의료기관을위한 통합 IT 외주관리방안 안병현 ( 주 ) 좋을연구소장
개인정보보호실태조사 ( 2016 개인정보보호실태조사 ) 3
개인정보보호주관부서는 2015 년에일반관리부서에서담당하다가정보화젂담부서로이젂되었다는답변이증가하였습니다. 업무담당인원은 2015 년평균 2.4 명에서 2016 년엔평균 2.9 명으로증가하였습니다. 개인정보보호주관부서 개인정보보호담당인원 4
유출사고원인에대해서는공공기관에서는 사회적인식부족 을뽑았고, 민갂기업의경우는 개인정보의불필요한과다수집 을선정하였습니다. 애로사항으로는 젂문인력의부족 을 60.3% 가지적하였습니다. 유출사고원인 애로사항 5
공공기관 / 사업자의개인정보보호정책우선순위는 관렦기술개발및보급의촉짂 을가장우선순위에놓고있음을보여줍니다. 6
1 년갂개인정보침해경험은젂체항목에서 경험이있다 는방향으로증가하였습니다. 연갂개인정보침해횟수는 4 회이상은감소하고, 1 회는증가하는양상이나타납니다. 침해경험 침해횟수 7
개인정보유출사고발생시처벌강도 개인정보보호관렦교육희망기관 8
Industry Average annual costs caused by global cyber crime as of August 2016, by industry sector (in million U.S. dollars) Average annualized costs in million U.S. dollars 0 2 4 6 8 10 12 14 16 18 Financial services 15.63 Utilities and energy 14.8 Technology 11.04 Services 8.99 Industrial 8.05 Healthcare Retail 7.12 7.35 Healthcare : $7.35 B Transportation 6.81 Public sector 6.77 Communications 6.13 Consumer products 5.8 Media 5.75 Pharmaceutical 4.92 Education and research 4.45 Hospitality 3.68 Hospital : $3.68 B Note: Worldwide; August 2016; 237 organizations 9
수행부서 : 정보화젂담부서 유출사고는지속적으로발생 유출횟수는서서히감소중 유출에대한처벌이강화필요 공공기관에서젂문인력이부족하고교육을희망 10
11 ISMS 인증
12
통제분야통제목적통제사항통제내용 7. 물리적보안 7.1 물리적보호구역 7.1.3 보호구역내작업 7.3 사무실보안 7.3.2 공용업무홖경보안 8.1.3 보안로그기능 8.1 분석및설계보안관리 8.1.4 접귺권한기능 유지보수등주요설비및시스템이위치한보호구역내에서의작업젃차를수립하고작업에대한기록을주기적으로검토하여야한다. 사무실에서공용으로사용하는사무처리기기, 문서고, 공용 PC, 파일서버등을통해중요정보유출이발생하지않도록보호대책을마렦하여야한다. 정보시스템설계시사용자의인증, 권한변경, 중요정보이용및유출등에대한감사증적을확보할수있도록하여야한다. 정보시스템설계시업무의목적및중요도에따라접귺권한을부여할수있도록하여야한다. 8. 시스템개발보안 8.2 구현및이관보관 8.2.2 개발과운영홖경분리 8.3 외주개발보안 8.3.1 외주개발보안 개발및시험시스템은운영시스템에대한비인가접근및변경의위험을감소하기위해원칙적으로분리하여야한다. 정보시스템개발을외주위탁하는경우분석및설계단계에서구현및이관까지의준수해야할보안요구사항을계약서에명시하고이행여부를관리 감독하여야한다. 13
통제분야통제목적통제사항통제내용 10. 접귺통제 10.1 접귺통제정책 10.1.1 접귺통제정책수립 10.2 접귺권한관리 10.4 접귺통제영역 10.2.1 사용자등록및권한부여 10.2.2 관리자및특수권한관리 10.2.3 접귺권한검토 10.4.1 네트워크접귺 10.4.2 서버접귺 10.4.3 응용프로그램접귺 10.4.4 데이터베이스접귺 10.4.5 모바일기기접귺 10.4.6 인터넷접속 14 비인가자의접근을통제할수있도록접근통제영역및범위, 접근통제규칙, 방법등을포함하여접귺통제정책을수립하여야한다. 정보시스템및중요정보에대한접근을통제하기위하여공식적인사용자등록및해지젃차를수립하고업무필요성에따라사용자접귺권한을최소한으로부여하여야한다. 정보시스템및중요정보관리및특수목적을위해부여한계정 및권한을식별하고별도통제하여야한다. 정보시스템및중요정보에대한접근을관리하기위하여접근권한부여, 이용 ( 장기갂미사용 ), 변경 ( 퇴직및휴직, 직무변경, 부서변경 ) 의적정성여부를정기적으로점검하여야한다. 네트워크에대한비인가접근을통제하기위해필요한네트워크접귺통제리스트, 네트워크식별자등에대한관리젃차를수립하고서비스, 사용자그룹, 정보자산의중요도에따라내외부네트워크를분리하여야한다. 서버별로접근이허용되는사용자, 접근제한방식, 안젂한접귺수단등을정의하여적용하여야한다. 사용자의업무또는직무에따라응용프로그램접귺권한을제한하고불필요한중요정보노출을최소화해야한다. 데이터베이스접귺을허용하는응용프로그램및사용자직무를명확하게정의하고응용프로그램및직무별접근통제정책을수립하여야한다. 또한중요정보를저장하고있는데이터베이스의경우사용자접근내역을기록하고접근의타당성을정기적으로검토하여야한다. 모바일기기를업무목적으로내 외부네트워크에연결하여홗용하는경우중요정보유출및침해사고예방을위해기기인증및승인, 접근범위, 기기보앆설정, 오남용모니터링등의접귺통제대책을수립하여야한다. 인사정보, 영업비밀, 산업기밀, 개인정보등중요정보를대량으로취급 운영하는주요직무자의경우인터넷접속또는서비스 (P2P, 웹메일, 웹하드, 메싞저등 ) 를제한하고인터넷접속은침입차단시스템을통해통제하여야한다. 필요시침입탐지시스템등을통해인터넷접속내역을모니터링하여야한다.
통제분야통제목적통제사항통제내용 11. 운영보안 11.1 운영젃차및변경관리 11.2 시스템및서비스운영보안 11.4 매체보안 11.1.1 운영젃차수립 11.1.2 변경관리 11.2.5 원격운영관리 11.2.6 스마트워크보안 11.2.7 무선네트워크보안 11.4.1 정보시스템저장매체관리 11.4.2 휴대용저장매체관리 11.6 로그및모니터링 11.6.3 접귺및사용모니터링 15 정보시스템동작, 문제발생시재동작및복구, 오류및예외사항처리등시스템운영을위한젃차를수립하여야한다. 정보시스템관련자산의모든변경내역을관리할수있도록젃차를수립하고변경젂시스템의젂반적인성능및보앆에미치는영향을분석하여야한다. 내부네트워크를통하여정보시스템을관리하는경우특정단말에서만접귺을할수있도록제한하고, 원격지에서인터넷등외부네트워크를통하여정보시스템을관리하는것은원칙적으로금지하고부득이한사유로인해허용하는경우에는책임자승인, 접속단말및사용자인증, 구갂암호화, 접속단말보앆 ( 백싞, 패치등 ) 등의보호대책을수립하여야한다. 잧택귺무, 원격협업등과같은원격업무수행시이에대한관리적 기술적보호대책을수립하고이행하여야한다. 무선랜등을통해무선인터넷을사용하는경우무선네트워크구갂에대한보앆을강화하기위해사용자인증, 송수싞데이터암호화등의보호대책을수립하여야한다. 정보시스템폐기또는재사용시중요정보를담고있는하드디스크, 스토리지, 테잎등의저장매체폐기및잧사용젃차를수립하고매체에기록된중요정보는복구불가능하도록완젂히삭제하여야한다. 조직의중요정보유출을예방하기위해외장하드, USB, CD 등휴대용저장매체취급, 보관, 폐기, 재사용에대한젃차를수립하여야한다. 또한매체를통한악성코드감염방지대책을마련하여야한다. 중요정보, 정보시스템, 응용프로그램, 네트워크장비에대한사용자접귺이업무상허용된범위에있는지주기적으로확인하여야한다.
16 IT 보안현황
고용시고용상태퇴직 / 직무변경 적격심사 / 싞원검증 정보보호인식제고홗동 비밀유지서약서징구 비밀유지서약서및정보보호서약서징구 정보보호교육실시및결과유지 정보접귺권한변경및폐기 계약서상정보보호의무명시 정보보호위반시징계젃차수립및적용 자산의반납 참조 : 의료기관을위한정보보호앆내서 ( 2016.06 ) 17
번호정보보호대책설명 1 홖자의싞상기록접수증파기홖자싞상정보의외부누출방지 2 병원내컴퓨터사용자별비밀번호부여 (8 자리이상 ) 직원및제 3 자에의한홖자정보누출시책임소재파악용 3 종이차트함의이중잠금장치사용의료정보에대한최소한의보앆조치수 4 폐기처방젂, 파쇄기로파젃처방젂의홖자개인정보누출방지 5 개인정보내부관리계획수립 5인이상의료기관대상 홖자개인정보처리방침수립 개인정보책임자 담당자 취급자지정 6 의무기록보관기한준수 ( 짂료기록부 10 년, 홖자명부 5 년 ) 매년의무기록심의위원회에서짂료정보보존기갂연장및파기여부결정필요시 1 회에한하여보존기갂연장가능 ( 의료법시행규칙 2015.5.29 개정, 제 15 조 1 항참조 ) 7 개인정보보호법원내직원교육직원교체등으로인한보앆강화 8 개인정보수집 보관 이용시동의 홍보물, 문자메시지발송등을위한정보이용시수집 과이용에대한별도동의필요 9 개인영상정보처리기준마렦및설치기준준수 홖자대기실, 접수대, 휴게실등의 CCTV( 녹음불가 ) 비공개된장소설치시앆내판설치 10 직원채용 고용 퇴직시고용관렦서류관리 채용이력서반홖, 고용계약서 2중보관, 퇴직직원관련 서류 3년후파기 18
싞규인력채용시싞원검증, 업무능력, 교육정도, 경력등에대한적격심사수행? 직원및외부인원계약시비밀유지서약서와정보보호서약서징구? 모든직원및관렦계약직이정보보호정책과젃차에따라충실하게이행? 모든직원및관렦계약직은정보보호및개인정보보호교육을수강? 정보보호위반자에대한징계젃차가졲잧? 고용종료및직무변경시자산반납, 접귺권한제거가공식적인젃차에의해수행? 19
관렦귺거 ISO 27001/27002 ISO 27799 개인정보보호법제28조 ( 개인정보취급자에대한감독 ) 개인정보의앆젂성확보조치기준제3조 ( 내부관리계획의수립 시행 ) 정보통싞망법제29조 ( 개인정보의보호조치 ) 정보통싞망법시행령제15조 ( 개인정보의보호조치 ) 개인정보의기술적 관리적보호조치기준제3조 ( 내부관리계획의수립 시행 ) 관렦문서 경력증명서 의료젂문자격증 ( 의사, 갂호사등 ) 정보보호관련자격증 관할경찰관서 ( 지방경찰청, 경찰서 ) 등싞원조회관련서류 근로계약서 인적보안젃차 입사및퇴직시프로세스 보안서약서 ( 퇴직자포함 ) 비밀유지서약서 ( 외부인력포함 ) 사직서 ( 퇴직자체크항목 ) 퇴직 / 퇴사자확인서 정보보호정책및규정 연갂정보보호예산검토및승인내역 보안교육출석표 정보보안교육계획서 ( 품의서포함 ) 교육설문지 교육결과서및평가보고서 정보보앆위규자처리규정 정보보앆위규자처리규정공지사항 인사규정에서의징계젃차에관한조항 20
누가? 어떤시스템에? 어떻게? 직무분류및권한정의 정보자산등급분류 사용자등록 / 해지 직무특성 System 접귺권한설정 귺무영역 Application 사용자인증 접귺차단대책 21
프로젝트추짂계획 프로젝트실행계획 싞규개발 누구에게언제까지 제한된인력 제한된자원 운영 / 유지보수 어떤권한을부여할것인가? 프로젝트사업관리 인력투입 보안서약서 업무수행 보안관리업무 인원보안 정보시스템보안 젂자정보보안 정보자산보안관리 철수 보안교육보안점검 22
정확한투입인력확인 투입인력의잦은교체 정기 / 부정기방문증가 방문자본인확인 일정준수 수행업무내용? 결과보고서? ERP 시스템 원격접속 파일공유 차단 차단 인터넷 / P2P 외부메일 그룹웨어 개발서버 제한적접속 웹하드 23
실시갂감시 외부반출금지 PC 자산관리 보안이벤트이력 Log 계정관리비밀번호설정백싞업데이트화면보호기설정 비인가장비반입금지 업무외프로그램실행차단 보안문서관리 출입자기록 보안서약서징구 단말기사용자기록 자료외부유출및회수기록 사업종료시확약서징구 보안교육관리 보안교육실시 교육이력및참석귺거유지 이용자유의사항교육 침해방지사항교육 사업단계별각종교육 24
연도 사건업체 유출건수 ( 만건 ) 사고원인 2016 인터파크 1,030 외부해킹 2014 KB국민은행 5,300 외부용역직원 2014 NH농협카드 2,500 외부용역직원 2014 롯데카드 2,600 외부용역직원 2014 KT 1,170 2014 토니모리 50 외부해킹 2014 스킨푸드 55 외부해킹 2014 천잧교육 350 외부해킹 2014 BBQ 51 외부해킹 2014 티켓몬스터 113 외부해킹 2013 메리츠화잧 16 내부직원 2013 한국시티은행 7.12 내부직원 2012 농협은행 2,667 외부용역직원 2012 KT 873 2012 EBS 422 외부해킹 25
보안팀 / 프로젝트팀이관리여력이있나? 인력들을어떻게 / 얼마나통제할것인가? 업무수행에따른증적 Log 수집 / 관리방안은? 업무단계별수행내용에대해잘알고있나? 법규, 지침이변경되면? 26
통합 IT 외주관리플랫폼 27
솔루션측면 정보보호업무측면 정보보호법령 / 지침 보안점검및인증 외주인력에의한보안사고발생증가 기능별정보보호솔루션도입 솔루션의일부기능만사용 솔루션관리홖경개별구성 관리솔루션수의증가업무담당자측면 외주인력의가변성증가 내 / 외부직원의정책적분리필요 기술적젂문성 / 다양성증가 장애시책임규명의어려움 사업관리업무과다 J-TOPS ( 통합 IT 외주관리플랫폼 ) 외주관리젂용플랫폼 단일 Agent 적용 통합관리서비스구성 사업관리업무지원 다양한증적 Log 검색 장애책임소잧명확 28
29
3 작업수행 2 작업등록 1 작업신청 4 모니터링 30
31
32
Agent MGMT Server Project Manager Document Manager Log Manager Video Manager Log Manager Video Manager Application Controller Comm. Manager Work Manager Network Controller Device Controller Policy Manager Account Manager 33
J-TOPS ( 통합 IT 외주관리플랫폼 ) DLP DRM 개인정보데이터식별 매체제어 사업관리 문서암호화문서중앙화 인력관리 작업관리 Server Agent 설치 Server 접귺제어 보안관리 인터넷차단 PC 패치관리 Virus 침투방지 SAC NAC 백싞 34
정보보호수행역량강화 손쉬운보안점검제출자료생성 One Agent 편의성 증적 Log 수집 / 통계 Data 유출방지 내부인원보안 접귺제어 외주인력보안 35
J-TOPS 적용사례 36
상주외주인력이있는경우작업자부서별로그룹정책을배정해작업을통제하고, 별도의정기방문자들을위해공유단말에정기방문자정책을배정해관리합니다. 본사 ( 울산 ) 보안정책제어 - USB 차단 - 서버접귺제어 - 작업자관리 - 작업관리 - 모니터링 J-TOPS Server 정기방문자 정책 정기방문자 ( 공유단말 ) Agent Server Farm ERP Server L4 Switch ERP 정책 Infra 정책 잧고 DB ERP 개발 ( 상주 ) Agent Infra 운영 ( 상주 ) Agent 37
업무의특성상상호분리해야하는이질적인업무인경우는유형별로 J-TOPS 를각각설치 해모든설정정보와접귺정보자체를분리운영하여보안성을향상시킬수있습니다. 본사 ( 나주 ) 원격지원센터 ( 서울 #1 ) 보안정책제어 J-TOPS Server #1 금융분야 Agent - USB 차단 - 서버접귺제어보안 - 작업자정책제어관리 - 작업관리 - USB - 모니터링차단 - 서버접귺제어 - 작업자관리 - 작업관리 - 모니터링 J-TOPS Server #2 그룹정책접귺허용물류분야그룹정책 원격지원센터 ( 서울 #2 ) Agent Server Farm L4 Switch 금융서버 접귺허용 물류 DB 38
정보보안의중요도가극히높은일부기관의경우내부인증을위한별도의과정이추가적용 되어보안토큰을통해기관의계정관리서버에인증을받아 Agent 의인증을수행합니다. 본사 ( 서울 ) 보안정책제어 - USB 차단 - 서버접귺제어 - 작업자관리 - 작업관리 - 모니터링 J-TOPS Server 교육장 그룹정책 계정인증 실습교육장 Agent 보안토큰 Server Farm Account Server ERP Server 접귺허용 교육자료 DB 39
계정관리서버에서변경사항이있는경우 J-TOPS 의외부 Open API 를홗용해최싞정보를변 경하고, 이를홗용해상주인력의입사자 / 퇴사자의계정관리를수행합니다. 본사 ( 서울 ) 보안정책제어 - USB 차단 - 서버접귺제어 - 작업자관리 - 작업관리 - 모니터링 J-TOPS Server 물류개발 그룹정책 물류개발 ( 상주인력 ) Agent Server Farm 계정변경 Account Server ERP Server 접귺허용 고객 DB 40
설계도면등의문서보안을위해정규직원들에게적용하고, TFS 에등록되어있는 PC 의경 우에만 PC 방화벽을 Open 하도록설정하여정보보안통제홗동을강화합니다. 본사 ( 판교 ) 보안정책제어 J-TOPS Server - USB 차단 - 서버접귺제어 - 작업자관리 - 작업관리 - 모니터링 Server Farm TFS 제품설계팀그룹정책 L4 Switch 설계 DB PC 방화벽 Open 제품설계팀 잧무팀 Agent 41
42 J-TOPS 상세
Log Manager - 작업 Log 수집및자동젂송 - 반출 Log 수집 / 보관 - 보관 Log 일괄젂송 Video Manager - 동영상수집설정적용 - 동영상자동수집 - 실시갂젂송 Comm. Manager - MGMT Server 와통싞연결 - Login 접속 / 정책수싞 - Text 및동영상 Log 젂송 Network Controller - Shadow Network 설정 - Internet / Server 접귺통제 - Media 접귺통제 - Share Disk 통제 Disk Controller - Disk Driver 제어 - USB 차단 - DVD / CD-ROM 차단 - 공유폴더차단 Application Controller - 실행 Application 수집 - Application 차단 - Command 차단 - PC System Info 수집 43
Project Manager - 사업관리 - 작업자보안관리 - 단계별문서관리 Document Manager - 보안서약서관리 - 보안보고서관리 - 감사보고자료생성 Log Manager - Log 저장 - Log 유형별검색 - 보고서용데이터생성 Video Manager - 동영상수집조건설정 - 수싞동영상저장 - 동영상검색및다운로드 Policy Manager - Internet / Server 접귺제어 - Media / Device 통제정책 - Application 통제정책 Work Manager - 작업관리 - 모니터링 / 차단 - 작업 Log 검색 / 통계 Account Manager - 관리자권한별등록 - 작업자등록 - 부서 / 권한관리 44
인력투입 업무배정 보안관리 보안교육보안점검보안보고서 보안서약 업무수행 정책설정 Monitoring 사업종료 Internet/Server 접귺통제 Media / Device 통제정책 Application 통제정책 Dashboard 수행 / 차단이력 Reporting 정보시스템관리철수인력관리산출물관리 45 출퇴귺이력투입 M/M 산정정보시스템등록대장휴대용저장매체등록대장
46
47
48
49
50
51
52
53
정보보호수행역량강화 손쉬운보안점검제출자료생성 One Agent 편의성 증적 Log 수집 / 통계 Data 유출방지 내부인원보안 접귺제어 외주인력보안 54
GS 인증 ( 1 등급 ) J-TOPS v2.0 ( 2017. 01 ) 보안시스템, 이를위한단말기및보안방법 ( J-TOPS 플랫폼기반특허 ) 데이터보안장치, 이를구비하는단말기및데이터보안 인증시스템및방법 55
J-TOPS 대표구축사례 지방이젂으로인한긴급대응체계구축필요 원격지 ( 서울 ) 단말을관리센터 ( 나주 ) 에서모니터링 SLA 문제와비용증가문제동시해결 한국광물자원공사 외주인력관리를위한지원시스템구축 정기 / 비정기방문자관리시스템구축 원격지 ( 서울 ) 단말을본사 ( 원주 ) 에서모니터링 내부망작업에대한보앆관리체계강화필요 관제실상시모니터링체계구축 IT 외주관리체계확립 아웃소싱운영에대한보앆관리강화필요 PM 에의한자체관리와보앆팀상시감사체계확보 제 3 협력업체관리강화및보앆의식강화 J-TOPS 레퍼런스 수서 56