결재	정보보호 최고책임자	정보보호 관리자
	/	/

정보자산관리 지침

문서번호 :

원광대학교

개정이력

개정번호	개 정 내 용 요 약	작성자	시행일자
1.0	최초 제정	유영준	2018. 03. 02.
1.1	제14조 4항, 제15조 추가	강효원	2020. 08. 06.
2.1	제19조 5항, 6항 신설	강효원	2022. 03. 16
3.1	제13조 3항 수정, 제 16조 3항 삭제, 제17조 4항 삭제, 첨부 1 수정, 서식 2 삭제	강효원	2023. 11. 15

제 1 장 총칙

제1조 (목적)

본 지침은 원광대학교(이하 “본교”라 한다)의 정보자산을 효과적으로 보호하기 위하여, 주요 자산의 식별 및 분류 기준과 중요도 평가 체계를 제시하고 관리 대상 자산들을 지속적으로 관리할 수 있도록 필요한 사항을 구체적으로 정하는데 목적이 있다.

제2조 (적용 범위)

본 지침은 본교의 주요 정보시스템 및 이의 개발, 운영 및 유지보수에 관련된 시설, 정보자산 및 데이터, 문서, 물리적 자산을 대상으로 한다.

제3조 (용어의 정의)

정보자산 관리에 따른 용어정의는 다음과 같다.

1. 자산(assets): 본교가 보유하고 있는 가치를 지닌 것으로서, 정보 및 데이터, 소프트웨어, 정보 시스템, 네트워크 장비, 문서, 물리적/환경적 자산, 인적자산, 서비스 등이 포함된다.

2. 정보자산(Information assets): 업무 수행 및 서비스 제공과 관련하여 본교가 보유하고 있는 디지털 정보 및 문서들로서, 영업비밀 등 지적 재산권과 기술상, 영업상의 내용을 포함하고 있는 모든 자산을 의미한다. (ex. 학생정보, 전략적 의사결정 정보, 네트워크 정보 및 시스템 정보, 인력/교육 정보, 재무/회계, 구매 정보 등)

3. 기밀성(Confidentiality): 비인가자가 임의의 정보를 사용하거나 정보가 노출되지 못하도록 하는 특성이다. 자산 또는 데이터가 전송, 백업, 보관 중에 허가받지 않은 사람에게 노출되지 않아야 함을 의미한다.

4. 무결성(Integrity): 비인가된 방법을 통해 정보를 변경 또는 파괴하지 못하도록 하는 특성이다. 정보가 전송되고 저장되는 과정에서 완전성과 정확성을 유지하는 것을 의미한다.

5. 가용성(Availability): 권한을 가진 개체의 요구에 따라 본교의 자산을 지속적으로 접근하고 사용이 가능하도록 하는 특성이다.

제 2 장 관리 주체

제4조 (자산관리자)

① 자산관리자는 각 부서의 부서장이 담당한다.

② 자산관리자는 부서 내에 소속된 정보자산에 대한 업무를 총괄한다.

③ 자산관리자는 부서 내에 정보자산담당자를 지정할 수 있다.

④ 자산에 대한 취득, 사용허가, 처분 또는 폐기 등의 관리 권한을 가진다.

제5조 (자산담당자)

자산담당자는 자산관리자의 업무를 위임 받아 해당 부서에서 관리하고 있는 자산의 현황을 파악하고 자산의 중요도 평가 업무를 수행하는 등 실무 업무를 담당한다.

제6조 (정보보호관리자)

① 정보보호관리자는 자산담당자가 작성한 자산 관리 대장과 중요성 평가 결과를 검토하고 각 정보자산을 최신화하여 관리한다.

② 정보자산에 대한 보안등급은 아래와 같이 3등급으로 구분되어 있고, 정보보호관리자가 보안 등급이 적절하게 되어 있는지 확인하고 필요 시 조정한다.

1등급	8 ~ 9
2등급	5 ~ 7
3등급	3 ~ 4

제 3 장 자산 관리

제7조 (자산 관리 절차)

자산관리절차는 아래 그림과 같이 6단계로 구성된다.

자산담당자는 현재 보유 중인 자산 중 보호해야 할 대상을 정의하여 자산을 식별하며, 이후 새로 도입되는 자산을 개별적으로 식별하여 관리대상에 포함하여야 한다.

자산담당자는 지침에 정의된 내용에 따라 자산관리절차를 준용하여야 한다.

제8조 (자산 식별)

각 자산에 대한 관리자, 담당자를 지정함으로써 자산 보호에 대한 책임성을 확보하고 자산에 대한 보안을 지속적으로 유지할 수 있도록 한다.

자산담당자는 해당 부서에서 관리하는 자산을 파악하고 보호되어야 할 자산을 식별하여야 한다.

자산담당자는 기존의 자산뿐만 아니라 새로 도입되는 자산도 식별하여 관리하여야 한다.

자산관리자는 해당 자산에 대한 총괄책임을 지며 자산담당자를 선임하여 관리업무를 위임할 수 있다.

자산담당자는 자산관리자의 위임에 따라 대상 자산을 관리하여야 하며 정해진 절차에 따라 권한 있는 사용자만이 접근하여 사용할 수 있도록 보안 관리를 수행한다.

제9조 (자산 분류)

자산담당자는 식별된 자산에 대해서 [첨부 1] 자산 분류 기준에 따라 유형별로 분류한다.

정보보호관리자는 자산담당자에 의해 자산 식별 및 분류가 적절히 이루어지는지 모니터링하고, 자산 관리 대장을 취합하여 통합 관리한다.

제10조 (자산 등록)

자산유형별로 관리해야 할 기본 속성정보를 정하고, 추가해서 관리하는 속성정보는 [첨부 2] 자산 유형별 추가관리사항에 따라 관리하여야 한다.

자산담당자는 자산을 목록화하여 관리하여야 한다.

자산담당자는 자산을 새로 도입하거나 생성하는 경우 자산의 식별, 분류, 중요성 평가, 등급분류 등의 과정을 거쳐 [서식 1] 자산 관리 대장(첨부)에 기록한다.

자산담당자는 자산의 도입, 변경, 폐기 시 내부관리 절차에 따라 자산관리자의 승인을 득하여 정보보호관리자에 통보한다.

제11조 (자산 중요도 평가)

자산 중요도는 기밀성, 무결성, 가용성 측면에서 각 자산이 보안 위험에 노출되었을 경우 회사에 미치는 잠재적 손실 규모를 반영하여 측정한다.

자산 중요도의 계산은 [첨부 3] 자산중요도 평가 기준에 따른다.

자산 중요도 등급 결정 방법

자산 중요도의 합은 「자산 중요도 평가기준」에 의한 기밀성, 무결성, 가용성의 보안요구사항 척도 수준의 합이며, 자산 중요도 등급은 아래와 같이 자산 중요도의 합의 분포에 따라 결정한다.

제 4 장 자산의 운용

제12조 (자산의 운용)

모든 자산은 수용 가능 위험 수준(DoA: Degree of Assurance) 이하에서 문서화된 지침에 따라 운용하는 것을 원칙으로 한다.

자산담당자는 신규 등록되는 자산에 대하여 관련 자산 관리 절차가 존재하는지 확인하고, 해당 절차가 없는 경우에는 제7조 자산관리절차에 따라 관리한다.

자산관리자는 관련 규정에 따라 자산이 적절하게 사용 및 운용되고 있는지 관리·감독한다.

자산의 보관은 해당 자산과 관련된 지침 등을 참조한다. 단, 상용소프트웨어 및 문서자산에 한하여 자산 중요도 등급이 2등급 이상인 경우 캐비넷 등에 별도로 관리할 수 있다.

제13조 (자산분류 및 중요도 평가 주기)

자산 분류 및 중요도 평가는 년 1회 수행하는 것을 원칙으로 하며, 자산 분류 및 중요도 평가와 연계하여 위험평가를 수행해야 한다.

정보보호관리자는 각 자산담당자로 하여금 해당 자산의 분류, 중요도의 평가 또는 검토를 요구할 수 있다.

자산 신규 도입 시에는 자산 식별, 분류, 등록 및 중요도 평가 업무를 시행하여 정보자산목록표에 기록하고, 정보시스템운영보안지침 제12조(정보시스템의 도입)에 따라 보안성 검토를 실시한다.

제14조 (자산의 변경)

자산담당자는 자산 관리대장의 기본정보가 변경되는 경우, 자산의 재평가를 실시한다.

자산담당자는 재평가된 자산을 폐기 및 등록 절차에 따라 관리하고, 자산 변경 사항에 대하여 수시로 [서식 1] 자산 관리대장(첨부)에 기록하며 자산관리자의 승인을 득한다.

자산담당자는 자산 변경 시 자산관리자의 승인을 득하여 정보보호관리자에 통보한다.

자산담당자는 자산 변경 전 성능 및 보안에 미치는 영향 분석을 실시하고, 자산 변경 실패에 따른 복구방안을 마련하여 작업계획서 양식에 맞추어 작업계획을 정보보호관리자에게 보고한다.

제15조 (자산의 재사용)

자산담당자는 자산의 재사용 발생 시 자산관리자의 승인을 득하여 정보보호관리자에 통보한다.

자산담당자 및 자산관리자는 재사용된 자산에 대하여 완전 포맷 방식으로 기존의 데이터를 삭제한다.

제 5 장 자산의 폐기

제16조 (정보시스템의 폐기)

시스템 운영 담당자는 정보시스템의 저장매체를 분리하고 하위 레벨로 데이터를 모두 삭제한 후 시스템 운영 담당자는 삭제 여부 확인을 위한 자체 보안성 검토를 실시하여야 한다.

검토 결과 문제가 없을 경우 시스템 운영 관리자의 승인을 거쳐 폐기 작업을 진행하고, 정보자산담당자에게 자산관리 목록을 갱신하도록 하여야 한다.

제17조 (DBMS의 폐기)

요청 부서는 부서장의 승인을 거쳐 DB 담당자에게 폐기를 요청하여야 한다.

DB 담당자는 DB 폐기 시 복구되지 않는 안전한 방법으로 데이터를 모두 삭제한 후 완전 삭제 여부 확인을 위한 자체 보안성 검토를 실시하여야 한다.

검토 결과 문제가 없을 경우 DB 관리자의 승인을 거쳐 폐기 작업을 진행하고, 정보자산담당자에게 자산관리 목록을 갱신하도록 하여야 한다.

제18조 (저장매체의 폐기)

시스템 운영 담당자는 개인정보 및 백업매체 등을 폐기할 경우 물리적으로 복구가 불가능하도록 폐기하여야 한다.

제19조 (자산의 폐기관리)

자산담당자는 등록된 자산을 폐기하는 경우 [서식 1] 자산 관리대장(첨부)에 등록 정보를 삭제하고, 관련 절차에 따라 폐기한다.

정보자산의 변경이 발생할 경우, 자산담당자는 자산관리자에게 보고하고, [서식 1] 자산 관리대장(첨부)에 변경 내역을 반영한다.

자산관리자는 정보자산의 폐기나 변경된 내역을 자산 소유자에게 보고를 하고 승인을 받아야 하며, 주기적으로 변경발생 내역을 점검하여야 한다.

자산담당자는 자산 폐기 시 자산관리자의 승인을 득하여 정보보호관리자에 통보한다.

⑤ 사용하지 않는 가상머신(VM)은 분기별로 정보자산 목록 검토 시 정보보호 관리자에게 보고 후 삭제한다.

⑥ 이외에 긴급 폐기가 필요한 경우에는 정보보호 관리자에게 보고 후 즉시 삭제할 수 있다.

[부칙]

제1조 (시행일자)

본 지침은 2023년 11월 15일부터 시행한다.

[첨부 1] 자산 분류 기준 (제9조 관련)

구분		내용	소분류
정보 시스템	서버	인터넷 서비스, 대학업무를 운영하기 위한 전산시스템	블레이드(물리)서버, 가상화(논리)서버 등
	PC	업무용으로 사용하는 전산단말기로 사무용PC, 노트북 등을 포함	PC, 노트북 등
	네트워크 장비	네트워크와 관련된 장비로 라우터, L2/L3스위치, 무선AP 등을 포함	라우터, L2/L3스위치, 무선AP 등
	응용프로그램	상용 또는 자체 개발된 대학업무용 프로그램 및 미들웨어 등	학사행정시스템, 웹정보서비스 등
	소프트웨어	업무처리 및 개발을 위해 구매한 상용소프트워어(OS, 오피스, 개발툴) 및 유틸리티(백신, 압축프로그램, 뷰어 등)의 각종 소프트웨어	업무 및 개발관련 소프트웨어 등
	저장매체	정보시스템 운영에 사용되는 저장매체	스토리지
정보보호 시스템	서버보안	서버접근 통제	SecureGuard AM , SecureGuard PM
	네트워크보안	네트워크 접근통제, 서비스거부공격 차단, 외부취약점공격차단, 무선사용자인증	DDoS, 방화벽, IPS, 무선사용자인증
	PC 보안	개인정보유출방지, PC사용자보안, 바이러스/웜/악성코드 차단	백신, 개인정보유출방지, 내PC지키미
정보	문서적정보	정보보호 관련 규정 및 지침, 정보보호운영보고서, 정보보호운영증빙자료	정보보호규정/지침, 정보보호관련 양식, 계약서, 매뉴얼 등 각종대장
	전자정보(DB)	대학업무 운영에 필요한 정보	학사/학적정보, 인사정보, 도서/대출 정보 등
지원설비		전산실, 사무실 등 물리적 공간 및 각종 부대시설 등	재해복구센터, CCTV, 항온항습기, UPS, 소화기 등

[첨부 2] 자산 유형별 추가관리사항 (제10조 관련)

유형별	추가 정보
서버	서버구분, 호스트명, 자산설명, 서비스IP, 위치, CPU(Core)수량, 메모리, 스토리지. 운영체제, 접근방식
네트워크	제조사, 모델명, SSID, 보안방식, 인증방식, 제조번호, IOS, 위치, 접근방식
정보보호시스템	제조사, 호스트명, 용도, IP, 위치, 유지보수업체
응용프로그램	URL, 인증방식, 개발툴, 구입연도, 개발방법
소프트웨어	제조사, 용도, 라이센스정보
PC	용도, 사용자, IP, 소속, 위치, 운영체제
문서/메뉴얼	자산명, 문서형태, 개정일자
부대시설	자산명, 자산설명, 도입년도

[첨부 3] 자산 중요도 평가 기준 (제11조 관련)

보안 요구사항	내 용	평가수준
기밀성	유출 또는 손상 시 업무 중단 등의 상황을 초래하는 경우 개인정보, 기밀 등급 이상의 정보 등 노출 시 해당 조직에 금전적 손해 및 대외 이미지의 손상을 주는 경우	상(3)
	유출 또는 손상 시 일시적 업무중단 등의 상황이 발생되는 경우 대외비 등급의 정보 등 노출 시 해당 부서의 대외이미지에 손상을 주는 경우	중(2)
	유출 또는 손상 시 업무중단이 없는 경우 홈페이지 공개자료 등 일반 등급의 정보로 노출 시 대외이미지에 손상이 없는 경우 해당 자산(장비)에 별도 정보가 기록되어 있지 않거나, 공개되어도 무방한 경우	하(1)
무결성	개인정보, 기밀 등급 이상의 정보 등 변조될 경우 해당 기관에 막대한 금전적 손실 및 대외 이미지에 손상을 주는 경우 자산(정보) 변조의 가능성이 높고, 변조 시 데이터의 무결성을 검증하기 힘든 경우	상(3)
	대외비 등급의 정보 등 변조될 경우 금전적 손실 및 해당부서의 이미지에 손상을 주는 경우 데이터 변조의 가능성은 있으나, 데이터 변조 시 무결성 검증이 가능한 경우 임의의 무결성 검증 방법을 통해, 일정시간 내에 정보의 무결성을 복구 가능한 경우	중(2)
	홈페이지 공개자료 등 단순정보로 변조 시 영향이 미미하거나 이미지 손상을 주지 못하는 경우 정보 변조 시 무결성 검증이 용이한 경우	하(1)
가용성	자산(정보)의 가용성 훼손 시, 업무수행 또는 서비스에 중대한 장애를 유발하는 자산으로, 장애발생시 3시간 이내에 복구되어야 하는 경우 데이터 백업 등이 실시간 또는 일일 백업되어야 하는 경우 장비 이중화 구성 및 부하분산 구성 등이 필요한 경우	상(3)
	자산(정보)의 가용성 훼손 시, 24시간 이내에 복구되어야 하는 경우 데이터 백업 등이 주간 단위로 수행되어야 하는 경우	중(2)
	자산(정보)의 가용성 훼손 시, 업무수행 또는 서비스 장애 정도가 경미하여, 장애 발생시 수일 이내에 복구되어야 하는 경우 데이터 백업 등이 월간 단위로 수행되는 경우 이중화 구성 및 부하분산 구성 등이 필요 없는 경우	하(1)

[서식 1] 자산 관리대장 (첨부) (제10조, 제14조, 제19조 관련)

1. 전자정보(DB)

2. 서버

3. 네트워크

4. 응용프로그램

5. 정보보호시스템

1) 중요성 평가 도출 공식

기밀성 + 무결성 + 가용성 = 중요성 등급

2) 중요성 평가 도출 공식 예

[첨부 3] 자산 중요도 평가기준에 따라 기밀성이 3, 무결성이 2, 가용성이 2인 정보자산은

다음과 같이 계산된다. 중요성 등급의 점수가 7로 ‘2’ 등급에 해당된다.

기밀성(3) + 무결성(2) + 가용성(2) = 중요성 등급(7) -> ‘2’ 등급 해당