결재	정보보호 최고책임자	정보보호 관리자
	/	/

업무연속성관리 지침

문서번호 :

원광대학교

개정이력

개정번호	개 정 내 용 요 약	작성자	시행일자
1.0	최초 제정	유영준	2018. 03. 02.
1.1	제 10조 수정	강효원	2020. 01. 31.
2.1	제16조 신설	강효원	2022. 03. 16
2.2	직제개편으로 부서 명칭 수정	강효원	2024. 12. 20

제 1 장 총칙

제1조 (목적)

본 지침은 원광대학교(이하 ‘본교’라 한다)의 침해사고 및 장애, 재해 발생 시 본교의 업무에 대한 연속성을 확보하기 위해 필요한 보안통제 절차를 정의하는데 목적이 있다.

제2조 (적용 범위)

본교 내의 재해복구 계획의 수립 및 이행과 관련된 모든 교직원에게 적용이 된다.

제3조 (용어의 정의)

본 지침은 다음 용어 정의를 따른다.

재해: 지진, 낙뢰 등의 천재나 화재, 정전, 부주의 및 보안 침해 등으로 정보시스템이 작동 불능상태 또는 서비스 중단으로 일부 또는 전부를 사용할 수 없는 상황을 말한다.

업무 프로세스: 각 부서에서 일정한 목표를 달성하기 위한 업무 흐름으로 단위 업무의 집합을 말한다.

복구 목표: 재해 발생 시 비용/효익(Cost Benefit) 측면에서 달성하고자 하는 복구의 수준을 말한다.

복구요구시간: 재해 발생 시 수용 가능한 피해를 넘지 않도록 통제하고자 하는 복구 목표를 달성하는 데 소요되는 시간을 말한다.

장애: 전산센터의 시스템이 불가항력으로 발생하는 자체 오작동 때문에 작동 불능상태 또는 서비스 중단으로 일부 또는 전체를 사용할 수 없는 상황을 말한다.

제 2 장 책임 및 권한

제4조 (정보보호최고책임자)

재해복구 계획에 대한 정책을 수립하고 정책의 이행을 위해 필요한 자원을 지원한다.

재해복구 관련 업무와 조직의 지휘를 총괄한다.

재해 시 재해복구 업무의 추진상황을 점검한다.

제5조 (정보보호관리자)

재해복구 계획에 대한 정책의 실무적인 이행을 위해 필요한 자원을 준비한다.

재해복구와 관련된 정책을 수립하여야 한다.

재해복구 관련 업무와 조직의 실무적인 지휘를 수행한다.

재해복구대책반의 반장으로 선임한다.

제6조 (정보시스템담당자)

본 지침 및 재해복구 대응메뉴얼에 따라 업무에 해당하는 정보시스템에 대한 재해복구업무를 수행한다.

제 3 장 재해복구 조직의 구성

제7조 (재해복구조직의 구성)

재해 발생 시 재해복구를 신속하게 수행하기 위해 재해 복구조직을 구성하여 운영하여야 한다.

재해복구 조직은 재해 발생 시 자동적으로 정보보호최고책임자가 구성하며 감독을 하여야 한다.

재해복구조직은 정보보호 조직과 정보시스템담당자가 참여하며 분야별로 적정 인원을 선임하여 실무를 수행하도록 하여야 한다.

제8조 (재해복구대책반의 역할)

재해 복구활동에서 각 복구반들을 관리하며 실무와 관련된 주요 의사결정을 수행하며 재해 시 공식적인 외부 창구 역할을 담당한다.

재해복구대책반의 평상시 역할은 다음과 같다.

재해복구 대응메뉴얼을 고안, 개발, 유지 및 관리하는 업무를 수행하여야 한다.

‘재해복구 대응메뉴얼’을 숙지하고 필요 시 재해복구 시스템구축과 관련된 정보를 하위 복구반에 전달한다.

재해복구시스템 구축 시 또는 테스트를 실시할 때 필요한 장비 및 인력을 동원한다.

재해복구시스템 구축 테스트나 실제 재해가 발생하여 재해복구시스템을 구축할 때 관련된 복구 관련 활동사항을 감시한다.

‘재해복구 대응메뉴얼’의 최신판이 항상 소산 보관되도록 하며 배포한 재해복구계획서를 항상 최신 정보로 교체 관리하여야 한다.

‘재해복구 대응메뉴얼”의 검증을 위하여 년 1회 담당자의 승인을 받는 절차를 위하여 각 담당자들로부터 검토 및 재확인된 사항을 반영한다.

재해복구대책반의 재해 시 역할은 다음과 같다.

시스템실의 재해복구와 관련된 모든 업무에 대해 주관한다.

관련 부서 및 조직으로부터 피해상황 보고를 접수한다.

재해가 본교의 이미지, 대외 서비스 등에 미치는 영향을 평가한다.

영향평가 결과에 근거하여 향후 계획 결정 및 공표를 한다.

내부적인 상황 전파 및 대외 홍보사항을 점검하고 통보 관리한다.

재해복구요원을 소집하고 복구에 필요한 데이터의 백업 및 관련 서류를 재해복구센터로 운송 조치한다.

재해복구 인력을 적시에 적절하게 배치하여 재해복구 시스템을 신속하고 정확하게 구축한다.

재해복구 시스템 구축과 관련한 모든 활동을 재해복구대책반장에게 보고하고 필요 시 관련된 담당자 및 외부기관에 통보한다.

재해복구 시스템 가동에 따른 미복구된 업무의 재개를 위한 복구계획을 검토 관리한다.

재해복구대책반의 복구시스템 전환 및 가동 후 책임사항은 다음과 같다.

재해복구센터에서 복구 시스템이 가동된 이후에 정상적인 운영체제를 유지할 수 있도록 주관한다.

구축된 재해복구 시스템을 운영할 요원들에 대한 운영지원 일정계획을 작성한다.

재해복구 시스템이 구축되어 정상적인 업무를 하게 되면 복구지원반이 ICT혁신원 복원계획을 추진하도록 지시한다.

계획되지 않거나 예상치 못한 사건과 관련하여 의사 결정을 한다.

문제 및 사건 기록관리, 개선사항을 재해복구계획에 반영한다.

추가로 필요한 비품, 서비스 및 기타 자원의 구입에 대한 권한을 가진다.

제9조 (정보통신 분야별 복구반의 역할)

시스템실에 재해 발생 시 서버, 네트워크, 데이터베이스, 정보보호시스템과 관련된 복구 업무를 실시하고 재해복구 시스템이 구축된 후에 정상적인 업무가 재개되도록 필요한 활동을 수행한다.

평상 시 역할은 다음과 같다.

재해복구 계획의 시스템 복구에 대한 기술적인 절차를 수립한다.

복구대상이 되는 시스템과 관련한 업무 사항에 대한 모든 복구계획과 개발부서에서 개발된 재해복구 관련 절차를 재해복구계획에 반영될 수 있도록 정보를 제공한다.

복구 대상이 되는 운영체제, 데이터베이스 및 네트워크에 대한 주요 정보 및 문서, 소프트웨어 목록 등을 관리한다.

소산되는 주요 정보에 대한 백업정보를 재해복구대책반장이 정하는 주기에 따라 검사를 수행하고 문제 사항 및 해결방안에 대해 대책을 적용한다.

복구 대상이 되는 시스템에 대한 재해복구 테스트를 실시하고 실시 후 15일 이내 결과 보고서를 재해복구대책반장에게 제공한다.

재해복구 시스템 구축 테스트를 실시하여 재해복구 계획을 검증하고 검토된 절차를 계획서에 반영한다.

재해 시 역할은 다음과 같다.

복구 대상이 되는 주요 정보가 재해복구대책반에 정확히 보관되고 있으며 추가로 필요한 정보가 시스템실로 운송될 수 있도록 확인 작업을 실행한다.

재해복구대책반에서 시스템을 복구하고 관련된 서버, 데이터베이스, 네트워크가 복구되어 업무를 재개할 수 있도록 한다.

재해복구대책반의 자원을 이용하여 시스템을 복구하기 위한 케이블 배선, 전원선 배선 등의 작업을 실시한다.

재해복구대책반에서 재해복구 일정에 맞도록 재해복구체제의 운영계획을 재해복구대책반장과 상의사형 수립한다.

재해복구 후 역할은 다음과 같다.

복구된 재해복구 시스템의 정합성을 검토하고 업무가 정상적으로 운영될 수 있도록 기술적인 지원체제를 유지한다.

구축된 재해복구 시스템을 이용하여 업무가 정상적으로 실행될 수 있도록 담당부서와 협조체제를 유지한다.

제 4 장 재해복구 계획수립 및 이행

제10조 (업무의 중요도 및 평가)

① 정보보호관리자는 업무의 연속성을 훼손할 수 있는 재해를 식별하고 발생에 따른 영향을 분석하여야 한다.

② 정보보호관리자는 매년 주기로 업무에 대한 중요도 및 평가를 실시하여야 한다.

③ 정보보호관리자는 재해복구 매뉴얼 상의 복구 시간을 업무복구 목표 시점으로 정의하고 이를 달성하기 위한 요구사항을 도출하여야 한다.

재해 복구 시스템은 원본 시스템에서 재해 복구 센터로 복제된 최종의 시점으로 데이터 및 시스템을 복구한다.

재해 복구 대상 시스템은 재해 복구 매뉴얼에 첨부하고, 대상 시스템의 추가/변경이 발생 될 때 즉시 매뉴얼을 수정하여 최신의 데이터를 보관하여야 한다.

제11조 (업무 중요도 등급)

정보보호관리자는 제11조 (업무의 중요도 및 평가) 결과를 바탕으로 업무 중단에 따른 피해 정도에 따라 모든 업무를 다음과 같이 분류하여야 한다.

핵심(Critical) 업무: 뉴스 서비스 등과 같이 업무가 중단될 경우 손실이 막대하여 장시간 지속될 경우 본교에 치명적인 영향을 줄 수 있는 업무

중요(Vital) 업무: 기타 대외 서비스 및 본교의 중요 업무시스템으로 업무가 중단될 경우 고객에게 불편을 초래하거나 본교의 경영 상 피해를 줄 수 있는 업무

일반(General) 업무: 내부 교·직원을 위한 업무 시스템으로 재해 발생 시 조직에 미치는 영향이 미미하며 복구 시 까지 수작업으로 수행 가능한 업무

제12조 (재해복구 계획 수립)

정보보호관리자는 정보시스템의 서비스 중단을 비롯하여 업무 중단을 최소화하기 위해 중요 업무에 대해 재해복구 계획을 수립하여야 한다.

정보보호관리자는 재해 발생 시에 대비한 반출 요령을 마련하여 비상반출 물품에 대한 우선순위를 부여하여야 한다.

정보보호관리자는 재해발생 시 복구를 위한 비상운영 절차 및 복구절차를 수립하고 재해복구대책반이 복구절차를 숙지할 수 있도록 하여야 한다.②

정보보호관리자는 정보환경의 변화 및 신규 요구사항의 발생 등이 재해복구 계획에 반영되도록 년 1회 재평가하여 정보보호최고책임자의 승인을 거쳐 변경하여야 한다.

제13조 (비상연락망 구축)

정보보호관리자는 재해복구 관련 조직에 대한 비상연락망을 구축하고 항상 최신 정보로 유지하여야 한다.

정보보호관리자는 내부 교직원 및 외부인력, 정보시스템 제조사, 대외 협력기관, 소방서, 병원 등을 포함한 비상연락망을 작성하여 관리하여야 한다.

제14조 (재해복구 훈련)

정보보호관리자는 주기적으로 재해복구 훈련을 실시하여 그 결과를 재해복구 계획에 반영하여야 한다.

제15조 (사후관리)

정보보호관리자는 동일 사건의 발생을 최소화하기 위해 사고 종류, 원인, 대처 방법 등을 재해복구대책반에게 교육을 실시하여야 한다.

사건과 관련하여 생성된 정보보호 관련 위반사항 및 사고 관련 자료는 최소 1년간 보관하여야 한다.

사고의 원인이 내부자의 고의적 과실로 드러날 경우 ‘인력 보안지침’에 따라 징계처리 할 수 있다.

제16조 (재해복구 목표시점, 재해복구 목표시간 정의)

① 정보보호 조직은 재난, 재해 발생에 대비할 수 있는 재해복구 목표시점(RPO)와 재해복구 목표시간(TRO)를 정의하여야 한다.

② 재해복구 목표시점(RPO)과 재해복구 목표시간(RTO)은 정보보호 관리자, 정보보호 최고책임자의 승인을 득한 후 재해복구 훈련 매뉴얼에 게시한다.

[부칙]

제1조 (시행일자)

본 지침은 2022년 03월 16일부터 시행한다.