국립민속박물관 정보통신보안규정

제1장 정보통신보안 조직

① 국립민속박물관(이하 "박물관"이라 한다) 정보통신보안 정책 결정은 동 기관 정보화 부서에서 진행한다.<개정 2015.1.1.>

<img id="99559671">

</img>

① 정보화 부서에서 수립된 정보통신보안 정책을 추진ㆍ관리하기 위하여 박물관 내에 정보통신보안담당관을 두며, 별도의 지정이 없을 시에는 민속기획과장이 그 역할을 한다.<개정 2015.1.1., 2021.4.9.>

② 정보통신보안담당관은 박물관의 정보통신보안 업무의 수행을 총괄한다.<개정 2015.1.1.>

③ 정보통신보안관리자는 정보통신보안담당관의 위임을 받아 정보통신보안 업무 이행을 관장하고 준수 여부를 감독한다.

④ 정보통신보안담당자는 정보통신보안 업무를 수행한다.

⑤ 각 분야별 업무 영역은 다음과 같다.

<img id="99559093">

</img>

제2장 정보통신보안자산

정보통신보안 자산관리의 적용범위는 국립민속박물관의 업무와 관련된 종이문서, 전자문서, 정보시스템 혹은 매체 상에 존재하는 모든 정보 및 이를 포함하는 정보시스템 등을 포괄하는 전체 정보자산으로 한다.

① 박물관 내 정보자산은 정보, 정보시스템 및 정보 관련 자산으로 구성된다.

② 정보는 박물관 직원들이 업무와 관련하여 생성 또는 입수하여 소유하고 있는 지적 자산 등을 뜻하며, 컴퓨터나 저장매체 상에 기록된 각종 정보 및 인쇄물 등을 포함한다.

③ 정보시스템은 박물관에서 사용 또는 관리하고 있는 모든 하드웨어, 소프트웨어, 네트워크 등을 포함한다.

④ 정보관련 자산은 정보 및 정보시스템에 관련된 인력, 시설, 장비 및 운영을 위한 지침 및 절차 등을 포함한다.

① 국립민속박물관 내 정보자산에 대한 분류는 주요 정보에 대해 기밀성, 무결성, 가용성 등의 보안 요구사항을 고려하여 보안등급을 부여함으로써 이루어진다.

② 정보의 보안등급이 부여된 경우, 이를 포함하는 정보시스템(서버, 어플리케이션, 네트워크 등)은 기본적으로 해당 정보시스템이 포함하고 있는 정보의 보안등급을 상속받는 것을 원칙으로 한다.

③ 정보에 대한 보안등급은 해당 정보소유자가 정보 속성 및 업무 환경과 해당 정보의 보호요건 및 수준을 고려하여 정보생성 시 부여하는 것을 우선 적용한다.

제3장 정보통신보안자산의 보안등급

업무상 박물관 내부에서 취급되어야 하는 정보로서, 박물관 외부 유출 시 상당한 문제를 야기하거나 손실을 가져와 취급 및 배포를 통제해야 하는 정보이다.

제6조의 대외비 이외의 정보로 박물관 외부에 공표되거나 공개할 수 있는 홈페이지 정보, 공개정보 등을 말한다.

① 정보에 대한 보안등급은 정보 소유자가 정보생성 시 부여한다.

② 각 정보의 보안등급을 결정할 때, 정보가 적절히 보호될 수 있는 등급을 선정하여 등급이 지나치게 높거나 낮아지지 않도록 유의한다.

① 보안등급 표시는 대외비에 대해서는 정보 소유자의 판단에 따라 적용 가능하다.

② 보안등급의 표시는 자료의 우측 상단에 한다.

① 공개 가능한 일반정보가 아닌 모든 정보에 대해서는 허가되지 않은 자에게 제공해서는 안 된다.

② 대외비 정보를 전자적 형태로 전송해야 할 경우 암호화해야 한다.

③ 일반정보가 아닌 정보에 대해서 공개 뉴스그룹이나 포럼, 또는 공개 게시판에 공개해서는 안 되며, 박물관 내 직원 연락처 정보공개 시에도 주의를 기울인다.

① 대외비의 사용은 사용자의 판단으로 사용할 수 있으나, 가능한한 사용에 대한 기록이 남겨질 수 있도록 관리한다.

② 문서를 출력하거나 복사를 할 때, 이면지의 사용을 원칙적으로 금하며, 부득이하게 이면지를 사용해야 할 경우, 일반정보 이외의 정보가 외부인 등 비인가자에게 유출되지 않도록 주의한다.

대외비 정보를 전자적 형태로 저장하는 경우 가능한 무결성 및 기밀성의 보호 대책이 강구된 형태로 보관한다.

대외비의 반출 시 사전에 정보통신보안관리자에게 승인 받아야 한다.

① 대외비는 보존기간 만료 시 또는 사용 완료 시 원본과 사본을 원형이 복구될 수 없도록 파기한다.

② 사용기간이 만료된 주요 종이문서는 반드시 파쇄기 등을 통해 문서의 원형을 완전히 소멸시키며 쓰레기통에 버리지 않도록 한다.

① 대외비가 저장되어 있는 정보시스템의 사용자 계정은 공유되어서는 안 되고, 패스워드는 관리되어야 한다.

② 박물관 직원의 퇴직, 보직 변경 등 권한변경 사유가 발생한 경우 정보통신보안담당자는 즉시 정보시스템 사용권한을 변경(말소, 삭제)하도록 한다.

① 박물관 직원은 퇴직 및 전출 시 보유 중인 모든 정보자산을 반환해야 할 의무가 있다.

② 권한의 말소는 퇴직 이전에 이루어지도록 한다. 직상위자는 퇴직자 발생 시 아래 사항에 대한 요청이나 확인을 관련 부서에 통보한다.

1. 개인용 컴퓨터의 데이터 삭제 후 반납

2. 출입증, 출입카드 등 물리적 접근장치의 반납

3. 정보시스템 접근 계정 및 권한의 삭제

③ 퇴직 시 직상위자는 해당 직원에게 근무 중 직무상 알게 되었던 관련 비밀에 대한 준수 의무를 주지시킨다.

④ 퇴직자 발생 시 해당 부서에서 사용 중인 공용계정의 패스워드는 변경해야 한다.

제4장 계정 관리

본 장은 박물관 소유의 모든 시스템을 그 적용 범위로 하며, 적용 범위 내의 모든 장비와 그 부대시설물을 포함하는 모든 자원 및 동 자원을 이용하여 업무를 수행하는 모든 사용자를 대상으로 한다.<개정 2015.1.1.>

① 박물관 직원이 시스템에 접속하기 위한 사용자 ID의 등록, 변경, 삭제 요청을 하는 경우 공식적인 문서로 시스템 담당자에게 요구하여야 한다. 단, 등록, 변경, 삭제의 절차가 시스템으로 구현되어 있을 경우에는 그러하지 아니한다.<개정 2015.1.1.>

② 유지보수, 장애처리 등의 목적으로 제3자에게 ID를 부여할 필요성이 있을 경우 시스템(서버/네트워크장비) 담당자는 해당 ID에 대한 생성 및 관리를 수행하며 작업 종료 시 삭제하여야 한다.

③ 시스템(서버/네트워크장비) 담당자는 사용하지 않거나 불필요한 ID에 대한 계정삭제, 불필요한 ID삭제 업무를 주기적으로 수행하여야 한다.

④ 시스템 담당자는 시스템 설치 시 기본적으로 생성되는 계정을 삭제하여야 하며, 해당 계정이 필요한 경우에는 반드시 기본 패스워드를 변경하여 사용한다.<개정 2015.1.1.>

① 신규 사용자가 시스템 사용에 대한 권한을 부여받을 때에는 반드시 패스워드를 사용하도록 한다.

② 시스템 담당자는 관리 계정(서버의 root)을 갖고 있던 사용자가 이ㆍ퇴직 등의 사유로 다른 곳으로 옮길 때에는 즉시 기존에 사용했던 패스워드를 변경해야 한다.<개정 2015.1.1.>

③ 사용자는 자신의 패스워드가 추측이 불가능하도록 문자ㆍ숫자ㆍ특수문자를 사용, 원칙적으로 1개월에 1회 이상 변경하여야 한다.<개정 2015.1.1.>

④ 시스템 담당자는 패스워드를 암호화하여 저장한다.<개정 2015.1.1.>

제5장 서버 보안

본 장은 박물관 소유의 모든 서버를 그 적용 범위로 하며, 적용 범위 내의 모든 장비와 그 부대시설물을 포함하는 모든 자원 및 동 자원을 이용하여 업무를 수행하는 모든 사용자를 대상으로 한다.<개정 2015.1.1.>

① 정보통신보안담당자는 각 분야별(서버, 네트워크, 어플리케어션 등) 정보시스템에 대한 자산 목록을 작성하여 관리하도록 한다.

② 정보시스템 도입 및 폐기로 인한 자산 변경 시, 정보통신보안담당자는 즉시 해당 사항을 반영하여 자산 목록을 갱신한다.<개정 2015.1.1.>

③ 정보통신보안담당자는 운영 혹은 개발 중인 정보시스템에 대하여 해당 정보시스템의 보안등급을 설정하고 이를 자산 목록상에 포함시킨다.

① 서버에 하드웨어를 설치할 경우에는 다음 각 호의 사항을 준수한다.

1. 정보통신보안관리자는 서버 담당자를 지정하여 서버 설치 및 변경 시 책임성을 확보할 수 있도록 해야 한다.<개정 2015.1.1.>

2. 서버 담당자는 착탈식 디스크 등의 휴대용 장비와 같은 외장형 장치의 설치 또는 제거를 하는 경우 정보통신보안관리자의 승인을 얻은 후 제한적으로 사용하도록 한다.<개정 2015.1.1.>

3. 서버 담당자는 정전 시에 안정된 전력 공급을 유지하기 위해 무정전 전원 공급장치(UPS)를 설치하여야 한다.<개정 2015.1.1.>

4. 서버의 설치 후 서버 담당자는 Firmware 패스워드를 설정하여 비인가자가 콘솔상에서 직접 서버에 로그인 하지 못하도록 해야 한다. 단, 서버가 전산실 이외의 물리적으로 떨어진 곳에 설치되어 있어서 서버의 재부팅 시 Firmware 패스워드를 입력할 수 없는 경우에는 예외로 할 수 있다.

5. 서버 담당자는 이상전압 발생 시, 하드웨어시스템 보호를 위해 접지를 해야 한다.<개정 2015.1.1.>

② 서버의 물리적인 손상 및 도난 등을 방지하기 위하여 다음 각 호의 사항을 준수한다.

1. 서버 담당자는 모든 서버를 통제구역으로 지정된 전산기계실 내에 설치해야 하며, 2중 이상의 잠금장치가 존재하여야 한다.<개정 2015.1.1.>

2. 서버 담당자는 서버의 위치를 설정함에 있어 화재, 침수, 홍수, 지진 등 발생 가능한 다양한 형태의 위험을 반영하여야 한다.

3. 서버가 위치한 곳에서의 음식물, 인화성 물질 등의 반입 및 흡연을 금지한다.

① 서버 담당자는 기존 운영체제의 정보통신보안 취약점이 보완되고, 향상된 정보통신보안 기능이 포함되어 있는 새로운 버전의 운영체제가 출시되어 업그레이드의 필요성이 있을 경우, 해당 운영체제에 대한 보안성 검토를 거치고 업그레이드를 할 수 있다.

② 서버 담당자는 소프트웨어의 설치 시 다음 각 호의 사항을 준수한다.<개정 2015.1.1.>

1. 서버에는 박물관 내 업무용 목적으로 사용되는 프로그램 이외의 불필요한 프로그램을 설치할 수 없다.

2. 서버에는 사용권한이 없거나 임의로 복제된 소프트웨어를 설치하여 사용하지 말아야 한다.

3. 박물관의 정보시스템을 침해할 수 있는 backdoor, trojan 등의 소프트웨어를 임의로 설치해서는 안 된다.

4. 박물관 내의 보안시스템을 우회하여 박물관 내의 정보시스템으로 접근할 수 있는 원격접속 소프트웨어(remote terminal 등)를 임의로 설치해서는 안 되며, 업무상 필요한 경우 정보통신보안관리자의 승인을 얻은 후 제한적으로 사용하여야 한다.<개정 2015.1.1.>

③ 서버 담당자는 소프트웨어 변경 시 다음 각 호의 사항을 준수한다.

1. 서버에 설치된 상용 소프트웨어의 임의적 변경은 기능상의 오류를 발생시킬 위험이 있으므로 필요한 경우 정보통신보안관리자 및 제품공급자와 협의 하에 변경한다.

2. 서버에 설치된 상용 소프트웨어의 변경은 복사본에서 우선 실시하고 안전성이 입증된 후에 반영한다. 변경 후 변경 내용, 변경자, 변경 사유 등을 문서화하여 관리해야 한다.

① 서버 담당자는 서버의 하드웨어 및 소프트웨어의 지속적인 가용성과 무결성 확보를 위해 정기적 혹은 필요한 경우 수시로 예방점검을 한다.

② 서버 담당자는 서버에서 바이러스를 진단, 치료할 수 있는 백신 프로그램을 설치하여 운영한다. 서버에 적합한 백신 프로그램이 없는 경우, PC에서 만들어진 파일은 바이러스 검사 후 서버에 저장한다.

③ 바이러스 유입, 유출을 실시간으로 검사하는 기능을 사용하는 경우 부하를 고려한다. 단, 윈도우계열의 서버와 같이 바이러스의 직접적인 공격 대상이 되는 서버는 실시간 검사 기능을 사용한다.

④ 서버 담당자는 일일 업데이트를 수행하며, 필요시 긴급 업데이트를 수행한다.

⑤ 서버 담당자 및 사용자는 신종 바이러스 발견 시 정보통신보안담당자에게 보고 후 백신 전문 업체에 신고하여 신속하게 조치하고, 정보통신보안책임자에게 해당 사실을 통보한다.

⑥ 서버 담당자는 보안패치의 적용을 위해 다음의 사항을 준수한다.

1. 서버 담당자는 서버 공급업체의 보안관련 패치나 권고안이 발생되는 것을 지속적으로 모니터링하며 사안에 따라 긴급한 대응이 필요한 경우 정보통신보안담당자의 승인을 얻은 후 보안패치를 적용한다.

2. 서버 담당자는 보안관련 패치를 적용하기 전에 중요정보에 대한 백업을 수행하고 보안패치를 적용한다.

3. 서버 담당자는 패치 수행결과를 파일 또는 문서로 이력을 관리한다.<개정 2015.1.1.>

4. 서버 담당자는 보안패치 및 업데이트를 수동으로 관리, 운영하여야 한다.<개정 2015.1.1.>

① 서버 담당자는 사용자가 서버에 로그인 할 때 다음의 각 호의 사항이 준수될 수 있도록 하여야 한다.<개정 2015.1.1.>

1. 사용자가 서버에 접속할 경우 사용자 ID와 패스워드 또는 보다 강화된 인증 방법을 통한 후 접근한다.

2. 로그인 화면에서는 로그인 관련 정보만 표시되도록 하고, 조직이나 운영체제, 네트워크 환경, 내부적인 사항과 같은 정보는 로그인이 성공적으로 이루어진 후에 표시되도록 한다.<개정 2015.1.1.>

3. 사용자가 시스템에 로그인 실패 시 시스템 침해의 원인이 될 만한 정보를 사용자에게 보여주지 않도록 조치한다. 로그인이 실패하면 로그인 절차가 잘못되었다는 정보만 표시하고, 세션을 종료한다.<개정 2015.1.1.>

4. 사용자가 서버 로그인에 성공하였을 경우 가장 최근에 성공적으로 접속한 시간, 날짜, 터미널 등의 정보를 화면에 표시한다.

② 서버 담당자는 정상적으로 로그인이 된 세션을 보호하기 위해 다음 각 호의 사항을 준수한다.<개정 2015.1.1.>

1. 서버에 접속한 후 사용자나 다른 시스템으로부터 일정시간 동안 어떤 입력도 일어나지 않으면 자동적으로 로그오프 시키거나 세션을 중단시키는 것을 원칙으로 한다. 단, 개발 업무나 서버 운영상 필요성이 인정되는 경우 예외로 할 수 있다.

2. 하나의 사용자 ID로 여러 장소(터미널)에서 동시에 여러 온라인 세션을 연결하지 않는 것을 원칙으로 한다. 단, 서버 운영상 필요성이 인정되는 경우는 예외로 할 수 있다.

3. 통제구역 이외의 장소에 설치된 서버는 서버 담당자가 일정시간 이상 자리를 비울 경우 패스워드가 설정된 화면보호기가 동작되도록 하거나 로그오프 하여 비인가자가 접근할 수 없도록 한다.

① 서버 담당자는 서버 내 정보에 대한 접근은 해당 정보소유자의 승인 후 접근이 허용되도록 하여야 한다.

② 서버 담당자는 사용자에게 권한 부여 및 변경, 삭제 시 다음 각 호의 사항을 준수한다.<개정 2015.1.1.>

1. 서버 접근에 필요한 권한의 요청, 변경 및 삭제는 공식적인 문서를 통해 이루어져야 하고, 처리 결과는 향후 감사나 문제 발생 시의 자료로 사용할 수 있도록 보관해야 한다.

2. 서버 담당자는 서버의 정상적인 운영을 방해하거나, 다른 사용자의 사용을 저해하는 등의 행위가 발견되거나 의심이 될 때, 정보통신보안담당자와 협의를 거친 후 해당 사용자의 권한을 제한 또는 취소할 수 있다.

③ 서버 담당자는 서버에 대한 접근 통제를 적용할 경우 다음 각 호의 사항을 준수한다.<개정 2015.1.1.>

1. 서버 담당자는 서버 내에 저장된 정보 중 가장 중요한 정보를 기준으로 정보통신보안 통제가 이루어지도록 한다.

2. 사용자는 서버 담당자 및 정보통신보안담당자의 사전 승인이 없는 한 운영체제의 접근 통제 기능 또는 접근 통제 도구를 우회할 수 있는 프로그램을 사용한 접근을 시도해서는 안 된다.

3. 서버 담당자는 서버가 정상적으로 동작하지 않을 경우 정상적으로 동작될 때까지 사용자의 접근을 제한할 수 있다.

① 서버 담당자는 파일시스템을 구성할 때 시스템 데이터와 일반 데이터를 논리적 또는 물리적으로 나누어서 설치하도록 한다.

② 서버 담당자는 시스템 데이터 및 라이브러리(library)의 정보 보호 침해에 따른 문제 발생을 최소화하기 위해서 엄격한 접근 통제가 이루어지도록 한다.

③ 서버 담당자는 비인가자의 접근 및 서비스 중지 등을 예방하기 위해 업무적으로 불필요하거나 침해의 위협이 있는 서비스를 제공하지 않는다.

제6장 네트워크 보안

본 장은 박물관 내에 설치되어 운영되는 네트워크장비로써 박물관이 소유 및 관리하는 모든 네트워크 장비를 그 적용 범위로 한다.

① 네트워크 관리자는 인터넷으로부터 내부 네트워크로의 접속을 원칙적으로 금지한다. 단, 특수한 목적에 의해 외부에서 내부 네트워크로의 접속이 필요한 경우, 사용자 식별, 인증, 접근통제, 암호화 통신 등의 대책을 수립하고 필요한 서비스 포트에 한하여 접속을 허용한다.<개정 2015.1.1.>

② 외부에서 박물관 시스템에 접속하는 경우에는 시스템 관리자 권한으로 로그인 하는 것을 원칙적으로 금한다. 부득이한 경우 정보통신보안관리자의 승인을 득한 경우 예외로 한다.

③ 네트워크 관리자는 다이얼 업 모뎀을 통한 내부 접속을 원칙적으로 금한다. 부득이한 경우 정보통신보안관리자의 승인을 득한 경우를 예외로 한다.<개정 2015.1.1.>

④ 네트워크 관리자는 업무전산망을 업무망, 인터넷망으로 IP대역으로 분리하여 인터넷을 통한 사이버 공격 및 정보유출을 차단한다.<개정 2015.1.1.>

⑤ 네트워크 관리자는 IP/MAC 주소 불법 사용과 충돌 방지를 관리한다.<개정 2015.1.1.>

⑥ 네트워크 관리자는 비인가 사용자 그룹에 대한 어플리케이션 접근을 통제하기 위한 네트워크 보안정책을 관리 운영해야 한다.<개정 2015.1.1.>

⑦ 네트워크 관리자는 효율적인 망관리를 위해 사설 IP를 사용하며, IP 충돌/도용 방지, 트래픽 분산을 통한 트래픽 차단 및 통제를 해야 한다.<개정 2015.1.1.>

⑧ 네트워크 관리자는 IP, MAC 주소 및 사용자 이력정보를 저장 관리해야 한다.<개정 2015.1.1.>

⑨ 네트워크 관리자는 인터넷이 연결되는 곳에는 침입차단 시스템 및 내부정보 유출방지 시스템 등의 접근제어 시스템을 설치한다.<개정 2015.1.1.>

① 정보통신보안관리자는 네트워크 관리자를 지정하여 네트워크의 구성 및 변경 시 책임성을 확보할 수 있도록 해야 하며, 네트워크 장비에 접근할 수 있는 인원은 네트워크 관리자로 제한하고, 네트워크 장비에는 관리자 계정 등 최소한의 계정만을 생성한다. <개정 2015.1.1.>

② 사용자가 운영상의 필요에 따라 일반 사용자 계정을 생성할 경우 사용자 부서장 또는 그 위임을 받은 자의 승인을 얻어 네트워크 관리자에게 요청하고 네트워크 관리자는 필요한 권한만을 부여하여 계정을 생성한다.<개정 2015.1.1.>

③ 정보통신보안담당자는 주기적으로 계정 및 권한관리에 대한 현황 점검을 네트워크 관리자에게 요청할 수 있다.

④ 관리자 계정은 제한된 사용자만이 사용할 수 있다. 단, 유지보수 등의 목적으로 부득이하게 타인이 사용하는 경우, 네트워크 관리자는 사용 후 반드시 패스워드를 변경하고 부당하게 변경작업이 있었는지 검토한다.

① 네트워크 관리자는 업무전산망을 업무망, 인터넷망으로 물리적으로 분리하여 인터넷을 통한 사이버 공격 및 정보유출을 원칙적으로 차단해야한다.

② 네트워크 관리자는 비인가자의 불법적인 접속을 방지하기 위하여 출입통제 장치가 설치되어 있거나, 외부자의 출입이 통제되는 곳에 네트워크 장비를 설치하는 등의 물리적 접근통제 방안을 적용하여야 한다.

③ 네트워크 관리자는 네트워크 장비에 로그인시 적절한 Warning Banner를 삽입하여 불법 또는 악의적인 목적을 가진 접근자에게 경고 메시지를 통한 심리적인 부담감을 주어 해킹을 중단하도록 유도한다.

④ 네트워크 관리자는 네트워크 관리자 계정의 접속은 Console 및 특정 단말기에서만 접근하도록 설정한다. 단, 해당 네트워크 장비에 접속 제한 기능이 없는 경우 보완대책을 강구한다.

① 정보통신보안담당자는 네트워크 장비의 보안성을 확보하기 위해 취약성 진단을 최소 연 1회 이상 수행하여야 한다.<개정 2015.1.1.>

② 정보통신보안담당자는 네트워크 장비 점검 시 전문적인 지식이 필요한 경우 외부 전문가의 지원을 받을 수 있다.<개정 2015.1.1.>

③ 보안 점검 후 발견된 취약성에 대해 정보통신보안담당자는 네트워크 관리자와 협의하여 대책을 수립하고 수립된 대책을 네트워크 운영자가 적용한다. 단, 전문적인 지식이 필요한 경우 외부전문가의 지원을 받을 수 있다.<개정 2015.1.1.>

④ 네트워크 관리자는 정보통신보안 취약점을 최소화하기 위하여 보안 패치 정보를 지속적으로 수집하고, 안정성이 확보되는 경우 적용하고, 이력을 관리하여야 한다.<개정 2015.1.1.>

① 네트워크 관리자는 유지보수 업체와 협의하여 패치 정보를 지속적으로 수집하고 해당 패치의 안정성이 확보되는 시점에 패치 적용을 수행한다. 이때, 패치 정보는 네트워크 장비 OS 패치 및 보안 패치를 포함한다.<개정 2015.1.1.>

② 네트워크 관리자는 패치 수행결과를 파일 또는 문서로 이력을 관리한다.<개정 2015.1.1.>

① 네트워크 관리자는 로그가 남는 시간의 정확성을 확보하기 위해 시스템의 시간을 정확하게 설정해야 한다.

② 네트워크 관리자는 네트워크 장비의 보안과 관련된 로그를 중심으로 일상로그 점검을 수행한다.

③ 네트워크 관리자는 주요 네트워크 장비의 경우 생성된 로그 정보는 실시간으로 별도의 로그서버로 보내어 로그를 저장하며, 이상 징후 탐지 시 네트워크 정보통신보안담당자에게 통보한다.

④ 네트워크 정보통신보안담당자는 침해사고 흔적 조사를 위해 저장된 로그를 필요 시 점검할 수 있다

⑤ 로그 파일의 접근권한은 일반 권한으로 수정 및 삭제할 수 없도록 설정한다.

네트워크 관리자는 시스템에서 패스워드 파일이나 네트워크 설정 파일과 같은 중요한 정보를 백업한다.

① 네트워크 관리자는 로그점검 및 성능 모니터링 등을 통해 네트워크 운영 상태를 모니터링하고 침해 흔적 및 이상 징후 등의 특이사항 발생 시 해당 내용을 정보통신보안담당자에게 통보한다.

② 정보통신보안담당자는 해당 이상 징후를 분석하여 침해사고로 판정된 경우 정보통신보안관리자에게 보고하고 필요한 조치를 취한다.

③ 네트워크 관리자는 바이러스/웜(worm) 탐지 및 침해사고의 징후가 발견되면 정보통신보안담당자에게 통보하고 필요한 조치(IP, MAC 차단 포함)를 취한다.

폐기가 결정한 시스템에 대해 네트워크 관리자는 네트워크 장비를 폐기하기 이전에 장비에 저장된 모든 정보를 삭제한 뒤 장비를 폐기한다.

제7장 PC 보안

본 장은 박물관 내에 설치되어 운영되는 개인용 단말 장비로써 박물관이 소유 및 관리하는 모든 개인용 단말 장비(이하 PC)를 그 적용 범위로 한다.

① 모든 업무용 PC 및 노트북 PC에는 반드시 박물관에서 제공하는 바이러스 백신 프로그램이 설치되어야 한다.

② PC사용자는 바이러스 백신 프로그램을 항상 최신의 것으로 유지하여야 한다.

③ PC사용자는 주기적으로 혹은 바이러스 감염이 의심되는 경우 바이러스 감염 여부를 검사하여야 한다.<개정 2015.1.1.>

④ PC사용자는 바이러스 백신의 실시간 감시 기능을 항상 활성화 하여야 한다.<개정 2015.1.1.>

⑤ PC사용자는 PC방화벽, 바이러스 백신 등 보안 취약성을 관리해야 한다.<개정 2015.1.1.>

⑥ PC사용자는 특정 및 불법 SW 실행 시 네트워크를 차단해야 한다.<개정 2015.1.1.>

⑦ 업무망과 인터넷망 사용자PC는 각종 악성코드 탐지 및 제거, 바이러스 백신 기능이 적용되어야 하며, 실시간 감시 및 제어를 위한 보안 환경이 구축되어야 한다.

① PC사용자는 공유 폴더를 사용하지 않는 것을 원칙으로 한다.<개정 2015.1.1.>

② PC사용자가 공유 폴더를 사용하고자 할 경우 공유 폴더를 설정하였다가 공유 목적을 달성한 후에는 공유를 해지해야 한다.<개정 2015.1.1.>

③ PC사용자가 공유 폴더 사용 시, 공유에 필요한 폴더만을 공유하며 드라이브 전체를 공유하지 않아야 한다.<개정 2015.1.1.>

④ PC사용자가 공유 폴더 사용 시, 반드시 공유 폴더에 접근허용 패스워드 및 사용 권한을 설정하여 인가된 사용자만이 접근 가능하도록 하여야 한다.<개정 2015.1.1.>

① 모든PC에는 지적재산권을 준수하여 정품 소프트웨어만을 설치하여야 한다.

② PC사용자는 관내 정보시스템을 침해하거나 우회할 수 있는 프로그램을 임의로 설치하거나 사용해서는 안 되며 업무상 불가피할 경우에는 정보통신보안담당자의 승인을 득하여야 한다.<개정 2015.1.1.>

① 국가정보원 USB메모리 등 보조기억매체 보안관리지침에 의하여 보조기억장치 사용자는 정보통신보안담당자가 허가한 보조기억매체만을 사용하여야 하며, 정보통신보안담당자는 허가된 보조기억매체를 관리대장에 기록하여야 한다.<개정 2015.1.1., 2018.1.1.>

② 기관 내 관리하는 노트북은 소관 부서별로 외부 반출 및 반입 등을 기록해야 하며 다음의 각호에 대한 점검을 진행하여야 한다. <2018.1.1. 신설>

1. 노트북 반입 및 반출 내역

2. 백신 및 운영체제 최신 업데이트

3. 바이러스 및 악성코드 감염 여부 등

③ 보조기억장치 사용자는 보조기억장치 분실 시 자료 유출을 방지하기 위해 정보통신보안담당자가 허가한 USB에 암호를 설정하여야 한다. <개정 2015.1.1.>

① 개별 PC에 대한 사용자 식별을 위해 각 사용자들은 해당 컴퓨터에 사용자의 실명을 부착 한다.

② 정보통신보안담당자는 IP 관리 대장을 통해 각 사용자 별로 관리하여야 한다.<개정 2015.1.1.>

박물관 직원은 다음 각 호의 사항을 지켜야 한다.<개정 2015.1.1.>

1. 자리를 비울 때는 "대외비" 이상의 문서나 출력물을 방치하지 않는다.

2. 모든 출력물은 반드시 인쇄 직후 프린터에서 회수하여야 한다.

3. 이면지를 사용할 경우에는 "대외비" 이상의 정보가 외부인 등 비인가자에게 유출되지 않도록 주의한다.

4. "대외비"이상의 문서 File 은 Password를 부여하여 보관한다.

예) MS Word : 도구 > 옵션 > 저장 > 열기, 쓰기 암호 설정

5. 중요 문서를 파기할 경우에는 소각, 파쇄 등의 방법으로 문서의 원형을 완전히 소멸시킨다.

① PC사용자는 원칙적으로 인터넷 메일(Outlook, Web Mail 등) 및 메신저 등을 통해 대외비 이상 등급 및 개인정보가 포함된 파일을 전송할 수 없다.<개정 2015.1.1.>

② PC사용자가 부득이하게 인터넷 메일을 사용하여 대외비 이상 등급 및 개인정보가 포함된 문서를 발송해야 하는 경우 자체 전자우편을 이용 첨부자료 암호화 후 수발신해야 한다. <개정 2015.1.1.>

③ PC사용자가 업무용 PC에서는 상용 E-Mail이나, 상용 메신저를 사용하는 것은 금지한다. <개정 2015.1.1.>

제8장 자료 보안

본 장은 박물관의 정보자산을 그 적용 범위로 한다.

① 정보통신보안관리자가 결정한 자산은 암호화하여 저장되어야 한다.

② 정보의 암호화는 사전에 허가된 방법 혹은 자체 개발된 암호화 소프트웨어에 의해서만 수행하고, 그 외 별도의 개별적인 암호화 소프트웨어는 사용하지 아니한다. <개정 2015.1.1.>

③ 부득이하게 별도의 암호화 소프트웨어가 필요할 경우 반드시 정보통신보안책임자의 사전 승인을 얻어야 한다.<개정 2015.1.1.>

① 자료 소유자는 자신이 관리하는 자료에 대하여 권한 이외의 자가 해당 자료에 접근하는 것을 방지하기 위해 접근통제를 수행해야 한다.

② 자료 소유자는 정보통신보안관리자의 문서화된 승인이 없이 박물관의 주요 자료가 외부에 제공되어서는 안 된다.<개정 2015.1.1.>

③ 주요 자료는 이동 시 기밀성, 가용성, 무결성이 최대한 유지되도록 적절한 방법에 의해 통제되어야 한다.

④ 주요 자료는 해당 자료의 소유자 승인 없이 외주인력에게 제공되어서는 안 된다.

⑤ 주요 자료는 실수에 의해 외부에 노출되거나 비인가된 자에 의해 변경되지 않도록 전송 또는 저장 시 기밀성 및 무결성 유지를 위해 보안대책을 적용하여야 한다.<개정 2015.1.1.>

⑥ 주요 자료를 저장하고 있는 정보시스템 상의 데이터는 장애 발생 시 해당 자료의 가용성을 보장하기 위하여 주기적으로 백업되어야 한다.

⑦ 문서 및 저장매체 형태의 자료는 타인의 무단 열람에 대한 통제가 가능하도록 근무시간 이외에는 시건 장치가 있는 캐비닛이나 자물쇠가 달린 책상서랍에 보관해야 한다.<개정 2015.1.1.>

제9장 외주인력 보안

본 장은 박물관 전 직원 및 박물관의 업무에 종사하는 관계기관 직원, 외주업체 직원, 임시직원 등을 포함하는 외주인력에게 적용된다.

외주인력 보안의 대상자는 다음과 같다.

1. 박물관으로 파견을 온 관계기관 직원<개정 2015.1.1.>

2. 정보시스템 운영 및 개발, 민원상담 등을 위한 외주업체 직원

3. 사업 수행을 위한 컨설턴트

4. 용역업체 직원

5. 기타 외주인력으로 인정되는 인력

① 정보통신보안담당자는 제안요청서 작성 시 제안업체에 사업 수행 중 준수해야 할 정보통신보안방안을 요구하여야 한다.<개정 2015.1.1.>

② 정보통신보안담당자는 외주업체에서 제출한 제안서의 정보통신보안방안을 확인하고 필요 시 추가적인 방안을 요구하여야 한다.<개정 2015.1.1.>

③ 사업 정보통신보안방안은 계약서상에 명시되거나 첨부되어야 한다.

④ 용역업체는 사업 종료 시 박물관의 모든 자료에 대한 대표명의 미보유 확약서를 제출하여야 한다.<개정 2015.1.1.>

① 외주인력이 관내 네트워크를 사용하는 경우 네트워크 관리자는 해당 네트워크 접속 가능 단말기에 대한 사전 보안성 검토를 수행하고 주기적인 점검을 실시한다.<개정 2015.1.1.>

② 주요 시스템 관리 및 개발 용역은 작업 시 외부 인터넷과의 연결을 차단하는 것을 원칙으로 하되 불가피한 경우 네트워크 관리자는 정보통신보안관리자의 허가를 받아 연결할 수 있다.<개정 2015.1.1.>

③ 외주업체가 사용하는 전산장비의 반출입은 그 소유권과 상관 없이 정보통신보안관리자의 허가가 있어야 하며, 네트워크 관리자는 그 내역을 기록해야 한다.<개정 2015.1.1.>

① 외주업체에서 박물관 내부 시스템을 사용해야 할 경우 네트워크 관리자는 개별 인력에 대하여 계정 및 패스워드에 의한 소프트웨어적 통제를 실시하고 패스워드는 주기적으로 변경하게 하도록 한다.<개정 2015.1.1.>

② 네트워크 관리자는 내부시스템 이용시간, 작업지역을 제한하여 접근통제를 실시한다.<개정 2015.1.1.>

③ 외주업체가 제시하는 자체 통제방법에 대하여 네트워크 관리자는 이를 평가하고 채택여부 등을 결정하며 필요 시 추가적인 통제방안을 요구해야 한다.<개정 2015.1.1.>

④ 네트워크 관리자는 외주인력이 해당 업무에 필요한 정보 및 시스템 이외에 대한 접근을 허용하지 않도록 하여야 한다.<개정 2015.1.1.>

⑤ 네트워크 관리자는 일정시간 경과 후 자동 접속차단(Automatic Timeout) 방식을 적용하고, 방치된 정보자산을 통한 미승인 행위의 가능성을 검토해야 한다.<<개정 2015.1.1.>

① 외주업체의 파업 및 서비스 중단은 박물관 내부 업무에 심각한 영향을 미치므로 네트워크 관리자는 사전에 철저한 대비책을 마련한다. 서비스 중단 형태별로 별도의 대비책을 마련하고 이에 대한 사전 검토 및 점검을 지속적으로 수행한다.<개정 2015.1.1.>

② 재해 등에 해당하는 비상시에도 외주업체는 최소한 중요한 응용업무를 처리할 수 있도록 자체 비상계획을 마련해야 한다.

제10장 보안교육

정보통신보안 교육 내용은 다음의 각 호와 같다.<개정 2015.1.1.>

1. 정보통신보안 규정, 지침, 절차 및 관련 규정

2. 정보통신보안 사고 사례 홍보

3. 사고 대응절차 및 업무복구 계획

4. PC 보안 및 바이러스 대책

5. 정보통신보안 법ㆍ제도

6. 정보통신보안 관리체계 구축 및 운영

7. 기타 정보통신보안 관련 내용

① 정보통신보안담당자는 정기 보안교육을 연 1회 이상 전 직원(비정규직 포함)을 대상으로 실시한다.<개정 2015.1.1.>

② 정보통신보안담당자는 정보통신보안 규정의 개정 혹은 지침 및 절차 신설 등이 이루어진 경우 필요에 따라 비정기 보안교육을 실시한다.<개정 2015.1.1.>

① 정보통신보안담당자가 보안교육 계획을 수립하여 내부 직원 및 외부 용역업체에 대한 교육을 실시한다.

② 정보통신보안담당자는 필요시 외부 전문가에 위탁하여 해당 보안교육을 실시할 수 있다.<개정 2015.1.1.>

제11장 침해사고 대응

박물관에서 운영하고 있는 정보시스템 및 응용시스템을 그 대상으로 하는 전자적 침해행위에 대한 신속한 대처와 피해 최소화를 위한 행위를 범위로 한다.

① 침해사고를 효과적으로 대응하기 위해서 정보통신보안관리자는 상황에 따라 정보통신보안담당자를 구성원으로 하는 침해사고 대응팀을 구성할 수 있다.

② 정보통신보안담당자는 침해사고 대응 절차서를 작성하고 필요시 수정해야 한다.

③ 침해사고 대응팀의 팀장은 정보통신보안담당관으로 한다.

④ 중대사고의 경우 상급 기관(문화체육관광부)의 결정에 따라 사고를 처리하여야 한다.

① 침해사고 해당부서 및 정보통신보안담당자는 침해사고 대응 이후 피해사항을 파악한다.

② 정보통신보안담당자는 침해사고의 증거를 수집할 수 있는 경우 해당 증거를 보존한다.

③ 대책적용 완료 후 정보통신보안담당자는 해당 대책 적용 이행여부를 확인할 수 있다.

④ 추가 침해사고를 방지하기 위해서 정보통신보안담당자는 침해사고 대상 장비와 관련된 장비군에 대해서 취약성 점검을 수행할 수 있다.

⑤ 정보통신보안담당자는 침해사고 대응과 재발 방지 대책을 수립하여 보고한다.

⑥ 정보통신보안담당자는 침해사고 발생 및 결과 보고를 상위 감독기관규정에 의거하여 처리한다.

제12장 정보통신보안 서약서

① 직원 임용 및 전입 시 박물관의 중요 정보에 대한 비밀유지 및 정보통신보안 규정 준수에 대하여 별지 제1호 서식에 따른 서약서를 징구한다.<개정 2015.1.1.>

② 정보통신보안 서약서의 징구 주체 및 방법은 박물관 내규에 의한다.

제13장 재해사고 대응

이 지침에서 적용되는 재해는 테러, 지진, 화재, 홍수, 전쟁 등으로 업무 기능이 중지되는 것을 말한다.

① 재해 대응 조직은 재해의 성격에 따라 운영될 수 있는 임시조직의 성격으로 구성한다.

② 재해 대응 팀의 총 책임은 정보통신보안담당관이 담당하고, 실무는 민속기획과(전산팀)에서 담당한다.<개정 2020.4.9.>

① 정보통신보안담당관은 정보시스템 서비스 중단으로 인한 업무마비를 최소화하기 위해 다음 각 호에 대한 사항을 관리해야 한다.<개정 2015.1.1.>

1. 비상연락망을 구축하고 항상 최신의 정보가 반영되도록 관리한다.

2. 전산 관련 박물관 내부 직원(비정규직 포함)의 비상연락망을 구축하고 최신의 정보가 반영되도록 주기적으로 갱신한다.<개정 2015.1.1.>

3. 인근 소방서, 경찰서, 병원, 장비 공급업체 등 주요 기관의 연락망을 구축하여 관리한다.

② 정보통신보안담당관은 재해발생 시에 대비한 반출요령과 비상반출 물품에 대한 우선 순위를 부여하여 관리하여야 한다.<개정 2015.1.1.>

③ (삭제)

④ (삭제)

① 정보통신보안담당관은 중요 전산자료의 백업을 위한 백업시스템을 구축 및 운영한다.<개정 2015.1.1.>

② 정보통신보안담당관은 정기적으로 재해 사고에 대응할 수 있도록 주기적으로 교육 및 훈련을 진행한다.<개정 2015.1.1.>

③ 정보통신보안담당관은 시험, 교육 및 훈련 결과에 따라 재해 대응을 효율적으로 할 수 있도록 대응 절차를 수정할 수 있다.<개정 2015.1.1.>

④ 정보통신시스템과 관련된 새로운 요구사항 및 내ㆍ외부 환경변화가 업무의 연속성 계획에 반영될 수 있도록 정보통신보안담당관은 주기적으로 전산시스템을 재평가하여 필요시 보완 및 변경한다.<개정 2015.1.1.>

① 재해 대응팀은 IT부문의 자체적인 장애를 비롯한 재해 문제 해결이 어려울 경우를 대비하여 항상 최신의 협력업체 연락처를 확보하고 유지보수 계약 사항을 정기적으로 검토하여야 한다.

② 협력업체는 신속하게 방문하여 재해를 복구하는 것을 원칙으로 하되 그렇지 못할 경우 유선상으로 재해복구를 진행해야 한다.<개정 2015.1.1.>

③ 협력업체가 재해복구를 위해 방문하기 전에 재해 대응 팀은 재해 발생에서부터 방문 전까지의 재해 상황을 자세히 요약하고 원인 파악을 위한 각종 로그를 수집하여 협력업체 직원에게 전달하여 재해복구가 신속하고 정확하게 이루어질 수 있도록 하여야 한다.<개정 2015.1.1.>

제14장 정보통신보안진단(Security KPI)

정보통신보안담당관은 정보통신시설망(전산장비 포함) 및 내부 전산장비 대상으로 매년 1회 이상 정기적으로 취약점 분석 및 평가를 수행해야 하며, 다음 각 호의 경우에는 수시로 취약점 분석ㆍ평가를 실시하여야 한다.<개정 2015.1.1.>

1. 침해사고의 징후가 있는 경우

2. 시설, 장비의 교체 및 보수를 한 경우

3. 침해사고에 따른 복구조치를 한 경우

4. 기타 정보통신보안담당관, 관리자 및 담당자가 필요하다고 인정하는 경우

① 정보통신보안담당관이 취약점을 분석ㆍ평가하기 위한 전담반을 구성하는 때에는 취약점 분석ㆍ평가의 객관성과 실효성을 확보할 수 있도록 하여야 한다.<개정 2015.1.1.>

② 정보통신보안담당관은 취약점 분석ㆍ평가 업무를 문화체육관광부 사이버안전센터에 요청할 수 있으며, 위탁받은 기관이 이를 직접 수행하도록 하여야 한다.<개정 2015.1.1.>