2.11 사고 예방 및 대응

2.11.1 사고 예방 및 대응체계 구축

침해사고 및 개인정보 유출 등을 예방하고 사고 발생 시 신속하고 효과적으로 대응할 수 있도록 내·외부 침해시도의 탐지·대응·분석 및 공유를 위한 체계와 절차를 수립하고, 관련 외부기관 및 전문가들과 협조체계를 구축하여야 한다.

침해사고의 정의 및 범위(개인정보 유출사고, 서비스거부공격 등)
침해사고 유형 및 중요도
침해사고 선포절차 및 방법
비상연락망 등의 연락체계
침해사고 탐지 체계
침해사고 발생 시 기록, 보고절차
침해사고 신고 및 통지 절차(관계기관, 정보주체 및 이용자)
침해사고 보고서 작성
침해사고 중요도 및 유형에 따른 대응 및 복구 절차
침해사고 복구조직의 구성, 책임 및 역할
침해사고 복구장비 및 자원조달
침해사고 대응 및 복구 훈련, 훈련 시나리오
외부 전문가나 전문기관의 활용방안
기타 보안사고 예방 및 복구를 위하여 필요한 사항 등

결함 사례

• 침해사고에 대비한 침해사고 대응 조직 및 대응 절차를 명확히 정의하고 있지 않은 경우

• 내부 지침 및 절차에 침해사고 단계별(사고 전, 인지, 처리, 복구, 보고 등) 대응 절차를 수립하여 명시하고 있으나, 침해사고 발생 시 사고 유형 및 심각도에 따른 신고·통지 절차, 대응 및 복구 절차의 일부 또는 전부를 수립하고 있지 않은 경우

• 침해사고 대응 조직도 및 비상연락망 등을 현행화하지 않고 있거나, 담당자별 역할과 책임이 명확히 정의되어 있지 않은 경우

• 침해사고 신고·통지 및 대응 협조를 위한 대외기관 연락처에 기관명, 홈페이지, 연락처 등이 잘못 명시되어 있거나, 일부 기관 관련 정보가 누락 또는 현행화되지 않은 경우

• 외부 보안관제 전문업체 등 유관기관에 침해사고 탐지 및 대응을 위탁하여 운영하고 있으나, 침해사고 대응에 대한 상호 간 관련 역할 및 책임 범위가 계약서나 SLA에 명확하게 정의되지 않은 경우

• 침해사고 대응절차를 수립하였으나, 개인정보 침해 신고 기준, 시점 등이 법적 요구사항을 준수하지 못하는 경우

2.11.2 취약점 점검 및 조치

정보시스템의 취약점이 노출되어 있는지를 확인하기 위하여 정기적으로 취약점 점검을 수행하고, 발견된 취약점에 대해서는 신속하게 조치하여야 한다.

또한 최신 보안취약점의 발생 여부를 지속적으로 파악하고, 정보시스템에 미치는 영향을 분석하여 조치하여야 한다.

취약점 점검 절차에 포함되어야 할 사항

• 취약점 점검 대상(예 : 서버, 네트워크 장비)
• 취약점 점검 주기(법적 요구사항, 중요도 등 고려)
• 취약점 점검 담당자 및 책임자 지정
• 취약점 점검 절차 및 방법 등
• 중요도에 따른 조치 기준
• 취약점 점검 결과 보고 절차
• 미조치 취약점에 대한 보안성 검토 등
• 기타 보안사고 예방 및 복구를 위하여 필요한 사항 등

취약점 점검 대상

• 라우터, 스위치 등 네트워크시스템 구성 및 설정 취약점
• 서버 OS 보안 설정 취약점
• 방화벽 등 보안시스템 취약점
• 애플리케이션 취약점
• 웹서비스 취약점
• 스마트기기 및 모바일 서비스 취약점 등

고유식별정보를 처리하는 개인정보처리자에 해당하는 경우 인터넷 홈페이지를 통하여 고유식별정보가 유출·변조·훼손되지 않도록 연 1회 이상 취약점 점검 실시
(개인정보의 안전성 확보조치 기준 제6조제4항)

취약점 점검 이력을 기록관리하여 전년도에 도출된 취약점이 재발생하는 등의 문제점에 대한 보호대책을 마련하여야 한다.

결함 사례

• 내부 규정에 연 1회 이상 주요 시스템에 대한 기술적 취약점 점검을 하도록 정하고 있으나, 주요 시스템 중 일부가 취약점 점검 대상에서 누락된 경우

• 취약점 점검에서 발견된 취약점에 대한 보완조치를 이행하지 않았거나, 단기간 내에 조치할 수 없는 취약점에 대한 타당성 검토 및 승인 이력이 없는 경우

2.11.3 이상행위 분석 및 모니터링

내·외부에 의한 침해시도, 개인정보유출 시도, 부정행위 등을 신속하게 탐지·대응할 수 있도록 네트워크 및 데이터 흐름 등을 수집하여 분석하며, 모니터링 및 점검 결과에 따른 사후조치는 적시에 이루어져야 한다.

이상행위 판단을 위하여 정보시스템, 보안시스템, 응용프로그램, 네트워크 장비 등의 로그를 수집하고 분석하는 체계를 갖추어야 함.

• 이벤트 로그를 수집하거나 모니터링 하여야 할 대상 및 범위
• 수집 및 분석, 모니터링 방법
• 담당자 및 책임자 지정
• 분석 및 모니터링 결과 보고 체계
• 이상행위 발견 시 대응 절차

조직의 규모 및 정보시스템의 중요도가 높은 경우 24시간 실시간 모니터링 고려

이상행위 판단을 위한 이상행위 식별기준 및 임계치를 설정하고, 필요시 시스템에 반영

결함 사례

• 외부로부터의 서버, 네트워크, 데이터베이스, 보안시스템에 대한 침해 시도를 인지할 수 있도록 하는 상시 또는 정기적 모니터링 체계 및 절차를 마련하고 있지 않은 경우

• 외부 보안관제 전문업체 등 외부 기관에 침해시도 모니터링 업무를 위탁하고 있으나, 위탁 업체가 제공한 관련 보고서를 검토한 이력이 확인되지 않거나, 위탁 대상에서 제외된 시스템에 대한 자체 모니터링 체계를 갖추고 있지 않은 경우

• 내부적으로 정의한 임계치를 초과하는 이상 트래픽이 지속적으로 발견되고 있으나, 이에 대한 대응조치가 이루어지고 있지 않은 경우

2.11.4 사고 대응 훈련 및 개선

침해사고 및 개인정보 유출사고 대응 절차를 임직원과 이해관계자가 숙지하도록 시나리오에 따른 모의훈련을 연 1회 이상 실시하고 훈련결과를 반영하여 대응체계를 개선하여야 한다.

최신 침해 사고 사례, 해킹 동향, 비즈니스 특성 등을 반영하여 현실적이고 실질적인 모의훈련 시나리오 마련

정보보호, 개인정보보호, IT, 법무, 인사, 홍보 등 침해사고 대응과 관련된 조직이 모두 참여할 수 있도록 모의훈련 조직 구성

결함 사례

• 침해사고 모의훈련을 수행하지 않았거나 관련 계획서 및 결과보고서가 확인되지 않은 경우

• 연간 침해사고 모의훈련 계획을 수립하였으나 타당한 사유 또는 승인 없이 해당 기간 내에 실시하지 않은 경우

• 모의훈련을 계획하여 실시하였으나, 관련 내부 지침에 정한 절차 및 서식에 따라 수행하지 않은 경우

2.11.5 사고 대응 및 복구

침해사고 및 개인정보 유출 징후나 발생을 인지한 때에는 법적 통지 및 신고 의무를 준수하여야 하며, 절차에 따라 신속하게 대응 및 복구하고 사고분석 후 재발방지 대책을 수립하여 대응체계에 반영하여야 한다.

침해사고 초기 대응 및 증거 보존 조치

• 침해가 의심되는 정보시스템의 접속권한 삭제·변경 또는 접속차단 조치

• 네트워크, 방화벽 등 대내외 시스템 보안점검 및 취약점 보완 조치

• 사고 조사에 필요한 외부의 접속기록 등 증거 보존 조치

• 로그 분석 등을 통한 개인정보 및 중요정보 유출 여부 확인 등

다음 사항을 포함한 침해사고보고서 작성 및 내부 보고

• 침해사고 발생일시
• 보고자와 보고일시
• 사고내용(발견사항, 피해내용)
• 사고대응 경과 내용
• 사고대응까지의 소요 시간 등

침해사고가 조직에 미치는 영향이 심각할 경우 보고절차에 따라 최고경영진까지 신속히 보고

개인정보 유출 시 정보주체(이용자)에게 알려야 할 사항

침해사고가 종결된 후 사고 원인을 분석하여 그 결과를 보고하고 관련 조직 및 인력과 공유하여야 한다.

침해사고 분석을 통하여 얻은 정보를 활용하여 유사 사고가 재발하지 않도록 대책을 수립하고 필요한 경우 침해사고 대응절차 등을 변경하여야 한다.

결함 사례

• 내부 침해사고 대응지침에는 침해사고 발생 시 개인정보보호위원회 및 이해관계 부서에게 보고하도록 정하고 있으나, 침해사고 발생 시 담당 부서에서 자체적으로 대응 조치 후 정보보호위원회 및 이해관계 부서에 보고하지 않은 경우

• 최근 DDoS 공격으로 의심되는 침해사고로 인하여 서비스 일부가 중단된 사례가 있으나, 이에 대한 원인분석 및 재발방지 대책이 수립되지 않은 경우