Microsoft PowerPoint - 컴퓨터보안09

Size: px

Start display at page:

Download "Microsoft PowerPoint - 컴퓨터보안09"

정현 어금
6 years ago
Views:

1 제 9 강 컴퓨터보안 2012학년도 1학기 1

2 국정원보안성검토대상정보화사업 ❶ 비밀ㆍ국가안보ㆍ정부정책과관련되는사업 o 비밀등국가기밀의유통ㆍ관리와관련된정보시스템구축 o 외교ㆍ국방등국가안보상중요한정보통신망구축 o 재난대비등국가위기관리와관련된정보통신망구축 o 에너지ㆍ교통ㆍ수자원등국가기반시설의전자제어시스템구축 o 외국정부ㆍ기관간정보통신망구축 o 정상회의등국제행사를위한정보통신망구축 o 정부정책을지원하는정보통신망구축 2

3 국정원보안성검토대상정보화사업 ❷ 대규모예산투입과다량의 DB자료를처리하는사업 o 대규모정보시스템구축 (10억이상) 정보화사업 o 다량의개인정보 (100만명이상 ) 를처리하는정보시스템구축 o 지리ㆍ환경정보등국가차원의통합DB 구축 3

4 국정원보안성검토대상정보화사업 ❸ 외부기관간망연동등보안상취약사업 o 다수기관이공동활용하기위한정보시스템구축및망연동 o 내부전산망또는폐쇄망을인터넷이나타기관의전산망등다른정보통신망과연동하는경우 o 원격근무지원시스템구축 4

5 국정원보안성검토대상정보화사업 ❹ 보안정책과제및최신 IT기술적용 o 업무망ㆍ인터넷분리정보화사업 o 업무망 인터넷간자료교환시스템구축 o 보안관제센터 ( 보안관제시스템 ) 구축 o 업무망과연결되는무선네트워크시스템구축 o 스마트폰등첨단 IT기술을업무에활용하는시스템구축 5

6 국정원보안성검토대상정보화사업 ❹ 보안정책과제및최신 IT기술적용 o 업무망ㆍ인터넷분리정보화사업 o 업무망 인터넷간자료교환시스템구축 o 보안관제센터 ( 보안관제시스템 ) 구축 o 업무망과연결되는무선네트워크시스템구축 o 스마트폰등첨단 IT기술을업무에활용하는시스템구축 ❺ 기타, 국가정보원장및교육과학기술부장관, 시 도교육감이보안성검토가필요하다고판단하는정보화사업 6

7 교육과학기술부및시 도교육청보안성검토대상정보화사업 ❶ 기존정형화된정보화사업 o 홈페이지구축ㆍ개선등웹시스템구축 o 민원ㆍ기자실등외부인용무선랜구축및무선랜공유기설치 o 민원ㆍ기자실내외부인용인터넷 PC 및교육장내 PC 설치 o 인사관리ㆍ복지관리시스템구축등인터넷등다른정보통신망과연결되지않은단순내부직원전용정보시스템구축 o 주요기반시설취약점분석ㆍ평가, 정보보안컨설팅등용역사업 7

8 교육과학기술부및시 도교육청보안성검토대상정보화사업 ❷ 단일기능의정보시스템구축 o 회의용영상통화시스템등원격화상회의시스템구축 o 주ㆍ정차단속및하천감시용등 CCTV시스템구축 o 백업시스템구축 o 대민콜센터시스템구축 o 인터넷전화시스템구축 8

9 교육과학기술부및시 도교육청보안성검토대상정보화사업 ❸ 정보보호제품도입및전산ㆍ통신장비도입ㆍ교체 o 침입차단ㆍ탐지시스템ㆍ가상사설망 (VPN) ㆍUSB관리시스템등정보보호제품도입ㆍ교체 o 스위치ㆍ라우터등네트워크장비및서버등전산장비도입ㆍ교체 o 전화ㆍ무전기및교환기등통신장비도입ㆍ교체 ❹ 기타국가정보원에서기작성ㆍ배포한보안지침으로자체보안대책강구가가능한정보화사업 9

10 정보보안점검체크리스트정보보안지침, 건국대학교 2012 정보보안기본활동 순번세부점검사항비고 1 기관자체실정에맞는정보보안업무내규를수립하고있는가? 2 매년정보보안업무활동계획을수립ㆍ시행하고심사분석하는가? 3 정보보안업무전담조직및직원 ( 정보보안담당관 ) 이지정되어있는가? 4 소속ㆍ산하기관대상정보보안감사ㆍ점검ㆍ지도방문을실시하는가? 5 소속ㆍ산하기관대상정보보안교육을실시하고있는가? 6 사이버보안진단의날을내실있게수행하는가? 7 정보보안위규ㆍ사고, 정보통신망장애발생시보고체계및조치절차가있는가? 8 정보시스템사용자에대한심사등인적보안절차ㆍ방법을강구중인가? 9 보직변경등인사이동시정보시스템접근권한을신속하게조정하는가? 10 서버ㆍPC 등정보시스템현황을제대로파악하는가? 11 정보통신장비 ( 노트북등 ) 반출입통제를철저히하는가? 12 업무자료를상용전자우편으로전송하고있지않는가? 13 정보통신망구축및유지보수업무를수행하는외부인력에대한신원확인및보안서약서징구등 충분한보안조치를하고있는가? 14 용역업체직원의내부정보시스템접근을통제하고있는가? 15 홈페이지에자료게재시자체보안성검토를시행하고있는가? 16 중요정보화사업에대하여국정원에보안성검토를의뢰하는가? 17 정보보호시스템 ( 암호모듈포함 ) 도입시보안적합성검증절차를준수하는가? 비밀을전자적으로처리할경우국가용보안시스템으로암호화하는등규정을준수하는가?

11 정보보안점검체크리스트정보보안지침, 건국대학교 2012 PC 및서버보안관리 순번세부점검사항비고 1 PC ㆍ서버에설치된운영체제및응용프로그램을최신보안업데이트하였는가? 2 백신프로그램이자동업데이트되고실시간감시기능이설정되어있는가? 3 인터넷 PC 에업무관련자료 ( 비밀포함 ) 을보관하고있는가? 4 업무용 PC 에비밀이평문으로저장되어있는가? 5 P2P, 웹하드, 메신저등업무에무관한서비스가허용되거나비인가프로그램을사용하지않도록보안조치하는가? 6 비인가자접근방지를위해 PC 부팅비밀번호를설정했는가? 7 서버내저장자료는중요도에따라권한설정이되어있는가? 8 공개서버가 DMZ 구간에위치하는등정보통신망구성측면에서 PC 및서버등의위치가적정한가? 9 인가받지않은휴대용저장매체 (USB, 이동형하드디스크, 메모리카드등 ) 를반입ㆍ휴대하고있는가? 10 전자우편비밀번호설정시특수문자포함, 8 자리이상으로설정하고주기적으로변경사용하는가? 11 비밀은비밀용보안 USB 를별도지정하여저장하고비밀관리기록부에등재하여사용하고있는가? 12 서버등정보시스템접근기록을유지관리하는가? 13 PC ㆍ서버에비인가 USB 등비인가정보통신기기연결시작동되지않도록보안설정되어있는가? PCㆍ노트북등저장매체가있는기기의고장시저장된자료의완전삭제를확인하고외부에수리를의뢰하는가? 중요정보가저장된매체불용처리시전용소자장치로삭제하거나파쇄ㆍ용해등물리적으로완전파기하고있는가? 11

12 정보보안점검체크리스트정보보안지침, 건국대학교 2012 네트워크보안관리 순번 세부점검사항 비고 1 정보시스템세부구성도 (IP 포함 ) 를최신으로유지하면서대외비이상비밀로관리하고있는 가? 2 업무자료를소통하기위한내부망은인터넷과분리운영하는가? 3 업무망ㆍ인터넷간자료공유방안이적정한가? 4 업무자료를소통하기위한내부망구축시사설주소체계 (NAT) 를적용하는가? 5 국가정보원장이안전성을검증한정보보호시스템을운용하고있는가? 6 네트워크를통한파일공유를제한하고있는가? 7 스위치ㆍ라우터등네트워크장비와서버는비인가자가접속못하도록 IP ㆍ MAC 통제등 보안설정하고불필요한서비스포트를제거하는가? 8 와이브로, 무선랜등허가받지않은인터넷접속경로가존재하는가? 9 첨단정보통신기기에의한내부업무자료유출방지대책이충분한가? 10 시스템최초설치시등록된관리자계정 ( 회사명등 ) ㆍ패스워드를변경하였는가? 11 장비신규도입, IP할당내역등전산망구성변동시관련사항을기록하는가? 12 중요업무처리 PC는인터넷연결을금지하고이상유무를수시로점검하는가? 13 무선네트워크, 인터넷전화구축시사전에국정원의보안성검토를받았는가? 14 홈페이지에대한보안취약점을주기적으로점검하는가? 15 불가피한사정상무선중계기를설치하였을경우 WPA2이상보안설정을하였는가? 16 직원의재택ㆍ파견ㆍ이동근무등원격근무시보안관리절차가충분한가? 17 제어시스템을독립망으로운영하는가? 18 ( 제어정보를 OA 망으로전달할경우 ) 제어망 OA 망으로일방향통신을하는가? 12

13 정보보안점검체크리스트정보보안지침, 건국대학교 2012 정보통신시설보안및대도청활동 순번 세부점검사항 비고 1 제어시스템이인터넷과분리운영되는등제어정보망보안관리가양호한가? 2 주요정보통신기반시설의보안취약점을주기적으로분석ㆍ평가하는가? 3 주요정보통신기반시설취약점분석ㆍ평가세부결과를중요자료로관리하는가? 4 인위적ㆍ자연적원인에의한정보통신망장애대비백업등재난방지대책을강구하였는가? 5 통합전산센터, 정보통신실등중요정보통신시설을보호구역으로관리하는가? 6 사무실책상서랍등에비밀문건이나비인가정보통신기기가방치되어있는지주기적으로확인하는가? 7 외부인의정보통신실출입이통제되고관련기록이관리되는가? 8 무정전전원공급장치설치등비상시전력장애에대한대책을강구하고있는가? 9 침입자동경보장치, CCTV 등보안장비와방화장비 ( 하론소화기등 ) 정상동작여부를정기적으로점 검하고있는가? 10 정보통신시설에관련시스템긴급파기를위한장비 ( 해머등 ) 를비치하였는가? 11 정보통신시설에대한접근권한을업무목적에따라차등적용하고있는가? 12 외부인이청사내출입할경우출입통제를실시하고있는가? 13 주기적으로대도청측정활동을실시하는가? 14 통신 ( 전화등 ) 단자함에시건장치를하여비인가자가무단접근할수없도록조치되어있는가? 15 정보통신장비수리ㆍ점검시정보보안담당관이입회하고있는가? 16 중요한회의에는무선전화기, 무선마이크, 인터콤등도청에취약한무선통신기기사용을통제하 고있는가? 13

14 정보보안점검체크리스트정보보안지침, 건국대학교 2012 암호장비ㆍ논리, 보안자재관리 순번 세부점검사항 비고 1 암호장비ㆍ논리, 보안자재등을소통기준에맞게운용하고있는가? 2 암호장비ㆍ보안자재의보유현황및동작상태를주기적으로확인하는가? 3 국가용보안시스템점검기록부 를비치, 월1회이상유무를기록하고정보보안담당관은점검여부를확인하고 있는가? 4 암호장비ㆍ보안자재의정ㆍ부책임자교체시인계인수를실시하고국가용보안시스템관리기록부에인계인수사항을기록하는가? 5 암호실은출입을통제하고그내용을기록유지하고있는가? 6 암호장비ㆍ보안자재는취급책임자가직접운반하고이를확인하기위하여국가용보안시스템증명서를사용하고있는가? 7 암호장비의암호체계, 키운용체계관련서류등결과물을비밀로관리하는가? 8 암호장비의고유명칭, 제원및대상국소, 수량등운용현황이기록된문서는대외비이상으로분류관리하는가? 9 노후등으로사용하지않는암호장비를방치하고있지는않는가? 10 未승인보안제품이나외국에서생산한보안제품을무단사용하는가? 11 암호장비설치시분실ㆍ도난등보안사고방지대책을강구하고있는가? 12 암호장비가설치된렉덮개는시건장치를하고잠금여부를수시로확인하는가? 13 암호장비설치후 30일이내에국가정보원장에게암호장비운용현황을등록하는가? 14 보안자재취급이필요한자에대하여암호자재및음어자재취급을인가하고관련업무수행자는인감등록을실시하는가? 15 암호자재는암호실내금고, 음어ㆍ약호자재는시건된별도함에보관하는가? 16 현용을제외한미래용, 사용완료보안자재는봉인하여보관하고있는가? 17 사용기간이만료된보안자재는국정원과협의하여처리하고있는가? 18 암호논리적용시국가정보원장이안전성을검증한것을사용하는가? 암호취급자는정보시스템등에암호논리를적용하는全과정을감독하고용역업체등에대해서는보안서약서징 19 구등보안대책을강구하는가? 14

15 정보보안점검체크리스트정보보안지침, 건국대학교 2012 보안관제등해킹대응활동 순번세부점검사항비고 1 사이버공격에대응하기위한관제센터를운영하거나同업무를他기관에위탁하였는가? 2 보안관제센터운영을총괄관리하는전담공무원이있는가? 3 사이버공격탐지ㆍ대응매뉴얼이구비되어있는가? 4 해킹사고조사결과, 보안위규자에대한처벌이제대로이루어지고있는가? 5 보안시스템및정보시스템에대한로그를일정기간유지하고있는가? 6 보안관제용역업체직원에대한보안대책이있는가? 7 자체 DDoS공격대응매뉴얼을구비하였는가? 8 자체사이버위기대응모의훈련을주기적으로실시하는가? 9 DDoS공격등침해사고발생시국가정보원등유관기관에즉시연락하는가? 10 시스템장애시유지보수업체에연락할수있는비상연락체계가구비되어있는가? 11 보안관제시스템에대한물리적인보안대책을준수하고있는가? 12 침해사고발생시사고조사내역등관련문서 ( 전자문서포함 ) 를저장하고있는가? 13 해킹메일대응방안등침해사고대응절차등을보안교육을수행하는가? 14 보안취약점발표시, 대상기관이나담당직원에게즉시배포하는가? 15 국가사이버안전센터등과사이버위협정보, 탐지기술등정보를공유하고있는가? 16 사이버공격발생시소속ㆍ산하기관에전파할수있는체계가구비되었는가? 15

354-437-4..

354-437-4.. 357 358 4.3% 5.1% 8.2% 6.2% 5.6% 6% 5% 5.3% 96.1% 85.2% 39.6% 50.8% 82.7% 86.7% 28.2% 8.0% 60.0% 60.4% 18,287 16,601 (%) 100 90 80 70 60 50 40 86.6% 80.0% 77.8% 57.6% 89.7% 78.4% 82.1% 59.0% 91.7% 91.4%