제 11강
2012학년도 1학기
컴퓨터보안
입찰 시 ⇒ 보안관리 계획 평가
계약 시 ⇒ 보안준수 사항 및 배상책임 명시
수행 시 ⇒ 참여인원 보안조치(인원ㆍ문서ㆍ장비 등 보안실태 점검 ㆍ교육 )
종료 시 ⇒ 제공자료ㆍ산출물 전량 회수
외부 용역업체 보안관리 방안
정보보안지침 , 건국대학교 2012
1. 용역사업 입찰 시
o 중요 외주용역사업은 착수단계부터 적정 등급의 비밀 또는 대외비로 분 류, 용역 의뢰하고 ‘대외주의’ㆍ‘요보안’ 등 모호한 표현 사용 금지 o 입찰공고 이전에 투입이 예상되는 자료ㆍ장비 가운데 보안관리가 필요 한 사항에 대하여 관련법규에 따라 등급을 분류하고 필요한 보안요구기준 을 마련
o 입찰공고 시에 기관이 자체 작성한 ‘누출금지 대상정보’, ‘부정당업자 제재조치’, 기밀유지 의무 및 위반 시 불이익 등을 정확히 공지
o 제안서 평가요소에 자료ㆍ장비ㆍ네트워크 보안대책 및 ‘누출금지 대 상정보’ 관리방안 등 보안관리 계획의 평가항목 및 배점기준 마련
o 업체가 입찰제안서에 제시한 용역사업 전반에 대한 보안관리 계획이 타 당한지를 검토하여 사업자 선정 시 이를 반영
o 웹 호스팅 등 정보시스템을 위탁운영 시에는 해킹에 대비해 웹 방화벽 등 보안시스템 구비 여부와 단순 운영 이외 보안관리가 가능한지 여부를 심층 검토
외부 용역업체 보안관리 방안
정보보안지침 , 건국대학교 2012
2. 용역사업 계약 시
o 용역사업에 투입되는 자료ㆍ장비 등에 대한 대외보안이 필요한 경우 보 안의 범위ㆍ책임을 명확히 하기 위해 사업수행 계약서와 별도로 비밀유지 계약서 작성
o 비밀유지계약서에는 비밀정보의 범위, 보안준수 사항, 위반 시 손해배상 책임, 지적재산권 문제, 자료의 반환 등이 포함되도록 명시
o 용역사업 참여인원은 용역업체 임의로 교체할 수 없도록 명시하고 신상 변동 (해외여행 포함) 사항발생 시 발주기관에 즉시 보고
o 발주기관의 요구사항을 사업자에게 명확히 전달키 위해 작성하는 과업 지시서ㆍ계약서(입찰공고 포함)에 인원ㆍ장비ㆍ자료 등에 대한 보안조치 사항과 ‘누출금지 대상정보’ 및 ‘부정당업자의 제재조치’를 정확히 기술
* 누출 금지 대상정보 작성 시 「교육과학기술부 정보보안기본지침」 제57조 (용역사업 보안관리) 참조
o 용역업체가 사업에 대한 하도급 계약을 체결할 경우 본 사업계약 수준의 비밀유지 조항을 포함토록 조치
외부 용역업체 보안관리 방안
정보보안지침 , 건국대학교 2012
3. 용역사업 수행 시
참여인원에 대한 보안관리
용역사업 참여인원에 대해서는 ‘정보 누출’ 금지조항 및 개인의 친필 서명 이 들어간 보안서약서 징구
용역사업 수행 전 참여인원에 대해 법적 또는 발주기관 규정에 의한 비밀유지 의무 준수 및 위반 시 처벌내용 등에 대한 보안교육 실시 * 누출 금지 대상정보 및 정보 누출 시 부정당업자 제재조치 등에 대한 교육 병행
발주기관은 사업 수행 중 업체 인력에 대한 보안점검 실시, ‘누출금지 대상 정 보’ 외부 누출여부 확인
비밀관련 사업을 수행할 경우 참여인원에 대한 비밀취급인가 등 보안조치를 수행하고 국가정보원장에게 보안측정을 요청외부 용역업체 보안관리 방안
정보보안지침 , 건국대학교 2012
3. 용역사업 수행 시
자료에 대한 보안관리
계약서 등에 명시한 누출금지 대상정보를 업체에 제공할 경우 자료관리 대장 을 작성, 인계자ㆍ인수자가 직접 서명한 후 제공하고 사업완료시 관련자료 회 수
용역사업 관련자료 및 사업과정에서 생산된 모든 산출물은 발주 기관의 파일 서버에 저장하거나 보안담당관이 지정한 PC에 저장ㆍ관리
용역사업 관련 자료는 인터넷 웹하드ㆍP2P 등 인터넷 자료공유사이트 및 개 인메일함에 저장을 금지하고 용역 발주기관과 용역업체간 전자우편을 이용해 자료전송이 필요한 경우에는 자체 전자우편을 이용, 첨부자료 암호화 후 수․발신
* 다만, 대외비 이상의 비밀은 전자우편으로 수․발신 금지
발주기관이 제공한 사무실에서 사업을 수행할 경우 제공한 비공개자료는 매 일 퇴근 시 반납토록 하며 비밀문서를 제외한 일반문서는 용역업체에 제공된 사무실에 시건장치가 된 보관함이 있을 경우 이에 보관 가능
용역사업 수행으로 생산되는 산출물 및 기록은 보안담당관이 인가하지 않은 비인가자에게 제공ㆍ대여ㆍ열람을 금지외부 용역업체 보안관리 방안
정보보안지침 , 건국대학교 2012
3. 용역사업 수행 시
사무실/장비에 대한 보안관리
용역사업 수행 장소는 발주기관 내 시건장치와 통제가 가능한 공간을 제공하 거나 CCTVㆍ시건장치 등 비인가자 출입통제 대책이 마련된 외부 사무실을 사 용
용역업체 사무실 또는 용역 업무를 수행하는 공간에 대한 보안점검을 정기적 으로 실시하고 필요시 국가정보원에 지원을 요청
발주기관 내부에서 용역사업을 수행할 경우 용역 참여직원이 노트북 등 관련 장비를 외부에 반출ㆍ입시마다 악성코드 감염여부 및 자료 무단반출 여부 확 인
인가받지 않은 USB 등의 휴대용 저장매체 사용을 금지하며 산출물 저장을 위 해 휴대용 저장매체가 필요한 경우 발주기관의 승인 하에 사용외부 용역업체 보안관리 방안
정보보안지침 , 건국대학교 2012
3. 용역사업 수행 시
내ㆍ외부망 접근 시 보안관리
용역업체 사용 전산망은 방화벽 등을 활용하여 해당기관 업무망과 분리 구성 하고 업무상 필요한 서버에만 제한적 접근 허용
용역사업 수행 시 발주기관 전산망 이용이 필요한 경우 사업 참여인원에 대한 사용자 계정(ID)은 하나의 그룹으로 등록하고 계정별로 정보시스템 접 근권한을 차등 부여하되 기관 내부문서 접근 금지
계정별로 부여된 접속권한은 불필요 시 곧바로 권한을 해지하거나 계정을 폐기
참여인원에게 부여한 패스워드는 보안담당관이 별도로 기록 관리하고 수시로 해당 계정에 접속하여 저장된 자료와 작업이력 확인
보안담당관은 서버 및 장비 운영자로 하여금 내부서버 및 네트워크 장비에 대한 접근기록을 매일 확인하여 이상 유무 보고
용역업체에서 사용하는 PC는 인터넷 연결을 금지하되, 사업수행 상 연 결이 필요한 경우에는 발주기관의 보안통제 하에 제한적 허용
발주기관 및 용역업체 전산망에서 P2P, 웹하드 등 인터넷 자료공유사이 트로의 접속을 방화벽 등을 이용해 원천 차단외부 용역업체 보안관리 방안
정보보안지침 , 건국대학교 2012
3. 사업 완료 시
사업 완료 후 생산되는 최종 산출물 중 대외보안이 요구되는 자료는 대 외비로 작성ㆍ관리하고 불필요한 자료는 삭제 및 세단 후 폐기
용역업체에 제공한 제반자료, 장비, 서류와 중간ㆍ최종 산출물 등 용역 과 관련된 제반자료는 전량 회수하고 업체에 복사본 등 별도 보관 금지
사업 완료 후 업체 소유 PCㆍ서버의 하드디스크ㆍ휴대용 저장매체 등 전자기록 저장매체는 국가정보원장이 안전성을 검증한 삭제 S/W로 완 전 삭제 후 반출
*「정보시스템 저장매체 불용처리 지침」(부록 6) 참조
용역사업 관련자료 회수 및 삭제조치 후 업체에게 복사본 등 용역사업관 련 자료를 보유하고 있지 않다는 대표 명의 확약서 징구외부 용역업체 보안관리 방안
정보보안지침 , 건국대학교 2012
3. 기타
정보누출 적발 시「국가계약법」시행령 제76조에 의거, 지체 없이 부정 당업자 제재조치를 실시하고 관련사항 국가정보원에 통보
* 타 기관의 비공개정보 소유 사실을 적발했을 경우 해당기관 및 국가정보원 에 관련사실 통보외부 용역업체 보안관리 방안
정보보안지침 , 건국대학교 2012
① 기관 소유 전산시스템의 내ㆍ외부 IP주소 현황
② 세부 전산시스템 구성현황 및 전산망구성도
③ 사용자계정 및 패스워드 등 시스템 접근권한 정보
④ 전산시스템 취약점분석 및 모의해킹 결과물
⑤ 용역사업 결과물 및 프로그램 소스코드 (해킹ㆍ유출시 안보ㆍ 국익에 피해가 우려되는 중요 용역사업일 경우에 해당 )
※ 용역계약 일반조건(회계예규 2200.04-161-8) 제56조 참고, 해당기관 이 자체 판단누출금지 정보의 범위 가이드
정보보안지침 , 건국대학교 2012
⑥ 국가용 보안시스템 및 정보보호시스템 도입현황
⑦ 방화벽ㆍ IPS 등 정보보호제품 및 라우터ㆍ스위치 등 네트웍장 비 설정 정보
⑧‘공공기관의 정보공개에 관한 법률’ 제 9조1항에 따라 비공개 대상정보로 분류된 기관의 내부문서
⑨‘공공기관 개인정보보호에 관한 법률’ 제 2조2호의 개인정보
⑩‘보안업무규정’ 제 4조의 비밀, 同 시행규칙 제7조3항의 대외 비
⑪ 기타 각급기관이 공개가 불가하다고 판단한 자료
※ 추가적으로 공개불가 자료가 있을 경우 최대한 구체적으로 명시누출금지 정보의 범위 가이드
정보보안지침 , 건국대학교 2012
누출금지 정보의 범위 Q&A
정보보안지침 , 건국대학교 2012
Q1 누출자의 의도와 관계없이 실수에 의한 정보유출 사고 발생 시 부정당업자 제재가 가능한지?
☞ 누출자가 의도하지 않은 사고라 하더라도 관리부실에 대한 책임이 있으므로 부정당업 자 제재 가능
Q2 시행규칙 별표2에 명시된 ‘정보누출횟수’가 정보누출 적발횟수인지, 아니면 1회 적발 시 실제 누출한 횟수 인지 여부?
☞ 법령 해석에 모호한 점이 있으나 입법취지 등을 고려해 볼 때 ‘정보누출 적발횟수’로 보 는 것이 타당함
Q3 언제부터 추진한 사업체 대해 부정당업자 제재 조치가 가능한가?
☞ 개정안 시행일인 ‘10.10.22 이후 계약된 정보화사업에 대해 적용
누출금지 정보의 범위 Q&A
정보보안지침 , 건국대학교 2012
Q4 과거의 정보누출 사고를 적발했을 경우 제재 가능한지, 과거 사건에 대한 제재 시효 는 없는지?
☞ 법령에 제재시효에 대한 언급이 없으므로 ‘10.10.22 이후 정보누출 사고에 대해서는 시효에 관계없이 제재 가능한 것으로 판단
Q5 정보화사업 진행중인 용역업체가 정보누출을 하여 제재대상이 되었을 경우 해당사 업은 지속 추진이 가능한지?
☞ 부정당업자 제재는 새로운 국가기관 사업에 대해 입찰을 제재하는 것이므로 진행중인 사업과는 관계가 없으므로 지속 추진 가능
Q6 계약당사자의 하청업체가 정보누출을 했을 경우 제재 대상은?
☞ 국가계약법은 정부와 계약당사자의 계약에 관한 법이므로 주사업자가 보안관리 부실 에 대한 책임을 지고 제재 대상이 됨
누출금지 정보의 범위 Q&A
정보보안지침 , 건국대학교 2012
Q7 서로 다른 사업에서 각각 정보누출을 한 용역업체에 대한 제재는 어떻게 적용되는 가?
☞ 시행규칙 별표2(1회 누출 시 1개월, 2회 이상 누출 시 3개월)는 동일 계약 건에 한해 적 용됨
☞ 한 사업에 대한 제재조치로 최초 1개월 입찰제한을 한 후 2번째 사고에 대해서는 시행규칙 제76조제2항에 따라 1/2범위 안에서 가중처벌 할 수 있으므로(제재 종료이후 6개월 이내 발생 했을 경우) 1.5개월까지 입찰제한 가능)
Q8 정보누출 당사자에 대한 형사․민사소송과 병행할 수 있는지?
☞ 부정당업자 제재는 관리부실에 대한 책임을 묻는 행정조치이므로 별도의 소송도 병행 하여 진행할 수 있음
Q9 계약당사자가 보안관리 책임을 다 했을 경우 면책조항에 따라 제재 대상이 될 수 없는 지?
☞ 시행령 제76조제1항에 따라 계약당사자가 보안관리를 완벽히 했을 경우 책임을 물을 수 없음
☞ 그러나, 보안관리 상 경미한 과실이라도 있을 경우 제재 대상이 됨
