동양미래대학교규정집제 8 편정보보안 8-0-18~1 암호키관리지침 규정번호 8-0-18 제정일자 2017.04.17 개정일자 개정번호 Ver.0 총페이지 7 제 1 장총칙 제1조 ( 목적 ) 본지침은 정보통신망이용촉진및정보보호등에관한법률 의 개인정보의보호, 정보통신망의안전성확보 등관계법령의규정을토대로, 동양미래대학교 ( 이하 대학 이라고함 ) 의중요정보자산에대해기밀성, 무결성, 인증및부인방지등을보장하기위한암호화를적용하는데있어필요한사항들을규정하는데그목적이있다. 제 2 조 ( 적용범위 ) 대학의중요정보자산을기밀 / 일반데이터로분류하고, 기밀데이터로분류된모든데이 터들에대해서암호화를적용한다. 제3조 ( 용어정의 ) 이지침의목적을위해다음의용어정의가적용된다. 1. 암호화 (Encryption) : 암호화기법및프로그램을사용하여평문정보를알아볼수없는정보로변환하는과정 2. 복호화 (Decryption) : 암호화기법및프로그램을사용하여암호화된정보를다시평문정보로변환하는과정 3. 암호화키 (Encryption Key) : 암호화및복호화를수행하기위해암호화기법및프로그램에서사용하는키 4. 암호화패스워드 (Encryption Password) : 기밀데이터를암호화및복호화하기위해사용하는패스워드 5. 인증패스워드 (Authentication Password) : 시스템에접근하기위해사용자인증시사용하는패스워드 6. 데이터베이스 (Database) : 기업이나조직체의활동에필요불가결한자원이되는대량의정보를수집, 관리하는데이터집합 7. 가상사설통신망 (VPN, Virtual Private Network) : 공중망상에사설망을구축하여마치사설구내망또는전용망같이이용하는통신망 8. 보안소켓계층 (SSL, Secure Sockets Layer) : 데이터를송수신하는두컴퓨터사이, 종단간즉 TCP/IP 계층과애플리케이션계층사이에위치하여인증, 암호화, 무결성을보장하는업계표준프로토콜 - 1 -
동양미래대학교규정집제 8 편정보보안 8-0-18~2 제4조 ( 책임사항 ) 1. 정보보안담당관 : 대학의전반적인보안계획을수립관리하는자로대학에서 1명을선정하여, 암호화기술및프로그램등암호와관련된모든사항들에대해서최종승인과총괄적인관리를담당한다. 그리고기술의발달에따라암호화기술및프로그램, 키의기준을검토하고개정할의무를가진다. 2. 정보보안담당자 : 정보보안담당관의업무수행을보좌및업무지원을위해보안및정보보안의기술적인실무를수행하여야하며, 암호화기술및프로그램의도입또는개발과암호화키관리등을담당한다. 3. 사용자 : 암호화기술및프로그램을실제로사용하는자로정보를다루는대학의모든직원이이에해당되며, 정보보안담당관이승인한암호화기술및프로그램만을사용해야한다. 제 2 장암호화기술 제5조 ( 암호화기술및프로그램선택기준 ) 1. 암호화기술선택기준 1 암호화기술은다음의사항들을만족하는암호화기술중에서기밀데이터의보안성, 성능, 호환성및목적등을고려하여정보보안담당자가선택및검토하고, 정보보안담당관이최종승인한다. 2 기밀성을위한암호기술은최소 128 비트암호화키를사용하는시드블록암호알고리즘 (SEED) 이상또는이에준하는안전성이입증된대칭키암호화알고리즘을이용한다. 3 무결성또는전자서명을위한암호기술은각각최소 SHA-256과 RSA-2048 비트이상또는이에준하는안전성이입증된해시함수와비대칭키암호화알고리즘을이용한다. 2. 암호화프로그램의선택기준암호화프로그램은다음의사항들을고려하여정보보안담당자가선택및검토하고, 정보보안담당관이최종승인한다. 1 사용목적 2 시스템의적합성여부및암호화키관리방안 3 시스템구성도및동작프로토콜 4 시스템구성요소별기능및제원 5 보안서비스요구사항 제 6 조 ( 암호화기술및프로그램적용대상 ) 암호화기술및프로그램적용대상은크게데이터의저장, 데이터의접근제어, 네트워 크를통한데이터의송수신으로분류한다. - 2 -
동양미래대학교규정집제 8 편정보보안 8-0-18~3 1. 데이터의저장 구분개인 PC/ 노트북데이터베이스이동식저장매체기타 적용대상 내부또는외부에서개인이사용하는 PC/ 노트북에저장하는내부보안 문서등의기밀데이터 내부서버에저장하는고객정보, 보안시스템정책, 네트워크구성도 등의기밀데이터 분실위험이있는이동가능한디스크, USB 메모리등의저장매체에 저장하는기밀데이터 그외컴퓨팅디바이스와저장매체들에저장하는기밀데이터 2. 데이터의접근통제 구분개인 PC/ 노트북서버이동식저장매체외부에서내부시스템접근기타 적용대상 개인사용자기반의컴퓨터시스템에대한사용자인증 데이터베이스와같은공용자원을다수의사용자가이용할수있도록 서비스를제공하는컴퓨터시스템에대한사용자인증 전산화된정보를저장하는장치로서이동가능한디스크, USB 메모리 등의저장매체에대한사용자인증 내부직원들이회사외부에서내부시스템으로접근하는경우사용자 인증 그외인가된사용자만이기밀데이터에접근가능하도록인증이필 요한대상들에대한사용자인증 3. 네트워크를통한데이터의송수신 구분메일메신저서버와클라이언트기타 적용대상메일을사용하여내부또는외부와송수신하는기밀데이터메신저를사용하여내부또는외부와중요한내용의대화및송수신하는기밀데이터내부서버와외부클라이언트사이에송수신하는로그인정보 ( 패스워드 ) 와같은기밀데이터그외네트워크에서송수신하는기밀데이터 제 7 조 ( 적용대상에따른암호화기술및프로그램 ) 제 6 조 ( 암호화기술및프로그램적용대상 ) 에서분류한적용대상들은다음과같은암호 화기술및프로그램을사용해야한다. 1. 데이터의저장 1 개인 PC/ 노트북은개인용또는기업용파일암호화프로그램을사용하며, 파일암호화프로그램을사용하지않는다면, 파일과폴더는운영체제및압축프로그램에서제공하는암호화기능을사용한다. 문서파일은문서프로그램에서기본적으로제공하는암 - 3 -
동양미래대학교규정집제 8 편정보보안 8-0-18~4 호화기능이나 PDF 생성시제공하는보안기능을사용한다. 2 데이터베이스는데이터베이스암호화전용프로그램이나데이터베이스관리시스템을사용해야하며, 다양한기능을제공하는데이터베이스암호화전용프로그램을사용한다. 3 이동식저장매체에서암호화기능을제공하는보안 USB 등의저장매체들은반드시인증패스워드를설정하여보안기능을사용하고, 풀디스크암호화프로그램을사용한다. 보안기능이없거나풀디스크암호화프로그램을사용하지않는경우에는매체에기밀데이터를저장할때, 각파일을암호화한후에저장한다. 4 기타그외컴퓨팅디바이스와저장매체들은각각에알맞은암호화기술및프로그램을사용한다. 2. 데이터의접근통제 1 개인 PC/ 노트북은부팅시 CMOS와운영체제에서제공하는로그인인증패스워드를설정하여사용한다. 또한, 화면보호기를설정하여일정시간자리를비울경우화면보호기가자동실행되도록하고재로그인시패스워드가필요하도록한다. 공용 PC/ 노트북인경우사용자의수만큼계정을생성하고, 각각다른인증패스워드를사용한다. 2 서버는부팅시 CMOS와운영체제에서제공하는로그인인증패스워드를설정하여사용한다. 또한, 화면보호기를설정하여일정시간자리를비울경우화면보호기가자동실행되도록하고재로그인시패스워드가필요하도록한다. 서버관리자가여러명인경우관리자의수만큼계정을생성하고, 각각다른인증패스워드를사용한다. 인증패스워드를주기적으로변경하고, 인증패스워드가지정되지않은계정이나, 불필요한계정들은제거한다. 3 사용자식별 / 인증기능및암호화기능을제공하는보안 USB 등의저장매체들은반드시인증패스워드를설정하여보안기능을사용해야하고, 그렇지않은저장매체들은기밀데이터파일을저장할때, 각파일을암호화한후에저장한다. 4 외부에서내부시스템접근은인가된사용자라할지라도공개키기반구조 (PKI, Public Key Infrastructure) 기반의강화된인증방법을사용하고, 가상사설통신망 (VPN) 등의추가적인보안시스템을통해접근을통제한다. 5 기타그외인가된사용자만이기밀데이터에접근가능하도록인증이필요한대상들은각각에알맞은암호화기술및프로그램을사용한다. 3. 네트워크를통한데이터의송수신 1 메일의경우 OpenPGP(Open Pretty Good Privacy), S/MIME(Security services for Multipurpose Internet Mail Extension) 등의이메일보안프로토콜을사용하거나메일암호화프로그램을사용한다. 추가적인프로그램을사용하지않는다면, 사용자가사용하고있는메일클라이언트소프트웨어에서제공하는메일암호화기능을사용한다. 2 메신저는소프트웨어에서기본적으로제공하는대화암호화기능및파일암호화전송기능을사용하거나, 메신저암호화프로그램을사용하여대화하고기밀데이터를송수신한다. 이러한기능을제공하지않는다면, 메신저를통한중요한내용의대화는삼가고, 기밀데이터전송시파일을사전에암호화하여전송한다. 3 서버와클라이언트는보안소켓계층 (SSL) 및전송계층보안 (TLS) 프로토콜등과같 - 4 -
동양미래대학교규정집제 8 편정보보안 8-0-18~5 은통신암호기술이나관련프로그램을이용해야하며, ID/ 패스워드, 계좌번호및신용카드번호, 그외개인정보등을암호화하여송수신한다. 4 기타그외네트워크에서기밀데이터를송수신하는경우각각에알맞은암호화기술및프로그램을사용한다. 제8조 ( 암호화기술및프로그램운용 ) 암호화기술및프로그램은정보보안담당관의승인을얻어본지침에서명시하고있는국내외표준암호화기술및이를이용한 ( 또는탑재한 ) 프로그램만을사용해야한다. 부득이한경우본지침에서정하지않은암호화기술및프로그램을사용하기위해서는반드시정보보안담당자의검토와정보보안담당관의승인을얻어야한다. 정보보안담당관은사용중인암호화기술및프로그램에대해서 3개월주기로적용현황, 신뢰수준의적절성등을포함한보안감사를실시한다. 제 3 장암호키관리 제9조 ( 키관리 ) 키관리는암호화키와패스워드의선택, 관리, 복구항목으로분류하여규정하고, 정보보안담당관은사용중인암호화키및패스워드에대해서 3개월주기로관리현황, 암호화키및패스워드길이의적절성등을포함한보안감사를실시한다. 제10조 ( 암호화키및패스워드선택기준 ) 1 암호화키의길이는전수조사공격 ( 가능한모든경우의수를시행하여키를찾아내는공격 ) 에의한피해를막기위해대칭키암호알고리즘의암호화키는 128 비트이상, 비대칭키암호알고리즘의암호화키는 2048비트이상이어야한다. 2 패스워드의길이및문자구성에서패스워드는 3가지종류 ( 대문자, 소문자, 특수문자, 숫자등 ) 이상의문자구성으로 8 자리이상의길이또는 2가지종류이상의문자구성으로 10 자리이상의길이여야한다. 또한, 다음과같은기준을따라야한다. - 한글, 영어등의사전적단어를포함하지않는다. - 널리알려진단어를포함하지말고예측이어렵도록만든다. - 사용자 ID와연관성이있는단어구성을포함하지않는다. - 제3자가쉽게알수있는개인정보를포함하지않는다. - 해당시스템에서이전에사용하지않은새로운문자구성을사용한다. - 이전의문자구성과연관된문자구성을사용하지않는다. 제11조 ( 암호화키및패스워드관리 ) 1. 암호화키 1 암호화키생성 : 기밀데이터를암호화할경우정보보안담당자의승인을받아생성하고 암호화키관리대장 에기록한다. 2 암호화키사용 : 접근이인가되지않은사용자는암호화키를사용할수없도록강력하게접근을통제해야하며, 접근이인가된사용자외에게는암호화키가노출되지 - 5 -
동양미래대학교규정집제 8 편정보보안 8-0-18~6 않도록철저하게관리해야한다. 또한, 암호화키는노출위협을최소화하기위해 1년마다변경해야한다. 그외에도암호화키의생성 사용및폐기기록을관리하는 암호화키관리대장 에대한접근은정보보안담당자가관리하며, 내화금고등에보관하는등암호화키를관리하는수준의강력한접근통제가필요하다. 3 암호화키폐기 : 암호화키는사용용도가종료되거나사용주기가만료된경우폐기한다. 암호화키는정보보안담당자가폐기하고 암호화키관리대장 에기록한다. 2. 패스워드 1 패스워드생성 : 개인패스워드는사용자가직접생성하고그룹패스워드는그룹의장이생성하여구성원들에게안전한방법을통해전달한다. 2 패스워드사용 : 패스워드는제3자에게노출되지않도록해야하며, 자신의패스워드와관련된정보및힌트를제공하지않아야한다. 패스워드변경주기는 3개월이다. 시스템및소프트웨어의기본제공패스워드는설치시즉시변경해야한다. 3 패스워드폐기 : 패스워드는사용용도가종료되거나사용주기가만료된경우폐기한다. 인증패스워드는시스템담당자가사용자계정의삭제와함께폐기하고, 암호화패스워드는사용자가직접폐기한다. 제12조 ( 암호화키복구 ) 암호화키의복구는암호화키소유자의퇴사등의사유로암호화키를알수없을경우정보보안담당관의승인을받아 암호화키복구대장 에기록하고, 암호화키관리대장 에서암호화키를복구한다. 암호화키복구대장 에대한접근은정보보안담당자가관리하며, 내화금고등에보관하는등암호화키수준의강력한접근통제가필요하다. 제 4 장문서및기록 제13조 ( 예외규정 ) 본지침에서명시한내용일지라도다음에해당하는경우에는정보보안담당관의승인을받아예외취급할수있다. - 기술환경의변화로적용이불가능할경우 - 기술적, 관리적필요에따라암호정책의적용을보류할긴급한사유가있을경우 - 기타재해등불가항력적인상황일경우 제 14 조 ( 경과조치 ) 특별한사유에의하여본지침을따르지못하는경우시행일로부터 1 년이내에개선방 안을강구한다. 제 15 조 ( 관련서식 ) - [ 관련서식 1] 암호화키관리대장 - 6 -
동양미래대학교규정집제 8 편정보보안 8-0-18~7 시행일 이규칙은 년 월 일부터시행한다 부 칙 - 7 -