정보보호 침해사고 대응지침

제정 통계청예규 제78호 2012.5.18.

제1장  총칙

제1조(목적) 본 지침은 정보보호 침해사고에 의해 중요자료 유출 및 정보자산의 손실, 절도, 파괴 등으로 정상적인 업무수행에 지장을 초래하는 사고 발생 시 신속하게 대응하고, 그 과정을 기록 관리함으로써 정보보호 침해사고에 효과적으로 대응하는 것을 목적으로 한다.

제2조(용어정의) 본 지침에서 사용되는 용어의 정의는 다음 각 호와 같다.

1. “침해사고”라 함은 보안정책에 위배되는 모든 사고를 말하며 보안 침해사고, 소프트웨어 이상 및 오류, 악성코드 등으로 인한 정보자산의 손상 등을 포함한다.

2. “바이러스”라 함은 사용자 몰래 다른 프로그램에 자기 자신을 복사하는 프로그램이나 컴퓨터 프로그램의 실행 가능한 부분을 수정하여 자신의 변형을 복사하는 명령어들의 조합을 말한다.

3. “악성코드”이라 함은 컴퓨터바이러스와 달리 다른 파일을 감염시키지는 않지만, 악의적인 용도로 사용될 수 있는 유해 프로그램을 말한다.

4. “백도어”라 함은 시스템의 정상적인 보호 수단을 우회할 수 있는 숨겨진 메커니즘을 의미한다.

5. “DOS(Denial of Services) 공격”이라 함은 공격자의 컴퓨터로부터 표적 시스템과 그 시스템이 속한 네트워크에 과다한 데이터를 보냄으로써 시스템과 네트워크의 성능을 급격히 저하시켜 표적 시스템에서 제공하는 서비스들을 인터넷 사용자들이 이용하지 못하게 하는 기법을 말한다.

6. “사이버위기”란 사이버공격으로 정보통신망을 통해 유통․저장되는 정보를 유출․변경․파괴함으로써 국가안보에 영향을 미치거나 사회․경제적 혼란을 발생시키거나 국가 정보통신시스템의 핵심기능이 훼손․정지되는 등 무력화되는 상황을 말한다.

제3조(적용범위) 본 지침의 적용 범위는 통계청과 통계교육원, 통계개발원, 지방통계청(이하 ‘소속기관’이라 한다) 모든 정보자산에 발생하는 정보보호 침해사고를 대상으로 한다.

제2장  정보보호 침해사고의 정의, 범위 및 등급

제4조(정보보호 침해사고의 정의) 정보보호 침해사고는 관련 법, 규정 등에 위배되는 사건이나 통계청 정보자산에 손실, 절도, 파괴 등이 발생하여 정상적인 업무에 지장을 초래하는 사고를 말한다.

제5조(정보보호 침해사고의 범위) 정보보호 침해사고의 범위는 다음 각 호의 사항으로 한다.

1. 비인가자의 정보시스템 접근

2. 정보자산의 유출(하드웨어, 소프트웨어, 데이터, 데이터베이스 등)

3. 중요 정보의 위․변조 및 삭제

4. 정보시스템 자원의 오용

5. 바이러스, 백도어 프로그램 등 악성코드의 유포

6. DDos, 침해사고 등 정보시스템의 서비스 거부 공격

7. 정보시스템의 절도 및 파괴

8. 서버, 네트워크 장비 및 PC의 해킹

9. 어플리케이션에 대한 비인가 된 접근 및 접근시도

10. 중요 전자문서의 분실 및 도난

11. 통제구역에 대한 불법 침입

12. 그 밖에 정보보호 관련 중대한 사고

13. 통계청 업무에 파급효과가 없는 개인에 국한된 사고는 정보보호 침해사고의 범위에서 제외한다.

제6조(정보보호 침해사고의 등급) ① 통계청 정보보호 침해사고의 등급은 다음 각 호와 같이 분류한다.

1. “1등급 정보보호 침해사고”는 통계청의 핵심 서비스 업무 중단을 초래하는 경우나 통계청 전체 업무에 중대한 영향을 초래하는 경우를 말한다.

2. “2등급 정보보호 침해사고”는 통계청 일부 업무 중단을 초래하는 경우나 일부 업무활동에 영향을 주는 경우를 말한다.

3. “3등급 정보보호 침해사고”는 통계청 업무활동에는 영향은 없으나 시스템에 문제가 발생한 경우를 말한다.

② 국가적 차원의 침해사고 연계 대응을 위한 침해사고 등급은 다음의 국가사이버안전센터의 예․경보 시스템을 기반으로 한다.

1. 심각단계(Red)

가. 국가적 차원에서 네트워크 및 정보시스템 사용 불가능

나. 침해사고가 전국적으로 발생했거나 피해범위가 대규모인 사고 발생

다. 국가적 차원에서 공동 대처 필요

라. 통계청 “1등급 정보보호 침해사고”에 해당

2. 경계단계(Orange)

가. 복수 정보통신서비스제공자(ISP)망·기간망의 장애 또는 마비

나. 침해사고가 다수기관에서 발생했거나 대규모 피해로 발전될 가능성 증가

다. 다수 기관의 공조 대응 필요

라. 통계청 “2등급 정보보호 침해사고”에 해당

3. 주의단계(Yellow)

가. 일부 네트워크 및 정보시스템 장애

나. 침해사고가 일부기관에서 발생했거나 다수기관으로 확산될 가능성 증가

다. 국가 정보시스템 전반에 보안태세 강화 필요

라. 통계청 “3등급 정보보호 침해사고”에 해당

4. 관심단계(Blue)

가. 웜·바이러스, 해킹기법 등에 의한 피해발생 가능성 증가

나. 해외 사이버공격 피해가 확산되어 국내 유입 우려

다. 사이버위협 징후 탐지활동 강화 필요

5. 정상단계(Green)

가. 전 분야 정상적인 활동

나. 위험도 낮은 웜·바이러스 발생

다. 위험도 낮은 해킹기법 보안취약점 발표

③ 국가적 차원의 침해사고 연계 대응을 위한 단계별 대응 요령은 다음 각 호와 같다.

1. 정상단계 대응 요령

가. 주기적인 악성코드 점검

나. 사이버보안진단의날 실시 등 PC 보안 생활화

다. 공격유형별 탐지 및 대응활동 등 사이버보안관제 운영

2. 경보단계-관심 발령 시 요령

가. 새로운 악성코드, 취약점, 악용공격도구 정보 파악

나. 침해사고 관련 언론 보도 내용 주시

다. 불필요한 서비스 점검․차단 및 백신프로그램 최신 업데이트

라. 취약점이 발표된 소프트웨어는 보안패치 적용 또는 업데이트

마. 본청 및 소속기관 예․경보 공지 및 PC보안 특별 점검 실시

3. 경보단계-주의 발령 시 대응요령

가. 정부통합전산센터(이하 ‘통합센터’)의 침해 모니터링 정보 연계 주시

나. 스캐닝 수행 호스트에 대한 감시 강화

다. 특정 호스트에 대한 스캐닝 공격 및 악성코드 유입경로 차단

라. 사이버보안관제 운영 강화 및 유관기관과의 연락수단 확인 등 공조체계 점검

마. 통계청 정보자산 중 ‘가’등급에 해당되는 정보시스템의 DB자료, 프로그램소스, 시스템정보 등 긴급 백업

4. 경보단계-경계 발령 시 대응요령

가. 정보보호 침해사고 긴급대응팀 구성․운영

나. 주의단계 발령 시 대응요령 수행 확인

다. 서비스거부 공격에 대한 이상 징후 포착 시 공격 차단

라. 집중 모니터링 대상(Yellow List)에 대한 보안취약점 재점검

마. 통계청 정보자산 중 ‘나’, ‘다’등급에 해당되는 정보시스템의  DB자료, 프로그램소스, 시스템정보 등 긴급 백업

5. 경보단계-심각 발령 시 대응요령

가. 정보보호 침해사고 긴급대응팀 구성․운영

나. 주의 및 경고단계 발령 시 대응요령 수행 확인

다. 공격대상 서비스 포트 자체 차단 또는 통합센터 차단 요청

라. 국가사이버안전센터와 협의, 국가통신망 및 ISP에 패킷차단 협조 요청

마. 피해발생 가능성이 높은 네트워크 단절

바. 통계청 내 PC 사용 최소화 권고

④ 그 밖에 기술하지 않은 내용은 국가정보원의 “사이버분야 위기관리 표준매뉴얼”을 준용한다.

제3장  정보보호 침해사고 대응조직 구성

제7조(정보보호 침해사고 대응팀) ① 정보보호 침해사고 대응을 전담할 정보보호 침해사고 대응팀은 별표 1을 구성한다.

② 정보보안담당관이 정보보호 침해사고 대응팀을 실무 총괄 지휘한다.

③ 정보보안담당관은 네트워크 담당, 보안장비 담당, 서버 담당, 행정 및 대외홍보 담당을 지정하여 정보보호 침해사고에 대응할 수 있다.

제8조(역할 및 책임) ① 정보보호 책임자인 정보보안담당관의 역할 및 책임은 다음 각 호와 같다.

1. 침해사고 발생 시 대응팀 총괄

2. 피해범위 및 상황보고서 작성

3. 침해사고 발생 시 부문별 관제센터에 상황통보 및 기관장 보고

4. 국가사이버안전센터(NCSC)에 사고통보 및 협조

5. 상급기관 및 산하·소속기관에 상황통보 및 협조

6. 평시 네트워크 및 서버 운영상황 파악

7. 침해사고 모의 훈련 주관 및 예방정책 수립

8. 침해사고 후 복구방안 수립 및 복구수행 책임
② 네트워크 담당의 역할 및 책임은 다음 각 호와 같다.

1. 평시 네트워크 및 서버 운영상황 점검

2. 평시 네트워크 트래픽 통계 및 예방책 마련

3. 이상 징후 발생 시 정보보안담당관에게 보고

4. 보안장비/서버 담당 및 유지보수업체와 협력

5. 네트워크 장비 상태 확인 후 긴급조치 수행

6. 침해사고 대응절차에 따라 피해 최소화를 위한 대응 수행

7. 침해사고 후 복구방안 수립 협조 및 복구 수행

③ 보안장비 담당의 역할 및 책임은 다음 각 호와 같다.

1. 보안장비 상태 및 설정 상시 모니터링

2. 평상시 보안장비 로그분석을 통한 설정 최적화 수행

3. 이상 징후 발생 시 정보보호 실무책임자에게 통지

4. 네트워크/서버 담당 및 유지보수업체와 협력

5. 보안장비 상태 확인 후 긴급조치 수행

6. 침해사고 대응절차에 따라 피해 최소화를 위한 대응 수행

7. 침해사고 후 복구방안 수립 협조 및 복구수행

④ 서버 담당의 역할 및 책임은 다음 각 호와 같다.

1. 서버(웹서버) 상태 상시 모니터링

2. 평시 서버 로그분석을 통한 설정 최적화 수행

3. 이상 징후 발생 시 정보보호 실무책임자에게 통지

4. 네트워크/보안장비 담당 및 유지보수업체와 협력

5. 침해사고 대응절차에 따라 피해 최소화를 위한 대응 수행

6. 침해사고 후 복구방안 수립 협조 및 복구 수행

⑤ 행정 및 대외홍보(비상시 운영반)의 역할 및 책임은 다음 각 호와 같다.

1. 홈페이지 접속 불가 등의 위기상황 발생 시 상급기관 및 국가사이버안전센터와의 협조 하에 대외홍보 방안 마련 및 홍보 수행

2. 침해사고 대응팀 운영 지원

제9조(비상연락체계) 업무별 시스템 담당자 및 관련 외부사업자(PM)의 이름과 연락처를 상시 관리하여야 하며, 정보보호 관련 상주 근무자, 외부 유지보수 협력업체, 유관기관 등 비상연락체계를 사이버보안관제센터에 비치하고, 월 1회 이상 비상연락망의 변동 유무를 확인한다.

제4장  정보보호 침해사고 대응

제10조(정보보호 침해사고 예방) ① 정보시스템별 담당자는 필요시 국가정보원과 협의하여 현장방문 또는 원격 측정을 통하여 사이버안전대책 이행 여부와 정보통신망의 안정성 여부를 확인한다.

② 정보시스템별 담당자는 보안관제시스템 또는 오프라인 등을 통해 사이버 위협 정보를 인지한 경우에는 초동조치 후 관련기관에게 신속히 통지한다.

③ 정보시스템별 담당자는 보안정보, 보안권고문, 또는 취약점 분석정보를 수시로 수집하여 보안업데이트 및 대응조치를 수행하고, 직원들에게 배포한다.

제11조(기본점검 활동) 정보보호 침해사고 예방을 위해 위탁운영 책임자 및 사용자는 다음의 활동을 준수해야 한다.

1. 위탁운영 책임자

가. 사이버위협 동향 파악

나. 주요 정보시스템의 정기점검

다. 네트워크 트래픽량 변화 모니터링

2. 사용자는 다음 각 호를 준수해야 한다.

가. 업무와 관련 없는 P2P 등의 인터넷 프로그램 사용 금지

나. 백신 탐지 패턴 및 소프트웨어 보안패치 업데이트 실시

다. 출처가 불분명한 이메일 삭제

라. 폴더 공유 사용 자제

마. 복잡한 비밀번호 사용 및 주기적인 변경

바. PC보안 자가 점검 실시

제12조(외부기관과의 협조체계) ① 정보시스템별 담당자는 침해사고에 대한 예방 및 대응 복구를 위해 외부전문기관과 협조체계를 유지한다.

② 정보시스템별 담당자는 국가사이버안전센터(국가정보원), 재정경제사이버안전센터(기획재정부), 정부통합전산센터(행정안전부)를 통해 주기적으로 사이버위협 정보를 확인한다.

제13조(정보보호 침해사고의 신고) ① 전 직원은 정보시스템에 비인가 자가 접근하는 경우를 발견한 경우 혹은 비인가 된 접근이나 정보자산의 유출 등 정보보호 침해사고가 발생하였을 때, 해당 부서장 또는 정보보안담당관에게 지체 없이 신고하여야 한다.

② 정보보호 침해사고가 발생하거나 징후가 발견된 때에는 증거인멸 방지를 위해 발견자가 임의로 문제해결을 시도하려고 해서는 안 된다.

제14조(정보보호 침해사고의 신고방법) 정보보호 침해사고의 신고방법은 1등급 및 2등급 정보보호 침해사고가 발생하였을 경우에는 문서로 침해사고 내용을 신고하여야 하며, 3등급 침해사고가 발생하였을 경우에는 문서나 구두로 신고해야 한다.

제15조(정보보호 침해사고 대응) ① 정보보호 침해사고 접수 후 정보시스템별 담당자는 침해사고 유형별로 다음 각 호의 절차에 따라 대응한다.

1. 침해사고가 확대되지 않도록 침해당한 서버의 네트워크 분리, 공격 포트의 차단 등 필요한 응급조치를 먼저 취한다.

2. 침해사고의 확산을 막기 위해 해당 정보시스템의 중단이 통계청 전체 업무에 영향을 미치는 경우 업무시간 종료 후에 서비스를 중단하며, 해당 정보시스템의 중단이 일부업무에 영향을 미치는 경우에는 해당 업무부서와 협의 후 즉시 해당 정보시스템을 중단시킨다.

3. 응급조치 후 정보보호 침해사고의 원인 분석 및 증거확보를 위하여 해당 침해사고 관련 로그 및 제반 증거자료를 수집 및 확보해야 한다.

4. 국가정보원 등에서 권고하는 유형별 대응 조치를 취하고, 추후 재발방지를 위한 재발방지 교육 등 대응책을 마련해야 한다.

② 정보보호 침해사고 유형 별표 2는 다음과 같이 구분한다.

1. 악성코드공격

2. 서비스거부공격

3. 비인가접근공격

4. 복합구성공격

③ 정보보호 침해사고 절차는 제6조제3항과 정보보호 침해사고 유형별 대응절차 별표 3에 따라 대응한다.

제16조(관련 자료의 보존) 정보보호 침해사고 접수 후 정보시스템별 담당자는 침해사고 유형별로 다음 각 호의 절차에 따라 관련 자료를 보존 한다

1. 정보보안담당자는 보안사고 처리에 관련된 모든 활동 및 정보를 기록하여 보관한다.

2. 보안사고 대응활동과 관련하여 생성된 문서는 비인가자의 접근을 제한하며, 열람 및 사용은 정보보안담당관의 승인을 득하여야 한다.

제17조(정보보호 침해사고 보고) ① 정보시스템별 담당자는 접수된 신고 사항에 대해 기록하고, 시정 조치가 종료될 때까지의 모든 기록을 유지 및 관리하며 조치된 내역에 대해 □별지 제1호서식 조치결과 보고서’를 작성하여 정보보안담당관에게 보고한다. 보고 시 다음 각 호의 사항을 포함해야 한다.

1. 침해사고 발생 유형 및 날짜

2. 피해 범위 및 정도

3. 침해사고 발생원인

4. 대응조치 및 수립된 보안대책

② 정보보안담당관은 피해의 경중 및 사고의 유형에 따라 국가정보원, 행정안전부, 기획재정부 등 관련 기관에 침해사고 사실을 통지한다.

제18조(정보보호 권고문 게시) 정보시스템별 담당자는 정보보안담당관에 대한 보고가 끝난 후 침해사고 대응 결과를 바탕으로 원인을 분석하여 동일한 침해사고의 재발 방지를 위해 정보보호 권고문을 전 직원에게 게시한다.

제19조(침해사고 및 사이버위기 대응훈련) ① 정보보안담당관은 침해사고 대응훈련이 필요하다고 판단 시 다음 각 호와 같이 침해사고 대응 및 복구 훈련을 실시하여, 침해사고 대응능력을 확보한다.

1. 훈련내용 : 정보보호 침해사고 대응

2. 훈련주관 : 정보보안담당관

3. 훈련대상 : 통계청 정보시스템 및 전 직원

4. 훈련일정 및 기간 : 연중

② 정보보안담당관은 매년 정기적으로 사이버위기 대응 훈련을 실시하여야 하며, 국가정보원장이 훈련 결과에 대하여 필요한 시정조치를 요청하는 경우 특별한 사유가 없으면 그 요청에 따라야 한다.

제20조(정보보호 침해사고 상벌) ① 정보보안담당관은 내부자에 의해 발생한 정보보호 침해사고에 대해 관련된 규정 등의 준수 여부를 고려하여 다음 각 호의 규칙을 위반한 사람에 대해서는 「개인정보보호법」 및 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 등 관련법에 의해 처벌하여야 한다.

1. 기밀 및 중요정보 누설

가. 통계청 주요정보의 위조․변조․훼손 및 유출한 자

나. 주민등록번호 등 고유식별정보를 포함한 중요 개인정보를 유․노출한 자

다. 상용메일 등을 통한 비밀 등 중요정보 무단 유통한 자

2. 통계청 보안시스템 고의적 훼손

가. 주전산기(주요 서버 등), 대용량 전자기록(DB) 훼손한 자

나. 중요 정보시스템 및 정보통신실 파괴한 자

다. 고의적인 중요 정보시스템 기능 장애 및 정지한 자

라. 정보통신망에 대한 해킹․악성코드의 유포한 자

② 사고발생 시 신속한 제보와 대응으로 보안사고의 확산방지에 기여한 자는 인사위원회에서 포상할 수 있다.

제21조(준용) 이 지침에 명시되지 않은 사항은 다음 각 호의 관련규정 및 지침에 따른다.

1. 『국가 정보보안 기본지침』(국가정보원)

2. 『통계청 보안업무규정 시행세칙』

3. 『통계청 정보보안업무규정 시행세칙』

4. 『국가위기관리기본지침』(국가정보원)

5. 『국가사이버안전관리규정』(국가정보원)

6. 『사이버분야 위기관리 표준매뉴얼』(국가정보원)

7.  그 밖의 관계 법령 및 지침

부칙

제1조(시행일) 이 예규는 발령한 날부터 시행한다.

(별표 1〕

정보보호 침해사고 대응팀(제7조제1항 관련)

(별표 2)

정보보호 침해사고 유형(제15조제2항 관련)

□ 공격유형

구분	내용
악성코드공격	컴퓨터바이러스, 웜, 트로이목마, 백도어, 봇(BOT), 스파이웨어 등이 사용자의 동의 없이 컴퓨터에 설치되어 사용자의 정보를 탈취하거나 컴퓨터를 오작동 시키고 네트워크를 마비시킬 수 있는 악의적인 행위
서비스거부공격	시스템에 과도한 부하를 유발하여 정상적인 서비스를 차단하거나 성능을 저하시키는 행위
비인가접근공격	기반시스템 및 응용프로그램, 데이터 또는 기타 자원 등에 인가 받지 않는 자가 논리적 또는 물리적으로 불법 접근하는 공격
복합구성공격	악성코드공격, 서비스거부공격, 비인가 접근공격 등의 요소를 복합적으로 이용하는 공격유형

□ 대응절차

구분	대응절차
악성코드공격	1. 악성코드공격 판단 2. 감염시스템 분리 및 감염경로 차단 3. 외부 네트워크와의 연결 차단 4. 미확인 악성코드 대처 및 사고통보
서비스거부공격	1. 서비스거부공격 유형판단 및 추적차단 2. 정보통신서비스제공자(ISP) 차단규칙을 통한 차단 및 추적 3. 피해시스템의 자료백업 및 보안취약점 제거 4. 사고통보
비인가접근공격	1. 피해시스템 격리 또는 관련 서비스 중지 2. 로그자료 백업 및 비인가 접근공격에 사용된 계정 제거 3. 사고통보
복합구성공격	1. 사고별 대응요령을 나열하고 중요도를 판별하여 우선순위에 따라 공격기법별 사고 대응절차 수행

(별표 3)

정보보호 침해사고 유형별 대응절차(제15조제3항 관련)

1. 비인가 접근공격

2. 서비스거부공격(DoS)

3. 비인가접근 공격

4. 복합구성 공격

(별지 제1호서식)

조치 결과 보고서

사고번호						발생일시
						조치완료
탐지내용
작업내용
탐지방법			탐지포트				탐지건수
탐지로그							감염 IP
출발지IP		출발지포트		목적지IP						목적지포트

◆ 탐지 건수 결과

총 탐지건수	바이러스 검출	바이러스 미검출	치료 완료	미처리

※ 침해사고 사용자 리스트

사용자	사용자 ID	조직명	대표IP	조치결과
조치결과보고	바이러스 진단명		바이러스경로		최종조치내역