3-3-26. 정보보호 관리규정

3-3-26. 정보보호관리규정_개정_21_09_01.hwp

<규정명 변경 ‘18.12.04>

제정 2009. 05. 27

전면개정 2018. 12. 04

개정 2021. 09. 01

제1장 총칙

제1조(목적) 이 규정은 원광대학교(이하 ‘본교’라 한다)의 전산망 이용 시 내․외부의 무단 사용자에 의해 정보자산이 불법 유출․파괴 또는 변경되는 것으로부터 안전하게 보호하며, 모든 정보운영 환경과 응용프로그램을 보다 안전하게 운영함으로써 본교 전산망 사용자에게 원활한 서비스를 제공하고자 함을 그 목적으로 한다.

제2조(적용 대상과 범위) ① 이 규정의 적용 대상은 교내 전산자원을 사용하는 모든 정보시스템 및 그 이용자로 한다.

② 본교의 정보자산 보호와 정보운영환경 및 응용프로그램의 운영과 제공에 관하여는 따로 규정되는 경우를 제외하고는 이 규정에 따른다.

③ 정보보호에 대한 의무는 본교의 전산자원을 사용하는 구성원 모두에게 있으며「정보보호 관리규정」을 준수할 의무가 있으며, 본 규정을 준수하지 않아 발생한 사고의 책임은 원칙적으로 사용자 본인에게 있다.

제3조(용어의 정의) ① “전산망”이란 각종 정보시스템을 통신회선으로 연결하여 자료를 처리․보관하거나 전송하는 조직망을 말한다.

② "정보시스템"이란 정보의 수집, 가공, 저장, 검색, 송신, 수신 및 그 활용과 관련되는 기기와 소프트웨어의 조직화된 체계를 말한다.

③ “정보보호”란 정보통신 수단으로 수집․가공․저장․검색․송수신 되는 정보의 유출․위변조․훼손 등을 방지하거나 정보통신망을 보호하기 위하여 관리적․물리적․기술적 수단을 강구하는 일체 행위를 말한다.

④ "행정정보"란 본교에서 직무상 작성 또는 취득하여 관리하고 있는 자료로서 전자적 방식으로 처리되어 부호·문자·음성·음향·영상 등으로 표현된 것을 말한다.

⑤ “보안사고”란 외부 또는 내부의 악의적인 사용자에 의한 비 인가된 시스템 사용, 사용자 계정의 도용, 악성코드(웜, 바이러스 등) 유입 및 실행, 정보시스템방해 등 시스템의 서비스를 왜곡 또는 지연시키거나 우리 대학교의 정보자산을 유출, 파괴하거나 데이터를 변조, 삭제하는 등의 일체의 행위를 말한다.

⑥ “외부자”라 함은 본교와 계약에 의해 용역 및 서비스를 제공하는 외부 전문가 및 외부용역업체, 기타 본교 정보자산에 접근이 허용된 자 및 업체를 말한다.

⑦ “이용자” 란 본교 전산망을 통하여 전자적 민원처리 또는 업무 담당자, 정보서비스를 이용하는 민원인 및 시스템 관리자를 말한다.

제2장 책임 및 권한

제4조(정보보호최고책임자) ① 본교의 효율적인 정보보호 업무를 수행하기 위하여 “정보보호최고책임자”을 둔다.

② 정보보호최고책임자는 정보통신망 이용촉진 및 정보보호 등에 관한 법률 및 시행령에 의거하여 총장이 임명한다. <직제개편 ‘19.05.09, 개정 ‘21.09.01>

③ 정보보호최고책임자는 정보보호관리자를 선임할 수 있으며, 정보보호활동에 필요한 업무를 지시할 수 있다.

제5조(정보보호활동) 정보보호최고책임자는 정보보호를 위하여 다음 각 호의 정보보호활동을 수행하여야 한다.

1. 정보보호관리체계의 수립 및 관리·운영

2. 정보보호 취약점 분석·평가 및 개선

3. 침해사고의 예방 및 대응

4. 사전 정보보호대책 마련 및 보안조치 설계·구현 등

5. 정보보호 사전 보안성 검토

6. 중요 정보의 암호화 및 보안서버 적합성 검토

7. 그 밖에 이 법 또는 관계 법령에 따라 정보보호를 위하여 필요한 조치의 이행

제6조(정보보호 조직의 구성 및 운영) ① 본교의 정보보호 조직은 정보보호위원회, 정보보호실무협의회, 정보보호최고책임자, 정보보호관리자 등으로 구성하여 체계적으로 운영하도록 한다.

② 정보보호 조직의 구성 및 운영에 관한 세부 사항은 ‘정보보호조직 지침’을 따른다.

제7조(위원회 구성) ① 체계적․효율적인 보안정책 수립․ 심의 및 관리를 위하여 정보보호위원회(이하 ‘위원회’라 한다)를 둔다.

② 위원회는 위원장(정보보호최고책임자), 정보보안 관련교원, 행정관리자를 포함하여 9인 이내의 위원으로 구성한다. <직제개편 ‘19.05.09, 개정 ‘21.09.01>

③ 위원은 위원장이 추천하여 총장이 위촉하며, 위원의 임기는 2년으로 하되 연임할 수 있다.<개정 ‘21.09.01>

제8조(위원회 기능) 이 위원회는 제1조의 목적을 달성하기 위하여 다음 각 호의 사항을 심의․결정한다.

1. 정보보호 정책 심의

2. 정보보호사고 처리의 책임을 심의․결정

3. 정보보호교육 및 정보보호준수 사항 감사 결과 심의

4. 보안 적합성 검토 심의

5. 기타 정보보호관련 제반업무 심의

제3장 정보보호 정책

제9조(기본 수칙) ① 이용자는 계정 및 암호의 기밀을 유지해야 하며, 본래의 목적으로만 사용하여야 한다.

② 이용자는 허가받은 정보시스템 또는 행정정보의 사용권한이 부여된 영역에 대하여 본래의 목적으로만 사용 하여야 한다.

③ 이용자는 정보시스템의 성능저하 및 보안상 위험을 초래할 수 있는 행위를 해서는 아니되며 위험을 초래할 수 있는 행위를 한 자가 발견된 경우에는 소속부서의 장 또는 정보보호담당부서에게 알려야 한다.

④ 정보시스템과 연관된 저작권․특허권 및 소프트웨어 라이선스의 사용 조건을 숙지하고 이를 준수하여야 한다.

⑤ 본교 내 전산망을 신설․변경 및 폐기하고자 하는 경우에는 정보보호최고책임자의 사전승인을 얻어야 한다.

⑥ 외부 전산망에서 본교 내 전산망으로의 접근은 학교에서 승인한 정보시스템을 제외하고는 원칙적으로 허용하지 아니한다. 단, 필요시 적법한 절차에 따라 승인된 경우에 제한적으로 허용할 수 있다.

⑦ 정보자산(정보시스템, 정보보호시스템, 정보)은 보안등급에 따라 분류․관리한다.

⑧ 정보보호관리자는 주기적인 보안점검을 통해 본교 내 전산망 및 정보시스템의 안전성을 점검하고, 정보보호정책 및 규정의 준수 여부를 평가하며 본교 내 모든 사용자는 이에 적극 협조하여야 한다.

⑨ 업무와 관련해 습득한 정보자산을 본교의 허가 없이 외부에 누출해서는 아니 된다.

⑩ 정보보호 사고를 예방하기 위한 목적으로 정보보호최고책임자의 승인을 득한 정보보호 활동은 즉시 시행 할 수 있다.

제10조(정보보호 정책의 수립 및 문서화) ① 본교는 이용자가 준수하여야 할 정보보호 기본 수칙을 포함한 정보보호 관리규정을 수립․운영하여야 한다.

② 정보보호 관리규정은 정보보호위원회를 거쳐 총장의 승인을 득하고 규정관리시스템에 공포하여야 한다.

③ 본교는 정보보호 관리규정의 실질적인 운영을 위하여 필요한 경우 구체적인 세부 지침을 수립 및 운영 할 수 있다.

제11조(정보보호 정책의 준수) ① 이용자는 본 규정을 숙지 및 준수하여야 하며 담당 업무에 적용하여야 한다.
② 이용자는 본 규정 또는 하위 지침을 위반하여 본교에 손실을 입히거나 이미지를 훼손한 경우에는 관련 규정에 따라 징계할 수 있다.

제12조(정보보호 정책의 관리) ① 사업환경 및 정보보호 관리체계의 변화에 따라 필요한 지침을 수립하고 개선하여야 한다.

② 정책 및 지침의 제정, 개정, 배포(시행), 폐기등의 이력이 관리 되어야 한다.

③ 정보보호 관리자는 다음 각 호의 사항을 고려하여 정책을 연 1회 이상 변경 여부를 검토하고 필요시에 정책을 변경할 수 있다.

1. 정보보호 목표 및 전략의 변경

2. 정보보호 관련 조직 구조 및 인력의 중대한 변경

3. 중대한 보안사고 및 새로운 위협ㆍ취약성이 발생한 경우

4. 관련 법 요구의 변화 또는 신규 법령의 제정

5. 정보보호 정책과 지침, 절차등의 정책시행 문서간의 일관성 여부 검토

6. 그 밖에 대표이사가 필요하다고 판단하는 경우

④ 정보보호관리자는 정보보호정책에서 요구하는 정보보호 수준 유지를 위해 연간 정보보호업무계획을 수립ㆍ시행하고 그 추진결과를 심사분석 및 평가하여야 한다.

⑤ 정보보호업무계획의 효과적인 관리를 위해서 “정보보호 활동 현황표”를 작성 하고 검토하여 최신의 상태가 유지되도록 관리하여야 한다.

⑥ 정보보호 정책 및 정책 시행 문서에 정한 정보보호 활동 수행에 관한 운영 기록을 생성 유지 하여야 한다.

제13조(정보보호 감사) ① 정보보호최고책임자는 정보보호 감사를 수행하여 정보보호 활동이 적절히 수행되는지 평가하고 개선사항이 발생한 경우에는 개선하도록 하여야 한다.

② 정보보호 감사에 관한 세부 규정은 ’정보보호 감사 지침‘을 따른다.

제4장 정보보호 관리

제14조(자산분류 및 통제) ① 정보자산에 대한 최신 목록을 유지, 관리하여야 한다.

② 정보자산의 보호를 위해 보호대책을 마련하고 적용하여야 한다.

③ 본교에서 생성되는 모든 정보는 정보의 중요도를 고려하여 보안등급을 정하여 관리하여야 한다.

④ 자산분류 및 통제 업무에 관한 세부 규정은 ’정보자산 관리지침‘을 따른다.

제15조(위험평가) ① 서비스 및 업무에서 발생이 예상되는 위험을 평가하고 위험관리 전략을 수립하여  통제하여야 한다.

② 본교가 보유하고 있는 정보보호 위험은 지속적으로 평가되고 관리되어야 한다.

③ 위혐평가에 관한 세부 규정은 ’위험평가관리지침‘을 따른다.

제16조(인적 보안) ① 교·직원에 대한 인사관리 업무 상 발생 가능한 위험을 식별하고 대책을 적용하여야 한다.

② 외부인력에 의해 발생 가능한 위험을 식별하고 대책을 적용하여야 한다.

③ 정보보호 담당부서는 년간 정보보호 교육 및 훈련계획을 수립하고 이를 시행하여야 한다.

④ 교·직원은 정보보호 교육을 이수하여야 하며 교육평가에 응하여야 한다.

⑤ 인적 보안에 관한 세부 규정은 ’인력 보안지침‘ 및 ’외부인력 보안지침‘을 따른다.

제17조(물리적 보안) ① 업무 상 보호되어야 하는 구역을 제한구역 또는 통제구역으로 구분하여 관리하여야 한다.

② 정보 및 정보자산에 대한 비인가 물리적 접근, 유출, 손상으로부터 보호하기 위한 대책을 적용하여야 한다.

③ 물리적 보안에 관한 세부 규정은 ’물리적 보안지침‘과 ’사용자 보안관리 지침‘을 따른다.

제18조(네트워크 및 운영관리) ① 정보시스템의 운영과정에서 발생하는 보안 위협을 예방하고 통제하여야 한다.
② 정보시스템의 신규 도입, 운영 및 폐기 단계에서 보안성을 확보하여야 한다.
③ 네트워크 상에서 전송되는 중요 정보에 대한 기밀성, 무결성, 가용성 보장을 위하여 적절한 통제
대책을 수립하여 적용하여야 한다.
④ 매체에 저장된 중요 정보의 보호를 위하여 안전한 보관 및 폐기 관리를 수행하여야 한다.
⑤ 정보시스템 운영 보안에 관한 세부 규정은 ’정보시스템 운영보안 지침‘을 따른다.

제19조(보안사고 예방 및 대응) ① 본교에서 발생 가능한 보안사고를 사전에 예방하고  대응할 수 있는 통제 대책을 수립하여 운영하여야 한다.

② 보안사고 대응을 위한 조직을 구성하고, 대응책을 수립하여 적용하여야 한다.

③ 보안사고를 인지한 교·직원은 정보보호 담당부서에 즉시 신고하여야 한다.

④ 보안사고 예방 및 대응업무에 관한 세부규정은 ’침해사고 대응지침‘을 따른다.

제20조(접근 통제) ① 본교의 정보 및 정보자산은 승인된 사용자만 접근할 수 있어야 한다.

② 정보시스템에 대한 접근통제 정책은  사용자 식별, 인증, 활동기록 등의 보안통제기능을 통하여 이행되어야 한다.

③ 정보시스템 사용자는 사용자 인증 시 안전한 패스워드 설정 및 관리를 통해 비인가 접근을 예방하여야 한다.

④ 정보시스템의 접근통제에 관한 세부규정은 ’정보시스템 운영 보안지침‘을 따른다.

제21조(응용 프로그램 보안관리) ① 응용 프로그램의 신규 개발, 변경 및 폐기 시 보안성 검토가 수행되어야 한다.
② 응용 프로그램에서  취급하는 민감한 정보의 전송 및 저장에 관한 세부규정은 ‘암호관리 지침’을 따른다.
③ 응용 프로그램의 개발 및 보안관리에 관한 세부 규정은 ’개발 보안지침‘을 따르고, 데이터베이스 보안관리에 관한 세부 규정은 ’정보시스템 운영보안 지침‘을 따른다.

제22조(업무연속성 계획) ① IT 인프라 및 설비의 복구를 위한 비상계획을 수립하여야 한다.

② 인위적 및 자연적으로 발생되는 긴급사태에 대비하여 백업 및 복구절차를 수립하고 시행하여야 한다.

③ 업무연속성 관리에 관한 세부 규정은 ’업무연속성 관리지침‘을 따른다.

제23조(법적 요구사항의 준수) ① 본교 업무 운영에 저촉되는 법적, 제도적 요구사항을 식별하고 준수하여야 한다.

② 정보보호 규정 및 지침의 준수 여부를 확인하기 위해 주기적 준거성 검토를 수행하고 필요시 감사가 수행 될 수 있다.

③ 개인정보보호에 관한 사항은 ’개인정보 내부관리계획‘을 따른다.

제5장  정보보안규정 위반 및 징계

제24조(위반사항 및 처벌 기준) 정보보안 위반사항 및 처벌기준은 [별표 1]에 따른다.<개정 ‘21.09.01>

제25조(위반사항 처리) ① 구성원은 정보보안 위반사항 발견 시 이를 즉시 정보보호관리자에게 통보하여야 한다.<개정 ‘21.09.01>

➁ 정보보호최고책임자는 정보보안 위반사항에 대한 피해 정도 및 피해 범위 등을 분석하고, 관련 부서에 협조를 요청하여 재발 방지 대책을 수립하고 문제점을 시정하야여 한다.<항신설 ‘21.09.01>

➂ 정보보호최고책임자는 [별표 1]의 정보보안 위반사항 및 처벌기준에 근거하여 경고 처리하거나 위원회에 안건으로 상정한다.<항신설 ‘21.09.01>

➃ 정보보호최고책임자는 정보보안 위반사항에 대한 위원회의 심의 결과를 총장에게 보고하고, 위반사항에 대한 징계는 “원광학원 정관”, “직원인사규정”, “학교법인 원광학원 교원징계 규정”, “학생 상벌에 관한 규정”에서 정하는 바에 따른다.<항신설 ‘21.09.01>

제6장 기타

제26조(지침) 이 규정의 운용에 필요한 세부사항은 지침으로 따로 정할 수 있다.<본조신설 ‘21.09.01>

제27조(준용) 기타 이 규정에 명시되지 아니한 사항은 본교의 관계 규정에 준한다.<본조신설 ‘21.09.01>

부 칙(2009. 5. 27)

① (시행일) 이 규정은 공포한 날부터 시행한다.

② (경과규정) 현재 운용중인 프로그램이 정보시스템 또는 행정정보에 접근하고자 할 때 공인인증서를 지원하지 못하기 때문에 프로그램이 완성 될 때까지 ID 및 패스워드 방식으로 사용한다.

③ (경과조치) 이 규정 각조에 명시한 공인인증서 접근방식은 새로운 시스템 구축 이후부터 적용한다.

부 칙(2015. 06 .04, 직제규정)

이 규정은 공포한 날부터 시행한다.

부 칙(2015. 12 .29)

이 규정은 공포한 날부터 시행한다.

부 칙(2017. 07. 31.)

이 규정은 공포한 날부터 시행한다.

부 칙(2018. 12. 04.)

이 전면개정 규정은 공포한 날부터 시행한다.

부 칙(2019.05.09., 직제규정)

이 규정은 공포한 날부터 시행한다.

부 칙(2021. 09. 01.)

이 규정은 공포한 날부터 시행한다.

[별표 1] 정보보안 위반사항 및 처벌기준

구분		내용
중대한 위반사항	위반 사항	- 비인가자가 주요 정보시스템에 접근하거나 접근 권한을 초과하여 저장된 데이터를 조작, 파괴, 은닉 또는 유출하는 행위 - 주요 정보시스템에 대하여 데이터를 파괴하거나 주요 정보시스템의 운영을 방해할 목적으로 컴퓨터바이러스 및 웜 등의 프로그램을 투입하는 행위 - 주요 정보시스템에 비인가 접근하여 시스템 변조, 파괴, 복사하는 행위 - 정보자산의 오남용으로 인하여 대학 이미지에 중대한 손상을 끼치는 경우 - 관련 법규 및 규정에 저촉되는 행위로 인하여 사회적 물의를 일으키는 경우 - 기타 고의 또는 과실로 인해 대학의 정상적 업무에 심각한 지장을 초래하는 경우
	처벌 기준	- 정보보호위원회 심의‧결정 후 총장 보고 - 각종 법률을 위반한 경우 정해진 법 절차에 따라 민·형사상의 고소, 고발 및 손해배상 청구를 할 수 있음
경미한 위반사항	위반 사항	- 대외비 자산의 불법 반출 - 불법 소프트웨어를 임의로 설치하여 사용하는 경우 - 저작권을 위반하는 경우 - 보안 관련 지적사항에 대해 적절한 시정 조치를 취하지 않은 경우 - 정보보안 사고인지 후 미보고
	처벌 기준	- 1회 위반 : 정보보호최고책임자에 의한 1차 경고 조치(구두 경고) - 2회 위반 : 정보보호최고책임자에 의한 2차 경고 조치(공문 발송) - 3회 위반 : 정보보호위원회 심의‧결정 후 총장 보고