원격근무 및 PC 보안관리 강화 대책

1

개    요

각급기관은 인터넷을 이용한 재택ㆍ파견ㆍ이동근무 등 원격근무를 허용하면서 보안서약서 징구, 문서 반출 통제 등 보안조치를 취하지 않아 자료유출 사례가 빈발하고 있는 실정

또한, 기관 내 업무용 PC에 상용 P2Pㆍ메신저, 웹하드 등 인터넷 자료공유 프로그램 무단사용 및 접속 차단대책 未수립 등 PC 보안관리 미흡으로 비밀 등 중요자료가 지속적으로 유출

따라서, 각급기관에서는 원격근무 및 PC 보안관리를 강화하여 자료유출 사고가 재발하지 않도록 각별한 주의와 관련대책 수립ㆍ이행 요망

2

’07 주요 사고사례

2.22. ○○부 9급 김○○이 업무용 PC를 외부업체에 수리 의뢰하면서 PC에 보관중이던 ‘2006 을지연습계획’(Ⅲ급) 등 비밀 2건과 일반문서 426건을 인터넷 상용 웹하드에 저장하다 자료 유출

3.13. ○○부 4급 김○○이 내부자료(228건)을 무단 반출, 자택 PC에 보관하던 중 자녀가 PC를 재설치하면서 同 자료를 인터넷 상용 웹하드에 저장하다 자료 유출

4.6. ○○시 7급 윤○○이 인사이동으로 타부서로 전출하기 前, 관내 시민정보(19만여 건)를 인터넷 상용 웹하드에 저장하다 자료 유출

4.30. ○○발전소(국가보안목표시설 가급) 보수공사 업체 ○○社 직원 김○○이 발전소 설계도면을 P2P에 공유하다 자료 유출

5.7. ○○대 박사과정 한○○이 국책연구소 수탁과제(차세대 ○○기술 개발사업)를 퇴근 후 자택에서 수행하기 위해 P2P에 공유하다 자료 유출

6.1. ○○부 공익 이○○이 ‘충무계획’(Ⅱ급) 등 비밀 14건과 일반자료 1,770건을 인터넷 상용 웹하드에 저장하다 자료 유출

3

보안관리 강화방안

관  련   근  거

1. 전자정부법 제27조(정보통신망 등의 보안대책 수립ㆍ시행)

2. 교육(행정)기관 정보보안 기본지침 제33조(PC 보안관리), 제37조(전자우편 등의 보안관리), 제41조(원격근무 보안관리)

3. 국가사이버안전관리규정 제9조(사이버안전대책의 수립ㆍ시행 등)

원  격   근  무

1. 관리적 보안대책

가. 정책 수립

o 원격근무 관련, 보안대책을 포함한 自體 관리규정(지침) 수립ㆍ시행

* 사용목적ㆍ대상ㆍ권한, 등록ㆍ변경ㆍ삭제절차, 사용자교육, 인증서 분실시 처리사항 등 포함

o 사용대상은 업무상 반드시 필요한 최소인원으로 제한하고 민감한 업무는 원격근무 이용을 지양하여 기밀유출 요인 최소화

나. 이용자 관리

o  원격근무 이용권한 허가時 자료유출 방지ㆍ위반시 처벌내용 등이 포함된 보안수칙 준수 서약서 징구 및 교육

o 주기적으로 이용자 정보보안교육 시행 및 보안실태 확인

o 원격근무를 위해 내부 업무자료 반출시, 각 과(팀)별로 반출 적정성 여부 확인 및 반출 기록 유지

o 원격근무를 실시하는 소규모 사무실의 경우 주기적으로 현장 점검

다. 이용자 교육

o PC방 등 불특정 다수가 사용하는 장소에서 원격근무 금지

o 작업도중 이석時 비밀번호(8자리 이상)를 부여한 화면보호기 사용

o 업무와 무관한 자가 작업중인 화면을 열람하지 못하도록 주의

o 작업중인 화면을 저장하거나 카메라 등을 이용한 촬영 금지

o 원격근무용 PC에 상용 P2Pㆍ메신저, 웹하드 등을 사용금지하고 최신 보안 업데이트 설치 및 바이러스 백신 프로그램으로 주기적 점검

o 인증서 및 비밀번호의 무단 공유ㆍ방치 금지 등 보안관리를 철저히 하고 분실 즉시 소속기관 담당자에게 신고

o  문서작성 등 PC 사용에 국한된 재택근무시 LAN 분리 등 접속 차단

라. 이용권한 관리

o 퇴직ㆍ전근 등 직원 신상변동사유 발생 및 인증서 분실신고 접수즉시 이용권한 삭제

o 海外 출장ㆍ파견근무시 반드시 기간과 용도를 확인하고 이용가능한 장비는 기관에서 지급한 專用 노트북ㆍPC로 제한

2. 기술적 보안대책

o 기관별로 ‘자료유출 방지 시스템’을 구축하여 원격근무용 PC에 업무자료 저장방지 등 자료유출 사전차단

o  재택근무 허용시 업무전용 단말기 및 사용자 인증을 위한 지문  인식 마우스 등 생체인증 제품을 도입하여 보안강화

P2P, 메신저 및 웹하드

1. 관리적 보안대책

o 자체 정보통신 보안업무 규정ㆍ지침 등에 P2Pㆍ메신저 및 웹하드 등 인터넷 자료공유 기능이 있는 상용 프로그램의 사용금지 항목 추가

o 상용 P2Pㆍ메신저 및 웹하드 사용시 부주의 또는 해킹에 의한 내부 자료 유출 사례 등 경각심 제고를 위한 보안교육 실시

o 상용 P2Pㆍ메신저 및 웹하드 차단을 우회하기 위한 프로그램 무단 설치 금지 및 소속직원의 무단 사용여부 주기적 점검

o 출판사, 인쇄소 등 외주 발간업체와 공무원이 상용 웹하드에 접속하여 내부자료의 무단 공유ㆍ전달ㆍ게시행위 금지

2. 기술적 보안대책

o P2P, 메신저 및 웹하드 접속을 차단하기 위해 유해사이트 차단시스템,침입방지시스템(IPS) 등을 도입ㆍ운용하는 등 기술적 대책을 수립, 시행

o 웹하드ㆍ메신저 시스템은 국가ㆍ공공기관과 민간업체용으로 분리하여 구축

1) 민간업체용 웹하드ㆍ메신저 시스템

- 국가ㆍ공공기관→민간업체로 자료제공시 보안적정성 검증

* 담당자는 해당 과(팀)장의 공개여부 승인 후 업체 배포 자료 제공

- 전자우편 시스템과 연동시 우리 院과 별도 협의

2) 국가ㆍ공공기관용 웹하드ㆍ메신저 시스템

- 비밀 등 중요자료의 웹하드 저장은 금지하고 다만, 국가용 보안시스템을 사용할 경우는 제외

3) 공통사항

- 국가ㆍ공공기관 인터넷과 업무망 분리방안을 고려하여 구축

- GVPN을 통한 원격근무시 이용 금지

- 全 자료에 대한 유효기간을 설정하여 자동 삭제

- 장기간 未접속시 사용자 계정을 사용 중지하고 재요청시 사용가능

- 자료에 대해 업무별, 자료별 중요도에 따라 접근권한을 차등 부여

- 사용자 주의사항 등 관련 경고문을 매 접속시 확인후 사용

- 민간업체↔국가ㆍ공공기관용 웹하드간 자료 연동은 금지

- 자료 저장ㆍ유통시 악성코드 탐지 및 제거 대책 수립

- 비밀 등 중요자료 유출시 사고조사 등을 위해 개인식별이 가능한 공인인증서 및 로그인 기능 사용 (공통 계정 사용 지양)

o 자체 메신저 구축시 국가ㆍ공공기관과의 연동은 허용하고 외부 민간업체와는 연결 불허

외주 용역 업체

o 외주용역 사업에 참여하는 업체 직원에 대해 작업수행 과정에서 취득한 기밀누설 방지를 위한 서약서 징구⋅신원확인 등 보안조치 실시

o 유지보수 업체 직원이 작업시 휴대용 저장장치 소지를 금지토록 하고, 담당직원 입회감독 철저

o 외주용역 계약시 該 기관 및 관련기관이 용역업체에 정기⋅수시 보안점검을 수행할 수 있도록 보안점검 관리 항목을 계약서에   반영하고, 용역자료 유출 등 문제 발생시 책임소재 명확화

기  타   사  항

o 인터넷이 연결된 업무용PC에 비밀 등 중요자료 저장 금지

o 비밀취급인가를 받지 않은 직원의 임의적인 비밀 취급 금지

o 각 과(팀) 보안담당자는 퇴직, 전근 등 인사이동시 해당직원이 취급 업무자료를 무단 유출하는 사례가 발생하지 않도록 보안조치

o 고장 수리 등을 위한 PC 외부 반출시 기관 보안담당자에 의한 하드 디스크 분리, 반출 기록 유지 등 보안조치 후 지정업체에 전달

o 공익요원에게 복무관리규정 등에 명시된 업무 이외 부적합 임무 부여 금지

o 교육(행정)기관 정보보안 기본지침 제84조(도입)에 의거, 자료유출방지ㆍ침입차단(방지)ㆍ생체인식ㆍ암호지원시스템은 보안적합성 검증필 제품으로 도입

o 同 지침 제116조(정보보안사고 처리 및 조사)에 의거, 정보보안사고 발생시 즉시 피해 최소화 조치 및 교육인적자원부에 사고신고 (☎ 02-2118-1489).  끝.