, 제도 추진현황및개선방향 장상수 한국정보보호진흥원기반보호팀장
목차 I 제도추진현황및개선방향 II 제도추진현황및개선방향 III 맺음말
I 제도추진현황및개선방향 제도개요 법적근거 기업의정보보호수준제고를위해국내보안관리모델을보급하여관리, 기술, 물리적보호조치를종합한체계적인방법으로보안관리체계를수립할수있도록함 - 정보통신망의안정성및정보의신뢰성확보인증체계 : 인증기관 (KISA), 인증위원회 (10 명 ), 인증심사원 (111 명 ) 인증심사기준 : 관리과정 (14 개 ), 문서화 (3 개 ), 정보보호대책 (120 개 ) 대상자 : 통신, 금융, 교육, 의료등정보보호관리체계를수립운영하는모는조직인증유효기간 : 3 년 정보통신망이용촉진및정보보호등에관한법률제 47 조 - 동법시행령및시행규칙정보보호관리체계인증심사기준정통부고시 (2002.5) 정보보호관리체계인증업무지침 (2002.5)
정보보호관리체계란? 조직의주요정보자산을보호하기위해정보보호관리절차와과정을체계적으로수립하여지속적으로관리 운영하기위한종합적인체계 ISMS : Information Security Management System 산발적대응 운영적통제 조직적통제 관리적통제 기술적통제 < 정보보호관리체계 > 체계적대응 < 법적정의 : 정보통신망이용촉진및정보보호등에관한법률제 47 조 > - 정보통신망의안정성및정보의신뢰성을확보하기위하여수립, 운영하고있는 기술적, 물리적보호조치를포함한종합적관리체계
ISMS 추진현황 인증서발급현황 (2006 년 12 월현재 ) 02 03 04 05 06 합계 1 6 18 9 4 38 2002년 : 에이쓰리시큐리티컨설팅 2003년 : 농협중앙회, SK텔레콤, STG시큐리티, 인젠, 인포섹, 시큐어소프트 2004년 : KTF(K-merce쇼핑, 보안관제체계 ), KT IDC(12개사업장 ), 법원행정처, 한국과학기술정보연구원 2005년 : 중소기업은행, KTF( 보안시스템운영 ), 시큐아이닷컴, 대한항공, 한진정보통신, 넷시큐어테크놀러지, 상호저축은행중앙회, 한국통신인터넷기술, 안철수연구소 2006년 : 다음커뮤니케이션, 이니텍, 정보통신부우정사업본부, 씨아이씨코리아 2007년 ( 예상 ) : 수행기관 9개, NHN, 의료분야, 원격대학등
ISMS 추진현황 인증서발급현황분석 현재, 통신사업자, 정보보호업체, IDC 등에인증서발급이집중되어있음
ISMS 추진현황 인증사례로바라본인증효과 업체 N사 ( 은행 ) K사 (IDC) K사 ( 통신 ) 정보보호전문업체 H그룹 인증효과 을계기로정보보호조직구성의발판마련 모든임직원의정보보호마인드의확연한변화및정보보호 활동을자체적으로수행할수있는자생력확보 고객의신뢰성제고및기업이미지제고 정보자산에대한체계적인보안관리로보안사고최소화 정보보호수준향상및정보보호관리절차를정착시킬수있는환경조성 ISMS 컨설팅방법론검증으로고객으로부터의신뢰성향상 ISMS 수립시작부터마무리까지 TFT 구성을통한자체수립통해 자체보안관리체계수립방법습득 기업이미지제고를통한매출증대및아웃소싱업체에대한인증필요성 침해사고시최고경영진의책임에대한문제고려 ( 배상금등 )
ISMS 추진현황 분야별 ISMS 인식조사결과 (1/2) 설문대상 - 의료기관 : 서울아산병원등 29 개주요병원및의료기관 - 중소기업 : 17 개중소기업 - 원격대학 : 서울디지털대학등 10 개원격대학 의료기관중소기업 원격대학 48% 83% 6% 88% 100% 48% 28% 67% 84% 53% 62% 28% 6% 33% ISMS 인식수준 ISMS 수립필요성공감 제도인식수준 기대효과있음 정보유출방지수준
ISMS 추진현황 분야별 ISMS 인식조사결과 (2/2) 추진이어려운이유 31% 29% 9% 33% 28% 12% 21% 35% 33% 12% 10% 의료기관중소기업 원격대학 8% 18% 12% 10% 경영층의인식부족 ISMS 구축컨설팅고비용 제도정보부족 인증수수료부담 투자대비효과미흡 분석결과 - 산업기밀정보, 개인정보유출방지를위한수단으로낮다고판단 - 제도에대한인식수준은대체로낮은반면 ISMS 수립의필요성은높게인식 - 인증추진의어려움으로는경영층의인식부족, 제도정보부족, ISMS 구축사전컨설팅고비용, 자체적으로수립의어려움등으로나타남
ISMS 추진현황 인증심사원현황 ( 총 111 명 ) 단위 : 명 KISA 2006 년선임심사원 3 명, 심사원 5 명신규위촉 - 선임심사원자격요건 : 인증심사 3 회이상심사팀장수행, 총심사일수 15 일이상 - 심사원자격요건 : 인증심사 4 회이상참여, 총심사일수 20 일이상 2007 년신규심사원보모집계획 ( 07.2 월예정 ) - 심사원보자격요건 회계, 전산감리 1. 인증심사원교육과정수료및시험합격 2. 4 년제대학졸업및동등학력 (2 년제대학 + 2 년실무경력 ) 3. 정보기술실무경력 5 년이상, 최소 2 년정보보호실무경력 외부심사원심사팀장수행기회확대 금융대학공공기관 IT 업체합계 선임심사원 6 6 심사원 1 18 0 3 0 5 27 심사원보 16 8 6 2 1 28 61 전문심사원 6 1 1 3 7 17
ISMS 추진현황 국내 ISMS 표준화현황 RAISS Forum 표준채택 ( 06.11) - 2004 년 4 월발족되었으며, 정보보호표준의개발, 채택, 적용에있어서아시아각국가의경험과지식을배우고공유하는장을마련하는것이목적임 - ITU-T, ISO 국제보안관리표준화전문가로구성 - RAISS(Regional Asia Information Security Standards) 모델의국내 TTA 표준개정 ( 06.12) - 국내 TTA 표준제정 ( 02.12) 및표준활용도전체정보통신표준중에서 5 위권이내 ( 정보보호컨설팅방법론등으로활용 ISMS 국가간상호인정및국제표준화추진 - RAISS 포럼내에서아시아권 7 개국협의중 - ISMS 에대한분야별 B/P 에대한 ITU-T, ISO 등국제표준화추진예정
문제점및개선방향 개인정보보호강화 현행 개인정보보호점검체계미흡 제도실효성제고 문제점 개인정보유출사고등에노출 개선방안 개인정보보호관리체계스킴개발 (ISMS for Privacy) ISMS 기준강화 현행 제도실효성제고 문제점 개선방안 - 신규 IT 서비스에대한점검항목없음 - 규모, 분야에관계없이적용 - 신규서비스업체에대한침해사고노출 - 분야별적용이어려움 - 신규서비스에대한보호대책개발 - 분야별보호대책개발
문제점및개선방향 (1/4) 사후관리강화 현행 - 인증취득기업에대한지원방안미흡 - 매년사후관리 사후관리 강화 문제점 - 침해사고시에인증에대한혜택이없음 - 취약점점검등실질적인점검필요 개선방안 - 침해사고시책임감면등방안마련 - 취약점점검등기술적점검강화 소규모업체지원 현행 높은수준의 ISMS 심사기준 제도 활성화 문제점 소규모기업등이 ISMS 구축어려움 개선방안 소규모에적합한 ISMS 기준개정검토및수립자동화도구개발
ISMS 추진현황 이필요로하는분야 산업기밀유출, 개인정보유출로인한정보보호의중요성이부각됨에따라산업기술, 고객정보등민감한정보를다루고있는분야 - 학사정보 : 일반대학및원격대학, 의료정보 : 주요병원및의료기관 - 거래정보 : 주요쇼핑몰및포털, 계좌정보 : 금융기관 - 산업기술정보보유기업등 * 정보유출시손해배상등에서최고경영진의책임부분에대한고려최소한의보호조치만을취하고있는대상자가보다높은수준의보호조치를하고자하는기업 국가또는민간기업에조달등입찰에참가하는기업 국가기관또는기업의정보시스템등주요정보를위탁관리운영을기업 IT 경영평가, 신용평가, 회계감사등외부로부터평가를받아야하는기업등
II 제도추진현황및개선방향 제도개요 정보통신망에대한침해사고예방목적대상자는관리적, 기술적, 물리적정보보호조치를이행이행여부를수행기관으로부터확인후정통부에결과제출대상자주요정보통신서비스제공자 : 전기통신사업법에의한전기통신사업자로서전국적으로정보통신망접속서비스를제공하는자집적정보통신시설사업자 : 타인의정보통신서비스제공을위해집적된정보통신시설을운영, 관리하는사업자정보통신서비스제공자 : 정보통신서비스부문매출액이 100 억원이상또는전년도말기준 3 개월간의일평균이용자가 100 만명이상인정보통신서비스제공자 법적근거 정보통신망이용촉진및정보보호등에관한법률제 45 조 ( 정보통신망의안정성확보등 ) 제 46 조 ( 정보보호 ) 정보통신망법시행규칙제 5 조의 2( 정보보호방법및절차등 ) 등정보보호조치및방법, 절차, 수수료에관한지침 ( 정통부고시 )
추진현황 정보통신망법개정 (1 월 ) : 정보보호제도도입하위법령개정 (7 월 ) : 정보보호방법및절차, 진단수수료, 필증교부, 결과제출등관련고시및해설서공포 (10 월 ) 05 년완료 ( 04.7.30 ~ 05.7.29) : 142 개업체수검완료 06 년시행 ( 05.7.30 ~ 06.7.29) 정보통신망법개정 ( 06. 3 월 ) : 수행기관확대 ( 06. 8) 자격요건 : 15 인이상기술인력, 정보보호컨설팅수행실적보유정보보호컨설팅전문업체 수행기관 (18 개사 ) 05 년완료 ( 05.7.30 ~ 06.7.29) : 160 개업체수검완료
06 년도신규지정수행기관 수행기관 (18 개 ) 1 씨에이에스 (CAS) 10 한국전산감리원 2 에이쓰리시큐리티컨설팅 11 안랩코코넛 3 안진회계법인 12 한국통신인터넷기술 4 넷시큐어테크놀러지 13 KT 5 안철수연구소 14 한국 IT 감리컨설팅 6 시큐아이닷컴 15 이니텍 7 STG 시큐리티 16 인젠시큐리티서비스 8 인포섹 17 인젠 9 한영회계법인 18 정보보호기술 신규수행기관지정업체는자료유출등보안관리체계수립필요 - 법개정이전에현재 KISA 을받도록하고있음
효과 제도효과 대상자의정보보호체계수립 (50% 증가 ) 정책및지침 : 55.9% -> 100% 보안패치 : 86.4% -> 100% 30% 80% 2004 년 ( 이전 ) 2005 년 ( 이후 )
06 년도결과 (1/2) 대상자 ISP, IDC, 쇼핑몰등총 160 개모두수검완료 ISP : 12 개 IDC : 24 개 VIDC : 45 개쇼핑몰등 : 79 개 160 개 2005년 2006년 45 개 79 개 면제업체 : 1 개 ( ) 05 년도대상자 : 142 개 142 개 12 개 13 개 24 개 24 개 39 개 66 개 전체 ISP IDC VIDC 쇼핑몰등 월별수검업체수 수검쏠림현상발생 : 6 월 7 월에집중 수행기관진단인력부족등발생 -> 일정단축, 서면검사위주등문제점발생 구분 1 월 2 월 3 월 4 월 5 월 6 월 7 월합계 합계 3 1 1 6 16 56 77 160
06 년도결과 (2/2) 결과보고서검토결과 '06 년결과보고서검토결과, 총 159 개업체중 57 개업체가미흡 양호 : 101 개업체서류보완 : 49 개업체현장확인 : 8 개업체 49 개 8 개 양호 서류보완 현장확인 102 개 미흡한업체에대해서는서류보완, 현장확인등을통해사실확인예정 - 결과보고서작성주체 ( 전문업체 ) 와보고서제출주체 ( 수검업체 ) 가달라후속조치어려움 주요미흡한내용 대상설비및시설선정, 검사대상설비선정의객관성결여 - 진단대상설비에 DNS 등주요서버, 라우터등네트워크장비, 정보보호시스템등주요설비누락 - 무작위샘플방식이나대상자와수행업체간에협의하여검사대상선정수행인력의수행기관소속여부불확실동일한수행업체가작성한업체별결과보고서의내용이대부분유사보안패치관리, 정기적백업등에대한이행기록등보호조치사항이행과관련한증빙자료미흡등
문제점및개선방향 (1/4) 주기 대상자편의성제고 현행 문제점 개선방안 매년 7 월 30 일부터익년 7 월 29 일까지 기업의회계연도와맞지않아매년특정시기쏠림현상반복 기업회계연도기간에맞춰주기조정 매년 1 월 1 일 12 월 31 일 기준강화 현행 제도실효성제고 문제점 개선방안 - 신규 IT 서비스에대한점검항목없음 - 관리적중심점검항목 - 매년동일한기준 - 신규서비스, 개인정보취급업체에대한침해사고노출 - 형식적인진단 취약점점검등기술적점검항목위주의기준강화
문제점및개선방향 (2/4) 대상자기준 제도실효성제고 현행 정보통신서비스부문매출액 `100 억원, 일평균이용자수 100 만 문제점 개인정보를취급하는대다수업체가포함되지않음 개선방안 정보통신서비스부문매출액및일평균이용자수하향조정 수행기관사후관리 제도실효성제고 현행 부실진단, 불성실진단등수행업체에대한제재방안미흡 문제점 부실진단우려 개선방안 에대한책임강화및수행기관취소요건등마련
문제점및개선방향 (3/4) 절차 진단품질제고 현행 문제점 개선방안 서면, 현장검사를수행기관이자율적으로수행 현장검사보다서면검사위주로진행, 진단의질적저하우려 현장검사등을항목별로이행하는방안 컨설팅과진단동시수행 진단품질제고 현행 동일수행기관이컨설팅과을동시에수행 문제점 의객관성 ᆞ 공정성 ᆞ 독립성훼손우려 개선방안 동일수행기관으로부터컨설팅과을동시에받지못하도록규정
문제점및개선방향 (5/) 진단설비의중복 진단품질제고 현행 동일종류의설비에대해서는일부만을무작위로점검가능 문제점 매년동일한설비를현장검사하여형식적가능 개선방안 무작위로점검하되전년도와진단설비와중복되지않도록규정 대상설비누락 진단품질제고 현행 설비및시설선정기준제시 ( 고시 ) 문제점 대상업체가자의적해석으로일부설비에대해대상누락및검사회피가능 개선방안 대상설비및시설선정기준준수여부확인강화
III 맺음말 대상자관점 최근개인정보유출, 산업기술정보유출등적극대응필요 침해사고예방을위하여 ISMS, 제도를최대한활용 정보보호담당자의책임에서최고경영진의책임강화로인식전환 기술적접근방식에서비즈니스관점으로접근이필요 인증취득목적이아닌실제고객및산업기밀정보를보호하기위함 감사, 컨설팅등업체관점 보안시장확대논리가아닌실직적인전문기술제공 정부관점 침해사고제도개선예방을등을위하여통한침해사고실효성있는예방제도제도의개선실효성제고대상자등이해당사자간의협력체계마련
< 참고 > 및홈페이지 < 정보보호홈페이지 > www.kisa.or.kr >> 주요사업바로가기 >> 정보보호지원 < 정보보호관리체계인증홈페이지 > www.kisa.or.kr >> 주요사업바로가기 >> 정보보호관리체계인증