개인정보수탁업체보안진단서비스 개인정보수탁업체보안진단서비스소개자료 AhnLab, Inc 컨설팅문의 031-722-7807 byoungsu.ha@ahnlab.com
개요 개인정보보호법이슈 주민등록처리제한, 과징금, 처벌대상확대등개인정보보호에대한법적보호가강화되는추세, 개인정보보유社에게개인정보관리에대한리스크는커져가고있는실정입니다. 개인정보위탁자는개인정보처리대행업체에대한감독과책임을가지고있습니다. 제 26 조 ( 업무위탁에따른개인정보의처리제한 ) 4 위탁자는업무위탁으로인하여정보주체의개인정보가분실 도난 유출 변조또는훼손되지아니하도록수탁자를교육하고, 처리현황점검등대통령령으로정하는바에따라수탁자가개인정보를안전하게처리하는지를감독하여야한다. 6 수탁자가위탁받은업무와관련하여개인정보를처리하는과정에서이법을위반하여발생한손해배상책임에대하여는수탁자를개인정보처리자의소속직원으로본다. 제 28 조 ( 개인정보취급자에대한감독 ) 1 개인정보처리자는개인정보를처리함에있어서개인정보가안전하게관리될수있도록임직원, 파견근로자, 시간제근로자등개인정보처리자의지휘 감독을받아개인정보를처리하는자 ( 이하 " 개인정보취급자 " 라한다 ) 에대하여적절한관리 감독을행하여야한다. 2 개인정보처리자는개인정보의적정한취급을보장하기위하여개인정보취급자에게정기적으로필요한교육을실시하여야한다 5
개요 개인정보수탁업체관련이슈 개안정보수탁업체관리 감독부실문제로개인정보유출사고가발생하여, 행자부주관으로개인정보수탁업체대상으로현장점검을확대할예정입니다. 現대부분의개인정보위탁사의실정을고려할때, 외부전문기관이개인정보처리대행업체보안진단서비스를수행하는것이객관적인진단가능합니다. 개인정보수탁업체과실로정보유출사고발생 행자부, 개인정보수탁업체관리 감독강화 개인정보위탁업체, 수탁업체관리ㆍ감독부실 개인정보위탁사, 전문업체위탁비율 84% 에이름 위탁업체한곳이관리하는개인정보보유업체수는평균 788곳 개인정보보호법재정 ( 12.9월) 이후법령위반으로행자로부터적발된 494건중 64% 가수탁자들의시스템운영문제에서비롯됨 행자부에신고된유출사고 56건중 76.8% 가수탁자책임형으로분류 < 출처-데일리시큐, 15.1.2 > 개인정보유출징벌적손해배상, 통신사ㆍ포털ㆍ쇼핑몰확대도입 < 출처-디지털타임스, 15.4.30 > 개인정보처리대행업체 94%, 정보보호조처미흡 행자부가 14년 7월부터 15년 3월까지 51개 IT 수탁업체의개인정보처리시스템을점검한결과 94% 인 48곳에서안정성확보조처가미흡하거나위수탁계약에미비점등에문제점이발견 < 출처-연합뉴스, 15.4.2> 개인정보처리대행업체현장점검확대 국내위탁업체 6,000여건중에매출액과수탁규모를기준으로 2,000여곳을회사를선별해실태개선우선추진 < 출처-머니투에이, 15.4.2> 현재위탁업체들의다수수탁사에대해 적절한교육및관리ㆍ감독하고하지못하 고있는것이현실 위탁사의비용 - 효과성에문제로개인정보 관리이슈가우선시되고있지않음 위탁사의전문수행인력부족으로적절한 수행절차및점검방식에대한정립도현재 미미한실정 관리ㆍ감독방안에있어수행절차와점검 방식적용에관하여전문인력의수행이필요 하고외부전문기관수행이보다객관적임 < 출처 - 금융회사개인신용정보수탁에대한관리ㆍ감독현황및개선방향에대한연구, 아홍진, 임홍인, 보안공학연구논문지 Vol 11> 現국내개인정보위탁사와수탁사의실정을고려할때, 외부전문기관이체계적이고객관적인보안진단필요 3
서비스소개 개인정보수탁업체보안진단서비스 안랩의분야별전문가들이고객사의개인정보수탁업체를직접방문하여개인정보보호법의관리적ㆍ기술적ㆍ물리적조치현황을점검하고상세한보고서및개선방안을제시합니다. 고객사개인정보수탁업체 A 서비스의뢰 고객사개인정보수탁업체 B 고객사 개인정보수탁업체보안진단최종보고서및가이드제출 안랩전문컨설팅인력이수탁업체현장반문실사수행 고객사개인정보수탁업체 C 진단계획진단수행진단보고 추진업무 진단세부계획수립 진단점검항목협의 진단대상업체현장실사 진단대상업체보안성평가 최종보고서작성및제출 산출물 보안진단수행계획서 점검결과요약 최종보고서
서비스소개 기대효과 개인정보수탁업체의실질적인보안위협을파악하고보안수준을향상시킴으로써고객사의컴플라이언스이슈를해소하고개인정보유출을사전에예방하여비즈니스연속성및대외이미지제고에기여합니다. 5
서비스소개 서비스차별화포인트 국내최고의악성코드분석서비스를제공하며, 자체분야별전문가들이현장실사및인터뷰를진행하여실질적인위협보안을파악하여해결책을제시하여드립니다.
서비스소개 주요점검내용 개인정보라이프사이클을중심으로개인정보관련컴플라이언스의관리적ㆍ기술적안전성요구를충족할수있도록상세한항목으로보안점검및진단을수행합니다. 영역개인정보보호법률준거성점검시스템취약점점검취급자PC내개인정보점검취급자PC내악성코드점검정보유출위험분석 개인정보보호법일반 39 개항목 안전성확보조치기준 28 개항목 점검내용및통제항목 개인정보처리시스템 ( 윈도우즈계열서버 11 개항목, 유닉스계열서버 10 개항목 ) 개인정보취급자 PC ( 윈도우즈 OS 기반 12 개항목 ) 안랩개인정보검색전용툴사용 안랩악성코드의심파일수집전용툴사용 시스템구조상정보유출가능성분석 ( 시스템구조실사와탐문점검 ) 7
보고서주요내역 < 보안평가결과 > < 보안위협 > < 보안이슈현황 > < 주요이슈및개선방안 > 8
보고서주요내역 9
수탁업체보안진단수행인력프로필 성명이장우소속 안랩직책이사연령 50 세 학력한양대학교산업공학전공 해당분야근무경력 자격증 22 년 5 개월 ISO27001 심사원, CPPG, 정보처리기사, PIA 투입분야참여기간참여도기술등급특급기술자 프로젝트수행경력 ( 최근부터 ) 사업명기관 / 회사명수행기간수행업무비고 GS 홈쇼핑센터보안점검 GS 홈쇼핑 2015.04 ~ 2015.05 VP 정보보호수준평가 VP 2014.9.24~10.8 2014.12.1~12.12 알라딘안전진단알라딘 2013.1.21~1.25 보안진단 국민카드전문가서비스 국민카드 2012.10.9~11.2 한국 GM 개인정보보호자문 한국 GM 2012 농협보안강화프로젝트 농협 2011 중국 Emoney사컨설팅보안프로젝트 중국 Emoney사 2010 GS 홈쇼핑보안프로젝트 GS 홈쇼핑 2010 LG 유플러스보안프로젝트 LG 유플러스 2010 대법원보안프로젝트 대법원 2010 두산그룹보안프로젝트 두산그룹 2009 보건복지가족부산하기관보안프로젝트 보건복지가족부 2008 10 10
수탁업체보안진단수행인력프로필 성명채지웅소속 안랩직책 학력 책임컨설턴트 순천향대학교정보보호전공해당분야근무경력 8 년 8 개월 성균관대학교정보통신대학원정보보호전공자격증 연령 35 세 CISA, CISSP, ISO27001 선임심사원, 정보처리기사 투입분야참여기간참여도기술등급고급기술자 프로젝트수행경력 ( 최근부터 ) 사업명기관 / 회사명수행기간수행업무비고 GS 홈쇼핑센터진단 GS 홈쇼핑 2015.04 ~ 2015.05 취약점진단 SC 은행웹어플리케이션취약점점검 한국스탠다드차타드금융지주 2015.02 ~ 2015.03 PM, 취약점진단 취약점진단자동화툴개발안랩 2015.01 ~ 2015.04 기능설계, 스크립트개발 메가센터취약점진단국방부 2014.12 ~ 2015.01 취약점진단 안전행정부기반시설 KISA 2014.04 ~ 2014.08 취약점진단 금융위취약점진단하나캐피탈 2014.04 ~ 2014.04 취약점진단 한국거래소취약점진단방법론개선한국거래소 2014.01 ~ 2014.02 PM, 취약점진단 우정사업본부개인정보영향평가및기반시설취약점진단우정사업본부 2013.08 ~ 2013.11 취약점진단 PL - PT. CREON 취약점진단및모의해킹 PT.CREON 2013.03 ~ 2013.06 PM, 취약점진단 - 11 11
수탁업체보안진단수행인력프로필 프로젝트수행경력 ( 최근부터 ) 사업명기관 / 회사명수행기간수행업무비고 나무인터넷안전진단나무인터넷 2013.01 ~ 2013.01 안전진단 - 이지원안전진단이지원 2013.01 ~ 2013.01 안전진단 - 농협중앙회보안컨설팅프로젝트농협중앙회 2012.06 ~ 2012.12 취약점진단, MP 작성 - 네오위즈게임즈보안컨설팅네오위즈게임즈 2012.02. ~ 2012.04. 취약점진단 PL - 농협중앙회보안컨설팅농협중앙회 2011.06. ~ 2011.12. 취약점진단 PL - 국민은행취약점진단국민은행 2011.04. ~ 2011.05. 취약점진단 - 헌법재판소취약점진단헌법재판소 2011.03. ~ 2011.04. 취약점진단 - 삼양사보안컨설팅삼양데이터시스템 2011.02. ~ 2011.02. 취약점진단 - 제주시청 G-ISMS 행정안전부 2010.12. ~ 2011.01. 취약점진단 - 국민연금기반시설취약점진단국민연금공단 2010.11. ~ 2010.11. 취약점진단 - CJ 인터넷안전진단 CJ 인터넷 2010.09. ~ 2010.09. 안전진단 - DHC 코리아모의해킹 DHC 코리아 2010.09. ~ 2010.09. PM - 행정정보공동이용시스템취약점진단 행정정보공유추진단 2010.08. ~ 2010.10. 취약점진단 - 12 12
수탁업체보안진단수행인력프로필 성명하병수소속 안랩직책 수석컨설턴트 연령 41 세 학력 성균관대학교산업공학전공해당분야근무경력 16 년 8 개월 성균관대학교정보통신대학원정보보호전공자격증 정보관리기술사, 정보시스템감리사, CISSP,PIA, 정보보안기사, PIMS 인증심사원 투입분야참여기간참여도기술등급기술사 프로젝트수행경력 ( 최근부터 ) 사업명기관 / 회사명수행기간수행업무비고 Ahnlab ISO27001,ISMS 인증컨설팅 Ahnlab 2015.01 ~ 2015.03 ISMS 인증 /ISO27001 인증컨설팅 실시간바이러스대응기술연구프로젝트 국방과학연구소 2011.10 ~ 2014.12 바이러스대응기술연구개발 PM ( 데이터분석, 리스크모델도출 ) 한국스마트카드정보보호프레임웍구축 보안강화를위한해양경찰청네트워크분리사업보안컨설팅 한국스마트카드 2010.12 ~ 2011.01 위험평가 / 위험분석, 기술취약점진단 해양경찰청 2010.10 ~ 2010.12.10 Master Plan 수립, 기술취약점진단 ERP 구축프로젝트 Ahnlab 2009.09 ~ 2010.04.16 ERP 개발 ( 데이터분석 ) e-hr시스템구축프로젝트 Ahnlab 2007.07 ~ 2007.12 E-HR 개발 ( 데이터분석 ) Ahnlab 어플리케이션보안강화프로젝트 Ahnlab 2006.02 ~ 2006.06 어플리케이션보안취약성점검 Ahnlab 인프라개발및운영보안 Ahnlab 2002.04~2010.10 인프라 (ERP, 그룹웨어, EIS, KMS) 개발 - 정보시스템개발및운영보안 한국종합기술개발공사 2000.02~2002.04 정보시스템 ( 인사, 영업, 그룹웨어 ) 개발 동양계전 ERP 개발동양계전 1999.06~2000.02 물류시스템개발 ( 주 ) 대성전기 ERP 개발대성전기 1998.07~1999.05 구매시스템 / 관세시스템개발 - 13 13
D E S I G N Y O U R S E C U R I T Y