결재	정보보호 최고책임자	정보보호 관리자
	/	/

암호관리 지침

문서번호 :

원광대학교

개정이력

개정번호	개 정 내 용 요 약	작성자	시행일자
1.0	최초 제정	유영준	2018. 03. 02.
1.1	암호화 범위 수정	강효원	2019. 08. 28.

제 1 장 총칙

제1조 (목적)

본 지침은 원광대학교(이하 “본교”라 한다)의 중요 정보자산에 대해 기밀성, 무결성, 인증 및 부인방지 등을 보장하기 위한 암호화를 적용하는데 있어 필요한 사항들을 규정하는데 목적으로 한다.

제2조 (범위)

본 지침은 본교 내에서 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 및 「개인정보 보호법」을 따른 고유식별번호(주민등록번호, 운전면허번호, 여권번호, 외국인등록번호), 계좌번호, 신용카드번호 및 본교의 중요정보에 대한 암호화를 적용한다.

제3조 (용어의 정의)

본 지침에서 사용하는 용어의 정의는 다음과 같다.

1. 암호화 : 암호화 기법 및 프로그램을 사용하여 평문 정보를 알아볼 수 없는 정보로 변환하는 과정을 말한다.

2. 복호화 : 암호화 기법 및 프로그램을 사용하여 암호화된 정보를 다시 평문 정보로 변환하는 과정을 말한다.

3. 암호화 키 : 암호화 및 복호화를 수행하기 위해 암호화 기법 및 프로그램에서 사용하는 키를 말한다.

4. 대칭키 암호화 : 대칭키 암호 알고리즘을 사용하여 전송하고자 하는 평문을 암호화하고 복호화하는데 동일한 키를 사용하는 방식이다.

5. 공개키 암호화 : 공개키 암호 알고리즘을 사용하여 암호화하며 공개키와 개인키의 키 쌍이 존재하여 평문을 암·복호화 하는데 서로 다른키를 사용하는 방식이다.

6. 암호키 유효기간 : 사용자 또는 관리자가 특정한 키를 사용할 수 있도록 허용된 기간 또는 특정 시스템에 주어진 키의 유효성을 유지하는 기간을 말한다.

제 2 장 책임 및 권한

제4조 (정보보호최고책임자)

암호화 기술 및 프로그램 등 암호화 관련된 모든 사항들에 대해서 최종 승인 및 관리를 담당한다.

기술 발전과 보안환경에 따라 변화하는 위험에 대비하기 위한 암호기술을 적용하고 관리기준을 수립하는 의무를 가진다.

제5조 (정보보호 관리자)

본교에서 운영하는 주요정보자산의 고유식별정보, 주민번호, 바이오정보 등 암호화 대상에 대한 저장·전송 시 적용할 수 있는 암호알고리즘을 적용하고 운영하여야 한다.

암호화된 정보의 안전성을 위하여 암호화알고리즘과 키를 관리한다.

제6조 (전산단말사용자)

전산단말사용자는 주요정보 또는 대량의 개인정보를 저장, 관리 할 경우 정보보호최고책임자의 승인을 받은 암호화 기술을 적용하여 보호하여야 한다.

제 3 장 암호 대상

제7조 (개인정보 암호화)

다음의 개인정보는 국내 및 국제 표준 암호 알고리즘을 이용하여 암호화 해야 한다. 다만, 업무상의 필요에 따라 별도의 암호 프로그램을 사용해야 될 경우 보안성 검토를 거쳐 암호 프로그램을 선정한다.

1. 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호, 신용카드번호, 계좌번호, 바이오정보

2. 비밀번호(일방향 암호화)

3. 기타 정보보호최고책임자가 정하는 중요정보

제8조 (네트워크 구간 암호화)

중요 정보는 end-to-end 암호 방식으로 보호하는 것을 기본으로 하지만, 기술의 발달에 맞는 적절한 암호 방법을 결정하기 위해서 암호 전문가의 조언 또는 그에 상당한 조력을 얻어 암호기술을 결정한다.

웹 서버와 클라이언트 사이에 대한 암호화는 일정 수준 이상의 보안 검증된 제품을 사용하여야 한다.

기타 URL에 사용되는 암호화는 안전한 TLS 버전을 사용하도록 한다.

제 4 장 암호알고리즘 및 키 크기 선정

제9조 (암호알고리즘 및 키 크기 등 기준)

정보자산의 보호를 위해 암호화 기술 및 프로그램 선택 시 준수해야 하는 관련 법률의 기준에 따라 준수해야하는 적합한 암호화 기술을 운영하거나 이용해야 한다.

중요한 정보자산에 대한 기밀성, 무결성 및 부인방지 등을 위해 이용 가능한 대칭키 및 비대칭키 암호알고리즘, 해쉬 알고리즘 등에 대해 기준에 따라 운영한다.

구분	공공기관	민간부분(법인·단체·개인)
대칭키 암호 알고리즘	SEED, LEA, HIGHT, ARIA-128/192/256	SEED ARIA-128/192/256 AES-128/192/256 Blowfish Camelia-128/192/256 MISTY1 KASUMI 등
공개키 암호 알고리즘 (메시지 암・복호화)	RSAES-OAEP	RSA RSAES-OAEP RSAES-PKCS1 등
일방향 암호 알고리즘	SHA-224/256/384/512	SHA-224/256/384/512 Whirlpool 등

암호화 알고리즘 및 키 길이 선택 시 적용될 암호화 방식 수준을 지정하고 정보보호최고책임자의 승인을 득하여야 한다.

1. 암호화 수준 및 암호 알고리즘의 유형, 신뢰성, 키 길이 등은 암호 대상 및 해당 업무의 비밀성 요구 정도에 따라 정하되, 보안성 검토를 통해 결정해야 한다.

2. 알고리즘에 대한 적절한 키 크기를 선택할 때에는 알고리즘의 보안 강도와 해당 알고리즘의 안전성 유지 기간 및 보호하고자 하는 데이터의 예상 보안 수명 기간을 고려해야 한다.

제10조 (적용대상에 따른 암호화)

정보자산의 중요정보 및 개인정보를 처리하고 관리하는 시스템은 DB에 저장된 정보를 암호화하여 저장함으로써 정보의 유출, 위·변조, 훼손 등을 방지한다.

정보시스템의 DB를 암호화할 수 있는 방식은 암ㆍ복호화 모듈의 위치와 암ㆍ복호화 모듈의 요청 위치의 조합에 따라 기술적 검토를 통하여 적절한 방법을 구현하고 승인한다.

DB암호화는 응용프로그램 자체 암호화 방식을 이용하여 암·복호화 모듈이 API 라이브러리 형태로 서버에 설치되어 응용프로그램에서 암·복호화를 수행하는 방식을 이용한다.

홈페이지를 통해 ID, 비밀번호 및 주민등록번호, 계좌번호, 신용카드 등과 같은 중요정보를 처리 시 위변조를 방지하고 중요정보가 제 3자에게 유출되는 것을 방지하기 위하여 통신 암호화기술(SSL/TLS)을 사용한다.

인증기관으로부터 인증서를 발급받아 웹 서버와 사용자의 웹브라우저 간 SSL/TLS를 구현하고 사용자가 웹 서버에 접속 시 인증서 및 암호키를 이용하여 데이터를 암호화하여 전송한다.

긴급상황에 의해 관리자 및 개발자가 정보시스템에 접근 필요시 SSL VPN을 이용하여 개별 사용자 인증 및 암호화통신을 구현한다.

개인용 PC 및 노트북은 업무용 컴퓨터에서 주로 사용하는 문서도구(한글, MS워드, 엑셀 등)에서 자체암호화 기능을 통하여 주요정보 파일을 암호화 한다.

제11조 (키 유효기간 설정)

암호화 Key 파기는 별도의 해킹 등의 보안사고가 발생하지 않은 한 시스템 운영 및 데이터의 원활한 운영을 위해 영구적으로 운영한다.

해킹 등의 보안사고로 인해 암호화 Key의 분실 및 도난 되었다고 판단되었을 경우 「개인정보 유출사고 대응 매뉴얼」, 「침해사고대응 지침」에 따라 사고 처리 후 암호화 Key를 즉시 폐기하고 신규 암호화 Key를 생성한다.

제 5 장 키 관리 절차

제12조 (암호키 생성 및 분배)

암호키를 사용하고자 하는 자는 [서식 1] 암호키 신청 대장(생성, 분배, 복구, 폐기)에 사용목적 및 대상을 작성하여 정보보호 관리자에게 요청하고 정보보호최고책임자에게 승인을 받아야 한다.

정보보호 관리자는 암호키를 사용자에게 생성 및 분배하며 [서식 2] 암호키 관리대장에 이력을 관리하여 시건장치가 있는 보관함에 관리하도록 한다.

암호화에 사용되는 키는 하나의 목적(암호화용, 인증용, 키 암호화용, 키 분배용 등)으로만 사용되어야 한다.

암호에 사용되는 모든 키는 불법으로 변경되거나 대체되지 못하도록 해야 하며 암호키와 개인키는 노출되지 않도록 해야 한다.

키를 분실한 경우 정보보호최고책임자에게 신고 후 재사용되지 않도록 조치를 취한다.

제13조 (암호키 복구)

키 분실이나 손상, 업무 담당자의 갑작스런 퇴직 등으로 암호화되었던 문서의 복호화가 불가피하게 필요한 경우 사용자는 [서식 1] 암호키 신청 대장(생성, 분배, 복구, 폐기)에 복구 신청사유를 작성하고 정보보호 관리자에게 제출하고 정보보호 담당관의 승인을 받아 복구를 처리하도록 한다.

제14조 (암호키 폐기)

사용자는 사용하고 있는 암호 키의 유효기간이 만료되었을 경우 해당 암호 키를 정보보호 관리자에게 반납을 하며 정보보호 관리자는 [서식 2] 암호 키 관리대장에 폐기 날짜 등을 기록하여 폐기 이력을 관리하도록 한다.

제15조 (암호키 백업)

암호 키는 유실에 대한 신속한 대응을 위하여 파일의 형태로 된 키를 분배 시에는 정보보호담당자가 별도의 매체에 백업을 실시하도록 하며 시건장치가 된 안전한 장소에 보관하여야 한다.

[부칙]

제1조 (시행일자)

본 지침은 2019년 08월 28일부터 시행한다.

[서식 1] 암호키 신청 대장(생성, 분배, 복구, 폐기)

암호키 신청 대장(생성, 분배, 복구, 폐기)

일자	암호키 관리대장번호	신청구분 (생성,분배,복구,폐기)	적용대상	신청사유	신청자	정보보호 관리자	정보보호 최고책임자
					(인)	(인)	(인)
					(인)	(인)	(인)
					(인)	(인)	(인)
					(인)	(인)	(인)
					(인)	(인)	(인)
					(인)	(인)	(인)
					(인)	(인)	(인)
					(인)	(인)	(인)
					(인)	(인)	(인)
					(인)	(인)	(인)
					(인)	(인)	(인)
					(인)	(인)	(인)
					(인)	(인)	(인)
					(인)	(인)	(인)

※ 본 양식을 준용하되 관리측면에서 필요시 양식의 형태를 변경할 수 있음.

[서식 2] 암호 키 관리대장

암호 키 관리대장

일련번호
암호 대상
목 적
암호화 키
키 분배 일자
유효기간
생성/분배자	소속		성명	(인)
수령자	소속		성명	(인)
키 폐기 일자			정보보호 담당자	(인)
비고