부    록

정보자산관리지침

제1조 (목적) 이 지침은 항공교통본부와 그 소속기관의 정보자산을 효과적으로 보호운영 관리함을 목적으로 한다.

제2조 (적용범위) 이 지침은 항공교통본부(이하 “교통본부”라 한다)와 그 소속기관에 대하여 적용한다.

제3조 (정의) 이 지침에서 사용하는 용어의 정의는 다음과 같다.

1. “정보자산”이라 함은 정보(데이터) 자체와 정보를 수집, 처리, 전송, 보관, 폐기, 보호 하는 시스템 등 정보보호와 관련된 유·무형의 모든 자산을 의미한다.

2. “정보시스템”이라 함은「전자정부법」제2조제13호에 따른 서버, 네트워크장비, 보안장비, 데이터베이스, 응용프로그램 등 항공교통관제시스템 운영을 위한 기기와 소프트웨어를 말한다.

3. “기밀성(Confidentiality)”이란 정보자산이 허가받지 않은 자에게 노출되지 않도록 보호하는 기능을 말한다.

4. “무결성(Integrity)”이란 허가받지 않은 자가 정보자산을 변경하지 못하도록 보호하는 기능을 말한다.

5. “가용성(Availability)”이란 정당한 사용자가 정보자산의 사용을 필요로 할 때, 지체 없이 자원에 접근 사용하도록 하는 기능을 말한다.

제4조 (정보자산 식별 및 관리) ① 정보자산 관리책임자는 「항공교통본부 주요정보통신기반시설 보호지침」 제5조에 따른 기반시설의 운영․유지관리 분야 정보보호책임자로 한다.

② 정보자산 관리책임자는 정보자산 관리자를 지정함으로써 정보자산 보호의 책임성 확보와 정보자산 보호를 지속적으로 유지할 수 있도록 해야 한다.

③ 정보자산 관리자 및 관리책임자는 서버·네트워크 장비 등 공동으로 사용하는 정보자산의 운용·관리에 대한 보안책임을 진다.

④ 정보자산 관리자는 기존의 정보자산과 새로 도입되는 정보자산을 식별하여 [별지 제1호 서식] ‘자산관리대장’을 수기 또는 전자적으로 작성·관리하여야 한다.

제5조 (정보자산 분류) ① 정보자산은 다음과 같이 분류한다. 아래 세부 내역에 정의된 항목 이외에도 자산의 효율적인 관리를 위하여 필요시 추가 항목을 정의할 수 있다.

구분	설명	종류
서버	사용자에게 특정 서비스를 제공하기 위한 기능의 운영체제 및 프로그램이 설치되어 있는 장비	APP서버 DB서버 개발서버 Web서버 WAS서버 등
네트워크장비	서비스 운영 및 제반 업무를 위해 설치된 네트워크 장비	라우터 L4/L3/L2 스위치 등
보안장비	서비스 보안 운영을 위한 보안 장비	방화벽 IDS IPS DDoS대응시스템 등
DBMS	업무 및 서비스 운영에 필요한 데이터 관리를 위해 대·내외적으로 사용되고 있는 Database 관리시스템	Oracle MS-SQL Tibero My-SQL 등
PC	업무 수행을 목적으로 정보를 처리하는 단말기	Desktop 노트북 단말기 등
기타장비	각종 시스템 및 네트워크 장비의 운영을 지원하기 위한 장비	백업장치 스토리지

제6조 (정보자산의 등록) ① 정보자산 관리자는 정보자산을 새로 도입하거나 생성하는 경우 정보자산의 분류, 중요도 평가 및 보안등급 분류 후 ‘자산관리대장’에 기록하여야 하며, 변경된 ‘자산관리대장’ 사본 1부를 정보보안담당관에게 제출하여야 한다.

② ‘자산관리대장’은 항시 최신의 정보자산 현황을 유지하여야 하며, 연 1회 이상 ‘자산관리대장’의 최신성 여부를 점검하여야 한다.

제7조 (정보자산 중요도 평가) ① 정보자산 중요도는 기밀성, 무결성, 가용성 측면에서 각 정보자산이 보안 위험에 노출되었을 경우에 미치는 잠재적 손실 규모를 반영하여 평가한다.

1. 기밀성 (Confidentiality) : 정보자산이 허가받지 않은 자에게 노출되지 않도록 하는 것

등급	값	설명
상	3	- 자산이 유출되는 경우 업무수행 또는 서비스에 중대한 영향을 미치는 경우 - 관리자, 담당자 또는 담당부서만이 접근 및 열람이 가능한 정보 자산
중	2	- 자산이 유출되는 경우 업무수행 또는 서비스에 일부 영향을 미치는 경우 - 조직 내부에 국한하여 접근 및 열람이 가능한 정보 자산
하	1	- 자산이 유출되어도 관계 없거나 업무수행 또는 서비스에 미치는 영향이 미미한 경우 - 조직 외부인이 접근 및 열람이 가능한 정보 자산

2. 무결성 (Integrity) : 허가받지 않은 자에 의해 정보자산이 변경되지 않도록 하는 것

등급	값	설명
상	3	- 자산 변조 시 업무수행 또는 서비스에 중대한 영향을 미치는 경우 - 자산 변조 가능성이 높고, 변조 시 데이터의 무결성을 검증하기 힘든 경우 - 해당 자산 정보에 대한 실시간 백업이 이루어지고 있지 않아 원래의 정보를 복구하기 힘든 경우
중	2	- 자산 변조 시 업무수행 또는 서비스에 일부 영향을 미치는 경우 - 자산 변조 가능성이 있고, 변조 시 데이터의 무결성을 검증하기 힘든 경우 - 자산 변조 시 원본 정보를 다른 방법으로 찾을 수 있는 경우
하	1	- 자산이 변조되어도 업무수행 또는 서비스에 미치는 영향이 미미한 경우 - 자산 변조 가능성이 희박하고, 정보 변조 시 무결성 검증이 용이한 경우

3. 가용성 (Availability) : 정당한 사용자가 정보자산을 이용하고자 할 때 해당 정보자산을 이용가능 하도록 하는 것

등급	값	설명
상	3	- 해당 자산에 대한 장애 또는 침해사고 발생 시 직접적인 서비스 중단을 야기하는 경우 - 연중 24시간 무 중단 운영되는 자산(장비)으로서, 장애발생 시 1시간 이내에 복구되어야 하는 경우
중	2	- 해당 자산에 대한 장애 또는 침해사고 발생 시 정상적인 서비스 제공에 영향을 미치는 경우 - 연중 24시간 무 중단 운영되는 자산(장비)으로서, 장애발생 시 8시간 이내에 복구되어야 하는 경우
하	1	- 장비 장애 시 서비스 중단 또는 성능저하에 직접적인 영향을 미치지 않는 경우

제8조 (정보자산 보안등급) ① 평가된 정보자산의 중요도에 따라 정보자산의 보안등급을 분류한다. 정보자산의 보안등급 산정 기준은 다음과 같다.

1. 각 정보자산에 대한 기밀성, 무결성, 가용성에 대해 등급을 측정한다.

2. 각 항목에 1~3점을 부과하고 각 항목의 점수 합으로 정보자산의 중요도를 산정한다.

3. 정보자산의 보안등급은 자산중요도의 합분포에 따라 결정되며, 각 보안등급에 대한 설명은 아래와 같다.

보안등급(중요도) = 기밀성(C) + 무결성(I) + 가용성(A)

보안등급	값	범위	정보자산의 가치(중요도) 설명
가급	3	7~9	주요업무에 사용되는 자산으로 정보자산에 의존도가 높아 무결성과 가용성 훼손 시 주요업무에 중대한 장애를 줄 수 있어 관리에 주의를 요구하며, 장애 시 즉각 대응이 필요한 정보자산
나급	2	5~6	주요업무에 사용되는 자산으로 훼손 시 중요업무에 장애를 줄 수 있어 관리에 주의를 요구하며, 장애 시 해당자산 이외의 자산으로 업무 연속성을 확보할 수 있는 업무에 사용되는 정보자산
다급	1	3~4	주요업무에 사용되나 기밀성, 무결성, 가용성 중요도가 낮은 정보자산이거나 주요업무가 아닌 기타업무에 사용되는 정보자산, 예비 장비

제9조 (정보자산의 취급) ① 각 정보자산은 관리책임자, 관리자, 사용자가 명확히 분류되어야 한다.

② 하드웨어 자산은 자산관리 표찰을 부착하여 자산의 관리책임자 및 관리자를 명확히 한다.

③ 문서자산의 생산·보관·분류·열람·출력·송수신·이관 등의 취급은 ｢항공교통본부 정보보안업무지침｣ 제3장 제3절(자료 보안)에 따른다.

제10조 (정보자산 폐기) ① 정보자산 관리자는 등록된 정보자산을 폐기 또는 재사용하는 경우 정보자산 관리책임자의 승인을 받아야 하며, 정보자산 관리를 위해 ‘자산관리대장’을 갱신한다.

② 중요정보가 저장된 정보자산의 재사용 또는 폐기 시에는 다음 사항을 준수해야 한다.

구분	출력물	자기매체
재사용	대외비 이상 정보의 재사용(이면지 사용) 전면금지	덮어쓰기 또는 신뢰할 수 있는 방법으로 데이터 완전 소거 (low level 포맷)
폐기	문서 파쇄기를 통한 폐기	물리적으로 매체의 완전 파괴

③ 자료저장 기능이 있는 정보자산의 고장, 훼손, 오인삭제, 포맷 시 불용처리를 원칙으로 하되, 복구가 필요할 시 외부업체에 의뢰할 수 있다.

④ 자료저장 기능이 있는 정보자산 불용처리 시에는 저장된 자료의 복구가 불가능하도록 적절한 조치를 취해 폐기해야 한다. 전자정보 저장매체의 불용처리에 관련된 구체적인 사항은 국가정보원장이 배포한 ｢정보시스템 저장매체 불용처리지침｣을 따른다.

서    식

【 별지 제1호 서식 】

	- -

주요정보통신기반시설 보안관리 지침

자산관리대장

순번	사용자	위치	대분류	소분류	호스트명(이름)	모델명	용도	운영체제	SW명 (버전)	기반시설 지정여부	도입 년도	비고
1	항행전자부	항공관제장비실	서버	시험평가	hostname	HP DL380PGen8	관제개발서버	RHEL6.5	2.6.32	O
2
3
4
5
6
7
8
9
10