최종_백서 표지

Transcription

1 정보보호 활동 제 제 제 제 제 제 장 장 장 장 장 장 인터넷 침해사고 대응 및 예방 활동 정보통신서비스 제공자 등의 정보보호 주요정보통신기반시설 보호 활동 전자정부 정보보호 활동 개인정보보호 활동 대국민 정보보호 활동

2 제 장 웹서버 파괴 및 대북 보수단체 홈페이지 14개의 자료가 삭제되는 등의 큰 피해로 이어졌다. 한편 6월 25일부터 정부기관, 언론사, 방송사등총69개기관의웹변조및DDoS 공격 등이 연쇄적으로 발생하였는데, 정부통합전산센터 DNS서버가 DDoS 공격을 받아 부처의 개별 홈페이지 접속장애가 아닌 정부부처 전체 홈페이지에 대한 접속장애가 발생하는 등 진화된 공격 형태를 보였다. 나. 피싱 스미싱 등 사이버 전자금융사기 급증 년 인터넷 침해사고 동향 2013년 한 해 국내에서 발생한 주요 침해사고 동향 및 보안위협을 정리해 보면 다수의 방송 언론 금융기관 등을 공격하여 피해를 유발한 3.20 사이버테러 및 6.25 사이버공격을 비롯해 금융기관을 사칭한 피싱(Phishing) 파밍(Pharming) 사고와 스마트폰 이용자 대상 스미싱(SMS+Phishing) 공격 등 사이버 사기사고가 연중 지속적으로 발생하면서 피해도 컸다. 한편 한글프로그램, 무료 백신, ActiveX, 스마트폰 관리 프로그램 등 국내에서 많이 이용되는 SW에서 원격실행이 가능한 취약점이 발견되고 공격에 이용되는 등 보안위협이 다각적으로 확대되는 양상을 보였고, 카드 3사의 고객정보 유출사고로 내 외부 직원 관리 및 중요 정보에 대한 암호화가 다시 한 번 부각되기도 하였다. 악성링크를 포함한 문자로 악성앱 설치나 소액결제를 유도하는 등의 스미싱공격이 지속적으로 발생하였고 피해도 많았다. 2013년 상반기에는 주로 할인쿠폰 등 혜택을 제공한다는 내용이 많았고, 중반에는 쇼핑몰이나 음식점 등에서 결제확인 메시지와 돌잔치, 청첩장 등 지인 사칭 형태가 많았다. 하반기로 갈수록 검찰소환, 범칙금 등의 위협이나 금전적 피해 암시 등 이용자가 무시하기 어려운 방향으로 진화하였다. 더불어 PC 이용자를 대상으로 공인인증서, 금융정보 등을 탈취하기 위한 악성코드 유포도 지속되었다. 2013년도 한국인터넷진흥원으로 신고 접수되어 차단조치한 국내 피싱사이트는 총 7,999개에 (단위 : 건, 백만 원) 가 사이버테러와 6.25 사이버공격 발생 2013년에는 3.20 및 6.25 대규모 사이버공격이 연이어 발생하였다. 공격 대상이 되는 주요 시설은 방송사, 언론사, 정당, 금융기관 등이었고, 공격 형태도 DDoS(분산서비스 거부, Distributed Denial of Service) 공격, 홈페이지 변조를 비롯한 시스템 파괴 등 복합적이어서 피해 규모가 커질 수 있는 상황이었다. 3월 20일 주요 방송사 3사, 시중 대형 은행 등 6개사의 PC, 서버, ATM기등총4만8,700여 대의 시스템이 파괴되어 접속장애 및 금융서비스 장애가 발생하였고, 3월 26일에는 디지털 방송사의 116 인터넷 침해사고 대응 및 예방 활동 117

3 달하였는데, 이는 2012년(6,944건) 대비 15.2% 증가한 수치이다. 유형별로는 정부 공공기관 (24.4%), 금융기관(74.3%), 포털 게임 등의 순으로 집계되었다. 다. 국내 SW의 취약점을 이용한 공격 확대 2013년에는 한글문서파일(.hwp)을 특정 대상자에게 이메일로 송부하여 악성코드에 감염시키는 타깃팅공격이 2012년에 비해 더욱 빈번해졌다. 특히 한글 취약점을 악용해 악성코드를 포함한 한글문서파일을 첨부파일로 보내는 사례가 2013년 7월 이후 12월까지 하반기에만 14차례나 발견되었는데, 이는 정부 국방기관이나 대북단체 등을 타깃으로 맞춤형 메일을 송부해 온 것이었다. 한편 은행 증권 게임 등에서 배포되는 보안프로그램 (nprotect Netizen 등)과 인터넷뱅킹이나 온라인결제시 필요한 제큐어웹(XecureWeb) ActiveX에서 원격코드 실행 취약점이 발견되어 공격자가 특수하게 조작한 웹페이지에 취약한 버전 이용자가 방문할 경우 악성코드 감염으로 인해 개인정보 및 금융정보가 유출되는 피해가 발생한 바 있다. 그 밖에도 스마트폰 관리용 프로그램인 Kies, 무료 백신 V3Lite, 국산 동영상 플레이어, 개인정보 보호 프로그램인 인포스캔 등 여러 국내 SW에서 취약점이 발견되는 등 국내 이용자를 타깃으로 하는 위협이 다양한 SW로 확대되고 있음을 보여주고 있다. 라. 카드사 고객정보 대량 유출사고 발생 금융회사의 직원이 개입된 카드사 고객정보 대량 유출사고가 발생하였고, 검찰수사 자료를 바탕으로 금융감독원이 확인한 결과 카드 3개사 합계 약 8,500만 건이 유출된 것으로 확인되었다. (단위 : 건) 금융기관 발생 시기 유출정보 규모 A카드 2013년 6월경 4,300만 B카드 2013년 12월경 2,200만 C카드 2012년 10월~12월 2,000만 [출처 : 검찰청, 카드사 정보 유출사고 수사결과 발표자료, ] 금융권에서는 전산시스템 관리나 유지보수, 보안 등의 분야에 외주 용역이나 계약직원을 활용하는 경우가 많은데, 이번 사고에서도 카드사의 부정사용방지시스템(FDS, Fraud Detection System) 개발을 위해 일하던 신용정보회사 직원이 고객 정보를 유출하여 대출광고업자 등에 판매하였다. 이는 금융권뿐만 아니라 많은 기관에서 개인정보나 금융정보 등 민감한 정보에 대한 강력한 암호화, 내 외부 직원 접근통제에 대한 필요성을 다시 부각시킨 계기가 되었다. 2. 주요 악성코드 및 보안 취약점 출현 현황 가. 악성코드 동향 2013년에는 공격자의 공격목적에 따라 악성코드 유형이 더욱 명확히 나뉘었고, 금전적 목적을 가진 악성코드가 크게 기승을 부렸다. 정치적 목적의 3.20 사이버테러와 6.25 사이버공격 등에 이용된 악성코드는 PC나 서버시스템을 대상으로 데이터 삭제 및 시스템 파괴, DDoS 공격 등을 유발하였는데, 공격 대상 기관의 업데이트 서버나 취약한 홈페이지 등을 통해 내부 시스템을 감염시키고 잠복해 있다가 타이머 기능에 의해 특정 시간에 데이터를 삭제하거나 DDoS 공격을 감행하였다. 한편 아래한글, 어도비 아크로뱃 등 문서 프로그램의 취약점을 악용해 악성코드가 포함된 문서 파일을 이메일로 송부하여 감염시키는 유포 형태도 성행하였다. 아래한글 문서형 악성코드의 경우 기존에는 특정 서버를 명령제어(C&C)서버로 활용하였지만, 2013년에는 이메일을 명령제어로 활용해 명령전달, 정보수집, 추가 악성코드 유포 등을 수행하는 사례가 증가하였다. 악성코드 내에 이메일 계정 2개를 저장해 두고 첫 번째 계정으로 이메일 서비스에 로그인 후 메일함에 저장되어 있는 원격 프로그램 다운로드 및 감염 PC에서 수집된 원격접속정보를 메일함을 통해 두 번째 이메일 주소로 발송하면 해커는 최종적으로 두 번째 이메일에 수신된 메일을 열람해 감염 PC의 원격접속정보를 수집하고 원격접속을 이용한 공격을 수행할 수 있는 것이다. 금전적 목적의 악성코드들은 게임계정정보, 개인정보나 금융정보 유출을 노린 경우가 많았는데, 기존의 게임계정 탈취로 게임머니를 노리던 형태는 주춤한 반면 금융기관의 보안모듈 변조, 피싱 파밍 등을 통해 금융정보를 탈취하는 악성코드가 크게 증가하였다. 특히 국내 이용자가 많은 안드로이드 기반의 스마트폰을 타깃으로 하는 악성앱은 2012년 17건에서 2013년 2,283건으로 크게 증가하였으며, 118 인터넷 침해사고 대응 및 예방 활동 119

4 사회공학적 기법과 결합하여 스미싱공격으로 이어지며 연간 57억 원 이상의 금전적 피해를 야기하였다. 하반기로 갈수록 은행 앱을 가장해 사용자가 보안카드번호를 모두 입력하거나 보안카드 사진을 찍도록 유도하는 형태, PC용 피싱사이트에 QR코드를 통해 악성앱을 다운로드받도록 유도하는 형태 등 더욱 지능적으로 진화하고 있다. 나. 보안취약점 동향 2013년 한 해 동안 다양한 시스템과 플랫폼, SW에서 신규 취약점이 발견되었다. 특히 모바일 환경에서의 취약점과 개인 이용자용 애플리케이션에 대한 취약점을 악용한 공격이 빈번해졌다. 한국인터넷진흥원에서 2013년 신규 수집한 취약점 약 300건을 유형별로 분류해 보면 아래한글 취약점과 ActiveX 모듈 취약점 등 PC 애플리케이션 취약점이 40%로 가장 많은 비중을 차지하였고, 홈페이지 취약점 27%, 인터넷에 게시할 콘텐츠를 효율적으로 관리하기 위한 CMS(Content Management System) 취약점이 12%로 그 뒤를 이었다. 가장 많은 비중을 차지한 아래한글 취약점을 악용한 공격에서는 제로데이 취약점도 있었으나 대부분이 개발사가 신속하게 보안패치를 내놓아 피해를 입지 않은 사례가 많았다. 따라서 한글과컴퓨터사는 정품과 비정품을 가리지 않고 보안패치를 지원하기 때문에 보안업데이트가 배포되면 반드시 적용하는 것이 바람직하다. ActiveX 관련 취약점 중 대표적인 것으로는 은행 증권 게임 등에서 배포되는 보안프로그램 (nprotect Netizen 등)과 인터넷뱅킹이나 온라인결제시 필요한 제큐어웹(XecureWeb) 등을 들 수 있다. 이들 ActiveX 모듈에서 원격코드 실행 취약점이 발견되어 공격자가 특수하게 조작한 웹페이지에 취약한 버전 이용자가 방문할 경우 악성코드에 감염되어 금융정보가 유출되는 피해가 발생한 바 있다. 한편 국내에서 많이 이용되는 마이크로소프트사 제품들에 대한 취약점 보안업데이트는 2012년보다 23건(28%) 증가한 총 106종이 발표되었다. 피해 유형별로는 원격코드 실행 관련 보안업데이트가 총 58종(55%)으로 가장 많았고, 권한 상승 25종(24%), 정보 유출 11종(10%), 서비스 거부 9종(8%) 등의 순으로 나타났다. 대상별로는 엑셀, 파워포인트 등 MS Office 관련 보안업데이트가 총 17종으로 가장 많았고, 커널(Kernel) 관련 13종, 인터넷 익스플로러 관련 13종 등으로 집계되었다. 그 밖에도 스마트폰 관리용 프로그램, 무료 백신, 국산 동영상 플레이어, 개인정보보호 프로그램 등 여러 국내 SW에서 취약점이 발견됨에 따라 개인 이용자들의 응용프로그램에 대한 보안패치나 버전 관리의 필요성이 더욱 커지고 있다. 1. 인터넷침해대응센터 종합상황실 운영 민간분야의 인터넷 침해사고 사전예방 및 사고 발생시 신속한 대응과 피해확산 방지를 위해 미래 창조과학부와 한국인터넷진흥원은 인터넷침해대응센터 운영을 통해 다양한 활동을 수행하고 있다. 특히 국내 인터넷상의 이상징후 모니터링 및 침해사고 발생시 초동대응, 공동대응체계를 위한 창구역할 수행 등을 위해 24시간 365일 종합상황실을 운영하고 있다. 인터넷침해대응센터 종합상황실에서는 국내 인터넷망의 트래픽 소통현황과 주요 DNS서비스 상태, 정부 공공 금융 등 주요 웹서버의 접속상태 등을 모니터링하고 DDoS 공격이나 피싱사고, 홈페이지 변조 등에 대한 신고접수 및 초동대응을 수행하는 한편 신규 악성코드와 보안취약점에 대한 국내 위험도를 평가하여 수준별 대응 조치하고 있다. 또한 국내외 유관기관과 정보공유 및 공조대응을 위한 창구역할을 수행하고, 정치 사회적 주요 이슈 발생시 비상대응체계를 가동하여 대응을 강화하고 있다. 120 인터넷 침해사고 대응 및 예방 활동 121

5 2. 악성코드 은닉 홈페이지 탐지 및 대응 가. 개요 국내 인터넷 이용자가 인터넷 이용 중 악성코드가 숨겨져 있는 홈페이지 방문으로 악성코드에 감염되는 것을 방지하기 위해 국내 230만 개 도메인에 대해 악성코드 은닉 여부를 점검하고 해당 웹서버에 악성코드 삭제 및 보안 강화를 위해 지원하고 있다. 구 분 유포지 1,731 1,434 1,433 3,270 4,472 경유지 5,621 5,240 10,372 9,748 13,278 합계 7,352 6,674 11,805 13,018 17,750 경유지 : 악성코드 유포지로 자동 연결되도록 유포지 주소가 숨겨진 홈페이지 유포지 : 홈페이지 방문자에게 악성코드를 직접 유포하는 홈페이지 (단위 : 건) 최근 3년간 홈페이지를 통한 악성코드 유포는 꾸준히 증가하고 있는 추세이며, 2013년 유포지의 경우는 2012년 대비 36.8% 증가하였고, 유포지로 연결해 주는 경유지도 36.2% 증가하였다. (단위 : 건) 나. 탐지및대응현황 2013년에는 점검 대상 도메인에 대한 현행화 및 확대를 통해 홈페이지 230만 개를 대상으로 악성 코드 은닉 여부를 점검하였으며, 탐지하여 조치한 건수는 2012년 대비 36.3%(13,018건 17,750건) 증가하였다. 악성코드가 탐지된 국내 홈페이지에 대해 운영자에게 해당 사실을 전화 또는 공문발송을 통해 악성 코드 삭제 및 웹서버의 보안 강화조치를 요청하였고, 국외 홈페이지인 경우에는 주요 ISP를 통해 차단조치를 하는 등 피해 확산방지를 위해 노력하고 있다. 122 인터넷 침해사고 대응 및 예방 활동 123

6 3. DDoS 공격 및 좀비PC 대응 가. 개요 DDoS 공격은 홈페이지 등 서비스를 제공하는 시스템이나 네트워크에 과부하를 일으켜 정상적인 서비스를 제공하지 못하도록 하는 공격 유형으로 접속장애 등 직접적인 피해를 발생시킨다. DDoS 공격은 해커의 조종을 받는 좀비PC로부터 공격이 시작되기 때문에 피해 최소화를 위해서는 공격트래픽 차단과 함께 좀비PC에 대한 조치가 함께 이루어져야 한다. 나. 인터넷 연동구간 DDoS 대응시스템 구축 운영 한국인터넷진흥원은 인터넷서비스제공사업자(ISP) 사이를 연결하는 인터넷 연동구간에서 DDoS 공격을 조기에 탐지하고 대응하기 위해 DDoS 대응시스템을 구축 운영하고 있다. 또한 각 ISP에 설치 되어 있는 DDoS 대응장비에서 발생되는 공격징후에 대해 모니터링하고 있다. 2013년 현재 12개 ISP사업자, 총 20개 연동구간에 DDoS 대응시스템이 운영되고 있으며, 2013년 415건의 DDoS 공격을 비롯 최근 5년간 총 1,315건의 연동구간 DDoS 공격을 탐지 대응하였다. 탐지된 공격은 좀비PC IP목록을 확보하여 악성코드 치료를 유도하고 ISP 및 사이트 운영자에게 즉각적인 대응조치를 요청함으로써 DDoS 공격 피해 확산을 최소화하였다. 구 분 누계 탐지 대응 건수 ,315 (단위 : 건) 2010년 6월 서비스를 시작한 사이버대피소는 2013년까지 총 588개 기관이 서비스를 이용하였고, 총 339건의 DDoS 공격 방어서비스를 제공하였다. 이 과정에서 수집한 좀비PC의 IP 48만 7,000개를 감염PC 사이버 치료체계와 연계하여 치료할 수 있도록 조치하였다. (단위 : 개, 건) 다. DDoS 사이버대피소 운영 한국인터넷진흥원은 DDoS 공격에 자체적으로 대응하기 어려운 중소 영세기업의 피해를 최소화 하기 위해 공격대상 웹사이트로 향하는 공격트래픽을 우회시켜 주고 일반 사용자는 정상적으로 웹사이트를 이용할 수 있도록 지원하는 DDoS 사이버대피소 서비스를 제공하고 있다. 구 분 누계 서비스 이용 업체 수 DDoS 공격 방어 건수 인터넷 침해사고 대응 및 예방 활동 125

7 다. 감염PC 사이버 치료체계 구축 운영 감염PC 사이버 치료체계란 침해사고에 악용되어 공격을 유발하는 PC 이용자에게 직접적으로 감염사실을 통보하고, 치료수단으로써 맞춤형 전용백신을 제공하여 보다 체계적으로 좀비PC를 치료하는 서비스를 말한다. 2010년부터 KT, SK브로드밴드, 티브로드 등 3개 ISP와 협력하여 치료체계를 구축 운영을 시작하였고 2013년에는 LG U+를 비롯해 CJ헬로비전, C&M, 현대HCN까지 확대 구축함으로써 국내 대부분의 인터넷 이용자를 대상으로 치료체계를 통한 감염 알림이 가능해졌다. 정보를 유출하고 금전적 이익을 노렸는데, 유명 기관을 사칭한 홈페이지를 만들어 놓고 정보를 입력하도록 유도하거나 PC를 악성코드에 감염시켜 정상사이트 주소를 입력하여도 피싱사이트로 연결시키는 파밍, 스마트폰 문자와 악성앱으로 결합된 스미싱까지 다양한 형태로 나타났다. 이러한 사이버사기로 인한 국민 피해를 최소화하기 위해 정부에서는 다각적인 노력을 기울였다. 가. 피싱 파밍 대응시스템 구축 국민생활과 밀접한 은행이나 인터넷뱅킹 서비스 등을 사칭한 파밍사이트를 차단하기 위해 국외 파밍사이트 접속차단시스템을 구축하였다. 2013년 9월부터 KT, LG U+, SK브로드밴드 등 국내 ISP 3사와 협력하여 파밍 악성코드에 감염된 PC가 해외에 있는 가짜 사이트로 접속하는 순간 자동으로 이를 감지하여 차단하고 악성코드 치료를 안내하는 파밍사이트 알리미 서비스 를 제공하고 있다. 2013년에는 3.20 사이버공격 당시 하드디스크 파괴 악성코드에 대한 전용백신을 제작하여 약 33만 건을 신속히 보급하였고, 금융계정정보 유출을 노리는 파밍(Pharming) 악성코드 증가에 따라 파밍 악성코드 감염PC를 대상으로 하는 치료용 전용백신을 제작 보급하는 등 국민 피해 최소화 및 사고 재발 방지에 기여하였다. 4. 피싱 파밍 스미싱 등 전자금융사기 대응 강화 2013년 한 해는 연초부터 전자금융사기가 극성을 부렸다. 개인 이용자를 속여 개인정보 및 금융 126 인터넷 침해사고 대응 및 예방 활동 127

8 2013년 12월 기준 금융위원회, 검 경찰, 금융감독원 등 공공기관 및 금융기관 등 총 91개 기관이 이용 중이며, 이를 통해 서비스 시작 이후 약 247만 대의 PC가 파밍사이트로 연결되는 것을 차단하는 성과를 보였다. 한편 경찰청이 집계한 파밍 피해금액도 2013년 10월 이후 월평균 6억 9,000만 원으 로 감소해 서비스 이전 대비 80% 이상 감소하는 등 실질적인 효과로 이어졌다. 더불어 피싱사이트 조기 탐지를 위해 매일 신규로 등록된 도메인을 대상으로 피싱 여부를 점검하는 피싱사이트 탐지 및 검증시스템 도 구축하여 2014년 상반기부터 운영을 시작할 예정이다. 신고 접수 후 대응하던 사후적 조치를 벗어나 사전에 피싱사이트를 탐지하고 차단할 수 있는 체계가 구축됨에 따라 향후 피싱 사이트로 인한 피해예방에 큰 역할을 할 것으로 기대한다. 법 제도 개선방안을 연구하며 유관기관(경찰청, 금감원, 금융위)과 협조체제를 구축하고 있다. 더불어 보이스피싱 피해 예방을 위해 경찰청, 우체국, 은행 등의 사칭 대상으로 자주 이용되는 전화번호 약 60만 개를 데이터베이스화하고 전기통신사업자에게 제공하여 해외에서 걸려온 전화번호의 발신번호와 데이터베이스의 전화번호가 동일할 경우 해당 번호를 차단함으로써 개인 이용자들에게 전화가 연결되지 않도록 대응하고 있다. 나. 스미싱 대응 특정 기관, 지인 등을 사칭하는 문자메시지를 통해 악성앱 설치를 유도하고 금품을 갈취하는 스미싱 (SMS+Phishing)이 급증하고 있다. 이에 개인 이용자에게 스미싱 문자가 전달되기 전에 차단하거나 사전예방을 위해 노력하고 있다. 스마트폰 보안점검 앱 폰키퍼 를 배포하여 신종 스미싱 문구를 실시간으로 제공하고 악성앱 설치 여부를 점검할 수 있도록 지원하고 있다. 또한 3개 이동통신사로부터 스미싱 문자 정보를 제공 받아 분석하고 악성앱 유포 사이트 및 정보유출 서버를 차단 조치하는 등 대응을 강화하고 있다. 또한 수신한 문자가 스미싱 문자인지 여부를 쉽게 확인하고 신고할 수 있는 시스템 구축을 추진할 예정이다. 다. 피싱대응센터 구축 운영 일반 국민에게 수사기관, 금융기관 등 국내 공공기관의 전화번호를 사칭해 금융사기를 유발하는 보이스피싱을 대응하기 위해 한국인터넷진흥원에 피싱대응센터를 구축하고 통신사업자와 협력하여 사칭 전화를 차단하기 위한 체계를 마련하였다. 피싱대응센터는 전기통신사업법 및 피싱방지종합대책(2012년 10월 5일 정부 발표) 에서 정하고 있는 피싱상담을 처리하고 있다. 이와 함께 피싱피해를 사전에 예방하기 위해 전기통신사업자를 대상으로 기술적 관리적 조치의 지원 및 이행점검 활동들을 벌이고 있으며, 피싱피해 확산 방지를 위해 피싱 전달경로 추적, 신종 피싱기법에 관한 대책 마련에도 주력하고 있다. 또한 피싱방지를 위한 5. 모바일 악성코드 대응 및 스마트폰 보안 강화 국내에서는 2012년 하반기부터 모바일 악성코드(악성앱)가 본격적으로 유포되기 시작하였고, 2013년부터는 급증하였다. 한국인터넷진흥원이 자체 수집 및 신고접수한 악성앱은 2013년 2,370 건으로 2012년 대비 139배가 증가하였고, 정보 유출을 위한 유형이 가장 많았다. 공인인증서나 보안카드번호 등 금융정보 수집을 노린 경우가 많았고, 커널 감염형 루트킷과 같은 코드가 포함된 128 인터넷 침해사고 대응 및 예방 활동 129

9 악성앱, 복합적인 분석방해기술이 적용된 악성앱 등 더욱 진화한 형태를 보인 한 해였다. 이러한 가운데 스마트폰 관련 침해사고에 신속하고 효과적으로 대응하기 위한 다양한 활동을 펼쳤다. 미래창조과학부와 한국인터넷진흥원은 이동통신사, 스마트폰 제조사, 백신 및 보안 솔루션사, 모바일 애플리케이션 개발사 등이 참여하는 스마트폰 정보보호 민 관 합동대응반 을 운영해 오고 있다. 2013년에는 스마트폰 보안을 위한 협력과제로 단말기 출시 시점부터 백신 이용을 활성화시키고, 출처를 알 수 없는 앱 설치시 한 번만 허용하는 기능을 적용하여 스미싱 문자 등을 통한 악성앱이 사용자 모르게 설치되지 않도록 보안 강화를 추진하였다. 이는 2013년 8월 이후 출시되는 단말기부터 적용되었고 연말까지 약 89만 대가 보급되었다. 이와 함께 구글마켓, 해외 블랙마켓 등 악성앱 유포의 주요 경로인 앱마켓을 모니터링하여 악성앱을 수집하고 악성 여부를 검증 분석 조치하는 한편 개인 이용자 스스로 스마트폰의 보안상태를 점검하고 취약한 사항을 바로 조치할 수 있도록 자가점검앱을 보급하는 등 사전예방을 위해 노력하고 있다. 향후에는 악성앱이 설치된 스마트폰 치료 안내 및 피해 확산방지를 위해 모델 연구와 더불어 이동 통신사의 협력을 통해 모바일 치료체계 시범구축을 추진할 예정이다. 공감대를 형성할 수 있는 상황을 연출하여 메시지를 전달하고자 하였다. 또한 7월에는 정보보호의 달을 맞아 LG U+, KT Olleh, SK B TV와 공동으로 IPTV 가입 시청자를 대상으로 공익광고캠페인을 추진하였다. 지상파 및 케이블TV 광고 IPTV 공익광고 총 8개국 자막광고 하반기에는 정보보호 활동에 직접 국민들이 참여하고 함께 만들어 가는 문화정착의 시작으로 범국민 STOP THINK CLICK 실천운동캠페인을 만들어 기업과 함께하는 정보보호 이모티콘 공모전 및 1. 대국민 정보보호 인식 제고 및 홍보 2010년부터 한국인터넷진흥원은 다양한 대중매체 중에서도 국민들에게 가장 접근이 용이하고 파급효과가 높은 매체인 TV를 중심으로 대국민 정보보호 인식 제고 활동을 추진하였고, 2012년 정보보호 실태조사 결과에 따르면 정보보호의 중요성 인식률은 상당 수준에 이른 것으로 나타났다. 이에 2013년부터는 국민들의 정보보호 실천을 위한 관심과 투자를 유도하기 위해 정보보호 생활화를 주제로 TV 매체뿐만 아니라 라디오, 온라인 등을 통해 다양한 정보보호 활동을 펼쳤다. 지상파 및 케이블 등을 통해서는 정보보호 더 이상 늦출 수 없습니다! 라는 광고를 제작 송출하였고, 약 한 달 동안 라디오를 통해 정보보호의 실천 및 기업의 투자를 호소하는 광고를 추진하기도 하였다. 특히 광고 내용 및 표현 방법은 기존 공공기관의 딱딱하고 정형화된 광고를 탈피하여 일반인들에게 130 인터넷 침해사고 대응 및 예방 활동 131

10 온라인을 통한 다양한 이벤트로 구성하고 진행하였다. STOP THINK CLICK 은 PC나 스마트폰 등에서 애플리케이션을 다운받거나 이메일 문자메시지 등을 열어볼 때 우선 멈추고(STOP) 출처가 분명한지를 확인(THINK)한 후 실행(CLICK)하자는 의미를 담고 있다. 정보보호 이모티콘 공모전은 총 61개 작품이 접수되었으며. 그중 1차 온라인 투표심사와 2차 각 기업 담당자 및 전문가 평가를 통해 1위 작품을 정보보호상(상금 300만 원)으로 시상하고, 4개 작품을 각 기업상(상금 50만 원)으로 시상하였다. 온라인 이벤트는 정보보호 짝, 정보보호 OX, 정보보호 보안업데이트 설정 등 총 3개로 구성하여 약 한 달간 지속적으로 진행되어 총 6,019명이 참여하고 SNS를 통해 활발한 소통을 하였다. 향후에는 연중 캠페인으로 확대하여 정보보호가 선택이 아닌 생활 속의 문화로 자리 잡을 수 있도록 유도할 계획이다. 주요 서비스로는 오늘의 사이버위협 정보 안내, 정보보호 참고사이트, 맞춤형 전용백신, 무 유료 백신 안내, 악성봇 감염 확인, PC 원격점검서비스 신청, 웹체크 다운로드 등이 있으며 각종 정보보호 콘텐츠를 웹툰, 동영상, FAQ 등으로 제작하여 보다 쉽게 이해할 수 있도록 제공하고 있다. 2. 이용자 보호를 위한 보안 강화서비스 내 용 주기 가. 침해사고 예방 및 대응을 위한 보호나라 홈페이지 운영 2003년 4월부터 중소기업, 개인 사용자 등 정보보호 취약계층을 대상으로 해킹 바이러스 등 정보보호 관련 정보제공을 목적으로 보호나라( 웹사이트를 운영하고 있다. 최근 발생한 사이버위협 정보에 대한 한 줄 뉴스 제공 예시) 도로교통법 위반 스미싱 주의, 문자메시지 수신시 바로 삭제 일일 신규로 탐지된 악성코드 건수 스미싱 신고접수 건수 금융기관 사칭 피싱사이트 조치 건수 수시 일일 일일 일일 132 인터넷 침해사고 대응 및 예방 활동 133

11 2013년 11월부터는 오늘의 사이버 위협 서비스를 신설하여 최근 발생한 스미싱, 피싱, 신규 악성 코드 발생 현황과 수시로 발생하는 사이버위협 정보를 한 줄로 요약하여 보호나라 홈페이지를 통해 제공하고 있다. 나. 스마트폰 이용자 대상 보안 자가점검앱(폰키퍼) 보급 2013년에는 국내 스마트폰 가입자가 3,700만 명을 넘어섰고, 평균 스마트폰 이용시간이 PC 이용 시간을 추월할 만큼 스마트폰을 통한 서비스 이용이 많아졌다. 그로 인해 정보 유출, 스미싱 등 보안 위협은 더욱 커지고 있다. 한국인터넷진흥원은 스마트폰 이용이 본격적으로 활성화되던 2011년부터 보안 자가점검앱(폰키퍼) 배포를 시작하였다. 폰키퍼는 스마트폰 이용자가 직접 자신의 스마트폰에 대해 보안진단을 수행하고 보안이 취약한 사항은 바로 조치할 수 있는 기능을 제공하고 있으며, 기능 강화 및 편의성 등을 개선하여 버전을 업데이트해 왔다. 2013년에는 보안공지 기능을 개선하여 가독성을 높이는 등 이용자 편의성을 제공하였고, 스미싱 공격에 대한 피해를 최소화하기 위해 이용자가 알아두어야 할 스미싱 사기 예방 안내 홈페이지를 손쉽게 확인할 수 있도록 연결시키는 등 폰키퍼의 이용 활성화를 통해 스미싱 등 모바일 침해사고 피해를 최소화하기 위해 노력하였다. 다. 웹사이트 보안 강화서비스 1) 개요 국내에 운영되는 홈페이지들이 개인정보 유출, 악성코드 유포 경유지 등으로 악용되는 침해사고를 예방하고 관리자들이 쉽게 웹보안 수준을 강화할 수 있도록 지원하고자 2006년부터 웹사이트 취약점 원격점검서비스 및 웹보안도구를 무료로 제공하고 있다. 다만 서비스 제공 범위를 정보보호예산 혹은 관리인력이 부족한 중소기업, 비영리 민간단체, 소상공인 등 영세기업으로 제한하고 있다. 홈페이지 관리자 및 운영자들은 웹보안서비스를 통해 침해사고 예방, 보안수준 제고 등으로 안전하게 홈페이지를 운영할 수 있을 뿐만 아니라 침해사고가 발생한 이후의 재발방지를 위해 효과적으로 활용할 수 있다. 웹보안도구인 휘슬(WHISTL), 캐슬(CASTLE) 역시 웹보안서비스 홈페이지에 접속하여 신청서 작성 후 관련 프로그램을 다운받아 사용할 수 있다. 휘슬은 웹쉘을 탐지하는 프로그램이며, 캐슬은 웹 취약점을 이용한 공격을 방어할 수 있는 웹방화벽이다. 다만 휘슬은 개인이나 학교 등 연구목적의 사용을 제한하고 있어 배포 대상에서 제외하고 있다. 134 인터넷 침해사고 대응 및 예방 활동 135

12 2) 웹 취약점 원격점검서비스 현황 웹 취약점 원격점검은 서비스 홈페이지( 통해 제공하고 있으며 취약점 점검서비스 외에 웹보안도구 및 정보 등 다양한 서비스를 함께 제공하고 있다. 서비스 제공절차는 신청자가 웹보안서비스 홈페이지에 접속하여 회원가입 후 점검이 필요한 웹사이트를 입력하면 해당 웹사이트의 적격심사를 거친 후 사이트 상태를 확인한다. 그리고 원격으로 취약점 점검작업을 수행한 후 결과보고서를 발송하는 순서로 진행된다. 점검서비스를 통해 많이 발견된 웹 취약점은 다음과 같다. (단위 : 건) 사고분석의 효율성을 제고하기 위해 사고분석도구 WebShell Finder 를 자체 개발하여 사용해 왔다. 이후 웹쉘에 대한 지속적인 침해사고가 발생함에 따라 웹서비스 운영자들이 웹쉘에 대한 적극적인 대응과 조치를 할 수 있도록 웹쉘 탐지 프로그램인 휘슬이 개발되었다. 휘슬은 전문적인 지식이 없더라도 관리자가 쉽게 웹쉘을 탐지할 수 있도록 자동화된 편리한 이용자 화면을 제공한다. 2010년 12월에 악성코드 은닉 사이트를 탐지할 수 있는 통합형 휘슬을 보급하여 많은 관리자들이 휘슬이 탐지하는 웹쉘과 악성URL을 제거함으로써 휘슬은 국내 홈페이지 보안에 기여하고 있다. 휘슬은 웹서버 관리자들이 사용하는 클라이언트 프로그램과 한국인터넷진흥원에 서 운영하는 관리서버 프로그램으로 구성되어 있다. 한편 한국인터넷진흥원에서 운영되는 관리서버에서는 웹쉘 탐지 패턴을 제공하고, 휘슬 이용 관련 신청 및 탐지결과 등에 대한 관리, 의심 웹쉘 신고 기능 등을 제공하고 있다. 4) 캐슬(CASTLE) 기능 및 보급 현황 기존의 침해사고에서 공격자들은 운영체제 취약점이나 시스템 애플리케이션 취약점을 주로 공격에 이용하였다. 하지만 최근에는 홈페이지 운영에 필요한 웹 애플리케이션 취약점을 공격에 많이 사용하고 있다. 웹 애플리케이션 취약점은 다른 해킹기법과 비교하여 상대적으로 낮은 수준의 기술로도 해킹이 가능하고, 많은 사용자들을 대상으로 빠른 시간 내 악성코드의 전파가 가능하다. 웹 애플리케이션 취약점의 보완을 위해서는 취약점의 원인이 되는 소스코드 수정이 필요하나 대부분의 중소 홈페이지의 경우 개발인력의 미비로 인해 침해사고가 지속적으로 재발하는 문제가 발생하고 있다. 이러한 문제점을 해결하기 위해 한국인터넷진흥원에서는 공개 웹방화벽인 캐슬을 개발하였다. 캐슬은 간단한 설치만으로도 홈페이지의 주요 웹 취약점에 대한 공격을 효과적으로 방어할 수 있도록 도와주는 홈페이지 보안 강화도구이다. 캐슬은 홈페이지에 설치되어 동작하기 때문에 홈페이지 개발자는 개발단계에서 이 도구를 적용할 수 있고, 관리자는 홈페이지 운영단계에서 적용할 수 있다. 또한 홈페이지별로 따로 적용할 수 있기 때문에 공개 웹방화벽같이 서버 수준이 아닌 홈페이지 수준에서 보안을 강화할 수 있다. 주요 기능은 다음과 같다. 3) 휘슬(WHISTL) 기능 및 보급 현황 홈페이지 침해사고에서 웹쉘이 지속적으로 발견되는 것을 파악한 한국인터넷진흥원은 2008년부터 136 인터넷 침해사고 대응 및 예방 활동 137

13 있으며, 한국인터넷진흥원에서 제공하는 보안 공지사항과 주요 언론사에서 제공하는 보안 뉴스 및 경찰청의 공지사항도 실시간 확인이 가능하다. 그 밖에도 청소년유해사이트 차단 기능, 사이트정보 확인 및 정보보호TV 시청 등의 서비스를 추가로 제공하고 있으며, 이용자들은 PC 원격점검 신청기능을 통해 인터넷 침해사고로 인한 피해 신고 및 복구 서비스를 좀 더 빠르고 편리하게 제공받을 수 있다. 기능 웹사이트 보안수준 알림 경광등 파랑 (양호) 빨강 (위험) 설명 악성코드(한국인터넷진흥원에서 탐지한)가 은닉되어 있지 않으며, 사기성 피싱사이트도 아닌 사이트 악성코드가 유포, 피싱사이트 등으로 확인된 사이트 이와 함께 한국인터넷진흥원에서는 변화된 인터넷 환경에 맞게 캐슬의 지원버전 확대 및 기능 개선을 수행하고 있다. 라. 웹사이트 보안수준 확인시스템 운영 KISA 보안공지, 뉴스 웹사이트 보안정보 간략보기 툴팁메시지 사이트 정보 PC 최적화 PC 원격점검 신청 정보보호TV 한국인터넷진흥원 인터넷침해대응센터 보안 공지사항 주요 언론사의 사이버보안 관련 온라인뉴스 경찰청 사이버범죄 예방정보 악성코드 은닉, 피싱, 홈페이지 변조, 청소년유해사이트, 암호화 통신 여부 등 웹사이트의 위협정보 툴팁메시지 창에 대한 상세 내용 불필요한 파일 및 툴바 삭제, ActiveX 정리를 통해 PC를 최적화시키는 기능 침해사고로 복구가 불가능한 경우 한국인터넷진흥원으로 무료 원격점검서비스 신청 정보보호TV 방송영상 시청 웹사이트 보안수준 확인시스템인 웹체크(WebCheck)는 이용자 PC의 인터넷 브라우저에 툴바 형태로 설치되어 인터넷 이용환경을 안전하게 보호하고 예방해 주는 정보보호서비스이다. 웹체크는 이용자가 방문하는 홈페이지에 대한 위험성 알림, 유해정보 알림 및 차단 등 이용자를 보호하기 위한 서비스를 제공한다. 그밖에도 PC 원격점검, 정보보호TV 방송 보기 등의 부가기능을 통해 해킹 바이러스 등의 피해 신고 및 복구 서비스를 좀 더 빠르고 편리하게 제공받을 수 있도록 하고 있다. 웹체크 툴바는 보호나라 홈페이지( 무료로 다운로드가 가능하다. 웹체크는 악성코드가 은닉되어 있는 사이트나 피싱사이트에 접속할 경우 해당 웹사이트 접속을 차단하고, 안내 메시지 창을 통해 이용자에게 알려준다. 또한 홈페이지 변조 알림기능을 포함하고 3. 국제 침해사고 대응협력 활동 인터넷이 전세계를 하나의 네트워크로 연결해 주면서 한 국가에서 발생된 사이버 침해사고가 전세계로 빠르게 전파될 수 있는 환경이 조성되었다. 때문에 인터넷 침해사고 예방과 대응을 위해서는 국가와 국가 간 협력이 무엇보다 중요하게 되었고, 국제사회에서도 사이버보안에 대한 이슈가 부각 되면서 UN, OECD 등 국제기구에서도 그 논의가 활발해지고 있다. 이에 한국인터넷진흥원은 FIRST(국제침해사고대응팀협의회, Forum of Incident Response and Security Teams) 및 APCERT(아 태 침해사고대응팀협의회, Asia Pacific Computer 138 인터넷 침해사고 대응 및 예방 활동 139

14 Emergency Response Team) 등 국제 침해사고 대응협의체 활동을 통해 침해사고 대응분야에서 선도적인 역할을 수행하고 있으며, 국제사회 사이버보안 논의에 적극적으로 참여하고 있다. 또한 개발도상국의 침해사고 대응능력을 높이기 위한 교육사업 등도 수행하고 있다. 아시아 태평양 지역을 APNIC(아 태 네트워크 정보센터, Asia Pacific Network Information Center)에서 정의한 경도 60도로 제한하고 있는데, APCERT는 APEC(아 태경제협력체, Asia- Pacific Economic Cooperation)과 달리 미국 캐나다 칠레 페루 등을 중심으로 한 아메리카 대륙 국가의 가입을 제한하고 있다. 2013년 말 현재 19개국 26개 CERT팀이 회원으로 활동하고 있다. 가. FIRST 활동 1988년 11월 2일에 발생한 최초의 웜인 Morris가 인터넷을 통해 급속히 전파되어 큰 피해가 발생하게 되자 미국 정부는 카네기멜론대학(CMU) 소프트웨어공학연구소(SEI, Software Engineering Institute) 내에 CERT Coordination Center를 설립하였고, 이후 CIAC(Computer Incident Advisory Capability)라는 침해사고 대응조직을 결성하였다. 이후 1989년 Wank웜을 계기로 인터넷 상에서 대규모로 전파되는 침해사고에 신속하고 효과적으로 대응하기 위해 침해사고대응팀 간 원활한 소통 및 조정 기능의 필요성이 부각되었다. 이를 계기로 1990년 미국 및 유럽 지역의 침해사고대응팀 (CERT CSIRT)들을 중심으로 FIRST가 창설되었으며, 현재는 각국의 주요 침해사고대응팀들이 회원으로 참여하여 침해사고 공동대응을 통한 피해 최소화를 위해 공동으로 노력하는 세계 최대 규모의 국제협력체로 발전하였다. 2013년 말 현재 우리나라는 한국인터넷진흥원의 KrCERT/CC를 포함한 7개 기관의 CERT(국가 사이버안전센터 KN-CERT, 금융결제원 KF ISAC, 금융보안연구원 KFCERT, 한국교육학술정보원 ECSC, 안랩 ASEC, 인포섹 INFOSEC-CERT)가 FIRST 정회원으로 참여하고 있다. 한국인터넷진흥원은 6월 16일부터 21일까지 태국 방콕에서 개최된 FIRST 연례총회와 컨퍼런스에 참석하여 연례총회에서는 운영위원 선거에 참여하였고, 연례 컨퍼런스에서는 다양한 보안 이슈에 대해서 회원들과 의견을 교환하였다. 또한 취약점 정보의 상호교환을 위한 VRDX-SIG(취약점 보고서 및 데이터 교환 연구그룹, Vulnerability Reporting and Data exchange Special Interest Group) 회의에도 참석하여 정보공유 방법 등을 논의하였다. 나. APCERT 활동 APCERT는 아시아 태평양 지역 내 CERT(컴퓨터침해사고대응팀) 상호 간의 협력을 장려 및 지원하기 위한 목적으로 2003년 설립되었다. APCERT는 아태지역을 기반으로 한 지역협력체로 회원가입에 지역적 제한을 두고 있다. 일반적으로 APCERT에서는 각 국가별로 대표 연락기관을 지정하며, 주요 침해사고 발생시 APCERT 회원기 관을 포함한 국외 기관이 요청할 경우 신속하게 지원하도록 하고 있다. 국가별 대표 연락기관은 주로 해당 국가의 정부 혹은 비영리 단체에서 역할을 수행 중에 있는데, APCERT 회원기관 대부분은 국가의 대표 침해사고대응팀이다. 한국인터넷진흥원은 APCERT 창립멤버로 참여를 시작하여 지속적으로 운영위원 역할을 수행해 오고 있다. 2011년 3월에는 제주도에서 APCERT 연례총회 및 컨퍼런스를 성공적으로 개최한 바 있으며, 2011년 이래 현재까지 부의장으로서 협의체를 꾸려가고 있다. 140 인터넷 침해사고 대응 및 예방 활동 141

15 다. National CSIRT Meeting(국가 침해사고대응팀 회의) 2013 National CSIRT(컴퓨터침해사고대응팀, Computer Security Incident Response Team) Meeting은 태국 방콕에서 6월 22일부터 23일까지 2일간의 일정으로 개최되었다. 본 회의는 전세계 최초 침해사고대응팀인 미국 CERT/CC가 운영하며, FIRST 연례총회 및 컨퍼런스와 연계하여 진행된다. 이 회의는 FIRST가 다양한 성격의 CERT, 보안기업 등이 참여하여 국가차원의 침해사고 대응에 대한 토론의 장을 제공하지 못하는 점을 해결하기 위해 개최되었으며, CERT/CC가 사전에 검증된 국가대표 CERT들만을 개별적인 접촉을 통해서 초청하고 있다. 사전 승인된 팀만 참여할 수 있다는 점이 FIRST 연례 컨퍼런스와 구분되며, 국가차원의 침해사고 대응에 대한 심도 있는 논의와 정보 공유가 이루어진다. 본 회의는 참여국의 국가대표 침해사고대응팀 간의 국가안보, 경제 및 주요기반시설 보호 등 국가 차원의 사이버보안 이슈에 대한 공동의 인식과 문제해결을 위한 토론의 기회를 제공하고, 침해사고 대응분야의 선진국과 개발도상국 간의 협력과 의사소통 기회를 제공한다. 참여 국가대표 CERT들은 정보처리 자동화, APT 공격, 정보공유 프로토콜, 모바일, 클라우드 보안 등에 대해 발표하고 논의한다. 라. 그 밖의 국외 유관기관 협력 활동 한국인터넷진흥원은 APT, 피싱, DDoS 공격 등 늘어나는 사이버 침해사고에 공동으로 대응하 고자 중국 침해사고대응팀(CERT/CC)과 양해각서(MOU)를 체결하였다. 2013년 9월에는 호주 국가 대표 침해사고대응팀인 CERT Australia와 사이버보안분야 업무협약을 체결하였고, 같은 해 12월에는 카자흐스탄 사이버보안기관인 국가기술원(STS, State Technical Service)과의 양해각서를 체결함으로써 최초로 중앙아시아 지역과의 협력관계를 구축하게 되었다. 또한 같은 해 7월에는 제1회 한 중 일 침해사고대응팀 간 협력회의를 중국에서 개최하였다. 이를 통해 인터넷 침해사고 공동대응을 위한 프로세스 개선 및 3국 CERT 간 신뢰 증진을 위한 과제 발굴 등 상호협력을 강화하기로 하였으며, 2014년 제2회 협력회의를 한국에서 개최하기로 합의 하였다. 제 장 1. 정보보호 관리체계(ISMS) ISMS(정보보호 관리체계, Information Security Management System)는 조직이 정보자산의 기밀성 무결성 가용성을 달성하고 정보통신망의 안정성 및 신뢰성을 확보하기 위해 정보보호대책을 구현하고 이를 지속적으로 관리, 운영하는 종합적인 체계이다. 즉, ISMS는 조직의 정보자산 및 정보통신망에 관련된 위험을 평가하고 그 위험을 막기 위해 관리적 기술적 물리적 조치를 포함하는 관리체계를 수립하여 운영, 검토, 개선해 나가는 것이다. 2. 정보보호 관리체계(ISMS) 인증제도 가. 인증제도 정의 ISMS 인증제도는 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제47조에 근거하여 ISMS를 구축 운영하고 있는 조직의 관리체계가 인증기준에 적합한지 여부를 독립적이고 객관적인 입장에 있는 인증기관이 평가하여 인증을 부여하는 제도이다. 즉, ISMS에 대한 표준적 모델 및 기준을 제시하여 기업의 ISMS 수립 운영을 촉진하고 그 관리체계의 적합성 여부를 판단하는 제도이다. 인증제도의 공정성과 객관성 확보를 위해 한국인터넷진흥원이 인증기관으로서의 역할을 수행하고 있다. 142 인터넷 침해사고 대응 및 예방 활동 143

16 나. 인증제도 추진 경과 ISMS 인증제도는 정보통신망 이용촉진 및 정보보호 등에 관한 법률 을 개정(2001년)하여 인증 제도 도입의 법적 근거를 마련하였으며, 인증심사 기준을 고시하고 최초 인증서를 발급(2002년) 하였다. 이후 인증심사 기준은 최신 보안관리기준 반영 및 중복 항목의 통합 등을 통해 개정(2013년) 되었다. 기업이 최소한의 보안조치를 하도록 의무화하여 시행하던 정보보호 안전진단제도를 폐지하여 ISMS 인증제도로 일원화(2012년)하였으며, 일정 규모 이상의 주요정보통신서비스 제공자 등을 의무대상자로 지정(2013년)하였다. 또한 2010년 시작된 G-ISMS(전자정부 정보보호 관리체계, Government-Information Security Management System) 인증제도는 2013년 정부조직 개편에 따라 인증제도 관리 주무 부처가 안전행정부에서 미래창조과학부로 변경되면서 ISMS로 일원화(2013년)되었다. 제도 및 기준 개선 등의 역할을 수행하고 있다. 인증위원회는 인증심사 결과의 심의 의결, 인증 취소의 타당성 심의 등을 하며, 정보보호전문가, 정보시스템감리사 등 정보보호분야에 학식과 경험이 있는 5~10인 이내의 위원으로 구성된다. 인증심사원은 인증기관이 분야별 전문 심사원 풀에서 선정한다. 구분 내용 2001 정보보호 관리체계 인증제도 도입( 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제47조) 2002 다. 인증 추진체계 인증심사 기준 고시 ( 정보통신부고시 제 호) 최초 인증서 발급 2004 정보보호 안전진단제도 도입( 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제46조의3) 2011 ISMS 인증기준 개정 (기존 : 137개 통제 항목 개정 : 104개 통제 항목) 2012 정보보호 안전진단제도를 정보보호 관리체계 인증제도로 일원화 2013 주요정보통신서비스 제공자 등을 의무대상자로 지정하여 운영 ISMS 인증제도와 G-ISMS 인증제도의 일원화 ISMS 인증 추진체계는 미래창조과학부, 인증기관, 인증위원회 및 인증심사원으로 구성된다. 미래창조과학부는 법 제도 개선 및 정책 결정, 인증기관의 지정 및 감독 등의 역할을 수행하고 있으며, 한국인터넷진흥원은 인증기관으로서 인증심사, 인증위원회 운영, 인증서 발급 관리, 인증 3. 정보보호 관리체계(ISMS) 인증대상자 ISMS를 구축 운영하고 있는 모든 자는 ISMS 인증을 신청할 수 있다. 다만 2013년부터는 정보 통신망의 안정성에 지대한 영향을 끼칠 수 있는 주요정보통신서비스제공자 등을 정보통신망 이용 촉진 및 정보보호 등에 관한 법률 제47조제2항에 의거하여 의무대상자로 지정하여 운영하고 있다. 의무대상자는 정보통신서비스 제공자로서 정보통신망서비스를 제공하는 자(ISP), 집적정보통신 시설 사업자(IDC), 연간 매출액 또는 이용자 수 등이 대통령령으로 정하는 기준에 해당하는 자(정보 통신서비스 부문 전년도 매출액이 100억 원 이상인 자 또는 전년도 말 기준 직전 3개월간의 일평균 이용자 수가 100만 명 이상인 자)이다. 의무대상자 이외에 자율적으로 ISMS 인증을 신청하는 자는 임의대상자로 구분된다. 144 정보통신서비스 제공자 등의 정보보호 145

17 4. 정보보호 관리체계(ISMS) 인증기준 ISMS 인증 기준은 관리적 물리적 기술적 측면과 실제 활용성 측면을 모두 고려하여 개발(2002년) 되었다. 이후 인증 기준은 명확화, 구체화, 현실화를 위하여 기존의 실효성이 낮은 점검항목을 통합 삭제하고 최신 보안관리 기준을 반영하여 개정(2013년)되었다. 개정된 인증 기준은 정보보호 관리과정(12개 통제항목, 필수)과 정보보호대책(92개 통제항목, 선택)으로 구성되어 있다. 구분 신규 항목 (14개) 주요 변경 내용 경영진의 책임(예산 및 인력 지원, 의사결정 참여 등) 강화 정보보호최고책임자(CISO) 의무 지정 등 조직구성 강화 최신 기술 및 보안사고 반영 정보보호 대책 6. 인적 보안 물리적 보안 시스템개발 보안 암호 통제 접근 통제 운영 관리 (개정) 11. 운영 보안 전자거래 보안 보안사고 관리 (개정) 12. 침해사고 관리 검토, 모니터링 및 감사 업무연속성관리 (개정) 13. IT재해복구 소계 총계 통합 또는 변경 항목 (128개 90개) 업무연속성 관리, 물리적 보안, 전자거래보안, 검토, 모니터링 및 감사 영역중심으로 중복 또는 유사 항목 통합 5. 정보보호 관리체계(ISMS) 인증 현황 삭제 항목 (9개) 적격심사, 물리적 위치 및 구조 조건, 입력 데이터/내부처리/출력 데이터 검증, 전자우편 등의 항목 실효성 부족(결함률 0)으로 삭제 개정된 인증 기준은 인증 신청기관의 혼란을 최소화하기 위하여 점진적으로 적용해 왔다. 2013년 까지는 개정전 인증 기준과 개정된 인증 기준 모두로 심사를 진행하였으나, 2014년부터는 개정된 인증 기준만으로 심사 진행이 가능하다. 2002년 최초 인증서를 발급한 이래로 2013년 12월 기준으로 272건의 인증(G-ISMS 인증 포함)이 유지되고 있다. 인증 유지 기관은 총 257개로, 의무대상자 129개, 임의대상자 128개 기관이 인증을 유지하고 있다. (단위 : 건) 구분 개정 전 개정 증감 (단위 : 개) 정보보호 대책 관리과정 문서화 정보보호 정책 정보보호 조직 외부자 보안 정보자산 분류 정보보호 교육 및 훈련 (개정) 5. 정보보호 교육 정보통신서비스 제공자 등의 정보보호 147

18 6. 유사 인증제도 비교 ISMS 인증제도와 유사한 제도로 고객 개인정보의 보호에 특화된 PIMS(개인정보보호 관리체계, Personal Information Management System) 인증제도가 있다. PIMS는 조직이 고객들의 개인정보를 안전하게 보호하기 위해 보호대책을 구현하고 이를 지속적 이고 체계적으로 보호하기 위해 관리, 운영하는 종합적인 체계이다. PIMS 인증제도는 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제47조의3에 근거하여, 개인정보보호 관리체계를 수립 운영하고 있는 조직의 관리체계가 인증기준에 적합한지 여부를 구분 정보보호 관리체계(ISMS) 인증제도 개인정보보호 관리체계(PIMS) 인증제도 인증기관이 평가하여 인증을 부여하는 제도이다. PIMS 인증 추진체계는 방송통신위원회, 인증기관, 인증위원회 및 인증심사원으로 구성되며, 현재는 한국인터넷진흥원이 인증기관으로서 업무를 수행하고 있다. 인증심사 항목은 관리과정, 보호대책 및 생명주기로 총 124개 통제 사항으로 구성되어 있다. 2011년 PIMS 인증제도를 시행한 이래로 2013년 12월 기준 총 28건의 인증이 유지되고 있다. 7. 향후 발전 방향 기업의 정보보호와 ISMS 구축 필요성에 대한 인식이 높아짐에 따라 ISMS 인증 수요도 증가할 것으로 예상된다. 뿐만 아니라 G-ISMS 인증제도가 폐지되고 ISMS 인증제도로 일원화됨에 따라 공공분야의 인증 수요 또한 증가할 것이다. 이에 미래창조과학부는 ISMS 인증 수요의 증가를 고려하여 추가 심사기관 지정을 위해 공모 중이다. 인증 체계 법적 근거 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제47조 시행 연도 2002년 2011년 인증 대상 임의 대상자 의무 대상자(ISP, IDC, 주요정보통신서비 스 제공자) 제도 성격 임의+의무(' 인증 의무화) 임의 인증심사 기준 < 미래부 고시 > 관리과정 : 12개 통제 항목 정보보호대책 : 92개 통제 항목 신청 시기 관리체계 수립 후, 최소 2개월 운영 시행 주기 유효기간 : 3년 (사후심사 : 연 1회) 심사팀 구성 인증위원회 인증서 발급 심사팀장 : 한국인터넷진흥원에서 수행 심 사 원 : 심사원 풀에서 선정 통합 인증위원회 운영 한국인터넷진흥원장 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제47조의3 개인정보를 보유한 민간기업 < 방통위 고시 > 관리과정 : 13개 통제 항목 보호대책 : 79개 통제 항목 생명주기 : 32개 통제 항목 정보통신서비스는 SNS, 빅데이터, 클라우드 컴퓨팅 등으로 급변하고 있으며 기계 및 자동차분야의 텔레매틱스, 에너지분야의 스마트 그리드, 의료분야의 헬스케어 등 기존 산업과 IT가 융합된 형태의 새로운 서비스들이 등장하고 있다. 그러나 서비스 계획 또는 설계단계부터 보안을 고려하지 않아 운영 이후 보안에 대한 취약점 발견 및 보안사고로 제공자 및 이용자에게 심각한 경제적 손실은 물론 사회적인 혼란을 초래하고 있다. 이러한 문제점을 해결하기 위해 서비스 계획 또는 설계단계부터 보안대책을 수립하도록 정보 통신망 이용촉진 및 정보보호 등에 관한 법률 제45조의2(정보보호 사전점검)를 권고제도로 신설 (2012년 2월)하여 2013년 2월 18일부터 실행하게 되었다. 법제화된 정보보호 사전점검이란 신규 IT서비스의 구축단계(계획 설계 구현 테스트)에서 정보 보호 위협, 취약점, 위험분석 등의 진단을 통해 사전에 취약점을 제거하고 보호대책을 수립 적용하는 일련의 보안 활동이다. 148 정보통신서비스 제공자 등의 정보보호 149

19 한국인터넷진흥원은 정보보호 사전점검이 법제화되기 이전 2006년부터 지금까지 정부에서 추진하는 신규 IT 인프라 서비스 정책사업의 안전성 신뢰성을 제고할 수 있도록 주요 사업에 대해 사전점검을 실시하였다. 정보보호 사전점검은 시스템 및 서비스에서 사고가 발생하거나 이미 시스템이 구축된 후에 정보 보호가 언급되는 것이 아니라 구축단계부터 체계적으로 정보보호가 거론되기 때문에 시스템에 대한 신뢰성 측면과 완전성 측면에서 보다 효과적이다. 비용적 측면에서 외부기관의 자료들을 살펴보면 가트너는 설계단계부터 정보보호를 고려하였을 때 주요 취약점의 80%가 감소되었으며, IBM 시스템 연구소는 운영단계 이후 정보보호 비용의 60~100배의 절감효과가 있다고 발표하였다. 마이크로소프트사의 WINDOW XP의 개발 당시에도 개발단계에서 87%의 취약점을 제거하였다고 드러났다. 2011년 실시한 스마트워크 시범사업에서는 화상회의 도청을 통한 기밀정보 유출 취약점 발견, 2012년 실시한 항공관제용 정보시스템 개발에서는 위장된 비행정보로 타비행기 조종사에게 혼란을 초래함으로써 항공사고를 유발할 수 있는 취약점, 2013년 인천실내무도아시아경기대회에서의 관리자 페이지 접근통제 취약점 등 2006년부터 총 3,000여 건의 보안 취약점을 발견 및 제거하여 서비스의 안전성 및 신뢰성 확보에 많은 기여를 하였다. (단위 : 건) 대상 사업 건수 누계 한국인터넷진흥원은 2014 인천아시아경기대회 정보시스템에 대해 정보보호 사전점검을 수행 중에 있으며, 인천 항공관제시스템 등에 대해서도 수행할 예정이다. 또한 정보보호 사전점검제도의 정착을 위한 단계별 활성화 방안 마련, 인식 제고를 위한 홈페이지 구축 및 사전점검제도 안내 교육 등을 추진할 계획이다. 150 정보통신서비스 제공자 등의 정보보호 151

20 2. 추진 체계 제 장 1. 개요 전자정부 서비스, VoIP(인터넷전화, Voice overip) 및 IPTV 서비스, 인터넷뱅킹, 스마트폰, 태블릿 PC 등의 정보화가 진전되면서 방송 통신, 금융, 국방 등 주요사회기반시설의 정보통신기술 및 서비스에 대한 의존도가 심화되고 있다. 국가 주요 기반시설의 인터넷 연결 확대로 언제 어디서나 인터넷을 통해 편리한 서비스를 제공받을 수 있는 반면 해킹, 바이러스, 스팸 등의 전자적 침해행위로 국가의 중요한 정보들이 손쉽게 위협에 노출될 수 있기 때문에 체계적이고 안전한 범정부적 대응체계의 필요성이 강조되고 있다. 특히 최근 분쟁지역에서 적국을 공격하기 위한 수단으로 사이버공간이 공공연히 활용되고 있는 것과 더불어 플레임(Flame), 스턱스넷(Stuxnet), 듀큐(Duqu) 등의 악성코드 출현으로 국가의 주요 기반시설을 공격하는 사이버전이 현실화되고 있는 추세다. 또한 미국의 상수도 시설 시스템이 해킹 공격을 받아 공공안전에 위협이 되는 상황이 발생하는 등 국가 사회적으로 중요한 제어시설에 대한 해킹 시도가 빈번해지고 있다. 이에 대한 국가차원의 대책으로 정부는 2001년 기반시설 중 국가적으로 중요한 시설을 보호하기 위해 정보통신기반 보호법 을 제정하였다. 동 법의 주요 내용은 국가 사회적으로 중요한 정보통신 기반시설을 주요정보통신기반시설로 지정하여 중점 관리하고, 지정된 주요정보통신기반시설에 대하여 관리기관이 취약점 분석 평가를 수행하여 취약점에 대한 단기적 및 중 장기적인 보호조치와 시행사항을 포함하고 있다. 동 법은 전자적 침해행위 수법의 급속한 발전에 대응하여 꾸준히 개정이 이루어졌다. 주요정보통신기반시설에 대한 전자적 침해행위에 효과적으로 대응하기 위해서는 주요정보통신기반 시설 관리기관 및 이를 관리하는 관계 중앙행정기관이 상호 긴밀하게 협력하여야 한다. 이를 위해 정보통신기반 보호법 에서는 주요정보통신기반시설의 안정적인 관리 및 운영이 이루어지도록 정보통신기반보호위원회를 운영하여 정보통신기반 보호정책 수립과 시행을 총괄 조정함으로써 관계 중앙행정기관 간 침해사고 예방 및 대응 업무가 상호 협력 및 보완될 수 있도록 하고 있다. 정보통신기반보호위원회는 국무조정실장을 위원장으로 하고 중앙행정기관의 차관급 공무원을 위원으로 하여 구성된다. 주요 임무로는 주요정보통신기반시설 보호정책의 조정, 주요정보통신기반 시설 보호계획의 종합 조정 및 추진 실적, 주요정보통신기반시설 보호와 관련된 제도의 개선 및 기반시설의 신규 지정 변경과 같은 주요 정책사항 심의 등이다. 한편 정보통신기반보호위원회의 효율적인 운영 및 지원을 위해 정보통신기반보호실무위원회 가 설치되어 있다. 동 실무위원회는 정보통신기반보호위원회에 제출된 안건과 정보통신기반보호 152 주요정보통신기반시설 보호 활동 153

21 위원회로부터 위임받거나 정보통신기반보호위원회의 위원장으로부터 지시받은 사항을 검토 심의하는 등 정보통신기반보호위원회의 효율적인 운영을 돕는다. 주요정보통신기반시설에 대해 중대한 침해사고가 광범위하게 발생한 경우 정보통신기반보호위원회 산하에 정보통신기반 침해사고 대책본부를 한시적으로 운영하여 응급대책, 기술지원 및 피해복구 등을 수행한다. 관계 중앙행정기관은 주요정보통신기반시설을 지정하고 관리기관이 제출한 주요정보통신기반시설 보호대책을 검토한 후 보호계획을 수립 시행한다. 주요정보통신기반시설에 대한 일차적인 보호책임이 있는 관리기관은 침해사고 예방 및 대응을 위해 해당 시설에 대한 취약점 분석 평가를 수행하고 보호대책을 마련하는 등의 업무를 수행한다. 또한 사고 발생시 관계 중앙행정기관, 수사기관 등에 사고내용을 통지하고 시설을 복구하는 등의 의무가 있다. 주요정보통신기반시설의 보호를 위한 지원기관으로는 한국인터넷진흥원, 국가보안기술연구소, 정보공유 분석센터, 지식정보보안 컨설팅전문업체 등이 있다. 이들 지원기관은 주요정보통신기반 시설 보호대책의 수립 및 침해사고 예방 복구 등에 대한 기술적 지원을 수행한다. 국가정보원과 미래창조과학부는 주요정보통신기반시설 보호계획 작성 지침 등을 수립하여 통보한다. 시기 발생국 피해내용 비고 2007년 3월 2007년 8월 2008년 1월 2008년 5월 2009년 8월 2010년 7월 미국 미국 폴란드 미국 러시아 이란 DHS 주관 미국 발전소 제어시스템을 모의해킹 발전기 가동 사이클을 변경하여 발전기 파괴 ` 전직 직원이 캘리포니아 주의 TCCA 운하 제어시스템에 악성프로그램 설치 운하 운영 마비, 5,000만 달러 이상 손실 ` hacking_california_canal_system/ 14세 소년이 TV 리모컨을 개조하여 트램 교차로 불법 조작 4대의 트램 탈선 및 12명 부상 ` -into-citys-tram-system.html 회계감사원(GAO) 주관 미국 최대 국립전력회사인 TVA사 제어시스템을 모의해킹 인터넷 발전소 제어시스템 침투 성공 수력발전댐의 터빈 제어시스템 장애 발전기 터빈 폭발, 75명 사망 스턱스넷 바이러스 원자력발전소 제어시스템 침투 이란 나탄즈 원자력 원심분리기의 일부분 기능 마비 전력 수자원 교통 전력 수자원 원자력 2011년 11월 미국 일리노이 주 상수도 시설 시스템 침투 펌프 작동 시스템 파괴 수자원 국가의 주요 인프라 및 서비스가 정보통신망과 연계되어 있어 사이버 침해행위로 인한 시스템 장애 등이 발생할 수 있으며, 행정 방송통신 에너지 물류 금융 등 다른 분야에 연쇄적으로 파급될 가능성도 커지고 있다. 이러한 제어시스템은 과거에는 폐쇄망으로 운영되어 물리적인 공격이나 조작실수가 피해 사례의 대부분이었으나 최근에는 감염된 USB메모리, 웹 게시판, 스팸메일 등 정보통신서비스와 연결되어 운영되면서 사이버공격으로 인한 피해로 발생하고 있다. 대부분의 사고는 전력 수자원 교통 원자력 방송 금융 등 다양한 분야에 걸쳐 발생하였으며, 인명 및 경제적인 손실을 포함하여 대규모의 피해를 야기하였다. 2012년 5월 2012년 10월 2013년 3월 이란, 수단, 시리아 등 미국 한국 주요 중동국가의 컴퓨터에 침입하여 중요 데이터 유출ㆍ파괴 -computer-virus-to-slow-iranian-nuclear-effortsofficialssay/2013/06/19/gjqa6xbpov_story.html 전력시설 터빈 제어시스템 악성코드 감염 3주간 운영 중단 _Oct-Dec2012_2.pdf 방송 및 금융 등 다수 기업 전산망 악성코드로 인한 시스템 파괴 등 장애 발생 PC 및 시스템 4만8천여 대 피해 HTML 국가 주요 시설 전력 방송 금융 154 주요정보통신기반시설 보호 활동 155

22 1. 정보통신기반 보호제도 개선 판단하는 근거를 제시하면서 동법 지정기준에 합당한 세부 지정기준 및 지정절차를 만들어 정보통신 기반보호위원회에서 결의하였다. 2013년 정부조직 개편에 따른 정보통신기반 보호법 과 정보통신산업 진흥법 상의 정보통신기반 보호업무 및 지식정보보안 컨설팅전문업체 관련업무 주무부처가 안전행정부와 산업통상자원부에 서 미래창조과학부로 이관되었다. 2001년 정보통신기반 보호법 이 제정된 이래 해킹, 컴퓨터 바이러스, 기타 악성프로그램 유포를 비롯한 전자적 침해행위의 수법이 급속히 발전함에 따라 그 피해도 증가하고 있다. 이러한 현실에 비추어 주요정보통신기반시설을 신속하고 효과적으로 보호하기 위해 위원회의 구성 운영을 실질적으로 변경하고 주요정보통신기반시설 지정 권고와 이행 여부 확인근거를 신설하는 등 현행제도의 운영 과정에서 나타난 미비점을 개선 보완할 필요성이 제기되었다. 2009년에는 실효성 있는 정보통신산업 진흥정책을 추진할 수 있도록 정보통신산업 진흥법 이 제정됨에 따라 정보통신기반 보호법 의 정보보호 컨설팅전문업체 조항이 이관되어 정보통신산업 진흥법 상에 지식정보보안 컨설팅전문업체로 변경되었다. 지식정보보안 산업육성은 지식경제부가 담당하게 됨에 따라 지식정보보안 컨설팅전문업체 관련 업무도 지식경제부에 이관되었다. 2012년에 시행령 개정을 완료하여 2007년 12월 개정에 따라 위임받은 사항을 반영하고 취약점 분석 평가 주기를 2년에서 1년으로 단축하는 등 운영상 나타난 일부 미비점을 개선 보완하였다. 2. 주요정보통신기반시설 지정 권고 주요정보통신기반시설의 지정 대상은 국가 공공기관뿐만 아니라 민간이 운영 관리하는 정보통신 기반시설을 포함하며 사이버 침해행위 발생시 국가안보, 국민의 기본생활 및 경제 안정에 중대한 영향을 미치게 되는 국가안전보장, 행정, 국방, 치안, 금융, 방송통신, 운송 에너지 등의 업무와 관련된 전자적 제어 관리 시스템과 정보통신망이 해당된다. 2011년에는 기반시설 신규 지정 예상기관을 대상으로 지정 타당성을 검토하기 위해 신규 지정 후보기관이 보유하고 있는 시설에 대해 현장조사를 실시하여 주요정보통신기반시설로 지정할 시설 현황 파악 및 시설별 정보보호 관리실태를 조사하였다. 그 결과 총 33개의 신규 지정 대상을 최종 선정하였으며 해당 중앙부처에 지정을 권고하였다. 2012년에는 정보통신기반 보호법 에 따른 공공분야 대상 시설의 정보통신기반시설 지정 여부를 3. 주요정보통신기반시설 지정 현황 각 중앙행정기관의 장은 소관분야의 정보통신기반시설 중에 해당 관리기관이 수행하는 업무의 중요성 등 다섯 가지 기준에 의해 전자적 침해로부터 보호해야 할 필요가 있다고 인정되는 시설에 대하여 주요정보통신기반시설로 지정할 수 있다. 정보통신기반 보호법 에 명시된 다섯 대 기준은 다음과 같다. 첫째는 해당 관리기관이 수행하는 업무의 국가 사회적 중요성이고, 둘째는 관리기관이 수행하는 업무의 정보통신기반시설에 대한 의존도이며, 셋째는 다른 정보통신기반시설과의 상호 연계성이다. 넷째는 침해사고가 발생한 경우 국가안전보장과 경제사회에 미치는 피해 규모 및 범위이고, 마지막 다섯째는 침해사고의 발생 가능성 및 복구 용이성이다. 2001년 7월 정보통신기반 보호법 의 시행 이후 주요정보통신기반시설로 지정된 시설은 2001년 4개 부처 23개 시설, 2002년 5개 부처 66개 시설, 2004년 (구)정보통신부 소관 7개 시설, 2005년 중앙선거관리위원회 소관 1개 시설, 2006년 (구)정보통신부 소관 5개 시설, 2007년 3개 부처 10개 시설, 2008년 2개 부처 8개 시설, 2009년 4개 부처 21개 시설, 2010년 4개 부처 28개 시설, 2011년에는 6개 부처 33개 시설, 2012년 12개 관계 중앙행정기관, 115개 관리기관, 186개 시설이다. 2013년 12개 관계 중앙행정기관, 139개 관리기관, 209개 기반시설이 지정되었고, 2014년 2월 현재 17개 관계 중앙행정기관, 188개 관리기관 292개 기반시설로 지정 관리되고 있다. 4. 취약점 분석 평가 주요정보통신기반시설로 지정된 관리기관은 매년 보호대책을 수립하여야 한다. 이를 통해 단기적 으로는 신규 취약점을 발견하여 제거하고, 장기적으로는 침해사고 발생시 파급효과 등을 분석하여 156 주요정보통신기반시설 보호 활동 157

23 실효성 있는 관리체계를 수립한다. 주요정보통신기반시설로 지정 후 관리기관은 6개월 이내에 취약점 분석 평가를 실시하여야 한다. 취약점 분석 평가 주기는 신규 위협이 매년 증가되고 있는 상황에서 기존 2년에서 1년으로 단축해야 할 필요성이 제기되어 2012년 정보통신기반 보호법 시행령 개정을 통해 1년으로 단축 되었다. 정보통신기반 보호법 제9조에 따라 관리기관이 취약점 분석 평가 전담반을 구성하여 소관 시설에 대한 취약점 분석 평가를 수행하거나 한국인터넷진흥원, 국가보안기술연구소, 정보공유 분석 센터, 지식정보보안 컨설팅전문업체에 위탁할 수 있다. 5. 주요정보통신기반시설 보호대책 및 계획의 수립 시행 주요정보통신기반시설을 관할하는 관계 중앙행정기관의 장은 정보통신기반 보호법 에 따라 매년 소관 분야 주요정보통신기반시설에 관한 보호계획을 수립 시행하여야 한다. 보호계획은 주요정보 통신기반시설을 관리하는 기관에서 제출한 보호대책을 종합 조정하여 작성되며, 관계 중앙행정 기관의 장은 다음 연도의 보호계획과 정보통신기반시설의 신규 지정 안건 등을 정보통신기반보호 위원회에 제출하여 심의를 받는다. 위원회에 제출된 보호계획은 심의과정을 통해 종합 조정하도록 하고 있다. 주요정보통신기반시설에 대한 취약점 분석 평가부터 보호계획의 수립과 그 시행까지의 일련의 과정을 도식화하면 다음과 같다. 6. 주요정보통신기반시설 이행점검 2007년도에 정보통신기반 보호법 개정으로 2007년 이후에 수립된 보호대책에 대해 미래창조 과학부장관 등이 관리기관에서 작성한 보호대책의 이행 여부를 확인할 수 있도록 하는 등 사후관리를 강화하였다. 2012년 시행령 개정을 통해 위임받은 사항을 반영하여 공공시설은 국가정보원장, 국방 시설은 국방부장관이 필요한 자료의 제출 및 세부적인 내용을 확인 점검하도록 하였으며, 2013년 정부조직 개편을 통하여 민간시설은 미래창조과학부장관이 점검하도록 하였다. 158 주요정보통신기반시설 보호 활동 159

24 제 장 거듭하며 국민들에게 세금, 무역, 입찰, 주민 등 각 분야(G4C, G4B, G4G)에서 다양하고 편리한 전자정부서비스를 제공하고 있다. 매년 정부는 국민들에게 편리하고 안전한 전자정부 대민서비스를 제공하기 위하여 전자정부법 제24조 제1항에 의거, 각 행정기관에서 운영 중인 전자정부 대민 서비스에 대한 보안수준을 조사 분석하여 제도 개선, 인프라 확충 등 보안수준 향상대책을 수립 추진하고 있다. 2. 추진실적 및 계획 1. 추진 배경 정부는 1987년부터 국가기간전산망사업을 필두로 2002년 전자정부법 시행과 함께 전자정부 구축을 본격 추진하여 2010년과 2012년 2회 연속 UN전자정부발전지수와 온라인참여지수 평가에서 1위, 2013년 ITU 정보통신발전지수 1위를 기록하는 등 전자정부 대민서비스의 비약적인 발전을 [작성기관] 지수 명 [ITU] ICT발전지수 [UN] 전자정부발전지수 [UN] 온라인참여지수 [WEF] 네트워크준비지수 작성 목적 국가별 ICT에 대한 접근성, 이용도, 활용 역량을 종합 평가 국가별 ICT 주도의 발전을 위하여 전자정부를 이용하는 역량과 의지 국가별 온라인을 통한 시민의 공공정책 의사결정에 참여할 수있는수준 국가별 경제발전 및 경쟁력 제고를 위해 ICT를 활용하는 정도 측정 우리나라 순위 (조사 대상 국가 수) (122) 6 (192) 2 (192) 9 (127) 2 (159) (134) 1 (159) 1 (192) 1 (192) 15 (133) ICT발전지수 : ITU, Measuring the Information Society(2013) 전자정부발전지수/ 온라인참여지수(격년제 발표) : UN, United Nations E-Government Survey(2012) 네트워크준비지수 : WEF, The Global Information Technology Report(2013) 1 (152) (138) (단위 : 위, 개국) 1 (155) 1 (193) 1 (193) 12 (142) 1 (157) (144) 안전행정부는 2005년부터 2006년까지 전자정부통합망의 네트워크 장비를 중심으로 취약점 분석 평가를 실시하여 개선대책을 마련 조치토록 하였으며, 2007년부터는 전자정부 대민서비스에 대한 보안수준 실태조사를 실시하고 조사결과 미흡한 사항에 대한 개선대책을 마련 시행하고 있다. 조사 첫 해인 2007년에는 전국 295개 중앙행정기관 지방자치단체의 홈페이지 등 501개 서비스를 대상으로 서면 및 방문조사를 실시하였다. 안전행정부는 조사결과 미비점에 대한 개선대책 및 각 기관별 서비스별 개선 조치사항을 마련하여 각 기관에 통보한 후 보안인프라 확충 등을 개선하도록 하였다. 이후 매년 조사대상을 확대하고 신규 보안위협을 측정할 수 있는 보안지표를 마련하여 전자 정부 대민서비스 보안수준 실태조사의 내실화를 기하였으며, 조사결과를 바탕으로 미비점 개선을 위한 법제도 정비와 보안인프라 확충 등 보안수준 제고를 위한 활동을 지속적으로 추진하고 있다. 2012년에는 기존 서면조사 방식을 정보보호전문가의 현장방문(인터뷰, 증적자료 확인, 현장 실사 등 종합적으로 수행)으로 조사방식을 변경하여 수행하였고, 2013년에는 기관별 정보보호 수준 강화를 위한 계획(P)-집행(D)-점검(C)-개선(A) 의 선순환체계 정착을 위해 중앙행정 및 소속 기관, 광역 및 기초자치단체 등 116개 기관을 대상으로 수준 진단 및 보안 개선대책 수립 지원을 추진하였다. 전자정부 대민서비스 정보보호 수준진단을 위해 대민서비스의 정보자산 관리, 시스템 영역별 보안 관리, 대민서비스 공통기반분야 등 3개 분야의 점검 항목 42개를 개발하여 점검한 결과 2013년에는 최초 시행한 2007년의 보안수준 57.6%보다 38.5%가 향상된 96.1%로 조사되었다. 이는 법제도 정비와 함께 정보보호 담당인력 증원, 정보보호 전문교육 확대 실시, 정보보호 컨설팅 지원, 행정기관 웹사이트 보안취약점 점검 개선 및 보안 인프라 확충사업 등 보안수준 제고 노력에 기인한 것으로 판단된다. 160 전자정부 정보보호 활동 161

25 대민서비스의 정보자산 관리 (3개) 대민서비스의 시스템 영역별 보안 관리 (27개) 대민서비스의 공통기반 관리 (12개) 대민서비스의 정보자산 관리 3개 항목 정보자산 목록 관리 네트워크 구성도 관리 대민서비스의 정보자산 관리책임 PC 보안 1개 항목 대민서비스 관리 담당자 및 민원용 PC 접근권한, 패스워드, 모니터링, 보안패치, 서버보안 8개 항목 백업계획 수립 및 복구 점검, 정보시스템 취약점 조치 및 결과 보고 등 네트워크 보안 4개 항목 서비스 구성관리, 네트워크 이상 징후 탐지 및 보고, 네트워크 보안강화 등 정보보호시스템 관리 3개 항목 정보보호시스템 접근규칙, 정보보호시스템 접근통제 애플리케이션 접근권한 검토 및 기록 보관, SW 보안 11개 항목 패스워드 관리, 암호화 대책, 웹 취약점 점검 및 개선, DBMS 취약점 점검 등 대민서비스 운영지침 1개 항목 대민서비스 운영지침 수립 및 운영 외부용역 관리 2개 항목 외주용역사업 관리, 대민서비스 관련 주요시설 출입통제 개발환경보안 2개 항목 개발과 운영환경 분리, 개발 테스트 환경의 보안 침해대응 및 재해복구 4개 항목 침해사고 대응절차, 침해위협대응, 보안관제 실시, 복구대책의 수립 등 정보보호조직 및 교육 3개 항목 정보보호 담당 조직 인력 구성, 정보보호 담당 인력 보안 교육, 대민서비스 담당자 보안교육 1. 행정전자서명 인증체계 고도화 가. 추진 배경 전자정부의 행정환경이 종이문서 기반에서 전자문서 기반으로 전환됨과 동시에 해킹 등에 의한 주요 정보의 노출 변조 훼손 등 피해 가능성이 높아짐에 따라 전자정부 행정전자서명 인증체계의 신뢰성 및 안정성 확보가 필요하게 되었다. 또한 행정업무의 연속성 보장을 위하여 암호키 분실 훼손 등으로 발생할 수 있는 행정정보의 손실을 방지함으로써 행정기관 간 전자문서 유통의 연속성과 안전한 복구를 보장할 수 있는 방안이 모색되었다. 이에 따라 정부는 전자문서 송 수신에 대한 행정 기관 및 공무원 신원확인, 전자문서 위 변조 방지 등을 보장하고 행정전자문서의 안정적 유통을 위한 정부차원의 정보보호체계를 마련하기 위해 인증시스템을 구축 운영하게 되었다. 나. 추진 실적 및 계획 그간 전자정부 대민서비스의 사이버위협 증가에 따른 정보보호조치를 위하여 정부에서도 재정투자 확대, 인력 양성, 제도 개선 등 다양한 정책을 마련하여 추진하였으나 전자정부 운영기관이 중앙부처 본청, 소속기관 및 지자체 등으로 범위가 넓고 인력과 예산의 효율적인 배분이 어려워 정보보호 관리의 실효성이 떨어짐에 따라 전자정부 대민서비스 정보보호등급제 도입을 추진하고 있다. 정보보호등급제는 대민서비스를 중요도에 따라 3등급으로 분류하고 서비스 특성에 맞는 맞춤형 보안관리로 보안수준을 강화할 예정이다. 또한 등급별 관리기준을 마련하여 서비스 등급에 따라 보안 수준을 차등 적용함으로써 전자정부 대민서비스 정보보호등급제의 시행으로 정부 3.0을 실현하고 국민생활과 전자정부 대민서비스의 안전을 지키는 효율적인 위험관리 기반이 될 것이다. 또한 향후 도입되는 모바일서비스 등 신규 IT서비스에 대한 정기적인 보안위협에 대한 분석수행 및 대응능력을 확보하는 등 전자정부 대민서비스의 안정성 신뢰성을 지속적으로 제고할 계획이다. 행정전자서명 인증체계는 2000년 12월 제도가 도입되고 시스템이 구축 운영되었으며 2002년 12월에는 민 관 전자서명 상호 연계체계 및 인증체계 구축을 통하여 명실상부한 전자정부 인증 시스템으로서의 면모를 갖추게 되었고 2006년 2월에는 암호키 위탁 복구 관리시스템이 구축되어 행정업무의 연속성과 안전한 복구가 보장되었다. 행정전자서명 인증체계는 [그림 ]과 같이 최상위 인증기관(안전행정부는 인증기관 등록기관 등의 역할을 모두 포함)과 안전행정부 장관이 지정 고시하는 6개 인증기관, 인증기관들이 지정 운영하는 27개 등록기관, 원격등록기관으로 계층을 이루어 구성되어 있다. 또한 민간 부분의 공인인증체계(NPKI)와 상호 연동을 통하여 사용자 인증 서비스를 제공하고 있다. 162 전자정부 정보보호 활동 163

26 2. 공인전자서명 인증 활성화 가. 공인전자서명 인증체계 현황 정보통신기술의 발달로 인터넷 및 전자거래가 급속 확산됨에 따라 정부는 전자문서의 안전 신뢰성 확보, 전자거래의 안전한 이용환경 조성 등을 위해 1999년 2월 전자서명법 을 제정하였다. 제정된 전자서명법 에 따라 한국인터넷진흥원을 최상위 인증기관으로 지정하는 등 공인인증서를 발급 관리할 수 있는 공인전자서명 인증체계를 구축하였다. 또한 공인인증서 이용자에게 편의성을 제공하기 위해 하나의 공인인증서로 모든 은행의 전자금융거래가 가능하도록 하는 공인인증서 상호 연동제도도 2001년 12월에 도입하여 시행하고 있다. 2013년 12월 기준으로 행정전자서명(GPKI)은 137만 건이 발급되어 전자민원, 행정정보 공동이용, 문서유통 등 4,695개 업무에서 활용되고 있으며, 특히 인증강화를 위해 행정기관 업무시스템에서 행정전자서명 인증기반체계 도입이 확대되는 등 이용률이 급속히 증가하고 있다. 그리고 개인정보보호를 위해 행정기관의 홈페이지에 보안서버인증서 도입을 통해 보안서버를 구축할 수 있도록 추진하고 있으며 선진국 수준의 보안서버 도입을 목표로 기술지원을 하고 있다. 또한 2012년도에 개인정보 영향평가를 수행하여 행정전자서명 인증체계의 개인정보 취급환경을 분석하고 보안성 향상을 위한 조치를 취하는 등 보다 안전한 개인정보 관리를 위하여 노력하고 있다. 또한 행정전자서명 인증서의 안전성 신뢰성 보장을 위해 2011년에는 전자서명 키길이 상향(2,048 비트) 및 해쉬 알고리즘 교체 등 행정전자서명 암호체계 고도화를 추진하였으며 2012년 1월부터는 인증체계가 개선된 고도화된 전자인증서를 발급하여 행정기관 인증체계를 획기적으로 개선하였다. 2012년에는 다양한 웹브라우저에서도 행정인증서 발급 및 이용이 가능하도록 관련 SW를 개선하였다. 2014년도에는 안정적인 서비스를 위해 노후장비 교체를 추진할 예정이다. 164 전자정부 정보보호 활동 165

27 나. 공인인증기관 지정 및 공인인증서 발급 현황 (단위 : 만 건) 1) 공인인증기관 지정 현황 2000년에 최초로 한국정보인증ㄜ, ㄜ코스콤을 공인인증기관으로 지정한 이래 2008년 12월까지 총 6개 기관이 공인인증기관으로 지정되었으나, 국가 공인인증업무의 효율적 운영 및 중복투자 방지 차원에서 지금까지 공공분야 인증업무를 담당하던 한국정보화진흥원의 공공분야 인증업무가 2008년 6월 30일로 종료됨에 따라 현재는 5개 공인인증기관에서 운영되고 있다. 기관명 지정일 주요 이용 분야 기관 유형 한국정보인증ㄜ 전자상거래 주식회사 ㄜ코스콤 온라인증권 주식회사 금융결제원 인터넷뱅킹 비영리기관 한국전자인증ㄜ 전자상거래 주식회사 ㄜ한국무역정보통신 전자무역 주식회사 2) 공인인증서 이용 및 발급 현황 공인인증서는 아이디(ID)와 비밀번호를 이용하는 전통적인 신원확인 방법보다는 개인정보보호 기능이 뛰어나고 전자상거래시 부인방지기능 등을 갖추고 있어 인터넷뱅킹(2002.9) 및 온라인 증권거래(2003.3)에 적용이 의무화되었다. 또한 공인인증서의 보안성이 인정되어 정부는 전자상거래 등에서의 공인인증서 이용 활성화를 위한 정책을 추진하게 되었다. 이러한 정부정책을 바탕으로 공인인증서 도입 초기에는 인터넷뱅킹, 온라인 증권거래 등 전자금융 분야에 주로 이용되었으나 최근에는 인터넷 주택청약, 전자민원, 연말정산 및 소득신고, 전자조달 등 모든 전자상거래로 확산되고 있다. 2013년 말 기준으로 총 3,001만 건이 발급되었다. 특히 개인에게 발급된 공인인증서는 2,702만 건으로 이는 국내 경제활동 인구(2,574만 명)의 105%에 해당한다. 또한 유비쿼터스 환경의 안전성 강화를 위해 사람뿐만 아니라 홈디바이스, 네트워크 카메라 (CCTV), 인터넷전화기 등 다양한 정보통신기기의 식별 인증, 통신구간 암호화 등을 위한 기기인증 체계를 구축 운영하고 있다. 다. 공인전자서명 관련 법 제도 개선 전자서명법 은 전자문서의 안전성과 신뢰성을 확보하고 전자서명에 관한 기본적인 사항을 정하기 위해 1999년 2월에 법률 제5,792호로 제정되고 그해 7월부터 시행되었다. 이후 전자서명법 시행 과정에서의 문제점 등 개선 필요성이 제기됨에 따라 인증업무의 영역구분, 보험가입 의무화 등을 주요 내용으로 하는 전자서명법 의 개정이 2005년 12월에 완료되었다. 개정된 전자서명법 은 비영리법인인 공인인증기관에 대해서 공인인증업무 영역을 제한하여 지정할 수 있도록 하였으며, 공인인증서비스의 신뢰성을 확보하기 위해 공인인증서의 이용 범위나 용도를 벗어나 부정사용하거나 타인에게 함부로 양도 대여하는 경우 처벌규정 마련과 공인인증서 발급시 직접 대면에 의한 신원확인 원칙을 확립하였다. 또한 공인인증기관이 공인인증업무를 수행함에 있어 공인인증서 가입자의 권익을 보호할 수 있도록 166 전자정부 정보보호 활동 167

28 공인인증기관의 보험가입을 의무화함으로써 가입자에 대한 충분한 손해배상능력을 확보할 수 있도록 하였다. 2012년에는 보이스피싱, 즉 전화금융사기로 인한 국민의 피해를 방지하기 위해 온라인으로 공인 인증서를 재발급받을 때에는 신청인의 신원확인 방법을 강화하는 내용으로 전자서명법 시행규칙 개정(안)을 입법예고하였다. 개정안에는 신청인의 신원확인 방법 강화를 위해 전화승인, 단말지정 등 본인확인 수단을 추가적으로 이용하여야 한다는 내용이 담겨 있다. 2013년에는 기존의 공인인증기관 지정 신청에 대해 미래창조과학부장관이 판단하여 그 지정 여부를 결정할 수 있도록 하던 규정을, 앞으로 지정이 금지되는 경우를 제외하고는 원칙적으로 신청자를 공인인증기관으로 지정토록 하는 공인인증기관 지정제도 개선을 위해 전자서명법을 개정하였다. 라. 공인전자서명 인증체계의 안전성 강화 인터넷뱅킹, 온라인 증권거래 등 전자금융거래 규모가 급증함에 따라 인증시스템 장애 및 해킹 등으로 인해 공인인증서비스가 중단될 경우 이용자뿐만 아니라 국가의 경제 사회 전반으로 피해가 확산되는 것을 방지하기 위해 공인인증서비스에 대한 안전성 강화대책 마련이 요구되고 있다. 이에 정부는 공인인증서비스 장애 발생시 신속한 대응 조치를 취하기 위해 매년 최상위 인증기관 및 공인인증기관이 참여하는 합동비상대응훈련을 실시하고 있으며, 각 공인인증기관에서 신속한 대응 및 복구조치 등을 취할 수 있도록 대응절차 및 조치사항 등을 규정한 공인인증업무 비상대응 매뉴얼을 개발 보급하고 있다. 정부는 2007년 6월 한국인터넷진흥원, 공인인증기관, PKI(공개키기반구조, Public Key Infrastructure) 전문보안업체, 보안토큰업체와 공동으로 보안토큰 기반의 공인인증서 이용기술을 표준화하고 최상위 인증기관을 통해 보안토큰 구현적합성 평가를 시행하고 있다. 2007년부터 2013년까지 총 42종의 제품에 대해 구현적합성을 평가 인증하였으며, 다수의 전자상거래업체에서 보안토큰 기반의 안전한 공인인증서비스를 제공하고 있다. 보안토큰은 전자서명이 저장장치 내부에서 생성되며 저장된 전자서명 생성키는 저장장치 외부로 유출되지 않기 때문에 피싱 해킹 등으로부터 공인인증서(전자서명생성키 포함) 유출을 방지할 수 있는 휴대용 저장장치를 말한다. 또한 공인인증서 분실시 24시간 통합신고체계 확립을 위해 2011년 8월부터 118을 통해 공인 인증서 분실신고 서비스를 시행하여 2013년 12월말 기준 총 8만 8,545건의 공인인증서 분실신고를 처리하였다. 2013년에는 각종 재난 등으로부터 최상위인증기관 및 공인인증기관의 업무연속성 확보를 위해 백업센터의 구축 전략 및 형태, 위치 선정, 시설 및 장비 설치 권고사항 등의 내용으로 공인인증시스템 백업센터 구축 가이드라인을 개발하였다. 공인인증서 저장매체인 보안토큰의 이용편의 및 안전성 강화를 위해 금융IC카드 보안토큰 규격 개정을 한국은행과 공동추진하여 정의된 내용을 바탕으로 한국인터넷진흥원 규격 개정을 추진하였다. 스마트폰 USIM(범용 가입자 식별 모듈, Universal Subscriber Indentity Module)을 안전한 저장 매체로 활용하기 위해 이동통신사와 협력을 추진하였으며, USIM 등 모바일토큰 서비스를 이용하기 위한 인터페이스 가이드라인을 마련하였다. 2013년 7월부터 LG U+는 USIM 내에 인증서를 발급 저장하여 안전하게 이용이 가능한 USIM 기반 모바일토큰 서비스를 출시하였으며, SKT와 KT는 2014년 5월부터 서비스할 예정이다. 마. 공인인증서 이용기반 개선 추진 웹 관련 기술의 발전, 다양한 웹브라우저의 출현, PC 수준의 모바일 플랫폼을 탑재한 스마트폰 및 스마트패드의 출시로 인터넷 이용환경이 다양해지고 이용자들의 IT 수준 또한 높아지고 있다. 이에 따라 마이크로소프트(MS) 윈도우 운영체제와 인터넷 익스플로러 이외의 다양한 운영체제 웹브라우저 환경은 물론 모바일 환경에서도 공인인증서비스를 이용하고자 하는 요구가 증가하고 있다. 정부는 이러한 정보 이용환경 변화에 부응하기 위해 MS사의 액티브엑스 컨트롤 기술과 같이 웹브라우저에서 동적으로 실행되는 자바 애플릿 기술을 이용하여 공인인증서비스를 제공할 수 있도록 자바 기반의 공인인증서 소프트웨어 구현 가이드라인 을 2007년 제작 배포하였다. 자바 기반의 공인인증서 소프트웨어 구현 가이드라인을 개발함으로써 사용자들이 윈도우 외에 리눅스, 매킨토시 등 다양한 운영체제에서 공인인증서비스를 이용할 수 있는 기반을 마련하게 되었다. 또한 2010년에는 모바일 환경에서의 공인인증서비스 이용을 위해 관련 기술규격을 제 개정하고 아이폰 등 스마트폰에서 공인인증서 이용을 위한 공용앱을 KT와 공동으로 개발하여 배포하였다. 장애인 차별금지 및 권리구제 등에 관한 법률 시행(2009.4)에 따라 공인인증서 이용시 장애인의 웹 접근성 강화 필요성도 제기되면서 2009년 시각장애인 등이 스크린리더 등 보조기술을 통해 공인인증서 소프트웨어에 접근할 수 있도록 필요한 기술 등을 제시한 장애인 웹 접근성 제공 가이드 라인 을 제작 배포하였으며, 2010년 한국정보통신기술협회를 통해 표준화하고 전자거래서비스업체 소프트웨어 교체시 장애인 웹 접근성 기술이 적용될 수 있도록 지속적으로 노력하고 있다. 168 전자정부 정보보호 활동 169

29 2012년에는 안전행정부와 외교부가 협력하여 재외국민이 안전하고 신속하게 공인인증서를 발급 받을 수 있도록 공인인증서 재외공관 발급서비스를 준비하였고, 2013년부터 7개 재외공관(오사카, 시카고, 애틀랜타 등)에서 공인인증서 발급 시범서비스를 제공 개선하였다. 또한 새롭게 출시된 윈도우8 환경에서의 공인인증서비스 이용환경 마련을 위해 한국인터넷 진흥원과 한국마이크로소프트가 공동으로 공인인증서 공용 애플리케이션을 개발하였다. 2013년에는 웹서버 보안인증서(SSL, Secure Sockets Layer) 산업의 활성화를 위해 웹트러스트 인증을 추진하여 WebTrust for CA(SSL인증서 발급기관의 안전성 및 신뢰성을 검증하기 위한 인증) 기준에 따라 인증심사를 거쳐 2014년 1월에 인증을 획득하였다. 금융위원회 금융감독원은 현재 30만원 이상 인터넷쇼핑 등 전자상거래시 공인인증서 등을 의무적으로 사용하도록 하고 있는 전자금융감독규정 시행세칙 을 개정하여, 신용카드, 직불카드 등 카드에 의한 결제시에는 공인인증서를 사용하지 않아도 전자상거래가 가능하도록 추진하고 있다. 공인인증서 이용에 있어 운영체제 웹브라우저 단말기에 종속되지 않도록 글로벌 웹표준 기반의 기술 검토 및 웹표준화 등을 추진중에 있다. 1. 추진 배경 최근 보안패치가 발표되기 이전의 보안취약점을 악용하는 제로데이 공격, 웹사이트 해킹 등 사이버 공격 위협이 지속적으로 증가하고 있다. 이러한 공격은 소프트웨어 자체의 보안취약점을 악용하는 경우가 대부분이다. 이는 사이버공격의 약 75%가 응용프로그램의 취약점을 악용한 것이라고 발표한 가트너(Gartner) 자료에서도 확인할 수 있다. 이에 사이버 침해사고 예방을 위한 근본적인 대책으로 SW 개발단계부터 보안약점의 원인이 되는 SW 결함및오류등을진단 제거하는 선제적인 보안체계 강화의 중요성 및 필요성이 부각되고 있다. 정부는 2008년 정보보호중기종합계획을 통해 정보시스템 보안성 강화체계 마련 계획을 발표하였으며 그 일환으로 전자정부 SW 개발시 보안약점을 사전에 진단 및 제거하기 위한 SW 보안체계 구축 강화를 추진하였다. 2012년에는 정보시스템 구축 운영 지침(안전행정부고시 제 호)을 개정 고시하여 SW 개발보안 적용을 의무화하도록 제도화하였다. 참고로 SW 개발보안이란 해킹 등 사이버공격의 원인인 보안약점을 SW 개발단계에서 사전에 제거하여 안전한 SW를 개발하는 SW 개발기법이다. 2. 추진 경과 국가정보원과 안전행정부는 2009년부터 전자정부서비스의 정보보호 강화를 위해 해킹 공격의 주요 원인으로 주목되고 있는 SW의 보안약점을 최소화하기 위한 방안을 마련하고 있으며 SW 개발시 보안약점을 제거하기 위한 안전한 코딩기법을 제시하기 위해 2011년 6월에 SW 개발보안 가이드 를 개발 배포하였고 2012년 9월에 개정판을 배포하였다. 해당 가이드에는 JAVA, C, Android JAVA 등 개발언어에 특화된 보안약점 및 이에 대응하는 코딩예제를 제공하는 시큐어코딩 가이드 3종이 포함되어 있다. 2012년 5월에는 SW 보안약점 진단원(SW 보안약점이 남아 있는지 진단하여 조치 방안을 수립하고 조치결과 확인 등의 활동을 수행하는 자) 및 개발자들이 개발과정에서 SW 보안 170 전자정부 정보보호 활동 171

30 약점을 파악하고 보완조치를 수행할 수 있도록 SW 보안약점 진단 가이드 를개발 배포하였다. 2013년 11월에는 행정기관 및 공공기관 구축 운영 지침에 개정된 47개의 소프트웨어 보안약점 기준 항목을 반영한 SW 개발보안 가이드 개정판을 배포하였다. 가이드 명(발행연도) 대상 비고 SW 개발보안 가이드 (2011년 6월) 시큐어코딩 가이드 (2011년 6월) SW 보안약점 진단 가이드 (2012년 5월) SW 개발보안 가이드(개정판) (2013년 11월) 전자정부 개발자 및 발주자 전자정부 개발자 및 발주자 전자정부 SW 보안약점 진단원 전자정부 개발자 및 발주자 신규로 개발되거나 유지보수로 변경되는 소스코드 개발시 적용 개발언어(JAVA, C, Android JAVA)에 특화된 보안약점 및 코딩예제를 제공 신규로 개발되거나 유지보수로 변경되는 소스코드에 대한 시큐어코딩 적절성 여부 진단시 참조 신규로 개발되거나 유지보수로 변경되는 소스코드 개발시 적용 또한 전자정부지원사업 등 신규 개발 정보시스템을 대상으로 2009년 2개 사업, 2010년 10개 사업, 2011년 23개 사업, 2012년 33개 사업에 대해 시범적으로 SW 보안약점 진단 및 관련 보안조치 를 권고하였다. 운영 중인 정보시스템도 SW 보안취약점이 지속적으로 발견됨에 따라 SW 개발보안 확대 적용에 대한 필요성이 대두되어 2013년에는 운영 중인 161개의 기관 홈페이지를 대상으로 시범사업을 추진하여 운영시스템까지 SW 개발보안서비스 제공을 확대하였다. 중앙정부 및 지방자치단체 등에서 개발한 모바일 앱의 경우, 2012년에는 240건, 2013년에는 286건 앱에 대하여 소스코드 보안성 검증을 수행하여 급증하는 모바일 전자정부서비스에 대한 앱 검증 수요에 효과적으로 대응하고 보안성을 제고하였다. 추가적으로 SW 개발보안 기반기술 연구를 위해 2012년에 전문연구기관인 SW 개발보안 연구센터(고려대학교 내) 를선정 개소하여 SW 개발보안 제도 활성화 방안, 필수 보안약점 도출 및 진단 제거기술 등 기반기술 연구를 지속적으로 추진하고 있다. SW 개발보안 인식 제고 및 홍보를 위해 2009년부터 정보화사업 담당 공무원 및 개발자를 대상으로 안전한 SW 개발방법론, 소스코드 수준에서의 보안약점 진단 제거방법 등에 대한 개발보안교육 (2009년 109명, 2010년 266명, 2011년 1,019명, 2012년 2,262명, 2013년 2,544명)을 실시하였으며 2012년에는 SW 보안약점 진단원 양성과정을 추가로 개설하여 첫해 82명의 진단원을 배출하였다. 2013년에는 143명 진단원을 배출하여 총 225명의 진단원을 양성하였다. 구분 개발보안교육 (진단원 양성) ,019 2,262 (82) (단위 : 명) 2,544 (143) 또한 행정기관 및 개발사 등 개발보안 관련자를 대상으로 SW 보안체계의 조기정착 및 강화를 위해 2010년 이후 매년 SW 보안 컨퍼런스를 개최하였다. 구분 대상 및 범위 2개 사업 10개 사업 23개 사업 33개 사업 161개 사업 신규 개발 정보시스템 운영 중인 정보시스템 <2010년, SW 시큐리티 심포지엄> <2011년, SW 개발보안 토론회> 172 전자정부 정보보호 활동 173

31 4. 향후 계획 <2012년, SW 개발보안 컨퍼런스> <2013년, SW 보안 컨퍼런스> 정부 공공기관에서 신규로 개발하는 SW 개발보안 의무 적용이 20억 원 이상으로 확대되는 2014년에는 언어별 시큐어코딩 가이드를 개정 보급하고 정보화사업 담당 공무원 개발자 대상 SW 개발보안교육 및 진단원 양성과정을 수행하여 SW 개발보안 인식 제고 및 역량 강화를 지속적으로 추진할 예정이다. 또한 SW 개발보안을 운영단계로 확대 적용하기 위해 지속적으로 기 운영 중인 홈페이지를 대상으로 SW 보안약점 진단서비스를 제공하고 운영시스템에 대한 점검항목 및 조치방안 등 적용방안을 마련하여 정보화사업 전 단계에 SW 개발보안을 확대 적용할 계획이다. 3. 제도 개요 정부는 2012년 6월 정보시스템 구축 운영 지침(안전행정부고시 제 호)을 개정 고시하여 SW 개발보안 기준 및 절차 등을 규정하고 이를 준수하도록 의무화하였다. 이에 따라 행정기관 및 공공기관은 정보화사업 추진 시 안전한 SW 개발을 위해 SW 개발단계에서 SW 보안약점을 진단 제거하는 SW 개발보안을 의무적으로 적용해야 한다. 제도의 안정적 정착을 위해 정보화사업 규모에 따라 SW 개발보안 의무화 대상을 단계적으로 확대하도록 하고 있다. 2013년 8월에는 행정기관 및 공공기관 정보시스템 구축 운영 지침(안전행정부고시 제 호)을 개정 고시하여 개발시 제거하여야 할 SW 보안약점 기준을 43개에서 47개로 개정하였으며 보안약점 진단강화를 위해 SW 보안약점 진단원 배치를 강화하였다. 또한 진단도구 사용의 주체를 감리법인과 사업자로 확대하고 있다. SW 개발보안 적용 대상 및 범위, 기준 등 SW 개발보안제도를 요약하면 다음과 같다. 구분 내용 비고 대상 정보시스템 감리 대상 정보화사업 (2013.1) 사업 규모 40억 원 이상` `(2014.1) 20억 원 이상` `(2015.1) 감리대상 전체 단계적 확대 범위 소스코드(신규 개발 전체, 유지보수로 변경된 부분) 상용 SW 제외 기준 SW 보안약점(지침 별표3, SQL 삽입 등 47개 항목) SW 보안약점 진단원(지침 별표4, 자격 요건 및 관련 교육) 진단기준 자격기준 1. 보안적합성 검증제도 가. 보안적합성 검증제도 개요 보안적합성 검증은 국가정보통신망의 보안수준을 제고하고, 외부의 사이버위협에 대응하기 위해 전자정부법 제56조 및 동법 시행령 제69조에 의거, 국가 공공기관이 도입하는 정보보호제품의 보안기능에 대한 안전성을 검증하는 제도이다. 국가사이버안전센터는 2001년 9월부터 보안적합성 검증업무를 수행하고 있으며, 국가보안기술 연구소는 보안적합성 시험업무를 수행하고 있다. 국가 공공기관은 보안기능이 포함된 IT제품 도입시 국가사이버안전센터에 보안적합성 검증을 신청해야 하며 검증결과 발견된 취약점을 제거한 후에 운용해야 한다. 또한 국가사이버안전센터가 필요성을 인정하는 정보보호제품(2014년 2월 현재 28종)의 경우 반드시 안전성이 확인된 CC인증 제품을 도입해야 한다. 국가 공공기관에 도입되는 정보보호제품 중 CC인증이 필수적인 제품군은 다음과 같다. 174 전자정부 정보보호 활동 175

32 제품(모듈)명 용도 CC등급 침입차단시스템 네트워크 유입 및 유출 트래픽 통제 EAL2 침입탐지시스템 네트워크 유해트래픽 자동탐지 EAL2 침입방지시스템 네트워크 유해트래픽 침입탐지 및 자동차단 EAL2 통합보안관리 제품 복수의 관리대상 시스템 중앙통제, 보안이벤트 통합모니터링 및 분석 EAL2 웹 응용프로그램 침입차단 제품 웹기반 유해트래픽 침입탐지 및 자동차단 EAL2 DDoS 대응장비 DDoS 공격 탐지 및 자동차단 EAL2 가상사설망 제품 IPSec 또는 SSL 방식 가상사설망 EAL2 서버 접근통제 제품 서버 접근권한 통제 및 주요 파일 보안설정 EAL2 DB 접근통제 제품 DB 접근통제 및 데이터 유출방지 EAL2 네트워크 접근통제 제품 보안프로그램 설치 PC만 네트워크 접속허용 EAL2 인터넷전화보안 제품 인터넷전화 관련 유해트래픽 탐지 및 침입차단 EAL2 무선침입방지시스템 무선랜 환경에서 보안위협, 침입탐지 및 침입차단 EAL2 무선랜 인증 제품 인증된 사용자만 무선랜 접속을 허용 EAL2 스팸메일 차단시스템 스팸메일 유입 탐지 및 차단 EAL2 네트워크 자료유출방지 제품 네트워크 간 전송되는 트래픽을 통제하여 중요 데이터의 외부유출 차단 EAL2 호스트 자료유출방지 제품 호스트에 설치되어 매체제어 등을 통해 중요 데이터의 외부유출 차단 EAL2 안티바이러스 제품 PC에 존재하는 악성코드 탐지 및 제거 EAL2 PC 침입차단 제품 PC에 설치되어 PC로의 유입 및 유출 트래픽 통제 EAL2 제품(모듈)명 용도 CC등급 패치관리시스템 중앙 서버에서 다수 PC에 대한 보안패치 자동수행 EAL2 소프트웨어기반 보안USB USB 메모리 접근통제 및 분실 시 자동삭제 EAL2 매체제어 제품 USB, CD-ROM 등에 대한 매체제어 및 데이터 유출방지 EAL2 PC 가상화 제품 PC의 실제영역과 가상영역에 대한 엄격한 영역분리 EAL2 서버 가상화 제품 서버의 실제영역과 가상영역에 대한 엄격한 영역분리 EAL2 망간 자료전송 제품 보안수준이 서로 다른 영역 간 데이터 및 정보흐름 통제 EAL2 스마트카드 스마트카드 칩 및 운영체제 EAL4 이상 복합기완전삭제 복합기에 내장된 HDD에 대한 삭제 모듈 EAL2 소스코드 보안약점 분석도구 소프트웨어 소스코드 분석 및 보안약점 식별(2014.1부터 적용) EAL2 스마트폰 보안관리 제품 업무용 관리대상 스마트폰 중앙통제 및 보안관리(2014.6부터 적용 예정) EAL2 각급 기관에서 구간암호화, DB암호화 제품과 같이 중요 자료 저장 소통을 위한 암호기능이 포함된 제품을 도입할 경우 해당 제품에 검증필 암호모듈의 탑재가 필요하다. 국가 공공기관 도입시 검증필 암호모듈을 반드시 탑재해야 하는 정보보호시스템은 다음과 같다. 제품군 CC 등급 검증필 암호모듈 탑재 메일 암호화 모듈 구간 암호화 모듈 PKI 제품 SSO 제품 디스크 파일 암호화 제품 문서 암호화 제품(DRM) 키보드 암호화 모듈 DB 암호화 제품 하드웨어 보안 토큰 기타 암호화 제품 나. 정보보호제품 국가 공공기관 도입 절차 해당사항 없음 국가 공공기관에 도입되는 정보보호제품은 구성 형태와 기능에 따라 CC평가 인증제도 또는 암호모듈검증제도를 통해 보안기능의 안전성을 미리 검증받아야 한다. 또한 가상사설망 보안USB 등과 같이 중요 자료의 저장 소통에 사용되는 암호기능은 검증필 암호모듈의 탑재가 필요하다. [그림 ]은 정보보호제품을 국가 공공기관에 도입하는 절차를 나타낸다. 필수 가상사설망 보안USB 등 중요 자료 소통 저장을 위한 암호 사용시 검증필 암호모듈 탑재 필요. 176 전자정부 정보보호 활동 177

33 라. 향후 추진 방향 보안적합성 검증제도는 국가기관 대상 정책 설명회나 산업계의 의견을 수렴하여 정보보호제품을 포함한 IT보안시스템의 국가기관의 안전한 도입 및 운영을 도모하고 있다. 특히 모바일 오피스 운영을 위한 정보보호제품, 네트워크장비 등 신규 IT보안시스템에 대한 안전성 검증기준 수립, 검증기술 개발, 검증 수행을 통해 신규 IT보안제품의 국가기관 적시 도입을 지원하고 있다. 검증기관은 스위치, 라우터와 같은 네트워크장비에 대한 보안적합성 검증 시행을 안내하여 2013년 9월부터 시범검증을 시행하고 있으며, 2014년 10월부터 본검증에 착수할 예정이다. 본검증 시행부터 네트워크장비를 도입하는 국가 공공기관은 검증기관에 보안적합성 검증을 신청하여야 한다. 다. 보안적합성 검증체계 보안적합성 검증체계는 역할과 책임에 따라 검증기관과 시험기관이 있다. 검증기관인 국가사이버 안전센터는 보안적합성 검증 관련 정책 및 기준 수립, 국가 공공기관의 보안적합성 검증신청 접수, 시험업무 관리 감독 및 시험결과 검토, 검증결과 통보 및 보완조치 이행 여부 확인 등의 역할을 수행 한다. 시험기관인 국가보안기술연구소는 보안적합성 시험 기준 방법 연구, 정보보호제품에 대한 시험 시행 및 시험 관련 기술 개발, 필요시 보완사항에 대한 추가시험 실시 등의 역할을 수행한다. 2. 정보보호제품 평가 인증제도 가. 정보보호제품 평가 인증제도 추진 배경 및 경과 정보보호제품 평가 인증제도는 기관의 정보보호 수준을 향상시키고 정보화 역기능으로부터 주요 자산을 보호하기 위해 정보보호제품에 대한 보안성 평가 인증 정보를 사용자에게 제공하는 등 안전한 정보보호제품을 선택하고 사용할 수 있도록 하는 제도이다. 정보보호제품 평가 인증은 국가정보화기본법 제38조 및 동법 시행령 제35조, 정보보호시스템 평가 인증지침(미래창조과학부 고시 제 호, )에 근거하여 운영된다. 1998년 국내 실정에 적합한 평가기준(K 기준)을 개발 고시함으로써 본격적인 평가가 시행되었으며 1998년 침입 차단시스템, 2000년 침입탐지시스템, 2002년 가상사설망, 2003년 운영체제보안시스템 지문인식 시스템 스마트카드로 점차 평가대상을 확대하였다. 2005년에는 평가기준을 CC(공통평가기준, Common Criteria)로 일원화하고 모든 정보보호제품으로 평가대상을 확대함으로써 제품의 다기능화 및 통합화 추세에 대응하였다. 2006년에는 CC에 따른 평가 인증결과를 회원국 간 상호 인정하는 국제상호인정협정(CCRA: Common Criteria Recognition Arrangement) 에의 가입과 동시에 인증서발행국 지위를 획득함으로써 국내 정보보호업체가 국내 인증결과를 활용하여 해외로 진출하는 데 일조하였다. 2007년에는 국제용으로 운영하던 CC기반의 평가 인증제도를 국제용과 국내용으로 이원화함으로써 평가기간을 단축하여 중소 정보보호업체의 경제적 부담을 대폭 완화하면서 정보보호 제품을 도입기관에 적시에 공급할 수 있는 체계를 구축하였다. 2010년에는 국내용 평가 인증제도를 178 전자정부 정보보호 활동 179