2.7.1. 암호정책 적용

개인정보 및 주요정보 보호를 위하여 법적 요구사항을 반영한 암호화 대상, 암호 강도, 암호 사용 정책을 수립하고 개인정보 및 주요정보의 저장· 전송· 전달 시 암호화를 적용하여야 한다.

 

1. 개인정보 및 주요정보의 보호를 위하여 법적 요구사항을 반영한 암호화 대상, 암호강도, 암호사용 등이 포함된 암호정책을 수립하고 있는가?

상세 기준

  - 암호화 대상 법적 요구사항, 처리 정보 민감도 및 중요도에 따라 정의

  - 암호화 알고리즘  법적 요구사항 등을 고려하여 안전한 암호화 알고리즘 및 보안강도 선택

    ※ 안전한 암호 알고리즘(예시)('개인정보의 암호화 조치 안내서’ 참고)

      - 대칭키 암호 알고리즘:  SEED, ARIA-128/192/256, AES-128/192/256, HIGHT, LEA 등

      - 공개키 암호 알고리즘: RSAES-OAEP, RSAES-PKCS1 등

      - 일방향 암호 알고리즘: SHA-256/384/512 등

 

2. 암호정책에 따라 개인정보 및 중요 정보의 저장, 전송, 전달 시 암호화를 수행하고 있는가?

상세 기준

  - 암호화 위치, 시스템 특성 등을 고려하여 암호화 방식 선정 및 적용

    ※ 암호화 방식(예시)

      - 정보통신망을 통한 전송 시

        : 웹서버에 SSL(Secure Socket Layer) 인증서를 설치하여 전송하는 정보를 암호화 송· 수신

        : 웹서버에 암호화 응용프로그램을 설치하여 전송하는 정보를 암호화하여 송· 수신

        : 그 밖에 암호화 기술 활용  VPN, PGP 등

      - 보조저장매체로 전달 시 

        : 암호화 기능을 제공하는 보안 저장매체 이용(보안USB 등)

        : 해당 정보를 암호화한 후 보조저장매체에 저장 등

      - 개인정보처리시스템 저장 시 

        : 응용프로그램 자체 암호화(API 방식)

        : 데이터베이스 서버 암호화(Plug-in 방식)

        : DBMS 자체 암호화(TED 방식)

        : DBMS 암호화 기능 호출

        : 운영체제 암호화(파일암호화 등)

        : 그 밖의 암호화 기술 활용

      - 업무용 컴퓨터 및 모바일 기기 저장 시 

        : 문서도구 자체 암호화(오피스 등에서 제공하는 암호 설정 기능 활용)

        : 암호 유틸리티를 이용한 암호화

        : DRM(Digital Right Management) 적용 등

 

    운영 내역(증적) 예시

 

  • 암호통제 정책(대상, 방식, 알고리즘 등)
  • 암호화 적용현황(저장 및 전송 시)
  • 위험도 분석 결과(내부망 고유식별정보 암호화 미적용 시)
  • 암호화 솔루션 관리 화면

 

    ** 인증심사 결함사항 예시 ** (개정 23.11.23.)

 

  1. 내부 정책·지침에 암호통제 관련 법적 요구사항을 고려한 암호화 대상, 암호 강도, 저장 및 전송 시 암호화 방법, 암호화 관련 담당자의 역할 및 책임 등에 관한 사항이 적절히 명시되지 않은 경우
  2. 암호정책을 수립하면서 해당 기업이 적용받는 법규를 잘못 적용하여(정보통신망법 대상자 에게 개인정보 보호법의 암호화 요건 적용) 암호화 관련 법적 요구사항을 준수하지 못하고 있는 경우 (예를 들어, 이용자의 계좌번호를 저장하면서 암호화 미적용) (개정 23.11.23.)
  3. 개인정보취급자 및 정보주체(이용자)의 비밀번호에 대하여 일방향 암호화 적용하였으나 안전하지 않은 MD5 알고리즘을 사용한 경우
  4. 정보통신망법 및 내부 규정에 따라 인터넷 웹사이트에 대하여 보안서버를 적용하였으나, 회원정보 조회 및 변경, 비밀번호 찾기, 비밀번호 변경 등 개인정보가 전송되는 일부 구간에 암호화 조치가 누락된 경우 개인정보처리자가 관련 법규 및 내부 규정에 따라 인터넷 쇼핑몰에 대하여 보안서버를 적용하였으나, 회원정보 조회 및 변경, 비밀번호 찾기, 비밀번호 변경 등 이용자의 개인정보가 전송되는 일부 구간에 암호화 조치가 누락된 경우 (개정 23.11.23)
  5. 정보시스템 접속용 비밀번호, 인증키 값 등이 시스템 설정파일 및 소스코드 내에 평문으로 저장되어 있는 경우 (개정 23.11.23.)
  6. (CELA)외부에서 형상관리서버에 접속 시 암호화를 적용하지 않은 경우
  7. (CELA)비밀번호 저장 시 복호화가 가능한 대칭키 암호화 알고리즘을 사용한 경우
  8. (CELA)(권고)PC 내 중요 개인정보 파일 저장 시 암호화를 적용하지 않은 경우
  9. (CELA)외부에서 접근 가능한 개인정보처리시스템에서 개인정보 다운로드 시 파일 암호화가 적용되지 않은 경우
  10. (CELA)DB 관리자 비밀번호를 설정 파일 내 평문으로 저장하고 있는 경우
  11. (CELA)암호화에 사용하는 솔트(Salt)값이 소스코드에 평문으로 하드코딩되어 있는 경우

2.7.2. 암호키 관리

암호키의 안전한 생성· 이용· 보관· 배포· 파기를 위한 관리 절차를 수립· 이행하고, 필요시 복구방안을 마련하여야 한다.

 

1. 암호키 생성, 이용, 보관, 배포, 변경, 복구, 파기 등에 관한 절차를 수립‧이행하고 있는가?

상세 기준

  - 암호키 관리 담당자

  - 암호키 생성, 보관(소산 백업 등) 방법

  - 암호키 배포 대상자 및 배포방법(복호화 권한 부여 포함)

  - 암호키 사용 유효시간(변경 주기): 암호키 변경 시 비용, 업무중요도 등을 고려하여 결정

  - 암호키 복구 및 폐기 절차와 방법

  - 소스코드에 하드코딩 방식의 암호키 기록 금지에 관한 사항 등

 

(가상자산사업자) 월렛(핫 월렛, 콜드 월렛 등) 개인키의 유출, 도난, 분실을 방지할 수 있는 보안대책 및 절차를 수립ㆍ이행하고 있는가?

상세 기준

  - 신규 코인 상장 시 안전한 개인키 생성 및 배포, 보관 절차

  - 개인키 passphrase 설정 및 관리 방안

  - 개인키의 안전한 보관(핫월렛, 콜드월렛)

  - 개인키 접근 및 사용 절차

  - 개인키 접근권한자에 의한 유출 및 권한 오남용 방지 대책

  - 개인키 백업 및 소산

  - 개인키 관련 책임추적성 확보

  - 블록체인 및 핫/콜드 월렛 상의 보유량 변동 모니터링

  - 기타(키 분할, passhrase 분할, 멀티시그, H/W월렛 등)

 

(가상자산사업자) 멀티시그를 지원하지 않는 코인, 토큰, 플랫폼의 경우에도, 취급업소내 가상자산의 송/수신시 2인 이상의 MFA(Multi-Factor Authentication) 인증, 자체 개발한 멀티시그 기능(2개 이상의 key가 있어야만 거래가 가능하도록 통제 적용) 등을 활용하여 보안이 강화된 안전장치를 적용하고 있는가?

상세 기준

  - 멀티시그를 지원하지 않는 코인, 토큰, 플랫폼의 경우에도, 취급업소내 가상자산의 송/수신시 2인 이상의 MFA(Multi-Factor Authentication) 인증, 자체 개발한 멀티시그 기능(2개 이상의 key가 있어야만 거래가 가능하도록 통제 적용) 등을 활용하여 보안이 강화된 안전장치를 적용

 

(가상자산사업자) 외부 인터넷 구간의 가상자산 노드서버와 분산원장을 동기화하는 취급업소의 노드서버에서는 개인키 및 개인키가 포함된 월렛을 사용하지 않도록 분리하고, 노드서버와 월렛이 분리가 불가능한 경우 그에 대한 보호대책을 마련하고 있는가?

상세 기준

  - 외부 인터넷 구간의 가상자산 노드서버와 분산원장을 동기화하는 취급업소의 노드서버에서는 개인키 및 개인키가 포함된 월렛을 사용하지 않도록 분리

  - 노드서버와 월렛이 분리가 불가능한 경우 그에 대한 보호대책 마련

 

(가상자산사업자) 월렛의 개인키 보안강화를 위하여 멀티시그, 자체 개발 MFA 등 보안강화를 위한 추가 인증수단을 적용하고 있는가?

상세 기준

  - 월렛의 개인키 보안강화를 위하여 멀티시그, 자체 개발 MFA 등 보안강화를 위한 추가 인증수단을 적용

 

2. 암호키는 필요시 복구가 가능하도록 별도의 안전한 장소에 보관하고 암호키 사용에 관한 접근권한을 최소화하고 있는가?

상세 기준

  - 암호키 손상 시 시스템 또는 암호화된 정보의 복구를 위하여 암호키는 별도의 매체에 저장한 후 안전한 장소에 보관(암호키 관리시스템, 물리적 분리된 곳 등)

  - 암호키에 대한 접근권한 최소화 및 접근 모니터링

 

(가상자산사업자) 핫/콜드 월렛에서 사용되는 키, 패스프레이즈는 물리적으로 안전한 장소에 소산하여 보관하고 있는가?

상세 기준

  - 핫/콜드 월렛에서 사용되는 키, 패스프레이즈는 물리적으로 안전한 장소에 소산하여 보관

 

    운영 내역(증적) 예시

 

  • 암호키 관리정책
  • 암호키 관리대장 및 관리시스템 화면

 

    ** 인증심사 결함사항 예시 ** (개정 23.11.23.)

 

  1. 암호 정책 내에 암호키 관리와 관련된 절차, 방법 등이 명시되어 있지 않아 담당자 별로 암호키 관리 수준 및 방법이 상이한 등 암호키 관리 상에 취약사항이 존재하는 경우
  2. 내부 규정에 중요 정보를 암호화할 경우 관련 책임자 승인 하에 암호화 키를 생성하고 암호키 관리대장을 작성하도록 정하고 있으나, 암호키 관리대장에 일부 암호키가 누락되어 있거나 현행화되어 있지 않은 경우
  3. 개발시스템에 적용되어 있는 암호키와 운영시스템에 적용된 암호키가 동일하여, 암호화된 실데이터가 개발시스템을 통해 쉽게 복호화가 가능한 경우 (개정 23.11.23.)
  4. (CELA)운영서버 소스코드 내 DB 암호화 키가 평문으로 하드코딩 되어 있는 경우
  5. (CELA)클라우드에 보관된 암호키에 최소한의 접근권한을 부여하고 있지 않은 경우