결재	정보보호 최고책임자	정보보호 관리자
	/	/

위험평가관리 지침

문서번호 :

원광대학교

개정이력

개정번호	개 정 내 용 요 약	작성자	시행일자
1.0	최초 제정	유영준	2018. 03. 02.

제 1 장 총칙

제1조 (목적)

본 지침은 원광대학교(이하 “본교”라 한다)이 보유하고 있는 정보자산의 위험을 평가하고, 정보보호 관리체계를 실행하며 유지하기 위한 위험관리 방법을 정의하는 것을 목적으로 한다.

제2조 (적용 범위)

본 지침은 본교의 주요 정보시스템 및 이의 개발, 운영 및 유지보수에 관련된 시설, 정보자산 및 데이터, 문서, 물리적 자산의 위험평가와 관리를 위한 모든 활동에 적용된다.

제3조 (용어의 정의)

위험평가 관리에 따른 용어정의는 다음과 같다

1. 취약점: 본교의 자산이 가지고 있는 약점들로서, 바이러스 패치의 부족, 소프트웨어의 테스트 부족, 패스워드 및 네트워크 접근 설정의 부재 등과 같이 자산에 직접적인 해는 없으나 위협에 의해 자산에 손실을 입을 수 있는 상황을 말하며, 자산에 대한 통제(보안 대책)를 적용하여 취약점 수준을 감소시키거나 제거 가능하다.

2. 위협: 자산에 손실을 초래 할 수 있는 원치 않는 사건의 잠재적 원인 이하 행위로 바이러스, 외부로 부터의 해킹, 소프트웨어의 장애 등이 해당된다.

3. 위험: 자산에 존재하는 취약점을 이용하여 발생할 수 있는 위협을 말하며, 자산의 중요성에 따라서 그 위험의 크기는 변할 수 있다.

4. 위험평가: 자산의 중요도와 자산의 기밀성, 무결성, 가용성 측면에서의 취약점의 수준에 따라 위험의 크기를 측정하고, 위험도를 산출하는 행위를 말한다.

5. 수용가능 위험(Degree of Assurance, DoA): 위험분석 결과 나타난 보안관리체계 범위내의 자산별 위험에 대해서 수용 가능한 위험도의 수준을 결정하는 것을 말한다.

6. 위험관리: 위험을 일정 수준 이하로 관리하기 위한 위험분석, 위험평가, 대책선정을 포함하는 전체 프로세스를 말한다.

7. 위험처리 전략: 위험분석·평가 단계를 통한 위험의 우선순위에 따라 선택할 수 있는 방안을 크게 위험수용, 감소, 회피, 전가의 4가지로 나눈다.

제 2 장 관리 주체

제4조 (정보보호최고책임자)

위험평가 결과 및 위험관리 방안을 정보보호위원회에 상정하여야 한다.

정보보호위원회 심의 결과를 근거로 하여, 관리하여야 할 위험 대상 및 위험관리 방안을 최종 승인하고 이를 감독할 책임이 있다.

제5조 (정보보호관리자)

자산의 위험평가 결과를 취합하고 위험관리 방안을 도출한다.

위험평가 결과 및 위험관리 방안을 정보보호최고책임자에게 보고하여야 한다.

제6조 (정보보호위원회)

정보보호최고책임자가 상정한 위험평가 결과 및 위험관리 방안의 적정성을 심의하여 의결한다.

제7조 (자산담당자)

관리대상 자산의 취약점 및 위협에 대한 위험 평가를 실시하고 이를 정보보호관리자에게 통보한다.

제 3 장 취약점 분석

제8조 (자산 중요도 평가)

자산담당자는「정보자산 관리지침」을 준용하여 관리대상 자산의 기밀성, 무결성, 가용성의 측면에서 평가하여 자산의 중요도를 결정한다.

제9조 (취약점 분석)

평가계획은 평가대상, 수행주체, 수행절차, 소유예산, 평가일정, 산출물 등 취약점분석평가를 위한 세부계획을 수립하여야 한다.

자산담당자는 서버, DB, 네트워크, 보안장비, 부대시설 등의 자산을 식별하고 유형별로 그룹화하여 취약점분석평가 대상목록을 작성한다.

취약점분석수행을 위한 관련 법률에 따른 법적준거성을 평가하고 관리적, 물리적, 기술적 세부점검항목을 수립한다.

구분	설명
관리적	정보보호 정책 수립 및 관리 취약점, 정보보호 조직 및 인적 보안 취약점, 정보보호 인식 및 교육훈련 부재 등 관리적 측면 점검
물리적	정보시설의 출입자 통제 및 감시 소홀, 지원설비(전원공급장치, 소방시설 등) 설치 유무 등 물리적 측면 점검
기술적	비인가자에 의한 시스템 접근 취약점, 정부 유출 및 변조 취약점, 서비스 지연 및 마비 가능성 등의 기술적 측면 점검

제10조 (취약점 평가)

자산담당자는 자산의 중요도를 고려하여 관리대상 자산의 취약점을 평가한다.

자산담당자는 정보시스템에 대해 취약점 평가를 실시할 경우 [첨부 1] 자산별 취약점평가 체크리스트를 이용하여야 한다.

취약성 점검 시 진단지표는 다음을 참조하며, 환경에 따라서는 취약성 진단 기준을 적용 한다.

진단범위	진단기준
법적 취약점(준거성) 진단	정보통신망 이용촉진 및 정보보호 등에 관한 법률, 개인정보보호법의 요구사항
관리적/물리적 취약점 진단	정보보호관리체계 인증기준
정보시스템 취약점 진단	주요정보통신기반시설 취약점 분석·평가 기준에 제시된 서버, 네트워크, 정보보호시스템, DBMS, PC, Web 취약점 진단

자산담당자는 해당 자산의 취약점 평가 결과를 정보보호관리자에게 통보한다.

정보보호관리자는 자산담당자에 의해 실시된 취약점 평가 결과를 검토하고 그 결과를 자산담당자에게 통보한다.

자산담당자는 정보보호관리자의 검토 결과를 취약점 평가에 반영하고 취약점 평가 결과를 작성하여 자산담당자가 보관한다.

제11조 (취약점 평가 보고서 작성)

정보보호관리자는 자산별로 파악된 취약점 평가 결과를 모두 취합하여, 취약점 평가 보고서를 작성한다.

정보보호관리자는 작성된 취약점 평가 보고서를 정보보호최고책임자에게 제출하여 승인을 받는다.

취약점 평가 보고서는 다음 사항을 반드시 포함하도록 한다.

자산관리 대장

자산 중요도 평가표

취약점 평가 결과

제12조 (취약점 평가 주기)

자산에 대한 취약점 평가는 년 1회 이상 실시하는 것을 원칙으로 한다.

자산에 대한 취약점 평가는 기존에 운영 중인 자산뿐만 아니라 신규로 도입되거나 개발된 자산에 대해서도 실시되어야 한다.

본교의 IT 환경에 중대한 변화가 발생되었을 경우, 정보보호최고책임자의 결정에 따라 취약점 평가를 실시할 수 있다.

정보보호 내부 감사 수행 시 취약점 평가 결과에 대한 이행 점검을 감사할 수 있다.

제 4 장 위험평가

제13조(위험분석 수행)

정보보호관리자는 다음 각호에 해당하는 정보자산의 위험분석을 실시하여야 한다.

1. 신규 도입 및 용도가 변경된 정보자산

2. 기타 정보보호관리자가 위험평가가 필요하다고 판단되는 자산

자산 중요도 평가, 위협 및 취약성 분석, 위험도 평가의 절차를 수행하며, 도출된 위험에 대해서 보호대책을 수립한다.

제14조 (위험도 산정)

정보보호담당자는 정보자산의 중요도, 위협 및 취약성의 평가 수준을 고려하여 위험도를 산정한다. 단, 상세분석위험과 기준선 위험의 응용시스템의 경우에 위험도 산정과 DoA를 정한다.

1. 자산 중요도(C) : 해당 자산의 기밀성, 무결성, 가용성에 따른 중요도 평가 값

2. 취약점 등급(I) : 해당 취약점으로 인하여 위험이 미치는 정도에 대한 평가 값

3. 발생 가능성(A) : 해당 취약점의 발생 가능성에 대한 평가 값

정보보호담당자는 도출된 위험도 결과를 자산담당자와 공유하고, 위험관리를 위하여 보호대책을 협의한다.

자산담당자는 정보보호관리자의 검토 결과를 위험평가에 반영하고, 위험평가 결과를 작성하여 자산담당자가 보관한다.

제15조 (위험평가 보고서 작성)

정보보호관리자는 자산별로 파악된 위험평가 결과를 모두 취합하여, 위험평가 보고서를 작성한다.

정보보호관리자는 작성된 위험평가 보고서를 정보보호최고책임자에게 보고하고 승인을 받는다.

위험평가 보고서는 다음 사항을 반드시 포함하도록 한다.

위험평가 대상

정보자산 및 영역별 위험평가 결과

제 5 장 위험관리

제16조 (위험관리 절차)

정보보호최고책임자는 정보보호실무협의회에서 수용 가능한 위험수준을 통해 관리대상 위험을 식별한다.

정보보호최고책임자는 위험평가 결과를 바탕으로 하여, 수용 가능한 위험의 수준(DoA)을 정보보호실무협의회에 검토 후 정보보호위원회에 상정하여야 한다.

정보보호관리자는 수용 가능한 위험의 수준(DoA) 및 식별된 관리대상 위험을 바탕으로 하여, 위험관리 목표를 정한다.

정보보호관리자는 도출된 위험관리 목표에 따라 위험관리 방법 및 단계별 위험관리 방안을 작성하여 정보보호최고책임자에게 보고하고, 정보보호최고책임자는 정보보호실무협의회에 심의한다.

정보보호실무협의회는 위험평가 결과 도출된 노출위험에 대하여, 해당 위험을 회피, 전이, 감소, 수용할 것인지를 심의한다. 위험관리 방법의 결정시 다음 각 호를 따른다.

위험을 회피, 전이, 감소시키는 것으로 결정된 위험은 위험관리의 구체적인 방법을 도출하여야 한다.

수용하는 것으로 결정된 위험은 그 사유를 남기도록 한다.

위험관리 방법은 위험관리 목표를 달성할 수 있는 수준으로 결정되어야 한다.

제17조 (정보보호대책 명세서)

정보보호대책명세서는 다음 각 호를 반드시 포함하도록 한다.

위험 통제항목

통제 적용 여부

통제 적용 현황

통제 적용 계획

해당 위험 통제항목과 관련된 회사 내부 규정, 지침 및 절차

제18조 (위험조치 계획 수립)

정보보호담당자는 관련 부서와 협의하여 보호대책 이행을 위한 위험조치계획서(Risk Treatment Plan) 또는 정보보호이행계획서를 작성하고, 지속적으로 관리하여야 한다.

수립된 계획은 다음의 사항을 포함하도록 하고, 정보보호위원회의 심의를 거쳐 대표이사의 승인을 득하여야 한다.

1. 조치계획의 상세 내용

2. 이행부서 및 이행담당자

3. 이행시기와 소요예산

4. 기타 이행 시 고려사항

정보보호담당자는 추후 위험관리 계획을 수립할 때 잔여위험을 반영한다.

제19조 (사후관리)

정보보호관리자는 단계별 위험관리 방안에 따라 위험관리가 적절히 이루어지고 있는지를 점검하기 위한 사후 관리를 실시한다.

정보보호관리자는 사후 관리 결과를 정기적으로 정보보호최고책임자에게 보고한다.

[부칙]

제1조 (시행일자)

본 지침은 2018년 03월 02일부터 시행한다.

제2조 (예외적용)

다음 각 호에 해당하는 경우에는 본 지침에서 명시한 내용이라도 정보보호최고책임자의 승인을 받아 예외 취급할 수 있다.

기술 환경의 변화로 적용이 불가능할 경우

기술적, 관리적 필요에 따라 지침의 적용을 보류할 긴급할 사유가 있을 경우

기타 재해 등 불가항력적인 상황일 경우

[첨부 1] 자산별 취약점평가 체크리스트(제10조)

UNIX 서버 취약점 분석·평가 항목
윈도우 서버 취약점 분석·평가 항목

보안장비 취약점 분석·평가 항목
네트워크장비 취약점 분석·평가 항목