15
Question & Answer 한국 IBM 정보관리사업부, 조가원 차장

Question & Answer - IBM · 2014-02-27 · 전자금융감독규정17조4항 제17조(홈페이지등공개용웹서버관리대책) ①금융기관또는전자금융업자는공개용웹서버의안전한관리를위하여다음각호를포함한적절한

  • Upload
    others

  • View
    1

  • Download
    0

Embed Size (px)

Citation preview

© 2014 IBM Corporation

Question & Answer

한국 IBM 정보관리사업부, 조가원 차장

© 2014 IBM Corporation

2

개인정보에 대한 궁금증

10

9

8

7

6

5

4

3

2

1

#

•2014년 개인정보보호법 개정 된 법안이나, 개정 될 법안개정안

•외부방문객 식별을 위해 출입대장에 전화번호를 기록관리해도 관계없나요출입 관리

•컨설팅 회사들과 행안부가 직접 구체적인 가이드 라인과 점검표 등을만들어서 각 회사별로 파악하거나 조취를 취할 수 있는 방법을 공시할 수는없나요?

체크리스트

•기술적 안전성 확보조치 각각에 대한 솔루션 리스트가 있는지요?안정성 확보조치

•B2B기업에서 개인정보보호 컴플라이언스를 준수하기 위한상세 지침

임직원 정보

•고객정보를 관리하는 외주인력에 대한 효과적인 통제 및 관리방안외주/내부특권자 관리

•회사 고객자료를 위탁할 경우 책임과 비용에 대해 알고 싶습니다위탁업체 관리

•개인정보 DB 암호화는 어느 수준 까지 해야 하나요?암호화 대상/범위

테스트 데이터 관리, 유출 이후 보안 전망, 보안 관리 정책, 주민번호 대체방안, 구축 우수 사례, 처벌 사례, 문서 암호화

•개인정보보호법을 준수하면서 보안은 강화되고, 사용자에게 편리한솔루션은 없을까요?

•회사 내부 직원의 개인적인 정보도 개인정보보호법에 따른 개인정보보호규정의 적용을 받는지 알고 싶습니다.

대표 질문

기타 질문

아키텍처/솔루션

개인정보 범위

질문 유형

© 2014 IBM Corporation

3

• 교육 정보• 근로 정보• 자격 정보

• 주민등록번호• 이름, 주소• 가족관계 등

사회적사회적

정보정보

• 통화·문자내역, IP주소• 화상정보, GPS 등의 정보

• 신체정보• 의료·건강정보

신체적신체적

정보정보

일반적일반적

정보정보

통신통신··

위치정보위치정보

• 개인 금융정보• 신용정보

재산적재산적

정보정보

• 기호, 성향• 신념, 사상

정신적정신적

정보정보

““살아있는살아있는 개인을개인을 식별식별할할 수수 있는있는 일체의일체의 정보정보””

� 출처: 안행부 개인정보보호법의 이해

‘개인정보’라 함은 그 정보 만으로도 개인을 식별할 수 있는 정보(성명, 주민번호, 영상 등)와

다른 정보와 쉽게 결합하여 특정 개인을 식별할 수 있는 정보(전화번호, 주소 등)를 포함

개인정보의 범위

© 2014 IBM Corporation

4

일반법과 특별법

살아있는 개인의 성명, 주민등록번호(고유 식별 번호) 및 영상 등을 통하여

개인을 알아볼 수 있는 정보.

(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합

하여 알아볼 수 있는 것을 포함)

© 2014 IBM Corporation

5

개인정보 암호화 범위 > 규제 항목

�「개인정보의 안전성 확보조치 기준」(행정안전부 고시 제2011-43호, 2011. 9. 30. 발령·시행개인정보의 안전성 확보조치 기준 제7조(개인정보의 암호화) ⑦개인정보처리자는 제3항, 제4항 및 제5항에 따른 개인정보 저장시 암호화를 적용하는 경우,이 기준 시행일로부터 3개월 이내에 다음 각 호의 사항을 포함하는 암호화 계획을 수립하고, 2012년 12월31일까지 암호화를 적용하여야 한다.

단 인터넷 구간 및 인터넷 구간과 내부망의 중간 지점(DMZ : Demilitarized Zone)에 고유식별정보를저장하는 경우 위험도 분석과 관계없이 암호화를 적용하여야 한다.

�전자금융감독규정 17조 4항제17조(홈페이지 등 공개용 웹서버 관리대책)① 금융기관 또는 전자금융업자는 공개용 웹서버의 안전한 관리를 위하여 다음 각 호를 포함한 적절한대책을 수립·운용하여야 한다.4. DMZ구간 내에 이용자 정보 등 주요 정보를 저장 및 관리하지 아니할 것(다만, 거래로그를 관리하기 위한경우에는 예외로 하되 이 경우 반드시 암호화하여 저장·관리하여야 한다)

�「개인정보보호법」 제29조 및 「개인정보의 안전성 확보조치 기준」 제7조 5항개인정보처리자가 내부망에 고유식별정보를 저장하는 경우, 「위험도 분석 기준」 결과에 따라 암호화의적용여부 및 적용범위를 정하여 시행할 수 있습니다.■ 개인정보처리자는 개인정보 영향평가 또는 위험도 분석에 따른 결과에 따라 2012년12월 31일까지 암호화 기술의 적용 또는 이에 상응하는 조치를 완료해야 합니다※ 개인정보영향평가: 개인정보보호법제33조, 시행령38조, 개인정보영향평가에관한고시참조※ ‘암호화에 상응하는 조치’란 「개인정보 위험도 분석기준」에 따라 보호조치를 이행하는 경우를 의미함(개인정보 위험도 분석기준 및 해설서(안전행정부 공고 제2012-112)는 www.privacy.go.kr에서 다운로드)

© 2014 IBM Corporation

6

개인정보 암호화 범위 > 개인정보 위험도 분석

26. 웹서버 프로그램과 운영체제 보안패치를 제조사 공지 후 지체없이 수행하고 있습니까?

25. 신규 웹 취약점 및 알려진 주요 웹(Web) 취약점 진단/보완을 년1회 이상 실시하거나, 상시적으로 비인가자에 의한 웹서버 접근, 홈페이지

위변조 등을 자동으로 차단할 수 있는 보호 조치를 하고 있습니까?

기반

24. HDD등 DB 저장매체의 불용처리시(폐기, 양여, 교체 등) 저장매체에 저장된 개인정보는 모두 파기하고 있습니까?

23. DB서버 및 DB접속 어플리케이션 서버에 접속하는 모든 개인정보취급자의 단말기(PC, 노트북 등)의 운영체제 보안패치를 제조사 공지 후

지체없이 수행하고 있습니까?

22. DB 및 DB접속 어플리케이션 서버에서 보조기억 매체(USB 등) 사용시 관리자 승인 후 사용하고 있습니까?

21. DB 및 DB접속 어플리케이션 서버에 대한 물리적 접근을 인가된 자로 한정하고 있습니까?

20. DB접속자 및 개인정보취급자의 비밀번호 입력시 5회 이상 연속 입력오류가 발생한 경우 계정잠금 등 접근을 제한하고 있습니까?

19. DB접속자 및 개인정보취급자의 DB 로그인 비밀번호를 최소 3개월마다 변경하고 있습니까?

18. 개인정보취급자의 전보, 이직, 퇴사 등 인사 이동발생시 지체없이 DB 접근권한을 변경하고 있습니까?

17. 개인정보취급자의 역할에 따라 DB 접근권한을 차등화하여 부여하고 있습니까?

16. DB서버에 접속하는 관리자 PC가 인터넷 접속되는 내부망의 네트워크와 분리되어 있습니까?

15. DB 접속기록을 주기적으로 모니터링하여 통제하고 있습니까?

14. 상시적으로 DB 접속자 및 개인정보취급자의 접속기록을 남기고 있습니까?

13. DB서버내에 불필요한 서비스 포트를 차단하고 있습니까?

12. 상시적으로 네트워크를 통한 비인가자의 DB 접근을 통제하고 있습니까?

DB/AP

기반

11. 네트워크 장비 및 정보보호시스템의 보안패치 발생시 지체없이 업데이트를 수행하고 있습니까?

10. 주기적으로 네트워크 접속에 대한 로그를 관리하고,분석하고 있습니까?

9. 상시적으로 바이러스, 웜 등의 네트워크 유입을차단하고 있습니까?

8. 상시적으로 불법적인 해킹시도를 방지하고, 이에대해 모니터링을 실시하고 있습니까?

7. 상시적으로 불필요한 서비스 포트 사용을 통제하고 있습니까?

6. 상시적으로 비인가 IP주소의 접근을 통제하고 있습니까?

네트워크

기반

5. DB서버에 접근 가능한 자(내부직원, 위탁인력, 개발자 등) 대상으로 개인정보보호 관련 교육을 연2회 이상 실시하고 있습니까?

4. DB 서버에 접속하는 장비에서 불법 또는 비인가된 S/W 사용을 방지하고 정품 S/W만 사용하도록 하는 정책을 수립/운영하고 있습니까?

3. 외주인력 보안관리를 위해 보안서약서 집행, 비밀번호 노출 예방 등 조치를 하고 있습니까?

2. 개인정보 보호를 위한 정책 또는 관리계획(침해사고 대응계획 포함)을 수립․운영하고 있습니까?

1. 개인정보 보호를 위한 책임자를 지정하여 운영하고 있습니까?

정책

기반

점검항목구분

© 2014 IBM Corporation

7

위탁업체 개인정보 관리

� 처리위탁과 제 3자 제공 구분

� 개인정보 관리 부실 처벌 사례

개인정보보호법 제 18조

신용정보법 제 32조, 제 34조

개인정보보호법 제 26조

신용정보법 제 17조근거조항

사업/업무 제휴 등배송업무, TM업무 아웃소싱 등예시

제 3자가 관리감독 책임위탁자가 관리감독 책임관리감독책임

개인정보를 제공받는 자의 목적/이익을

위해 개인정보를 제 3자에 제공

기간의 목적/이익을 위해

개인정보를 제 3자에 제공성격

제 3자 제공처리 위탁구분

© 2014 IBM Corporation

8

출입관리

출처: 금융분야 개인정보보호 가이드라인

© 2014 IBM Corporation

9

외주/내부특권자 관리 방안

� 외주인력/내부특권자에 대한 시스템 내 자동적인 모니터링 및 통제 방안 필요

• 지속적인 DB 접근기록 모니터링/자동 리포팅

• 보안담당자에 의한 내부특권자 감사/직무분리

• 비정상 패턴에 대한 자동 탐지 및 경고

© 2014 IBM Corporation

10

개인정보보호법 개정안 의결 (2013년 9월 30일), 2014년 8월 시행

� 개인정보에 대한 기술적 보호 조치 (개인정보– 고유식별정보에 대한 암호화 조치) 의무화에 대한

준수 및 기업의 가장 소중한 자산인 고객정보(DB)에 대한 유출 통제 및 차단 방안 마련 필요

책임 있는 자에 해당 기관 대표자 및 책임 있는 임원 포함개인정보 법규 위반 시, 책임있는 자를 징계

CEO 징계권고

주민등록번호 분실,도난,유출,변조,훼손 시

최대 5억원 과징금 부과

단, 안전성 확보조치를 모두 이행한 경우 제외

없음과징금 제도

주민등록번호 원칙적 처리금지 및 법 시행 2년 내에 파기

단,예외적용:

-법령에 구체적인 근거 있는 경우

-정보주체 또는 제3자의 급박한 생명,신체,재산의 이익을위해 명백히 필요한 경우

-안전행정부령으로 정하는 경우

정보주체의 별도동의, 법령에구체적인 근거가 있는 경우 수집이용

주민등록번호수집이용

개정안현행구분

주민등록번호

처리 금지

주민등록번호

시행 2년 내 파기

예외항목 대상

안전성 확보조치

© 2014 IBM Corporation

11

개인정보보호법에 필요한 관리적/기술적 보호 조치

SIM/SAM

정보 보호 관리 체계 구축

계정/권한 관리보호 조치

인증: PKI, 보안 토큰, 휴대폰 인증, OTP

시스템/네트워크/End-Device 보안-침입 차단/탐지/방지 시스템-웹 방화벽 시스템-보안 운영 체제

접속 로그 기록-접근 기록 및 실시간 모니터링 솔루션-접속기록 백업 솔루션

내부정보 유출 방지-자료 유출 방지 시스템-문서 암호화 시스템

악성 프로그램 방지-백신 소프트웨어-패치 관리

출력/복사 보호조치- 디지털 워터마킹

DB 암호화/마스킹

애플리케이션 보안

계정 접근관리

DB암호화

접근통제

로그관리(최소 1년)

보안프로그램

불필요한 데이터에 대한 폐기

문서 암호화/마스킹

DB 접근 기록/접근 통제

라이프사이클관리

Guardium DEGuardium Redact

Guardium DAM

Optim Archiving

데이터 암호화

데이터 마스킹

계정관리/권한 관리

데이터 유출 방지

Guardium DE

Guardium DAMOptim Masking

Guardium DAM

통합 관제/로그 관리 Qradar

애플리케이션 취약점 관리 AppScan

취약성 평가/관리 Guardium VA

백신 소프트웨어와 패치 관리 IEM

테스트 데이터 관리 Optim TDM

© 2014 IBM Corporation

12

개인정보보호 자가진단 체크리스트

© 2014 IBM Corporation

13

1. 개발 데이터를 아직도 실데이터로 쓰고 계십니까?

5. 사용자의 비정상적인 행위를 탐지할 수 있습니까? (실시간 모니터링, 누적패턴 분석 등)

6. 특권 사용자에 대한 계정 및 권한을 잘 관리하고있습니까?

7. 특권사용자의 행위를 CCTV로 보는 것처럼 명확히모니터링 및 활동내역을 기록할 수 있습니까?

2. DB암호화가 아직도 안되어 있습니까?

3. 복호화 모듈 및 애플리케이션을 통한 유출에 대해대비하고 있습니까?

4. DB에서 파생된 파일 (DB파일, 로그파일, DB Query, 백업파일 등)에 대한 암호화를 고려하고있습니까?

① 시스템 개발 시 개발에필요한 일부 데이터로 Subset 구성하여 개발 DB 관리

② 테스트 데이터 내 민감한개인정보를 변환하여 사용

① DB 내 개인정보를파일단위로 암호화하여 원천저장소 안전하게 보호

② DB내 정형데이터 외의개인정보를 포함하는트랜잭션 로그파일, 백업파일, 문서파일 등을 암호화하여전사데이터 보안 강화

① DB에서 발생하고 있는 외부

트랜잭션 및 내부 특권

사용자의 활동에 대해 실시간

모니터링 및 접근기록을 로깅,

이력 관리,

실시간 및 누적 패턴을

분석하여 비정상 행위 경고

① 시스템 접근에 대한 권한을업무별, 직급별 차등 부여하고특권사용자 행위를 모니터링하여 내부 통제 강화

① IBM InfoSphere OptimTest Data Management & Data Privacy

① IBM InfoSphereGuardium Data Encryption

① IBM InfoSphere

Guardium Database

Activity Monitor

② IBM Security Qradar

SIEM

① IBM Security Privileged Identity Manager

② IBM Security QradarSIEM

<점검항목> <대응방안> <IBM 보안 솔루션>YES or NO?

YES

YES

NO

NO

NO

NO

NO

개인정보 유출경로별 점검항목 및 보안 솔루션

© 2014 IBM Corporation

14

보안 아키텍처 목표 시스템 구성도 예시

서버 Farm

Windows

파일서버

UNIX

업무 시스템

DBMS

Network장비

개발 시스템

DBMS

Storag

e

Storag

e

Storage

Storag

e

Storag

e

Storage

WORM

Storage

Active Active

Switch

Active

중앙관리자

정책 정책

Agent

TDI(Tivoli Directory Integrator)

Storage

Network

SIM SAM Qradar

통합계정관리 시스템

관제 시스템

GDE Security Server

PrimaryBackup

Guardium

Collector

Guardium

Collector

Agent

Agent

MYSQL

ORACLE

DB2

LDAP

MYSQL

ORACLE

DB2

정책 및 키 관리

정책 및 키 배포 접근기록/통제 정책

이중화 구성

이중화 구성

Storage Farm

데이터 암호화 DB 접근기록/통제통합 관제/계정관리

Optim Server

마스킹/서브셋

테스트 데이터 관리

민감 데이터 마스킹

© 2014 IBM Corporation

감사합니다.