 한다사람들은 그들의 개인자료가 사용되어지는 것을 막아야 한다사람들은 그들의 개인자료가 사용되어지는 것을 막아야 한다사람들은 그들의 개인자료가 사용되어지는 것을 막아야 한다263. .263. .263. .263. .

회사 근로자들은 개인자료가 무조건적으로 우편목록에 포함되어지는가를 관찰해야 하며 제,

삼자에게 판매되는 것을 막아야 하고 직접적이고 판매목록에서 삭제해야 하는 것 등을 성실

하게 준수해야 한다.

개인정보를 포함하는 데이터베이스에 대한 목록의 관리개인정보를 포함하는 데이터베이스에 대한 목록의 관리개인정보를 포함하는 데이터베이스에 대한 목록의 관리개인정보를 포함하는 데이터베이스에 대한 목록의 관리264.264.264.264.

회사는 개인정보를 포함하는 회사내의 모든 데이터베이스에 대한 목록을 매년 갱신해야 한

다 이러한 목록은 데이터베이스에 기술된 근로자와 제 자에게 유용하게 되어야 한다. 3 .

불필요한 정보 제공을 거절한 이유로 혜택의 거절불필요한 정보 제공을 거절한 이유로 혜택의 거절불필요한 정보 제공을 거절한 이유로 혜택의 거절불필요한 정보 제공을 거절한 이유로 혜택의 거절265.265.265.265.

사람들이 불필요한 개인정보를 제공하기를 거절한 사람에게 회사는 어떠한 혜택 제공을 거

절해서는 안된다 필요한 개인정보에 관한 분쟁은 정보보호와 관리자가 해결해야 한다. .

모든 회사 근로자에게 요구된 비밀유지각서모든 회사 근로자에게 요구된 비밀유지각서모든 회사 근로자에게 요구된 비밀유지각서모든 회사 근로자에게 요구된 비밀유지각서266.266.266.266.

모든 고용인 상담자 계약자 임시고용인들은 그들이 회사에 참여하는 때에 비밀유지각서에, ,

서명해야 한다.

회사정보의 유포에 제한회사정보의 유포에 제한회사정보의 유포에 제한회사정보의 유포에 제한267.267.267.267.

모든 회사의 내부정보는 태만하게 제 자에게 누설되어지는 것을 막아야 한다3 .

- 248 -

알아야 할 필요가 있는 합리적인 이유가 있거나 그와 같은 자료의 누설이 회사관리자에게

명백하게 허가를 받았을 경우에만 제 자에게 회사의 내부정보에 접근이 허용되어질 수가3

있다.

중요한 정보에 대한 미심쩍은 분실이나 누설의 고지중요한 정보에 대한 미심쩍은 분실이나 누설의 고지중요한 정보에 대한 미심쩍은 분실이나 누설의 고지중요한 정보에 대한 미심쩍은 분실이나 누설의 고지268.268.268.268.

비밀이며 개인적인 정보가 분실되거나 허가 받지 않은 자에게 누설되거나 허가받지 않은 자

에게 분실되거나 누설될 혐의가 있는 경우에 정보보호 부서의 담당자나 책임자에게 즉시,

통보해야 한다.

제 자에 대한 정보시스템 통제의 누설제 자에 대한 정보시스템 통제의 누설제 자에 대한 정보시스템 통제의 누설제 자에 대한 정보시스템 통제의 누설269. 3269. 3269. 3269. 3

근로자들은 사용되고 있는 정보시스템 통제와 정보시스템 통제가 수행되는 방법을 회시 외

부의 어떤 사람들에게도 누설해서는 안된다 단지 정보보호 부서의 관리자가 허가를 미리.

얻은 경우에는 예외이다.

정보시스템 취약성에 관한 정보의 누설정보시스템 취약성에 관한 정보의 누설정보시스템 취약성에 관한 정보의 누설정보시스템 취약성에 관한 정보의 누설270.270.270.270.

최근 시스템 침투에 관한 상세한 내용과 같은 정보시스템 취약성에 관한 특별한 정보는 합

리적으로 알아야 할 이유가 없는 사람들에게 배포되어서는 안된다.

시스템 취약성의 이용과 피래 정보의 누설시스템 취약성의 이용과 피래 정보의 누설시스템 취약성의 이용과 피래 정보의 누설시스템 취약성의 이용과 피래 정보의 누설271.271.271.271.

회사의 운영진은 컴퓨터 범죄와 컴퓨터 남용에 의하여 손상된 개인이나 조직 또는 특별한

시스템에 관한 정보를 공개적으로 누설시켜서는 안된다 마찬가지로 어떤 시스템의 취약성.

을 이용하기 위하여 사용된 특별한 방법들도 공개적으로 누설해서는 안된다.

시스템 침투 소프트웨어 자원과 분석에 대한 누설시스템 침투 소프트웨어 자원과 분석에 대한 누설시스템 침투 소프트웨어 자원과 분석에 대한 누설시스템 침투 소프트웨어 자원과 분석에 대한 누설272.272.272.272.

컴퓨터 바이러스 프로그램 파괴 프로그램 시스템 파괴 프로그램 안전성을 위해 사용된 안, , ,

전한 프로그램에 대한 소스코든 그 프로그램을 합리적으로 알아야 할 필요가 있는 사람들에

게만 누설 될 수가 있다 마찬가지로 그러한 소프트웨어 기술적인 분석 또한 알아야 할 필.

요가 있는 사람에게만 알려야 한다.

안전장치는 고객과 협상대상이 아니다안전장치는 고객과 협상대상이 아니다안전장치는 고객과 협상대상이 아니다안전장치는 고객과 협상대상이 아니다273. .273. .273. .273. .

회사의 안전장치가 협상되어야 된다는 고객의 요청은 부사장이 먼저 그것을 문서로 인정을

하는 경우와 회사가 법적으로 준수를 해야 할 경우인 두 가지 조건 이외에 협상되어서는 안

된다.

- 249 -

안정되고 안전한 이미지 창출안정되고 안전한 이미지 창출안정되고 안전한 이미지 창출안정되고 안전한 이미지 창출274.274.274.274.

회사는 항상 안정되고 안전한 모습을 대중과 제 자들에게 보여야 한다 중요한 자산의 존3 .

재와 특성에 대한 정보는 합리적으로 알아야 될 사람에게만 접근할 수 있게 해야 한다.

정보접근 통제시스템과 모자이크 이론정보접근 통제시스템과 모자이크 이론정보접근 통제시스템과 모자이크 이론정보접근 통제시스템과 모자이크 이론275.275.275.275.

회사의 중요한 정보가 컴퓨터에 상주해 있고 사용자들이 온라인 서비스를 통하여 이 정보를

전부 혹은 부분적으로 요구하도록 허용된다면 특별한 접근통제가 실시되어야 한다 이러한, .

접근통제는 일련의 허용적인 정보에 대한 요청으로 정보를 전체적으로 드러내지 않도록 정

보를 보호해야 한다 마치 유리조각으로 만들어지는 모자이크처럼 정보의 분리된 조각들이.

큰 정보가 되도록 쉽사리 합쳐질 수 없어야 한다 여러 가지 예에서 비공식적인 공개에 대.

한 위험성을 감소하기 위해서 접근통제는 종합적인 틀의 정보세분화를 막아주게 될 것이다

신호의 사실적인 속성을 감추는 상태신호의 사실적인 속성을 감추는 상태신호의 사실적인 속성을 감추는 상태신호의 사실적인 속성을 감추는 상태276.276.276.276.

예민한 정보 불순한 사람들에 의해 사용될 수 있는 그리고 쉽게 대중적인 채널을 통하여,

읽혀질 수 있는 정보는 사실적인 무결성의 특성을 감추기 위해 다소 수정되어야 한다.

단일시스템에 다양한 중요성 분류를 가지는 정보단일시스템에 다양한 중요성 분류를 가지는 정보단일시스템에 다양한 중요성 분류를 가지는 정보단일시스템에 다양한 중요성 분류를 가지는 정보277.277.277.277.

컴퓨터시스템이 다양한 중요성 분류를 가지는 정보를 포함한다면 사용되는 통제는 그 시스,

템에서 가장 중요한 정보를 나타낸다.

컴퓨터 저장매체 자료분류법 선정컴퓨터 저장매체 자료분류법 선정컴퓨터 저장매체 자료분류법 선정컴퓨터 저장매체 자료분류법 선정278.278.278.278.

아주 중요한 정보로 분류된 컴퓨터 저장매체에 수록된 정보가 낮은 중요한 사산을 다른 매

체로 이동된 경우는 중요성이 낮은 것으로 분류된 매체는 그의 분류가 아주 중요한 분류를

나타내도록 상향 조정되어야 한다.

단계 자료 분류제도단계 자료 분류제도단계 자료 분류제도단계 자료 분류제도279. 4279. 4279. 4279. 4

- 250 -

자료들은 분리처리요구를 가지는 의 단계 중요성Secret, Confidential, Private, Unclassified 4

분류로 나눈다 이들 표준 자료 중요성 분류 시스템은 회사전체에서 사용이 되어야 한다 이. .

들 분류는 다음과 같이 정의된다.

이 분류는 회사 안에서 사용되도록 엄격하게 의도된 가장 중요한 사업정보에 응Secret:◆

용된다 허락되지 않은 그의 누설은 회사 회사의 주식소유자 사업정오에 응용된다 허락되. , , .

지 않은 그의 누설은 회사 회사의 주식소유자 사업동반자 및 고객에게 심각하게 불리한 영, ,

향을 줄 수 있다.

이 분류는 회사 안에서 사용되도록 의도된 다소 중요한 사업정보에 응용된Confidential:◆

다 허락하지 않은 그의 누설은 회사 회사의 주식소유자 사업동반자 및 고객에게 실질적으. ,

로 불리하게 영향을 줄 수있다.

이 분류는 회사 안에서 사용되도록 엄격하게 의도된 개인적인 정보에 응용된다Private: .◆

허락되지 않은 그의 누설은 회사와 고용인에게 실질적으로 불리하게 영향을 줄 수 있다.

이 분류는 위의 세 분류의 어느 것에 명백하게 들어가지 않는 모든 다른Unclassified:◆

정보에 응용된다 불법누설이 되어도 회사 회사의 고용인 주식소유자 사업동반자 및 고객. , , ,

에게 실질적으로 불리하게 영향을 줄 것으로 기대되지 않는다.

자료 분류범주를 위한 서술적인 접두어들자료 분류범주를 위한 서술적인 접두어들자료 분류범주를 위한 서술적인 접두어들자료 분류범주를 위한 서술적인 접두어들280.280.280.280.

의료 와 재정 등과 같은 접두어들은 공인된 자료분류 범주의 앞에 사용되어야 한다 이러“ ” “ ” .

한 접두어들은 정보의 특성과 그 정보를 다룰 수 있는 사람에 대한 일반적인 지침을 마련해

준다.

제한된 자료 분류체계의 구별요건제한된 자료 분류체계의 구별요건제한된 자료 분류체계의 구별요건제한된 자료 분류체계의 구별요건281.281.281.281.

모든 기밀 비밀 그리고 개인정보는 정보보호 부서의 기준에 따라 표기되어야 한다 이러한, .

범주의 한 두개에 해당되지 않는 정보라도 로 표기되어서는 안된다“Unclassified” .

- 251 -

이러한 표시들은 정보를 수집 저장 처리하기 위해서 어떠한 기술이 사용되든지간에 관리되,

어야 한다.

종합적인 자료분류체계의 구별요건종합적인 자료분류체계의 구별요건종합적인 자료분류체계의 구별요건종합적인 자료분류체계의 구별요건282.282.282.282.

기밀 비밀 그리고 개인정보를 담고 있는 모든 테이프 플로피디스크와 그 외 다른 컴퓨터, ,

저장매체들은 외부에 적절한 중요성 분류로 표시되어 있다.

하드카피의 중요성 표기의 쪽 위치하드카피의 중요성 표기의 쪽 위치하드카피의 중요성 표기의 쪽 위치하드카피의 중요성 표기의 쪽 위치283.283.283.283.

모든 인쇄되고 손으로 쓰거나 판독할 수 있는 비밀 기밀 그리고 개인정보의 표시는 각 페,

이지의 오른쪽 상단에 적절한 중요성 표기를 해야 한다.

제한된 하드카피 자료와 중요성 표시제한된 하드카피 자료와 중요성 표시제한된 하드카피 자료와 중요성 표시제한된 하드카피 자료와 중요성 표시284.284.284.284.

만약 제한된 상태에서는 기밀 비밀 그리고 개인 정보를 담고 있는 모든 인쇄되거나 손으로,

쓰거나 다른 유형의 표시들은 적절한 중요성을 맨 앞장 표제쪽 그리고 뒤쪽에 표기되어야,

한다.

컴퓨터 사용자들을 위한 중요한 정보에 관한 표기컴퓨터 사용자들을 위한 중요한 정보에 관한 표기컴퓨터 사용자들을 위한 중요한 정보에 관한 표기컴퓨터 사용자들을 위한 중요한 정보에 관한 표기285.285.285.285.

정보가 기밀 비밀 또는 개인정보라면 그것이 스크린에 표기되거나 컴퓨터 사용자에게 제시,

되는 모든 예들은 정보의 중요도에 따른 표시를 반드시 포함해야한다.

중요한 정보의 주기적 표기사용중요한 정보의 주기적 표기사용중요한 정보의 주기적 표기사용중요한 정보의 주기적 표기사용286.286.286.286.

정보가 만들어져서 그것이 폐기되거나 분류해제가 될 때까지 그것이 기밀 비밀 혹은 개인,

적인 것이라면 지정된 중요성 표시를 해야 한다.

다양한 중요성을 가진 수집된 정보들의 표기다양한 중요성을 가진 수집된 정보들의 표기다양한 중요성을 가진 수집된 정보들의 표기다양한 중요성을 가진 수집된 정보들의 표기287.287.287.287.

다양한 중요성 분류표기가 된 정보가 합해질 때 결과적으로 수집된 정보는 그 자료에서 찾,

아볼 수 있는 가장 제한된 수준으로 분류되어야 한다.

중요한 정보의 복사 시 필요한 허가사항중요한 정보의 복사 시 필요한 허가사항중요한 정보의 복사 시 필요한 허가사항중요한 정보의 복사 시 필요한 허가사항288.288.288.288.

기밀 비밀 혹은 개인정보의 추가복사 혹은 추가인쇄는 그 정보의 소유자의 사전 허락 없이,

는 이루어질 수 없다.

- 252 -

중요한 정보의 복사 추적중요한 정보의 복사 추적중요한 정보의 복사 추적중요한 정보의 복사 추적289.289.289.289.

중요한 정보의 추가적인 복사가 이루어질 때마다 이 복사본의 수와 정보의 수혜자가 명부에

기록이 되어야 한다 정보의 수혜자는 그 정보 소유자의 허락이 얻어진 뒤에는 추가배포 혹.

은 추가 복사가 이루어질 수 있다는 사실을 통보받아야 한다.

중요한 정보를 담은 불완전한 복사물의 파기중요한 정보를 담은 불완전한 복사물의 파기중요한 정보를 담은 불완전한 복사물의 파기중요한 정보를 담은 불완전한 복사물의 파기290.290.290.290.

근로자가 기밀정보의 복사를 할 때 복사기가 잼되거나 고장이 나면 그 복사기에서 그 정보,

의 모든 사본을 제거하거나 알아볼 수 없도록 그 정보를 파괴하고 난 뒤 떠나야 한다.

중요한 정보의 파지 복사본의 파기중요한 정보의 파지 복사본의 파기중요한 정보의 파지 복사본의 파기중요한 정보의 파지 복사본의 파기291.291.291.291.

그러한 정보의 복사 인쇄 혹은 취급 과정 중에 생기는 기밀정보는 모든 파지들은 적법한,

절차에 따라 파기되어야 한다.

중요한 정보의 인쇄시 필요한 운영중요한 정보의 인쇄시 필요한 운영중요한 정보의 인쇄시 필요한 운영중요한 정보의 인쇄시 필요한 운영292.292.292.292.

만약 중요한 정보가 인쇄되고 있거나 곧 인쇄 될 경우에는 인쇄기를 떠나서는 안된다 인쇄.

기를 다루는 사람들은 인쇄되고 있는 정보를 살펴볼 수 있는 자격없는 사람이 인쇄기 근처

에 들어가거나 인쇄되고 있는 자료를 보지 못하도록 물리적인 접근통제가 있는 경우에만 가

능하다.

중요한 정보에 대한 페이지 표기 및 임무중요한 정보에 대한 페이지 표기 및 임무중요한 정보에 대한 페이지 표기 및 임무중요한 정보에 대한 페이지 표기 및 임무293.293.293.293.

페이지 형태로 나타나는 회사의 중요한 정보는 현재 및 마지막 페이지를 표기해야 한다.

제 자 비누설 각서와 중요한 정보제 자 비누설 각서와 중요한 정보제 자 비누설 각서와 중요한 정보제 자 비누설 각서와 중요한 정보294. 3294. 3294. 3294. 3

어떤 기밀 비밀 혹은 개인정보를 제 자에게 보내기 전에 복사 인쇄 포맷 혹은 다른 취급, 3 , ,

을 할 때 제 자는 회사의 비누설 각서에 서명해야 한다, 3 .

내 외 우편으로 보내진 개인 및 비밀정보내 외 우편으로 보내진 개인 및 비밀정보내 외 우편으로 보내진 개인 및 비밀정보내 외 우편으로 보내진 개인 및 비밀정보295. ,295. ,295. ,295. ,

개인 및 비밀정보는 내외 우편을 통해 선적되거나 우송될 때 수신인만 개봉할 수 있음 이“ ”

라는 표기가 되어 있는 불투명한 봉투에 봉인된 상태이어야 한다.

- 253 -

내 외 우편에 의해 전달되는 기밀정보내 외 우편에 의해 전달되는 기밀정보내 외 우편에 의해 전달되는 기밀정보내 외 우편에 의해 전달되는 기밀정보296. ,296. ,296. ,296. ,

기밀정보는 수신인만 개봉할 수 있음 이라는 표기가 된 불투명한 봉투에 봉인된 것을 다시“ ”

일반 봉투에 봉인한 상태로 우송되어야 한다.

우편으로 발송되는 중요한 정보를 위한 요구되는 중 봉투우편으로 발송되는 중요한 정보를 위한 요구되는 중 봉투우편으로 발송되는 중요한 정보를 위한 요구되는 중 봉투우편으로 발송되는 중요한 정보를 위한 요구되는 중 봉투297. 2297. 2297. 2297. 2

만약 기밀 비밀 혹은 개인정보와 내외우편 또는 인편으로 전하여질 때는 이중으로 된 봉투,

속에 동봉해야 한다 겉봉에는 그 속에 포함된 정보의 등급을 표시해서는 안되며 그 안에.

있는 봉인되고 불투명한 봉투에는 상황에 따라 개인 비밀 혹은 기밀 등을 표기해야“ ” “ ” “ ”

한다.

기밀 하드카피 정보를 전송하기 위한 가능한 방법기밀 하드카피 정보를 전송하기 위한 가능한 방법기밀 하드카피 정보를 전송하기 위한 가능한 방법기밀 하드카피 정보를 전송하기 위한 가능한 방법298.298.298.298.

하드카피 형태의 기밀 정보는 믿을 수 있는 인편 혹은 등기로 송부되어야 한다 그 이유는.

그들이 그 정보가 추적 당하는 일이 없도록 하기 위해서이다 일반우편과 같은 다른 방법은.

사용할 수 없다.

중요한 서류는 복사를 방지하는 특수한 용지에중요한 서류는 복사를 방지하는 특수한 용지에중요한 서류는 복사를 방지하는 특수한 용지에중요한 서류는 복사를 방지하는 특수한 용지에299.299.299.299.

회사의 개인 비밀 혹은 기밀정보가 하드카피의 형태로 제 자에게 인계될 때 보통 복사기, 3

로 복사되지 않는 특수한 종이에 인쇄되어야 한다 그 외 모든 예외사항들을 부사장의 사전.

승인을 받아야 한다.

의도된 수혜자에게 중요한 컴퓨터 정보를 보내기의도된 수혜자에게 중요한 컴퓨터 정보를 보내기의도된 수혜자에게 중요한 컴퓨터 정보를 보내기의도된 수혜자에게 중요한 컴퓨터 정보를 보내기300.300.300.300.

비밀 기밀 혹은 개인컴퓨터 정보는 지정된 수혜자에게 직접 보내져야 한다 그런 문서들이, .

사람이 없는 책상이나 공개되고 사람이 없는 사무실로 보내져서는 안되며 보관실이나 물리,

적 기밀방법들을 통해 의도된 수령자에게 보내져야 한다.

기밀정보 전달을 위한 사전지식기밀정보 전달을 위한 사전지식기밀정보 전달을 위한 사전지식기밀정보 전달을 위한 사전지식301.301.301.301.

모든 기밀정보의 전달은 수령자가 어떤 정보를 받는다는 것에 대한 사전지식을 알도록 취급

되어야 한다.

- 254 -

기밀정보의 수령에 대한 서면 증명서기밀정보의 수령에 대한 서면 증명서기밀정보의 수령에 대한 서면 증명서기밀정보의 수령에 대한 서면 증명서302.302.302.302.

회사의 기밀정보 수령자는 그들이 그 정보를 입수한 시간에 공식적인 서면 수령증명서를 보

내야 한다 중개인에게 그와 같은 정보전달은 금지된다. .

기밀서류의 이동을 나타낸 기록부기밀서류의 이동을 나타낸 기록부기밀서류의 이동을 나타낸 기록부기밀서류의 이동을 나타낸 기록부303.303.303.303.

기밀정보가 처리될 때에 복사된 부수 복사된 위치 수신자 이름 수신자 주소 및 복사본을, , ,

보는 사람들을 나타내는 기록이 보관되어야 한다 이 기록은 그와 같은 정보가 기밀 중요성.

분류를 유지하는 동안 관리되어야 한다 이 기록은 또한 기밀로 분류되어야 한다. .

기밀서류의 분류번호기밀서류의 분류번호기밀서류의 분류번호기밀서류의 분류번호304.304.304.304.

서류의 책임자들과 그 서류의 위치가 쉽게 추적될 수 있도록 기밀서류의 모든 복사본은 각

각에 분류번호가 주어져야 한다.

중요한 정보를 팩스로 보내기 위한 사전 고지 및 의도된 운영중요한 정보를 팩스로 보내기 위한 사전 고지 및 의도된 운영중요한 정보를 팩스로 보내기 위한 사전 고지 및 의도된 운영중요한 정보를 팩스로 보내기 위한 사전 고지 및 의도된 운영305.305.305.305.

기밀 정보를 팩스로 보내려면 수령자에게 미리 그 정보가 전달될 것을 고지하고 그 정보가

보내질 때 위임된 사람이 팩스 앞에 있을 것을 동의해야 한다 팩스가 설치된 영역이 팩스.

로 보내진 서류를 보도록 허락되지 않는 사람이 들어갈 수 없도록 물리적으로 제한된 곳일

때에는 예외이다.

중요한 정보를 팩스로 보낼 때에는 수령인이 있어야 한다중요한 정보를 팩스로 보낼 때에는 수령인이 있어야 한다중요한 정보를 팩스로 보낼 때에는 수령인이 있어야 한다중요한 정보를 팩스로 보낼 때에는 수령인이 있어야 한다306. .306. .306. .306. .

중요한 자료는 최소한 다음의 상황 중에 하나라도 발신지역과 수신지역에서 만족되지 않을

때 팩스로 보내어 지지 말아야 한다.

위임된 요원이 그 자료를 적절히 다룰 수 있다.

팩스 우편상자를 보호하는 패스워드가 자료에 허락되지 않은 사람을 제한하도록 사용한다.

신뢰할 수 없는 제 자를 경유한 중요한 정보를 팩스로 보내기신뢰할 수 없는 제 자를 경유한 중요한 정보를 팩스로 보내기신뢰할 수 없는 제 자를 경유한 중요한 정보를 팩스로 보내기신뢰할 수 없는 제 자를 경유한 중요한 정보를 팩스로 보내기307. 3307. 3307. 3307. 3

회사의 중요한 정보는 호텔 직원 우체국 직원 등과 같은 신뢰할 수 없는 중계자를 경유하,

여 보내서는 안된다.

- 255 -

중요한 정보는 전송전 표지 수령증 확인중요한 정보는 전송전 표지 수령증 확인중요한 정보는 전송전 표지 수령증 확인중요한 정보는 전송전 표지 수령증 확인308.308.308.308.

중요한 정보를 전달할 때에는 표지서류가 먼저 보내져서 수령인 인정해야 한다 이 과정이.

수행된 이후에 중요한 정보가 곧 또 다른 요구에 의하여 보내져야 한다.

중요한 정보의 팩스가 허가될 때중요한 정보의 팩스가 허가될 때중요한 정보의 팩스가 허가될 때중요한 정보의 팩스가 허가될 때309.309.309.309.

중요한 정보는 시간이 없고 다른 고도의 기밀전송법이 없을 때 비밀스럽지 않은 선로로 보

내질 수 있다 중요한 정보가 승인되지 않은 측에 누설되지 않기 위하여 수신자의 음성 접.

촉이 전 송전에 이루어져야 한다.

중요한 정보 전송을 위한 목적지의 물리적 보안중요한 정보 전송을 위한 목적지의 물리적 보안중요한 정보 전송을 위한 목적지의 물리적 보안중요한 정보 전송을 위한 목적지의 물리적 보안310.310.310.310.

기밀 또는 비밀 정보는 목적지 시스템이 정보를 수신할 수 있도록 허가된 사람만이 열쇠를

소유하는 닫혀 있는 방에 있지 않는 한 사람이 입회하지 않는 팩스로 보내지지 않아야 한,

다.

팩스로 기밀정보 전송을 위해 필요한 암호화팩스로 기밀정보 전송을 위해 필요한 암호화팩스로 기밀정보 전송을 위해 필요한 암호화팩스로 기밀정보 전송을 위해 필요한 암호화311.311.311.311.

기밀정보는 회사 정보보호 부서에 의하여 승인된 방법으로 암호화되지 않은 한 팩스로 전달

하여서는 안된다.

팩스로 기밀정보 전송에 필요한 패스워드팩스로 기밀정보 전송에 필요한 패스워드팩스로 기밀정보 전송에 필요한 패스워드팩스로 기밀정보 전송에 필요한 패스워드312.312.312.312.

패스워드가 전송 시작 전에 수신 시스템에 의해 성공적으로 입력되지 않는 한 기밀정보가

팩스로 전송되어서는 안된다.

팩스표지는 승인된 것을 사용해야 한다팩스표지는 승인된 것을 사용해야 한다팩스표지는 승인된 것을 사용해야 한다팩스표지는 승인된 것을 사용해야 한다313. .313. .313. .313. .

회사의 팩스기에서 나가는 모든 정보는 정보시스템 부서의 장에 의해서 승인된 표지를 포함

해야만 한다.

기밀정보의 토의와 마이크 달린 스피커 사용기밀정보의 토의와 마이크 달린 스피커 사용기밀정보의 토의와 마이크 달린 스피커 사용기밀정보의 토의와 마이크 달린 스피커 사용314.314.314.314.

기밀정보는 그 회의 내용이 도청되므로 모든 참석자들은 먼저 접근해서 도청하는 사람이 없

다고 인식되지 않는 한 마이크 달린 스피커로 토의해서는 안된다.

중요한 정보의 전화 회의시 준수 조건중요한 정보의 전화 회의시 준수 조건중요한 정보의 전화 회의시 준수 조건중요한 정보의 전화 회의시 준수 조건315.315.315.315.

- 256 -

전화선은 승인 되지 않은 측에 도청되거나 중단될 수 있다 따라서 근로자는 전화통화로 중.

요한 정보회의는 피해야 한다 그와 같은 정보토의가 절대적으로 필요하면 근로자는 준수조.

건을 따라야 한고 일의 수행에 관계없는 중요한 세부사항의 언급을 삼가야 한다.

기밀토의를 위한 무선전화 또는 휴대폰의 이용기밀토의를 위한 무선전화 또는 휴대폰의 이용기밀토의를 위한 무선전화 또는 휴대폰의 이용기밀토의를 위한 무선전화 또는 휴대폰의 이용316.316.316.316.

음성회선 암호장치가 정보보호 부서의 의해 승인되지 않는 한 회사의 기밀정보는 무선전화,

나 휴대전호로 토의해서는 안된다.

기밀 정보의 재유포기밀 정보의 재유포기밀 정보의 재유포기밀 정보의 재유포317.317.317.317.

기밀 정보는 승인된 정보 소유자의 발표 이후에 재유되어야 한다 기밀정보에 개인의 접근.

이 승인된 것이 다른 사람들에게 그것을 누설을 허락하는 것을 의미하지 않는다.

기밀정보를 가지고 공공교통수단 이동기밀정보를 가지고 공공교통수단 이동기밀정보를 가지고 공공교통수단 이동기밀정보를 가지고 공공교통수단 이동318.318.318.318.

특별한 취급 승인 없이 근로자가 회사의 기밀정보를 소유할 때는 공공교통수단을 이용한 여

행을 피해야 한다.

공개된 지역에서의 중요한 정보의 누설공개된 지역에서의 중요한 정보의 누설공개된 지역에서의 중요한 정보의 누설공개된 지역에서의 중요한 정보의 누설319.319.319.319.

회사의 기밀 비밀 또는 개인정보는 비행기내 레스토랑 공공교통수단 또는 다른 공공장소, , ,

에서 읽히거나 토의하거나 누설되어서는 안된다.

휴대 가능한 컴퓨터에 기밀정보 저장휴대 가능한 컴퓨터에 기밀정보 저장휴대 가능한 컴퓨터에 기밀정보 저장휴대 가능한 컴퓨터에 기밀정보 저장320.320.320.320.

회사의 비밀정보를 소유한 휴대 가능한 랩탑 노트북 팜탑과 같은 다른 수송할 수 있는 컴, ,

퓨터는 그 정보가 암호화되어 있지 않는 한 언제나 컴퓨터가 방치되어서는 안된다.

중요한 정보를 가진 수송 가능한 컴퓨터의 통제중요한 정보를 가진 수송 가능한 컴퓨터의 통제중요한 정보를 가진 수송 가능한 컴퓨터의 통제중요한 정보를 가진 수송 가능한 컴퓨터의 통제321.321.321.321.

회사의 중요한 정보를 소유한 휴대 가능한 랩탑 노트북 팜탑과 다른 수송할 수 있는 컴퓨, ,

터는 부팅 보호와 같이 하드 디스크 암호화를 이용해야 한다.

휴대 가능한 컴퓨터는 비행기에서 수하물이 되어야 한다휴대 가능한 컴퓨터는 비행기에서 수하물이 되어야 한다휴대 가능한 컴퓨터는 비행기에서 수하물이 되어야 한다휴대 가능한 컴퓨터는 비행기에서 수하물이 되어야 한다322. .322. .322. .322. .

- 257 -

회사의 중요한 정보를 포함하는 휴대 가능한 랩탑 노트북 팜탑과 다른 수송할 수 있는 컴, ,

퓨터들은 소유한 근로자는 비행기 화물시스템으로 이들 컴퓨터를 검사하지 말아야 한다 이.

러한 컴퓨터는 수하물로 여행자가 소지하여야 한다.

기밀정보를 외국으로 보내기기밀정보를 외국으로 보내기기밀정보를 외국으로 보내기기밀정보를 외국으로 보내기323.323.323.323.

기밀정보가 회사의 근로자에 의하여 외국으로 전달될 때 암호화된 플로피 디스켓과 같이 접

근 불가능한 형태로 저장되거나 계속 근로자가 소지하고 직접 전달하여야 한다.

기밀정보를 외국으로 보내는데 필요한 허가증기밀정보를 외국으로 보내는데 필요한 허가증기밀정보를 외국으로 보내는데 필요한 허가증기밀정보를 외국으로 보내는데 필요한 허가증324.324.324.324.

회사의 근로자는 산업 안전 관리자로부터 얻어진 허락이 없는 한 회사의 기밀정보를 다른

나라로 보내지 않아야 한다.

회사 건물로부터 중요한 정보의 반출회사 건물로부터 중요한 정보의 반출회사 건물로부터 중요한 정보의 반출회사 건물로부터 중요한 정보의 반출325.325.325.325.

중요한 회사의 정보는 정보 소유자로부터 사전에 승인되지 않은 상태로 회사의 건물외부로

반출되지 않아야 한다.

회사에서 삭제된 중요한 정보에 대한 기록회사에서 삭제된 중요한 정보에 대한 기록회사에서 삭제된 중요한 정보에 대한 기록회사에서 삭제된 중요한 정보에 대한 기록326.326.326.326.

중요한 정보가 회사에서 이동되어야 할 때마다 날짜 포함된 정보 및 정보를 소유한 사람의, ,

기록이 만들어져야 한다.

회사 건물 밖에서 중요한 정보 하드카피 처리회사 건물 밖에서 중요한 정보 하드카피 처리회사 건물 밖에서 중요한 정보 하드카피 처리회사 건물 밖에서 중요한 정보 하드카피 처리327.327.327.327.

중요한 정보의 하트카피가 회사에서 반출될 때마다 그것이 사용되지 않는 상태의 잠긴 서,

류가방이나 용기로 옮겨져야만 한다 그와 같은 정보는 자동차나 사무실이 잠겨 있을지라도.

사람이 없는 자동차 호텔객실 사무실 또는 다른 위치에 놓이지 않아야 한다, .

제 자에게 보내진 정보에 요구된 컴퓨터 저장 매체제 자에게 보내진 정보에 요구된 컴퓨터 저장 매체제 자에게 보내진 정보에 요구된 컴퓨터 저장 매체제 자에게 보내진 정보에 요구된 컴퓨터 저장 매체328. 3328. 3328. 3328. 3

회시로부터 제 자에게 보내진 모든 컴퓨터 저장 매체는 결코 사전에 이용되지 않았어야 하3

며 이용되었다면 전달되기 전에 기록된 정보를 삭제해야 한다, .

저장매체의 회수보다 오히려 폐기의 증명저장매체의 회수보다 오히려 폐기의 증명저장매체의 회수보다 오히려 폐기의 증명저장매체의 회수보다 오히려 폐기의 증명329.329.329.329.

- 258 -

회사의 테이프 디스크 등과 같은 컴퓨터 매체로 정보를 외부에 제공하고 회수가, , CD-ROM

요청될 때 회사 직원은 그 실물을 제공받는 대신에 그 정보가 폐기된 서면 증명서를 제공

받아야 한다.

회사 컴퓨터 관련 서류의 비밀회사 컴퓨터 관련 서류의 비밀회사 컴퓨터 관련 서류의 비밀회사 컴퓨터 관련 서류의 비밀330.330.330.330.

회사의 모든 컴퓨터 관련 서류는 비밀스럽게 그리고 회사의 고용인 컨설턴트 계약자가 고, ,

용되었다 떠나 사람들에 의해서 취급되지 않아야 한다.

전자우편으로 전송된 기밀정보전자우편으로 전송된 기밀정보전자우편으로 전송된 기밀정보전자우편으로 전송된 기밀정보331.331.331.331.

각각의 사건이 부책임자에 의하여 특별히 승인되지 않는 한 읽을 수 있는 기밀정보는 전자

우편으로 보내지지 않아야만 한다 회사가 승인한 방법으로 암호화되고 단지 목적지에서 해.

독된다면 기밀정보는 전자우편으로 보내질 수 있다.

시기적으로 중요한 정보에 맞지 않은 정보시스템시기적으로 중요한 정보에 맞지 않은 정보시스템시기적으로 중요한 정보에 맞지 않은 정보시스템시기적으로 중요한 정보에 맞지 않은 정보시스템332.332.332.332.

승인되지 않은 사람들에게 누설되지 않도록 하기 위하여 합병 취득 해고 같은 가장 시간적, ,

으로 중요한 비밀정보는 공개되기 전에 전자우편 음성우편 전화 혹은 다른 전산화된 시스, , ,

템에 의하여 처리되지 않아야 한다.

청결한 책상과 작업지역청결한 책상과 작업지역청결한 책상과 작업지역청결한 책상과 작업지역333.333.333.333.

정규 작업시간 이외에 모든 근로자들은 모든 중요하고 귀중한 자료가 적절하게 보관되는 그

들의 책상과 작업지역을 깨끗하게 정리해야 한다.

깨끗한 책상 정책깨끗한 책상 정책깨끗한 책상 정책깨끗한 책상 정책334.334.334.334.

중요한 정보를 포함하고 있는 지역에 있는 고용인들은 작업을 하지 않는 시간에 모든 정보

를 잠궈야 한다 만일 정보가 인가된 개인에 의해 사용되지 않는다면 책상들은 절대적으로.

깨끗해야 하고 작업하지 않는 시간 동안에는 깨끗하게 치워야 한다.

의도되지 않는 공간에서의 중요한 정보의 안전화의도되지 않는 공간에서의 중요한 정보의 안전화의도되지 않는 공간에서의 중요한 정보의 안전화의도되지 않는 공간에서의 중요한 정보의 안전화335.335.335.335.

중요한 정보가 사용되지 않을 때 그 정보는 항상 인가되지 않는 누설로부터 보호되어야 한,

다 그와 같은 중요한 정보를 관리되지 않는 공간에서 둘 때 그 정보는 적당한 용기 속에.

잠겨져 있어야 한다.

- 259 -

그 와 같은 정보의 관리인이 분 이내로 떠나 있다면 그 정보가 관리되는 공간의 모든 문30

과 창문이 닫히고 잠겨 있을 때 책상 위에 놓여 있을 수도 있고 쉽게 보여지는 곳에 있을,

수도 있다.

개인 컴퓨터에 중요한 정보의 저장개인 컴퓨터에 중요한 정보의 저장개인 컴퓨터에 중요한 정보의 저장개인 컴퓨터에 중요한 정보의 저장336.336.336.336.

중요한 정보가 개인 컴퓨터의 하드디스크 드라이브나 다른 내부에 저장되어야할 때 그 정보

는 패스워드 접근통제 패키지나 암호화에 의하여 보호되어야 한다 중요한 정보가 플로피.

디스크 마그네틱 테이프 스마트 카드 또는 다른 저장매체에 기록될 때 그 매체는 고도의, , ,

적절한 중요도 분류가 적절하게 표시되어야 한다 사용되지 않을 때 암호화 되지 않는다면.

이 정보는 잠긴 시설용기에 저장되어야 한다.

사용하지 않을 때 중요한 정보의 저장사용하지 않을 때 중요한 정보의 저장사용하지 않을 때 중요한 정보의 저장사용하지 않을 때 중요한 정보의 저장337.337.337.337.

인가 받은 근로자에 의해 사용되지 않거나 인가 받은 사람이 작업하고 있는 장소에서 꼭 볼

필요가 없을 때 모든 하트카피 된 중요한 정보는 파일 캐비닛 책상 금고 또는 다른 가구, , ,

에 잠긴 채로 넣어져 있어야 한다 사용되지 않거나 꼭 볼 필요가 없거나 의도된 장소가 아.

닐 때 중요한 정보를 저장한 플로피 디스크 테이프 같은 모든 컴퓨터 매체는 위, CD-ROM

와 비슷한 기구에 잠겨져 있어야 한다.

기밀문서 목록에 제거하는 날짜가 알려져 있다면 명기되어야 한다기밀문서 목록에 제거하는 날짜가 알려져 있다면 명기되어야 한다기밀문서 목록에 제거하는 날짜가 알려져 있다면 명기되어야 한다기밀문서 목록에 제거하는 날짜가 알려져 있다면 명기되어야 한다338. .338. .338. .338. .

기밀 비밀 개인 정보가 더 이상 중요하지 않게 될 날짜는 정보의 일부분으로 표시되어야, ,

한다 이 정책은 중요한 정보가 덜 중요한 분류로 떨어지는 환경에서 응용된다. .

중요한 정보의 해제 검토중요한 정보의 해제 검토중요한 정보의 해제 검토중요한 정보의 해제 검토339.339.339.339.

적어도 년에 한번쯤은 중요한 정보가 비밀에서 해제 될 것인지 또는 격하 되어질 수 있는1

지를 결정하기 위해서 정보 소유자들은 그들이 책임지는 정보에 할당되는 중요성 분류를 검

사해야 한다.

실제적으로 곧 요구되어지는 중요한 정보의 비밀해제실제적으로 곧 요구되어지는 중요한 정보의 비밀해제실제적으로 곧 요구되어지는 중요한 정보의 비밀해제실제적으로 곧 요구되어지는 중요한 정보의 비밀해제340.340.340.340.

중요성의 표준관점에서 정보는 그 가치를 상실할 때 즉시 해제나 격하되어져야만 한다.

- 260 -

모든 중요한 정보를 이해 요구되는 보존 기간모든 중요한 정보를 이해 요구되는 보존 기간모든 중요한 정보를 이해 요구되는 보존 기간모든 중요한 정보를 이해 요구되는 보존 기간341.341.341.341.

그 정보가 갖는 서류 컴퓨터 파일형태와 관계없이 모든 기밀정보에 대한 보존기간이 할당,

되어야 한다.

중요한 정보의 매각과 파괴나 은폐중요한 정보의 매각과 파괴나 은폐중요한 정보의 매각과 파괴나 은폐중요한 정보의 매각과 파괴나 은폐342.342.342.342.

컴퓨터 마그네틱 저장매체가 교환 서비스 또는 처리를 위해 매 각자에게 보내지기 전에 모,

든 회사의 중요한 정보는 정보보호 부서에 의하여 승인된 방법에 따라 파괴하거나 은폐되어

야 한다.

중요한 정보의 저장을 위한 하드 디스켓 드라이브의 사용중요한 정보의 저장을 위한 하드 디스켓 드라이브의 사용중요한 정보의 저장을 위한 하드 디스켓 드라이브의 사용중요한 정보의 저장을 위한 하드 디스켓 드라이브의 사용343.343.343.343.

정보보호 관리자가 적당한 정보보호 등급 부여결정을 하지 않은 상태에서 회사의 근로자들

은 개인적인 비밀 또는 기밀정보를 나 워크스테이션 하드 디스크에 저장하면 안된다, PC .

중요한 정보와 중요하지 않은 정보의 혼합중요한 정보와 중요하지 않은 정보의 혼합중요한 정보와 중요하지 않은 정보의 혼합중요한 정보와 중요하지 않은 정보의 혼합344.344.344.344.

회사의 근로자들은 플로피 디스켓이나 다른 없앨 수 있는 자료 저장매체에 중요하지 않은

정보와 뒤섞인 기밀 또는 비밀 정보를 저장해서는 안된다.

컴퓨터 저장매체에 있는 중요한 정보의 파괴컴퓨터 저장매체에 있는 중요한 정보의 파괴컴퓨터 저장매체에 있는 중요한 정보의 파괴컴퓨터 저장매체에 있는 중요한 정보의 파괴345.345.345.345.

테이프 릴 혹은 필름과 플로피 디스크와 같은 마그네틱 저장매체에 있는 기밀 비밀 개인, ,

정보를 파괴할 때에 공인된 삭제 프로그램이 사용되어야 한다 컴퓨터 저장매체로부터 파일.

을 지우는 것은 간단히 않다 바꾸어 말하면 정보보호 부서에 의하여 승인된 장치 기구 또. , ,

는 다른 장비가 사용될 수 있다.

중요한 정보 삭제가 요구되어지는 시점중요한 정보 삭제가 요구되어지는 시점중요한 정보 삭제가 요구되어지는 시점중요한 정보 삭제가 요구되어지는 시점346.346.346.346.

중요한 회사의 정보가 디스크 테이프 또는 다른 마그네틱 저장매체로부터 지을 때에 그 매,

체가 쓰레기가 된 후에도 자료를 보호하기 위해 반복해서 덮어쓰기 조작을 따라야 한다.

하드카피에 있는 중요한 정보파기를 위한 승인된 방법하드카피에 있는 중요한 정보파기를 위한 승인된 방법하드카피에 있는 중요한 정보파기를 위한 승인된 방법하드카피에 있는 중요한 정보파기를 위한 승인된 방법347.347.347.347.

- 261 -

종이 미이크로필름 및 미이크로피치 같은 하드카피에 있는 모든 비밀 기밀 개인 정보를, , ,

폐기할 때 그들은 잘게 절단되거나 소각되어야 한다, .

중요한 정보의 파기는 특별한 절차를 따라야 한다중요한 정보의 파기는 특별한 절차를 따라야 한다중요한 정보의 파기는 특별한 절차를 따라야 한다중요한 정보의 파기는 특별한 절차를 따라야 한다348. .348. .348. .348. .

그것이 더 이상 필요하지 않을 때 모든 정보가 중요하거나 혹은 가치있는 회사정보는 정보

보호 부서에 의해 승인된 절차에 따라 안전하게 파기시켜야 한다.

중요한 회사의 정보 파괴가 승인된 사람들중요한 회사의 정보 파괴가 승인된 사람들중요한 회사의 정보 파괴가 승인된 사람들중요한 회사의 정보 파괴가 승인된 사람들349.349.349.349.

파기가 사실상 실행이 되어지는지를 확인하기 위해서 중요한 정보의 파기는 회사 개인 또,

는 계약된 파기 서비스업체에 의해 수행되어야져야 한다.

파기 되어질 중요한 정보를 보관하기 위한 금속상자의 사용파기 되어질 중요한 정보를 보관하기 위한 금속상자의 사용파기 되어질 중요한 정보를 보관하기 위한 금속상자의 사용파기 되어질 중요한 정보를 보관하기 위한 금속상자의 사용350.350.350.350.

모든 기밀 비밀 개인 정보가 더 이상 사용되지 않거나 필요하지 않을 때 그것이 디스크, , ,

하드카피 등 어떤 형태로 갖는지 간에 승인된 회사는 개인 또는 계약된 파기 서비스회사가

그것을 골라내는 것과 같은 시간이 소요될 때까지 지정된 잠금 박스에 있어야 한다.

기록이나 정보의 파기는 관리자의 승인을 요한다기록이나 정보의 파기는 관리자의 승인을 요한다기록이나 정보의 파기는 관리자의 승인을 요한다기록이나 정보의 파기는 관리자의 승인을 요한다351. .351. .351. .351. .

근로자들은 특정 고위관리자의 승인 없이 절대적으로 중요한 회사의 기록이나 정보를 파기

하거나 처분하지 못한다 회사의 기록이나 정보의 승인되지 않은 파기나 처리자는 파면 기. ,

소 등을 포함한 징계가 주어질 것이다 기록과 정보는 다음 조건에서 보류되어야 한다. .

그것이 미래에 필요할 것 같을 때,◆

규정과 상태가 그들의 보존을 요구할 때,◆

승인되지 않은 불법적인 또는 남용적인 행동의 조사나 수행에 필요할 것 같을 때◆

중요한 정보를 처리할 때 사용되는 자료의 파기중요한 정보를 처리할 때 사용되는 자료의 파기중요한 정보를 처리할 때 사용되는 자료의 파기중요한 정보를 처리할 때 사용되는 자료의 파기352.352.352.352.

중요한 정보를 감별하기 위하여 중요한 정보를 처리할 때 사용되는 모든 자료들은 중요한

정보를 위해 요구되는 것과 유사한 방법으로 파기되어야 한다 이 정책은 타자리본 카본서. ,

류 등사판 스텐실 사진원판 온전하지 못한 컴퓨터 하드카피 출력 흐릿한 복사 사진 등을, , , ,

포함한다.

- 262 -

중요하거나 가치 있는 정보에 대한 접근 전에 요구되는 승인중요하거나 가치 있는 정보에 대한 접근 전에 요구되는 승인중요하거나 가치 있는 정보에 대한 접근 전에 요구되는 승인중요하거나 가치 있는 정보에 대한 접근 전에 요구되는 승인353.353.353.353.

회사의 중요하고 가치 있는 정보에 대한 접근은 반드시 관리자의 승인이 얻어진 후에만 제

공되어야만 한다.

집단이 아닌 개인단위로 승인된 중요한 정보에 대한 접근집단이 아닌 개인단위로 승인된 중요한 정보에 대한 접근집단이 아닌 개인단위로 승인된 중요한 정보에 대한 접근집단이 아닌 개인단위로 승인된 중요한 정보에 대한 접근354.354.354.354.

기밀정보에 대한 접근은 개인의 집단이 아니라 특별한 개인에게만 승인되어야 한다.

권한대리 위원에 의해 시스템 권한의 승인권한대리 위원에 의해 시스템 권한의 승인권한대리 위원에 의해 시스템 권한의 승인권한대리 위원에 의해 시스템 권한의 승인355.355.355.355.

컴퓨터와 통신체계의 특성은 명백한 권한대리의 연계에 의해서만 승인되어야 한다.

중요한 정보의 비밀 동의와 누설중요한 정보의 비밀 동의와 누설중요한 정보의 비밀 동의와 누설중요한 정보의 비밀 동의와 누설356.356.356.356.

기밀 비밀 개인 회사 정보의 제 자에 대한 누설은 정보의 누설과 사용에 따르는 제한을, , 3

포함하는 서명된 각서를 받아야 한다.

중요한 정보 수령인을 위한 지침중요한 정보 수령인을 위한 지침중요한 정보 수령인을 위한 지침중요한 정보 수령인을 위한 지침357.357.357.357.

기밀 비밀 개인 회사 정보의 제 자에 대한 누설은 어떤 정보가 제한되고 정보가 어떻게 이, , 3

용될 수 있는지 정확히 기술되어야 한다.

홍보에 언급된 회사의 정보에 대한 요청홍보에 언급된 회사의 정보에 대한 요청홍보에 언급된 회사의 정보에 대한 요청홍보에 언급된 회사의 정보에 대한 요청358.358.358.358.

관리자에 의하여 승인되지 않으면 회사와 그 업무에 관한 모든 정보 요청은 홍보과해서 관

장한다 이러한 요청은 질문서 조사 신문 인터뷰와 같은 것들을 포함한다 이 정책은 회사. , , .

의 생산품과 용역제공에 관한 정보를 팔고 매매하는데 이용되지 못한다.

회사 정보의 배포 전에 요구되는 승인회사 정보의 배포 전에 요구되는 승인회사 정보의 배포 전에 요구되는 승인회사 정보의 배포 전에 요구되는 승인359.359.359.359.

뉴스미디어나 다른 제 자에 대한 어떤 내적인 회사 정보를 누설에 대한 허락은 배포 전에3

회시의 상위관리자로부터 승인을 받아야 한다.

미래의 소득이나 새로운 생산 전망에 관한 공적인 표현미래의 소득이나 새로운 생산 전망에 관한 공적인 표현미래의 소득이나 새로운 생산 전망에 관한 공적인 표현미래의 소득이나 새로운 생산 전망에 관한 공적인 표현360.360.360.360.

- 263 -

주주가 집단 소송을 피하기 위하여 근로자들은 새로운 생산품에 대한 회사의 수입과 전망에

관하여 어떤 공적인 발표제시는 금지한다.

요청된 정보의 외부누설 전에 기다리는 시간요청된 정보의 외부누설 전에 기다리는 시간요청된 정보의 외부누설 전에 기다리는 시간요청된 정보의 외부누설 전에 기다리는 시간361.361.361.361.

회사가 판매 마케팅 또는 홍보성격이 아닌 내적인 정보에 대한 요청을 받으면 다음 과정, , ,

을 따라야 한다 그 정보의 소유자와 심사자는 그 요구를 평가하기 위해 일의 기간이 각각. 5

주어져야 한다 소유자나 심사자로부터 반대가 없다면 정보를 배포할 수 있다 모든 요청자. .

들에게 그들의 요구로 발생하는 직접 비용은 부담시켜야 한다.

공공에 배포된 정보검토를 위한 절차 구축공공에 배포된 정보검토를 위한 절차 구축공공에 배포된 정보검토를 위한 절차 구축공공에 배포된 정보검토를 위한 절차 구축362.362.362.362.

공공에 해제되는 모든 정보는 구축되거나 문서화되는 과정에 따라 관리자에 의하여 우선 검

토되어야 한다.

연설 발표 기술적인 논문 등에 대한 사전 검토연설 발표 기술적인 논문 등에 대한 사전 검토연설 발표 기술적인 논문 등에 대한 사전 검토연설 발표 기술적인 논문 등에 대한 사전 검토363. , ,363. , ,363. , ,363. , ,

일반인에게 전달될 모든 연설 소개 기술적인 논문 서적 또는 다른 편지는 우선 공개에 앞, , ,

서 담당직원의 직속 상관에 대한 허가가 있어야 한다 이러한 방침은 그 담당 직원이 회사.

를 대표하거나 회사의 일에 대한 논의하거나 그 대화가 회사의 업무처리 과정에서 입수된,

정보일 경우에 적용된다 만일 새로운 상품 연구결과 회사전략 고객정보 혹은 마케팅정책. , , ,

이 공개되려면 연구개발 부장이나 법률 자문 부서장의 사전허가를 얻어야 한다.

제 자의 중요한 정보를 수용하는 조건제 자의 중요한 정보를 수용하는 조건제 자의 중요한 정보를 수용하는 조건제 자의 중요한 정보를 수용하는 조건364. 3364. 3364. 3364. 3

대리인 직원 고문 혹은 계약자가 제 자로부터 회사에 관한 기밀이거나 비밀정보를 받으려, 3

면 법률 자문 부서에 의한 인가된 양식에 제 자 서명이 우선 있어야 한다3 .

임시 직원과 자문인의 중요한 정보 접근임시 직원과 자문인의 중요한 정보 접근임시 직원과 자문인의 중요한 정보 접근임시 직원과 자문인의 중요한 정보 접근365.365.365.365.

회사의 중요한 정보에 접근을 필요로 하는 활동은 다음 조건 중의 하나에 해당하지 않으면

정식 직원에 의해서 수행되어야 한다.

정식 직원이 필요한 지식이나 기술이 없을 때◆

긴급 사태나 재난으로 임시 직원이 필요할 때◆

- 264 -

인력 자원 부서장의 허가가 있을 때◆

근로자가 모든 작업장의 위험에 대해 알 권리근로자가 모든 작업장의 위험에 대해 알 권리근로자가 모든 작업장의 위험에 대해 알 권리근로자가 모든 작업장의 위험에 대해 알 권리366.366.366.366.

근로자들은 그들이 작업장에서 직면할지도 모르는 모든 위험에 대한 알 권리를 가진다 관.

리자는 이런 위험의 존재에 대한 근로자들에게 통보해야 하며 근로자들의 위험을 감소시키,

는 안전장치를 마련해야 한고 근로자들에게 안전장치의 적당한 사용에 관하여 교육해야 한,

다.

위험한 생산물과 서비스의 등급의 표시위험한 생산물과 서비스의 등급의 표시위험한 생산물과 서비스의 등급의 표시위험한 생산물과 서비스의 등급의 표시367.367.367.367.

고객이나 구매자 근로자 혹은 그 밖의 관련된 사람들에게 위험을 가할 수 있는 모든 회사, ,

의 생산물과 서비스들은 위험한 성질의 등급 위험을 피할 방법 위험이 발생했을 때 치하는, ,

단계들을 나타내야 한다.

경쟁사에 근무했던 직원들에 대한 압력행사를 삼가경쟁사에 근무했던 직원들에 대한 압력행사를 삼가경쟁사에 근무했던 직원들에 대한 압력행사를 삼가경쟁사에 근무했던 직원들에 대한 압력행사를 삼가368.368.368.368.

경쟁적 조직체에서 이전에 근무했던 직원들은 그들이 그들 조직체에서 서명했던 비밀협정을

준수하도록 격려되어야 한다 다른 직원들은 회사에 이익이 되는 정보를 누설하도록 그들을.

억압하는 일을 자제해야 한다.

기밀정보를 다루는 모임에 초청 받지 않은 참석자기밀정보를 다루는 모임에 초청 받지 않은 참석자기밀정보를 다루는 모임에 초청 받지 않은 참석자기밀정보를 다루는 모임에 초청 받지 않은 참석자369.369.369.369.

특별히 초청되지 않은 사람들은 기밀정보가 토의되고 있는 모임에 참석해서는 안된다 고급.

관리의 사전승인이 있으면 예외가 된다.

격리된 회의실에서 제 의 방문자들 회의격리된 회의실에서 제 의 방문자들 회의격리된 회의실에서 제 의 방문자들 회의격리된 회의실에서 제 의 방문자들 회의370. 3370. 3370. 3370. 3

회의실 근처에서 근로자들에 의해 중요한 정보가 다루어지고 있으면 그와 같은 중요한 문,

제에 접근이 허용되지 않은 매각자 고객 및 조정 등과 같은 제 자들의 모든 회의는 완전, 3

히 격리된 회의실에서 이루어져야 한다.

회의에서의 비밀정보의 구두 누설회의에서의 비밀정보의 구두 누설회의에서의 비밀정보의 구두 누설회의에서의 비밀정보의 구두 누설371.371.371.371.

비밀정보가 모임 세미나 강연 또는 관련된 발표회에서 구도로 발표되면 발표자는 그 정의, , ,

중요성에 관해 명백히 전장을 해야 한다 또한 발표자는 참석자가 그 문제를 다른 사람에게.

이야기할 때 신중을 기할 것을 상기시킨다 슬라이드 자료와 같은 시청각 보조물에는, . , OHP

적절한 비밀표식이 있어야 한다.

- 265 -

회사 정보의 성질과 보관위치는 비밀이다회사 정보의 성질과 보관위치는 비밀이다회사 정보의 성질과 보관위치는 비밀이다회사 정보의 성질과 보관위치는 비밀이다372. .372. .372. .372. .

회사 정보의 성질과 보관위치에 대한 정보는 자료사전 등에서 발견될 수 없도록 비밀이 엄

수되어야 하고 합리적으로 알 필요가 있는 사람들에게만 알려져야 한다, .

비밀로 여겨지는 자료처리 센터의 위치비밀로 여겨지는 자료처리 센터의 위치비밀로 여겨지는 자료처리 센터의 위치비밀로 여겨지는 자료처리 센터의 위치373.373.373.373.

컴퓨터 센터의 실제적 주소는 비밀이어야 하고 합리적으로 알 필요가 있는 사람에게만 알려

져야 한다.

회사의 체제와 금지된 통신망에 관한 접속회사의 체제와 금지된 통신망에 관한 접속회사의 체제와 금지된 통신망에 관한 접속회사의 체제와 금지된 통신망에 관한 접속374.374.374.374.

근로자들은 회사의 컴퓨터 시스템이나 통신망을 통해 자료를 뒤적거리려서는 안된다 예를.

들어 다른 사용자의 디렉토리 안에 있는 흥미로운 파일이나 프로그램을 호기심으로 갖는,

것은 금지되어 있다 일을 수행하기 위해 필요한 정보를 합법적으로 찾아가기 위해 취해지.

는 행위는 마음대로 뒤적이는 것으로 간주되지 않는다.

개인 사용자 파일에 대한 인간된 시스템 관리자의 검사개인 사용자 파일에 대한 인간된 시스템 관리자의 검사개인 사용자 파일에 대한 인간된 시스템 관리자의 검사개인 사용자 파일에 대한 인간된 시스템 관리자의 검사375.375.375.375.

시스템 관리자에게는 시스템 붕괴나 바이러스 감염과 같은 긴급상황에 대처하기 위해 개인

사용자 파일을 철사하는 것이 승인되어져 있다 사용자 파일이 이와 같은 방법으로 검사될.

어질 때마다 이와 관련된 파일 사용자에게 이 사실이 통지되어야 한다 문제가 해결된 후, . ,

시스템 관리자는 복사된 모든 파일은 신속히 파괴되어야 한다.

중요한 정보를 탑재하고 있는 시스템에 대한 전원 공급중단중요한 정보를 탑재하고 있는 시스템에 대한 전원 공급중단중요한 정보를 탑재하고 있는 시스템에 대한 전원 공급중단중요한 정보를 탑재하고 있는 시스템에 대한 전원 공급중단376.376.376.376.

기밀정보를 다루는데 사용된 모든 컴퓨터는 일과 이후 점심시간 회기가 끝났을 때는 반드,

시 전원을 꺼두어야 한다 이와 같이 함으로써 허가 받지 않은 곳으로 정보가 흘러나가는.

것을 방지하기 위하여 컴퓨터 메모리에 남아 있는 잔류정보를 지우는 것이다 허가 받지 않.

은 사람이 시스템에 접근하는 것을 방지할 있는 엄격한 물리적 접근통제가 이루어지는 곳에

있는 독립형 컴퓨터 예외가 적용될 수도 있다.

- 266 -

작업이 중단될 때 중요한 정보 보호하기작업이 중단될 때 중요한 정보 보호하기작업이 중단될 때 중요한 정보 보호하기작업이 중단될 때 중요한 정보 보호하기377.377.377.377.

근로자가 회사 기밀 비밀 또는 개인 정보를 다룰 때 다른 근로자가 자신의 주위에 다가오, ,

면 다루던 정보를 즉각 감추는 조치가 취해져야 한다 정보가 구체적 물질적인 형태라면 그. ,

정보는 다른 소재로 덮어져야만 한다 정보가 컴퓨터 스크린에 펼쳐 있으면 즉각적으로 스.

크린 보호기 또는 로그 오프를 작동시켜야 한다- .

창문을 고려한 컴퓨터 디스플레이어 스크린의 위치 선정하기창문을 고려한 컴퓨터 디스플레이어 스크린의 위치 선정하기창문을 고려한 컴퓨터 디스플레이어 스크린의 위치 선정하기창문을 고려한 컴퓨터 디스플레이어 스크린의 위치 선정하기378.378.378.378.

중요하고 가치 있는 자료를 다루는데 사용되는 워크스테이션 더미 터미널 등의 출력스PC. ,

크린은 창문으로부터 보이지 않는 곳에 위치해야 한다.

피고용자의 주식거래 금지기간피고용자의 주식거래 금지기간피고용자의 주식거래 금지기간피고용자의 주식거래 금지기간379.379.379.379.

내부거래나 내부거래 내용유출을 막기 위해서 피고용자들은 회계분기의 끝과 재정결과를,

공식적으로 발표되는 시간 사이에 주식과 증서를 사거나 팔 수 없다.

중요한 정보처리를 위한 필기도구나 녹음기 사용중요한 정보처리를 위한 필기도구나 녹음기 사용중요한 정보처리를 위한 필기도구나 녹음기 사용중요한 정보처리를 위한 필기도구나 녹음기 사용380.380.380.380.

일반적으로 승인되지 않은 정보누설의 기회를 줄이기 위해서 필기도구 녹음기 또는 유사한, ,

장비를 가지고 중요한 정보를 기록해서는 안된다 이와 같은 장비를 사용하게 된다면 적절. ,

한 중요도 분류가 중요한 정보의 각 분할단위의 끝과 시작에 상세히 적혀 있어야 한다 이.

런 경우에 기록 매체는 매체 위에서 발견될 수 있는 가장 엄격한 자료 분류로써 표기되어,

야 한다 더욱이 그 매체는 가장 엄격한 분류표시와 더불어 반드시 보호되어야 하고 가능한. ,

빨리 지워야만 한다.

고객 영수증 위에 기재된 고객번호 감추기고객 영수증 위에 기재된 고객번호 감추기고객 영수증 위에 기재된 고객번호 감추기고객 영수증 위에 기재된 고객번호 감추기381.381.381.381.

고객에게 제공될 컴퓨터에 의해 만들어져 영수증이 승인되지 않은 사람에게 들어갈 가능성

이 있는 경우 고객번호가 부분적으로 감추어진 방법으로 인쇄되어져야 한다.

시스템 유용성을 위한 특별한 양적 목표시스템 유용성을 위한 특별한 양적 목표시스템 유용성을 위한 특별한 양적 목표시스템 유용성을 위한 특별한 양적 목표382.382.382.382.

중요한 컴퓨터 시스템이 사용되는 동안 사용자들은 적어도 한 달을 기준으로 계산할 때 적,

어도 평상시 작업시간이 까지는 공유된 컴퓨터 시스템에 접근할 수 있어야 한다95% .

- 267 -

컴퓨터 서비스를 지연시키거나 방해한 사용자의 권한 제한컴퓨터 서비스를 지연시키거나 방해한 사용자의 권한 제한컴퓨터 서비스를 지연시키거나 방해한 사용자의 권한 제한컴퓨터 서비스를 지연시키거나 방해한 사용자의 권한 제한383.383.383.383.

공유된 컴퓨터 시스템을 사용자들의 활동이 다른 사용자에 대한 서비스 영역을 심하게 지연

시키거나 방해하는 원인이 되어서는 안된다 시스템 보안 본부 시스템 관리자 컴퓨터 운영. , ,

자에게는 예외가 적용될 수도 있다 이는 일을 하는데 그와 같은 특권이 필요해서 생긴 것.

이다.

통제 비상장치의 설립과 사용통제 비상장치의 설립과 사용통제 비상장치의 설립과 사용통제 비상장치의 설립과 사용384.384.384.384.

관리자는 통제가 진행중인 사업활동을 유지하기 위해 필요한 예외적인 환경에서 사용될 수

있는 수동장치를 만들어야 한다 수동장치를 사용할 권한은 엄격히 제한되어야 하고 이와.

같은 시설은 반드시 필요한 경우에만 사용되어야만 한다.

통제 비상장치의 사용할 조건에 대한 관리적 정의통제 비상장치의 사용할 조건에 대한 관리적 정의통제 비상장치의 사용할 조건에 대한 관리적 정의통제 비상장치의 사용할 조건에 대한 관리적 정의385.385.385.385.

관리자는 시스템 통제가 무효화되는 특별 상황에 대해 명백히 정의를 내려야한다 다른 상.

황에 대한 비상정치설비의 사용을 위해서는 컴퓨터 운영관리자의 사전 승인이나 이 관리인

을 위한 의무대행자의 사전 승인이 필요하다 비상장치 시스템은 다른 방법으로 해결될 수.

없는 특별한 조건을 바로 잡는데 사용되어야 한다.

비상장치 사용을 나타나는 기록의 발생과 검토비상장치 사용을 나타나는 기록의 발생과 검토비상장치 사용을 나타나는 기록의 발생과 검토비상장치 사용을 나타나는 기록의 발생과 검토386.386.386.386.

시스템 통제가 수동화 될 때마다 바뀐 변화와 이미 사용된 특권화된 명령을 나타내 주는.

입출력 데이터 기록이 만들어져야 한다 기술관리자나 대리인은 수동장치설비가 잘 사용이.

되었는지 또 이와 같은 설비가 올바른 방법으로 사용되었는지 확인하기 위하여 이들 기록과

관련된 항목들을 신속하게 검토해야 한다.

필요한 장비를 지원하기 위한 컴퓨터 환경필요한 장비를 지원하기 위한 컴퓨터 환경필요한 장비를 지원하기 위한 컴퓨터 환경필요한 장비를 지원하기 위한 컴퓨터 환경387.387.387.387.

관리자는 중요한 컴퓨터 시스템을 지속적으로 유지하는데 필요한 화재탐지 및 전압 전압조,

절 공기조절과 다른 컴퓨터 주변환경 보호체제를 계속해서 유지 및 관리해야 한다.

- 268 -

모든 시스템에 필요한 전력 조절장치모든 시스템에 필요한 전력 조절장치모든 시스템에 필요한 전력 조절장치모든 시스템에 필요한 전력 조절장치388.388.388.388.

모든 종류의 시스템에 는 정보체계부서에 의해 승인된 지속적인 전력공급체제 전류나 전압,

여과기 또는 전압조절장치 등이 갖춰야 한다.

전력 차단 시 보호 장치와 부분적 조건전력 차단 시 보호 장치와 부분적 조건전력 차단 시 보호 장치와 부분적 조건전력 차단 시 보호 장치와 부분적 조건389.389.389.389.

날씨상황이나 건물상태로 인해 전력공급을 중단하는 위험한 상황이 일어나게 되면 모든 PC

나 워크스테이션에 정보체계부서에 의해 승인된 보호장치가 공급되어야 한다 순간적인 전.

력공급 중단이 장비나 정보에 해를 끼치지 않도록 주의해야 한다.

컴퓨터와 통신시스템의 분산컴퓨터와 통신시스템의 분산컴퓨터와 통신시스템의 분산컴퓨터와 통신시스템의 분산390.390.390.390.

현재 사용되는 설비를 한 곳으로 집중시키는 것은 설비가 분산되어져 있는 것보다 휠씬 더

위험하다 컴퓨터와 통신시스템은 이 시스템들이 지나치게 업무수행을 방해하지 않거나 지. ,

나치게 안보를 위협하지 않거나 지나치게 비용이 들지 않는 한 가능하면 지리적으로 분산,

되어 있어야 한다.

통신 네트워크 주요기능의 고장 예방통신 네트워크 주요기능의 고장 예방통신 네트워크 주요기능의 고장 예방통신 네트워크 주요기능의 고장 예방391.391.391.391.

관리자는 회사의 통신네트워크를 직접 설계하여서 단 한 차례의 실패로 인해 통신서비스를,

이용할 수 없게 만드는 사태를 일으키지 않도록 해야 한다.

다양한 장거리 네트워크 경로의 필요다양한 장거리 네트워크 경로의 필요다양한 장거리 네트워크 경로의 필요다양한 장거리 네트워크 경로의 필요392.392.392.392.

관리자는 회사의 통신네트워크를 직접 설계하여서 중요한 의사소통이 다양한 장거리 운송,

체제를 통해 즉각 여러 경로로 낼 수 있어야 한다.

긴급사태나 재난 지원에 필요한 기준긴급사태나 재난 지원에 필요한 기준긴급사태나 재난 지원에 필요한 기준긴급사태나 재난 지원에 필요한 기준393.393.393.393.

부속 기관 분할 부서 각 기관 다른 회사 조직단위에서 비상사태나 재난과 같은 사건으로, , ,

인해 정보체계부서에 지원을 요청한다면 그들은 회사의 기준에 맞는 하드웨어 소프트웨어, ,

정책 그리고 절차로 수행해야만 한다.

복구순위에 의한 정보자원을 분류하는 기구복구순위에 의한 정보자원을 분류하는 기구복구순위에 의한 정보자원을 분류하는 기구복구순위에 의한 정보자원을 분류하는 기구394.394.394.394.

- 269 -

컴퓨터 운영 관리자는 복구순위에 의한 정보자원을 분류하는 논리적 기구를 설립하고 이용

해야만 한다 이 기구는 가장 위급한 정보자원의 우선 복구순위를 부여해야 한다 모든 부서. .

에서 정보시스템의 불의의 사고에 대한 계획을 준비할 때 이 기구를 이용해야 한다.

다중 이용자들을 위한 정기적인 위험성 평가다중 이용자들을 위한 정기적인 위험성 평가다중 이용자들을 위한 정기적인 위험성 평가다중 이용자들을 위한 정기적인 위험성 평가395.395.395.395.

정보 소유주들과 관련하여 정보시스템 부서는 정기적으로 모든 다중 이용자 컴퓨터 응용 생

산품의 위험성 평가를 준비하고 개정해야 한다 이와 같은 평가절차는 불의의 사고에 대한.

준비를 하게 한다.

중요성 분류 기법중요성 분류 기법중요성 분류 기법중요성 분류 기법396.396.396.396.

모든 컴퓨터 응용 생산품은 각각이 분리된 처리요구를 가지는 다섯 가지의 위험성 분류 중

에서 한가지로 분류되어야 한다 매우 중요 중요 보통 낮음 없음 이러한 위험성 분류시스. , , , ,

템은 회사를 통해서 이용되고 시스템 임시계획 처리과정의 통합을 형성해야 한다.

컴퓨터 비상대응 계획에 대한 준비와 관리컴퓨터 비상대응 계획에 대한 준비와 관리컴퓨터 비상대응 계획에 대한 준비와 관리컴퓨터 비상대응 계획에 대한 준비와 관리397.397.397.397.

컴퓨터와 통신 시스템을 위해서 관리자는 비상대응계획을 준비해야 하고 새롭게 갱신하고, ,

규칙적으로 검증해야 한다 이런 계획들은 서비스의 중단 감소가 정전 혹은 방해가 생길 때. ,

중요 시스템의 지속적으로 운영하는데 요구된다.

컴퓨터 긴급 대응팀의 조직과 관리컴퓨터 긴급 대응팀의 조직과 관리컴퓨터 긴급 대응팀의 조직과 관리컴퓨터 긴급 대응팀의 조직과 관리398.398.398.398.

관리자는 바이러스 감염 해커 침입 등과 같은 긴급사태와 관련된 컴퓨터 사고에서 문제확,

인 손해통제 그리고 문제수정 서비스를 가속화 할 수 있는 컴퓨터 긴급 대응팀 을, (CERT)

조직하고 관리해야 한다.

정보보호 경보시스템정보보호 경보시스템정보보호 경보시스템정보보호 경보시스템399.399.399.399.

정보시스템 부서 관리자는 근로자나 의심나는 정보보호 문제들에 관하여 관리인에게 신속히

고지하도록 하는 통신시스템을 설립 유지하고 정기적으로 검증하여야 한다 이런 문제점들, .

은 컴퓨터 바이러스 감염 해커의 침입 그리고 내부 정보의 외부로의 부적절한 누설 시스, , ,

템 방해 정전 그리고 다른 심각한 정보보호에 관련된 사건을 포함한다, .

- 270 -

작업을 방해하는 조건들을 관리자에게 통보작업을 방해하는 조건들을 관리자에게 통보작업을 방해하는 조건들을 관리자에게 통보작업을 방해하는 조건들을 관리자에게 통보400.400.400.400.

근로자들은 사업활동에 방해를 초래할 수 있는 모든 조건을 관리자에게 신속하게 통지하여

야 한다.

업무 복구 동안에 예상되는 고용인들의 협조업무 복구 동안에 예상되는 고용인들의 협조업무 복구 동안에 예상되는 고용인들의 협조업무 복구 동안에 예상되는 고용인들의 협조401.401.401.401.

회사 사업활동을 방해하는 긴급사태나 재난 이후에 정상적인 사업활동으로 복구하는데 종업

들은 회선의 능력으로 협조해야 한다 종업원의 가족과 개인 재산이 안전하게 된 이후에 긴.

장하여 일하고 회사가 정상 유지되는 것에 관심을 계속 갖게 될 것을 기대한다.

주요 기술적 작업과 작업을 수행하는 개인들주요 기술적 작업과 작업을 수행하는 개인들주요 기술적 작업과 작업을 수행하는 개인들주요 기술적 작업과 작업을 수행하는 개인들402.402.402.402.

관리자는 해마다 회사의 기술적인 작업과 이런 종류의 작업을 수행하는 개인의 명단을 미리

준비해 두어야 한다.

중요한 기술작업에서 직원의 교체 훈련중요한 기술작업에서 직원의 교체 훈련중요한 기술작업에서 직원의 교체 훈련중요한 기술작업에서 직원의 교체 훈련403.403.403.403.

언제든지 적어도 두 명의 직원은 회사 사업에 결정적인 정보시스템에 대한 핵심 기술서비,

스를 제공할 수 있어야 한다 핵심 기술서비스를 제공할 수 있는 직원이 명 미만이면 관리. 2 ,

자는 까다로운 대체훈련 추가 고용 혹은 다른 구체적 조치를 취해야 한다, , .

컴퓨터 재해 복구 안에 대한 준비와 관리컴퓨터 재해 복구 안에 대한 준비와 관리컴퓨터 재해 복구 안에 대한 준비와 관리컴퓨터 재해 복구 안에 대한 준비와 관리404.404.404.404.

경영자는 중요한 통신시스템이 홍수 또는 폭풍과 같은 재난으로부터 손실이 발생했을 때를

대비하여 재난 복구계획을 준비하고 정기적으로 갱신하고 시험해야 한다.

업무비상계획에 대한 준비와 관리업무비상계획에 대한 준비와 관리업무비상계획에 대한 준비와 관리업무비상계획에 대한 준비와 관리405.405.405.405.

관리자는 사업복구계획을 준비하고 정기적으로 새롭게 하며 자주 검증해야 한다 이런 복구.

계획안은 사무실 가구 전화와 복사기 같은 편의시설들이 얼마나 근로자들이 긴급사태나 재, ,

난 시에 운영을 계속할 수 있도록 제공될 것인지 자세히 쓰여져야 한다.

- 271 -

컴퓨터 일련 계획 처리 과정과 사업컴퓨터 일련 계획 처리 과정과 사업컴퓨터 일련 계획 처리 과정과 사업컴퓨터 일련 계획 처리 과정과 사업406.406.406.406.

업무비상계획과 컴퓨터 비상계획의 개발과 유지관리를 위한 표준 범조직 처리과정은 정보시

스템 부서에 의해 문서화되고 유지되어야 한다 부사장의 별도 승인이 없을 시 지역 관리자. ,

는 그와 같은 조직의 표준을 따라야 한다.

비용 효율성이 가능하도록 단순 수작업으로의 전환비용 효율성이 가능하도록 단순 수작업으로의 전환비용 효율성이 가능하도록 단순 수작업으로의 전환비용 효율성이 가능하도록 단순 수작업으로의 전환407. /407. /407. /407. /

만일 회사 중요한 사업활동이 잠시 동안이라도 할지라도 컴퓨터가 아닌 수작업으로 수행될

수 있다면 수작업 컴퓨터 비상계획이 개발되고 검증되고 정기적으로 갱신되어야 한다 대부, .

분의 경우에 이런 비상계획을 컴퓨터와 통신시스템 비상계획으로 통합되어야 한다.

정보시스템 하드웨어 소프트웨어 등의 목록정보시스템 하드웨어 소프트웨어 등의 목록정보시스템 하드웨어 소프트웨어 등의 목록정보시스템 하드웨어 소프트웨어 등의 목록408. ,408. ,408. ,408. ,

현재의 컴퓨터 환경이 뒤따르는 돌발적 사태에 재빨리 재구축될 수 있도록 정보시스템 부서

관리자는 제품 정보시스템 목록을 준비해야 한다 이 목록은 모든 존재하는 하드웨어 소프. ,

트웨어 그리고 자료통신연결을 나타내어야 한다.

재난 또는 긴급 지원수준의 결정재난 또는 긴급 지원수준의 결정재난 또는 긴급 지원수준의 결정재난 또는 긴급 지원수준의 결정409.409.409.409.

이용자 부서 관리자와 정보기술 부서 관리자는 재난 또는 긴급사태의 경우에 제공될 지원

수준에 동의해야 한다 이런 수준은 불의의 비상계획 문서 또는 서비스 협정에 나타난다. .

컴퓨터와 통신시스템의 비상계획의 점검컴퓨터와 통신시스템의 비상계획의 점검컴퓨터와 통신시스템의 비상계획의 점검컴퓨터와 통신시스템의 비상계획의 점검410.410.410.410.

어느 정도는 실제적이고 실행 가능하게 컴퓨터와 통신시스템이 비상계획이 효과적인지를,

확인하기 위해서는 정기적으로 검증되어야 한다 각각의 그런 검증은 취해질 검증의 세부결.

과와 처리행위를 상위 관리자에게 간결한 보고를 해야 한다.

컴퓨터와 통신시스템상의 예방 관리컴퓨터와 통신시스템상의 예방 관리컴퓨터와 통신시스템상의 예방 관리컴퓨터와 통신시스템상의 예방 관리411.411.411.411.

예방 관리는 실패 위험율이 합리적으로 낮게 유지되도록 모든 컴퓨터와 통신시스템에 정기

적으로 수행되어야 한다.

정보시스템 부서 직원의 긴급연락번호정보시스템 부서 직원의 긴급연락번호정보시스템 부서 직원의 긴급연락번호정보시스템 부서 직원의 긴급연락번호412.412.412.412.

- 272 -

도시에서 멀리 떨어져 여행하는 정보시스템 부서원은 모두 그들의 관리자와 그룹 비서들에

게 그들이 접촉할 수 있는 전화번호를 제공해야 한다 이런 정보는 여행에 앞서 제공되어야.

하고 여행과 상관없이 요구되는 것이다 이 정책은 모든 요구되는 직원이 재난복구와 다른.

문제해결 노력에 유용하게 될 것이다.

단말 이용자들의 파일 복구과정에 대한 접근 통제단말 이용자들의 파일 복구과정에 대한 접근 통제단말 이용자들의 파일 복구과정에 대한 접근 통제단말 이용자들의 파일 복구과정에 대한 접근 통제413.413.413.413.

단말 이용자에게 그들의 고유 파일을 회복할 수 있는 능력이 주어진다면 그들에게 다른 이,

용자들의 파일을 회복할 수 있거나 또는 다른 이용자들이 백업한 파일을 보는 특권이 주어

지지 않아야 한다.

데이터 자정과 최소한의 백업처리의 빈도수데이터 자정과 최소한의 백업처리의 빈도수데이터 자정과 최소한의 백업처리의 빈도수데이터 자정과 최소한의 백업처리의 빈도수414.414.414.414.

회사 컴퓨터상에 상주하는 모든 중요하고 가치있고 결정적인 정보는 주기적으로 백업되어야

한다 그와 같은 백업과정은 최소한 월 단위로 이루어져야 한다. .

멀리 떨어진 곳에 저장된 백업매체 암호화멀리 떨어진 곳에 저장된 백업매체 암호화멀리 떨어진 곳에 저장된 백업매체 암호화멀리 떨어진 곳에 저장된 백업매체 암호화415.415.415.415.

마그네틱 테이프 플로피 디스크 또는 광학 디스크 등과 같은 컴퓨터 백업매체에 또는 회사,

외부에 저장된 모든 중요하고 가치있고 결정적인 정보는 그들이 허용되지 않은 사람들에게

보여지거나 사용되는 것을 막기 위하여 암호화된 형태로 있어야 한다, .

중요하거나 결정적이거나 가치 있는 정보의 이중 복사중요하거나 결정적이거나 가치 있는 정보의 이중 복사중요하거나 결정적이거나 가치 있는 정보의 이중 복사중요하거나 결정적이거나 가치 있는 정보의 이중 복사416. ,416. ,416. ,416. ,

모든 와 워크스테이션 사용자들은 모든 중요하거나 결정적이거나 가치있는 파일이 변경PC

되면 분리된 자료 저장매체에 적어도 한 개의 백업사본을 만들어야 한다 이런 백업 사본들.

은 변경이 있을 때 동시에 만들어져야 한다.

단말 이용자의 백업과정의 관리자 검토단말 이용자의 백업과정의 관리자 검토단말 이용자의 백업과정의 관리자 검토단말 이용자의 백업과정의 관리자 검토417.417.417.417.

부서 관리자 혹은 대리자들은 중요하고 결정적이고 가치 있는 자료가 개인용 컴퓨터 워크,

스테이션 또는 다른 작은 시스템에 상주한다면 적절한 백업이 만들어지고 있는지 사실을 확

인해야만 한다.

백업 처리 과정과 빈도의 규정백업 처리 과정과 빈도의 규정백업 처리 과정과 빈도의 규정백업 처리 과정과 빈도의 규정418.418.418.418.

최종 이용자 파일에 대한 백업은 업무일 오후 시에 실무자들에 의해 시작되어 수행되어야6

한다.

- 273 -

이것에 대한 예외는 모든 파일의 완전한 백업이 수행되어야만 하는 매주 주말일 것이다.

지역 네트워크 서버에 자동 백업지역 네트워크 서버에 자동 백업지역 네트워크 서버에 자동 백업지역 네트워크 서버에 자동 백업419. (LAN)419. (LAN)419. (LAN)419. (LAN)

에 연결된 모든 이용자들은 백업이 시행될 수 있도록 그들의 컴퓨터를 밤에도 켜 놓아LAN

야만 한다.

정기적으로 백업된 모든 자료는 그 자료 사용자에게 통보정기적으로 백업된 모든 자료는 그 자료 사용자에게 통보정기적으로 백업된 모든 자료는 그 자료 사용자에게 통보정기적으로 백업된 모든 자료는 그 자료 사용자에게 통보420.420.420.420.

우발적인 손실을 방지하기 위해서 회사에 저장되어 있는 모든 파일과 메시지들은 정기적으,

로 테이프 디스크 그리고 다른 저장매체에 복사해야 한다 이것은 회사 시스템에 저장된, , .

정보가 비록 사용자들이 그것을 특별히 삭제할지라도 회복될 수 있고 시스템 관리자와 관리

자에 의하여 의도된 다른 사람에 의해 후에 검사된다.

사용에 앞서 중요한 백업파일을 최소한 한 개의 복사본을 만들어라사용에 앞서 중요한 백업파일을 최소한 한 개의 복사본을 만들어라사용에 앞서 중요한 백업파일을 최소한 한 개의 복사본을 만들어라사용에 앞서 중요한 백업파일을 최소한 한 개의 복사본을 만들어라421. .421. .421. .421. .

백업되었던 결정적인 자료는 만일 같은 자료의 다른 백업 사본이 다른 컴퓨터 저장 매체 테(

이프 디스크 스마트 카드 등 에 존재하지 않는다면 자료복구를 위해서 사용되어, , , CD ROM )

서는 안된다 컴퓨터 바이러스나 다른 소프트웨어 문제점들이 우려된다면 그것에 대한 추가.

적인 백업 카피 사본이 다른 컴퓨터에 만들어져야만 한다 이 정책은 중요한 백업자료의 유.

일한 현재의 사본을 복구과정에서 우연히 손상되는 것으로부터 보호할 것이다.

백업매체의 외부 기억장치백업매체의 외부 기억장치백업매체의 외부 기억장치백업매체의 외부 기억장치422.422.422.422.

중요하고 결정적이고 가치있는 정보의 백업들은 원본이 존재하고 있는 곳으로부터 적어도

정도 떨어져서 환경적으로 보호되고 접근 통제된 곳에 저장되어야 한다8km .

최소한도의 정보 보존기간최소한도의 정보 보존기간최소한도의 정보 보존기간최소한도의 정보 보존기간423.423.423.423.

만일 정보유형이 특별하게 정보보존 계획에 등록되어 있지 않으면 정보는 필요한 것만큼,

오랫동안 유지되어질 것이 틀림없지만 더 이상은 유지되지 않는다 정보 보존계획에 등록되.

어 있는 정보는 지정된 기간 동안 보존되어야 한다 다른 정보는 일반적으로 년 이내에 더. 2

필요하지 않을 때에 파괴되어야 한다.

- 274 -

이미 필요로 하지 않은 정보의 정기적인 정리이미 필요로 하지 않은 정보의 정기적인 정리이미 필요로 하지 않은 정보의 정기적인 정리이미 필요로 하지 않은 정보의 정기적인 정리424.424.424.424.

모든 회사 정보는 더 이상 필요하지 않을 때 파괴되거나 제거되어야 한다 이 정책에 따르.

기 위해 관리자는 주기적이고 계획된 기반에 따라 정보의 계속되는 가치와 유용성을 검토해

야 한다.

공문서 저장자료 보존계획의 정의공문서 저장자료 보존계획의 정의공문서 저장자료 보존계획의 정의공문서 저장자료 보존계획의 정의425.425.425.425.

모든 금융상의 회계 세금 계산 그리고 법적 기록들은 적어도 년 동안 유지되어야 한다, , 7 .

모든 다른 기록들은 적어도 년 동안 유지되어야 한다5 .

공문서 저장 자료보존계획에 대한 책임공문서 저장 자료보존계획에 대한 책임공문서 저장 자료보존계획에 대한 책임공문서 저장 자료보존계획에 대한 책임426.426.426.426.

모든 회사 정보는 법률기관에 의해 발행되어진 계획에 따라 안전하게 유지되어야 한다.

업무 자료문서 자료보존 요구들업무 자료문서 자료보존 요구들업무 자료문서 자료보존 요구들업무 자료문서 자료보존 요구들427.427.427.427.

업무 자료문서와 초기 전자입력 파일들은 일정기간까지 보존되어야 한다 특별하게 관련되.

어진 거래 매매 들은 완결되어 져야 하고 이들 거래들에 따른 기록들의 관리검토가 수행되( ) ,

어야 하고 논의되어 질지 모르는 기간까지는 적어도 경과되어야 할 것이다.

사업 자료문서 자료보존 기간사업 자료문서 자료보존 기간사업 자료문서 자료보존 기간사업 자료문서 자료보존 기간428.428.428.428.

입력자료를 포함하고 있는 사업 자료문서들은 적어도 이 정보가 회사 컴퓨터시스템에 저장

된 날로부터 최소한 일 동안 보존되어야 한다90 .

공문서 저장에 유지되는 정보목록공문서 저장에 유지되는 정보목록공문서 저장에 유지되는 정보목록공문서 저장에 유지되는 정보목록429.429.429.429.

외부에 저장된 모든 공문서 백업자료는 정보가 원래 그대로뿐 아니라 가장 최근에 수정되어

진 때의 날짜를 보여주는 최신 목록에 들어있어야 한다.

공문서 저장 자료매체공문서 저장 자료매체공문서 저장 자료매체공문서 저장 자료매체430.430.430.430.

중요하고 가치있고 결정적인 정보가 개월 이상 저장되어지는 모든 매체는 빠르게 저하되, 6

지 않아야 된다 예를 들면 열에 의한 복사 전송사진 는 적당한 공문서 자료저장 매체가 아. , ( )

니다.

- 275 -

공문서 저장 자료매체의 정기적인 검사공문서 저장 자료매체의 정기적인 검사공문서 저장 자료매체의 정기적인 검사공문서 저장 자료매체의 정기적인 검사431.431.431.431.

시간이 연장된 기간 동안에 컴퓨터 매체에 저장된 중요하고 가치있고 결정적인 정보가 복,

구될 수 있음을 보증하기 위하여 적어도 해마다 검사되어야 한다.

공문서 저장을 위해 사용된 자료매체의 정기적인 검사공문서 저장을 위해 사용된 자료매체의 정기적인 검사공문서 저장을 위해 사용된 자료매체의 정기적인 검사공문서 저장을 위해 사용된 자료매체의 정기적인 검사432.432.432.432.

중요하고 가치있고 결정적인 정보를 저장하기 위해 사용된 컴퓨터 자료매체는 양질이어야,

하고 문제의 정보를 정확하게 기록할 수 있음을 보증하기 위해 정기적으로 검사되어야 한,

다 이미 정보를 신뢰할 수 있게 유지할 수 없는 자료매체는 공문서저장을 위해 사용되어져.

서는 안된다.

공문서 창고에 자료의 보존유지공문서 창고에 자료의 보존유지공문서 창고에 자료의 보존유지공문서 창고에 자료의 보존유지433.433.433.433.

컴퓨터 매체 저장절차들은 시간이 연장된 기간 동안에 저장된 중요하고 가치있고 결정적인,

정보가 품질저하로 손실되지 않는다는 것을 보장해야 한다 예를 들면 관리자는 만일 원래. ,

의 백업매체가 불필요한 품질저하의 표시를 보인다면 다른 저장 매체에 자료를 복사해야 한

다.

정보의 무결성을 관리자에게 고지정보의 무결성을 관리자에게 고지정보의 무결성을 관리자에게 고지정보의 무결성을 관리자에게 고지434.434.434.434.

그들이 결정하는 정보를 표현하는 정확성 영구성 관련성과 다른 정보의 무결성에 관하여, ,

관리자에게 정기적으로 고지하여야 한다.

정보 무결성 통제 실패의 고지정보 무결성 통제 실패의 고지정보 무결성 통제 실패의 고지정보 무결성 통제 실패의 고지435.435.435.435.

정보의 무결성을 확인하는 통제가 실패하거나 그런 통제들이 실패로 생각되거나 혹은 그러, ,

한 통제들이 유용한 것이 아니라면 관리자에게 즉시 나타나지는 매시간에 이런 사실들을 고

지해야 한다.

정보 수정 원인이 밝혀져야 한다정보 수정 원인이 밝혀져야 한다정보 수정 원인이 밝혀져야 한다정보 수정 원인이 밝혀져야 한다436. .436. .436. .436. .

만일 회사에 의해 생산된 정보가 사진들을 수정하거나 숫자들이 반올림되는 등 어떤 방법( )

으로든지 변경 되어진다면 그 수취인들에게 수정된 원인에 대하여 고지되어야 한다 그 고.

지는 그러한 정보에 기초한 수취인들의 결정보다 앞서 전달되어져야 한다.

- 276 -

주요 결정 입력을 위해 요구되는 자원과 날짜 표시주요 결정 입력을 위해 요구되는 자원과 날짜 표시주요 결정 입력을 위해 요구되는 자원과 날짜 표시주요 결정 입력을 위해 요구되는 자원과 날짜 표시437.437.437.437.

억원을 초과하는 금액을 포함하는 경영결정을 위해 사용되는 모든 자료는 그것의 원본과1

해당되는 날짜를 모두 표시되어야 한다 이들 표시는 정보를 기록하고 저장하고 처리하기. ,

위해 사용되는 무엇이든지 보존되어야 할 것이다.

불충분하거나 시대에 뒤떨어진 정보의 삭제 또는 등급화불충분하거나 시대에 뒤떨어진 정보의 삭제 또는 등급화불충분하거나 시대에 뒤떨어진 정보의 삭제 또는 등급화불충분하거나 시대에 뒤떨어진 정보의 삭제 또는 등급화438.438.438.438.

정보의 상태를 기술하는 설명서를 덧붙이지 않는다면 모든 불충분하거나 구식의 정보는 삭,

제되어야 하고 사용자들에게 배포되어서는 안된다.

제품 입력처리는 연속된 번호를 가져야 한다제품 입력처리는 연속된 번호를 가져야 한다제품 입력처리는 연속된 번호를 가져야 한다제품 입력처리는 연속된 번호를 가져야 한다439. .439. .439. .439. .

문제 해결과정을 용이하게 하기 위해서 컴퓨터시스템에 대한 각 입력처리는 유일한 연속,

번호와 식별자가 배정되어야 한다.

모든 생산 시스템 입력처리를 위해 요구되는 권한모든 생산 시스템 입력처리를 위해 요구되는 권한모든 생산 시스템 입력처리를 위해 요구되는 권한모든 생산 시스템 입력처리를 위해 요구되는 권한440.440.440.440.

방법들은 처리과정을 위해 제출되어진 생산 컴퓨터 시스템들의 모든 입력이 완전하게 공인

되어졌음을 확인해야 한다.

중요하고 가치있고 결정적인 정보의 수정을 위한 요구들중요하고 가치있고 결정적인 정보의 수정을 위한 요구들중요하고 가치있고 결정적인 정보의 수정을 위한 요구들중요하고 가치있고 결정적인 정보의 수정을 위한 요구들441. ,441. ,441. ,441. ,

중요하고 가치있고 결정적인 정보에 영향을 미치는 처리들은 시작하는 개체나 시스템이 그,

러한 처리들을 하도록 승인된 경우에만 처리되어야 한다.

입력자료 확인과 항목처리의 거부입력자료 확인과 항목처리의 거부입력자료 확인과 항목처리의 거부입력자료 확인과 항목처리의 거부442.442.442.442.

다중 사용자 컴퓨터시스템에 입력되어진 모든 자료들은 먼저 합리적인 검사 편집검사 그리, ,

고 또는 확인검사들을 거쳐야 한다 그러한 검사들에 실패한 자료는 거부 통지서로 송신자( ) .

에게 되보내지거나 정정하여서 다시 제출해지거나 더 조사되기를 기다리는 동안 중지될 것

이다.

백만원 이상의 모든 금액에 대해 요구되어진 이중 암호백만원 이상의 모든 금액에 대해 요구되어진 이중 암호백만원 이상의 모든 금액에 대해 요구되어진 이중 암호백만원 이상의 모든 금액에 대해 요구되어진 이중 암호443.443.443.443.

인쇄상의 오류 확률을 감소시키기 위해 거래를 시작하는 약 백만원 이상의 양에 해당하는,

모든 키보드에 기초한 컴퓨터 입력과정은 두 번 입력해야 한다.

- 277 -

중요한 비서식 원문메세지는 줄마다 번호 부여중요한 비서식 원문메세지는 줄마다 번호 부여중요한 비서식 원문메세지는 줄마다 번호 부여중요한 비서식 원문메세지는 줄마다 번호 부여444.444.444.444.

결정적 또는 특별히 중요한 사업문제들을 다루는 전자우편 전송과 팩스와 같은 자유형의 원

문메세지들 가운데 각 라인은 숫자화 되어야 할 것이다 이 과정은 원문의 어떤 부분들의.

생략이나 또는 고의적인 삭제를 두드러지게 할 것이다.

거래의 발기인은 명확하게 확인되어져야 한다거래의 발기인은 명확하게 확인되어져야 한다거래의 발기인은 명확하게 확인되어져야 한다거래의 발기인은 명확하게 확인되어져야 한다445. .445. .445. .445. .

중요하고 결정적이거나 가치있는 정보에 영향을 미치는 거래들은 시작하는 개체나 시스템이

분명하게 확인되는 자료문서나 자동화된 메시지들에 의해서만 시작되어질 수 있다.

손으로 만들어진 공문서들은 오로지 잉크를 사용해야 한다손으로 만들어진 공문서들은 오로지 잉크를 사용해야 한다손으로 만들어진 공문서들은 오로지 잉크를 사용해야 한다손으로 만들어진 공문서들은 오로지 잉크를 사용해야 한다446. .446. .446. .446. .

손으로 작성된 모든 회사 공문서들은 지워지지 않는 잉크를 사용해야 한다 만일 기록에 수.

정이 요구된다면 그 기록은 원래의 작성자에 의해 삭제되고 수정되어지고 날짜가 적혀져야, ,

한다 이러한 수정들을 위한 투명한 액체 종이 수정은 금지된다 공문서들의 예들로는 여행. .

경비보고서 근로자수행평가 그리고 수신 입출력 기록 등이 포함된다, , , .

개인에 의한 업무에 요구되는 검토개인에 의한 업무에 요구되는 검토개인에 의한 업무에 요구되는 검토개인에 의한 업무에 요구되는 검토447.447.447.447.

억원 이상을 포함하는 스프레드 쉬트나 또는 다른 컴퓨터 응용으로 혼자 일하는 한 개인1 ,

에 의해 연구되어지는 회사 사업결정은 다른 행동이 취해지기 전에 적어도 한 관리자에 의

해 검토되어야 한다.

억원 정도 결정에 이르는데 이용된 자료에 대한 적절한 통제억원 정도 결정에 이르는데 이용된 자료에 대한 적절한 통제억원 정도 결정에 이르는데 이용된 자료에 대한 적절한 통제억원 정도 결정에 이르는데 이용된 자료에 대한 적절한 통제448. 1448. 1448. 1448. 1

억원 이상을 포함하는 결정들에 사용하기에 앞서 가까운 장래에 결정하는데 결정적인 모1 ,

든 재정상의 자료들은 전체통제 총계기록 그리고 또는 유사한 통제들을 거쳐서 정확하게, , ( )

검사되어야 한다.

발견되지 않은 정보 변경이 수용할 수 있는 위험발견되지 않은 정보 변경이 수용할 수 있는 위험발견되지 않은 정보 변경이 수용할 수 있는 위험발견되지 않은 정보 변경이 수용할 수 있는 위험449.449.449.449.

관리자는 회사 정보가 발견되지 않은 변경의 심각한 위험으로부터 자유롭다는 것을 보장할

수 있는 충분한 통제들을 설치하고 운영하여야 한다.

- 278 -

개조된 사진은 표시가 붙여야 한다개조된 사진은 표시가 붙여야 한다개조된 사진은 표시가 붙여야 한다개조된 사진은 표시가 붙여야 한다450. .450. .450. .450. .

실물의 영상으로서 나타내지는 사진들은 개조되어서는 안된다 사진이 개조된다면 관찰자는.

변경되어진 것을 즉시 알 수 있도록 해야 한다.

임시파일을 통한 거부된 입력자료의 처리임시파일을 통한 거부된 입력자료의 처리임시파일을 통한 거부된 입력자료의 처리임시파일을 통한 거부된 입력자료의 처리451.451.451.451.

모든 거절된 입력자료는 그들이 처리과정으로 성공적으로 다시 제출되거나 달리 처리될 때

까지 조작 임시파일에 보관되어야 하고 예외보고서에 기록되어야 한다.

임시파일에 있는 목록의 문제해결 시한임시파일에 있는 목록의 문제해결 시한임시파일에 있는 목록의 문제해결 시한임시파일에 있는 목록의 문제해결 시한452.452.452.452.

좀더 조사할 때까지 유예상태 속에 저장된 모든 입력자료는 다시 제출되거나 그렇지 않으면

처음 등록된 지 일안에 처리되어야 한다10 .

거부되거나 일시 유예된 입력자료에 대한 입력확인 절차거부되거나 일시 유예된 입력자료에 대한 입력확인 절차거부되거나 일시 유예된 입력자료에 대한 입력확인 절차거부되거나 일시 유예된 입력자료에 대한 입력확인 절차453.453.453.453.

다시 제출하기 위해 수정된 입력자료 혹은 일시 유예되거나 나중에 다시 제출할 수 있게 허

락된 입력자료는 최초의 입력자료 수령과 똑같은 확인절차에 따라야 한다 이들 확인절차의.

예는 합리성확인과 형식편집확인을 포함한다.

제작 자료와 프로그램의 수정을 위한 허가권제작 자료와 프로그램의 수정을 위한 허가권제작 자료와 프로그램의 수정을 위한 허가권제작 자료와 프로그램의 수정을 위한 허가권454.454.454.454.

회사에서 제작된 자료와 제작된 컴퓨터 프로그램은 확인된 절차에 따라서 단지 허가된 사람

들에 의해서 수정 되어야 한다.

제품 거래는 관리자에 의하여 허가되어야 한다제품 거래는 관리자에 의하여 허가되어야 한다제품 거래는 관리자에 의하여 허가되어야 한다제품 거래는 관리자에 의하여 허가되어야 한다455. .455. .455. .455. .

사업기록을 최신 것으로 만든 거래에서는 처음에 회사의 관리자에 의하여 허락된 때에만 단

지 처리 되어야 한다.

내부기록에 대한 수정을 위한 타당성과 정확성 검토내부기록에 대한 수정을 위한 타당성과 정확성 검토내부기록에 대한 수정을 위한 타당성과 정확성 검토내부기록에 대한 수정을 위한 타당성과 정확성 검토456.456.456.456.

관리자는 내부기록에 대한 모든 수정을 위한 타당성과 정확성을 검토하거나 혹은 정식으로(

검토할 자격이 있고 책임질 수 있는 사람을 위한 구조를 확립해야 한다 이런 수정에는 판)

매거래를 기록하고 지불계정된 지출금의 계산서를 기록하는 것이 포함된다.

- 279 -

기록에서 오류가 발견된 후에 필요한 조치기록에서 오류가 발견된 후에 필요한 조치기록에서 오류가 발견된 후에 필요한 조치기록에서 오류가 발견된 후에 필요한 조치457.457.457.457.

고객이 회사 기록 속에 있는 오류를 회사 직원에게 가져오면 오류에 관한 조사가 즉시 시작

되어야 한다 부서 관리자의 허락이 없을 때에는 주장된 오류의 해결은 고객으로부터 전달.

된 후 주 이내에 끝마쳐야 한다 더욱이 고객으로부터 전달된 후 주 이내에 답장이 고객2 . , 2

에게 보내져야 한다.

답변서에는 요청된 것처럼 수정이 이루어졌음(1) ,

수정되지 않은 것과 수정되지 않은 이유(2) ,

또는 수정에 대한 결정이 이루어질 날짜를 자세히 기록해야 한다(3) .

사업기록을 수정하기 위한 표준통제절차사업기록을 수정하기 위한 표준통제절차사업기록을 수정하기 위한 표준통제절차사업기록을 수정하기 위한 표준통제절차458.458.458.458.

만일 회사의 사업기록에 오류가 나타나면 즉시 표준통제절차를 이용해서 수정되어야 한다, .

회사 사원들에 의한 진실한 표현회사 사원들에 의한 진실한 표현회사 사원들에 의한 진실한 표현회사 사원들에 의한 진실한 표현459.459.459.459.

회사 사원들 계약자들 또는 고문단에 의해 만들어진 사업상 관련 표현은 항상 진실성이 있, ,

어야 한다 그런 표현들은 광고에서 노조교섭에서 상품의 상표에서 그리고 정부 보고서 속. ,

에서 만들어진 표현을 포함하고 있어야 한다.

사원접촉정보 표현의 일관된 방법사원접촉정보 표현의 일관된 방법사원접촉정보 표현의 일관된 방법사원접촉정보 표현의 일관된 방법460.460.460.460.

회사 기록의 무결성을 확인하기 위해서 모든 근로자는 자신의 이름 주소 그리고 다른 개, , ,

인적인 정보를 표현 하는데 단 하나의 방법만을 선택해야 하며 회사와 관련된 모든 문제들

에 대해 일관되게 이런 방법을 사용해야 한다.

중요한 정보에 관한 교차확인의 필요성중요한 정보에 관한 교차확인의 필요성중요한 정보에 관한 교차확인의 필요성중요한 정보에 관한 교차확인의 필요성461.461.461.461.

관리자가 신뢰하고 있는 중요한 정보는 정기적으로 대외적인 자료와 비교되어야 하며 그렇

지 않으면 현실에 대한 정확한 표현을 전달 하는지를 확인하기 위해 교차확인 되어야 한다.

모든 공적 표현은 홍보활동을 통해 알려져야 한다모든 공적 표현은 홍보활동을 통해 알려져야 한다모든 공적 표현은 홍보활동을 통해 알려져야 한다모든 공적 표현은 홍보활동을 통해 알려져야 한다462. .462. .462. .462. .

회사의 홍보담당부서에 의해 먼저 허가되지 않는 한 회사에 관한 방송매체광고 인터넷 홈, ,

페이지 전자게시판 목소리 우편방송메시지 그리고 공적인 표현도 발표되지 못한다, , .

- 280 -

언론자유 권리가 회사 시스템에는 적용되지 않는다언론자유 권리가 회사 시스템에는 적용되지 않는다언론자유 권리가 회사 시스템에는 적용되지 않는다언론자유 권리가 회사 시스템에는 적용되지 않는다463. .463. .463. .463. .

회사의 컴퓨터와 통신체계는 참석자들에게 언론자유 권리를 행사할 수 있도록 계획되지 않

았으며 사용되어서도 안된다.

조직시스템에 관한 자료검열 권리조직시스템에 관한 자료검열 권리조직시스템에 관한 자료검열 권리조직시스템에 관한 자료검열 권리464.464.464.464.

관리자는 회사의 컴퓨터와 네트워크에 나타난 모든 자료를 검열할 권리를 보유하고 있다.

이와 같은 시설은 사적인 업무시스템이며 공적인 포럼이 아니다.

경고 없이 쓸데없는 자료를 삭제할 권리경고 없이 쓸데없는 자료를 삭제할 권리경고 없이 쓸데없는 자료를 삭제할 권리경고 없이 쓸데없는 자료를 삭제할 권리465.465.465.465.

회사는 쓸데없는 자료나 불법적인 것으로 생각되는 자료를 정보시스템으로부터 삭제할 권리

를 가지고 있다.

회사의 컴퓨터와 통신시설의 이용금지회사의 컴퓨터와 통신시설의 이용금지회사의 컴퓨터와 통신시설의 이용금지회사의 컴퓨터와 통신시설의 이용금지466.466.466.466.

음성 우편시스템 전자게시판 데이터 베이스 관리시스템 그리고 전자우편 시설과 같은 회, , ,

사의 컴퓨터와 통신시스템은 회사의 조직의 변경 또는 업무지침의 문제를 토론하기 위한 공

개적인 포럼으로 이용되어서는 안된다.

메시지 내용에 대한 의무 또는 책임 부인메시지 내용에 대한 의무 또는 책임 부인메시지 내용에 대한 의무 또는 책임 부인메시지 내용에 대한 의무 또는 책임 부인467.467.467.467.

회사는 전자게시판 시스템에 있는 어떤 메시지의 내용에 대해서도 의무와 책임을 부인한다.

전자 게시판시스템과 관하여 회사는 일반적인 정보전달의 역할은 하되 그 내용을 통제하지

않는다 또한 회사는 이 시스템에 나타난 정보의 정확성 정밀성 혹은 타당성 여부를 확인하. ,

지 않는다.

시스템에 관한 논평들이 회사의 입장을 반드시 반영하지는 않는다시스템에 관한 논평들이 회사의 입장을 반드시 반영하지는 않는다시스템에 관한 논평들이 회사의 입장을 반드시 반영하지는 않는다시스템에 관한 논평들이 회사의 입장을 반드시 반영하지는 않는다468. .468. .468. .468. .

근로자들이 전자우편이나 전자게시판 또는 다른 전자시스템에 보내는 논평들은 반드시 회사

의 공식적이거나 확실한 입장 표명은 아니다.

방송수신인 들의 감정을 상하거나 불쾌감을 느끼는 경우에 대한 경고방송수신인 들의 감정을 상하거나 불쾌감을 느끼는 경우에 대한 경고방송수신인 들의 감정을 상하거나 불쾌감을 느끼는 경우에 대한 경고방송수신인 들의 감정을 상하거나 불쾌감을 느끼는 경우에 대한 경고469.469.469.469.

- 281 -

만약 전화 내용 음성우편 내용 편지 또는 회사의 몇몇 다른 통신내용이 그 내용을 듣는 수, ,

신인들 중 단 일부라도 감정을 상하게 할 가능성이 있다면 분명히 이에 대한 경고가 수신,

인이 그 정보를 받지 않도록 겉부분이나 도입부분 혹은 어떤 다른 지면에 실려야 한다.

제공되지 않는 통신망 보호 서비스제공되지 않는 통신망 보호 서비스제공되지 않는 통신망 보호 서비스제공되지 않는 통신망 보호 서비스470.470.470.470.

컴퓨터 통신망 서비스를 제공할 때 회사는 일반 우편 배달부와 같은 역할을 하게 된다 회.

사는 통신 서비스를 제공하되 그 내용을 보호하는 서비스는 제공하지 않는다 따라서 통신.

망 상의 정보 누출에 대한 어떤 책임도 없으며 개인 사생활에 대한 어떤 보증도 하지 않는

다.

성차별 인종 및 민족 학대금지성차별 인종 및 민족 학대금지성차별 인종 및 민족 학대금지성차별 인종 및 민족 학대금지471. ,471. ,471. ,471. ,

성차별 인종 및 민족차별은 원치않는 전화 혹은 전자우편 통신망 내부 우편을 포함, - , , -

엄격히 금지되며 방송금지 까지도 포함한 징계조치의 원인이 된다 관리자 들은 이런 지침.

을 근로자들에게 분명이 해야 하며 강력히 제안되는 어떤 사안에 대해 즉시 조사 수정도 해

야 한다.

내부 통신망에 있는 주소들은 공개되어서는 안된다내부 통신망에 있는 주소들은 공개되어서는 안된다내부 통신망에 있는 주소들은 공개되어서는 안된다내부 통신망에 있는 주소들은 공개되어서는 안된다472. .472. .472. .472. .

통신망 내부의 주소들 배치 형태 그리고 통신망화 된 회사의 컴퓨터 체제에 대한 관련 시,

스템 디자인 정보들은 시스템과 내부 통신망 외부 사용자들 모두가 관리자의 승인 없이는

이러한 정보에 접근할 수 없도록 엄격히 제한되어야 한다.

네트워크 컴퓨터에 필요한 정보통제장치네트워크 컴퓨터에 필요한 정보통제장치네트워크 컴퓨터에 필요한 정보통제장치네트워크 컴퓨터에 필요한 정보통제장치473.473.473.473.

근로자들이 근무시간이 아닌 때에 컴퓨터 전원을 켜 놓고 또 그 컴퓨터들이 통신망에 연결

되어 있다면 그 컴퓨터들은 정보보안 부서에 의하여 승인된 접근통제제도에 의하여 보호되

어야 한다.

네트워크에 연결된 컴퓨터에 대한 접근통제 패키지네트워크에 연결된 컴퓨터에 대한 접근통제 패키지네트워크에 연결된 컴퓨터에 대한 접근통제 패키지네트워크에 연결된 컴퓨터에 대한 접근통제 패키지474. .474. .474. .474. .

제 자 네트워크에 의하여 접근 할 수 있는 모든 회사 컴퓨터들 전화 연결 부가가치 통신3 ( ,

망 인터넷 등 은 정보보안 부서에서 승인한 특별한 접근통제시스템에 의해 보호되어야 한, )

다 이 지침은 외부에서 걸려온 전화는 관계없고 외부로 전화를 하기 위해 모뎀을 사용하는.

컴퓨터에는 적용되지 않는다.

- 282 -

거대한 네트워크는 독립된 도메인으로 나누어 져야 한다거대한 네트워크는 독립된 도메인으로 나누어 져야 한다거대한 네트워크는 독립된 도메인으로 나누어 져야 한다거대한 네트워크는 독립된 도메인으로 나누어 져야 한다475. .475. .475. .475. .

국가나 조직의 경계를 통과하는 거대한 네트워크는 각각이 적당한 보안 영역과 접근통제로

보호된 독립적으로 정의된 논리적인 도메인을 가져야 한다.

방화벽 없이 허용할 수 있는 인터넷 접근방화벽 없이 허용할 수 있는 인터넷 접근방화벽 없이 허용할 수 있는 인터넷 접근방화벽 없이 허용할 수 있는 인터넷 접근476. (Firewalls)476. (Firewalls)476. (Firewalls)476. (Firewalls)

회사가 승인된 방화벽을 설립할 때까지 단지 한 가지 방법으로만 인터넷에 연결될 허가를

받는다 이 방법은 독립형의 컴퓨터로부터 외국과 연결 될 허가를 포함한다 가정용 컴퓨터. .

가 회사 내부네트워크와 연결 되었을 때 이 기계는 방화벽이 사용되지 않는 상태에서 인터

넷과 자동으로 연결되어서는 안된다.

전화회선에 의한 연결은 항상 방화벽을 이용해야만 한다전화회선에 의한 연결은 항상 방화벽을 이용해야만 한다전화회선에 의한 연결은 항상 방화벽을 이용해야만 한다전화회선에 의한 연결은 항상 방화벽을 이용해야만 한다477. .477. .477. .477. .

회사 내부네트워크 또는 다중 사용자 컴퓨터시스템과 연결된 모든 내부전화회선은 사용자들

이 기록일지표제 에 접하기 전에 부가적인 접근통제점 을 통과해(Log-in banner) (a firewall)

야만 한다.

실시간의 외부네트워크 접속은 방화벽을 요구한다실시간의 외부네트워크 접속은 방화벽을 요구한다실시간의 외부네트워크 접속은 방화벽을 요구한다실시간의 외부네트워크 접속은 방화벽을 요구한다478. .478. .478. .478. .

외국의 전화회선 체제를 예외로 하면 회사 내부네트워크와 다중 사용자 컴퓨터시스템에 모,

든 실시간 외부연결은 사용자들이 기록일지표제 에 접하기 전에 방화벽 같은(Log-lnbanner)

추가적인 접근통제점을 통과해야 한다.

인터네트 연결은 승인된 방화벽을 요구한다인터네트 연결은 승인된 방화벽을 요구한다인터네트 연결은 승인된 방화벽을 요구한다인터네트 연결은 승인된 방화벽을 요구한다479. .479. .479. .479. .

회사 내부네트워크와 인터네트 또는 공개적으로 접근 가능한 컴퓨터 네트워크 사이의 모든( )

연결은 승인된 방화벽과 관련된 접근통제를 포함한다.

외부 조직 터널 들과의 직접적인 네트워크 연결들외부 조직 터널 들과의 직접적인 네트워크 연결들외부 조직 터널 들과의 직접적인 네트워크 연결들외부 조직 터널 들과의 직접적인 네트워크 연결들480. ( )480. ( )480. ( )480. ( )

회사 시스템들과 인터넷이나 어떤 다른 공공 네트워크를 경유하는 외부조직에 있는 컴퓨터,

들 사이의 직접적인 연결체제는 정보보안관리자에 의해 먼저 승인되어져 있지 않았다면 금

지되어야 한다.

- 283 -

금지된 외부위치로부터의 중앙 연산처리 명령들금지된 외부위치로부터의 중앙 연산처리 명령들금지된 외부위치로부터의 중앙 연산처리 명령들금지된 외부위치로부터의 중앙 연산처리 명령들481.481.481.481.

승인되지 않은 시스템의 접근과 연관된 문제들을 정지시키기 위하여 사용자들이 먼저 로그

인 하지 않은 한 외부위치로부터 수신된 모든 사용자 주도명령은 실행되지 않아야만 한다.

네트워크로부터 비밀정보가 들어있는 시스템들을 격리시켜라네트워크로부터 비밀정보가 들어있는 시스템들을 격리시켜라네트워크로부터 비밀정보가 들어있는 시스템들을 격리시켜라네트워크로부터 비밀정보가 들어있는 시스템들을 격리시켜라482. .482. .482. .482. .

비밀정보가 들어있는 회사의 컴퓨터 시스템들은 어떤 네트워크나 어떤 다른 컴퓨터와 연결

시켜서는 안된다.

고객들은 특별히 새롭고 강화된 서비스를 받는 것에 동의해야만 한다고객들은 특별히 새롭고 강화된 서비스를 받는 것에 동의해야만 한다고객들은 특별히 새롭고 강화된 서비스를 받는 것에 동의해야만 한다고객들은 특별히 새롭고 강화된 서비스를 받는 것에 동의해야만 한다483. .483. .483. .483. .

회사로부터 컴퓨터나 통신 서비스들을 받고 있는 고객들은 새롭고 강화된 서비스들을 제공

받기 전에 명백하게 새롭고 또는 강화된 서비스들을 받는 것을 동의해야만 한다 명백한 승.

인이 없을 때에도 회사는 이전에 유효했었던 서비스들을 제공하는 것을 계속해야만 한다, .

공중통신업자들 의 표준은 적용되지 않는다공중통신업자들 의 표준은 적용되지 않는다공중통신업자들 의 표준은 적용되지 않는다공중통신업자들 의 표준은 적용되지 않는다484. (carriers) .484. (carriers) .484. (carriers) .484. (carriers) .

회사에 의해 제공되어 온 네트워크 서비스들은 계약 속에서 제공되어진 것이지 공중통신업

자들의 표준에 의해서 되어진 것은 아니다 개인 네트워크 운영과 마찬가지로 이 조직은 공.

중통신업자들의 표준들을 유지하지 않고 그것의 네트워크 시스템들의 사용에 관한 정책들을

만들 권리를 갖는다.

모든 통신회선의 변경을 위하여 요구된 사전 승인모든 통신회선의 변경을 위하여 요구된 사전 승인모든 통신회선의 변경을 위하여 요구된 사전 승인모든 통신회선의 변경을 위하여 요구된 사전 승인485.485.485.485.

만약 근로자들과 매각자 들이 먼저 원격통신 기관의 책임자로부터 승인을 얻지 못(vendors)

했다면 근로자들과 매각자들은 실제적으로 어떤 통신업자와 함께 음성이나 자료회선들을,

설치하는 협정을 만들거나 경쟁해서는 안된다.

다중 사용자 시스템들의 조직을 위하여 요구된 사전 승인다중 사용자 시스템들의 조직을 위하여 요구된 사전 승인다중 사용자 시스템들의 조직을 위하여 요구된 사전 승인다중 사용자 시스템들의 조직을 위하여 요구된 사전 승인486.486.486.486.

근로자들은 정보보안부서의 책임자의 특정한 승인 없이 정보통신을 위한 내부 네트워크들

또는 다른 다중 사용자 시스템들과 연결하는 전자게시판 지역네트워크와 모뎀을 설치해서,

는 안 된다 이 정책은 모든 회사의 네트워크 시스템들이 승인되지 않은 접근을 방지하는데.

필요한 통제를 확실하게 한다.

- 284 -

시스템 상호연결을 위한 사전 승인시스템 상호연결을 위한 사전 승인시스템 상호연결을 위한 사전 승인시스템 상호연결을 위한 사전 승인487.487.487.487.

둘 혹은 더 많은 사내 컴퓨터 시스템들 사이의 실시간 연결은 정보보안부서가 그와 같은 연

결이 전국이 그러한 연결들이 정보보안을 위험에 빠뜨리지 않을 것이라고 결정하지 않는 한

설립되어지지 않는다.

제 자 시스템들에 연결된 네트워크를 위한 비밀 요구들제 자 시스템들에 연결된 네트워크를 위한 비밀 요구들제 자 시스템들에 연결된 네트워크를 위한 비밀 요구들제 자 시스템들에 연결된 네트워크를 위한 비밀 요구들488. 3488. 3488. 3488. 3

회사의 컴퓨터 네트워크에의 접근을 얻기 위한 조건으로서 모든 제 자는 회사의 요구들과3

일치한 방법으로서 그 자신에 연결된 시스템들을 안전하게 해야만 한다 회사는 사전의 경.

고없이 효과적으로 이러한 연결 시스템들에 관한 보안 측량을 감사하는 권리를 보유하고 있

다 또한 회사는 모든 제 자 시스템들이 그러한 요구들과 만족하지 않을 때에 네트워크 연. 3

결들을 즉각적으로 중지하는 권리를 보유하고 있다.

인터넷 연결 설치를 위하여 요구된 승인인터넷 연결 설치를 위하여 요구된 승인인터넷 연결 설치를 위하여 요구된 승인인터넷 연결 설치를 위하여 요구된 승인489.489.489.489.

정보시스템 책임자의 사전 승인이 없다면 근로자들은 회사 외부 사용자들이 회사의 시스템,

들과 정보에 접근할 수 있는 인터넷이나 다른 외부네트워크 연결을 설치해서는 안된다 이.

들 연결은 다수의 컴퓨터 파일시스템들 와 같은 인터넷 홈페이지들 인(Sun's NIS ), WWW ,

터넷 파일전송 프로토콜 제공자들 그리고 그와 같은 것들의 설치를 포함하고 있다(FTP) , .

서비스 제공자로서의 공공 네트워크들에 가입서비스 제공자로서의 공공 네트워크들에 가입서비스 제공자로서의 공공 네트워크들에 가입서비스 제공자로서의 공공 네트워크들에 가입490.490.490.490.

다른 사람들이 신뢰하는 서비스 제공자로서의 공공 네트워크들의 가입은 양쪽 조건들이 먼

저 이행되지 않는다면 명백히 금지되어야 한다 특별히 회사의 법률고문변호사는 책임의 범.

위와 성질을 평가해야만 하고 그 때 고위 경영자는 명백하게 이 위험들을 수용해야안 한다.

회사 소유인 근로자들에 속한 컴퓨터 시스템들의 사용회사 소유인 근로자들에 속한 컴퓨터 시스템들의 사용회사 소유인 근로자들에 속한 컴퓨터 시스템들의 사용회사 소유인 근로자들에 속한 컴퓨터 시스템들의 사용491.491.491.491.

근로자들은 그들 자신의 컴퓨터들과 컴퓨터 주변장치들 또는 소프트웨어를 그들 부서의 부

서장으로부터 사전승인 없이 회사 시설로 가져와서는 안된다.

재택 협약에서의 작업을 위한 보안 요구들재택 협약에서의 작업을 위한 보안 요구들재택 협약에서의 작업을 위한 보안 요구들재택 협약에서의 작업을 위한 보안 요구들492.492.492.492.

컴퓨터 작업 등 재택 협약에서의 작업은 일반적인 고용인의 혜택이 아니고 경영자의 선택( )

이다.

- 285 -

컴퓨터로 재택 근무 허가는 관련된 고용인에 대한 관리자의 결정이다 컴퓨터로 재택 근무.

협약을 시작할 수 있기 전에 가정사무실 같은 다른 일터가 관련된 고용인에 의하여 수행, ( )

되는 회사의 일에 적합하다는 것이 이 관리자에게 충족되어야만 한다 심사 숙고할 것들은.

물리적인 것과 회사의 자산에 관한 정보비밀 산만하지 않은 작업환경 근로자의 업무수행을, ,

측정하는 방법들 그리고 다른 근로자들과 접촉을 유지할 수 있는 방법들이다.

전자시스템들을 통한 구속력 있는 계약성립전자시스템들을 통한 구속력 있는 계약성립전자시스템들을 통한 구속력 있는 계약성립전자시스템들을 통한 구속력 있는 계약성립493.493.493.493.

비록 회사가 제 자와 적극적으로 전자자료교환 과 다른 전자사업시스템을 수행하려고3 (EDI)

추구해도 모든 거래는 전자시스템을 통하여 구입 또는 판매에 앞서 서류에 의하여 이루어진

다 전자우편 유사한 구속력 있는 사업메시지들은 총괄적인 구입 주문서와 같은 총괄. EDI, ,

적인 주문서에 대하여 공개되어야 한다.

의 사용 전에 요구되는 무역상대동의의 사용 전에 요구되는 무역상대동의의 사용 전에 요구되는 무역상대동의의 사용 전에 요구되는 무역상대동의494. EDI494. EDI494. EDI494. EDI

제삼자와 를 위한 회사 시스템의 사용 전에 사용 기간과 조건들을 결정하는 무역상EDI EDI

대협약은 협상되어야 한다 이들 협약은 사업거래를 위한 시스템들을 사용하기 전에 회. EDI

사의 법률고문변호사에 의해 승인되어야만 한다.

은행구좌 번호들의 누설은행구좌 번호들의 누설은행구좌 번호들의 누설은행구좌 번호들의 누설495.495.495.495.

회사의 지불 채무 은행구좌 번호들은 기밀이고 형태 편지지 팜플렛 등과 같은 것이 제삼자( ) ,

에게 누설되지 않아야 한다.

전산화된 거래들에 관한 수용과 시행을 위한 기준전산화된 거래들에 관한 수용과 시행을 위한 기준전산화된 거래들에 관한 수용과 시행을 위한 기준전산화된 거래들에 관한 수용과 시행을 위한 기준496.496.496.496.

만약에 예를 들면 를 통하여 거래가 자동적으로 보내지고 처리된다면 그 때 메시지가( , EDI ) ,

그 메시지에 의하여 창업된 조직에 대한 무역실적이 보여졌을 때나 혹은 그 메시지(a) , (b)

에 의하여 무역실적으로부터 벗어나거나 메시지의 정확성과 인증을 보여주는 추가적 단계들

이 취하여졌을 때와 같은 경우가 아니고서는 수용되어지지도 시행되어 지지도 않아야 한다.

전자 제공과 수용들을 위한 다양한 통신 채널들전자 제공과 수용들을 위한 다양한 통신 채널들전자 제공과 수용들을 위한 다양한 통신 채널들전자 제공과 수용들을 위한 다양한 통신 채널들497.497.497.497.

- 286 -

팩스 전자 우편 등과 같은 전자 제공과 수용 메시지들을 통하여 형성된 모든 계약들( , EDI, )

은 수용 주 안에 종이 서류들을 통하여 형식화되거나 인증되어야만 된다2 .

사전인증이 없는 한 암호화 과정이 사용될 수 없다사전인증이 없는 한 암호화 과정이 사용될 수 없다사전인증이 없는 한 암호화 과정이 사용될 수 없다사전인증이 없는 한 암호화 과정이 사용될 수 없다498. .498. .498. .498. .

암호화 과정들은 그 과정들이 우선 정보보안부서에 의해 승인되지 않는다면 회사의 정보에

사용되지 않아야 한다.

군사 규정에서의 국제 무역을 가지는 협약군사 규정에서의 국제 무역을 가지는 협약군사 규정에서의 국제 무역을 가지는 협약군사 규정에서의 국제 무역을 가지는 협약499.499.499.499.

더 나가서 이들 네트워크 사용자들은 직간접적으로 군사규정에 포함된 암호화 소프트웨, ,

어나 군수품을 직접적으로나 간접적으로 배포하지 않도록 동의한다.

네트워크들을 통하여 전송되는 비밀자료들은 암호화 되어야 한다네트워크들을 통하여 전송되는 비밀자료들은 암호화 되어야 한다네트워크들을 통하여 전송되는 비밀자료들은 암호화 되어야 한다네트워크들을 통하여 전송되는 비밀자료들은 암호화 되어야 한다500. .500. .500. .500. .

회사의 비밀자료가 어떤 통신네트워크를 통하여 전송된다면 그것은 암호화된 형식으로 보,

내져야만 한다.

읽을 수 있는 컴퓨터 저장매체로의 비밀자료의 수송읽을 수 있는 컴퓨터 저장매체로의 비밀자료의 수송읽을 수 있는 컴퓨터 저장매체로의 비밀자료의 수송읽을 수 있는 컴퓨터 저장매체로의 비밀자료의 수송501.501.501.501.

비밀자료가 마그네틱 테이프들 플로피 디스켓들 혹은 들과 같은 읽기 쉬운 컴퓨, , CD-ROM

터 저장매체로 수송된다면 그것은 암호화된 형태로 되어야만 한다, .

비밀정보는 사용 중이 아닌 때에 암호화되어야 한다비밀정보는 사용 중이 아닌 때에 암호화되어야 한다비밀정보는 사용 중이 아닌 때에 암호화되어야 한다비밀정보는 사용 중이 아닌 때에 암호화되어야 한다502. .502. .502. .502. .

모든 컴퓨터화 된 비밀정보는 사용 중이 아닌 때에 예를 들면 소프트웨어에 의해 조작되지(

않을 때나 위임한 사용자에 의해 조사되지 않을 때에 암호화되어야 한다) .

하드 디스크 드라이버들에 저장된 자료는 암호화되어야 한다하드 디스크 드라이버들에 저장된 자료는 암호화되어야 한다하드 디스크 드라이버들에 저장된 자료는 암호화되어야 한다하드 디스크 드라이버들에 저장된 자료는 암호화되어야 한다503. .503. .503. .503. .

컴퓨터들을 수리하기 위해 보냈을 때 그것들이 도난 당했을 때 승인되지 않은 사람들에 의, ,

해 사용되어질 때에 자료의 허가되지 않은 누설을 방지하기 위하여 하드 디스크에 저장된,

모든 자료는 사용자의 투명한 과정을 통하여 암호화되어야 한다.

- 287 -

정부표준암호화 알고리즘과 수행정부표준암호화 알고리즘과 수행정부표준암호화 알고리즘과 수행정부표준암호화 알고리즘과 수행504.504.504.504.

암호화가 사용된다면 와 같은 정부승인 표준알고리즘들과 표준수행들이 사용되어야만SEED

한다.

암호키의 공개는 특별한 승인을 요구한다암호키의 공개는 특별한 승인을 요구한다암호키의 공개는 특별한 승인을 요구한다암호키의 공개는 특별한 승인을 요구한다505. .505. .505. .505. .

암호키들은 가장 중요한 형태의 정보이고 그러한 키에 접근은 알 필요가 있는 사람에게만,

엄격히 제한되어야 한다 부사장의 허락이 얻어지지 않는 한 암호키는 고문 계약자 제삼자. , , ,

에게 누설되지 않아야 한다.

암호키 관리시스템들과 관리 분리암호키 관리시스템들과 관리 분리암호키 관리시스템들과 관리 분리암호키 관리시스템들과 관리 분리506.506.506.506.

회사 암호시스템은 하나의 암호키의 완전한 지식을 아는 사람이 한 사람도 없도록 계획되어

야 한다 이것은 관리 분리와 상호통제에 의해서 이루어져야 한다 상호통제란 어떤 중요한. .

활동이 수행되기 위하여 두 사람이 자연스럽게 나타나는 것을 의미하는 반면에 관리 분리,

는 어떤 중요한 활동을 처리하는데 한 개인보다 더 많은 사람이 관여하는 것을 의미한다.

키관리 책임의 위임을 위한 조건들키관리 책임의 위임을 위한 조건들키관리 책임의 위임을 위한 조건들키관리 책임의 위임을 위한 조건들507.507.507.507.

키관리 책임은 배경점검을 통과하고 운영비밀감사를 통과하고 기밀각서에 서명한 사람에게

위임된다.

자료들과 암호키를 위한 통신채널을 분리하라자료들과 암호키를 위한 통신채널을 분리하라자료들과 암호키를 위한 통신채널을 분리하라자료들과 암호키를 위한 통신채널을 분리하라508. .508. .508. .508. .

암호가 사용된다면 암호화로 보호된 정보는 암호화 과정을 운영하는데 사용되었던 키와 다

른 전달채널을 통해 전달되어 져야 한다.

더 좋은 자동화된 암호키 관리시스템더 좋은 자동화된 암호키 관리시스템더 좋은 자동화된 암호키 관리시스템더 좋은 자동화된 암호키 관리시스템509.509.509.509.

그러한 시설이 상업적으로 가능할 때마다 회사는 수동암호 키관리 과정보다는 자동화된 과

정을 채용해야 한다.

암호키의 최대수명암호키의 최대수명암호키의 최대수명암호키의 최대수명510.510.510.510.

암호가 회사 자료를 보호하기 위해 사용되어질 때마다 키는 적어도 일마다 교체되어야 한90

다.

- 288 -

모든 암호키에 대한 정기 수명모든 암호키에 대한 정기 수명모든 암호키에 대한 정기 수명모든 암호키에 대한 정기 수명511.511.511.511.

모든 암호해독법은 정기적인 수명을 가져야 하며 정기 만료일 전에 또는 만료일에 바뀌어야

한다.

암호키를 생성하기 위한 과정암호키를 생성하기 위한 과정암호키를 생성하기 위한 과정암호키를 생성하기 위한 과정512.512.512.512.

암호가 사용되어질 때마다 채용된 키는 상대자에 의해 실제적으로 반복 가능하지 않고 추,

측하기 어려운 키를 주는 수단에 의해 생성되어야 한다.

사용자 선택 암호키를 위한 최소길이사용자 선택 암호키를 위한 최소길이사용자 선택 암호키를 위한 최소길이사용자 선택 암호키를 위한 최소길이513.513.513.513.

사용자 선택 암호키가 채용되어질 때마다 암호체계는 사용자가 암호키를 개 미만의 문자로8

만들지 않도록 막아야 한다.

암호키 생성자료를 위한 보호암호키 생성자료를 위한 보호암호키 생성자료를 위한 보호암호키 생성자료를 위한 보호514.514.514.514.

암호가 사용되어질 때마다 키의 하트카피 설명뿐 아니라 암호키를 발전시키는 자료는 사용,

되지 않을 때 잠겨져야 한다 이러한 키자료가 잘못 취급되는 것으로부터 방지하기 위한 보.

호척도는 키에 의해 보호된 정보의 주기를 통해 관찰되어야만 한다.

평문 암호 마스터키 를 위한 보호평문 암호 마스터키 를 위한 보호평문 암호 마스터키 를 위한 보호평문 암호 마스터키 를 위한 보호515. (master keys)515. (master keys)515. (master keys)515. (master keys)

평문 키를 보호하기 위한 오직 두 가지 접근이 회사에게 받아들여질 수 있다 마스터키는.

분리된 지식으로 이중 제어하여 수동적으로 다루어질 수 있다 선택적으로 그들은 부정 조. ,

작할 수 없는 모듈로 저장되어질 수 있다 다른 모든 장소에서 그들은 암호화된 형태로만.

나타나야 한다.

암호키 생성자료의 파괴암호키 생성자료의 파괴암호키 생성자료의 파괴암호키 생성자료의 파괴516.516.516.516.

키의 생성 분배 저장 카본복사 프린터리븐 등과 같은 에 사용된 모든 공급물들은 승인되지, ( , )

않은 사람들에게로의 누설로부터 보호되어야 한다 그들이 더 이상 필요되지 않을 때 그들. ,

은 펄프모양으로 만들거나 갈기갈기 찢든지 태우든지 아니면 다른 승인된 방법에 의해 파, ,

괴되어야 한다.

키교환 자료의 파괴에 대한 시간 계획키교환 자료의 파괴에 대한 시간 계획키교환 자료의 파괴에 대한 시간 계획키교환 자료의 파괴에 대한 시간 계획517.517.517.517.

키교환 자료의 관리인은 키교환 과정의 성공적인 확인 후에 일을 초과하지 않는 시간 내10

에 승인된 절차에 따라 그 자료를 파괴해야만 한다.

- 289 -

암호키의 승인되지 않은 누설방지암호키의 승인되지 않은 누설방지암호키의 승인되지 않은 누설방지암호키의 승인되지 않은 누설방지518.518.518.518.

암호키는 분리된 키와 부정조작을 못하게 만든 하드웨어의 사용아래 만든 암호처럼 기술적

통제를 거친 승인되지 않은 누설로부터 방지되어야 한다.

금지된 평문 암호키의 전송금지된 평문 암호키의 전송금지된 평문 암호키의 전송금지된 평문 암호키의 전송519.519.519.519.

만약 암호키가 통화회선으로 전송되어진다면 그들은 암호화된 형태로 전송되어야 한다 키.

의 암호는 암호에 의해 보호되어진 다른 중요한 자료를 암호화하는데 사용되어진 것 보다

더 강한 알고리즘으로 수행되어야 한다.

보호될 자료와 동일한 매체에 암호키 저장금지보호될 자료와 동일한 매체에 암호키 저장금지보호될 자료와 동일한 매체에 암호키 저장금지보호될 자료와 동일한 매체에 암호키 저장금지520.520.520.520.

암호가 컴퓨터 저장매체에 상주하는 중요한 자료를 보호하기 위해 사용되어진다면 암호화과

정에서 사용된 암호키와 관련 암호키 자료들 초기벡터 시간과 날짜 스템프 다른 변수 등( , , )

은 암호화되지 않은 형태로 저장매체의 어느 곳에서도 저장되어서는 안된다.

일반적인 목적의 암호체계는 키의 안전한 처리과정을 포함해야 한다일반적인 목적의 암호체계는 키의 안전한 처리과정을 포함해야 한다일반적인 목적의 암호체계는 키의 안전한 처리과정을 포함해야 한다일반적인 목적의 암호체계는 키의 안전한 처리과정을 포함해야 한다521. .521. .521. .521. .

저장된 회사 사업자료를 보호하기 위해 사용된 모든 일반적인 목적의 암호체계는 보호된 파

일들을 관리자가 해독할 수 있도록 키의 안전한 처리과정이 있어야 한다.

암호화된 버전 설명 이 만들어진 후 읽을 수 있는 자료의 삭제암호화된 버전 설명 이 만들어진 후 읽을 수 있는 자료의 삭제암호화된 버전 설명 이 만들어진 후 읽을 수 있는 자료의 삭제암호화된 버전 설명 이 만들어진 후 읽을 수 있는 자료의 삭제522. ( )522. ( )522. ( )522. ( )

암호가 사용되어질 때마다 근로자들은 암호화 과정이 읽을 수 있는 자료로 다시 만들 수 있

음을 먼저 증명하지 않는 한 자료의 읽을 수 있는 버전 설명 을 삭제해서는 안된다( ) .

암호키 관리기능의 분명한 지정암호키 관리기능의 분명한 지정암호키 관리기능의 분명한 지정암호키 관리기능의 분명한 지정523.523.523.523.

암호가 중요한 자료를 보호하기 위해 사용될 때마다 자료관련 소유자는 암호키 관리에 대한

책임을 명확하게 정해야 한다.

암호화와 메시지인증에 대한 분리된 키암호화와 메시지인증에 대한 분리된 키암호화와 메시지인증에 대한 분리된 키암호화와 메시지인증에 대한 분리된 키524.524.524.524.

- 290 -

만일 암호화와 메시지 인증부호 모두가 사용된다면 두 통제 측정장치의 각각에 대해 분리,

키가 사용되어져야 한다.

기억장치에 보관되는 중요한 자료의 압축과 암호화기억장치에 보관되는 중요한 자료의 압축과 암호화기억장치에 보관되는 중요한 자료의 압축과 암호화기억장치에 보관되는 중요한 자료의 압축과 암호화525.525.525.525.

중요한 정보가 다중 사용자 컴퓨터시스템에 저장될 경우에는 그 자료는 압축되고 승인된,

암호화 알고리즘을 사용하여 암호화시켜야 한다.

암호화 과정에 대한 부정 조작할 수 없는 하드웨어 모듈암호화 과정에 대한 부정 조작할 수 없는 하드웨어 모듈암호화 과정에 대한 부정 조작할 수 없는 하드웨어 모듈암호화 과정에 대한 부정 조작할 수 없는 하드웨어 모듈526.526.526.526.

모든 관련된 암호화 과정은 소프트웨어에서 보다는 부정조작이 불가능한 하드웨어에서 수행

해 져야 한다 이러한 접근은 소프트웨어분석공학과 키의 승인되지 않은 누설위협을 최소화.

한다.

전화번호부 에 컴퓨터 관련 접촉번호들의 삽입전화번호부 에 컴퓨터 관련 접촉번호들의 삽입전화번호부 에 컴퓨터 관련 접촉번호들의 삽입전화번호부 에 컴퓨터 관련 접촉번호들의 삽입527. (Directories)527. (Directories)527. (Directories)527. (Directories)

모뎀전화번호와 같은 회사 컴퓨터와 통신시스템에로의 접근과 관련된 정보는 기밀로 여겨진

다 이런 정보는 전자게시판에 게시되거나 전화번호부에 오르거나 명함에 기재되거나 또는. , , ,

그렇지 않다면 정보시스템 부서 책임자의 사전 서면승인서 없이 제 자에게 유용하게 되어3

서는 안된다 전화번호 번호 및 인터네트 전자우편주소는 이 정책에 예외이다. , FAX .

컴퓨터 전송회선번호의 주기적 변화컴퓨터 전송회선번호의 주기적 변화컴퓨터 전송회선번호의 주기적 변화컴퓨터 전송회선번호의 주기적 변화528.528.528.528.

회사 컴퓨터통신 전화번호는 최소한 달에 한 번은 변경되어야 한다12 .

회선에 요구되는 사용자 인증시스템회선에 요구되는 사용자 인증시스템회선에 요구되는 사용자 인증시스템회선에 요구되는 사용자 인증시스템529.529.529.529.

모든 내부 전화 회선들은 사용자 인증시스템의 연장선 상에서 보호되어야만 한다 이러한.

시스템은 회수장치 신분확인표 스마트카드 생물측정학 엄지손가락 지문해독기, ( ), (biometics ,

눈 혈관 해독기 음성 판독기 등등 과 전통적인 고정 패스워드시스템보다 더 비밀을 제공하, )

는 다른 승인된 기술을 포함한다.

내부네트워크에 연결된 워크스테이션의 모뎀들내부네트워크에 연결된 워크스테이션의 모뎀들내부네트워크에 연결된 워크스테이션의 모뎀들내부네트워크에 연결된 워크스테이션의 모뎀들530.530.530.530.

근로자들이 전화선 모뎀을 국부지역네트워크 또는 다른 내부통신네트워크에 자연스럽(LAN)

게 연결되는 워크스테이션에 연결시키는 것이 금지되어 있다.

- 291 -

자동응답방식 개인컴퓨터 모뎀에 대한 금지 조항자동응답방식 개인컴퓨터 모뎀에 대한 금지 조항자동응답방식 개인컴퓨터 모뎀에 대한 금지 조항자동응답방식 개인컴퓨터 모뎀에 대한 금지 조항531.531.531.531.

사용자들은 걸려 오는 회선 전화를 수신할 수 있는 것처럼 자동응답방식의 개인용 컴퓨터에

연결된 모뎀을 떠나서는 안된다.

걸려 오는 회선 전화는 네 번 울릴 때까지 받아서는 안된다걸려 오는 회선 전화는 네 번 울릴 때까지 받아서는 안된다걸려 오는 회선 전화는 네 번 울릴 때까지 받아서는 안된다걸려 오는 회선 전화는 네 번 울릴 때까지 받아서는 안된다532. .532. .532. .532. .

모든 회사 전화선 모뎀은 네 번째 울릴 때까지 걸려 오는 전화에 응답을 해서는 안된다 이.

것은 컴퓨터와 연결된 전화회선을 확인해 주는 프로그램을 가진 회사 컴퓨터에 승인되지 않

은 접근을 시도하려는 사람들을 방해할 것이다 왜냐하면 모뎀이 즉시 받지 않으면 이러한. ,

프로그램들은 모뎀회선이 음성회선인 것으로 잘못 알 것이다.

걸려 오는 회선 전화를 수신하는 시스템에 요구되는 승인걸려 오는 회선 전화를 수신하는 시스템에 요구되는 승인걸려 오는 회선 전화를 수신하는 시스템에 요구되는 승인걸려 오는 회선 전화를 수신하는 시스템에 요구되는 승인533.533.533.533.

회사 근로자들은 어떤 통신시스템이 먼저 정보보안부서 관리자의 승인이 없다면 걸려 오는

회선 전화를 수신하는 통신시스템을 수립할 수 없다.

전화회선 승인기준에 대한 부서 관리 책임전화회선 승인기준에 대한 부서 관리 책임전화회선 승인기준에 대한 부서 관리 책임전화회선 승인기준에 대한 부서 관리 책임534.534.534.534.

내부시스템과 네트워크와의 연결은 개발자 시스템관리자 그리고 공개된 내부기준Dial-Up , ,

과 완전히 일치하는 한 다른 사람들에 의해 이루어 질 수 있다 전화회선 연결이 작동되기.

전에 시설을 만든 관리자는 이러한 기준을 준수했는지를 확인해야 한다 이런 기준에서 벗.

어 난 모든 것들은 정보보안부서의 관리자에게 미리 승인 받아져야 한다.

전화회선 사용자들을 위한 최대 가능한 패스워드 시도전화회선 사용자들을 위한 최대 가능한 패스워드 시도전화회선 사용자들을 위한 최대 가능한 패스워드 시도전화회선 사용자들을 위한 최대 가능한 패스워드 시도535.535.535.535.

전화 회선으로 들어온 컴퓨터 사용자들이 세 번 연속 시도하고 나서도 올바른 패스워드를

제시하지 못하면 그 연결은 즉시 종료되어야 한다, .

중요한 회사 정보를 전송 받기 위해 요구되는 통제중요한 회사 정보를 전송 받기 위해 요구되는 통제중요한 회사 정보를 전송 받기 위해 요구되는 통제중요한 회사 정보를 전송 받기 위해 요구되는 통제536.536.536.536.

어떤 비밀 기밀 개인 정보가 한 컴퓨터에서 다른 컴퓨터로 이전 될 수 있기 전에 옮기려, , ,

는 사람은 목적지 컴퓨터에로의 접근 통제가 본래 컴퓨터의 접근통제와 같은 정도인지 여부

를 확인해야 한다.

- 292 -

만일 유사한 기밀성이 목적지 컴퓨터시스템의 접근통제로 제공될 수 없으면 정보가 전송되

어서는 안된다.

허가 없이 금지된 기밀정보 전송 받기허가 없이 금지된 기밀정보 전송 받기허가 없이 금지된 기밀정보 전송 받기허가 없이 금지된 기밀정보 전송 받기537.537.537.537.

중요한 회사 정보는 양쪽 조건이 충족되면 컴퓨터본체나 미니컴퓨터로부터 마이크로컴퓨터

또는 워크스테이션으로 이전될 수 있다 이런 자료이전이 일어나려면 분명한 사업상의 필요.

가 있어야 하고 정보 소유자로부터 사전허가를 받아야 한다 이 정책은 전자우편 또는 메모, .

를 커버하려는 것은 아니고 데이터베이스 주파일 컴퓨터 본체 미니컴퓨터 서버 및 다른, , ,

다중사용자 기계에 저장된 정보에 응용하려는 것이다.

음성우편회선에서 금지된 수신자 또는 제삼자 지불 통화음성우편회선에서 금지된 수신자 또는 제삼자 지불 통화음성우편회선에서 금지된 수신자 또는 제삼자 지불 통화음성우편회선에서 금지된 수신자 또는 제삼자 지불 통화538.538.538.538.

회사 음성우편시스템을 책임지고 있는 관리자들은 수신자 또는 제삼자 지불통화 모두가 음

성우편전화선에서 금지되도록 관련된 전화회사와 협약을 해야 한다 이것은 해커들과 다른.

승인되지 않은 단체들이 회사의 비용으로 음성우편시스템을 이용하는 것을 방지해 줄 것이

다.

모든 회사 구내교환전화시스템 에서 신용카드 통화금지모든 회사 구내교환전화시스템 에서 신용카드 통화금지모든 회사 구내교환전화시스템 에서 신용카드 통화금지모든 회사 구내교환전화시스템 에서 신용카드 통화금지539. (PBX)539. (PBX)539. (PBX)539. (PBX)

회사 시스템을 담당하고 있는 관리자들은 신용카드 전화를 금지되도록 시스템의PBX PBX

프로그램을 짜야 한다 이것은 회사 내에서 허가 받지 않은 정보서비스를 위한 통화들이. -

이 통화의 상당수가 비용이 비싼 것들인데 회사 앞으로 계산되는 것을 막아 줄 것이다- .

미국의 경우 국 국( 900 , 976 )

통화지역으로 정의된통화지역으로 정의된통화지역으로 정의된통화지역으로 정의된540. PBX540. PBX540. PBX540. PBX

불법통화부담을 줄이기 위하여 회사 를 거쳐 통화할 수 있는 번호들은 사업적인 목적PBX

으로 필요한 번호만으로 제한되어야 한다.

근로자들은 신용카드통화 등 비슷한 전화에 응하지 말아야 한다근로자들은 신용카드통화 등 비슷한 전화에 응하지 말아야 한다근로자들은 신용카드통화 등 비슷한 전화에 응하지 말아야 한다근로자들은 신용카드통화 등 비슷한 전화에 응하지 말아야 한다541. .541. .541. .541. .

회사 근로자들은 일상적인 통화에 대답하거나 회답번호가 신용카드 전화 또는 정상적인 전

화요금을 초과한 요금이 부과 될 수 있는 전화 또는 요금이 수신자 부담이 될 전화에 응답,

해서는 안된다.

자동응답기에 중요한 정보 녹음금지자동응답기에 중요한 정보 녹음금지자동응답기에 중요한 정보 녹음금지자동응답기에 중요한 정보 녹음금지542.542.542.542.

- 293 -

근로자들은 자동응답기나 음성우편시스템에 중요한 정보를 포함한 메시지를 남겨 놓는 것을

삼가해야 한다 이것은 그 정보가 예정된 사람에게만 전달되는 것을 확실하게 하는데 도움.

이 될 것이다.

시스템을 통한 신용카드전화의 설치시스템을 통한 신용카드전화의 설치시스템을 통한 신용카드전화의 설치시스템을 통한 신용카드전화의 설치543. PBX543. PBX543. PBX543. PBX

많은 기관과 호텔에서는 시스템을 그러한 용도로 사용하고 있지만 근로자들은 직통 다PBX

이얼전화 신용카드 통화의 설치를 피해야 한다 이 시스템은 신용카드 번호와 추가되는. PBX

개인신상 번호를 기억할 수 있다 이 정보는 후에 부당한 방법의 통화를 하는데 이용될 지.

도 모른다 시스템이 존재하는 것으로 알려진 곳에서 근로자들은 공중전화나 다른 직통. PBX

선으로 전화를 걸어야 한다.

공중전화에서의 신용카드의 사용공중전화에서의 신용카드의 사용공중전화에서의 신용카드의 사용공중전화에서의 신용카드의 사용544.544.544.544.

공중전화를 사용하는 동안 여건이 허락될 때마다 근로자들은 정보에 따른 청구를 위한 번호

입력 혹은 번호를 알려주지 말고 다른 신용카드로 결재해야 한다.

구내교환전화시스템 내부시스템접근 부분은 부정 탐지시설이구내교환전화시스템 내부시스템접근 부분은 부정 탐지시설이구내교환전화시스템 내부시스템접근 부분은 부정 탐지시설이구내교환전화시스템 내부시스템접근 부분은 부정 탐지시설이545. - (PBX-DISA)545. - (PBX-DISA)545. - (PBX-DISA)545. - (PBX-DISA)

필요하다필요하다필요하다필요하다....

회사사이트는 그들이 원격통신의 관리자에 의하여 승인된 거짓탐지와 제한시스템에 의하여

수행되지 않는 한 전화시스템 위에 를 가동시키는 것을 방지하여야 한다PBX DISA .

전화번호부의 배포는 제한된다전화번호부의 배포는 제한된다전화번호부의 배포는 제한된다전화번호부의 배포는 제한된다546. .546. .546. .546. .

회사내부의 전화번호부는 부서 관리자의 특별한 허가 없이 배포되어서는 안된다 물론 회사. ,

를 위한 계약자 고문 임시고용인들과 제삼자들은 그들의 업무를 수행하기 위하여 전화번호, ,

부를 가질 수 있다.

모든 스피커 폰 사용 또는 테이프 녹음에 대한 당사자의 동의모든 스피커 폰 사용 또는 테이프 녹음에 대한 당사자의 동의모든 스피커 폰 사용 또는 테이프 녹음에 대한 당사자의 동의모든 스피커 폰 사용 또는 테이프 녹음에 대한 당사자의 동의547. -547. -547. -547. -

전화를 사용할 때 사원들은 먼저 그 전화의 발신인과 수취인 양쪽의 동의를 얻지 못하는 한

스피커폰 마이크로폰 확성스피커 테이프레코더 또는 유사한 기계를 사용하지 않아야 한, , , ,

다.

- 294 -

개인적인 목적으로 인한 전화 이용개인적인 목적으로 인한 전화 이용개인적인 목적으로 인한 전화 이용개인적인 목적으로 인한 전화 이용548.548.548.548.

회사 전화는 업무활동을 용이하게 하기 위하여 제공된다 비 업무시간 동안에 전화를 걸 수.

있는 경우를 제외하고는 전화가 개인적인 목적으로 사용되어서는 안된다 이러한 경우에 개.

인적인 통화는 합리적인 통화시간을 지켜야 한다.

개인적인 전화통화의 요금변제개인적인 전화통화의 요금변제개인적인 전화통화의 요금변제개인적인 전화통화의 요금변제549.549.549.549.

만일 개인적인 장거리 통화가 적절한 통화시간을 지키지 못한 경우 관리자 측에 보고되지,

않은 경우 그리고 회사에 통화료를 변상하지 않는 경우에는 전화가 개인적인 장거리통화를,

하는데 사용되어서는 안된다.

원하지 않은 통신판매를 방지하기 위해 정확한 기록을 보관원하지 않은 통신판매를 방지하기 위해 정확한 기록을 보관원하지 않은 통신판매를 방지하기 위해 정확한 기록을 보관원하지 않은 통신판매를 방지하기 위해 정확한 기록을 보관550.550.550.550.

회사는 판매관련 전화를 받고 싶지 않음을 회사에 알려온 고객들의 기록을 보유하고 있어야

한다 회사 영업부는 이러한 기록들을 이용하여 원하지 않는 통화를 예방하여야 한다. .

전화를 통한 회사내부의 기록을 변경하는 지시들전화를 통한 회사내부의 기록을 변경하는 지시들전화를 통한 회사내부의 기록을 변경하는 지시들전화를 통한 회사내부의 기록을 변경하는 지시들551.551.551.551.

승인된 절차에 의해서 먼저 통화자의 신분이 확인되지 않는다면 전화를 통한 회사내부의 기

록을 변경하는 어떠한 지시도 무시될 것이다.

필요할 때만 편성되는 전화회의체제필요할 때만 편성되는 전화회의체제필요할 때만 편성되는 전화회의체제필요할 때만 편성되는 전화회의체제552. (Conference Bridge)552. (Conference Bridge)552. (Conference Bridge)552. (Conference Bridge)

전화회의체제는 필요할 때만 편성되어져야 한다 전화회의체제는 승인을 받은 직원들이 사.

용하지 않을 때 편성된 상태로 남아 있어서는 안된다.

컴퓨터 지원 식별코드컴퓨터 지원 식별코드컴퓨터 지원 식별코드컴퓨터 지원 식별코드553.553.553.553.

전화를 건 사람의 목소리를 분명하게 인식할 수 없을 때는 컴퓨터의 지원에 의하여 통화자

의 신원이 특별한 식별코드를 통하여 확인되어야만 한다 이 식별코드는 컴퓨터 패스워드와.

는 다른 것이며 컴퓨터 패스워드와 동일한 것이어서는 안되고 승인된 회사내 직원이 밝혀,

낼 수 있도록 되어 있어야 한다.

다른 사람에게 배정된 전자우편함을 사용하는 것다른 사람에게 배정된 전자우편함을 사용하는 것다른 사람에게 배정된 전자우편함을 사용하는 것다른 사람에게 배정된 전자우편함을 사용하는 것554.554.554.554.

근로자는 메시지를 보내거나 받기 위해 다른 사람에게 이미 배정된 전자우편함을 이용하지

않아야 한다.

- 295 -

만일 다른 사람의 우편을 읽을 필요가 생긴다면 예를 들어 그들이 휴가 동안 공석인 경우( )

메시지 전송이나 다른 시설들이 대신 사용되어져야 한다.

외부 네트워크 주소로 전자우편물 발송외부 네트워크 주소로 전자우편물 발송외부 네트워크 주소로 전자우편물 발송외부 네트워크 주소로 전자우편물 발송555.555.555.555.

정보의 소유자가 사전에 동의하지 않거나 또는 그 정보가 분명히 공개된 것이 아니라면 근

로자들은 회사의 네트워크외부에 어떤 주소도 전자우편으로 발송해서는 안된다 먼저 정보.

보안 관리자의 서면허가증을 얻지 못한다면 외부의 어떤 주소 라도 전자우편 메시지의 총,

괄적인 발송은 금지되어진다.

전자우편의 기록과 보존전자우편의 기록과 보존전자우편의 기록과 보존전자우편의 기록과 보존556.556.556.556.

회사는 전자우편 메시지와 거기에 수반되는 입출력자료의 기록들을 기록하고 보존하고 폐기

하는 체계적인 과정을 설립해서 유지해야 한다 입출력자료의 기록들과 언급된 전자우편 메.

세지의 폐기는 소환장 강제발표 신청 또는 다른 합법적인 통지를 받을 때마다 보관되어야,

한다 만일 그 자료가 긴박한 법률 소송으로 인해 요구된다면 그와 같은 폐기 또한 연기되.

어야 한다.

기록 보관된 전자우편 메시지의 정기적인 폐기기록 보관된 전자우편 메시지의 정기적인 폐기기록 보관된 전자우편 메시지의 정기적인 폐기기록 보관된 전자우편 메시지의 정기적인 폐기557.557.557.557.

관리자가 컴퓨터에 저장된 자료의 정기적인 백업처리를 하게 하는 동안 내부통신문이 더 이

상 필요가 없을 때는 적절하게 처리되어 져야 한다 이러한 목적으로 모든 다중사용자의 전.

자우편 입출력자료기록들은 보관된 지 년이 지난 후에 폐기되어져야 한다 최근 활동과 관1 .

련이 있거나 또는 관련이 있을 것으로 예상되는 전자우편 메시지들은 독립된 파일로 저장되

어져야 하고 필요한 만큼 오래 보존되어 져야 한다.

개인 전자우편개인 전자우편개인 전자우편개인 전자우편558.558.558.558.

근로자들은 전자우편 메시지와 파일을 개인적인 정보로 취급해야 한다 전자우편은 발송인.

과 수취인 사이의 개인적인 직접통신으로 처리되어야 한다.

전자우편은 공공 통신으로 취급전자우편은 공공 통신으로 취급전자우편은 공공 통신으로 취급전자우편은 공공 통신으로 취급559.559.559.559.

전자우편을 전자엽서로 생각하라 만일 그 자료가 암호화 되지 않는다면 사용자들은 신용카.

드 번호 패스워드 연구 및 개발 정보 그리고 다른 중요한 자료를 전자우편을 통해 전송하, , ,

지 말아야 한다.

- 296 -

전자우편 메시지는 회사 기록이다전자우편 메시지는 회사 기록이다전자우편 메시지는 회사 기록이다전자우편 메시지는 회사 기록이다560. .560. .560. .560. .

회사 전자우편 시스템은 업무목적으로만 이용되어야 한다 전자우편을 통해 전송된 모든 메.

시지는 회사 기록들이다 회사는 어떠한 목적으로든 전자우편 시스템을 통해 전송된 모든.

메시지에 접근과 누설할 수 있는 권리를 가지고 있다 감독자들은 근로자들이 비밀유지를.

위반했는가의 여부 회사방침을 위반했는가의 여부 또는 승인 받지 못한 행동들을 취했는가, ,

의 여부를 결정하기 위해 그들이 감독하는 근로자들의 전자우편통신을 검열할 수 있다 회.

사는 또한 위에 언급한 메시지를 보냈거나 받은 근로자들에게 사전 통고없이 전자우편 메시

지를 법 집행관에게 알려 줄 수 있다.

전자우편 시스템의 개인적인 이용전자우편 시스템의 개인적인 이용전자우편 시스템의 개인적인 이용전자우편 시스템의 개인적인 이용561.561.561.561.

전자우편 시스템은 주로 업무목적으로 사용하도록 되어 있다 개인적인 사용이 정상적인 업.

무활동에 지장을 주어서는 안되고 권유해서도 안되며 업무활동 이외의 어떠한 이익과도 관, ,

련되어서는 안되며 개인적인 사용으로 인해 회사를 곤란하게 해서도 안된다.

전자우편과 음성우편으로 방송을 내보낼 수 있는 권한전자우편과 음성우편으로 방송을 내보낼 수 있는 권한전자우편과 음성우편으로 방송을 내보낼 수 있는 권한전자우편과 음성우편으로 방송을 내보낼 수 있는 권한562.562.562.562.

전자우편 시스템과 음성우편 시스템에 있는 방송시설들은 최고관리자에 의해서 또는 최고경

영관리자의 승인에 의하여서만 사용될 수 있다.

컴퓨터 재택근무를 위한 허용된 장치컴퓨터 재택근무를 위한 허용된 장치컴퓨터 재택근무를 위한 허용된 장치컴퓨터 재택근무를 위한 허용된 장치563.563.563.563.

대체 근무처에서 회사 사업에 관여하고 있는 고용인들은 회사가 제공한 컴퓨터와 네트워크

장비를 사용해야 한다 다른 장치는 회사 정보시스템과 통제에 일치하는 것으로 승인이 되.

어진 경우에만 예외가 될 것이다.

회사가 제공한 컴퓨터의 개조 확장회사가 제공한 컴퓨터의 개조 확장회사가 제공한 컴퓨터의 개조 확장회사가 제공한 컴퓨터의 개조 확장564. /564. /564. /564. /

회사가 제공한 컴퓨터 장비는 각 부서 관리자의 이해나 허가 없이는 어떤식으로든지 개조되

거나 추가되어서는 안된다 예를 들면 업그레이드된 중앙연산처리장치 기억용량확장 특별, . ( , ,

한 회로 배선)

- 297 -

대체 근무지에 있는 회사 자산의 보호대체 근무지에 있는 회사 자산의 보호대체 근무지에 있는 회사 자산의 보호대체 근무지에 있는 회사 자산의 보호565.565.565.565.

대체 근무지에 있는 회사 자산의 안전은 본사에 있는 것만큼이나 중요하다 대체 근무지에.

서는 회사의 하드웨어 소프트웨어 그리고 정보를 절도 손상 및 악용으로부터 보호하기 위, ,

해 합리적인 예방책들이 강구되어야 한다.

대체 근무지 에서 개발된 지적소유권대체 근무지 에서 개발된 지적소유권대체 근무지 에서 개발된 지적소유권대체 근무지 에서 개발된 지적소유권566. (off-site)566. (off-site)566. (off-site)566. (off-site)

고용인이 대체 근무지에서 작업하는 동안에 개발되고 계획된 지적소유권은 회사의 독립적

재산권이다 이 방침은 메모 계획 전략 생산품 컴퓨터 프로그램 서류 그리고 다른 자료에. , , , , ,

명시된 것처럼 특허권 복사권 상표권과 모든 다른 지적소유권을 포함한다, , .

재택 근무자와 작업환경 구축재택 근무자와 작업환경 구축재택 근무자와 작업환경 구축재택 근무자와 작업환경 구축567.567.567.567.

대체 근무지에서 작업하는 특권을 보존하기 위해 모든 재택 근무자들은 그것이 회사의 정,

책과 기준에 맞도록 멀리 떨어진 작업환경을 만들어야 한다.

재택 근무자의 원거리 조작과 정보 비밀절차재택 근무자의 원거리 조작과 정보 비밀절차재택 근무자의 원거리 조작과 정보 비밀절차재택 근무자의 원거리 조작과 정보 비밀절차568.568.568.568.

계속되는 고용의 조건으로서 재택 근무자는 모든 원거리조작 비밀절차를 준수할 것을 동의

해야 한다 또한 소프트웨어의 허가권 동의 정규 백업의 수행 그리고 중요한 정보의 처리. , ,

에 서류절단기의 사용 등의 동의를 포함한다.

재택 근무자 환경의 조사관리권재택 근무자 환경의 조사관리권재택 근무자 환경의 조사관리권재택 근무자 환경의 조사관리권569.569.569.569.

회사는 하루 이상의 사전통고와 함께 재택근무자의 사무실을 조사관리권을 보유한다.

인터넷 이용을 희망하는 근로자는 훈련과정을 완료해야 한다인터넷 이용을 희망하는 근로자는 훈련과정을 완료해야 한다인터넷 이용을 희망하는 근로자는 훈련과정을 완료해야 한다인터넷 이용을 희망하는 근로자는 훈련과정을 완료해야 한다570. .570. .570. .570. .

부서 관리자의 승인을 받은 근로자만이 회사의 시설을 통하여 인터넷을 이용한다 근로자들.

이 인터넷 정책과 실습훈련과정을 완료한 이후에 승인될 것이다.

모든 인터넷 개인 메세지에 회사이름 사용금지모든 인터넷 개인 메세지에 회사이름 사용금지모든 인터넷 개인 메세지에 회사이름 사용금지모든 인터넷 개인 메세지에 회사이름 사용금지571.571.571.571.

근로자가 인터넷 전자게시판 또는 다른 공공 정보체계를 통하여 메시지를 전송할 때는 언,

제나 이 메시지가 회사를 명확하게 나타내는 문장으로 수행되어서는 안된다, .

- 298 -

그와 같은 문장은 회사의 이름이 메시지에 나타나지 않을 때 또는 회사와 협력관계가 명백

하게 설명되지 않을 때에도 적용된다 예외는 메시지가 공공관련부서에 의하여 공개 승인된.

곳이다.

회사 협력을 포함하는 인터넷 표현회사 협력을 포함하는 인터넷 표현회사 협력을 포함하는 인터넷 표현회사 협력을 포함하는 인터넷 표현572.572.572.572.

전자게시판의 토론이나 좌담분야 그리고 다른 인터넷을 이용할 때는 회사의 생산품과 서비

스를 위해 사무적 지원을 제공할 수 있는 관리자에 의해 승인된 근로자만이 회사의 협력을

암시할 수 있다 이것은 외적으로는 그들의 메시지에 어떤 말을 첨가하거나 내적으로 전자.

우편주소를 경유하여 이루어진다 어느 경우이든 그들이 반대되는 지침을 받지 않는 한 근. ,

로자들이 회사의 암시를 나타낼 때마다 그들은 명백하게 표현된 그 의견은 자신의 것이고“

회사의 것이 아니라고 나타내야만 한다” .

공공 인터넷 토론회에 개인적 접촉정보의 누설공공 인터넷 토론회에 개인적 접촉정보의 누설공공 인터넷 토론회에 개인적 접촉정보의 누설공공 인터넷 토론회에 개인적 접촉정보의 누설573.573.573.573.

몰래 접근하거나 괴롭힘 혹은 그들의 사생활에 대한 다른 침입에 관련된 어른뿐만 아니라( )

아이들은 그들의 진짜 이름 주소 전화번호를 인터넷에 접속된 전자게시판 좌담실 또는 다, , ,

른 공공토론회에 밝혀서는 안된다.

계약에 의해 허용된 비공식의 웹페이지계약에 의해 허용된 비공식의 웹페이지계약에 의해 허용된 비공식의 웹페이지계약에 의해 허용된 비공식의 웹페이지574.574.574.574.

회사의 제품이나 서비스를 다루는 비공적인 페이지는 이들 홈페이지 후원자가 홍보WWW

활동책임자에 의하여 승인된 계약서를 가지지 않는 한 금지되어야 한다.

회사의 제품 또는 서비스에 관한 새로운 인터넷 자료를 소개하는 근로자는 홍보활동책임자

에게 신속하게 통고해야 한다.

인터넷을 통한 지불정보의 안전한 전송인터넷을 통한 지불정보의 안전한 전송인터넷을 통한 지불정보의 안전한 전송인터넷을 통한 지불정보의 안전한 전송575.575.575.575.

근로자들은 인터넷 전자우편을 통하여 신용카드번호 접속 패스워드 혹은 다른 비밀정보 또, ,

는 지불정보들이 암호화되지 않고 읽기 쉬운 형태로 전송해서는 안된다 인터넷을 통하여.

전송되는 읽기 쉬운 전자우편은 우편엽서와 같은 보안성을 가진다 즉 우편엽서에 부적당한. ,

중요한 정보가 인터넷 전자우편으로 의하여 전송되어서는 안된다.

- 299 -

인터넷을 통하여 소프트웨어와 다른 중요한 정보를 전송하기인터넷을 통하여 소프트웨어와 다른 중요한 정보를 전송하기인터넷을 통하여 소프트웨어와 다른 중요한 정보를 전송하기인터넷을 통하여 소프트웨어와 다른 중요한 정보를 전송하기576.576.576.576.

회사의 비밀 소유권 또는 개인 정보는 그것이 승인된 방법으로 암호화되지 않았다면 인터, ,

넷을 통해 전송되어서는 안된다 특히 공개적으로 알려져 있지 않는다면 소스코드는 인터넷. ,

을 통해 전송하기 전에 항상 암호화되어야 한다.

회사의 컴퓨터에 관한 공개 디렉토리는 야간에 확인한다회사의 컴퓨터에 관한 공개 디렉토리는 야간에 확인한다회사의 컴퓨터에 관한 공개 디렉토리는 야간에 확인한다회사의 컴퓨터에 관한 공개 디렉토리는 야간에 확인한다577. .577. .577. .577. .

회사의 인터넷과 연결된 컴퓨터에 관한 모든 공개적으로 작성될 수 있는 디렉토리는 매일

저녁마다 재검토되고 확인되어야 한다 왜냐하면 해적 소프트웨어 도둑질한 패스워드 훔친. , ,

신용카드번호 포르노 그리고 회사의 사업과 관계되지 않는 다른 정보들이 이 지역에서 익,

명으로 교환될 수 있기때문에 이런 과정이 필요하다.

공개토론회에 게시된 부적당한 전자우편 제거공개토론회에 게시된 부적당한 전자우편 제거공개토론회에 게시된 부적당한 전자우편 제거공개토론회에 게시된 부적당한 전자우편 제거578.578.578.578.

회사 근로자에 의하여 인터넷 토론그룹 전자게시판 또는 다른 공개토론회에 전송되는 전자,

우편이 회사 사업이익과 회사정책에 일치되는가를 결정하기 위하여 검토하고 제거되어야 한

다 이 범주에 속하는 메시지는 정치적인 정보 종교적인 정보 저주 또는 불쾌한. (a) , (b) , (c)

언어 종족 교리 색깔 나이 섹스 육체적 불구 등에 기초된 다른 사람을 학대하는 정보, (d) , , , , ,

등을 포함한다 전자우편을 제거하는 결정은 정보보안관리자 또는 인사관리자에 의하여 이.

루어져야만 한다 실제적이고 가능할 때 메시지를 책임지는 개인에게 결정이 통보되고 메시. ,

지를 제거할 시기가 주어질 것이다.

공공 네트워크 게시를 통한 비밀정보 전송을 피하라공공 네트워크 게시를 통한 비밀정보 전송을 피하라공공 네트워크 게시를 통한 비밀정보 전송을 피하라공공 네트워크 게시를 통한 비밀정보 전송을 피하라579. .579. .579. .579. .

인터넷과 같은 공공네트워크에 있는 전자게시판 전자우편물목록 가동되는 뉴스그룹 그리고, ,

관련된 토론회에 알려진 비평과 문제를 적당하게 조직화하는 주의가 취해져야 한다 근로자.

들이 주의하지 않으면 그들은 어떤 회사계획들이 진행 중인가 하는 비밀을 예상한다 사용, .

자가 알려지지 않은 소프트웨어제품 연구개발계획 또는 관련된 회사 비밀자료에 관하여 일,

하고 있다면 모든 관련된 게시물은 어떤 공공네트워크에 게시되기 전에 관리자에 의하여,

확인되어야만 한다.

인터넷으로부터 다운로드 받은 파일과 소프트웨어 처리인터넷으로부터 다운로드 받은 파일과 소프트웨어 처리인터넷으로부터 다운로드 받은 파일과 소프트웨어 처리인터넷으로부터 다운로드 받은 파일과 소프트웨어 처리580.580.580.580.

- 300 -

인터넷 또는 어떤 다른 공공네트워크 을 경유해서 전송받은 회사 자료가 아닌 모든 소프트( )

웨어와 파일은 바이러스 검출 소프트웨어와 더불어 정재되어야만 한다 이런 감별은 워드처.

리 패키지와 같은 또 다른 프로그램을 통해서 운영 전에 취해져야만 한다.

인터넷을 통해 전송받은 정보의 신뢰성인터넷을 통해 전송받은 정보의 신뢰성인터넷을 통해 전송받은 정보의 신뢰성인터넷을 통해 전송받은 정보의 신뢰성581.581.581.581.

인터넷으로부터 얻은 모든 정보는 또 다른 방법으로 확인될 때까지 의심스럽게 지켜봐야 한

다 인터넷상에 질적 통제과정이 없어 상당량의 인터넷 정보가 시대에 뒤지고 부정확하고.

아니면 고의적으로 잘못되어 있다.

회사와 관련된 주제를 인터넷으로부터 정보입수회사와 관련된 주제를 인터넷으로부터 정보입수회사와 관련된 주제를 인터넷으로부터 정보입수회사와 관련된 주제를 인터넷으로부터 정보입수582.582.582.582.

인터넷으로부터 나온 정보입수는 회사의 사업과 명확하게 관련되는 정보로 제한되어져야만

한다.

인터넷상에서 외부 상대방의 신원확인인터넷상에서 외부 상대방의 신원확인인터넷상에서 외부 상대방의 신원확인인터넷상에서 외부 상대방의 신원확인583.583.583.583.

인터넷과 같은 공공통신망에 다른 사용자의 신원을 가장하는 것은 상대적으로 쉽다 근로자.

가 공공통신망을 통해 어떤 회사의 내부정보를 공개하거나 어떤 계약을 체결하거나 어떤, ,

제품을 주문하기 전에 접촉되는 개인과 조직의 신원이 확인되어야 한다 신원확인은 이상적.

으로 디지털 서명으로 수행되지만 이것이 아직 이용할 수 없는 곳에서는 신용장 제 자 조, , 3

회 그리고 전화통화와 같은 다른 방법이 이용된다.

인터넷상에 회사 자료를 올리기인터넷상에 회사 자료를 올리기인터넷상에 회사 자료를 올리기인터넷상에 회사 자료를 올리기584.584.584.584.

사용자들이 만약에 홍보부서 책임자에 의해 승인된 자료가 아닌 한 어떤 공개적으로 접근할

수 있는 인터넷 컴퓨터시스템에 소프트웨어 내부메모 및 보도자료 등과 같은 회사의 자료,

를 올릴 수 없다.

인터넷을 통한 정보교환인터넷을 통한 정보교환인터넷을 통한 정보교환인터넷을 통한 정보교환585.585.585.585.

회사의 소프트웨어 문서 모든 다른 유형의 내부정보는 관리자에 의하여 명백하게 승인된, ,

사업목적 외에 어떤 다른 목적으로 회사측이 아닌 상대에게 판매되거나 또는 전송되어서는

안된다 회사와 제삼자 사이에 소프트웨어와 자료의 교환은 부사장에 의해 사전에 서면 동.

의없이 진행되어서는 안된다.

- 301 -

그러한 동의서는 소프트웨어 또는 자료가 처리되고 보호되는 방법과 마찬가지로 교환이란

용어로 설명되어야 한다 교환이란 용어들이 이미 정의되어졌기 때문에 고객의 구매주문에. ,

관한 기술적 정보의 탁송과 같은 규칙적 사업들은 그러한 특별한 동의서를 포함할 필요가

없다.

내부 인터넷 사용자들을 위해 요구되는 확장된 사용자 인증내부 인터넷 사용자들을 위해 요구되는 확장된 사용자 인증내부 인터넷 사용자들을 위해 요구되는 확장된 사용자 인증내부 인터넷 사용자들을 위해 요구되는 확장된 사용자 인증586.586.586.586.

인터넷을 경유하여 회사의 컴퓨터들과 연결을 원하는 모든 사용자들은 회사의 내부네트워크

로 접근하기 전에 방화벽에서 그들 자신을 인증해야 한다 이것들은 정보시스템의 책임자에.

의해 승인된 확장된 사용자 인증과정을 통해 이루어진다 확장된 사용자 인증체계는 침입자.

가 고정된 암호를 추측하는 것과 도청장치를 통해 획득한 고정된 패스워드를 사용하는 것을

방지해 준다 인터넷 웹싸이트와 같은 의도된 공공 시스템은 익명의 상호작용이 기대되기.

때문에 이러한 인증과정을 필요로 하지 않는다.

인터넷을 통한 고정된 패스워드를 가진 텔넷 연결은 금지한다인터넷을 통한 고정된 패스워드를 가진 텔넷 연결은 금지한다인터넷을 통한 고정된 패스워드를 가진 텔넷 연결은 금지한다인터넷을 통한 고정된 패스워드를 가진 텔넷 연결은 금지한다587. .587. .587. .587. .

시스템 위에 원격통신망 연결로 알려진 회사의 컴퓨터 인터넷을 통한 전통적인 고정(Unix )

된 패스워드를 사용하는 텔넷 연결이 강력한 패스워드 또는 어떤 다른 승인된 확장 사용자

인증기술을 사용하여 설치되지 않는다면 금지된다.

인터넷을 통한 새로운 사업구상의 설정인터넷을 통한 새로운 사업구상의 설정인터넷을 통한 새로운 사업구상의 설정인터넷을 통한 새로운 사업구상의 설정588.588.588.588.

만약에 정보기술 책임자들과 수석법률고문변호사 모두가 동의하지 않으면 사용자는 인터넷

연결사용을 통하여 새로운 또는 다른 사업채널을 설정하는 것이 금지된다 이런 채널은 전.

자자료교환 구상 온라인쇼핑을 하는 전자시장 온라인 데이터 베이스 서비스 등을 포(EDI) , ,

함한다.

인터넷 웹싸이트를 통해 수집된 정보에 관한 사용자 통제인터넷 웹싸이트를 통해 수집된 정보에 관한 사용자 통제인터넷 웹싸이트를 통해 수집된 정보에 관한 사용자 통제인터넷 웹싸이트를 통해 수집된 정보에 관한 사용자 통제589.589.589.589.

회사가 그의 웹싸이트를 방문하는 사람에 관한 정보를 수집할 때마다 사용자들에게 이런 감

시 과정을 인지시켜야만 한다 또한 이들 사용자들에게 이 정보가 어떻게 사용되고 누구에. ,

게 누설되는 가를 설명할 기회가 주어져야 한다.

모든 정보취급 근로자들에 필요한 정보보안 교육모든 정보취급 근로자들에 필요한 정보보안 교육모든 정보취급 근로자들에 필요한 정보보안 교육모든 정보취급 근로자들에 필요한 정보보안 교육590.590.590.590.

- 302 -

모든 고용인 상담역 그리고 계약자들에게 회사 정보자원을 적절히 보호하도록 허락하기 위, ,

한 충분한 훈련과 참고자료 지원이 제공되어야 한다.

훈련과 관련한 정보보호부서 책임훈련과 관련한 정보보호부서 책임훈련과 관련한 정보보호부서 책임훈련과 관련한 정보보호부서 책임591.591.591.591.

정보보호부서는 고용인 임시직 고문 그리고 계약자에게 정보보호에 관한 그들의 의무를, , ,

규칙적으로 상기시킬 수 있는 재교육 과정과 그와 같은 다른 자료를 제공해야만 한다.

요구되는 정보보호교육 시간요구되는 정보보호교육 시간요구되는 정보보호교육 시간요구되는 정보보호교육 시간592.592.592.592.

관리자는 고용인이 회사의 정보보호정책 절차 그리고 사업상 연관된 방법을 알 수 있도록, ,

충분한 교육시간을 할당해야만 한다.

정보 보호정책과 절차에 따른 작업정보 보호정책과 절차에 따른 작업정보 보호정책과 절차에 따른 작업정보 보호정책과 절차에 따른 작업593.593.593.593.

모든 근로자는 정보보안에 대한 회사의 정책과 절차를 이해하고 그와 같은 정책과 절차에

따른 작업을 수행하기 위해 서면으로 동의해야만 한다.

정보 보호 교육지시에 대한 참가정보 보호 교육지시에 대한 참가정보 보호 교육지시에 대한 참가정보 보호 교육지시에 대한 참가594.594.594.594.

모든 근로자는 회사에 입사하여 개월 안에 정보보호 인식교육에 참가해야만 한다 그 교육3 .

에 모든 사원이 참가했다는 증거로 각 사원은 그들이 교육에 출석해서 과제물을 이해하고

질문할 기회를 가졌다는 서류에 서명해야 한다.

계약 준수사항 이행의 요구계약 준수사항 이행의 요구계약 준수사항 이행의 요구계약 준수사항 이행의 요구595.595.595.595.

회사와 관련된 지속적인 계약준수사항 서명에 모든 근로자는 계약준수사항에 관하여 읽고

따라야만 한다.

계약 준수사항 이해에 대한 인지서명계약 준수사항 이해에 대한 인지서명계약 준수사항 이해에 대한 인지서명계약 준수사항 이해에 대한 인지서명596.596.596.596.

모든 근로자는 해마다 그 계약준수사항에 서명에 동의하는 것을 인정하는 형식에 매년 서명

함으로 관리 코드에 대한 이해를 보여주어야만 한다.

제 자의 정보보호 책임에 대한 정의제 자의 정보보호 책임에 대한 정의제 자의 정보보호 책임에 대한 정의제 자의 정보보호 책임에 대한 정의597. 3597. 3597. 3597. 3

회사의 사업상 동업자 공급자 소비자 그리고 다른 사업관계자는 회사와의 관계를 정의하는, ,

계약에 나타나는 특정조항을 통하여 정보보호에 대한 책임을 인식시켜야만 한다.

- 303 -

생산 시스템을 위해 요구되는 사용자 훈련생산 시스템을 위해 요구되는 사용자 훈련생산 시스템을 위해 요구되는 사용자 훈련생산 시스템을 위해 요구되는 사용자 훈련598.598.598.598.

회사 근로자들은 만약 그들이 생산업무처리 소프트웨어에 대한 훈련을 받지 않았다면 어떠

한 소프트웨어도 사용해선 안된다.

정보보호 문제에 대한 보고정보보호 문제에 대한 보고정보보호 문제에 대한 보고정보보호 문제에 대한 보고599.599.599.599.

모든 의심되는 정보보호 사고는 올바른 경로를 통해 가능한 한 신속하게 보고되어야만 한

다.

정보보호 위반자와 문제에 대한 내부보고정보보호 위반자와 문제에 대한 내부보고정보보호 위반자와 문제에 대한 내부보고정보보호 위반자와 문제에 대한 내부보고600.600.600.600.

회사 근로자들은 적기에 신속한 교정행위가 이루어질 수 있도록 정보보호 부서에 모든 정보

보호 위반과 문제를 즉시 보고할 의무를 가진다.

정보보호 사고의 외부보고정보보호 사고의 외부보고정보보호 사고의 외부보고정보보호 사고의 외부보고601.601.601.601.

법 또는 규칙에 의해 요구된다면 관리자는 정보보호 사고를 외부 당국에 신속하게 보고해야

만 한다 그러한 요구가 없다면 관리자는 법원 정보보호부서 감사부서의 대표자들과 협의. , ,

하여 이 사고를 보고하기 전에 외부발표에 대한 찬성과 반대를 검토해야만 한다.

의심되는 컴퓨터 바이러스 침입에 대한 즉각적인 보고의심되는 컴퓨터 바이러스 침입에 대한 즉각적인 보고의심되는 컴퓨터 바이러스 침입에 대한 즉각적인 보고의심되는 컴퓨터 바이러스 침입에 대한 즉각적인 보고602.602.602.602.

컴퓨터 바이러스는 빨리 퍼질 수 있고 컴퓨터와 자료에 심각한 문제를 발생시키므로 가능한

한 빨리 제거할 필요가 있다 따라서 근로자가 컴퓨터 바이러스 침입을 발견한 즉시 정보보.

호 부서에 보고한다면 그들의 부주의가 원인일지라도 징계대상이 되지 않을 것이다 빠른.

보고의 사면에 대한 예외는 근로자들이 회사 시스템에 컴퓨터 바이러스를 일으키게 한 원인

이 되는 환경이다 어쨌든 알려진 침입에 대한 보고가 신속하게 이루어지지 않고 어떤 근로.

자도 침입에 대한 인식을 알리지 않는다면 이 근로자들은 결과적으로 징계대상이 될 것이

다.

소프트웨어 오작동에 대한 보고 요구소프트웨어 오작동에 대한 보고 요구소프트웨어 오작동에 대한 보고 요구소프트웨어 오작동에 대한 보고 요구603.603.603.603.

모든 외견상 제대로 동작되지 않는 소프트웨어는 즉시 정보시스템 서비스 제공자나 관리자

에게 보고되어야만 한다.

- 304 -

컴퓨터 범죄에 따른 조사 요구컴퓨터 범죄에 따른 조사 요구컴퓨터 범죄에 따른 조사 요구컴퓨터 범죄에 따른 조사 요구604.604.604.604.

회사가 컴퓨터 혹은 통신 범죄에 의해 손해를 보았다는 증거가 명백히 있을 때마다 철저한

조사가 이루어져야만 한다 이 조사는 이러한 사건이 다시 일어나지 않도록 효과적인 보안.

측정이 재정립될 수 있도록 하기 위한 충분한 정보를 제공해야만 한다.

정보보호 위반과 문제 정보의 보존정보보호 위반과 문제 정보의 보존정보보호 위반과 문제 정보의 보존정보보호 위반과 문제 정보의 보존605.605.605.605.

모든 보고된 정보보호 문제와 위반을 설명한 정보는 년 동안 보존되어야 한다3 .

정보보호 위반과 문제에 대한 연례분석정보보호 위반과 문제에 대한 연례분석정보보호 위반과 문제에 대한 연례분석정보보호 위반과 문제에 대한 연례분석606.606.606.606.

보고된 정보보호 문제와 위반에 대한 연례분석은 정보보호 부서에 의해 준비되어야 한다.

문제 보고와 관리 과정문제 보고와 관리 과정문제 보고와 관리 과정문제 보고와 관리 과정607.607.607.607.

시스템 고장 중단 컴퓨터와 관련된 문제에 대해 영향받은 정보는 정상적인 토대로 사용자, ,

들에게 유용하게 만들어져야만 한다 공식적인 문제관리 과정은 문제를 기록하고 사건을 감. ,

소시키고 재발을 방지할 것이다.

새로운 정보시스템 보안제품에 대한 신뢰새로운 정보시스템 보안제품에 대한 신뢰새로운 정보시스템 보안제품에 대한 신뢰새로운 정보시스템 보안제품에 대한 신뢰608.608.608.608.

시장에 출시된 지 년 이하의 정보시스템 보안제품은 어떠한 회사 생산정보시스템의 통합적1

인 요소로써 사용되어서는 안된다.

컴퓨터와 통신 보안을 위해 요구되는 사용자 편의컴퓨터와 통신 보안을 위해 요구되는 사용자 편의컴퓨터와 통신 보안을 위해 요구되는 사용자 편의컴퓨터와 통신 보안을 위해 요구되는 사용자 편의609.609.609.609.

모든 컴퓨터와 통신 보안측정은 사용하기에 간단하고 쉬워야 하며 관리하고 감사하기에 간

편하고 쉬워야 한다.

정보보호 대책에 대한 사용자 수용 요구정보보호 대책에 대한 사용자 수용 요구정보보호 대책에 대한 사용자 수용 요구정보보호 대책에 대한 사용자 수용 요구610.610.610.610.

모든 정보보호 통제는 통제된 작업으로 감시되는 사람들에 의하여 수용되고 지원되어야만

한다.

- 305 -

시스템 개발 생명주기에서의 보안시스템 개발 생명주기에서의 보안시스템 개발 생명주기에서의 보안시스템 개발 생명주기에서의 보안611.611.611.611.

모든 사업 응용시스템에 대하여 보안은 시스템 설계과정의 초기부터 생산시스템의 변경까지

개발자와 시스템 설계자에 의해 고려되어야만 한다.

표준구매 경로에 의한 하드웨어와 소프트웨어의 입수표준구매 경로에 의한 하드웨어와 소프트웨어의 입수표준구매 경로에 의한 하드웨어와 소프트웨어의 입수표준구매 경로에 의한 하드웨어와 소프트웨어의 입수612.612.612.612.

회사내의 정보보안표준의 승인을 확인하기 위해서는 모든 하드웨어와 소프트웨어가 표준 구

매경로를 통해 입수되어야만 한다.

발표에도 불구하고 일관된 정보보호발표에도 불구하고 일관된 정보보호발표에도 불구하고 일관된 정보보호발표에도 불구하고 일관된 정보보호613.613.613.613.

정보는 민감성 가치 그리고 중요성과 같은 방법으로 보호되어야만 한다 이 정책은 정보가, .

저장되어 있는 매체 장소 정보를 처리하는데 사용되는 시스템 정보를 취급되는 진행과정, , ,

에 상관없이 적용된다 정보 저장 매체 예로는 종이 용지와 컴퓨터 플로피디스켓이. , OHP

있다 정보보관 장소의 예로는 본부건물 또는 원격 판매사무소가 있다 정보처리에 사용되는. .

시스템 예로는 음성메일 시스템 팩스 그리고 휴대용 개인용 컴퓨터가 있다 정보를 취급하, .

는 과정 예로는 사내시스템 개발 방법론 연간 예산책정 과정 종업원 배경 검사과정들이 있, ,

다.

통제를 위한 일반 메커니즘 의존 최소화통제를 위한 일반 메커니즘 의존 최소화통제를 위한 일반 메커니즘 의존 최소화통제를 위한 일반 메커니즘 의존 최소화614.614.614.614.

비용조정의 범위 내에서 정보보안 통제는 일반 매커니즘 의존이 최소화되도록 설계되고 선

택되어야만 한다.

컴퓨터 시스템에 대한 독립적인 보안시스템컴퓨터 시스템에 대한 독립적인 보안시스템컴퓨터 시스템에 대한 독립적인 보안시스템컴퓨터 시스템에 대한 독립적인 보안시스템615.615.615.615.

컴퓨터시스템의 보안은 다른 컴퓨터시스템의 보안에 의존적이지 않아야 한다.

최신 컴퓨터 운영체제 버전의 사용최신 컴퓨터 운영체제 버전의 사용최신 컴퓨터 운영체제 버전의 사용최신 컴퓨터 운영체제 버전의 사용616.616.616.616.

최신 보안성 향상의 장점을 취하기 위하여 공급 개시 몇 달 안에 회사는 모든 다중사용자,

컴퓨터 운영체제의 최신 버전을 사용해야만 한다.

응용업무의 보안기능 유지응용업무의 보안기능 유지응용업무의 보안기능 유지응용업무의 보안기능 유지617.617.617.617.

실행할 수 있고 비용 효과적일 때마다 시스템 개발자는 응용기능을 개발하여 넣기 보다는,

오히려 보안기능을 위해 시스템 서비스에 더 의존해야만 한다.

- 306 -

예를 들면 시스템 서비스에는 운영시스템 네트워크 운영시스템 데이터베이스 관리시스템, , ,

접근통제 패키지 통신 제어 장치 방화벽 게이트웨이 그리고 라우터 등이 포함된다, , , , .

생산 정보 시스템을 위한 위험 평가생산 정보 시스템을 위한 위험 평가생산 정보 시스템을 위한 위험 평가생산 정보 시스템을 위한 위험 평가618.618.618.618.

모든 제품 컴퓨터 정보 시스템은 수용단계에서 위험을 줄일 수 있는 통제 최소집합을 결정

하기 위하여 정보보호 부서에 의해 주기적으로 평가되어야만 한다.

정보보호 시스템 개발 구성보다는 구매정보보호 시스템 개발 구성보다는 구매정보보호 시스템 개발 구성보다는 구매정보보호 시스템 개발 구성보다는 구매619.619.619.619.

비용절감과 시스템개발 촉진을 위하여 회사는 기업 내에서 자체 개발보다는 오히려 상업적

으로 유용한 정보보호 제품을 구매해야만 한다 이 정책에 대한 예외는 기업내의 대책의 비.

용효과가 정보보호 부서에 의해 명백히 분석되고 승인될 때이다.

산업정보보호 표준의 이행산업정보보호 표준의 이행산업정보보호 표준의 이행산업정보보호 표준의 이행620.620.620.620.

회사 정보시스템은 산업정보보호 표준안을 마련해야만 한다 이 표준안을 사용하는 비용이.

이익을 초과하거나 표준안의 사용이 회사의 사업활동을 명백하게 방해하지 않는 한 예외가

허락되지 않는다.

정보보호 시스템 통제 표준의 최소화정보보호 시스템 통제 표준의 최소화정보보호 시스템 통제 표준의 최소화정보보호 시스템 통제 표준의 최소화621.621.621.621.

모든 회사 정보 시스템은 조직 내에 표준 통제를 최소화하여야 한다 표준통제 외의 위험에.

대해서는 관례로 해결해야 한다.

모든 중요한 정보보호 위험에 요구되는 책임모든 중요한 정보보호 위험에 요구되는 책임모든 중요한 정보보호 위험에 요구되는 책임모든 중요한 정보보호 위험에 요구되는 책임622.622.622.622.

모든 중요한 정보 시스템 보안위험에 대해 관리자는 회사가 자체적으로 보증하는 방안 대,

외보험에 가입하는 방안 예상되는 손실을 감소시키기 위한 통제의 조정 등에 대한 특정 의,

사결정을 해야만 한다.

적절한 정보보호 보험 적용 범위가 유지되어야만 한다적절한 정보보호 보험 적용 범위가 유지되어야만 한다적절한 정보보호 보험 적용 범위가 유지되어야만 한다적절한 정보보호 보험 적용 범위가 유지되어야만 한다623. .623. .623. .623. .

회사 컴퓨터와 통신시스템에 의해 취급되는 정보의 비밀성 무결성 유용성에 직면하는 모든, ,

주요 위험에 대하여 적절한 보험 적용 범위가 정해지고 유지되어야 한다.

- 307 -

정보보호를 위한 충분한 자원의 할당정보보호를 위한 충분한 자원의 할당정보보호를 위한 충분한 자원의 할당정보보호를 위한 충분한 자원의 할당624.624.624.624.

관리자는 정보시스템 보안을 위한 충분한 자원과 직원을 배치해야 한다.

정보보호는 재부담금 항목이 아니라 간접경비이다정보보호는 재부담금 항목이 아니라 간접경비이다정보보호는 재부담금 항목이 아니라 간접경비이다정보보호는 재부담금 항목이 아니라 간접경비이다625. .625. .625. .625. .

정보보안 제품과 서비스는 법인 간접경비 예산을 통해 제공되며 각각의 자회사에 재부담시

키지 않을 것이다.

보안도 측정은 설치에 앞서 시행될 수 있어야 한다보안도 측정은 설치에 앞서 시행될 수 있어야 한다보안도 측정은 설치에 앞서 시행될 수 있어야 한다보안도 측정은 설치에 앞서 시행될 수 있어야 한다626. .626. .626. .626. .

모든 정보시스템 보안 통제는 표준운영절차의 부분으로 채택되기 전에 시행될 수 있어야 한

다.

회사 정보를 취급하는 제 자와의 협정회사 정보를 취급하는 제 자와의 협정회사 정보를 취급하는 제 자와의 협정회사 정보를 취급하는 제 자와의 협정627. 3627. 3627. 3627. 3

제 자에 의한 회사 정보의 취급을 다루는 모든 협정에는 특별한 조항이 포함되어야만 한다3 .

이 조항은 회사가 정보취급활동을 위해 사용되는 통제를 감사하는 것이 허락되어야만 한다.

필요할 때 평가된 보안제품 사용이 요구된다필요할 때 평가된 보안제품 사용이 요구된다필요할 때 평가된 보안제품 사용이 요구된다필요할 때 평가된 보안제품 사용이 요구된다628. .628. .628. .628. .

모든 특별한 기능 장비가 다른 방법으로 접속한다면 한국정보보호진흥원에 의해 평가된 정

보시스템 보안제품이 평가되지 않은 제품보다 선호되고 더 사용되어야만 한다.

이익의 직간접 충돌을 피하라이익의 직간접 충돌을 피하라이익의 직간접 충돌을 피하라이익의 직간접 충돌을 피하라629. .629. .629. .629. .

모든 근로자는 회사의 사업상 관련있는 이익에 직간접 충돌을 피해야만 한다 이익의 잠.

재적 충돌이 존재한다는 어떤 의심이라도 있다면 근로자는 그의 관리자와 협의해야만 한다.

정보보호 불이행에 대한 징계 대책정보보호 불이행에 대한 징계 대책정보보호 불이행에 대한 징계 대책정보보호 불이행에 대한 징계 대책630.630.630.630.

정보보호 정책 표준 절차의 불이행은 파면을 포함한 징계행위에 해당한다, , .

여러 가지 정보보호 위반에 대한 징계 대책여러 가지 정보보호 위반에 대한 징계 대책여러 가지 정보보호 위반에 대한 징계 대책여러 가지 정보보호 위반에 대한 징계 대책631.631.631.631.

행위가 부주의하거나 우발적이라고 가정할 때 정보보호 정책 혹은 절차의 첫 번째 위반은,

경고해야만 한다.

- 308 -

같은 경우의 두 번째 위반은 근로자 개인 파일에 기록된다 세 번째 위반은 일간 임금없이. 5

업무정지이다 네 번째 위반은 해고이다 위반회수와 상관없이 의도적인 위반은 해고를 포함. .

한 징계행위에 해당된다.

파면에 해당하는 보안위반파면에 해당하는 보안위반파면에 해당하는 보안위반파면에 해당하는 보안위반632.632.632.632.

부사장 의 특별한 허락이 얻어지지 않는다면 회사 자산을 훔침 반항(Senior Vice President) , ,

적인 행동 중죄로 확신되는 모든 근로자들은 즉시 해고될 것이다 이러한 즉각적인 파면 대, .

상자는 개인의 개인사물을 정리할 때 입회인이 배치되어야 한다.

경쟁자가 있는 작업 고용인의 숙지와 처리경쟁자가 있는 작업 고용인의 숙지와 처리경쟁자가 있는 작업 고용인의 숙지와 처리경쟁자가 있는 작업 고용인의 숙지와 처리633.633.633.633.

경쟁자와 일하는 모든 근로자들은 곧 경쟁자와의 작업 제안을 수락할 때 회사 관리자에게

통지해야만 한다 입회자와 동반할 때 이 위치에 있는 모든 근로자들은 곧바로 그들의 개인. ,

사물을 정리하고 시각적으로 볼 수 있도록 해야한다 그러한 작업자에게 주어진 모든 회사.

의 권리 특권 조회 등은 종료시 즉각 철회되어야 한다, .

컴퓨터 작업자의 본의 아닌 퇴직컴퓨터 작업자의 본의 아닌 퇴직컴퓨터 작업자의 본의 아닌 퇴직컴퓨터 작업자의 본의 아닌 퇴직634.634.634.634.

컴퓨터 작업자가 본의 아닌 퇴직의 경우에 즉시 그들의 모든 의무를 덜어주고 회사장비와,

정보를 되돌려 받아야 되고 자신의 개인 사물을 정리하고 회사 밖으로 나갈 때까지 입회자,

가 있어야 한다.

회사퇴사와 분리와 동시에 회사 자산의 회수회사퇴사와 분리와 동시에 회사 자산의 회수회사퇴사와 분리와 동시에 회사 자산의 회수회사퇴사와 분리와 동시에 회사 자산의 회수635.635.635.635.

모든 고용인 고문 계약자가 회사와의 관계를 완료할 때 모든 회사 자산은 회수되어야 한, , ,

다 이것은 휴대할 수 있는 컴퓨터 도서관 서적 참고문헌 건물 키 마그네틱 접근카드 신. , , , , ,

용 카드 회사 융자 같은 것이 포함된다 이들 해고된 개인은 그들이 소유하고 있는 모든 컴, .

퓨터 시스템 권한 접근권한과 그들에게 수여된 다른 권한과 마찬가지로 회사의 자산을 관리

자에게 알려야한다.

근로자 해고에 대한 관리책임근로자 해고에 대한 관리책임근로자 해고에 대한 관리책임근로자 해고에 대한 관리책임636.636.636.636.

- 309 -

고용인 고문 계약자가 회사와의 관계를 끊는 사건이 발생할 때 근로자들의 직접관리자는, , ,

그 근로자의 관리하에 있는 모든 자산의 반환에 대한 책임이 있다 이 관리자는 근로자에.

의해 사용된 컴퓨터와 통신계정을 취급하는 관리자에게 알리고 그 관리자의 업무와 관련된,

모든 권한은 즉시 제한되어야 한다.

파면된 자는 재고용이나 복직되지 않는다파면된 자는 재고용이나 복직되지 않는다파면된 자는 재고용이나 복직되지 않는다파면된 자는 재고용이나 복직되지 않는다637. .637. .637. .637. .

파면된 정식 고용인 고문 계약자는 최고위층의 서면상 허가없이 재고용되거나 복직될 수, ,

없다.

근로자가 신규 재고용 복직되기 위한 수습기간근로자가 신규 재고용 복직되기 위한 수습기간근로자가 신규 재고용 복직되기 위한 수습기간근로자가 신규 재고용 복직되기 위한 수습기간638. , ,638. , ,638. , ,638. , ,

빈약한 재고용 복직과 마찬가지로 근로자들은 개월 동안의 수습기간을 거쳐야만 한다 이, 6 .

기간 동안 그들의 관리자들은 실제로 이 근로자들의 태도와 수행력을 관찰해야만 한다 이.

근로자들은 수습기간 동안 이유 없이 해고될 수 있다.

연장된 조사기간 동안은 무임금으로 한다연장된 조사기간 동안은 무임금으로 한다연장된 조사기간 동안은 무임금으로 한다연장된 조사기간 동안은 무임금으로 한다639. .639. .639. .639. .

보안 위반의 조사연장은 업무 정지된 근로자가 임금 없이 잔류된 상태로 수행될 수 있다.

보호 정책에 동의하는 서약서의 갱신보호 정책에 동의하는 서약서의 갱신보호 정책에 동의하는 서약서의 갱신보호 정책에 동의하는 서약서의 갱신640.640.640.640.

지속적인 고용 고용인 고문 계약자들에 대한 조건은 정보보호 서약서에 매년 서명해야 한, , ,

다.

기소 또는 손해배상 할 때기소 또는 손해배상 할 때기소 또는 손해배상 할 때기소 또는 손해배상 할 때641.641.641.641.

남용과 범죄행위가 허용되지 않게 하기 위해서 회사경영자는 법의 알려진 위반에 대하여 기

소를 심각하게 고려해야 한다.

중요한 결정에 요구되는 인간관계중요한 결정에 요구되는 인간관계중요한 결정에 요구되는 인간관계중요한 결정에 요구되는 인간관계642.642.642.642.

모든 컴퓨터 직원처리는 직원의 생명에 대한 위험 안전에 대한 위험을 유발할 수 있는 경,

우가 있는지 사전에 검토되어야만 한다.

- 310 -

중요한 시스템 전문기술에 대한 개인의 믿음중요한 시스템 전문기술에 대한 개인의 믿음중요한 시스템 전문기술에 대한 개인의 믿음중요한 시스템 전문기술에 대한 개인의 믿음643.643.643.643.

중요한 컴퓨터나 통신과 관련된 분야에서 전문기술은 적어도 서로 대체할 수 있는 두 사람

에 의해 소유되어야 한다 그러한 전문기술의 백업은 시스템 서비스에서 불법중단을 예방하.

며 불법과 남용행위가 있을 가능성은 증가한다, .

매년 일 연속 휴가가 요구된다매년 일 연속 휴가가 요구된다매년 일 연속 휴가가 요구된다매년 일 연속 휴가가 요구된다644. 5 .644. 5 .644. 5 .644. 5 .

다른 사람에게 업무대체 훈련기회를 주고 부정이 적발될 가능성을 높이기 위해서 모든 작,

업자는 일년에 적어도 일간 연속한 휴가를 가야 한다5 .

컴퓨터 관련 근무자의 주기적 업무 순환컴퓨터 관련 근무자의 주기적 업무 순환컴퓨터 관련 근무자의 주기적 업무 순환컴퓨터 관련 근무자의 주기적 업무 순환645.645.645.645.

신뢰 위치에 있는 모든 컴퓨터 관련 작업자는 개월마다 다른 직무로 순환되어야 한다18 .

신뢰 위치에 있는 컴퓨터 관련 직원의 보증신뢰 위치에 있는 컴퓨터 관련 직원의 보증신뢰 위치에 있는 컴퓨터 관련 직원의 보증신뢰 위치에 있는 컴퓨터 관련 직원의 보증646.646.646.646.

특별히 신뢰관계에 있는 중요한 컴퓨터 관련 직무의 모든 근로자에게는 최소한 억원 정도10

의 재정보증이 있어야 한다.

직무수행 상태 변화의 보고의무직무수행 상태 변화의 보고의무직무수행 상태 변화의 보고의무직무수행 상태 변화의 보고의무647.647.647.647.

근로자는 자신의 현재 위치에서 직무를 수행하는데 영향을 끼치는 자신의 모든 상황 변화를

자신의 직속 관리자에게 즉시 보고할 의무를 가진다.

만약 근로자가 자신의 상황변화에 대한 정보를 알리지 않는다면 해고를 포함한 징계사유에

해당한다 상황변화의 예는 직무관련 범죄와 대외 업무행위 등에 관한 유죄를 포함한다. .

사소한 적발로 인한 직무의 전환사소한 적발로 인한 직무의 전환사소한 적발로 인한 직무의 전환사소한 적발로 인한 직무의 전환648.648.648.648.

해고사유에 해당하는 사람뿐만 아니라 회사를 떠나려는 취지를 갖고 있는 사람에게는 회사

자산의 손실을 최소화하기 위해 그들의 직무를 전환시켜야 한다 이 정책은 불만을 품고 있.

는 사람들에게도 적용된다.

근로자의 감독자 권한으로 이들 각 개인에게 유급결근을 시킬 수 있다.

안전한 작업장과 기결수 근무안전한 작업장과 기결수 근무안전한 작업장과 기결수 근무안전한 작업장과 기결수 근무649.649.649.649.

회사의 고용인과 재산에 물리적 위험을 초래할 수 있는 유죄로 판명된 각 개인에게 업무수

행을 연장시켜서는 안된다.

- 311 -

신뢰하는 컴퓨터 관련 직책의 기결수 근무신뢰하는 컴퓨터 관련 직책의 기결수 근무신뢰하는 컴퓨터 관련 직책의 기결수 근무신뢰하는 컴퓨터 관련 직책의 기결수 근무650.650.650.650.

유죄로 인정된 사람을 고용해서는 안되며 신뢰해야 하는 컴퓨터 관련직책을 부여해서는 안

된다.

신뢰를 바탕으로 한 컴퓨터 관련직책 근무자의 경력확인신뢰를 바탕으로 한 컴퓨터 관련직책 근무자의 경력확인신뢰를 바탕으로 한 컴퓨터 관련직책 근무자의 경력확인신뢰를 바탕으로 한 컴퓨터 관련직책 근무자의 경력확인651.651.651.651.

신뢰해야 하는 컴퓨터 관련직책 근무자는 사전에 경력확인을 해야 한다 이 과정은 범죄 확.

인기록 소송기록 신용기록 운전면허기록 등을 고용 전에 확인을 포함한다, , , .

이 정책은 신규고용자 재고용자 전보된 고용자 고문 계약자에게 적용된다, , , , .

민감한 정보에 접근하는 고용인의 지문채취민감한 정보에 접근하는 고용인의 지문채취민감한 정보에 접근하는 고용인의 지문채취민감한 정보에 접근하는 고용인의 지문채취652.652.652.652.

민감한 정보에 접근해야 하는 고용인은 사전에 지문을 채취해야 한다 이러한 지문채취는.

그 고용인이 범죄기록 여부를 관할 관청에 확인하기 위해 보내진다.

컴퓨터 관련 종사자의 정직 감정 안정성 검사컴퓨터 관련 종사자의 정직 감정 안정성 검사컴퓨터 관련 종사자의 정직 감정 안정성 검사컴퓨터 관련 종사자의 정직 감정 안정성 검사653. ,653. ,653. ,653. ,

신뢰해야 하는 컴퓨터 관련 직책 모든 직원은 인사부서에 의해 인증된 정직과 감정 안정성

검사를 사전에 받아야 한다.

적절한 불안 해소 절차적절한 불안 해소 절차적절한 불안 해소 절차적절한 불안 해소 절차654.654.654.654.

고용관련 문제를 신속하게 해소하기 위한 노력으로 경영자는 모든 고용인의 서면 불만 사항

을 즉시 처리할 적절한 절차를 구축하고 담당자를 지정해야 한다.

작업자를 위한 비밀이 보장된 상담서비스작업자를 위한 비밀이 보장된 상담서비스작업자를 위한 비밀이 보장된 상담서비스작업자를 위한 비밀이 보장된 상담서비스655.655.655.655.

약물 중독 알코올 중독자 또는 이혼과 같은 개인적 문제를 가지고 있는 작업자를 위해서, ,

무료 비밀 상담서비스가 주어져야 한다.

약물 알코올로부터 안전한 작업장약물 알코올로부터 안전한 작업장약물 알코올로부터 안전한 작업장약물 알코올로부터 안전한 작업장656. ,656. ,656. ,656. ,

건강관리 전문가의 처방에 의한 것을 제외하고 작업장에서 약물이나 알코올의 섭취나 사용

은 금지한다.

- 312 -

고용자에게 경쟁하지 않는다는 협약서고용자에게 경쟁하지 않는다는 협약서고용자에게 경쟁하지 않는다는 협약서고용자에게 경쟁하지 않는다는 협약서657.657.657.657.

고용자는 회사에 입사할 때 회사를 퇴사 후 개월 동안은 경쟁하지 않는다는 동의서에 서명6

을 해야 한다.

정보보호 운영위원회정보보호 운영위원회정보보호 운영위원회정보보호 운영위원회658.658.658.658.

정보보호 위원회는 회사의 주요 부서장 혹은 상급관리자로 이루어져야 한다.

이 위원회는 회사의 정보보호상태를 검토한다.

회사 내의 안전사고를 감독하고 검토한다.

정보보호 프로젝트를 인준하고 검토한다.

신규 정보보호 정책의 인준 혹은 수정을 한다.

기타 필요한 고수준의 정보보호운영 활동을 수행한다.

정보 소유권과 운영자 책임정보 소유권과 운영자 책임정보 소유권과 운영자 책임정보 소유권과 운영자 책임659.659.659.659.

특정조직 단위에 의해 사용되거나 소유된 모든 생산정보는 설계한 소유자에게 있다 소유자.

는 중요성 등급에 따라 적절한 민감성 분류를 결정해야 한다 또 소유자는 누가 정보에 접.

근할 수 있는지를 결정해야 하며 이 정보가 어디에 위치하여 사용될 것인가를 결정해야 한,

다 소유자는 부가적으로 정보의 저장 조작 분배 사용 등에 관한 적절한 통제 사항들을 결. , , ,

정해야 한다.

정보보호 이행을 위한 부서정보보호 이행을 위한 부서정보보호 이행을 위한 부서정보보호 이행을 위한 부서660.660.660.660.

회사의 각 부서의 운영은 발표된 정책과 기준을 이행할 수 있도록 컴퓨터와 통신 시스템에

대한 년마다 계획을 세워야 한다1 .

정보자산 통제를 위한 책임 부여정보자산 통제를 위한 책임 부여정보자산 통제를 위한 책임 부여정보자산 통제를 위한 책임 부여661.661.661.661.

경영진은 모든 주요 정보자산을 보호하는 통제 대책을 위한 책임을 할당해야만 한다.

통제구현은 표준으로 구성되어야 한다통제구현은 표준으로 구성되어야 한다통제구현은 표준으로 구성되어야 한다통제구현은 표준으로 구성되어야 한다662. .662. .662. .662. .

경영진은 일반적으로 수용할 수 있는 사업활동 방법으로 정보시스템 통제구현을 해야 할 책

임이 있다 게다가 경영진은 중요성 가치 그리고 처리하고 있는 정보의 민감성에 모순되지.

않는 방법으로 통제구현 책임이 있다.

- 313 -

일반적으로 수용될 수 있는 통제활동의 융통성일반적으로 수용될 수 있는 통제활동의 융통성일반적으로 수용될 수 있는 통제활동의 융통성일반적으로 수용될 수 있는 통제활동의 융통성663.663.663.663.

경영진은 일반적으로 수용될 수 있는 정보시스템 통제의 융통성과 정확성에 대한 책임이 있

다.

정보보호는 모든 작업자의 의무이다정보보호는 모든 작업자의 의무이다정보보호는 모든 작업자의 의무이다정보보호는 모든 작업자의 의무이다664. .664. .664. .664. .

매일매일의 정보보호의 책임은 모든 작업자의 의무이다 정보보호에 대한 책임이 정보보호.

부서만 귀속시켜서는 안 된다.

정보보호에 대한 총괄 책임정보보호에 대한 총괄 책임정보보호에 대한 총괄 책임정보보호에 대한 총괄 책임665.665.665.665.

정보보호 활동에 대한 권한 지시 안내는 정보보호 부서에서 전반적인 조직에서 총괄책임이, ,

있다.

정보보호 부서에 의해 수행되고 있는 임무의 개관정보보호 부서에 의해 수행되고 있는 임무의 개관정보보호 부서에 의해 수행되고 있는 임무의 개관정보보호 부서에 의해 수행되고 있는 임무의 개관666.666.666.666.

정보보호 부서는 기관 전체의 정보보호 정책 기준 지침 그리고 절차를 확립하고 유지할 책, ,

임이 있다.

정보보호 부서에 의해 수행되고 있는 특별한 임무정보보호 부서에 의해 수행되고 있는 특별한 임무정보보호 부서에 의해 수행되고 있는 특별한 임무정보보호 부서에 의해 수행되고 있는 특별한 임무667.667.667.667.

정보보호 부서는 회사의 정보가 적절히 보호되도록 하기 위한 방향과 기술전문가를 제공해

야 한다 이것은 정보보호를 수행하기 위한 시스템과 정보의 기밀성 무결성 가용성의 확보. , ,

를 포함한다 이 부서는 모든 회사의 각 부서와 부서 사이에 발생하는 정보보호문제를 연결.

할 것이고 회사 전반에 걸쳐 모든 정보보호활동에 초점을 맞추어야만 한다 이 부서는 위험.

평가를 수행하고 활동계획을 준비하고 생산품을 평가하고 내부 시스템 개발계획에 참여하, ,

고 통제를 도와주고 정보보호 파괴를 조사하고 비밀정보를 처리하는 환경을 확보하는 데, , ,

에 필요한 활동을 이행해야만 한다.

정보보호 부서는 회사의 목표를 지원한다정보보호 부서는 회사의 목표를 지원한다정보보호 부서는 회사의 목표를 지원한다정보보호 부서는 회사의 목표를 지원한다668. .668. .668. .668. .

정보보호 부서는 회사의 중요하고 가치 있고 민감한 정보자료를 위태롭게 하거나 손실 예방

의 책임을 지고 있다 회사의 목표를 유지하는 확실하고 안전한 정보시스템 환경을 제공할.

수 있는 실현방안을 강구해야 한다.

- 314 -

해마다 정보보호 계획과정이 요구된다해마다 정보보호 계획과정이 요구된다해마다 정보보호 계획과정이 요구된다해마다 정보보호 계획과정이 요구된다669. .669. .669. .669. .

책임 운영에 관련하여 일할 때 정보보호 부서는 해마다 모든 회사의 정보시스템에 대한 정,

보보호의 향상을 위한 계획을 수립해야만 한다.

정보보호 매뉴얼이 요구된다정보보호 매뉴얼이 요구된다정보보호 매뉴얼이 요구된다정보보호 매뉴얼이 요구된다670. .670. .670. .670. .

정보보호 부서는 회사의 정보보호 정책과 절차를 상세히 해설하는 하나 혹은 그 이상의 정

보보호 매뉴얼을 준비하고 유지하고 배포해야만 한다.

사내의 정보보호 부서의 관련성사내의 정보보호 부서의 관련성사내의 정보보호 부서의 관련성사내의 정보보호 부서의 관련성671.671.671.671.

모든 정보보호 문제는 사내의 정보보호 요원과 협력하여 처리해야만 한다 외부 고문 컴퓨. ,

터 안전책임반 또는 다른 외부인 들은 그들이 회사의 정보보호 부서에 의해 허가되기 전에

는 특별하게 고용되지 못한다.

컴퓨터와 통신서비스 수시 검토컴퓨터와 통신서비스 수시 검토컴퓨터와 통신서비스 수시 검토컴퓨터와 통신서비스 수시 검토672.672.672.672.

컴퓨터 사용자는 그들의 컴퓨터와 통신 요청에 있어서 적절하고 중요한 실수를 하지 않는,

지 공인되지 않은 사용법이 발생하지 않는지 수시로 검토해야만 한다, .

누구나 정보보호 요구에 동의해야 한다누구나 정보보호 요구에 동의해야 한다누구나 정보보호 요구에 동의해야 한다누구나 정보보호 요구에 동의해야 한다673. .673. .673. .673. .

외부고문 계약자 그리고 임시 고용인은 그 같은 정보보호 요구를 이행해야만 하고 회사의, ,

고용인으로써 정보보호 책임을 가져야만 한다.

모든 다사용자 시스템을 위해 지정된 안전관리자모든 다사용자 시스템을 위해 지정된 안전관리자모든 다사용자 시스템을 위해 지정된 안전관리자모든 다사용자 시스템을 위해 지정된 안전관리자674.674.674.674.

모든 회사 다중 사용자 컴퓨터 시스템은 사용자 권한을 부여하고 접근제어기록을 관찰하고,

유사업무를 수행하기 위해 지정된 안전관리자를 고용해야만 한다 이 정책은 서버와. LAN

사내 교환기도 다중 사용자 시스템으로 간주한다.

각 부서는 상호정보를 보호해야만 한다각 부서는 상호정보를 보호해야만 한다각 부서는 상호정보를 보호해야만 한다각 부서는 상호정보를 보호해야만 한다675. .675. .675. .675. .

모든 부서의 관리자는 정보보호에 관심을 갖고 각자의 직무를 수행하는데 필요한 교육과 자

료지원 등을 해야 한다.

- 315 -

제 자와 관련된 실시간 안전 책임제 자와 관련된 실시간 안전 책임제 자와 관련된 실시간 안전 책임제 자와 관련된 실시간 안전 책임676. 3676. 3676. 3676. 3

외부의 제 자를 실시간으로 회사 컴퓨터 시스템에 접속하기 전에 정보보호 부서의 사전승3

인이 필요하다 승인요구는 회사의 안전성과 관련된 책임 통상업무의 안전성과 관련된 책. ,

임 그리고 제 자의 안전성과 관련된 책임을 분리해야만 한다 승인 요구서에는 이들의 책, 3 .

임한계를 분명히 명시해야 한다.

정보시스템통제의 내부감사정보시스템통제의 내부감사정보시스템통제의 내부감사정보시스템통제의 내부감사677.677.677.677.

내부감사 분야는 주기적으로 정보시스템 통제의 타당성과 그러한 통제의 승인을 재검토해야

만 한다.

정보시스템 통제의 주기적 독립적인 검토정보시스템 통제의 주기적 독립적인 검토정보시스템 통제의 주기적 독립적인 검토정보시스템 통제의 주기적 독립적인 검토678.678.678.678.

정보시스템 통제의 이행과 적절성에 대한 독립적인 제 자의 재검토가 정기적으로 이루어져3

야만 한다.

직무 기재사항에서의 정보보호 책임직무 기재사항에서의 정보보호 책임직무 기재사항에서의 정보보호 책임직무 기재사항에서의 정보보호 책임679.679.679.679.

정보보호 책임은 작업자들이 민감하고 가치 있고 중요한 정보에 접근한다면 모든 작업자들, ,

의 직무와 연계되어야만 한다.

고용인 업무평가에 고려되는 정보보호고용인 업무평가에 고려되는 정보보호고용인 업무평가에 고려되는 정보보호고용인 업무평가에 고려되는 정보보호680.680.680.680.

정보보호 정책과 절차에 대한 이행 사항은 모든 고용인 업무 평가에 고려되어야만 한다.

회사 자산에 대한 직무와 통제의 분리회사 자산에 대한 직무와 통제의 분리회사 자산에 대한 직무와 통제의 분리회사 자산에 대한 직무와 통제의 분리681.681.681.681.

회사 컴퓨터에 기초로 하는 처리가 민감하고 가치있고 중요한 정보를 수반하고 있을 때 그,

시스템은 통제 수단이나 직무를 분리하는 통제이어야 한다 이 통제 수단은 회사 정보자산.

의 어떤 형태에 대하여 어느 한 개인이 독점적이어서는 안된다.

오류와 속임이 드러날 수 있도록 시스템은 설치한다오류와 속임이 드러날 수 있도록 시스템은 설치한다오류와 속임이 드러날 수 있도록 시스템은 설치한다오류와 속임이 드러날 수 있도록 시스템은 설치한다682. .682. .682. .682. .

회사 컴퓨터 시스템은 다른 사람의 직무를 실행하는 동안 어느 한 개인이 다른 사람에 의해

기록의 오류와 속임이 검출되지 않도록 설계되어서는 안된다.

- 316 -

직무의 분리직무의 분리직무의 분리직무의 분리683.683.683.683.

처음부터 끝까지 민감하고 가치 있고 중요한 정보를 수반하고 있는 임무를 완성할 책임을

한 사람이 맡아서는 안된다 이처럼 한 사람이 그들 자신의 일을 인증할 책임을 갖지는 않.

는다 가능하다면 민감하고 가치 있고 중요한 정보를 수반하고 있는 임무를 위해 최소한 두. ,

사람이 그들의 정보처리 활동을 협력할 필요가 있다.

사고관리 책임사고관리 책임사고관리 책임사고관리 책임684.684.684.684.

사고에 대해 빠르고 효과적인 책임을 지기 위해서 정보시스템 보안사고를 처리하는 책임을

지는 개인이 명백히 정해져야만 한다 이 사람은 사건을 처리하는 절차를 정의할 책임이 있.

다.

정보자산의 일반목록정보자산의 일반목록정보자산의 일반목록정보자산의 일반목록685.685.685.685.

정보시스템 부서는 주요한 회사 정보자산에 대한 데이터 목록과 다른 일반 설명문을 해마다

갱신하고 편집해야만 한다.

정보소유권을 설정하는 기준정보소유권을 설정하는 기준정보소유권을 설정하는 기준정보소유권을 설정하는 기준686.686.686.686.

여러 가지 잠재적인 정보소유권자가 있다면 좀더 고위 관리자는 정보를 가장 많이 사용하는

한 사람에게 소유권 책임을 할당한다.

정보시스템 부서는 정보소유자가 될 수 없다정보시스템 부서는 정보소유자가 될 수 없다정보시스템 부서는 정보소유자가 될 수 없다정보시스템 부서는 정보소유자가 될 수 없다687. .687. .687. .687. .

컴퓨터와 네트워크 정보운영을 제외하고는 정보시스템 부서는 어떠한 정보 소유자도 될 수

없다.

중요한 정보 형태마다 지정 관리인이 요구됨중요한 정보 형태마다 지정 관리인이 요구됨중요한 정보 형태마다 지정 관리인이 요구됨중요한 정보 형태마다 지정 관리인이 요구됨688.688.688.688.

각 정보의 중요한 형태는 지정된 관리인이 있어야만 한다 각 관리인은 지정된 소유자의 접.

근 통제 데이터 민감성 그리고 데이터 중요성 등을 유지하며 회사 정보를 보호해야만 한, ,

다.

정보관리인의 보안 책임정보관리인의 보안 책임정보관리인의 보안 책임정보관리인의 보안 책임689.689.689.689.

정보관리인은 특별한 통제 절차를 정의하고 정보접근통제를 관리하고 비용효과적인 정보통, ,

제대책을 유지하고 구현하고 정보소유자의 지시와 관련한 복구능력을 제공할 책임이 있다, .

- 317 -

정보사용자의 보안 책임정보사용자의 보안 책임정보사용자의 보안 책임정보사용자의 보안 책임690.690.690.690.

회사 정보의 모든 사용자들은 정보소유자와 관리인에 의해 분리되는 통제요구를 이행해야만

한다 사용자들은 고용인 임시고용인 고문 계약자 또는 특별한 서약이 이루어진 제 자일. , , , 3

수 있다.

회사정보에 접근을 승인하는 과정회사정보에 접근을 승인하는 과정회사정보에 접근을 승인하는 과정회사정보에 접근을 승인하는 과정691.691.691.691.

회사정보의 접근은 항상 정보의 지정된 소유자에 의해 서명되어야만 한다 그리고 합리적으.

로 알 필요가 있는 사람에게만 제한되어야 한다.

정보소유자직무의 위임 제한정보소유자직무의 위임 제한정보소유자직무의 위임 제한정보소유자직무의 위임 제한692.692.692.692.

정보통제의 내역에 대한 정보소유자의 책임은 회사 밖에 있는 서비스 제공자에 위임되어서

는 안된다.

민감한 정보를 보관하고 있는 구역에 대한 물리적 접근 통제민감한 정보를 보관하고 있는 구역에 대한 물리적 접근 통제민감한 정보를 보관하고 있는 구역에 대한 물리적 접근 통제민감한 정보를 보관하고 있는 구역에 대한 물리적 접근 통제693.693.693.693.

모든 사무실 컴퓨터실 그리고 민감한 정보를 포함하는 작업장에 대한 접근은 물리적으로, ,

제한되어야만 한다 이 분야에서 일하는 직원에 대한 운영책임은 적절한 접근통제 방법을.

정할 때 정보보호 부서와 협의해야만 한다.

민감한 정보를 포함하는 구역의 안내원 혹은 접수원민감한 정보를 포함하는 구역의 안내원 혹은 접수원민감한 정보를 포함하는 구역의 안내원 혹은 접수원민감한 정보를 포함하는 구역의 안내원 혹은 접수원694.694.694.694.

회사 사무실 컴퓨터 설비 민감한 정보를 포함하고 있는 작업장을 접근하는 방문자나 다른, ,

제 자들은 안내자나 접수원이나 다른 직원들에 의해 통제되어야만 한다 방문자나 다른 제3 .

자들은 고용인 출입구나 다른 통제되지 않는 민감한 정보를 포함하고 있는 장소로 연결되3

어 있는 통로를 사용할 수 없다.

회사를 방문할 때는 뱃지를 잘 보이는 곳에 달아야 한다회사를 방문할 때는 뱃지를 잘 보이는 곳에 달아야 한다회사를 방문할 때는 뱃지를 잘 보이는 곳에 달아야 한다회사를 방문할 때는 뱃지를 잘 보이는 곳에 달아야 한다695. .695. .695. .695. .

회사 건물이나 설비 안에서 모든 사람들은 법계의 내용을 명백히 알아볼 수 있도록 그들의

외투에 신분증명서를 알아야만 한다.

그들의 뱃지를 잃어버린 사람들 위한 임시 뱃지그들의 뱃지를 잃어버린 사람들 위한 임시 뱃지그들의 뱃지를 잃어버린 사람들 위한 임시 뱃지그들의 뱃지를 잃어버린 사람들 위한 임시 뱃지696.696.696.696.

- 318 -

신분증명서를 잃어버린 작업자들은 운전면허증이나 다른 사진이 붙어 있는 증명서를 맡기고

임시 배지를 발부 받아 달아야만 한다 그러한 임시 뱃지는 단 하루만 유용하다. .

잃어버리거나 도난 당한 신분증명서의 신고와 시스템 접근 증명서잃어버리거나 도난 당한 신분증명서의 신고와 시스템 접근 증명서잃어버리거나 도난 당한 신분증명서의 신고와 시스템 접근 증명서잃어버리거나 도난 당한 신분증명서의 신고와 시스템 접근 증명서697.697.697.697.

잃어버리거나 도난 당한 혹은 잃어버리거나 도난 당했다고 예상되는 신분증명서와 물리적인

접근카드는 즉시 안전위원회에 신고해야만 한다 이처럼 잃어버리거나 도난 당한 혹은 잃어.

버리거나 도난 당했다고 예상되는 모든 컴퓨터나 통신 시스템 접근 증명서도 즉시 안전위원

회에 신고해야만 한다.

통제된 출입문은 동반 방식으로 통과할 수 없다통제된 출입문은 동반 방식으로 통과할 수 없다통제된 출입문은 동반 방식으로 통과할 수 없다통제된 출입문은 동반 방식으로 통과할 수 없다698. .698. .698. .698. .

회사 건물을 위한 물리적인 접근 통제는 확인되지 않은 사람 전체를 제한하는 경향이 있다.

작업자로 확인된 사람은 이 출입구를 통과할 수 있지만 알려지지 않거나 혹은 확인되지 않

은 사람이 제한된 장소의 출입문을 통과할 수 없도록 하고 있다.

금지된 물리적인 접근 통제 시험금지된 물리적인 접근 통제 시험금지된 물리적인 접근 통제 시험금지된 물리적인 접근 통제 시험699.699.699.699.

작업자들은 접근허가가 받아들여지지 않는 회사건물의 제한된 장소에 들어가려는 시도를 해

서는 안된다.

금지된 제한된 장소에서 단독 작업금지된 제한된 장소에서 단독 작업금지된 제한된 장소에서 단독 작업금지된 제한된 장소에서 단독 작업700.700.700.700.

작업자들은 민감한 정보를 포함하고 있는 제한된 장소에서 단독으로 작업하는 것은 결코 허

용되지 않는다.

근무시간 동안만의 제한된 장소에서의 작업근무시간 동안만의 제한된 장소에서의 작업근무시간 동안만의 제한된 장소에서의 작업근무시간 동안만의 제한된 장소에서의 작업701.701.701.701.

민감하고 중요한 혹은 가치 있는 정보가 그 안에서 처리되기 때문에 회사설비의 접근이 제

한된다면 작업자들은 근무시간 동안만 이 설비에 단독으로 접근하는 것이 허락된다.

모든 민감한 정보는 물리적 보안 혹은 암호화가 요구된다모든 민감한 정보는 물리적 보안 혹은 암호화가 요구된다모든 민감한 정보는 물리적 보안 혹은 암호화가 요구된다모든 민감한 정보는 물리적 보안 혹은 암호화가 요구된다702. .702. .702. .702. .

민감한 정보를 포함하고 있는 모든 정보 저장소 예를 들면 하드 디스크 플로피 디스크( , , ,

자기 테이프 그리고 롬 는 사용하지 않을 때는 이 정보가 정보보호부서에 의해 인증된, CO- )

암호시스템을 통해 보호되는 경우를 제외하고는 물리적으로 안전해야만 한다.

- 319 -

모든 컴퓨터와 통신장비의 자산 반출모든 컴퓨터와 통신장비의 자산 반출모든 컴퓨터와 통신장비의 자산 반출모든 컴퓨터와 통신장비의 자산 반출703.703.703.703.

만약 인정된 자산 반출이 이루어지지 않는다면 타자기 휴대폰 컴퓨터 모뎀 그리고 관련된, , , ,

정보시스템 기기는 회사외부로 반출할 수 없다.

작업자는 구내를 나올 때 수화물 내용을 보여야만 한다작업자는 구내를 나올 때 수화물 내용을 보여야만 한다작업자는 구내를 나올 때 수화물 내용을 보여야만 한다작업자는 구내를 나올 때 수화물 내용을 보여야만 한다704. .704. .704. .704. .

사람들이 건물을 나올 때 모든 가방 핸드백 그리고 다른 수화물은 회사건물 안내원에게 검, ,

사 받아야만 한다 이것은 민감하거나 가치 있는 정보가 구내로부터 없어지지 않게 하기 위.

한 방법이다.

재택 근무자는 철재 기구 준비재택 근무자는 철재 기구 준비재택 근무자는 철재 기구 준비재택 근무자는 철재 기구 준비705.705.705.705.

그들의 작업을 위해 민감한 회사 정보를 집에 유지해야 하는 모든 작업자들은 이 정보의 적

당한 저장소를 위해 잠글 수 있는 기구를 받아야만 한다 회사를 그만둘 때에는 그 속에 저.

장되어 있는 기구와 민감한 정보는 회사에 즉시 돌려줘야만 한다.

건물 접근 통제 시스템 기록의 유지건물 접근 통제 시스템 기록의 유지건물 접근 통제 시스템 기록의 유지건물 접근 통제 시스템 기록의 유지706.706.706.706.

퇴실과 순찰을 위해서 정보보호 부서는 회사 건물 내부의 사람들에 대한 기록을 유지해야만

한다 이 정보는 적어도 개월 동안 안전하게 보관되어야만 한다. 3 .

해고자에 대한 물리적 접근 통제 코드의 변동해고자에 대한 물리적 접근 통제 코드의 변동해고자에 대한 물리적 접근 통제 코드의 변동해고자에 대한 물리적 접근 통제 코드의 변동707.707.707.707.

작업자가 회사와의 관계를 종결할 때에 작업자들에 의해 알려진 모든 물리적인 보안 접근코

드를 작동하지 않게 하거나 바꿔야만 한다 예를 들면 신분증에 붙어 있는 마그네틱 테이프.

에 기록되어 있는 비밀번호 뱃지를 다른 작업자에게 주기 전에 바꿔야만 한다.

물리적 접근을 허가한 목록의 유지물리적 접근을 허가한 목록의 유지물리적 접근을 허가한 목록의 유지물리적 접근을 허가한 목록의 유지708.708.708.708.

회사 건물에 출입을 인가한 관리자의 인가목록은 최신의 것으로 유지해야만 한다 이 목록.

은 그 상위관리자에 의해 주기적으로 검토 받아야 한다.

- 320 -

주기적인 신분증명서 갱신주기적인 신분증명서 갱신주기적인 신분증명서 갱신주기적인 신분증명서 갱신709.709.709.709.

모든 부서장은 매달 유효한 신분증명서로 그들의 작업장에서 일하는 사람들의 명단을 받아

야만 한다 부서장은 더 이상 필요하지 않은 모든 뱃지는 정보보호 부서에 제출해야만 한다. .

모든 방문객에게 요구되는 신분증과 사인하는 과정모든 방문객에게 요구되는 신분증과 사인하는 과정모든 방문객에게 요구되는 신분증과 사인하는 과정모든 방문객에게 요구되는 신분증과 사인하는 과정710.710.710.710.

모든 방문객들은 회사에 의해 통제되는 제한된 구역을 접근하기 전에 사진이 붙어 있는 신

분증과 사인을 제시해야만 한다.

모든 방문객을 위한 안내자모든 방문객을 위한 안내자모든 방문객을 위한 안내자모든 방문객을 위한 안내자711.711.711.711.

회사 사무실의 방문객들은 항상 확인된 고용인 상담화 계약자에 의해 안내되어야만 한다, , .

안내는 방문자가 제한된 지역에 들어가고 이 같은 방문자가 제한된 지역을 나올 때까지 필

요하다 안내가 필요한 방문객에는 정식직원 작업자의 일원 기기 수리공 수하물배달원 그. , , , ,

리고 경찰들이 포함된다.

민감한 정보를 포함하는 지역에서 제 자의 관리민감한 정보를 포함하는 지역에서 제 자의 관리민감한 정보를 포함하는 지역에서 제 자의 관리민감한 정보를 포함하는 지역에서 제 자의 관리712. 3712. 3712. 3712. 3

회사 고용인이 아니거나 확인된 계약자가 아니거나 확인된 상담자가 아닌 사람은 그들이,

민감한 정보를 포함하고 있는 제한된 지역에 들어갈 때마다 관리되어야만 한다.

신분증이 없는 사람은 거부되어야만 한다신분증이 없는 사람은 거부되어야만 한다신분증이 없는 사람은 거부되어야만 한다신분증이 없는 사람은 거부되어야만 한다713. .713. .713. .713. .

작업자가 회사의 제한된 지역에 들어가는 안내자 없는 방문자를 발견하면 방문객은 제한된

지역에 들어온 목적에 대해 질문을 해야한다 방문객은 즉시 접수대나 안내소 혹은 만나는.

사람을 동반해야 한다.

컴퓨터와 통신시스템을 위한 물리적인 보호대책컴퓨터와 통신시스템을 위한 물리적인 보호대책컴퓨터와 통신시스템을 위한 물리적인 보호대책컴퓨터와 통신시스템을 위한 물리적인 보호대책714.714.714.714.

회사 컴퓨터와 통신 시스템이 있는 건물은 확인되지 않은 사람이 접근할 수 없도록 물리적

보안대책으로 보호되어야만 한다.

컴퓨터센터는 출입을 폐쇄한다컴퓨터센터는 출입을 폐쇄한다컴퓨터센터는 출입을 폐쇄한다컴퓨터센터는 출입을 폐쇄한다715. .715. .715. .715. .

- 321 -

회사 컴퓨터센터는 출입을 폐쇄한다 프로그래머와 사용자는 컴퓨터실 안으로 들어갈 수 없.

다.

자기테이프 디스크 문서 보관소의 제한된 접근자기테이프 디스크 문서 보관소의 제한된 접근자기테이프 디스크 문서 보관소의 제한된 접근자기테이프 디스크 문서 보관소의 제한된 접근716. , ,716. , ,716. , ,716. , ,

자기테이프 디스크 문서 보관소는 컴퓨터센터 내부의 통제구역이다 접근을 그 보관소 관, , .

리책임을 지고 있는 작업자로 제한되어야 한다.

컴퓨터 설비의 관람금지컴퓨터 설비의 관람금지컴퓨터 설비의 관람금지컴퓨터 설비의 관람금지717.717.717.717.

중요한 컴퓨터와 통신기기의 관람은 금지되어 있다.

새로운 컴퓨터나 통신센터의 위치새로운 컴퓨터나 통신센터의 위치새로운 컴퓨터나 통신센터의 위치새로운 컴퓨터나 통신센터의 위치718.718.718.718.

모든 새로운 회사 컴퓨터나 통신센터는 자연재해 심각한 인위적인 사건 폭동 관련된 문제, , ,

가 발생되지 않을 지역에 위치해야만 한다.

부대 설비의 예비공급부대 설비의 예비공급부대 설비의 예비공급부대 설비의 예비공급719.719.719.719.

모든 새로운 회사 컴퓨터나 통신센터들은 두 개의 전기변전소와 두 개의 전화국에 접근할

수 있는 곳에 위치해야만 한다 그러한 센터는 홍수 지진 공항 철로 고속도로 또는 기타. , , , , ,

위험한 요인에 과도하게 가까이 위치하지 않아야만 한다.

컴퓨터 혹은 통신센터의 적절한 건설컴퓨터 혹은 통신센터의 적절한 건설컴퓨터 혹은 통신센터의 적절한 건설컴퓨터 혹은 통신센터의 적절한 건설720.720.720.720.

신설된 새로운 회사의 컴퓨터 혹은 통신센터는 화재 수해 폭풍 그리고 다른 위험이 발생, , ,

하기 쉬운 혹은 발생할 것이라고 알려진 다른 위험에 대해 보호될 수 있도록 건설되어야만

한다.

건물 내에서 컴퓨터와 통신설비의 위치건물 내에서 컴퓨터와 통신설비의 위치건물 내에서 컴퓨터와 통신설비의 위치건물 내에서 컴퓨터와 통신설비의 위치721.721.721.721.

도난과 수해를 최소화하기 위해 다중사용자 컴퓨터와 통신 설비는 건물의 지상에 위치해야

만 한다 스모그와 화재와 같은 내재되어 있는 위험을 최소화하기 위해 부엌설비는 다중시.

스템으로부터 멀리 설치해야만 한다 또한 이와 같이 잠재되어 있는 수해를 최소화하기 위.

해서는 휴식시설은 이 시스템의 바로 위에 설치해서는 안된다 잠재되어 있는 폭발의 위험.

을 최소화하고 확인되지 않은 전자기적인 도청과 혼선을 최소화하기 위해서 이 시스템은,

건물 외벽에 접근할 수 없도록 해야 한다.

- 322 -

컴퓨터실 접근을 제한하기 위해 요구되는 중간지역컴퓨터실 접근을 제한하기 위해 요구되는 중간지역컴퓨터실 접근을 제한하기 위해 요구되는 중간지역컴퓨터실 접근을 제한하기 위해 요구되는 중간지역722.722.722.722.

안전한 중간 지역은 컴퓨터 공급 설비 그리고 다른 배달물을 위해 사용되어야만 한다 개인.

적인 배달물은 다중사용자 컴퓨터 설비를 포함하고 있는 방으로 직접적으로 전달될 수 없

다.

컴퓨터 흑은 통신센터의 위치를 표시하는 안내판은 없다컴퓨터 흑은 통신센터의 위치를 표시하는 안내판은 없다컴퓨터 흑은 통신센터의 위치를 표시하는 안내판은 없다컴퓨터 흑은 통신센터의 위치를 표시하는 안내판은 없다723. .723. .723. .723. .

컴퓨터 혹은 통신센터의 위치를 가리키는 표지판은 없어야만 한다.

컴퓨터 센터 내화력과 자동개폐컴퓨터 센터 내화력과 자동개폐컴퓨터 센터 내화력과 자동개폐컴퓨터 센터 내화력과 자동개폐724.724.724.724.

컴퓨터설비를 둘러싸고 있는 방화벽은 잘 타지 않으며 적어도 시간 동안의 내화력을 가지1

고 있어야만 한다 이 열려진 벽 문 은 스스로 닫히고 적어도 시간 정도는 유지해야 한다. ( ) 1 .

침입에 대한 컴퓨터장비와 출입구침입에 대한 컴퓨터장비와 출입구침입에 대한 컴퓨터장비와 출입구침입에 대한 컴퓨터장비와 출입구725.725.725.725.

컴퓨터실은 도난 장치 방화문 그리고 다른 침입에 대비한 문을 설치해야만 한다, , .

컴퓨터 장비와 자동으로 잠기는 출입문컴퓨터 장비와 자동으로 잠기는 출입문컴퓨터 장비와 자동으로 잠기는 출입문컴퓨터 장비와 자동으로 잠기는 출입문726.726.726.726.

컴퓨터실은 문이 열린 후에는 즉시 자동으로 잠기는 문을 설치해야만 한다 지정된 시간 이.

외에 열렸을 때는 경보장치가 작동되는 장치가 되어 있어야만 한다.

컴퓨터 보조장치 목록컴퓨터 보조장치 목록컴퓨터 보조장치 목록컴퓨터 보조장치 목록727.727.727.727.

회사의 모든 컴퓨터와 통신장비의 물리적 목록을 컴퓨터로 읽을 때 유일한 식별자를 가지고

있어야 한다.

고유번호를 가지고 있는 정보시스템고유번호를 가지고 있는 정보시스템고유번호를 가지고 있는 정보시스템고유번호를 가지고 있는 정보시스템728.728.728.728.

모든 회사 컴퓨터와 통신시스템은 기기에 해당하는 고유번호를 가지고 있어야만 한다 이.

번호는 분실 시 원래 소유자에게 반환할 때 필요하다.

- 323 -

승인 없는 마이크로 컴퓨터의 이동승인 없는 마이크로 컴퓨터의 이동승인 없는 마이크로 컴퓨터의 이동승인 없는 마이크로 컴퓨터의 이동729.729.729.729.

마이크로 컴퓨터기기는 소속되어 있는 부서 관리자의 사전 승인 없이는 이동할 수 없다.

훔쳐보기 위험을 줄이기 위한 워크스테이션훔쳐보기 위험을 줄이기 위한 워크스테이션훔쳐보기 위험을 줄이기 위한 워크스테이션훔쳐보기 위험을 줄이기 위한 워크스테이션730.730.730.730.

민감한 정보를 처리하는데 사용되는 워크스테이션의 화면은 확인되지 않은 사람이 워크스테

이션을 사용하고 있는 사람의 어깨너머로 볼 수 없도록 이루어져 있어야만 한다.

- 324 -


정보보호 정책 요약본 모범 사례정보보호 정책 요약본 모범 사례정보보호 정책 요약본 모범 사례정보보호 정책 요약본 모범 사례

- 325 -

제 장 정보보호 정책서의 개발에서 언급했듯이 이 혼용해서 써왔었다 즉 조직의 문서 규4 , . ,

정 등에 의해 정책서를 규정이나 규칙 지침 규정 등의 여러 이름으로 혼용해서 사용해 왔, ,

다 이러한 혼용으로 인해 사용자들이 혼란을 가중시켰고 앞에서도 언급했듯이 정책서 표. , ,

준서 지침서 절차서 등의 통일된 용어로 사용하여야 하나 쉽게 용어통일을 할 수 없으므, , ,

로 정책서를 작성할 때에는 이 문서가 어떤 내용을 포함하고 있는지 반드시 서두에서 밝혀

야 하고 문서를 배포 및 교육시 반드시 알려야 한다 그리고 정책서는 조직의 목표와 임무.

를 수행하기 위한 정보호측면의 통제사항을 서술해 놓은 문서이므로 포괄적으로 작성해야

한다 그러나 포괄적으로 서술할 경우 그 기준이 애매모호한 경우가 많아 정책서에 가급적. ,

이면 지침에 들어갈 정도의 상세함으로 작성하되 이를 정보보호 정책서 요약본 이라는 이, “ ”

름으로 사용하기로 한다.

이러한 정책서를 모든 임직원에게 배포할 수 없으므로 일반적으로 회사나 조직의 인트라넷

을 사용하는 게시판에 공지를 하며 이러한 게시판은 반드시 조직의 특성에 맞게 공지를 해,

야 한다 즉 정보보호 정책서는 회사의 기밀 사항이나 보호해야 할 자산이므로 정책서를 통. ,

하여 회사의 정보보호 상황과 취약점을 찾아 낼 수 있는 동기를 줄 수 있으므로 반드시 내

부 임직원하고 해당 외부 업체들만 관련부분만 접근하여 정독할 수 있도록 조치를 취해야

한다 더불어 정책서를 출력을 금하도록 조치를 취해야 하며 발간된 정보보호 정책서는 대. , ,

외비로 지정하여 내부 임직원 이외 사람들은 접근할 수 없도록 조치를 취해야 한다.

모든 임직원이 사내 게시판을 통해서 정보보호 정책서를 접근할 수 있지만 정보보호 정책,

서의 내용 중 본인에 해당되는 분야가 어디 인지를 파악하기 어려울 수도 있으므로 반드시

정보보호 정책 요약본 을 작성해서 해당자 일반사용자 정보보호 책임자 정보보호 담당자“ ” ( , , ,

전산부서 책임자 전산 부서원 경영진 감사부서 경영부서 등 가 정보보호 정책서의 모든, , , , )

내용을 읽지 않고도 손쉽게 읽고 찾아볼 수 있도록 작성을 해야 한다.

정보보호 정책 요약본을 작성해서 배포하는 것은 강제사항은 아니지만 강력하게 권고하고

효율적이고 합리적으로 정책서에 대한 교육을 위해 필요한 조치이다 다음의 두 가지의 정.

보보호 정책서 요약본 사례를 통해서 요약본에 대한 정의 및 포함되어야 할 내용들을 알아

보도록 한다.

- 326 -

요약본의 페이지 수 요약본은 정책서 전체 내용을 압축하여 쉽게 읽고 이해할 수 있도:◆

록 작성해야 하므로 분량에 제한은 없지만 가급적이면 페이지 안쪽으로 작성해야 적당하20

다.

유형 선택 요약본은 크게 두 가지로 분류할 수 있으나 두 가지 방법을 혼용하는 것을:◆

권고한다.

의무형 의무형은 일반적으로 정보보호 정책서의 서두 부분에 해당하는 경우가 많고 그:■

내용은 전체적인 정책서에 대한 간략하게 설명한 형태로 정책서에 포함된 모든 내용에 대하

여 구성 적용범위 정책서에 포함된 통제 내용 임무 및 연락처 등을 서술한 형태이다, , , . BT

의 경우가 이에 해당된다.

선택형 선택형은 각각의 임직원들이 본인의 임무에 해당되는 내용을 간략하게 삽화나:■

그림 등을 첨부하여 해당 사용자가 읽기 쉽게 작성한 형태이다 정보통신의 경우가 이에. LG

해당된다.

복합형 의무형과 선택형의 복합된 형태로 전반적인 정책서 내용을 요약하고 해당 업무:■

별로 담당자의 임무를 요약 정리한 것으로 두 가지의 장점을 모두 수용하므로 이를 권고한

다.

작성 형태 정보보호 정책 요약본은 정보보호 정책서와 성적이 달라 모든 임직원이 해당:◆

요약본을 소장할 수 있도록 작성하여 배포해야 한다 일반적으로 네 가지 형태로 작성하여.

배포할 수 있다.

일반 문서형 요약본을 소책자로 제본하여 책상 주변에서 손쉽게 볼 수 있게 작성된 일:■

반 문서형태

전자 문서형 요약본을 사내 게시판에서 언제든지 볼 수 있도록 작성된 전자적 문서형태:■

로 작성

소프트웨어형 소프트웨어형은 컴퓨터가 일정시간 동안 키보드 입력이 없을 때 패스워드:■

가 적용된 스크린세이버 형태로 개발하여 배포

- 327 -

홍보물형 회사나 조직에서 발간한 다이어리 책상용 달력 및 책상에 설치할 수 있는 형: ,■

태로 작성하여 늘 주변에서 본인의 업무에 대한 임무를 숙지할 수 있도록 작성

다음의 일반적 정보보호 정책서 요약본은 관리기관이나 조직 등에서 가장 보편적으로 사1.

용하는 최소수준의 정책서 요약본이다 요약본에 들어갈 내용은 정책서에 포함될 내. “3.3.4.7

용 을 참조하면 된다” .

정보보호 정책 요약본은 실제 사용하고 있는 요약본을 비교하기 위해 설명한 자료이2. BT

다 유형 선정의 의무형이고 일반 문서형이다 실제 어떻게 정보보호 정책서 요약본을 작성. .

하였는지를 확인하여 정보보호 정책서 작성자가 활용에 도움이 되고자 한다.

회사의 정보보호 사용자 안내서는 기존의 정책서 요약본과 다른 성격으로 유형 선정의3. L

선택형으로 정보보호 정책을 수용해야 할 일반 사용자를 대상으로 작성된 안내서이므로 일

반 문서형인 요약본을 소책자로 제본하여 책상 주변에서 손쉽게 볼 수 있게 작성된 일반 문

서형태이다.

이러한 형태로 정보보호 정책서 작성자가 조직의 문화적 사회적 환경에 맞게 응용하여 활,

용 가능한 형태로 작성이 필요하며 이러한 작성 방법은 특정한 형태가 없으므로 제일 우선,

적으로 고려해야 하는 것은 적절하게 작성된 정책서 요약본을 각각 해당 책임과 임무를 효

율적이고 합리적으로 수행할 수 있도록 작성하여 배포하며 이를 통한 교육이 제일 중요하,

다.

- 328 -

일반적 정보보호 정책서 요약본일반적 정보보호 정책서 요약본일반적 정보보호 정책서 요약본일반적 정보보호 정책서 요약본1.1.1.1.

가 목적가 목적가 목적가 목적....

오늘날 정보는 회사의 계획수립 업무수행 중요 의사결정 그리고 고객의 서비스 제공을 위, , ,

한 전략적인 중요 자산으로 인식되고 있다 이러한 회사의 중요 정보는 수집 가공 저장 검. , , ,

색 송신 그리고 수신되는 전 과정에서 무결성 가용성 기밀성 보장이 요구되고 있다 특히, , , , .

경쟁사간의 산업 스파이 활동과 내부자에 의한 기밀정보 유출이 기업의 생존까지 위협하고

있는 현 실속에서 회사의 중요 정보를 보호하기 위한 정보보호 활동은 회사의 경쟁력은 물

론 생존을 위한 필수 불가결한 요소가 되고 있다.

이 정책은 회사의 정보보호를 위한 최상위 정책으로 지적재산권 개인정보 보호 등 관련 법, ,

규 및 기타 계약상의 요구에 대응하고 비인가자에 의한 정보의 오남용 훼손 변조 유출 등, , , ,

의 위협으로부터 회사의 중요 정보를 보호하기 위한 기본방침 정립을 목적으로 한다.

나 적용나 적용나 적용나 적용....

이 정책은 회사에 근무하는 전 임직원을 대상으로 하며 회사의 출입자 면회자 일용 근로, , ,

자 및 회사와 계약관계에 있는 특수인에게도 적용한다.

다 정보보호 기본 방침다 정보보호 기본 방침다 정보보호 기본 방침다 정보보호 기본 방침....

자산자산자산자산(1)(1)(1)(1)

회사내 모든 정보는 회사의 중요 자산이며 회사가 그 소유권을 갖는다, .●

- 329 -

자산은 정보자산 소프트웨어 자산 전산장비 서비스로 분류 관리한다, , , , .●

정보 분류정보 분류정보 분류정보 분류(2)(2)(2)(2)

회사내 모든 정보자산은 정보소유자에 의해 등급이 결정되고 정보관리자에 의해 적절히,●

통제되어야 한다.

모든 정보자산은 가치와 중요도에 따라 기밀정보 개인정보 일반 으로 분류“ ”, “ ”, “ ” ,●

관리한다.

정보 관리정보 관리정보 관리정보 관리(3)(3)(3)(3)

운영중인 모든 정보자산은 적절한 절차에 따라 변경한다.●

정보자산에 대한 주기적인 위험분석을 실시하여 그 결과를 정보보호 정책 및 지침에●

반영한다.

모든 정보자산은 적절한 백업 및 복구절차에 따라 관리한다.●

접근권한접근권한접근권한접근권한(4)(4)(4)(4)

전 임직원과 계약관계에 있는 모든 사용자의 정보자산에 대한 접근은 알 필요 원칙과●

최소 권한 부여의 원칙에 따라 결정한다.

전 임직원과 계약관계에 있는 모든 사용자는 통제되지 않은 정보자산을 포함한 업무와●

무관한 어떠한 정보자산에도 접근을 시도해서는 안된다.

모든 정보자산의 접근은 정보소유자 또는 권한을 위임 받은 정보관리자에 의해●

부여한다.

사용자 인증사용자 인증사용자 인증사용자 인증(5)(5)(5)(5)

정보시스템을 사용하는 모든 사용자는 개 개인별 고유한 와 통해ID PASSWORD●

인증한다.

사용자 는 공유할 수 없으며 는 노출로부터 보호되어야 한다ID , PASSWORD .●

모든 사용자는 자신의 를 안전하게 관리할 책임을 가지며 노출이ID/PASSWORD ,●

의심되는 경우에는 이를 즉시 변경한다.

- 330 -

정보의 전송정보의 전송정보의 전송정보의 전송(6)(6)(6)(6)

기밀정보의 전송은 보안성이 보장된 매체를 통해서만 이루어져야 한다.●

외부 접속외부 접속외부 접속외부 접속(7)(7)(7)(7)

외부에서 내부로의 접근은 가능한 단일화하고 침해에 대비하여 사전에 적절한 보호,●

대책을 강구한다.

보안성 인증보안성 인증보안성 인증보안성 인증(8)(8)(8)(8)

신규 전산장비와 소프트웨어의 도입은 보안성 인증을 반드시 거쳐야 한다.●

불법 소프트웨어 사용불법 소프트웨어 사용불법 소프트웨어 사용불법 소프트웨어 사용(9)(9)(9)(9)

구매된 모든 소프트웨어의 회사가 소유권을 가지며 라이센스 계약에 따르지 아니하고는,●

불법적으로 복제될 수 없다.

회사의 전산장비로 사용권이 없거나 임의 복제된 소프트웨어를 사용할 수 없다, .●

사업 연속성사업 연속성사업 연속성사업 연속성(10)(10)(10)(10)

비상시에 대비하여 중요 자산에 대한 가용성 보장을 위해 사업 연속성 계획을●

주기적으로 테스트한다.

점검활동점검활동점검활동점검활동(11)(11)(11)(11)

주기적인 점검활동을 통해 정보보호 정책 및 지침의 준수여부를 확인하고 필요시,●

대책을 권고한다.

회사는 임직원의 정보자산 사용에 대한 적합성을 확인하기 위해 필요시 이를 검색할●

권리를 갖는다.

사고보고사고보고사고보고사고보고(12)(12)(12)(12)

위반사실을 인지한 전 임직원은 즉시 각부서 정보보호 책임자에게 보고한다.●

- 331 -

바이러스 통제바이러스 통제바이러스 통제바이러스 통제(13)(13)(13)(13)

외부에서 반입된 모든 저장매체는 회사내 정보시스템에 사용하기 전에 공식 승인된●

백신으로 검사되어야 하며 바이러스가 발견되는 경우 즉시 전사 정보보호 담당부서에,

통보한다.

교육 훈련교육 훈련교육 훈련교육 훈련(14)(14)(14)(14)

전임직원과 계약관계에 있는 모든 사용자는 회사 자산의 지속적인 보호를 위해 회사의●

정보보호 정책 지침과 관련 절차를 숙지해야 한다, .

물리적 통제물리적 통제물리적 통제물리적 통제(15)(15)(15)(15)

통제구역에 대한 접근을 위해서는 사전에 해당지역 정보보호 책임자의 인가를 득해야●

한다.

라 정보보호의 책임라 정보보호의 책임라 정보보호의 책임라 정보보호의 책임....

사용자는 인가된 자산만을 이용할 권한을 가지며 불법사용에 대한 최종 책임은 사용자(1) ,

에게 있다.

각부서 정보보호 책임자는 부서내 자산이 경영진이 승인한 업무목적으로만 사용될 수(2)

있도록 감독해야 할 책임을 갖는다.

각부서 팀 의 정보보호 담당자는 정보보호 책임자를 도와 부서내의 실무적인 정보보호(3) ( )

활동을 수행한다.

전사 정보보호 담당부서는 전사차원의 정보보호 기획 조정 지원 업무를 수행하며 정보(4) , , ,

보호 정책의 수립 관련 기술 제공 진단 교육 주관의 책임을 갖는다, , , .

정보시스템 관리부서는 정보소유자의 요구에 따라 전산장비의 운영 및 관리 정보보호(5) ,

기술 적용 및 운영 유지보수의 책임을 갖는다, .

정보시스템 감사부서는 주기적으로 지침의 준수여부와 적용된 정보보호 대책의 적합성(6)

의 검토하고 이를 경영진에 보고할 책임을 갖는다, .

- 332 -

마 준수 확인마 준수 확인마 준수 확인마 준수 확인....

사용자의 정보보호 지침 위반은 사규에 따라 징계되며 사안에 따라서는 사직당국에 고발조,

치 될 수 있다 또한 회사에 재산상의 손실을 입히거나 이미지를 훼손한 경우에는 회사에.

대하여 민형사상의 모든 책임을 진다, .

바 관련 지침서바 관련 지침서바 관련 지침서바 관련 지침서....

이 정책의 적용을 위해 상세한 내용은 지침표준과 절차에 별도로 규정하며 지침표준에 권,

고된 최소 요구수준은 회사의 일관된 정보보호 수준 유지를 위해 반드시 준수한다.

하위 정보보호 지침표준은 다음 각호와 같다.

서버 정보보호 지침표준(1)

네트워크 정보보호 지침표준(2)

응용시스템 정보보호 지침표준(3)

데이터베이스 정보보호 지침표준(4)

정보보호 지침표준(5) PC

관리적 정보보호 지침표준(6)

물리적 정보보호 지침표준(7)

년 월 일년 월 일년 월 일년 월 일20XX XX XX20XX XX XX20XX XX XX20XX XX XX

사장 기관장 서명사장 기관장 서명사장 기관장 서명사장 기관장 서명( )X X X ( )( )X X X ( )( )X X X ( )( )X X X ( )

- 333 -

정보보호 정책서 요약본정보보호 정책서 요약본정보보호 정책서 요약본정보보호 정책서 요약본2. BT(British Telecom)2. BT(British Telecom)2. BT(British Telecom)2. BT(British Telecom)

- 334 -

- 335 -

- 336 -

- 337 -

- 338 -

- 339 -

- 340 -

- 341 -

- 342 -

- 343 -

- 344 -

회사 정보보호 사용자 안내서회사 정보보호 사용자 안내서회사 정보보호 사용자 안내서회사 정보보호 사용자 안내서3. L3. L3. L3. L

- 345 -

- 346 -

- 347 -

- 348 -

- 349 -

- 350 -

- 351 -

- 352 -

- 353 -

- 354 -


정보보호 정책서의 분류 및 예제정보보호 정책서의 분류 및 예제정보보호 정책서의 분류 및 예제정보보호 정책서의 분류 및 예제

- 355 -

본 부록 정보보호 정책서의 분류 및 예제 에서는 현재 많은 조직들에서 사용하고 있는“ 4. ”

정보보호 정책서의 종류와 분류체계가 난립하게 존재하고 있어 일반적으로 가장 많이 사용

하고 있는 정보보호 정책서를 예시를 들어서 해당 조직에 어떤 정책서가 적절한지를 작성자

들의 이해를 돕기 위한 부록이다 부록 에서 사용하고 있는 적용 메트릭스. 1,2 (Coverage

를 이용한 작성방법과 비교하여 보다 효율적이고 합리적으로 정책서를 작성을 돕기Matrix)

위한 목적임을 밝힌다.

이러한 적용 메트릭스를 이용한 방법은 각각의 정책 통제 항목에 대해서 분류하여 연관된

항목별 정책을 구성하지만 부록 에서 명시한 정보보호 정책서 분류체계는 대상 시스템4 ,

네트워크 인터넷 이메일 등으로 도메인 중심으로 재분류한 것이다 이러한 분류는 정책서, , .

를 사용한 사용자가 어떤 도메인을 이용할 때 주의해야 할 점을 일목요연하고 볼 수있게,

분류한 방법으로 이에 대한 장단점이 있다 장점은 도메인 별로 구분하여 사용자가 인터넷.

을 사용할 때 유의해야 할 점을 이러한 분류로 작성된 정책서를 읽고 쉽게 접근할 수 있지,

만 인터넷 사용시 사용자의 책임과 의무를 이행하려고 하려도 정확한 책임소재가 불분명하, ,

게 작성된 것이 대부분이므로 이를 사용자가 분별하기가 용이치 않는 점 등은 단점으로 볼

수 있다.

우선 정보보호 강령 예문을 통해서 정보보호 정책서의 첫 장에 명시된 강령으로 최고 관리

자의 정보보호에 대한 정책을 표현한 부분으로 가장 중요한 부분이다 최고 경영자의 정보.

보호에 대한 의지를 표명하고 이를 지지한다는 의견이 포함되며 마지막에 최고 경영자의,

서명이 필요하다.

정보보호 강령 예문정보보호 강령 예문정보보호 강령 예문정보보호 강령 예문1.1.1.1.

정보와 정보시스템은 아주 중요한 회사 자산입니다 신뢰할 수 있는 정보와 정보시스템 없.

이 회사는 급속하게 사업이 진행될 수 있다 따라서 회사 경영자는 보존하고 개선시킬 신용.

상의 의무를 가지고 있고 회사의 정보와 정보시스템에 대하여 보존 개선 등을 위하여 의무,

와 책임을 가진다.

- 356 -

이것은 회사 경영자가 정보와 정보시스템들의 오류 기만 횡령 쟁의 중의 공장설비 파괴, , ,

행위 테러행위 강탈 산업스파이 사생활 침해 서비스 중단 그리고 자연재해와 같은 다양, , , , ,

한 위협으로부터 적절하게 보호하도록 적절한 과정과 절차를 취해야만 한다는 것의 의미한

다.

회사 정보는 그것의 민감성 가치 그리고 중요성에 관하여 균형적으로 보호되어 져야 한다, .

정보보호 대책은 정보가 저장되는 매체 종이 오버헤드 슬라이드 음성우편 시스템 등 와 그( , , ) ,

것을 처리하기 위한 시스템들 메인 프레임 음성우편 시스템 등 또는 그것들을 전송하(PC, , )

는 방법들 전자우편 화상 대화 등 에 관계없이 적용되어져야 한다 그러한 보호는 알 필요( , ) . “

성 에 대한 기반 하에서 접근을 제한하는 것이 포함되어야 한다 경영자는 정보가 적절하게” .

보호되기 위해서 충분한 시간과 자원을 투입해야만 한다.

회사 경영자는 부가적으로 정보와 정보시스템을 동종업의 같은 형태로 정보를 다루는 다른

조직에서 보호하는 만큼 보호되도록 만들어야 한다 이 목적을 달성하기 위해서는 회사의.

정보와 정보시스템에 대한 위험을 해마다 조사하고 관리해야만 한다 유사하게 주요한 보안.

사고로 정보와 정보시스템의 보호에는 불충분하다고 지적할 때마다 경영자는 신속하게 회사

의 정보 노출을 줄이는 개선적인 행위를 취해야 한다 회사의 정보보호 상태나 진행을 반영.

하는 매년의 보고서들이 준비되고 상위 관리자에게 제출되어야 한다.

회사에서의 의사결정은 또한 정보와 정보시스템과 밀접한 관련이 깊다 경영자는 그들이 의.

사결정을 위해 사용하는 정보자체 정확성 적시성 관련성 완벽성 기밀성 중요성 등 를 알( , , , , , )

기를 기대한다 그러한 정보 속성들의 인식과 정체는 하나의 중요한 정보 경영 활동이다 회. .

사의 미래 경쟁에서 장점은 정보와 정보시스템의 두 개의 적절한 경영을 통해 부분적으로

달성될 것이다.

모든 종업원들 고문들 그리고 정보보호 활동을 위한 관계자들은 그들이 적절히 보호하고, ,

그 밖의 회사의 정보 자산을 경영할 수 있는 충분한 훈련과 지원하는 참고 자료들을 공급해

야 한다.

- 357 -

훈련 자료들은 정보보호를 회사의 중요한 사업부분으로 전달하여야 한다 그리고 회계나 마.

케팅 같은 다른 진행중인 사업 기능처럼 간주되어야 한다.

정보보호 활동을 위한 방향 권한을 전체 조직 중에서 정보보호 부서에 집중되어야 한다 정, .

보보호부서는 조직 전반에 걸친 정보보호 정책들 표준 지침들과 절차들의 유지관리와 제정, ,

을 위한 책임이 있다.

년 월 일년 월 일년 월 일년 월 일20XX XX XX20XX XX XX20XX XX XX20XX XX XX

사장 기관장 서명사장 기관장 서명사장 기관장 서명사장 기관장 서명( ) X X X ( )( ) X X X ( )( ) X X X ( )( ) X X X ( )

- 358 -

보호정책 예문보호정책 예문보호정책 예문보호정책 예문2. PC2. PC2. PC2. PC

목적목적목적목적

이 정책 문은 에 저장된 자료 정보 를 보호하기 위한 방법을 제시한다PC ( ) .

범위범위범위범위

그 정책은 회사의 고용인과 관계자에게 적용하며 회사의 사무실과 외부의 관할 구역 내에,

소유하고 있는 에 적용된다 정책들은 네트워크에 연결된 것은 물론이고 단독형 도 적PC . PC

용된다.

정의정의정의정의

이 문서에서 사용된 기술적 용어는 다음과 같이 정의한다.

자료의 보안 분류 회사의 자료는 두 개의 기본 범주로 분류된다 보통 자료의 불법 수: . (◆

정 파괴 손실 누설 비가용성 방해로부터 무관하거나 혹은 회사의 사업 목표 경쟁할 수, , , , , ,

있는 위치 명성에 대한 손실이 기대되지 않는 자료는 보통으로 분류 되어 진다 중요 만일, .), (

자료의 불법 수정 파괴 손실 누설 비 가용성이 회사의 사업목표 경쟁의 위치 명성에 손, , , , , ,

실이 되거나 업무 중단을 일으키는 자료는 중요로 분류된다.)

다운 로딩 호스트 컴퓨터 메인 프레임 네트워크 서버 등 시스템에서 연결된 개인용 컴- : ( , )◆

퓨터와 같은 워크스테이션으로의 자료전송

책상에 놓일 수 있는 규모로 조립된 하나 혹은 그 이상의 프로PC(Personal Computer):◆

세서들로 구성된 범용 컴퓨터 휴대용 컴퓨터 노트북 그리고 중앙처리장치의 전형적인 장치, ( )

로는 비디오 디스플레이 키보드 디스크 드라이브 그리고 장치와 같은 몇몇의 주, , CO-ROM

변 장치들로 구성된다.

소유자 어떤 특정 응용 시스템이나 자료에 책임을 가지고 있는 주된 사용 대표자 그 소: .◆

유자는 모든 보안 요구명세서와 관련된 접근제어 제한을 포함하여 문제의 자료수집이나 응

용과 관련된 모든 사용자 행위를 한다.

업 로딩 호스트 시스템 메인프레임 미니컴퓨터 등 에 개인용 컴퓨터 같은 어떤 연결된- ( , )◆

장치로부터의 자료 전송

- 359 -

바이러스 기생하는 소프트웨어 프로그램 자기 스스로 복제할 수 있는 능력을 가지고 있,◆

고 자기 자신에 달라붙음이나 다른 소프트웨어 또는 디스켓을 감염시키기 위해 컴퓨터나 네

트워크 구석구석까지 확산시킬 수 있는 프로그램

세부정책세부정책세부정책세부정책

회사의 는 안전한 환경에서만 유일하게 사용되어야 한다 소프트웨어 하드에어 그리고PC . ,

자료를 보호하기 위해 적절한 통제들이 구축되어질 때 환경은 안전하게 된다 이 통제들은.

자료의 민감도와 예견된 위험의 본질과 함께 적정한 보호수단이 제공되어야 한다.

일반적 정보보호 정책일반적 정보보호 정책일반적 정보보호 정책일반적 정보보호 정책

회사의 는 회사의 공무상 목적을 위해서만 사용되어야 한다PC .①

고용자나 계약자는 작업장으로 또는 구성요소 디스켓 포함 등 어떤 것을 가져올 때PC ( )②

허가가 있어야 한다 회사는 정보시스템과 자료를 포함한 그러한 장비의 사용은 해당 정보.

보호 관리자에 의해 허가 받은 이후에야 단지 허락된다.

회사 의 사용자들은 매년 정보보호 의식 훈련을 받아야 한다PC .③

모든 회사 사용자들은 정보시스템부서에 의해 제시되는 하드웨어 그리고 소프트웨어PC④

요구사항에 응해야만 한다.

하드웨어 정보보호 정책하드웨어 정보보호 정책하드웨어 정보보호 정책하드웨어 정보보호 정책

를 사용하고 있는 동안 흡연 식사 음료 등 엄격히 금한다PC , , .①

는 주변 위험 예를 들면 전자기의 방사 먼지 화재 누수 으로부터 보호되어야 한다PC ( , , , , )②

사내에서 허가된 표준 전력 보호장치는 모든 시스템들을 보호하기 위해 설치되어야PC③

한다 생산 사업 업무를 위해 사용되는 는 허가된 무정전 공급장치를 사용해야 한다. PC .

장비는 파괴 오용 도난의 위험을 줄이기 위해 물리적으로 보호되어야 한다 이러한PC , , .④

위험을 줄이기 위해 제시된 기술들은 잠금 장치가 있는 방에 장비를 보관하고 작업장에서,

물리적으로 잠그는 장비나 제공되는 보호 서비스 또는 를 포함하는 전제를 보호하기 위PC

한 다른 물리적 보호를 포함한다.

- 360 -

각각의 장비는 식별과 재고관리를 위해 표시되어야 한다 장비의 재고 기록들은 최PC . PC⑤

신자료로 갱신되어야 한다.

장비는 해당 부서 경영자의 사전 허가없이 이동 또는 재배치 되어서는 안된다PC .⑥

회사 사무실로부터 시스템 장비를 옮기기 위해 시도하는 누구든지 해당 절차에 따라PC⑦

서 허가를 얻어야 한다 휴대용 컴퓨터를 사무실로 가져오거나 또는 회사 사무실에서 가지.

고 입출입시 그들의 소유자들에게 문제가 없이 소유권 이전을 해야 한다.

어떤 하드웨어 및 소프트웨어 분실이나 도난은 해당 정보보호 직원에게 즉시 보고해PC⑧

야 한다.

불법 접근을 막기 위해서 사용자는 그들의 작업장에서 분 이상 자리를 비울 때에는 항15⑨

상 스크린 보호기를 설치해야 하며 다시 시작하기 위해서 패스워드를 설정해야 한다 만약.

에 중요한 자료가 존재한다면 사용자가 공석시 이들 를 화면 보호기를 반드시 작동시PC PC

켜야 한다.

에 내장된 모뎀들은 해당 부서관리자에 의해 사전에 인가된 것이 아니라면 허가되지PC⑩

않는다 내국행과 외국행의 전화회선 설비들은 모두 모뎀 도구들 가 일반적으로 작동하지. (PC

않을 때 이들 시스템들은 접근 제어와 관련 통신을 수행 에 기초한 서버를 통해 제공) LAN

받는다.

중요한 정보를 다루는 들은 권한을 부여 받은 사용자들만 한정된 접근을 하기 위해PC⑪

어떤 허가된 접근 제어 메커니즘 하드웨어 소프트웨어 을 사용해야만 한다( , ) .

소프트웨어 정보보호 정책소프트웨어 정보보호 정책소프트웨어 정보보호 정책소프트웨어 정보보호 정책

사용자가 어떤 통보도 바디 않았다면 사용자들은 회사 의 모든 소프트웨어가 저작권PC①

으로 보호되어진다고 가정할 것이다 대부분의 경우 저작권 보호는 플로피 디스크에 첨부된.

경고나 스크린상에 나타나게 된다 회사가 구매한 소프트웨어는 계약상의 동의와 저작권법.

에 따라 사용되어져야 한다.

- 361 -

회사에 의해 구매된 상업적인 소프트웨어는 오직 회사에 권리가 주어진다 개인적PC .②

사용을 위해서 회사의 구매된 소프트웨어를 복사하는 것은 불법이고 금지한다.

회사가 구매한 소프트웨어 사용허가의 형태에 관계없이 사용자들은 해당 부서 관리자의③

사전허가 없이 디스켓 등의 저장매체에 복사 수정 또는 소프트웨어의 변형을 해서는 안된,

다 만약 어플리케이션들이 서버상에 존재하면 이 정책은 수정되어질 필요가 있다. ( LAN .)

회사 상에서 사용 허가된 소프트웨어는 평범한 요구절차를 통해 구매되거나 회사 고PC④

용인들이나 계약자들에 의해 개발되어진 것이다 사용자가 구매하거나 빌린 것을 포함해서.

불법 소프트웨어 사용은 엄격히 금지한다 해당 정보보호 직원에 의해 사용이 승인되지 않.

았다면 무료 공용 구매하지 않은 기타의 소프트웨어는 불법적으로 간주한다, , .

해당 시스템 관리자의 사전동의 없이 회사 에 위치한 소프트웨어 수정은 금지한다PC .⑤

인가된 바이러스 백신 프로그램들은 언제나 모든 상에 수행되어져야 한다PC .⑥

만일 어떤 바이러스 탐지 프로그램이 바이러스 감지하면 그 영향에 미치는 사용자들은⑦

즉시 해당 정보보호 관리자에게 통지해야 한다 사용자들은 훈련된 직원이 그 문제를 해결.

할 때까지 바이러스나 그 밖의 감염된 기계들의 사용을 시도해서는 안된다.

외부적으로 공급된 플로피 디스크나 다른 저장매체가 만약 이들 디스크가 먼저 바이러스⑧

가 있는지 체크하고 바이러스들이 발견되지 않은 지시를 받을 때까지 회사 개인 를 사용, PC

해서는 안된다

컴퓨터 게임들을 회사 에 저장하거나 실행하면 안된다PC .⑨

모든 단말 사용자 프로그래밍은 생산 사업 응용 시스템에 결과를 최신 정보 시스템 부서⑩

표준들에 따라 문서화되어야 한다 생산 시스템은 실제로 사업 트랜잭션 자료를 프로세스.

하는데 사용하는 시스템이다.

가 하나 이상의 생산 사업 응용을 지원하는 주요기계로 사용될 때 이 기계는 변경 통PC⑪

제뿐만 아니라 권한 통제를 지원하는 인증된 접근 제어 시스템을 실행해야만 한다.

- 362 -

데이터 보호 정책데이터 보호 정책데이터 보호 정책데이터 보호 정책

데이터 보호는 에 저장된 자료의 중요도에 따라 구분되어야 한다PC .①

만약 중요한 데이터가 에 저장되어 있다면 접근 제어는 각각 사용자의 읽기 쓰기 생PC , ,②

성 삭제 또는 중요한 자료의 수정능력을 제한하는 장소에 있어야 한다 이들 권한들은 알, .

필요가 있는 경우로만 한정되어야 한다.

에 상주하는 모든 데이터는 물리적으로 안전한 위치에 정기적으로 백업되고 저장되어PC③

져야 한다 에 중요하게 실행하는 생산 사업 응용은 해당 부서 책임자에 의해 허가된 문. PC

서화된 백업과정을 거쳐야 한다.

디스켓에 저장된 중요한 자료의 모든 복사본들은 중요 라고이름이 붙여져야 하고 그리“ ”④

고 물리적으로 안전한 장소에 저장되어야 한다.

사용자들은 자료가 더 이상 필요가 없거나 유용하지 않을 때는 중요한 데이터를 지울 필⑤

요가 있다.

중요한 데이터를 가진 결함이나 파손된 디스켓은 정보보호 부서에 의해 허가된 방법에⑥

의해 파기되어야만 한다.

종이에 출력된 중요한 데이터는 폐기되기 전에 조각조각 되어야 한다.⑦

스크린 상에 디스플레이된 중요한 데이터는 화면보호 프로그램 접근제어 프로그램PC , ,⑧

그리고 사무가구의 재정돈을 통하여 다른 사람의 시선으로부터 보호되어야만 한다.

사용자들은 해당 부서 책임자에 의해 인정된 허가에 따라 단지 다운로드 또는 업로드 할⑨

수 있다.

다운로드된 데이터는 그것의 중요도에 따라 보증된 수단으로 보호되어야 한다.⑩

회사 데이터는 해당 부서 책임자의 사전허가 없이 회사 혹은 건물로부터 이동되어질 수⑪

없다 이 정책은 특히 휴대용 컴퓨터를 사용하는 사람과 관련된다. .

- 363 -

중요한 데이터는 매체가 회사를 떠나기 전에 전자적으로 삭제되어져야 한다 이것은 디.⑫

스켓에 디스켓을 재포맷에 의해 완료되어질 수 있다 하드디스크 등의 저장매체에 저장된.

데이터는 그 파일의 삭제의 의해 지워질 수 있다.

중요한 데이터는 디스크 테이프 또는 매체에 의해 저장될 때 허가된 암호화 프로그램의, ,⑬

도움으로 암호화되어야 한다 중요한 데이터는 인터넷과 같은 공개 자료 통신 시스템으로.

전송될 때 또한 암호화되어야 한다.

가능하면 중요한 정보는 그들의 수리를 위해 보내지기 전에 중요 자료가 담긴 저장 매체⑭

를 제거해야 한다 만약 이것이 불가능하거나 안전하지 않다면 중요하거나 기밀의 정보를.

포함하는 저장 매체에 대한 비밀각서에 동의한 자에게만 수리를 받거나 감독 하에 직접 현

장에서 수리를 받는다.

회사로부터 떠나기 전에 사용자들은 그들의 디스켓 혹은 테이프 등의 저장매체에 저장된⑮

모든 데이터는 다운로드 되어야 한다 이와 같은 디스켓들 또는 테이프는 그 사용자의 관리.

인에게 주어져야 한다 사용자는 만약 그들 관리자의 사전 허가서 없이 회사 일부로 어떤.

중요한 데이터를 유출시켜서는 안된다.

책임책임책임책임5.5.5.5.

보안을 위한 회사 그룹과 직원의 책임은 권한과 책임을 명백히 하기 위해 구성되었다PC .

법인 정보보호 부서는 보호정책들과 표준들을 제정해야 하고 모든 회사 그룹을 정보시PC ,

스템 부서와 동등하게 보안상의 기술적인 안내서를 제공해야 한다 법인 정보보호 부서PC .

는 바이러스 감염 해커 침입 그리고 유사한 사건들에 대응하기 위하여 컴퓨터 비상 대응팀, ,

을 조직해야 한다(CERT) .

해당 정보보호 관리자들은 하드웨어 소프트웨어 그리고 자료 보호를 포함하여 보안 요, , PC

구들에 따라 감시하여야 한다.

- 364 -

해당 정보보호 관리자는 그들의 부서와 회사가 이 문서에 작성된 보호정책에 따라 실시PC

되도록 하여야 한다 해당 정보보호 관리자는 보안에 관련된 문제에서 경영자는 행정적. PC

인 지지와 기술적인 안내를 또한 제공해야 한다.

회사 정보 소유자는 다음 사항을 준수해야 한다.

자신이 책임지고 있는 정보시스템 내부목록 하드웨어 소프트웨어 그리고 데이터 은 정( , , )①

기적으로 갱신되어야 한다.

직원은 정기적으로 그들이 위험들과 취약점들을 결정하기 위해 책임지고 생산 정보 시스②

템의 위험 평가를 실시한다.

적절한 보호 대책들이 정보 중요도의 수준과 또한 사내의 구성 요구들에 일치하는PC③

방법으로 시스템 상에 구현되어야 한다.

사용자 접근 제어는 알 필요성 에 따라 시스템 상에서 정의한다“ ” .④

데이터의 중요성은 사내에서 중요 문서 분류방법에 따라 시스템들이 정의되고 설계되어⑤

진다.

회사 관리자들은 다음을 보장해야 한다.

그들의 감독 하에 있는 고용자들은 이 문서에 정의된 사내의 시스템 구성요소들에, PC①

적합한 보호 대책을 구현한다.

그들의 감독 하에 있는 사용자들은 그 데이터가 더 이상 필요하지 않거나 유용하지 않을②

때 그들의 디스크 파일들로부터 중요한 데이터를 유용하지 않을 때 그들의 디스크 파일들로

부터 중요한 데이터를 삭제한다.

시스템 사용에 권한을 가진 그들의 감독 하에 있는 고용자는 모든 회사 문서 안에서PC③

그 정책들과 절차를 동의하고 인식하여야 한다.

그들의 감독 하에 있는 모든 고용자들과 그리고 계약자 직원은 퇴직 시에 퇴직 절차를④

따라야 한다.

회사 의 사용자들은 다음을 준수해야 한다PC .

중요한 정보와 그리고 컴퓨터 시스템 보안에 적합한 실행과 적절한 회사 정책들을 알고①

적용해야 한다.

- 365 -

회사 시스템의 접근을 얻기 위해 어떤 권한이 없는 개인에게 허가하지 않는다PC .②

회사 시스템과 연결된 불법장치의 사용을 허락하거나 사용해서는 안된다PC .③

회사 컴퓨터 자원 하드웨어 소프트웨어 또는 데이터 을 회사 목적 이외에 사용해서는 안( / )④

된다.

자신의 패스워드를 사용해야만 하고 그것을 다른 사람들에게 부주의하게 누설되는 것을⑤

보호해야 한다.

사용자와 그 사용자의 조직적인 그룹 혹은 사용자의 프로젝트와 관련 없고 추측하기 어⑥

려운 패스워드를 사용해야 한다.

자신의 통제와 감독 하에 있는 데이터는 중요도 수준에 의해 적절히 보호 되도록 해야⑦

한다.

자신의 감독관 흑은 해당 정보보호 관리자에게 회사 정보 자원의 보안을 위해 나타나는⑧

것을 보고해야 한다 이것은 데이터 손실 바이러스 침투 그리고 설명되지 않은 트랜잭션 데. ,

이터를 포함한다.

보통 사업 활동 과정에서 권리가 있는 자신의 데이터와 자동화 된 기능에만 접근해야 한⑨

다.

만약 이 행위가 통상 사업 활동들의 범위밖에 있다면 회사의 멀티 유저 정보시스템이나⑩

정보의 어떤 업로드 혹은 다운로드를 위해 관리자의 인증을 받아 야 한다.

문의처문의처문의처문의처

이 정책에 관한 질문은 본사 정책개발팀 에게 한다000 .(Tel. xxx)

징계절차징계절차징계절차징계절차

이러한 정책의 위반 행위는 고용자 혹은 계약자들의 인적 자원 징계절차를 따른다.

부칙부칙부칙부칙

이 정책은 즉각적으로 제공한 날짜 효력을 발생한다( ) .

- 366 -

컴퓨터 네트워크 보안 정책 예문컴퓨터 네트워크 보안 정책 예문컴퓨터 네트워크 보안 정책 예문컴퓨터 네트워크 보안 정책 예문3.3.3.3.

목적목적목적목적

이 정책의 목적은 경영자의 지시 진행과정 그리고 컴퓨터 네트워크에 의해 운영되는 회사, ,

정보의 적절한 보호 보증을 위한 요구 사항들을 제정하는 것이다.

범위범위범위범위

이 정책은 모든 종업원 계약자 자문역 임시 고용인 그리고 타 회사의 공동 작업 자들에게, , , ,

적용되며 회사 컴퓨터 네트워크에 접근하는 납품업체 관계자에도 적용된다 이 정책에서.

작업자 란 모든 각각 개인들을 말한다 이 정책은 또한 회사에 의해 관리되고 또는 소유된“ ” .

모든 컴퓨터 그리고 데이터 통신 시스템에 적용된다.

일반정책일반정책일반정책일반정책

특별히 다른 부서의 자산으로써 명시하지 않는 회사 컴퓨터 네트워크에서 이동되는 모든 정

보는 회사 공동 자산인 것처럼 다루게 돌 것이다 권한이 없는 접근 누설 복제 수정 전환. , , , , ,

파괴 분실 오용 혹은 정보의 절도를 납품업체에 속하는 정보를 보호하기 위해 회사의 정, , ,

책으로 금지하기 이한 회사의 정책이다 부가적으로 계획서 대로뿐만 아니라 회사의 상거래.

비밀과 같은 동일한 방법으로 다룬다.

책임책임책임책임

정보 시스템 정보보호 위원회는 회사 주요한 부서 그리고 자회사들의 경영자 혹은 그들의

대표들은 물론 정보 기술의 감독자 보안 감독자 그리고 지적 자산을 위한 책임을 질 수 있, ,

는 회사의 최고 경영자로 구성될 것이다.

분기별 회의에서 이 위원회는

정기적으로 회사의 컴퓨터 그리고 네트워크 보안 상태를 점검한다.①

필요에 따라 컴퓨터와 네트워크 보안과 관련된 작업을 검토하고 개선한다.②

- 367 -

컴퓨터와 네트워크 보안을 다루는 중요한 프로젝트들의 결과들을 인증하고 판단한다.③

신규 혹은 수정된 정보보호 정책들 표준들 안내서들 그리고 절차들의 승인, , ,④

다른 고수준 정보보호 경영자 행위를 수행⑤

정보 기술 감독자는 광범위한 조직 정보 시스템 보호 정책 표준 지침 그리고 절차들을 제, , ,

정하고 구현하며 해석하는 책임이 있다 그러므로 정보 기술 감독자는 이 정책과 관련된 활, .

동들을 위한 책임이 있다 매일 매일의 정보 시스템 보호 책임은 보든 작업자의 의무이며. ,

정보 시스템 보호를 위한 지침 방향 권한이 정보 기술부에 집중된다 따라서 이 부서는 정, , .

보 시스템 위험 평가들 정보 시스템 보안 활동 계획을 준비 정보 보호 제품 평가를 수행하, ,

고 필요한 정보 시스템 환경 안전성을 보증하기 위한 다른 활동들을 수행할 것이다.

정보보호 감독자는 어떤 컴퓨터 혹은 네트워크 보안 분쟁들 사건들 혹은 문제점들을 조사, ,

할 책임이 있다 모든 정보보호 분쟁 혹은 잠재적인 분쟁들을 정보보호 감독자에게 보고되.

어야 한다.

다중 사용자 컴퓨터 시스템 관리자는 정보 시스템 보호 조정자로서의 책임이 있다 이들 각.

각은 적절한 사용자 권한을 제정하고 접근 제어 로그를 감시하고 그들이 관리하는 유사한

보안 행위를 수행할 책임이 있다 그들은 또한 모든 의심스러운 컴퓨터와 네트워크 보안 활.

동을 정보보호 감독자에게 보고할 책임이 있다 또한 관리자는 해당 정보보호 연락관으로서.

의 정보 시스템 보호정책 표준 지침 그리고 수행절차와 이 요구사항을 구현한다 만약 정, , , .

보보호가 다른 부서 혹은 그룹 각각 회사 부서에 의해 운영되지 않는다면 시스템 관리자가

직무를 위해 어떤 개인을 지정해야 한다.

경영자 부분은 적절한 컴퓨터와 통신 시스템 보호 수단들은 그들의 영역에서 관찰되어야 하

고 안전하게 할 책임이 있다.

- 368 -

이들 정책들의 요구조건을 충족시킬 필요한 시간과 자료 외에 경영자 부문은 컴퓨터와 통신

시스템 보안과 관련된 회사 정책들을 모든 사용자들이 알고 안전하게 만들 책임이 있다.

사용자들은 컴퓨터와 네트워크 보안수단들을 정의하고 있는 회사 정책들을 따를 책임이 있

다.

시스템 접근 제어시스템 접근 제어시스템 접근 제어시스템 접근 제어

단말 사용자 패스워드단말 사용자 패스워드단말 사용자 패스워드단말 사용자 패스워드

사용자들은 추측하기 어려운 패스워드를 선택해야 한다 이것은 패스워드가 그 사람의 직업.

과 혹은 사생활과 관련된 단어를 사용하지 않아야 함을 의미한다 예를 들면 자동차 면허. , ,

번호판 배우자의 이름 혹은 어떤 주소의 일부분 등은 사용하면 안된다 또한 패스워드 의, , .

미는 사전에서 혹은 대화의 일부분의 단어가 발견되지 말아야 한다 예를 들어 이름 장소. , ,

전문용어 그리고 속어들도 사용해서는 안된다 여기서 각 시스템 소프트웨어 설비들을 이용, .

할 수 있고 사용자들은 쉽게 추측되어지는 패스워드 선택되지 않도록 노력해야 한다, .

사용자들은 쉽게 기억할 수 있는 패스워드를 선택할 수 있으며 불법 사용자들이 추측하기,

어려워야 한다.

여러 가지 단어들이 결합된 문자열①

키보드상의 단어 상하좌우 이동②

알파벳 위아래 문자의 어떤 수로 단어의 문자들을 충돌시켜서③

정규단어를 특정 방법에 따라 변형시켜 마치 그 단어의 위치에서 반영된 모든 다른 문,④

서와 같이

정규 단어와 함께 구두점 혹은 숫자들 포함⑤

노래 시 혹은 다른 알려진 단어들에 있는 단어를 차례로 두 문자어를 생성, ,⑥

고의로 어떤 단어를 잘못된 철자⑦

생일과 좋아하는 색상들과 같은 개인관련 사실의 결합⑧

- 369 -

사용자들은 그들이 이전에 사용했던 동일한 혹은 대체로 비슷한 패스워드를 조합해서는 안

된다 여기서 시스템 소프트웨어 시설을 이용할 수 있으며 사용자들이 이전의 패스워드를. ,

재사용하지 못하게 해야 한다.

사용자들은 그 다음에 부분적으로 변환된 날짜에 기반을 두거나 약간의 다른 예측할 수 있

는 요소 문자의 기본 순서를 이용하여 패스워드를 짜맞춰서는 안된다 예를 들면. , January

에서 에서 등과 같은 패스워드를 사용해서는 안된다“X34JAN”, February “X34FEB” .

패스워드는 여기서 권한이 없는 사람들이 패스워드를 발견할 수 있는 장소에 쓰여져서는 안

된다 처음 패스워드 할당과 패스워드 상태를 고쳐놓은 것을 제외하고 패스워드는 누군가. ,

다른 권한을 가진 사용자 이외에 누설된 패스워드는 즉시 변경해야 한다.

환경에 개의치 않은 패스워드는 결코 권한을 가진 사용자 이외에 그밖에 누구와 공유하거나

비밀이 드러나서는 안된다 만약 사용자들이 컴퓨터 상주 데이터 공유를 필요로 한다면 그. ,

들은 전자우편 지역 통신망 서버상에서 공개 디렉터리들 그리고 다른 메커니즘들을 사용하, ,

여야 한다 이 정책은 볼트 패스워드의 사용 할당 혹은 패스워드 리셋상황을 예방하지. ID

못한다 상태 리셋을 보호하지 않는다. .

만약 모든 패스워드들이 노출되고 또는 알려진 권한을 가진 사용자 외에 누구에게 노출이

의심된다면 즉시 변경되어야 한다.

패스워드 시스템 설치패스워드 시스템 설치패스워드 시스템 설치패스워드 시스템 설치

회사 네트워크에 접속된 모든 컴퓨터들은 영구히 혹은 간헐적으로 패스워드 접근 제어를 가

지고 있어야만 한다 다중 사용자 시스템은 사용자 와 유일한 패스워드들을 사용해야 하. ID

며 또한 사용자 권한 제어 메커니즘을 사용해야 한다 네트워크에 접속된 단일 사용 시스템, .

은 시스템 부팅과 작업이 없을 때 스크린 공백 기능을 포함한 하드웨어와 소프트웨어 메커

니즘들을 채택해야 한다.

- 370 -

컴퓨터와 통신시스템 접근제어는 각 개인 사용자에게 유일한 패스워드를 거쳐 달성되어야

한다 공유 패스워드를 통한 파일 응용 데이터베이스 컴퓨터 네트워크 및 다른 시스템 자. , , , ,

원들을 위한 접근 제어는 금지된다.

시스템 소프트웨어를 허락할 때는 언제나 패스워드의 디스플레이와 인쇄는 위장되고 은폐,

되고 또는 기타의 다른 대안이 있어야 한다 왜냐하면 제 자가 관찰 또는 그 후에 그들을, . 3

복원할 수 없도록 해야 하기 때문이다.

시스템 소프트웨어를 허락할 때는 언제나 보안 관리자에 의해 신규 사용자를 위한 최초의

패스워드가 부여되고 신규사용자가 최초 온라인 접속 때만 유효해야 한다.

그 다음 신규사용자는 다른 패스워드를 새로이 설정해야 한다 이와 같은 과정은 사용자가.

자신의 패스워드를 망각했을 때에도 마찬가지로 적용한다 최초 공급자에 의해 정의된 디폴.

트 패스워드는 컴퓨터 또는 통신 시스템이 사용되기 전에 변환되어야 한다 이 정책은 시스.

템 관리자와 다른 권한을 부여 받은 사용자 와 관련된 패스워드와 마찬가지로 단말 사용ID

자 와 관련한 패스워드에도 적용한다ID .

시스템 소프트웨어가 허락되는 곳에서 패스워드의 추측 공격을 예방하기 위해서 총 시행횟

수로 어떤 부정확한 패스워드로 연속적인 공격을 엄격히 제한하여야 한다 패스워드에 들어.

가기 위해 실패한 시도 분 후에 사용자 는 시스템 관리자가 리셋 시켜서 분 장도 작업3 ID 3

을 하지 못하게 해야 한다 만약 전화 회선 혹은 다른 외부 네트워크 접속들이 포함된다면.

그 세션은 단절시켜야만 한다.

시스템 보안이 위태로울 때는 언제든지 흑은 위태롭다고 확신하면 신뢰할만한 운영체제 대

전과 모든 보안 관련 소프트웨어는 저장해둔 매체로 재로드되어야 한다 또한 시스템들은.

그때 재부팅되어야 한다 유사하게 사용자 권한을 위한 모든 변화들에 영향을 미친다 왜냐. .

하면 시스템이 위태롭다고 의심되는 시간 동안에 불법수정이 있었는지는 시스템 관리자에

의해 즉시 검토되어야 하기 때문이다.

- 371 -

로그 인 로그 오프 과정로그 인 로그 오프 과정로그 인 로그 오프 과정로그 인 로그 오프 과정- / -- / -- / -- / -

모든 사용자들은 다중 사용자 컴퓨터 혹은 통신시스템 자원들을 사용할 수 있도록 사전에

식별되어야 한다 내부 회사 네트워크를 위한 명확한 식별은 사용자 와 그리고 고정된 패. ID

스워드를 모드를 포함한다 각 개인 사용자에게 모두 유일해야 한다. .

전화 회선을 위한 식별은 전화번호 암호의 질의 응답 혹은 다른 확장된 사용자 인증 기술, / ,

들을 통하여 실현해야 한다 사용자 와 고정된 패스워드의 조합은 회사 시스템 혹은 네트. ID

워크에 전화 회선을 이용한 접속시에 충분한 보안을 제공하지 못한다 회사 사무실에서 네.

트워크에 모뎀으로 연결된 워크스테이션 가입은 금지한다 왜냐하면 명확한 사용자 식별을.

제공하지 않기 때문이다 독립된 컴퓨터 휴대용 컴퓨터 홈 컴퓨터등 에 연결된 모뎀들은 허. ( , )

가할 수 있다.

회사 시스템 혹은 부가가치통신망을 경유한 네트워크 공개 네트워크 혹은 어떤 다른 외부, ,

통신 시스템을 통한 외부 실시간 접속 사용자들을 위한 명확한 식별은 확장된 사용자 인증

기술들을 통하여 실현되어야 한다.

시스템 소프트웨어가 허가되는 곳에서 다중 사용자 컴퓨터 상의 모든 로그인 당사자에게,

다음 내용을 통고 해야 한다.

이 시스템은 단지 권한을 가진 사용자만 사용되어야 한다.①

시스템을 계속 사용하기 위해서는 그 사용자가 자신은 권한이 있음을 나타내야 한다.②

회사 컴퓨터 시스템에 연결된 네트워크를 위한 로그 인 과정은 사용자에게 필요한 프롬프-

트를 내보냄으로써 간단히 로그 인을 물어야 한다 그 조직에 관한 명확한 정보조직 컴퓨- . ,

터 운영체제 네트워크 구성 혹은 다른 내부 문제에 대한 특별한 정보는 사용자가 성공적으, ,

로 정확한 사용자 와 정확한 패스워드 둘 다 제공될 때까지 제공되어서는 안된다ID .

- 372 -

만약 어떤 일정 시간동안 컴퓨터 터미널 워크스테이션 혹은 에 활동이 없다면 그 시스, , PC ,

템은 자동적으로 스크린이 공란 처리되고 세션이 중지되어야 한다 그 세션의 재정립은 단.

지 그 사용자가 정확한 패스워드를 제공후 일어나야 한다 추천하는 시간은 분이다 보안. 15 .

배지 판독기 암호 열쇠를 통한 물리적 장치 등의 유사한 경우에는 이 정책이 적용되지 않,

는다.

전자 게시판 혹은 정기적인 사용자들이 익명인 시스템을 제외하고는 사용자들은 익명으로

회사 혹은 네트워크에 예를 들어 유저 사용에 의해 로그 인 하는 것을 금지한( ID “guest” ) -

다 만약 사용자들이 어떤 귀한 시스템 시설을 사용한다면 처음에 명확하게 그들의 신분으.

로 사용자 를 사용하여 로그 인 해야 한다 유닉스 시스템 상에서 이 의미는 사용자들이ID - .

처음에 와 같은 로그 인 할 수 없도록 되어야 하며 최초로 그들이 소유한 사용 로“root” - ID

로그 인 되어야 한다 만약 그러한 사용자가 상위 권한을 가진 것이 인정된다면 그때- . “root”

접근을 하기 위해 할 수 있다 어떤 운영체제에서든지 로그들은 현재 사용자“set userid” . ID

의 모든 변경을 기록해야 한다.

시스템 권한시스템 권한시스템 권한시스템 권한

시스템 접근 제한시스템 접근 제한시스템 접근 제한시스템 접근 제한

모든 사용자 시스템 그리고 독립하여 운영되는 프로그램의 컴퓨터와 통신시스템 권한은, ,

일 필요성 에 근거하여 제한되어야 한다 이것은 권한이 필요이상으로 확장되어서는 안된“ ” .

다는 것을 의미한다 시스템 상에서 누구나 혹은 실행하도록 누구에게나 파일이 허가되어서.

는 안된다 비록 파일대 파일 기초상에서 사용자들에게 리셋을 허락한다 할지라도 그러한.

허가된 디폴트 파일 허락은 금지한다 그럼에도 불구하고 꼭 그렇게 해야 할 필요가 있는.

경우에 허락된 사람들에 제한적으로 승인한다.

를 가진 사용자들은 자기 컴퓨터의 하드 디스크 드라이브에 접근 보안스크린 보호 프로PC

그램을 관리할 책임이 있고 그러한 기능을 제공하는 모든 응용과 그리고 시스템 소프트웨어

를 위한 패스워드 세팅 책임이 있다.

- 373 -

회사 컴퓨터 그리고 통신시스템은 사용자가 회사 네트워크 상에서 도달할 수 있는 컴퓨터에

접근하는 것을 제한하여야 한다 이들의 제한들은 라우터 게이트웨이 프런트엔드 원경통신. , ,

프로세서 그리고 다른 구성하고 있는 네트워크에 의하여 필요한 권한을 부여할 수 있다 이, .

들의 제한들은 예를 들면 제어 와 같이 사용자 로깅이 어떤 컴퓨터에 되고 그, “passthru”-

것으로부터 다른 컴퓨터에 이동되는 경우에 사용되어야만 한다.

시스템 권한 승인을 위한 과정시스템 권한 승인을 위한 과정시스템 권한 승인을 위한 과정시스템 권한 승인을 위한 과정

신규 사용자 와 권한 변경 위한 요구는 시스템 관리자가 이들 요구들을 수행하기 전에ID

그 사용자의 경영자에 의해 서면으로 인증되어야 한다 이러한 요구를 반영하는 관련된 시.

스템 문서들의 제정을 돕기 위해 적어도 년간 유예 기간이 있어야 한다, 1 .

회사에서 고용하지 않은 개인은 사용자 혹은 다른 방법으로 회사 컴퓨터 또는 통신 시ID

스템 사용을 위한 권한이 주어지고 허락되어서는 안된다 그러나 부서 책임자의 서류로 된.

허가가 있을 경우에는 예외이다.

회사 고용자가 아닌 사용자들을 위해 승인된 권한들은 일간 이하로 승인되어야 한다 필90 .

요한 경우 회사 종업원이 아닌 사용자들은 매 일만 받아서 책임자의 요청에 의해 그들의90

권한을 다시 받아야 한다.

특별한 시스템 권한들은 예컨대 어떤 다른 사용자들의 파일들에 대한 쓰기 기능 시스템 관“ ”

리자 및 시스템 보안을 위해 이들의 직접적인 책임은 제한되어야 한다 이 정책들의 예외는.

단지 어떤 부서 책임자가 서면으로 쓰기 를 승인한다면 가능할 수 있다“ ” .

예를 들면 단말 사용자는 권한들에 승인되어서는 안된다 만약 그들이 처음에 그들, “root” .

의 부서 경영자로부터 분명한 서류로 된 인증을 받지 않았다면 승인되어서는 안된다 유사.

하게 구성변화 운영체제 변화 그리고 권한들의 요구와 관련된 활동들은 단말 사용, , “root”

자가 아닌 시스템 관리자들에 의해 수행되어야만 한다.

- 374 -

타회사 공급자들은 회사 컴퓨터 및 네트워크에 전화 회선을 이용한 권한들이 꼭 필요한 경

우 시스템 관리자의 허가 이외의 주어져서는 안된다 이들 권한들은 승인된 직무를 완수하.

기 위해 요구된 동안에만 하락되어야 한다 만약 영구히 혹은 장기의 접속을 필요로 한다면. ,

그때 접속은 확장된 사용자 인증 방법들의 승인에 의해 되어야 한다.

회사 내부 네트워크 혹은 다중 사용자 시스템을 사용하기 원하는 사용자들은 회사 내부 네,

트워크 연결된 사용자 가 발행되기 전에 서약서에 서명해야 한다 만약 어떤 사용자가 이ID .

미 를 가지고 있다면 서명은 재교부하여 사용자 를 받기 전에 이루어져야 한다 나중에ID ID .

이 과정은 다음에도 정기적으로 수행되어야 한다 이 서약서에 서명은 사용자가 회사정책과.

컴퓨터와 네트워크에 관련된 절차를 이해하고 회사 정책들에 동의하는 것을 나타낸다.

시스템 접근 취소 과정시스템 접근 취소 과정시스템 접근 취소 과정시스템 접근 취소 과정

모든 사용자 는 자동적으로 어떤 일정 기간 사용되지 않으면 그 권한이 취소된다 권장하ID .

는 기간은 일이다 만약 컴퓨터 혹은 통신시스템 접근제어 서브 시스템이 적절하게 동작30 .

하지 않는다면 그것은 사용자들에게 권한 거부로 인식되어야만 한다 만일 접근 제어 서브.

시스템이기능이 불량하다면 그를 지원하는 시스템들은 그 프로그램을 수리할 때까지 이용할

수 없는 상태로 남아 있어야 한다.

사용자들은 정보보호 책임자의 서면인가가 없는 한 컴퓨터와 통신시스템 보호 수단들을 테

스트 혹은 위태롭게 하여서는 안된다 비인가된 시스템 크래킹 해킹 패스워드 크래킹 파일. ( ), ,

암호화 소프트웨어 복사 밀매 혹은 유사한 보호 수단을 위태롭게 하는 불법적인 시도들은, ,

불법이고 그리고 회사 정책에 심각한 혼란을 가져올 것이다 회사 보안 메커니즘을 위태롭.

게 할 거래처 요구는 수용해서는 안된다.

단 사전에 정보보호 감독자에게 승인 받을 경우 회사 법률에 따라야할 때에는 제외다 그. , .

리고 시스템 보호대책을 위태롭게 할 장난이나 농담 우회적인 단기 시스템 보호 대책은 절,

대 금지한다.

- 375 -

사용자에게 허락된 시스템 권한은 매 개월마다 경영자에 의해 재평가되어야 한다 경영자6 .

로부터 피드백 된 결과 시스템 관리자는 사용자에게 더 이상 필요하지 않은 모든 권한은 즉

시 취소해야만 한다.

경영자는 작업자의 질문 고용상태 등 모든 중요한 필요사항을 사용자 에 대한 책임을 지, ID

고 있는 시스템 관리자에게 통보해야 한다 결국 인적자원들에 대한 모든 신상변동은 시스.

템을 사용하는 사용자들의 관리에 책임을 지고 있는 시스템 관리자에게 통보해야 한다ID .

접근 패스 구축접근 패스 구축접근 패스 구축접근 패스 구축

회사 내부 네트워크에 변경은 신규 소프트웨어의 로딩 네트워크 주소의 변경 라우터의 재, ,

구성 전화회선의 추가 등을 포함한다 비상상황을 제외하고는 회사 컴퓨터 네트워크에 대한, .

모든 변경시에는 작업주문요구서로 문서화되어야만 하고 긴급 경우를 제외하고 정보기술“

과 에 의해 권한을 부여 받은 사람만이 해야 된다” .

이 과정은 서비스의 거부 정보의 불법 누설 등 기타의 문제들에 대한부주의로 인해 예기치,

않은 변경을 막는다 이 과정은 이 정책의 범위에서 정의한 작업자 에게 적용할 뿐만 아. “ ”

니라 공급자에게도 적용한다 작업자가 정보기술과의 부서정의 특별한 허가 없이 전자우편.

게시판 모뎀 연결 혹은 정보통신을 위한 기타의 다중 시스템 등을 구축해서는 안된, LAN,

다.

유사하게 두 대 이상의 사내 컴퓨터 시스템 사이에 실시간 연결의 신규형태는 사전에 허가,

가 있기 전에 구축되어서는 안된다 이 정책은 모든 회사의 시스템들이 다른 네트워크 연결.

시스템들을 보호하기 위해 필요한 제어를 할 수 있도록 도와준다 네트워크에 연결된 시스.

템들을 보호하기 위한 보호 요구사항은 연결된 시스템의 기능뿐만 아니라 회사 시스템에 연

결된 모든 다른 기능도 포함한다 회사 외부와 관련하여 서비스 제공자로서 외부 네트워크.

에 있는 관계자는 두 가지 조건이 우선 충족되지 않는 한 명백하게 금지한다.

- 376 -

특히 회사의 법률고문은 법적인 위험을 자문 해야 하고 그 다음 정보기술 부서장은 그 제안

과 관련된 다른 위험도 받아 들여야만 한다 인터넷 노드로서의 작용이 그 예이다. .

내부 혹은 외부 네트워크에 간헐적으로나 혹은 연속적으로 연결하는 회사의 모든 컴퓨터는

패스워드 기반 접근 제어를 채택해야만 한다 다중 사용자 컴퓨터는 사용자 각각의 파일에.

대한 접근을 제한하는 소프트웨어를 사용해야 하며 이 소프트웨어는 각각의 사용자에 대한,

행위를 저장하며 시스템 관리자에게 특별한 권한이 주어진다.

단일 사용자는 시스템은 일정기간 키보드의 활동이 없으면 자동적인 화면 보호기가 작동하

고 부트제어를 포함하는 접근 제어 소프트웨어를 탑재시켜야 한다 회사 정보를 가지고 있.

는 휴대용 컴퓨터와 가정 컴퓨터도 이 정책에 적용되며 게이트웨이 라우터 브리지와 같은, ,

네트워크 장비도 마찬가지이다 불법 시스템 접근과 관련된 문제들을 중지시키기 위해서 회.

사 외부로부터의 모든 내부 프로세서 명령어 사용을 금지한다.

단 사전에 적법하게 로그 인 된 프로세스나 사용자는 예외로 한다 그러한 명령어의 예는- .

현재 로그 인 된 사용자의 리스트를 원격지에서 요청하는 일이다 회사 내부 네트워크 흑은- .

다중 사용자 컴퓨터 시스템에 연결된 전화회선을 통한 사용자 초기화 세션은 이 회선을 사

용하는 자가 로그 인 되기 전에 부가적인 접근 제어점 방화벽 을 통과해야만 한다- ( ) .

비록 다른 형태의 방화벽이라도 회사는 동적인 패스워드를 통하여 그러한 접근을 제공하고,

있다 정보기술 부서장에 의해 사전에 인가되지 않는 한 회사 내부 네트워크에 연결된 시스.

템에 도달하기 위하여 인증된 방화벽을 통하지 않은 전화 연결은 금지한다 이 정책은 전자.

자료교환 과 같은 것에도 적용한다(EDI) .

회사 컴퓨터와 통신시스템의 원격관리 포트는 공급자에게 필요한 특정 시간까지 닫혀 있어

야 한다 이들 포트는 사용 후에 즉시 다시 닫혀져야 한다 다른 방법으로 회사 작업자에 의. .

해 초기화된 시외 전화를 통하여 전화 회선이 연결될 수도 있다 반대쪽의 연결을 위한 방.

화벽 접근제어는 필요 없다.

- 377 -

핸드폰과 같은 무선 기술을 사용한 휴대용 전화는 연결이 암호화되지 않는 한 회사의 기“

밀 혹은 제한 정보를 포함하는 자료 전송을 위해 사용되어서는 안된다” “ ” .

유사하게 무선기반 같은 기타의 방송 네트워크 기술도 링크가 암호화되지 않은 한 이LAN

와 같은 형태의 회사 정보를 교환하기 위해서 사용되어서는 안된다 그러한 링크는 기밀. “ ”

혹은 제한 정보가 포함되어있지 않다고 사용자가 확인한다면 전자우편용으로 사용될 수도“ ”

있다.

컴퓨터 바이러스 트로이 목마컴퓨터 바이러스 트로이 목마컴퓨터 바이러스 트로이 목마컴퓨터 바이러스 트로이 목마( )( )( )( )

컴퓨터 바이러스는 자신을 복제하고 다른 프로그램에 자신을 접속시키는 불법 프로그램이며

네트워크를 통하여 여러 가지 자료기록매체 위에 플로피 디스크 마그네틱 테이프( , , RAM

등 확산한다) .

바이러스 감염의 증산들은 컴퓨터 응답시간을 느리게 하고 파일들의 손상 파일들의 날짜변,

경 파일의 크기 증가 그리고 컴퓨터의 고장 등으로 나타난다 컴퓨터와 네트워크가 연속성, , .

으로 중단 없는 서비스를 보증하기 위해서 모든 사용자들은 자신의 컴퓨터 상에 있는PC

인증된 바이러스 방지 소프트웨어를 사용해야 한다 이 방지 소프트웨어는 외부 혹은 회사.

의 다른 부서로부터 온 모든 소프트웨어를 스캔하는데 사용되어야 한다 스캐닝은 새로운.

소프트웨어가 실행되기 전에 반드시 먼저 이루어져야 한다 사용자들은 컴퓨터 바이러스들.

의 전염을 저지할 수 있는 스캐닝 과정을 반듯이 거쳐야 한다.

비록 사용자는 바이러스가 검출될 때마다 자신의 시스템들로부터 바이러스를 근절하기 위한

책임이 있다고 하여도 시스템이 감염되었다고 믿으면 정보기술부서의 긴급라인을 통하여 즉

각 호출하여야 한다.

이것은 더 이상 감염이 발생하지 않도록 전문가가 즉시 바이러스 활동을 근절시킬 수 있는

조치를 해야 하기 때문이다 컴퓨팅 환경의 바이러스 감염을 회복시킬 수 있어도 모든. PC

소프트웨어를 최초 사용 전에 먼저 복사해 두어야만 하고 그러한 복사품은 안전한 장소PC

에 보관해 두어야 한다.

- 378 -

이 마스터 복사본은 통상적인 업무 행위에 사용되어서는 안되며 바이러스 감염 하드디스크,

손상 기타의 컴퓨터 문제들을 위해 보관되어야 한다 일반적으로 규모가 큰 시스템은 바이, .

러스 피해가 없지만 웜과 트로이 목마는 정도가 심각하다 컴퓨터 웜은 바이러스와 유사하.

지만 다른 프로그램에 자신을 접속시키지 않는다 트로이 목마는 인증된 프로그램에 감추어.

진 불법 프로그램이다 바이러스 웜 트로이 목마 문제를 방지하기 위해서 회사 컴퓨터와. , ,

네트워크는 사업 상대자 믿을만한 사용자 그룹 잘 알려진 시스템 보안 기관 컴퓨터“ ”, “ ”, “ ”, “

혹은 네트워크 공급자 상업적 소프트웨어 공급자 가 제공하는 소프트웨어를 제외하고 실”, “ ”

행시키면 안된다 전자계산소 쉐어웨어 공개 소프트웨어로부터 다운로드된 소프트웨어와. , ,

그밖에 신뢰할 수 없는 소프트웨어는 정보 기술 부서장에 의해 적절한 인증을 받지 않은 상

태에서 사용되어서는 안된다.

자료와 프로그램 백업자료와 프로그램 백업자료와 프로그램 백업자료와 프로그램 백업

손실이나 피해로부터 회사의 정보 자원들을 보호하기 위해서 사용자들은 자신의 정보를PC

백업할 책임이 있다 다양한 사용자의 컴퓨터나 통신시스템의 경우에 있어서 시스템 부는.

정기적으로 백업을 해야 할 의무가 있다 만일 필요하다면 정보기술부는 하드웨어와 소프트.

웨어 백업 인스톨을 위해서 기술적인 도움을 제공할 것이다.

회사의 컴퓨터 시스템과 네트워크 상에 있는 모든 민감한 가치 있고 또는 중요한 정보는,

정기적을 백업되어야 한다 사용자 부서 관리자들은 어떤 정보 어느 컴퓨터가 백업되고 백. , ,

업의 빈도 백업의 방법들을 다음의 방법으로 정의해야만 한다, .

만약 시스템을 한 명 이상이 사용하고 회사 내에서 매일 매일의 운영에 아주 중요한 데①

이터를 포함하고 있다면 매일 백업이 요구되어진다.

만약 시스템이 작업과 관련된 기능과 매일 매일의 작업 운영에 중요한 자료를 포함하고②

있다면 백업은 매주마다 필요하다.

만약 시스템이 주로 개인 생산성 도구로서 사용되고 성격상업무로 분류되어질 자료를 포③

함하지 않는다면 각 개인 사용자의 자유 재량으로 백업을 한다.

- 379 -

위에서 언급한 주기적인 백업을 위한 시간주기는 운영상 그리고 업무적 이유로 요구되는 보

다 많은 백업 빈도를 제약하지 않는다 회사는 차례로 사용될 수 있는 백업 저장 매체 테이. (

프 등 를 적어도 개의 세트를 사용할 필요가 있다 다중 사용자 시스템의 경우, CO-ROM ) 3 .

에는 시스템 소프트웨어가 허가할 때마다 백업들은 밤에도 내부 네트워크를 통하여 단말 사

용자 의지와 관계없이 수행되어야 한다.

백업 매체의 저장은 백업을 하는 사용자 또는 다중 사용자 시스템 관리자의 책임이다PC .

매체는 불연성의 금고에 백업되어진 시스템으로부터 적어도 몇 블록 떨어진 분리 지역에서

저장되어야 한다.

정보의 형태가 회사의 정보 보유 스케줄에 특별히 기록되지 않는다면 정보는 필요한 만큼

어느 정도 유지되어져야 하지만 그러나 너무 오래 유지될 필요성은 없다 정보 보유 스케줄.

에 기록된 정보는 특정한 기간 동안 유지되어져야 한다 다른 정보가 더 이상 필요하지 않.

을 때 즉 일반적으로 년 내에 파기되어 져야 한다, 2 .

불법으로 사용되어 지거나 폭로되어지는 것으로부터 막기 위해서 모든 회사의 제한 또는“ ”

기밀 정보는 백업 매체에 승인된 암호화 방법을 사용해서 암호화시켜야 한다“ ” .

암호암호암호암호

회사 기밀 또는 제한 정보가 임의의 통신 네트워크로 전송되어질 때 그 정보는 암호화된 형“ ” “ ”

태로 발송되어야 한다 마찬가지로 어떤 사업 파트너에 의해서 회사에 맡겨졌던 회사의 소.

스 코드 또는 소스 코드가 네트워크로 보내질 때마다 그것 또한 암호화된 형태이어야만 한, .

다 기밀 그리고 제한 이라는 원칙은 다른 규정을 참고한다. “ ” “ ” .

유사하게 기밀 또는 제한 정보가 적극적으로 활발히 이용되어지지 않을 때 정보는 암호“ ” “ ”

화된 형태로 저장되어져야 한다 이 의미는 기밀 또는 제한 정보는 컴퓨터가 읽을 수 있. “ ” “ ”

는 저장매체에 저장되거나 전송되어질 때 이 정보는 암호화된 형태이어야 한다는 것이다.

- 380 -

보관 또는 수송 중에 있는 정보의 암호화는 정보 기술부에 의해 인가된 제품에 의하여 이루

어져야 한다 국제 표준 암호 알고리즘을 권장한다 그 표준이 수출되지 않는 경우에 안전한. .

국제적인 통신은 가끔 다른 알고리즘으로 이용할 필요가 있을 것이다.

암호가 사용될 때마다 작업자들은 만약 그들이 복호화하여 정보를 읽을 수 있는 버전으로

복구할 수 있다는 것을 처음에 증명할 수 없다면 읽을 수 있는 정보의 버전을 삭제해서는

안된다 회사 정보를 위해 사용되어진 암호화 키는 항상 기밀 또는 제한 이라는 정보로. “ ” “ ”

분류되어진다 그러한 키로의 접근은 엄격하게 알 필요가 있는 사람들에게만 제한되어져야.

한다 정보 기술 관리자는 승인이 사전에 없다면 암호화 키들은 컨설턴트 계약자 임시의. , ,

또는 제 자에게 드러내지 말아야 한다 그리고 암호화 키들은 네트워크 상으로 보내질 때3 .

항상 암호화 되어져야 한다.

그러한 시설들이 상업적으로 사용되어질 때 회사는 회사 네트워크상의 정보보호를 위하여

수작업에 의한 암호화 키 관리 과정보다는 오히려 자동화된 암호화 키를 사용해야 한다.

휴대용 컴퓨터휴대용 컴퓨터휴대용 컴퓨터휴대용 컴퓨터

기밀 또는 제한 의 회사 정보를 포함하는 휴대용 랩탑 노트북 팜탑 그리고 다른 전송“ ” “ ” , , ,

컴퓨터들을 소유한 작업자들은 만약 정보가 암호화된 형태로 저장되지 않는 한 이러한 컴퓨

터들을 방치해서는 안된다.

불법 누설을 방지하기 위하여 복호화된 기밀 또는 제한 의 회사정보를 포함한 전송 컴퓨“ ” “ ”

터를 소유한 작업자들은 호텔 짐꾼들에게 이러한 컴퓨터들을 체크시켜서는 안된다 이러한.

컴퓨터들은 자신이 직접 들고 운반해야 한다.

- 381 -

기밀 또는 제한 정보가 플로피 디스크 마그네틱 테이프 스마트카드 또는 다른 저장 매“ ” “ ” , ,

체에 기록될 때 저장 매체는 가장 보편적인 감도 분류법으로 적당하게 표시되어져야 한다.

사용하지 않을 때 이 매체는 잠겨진 금고나 잠겨진 가구 또는 유사하게 안전한 위치에 저장

되어야 한다.

원격 프린팅원격 프린팅원격 프린팅원격 프린팅

만약 기밀 또는 제한 정보가 인쇄되고 있거나 곧 인쇄될 예정이면 프린터기들이 방치되“ ” “ ” ,

어 져서는 안된다 그 프린터기 주의를 기울이는 사람들을 정보가 프린트되는 것을 검사할.

권리를 가져야 한다 인쇄되고 있는 자료를 볼 권한이 없는 사람들로부터 물리적으로 안전.

한 장소에 프린터가 설치되어 있다면 상관없다.

개인 비밀개인 비밀개인 비밀개인 비밀

특별한 계약 협정이 아니라면 회사의 컴퓨터와 통신시스템은 전송되는 메시지들은 회사의

소유물이다 이 소유물을 적절하게 하고 보호 관리하기 위해서는 관리자가 이 시스템에 의.

해서 전송되거나 저장된 모든 자료를 검사할 권리를 가진다.

회사의 컴퓨터와 통신시스템들이 사업적인 목적만을 위해서 사용되어지기 때문에 작업자들

은 이들 시스템들을 통해 저장되거나 전송된 정보와 관련이 있는 개인 비밀의 예외를 갖지

않는다.

컴퓨터 네트워킹 서비스들을 제공할 때 회사는 암호화 같은 예약된 메시지 보호 서비스들을

제공하지 않는다 따라서 회사는 회사의 네트워크에 전송된 정보의 누설에 대해서 책임이.

없다 그리고 회사의 내부 네트워크에 의해 다루어진 개인 정보의 비밀에 관하여 보증하지.

않는다 세션 암호화나 다른 특별한 통제가 요구되어지는 경우 적절한 보호 예방책이 수행.

되어졌다는 것을 확신하는 것은 사용자의 책임이다 여기에서 언급하지 않는 것은 회사 정.

책이 제 자와의 협정에서 언급된 통제를 지원하지 않는다고 해석해야 한다3 .

로그와 다른 시스템 보안 도구로그와 다른 시스템 보안 도구로그와 다른 시스템 보안 도구로그와 다른 시스템 보안 도구

- 382 -

모든 다중 사용자 컴퓨터나 통신시스템은 그 시스템의 보안 상태를 검증함에 있어서 시스템

관리자를 지원할 충분한 자동화된 도구들을 가지고 있어야 한다 이러한 도구들은 기록 검. ,

출 그리고 일상적으로 마주치는 보안의 문제들의 정정을 위한 메커니즘들을 포함해야 한다, .

일반적인 보안 문제들을 다루기 위한 타당하고 자동화된 도구들이 회사의 컴퓨터들과 네트

워크에서 언제나 사용되어 져야 한다 예를 들면 자동발견 소프트웨어는 규칙적인 기반이. ,

사용되어 져야 한다.

시스템 소프트웨어가 허락하는 범위에서 민감하고 가치 있고 또는 중요한 회사의 정보를,

다루는 컴퓨터와 통신시스템들은 모든 중요한 보안 관련 사건들을 안정하게 기록되어야 한

다 보안 관련 사건의 예는 다음을 포함한다 즉 온라인 세션 중에 사용자 를 사용자가. . ID

변경하는 문제 패스워드를 추측하려는 시도 부여 받지 않는 권한을 사용하려는 시도들 응, , ,

용 소프트웨어 제품에 대한 수정들 시스템 소프트웨어 대한 수정들 사용자 권한의 변경 그, ,

리고 로깅 서브시스템에 대한 변경 등이다.

컴퓨터와 통신시스템 보안관련 사건들을 포함한 일지들은 적어도 달 동안 계속 유지 되어3

져야 한다 이 기간 동안 일지들은 그들이 수정되어질 수 없게 하기 위해서 보안되어야 하.

고 그들이 단지 권한이 있는 사람들에 의해 읽혀지게 하기 위해서 보안되어져야 한다 이러.

한 일지들은 오류 수정 보안 침해 복구 조사 그리고 관련된 노력들을 위해서 중요하다, , .

조사 수행 그리고 징계 행위들을 위한 증거를 제공하기 위해서 컴퓨터나 네트워크에 관련,

된 범죄나 남용이 의심될 때 어떤 정보가 파악되어져야 한다 관련정보는 회사가 합법적인.

행위 또는 다른 방법으로 정보를 사용하지 않을 것으로 확정될 때까지 별도의 장소에 안전

하게 저장되어져야 한다 즉각적으로 수집 되어진 수집되어진 정보는 시스템일지나 응용 감.

사 추적 현재 시스템 상태 표시 등을 표시한다, .

- 383 -

시기 적절한 방법에서 취해진 올바른 교정 행위를 허락하기 위하여 정보보호 관련 사건들을

방영하는 기록들은 정기적으로 컴퓨터 운영 요원 정보보호 요원 또는 시스템 관리 요원에,

의해 검토되어야 한다 사용자들은 컴퓨터와 네트워크 보안 위반사항이 되는 특정행위를 알.

아야 한다 사용자들은 컴퓨터와 네트워크 보안 위반사항이 되는 특정행위를 알아야 한다. .

사용자들은 또한 그러한 위반사항들이 기록될 것이란 것을 알려야만 한다.

시스템 관리자가 운영체제의 가장 최선 버전을 즉시 로드 하기를 요구하지 않을지라도 그들

은 다음에 의해 배포되어진 모든 보안 추가사항이 즉시 적용할 것을 요구한다 신뢰할만한.

사용자 그룹 잘 알려진 시스템 보안 대응팀 운영체제 공급자 이들 시스템 보안 도구들은, , .

상업적인 소프트웨어 제품 등으로 공급될 수도 있으며 회사의 컴퓨터와 네트워크에서 사용,

될 수 있다.

네트워크 보안 정보 운용네트워크 보안 정보 운용네트워크 보안 정보 운용네트워크 보안 정보 운용

때때로 정보보호 책임자는 컴퓨터와 네트워크 정보보호 정책과 같은 것으로 위태로움을 감

사할 것이다 이때 모든 작업자는 어떤 의심되는 네트워크 보안 문제가 있거나 즉 침입하거. ,

나 위태로운 상황을 벗어난 상태를 포함하여 보안 책임자에게 즉시 보고하여야 한다.

컴퓨터 바이러스는 빠르게 퍼질 수 있고 컴퓨터 네트워크 그리고 회사의 정보에 중대한 손,

실을 막기 위해 가능한 빨리 근절해야 한다 따라서 만약 작업자들이 컴퓨터 바이러스 침입.

을 알고 즉시 보고 한다면 회사의 시스템에 손실은 없을 것이며 비록 과실에 의해 요소가, ,

있을지라도 즉각적으로 보고한다면 징계의 벌칙이 취해지지 않을 것이다, .

모든 네트워크나 시스템 소프트웨어의 기능 고장들은 즉각적으로 정보기술부 또는 외부 정

보 시스템 서비스 제공자에게 보고되어져야 한다 이러한 기능들은 무시하는 것은 유용하지.

않은 네트워크 서비스를 제공할 뿐만 아니라 정보의 손실 피해 같은 심각한 문제를 야기시,

킬 수 있다.

- 384 -

회사의 컴퓨터나 통신시스템의 보안 조치에 대한 정보는 신뢰할 수 있는 것이어야 하고 만

약 정보 기술 관리자의 사전허가가 없다면 불법 사용자에게 노출되지 말아야 한다 예를 들.

면 모뎀 전화번호를 공개한다거나 다른 시스템이 디렉터리에 있는 정보에 접근하는 것은,

금지되어진다 그렇지만 인터넷 주소의 공개는 허락되어진다. e-mail .

컴퓨터와 통신장치의 물리적 보안컴퓨터와 통신장치의 물리적 보안컴퓨터와 통신장치의 물리적 보안컴퓨터와 통신장치의 물리적 보안

모든 회사 네트워크 장비가 물리적으로 만일 개방된 사무실 환경에 있다면 도난 방지 장치

와 함께 보안되어져야 한다 추가로 물리적인 접근 통제가 이러한 장치들에 대해 사용되어.

야 한다 예를 들면 지역 통신만 서버는 잠긴 케비넛 잠긴 작은 방 또는 잠긴 컴퓨터실에. , , ,

위치해야 한다 판매 서비스 사무실에 위치한 컴퓨터 장비는 추가적으로 도난 방지장치로.

보호해야 한다.

시스템 개발 직원 사무실 전화 배전판 컴퓨터 기계실 네트워크 스위칭실 그리고 기밀, , , “ ”

또는 제한 정보를 갖고 있는 작업 공간들에 대한 접근은 물리적으로 제한되어져야 한다“ ” .

이러한 지역에서 일하고 있는 요원에 대해 책임져야 할 관리자는 보안 부서와 적당한 접근

통제 방법을 결정하기 위해 협의해야 한다 재택 근무시에는 회사의 기밀 또는 제한 정. “ ” “ ”

보를 유지해야 하는 모든 작업자들은 이 정보의 적절한 저장을 위해 잠금 장치를 할 수 있

어야 한다 작업이 끝났을 때 잠금 장치가구와 거기에 저장된 정보는 즉시 회사에 반환되어.

야 한다.

기밀 또는 제한 정보는 판매 사무실과 같이 만일 적당한 물리적 보안과 암호화 장비가“ ” “ ”

설치되어 있지 않고 믿을만하게 여겨지지 않는다면 원적지에서 다운로드하지 말아야 한다.

예외 사항예외 사항예외 사항예외 사항

정보 기술 책임자는 매우 드문 일이지만 어떤 작업자 이 정책에 따를 필요가 없는 경우가

생길 경우에 사전에 정보 기술 책임자의 서면 승인이 있어야 한다.

위반위반위반위반

의도적이고 고의로 이 정보보호 정책을 위반하는 회사 작업자들은 파면을 포함한 징계를 주

어질 것이다.

- 385 -

인터넷 정보보호 정책 예문인터넷 정보보호 정책 예문인터넷 정보보호 정책 예문인터넷 정보보호 정책 예문4.4.4.4.

서론서론서론서론

인터넷은 새로운 자원과 새로운 서비스들을 제공하며 새로운 기회도 제공하지만 아울러 새

로운 위험도 초래한다 이러한 위험에 대하여 이 정책은 인터넷 보안에 관해서 회사의 공식.

적 정책을 기술한다 이것은 모든 회사의 컴퓨터 혹은 네트워크 자원으로 인터넷을 사용하.

는 모든 작업자 고용인 계약자 임시 고용인 등 들에게 적용한다 모든 인터넷 사용자들은( , , ) .

이 정책을 지켜야 하며 또는 이에 준하여 사용하여야 한다, .

문의는 직접 정보보호 관리자에게 할 수 있다 이 정책을 위반할 때는 시스템 사용권한을.

제한하거나 취소 제한하거나 취소시킬 수 있다.

정보이동정보이동정보이동정보이동

인터넷을 통해 회사 외부로부터 다운로드 받은 모든 소프트웨어는 우선 바이러스 검사 소프

트웨어로 시험하여야만 한다 소프트웨어 공급자를 신뢰할 수 없을 때 다운로드한 소프트웨. ,

어는 독립된 비업무 시스템 상에서 시험되어야 한다 만일 이 소프트웨어가 바이러스 웸. , ,

또는 트로이 목마 등을 포함하고 있다면 그 시험 컴퓨터만 손상을 입게 될 것이기때문이다.

인터넷에서 받은 모든 정보는 다른 정보에 의해 안전하다고 확인 될 때까지 의심하여야 한

다 인터넷은 어떤 질적인 통제 과정이 없기 때문이며 많은 정보가 오래 되었거나 부정확하. ,

다 만약 과 같은 도구가 없다면 그것은 상대적으로 인터넷 상. PEM(PrivacyEnhanced Mail) ,

에서 다른 사용자가속이기가 쉽게 된다 따라서 사전에 적절한 절차를 거치지 않았다면 인.

터넷을 통한 접촉으로 얻은 정보를 신뢰해서는 안된다 이러한 적절한 절차는 회사 내부 정.

보를 배포하는데 꼭 필요하다 사용자는 홍보 부서에 의해 사전에 허가 받지 않은 회사자료.

를 같은 서비스를 지원하는 공개 접근 인터넷 컴퓨터 상에 위치시켜서는 안된다 좀더FTP .

일반적으로 회사 내부 정보가 인터넷이나 회사 내부네트워크에 연결된 시스템에 탑재되어서

는 안된다 단 합법적으로 알 필요성 을 가지는 사람이 있을 경우에는 예외이다 회사의 인. “ ” .

터넷에 연결된 컴퓨터상에 있는 모든 쓰기 디렉터리는 매일 저녁에 검사되고 클리어 될 것

이다.

- 386 -

이 과정은 회사의 업무와 무관한 정보의 교환을 방지하기 위해 필요하다 예를 들면 약탈된. ,

소프트웨어 절도된 패스워드 도난 신용카드번호 부적절한 기사나 그림 포르노 등을 들 수, , , ( )

있다 사용자들에게 물론 위에서 언급한 자료들의 교환을 금지한다. .

정보보호정보보호정보보호정보보호

도청과 메시지 가로채기는 간단하여 인터넷에서 빈번하게 발생된다 따라서 회사의 비밀 소. ,

유권 개인 정보는 인증된 방법으로 사전에 암호화 되지 않은 상태로 인터넷상으로 보내져,

서는 안된다 특히 소스 코드는 공개 영역에 알리지 않으려면 항상 인터넷으로 보내기 전에. ,

항상 암호화해야 한다 신용카드번호 전화 호출카드 번호 로그인 패스워드와 상품 혹은 서. , ,

비스에 접근하데 사용할 수 있는 다른 파라메터들은 읽을 수잇는 형태로 인터넷상에 보내서

는 안된다 암호화 알고리즘이나 회사의 정보보호 관리자에 의. PGG(Pretty Good Privacy)

해 인정된 다른 알고리즘은 인터넷을 사용할 때 이들 파라메터를 보호하기 위해 사용되어야

만 한다 이 정책은 인터넷 서비스를 제공하는 시스템에 로깅할 때는 적용하지 않는다 모든. .

작업자에 의해 서명된 서약서를 지키는데 있어서 회사의 소프트웨어 문서 그 밖의 모든, , ,

형태의 내부 정보를 관리자에 의해 특별 인가된 사업목적 이외의 어떤 목적으로도 회사 이

외에 보내거나 판매해서는 안된다 회사와 어떤 다른 자 사이에 소프트웨어 혹은 자료의. 3

교환은 사전에 서명된 동의서가 없이 이루어져서는 안된다 그러한 동의서는 소프트웨어 혹.

은 자료가 어떤 방법으로 다루어지고 어떻게 보호되는 가의 방법과 같은 교환 조건을 명시

해야만 한다 고객 주문에 따른 소프트웨어의 송부 같은 통상적 업무는 조건이 명시되기 때.

문에 그러한 특별한 동의서를 필요로 하지 않는다 회사는 소프트웨어 공급 계약서를 엄격.

히 지켜야 한다 작업할 때 혹은 회사의 컴퓨터나 네트워크 자원들을 이용할 때 공급자와의. ,

계약 내용과 다른 방법으로 소프트웨어 복제는 금한다 또한 회사의 이익에 상충되는 유사.

한 행위와 휴식시간에 해적 소프트웨어 게시판에 참설하는 등의 행위는 금지한다 아울러.

인터넷상에 있는 문건 흑은 이와 유사한 것들의 인용 전재 등은 저자 소유자의 허가가 있어/ /

야만 한다.

- 387 -

개인에 대한 요구개인에 대한 요구개인에 대한 요구개인에 대한 요구

회사의 정보 시스템 혹은 인터넷을 사용하는 작업자는 자신의 통신이 제 자게 노출되는 것3

이 자동적으로 보호되지 않는 다는 것을 알아야만 한다 암호화를 사용되지 않는다면 작업.

자는 그것이 개인적이 것일지라도 인터넷으로 정보를 보내서는 안된다 사전에 알리지 않고.

어느 때라고 회사 경영자는 회사 컴퓨터에 저장된 개인 파일 디렉터리 그밖의 다른e-mail, ,

정보를 읽어볼 권리를 갖는다 이러한 권리는 내부의 정책을 지키게 하고 내부의 조사 기능. ,

을 지원하며 회사 정보 시스템의 관리를 도와주게 된다.

자원 사용자원 사용자원 사용자원 사용

회사의 경영자는 작업자가 인터넷 사용을 권장한다 그러나 그 사용이 개인적 목적이라면.

업무 시간이 아닌 일과 후에 이루어져야 한다 유사하게 게임 뉴스그룹 그리고 기타 비업. , ,

무적 행위도 업무시간이 아닌 일과 후에 수행되어야만 한다 개인 목적을 위한 회사의 컴퓨.

팅 자원의 사용은 그 사용 누적 비용이 미미한 정도이면 허락되지만 개인적인 사용이 업무

행위를 방해해서는 안된다.

공개 표현공개 표현공개 표현공개 표현

작업자는 회사에서 게시판 토론 대화방 그리고 인터넷상에서 제공되는 유사한 다른 경우에,

자신의 참여를 표현해야 한다 이 경우 주소로 나타낼 수도 있고 어떤 추가적인 문. e-mail

장을 포함시킬 수 있다 또다른 경우로서 작업자가 토론 등에 참여할 때 표현된 의견이 회. ,

사의 입장이 아니라 자신의 견해임을 명백히 해야 한다 회사를 대신하는 모든 대외 표현은.

먼저 최고 경영자의 구성원이나 홍보관련 부서장에게서 승인을 받아야 한다 부가적으로 모.

욕적인 문제를 피하기 위해서 회사에서 원색적인 표현 혹은 공격적인 사항 투서 같은 내용,

을 포함하는 인터넷 메시지는 엄격히 금지한다 작업자들은 홍보부서 책임자 혹은 최고 경.

영진의 사전 승인 없이 한 회사의 주식가격 거래처 관계 공공 이미지에 영향을 미치는 사, ,

항을 인터넷을 통하혀 공개적으로 정보를 누설시켜서는 안된다 그러한 정보에는 사업전망. ,

소프트웨어 버그 소프트웨어 제품 성능 소프트웨어 제품 출하일과 이와 유사한 내용을 포, ,

함한다.

- 388 -

특정 고객 메시지에 대한 회신은 이 정책과 무관하다 인터넷에 우편목록 공공뉴스e-mail . ,

그룹 그리고 관련된 공익사항에 대한 조직적인 논평과 절의는 주의를 기울여야 한다 작업.

자가 주의하지 않으면 어떤 내부 프로젝트 수행의 비밀 정보가 빠져나갈 수 있다 사용자가.

비공개 소프트웨어 제품 연구 개발 프로젝트 혹은 기타 회사의 비밀 문제를 작업한다면 이, ,

와 관련한 투고는 인터넷의 공개적인 장소에 올리기 전에 책임자의 승인을 얻어야 한다.

접근제어접근제어접근제어접근제어

인터넷을 통한 회사의 컴퓨터와의 연결을 원하는 모든 사람은 회사 내부 네트워크에 접근하

기 전에 방화벽에서 사전에 자신을 인증 받아야 한다 이러한 인증과정은 정보보호 관리자.

에 의해 허가된 동적인 패스워드 시스템을 통하여 이루어져야만 한다 그 예는 스마트 카드.

혹은 사용자의 신분확인 등이다 이것은 스니퍼 공격을 통해 획득한 패스워드 혹은 패스워.

드를 추측하는 침입자를 방어할 것이다 공개용으로 설계된 시스템은 이러한 인증과정을 거.

칠 필요가 없다 통신 서비스 관리자의 사전허가를 얻지 않는 한 작업자는 회사의 시스템과.

정보에 접근하려는 외부 사용자에게 인터넷이나 다른 대외 네트워크 연결을 허락해서는 안

된다 이러한 연결은 의 와 같은 다중 컴퓨터 파일 시스템 인터넷 홈페이지 서. sun nis , , FTP

버 등에 포함한다.

보안 문제의 보고보안 문제의 보고보안 문제의 보고보안 문제의 보고

중요한 회사의 정보가 불법으로 누설되거나 그러한 혐의가 있으면 정보보호 관리자에게 즉

시 알려야 한다 만약 회사의 정보시스템을 누가불법으로 사용한다거나 그러한 혐의가 있으. ,

면 마찬가지로 정보보호 관리자에게 즉시 알려야 한다 패스워드 혹은 다른 시스템 접근제.

어 메커니즘이 분실 도안 누설되거나 그러한 징후가 발생할 때에도 역시 정보보호 관리자, ,

에게 즉시 알려야 한다 왜냐하면 그것으로 말미암아 바이러스 감염 혹은 유사한 보안문제.

파일 삭제 잦은 시스템 고장 메시지의 전달 오류 가 발생할 수 있기 때문에 즉시 보고되( , , )

어야 한다 특정한 보안 문제들에 관하여 폭넓게 다뤄지지는 않았지만 모든 보안 문제는. "

알필요성 에 기초하여 다루어져야 한다" .

사용자는 회사 또는 인터넷 사이트에 있는 보안 메커니즘들을 정보보호 관리자의 사전 허가

없이 시험해서는 안된다 만약 사용자가 보안 메커니즘을 시험한다면 경보가 있게 되며 여.

러 자원들은 불필요하게 그 행위를 추적하는 시간을 소모하기 때문이다.

- 389 -

전자우편 정보보호 정책 예문전자우편 정보보호 정책 예문전자우편 정보보호 정책 예문전자우편 정보보호 정책 예문5.5.5.5.

회사 재산회사 재산회사 재산회사 재산

생산성 향상의 도구로서 회사는 전자적 통신 음성우편 전자우편 팩스 수단을 업무에 사용( , , )

하기를 권장한다 전자통신 시스템과 전자통신 시스템으로 다루어지고 생성되는 모든 메시.

지는 회시의 재산이며 전자 통신서비스를 사용하는 사용자의 재산은 아니다.

적법한 사용적법한 사용적법한 사용적법한 사용

일반적으로 회사의 전자통신 시스템은 업무 목적으로만 사용되어야 한다 다음의 경우에 해.

당할 때는 개인용무로 사용될 수 있다.

아주 적은 양의 자원만 사용할 때①

작업자의 생산성에 영향이 없을 때②

어떤 업무 행위보다 앞서지 않을 때③

사용자가 개인적인 업무 오락 목적으로 회사의 전자통신 시스템을 사용하는 것을 금지한다, .

피고용인들은 전자통신을 포함하여 회사 자원의 사용시 부적절한 사용을 하고 있지 않은지

생각할 필요가 있다.

기본 권한기본 권한기본 권한기본 권한

전자통신 시스템 상에서 고용인 권한은 어떤 직무 수행에 필요하다고 인정될 때만 부여되어

져야 한다 이러한 접근은 알 필요성 의 개념으로 폭넓게 알려졌다 비상의 경우를 제외하. “ ” .

고는 통상적으로 시스템의 유지관리에 대한 알림 방송시설은 부서 책임자의 허가를 얻은,

후에만 사용되어야 한다.

사용자 분리사용자 분리사용자 분리사용자 분리

전자통신 시스템이 다른 사용자의 행위를 분리할 수 있는 능력을 제공하는 곳에서 이 서설

들은 구현되어야만 한다 예를 들면 전자 우편 시스템은 다른 사용자의 통신을 단절시킬 수. ,

있는 사용자 와 관련한 패스워드를 채택해야 한다 그러나 서로 다른 수신자를 위해 필요ID .

한 우편함을 분리하지 않는 팩스는 그러한 사용자 분리를 지원하지 않는다.

- 390 -

사용자 계정사용자 계정사용자 계정사용자 계정

어떤 환경에서도 개인 패스워드는 인가된 사용자 이외에게 공유되거나 노출되어서는 안된

다 그렇게 하기 위해서 제 자가 패스워드로 행하는 모든 행위의 책임은 인가된 사용자에게. 3

책임을 부과한다 만약 사용자가 컴퓨터에 위치한 자료를 공유할 필요가 있다면 서버. LAN

상에 있는 공공 디렉터리와 그 밖의 인가된 정보 공유 메커니즘으로 메시지를 보내어 이용

해야 한다 비인가된 집단이 전자 통신 내용에 접근하는 것을 방지하기 위하여 사용자는 추.

측하기 어려운 패스워드 사전 단어 배제 개인 신상 자료 배제 업무 행위를 나타내지 않는( , ,

것 를 사용해야만 한다) .

기본적인 보호기본적인 보호기본적인 보호기본적인 보호

피고인은 회사의 전자 통신 시스템이 기본적으로 암호화되어 있지 않다는 것을 염두에 두어

야 한다 만약 중요한 정보가 전자통신 시스템에 의해 보내져야 한다면 암호화 혹은 유사한.

기술로 데이터를 보호해야만 한다.

개인 권리의 존중개인 권리의 존중개인 권리의 존중개인 권리의 존중

특별한 경우를 제외하고는 피고용인은 전자통신 내용을 가로채기 누설해서는 안된다 회사, .

는 합리적인 프라이버스를 포함하여 그 피고용인의 권리를 존중해야 한다 또한 회사는 전.

자통신 네트워크를 보호하고 서비스하는 책임이 있다 이를 위하여 회사는 전자통신 내용을.

가로채기 읽어볼 필요가 가끔 있다, .

보증된 메시지보증된 메시지보증된 메시지보증된 메시지

회사는 전자통신 내용의 비밀을 보증하지 않는다 피고용인은 전자통신 내용이 기술에 의하.

여 다른 사람에게 보내지고 가로채고 프린트되고 저장될 수 있다는 것을 깨달아야 한다, , , .

더 나아가서 전자 통신 내용은 이 정책에 의해서 다른 사람에게 보여질 수 있다.

통상적인 메시지 감시통상적인 메시지 감시통상적인 메시지 감시통상적인 메시지 감시

전자통신의 내용을 통상적으로 감시하지 않는 것이 회사의 정책이다.

- 391 -

그러나 전자통신의 내용이 감시되어질 수 있으나 전자통신 시스템의 시용이 운영 유지 관, ,

리 감사 보안 그리고 조사행위를 지원하기 위해 감시될 것이다 사용자는 회사가 가끔 전자, .

통신 내용을 시험할 것이라는 사실을 인지하고 있어야 한다.

통계자료통계자료통계자료통계자료

일반적으로 받아들여지는 업무와 관련하여 회사는 전자통신에 대하여 통계적 자료를 수집한

다 예로서 전화 교환 시스템에 의해서 수집된 자세한 통화 기록 정보는 상대방 전화번호. , ,

통화시간 통화 일시 등을 나타낸다 그러한 정보의 사용은 시스템의 가용성 신뢰성을 확보, . ,

하기 위함이다.

우발적 누설우발적 누설우발적 누설우발적 누설

기술 담당자는 문제 해결 과정에서 개인의 통신 내용을 확인할 필요가 잇다 기술 담당자는.

개인적 호기심이나 적절한 인가 채널을 통하지 않은 개인적 명령 등으로 피고용인의 개인적

통신 내용을 확인해서는 안된다.

메시지 송신메시지 송신메시지 송신메시지 송신

어떤 정보는 일반인 모두에게 배포하지 않고 특정 개인에게만 인식되어야 할 경우에 전자통

신 사용자는 메시지를 보낼 때 주의해야 한다 회사의 중요한 정보를 사전에 부서 책임자의.

허가 없이 회사 외부의 타인에게 송신해서는 안된다 회사 외부의 타인에게 총괄적 메시지.

를 정보보호 부서 책임자의 사전 허가 없이 보내는 것은 금지한다.

메시지 처리메시지 처리메시지 처리메시지 처리

업무 목적에 더 이상 필요하지 않는 메시지는 정기적으로 사용자에 의해서 자신의 개인 메

시지 저장 영역에서 삭제되어야 한다 일정 기간 후에 데이터 저장 매체로 백업된 전자 메.

시지는 시스템 관리자에 의해 지워질 것이다 삭제되지 않는 메시지는 저장 공간의 부족을.

증가시킬 뿐이다.

- 392 -


정보보호 관련 법률정보보호 관련 법률정보보호 관련 법률정보보호 관련 법률

- 393 -

정보통신망과 정보시스템의 보호조치에 관한 법률정보통신망과 정보시스템의 보호조치에 관한 법률정보통신망과 정보시스템의 보호조치에 관한 법률정보통신망과 정보시스템의 보호조치에 관한 법률

법률 구분 조문 내용

정보통신망이용촉진등에관한 법률

제 조 정보통신망의 안전성 등19 ( )정보통신서비스제공자는 정보통신망의 안전성 및 정보의①

신뢰성을 확보하기 위한 보호조치를 강구하여야 한다.

화물유통촉진법제 조의 전자문서 및 물류정보의 보안 제 항 내지 제 항의48 7( ) 1 3규정에 의한 전자문서 및 물류정보의 보안에 필요한 보호장치를강구하여야 한다.

산업기술기반조성에 관한법률

제 조 산업정보의 안전관리 등8 ( )전담사업자는 산업정보전산망의 안전관리와 산업정보의③

신용기반을 확보하기 위하여 필요한 보호조치를 강구하여야 하며대통령령이 정하는 경우를 제외하고는 컴퓨터 파일에 기록된전자문서의 내용을 공개하여서는 아니된다 다만 대통령령이 정하는. ,바에 따라 이해관계자의 의견을 들은 후 통상산업부장관의 승인을얻은 경우에는 이를 공개할 수 있다.

산업기술기반조성에 관한법률시행령

제 조 전담사업자의 업무 등12 ( )전담사업자는 다음 각 호의 업무를 수행한다.①컴퓨터 통신설비 등 전산설비의 설치 및 보안관리3. .

제 조 산업정보안전망의 안전관리18 ( )전담사업자는 산업정보전산망의 안전관리와 산업정보의 신뢰확보를위하여 필요한 안전규정을 정하여 이를 시행하여야 한다.

공공기관의개인정보에관한 법률

제 조 개인정보의 안전성 확보 등9 ( )공공기관의 장은 개인정보를 처리함에 있어 개인정보가 분실,①

도난 유출 변조 또는 훼손되지 않도록 안전성확보에 조치를,강구하여야 한다.공공기관으로부터 개인정보의 처리를 위탁 받은 자에 대하여서는③

제 항의 규정을 규정한다1 .

- 394 -

제 조 처리정보의 이용 및 제공의 제한10 ( )유관기관의 장은 제 항 제 호 내지 제 호의 규정에 의하여2 2 8③

처리정보를 정보주체 외의 자에게 제공하는 때에는 처리정보를수령한 자에 대하여 사용목적 사용방법 기타 필요한 사항에 대하여,제한을 하거나 처리정보의 안전성 확보를 위하여 필요한 조치를강구하도록 요청하여야 한다.

공공기관의개인정보에관한 법률시행령

제 조 전산실 등의 관리4 ( )개인정보 파일을 보유하는 기관 이하 보유기관 이라한다 의( “ ” )①

장은 법 제 조 제 항의 규정에 의한 개인정보의 안전성을 확보하기10 1위하여 당해 기관에 설치되 전산실과 개인정보가 기록된 매체 등을보관하는 자료 보관실 등을 보안업무규정이 정하는 바에 의하여보호구역으로 설정하고 출입자를 통제하여야 한다.공공기관의 장은 개인정보의 처리를 다른 공공기관 또는 관련②

전문기관에 위탁하는 때에는 총리령이 정하는 바에 따라 개인정보의보호에 필요한 조치를 취하여야 한다.

군사비밀법제 조 군사기밀의 보호조치5 ( )제 조 군사기밀의 보호조치의 불이행 등 처벌10 ( )

무역업무자동화추진에 관한법률

제 조 전자문서 및 무역정보에 관한 보안18 ( )지정사업자는 제 항 내지 제 항의 규정에 의한 전자문서 및1 4⑤

무역정보에 관한 보안을 위하여 필요한 보호장치를 강구하여통상산업부장관의 승인을 얻은 후 이를 시행하여야 한다.

법률 구분 조문 내용

신용정보의이용 및 보호에관한 법률

제 조 신용정보시스템의 안전보호19 ( )신용정보업자 등은 신용정보전산시스템 공동전산망을 포함한다 에( )대한 제 자의 불법접근 또는 입력된 정보의 변경 훼손 파괴 기타3 , ,위험에 대한 기술적 물리적 보안대책을 수립하여야 한다, .

전기통신기본법

제 조 전기통신설비의 보호50 ( )누구든지 전기통신설비를 손괴하여서는 아니되며 이에 대한,①

물건의 접촉 기타의 방법으로 전기통신설비의 기능에 장해를 주어전기통신의 소통을 방해하는 행위를 하여서는 아니된다.

전자서명법제 조 인증관리체계의 운영 공인인증기관은 자신이 발급한19 ( )인증서가 유효한지의 여부를 누구든지 정보통신망을 통하여 항상확인할 수 있도록 인증관리체계를 안전하게 운영하여야 한다.

전자거래법

제 조 컴퓨터 등의 안전성14 ( )전자거래당사자 등은 전자거래에 사용되는 컴퓨터 등의 안전성을①

확보하기 위한 보호조치를 하여야 한다.전자거래당사자 등은 컴퓨터 등의 운영을 타인에게 위탁하는②

경우에는 안전성을 충분히 확보할 수 있는 자를 수탁자로 하여야한다 이 경우 수탁자의 과실로 인하여 장애가 발생한 때에는.전자거래당사자 등은 이를 상대방에게 고지하고 신속하게 장애를제거하여야 한다.제 조 암호제품의 사용 등18 ( )전자거래당사자 등은 전자거래의 안전성 및 신뢰성을 확보하기①

위하여 암호제품을 사용할 수 있다.

- 395 -

데이터의 부정조작 변조범죄에 관한 법률데이터의 부정조작 변조범죄에 관한 법률데이터의 부정조작 변조범죄에 관한 법률데이터의 부정조작 변조범죄에 관한 법률,,,,

법률구분 관련 조항 벌칙 규정

산업기술기반조성에 과한 법률

제 조 산업의 정보의 안전관리등 의8 ( )제 항 제 항 제 항 제 조 벌칙 제 항4 , 5 , 6 22 ( ) 1

년 이하의 징역 또는10억원 이하의 벌금1

무역업무자동화추진에 관한법률

제 조 전자문서 및 무역정보에 관한18 (보안 제 항) 1제 조 벌칙25 ( )

년 이상 년 이하의1 10징역 또는 억원 이하의1벌금

화물유통촉진법제 조의 전자문서 및 물류정보에48 7(관한 보안 의 제 항) 1제 조 벌칙54 ( )

년 이하의 징역 또는10억원 이하의 벌금1

정보통신망이용촉진 등에 관한법률

제 조 비밀 등의 보호 제 항22 ( ) 2제 조 벌칙 제 항29 ( ) 1

년 이하의 징역또는5천만원 이하의 벌금5

신용정보의 이용및 보호에 관련법률

제 조 벌칙 제 항32 ( ) 11년 이하의 징역 또는3천만원 이하의 벌금3

형법

제 조의 공전자기록위작 변작227 2( , )제 조 위조등공문서의행사229 ( )

년 이하의 징역10

제 조 공정증선원본 등의 부실기재228 ( )제 조의 사전자기록위작변작232 2( , )

년이하의 징역 또는5천만원 이하의 벌금1

공공기관의 개인정보보호에 관한법률

제 조 개인정보취급자의 의무11 ( )제 조 제 항 벌칙23 1 ( )

년 이하의 징역10

정보시스템 및 데이터 손상 파괴 등에 관한 법률정보시스템 및 데이터 손상 파괴 등에 관한 법률정보시스템 및 데이터 손상 파괴 등에 관한 법률정보시스템 및 데이터 손상 파괴 등에 관한 법률,,,,

컴퓨터 등 정보처리장치 또는 전자기록 등 특수매체기록에 손상을 주거나 유 무선 통신을,

통해 허위 정보 또는 부정한 정보를 정보시스템에 입력하거나 장애를 유발하도록 하여 고유

의 정보처리 업무를 방해하는 범죄와 관련된 법규를 말한다.

- 396 -

형법 제 조의 제 항에 컴퓨터 등 정보처리장치 또는 전자기록 등 특수매체기록을 손괴314 2 2 “

하거나 정보처리장치에 허위 정보 또는 부정한 명령을 입력하거나 기타 방법으로 정보처리

에 장애를 발생하게 하여 사람의 업무를 방해하는 자 는 년 이하의 징역 또는 천 백만원” 5 1 5

이하의 벌금에 처하도록 하는 규정을 두고 있다.

또한 공공기관이 민간기관의 컴퓨터시스템에 저장된 전자기록 데이터 이나 저장장치 하드디, ( ) (

스크 테이프 등 등에 있는 데이터를 손상하거나 은닉 또는 본래의 정보가치를 해하는 경우, ) ,

와 타인의 정보를 손상 또는 은닉하여 그 효용을 해하는 범죄로 형법 제 조 제 항에 공141 1 1 “

무소에서 사용하는 서류 기타 물건 또는 전자기록 등 특수매체기록을 손상 또는 은닉하거나

기타 방법으로 그 효용을 해한 자 는 년 이하의 징역 또는 천만원 이하의 벌금에 처하고” 7 1 ,

제 조 제물손괴 등 에 타인의 제물 문서 또는 전자기록 등 특수매체기록을 손괴 또는 은366 ( ) “ ,

닉 기타방법으로 그 효용을 해한 자 는 년 이하의 징역 또는 만원 이하의 벌금에 처하” 3 700

도록 처벌규정을 두고 있다.

컴퓨터 바이러스를 정보통신망내에 있는 소프트웨어 또는 데이터에 침투시켜 정보를 손괴하

거나 다른 정보시스템으로 확산시켰을 경우에는 형법 제 조 제 항 및 제 조에 의거 처314 2 366

벌이 가능하다 하지만 컴퓨터 바이러스의 제작 및 공개 등에 관한 처벌규정은 없는 실정이. ,

다.

전자우편 폭탄 및 불원 고아고성 전자우편에 관한 법률전자우편 폭탄 및 불원 고아고성 전자우편에 관한 법률전자우편 폭탄 및 불원 고아고성 전자우편에 관한 법률전자우편 폭탄 및 불원 고아고성 전자우편에 관한 법률

전자우편 폭탄이란 대규모 전자우편을 특정수신자에게 보내어 수신자의 시스템의 정상적인“

작동을 방해하는 것 이며 불원 광고성 전자우편은 주로 광고 목적의 전자우편 등과 같이” “

수신자가 윈치않는 전자우편을 불특정 다수인에게 전송하는 것 을 말한다” .

전자우편 폭탄에 대하여는 형법 제 조 제 항 컴퓨터 등 정보처리장치 또는 전자기록 등314 2 (

특수매체 기록을 손괴하거나 정보처리장치에 허위의 정보 또는 부정한 명령을 입력하거나

기타 방법으로 정보처리에 장애를 발생하게 하여 사람의 업무를 방해한 자 에 의거 년 이) 5

하의 징역 또는 천 백만원 이하의 벌금에 처하도록 하는 규정을 두고 있다 본 조의 객관1 5 .

적 구성요건은 가해행위 정보처리의 장애발생 및 업무방해 등 단계로 구성되어 있어 장애, 3 ,

처리에 장애가 발생하지 않을 경우에는 적절한 처벌규정이 없다.

- 397 -

불원광고성 전자우편에 대하여는 개정된 정보통신망이용촉진 등에 관한 법률 제 조 제 항19 1

정보통신서비스제공자 또는 이용자는 수신자의 의사에 반하여 영리목적의 광고성 정보를(

지속적으로 송신하는 자 에 의거 백만원 이하의 과태료에 처하도록 규정을 두고 있다) 5 .

컴퓨터 사기에 관한 법률컴퓨터 사기에 관한 법률컴퓨터 사기에 관한 법률컴퓨터 사기에 관한 법률

컴퓨터 사기에 과한 범죄는 컴퓨터 보급확대와 그 기능이 커짐에 따라 컴퓨터를 이용한 범

죄가 증가하고 있음에도 컴퓨터를 이용하여 타인의 허락없이 재산적 이익을 취득한 경우 등

에 적용되는 범죄로 형법 제 조 컴퓨터 등 정보처리장치에 허위의 정보 또는 부정한347 2 “

명령을 입력하여 정보처리를 하게 함으로써 재산상의 이익을 취득하거나 제 자로 하여금 취3

득하게 한 자 는 년 이하의 징역 또는 천만원 이하의 벌금에 처하도록 규정되어 있다” 10 2 .

- 398 -

정보통신 기반보호법정보통신 기반보호법정보통신 기반보호법정보통신 기반보호법

제 장 총 칙제 장 총 칙제 장 총 칙제 장 총 칙1111

제 조 목적 이 법은 전자적 침해행위에 대비하여 주요정보통신기반시설의 보호에 관한 대1 ( )

책을 수립시행함으로써 동 시설을 안정적으로 운용하도록 하여 국가의 안전과 국민생활의

안정을 보장하는 것을 목적으로 한다.

제 조 정의 이 법에서 사용하는 용어의 정의는 다음과 같다2 ( ) .

정보통신기반시설 이라 함은 국가안전보장행정국방치안 금융통신운송에너1. “ ”

지 등의 업무와 관련된 전자적 제어 관리시스템 및 정보통신망이용촉진및정보보호등에관한

법률 제 조제 항제 호의 규정에 의한 정보통신망을 말한다2 1 1 .

전자적 침해행위 라 함은 정보통신기반시설을 대상으로 해킹 컴퓨터바이러스 논리 메2. “ ” , ,

일폭탄 서비스거부 또는 고출력 전자기파 등에 의하여 정보통신기반시설을 공격하는 행위,

를 말한다.

침해사고 란 전자적 침해행위로 인하여 발생한 사태를 말한다3. “ ” .

제 장 주요정보통신기반시설의 보호체계제 장 주요정보통신기반시설의 보호체계제 장 주요정보통신기반시설의 보호체계제 장 주요정보통신기반시설의 보호체계2222

제 조 정보통신기반보호위원회 제 조의 규정에 의하여 지정된 주요정보통신기반시설 이3 ( ) 8 (①

하 주요정보통신기반시설 이라 한다 의 보호에 관한사항을 심의하기 위하여 국무총리 소속“ ” )

하에 정보통신기반보호위원회 이하 위원회 라 한다 를 둔다( “ ” ) .

위원회의 위원은 위원장 인을 포함한 인 이내의 위원으로 구성한다1 25 .②

위원회의 위원장은 국무총리가 되고 위원회의 위원은 대통령령이 정하는 중앙행정기관의,③

장과 위원장이 위촉하는 자로 한다.

위원회의 효율적인 운영을 위하여 위원회에 실무위원회를 둔다.④

위원회 및 실무위원회의 구성운영 등에 관하여 필요한 사항은 대통령령으로 정한다.⑤

제 조 위원회의 기능 위원회는 다음 각호의 사항을 심의한다4 ( ) .

- 399 -

주요정보통신기반시설 보호정책의 조정에 관한 사항1.

제 조제 항의 규정에 의한 주요정보통신기반시설에 관한 보호계획의 종합조정에 관한2. 6 1

사항

주요정보통신기반시설 보호와 관련된 제도의 개선에 관한 사항3.

그 밖의 주요정보통신기반시설 보호와 관련된 주요 정책사항으로서 위원장이 부의하는4.

사항

제 조 주요정보통신기반시설보호대책의 수립 등 주요정보통신기반시설을 관리하는 기관5 ( ) ①

이하 관리기관 이라 한다 의 장은 제 조제 항의 규정에 의한 취약점 분석 평가의 결과에( “ ” ) 9 1

따라 소관 주요정보통신기반시설을 안전하게 보호하기 위한 물리적기술적 대책을 포함한

관리대책 이하 주요정보통신기반시설보호대책 이라 한다 을 수립시행하여야 한다( “ ” ) .

관리기관의 장은 제 항의 규정에 의하여 주요정보통신기반시설보호대책을 수립한 때에는1②

이를 주요정보통신기반시설을 관할하는 중앙행정기관 이하 관계중앙행정기관 이라 한다 의( “ ” )

장에게 제출하여야 한다 다만 관리기관의 장이 관계중앙행정기관의 장인 경우에는 그러하. ,

지 아니하다.

지방자치단체의 장이 관리감독하는 관리기관의 주요정보통신기반시설보호대책은 지방자③

치단체의 장이 행정자치부장관에게 제출하여야 한다.

관리기관의 장은 소관 주요정보통신기반시설의 보호에 관한 업무를 총괄하는 자 이하 정( “④

보보호책임자 라 한다 를 지정하여야 한다 다만 관리기관의 장이 관계중앙행정기관의 장인” ) . ,

경우에는 그러하지 아니하다.

정보보호책임자의 지정 및 업무 등에 관하여 필요한 사항은 대통령령으로 정한다.⑤

제 조 주요정보통신기반시설보호계획의 수립 등 관계중앙행정기관의장은 제 조제 항의6 ( ) 5 2①

규정에 의하여 제출받은 주요정보통신기반시설보호대책을 종합조정하여 소관분야에 대한

주요정보통신기반시설에 관한 보호계획 이하 주요정보통신기반시설보호계획 이라 한다 을( “ ” )

수립 시행하여야 한다.

관계중앙행정기관의 장은 전년도 주요정보통신기반시설보호계획의추진실적과 다음 연도의②

주요정보통신기반시설보호계획을 위원회에 제출하여 그 심의를 받아야 한다 다만 위원회의. ,

위원장이 보안이 요구된다고 인정하는 사항에 대하여는 그러하지 아니하다.

- 400 -

주요정보통신기반시설보호계획에는 다음 각호의 사항이 포함되어야 한다.③

주요정보통신기반시설의 취약점 분석 평가에 관한 사항1.

주요정보통신기반시설의 침해사고에 대한 예방 및 복구대책에 관한 사항2.

기타 주요정보통신기반시설의 보호에 관하여 필요한 사항3.

정보통신부장관은 주요정보통신기반시설보호계획의 작성지침을 정하여 이를 관계중앙행정④

기관의 장에게 통보할 수 있다.

관계중앙행정기관의 장은 소관분야의 주요정보통신기반시설의 보호에 관한 업무를 총괄하⑤

는 자 이하 정보보호책임관 이라 한다 를 지정하여야 한다( “ ” ) .

주요정보통신기반시설보호계획의 수립시행에 관한 사항과 정보보호책임관의 지정 및 업⑥

무 등에 관하여 필요한 사항은 대통령령으로 정한다.

제 조 주요정보통신기반시설의 보호지원 국가기관 또는 지방자치단체의 장인 관리기관의7 ( ) ①

장이 필요하다고 인정하거나 위원회의 위원장이 특정 국가기관 또는 지방자치단체의 주요정

보통신기반시설보호대책의 미흡으로 국가안전보장이나 경제사회전반에 피해가 우려된다고

판단하여 그보완을 명하는 경우 해당 관리기관의 장은 국가보안업무를 수행하는 기관의 장

등 대통령령이 정하는 국가기관의 장 또는 필요한 경우 대통령령이 정하는 전문기관의 장에

게 다음 각호의 업무에 대한 기술적 지원을 요청할 수 있다.

주요정보통신기반시설보호대책의 수립1.

주요정보통신기반시설의 침해사고 예방 및 복구2.

국가안전보장에 중대한 영향을 미치는 다음 각호의 주요정보통신기반시설에 대한 관리기②

관의 장이 필요하다고 인정하여 제 항 각호의 기술적 지원을 요청하는 경우 국가보안업무를1

수행하는 기관의 장에게 우선적으로 그 지원을 요청하여야 한다 다만 국가안전보장에 현저. ,

하고 급박한 위험이 있고 관리기관의 장이 요청할 때까지 기다릴 경우 그 피해를 회복할,

수 없을 때에는 국가보안업무를 수행하는 기관의 장은 관계중앙행정기관의 장과 협의하여

그 지원을 할 수 있다.

- 401 -

도로 지하철 공항 시설1.

전력 가스 석유 등 에너지수자원 시설2. , ,

방송중계국가지도통신망 시설3.

원자력국방과학첨단방위산업관련 정부출연연구기관의 연구시설4.

국가보안업무를 수행하는 기관의 장은 제 항 및 제 항의 규정에도 불구하고 금융 정보통1 2③

신기반시설 등 개인정보가 저장된 모든 정보통신기반시설에 대하여 기술적 지원을 수행하여

서는 아니된다.

제 장 주요정보통신기반시설의 지정 및 취약점 분석제 장 주요정보통신기반시설의 지정 및 취약점 분석제 장 주요정보통신기반시설의 지정 및 취약점 분석제 장 주요정보통신기반시설의 지정 및 취약점 분석3333

제 조 주요정보통신기반시설의 지정 등 중앙행정기관의 장은 소관분야의 정보통신기반시8 ( ) ①

설중 다음 각호의 사항을 고려하여 전자적 침해행위로부터의 보호가 필요하다고 인정되는

정보통신기반시설을 주요정보통신기반시설로 지정할 수 있다.

당해 정보통신기반시설을 관리하는 기관이 수행하는 업무의 국가사회적 중요성1.

제 호의 규정에 의한 기관이 수행하는 업무의 정보통신기반시설에대한 의존도2. 1

다른 정보통신기반시설과의 상호연계성3.

침해사고가 발생할 경우 국가안전보장과 경제사회에 미치는 피해규모 및 범위4.

침해사고의 발생가능성 또는 그 복구의 용이성5.

중앙행정기관의 장은 제 항의 규정에 의한 지정 여부를 결정하기 위하여 필요한 자료의1②

제출을 해당 관리기관에 요구할 수 있다.

관계중앙행정기관의 장은 관리기관이 해당 업무를 폐지 정지 또는 변경하는 경우에는 직③

권 또는 해당 관리기관의 신청에 의하여 주요정보통신기반시설의 지정을 취소할 수 있다.

지방자치단체의 장이 관리 감독하는 기관의 정보통신기반시설에 대하여는 행정자치부장관④

이 지방자치단체의 장과 협의하여 주요정보통신기반시설로 지정하거나 그 지정을 취소할 수

있다.

중앙행정기관의 장이 제 항 및 제 항의 규정에 의하여 지정 또는 지정 취소를 하고자 하1 3⑤

는 경우에는 위원회의 심의를 받아야 한다.

- 402 -

이 경우 위원회는 제 항 및 제 항의 규정에 의하여 지정 또는 지정 취소의 대상이 되는 관1 3

리기관의 장을 위원회에 출석하게 하여 그 의견을 들을 수 있다.

중앙행정기관의 장은 제 항 및 제 항의 규정에 의하여 주요정보통신기반시설을 지정 또는1 3⑥

지정 취소한 때에는 이를 고시하여야 한다 다만 국가안전보장을 위하여 필요한 경우에는. ,

위원회의 심의를 받아 이를 고시하지 아니할 수 있다.

주요정보통신기반시설의 지정 및 지정취소 등에 관하여 필요한 사항은 이를 대통령령으로⑦

정한다.

제 조 취약점의 분석 평가 관리기관의 장은 대통령령이 정하는 바에 따라 정기적으로 소9 ( ) ①

관 주요정보통신기반시설의 취약점을 분석 평가하여야 한다.

관리기관의 장은 제 항의 규정에 의하여 취약점을 분석평가하고자 하는 경우에는 대통1②

령령이 정하는 바에 따라 취약점을 분석 평가하는 전담반을 구성하여야 한다.

관리기관의 장은 제 항의 규정에 의하여 취약점을 분석평가하고자 하는 경우에는 다음1③

각호의 에 해당하는 기관으로 하여금 소관 주요정보통신기반시설의 취약점을 분석 평가하1

게 할 수 있다 다만 이 경우 제 항의 규정에 의한 전담반을 구성하지 아니할 수 있다. , 2 .

정보통신망이용촉진및정보보호등에관한법률 제 조의 규정에 의한 한국정보보호진흥원1. 52

이하 보호진흥원 이라 한다( “ ” )

제 조의 규정에 의한 정보공유 분석센터 대통령령이 정하는 기준을 충족하는 정보공2. 16 (

유분석센터에 한한다)

제 조의 규정에 의하여 지정된 정보보호전문업체3. 17

정부출연연구기관등의설립운영및육성에관한법률 제 조의 규정에 의한 한국전자통신 연4. 8

구원

정보통신부장관은 관계중앙행정기관의 장 및 국가정보원장과 협의하여 제 항의 규정에 의1④

한 취약점 분석평가에 관한 기준을 정하고 이를 관계중앙행정기관의 장에게 통보하여야

한다.

주요정보통신기반시설의 취약점 분석평가의 방법 및 절차 등에 관하여 필요한 사항은⑤

대통령령으로 정한다.

- 403 -

제 장 주요정보통신기반시설의 보호 및 침해사고의 대응제 장 주요정보통신기반시설의 보호 및 침해사고의 대응제 장 주요정보통신기반시설의 보호 및 침해사고의 대응제 장 주요정보통신기반시설의 보호 및 침해사고의 대응4444

제 조 보호지침 관계중앙행정기관의 장은 소관분야의 주요정보통신기반시설에 대하여10 ( ) ①

보호지침을 제정하고 해당 분야의 관리기관의 장에게 이를 지키도록 권고할 수 있다.

관계중앙행정기관의 장은 기술의 발전 등을 감안하여 제 항의 규정에 의한 보호지침을 주1②

기적으로 수정보완하여야 한다.

제 조 보호조치 명령 등 관계중앙행정기관의 장은 제 조제 항의 규정에 의하여 제출받11 ( ) 5 2①

은 주요정보통신기반시설보호대책을 분석하여 필요하다고 인정하는 때에는 해당 관리기관의

장에게 주요정보통신기반시설의보호에 필요한 조치를 명령 또는 권고할 수 있다.

정보통신부장관은 제 항의 규정에 의한 명령 또는 권고를 받은 해당관리기관의 장이 보호1②

조치를 시행하는데 필요한 기술적 지원을 할 수 있다 다만 제 조제 항의 규정에 해당하는. , 7 2

경우에는 그러하지 아니하다.

제 조 주요정보통신기반시설 침해행위 등의 금지 누구든지 다음 각호의 에 해당하는 행12 ( ) 1

위를 하여서는 아니된다.

접근권한을 가지지 아니하는 자가 주요정보통신기반시설에 접근하거나 접근권한을 가진1.

자가 그 권한을 초과하여 저장된 데이터를 조작파괴은닉 또는 유출하는 행위

주요정보통신기반시설에 대하여 데이터를 파괴하거나 주요정보통신기반시설의 운영을 방2.

해할 목적으로 컴퓨터바이러스논리폭탄 등의 프로그램을 투입하는 행위

주요정보통신기반시설의 운영을 방해할 목적으로 일시에 대량의 신호를 보내거나 부정한3.

명령을 처리하도록 하는 등의 방법으로 정보처리에 오류를 발생하게 하는 행위

제 조 침해사고의 통지 관리기관의 장은 침해사고가 발생하여 소관 주요정보통신기반시13 ( ) ①

설이 교란 마비 또는 파괴된 사실을 인지한 때에는 관계 행정기관 수사기관 또는 보호진흥,

원 이하 관계기관등 이라 한다 에 그 사실을 통지하여야 한다 이 경우 관계기관등은 침해( “ ” ) .

사고의 피해확산 방지와 신속한 대응을 위하여 필요한 조치를 취하여야 한다.

정부는 제 항의 규정에 의하여 침해사고를 통지함으로써 피해확산의 방지에 기여한 관리1②

기관에 예산의 범위안에서 복구비 등 재정적 지원을 할 수 있다.

- 404 -

제 조 복구조치 관리기관의 장은 소관 주요정보통신기반시설에 대한 침해사고가 발생한14 ( ) ①

때에는 해당 정보통신기반시설의 복구 및 보호에 필요한 조치를 신속히 취하여야 한다.

관리기관의 장은 제 항의 규정에 의한 복구 및 보호조치를 위하여필요한 경우 관계중앙행1②

정기관의 장 또는 보호진흥원의 장에게 지원을 요청할 수 있다 다만 제 조제 항의 규정에. 7 2

해당하는 경우에는 그러하지 아니하다.

관계중앙행정기관의 장 또는 보호진흥원의 장은 제 항의 규정에 의한 지원요청을 받은 때2③

에는 피해복구가 신속히 이루어 질 수 있도록 기술지원 등 필요한 지원을 하여야 하고 피,

해확산을 방지할 수 있도록 관리기관의 장과 함께 적절한 조치를 취하여야 한다 제 조 대. 15 (

책본부의 구성 등 위원회의 위원장은 주요정보통신기반시설에 대하여 침해사고가 광범위) ①

하게 발생한 경우 그에 필요한 응급대책 기술지원 및 피해복구 등을 수행하기 위한 기간을,

정하여 위원회에 정보통신기반침해사고대책본부 이하 대책본부 라 한다 를 둘 수 있다( “ ” ) .

위원회의 위원장은 대책본부의 업무와 관련 있는 공무원의 파견을 관계 행정기관의 장에②

게 요청할 수 있다.

위원회의 위원장은 침해사고가 발생한 정보통신기반시설을 관할하는 중앙행정기관의 장과③

협의하여 대책본부장을 임명한다.

대책본부장은 관계 행정기관의 장 관리기관의 장 및 보호진흥원의장에게 주요정보통신기,④

반시설 침해사고의 대응을 위한 협력과 지원을 요청할 수 있다.

제 항의 규정에 의하여 협력과 지원을 요청받은 관계 행정기관의 장등은 특별한 사유가4⑤

없는 한 이에 응하여야 한다.

대책본부의 구성 운영 등에 관하여 필요한 사항은 대통령령으로 정한다.⑥

제 조 정보공유분석센터 금융통신 등 분야별 정보통신기반시설을 보호하기 위하여16 ( ) ①

다음 각호의 업무를 수행하고자 하는 자는 정보공유분석센터를 구축 운영할 수 있다.

취약점 및 침해요인과 그 대응방안에 관한 정보 제공1.

침해사고가 발생하는 경우 실시간 경보 분석체계 운영2.

- 405 -

제 항의 규정에 의한 정보공유 분석센터의 장은 업무종사자의 인적사항 등 대통령령이 정1②

하는 사항을 관계중앙행정기관의 장에게 통지하여야 한다 통지한 사항을 변경한 경우에도.

또한 같다.

관계중앙행정기관의 장은 제 항의 규정에 의하여 통지받은 사항을 정보통신부장관에게 통2③

보하여야 한다.

정부는 제 항 각호의 업무를 수행하는 정보공유분석센터의 구축을 장려하고 그에 대한1④

기술적 지원을 할 수 있다.

제 항의 규정에 의한 통지의 방법 및 절차 등에 관하여 필요한 사항은 대통령령으로 정한2⑤

다.

제 장 정보보호전문업체의 지정 등제 장 정보보호전문업체의 지정 등제 장 정보보호전문업체의 지정 등제 장 정보보호전문업체의 지정 등5555

제 조 정보보호전문업체의 지정 정보통신부장관은 다음 각호의 업무를 안전하고 신뢰성17 ( ) ①

있게 수행할 능력이 있다고 인정되는 자를 정보보호전문업체로 지정할 수 있다.

주요정보통신기반시설의 취약점 분석평가 업무1.

주요정보통신기반시설보호대책의 수립 업무2.

정보보호전문업체로 지정받을 수 있는 자는 법인에 한한다.②

정보통신부장관은 제 항의 규정에 의하여 정보보호전문업체를 지정하는 때에는 정보통신1③

부령이 정하는 바에 따라 유효기간을 정하여 지정할 수 있으며 그 유효기간이 만료한 때에,

는 재지정을 할 수 있다.

제 항의 규정에 의한 지정과 제 항의 규정에 의한 재지정의 기준절차 및 방법 등에 관1 3④

하여 필요한 사항은 정보통신부령으로 정한다.

제 조 결격사유 다음 각호의 에 해당하는 자는 정보보호전문업체로 지정받을 수 없다18 ( ) 1 .

임원중 다음 각목의 에 해당하는 자가 있는 법인1. 1

가 미성년자금치산자 또는 한정치산자.

나 파산자로서 복권되지 아니한 자.

다 금고 이상의 실형의 선고를 받고 그 집행이 종료 집행이 종료된 것으로 보는 경우를 포. (

함한다 되거나 집행이 면제된 날부터 년이 지나지 아니한 자) 2

라 금고 이상의 형의 집행유예의 선고를 받고 그 집행유예기간중에 있는 자.

- 406 -

마 제 조제 호 또는 제 호 내지 제 호의 규정에 의하여 지정이 취소된 법인의 취소당시의. 21 1 3 5

임원이었던 자 취소된 날부터 년이 지나지 아니한 자에 한한다( 2 )

제 조제 호 또는 제 호 내지 제 호의 규정에 의하여 지정이 취소된 후 년이 지나지 아2. 21 1 3 5 2

니한 법인

제 조 정보보호전문업체의 양도합병 등 정보보호전문업체는 다음 각호의 에 해당하19 ( ) 1①

는 경우에는 정보통신부령이 정하는 바에 의하여 정보통신부장관에게 신고하여야 한다.

제 조제 항 각호의 업무를 양도하는 경우1. 17 1

정보보호전문업체인 법인간의 합병이 있는 경우2.

제 항의 규정에 의한 신고를 한 경우의 양수인 또는 합병에 의하여 설립되거나 존속하는1②

법인은 그 정보보호전문업체의 지위를 승계한다.

제 조제 항 지정기준에 한한다 및 제 조의 규정은 제 항의 규정에 의한 신고에 관하여17 4 ( ) 18 1③

이를 준용한다.

제 조 업무의 휴지폐지재개 정보보호전문업체가 업무를 휴지폐지 또는 재개하고자20 ( )

하는 때에는 휴지 폐지 또는 재개하고자 하는 날의 일전까지 정보통신부령이 정하는 바에30

따라 정보통신부장관에게 신고하여야 한다.

제 조 정보보호전문업체의 지정취소 등 정보통신부장관은 정보보호전문업체가 다음 각호21 ( )

의 에 해당하는 때에는 정보통신부령이 정하는 바에 따라 정보보호전문업체의 지정을 취소1

하거나 월 이내의 기간을 정하여 업무의 일부 또는 전부의 정지를 명할 수 있다 다만 제3 . , 1

호 내지 제 호에 해당하는 때에는 정보보호전문업체의 지정을 취소하여야 한다3 .

속임수 기타 부정한 방법으로 지정을 받은 때1.

제 조제 항의 규정에 의한 지정기준에 미달한 때2. 17 4

제 조의 규정에 의한 결격사유에 해당된 때 임원이 결격사유에 해당된 날부터 월 이내3. 18 ( 3

에 당해 임원을 개임한 때를 제외한다)

업무를 수행하면서 알게 된 정보를 오용 또는 남용하여 주요정보통신기반시설의 운영에4.

장애를 가져 온 때

기타 이 법 또는 이 법에 의한 명령을 위반한 때5.

- 407 -

제 조 보고 등 정보통신부장관은 주요정보통신기반시설의 정보보호를 위하여 특히 필요22 ( ) ①

하다고 인정하는 경우에는 정보보호전문업체에게 관련 서류 또는 자료를 제출하게 할 수 있

다.

정보보호전문업체는 제 항의 규정에 의하여 관련서류 또는 자료의 제출을 요구받은 때는1②

특별한 사유가 없는 한 이에 응하여야 한다.

제 조 기록자료의 보존 등 정보보호전문업체는 제 조제 항제 호의 규정에 의한 주요23 ( ) 17 1 1①

정보통신기반시설의 취약점 분석평가업무와 관련하여 작성한 기록 및 자료를 안전하게 보

존하여야 한다.

정보보호전문업체는 제 조의 규정에 의하여 지정이 취소되거나 업무를 폐지한 때에는 제21②

항의 규정에 의한 기록 및 자료를 관리기관의 장에게 반환하거나 이를 폐기하여야 한다1 .

제 항의 규정에 의한 관련기록 및 자료의 폐기에 관하여 필요한 사항은 정보통신부령으로2③

정한다.

제 장 기술지원 및 민간협력 등제 장 기술지원 및 민간협력 등제 장 기술지원 및 민간협력 등제 장 기술지원 및 민간협력 등6666

제 조 기술개발 등 정부는 정보통신기반시설을 보호하기 위하여 필요한 기술의 개발 및24 ( ) ①

전문인력 양성에 관한 시책을 강구할 수 있다.

정부는 정보통신기반시설의 보호에 필요한 기술개발을 효율적으로 추진하기 위하여 필요②

한 때에는 정보보호 기술개발과 관련된 연구기관 및 민간단체로 하여금 이를 대행하게 할

수 있다 이 경우 이에 소요되는 비용의 전부 또는 일부를 지원할 수 있다. .

제 조 관리기관에 대한 지원 정부는 관리기관에 대하여 주요정보통신기반시설을 보호하기25 ( )

위하여 필요한 기술의 이전 장비의 제공 기타 필요한 지원을 할 수 있다, .

제 조 국제협력 정부는 정보통신기반시설의 보호에 관한 국제적 동향을 파악하고 국제26 ( ) ①

협력을 추진하여야 한다.

정부는 정보통신기반시설의 보호에 관한 국제협력을 촉진하기 위하여 관련기술 및 인력의②

국제교류와 국제표준화 및 국제공동연구개발 등에 관한 사업을 지원할 수 있다.

제 조 비밀유지의무 다음 각호의 에 해당하는 기관에 종사하는 자 또는 종사하였던 자는27 ( ) 1

그 직무상 알게된 비밀을 누설하여서는 아니된다 다만 다른 법률에 특별한 규정이 있는 경. ,

우에는 그러하지 아니하다.

- 408 -

제 조제 항의 규정에 의하여 주요정보통신기반시설에 대한 취약점 분석평가업무를 하1. 9 3

는 기관

제 조의 규정에 의하여 침해사고의 통지 접수 및 복구조치와 관련한 업무를 하는 관계2. 13

기관등

제 조제 항 각호의 업무를 수행하는 정보공유 분석센터3. 16 1

제 장 벌 칙제 장 벌 칙제 장 벌 칙제 장 벌 칙7777

제 조 벌칙 제 조의 규정을 위반하여 주요정보통신기반시설을 교란마비 또는 파괴한28 ( ) 12①

자는 년 이하의 징역 또는 억원 이하의 벌금에 처한다10 1 .

제 항의 미수범은 처벌한다1 .②

제 조 벌칙 제 조의 규정을 위반하여 비밀을 누설한 자는 년 이하의 징역 년 이하의29 ( ) 27 5 , 10

자격정지 또는 천만원 이하의 벌금에 처한다5 .

제 조 과태료 다음 각호의 에 해당하는 자는 천만원 이하의 과태료에 처한다30 ( ) 1 1 .①

제 조제 항의 규정에 의한 보호조치 명령을 위반한 자1. 11 1

제 조제 항의 규정에 의한 통지를 하지 아니한 자2. 16 2

제 조의 규정에 의한 신고를 하지 아니한 자3. 20

제 조제 항의 규정을 위반하여 관련서류 또는 자료를 제출하지 아니하거나 허위로 제출4. 22 2

한 자

제 조제 항의 규정을 위반하여 기록 및 자료를 반환하거나 폐기하지 아니한 자5. 23 2

제 항의 규정에 의한 과태료는 대통령령이 정하는 바에 따라 관계중앙행정기관의 장 또는1②

정보통신부장관 이하 부과권자 라 한다 이 부과징수한다( ) .

제 항의 규정에 의한 과태료처분에 불복이 있는 자는 그 처분의 고지를 받은 날부터 일2 30③

이내에 부과원자에게 이의를 제기할 수 있다.

제 항의 규정에 의한 과태료처분을 받은 자가 제 항의 규정에 의하여 이의를 제기한 때에2 3④

는 부과권자는 지체없이 관할법원에 그 사실을 통보하여야 하며 그 통보를 받은 관할법원,

은 비송사건절차법에 의한 과태료의 재판을 한다.

제 항의 규정에 의한 기간 내에 이의를 제기하지 아니하고 과태료를 납부하지 아니한 때3⑤

에는 국세체납처분의 예에 의하여 이를 징수한다.

부 칙부 칙부 칙부 칙

이 법은 년 뭘 일부터 시행한다2001 7 1 .

- 409 -