2.11.1. 사고 예방 및 대응체계 구축

침해사고 및 개인정보 유출 등을 예방하고 사고 발생 시 신속하고 효과적으로 대응할 수 있도록 내· 외부 침해시도의 탐지· 대응· 분석 및 공유를 위한 체계와 절차를 수립하고, 관련 외부기관 및 전문가들과 협조체계를 구축하여야 한다.

 

1. 침해사고 및 개인정보 유출사고를 예방하고 사고 발생시 신속하고 효과적으로 대응하기 위한 체계와 절차를 마련하고 있는가?

상세 기준

  - 침해사고의 정의 및 범위 (개인정보 유출사고, 서비스거부공격 등)

  - 침해사고 유형 및 중요도

  - 침해사고 선포절차 및 방법

  - 비상연락망 등의 연락체계

  - 침해사고 탐지 체계

  - 침해사고 발생시 기록, 보고절차

  - 침해사고 신고 및 통지 절차 (관계기관, 정보주체 및 이용자 등)

  - 침해사고 보고서 작성

  - 침해사고 중요도 및 유형에 따른 대응 및 복구 절차

  - 침해사고 복구조직의 구성, 책임 및 역할

  - 침해사고 복구장비 및 자원조달

  - 침해사고 대응 및 복구 훈련, 훈련 시나리오

  - 외부 전문가나 전문기관의 활용방안

  - 기타 보안사고 예방 및 복구를 위하여 필요한 사항 등

 

2. 보안관제서비스 등 외부 기관을 통하여 침해사고 대응체계를 구축‧운영하는 경우 침해사고 대응절차의 세부사항을 계약서(SLA 등)에 반영하고 있는가?

상세 기준

  - 보안관제서비스의 범위

  - 침해 징후 발견 시 보고 및 대응 절차

  - 침해사고 발생 시 보고 및 대응절차

  - 침해사고 발생에 따른 책임 및 역할에 관한 사항 등

 

3. 침해사고의 모니터링, 대응 및 처리를 위하여 외부전문가, 전문업체, 전문기관 등과의 협조체계를 수립하고 있는가?

상세 기준

  - 침해사고의 모니터링, 대응 및 처리를 위하여 외부전문가, 전문업체, 전문기관 등과의 협조체계를 수립하여야 한다.

 

(가상자산사업자) 월렛 개인키 유출, 가상자산 탈취 등의 사고 발생시 보호대책으로 수립된 사항에 대해 대응체계 및 절차를 마련하고 있는가?

상세 기준

  - 월렛 개인키 유출, 가상자산 탈취 등의 사고 발생시 보호대책으로 수립된 사항에 대해 대응체계 및 절차를 마련

 

    운영 내역(증적) 예시

 

  • 침해사고 대응 지침·절차·매뉴얼
  • 침해사고 대응 조직도 및 비상연락망
  • 보안관제서비스 계약서(SLA 등)

 

    ** 인증심사 결함사항 예시 **

 

  1. 침해사고에 대비한 침해사고 대응 조직 및 대응 절차를 명확히 정의하고 있지 않은 경우
  2. 내부 지침 및 절차에 침해사고 단계별(사고 전, 인지, 처리, 복구, 보고 등) 대응 절차를 수립하여 명시하고 있으나 침해사고 발생 시 사고 유형 및 심각도에 따른 신고·통지 절차, 대응 및 복구 절차의 일부 또는 전부를 수립하고 있지 않은 경우
  3. 침해사고 대응 조직도 및 비상연락망 등을 현행화하지 않고 있거나 담당자별 역할과 책임이 명확히 정의되어 있지 않은 경우
  4. 침해사고 신고·통지 및 대응 협조를 위한 대외기관 연락처에 기관명, 홈페이지, 연락처 등이 잘못 명시되어 있거나 일부 기관 관련 정보가 누락 또는 현행화 되지 않은 경우
  5. 외부 보안관제 전문업체 등 유관기관에 침해사고 탐지 및 대응을 위탁하여 운영하고 있으나 침해사고 대응에 대한 상호 간 관련 역할 및 책임 범위가 계약서나 SLA에 명확하게 정의되지 않은 경우
  6. 침해사고 대응절차를 수립하였으나 개인정보 침해 신고 기준, 시점 등이 법적 요구사항을 준수하지 못하는 경우

2.11.2. 취약점 점검 및 조치

정보시스템의 취약점이 노출되어 있는지를 확인하기 위하여 정기적으로 취약점 점검을 수행하고, 발견된 취약점에 대해서는 신속하게 조치하여야 한다. 또한 최신 보안취약점의 발생 여부를 지속적으로 파악하고, 정보시스템에 미치는 영향을 분석하여 조치하여야 한다.

 

1. 정보시스템 취약점 점검 절차를 수립하고, 정기적으로 점검을 수행하고 있는가? (개정 23.11.23.)

상세 기준

  - 취약점 점검 절차에 포함되어야 할 사항

    : 취약점 점검 대상(예: 서버, 네트워크 장비 등)

    : 취약점 점검 주기(법적 요구사항, 중요도 등 고려)

    : 취약점 점검 담당자 및 책임자 지정

    : 취약점 점검 절차 및 방법 등

    : 중요도에 따른 조치 기준

    : 취약점 점검 결과 보고 절차

    : 미조치 취약점에 대한 보안성 검토 등

    : 기타 보안사고 예방 및 복구를 위하여 필요한 사항 등

  - 취약점 점검 대상

    : 라우터, 스위치 등 네트워크시스템 구성 및 설정 취약점

    : 서버 OS 보안 설정 취약점

    :  방화벽 등 보안시스템 취약점

    : 어플리케이션 취약점

    : 웹서비스 취약점

    : 스마트기기 및 모바일 서비스(모바일 앱 등) 취약점 등

  - 취약점 점검 시 회사의 규모 및 보유하고 있는 정보의 중요도에 따라 모의침투테스트를 수행하는 것을 고려

  - 고유식별정보를 처리하는 개인정보처리자에 해당하는 경우 인터넷 홈페이지를 통하여 고유식별정보가 유출· 변조· 훼손되지 않도록 연 1회 이상 취약점 점검을 실시(개인정보의 안전성 확보조치 기준 제6조제4항)

  - 개인정보처리자는 개인정보의 유출, 도난 방지 등을 위한 취약점 점검에 관한 사항을 내부 관리계획에 포함하여 수립·시행 필요(개인정보의 안전성 확보조치 기준 제4조제1항제10호) (개정 23.11.23.)

 

(가상자산사업자) 정보시스템 취약점 점검 절차를 수립하고 정기적으로 점검을 수행하고 있는가?

상세 기준

  - 대외서비스: 반기 1회 이상

  - 내부시스템: 연1회 이상

 

2. 발견된 취약점에 대한 조치를 수행하고, 그 결과를 책임자에게 보고하고 있는가?

상세 기준

  - 취약점 점검 시 이력관리가 될 수 있도록 점검일시, 점검대상, 점검방법, 점검내용 및 결과 발견사항, 조치사항 등이 포함된 보고서를 작성

  - 취약점별로 대응조치 완료 후 이행점검 등을 통하여 완료 여부 확인

  - 불가피하게 조치할 수 없는 취약점에 대해서는 그 사유를 명확하게 확인하고, 이에 따른 위험성, 보완대책 등을 책임자에게 보고

 

3. 최신 보안취약점 발생 여부를 지속적으로 파악하고, 정보시스템에 미치는 영향을 분석하여 조치하고 있는가?

상세 기준

  - 정기적인 보안취약점 점검 이외에도 지속적으로 최신 보안취약점 파악

  - 최신 보안취약점이 발견된 경우 해당 보안취약점이 정보시스템에 미치는 영향을 분석하여 필요시 대응 조치

 

4. 취약점 점검 이력을 기록관리하여 전년도에 도출된 취약점이 재발생하는 등의 문제점에 대하여 보호대책을 마련하고 있는가?

상세 기준

  - 취약점 점검 이력에 대해 기록관리

  - 취약점 점검 시 지난 취약점 점검결과와 비교 분석하여 취약점 재발 여부 확인

  - 유사한 취약점이 재발되고 있는 경우 근본원인 분석 및 재발방지 대책 마련

 

    운영 내역(증적) 예시

 

  • 취약점 점검 계획서
  • 취약점 점검 결과보고서(웹,  모바일 앱,  서버,  네트워크시스템,  보안시스템,  DBMS 등)
  • 취약점 점검 이력
  • 취약점 조치계획서
  • 취약점 조치완료보고서
  • 모의해킹 계획서/결과보고서 

 

    ** 인증심사 결함사항 예시 **

 

  1. 내부 규정에 연 1회 이상 주요 시스템에 대한 기술적 취약점 점검을 하도록 정하고 있으나, 주요 시스템 중 일부가 취약점 점검 대상에서 누락된 경우
  2. 취약점 점검에서 발견된 취약점에 대한 보완조치를 이행하지 않았거나,  단기간 내에 조치 할 수 없는 취약점에 대한 타당성 검토 및 승인 이력이 없는 경우

  3. (CELA)(AWS)클라우드 관리콘솔에 대한 취약점 점검 및 조치활동을 수행하지 않는 경우


2.11.3. 이상행위 분석 및 모니터링

내· 외부에 의한 침해시도, 개인정보유출 시도, 부정행위 등을 신속하게 탐지· 대응할 수 있도록 네트워크 및 데이터 흐름 등을 수집하여 분석하며, 모니터링 및 점검 결과에 따른 사후조치는 적시에 이루어져야 한다.

 

1. 내‧외부에 의한 침해시도, 개인정보 유출 시도, 부정행위 등 이상행위를 탐지할 수 있도록 주요 정보시스템, 응용프로그램, 네트워크, 보안시스템 등에서 발생한 네트워크 트래픽, 데이터 흐름, 이벤트 로그 등을 수집하여 분석 및 모니터링하고 있는가?

상세 기준

  - 이상행위 판단을 위하여 정보시스템, 보안시스템, 응용프로그램, 네트워크 장비 등의 로그를 수집하고 분석하는 체계를 갖추어야 함

    : 이벤트 로그를 수집하거나 모니터링 하여야 할 대상 및 범위

    : 수집 및 분석, 모니터링 방법

    : 담당자 및 책임자지정

    : 분석 및 모니터링 결과 보고 체계

    : 이상행위 발견 시 대응 절차 등

  - 조직의 규모 및 정보시스템의 중요도가 높은 경우 24시간 실시간 모니터링 고려

 

(가상자산사업자) 월렛 접근과 관련하여 실시간 알람 등을 통해 사고 방지 체계를 구축하고 있는가?

(가상자산사업자) 월렛에 대한 비인가 접근, 권한 오남용, 개인키 접근 및 유출, 비인가자에 의한 가상자산 이체 등 비정상 행위를 탐지, 대응할 수 있도록 관련 로그 검토 및 모니터링 기준과 절차를 수립ㆍ이행하고 있는가?

상세 기준

  ※ 24시간 운영 되는 가상자산취급업소 특성상 24*365 모니터링 체계 수립 필요

 

2. 침해시도, 개인정보유출시도, 부정행위 등의 여부를 판단하기 위한 기준 및 임계치를 정의하고 이에 따라 이상행위의 판단 및 조사 등 후속 조치가 적시에 이루어지고 있는가?

상세 기준

  - 이상행위 판단을 위한 이상행위 식별기준 및 임계치를 설정하고 필요시 시스템에 반영

  - 설정된 기준 및 임계치를 주기적으로 검토하여 최적화

  - 이상행위가 확인된 경우 규정에 따라 긴급 대응, 소명 요청, 원인 조사 등 사후조치 수행

 

    운영 내역(증적) 예시

 

  • 이상행위 분석 및 모니터링 현황
  • 이상행위 발견 시 대응 증거자료

 

    ** 인증심사 결함사항 예시 **

 

  1. 외부로부터의 서버, 네트워크, 데이터베이스, 보안시스템에 대한 침해 시도를 인지할 수 있도록 하는 상시 또는 정기적 모니터링 체계 및 절차를 마련하고 있지 않은 경우
  2. 외부 보안관제 전문업체 등 외부 기관에 침해시도 모니터링 업무를 위탁 하고 있으나, 위탁업체가 제공한 관련 보고서를 검토한 이력이 확인되지 않거나 위탁 대상에서 제외된 시스템에 대한 자체 모니터링 체계를 갖추고 있지 않은 경우
  3. 내부적으로 정의한 임계치를 초과하는 이상 트래픽이 지속적으로 발견되고 있으나 이에 대한 대응조치가 이루어지고 있지 않는 경우

  4. (CELA)웹사이트에 대한 침해 시도를 인지할 수 있는 모니터링 체계를 마련하고 있지 않은 경우


2.11.4. 사고 대응 훈련 및 개선

침해사고 및 개인정보 유출사고 대응 절차를 임직원과 이해관계자가 숙지하도록 시나리오에 따른 모의훈련을 연 1회 이상 실시하고 훈련결과를 반영하여 대응체계를 개선하여야 한다.

 

1. 침해사고 및 개인정보 유출사고 대응 절차에 관한 모의훈련계획을 수립하고 이에 따라 연 1회 이상 주기적으로 훈련을 실시하고 있는가?

상세 기준

  - 침해사고 대응 절차의 적절성을 검토하고 사고 발생 시 신속한 대응이 가능하도록 모의훈련 계획의 수립 및 이행

  - 최신 침해 사고 사례, 해킹 동향, 비즈니스 특성 등을 반영하여 현실적이고 실질적인 모의훈련 시나리오 마련

  - 정보보호, 개인정보보호, IT, 법무, 인사, 홍보 등 침해사고 대응과 관련된 조직이 모두 참여할 수 있도록 모의훈련 조직 구성

  - 관련 임직원이 침해사고 대응 절차를 숙지할 수 있도록 연 1회 이상 주기적으로 모의훈련 수행

 

2. 침해사고 및 개인정보 유출사고 훈련 결과를 반영하여 침해사고 및 개인정보 유출사고 대응체계를 개선하고 있는가?

상세 기준

  - 모의훈련 시행 후 결과보고서 작성 및 내부 보고

  - 모의훈련 결과를 바탕으로 개선사항을 도출하여 필요시 대응 절차에 반영

 

    운영 내역(증적) 예시

 

  • 침해사고 및 개인정보 유출사고 대응 모의훈련 계획서
  • 침해사고 및 개인정보 유출사고 대응 모의훈련 결과서
  • 침해사고 대응 절차

 

    ** 인증심사 결함사항 예시 **

 

  1. 침해사고 모의훈련을 수행하지 않았거나 관련 계획서 및 결과보고서가 확인되지 않는 경우
  2. 연간 침해사고 모의훈련 계획을 수립하였으나 타당한 사유 또는 승인 없이 해당 기간 내에 실시하지 않은 경우
  3. 모의훈련을 계획하여 실시하였으나 관련 내부 지침에 정한 절차 및 서식에 따라 수행하지 않은 경우

2.11.5. 사고 대응 및 복구

침해사고 및 개인정보 유출 징후나 발생을 인지한 때에는 법적 통지 및 신고 의무를 준수하여야 하며, 절차에 따라 신속하게 대응 및 복구하고 사고분석 후 재발방지 대책을 수립하여 대응체계에 반영하여야 한다.

 

1. 침해사고 및 개인정보 유출의 징후 또는 발생을 인지한 경우 정의된 침해사고 대응절차에 따라 신속하게 대응 및 보고가 이루어지고 있는가?

상세 기준

  - 침해사고 초기 대응 및 증거 보존 조치

    : 침해가 의심되는 정보시스템의 접속권한 삭제· 변경 또는 접속차단 조치

    : 네트워크,  방화벽 등 대내외 시스템 보안점검 및 취약점 보완 조치

    : 사고 조사에 필요한 외부의 접속기록 등 증거 보존 조치

    : 로그 분석 등을 통한 개인정보 및 중요정보 유출 여부 확인 등

  - 다음의 사항을 포함한 침해사고보고서 작성 및 내부 보고

    : 침해사고 발생일시

    : 보고자와 보고일시

    : 사고내용 (발견사항, 피해내용 등)

    : 사고대응 경과 내용

    : 사고대응까지의 소요시간 등

  - 침해사고가 조직에 미치는 영향이 심각할 경우 보고절차에 따라 최고경영진까지 신속히 보고

 

2. 개인정보 침해사고 발생 시 관련 법령에 따라 정보주체(이용자) 통지 및 관계기관 신고 절차를 이행하고 있는가? (개정 23.11.23.)

상세 기준

  - 개인정보 유출 시 정보주체(이용자)에게 알려야 할 사항

    : 개인정보처리자

      ① 유출된 개인정보의 항목

      ② 유출된 시점과 그 경위

      ③ 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보

      ④ 개인정보처리자의 대응조치 및 피해 구제절차

      ⑤ 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처

    : 정보통신서비스 제공자

      ① 유출등이 된 개인정보 항목

      ② 유출등이 발생한 시점

      ③ 이용자가 취할 수 있는 조치

      ④ 정보통신서비스 제공자등의 대응 조치

      ⑤ 이용자가 상담 등을 접수할 수 있는 부서 및 연락처

  - 개인정보 유출 신고 기준

    : 개인정보처리자

      ① 신고 대상 건수: 1천명 이상 정보주체에 관한 개인정보 유출 시 

      ② 신고 시점: 지체없이 (5일 이내)

      ③ 신고 기관: 개인정보보호위원회 또는 KISA

    : 정보통신서비스 제공자

      ① 신고 대상 건수: 유출 건수와 무관

      ② 신고 시점: 정당한 사유가 없는 한 그 사실을 안 때부터 24시간 이내

      ③ 신고 기관: 개인정보보호위원회 또는 KISA

  - 개인정보의 분실·도난·유출(이하 유출등)에 따른 정보주체 통지 요건

    : 통지 사항

      1. 유출등이 된 개인정보의 항목

      2. 유출등이 된 시점 및 경위

      3. 유출등으로 인해 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보

      4. 개인정보처리자의 대응조치 및 피해 구제절차

      5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처

       ※ 통지 사항 중 1호, 2호 사항에 관한 구체적인 내용을 확인하지 못한 경우에는 개인정보가 유출된 사실, 그때까지 확인된 내용 및 같은 항 제3호부터 제5호까지의 사항을 서면 등의 방법으로 우선 통지해야 하며, 추가로 확인되는 내용에 대해서는 확인되는 즉시 통지 

    : 통지 방법

      > 서면등의 방법(서면, 전자우편, 팩스, 전화, 문자전송 등)

    : 통지 시기

       > 유출등을 알게 된 때로부터 72시간 이내

       >  다만, 다음 각 호의 어느 하나에 해당하는 경우에는 해당 사유가 해소된 후 지체 없이 정보주체에게 알릴 수 있음

         1. 유출등이 된 개인정보의 확산 및 추가 유출등을 방지하기 위하여 접속경로의 차단, 취약점 점검·보완, 유출등이 된 개인정보의 회수·삭제 등 긴급한 조치가 필요한 경우

         2. 천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 통지하기 곤란한 경우

   : 통지 예외

      > 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 인터넷 홈페이지에 30일 이상 위의 5가지 통지 사항을 게시하는 것으로 통지 갈음 가능

      > 다만, 인터넷 홈페이지를 운영하지 아니하는 개인정보처리자의 경우에는 사업장 등의 보기 쉬운 장소에 위의 5가지 통지 사항을 30일 이상 게시

  - 개인정보의 유출등에 따른 관계기관 신고 요건

    : 신고 사항

      1. 유출등이 된 개인정보의 항목

      2. 유출등이 된 시점 및 경위

      3. 유출등으로 인해 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보

      4. 개인정보처리자의 대응조치 및 피해 구제절차

      5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처

       ※ 신고 사항 중 1호, 2호 사항에 관한 구체적인 내용을 확인하지 못한 경우에는 개인정보가 유출등이 된 사실, 그때까지 확인된 내용 및 같은 항 제3호부터 제5호까지의 사항을 서면등의 방법으로 우선 신고해야 하며, 추가로 확인되는 내용에 대해서는 확인되는 즉시 신고

   : 신고 기관

        > 개인정보 보호위원회 또는 한국인터넷진흥원

   : 신고 방법

        > 서면등의 방법(서면, 전자우편, 팩스, 전화, 문자전송 등)

         ※ 개인정보 포털(www.privacy.go.kr)을 통해 신고 가능

   : 신고 시기

       > 유출등을 알게 된 때로부터 72시간 이내

       > 다만, 천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 신고하기 곤란한 경우에는 해당 사유가 해소된 후 지체 없이 신고

   : 신고 대상

       1. 1천명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우

       2. 민감정보 또는 고유식별정보가 유출등이 된 경우

       3. 개인정보처리시스템 또는 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대한 외부로부터의 불법적인 접근에 의해 개인정보가 유출등이 된 경우

        ※ 다만, 개인정보 유출등의 경로가 확인되어 해당 개인정보를 회수·삭제하는 등의 조치를 통해 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에는 미신고 가능

(개정 23.11.23.)

 

3. 침해사고가 종결된 후 사고의 원인을 분석하여 그 결과를 보고하고 관련 조직 및 인력과 공유하고 있는가?

상세 기준

  - 침해사고가 처리되고 종결된 후 이에 대한 사고 원인에 대한 분석을 수행하고 결과보고서를 작성하여 책임자에게 보고

  - 침해사고 정보와 발견된 취약점 및 원인, 조치방안 등을 관련 조직 및 인력에게 공유

 

4. 침해사고 분석을 통하여 얻어진 정보를 활용하여 유사 사고가 재발하지 않도록 대책을 수립하고 필요한 경우 침해사고 대응절차 등을 변경하고 있는가? 

상세 기준

  - 침해사고 분석을 통하여 얻어진 정보를 활용하여 유사 사고가 반복되지 않도록 하는 재발방지 대책 수립

  - 분석된 결과에 따라 필요한 경우 침해사고 대응절차, 정보보호 정책 및 절차 등의 침해사고 대응체계 에 대한 변경 수행 

 

    운영 내역(증적) 예시

 

  • 침해사고 대응 절차
  • 침해사고 대응보고서
  • 침해사고 관리대장
  • 개인정보 유출신고서
  • 비상연락망

 

    ** 인증심사 결함사항 예시 ** (개정 23.11.23.)

 

  1. 내부 침해사고 대응지침에는 침해사고 발생 시 정보보호위원회 및 이해관계 부서에게 보고하도록 정하고 있으나, 침해사고 발생 시 담당 부서에서 자체적으로 대응 조치 후 정보보호위원회 및 이해관계 부서에 보고하지 않은 경우
  2. 외부 해킹에 의해 개인정보 유출사고가 발생하였으나, 유출된 개인정보 건수가 소량이라는 이유로 72시간 이내에 통지 및 신고가 이루어지지 않은 경우 (개정 23.11.23.)
  3. 담당자의 실수에 의해 인터넷 홈페이지 게시판을 통해 1천명 이상 정보주체에 대한 개인정보 유출이 발생하였으나, 해당 정보주체에 대한 유출 통지가 이루어지지 않은 경우 (개정 23.11.23.)
  4. 최근 DDoS 공격으로 의심되는 침해사고로 인해 서비스 일부가 중단된 사례가 있으나 이에 대한 원인분석 및 재발방지 대책이 수립되지 않은 경우