결재	정보보호 최고책임자	정보보호 관리자
	/	/

침해사고대응 지침

문서번호 :

원광대학교

개정이력

개정번호	개 정 내 용 요 약	작성자	시행일자
1.0	최초 제정	유영준	2018. 03. 02.
1.1	직제개편에 따른 명칭 변경	강효원	2019. 8. 28.

제 1 장 총칙

제1조 (목적)

본 지침은 원광대학교(이하 “본교”이라 한다)의 정보자산의 파괴, 불법적 변조나 조작, 유출 등의 침해사고 발생 또는 사고 징후 포착 시 신속한 대응을 통하여 피해를 최소화하기 위해 체계적인 침해사고 대응절차를 확립함으로써 침해사고에 효과적으로 대처하고자 함에 그 목적이 있다

제2조 (범위)

본 지침은 본교 내에서 발생하는 침해사고 및 이에 대한 대응 및 복구에 적용된다.

제3조 (용어의 정의)

본 지침에서 사용하는 용어의 정의는 다음과 같다.

사이버 위협: 해킹, 컴퓨터바이러스, 악성메일, 악의적인 실행코드, 서비스방해 등 전자적 수단에 의하여 정보통신망을 불법 침입, 교란, 마비, 파괴하기 위해 위협을 하는 행위를 말한다.

악성코드: 악의적인 목적을 위해 작성된 실행 가능한 코드의 통칭으로 자기 복제 능력과 감염 대상 유무에 따라 바이러스, 웜, 트로이 목마 등으로 분류 한다.

해킹사고: 비인가 사용자로 인한 정보시스템의 정보 유출, 변조(홈페이지 변조, 고객정보 변조, 사내중요 자료 변조 등) 훼손(정보시스템 계정삭제, 프로세스 중지, 디렉토리 및 파일의 이용불능 상태 등)을 유발한 경우의 공격유형을 말한다.

침해사고: 바이러스, 트로이 목마, 백도어, 악의적인 공격 스크립트 등을 유포, 설치 및 실행으로 피해를 유발하는 악성 코드 공격, 비 인가된 시스템 접근 및 파일 접근, 네트워크 정보 수집을 포함한 비 인가된 네트워크 정보 접근, 네트워크 서비스의 취약점을 이용하여 서비스를 무단 이용하는 비 인가된 서비스 이용, 네트워크 및 시스템의 정상적인 서비스를 마비 또는 파괴시키는 서비스 방해 등의 전자적 침해 사고를 말한다.

침해사고대응: 해킹 또는 바이러스 신고 발생에 다른 사고의 분석, 처리, 사후복구, 사후예방 조치 등 보안 침해사고로 발생되는 피해를 최소화하고, 사고에 대한 신속한 대응을 하기 위한 활동을 말한다.

제 2 장 책임 및 권한

제4조 (정보보호최고책임자)

침해사고 발생 시 보안점검 및 침해사고 대응 전반에 대한 모든 지휘 및 관리를 하여야한다.

침해사고 발생 시 외부 관련기관에 보고하는 사항에 대하여 승인을 한다.

침해사고 보고처리 및 대응의 책임을 가지며, 침해사고 재발방지 대책을 수립한다.

제5조 (정보보호관리자)

침해사고의 원인 분석 및 긴급대응을 수행하며 침해사고 관련 기록을 분석하고 기록하여 재발 방지 대책을 수립한다.

침해사고 발생 시 해당 시스템 운영 담당자에게 통보한다.

침해사고 발생 시 상황실에 대한 통제 임무를 수행한다.

제6조 (정보보호담당자)

침해사고 대응체계 수립 및 관련 내용에 대한 교육 및 훈련을 실시한다.

침해사고 발생 시 침해사고대응팀을 구성하고, 필요 시 외부 정보보호 전문업체 지원 요청한다.

침해사고 보고처리 및 재발방지 대책 수립한다.

필요시 침해사고 대응조치를 위하여 외부 전문조직과 정보를 교류한다.

제7조 (정보시스템담당자)

침해사고 발생 시 담당업무에 대한 긴급대응 및 복구를 수행한다.

침해사고에 대한 원인 분석 및 재발방지를 위한 업무를 수행한다.

침해사고와 관련된 모든 기록을 문서화하고 분석을 실시한다.

제 3 장 침해사고 대응업무

제8조(침해사고 보고체계)

침해사고 최초발견자는 해당 부서의 부서(팀)장 및 정보보호관리자에게 신고한다.

정보보호관리자는 침해사고 연락을 받은 경우, 신속하게 해당 사실을 정보보호최고 책임자에게 보고하고 침해사고 발생지로 이동한다.

정보보호관리자는 관련 담당자와 대책회의를 통하여 대응방안을 도출할 수 있으며, 회의 결과는 기록하여 유지, 관리한다.

침해사고의 등급에 따라 정보보호최고책임자는 해당 사항을 개인정보보호위원회에 보고한다.

제9조(침해사고 유형)

서비스의 중단

정보자산에 대한 물리적인 손상이 발생하여 서비스가 중단되는 경우

서비스 거부공격(DDoS), 바이러스 등으로 인한 자산의 일부 또는 전체의 서비스가 중단   되는 경우

학사정보 또는 중요정보의 누출

정보자산에 접근 가능한 내부자 또는 외부자에 의한 대량정보의 유출

학사정보 또는 중요정보를 보유한 시스템의 해킹으로 인한 정보의 유출

중요 장비 또는 정보 저장 매체(디스크, CD, tape 등)의 도난으로 인한 정보의 유출

협력업체를 통한 정보의 유출

도청, 감청 또는 네트워크 스니핑(sniffing)에 의한 정보의 유출

홈페이지에 대한 해킹으로 인한 웹페이지 변경

제10조(침해사고 인지)

해당 시스템에 다음 각 호와 같은 비정상적인 활동이나 징후가 나타나면, 정보보호담당자는 시스템에 불법 침입자가 침투했을 가능성이 있으므로 점검하여야 한다.

한 사용자가 다수의 로그인 상태로 중요 환경설정에 접근하는 경우

네트워크에 로드가 비정상적으로 상승하고 이상한 프로그램을 실행하는 경우

네트워크 스캐닝, 취약성 스캐닝 등의 공격 시도가 발견되는 경우

외부에서 지속적으로 내부 시스템 및 네트워크에 접속하려는 경우

비인가자에 의해 관리자 명령이 지속적으로 수행되는 경우

불법적으로 시스템 리소스를 사용하는 프로그램이 실행되고 있는 경우

일반 사용자의 홈 디렉터리에 시스템 파일이 존재하는 경우

일반적이지 않은 숨김 파일 또는 디렉터리가 존재하는 경우

업무 외 시간에 과도한 접근을 시도하거나 주요정보에 접근 하는 경우

인가되지 않은 사용자가 추가되었거나, 사용자 권한의 변경이 일어난 경우

제11조(침해사고 접수)

정보보호관리자 및 정보보호담당자는 교직원이나 학생, 외부기관 등으로부터 통보된 침해사고에 대한 접수를 담당한다.

정보보호관리자는 침해사고로 판단될 경우 사고 내용 및 처리 내용, 사고에 대한 대책 등을 정보보호최고책임자에게 보고한다.

침해사고 발생 시 대응절차는 [첨부 2] 침해사고 대응 절차를 참조한다.

침해사고 발생 시 비상연락망은 “원광대학교 ICT전략과 비상연락망”을 참조한다.

관련 업무처리는 [첨부 1] 침해사고 관리 프로그램을 사용한다.

제12조(침해사고 초기대응)

정보보호관리자는 침해사고 처리 시 사태의 지연 및 확산이 불가피하다고 판단될 경우, 사고지연을 막기 위해 시스템 사용의 중단 등을 요청할 수 있으며 정보보호최고책임자의 승인을 거쳐 시스템의 중단을 실시할 수 있다.

다음 각 호와 같은 긴급한 상황에 대해서는 재해복구 시스템을 가동하여 대응 할 수 있다.

DDoS 공격을 당하고 있어 정상적인 동작이 불가능한 경우

침입자에 의해 시스템의 중요 파일이 삭제되고 있는 경우

트로이 목마, 백도어 등의 악성 코드가 실행되어 정상적인 접근제어를 적용하더라도 다 른 경로를 통한 침입자의 지속적 공격시도가 있는 경우

기타 침입자의 공격에 대한 대응수단이 없는 경우

제13조(침해사고 대응)

정보보호관리자는 신고받은 침해사고를 검토하고 “경계”등급 이상으로 판단될 경우 즉시 정보보호최고책임자 및 개인정보보호위원회에 보고하고 침해사고 대응팀을 소집하여 침해사고에 대한 대응을 총괄한다.

침해사고대응팀은 다음 각 호의 업무를 수행한다.

침해사고가 일어난 시스템 및 접속경로를 확인할 수 있는 네트워크 장비의 로그 등을 안전한 백업 매체에 보관하여 증거를 확보한다.

침입자의 접속경로를 추적하여 확인한다. 만약 내부 단말기에서 침입한 경우에는 단말기 위치를 확인하여 단말기 책임자와 접속 경위 등을 조사하고, 외부 네트워크로부터 침입한 경우에는 네트워크 담당자 및 정보보호 담당자와 협조하여 로그를 유지하도록 하고 접속 경로를 조사한다.

침해사고 발생 시 법률에 따라 관계기관에 신고하여야 하며 개인정보 관련한 침해사고는 이용자에게 신속하게 통지 한다.

시스템 및 네트워크의 이상작동, 변경유무, 정보유출 등을 확인한다.

내부적으로 해결할 수 없는 중대한 상황이 발생된 경우에는 대외기관에 보고하고 지원을 받을 수 있다.

침해사고대응팀에 의해 침해사고에 대한 처리가 완료되고 침해사고의 원인이 분석된 후, 시스템에 대한 복구를 지원한다.

침해사고에 대한 복구가 완료된 후, 침해사고 대응팀은 침해사고 원인, 처리내용, 예방대책 등에 대해서 ‘침해사고 대응 보고서’를 작성하고 정보보호최고책임자에게 보고한다.

침해사고대응팀은 침해사고 증거 자료를 법정 효력 기간동안 보존하도록 한다.

침해사고 예방을 위해 ‘침해사고 대응 보고서’를 관련 담당자에게 공유하고 필요시 교육을 실시한다.

제14조(침해사고 정보수집)

정보보호담당자는 다음 각 호와 같이 침해사고 및 시도에 대한 정보수집활동을 실시해야 한다.

네트워크 및 보안장비 시스템을 이용한 정보수집

백신 소프트웨어 중앙관리 솔루션 등을 이용한 정보수집

기타 홈페이지, 각종 경로 등을 통한 정보수집

정보보호담당자는 다음 각 호와 같이 침해유형을 분석하여야 한다.

네트워크․보안시스템․서버시스템․DB시스템 등의 로그 분석

외부 전문기관의 취약성 DB를 이용한 분석

정보시스템의 이상 유․무를 통한 분석

기타 기술문서, 메일링 리스트, 각종 경로 등을 통한 분석

제15조(침해사고 정보분석)

시스템 침입흔적에 대해 다음과 같은 각 호의 방법으로 조사한다.

특별한 장소 또는 행위로부터의 접속에 대한 로그파일을 조사한다.

시스템 바이너리 파일의 변경여부를 조사한다.

인가 받지 않은 프로그램 또는 서비스 등의 사용을 조사한다.

시스템과 네트워크 설정 파일의 인가 받지 않은 항목을 조사한다.

시스템에 숨겨지거나 특이한 파일이 있는지 조사한다.

정보시스템, 네트워크 및 침입차단시스템의 로그 및 접근기록을 분석하여 외부로부터의 침입시도를 확인한다.

정보보호시스템(침입방지시스템, 웹 방화벽, 개인정보유출차단 등)의 로그 및 운영내역을 분석한다.

제16조(침해사고 후 사후처리)

침해사고대응팀은 침해사고에 대한 처리결과에 대해 “침해사고 대응 보고서”를 작성하고 사고원인을 분석하여 그 결과를 정보보호최고책임자에게 보고한다.

침해사고대응팀은 침해사고에 관련된 내용을 이용자(정보주체)와 각 부서의 담당자에게 적절한 방법으로 통지하여야 한다.

관련 업무처리는 [첨부 1] 침해사고 관리 프로그램을 사용한다.

제17조 (침해사고 등급별 대응절차)

침해사고는 업무영향 등을 고려하여 4등급으로 구분하고, 각 등급에 따라 조치를 취한다.

침해사고 등급 구분

심각도	설명
심각 (FATAL)	정보시스템 사용 및 고객 관련 서비스 수준에 심각한 영향을 주며 고객 전체 정보시스템의 위험이 존재하는 상황 (전사적인 Worm에 의한 피해나 조직적인 공격 상황)
경계 (CRITICAL)	정보시스템 사용이나 서비스에 보안상 심각한 영향을 주는 상황 (개별 서버 침해사고나 지속적인 공격 상황)
주의 (MINOR)	정보시스템의 기능성을 손상시키거나 고객 서비스에 중대한 영향을 주지는 않지만 지속적인 발생으로 문제를 야기 할 수 있는 상황이나 잠재적인 위험성에 대한 모니터링이 필요한 경우를 포함하는 상황
관심 (WARNING)	정보시스템 기능성이나 고객 서비스에 영향을 주지 않는 일반적인 인터넷 상의 보안 위협 상황

구분	담당	심각 (Fatal)	경계 (Critical)	주의 (Minor)	관심 (Warning)
모니터링 대응 요구시간	정보시스템담당자 & 정보보호담당자	20 Min	20 Min	20 Min	20 Min
보고 주기	정보시스템담당자 & 정보보호담당자	30 Min	40 Min	60 Min	120 Min
해결 요구시간	대응조직	2 Hour	4 Hour	24 Hour

침해사고 등급별 복구 및 해결 요구시간

정보보호최고책임자는 침해사고 해결의 상세한 목표 시간을 별도 정할 수 있다.

제 4 장 침해사고 유형별 대응

제18조	(소프트웨어 이상 및 오류)

소프트웨어의 이상 및 오류 발생 시 해당 정보시스템담당자에게 즉시 보고 되어야 한다.

소프트웨어의 작동이 매뉴얼의 내용과 다르거나 이상 및 오류가 발생할 시 이상 유무를 확인하여야 한다.

정보시스템담당자는 보고된 소프트웨어의 이상 및 오류를 분석하여 다음과 같은 조치를 취한다.

자체 오류인 경우 시정 조치를 취한다.

매뉴얼과의 불일치로 인한 것이라면 매뉴얼을 갱신한다.

침해사고에 의한 경우 정보보호담당자에게 즉시 통보하고 조치를 취한다.

정보보호담당자는 해당 내용을 정보보호관리자에게 보고한다.

제19조 (정보시스템 위협)

정보시스템에 대한 서비스 거부 공격, 비인가된 접근, 비인가된 사용, 포트 스캔이 의심되거나 발견되면 즉각적인 보고가 이루어져야 한다.

정보보호담당자는 주기적으로 정보시스템의 접근기록 등을 검토하여야 한다.

이상 징후가 발견된 경우 정보보호담당자는 정보보호관리자에게 통보하고 필요한 조치를 취한다.

정보보호담당자는 피해 현황을 확인한 후 [첨부 1] 침해사고 관리프로그램을 통해 정보보호관리자에게 보고한다.

제20조	(바이러스)

컴퓨터 바이러스의 감염 발견 시 즉각적인 보고가 이루어져야 한다.

컴퓨터 사용자는 바이러스 백신을 항상 최신업데이트를 수행하여야하며 주기적으로 바이러스 검사를 수행해야 한다.

바이러스 발견 시 해당 정보시스템을 네트워크에서 분리하여 추가적인 감염을 방지한다.

바이러스 감염으로 인해 정보시스템의 업무를 수행할 수 없을 경우 정보시스템담당자와 정보보호담당자는 바이러스에 감염되어 있는 정보시스템을 치료한다.

정보보호담당자는 피해 현황을 확인한 후 “침해사고 대응 결과 보고서”를 작성하여 정보보호관리자에게 보고한다.

정보보호관리자는 "침해사고 목록"에 기입하여 관리한다.

제21조	(정보시스템 취약성)

외부 침해에 대한 정보시스템의 취약성 발견 시 정보보호담당자에게 통보하여야 한다.

사용자는 취약성 발견 즉시 정보보호담당자에게 통보하여야 하며 정보시스템 사용을 중단한다.

정보보호관리자는 보고된 취약성 검토 후 대책을 마련하고 정보보호최고책임자에게 보고한다.

제22조	(정보자산의 손상)

본교의 중요 정보자산의 노출이 일어났을 경우 즉시 통보가 이루어져야 한다.

중요 정보가 허가되지 않은 자에게 노출되었을 경우 정보보호관리자에게 즉시 통보하여야 한다.

정보보호관리자는 노출된 정보자산의 종류, 내용, 노출양을 확인하고 이해 대한 내역을 각 담당자에게 알리고 조치계획을 수립한다.

제 5 장 침해사고 대응팀 구축 운영

제23조 (침해사고 대응조직의 구성 및 역할)

침해사고대응조직은 다음 각 항에 해당하는 담당자로 구성한다.

정보보호최고책임자

정보보호관리자, 정보보호담당자

주요업무담당자(PC보안담당자, DB담당자, 서버담당자, 네트워크담당자, 보안시스템담당자, 업무개발담당자, 업무운영담당자, 총무인사담당자)

침해사고대응조직의 각 담당자는 침해사고 예방 및 피해확산 방지를 위해 관련 분야별 담당자 및 협력업체가 대응하도록 한다.

침해사고대응팀은 침해사고의 효과적인 대응을 위하여 외부전문가, 전문업체, 외부기관 (한국인터넷진흥원, 교육부 사이버안전센터 등)에 협조체계를 수립 한다.

침해사고대응조직 는 다음의 역할을 수행한다.

본교를 대표하는 침해사고대응팀 역할 수행.

본교에서 발생한 사고 또는 관련된 침해사고의 분석, 처리, 후속조치 업무 및 지원 업무 수행

대외 사고대응 기관과의 사고대응 협력

침해사고 방지를 위한 교육, 기술개발 및 보급

제 6 장 침해사고대응 훈련 및 교육

제24조(침해사고 대응훈련)

정보보호관리자는 침해사고 발생 시 효율적 대처와 대응절차의 적정성을 검토하기 위해서 연 1회 이상 침해사고 대응 훈련계획을 수립하고 수행하여야 한다.

침해사고 대응훈련은 시나리오를 기반으로 교육, 도상훈련, 가상훈련 중 한 가지 방법을 택하여 할 수 있다.

침해사고 대응훈련을 실시한 후 조치시간 등의 내용을 정리하여 결과보고를 하여야 한다.

제25조(교육)

정보보호관리자는 침해사고 발생 시 효과적인 대응을 위하여 해당 내용을 내부직원들에게 교육하여야 한다. 이 경우 정보보호인식교육 수행 시 포함하여 할 수 있다.

본 지침의 변경 등 침해사고 대응에 대한 절차가 변경되는 경우에는 침해사고 대응 교육을 시행하여야 한다.

침해사고가 발생하면 해당 내용에 대해서 관련자들을 대상으로 침해사고 재발방지 교육을 시행하여야 한다.

[부칙]

제1조 (시행일자)

본 지침은 2019년 08월 28일부터 시행한다.

[첨부 1] 정보시스템 침해사고대응보고서 (제16조 관련)

[첨부 2] 침해사고 대응절차