결재	정보보호 최고책임자	정보보호 관리자
	/	/

외부인력보안 지침

문서번호 :

원광대학교

개정이력

개정번호	개 정 내 용 요 약	작성자	시행일자
1.0	최초 제정	유영준	2018. 03. 02.
1.1	제10조 수정	강효원	2020. 08. 06.

제 1 장 총칙

제1조 (목적)

본 지침은 원광대학교(이하 ‘본교’라 한다)의 정보자산을 이용하는 외부인력에 의해 발생할 수 있는 정보유출, 변조, 오남용, 삭제 등 각종 보안사고를 최소화하기 위해 외부인이 준수해야 하는 정보보호 활동을 규정하는 것을 목적으로 한다.

제2조 (범위)

본 지침은 본교 내의 외부인력 계약에 의해 서비스를 공급하는 업체 및 개인, 관련 부서 및 해당 교·직원에게 적용된다.

제3조 (용어의 정의)

본 지침은 다음 용어 정의를 따른다.

제3자: 회사의 정보자산을 이용하여 서비스와 기타 업무를 대행하는 자를 뜻하며 다음을 포함한다.

가. 컨설턴트

나. 아웃소싱

다. 경비 및 기타 지원 서비스

라. 아르바이트생 고용 및 기타 단기간의 임시 채용

마. 하드웨어와 소프트웨어의 개발, 유지보수 및 운영을 담당하고 지원하는 외부업체 직원

제 2 장 책임 및 권한

제4조 (정보보호관리자)

외부인력 및 이들이 소속된 업체를 본 지침에 따라 관리할 책임이 있다.

외부인력에게 보안 준수사항 및 사고 시 보고 절차 등을 명확히 공지하여야 한다.

외부인력의 소속 업체가 계약에 따라 이행하는지 모니터링 하여야 한다.

제5조 (정보보호담당자)

외부인력 계약과 관련하여 계약서 내에 적정한 보안통제 문구가 포함될 수 있도록 지원하여야 한다.

외부업체 관리를 위해 기술상 지원을 요청하는 경우 이를 지원하여야 한다.

제 3 장 외부인력 관리 절차

제1절 외부인력에 대한 보안통제

제6조 (외주 계약 시 보안통제)

외주계약이 필요한 부서의 제7조(외주 계약서의 보안요건)을 계약서에 명시하여야 한다.

외부인력을 통해 부서 업무를 수행할 경우 계약 완료 전에 정보자산에 대한 외부인의 접근을 허용해서는 안 된다. 단, 불가피한 경우 소속 부서장의 승인을 득한 후 접근을 허용할 수 있다.

제안업체의 제안서 접수 시, 해당업무 발주부서는 제안업체가 아래의 제7조(외주 계약서의 보안요건)에 동의한 것으로 간주하며, 차후 계약 시 보안요건을 계약서에 명기한다.

제7조(외주 계약서의 보안요건)의 계약 요건 중 제안업체(외주업체)가 수용 불가능한 요건이 있을 경우, 유관 부서와 사전 협의를 거쳐 조정할 수 있다.

제7조 (외주 계약서의 보안요건)

외주 계약서와 관련하여 일반적인 계약사항은 다음의 보안요건을 고려하여 작성하여야 한다.

1. 자산의 보호

가. 정보 및 소프트웨어를 포함하는 조직의 자산을 보호하기 위한 절차

나. 자료의 손실 또는 변경 등과 같은 센터의 자산에 대한 훼손이 발생했음을 판단할 수 있는 절차

다. 계약의 종료나 인수 시점에서 자산의 반환 또는 파손을 확인할 수 있는 방법

라. 자산의 무결성과 가용성

마. 자산의 복사나 유출에 대한 제약 사항

2. 법적 문제와 관련된 책임

3. 지적 재산권과 저작권 부여 및 공동 작업에 대한 보호

4. 계약서 혹은 관련 명세서 상에서 접근통제에 대한 부분은 다음 사항을 포함하여야 한다.

가. 허용된 접근 방식, ID/패스워드와 같은 신분확인 수단의 사용과 통제

나. 사용자 접근 및 권한 부여 및 승인에 대한 절차

다. 접근 권한이 부여된 사용자의 목록과 접근 권한의 유지 및 주기적 검토

5. 계약상의 보안 책임에 대해서 제3자를 감사할 수 있는 권리 또는 외부자로 하여금 제3자가 계약상의 책임을 수행하고 있는지를 관리 및 보호대책 수립

6. 물리적 보안 통제 요소들의 구현과 해당 요소들이 준수되도록 할 수 있는 절차

7. 인력에 대한 보안교육 수행

8. 악의적인 소프트웨어에 대해서 보호할 수 있는 통제

9. 보안사고와 보안침해에 대한 보고서 작성

제8조 (외부 위탁계약 시 보안통제)

사용자는 외부 위탁계약 시 다음 각 호를 특별히 고려하여야 한다.

1. 특별히 중요하거나 핵심적인 부분들은 자체 관리하는 것이 보다 안전할 수 있는지 고려

2. 업무 연속성의 보장 여부

3. 정보보호 지침 준수 여부

4. 시스템 이상 및 장애 시의 처리 책임과 절차의 수립 여부

5. 보안 사고 및 보안 취약점 발생 시의 처리 책임과 절차의 수립 여부

부서 업무를 외부에 위탁하고자 하는 부서의 계약 담당자는 외부 위탁 계약 시 계약서에 정보유출 예방을 위한 비밀유지 조항 및 손해배상 청구 등을 반영하여 계약을 체결하여야 한다.

업무를 외부에 위탁한 부서의 관리자는 외부 위탁 업체의 보안 준수 여부를 검증하기 위해 다음 사항을 포함한 보안 감사의 실시가 계약서에 명시될 수 있도록 하여야 한다.

1. 출입통제 등 업무 환경적 보안

2. 위탁 업무 과정에서 발생하는 데이터의 보안관리

3. 위탁 업무 수행 인원에 대한 보안관리

4. 업무 수행 중 생성된 정보 및 문서에 대한 주기적인 검토

제9조 (외부인의 업무 환경 구성)

외부인과 계약한 계약 담당자는 외부인에게 [서식 1] 보안서약서(업체 대표자용), [서식 2] 보안 서약서(업체 업무자용)를 징구하여야 한다

프로젝트를 담당하는 외부인의 상주 근무를 위한 업무 공간을 제공하여 정보 유출을 예방하여야 한다.

프로젝트에 참여한 외부인력에 대한 정보보호 교육을 1회 이상 실시하여야 한다.

제10조 (외부인의 보안통제)

상주하는 외부인이 정보보호 교육을 이수할 수 있도록 지원하여야 한다.

업무상 제공한 내부 자료에 대해 보안관리 방안을 외부인에게 지시하며, 이에 대한 준수여부를 수시로 확인한다.

외부인의 PC로 인한 바이러스 감염사고 등의 보안사고가 발생하지 않도록 조치를 하여야 한다.

외부인의 업무 수행에 따라 산출되는 산출물 및 산출물이 저장된 CD-ROM 등 보조기억 매체, 업무용 노트북 등을 시건 장치가 부착된 캐비닛 등에 보관하도록 지시하여야 한다.

외부인의 경우에는 원격 접근은 원칙적으로 금지하며, 불가피하게 원격 접근이 필요한 경우 정보보안담당자의 책임하에 정보보호 관리자에게 요청할 수 있다.

외부인력 보안통제에 대한 정보보호 관리자의 확인 요청에 적극적으로 협조하여야 한다.

정보보호 관리자는 외부 인력이 다음 사항에 해당하는 경우, 외주 계약업체에 교체를 요청할 수 있다.

1. 정보보호 사고

2. 중대한 보안규정 위배

제11조 (외부인 계약 종료 시 통제)

외부인과의 계약 종료 시 해당 부서에서 다음의 사항을 확인 하여야 한다.

1. 정보보호담당자: 정보보호 교육 이수 확인 및 계정/권한 삭제

2. 시스템담당자: 지급된 정보자산 반납

정보보호관리자는 정기 보안 감사를 통해 계약 종료 시 외부인에 대한 보안 통제가 적용되었는지 점검하고 비밀유지 서약서를 작성한다.

제2절 제3자 서비스 변경 시 보안 통제

제12조 (제3자 업체의 계약 해지 시 보안통제)

업무수행 중 제공된 정보는 백업데이터를 포함하여 모든 정보를 회사에 반납하고 기술적으로 재생이 불가능하도록 파기하여야 한다.

업무수행 중 사용한 각종 문서 등은 세단을 실시하여 복원 불가능하도록 파기하여야 한다.

제3자 업체는 처리결과를 계약담당자에게 통보하여야 한다.

제13조 (제3자 업체의 계약 변경 시 보안통제)

제3자 업체의 계약 변경 시 사업담당자는 변경에 따른 위험을 평가하도록 정보보호관리자에게 요청하여야 한다.

[부칙]

제1조 (시행일자)

본 지침은 2020년 08월 06일부터 시행한다.

[서식 1] 보안 서약서(업체 대표자용)

보 안 서 약 서(업체 대표자용)

본인은     년   월   일부로                         계약과 관련한 업무를 수행함에 있어 다음 사항을 준수할 것을 엄숙히 서약합니다.

1. 본인은 원광대학교                         계약과 관련하여 업무 중 알게 될 일체의 내용이 직무상 기밀 사항임을 인정한다.

2. 본인은 알 필요가 없는 자(직원, 고객 혹은 계약직 직원 등)에게 대학 소유 정보를 누설하지 않을 것이며, 업무상 알게 된 고객의 비밀 및 개인정보를 누설하지 않는다.

3. 본인이 이 기밀을 누설하거나 관계 규정을 위반한 때에는 관련 법령 및 계약에 따라 어떠한 처벌 및 불이익도 감수한다.

4. 본인은 사업 수행 시 본사로 인해 발생하는 위반사항에 대하여 모든 책임을 부담한다.

년     월     일

서  약  자     업   체   명 :

직        위 :

성        명 :         (서명)

원광대학교 총장 귀하

[서식 2] 보안 서약서(업체 업무자용)

보안 서약서

본인은      년   월   일부로                         관련 유지보수(업무)을

수행함에 있어 다음 사항을 준수할 것을 엄숙히 서약한다.

1. 본인은                        관련 업무 중 알게 될 일체의 내용이 직무상

기밀사항임을 인정한다.

2. 본인은 이 기밀을 누설함이 국가안전보장 및 국가이익에 위해가 될 수 있음

을 인식하여 업무수행 중 지득한 제반 기밀사항을 일체 누설하거나 공개하

지 아니 한다.

3. 본인이 기밀을 누설하거나 관계 규정을 위한 반 때에는 관련 법령 및 계약에       따라 어떠한 처벌 및 불이익도 감수한다.

4. 본인은 하도급업체를 통한 사업 수행 시 하도급업체로 인해 발생하는 위반사항

에 대하여 모든 책임을 부담한다.

5. 본 사업에 참여한 직원을 대상으로 누출금지 대상정보에 대한 누출금지 보안

교육을 실시한다.

년       월        일

원광대학교 총장 귀하

서  약  자   업체명 :                          직 위 :

성 명 :               (인)

[첨부 1] 보안점검 체크리스트(외부 업체용)

보안점검 체크리스트

(외부 업체용)

계약명(부서)
계약 업체명		점검일
점검대상자		검사자(부서/성명)

NO	구분	점검항목	점검방법	점검결과	의견
1	정보보호 규정	본교의 보안지침에 대해 숙지하고 있는가?	인터뷰
2	매체통제	사전에 인가받지 않은 매체를 사용하고 있는가?	실사
3	정보보호 교육	외주 PM은 보안에 대해 명확한 인식을 가지고 주기적으로 점검, 교육하는가?	인터뷰 /문서점검
4	접근통제	주요 내부문서에 대한 불법적인 접근, 변조 및 누출이 감지되었는가?	실사
5		주어진 시스템 권한외의 타 시스템이나 네트워크에 접근하고 있는가?	실사
6		사용자별, 또는 사용자그룹별로 접근권한이 정의되어 있는가?	인터뷰 /실사
7		개인정보가 포함된 서류 및 저장장치(USB, CD등)에 대한 물리적 보안 조치가 이루어 지고 있는가?	실사
8	백신설치	업무용 컴퓨터에 백신 소프트웨어 설치하여 주기적 업데이트 및 실시간 자동감시를 시행하고 있는가?	실사
9	개인정보 암호화	개인정보취급자 컴퓨터에 저장된 개인정보를 암호화하고 있는가?	실사
10	개인정보 이용/제공	개인정보를 위탁업무 목적외로 이용하거나 제3자에게 제공하고 있지 않는가?	인터뷰 /실사
11	개인정보 파기	이용목적이 달성된 개인정보를 지체없이 파기하고 있는가?	인터뷰 /실사
12	로그감사	시스템 로그에 데이터, 프로그램들에 대한 불법적인 접근, 변조 및 누출이 감지되었는가?	실사
13		개인정보를 조회한 이력이 있는가?	실사

(※ 체크항목 및 점검방법은 정보보호 관리자의 판단에 따라 변경될 수 있음.)