- 침해사고의 정의 및 범위 (개인정보 유출사고, 서비스거부공격 등)

  - 침해사고 유형 및 중요도

  - 침해사고 선포절차 및 방법

  - 비상연락망 등의 연락체계

  - 침해사고 탐지 체계

  - 침해사고 발생시 기록, 보고절차

  - 침해사고 신고 및 통지 절차 (관계기관, 정보주체 및 이용자 등)

  - 침해사고 보고서 작성

  - 침해사고 중요도 및 유형에 따른 대응 및 복구 절차

  - 침해사고 복구조직의 구성, 책임 및 역할

  - 침해사고 복구장비 및 자원조달

  - 침해사고 대응 및 복구 훈련, 훈련 시나리오

  - 외부 전문가나 전문기관의 활용방안

  - 기타 보안사고 예방 및 복구를 위하여 필요한 사항 등

  - 보안관제서비스의 범위

  - 침해 징후 발견 시 보고 및 대응 절차

  - 침해사고 발생 시 보고 및 대응절차

  - 침해사고 발생에 따른 책임 및 역할에 관한 사항 등

  - 침해사고의 모니터링, 대응 및 처리를 위하여 외부전문가, 전문업체, 전문기관 등과의 협조체계를 수립하여야 한다.

  - 월렛 개인키 유출, 가상자산 탈취 등의 사고 발생시 보호대책으로 수립된 사항에 대해 대응체계 및 절차를 마련

  - 취약점 점검 절차에 포함되어야 할 사항

    : 취약점 점검 대상(예: 서버, 네트워크 장비 등)

    : 취약점 점검 주기(법적 요구사항, 중요도 등 고려)

    : 취약점 점검 담당자 및 책임자 지정

    : 취약점 점검 절차 및 방법 등

    : 중요도에 따른 조치 기준

    : 취약점 점검 결과 보고 절차

    : 미조치 취약점에 대한 보안성 검토 등

    : 기타 보안사고 예방 및 복구를 위하여 필요한 사항 등

  - 취약점 점검 대상

    : 라우터, 스위치 등 네트워크시스템 구성 및 설정 취약점

    : 서버 OS 보안 설정 취약점

    :  방화벽 등 보안시스템 취약점

    : 어플리케이션 취약점

    : 웹서비스 취약점

    : 스마트기기 및 모바일 서비스(모바일 앱 등) 취약점 등

  - 취약점 점검 시 회사의 규모 및 보유하고 있는 정보의 중요도에 따라 모의침투테스트를 수행하는 것을 고려

  - 고유식별정보를 처리하는 개인정보처리자에 해당하는 경우 인터넷 홈페이지를 통하여 고유식별정보가 유출· 변조· 훼손되지 않도록 연 1회 이상 취약점 점검을 실시(개인정보의 안전성 확보조치 기준 제6조제4항)

  - 개인정보처리자는 개인정보의 유출, 도난 방지 등을 위한 취약점 점검에 관한 사항을 내부 관리계획에 포함하여 수립·시행 필요(개인정보의 안전성 확보조치 기준 제4조제1항제10호) (개정 23.11.23.)

  - 대외서비스: 반기 1회 이상

  - 내부시스템: 연1회 이상

  - 취약점 점검 시 이력관리가 될 수 있도록 점검일시, 점검대상, 점검방법, 점검내용 및 결과 발견사항, 조치사항 등이 포함된 보고서를 작성

  - 취약점별로 대응조치 완료 후 이행점검 등을 통하여 완료 여부 확인

  - 불가피하게 조치할 수 없는 취약점에 대해서는 그 사유를 명확하게 확인하고, 이에 따른 위험성, 보완대책 등을 책임자에게 보고

  - 정기적인 보안취약점 점검 이외에도 지속적으로 최신 보안취약점 파악

  - 최신 보안취약점이 발견된 경우 해당 보안취약점이 정보시스템에 미치는 영향을 분석하여 필요시 대응 조치

  - 취약점 점검 이력에 대해 기록관리

  - 취약점 점검 시 지난 취약점 점검결과와 비교 분석하여 취약점 재발 여부 확인

  - 유사한 취약점이 재발되고 있는 경우 근본원인 분석 및 재발방지 대책 마련

  - 이상행위 판단을 위하여 정보시스템, 보안시스템, 응용프로그램, 네트워크 장비 등의 로그를 수집하고 분석하는 체계를 갖추어야 함

    : 이벤트 로그를 수집하거나 모니터링 하여야 할 대상 및 범위

    : 수집 및 분석, 모니터링 방법

    : 담당자 및 책임자지정

    : 분석 및 모니터링 결과 보고 체계

    : 이상행위 발견 시 대응 절차 등

  - 조직의 규모 및 정보시스템의 중요도가 높은 경우 24시간 실시간 모니터링 고려

  ※ 24시간 운영 되는 가상자산취급업소 특성상 24*365 모니터링 체계 수립 필요

  - 이상행위 판단을 위한 이상행위 식별기준 및 임계치를 설정하고 필요시 시스템에 반영

  - 설정된 기준 및 임계치를 주기적으로 검토하여 최적화

  - 이상행위가 확인된 경우 규정에 따라 긴급 대응, 소명 요청, 원인 조사 등 사후조치 수행

  - 침해사고 대응 절차의 적절성을 검토하고 사고 발생 시 신속한 대응이 가능하도록 모의훈련 계획의 수립 및 이행

  - 최신 침해 사고 사례, 해킹 동향, 비즈니스 특성 등을 반영하여 현실적이고 실질적인 모의훈련 시나리오 마련

  - 정보보호, 개인정보보호, IT, 법무, 인사, 홍보 등 침해사고 대응과 관련된 조직이 모두 참여할 수 있도록 모의훈련 조직 구성

  - 관련 임직원이 침해사고 대응 절차를 숙지할 수 있도록 연 1회 이상 주기적으로 모의훈련 수행

  - 모의훈련 시행 후 결과보고서 작성 및 내부 보고

  - 모의훈련 결과를 바탕으로 개선사항을 도출하여 필요시 대응 절차에 반영

  - 침해사고 초기 대응 및 증거 보존 조치

    : 침해가 의심되는 정보시스템의 접속권한 삭제· 변경 또는 접속차단 조치

    : 네트워크,  방화벽 등 대내외 시스템 보안점검 및 취약점 보완 조치

    : 사고 조사에 필요한 외부의 접속기록 등 증거 보존 조치

    : 로그 분석 등을 통한 개인정보 및 중요정보 유출 여부 확인 등

  - 다음의 사항을 포함한 침해사고보고서 작성 및 내부 보고

    : 침해사고 발생일시

    : 보고자와 보고일시

    : 사고내용 (발견사항, 피해내용 등)

    : 사고대응 경과 내용

    : 사고대응까지의 소요시간 등

  - 침해사고가 조직에 미치는 영향이 심각할 경우 보고절차에 따라 최고경영진까지 신속히 보고

  - 개인정보 유출 시 정보주체(이용자)에게 알려야 할 사항

    : 개인정보처리자

      ① 유출된 개인정보의 항목

      ② 유출된 시점과 그 경위

      ③ 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보

      ④ 개인정보처리자의 대응조치 및 피해 구제절차

      ⑤ 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처

    : 정보통신서비스 제공자

      ① 유출등이 된 개인정보 항목

      ② 유출등이 발생한 시점

      ③ 이용자가 취할 수 있는 조치

      ④ 정보통신서비스 제공자등의 대응 조치

      ⑤ 이용자가 상담 등을 접수할 수 있는 부서 및 연락처

  - 개인정보 유출 신고 기준

    : 개인정보처리자

      ① 신고 대상 건수: 1천명 이상 정보주체에 관한 개인정보 유출 시 

      ② 신고 시점: 지체없이 (5일 이내)

      ③ 신고 기관: 개인정보보호위원회 또는 KISA

    : 정보통신서비스 제공자

      ① 신고 대상 건수: 유출 건수와 무관

      ② 신고 시점: 정당한 사유가 없는 한 그 사실을 안 때부터 24시간 이내

      ③ 신고 기관: 개인정보보호위원회 또는 KISA

  - 개인정보의 분실·도난·유출(이하 유출등)에 따른 정보주체 통지 요건

    : 통지 사항

      1. 유출등이 된 개인정보의 항목

      2. 유출등이 된 시점 및 경위

      3. 유출등으로 인해 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보

      4. 개인정보처리자의 대응조치 및 피해 구제절차

      5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처

       ※ 통지 사항 중 1호, 2호 사항에 관한 구체적인 내용을 확인하지 못한 경우에는 개인정보가 유출된 사실, 그때까지 확인된 내용 및 같은 항 제3호부터 제5호까지의 사항을 서면 등의 방법으로 우선 통지해야 하며, 추가로 확인되는 내용에 대해서는 확인되는 즉시 통지 

    : 통지 방법

      > 서면등의 방법(서면, 전자우편, 팩스, 전화, 문자전송 등)

    : 통지 시기

       > 유출등을 알게 된 때로부터 72시간 이내

       >  다만, 다음 각 호의 어느 하나에 해당하는 경우에는 해당 사유가 해소된 후 지체 없이 정보주체에게 알릴 수 있음

         1. 유출등이 된 개인정보의 확산 및 추가 유출등을 방지하기 위하여 접속경로의 차단, 취약점 점검·보완, 유출등이 된 개인정보의 회수·삭제 등 긴급한 조치가 필요한 경우

         2. 천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 통지하기 곤란한 경우

   : 통지 예외

      > 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 인터넷 홈페이지에 30일 이상 위의 5가지 통지 사항을 게시하는 것으로 통지 갈음 가능

      > 다만, 인터넷 홈페이지를 운영하지 아니하는 개인정보처리자의 경우에는 사업장 등의 보기 쉬운 장소에 위의 5가지 통지 사항을 30일 이상 게시

  - 개인정보의 유출등에 따른 관계기관 신고 요건

    : 신고 사항

      1. 유출등이 된 개인정보의 항목

      2. 유출등이 된 시점 및 경위

      3. 유출등으로 인해 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보

      4. 개인정보처리자의 대응조치 및 피해 구제절차

      5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처

       ※ 신고 사항 중 1호, 2호 사항에 관한 구체적인 내용을 확인하지 못한 경우에는 개인정보가 유출등이 된 사실, 그때까지 확인된 내용 및 같은 항 제3호부터 제5호까지의 사항을 서면등의 방법으로 우선 신고해야 하며, 추가로 확인되는 내용에 대해서는 확인되는 즉시 신고

   : 신고 기관

        > 개인정보 보호위원회 또는 한국인터넷진흥원

   : 신고 방법

        > 서면등의 방법(서면, 전자우편, 팩스, 전화, 문자전송 등)

         ※ 개인정보 포털(www.privacy.go.kr)을 통해 신고 가능

   : 신고 시기

       > 유출등을 알게 된 때로부터 72시간 이내

       > 다만, 천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 신고하기 곤란한 경우에는 해당 사유가 해소된 후 지체 없이 신고

   : 신고 대상

       1. 1천명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우

       2. 민감정보 또는 고유식별정보가 유출등이 된 경우

       3. 개인정보처리시스템 또는 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대한 외부로부터의 불법적인 접근에 의해 개인정보가 유출등이 된 경우

        ※ 다만, 개인정보 유출등의 경로가 확인되어 해당 개인정보를 회수·삭제하는 등의 조치를 통해 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에는 미신고 가능

(개정 23.11.23.)

  - 침해사고가 처리되고 종결된 후 이에 대한 사고 원인에 대한 분석을 수행하고 결과보고서를 작성하여 책임자에게 보고

  - 침해사고 정보와 발견된 취약점 및 원인, 조치방안 등을 관련 조직 및 인력에게 공유

  - 침해사고 분석을 통하여 얻어진 정보를 활용하여 유사 사고가 반복되지 않도록 하는 재발방지 대책 수립

  - 분석된 결과에 따라 필요한 경우 침해사고 대응절차, 정보보호 정책 및 절차 등의 침해사고 대응체계 에 대한 변경 수행