정보 보안 규정 및 지침
제1조(목적) 이 규정은 ㈜삼송(이하 "회사"라 한다) 정보통신망의 안정성 과 정보보호를 위해 필요 한 사항을 규정함을 목적으로 한다.
제2조(정의) 이 규정에서 사용하는 용어의 정의는 다음 각 호와 같다.
1. "정보통신서비스"라 함은 정보통신설비 및 시설을 이용하여 정보를 제공하거나 정보의 제공을 매개하는 것을 말한다.
2. "정보통신설비"라 함은 정보통신서비스를 제공하기 위한 기계, 기구, 선로 등의 설비를 말한다.
3. "정보통신시설"이라 함은 정보통신설비가 집적되어 있는 시설 및 부대시설을 말한다.
4. "주요자산"이라 함은 정보통신설비 중 정보통신서비스에 중요한 역할을 하는 라우터, 스위치, 메일서버, 파일서버, 애프리케이션 서버,
DNS서버, DB서버, PC, 무선AP 등의 설비와 관련 S/W를 말한다.
5. "정보통신서비스제공자"라 함은 정보통신설비 및 정보통신시설을 이용하여 정보를 제공하거나 정보의 제공을 매개하는 자를 말한다.
6. "이용자"라 함은 정보통신서비스제공자가 제공하는 정보통신서비스를 이용하는 자를 말한다.
7. "정보보호책임자(이하 "CSO"라 한다.)라 함은 정보통신서비스의 안정성 확보 및 정보보호 업무를 총괄 하는 자를 말한다.
8. "정보보호관리자"라 함은 정보통신서비스에 이용되는 정보통신설비와 정보통신시설을 총괄관리하는 자를 말한다.
9. "시스템관리자"라 함은 정보통신서비스에 이용되는 정보통신설비와 정보통신시설을 관리?운영하는 자를 말한다.
10. "정보침해사고"라 함은 해킹 및 컴퓨터바이러스의 유포 등에 의해 정보통신시스템이 정상적으로 운영되지 않거나 정보의 유출·파괴 또는 정보의
위조·변조 등이 발생한 사태를 말한다.
제3조(정보보호조직의 구성)
①정보보호조직은 정보보호책임자(CSO), 정보보호관리자, 시스템관리자로 구성한다.
②정보보호책임자(CSO)는 정보기획팀장이 겸한다.
③정보보호관리자와 시스템관리자는 정보보호책임자가 임명한다.
제4조(내부지침의 수립 및 시행)
①정보보호책임자는 다음 각 호의 내부지침을 수립하고 이를 시행하여야
한다.
1. 개인정보보호지침
2. 유닉스(UNIX), NT, MS-Windows 보안지침
3. 네트워크보안지침
4. PC및바이러스보안지침
5. 침입탐지및차단보안지침
6. 이메일보안지침
7. 데이터베이스보안지침
8. 응용프로그램보안지침
9. 백업및복구처리 지침
10. 정보침해사고대응지침
②정보보호책임자는 지침을 연 2회 이상 검토·보완하여 최신의 내용으로 유지하여야 한다.
제5조(정보보호책임자의 책무)
①정보보호책임자는 정보보호관리자, 시스템관리자의 업무를 관리 감독하여야 한다.
②정보보호관리자나 시스템관리자의 업무수행과 관련해 오류 또는 불법행위가 있을 경우 정보보호책임자는 이를 즉시 대표이사에게 보고하여야 한다.
③정보보호책임자는 정보보호업무에 필요한 자문을 위해 정보보호위원회를 둘 수 있으며, 이에 관한 세부사항은 이를 따로 정한다.
제6조(정보보호관리자의 책무)
①정보보호관리자는 시스템관리자의 업무를 관리 감독하여야 한다.
②정보보호관리자는 시스템관리자가 타부서로 전보되거나 퇴직할 경우 계정삭제 등 정보보호를 위한 적절한 조치를 취하여야 한다.
③정보보호관리자는 정보침해사고 발생에 대비하여 비상연락망, 응급조치 절차 및 복구대책을 포함하는 정보침해사고대응계획을 수립하고 이를
시행하여야 한다.
④정보보호관리자는 정기적으로 정보시스템의 보안취약점을 점검 분석하여 그 결과를 정보보호책임자에 게 보고하여야 한다.
⑤정보보호관리자는 정기적으로 이용자접속기록을 분석하여 정보침해사고를 예방하고, 정보침해사고가 발생한 경우에는 즉시 필요한 조치를 취하여야
한다.
⑥정보보호관리자는 정보통신설비 및 정보통신시설에 대한 부정한 접근을 방지하기 위한 적절한 조치를 취하여야 한다.
제7조(시스템관리자의 책무)
①시스템관리자는 정보통신망에 운용되는 데이터를 그 중요도에 따라 분류하고 적절한 관리기준 및 절차를 수립 시행하여야 한다.
②시스템관리자는 중요데이터는 암호화하거나 파일 잠금기능을 사용해 관리하여야 하며 필요한 경우 이용자 접근을 통제하여야 한다.
③시스템관리자는 침해사고, 시스템 장애, 정전 등으로부터 정보를 보호하기 위해 정기적으로 데이터백업 등 적절한 조치를 취하여야 한다.
④시스템관리자는 제4조제1항의 내부지침을 성실히 수행하여야 한다.
⑤시스템관리자는 주요자산이 정상적인 가동상태로 운영되도록 노력하여야하며, 정보침해사고나 시스템장애가 발생했을 경우 이를 즉시
정보보호관리자에게 보고하여야 한다.
제8조(정보침해사고 대응관리)
①정보보호책임자는 긴급한 정보침해사고가 발생하였을 경우 모든 이용자에게 대응책을 신속하게 알릴 수 있는 체계를 마련하여야 한다.
②정보보호책임자는 정보침해사고나 이상징후가 감지되었을 때에는 제6조제3항의 정보침해사고대응계획에 따라 즉각적인 대응조치를 취하고, 이용자
접속기록 등 적절한 증거자료를 수집 보관하여야 한다.
제9조(정보보호 교육)
①정보보호책임자는 정보보호관리자, 시스템관리자 등 정보보호와 관련된 업무에 종사하는 자에게 정기적으로 정보보호교육을
실시하여야 한다.
②정보보호책임자는 필요한 경우 정보보호교육을 외부의 정보보호관련 전문교육기관에 위탁할 수 있다.
제10조(인적보안)
①정보보호책임자는 교원, 직원 및 보조인력(용역인력 포함)에게 정보보호 및 보안에 대한 서약서와 별지 서식의 "보안각서"를 징구할 수 있으며
필요한 경우 관련부서에 징구를 위임할 수 있다.
②정보보호책임자는 교원 및 직원이 전보되거나 퇴직한 경우 해당자의 개인계정 및 공용계정에 대한 권한을 즉시 제거하여야 한다.
③정보보호책임자는 정보통신설비 및 정보통신시설의 관리 운영을 외부에 위탁할 경우 계약서 또는 SLA에 정보보안관련 사항(보안사고 책임범위,
비밀준수 의무, 위탁업무 중단 시 비상대책)을 반영하여야 한다.
⑤정보보호책임자는 시스템관리자가 정보보호업무 수행에 필요한 정보보호자격증을 취득할 수 있도록 지원한다.
제11조(전산실 운영관리) 정보보호책임자는 다음 각 호와 같은 조치를 강구하고 전산실을 운영 관리하여야
한다.
1. 전산실내 장비의 도난, 파손, 변경, 불법사용 등에 대한 예방대책
2. 데이터 백업 등 중요 데이터의 손상 및 손실을 방지하기 위한 대책
3. 전산실 출입 통제장치 설치
4. 출입내역을 기록하는 전산실 출입 대장 비치
제12조(정보보호시스템 등의 운영관리)
①정보보호책임자는 다음 각 호와 같은 조치를 강구하고 정보보호시스템을 운영, 관리하여야 한다.
1. 침입차단시스템 등 정보보호시스템의 설치·운영 및 이에 상응하는 정보보호조치
2. 라우터의 접근제어기능 또는 침입차단시스템의 필터링 기능 등을 이용한 정보시스템의 외부 네트워크와의 분리조치
②정보보호책임자는 정보보호시스템의 보안취약점이 발견된 때에는 필요한 대책을 강구하여야 한다.
제13조(이용자 계정 등의 관리)
①정보보호책임자는 제4조 제2항의 규정에 따라 이용자 계정 신청, 해지, 변경 및 분실 등에 대비한 신원확인 절차를 마련하여야 한다.
②정보보호책임자는 이용자의 패스워드를 보호하여야 한다.
제14조(이용제한) 정보보호관리자는 다음 각 호에 해당하는 행위를 한 이용자에 대하여 정보통신서비스 이용을 제한할 수 있다.
1. 부당한 방법으로 정보통신망의 타인정보를 훼손하거나 침해 도용 또는 누설하는 행위
2. 컴퓨터바이러스 등 악성 프로그램 유포행위
3. 음란 폭력물 등 불건전한 자료의 게재 유포행위
4. 전자우편시스템의 장애유발을 목적으로 다량의 전자우편을 전송하는 행위
5. 수신자의 거부의사에도 불구하고 광고성 전자우편을 전송하는 행위
6. 기타 정보보호에 해가 되는 행위
제15조(이용제한 고지)
①정보보호관리자는 제14조의 이용제한 사유로 인해 정보통신서비스 이용을 제한하고자 할 경우 그 사실을 즉시 이용자에게 고지하여야 한다.
다만, 이용제한과 동시에 시스템안정성 확보를 위한 신속한 조치가 필요한 경우 사후 고지할 수 있다.
②이용제한 고지는 사내 정보망에 이용제한 사유와 내역을 게시하는 것으로 한다.
제16조(이용자 구제조치) 정보보호관리자는 이용자가 불만사항이 있는 경우 또는 침해사고로 인한 피해가 있는 경우의 처리절차 등 구제조치를
학내정보망에 고지하여야 한다.
제17조(이용자 개인정보 이용) 정보보호책임자가 이용자의 개인정보를 수집 이용할 경우에는 홈페이지에 게시된 "개인정보보호정책"의 규정을 따른다.
제18조(아이디 및 패스워드 관리) 이용자는 자신의 아이디 및 패스워드가 외부로 노출되지 않도록 관리에 유의하고 주기적으로 이를 변경하여야
한다.
제19조(이용자 개인정보 관리)
①이용자가 개인정보를 제공할 경우에는 홈페이지에 게시된 "개인정보보호정책"에서 규정하는 개인정보의 수집목적, 관리방법 등을 확인하여야 한다.
②이용자가 정보공유가 가능하고 다양한 이용자가 공동으로 이용하는 전기통신설비를 이용하는 경우에는 개인정보, 사생활정보 등의 보호를 위하여
공유해지 등 필요한 조치를 하여야 한다.
제20조(컴퓨터바이러스 등 주의)
①이용자는 발송자를 확인할 수 없는 전자우편 또는 제공자가 불확실한 컴퓨터프로그램 등에 대해 안전성여부를 확인하고 실행하여야 한다.
②이용자는 자신의 컴퓨터에 컴퓨터바이러스 방지프로그램을 설치하여 침투여부를 수시로 점검하고, 침투한 경우에는 이를 제거 복구하여야 한다.
③이용자는 자신의 컴퓨터에 최신의 윈도우 업데이트를 주기적으로 실행하며 필요한 보안패치를 반드시 적용하여야 한다.
부 칙
이 규정은 2006년 9월 1일부터 시행한다.