산업기술 보호지침

2007. 8.

산 업 자 원 부

목  차

제1장 개 요
	제1절 본 보호지침의 목적					∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙							3
	제2절 본 보호지침의 구성					∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙							4
	제3절 본 보호지침의 활용					∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙							7
제2장 산업기술의 보호수준 자가진단
	제1절 자가진단의 필요성				∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙								11
	제2절 자가진단 방법	∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙											12
제3장 산업기술의 유출 및 침해 예방방법
	제1절 유출방지 및 보호 대상							∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙					25
	제2절 유출 및 침해 예방방법								∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙				28
제4장 산업기술개발시 유출방지 및 보호방법
	제1절 유출 및 침해의 주요원인									∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙			55
	제2절 산업기술개발시 유출방지 및 보호방법										∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙		56
제5장 산업기술계약시 유출방지 및 보호방법
	제1절 기술계약의 유형		∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙										70
	제2절 기술계약 유형별 유출방지 및 보호방법											∙∙∙∙∙∙∙∙∙∙∙∙∙∙	71
제6장 산업기술의 유출 및 침해시 조치방법
	제1절 유출 및 침해의 유형						∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙						80
	제2절 유출 및 침해시 조치방법								∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙				83
	제3절 유출 및 침해에 대한 제재								∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙				85
	제4절 사고를 통한 학습			∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙∙									85

01		제 1 장
		개 요
		제 1 절 본 보호지침의 목적 제 2 절 본 보호지침의 구성 제 3 절 본 보호지치의 활용

	본 보호지침은「산업기술의 유출방지 및 보호에 관한 법률」에 따라 산업기술의 유출방지 및 보호에 관한 방법, 절차 등에 관한 실무 가이드라인으로서 산업기술의 보호수준 자가진단, 산업기술의 유출 및 침해 예방방법, 산업기술 개발시 유출방지 및 보호방법, 산업기술계약시 유출방지 및 보호방법, 산업기술의 유출 및 침해시 조치방법 등으로 구성하여 대상기관이 쉽게 활용할 수 있도록 하였다.

제1절 본 보호지침의 목적

우리나라의 기업, 연구기관, 전문기관, 대학 등(이하 ‘대상기관’이라 한다)은 지속적으로 산업기술을 개발하는 한편, 국내·외 다른 대상기관과의 기술계약을 적극적으로 추진하고 있다. 하지만 산업기술을 개발하고 기술계약을 하는 과정에서 불법적인 산업기술의 유출 및 침해행위가 끊임없이 발생하여 왔고, 이에 적절하게 대응을 하지 못한 대상기관은 힘들게 이루어낸 산업기술을 빼앗기는 경우가 많았다.

정부는 이러한 현실을 직시하고 대상기관이 보유한 산업기술을 보호하기 위해「산업기술의 유출방지 및 보호에 관한 법률」을 제정하였고, 동 법률에 따라 ‘산업기술 보호지침’을 작성하였다.

본 보호지침은 산업기술의 보호수준 자가진단, 산업기술의 유출 및 침해 예방방법, 산업기술 개발 및 기술계약시 유출방지 및 보호방법, 산업기술의 유출 및 침해시 조치방법 등에 대해 대상기관이 활용할 수 있는 방법과 절차 등을 제시하고, 각 대상기관이 자신에게 필요한 사항을 취사선택하여 활용할 수 있도록 하기 위해 마련되었다.

제2절 본 보호지침의 구성

본 보호지침은 총 6개의 장으로, 세부사항을 살펴보면 제1장 개요, 제2장 산업기술의 보호수준 자가진단, 제3장 산업기술의 유출 및 침해 예방방법, 제4장 산업기술 개발시 유출방지 및 보호방법, 제5장 기술계약시 유출방지 및 보호방법, 제6장 산업기술의 유출 및 침해시 조치방법 등 크게 6개의 장으로 구성되어있다.

각 장의 세부내용을 살펴보면 다음과 같다.

1. 제2장 산업기술의 보호수준 자가진단

제2장에서는 대상기관 스스로 산업기술의 보호를 위한 체계가 어느 정도 수준인지 파악할 수 있도록 자가진단표를 제시하였다. 자가진단표는 보유 자산의 통제 및 분류, 산업기술의 유출방지 및 보호 세부규정, 산업기술의 유출방지 및 보호조직의 구성, 인력의 관리, 침입방지, 정보시스템 관리, 사고의 대응 및 복구, 산업기술의 유출방지 및 보호문화 정착 등 총 8개 영역으로 구성되어 있다.

2. 제3장 산업기술의 유출 및 침해 예방방법

제3장에서는 산업기술의 유출방지 및 보호 대상의 선정 방법과 선정된 대상에 대한 유출방지 및 보호조치에 관한 사항을 담고 있다.

유출방지 및 보호 대상 선정과 관련해서는 보유 자산의 분류 및 자산별 문제점 도출, 문제점 예방 대책에 대하여 상세히 기술하였고, 예방방법은 산업기술의 유출방지 및 보호 세부규정, 산업기술의 유출방지 및 보호조직의 구성, 인력의 관리, 침입방지, 정보시스템 관리, 사고의 대응 및 복구, 산업기술의 보호문화 정착 등으로 나누어 제시하였다.

3. 제4장 산업기술개발시 유출방지 및 보호방법

제4장에서는 우선 산업기술의 개발유형을 대상기관 자체 개발, 공동․위탁연구에 의한 개발, 국가연구개발사업을 통한 개발로 구분하여 각 연구개발시 주요 위험요소를 찾아내고 그 위험요소에 대한 보호방법을 제시하고 있다. 이러한 방법은 인력의 관리와 권리설정이 공통적으로 포함되며 개발 단계에 따른 보호방법을 추가로 기술하였다.

4. 제5장 산업기술계약시 유출방지 및 보호방법

제5장에서는 기술계약의 유형과 그 유형별 기술계약 단계에 따른 산업기술의 유출방지 및 보호방법을 기술하였다. 세부유형은 합병계약(M&A), 조인트벤처, 라이선스 계약, 위·수탁 계약이 있으며, 각 유형에서 산업기술의 유출 및 침해의 주요 단계와 단계별 산업기술의 유출방지 및 보호방법을 제시하였다.

5. 제6장 산업기술의 유출 및 침해시 조치방법

제6장에서는「산업기술의 유출방지 및 보호에 관한 법률」에서 규정하고 있는 산업기술 유출 및 침해 유형과 실제 산업기술이 유출 및
침해되었을 경우를 가정하여 각 대상기관에서 조치해야 하는 방법을 기술하였다. 해당 조치방법은 침해신고와 침해신고에 따른 신변보호 등의 요청에 대한 내용을 포함하고 있다. 또한 산업기술의 유출 및 침해시의 벌칙을 기술하였다.

제3절 본 보호지침의 활용

본 보호지침에서 다루고 있는 산업기술의 유출방지 및 보호에 관한 방법과 절차 등은 매우 다양하며, 대상기관의 특성에 따라 적용할 수 있는 것과 적용할 수 없는 것이 있을 수 있다.

따라서 본 보호지침을 활용하기 위해서는 각 대상기관의 고유한 특성을 고려하여 필요한 부분을 선택하여 최적조합을 해야 한다. 즉 현실적으로 실현가능하고 가장 필요하다고 생각되는 부분에 대하여 선택적으로 참조하여 수행할 수 있다.

대상기관이 본 보호지침을 효과적으로 활용하기 위해서는 제2장 산업기술의 보호수준 자가진단을 수행함과 동시에 제3장제1절에 제시되어 있는 보유자산의 분류방법에 따라 보유자산을 분류하고, 각 자산에 대해 유출 및 침해되었을 경우 경영에 가장 큰 피해를 주는 자산부터 우선순위를 정하여 자가진단 결과와 비교하여 유출방지 및 보호대책을 강구하여야 한다.

제4장과 제5장 산업기술개발과 산업기술계약시 유출방지 및 보호방법을 참조하고, 제6장 산업기술의 유출 및 침해시 조치방법을 충분히 숙지하여 실행하는 것이 필요하다.

02		제 2 장
		산업기술의 보호수준 자가진단
		제 1 절 자가진단의 필요성 제 2 절 자가진단 방법

	대상기관이 보유하고 있는 산업기술의 유출방지 및 보호를 위해서는 현재 자신의 산업기술의 보호수준을 파악하여 분야별로 취약한 점이 무엇인지를 우선 알아내는 일이 필수적이다. 이 장에서는 대상기관이 산업기술의 유출방지 및 보호를 위해 자신의 취약한 분야를 스스로 파악할 수 있도록 자가진단방법을 제시하였다.

제1절 자가진단의 필요성

산업기술을 보호하기 위하여 각 대상기관에서 해야 할 일들은 매우 많을 것으로 생각된다. 이는 관련 법률과 정부기관에 의해 강제적으로 의무가 부여된 것도 있겠지만 대상기관 스스로 산업기술을 보호하기 위해 해야 할 일들이 더 많을 수밖에 없다.

그렇다면 각 대상기관에서 산업기술을 보호하기 위하여 가장 먼저 해야 할 일은 무엇일까?

그것은 각 기관이 시행하는 산업기술 보호활동에 관한 상태 즉, 자신이 보유하고 있는 산업기술의 보호수준을 파악하는 것이다. 산업기술의 보호수준의 파악은 산업기술 보호가 미흡한 분야를 찾아내고, 미흡한 분야들을 비교하여 우선순위에 따라 해당 조치를 할 수 있게 하는 데 그 중요성이 있다.

하지만 거의 대부분의 대상기관에서는 산업기술 보호 수준의 파악은 고사하고 어떤 부분이 미흡한지에 대한 진단기준 조차도 없는 형편이다. 따라서 본 지침에서는 국제 정보보호 표준규격인 ISO/IEC 27001을 기준으로 자가진단 기준을 설정하고, 그에 따른 보호조치의 방법들을 제시하였다.

제2절 자가진단 방법

산업기술의 보호수준을 측정하는 자가진단표는 총 여덟 부분으로 나누어있으며, 질문을 통해 진단이 필요한 사항이 무엇인지 알 수 있도록 구성되어 있다. 대상기관은 각 질문에 대해 답을 작성하기만 하면 된다.

작성한 답의 총합은 대상기관의 산업기술 보호수준을 알 수 있는 지표로 사용되며, 각 문항에서 0점으로 평가한 문항은 대상기관의 취약점으로 판단할 수 있다. 따라서 0점으로 평가한 문항은 대책란에서 지시하는 본 지침의 페이지로 이동하여 그 내용에 따라 조치하면 된다.

90점 이상	안전 수준 산업기술을 보호하기 위한 현행 노력을 지속하면 산업기술의 유출 및 침해사고 발생에 대한 피해가 최소화되는 수준.
80점 ~ 89점	양호 수준 특정한 분야에 유출 및 침해의 가능성이 내재해 있는 수준. 나름의 방법대로 시행해 왔으나 전문적인 진단 후 조치해야 함
70점 ~ 79점	취약 수준 산업기술의 유출 및 침해에 따라 심각한 피해를 가져올 수 있는 수준.
70점 이하	위험 수준 보유한 주요 산업기술은 이미 공개되었다고 생각해도 무방한 수준

1. 보유 자산의 분류 및 통제

질문항목		평가	대책
1.1	보유한 자산에 대한 분류기준이 있는가? ① 분류기준이 있고 분류기준을 준수하고 있다.(2점) ② 분류기준은 있으나 준수하고 있지 않다.(1점) ③ 분류기준이 없어 분류하지 못하고 있다.(0점)		p25 ～ p27
1.2	분류된 자산은 책임자를 선정하여 관리하고 있는가? ① 자산별 책임자를 임명하여 관리하고 있다.(2점) ② 부서에만 책임을 지게하고 있다.(1점) ③ 자산 책임자는 없다.(0점)		p25 ～ p27
1.3	산업기술 관련 자료는 어떤 형태로 보관하고 있는가? ① 자료는 전자문서로 권한 설정이 되어 있다.(2점) ② 출력문서와 전자문서이며 일부 권한설정이 되어있다.(1점) ③ 출력문서로 존재하며 보관이 취약하다.(0점)		p25 ～ p27
1.4.	자산에 대한 주기적인 평가는 시행되고 있는가? ① 매년 주기적으로 평가하고 있다.(2점) ② 주기적인 아니지만 필요시 시행하고 있다.(1점) ③ 시행하고 있지 않다.(0점)		p25 ～ p27
1.5.	자산에 대해 등급설정 및 표시를 하고 있는가? ① 자산의 중요도에 따라 등급을 표시하고 있다.(2점) ② 등급은 설정되어 있으나 표시는 하지 않는다.(1점) ③ 등급 / 표시를 사용하지 않는다.(0점)		p25 ～ p27

2. 산업기술 보호 세부규정

질문항목		평가	대책
2.1.	산업기술 보호 세부규정을 보유하고 있는가? ① 보유하고 있다.(1점) ② 보유하고 있지 않다.(0점)		p28
2.2	세부규정은 주기적으로 갱신되고 있는가? ① 주기적으로 갱신하고 있다.(2점) ② 갱신할 필요가 있을 때만 갱신하고 있다.(1점) ③ 갱신하고 있지 않다.(0점)		p28
2.3	경영진에 의해 제·개정 시 확인되고 있는가? ① 항상 경영진이 확인하고 있다.(2점) ② 경영진은 부서장에게 위임하여 중요내용만 확인 하고 있다.(1점) ③ 전혀 확인하고 있지 않다.(0점)		p28
2.4	산업기술 보호 세부규정의 제·개정 시 임·직원에게 그 사실을 공지하고 있는가? ① 항상 공지하고 있다.(2점) ② 중요 사항이 제·개정 되었을 경우에만 알리고 있다.(1점) ③ 전혀 알리고 있지 않다.(0점)		p28
2.5	산업기술 보호 세부규정에 무슨 내용이 필요한지 알고 있는가? ① 자세히 알고 있다.(2점) ② 대략적으로 알고 있다.(1점) ③ 전혀 모르고 있다.(0점)		p28 ～ p30
2.6	포함되어야 하는 사항을 모두 포함하고 있는가? ① 전부 포함하고 있다.(2점) ② 일부만 포함하고 있다.(1점) ③ 전혀 포함하고 있지 않다.(0점)		p28 ～ p30

3. 산업기술 보호조직 구성

질문항목		평가	대책
3.1	산업기술 보호의 역할을 하는 부서가 존재하는가? ① 존재한다.(1점) ② 존재하지 않는다.(0점)		p31 ～ p32
3.2	산업기술 보호조직 구성 방법 및 조직별 업무에 대해서 알고 있는가? ① 잘 알고 있다.(1점) ② 전혀 모르고 있다.(0점)		p31 ~ p35
3.3	산업기술 보호조직에서는 업무가 분담되어 있는가? ① 개인별로 분담되어 있다.(2점) ② 분담하지 않고 모든 업무를 통합하여 수행한다.(0점)		p32 ～ p35
3.4.	임·직원의 업무에 산업기술 보호에 관한 업무를 부가하고 있는가? ① 모든 임·직원에게 부가하고 있다.(1점) ② 부가하고 있지 않다.(0점)		p32 ～ p35

4. 인력 관리

질문항목		평가	대책
4.1	임·직원에 대해 산업기술 보호를 의무화 하고 있는가? ① 모든 임·직원에 대해 의무화 하도록 규정하고 있다.(2점) ② 중요직급 및 직위에만 의무화 하도록 하고 있다.(1점) ③ 의무화 하고 있지 않다.(0점)		p36
4.2	산업기술 보호 관련 서약을 작성 및 보관하고 있는가? ① 주기적으로 서약서를 작성하여 보관하고 있다.(2점) ② 작성은 하는데 보관하지는 않는다.(1점) ③ 작성하지도, 보관하지도 않는다.(0점)		p36 ～ p38
4.3	퇴직자 관리를 하고 있는가? ① 퇴직 징후포착 시점부터 퇴직 이후까지 관리하고 있다.(2점) ② 퇴직이전 까지는 관리하고 있으나 퇴직 이후는 알 수 없다.(1점) ③ 별다른 조치를 한 적 없다.(0점)		p37 / p59
4.4	퇴직자의 동향을 파악하고 있는가? ① 퇴직자의 동향을 파악하고 있다.(2점) ② 주요 임직원에 한정하여 파악하고 있다.(1점) ③ 전혀 파악하고 있지 않다.(0점)		p59
4.6	업무를 위한 아웃소싱 규정이 수립되어 있는가? ① 규정이 수립되어 있어 준수하고 있다.(2점) ② 규정은 있으나 준수하지 않는다.(1점) ③ 규정이 없다.(0점)		p29
4.7	제3자(외주업체, 아웃소싱 업체, 외국인 등)의 관리를 하고 있는가? ① 규정에 제3자에 대한 관리방법이 명시되어 있어 준수하고 있다.(1점) ② 해당 인원들은 아무 제재를 받지 않고 사업장을 출입할 수 있다.(0점)		p36 ～ p38

5. 침입 방지

질문항목		평가	대책
5.1	중요 시설의 분류기준이 있는가? ① 기준이 있고 주기적으로 검증하고 준수한다.(2점) ② 기준은 존재하나 지키지 않는다.(1점) ③ 기준이 없다.(0점)		p39
5.2	분류기준에 따라 시설을 분류하고 있는가? ① 분류기준에 따라 분류하고 있다.(1점) ② 분류기준이 없어 분류하지 않고 있다.(0점)		p39
5.3	중요시설은 출입통제 및 시건장치를 하고 있는가? ① 내부인도 일부 인원만 한정되어 있다.(2점) ② 외부인만 못 들어가고 내부인은 마음대로 들어갈 수 있다.(1점) ③ 아무나 출입할 수 있다.(0점)		p39 ～ p41
5.4	중요 시설 및 외곽지역에 대해 CCTV등 감시장치가 있는가? ① 중요시설 및 외곽지역 모두 설치 되어 있다.(2점) ② 일부지역에만 설치하여 모든 감시가 이루어지지 않는다.(1점) ③ 설치가 되어 있지 않다.(0점)		p39 ～ p41
5.5	재해 발생 시 피해를 줄일 수 있는 장비가 설치되어 있는가? ① 전원, 화재 등에 대한 대비 장비를 보유하고 있다.(2점) ② 화재관련 장비만 보유하고 있다.(1점) ③ 그런 장비는 보유하고 있지 않다.(0점)		p42
5.6	장비의 사용 불가 시 폐기 절차가 있는가? ① 있다.(1점) ② 없다.(0점)		p42

6. 정보시스템 관리

질문항목		평가	대책
6.1	정보시스템에 보관된 자료는 어떻게 관리되고 있는가? ① 권한별, 직군별 등으로 접근이 제어되어 있다.(2점) ② 사내 시스템에 접근 가능하면 자료 대부분을 볼 수 있다.(1점) ③ 모든 자료는 언제든지 접근가능하다.(0점)		-
6.2	정보시스템 별 보안설정을 시행하고 있는가? ① 보안설정을 주기적으로 점검 및 시행하고 있다.(2점) ② 필요가 있을 때만 시행하고 있다.(1점) ③ 시행하고 있지 않다.(0점)		p43 ～ p44
6.3	바이러스 침입, 해킹 등의 방지대책을 강구하였는가? ① 정보보호 컨설팅의 결과에 따라 각종 보안 솔루션을 도입하여 운영하고 있다.(2점) ② 일부 알려진 솔루션만 구입하여 사용하고 있다.(1점) ③ 대책이 없다.(0점)		p43
6.4	패스워드의 보안관리를 하고 있는가? ① 패스워드는 3개월을 기준으로 바꾸고 있으며 이를 점검한다.(2점) ② 패스워드는 주기적으로 바꾸도록 권하고는 있으니 점검하지는 않았다.(1점) ③ 사용자 마음대로 하게 두었다.(0점)		p43
6.5	자리 이석 시 화면보호기 작동을 설정하였는가? ① 자리 이석 시 화면보호기를 작동시키고 책상을 깨끗이 치우도록 하고 있다.(2점) ② 화면보호기는 작동하나 비밀번호 설정이 되어 있지 않다.(1점) ③ 화면보호기를 전혀 사용하지 않는다.(0점)		p43

질문항목		평가	대책
6.6	전산망은 외부의 침입으로부터 안전한가? ① 내부 및 외부망으로 구분되어 있고 내부망 접근시 별도의 인증이 필요하다.(2점) ② 내부망 접근시 별도의 인증없이 사용할 수 있다.(0점)		-
6.7	이메일에 대한 통제를 실시하고 있는가? ① 모든 메일은 문서 통제대책(DRM 등)을 활용하여 발송하도록 하고 있다.(2점) ② 외부로의 발송은 통제하고 있으나 내부로의 발송은 전혀 통제하고 있지 않다.(1점) ③ 내부이든 외부이든 언제나 이메일을 발송할 수 있다.(0점)		p43
6.8	정보시스템의 사용 내역 등의 로그를 기록하고 유지하는가? ① 로그를 기록하고 법령에 따라 보관하고 있다.(2점) ② 로그를 기록하지만 용량의 문제로 법령의 규정에 못 미치는 수준으로 보관하고 있다.(1점) ③ 전혀 기록하지 않는다.(0점)		-
6.9	정보시스템에 대해 유지보수를 실시하고 있다. ① 정보시스템 설치 업체와의 계약을 통해 지속적인 유지보수를 실시하고 있다.(2점) ② 문제 발생 시에만 생각나는 업체에 부탁하여 유지보수하고 있다.(1점) ③ 유지보수는 하지 않고 있다.(0점)		-

7. 사고의 대응 및 복구

질문항목		평가	대책
7.1	최근에 산업기술이 유출 및 침해 대응 절차에 대해 홍보하고 있는가? ① 있다.(1점) ② 없다.(0점)		p46 ～ p47
7.2	유출 및 침해사고 예방을 실시하고 있는가? ① 예방의 방법을 확인하여 계획대로 시행하고 있다.(1점) ② 전혀 실시하고 있지 않다.(0점)		p25 ～ p51
7.3	개발 시 법적 권리를 설정하고 있는가? ① 특허권, 저작권, 실용신안 등의 권리를 설정하고 있다.(2점) ② 어떻게 설정하는지 몰라 그냥 두고 있다.(0점)		p59 ～ p61
7.4	권리설정 방법 및 절차를 알고 이행하고 있는가? ① 알고 있고 이행하고 있다.(2점) ② 방법을 몰라 이행하고 있지 않다.(1점) ③ 권리가 무엇인지 모른다.(0점)		p59 ～ p61
7.5	산업기술 개발 시 유출 및 침해 예방절차가 있는가? ① 개발 단계에 따른 위험을 판단하여 예방하고 있다.(2점) ② 위험이 있음을 인지만 하고 있다.(1점) ③ 위험이 없었다. 따라서 앞으로도 없을 것이다.(0점)		p62 ～ p65
7.6	공동연구 및 위탁연구로 산업기술을 개발 시 유출 및 침해 방지대책이 있는가? ① 유출 및 침해를 막기 위한 대책을 강구하여 시행하고 있다.(2점) ② 참여한 연구원에 대해서만 통제하고 있다.(1점) ③ 믿고 개발하고 있다.(0점)		p64 ～ p65
7.7	국가연구개발사업 공통보안지침을 준수하고 있는가? ① 국가연구개발사업의 공통보안지침을 준수하고 있다.(2점) ② 공통보안지침을 일부 준수하고 있다.(1점) ③ 시행하고 있지 않다.(0점)		p62 ～ p63 / 부록#4
7.8	국가연구개발사업 시행에 대한 이행사항을 알고 있는가? ① 알고 있으며 계획을 세워 조치하고 있다.(1점) ② 잘 모른다.(0점)		p62 ～ p63

질문항목		평가	대책
7.9	유출 및 침해사고 발생 시 대응절차가 수립되어 있는가? ① 대응절차를 수립하여 시행하도록 훈련하고 있다.(2점) ② 대응절차는 수립하였으나 주기적인 갱신이나 훈련은 실시하고 있지 않다.(1점) ③ 대응절차는 없다.(0점)		p79 ～ p85
7.10	산업기술 거래 시의 유출 및 침해 대응 절차가 있는가? ① 거래 종류에 따른 단계별 대응절차가 각각 있다.(1점) ② 대응 절차는 없다.(0점)		p71 ～ p76
7.11	산업기술 거래 시 유출 및 침해되는 주요 원인을 알고 있고 내부적으로 홍보하고 있는가? ① 주요 원인을 알고 있으며 그에 따라 해결책을 홍보하고 있다.(1점) ② 원인에 대해서 알지 못하고 사례 홍보도 하지 못하고 있다..(0점)		p71 ～ p76
7.12	산업기술의 거래(기술계약)의 종류 및 위험부분을 알고 있는가? ① 종류 및 위험부분을 잘 알고 있다.(1점) ② 종류 및 위험부분에 대해 전혀 모르겠다.(0점)		p71 ～ p76
7.13	계약 종류별 단계에 따른 보안조치사항에 대해 알고 있는가? ① 보안 조치사항에 대해 자체 수립하여 계획대로 시행하고 있다.(1점) ② 무엇을 해야 하는지 잘 모르겠다.(0점)		p71 ～ p76
7.14	계약에 따라 산업기술의 유출이 주로 발생하는 단계를 알고 있는가? ① 취약한 시점을 파악하여 특별관리 하고 있다.(1점) ② 잘 몰라서 항상 조심하고 있다.(0점)		p71 ～ p76
7.15	산업기술의 유출 및 침해 시 조치사항을 알고 있는가? ① 신고, 법적대응 등의 절차를 알고 있다.(1점) ② 방법을 몰라 사고 발생 시 타격이 클 것 같다.(0점)		p79 ～ p85
7.16	산업기술 유출 및 침해 유형을 파악하고 있는가? ① 유형을 파악하고 있어 징후가 발생하면 발견할 수 있다.(1점) ② 전혀 파악하고 있지 않다.(0점)		p80 ～ p82

8. 산업기술의 보호문화 정착

질문항목		평가	대책
8.1	생활보안 준수사항을 전파하고 실천하도록 하고 있는가? ① 전파 및 실천하고 있다.(1점) ② 전파 및 실전하지 않고 있다.(0점)		p43 / p48
8.2	임·직원의 산업기술 보호를 위한 교육을 실시하고 있는가? ① 주기적으로 실시하고 있다.(2점) ② 비정기적으로 교육한다.(1점) ③ 교육이 거의 이루어지고 있지 않다.(0점)		p49 ～ p50
8.3	산업기술 보호에 관련된 업무가 정상적으로 수행되고 있는지를 점검하는 절차가 있는가? ① 자체 점검부서를 보유하고 있어 지속적하고 점검하고 개선한다.(2점) ② 점검은 수해하는 개선되는 부분은 거의 없다.(1점) ③ 점검하는 절차가 없어 점검자체가 이루어지지 않고 있다.(0점)		p51
8.4	산업기술 보호를 위한 정보보호 비용수준은 어떠한가? ① 관리적, 기술적, 물리적 분야에 대해 매년 일정비용 이상을 꾸준히 투자하고 보호방안을 확대 하고 있다.(2점) ② 특정 분야(방화벽, IDS, CCTV 등)에만 필요시 비용투자가 이루어지고 있다..(1점) ③ 이루어지고 있지 않다.(0점)		-
8.5	산업기술의 보호를 위해 외부 기관의 도움을 받고 있는가? ① 도움을 받고 있다.(1점) ② 어디에 도움을 청해야 할지 잘 모르겠다.(0점)		p35, p45, p50, p84

03		제 3 장
		산업기술의 유출 및 침해 예방방법
		제 1 절 유출방지 및 보호 대상 제 2 절 유출 및 침해 예방방법

	이 장에서는 산업기술의 유출 및 침해를 예방하기 위해 유출방지 및 보호 대상이 무엇인지 확인하고, 적용 가능한 예방방법을 제시하였다. 구체적인 예방방법은 산업기술의 유출방지 및 보호 세부규정 수립, 산업기술의 유출방지 및 보호조직 구성, 인력 관리, 침입방지, 정보시스템 관리, 사고의 대응 및 복구, 산업기술의 보호문화 정착 등이다.

대상기관이 보유하고 있는 산업기술의 유출을 방지하고 보호하려는 경우 구체적으로 무엇을 보호해야 하는지 판단하는 것은 어려운 일이다. 산업기술은 추상적인 개념일 뿐 아니라 그 산업기술을 담고 있는 형태가 대상기관별로 다양하기 때문에 하나로 규정짓기 어렵다고 할 수 있다. 따라서 구체적으로 무엇을 보호해야하는지 그 대상을 규정하는 것이 매우 중요하다.

산업기술이 어떠한 형태로 존재하고 있는지 알 수 있는 가장 교과적인 방법은 대상기관이 보유하고 있는 모든 자산(유형적, 무형적 자산을 모두 포함한다)의 중요도 및 위험도를 평가하면 정량적 수치로 그 결과를 얻을 수 있다.(부록 #1 작성 예시 참조)

그 결과 위험도가 높은 자산항목에 대하여 조치해야 할 사항이 이 장에서 제시하고 있는 예방방법이다. 따라서 이 장에서는 대상기관의 산업기술이 어떤 형태로 존재하고 있는지, 판단의 기준과 유출 및 침해의 예방방법을 제시하였다.

제1절 유출방지 및 보호 대상

1. 보유 자산의 분류

대상기관이 보유하고 있는 자산은 국제 정보보호 표준규격(ISO/IEC 27001)에 따라 다음과 같이 분류할 수 있다.

구 분	세 부 내 용
정보자산	대상기관이 보유 / 관리하고 있는 모든 종류의 정보 - 금융정보, 세일즈/마케팅정보, 업무관련정보, 조직정보, 개인정보, DB 등
문서자산	대상기관이 보유 / 관리하고 있는 모든 출력문서 - 정책 / 지침, 업무관련 문서, 인사기록, 송장 등
소프트웨어 자산	정보시스템에서 사용하는 프로그램 - 운영 프로그램, 어플리케이션 프로그램, 통신 프로그램 등
물리적 자산	업무에 활용되는 하드웨어 - 서버, 책상 / 의자 등
인력 자산	대상기관에 속해있는 모든 인원 - 내부직원, 퇴직자, 제3자(외주업체, 컨설턴트 등), 아웃소싱 직원, 고객 등
대외기관 제공 서비스	대외기관에서 제공받는 서비스 - 정보 서비스, 통신 서비스, 전원, 수도, 사무실 등

2. 각 자산의 위험 도출 및 대책

앞의 분류방식에 의해 모든 자산을 분류한 후, 그 자산을 관리하는 책임자에게 해당 자산에 대한 평가를 실시한다.(부록 #1 작성 예시 참조)

이러한 평가는 매우 주관적으로 생각될 수 있으나, 책임자는 해당 자산이 침해 되었을 경우 대상기관에 얼마만큼의 피해를 줄 수 있는지를 최대한 객관화하여 산정한다. 이를 위험 평가라 한다.

이와 같은 자산의 분류 및 위험의 도출은 대상기관에서 직접 수행하기 어려울 수도 있다. 그래서 대부분의 대기업은 자체 자산관리를 전담하는 부서를 만들어 관리하기도 하지만, 외부 전문기관의 컨설팅을 통해 위험 도출 및 대책을 수립하기도 한다. 참고로 이와 같이 자산을 분류하고 위험들을 도출해 나가는 과정은 향후 ISO/IEC 27001 등의 정보보호 표준규격 인증을 획득하는 데 있어 매우 중요한 요건이 되므로 나중을 위해서라도 반드시 수행해 둘 필요가 있다.

위험평가 결과 중 높은 위험을 가졌다고 평가를 받은 자산에 대해 적당한 통제를 가해야 한다. 그 통제란 바로 다음절부터 제시되는 예방방법을 의미한다.

제2절 유출 및 침해 예방방법

1. 산업기술의 유출방지 및 보호 세부규정의 수립

대상기관이 보유하고 있는 산업기술을 보호하기 위해 필요한 것 가운데 가장 기본이 되는 것이 바로 ‘산업기술의 유출방지 및 보호 세부규정’(이하 규정이라 함)이다. 동 규정은 산업기술의 유출방지 및 보호를 위해 대상기관이 지켜야 할 산업기술 보호의 원칙이라 할 수 있다.

따라서 세부규정의 수립은 무엇보다 정확해야하고, 이해하기 쉬워야 하며, 실천이 가능해야하고, 세밀한 부분까지 언급되어야 한다.

또한 산업기술 보호 세부규정은 주기적으로 제·개정하고, 제·개정이 되었을 경우 경영진에 의해 결재를 받은 후 그 사실을 모든 임·직원에게 공지하여야 그 효력이 발휘될 수 있다. (부록 #2 작성 예시 참조)

가. 산업기술의 유출방지 및 보호 세부규정에 포함되어야 하는 사항

동 규정에는 다음과 같은 사항이 반드시 포함되어야 한다.

첫째, 대상기관이 보유하고 있는 자산에 대한 분류의 기준이 명확히 수립되어야 한다. 분류의 기준은 본 보호지침의 분류기준(제2장 제1절)을 활용할 수도 있고 대상기관 내부의 기준을 사용할 수도 있다. 또한 그 기준에 맞도록 자산별 등급의 분류 및 라벨링에 관한사항이 포함되어야 한다.

둘째, 산업기술의 유출방지 및 보호를 위한 기관 내부 조직(혹은 부서)의 구성 및 운영방안이 포함되어야 한다. 즉, 기관 전체에서 산업기술 보호조직(부서)의 위치(직위), 업무관계, 업무절차, 업무방법 등 역할 및 책임을 규정해야 한다. 또한 조직(부서)을 구성하는데 필요한 인력에 대해서도 역할 및 책임을 명시해야 하며, 그 방법은 각 조직(부서)을 구성하는데 필요한 인원을 직접 명시할 수도 있고, 직책으로 임명할 수도 있다. 아울러 내부 조직뿐만 아니라 외부 기관(정보수사기관, 통신사 등)과의 공조 및 연락체계 유지를 위한 비상연락망 등을 명시해 두어야 한다.

셋째, 인력의 관리에 관한 사항도 포함되어야 한다. 산업기술의 유출방지 및 보호를 위해 인력을 관리하려면 인력 구분이 우선되어야 하는데 관리대상 인력은 채용 예정자, 현직원, 퇴직자(예정자 포함), 외부인(외주업체 직원, 컨설턴트 등), 외국인(외국인 연구원, 산업연수생 등) 등으로 할 수 있다. 이와 같이 보유인력을 구분하여 각 구분에 맞는 관리대책을 세울 수 있도록 규정에 명시해야 한다. 특히 산업기술의 유출방지 및 보호를 위하여 모든 인원에게 산업기술보호 서약서 등을 징구하거나 퇴직자의 퇴직 후 동향을 파악하는 등의 활동을 규정해야 한다. 아울러 임·직원에 대한「직무발명보상」등을 통해 전직에 대한 유혹을 방지할 수 있는 근본적인 대책을 마련하는 것이 무엇보다 중요하다.

넷째, 침입의 방지와 관련한 사항이 포함되어야 한다. 대상기관별 보유하고 있는 시설 중 중요 시설 및 설비가 무엇인지 정의하고 각 시설 및 설비에 맞는 보호조치 등이 규정되어야 한다. 또한 화재, 정전 등의 재해 발생 시 피해를 줄일 수 있는 장비에 대해서도 설치 기준을
명시하여야 한다.

다섯째, 대상기관이 사용하고 있는 모든 정보시스템에 대해 보안대책을 명시해야 한다. 이와 같은 보안대책은 서버․PC․노트북 등 장비별, 화면보호기 설정․Anti-Virus 등 소프트웨어별 등으로 나눌 수 있다. 보다 자세한 사항은 한국정보보호진흥원 홈페이지(www.kisa.or.kr)를 참조하면 알 수 있다. 또한 외부로 발송되는 메일 등에 대한 관리규정을 두어 메일을 통해 손쉽게 빼내는 일을 막아야 한다.

여섯째, 사고의 대응 및 복구는 산업기술의 유출 및 침해의 예방방법부터 유출 및 침해사고 발생 시 대응 및 복구하는 방법까지 시나리오 형식으로 반영되어야 한다. 예방에는 산업기술의 유출 및 침해가 발생 가능한 부분을 미리 점검하여 명시해 두고 취약점을 보완하도록 계획해야 하며, 사고 발생 시의 조치방법에는 최초 사고의 인지시점부터 법적 대응까지 일련의 과정에 대해 미리 확인하여 행동요령을 명시해 두는 것이 바람직하다. 또한 사고발생 원인 및 취약점을 분석하여 규정 등에 재 반영, 같은 사고 재발 방지를 위한 프로세스가 정립되고 포함되어야 한다.

마지막으로 산업기술의 보호문화 정착을 위한 사항이 규정되어야 한다. 이는 산업기술의 보호관련 교육 실시, 규정에 명시된 사항들에 대한 이행실태 점검 및 외부 기관과 경영진에 의한 투자 등이다.

2. 산업기술의 유출방지 및 보호조직 구성 및 운영

가. 산업기술의 유출방지 및 보호조직의 구성 방법

산업기술의 유출방지 및 보호를 위해서는 기관별로 산업기술 보호조직이 필요하다. 그 조직은 상설조직이거나 임시조직 이어도 상관없으나, 산업기술의 보호와 유출대응 등의 업무를 수행 할 수 있어야 한다. 그러나 모든 대상기관에서 이러한 조직을 운영하기는 어렵다. 임·직원이 10여명에 불과한 대상기관에서는 현실적으로 불가능할 수 있다. 하지만 규모가 작다고 해서 산업기술이 유출될 가능성이 없지 않기 때문에 산업기술 보호업무수행 기능은 필요하다. 따라서 조직을 구성할 수 있는 큰 규모의 대상기관은 조직을 구성하고, 조직을 구성하기 어려운 작은 규모의 대상기관은 산업기술의 유출방지 및 보호조직의 업무내용을 알고 있는 담당자로 하여금 그 업무를 수행하도록 해야 한다.

일반적인 산업기술의 유출방지 및 보호조직은 다음과 같이 구성된다.

위의 그림에서 보는 바와 같이 최고 경영자 밑에 산업기술의 유출방지 및 보호 총괄 책임자를 임명하여 관리하도록 한다.

그 밑에는 각 부서의 장을 산업기술관리 본부장으로 임명하여 각 부서의 산업기술 보호 및 유출예방 활동업무를 하도록 한다. 대상기관 전체의 지원은 경영지원파트의 총무, 인사, 법무, 시설, 장비, IT 등에서 각자의 분야에서 지원하도록 하고, 심의․결정사항이나 규정의 제정 등의 역할은 산업기술관리 위원회를 두어 운영한다.

산업기술관리 본부장(부서장)의 밑에는 산업기술 관리자, 산업기술보호 책임자, 산업기술관리 담당자를 본부장이 임명하도록 하여 산업기술보호 관련 업무를 수행하도록 한다.

나. 산업기술의 유출방지 및 보호조직의 역할 및 책임

각 산업기술의 유출방지 및 보호조직의 역할 및 책임은 다음과 같고 모든 임·직원이 알 수 있도록 규정 등에 명시해야 할 필요가 있다.

구 분	역할 및 책임
산업기술관리 위원회	· 산업기술보호 규정 제정, 주요계획, 주요정책과 상벌 등의 심의 · 특허 등의 산업기술 보호방법 결정 · 핵심비밀 취급자 및 퇴직자의 관리정책, 비밀보호와 관련된 임·직원 등의 우대 정책, 기타 비밀보호에 관한 주요정책 결정
시행 조직
산업기술관리 본부장	· 조직 전체 산업기술 관리에 대한 총괄적인 조정 통제 업무 · 산업기술 관리 지침 작성, 계획 작성 · 산업기술 보호의 총괄 조정, 지도교육, 감사업무 · 사고의 조사 보고 및 대응조치 · 산업기술 보호를 위한 상담센터 운영

구 분	역할 및 책임
산업기술 관리자	· 부서 내 산업기술 관련 문서의 생산, 보관, 관리 · 소속직원에 대한 산업기술유지 교육 및 직원 관리 · 산업기술의 수발신의 통제, 산업기술 안전관리, 보호조치 · 소관 퇴직자의 관리, 자체점검, 소관장비 관리, 기타 주요사항
산업기술보호 책임자	· 산업기술 관리자를 보조하는 총괄 실무 담당 · 산업기술 취급과 관리를 위한 실무 책임자 · 소관장비, 시설관리 실무책임, 모든 안전조치 및 보호의 실행
산업기술관리 담당자	· 산업기술 관련 문서의 수발, 대장정리, 출입자 관리, 각종 장비, 문서 및 디스켓 등 관리 · 산업기술 관리자 / 산업기술보호 책임자의 보조
지원조직	산업기술 유출 예방 관련업무	산업기술 유출 대응 업무
총무부서	· 보안조직 예산 편성 · 유관기관과의 협조 체계 구축 · 유사 업종 및 전문 컨설팅 업체 등 자문기관 활용한 보안관리 방안 강구	· 사고 발생 시 사고 종합 · 피해조사 / 사고조사 주관 · 피해에 따른 조직운영 방안 모색 및 경영진 보고
인사부서	· 임·직원에 대한 지속적인 교육 및 면담을 통한 개인별 신상확인 · 임·직원의 충성심 유발을 위한 활동	· 기술 유출자에 대한 색출 · 퇴직자 근황 조사 · 기술 유출자에 대한 징계 · 기술 유출자에 대한 고용계약서 확인 및 법무 담당자에게 이관

구 분	역할 및 책임
법무부서	· 각종 지침의 법률적합성 확인 · 법률 조언 · 각종 계약 체결 시 산업기술 유출 대비 법률조언	· 소송 가능성 판단 · 소송에 필요한 서류 및 증거 등 준비
시설/장비 관리부서	· H/W, S/W, 외주 관리 등에 대한 구매 정책 수립 및 실행 · 설비 운영 및 운영현황 파악 · 유지보수 및 방재관리 · 전산장비 내 자료 삭제 후 개인별 지급	· 사고 발생 시 대응지원 및 결과 분석을 통한 예방체계 수립
IT관리부서	· 임·직원에 대한 시스템 접근권한 부여 · 정보자산 관리 · 침입탐지 / 방지 시스템 운영	· 사고에 대한 증적 확보 · 기술 유출자에 대한 보안 서약서 확인 / 법무 담당자에게 이관

다. 외부 기관과의 연락체계 유지

산업기술의 보호를 위해서는 대상기관 스스로의 노력이 가장 필요하지만, 부담을 덜면서 확실한 지원을 얻기 위해서는 외부의 기관을 잘 활용해야 한다. 따라서 산업기술의 유출 및 침해의 예방, 사고 발생 시 대응 등의 활동을 지원해주는 외부 기관을 식별하고 연락관계를 유지해야만 신속한 조치가 가능하다.

또한 위의 사항들을 산업기술 보호 세부규정에도 명시해야 한다.

라. 기관별 지원내용

기 관 명	지원 내용
정부	① 산업기술 보호 설비 구축에 필요한 기술 및 경비 지원 ② 산업보안기술의 개발지원 ③ 산업기술 보호교육 ④ 산업기술보호 유공자 포상 ⑤ 국제협력사업 추진 ⑥ 산업기술 보호협회 사업 지원 지원
국가정보원 산업기밀 보호센터	① 첨단기술 해외유출 방지활동 및 보호조치 ② 국가 연구개발 사업 보안 실태점검 및 보안관리 ③ 지재권 침해 대응 활동 ④ 산업보안 설명회 및 워크숍 개최 ⑤ 산업보안 협의회 운영 ⑥ 산업보안 관련 정책자료 제작 / 지원 ⑦ 산업스파이 신고상담소 운영 ⑧ 민간분야 보안역량 강화를 위한 산업기술 보호협회 사업지원 ⑨ 산업기술을 해외로 유출사실 신고 시 보호조치 등 초동조치
경찰청	① 산업기술유출 신고접수 ② 산업기술유출 수사 ③ 산업보안협의회 운영 ④ “산업스파이신고” 접수 온라인 운영
산업기술 보호협회	① 산업기술보호를 위한 정책의 개발 및 협력 ② 산업기술의 해외유출 관련 정보 전파 ③ 산업기술의 유출방지를 위한 상담·홍보·교육·실태조사 ④ 국내외 산업기술보호 관련 자료 수집·분석 및 발간 ⑤ 산업기술분쟁조정위원회의 업무지원 ⑥ 그 밖에 산업자원부장관이 필요하다고 인정하여 위탁하거나 협회의 정관이 정한 사업

3. 인력 관리

가. 인력의 구분

인력은 그 대상에 따라 교육 및 관리의 방법이 차이가 날 수 있다. 일반적인 인력의 구분은 채용예정자(신규/경력), 현직원(중요직/일반직), 퇴직자, 외부인, 외국인으로 구분한다. 그 구분에 따른 산업기술 예방대책은 다음과 같다.

나. 채용예정자

(1) 신규 채용예정자

신규로 채용되는 인력에게 산업기술을 보호하도록 하기 위하여서는 다음과 같은 대책을 취한다.

교육	☞ 산업기술 보호 세부규정의 내용 ☞ 산업기술의 중요성과 필요성 ☞ 산업기술 보호의무의 위반에 대한 벌칙
서약서 징구	☞ 산업기술 보호 서약서 (산업기밀 보호센터 홈페이지 www.nisc.go.kr 자료실 내 입사시 서약서 참조)

(2) 경력직 채용예정자

유사한 업종의 다른 기관에서 근무했던 인력을 채용할 경우 다음과 같은 보호조치를 취한다.

교육	☞ 산업기술 보호 세부규정의 내용 ☞ 산업기술의 중요성과 필요성 ☞ 산업기술 보호의무의 위반에 대한 벌칙 ☞ 이전 직장의 기술을 활용한 업무 금지
서약서 징구	☞ 산업기술 보호 서약서

나. 현직원

(1) 중요 산업기술 취급 임·직원

재직 중인 임·직원 중 중요한 산업기술을 취급하는 임·직원의 경우에는 다음과 같은 보호조치를 취한다.

교육	☞ 산업기술 보호 세부규정의 내용 ☞ 산업기술의 중요성과 필요성 ☞ 산업기술 보호의무의 위반에 대한 벌칙
서약서 징구	☞ 산업기술 보호 서약서

(2) 일반직 임·직원

중요 산업기술을 취급하지 않는 일반직 임·직원의 경우에는 다음과 같은 보호조치를 취한다.

교육	☞ 산업기술 보호 세부규정의 내용 ☞ 산업기술의 중요성과 필요성
서약서 징구	☞ 산업기술 보호 서약서

다. 퇴직자

퇴직하려는 인력 및 퇴직인력에 대해서는 다음과 같은 보호조치를 취한다.

교육	☞ 퇴직 후 산업기술 관련 내용 비밀유지 ☞ 동종업계 취업 및 취업 후 해당기술 사용 금지 ☞ 산업기술 보호의무의 위반에 대한 벌칙
서약서 징구	☞ 퇴직자 산업기술 보호 서약서 (산업기밀 보호센터 홈페이지 www.nisc.go.kr 자료실 내 퇴직시 서약서 참조)

라. 외부인(외주업체, 방문객, 컨설턴트 등)

기관 내에 상주하거나 자주 드나드는 인력과 외부 방문객의 경우에는 다음과 같은 보호조치를 취한다.

교육	☞ 산업기술 보호 세부규정 중 외부인 관련 규정 ☞ 외부인의 산업기술 유지 관련 내용
서약서 징구	☞ 산업기술 보호 서약서

마. 외국인(외국인 연구원, 산업연수생 등)

기관 내에서 근무하고 있는 외국인 연구원, 산업연수생 등 외국인의 경우에는 다음과 같은 사항을 조치하여야 한다.

교육	☞ 산업기술 보호 세부규정 중 외국인 관련 규정 ☞ 외국인의 산업기술 유지 관련 내용
서약서 징구	☞ 산업기술 보호 서약서

※ 임·직원에 대한 보상책 마련

임·직원에 대한 강제보다는 스스로 개발한 산업기술에 대해서 보상을 받는다면 산업기술을 유출하려는 의지를 줄일 수 있다. 이에 정부에서는 이와 관련한「직무발명보상제도」를 개선하였으며, 그 내용은 특허청 홈페이지(www.kipo.go.kr)의 등록글에 개정된 직무발명제도에 대한 내용이 자세히 수록되어있다.

4. 침입 방지

가. 시설의 구분

산업기술을 보호하기 위해 가장 기본적인 방법은 해당 기술을 원하지 않는 사람이 보거나 열람할 수 없도록 접근을 제한하는 것이며, 이것이 바로 침입방지이다.

침입방지를 위해서 대상기관이 보유하고 있는 시설을 분류하여 그 분류에 따라 접근 권한에 차등을 주어 보호할 수 있으며, 침입방지를 위한 시설의 구분은 다음과 같다.

구 분	정의 및 구역의 예
공용구역	기관 내·외부의 모든 인력에게 공개된 구역 예) 출입문, 로비, 대기실, 엘리베이터, 주차장, 차량 진출입로 등
일반구역	기관 내 인력이나 출입이 허가된 인원에 한하여 공개된 구역 예) 사무실, 회의실 등
설비구역	기관의 업무를 지원하는 중요 설비가 위치하고 있는 구역 예) UPS실, 장비실, 전기실, 기계실 등
특수구역	산업기술을 사용하거나 보존하는 등 대상기관의 운영에 치명적 영향을 주는 구역 예) IDC룸, 중요제품 생산라인, 산업기술 보관소, 종합상황실 등

나. 구분별 보호대책

(1) 공용구역

공용구역에서는 산업기술의 유출 및 침해가 발생하는 경우가 극히 드물다. 그러나 출입을 통제하는 최전방의 위치에서는 다음과 같은 사항을 조치하여야 한다.

구 분	내 용	사용 가능한 장비
출입통제시스템	시설로 출입하는 인원 및 차량을 통제하는 시스템	RFID Tag gate ID 카드 Interlocking Portal Door
반출입관리 시스템	장비, 특히 전산장비의 반출입을 통제하는 시스템	정보유출 방지 X-ray 문형 금속탐지기
화상감시시스템	인원 및 차량 등의 출입여부의 확인을 위한 시스템	CCTV 등
차량 출입통제 시스템	차량의 출입을 통제하기 위한 시스템	차량 번호판 인식 시스템 역방향 진입금지 시스템
방범시스템	불법적 침입 및 시설의 피해를 경고하거나 방지하는 시스템	방탄유리 유리파손 알람 시스템

(2) 일반구역

일반구역은 사무실이나 회의실 등 일반인들도 출입승인을 받으면 충분히 들어갈 수 있기 때문에 산업기술의 보호가 약해지기 쉬워 생각보다 유출 및 침해사례가 많다. 다음은 일반구역에서의 대책이다.

구 분	내 용	사용 가능한 장비
출입통제시스템	구역 내로 출입하는 인원을 통제하는 시스템	ID 카드
화상감시시스템	인원의 출입 여부를 위한 시스템	CCTV
생활보안 준수사항	• 자리 이석 시 화면보호기 설정 및 책상 정리 • 산업기술 관련 문서는 열람 후 시건장치 되어있는 캐비닛 보관 • 복사기, 팩스는 사무실 안쪽에 배치	-

(3) 설비구역

설비구역은 직접적인 산업기술의 유출 및 침해가 발생하지는 않으나 설비들의 파괴 혹은 훼손으로 산업기술의 유출 및 침해에 이용될 수 있다. 따라서 이러한 설비들을 중점 관리해야하며, 관리방법은 다음과 같다.

구 분	내 용	사용 가능한 장비
출입통제시스템	구역 내로 출입하는 인원을 통제하는 시스템	ID 카드 인터컴
화상감시시스템	인원의 출입 여부를 위한 시스템	CCTV

(4) 특수구역

특수구역은 산업기술에 관한 직접적인 문서 등의 보관이나 기술에 관한 연구가 이루어지고 있기 때문에 최상위의 보호대책을 강구해야 한다. 세부적인 보호대책은 다음과 같다.

구 분	내 용	사용 가능한 장비
출입통제시스템	구역 내로 출입하는 인원을 통제하는 시스템	ID 카드, 강철 Door 정맥인식 시스템
도감청 방지 및 전자파 차폐 시스템	유리창으로 전해지는 소리의 진동을 증폭하여 도청하거나 전화 감청을 탐지 및 방지하는 시스템	전자파탐지장치 도청방지 유리
화상감시시스템	인원의 출입 여부를 위한 시스템	CCTV

다. 재해로부터의 보호

산업기술은 외부로부터 악의적인 침입 등에 의해 피해가 발생할 뿐만 아니라 화재, 천재지변과 같은 재해로 인하여 간접적인 피해도 발생할 수 있다. 따라서 재해 발생에 대비한 보호장비를 갖추는 것이 바람직하며, 그 장치로는 전기공급장치, 예비전력 공급장치, 항온항습장치, 누수탐지 및 차단장치, 화재경보 및 자동 진화장치, 침입경보 장치 등이 있다.

라. 장비 폐기 대책

기관 내에서 산업기술을 다루었던 장비는 그 사용 연한이 다하였다 하더라도 일반폐기물과 동일하게 처리하여서는 안 되며, 해당 장비에 대한 폐기 절차가 필요하다. 특히 컴퓨터의 하드디스크와 CD는 폐기가 매우 중요하다. 하드디스크의 경우 로우포멧을 3～4회 하여도 일부 정보를 되살릴 수 있다. 따라서 하드디스크는 본체와 분리하여 재사용 금지를 위해 강한 자기장으로 자성을 완전히 삭제하고 그 후 물리적으로 파괴하여 폐기해야 한다. 따라서 하드디스크를 폐기하기 위한 조치는 로우포멧 7회 이상, 자성에 의한 데이터 삭제, 물리적 파괴, 포맷 후 하드디스크를 재사용 할 수 있는 친환경적 제품(예, Digital Shredder 등)을 사용하는 것이 유용하다.

CD의 경우 손으로 부러뜨렸을 경우 80% 이상, 잘게 부수었을 경우에도 30% 이상의 내용 복구가 가능하다. 따라서 CD의 내용을 완전히 폐기하는 장비(예, DX-CD2 등)를 구비하여 사용하면 만일의 사고를 방지할 수 있다.

5. 정보시스템 관리

가. 정보시스템의 구분

쉽게 접할 수 있는 정보시스템을 구분하면 PC(데스크탑), 노트북, 이메일 시스템 등으로 나뉠 수 있으며 이중 활용빈도가 가장 높은 기본적인 시스템에 대한 상세한 보호대책을 기술하도록 하겠다.

나. 정보시스템별 보호대책

정보시스템별 보호대책은 다음과 같다.

구 분		보호대책
컴퓨터	개인 PC	• 공유폴더의 제거 • 화면보호기 대기시간 5분 이내로 설정 • PC 보안용 소프트웨어 설치 • 라이선스 없는 불법 소프트웨어 사용 금지 • 외부 반출 시 저장내용 삭제 등 보안조치 후 보안부서의 확인·허가를 받아 반출 • 디스켓·CD 등은 일괄구입 후 관리번호를 부여 및 지급하고 산업기술 관련 내용은 별도 디스켓·CD에 보관하여 특별관리
	노트북	• 인가되지 않은 개인용 노트북 사용금지 • 노트북 하드 디스크 내 중요정보 저장 금지 • 노트북 외부 반출 시 부서장의 승인 하 반출 • 노트북을 사용하지 않을 경우 견고한 캐비닛 등에 시건 장치하여 보관
	공통	• 패스워드 설정 시 8자리 이상의 영문/숫자 혼용 • 3회 이상 접속 실패 시 잠금 기능 적용 • 사용된 패스워드는 12개월 내 재사용 금지 • 산업기술 관련문서는 평문 조회가 불가능하도록 암호화하여 데이터베이스에 저장
e-mail		• 외부발송 e-mail 크기를 일정규모 이하로 제한하고, 이를 초과할 경우에는 해당 부서장의 승인을 받도록 조치 • e-mail을 이용한 내부자료 불법유출 시 관련규정에 의한처벌내용을 수시로 교육 • e-mail에 대한 모니터링을 실시해도 된다는 동의서 징구 후 모니터링 실시

다. 보조기억매체의 관리

최근에 모바일 컴퓨팅이 발달하면서 개인이 휴대하여 사용하는 저장장치 또한 많은 종류가 개발되었고 가장 흔하게 사용되는 보조기억매체는 USB이다. 정부에서 권장하는 보조기억매체의 관리는 국가정보원에서 제정한 ‘USB 등 보조기억매체 보안관리지침’(부록 #3 참조)이 있다. 그 내용을 요약하여 소개하면 다음과 같다.

구 분	내 용
보조기억매체	디스켓, 이동형 하드디스크(HDD), USB 메모리, CD, DVD 등
도입 시 보안적합성 검사	1. 사용자 식별 및 인증기능 2. 지정데이터 암호 및 복호화 기능 3. 저정된 자료의 임의 복제 방지기능 4. 분실 시 저장데이터의 보호를 위한 삭제 기능
보조기억매체의 사용	1. 보조기억매체 관리대장에 등재하여 부서장의 승인을 득한 후 사용 2. 등록된 보조기억매체만 사용하며, 업무목적 이외 사적인 용도로 사용할 수 없음 3. 보조기억매체는 일반용, 비밀용, 공인인증서용으로 구분하여 등록 및 사용
보조기억매체의 불용처리 및 재사용	1. 불용처리시에는 물리적 파기를 원칙으로 함 2. 타부서 이전 및 용도전환시에는 자료의 완전 삭제 및 포맷 후 사용 3. 비밀용은 데이터의 완전삭제, 포맷 및 자성소거 후 재사용
비밀용 보조기억매체의 사용 및 관리	비밀용 보조기억매체는 일반용과 마찬가지로 관리번호를 부여하고 이중 시건장치가 있는 캐비닛 등에 보관하며, 사용 시에는 보조기억매체 사용대장에 사용목적 등을 작성 후 사용

라. 해킹 등 불법침입 시 대응

산업기술을 보관 및 관리하고 있던 정보시스템에 해킹 등 불법침입이 의심되거나 탐지 되는 경우에는 아래와 같이 국가정보원 등 정보수사기관에 수사를 의뢰하여야 한다.

기관명	세 부 내 용
정보통신부 사이버패트롤	전화	1377 또는 02)3415-0112
	전자우편	singo@kiscom.or.kr
	홈페이지	http://www.cypatrol.or.kr/
국가정보원 산업기밀 보호센터	전화	111 또는 02)3412-3800
	전자우편	홈페이지에서 신고
	홈페이지	www.nisc.go.kr
경찰청 사이버테러대응센터	전화	주·야간 : 02)3939-112
	전자우편	cyber112@npa.go.kr
	홈페이지	www.ctrc.go.kr
한국정보보호진흥원 인터넷침해사고 대응지원센터	전화	주·야간 : 118 (지방은 02-118)
	전자우편	cert@krcert.or.kr
	홈페이지	www.krcert.or.kr

6. 사고의 대응 및 복구계획

사고의 대응 및 복구계획은 산업기술의 유출 및 침해사고가 발생한 후에 취해지는 조치이지만, 예방적 차원에서 사고가 발생한 것으로 간주하여 계획을 세우고 그에 따라 훈련하여 실제 산업기술 유출이 발생 되었을 경우, 신속하고 능동적으로 대처할 수 있게 한다. 따라서 사고대응 및 복구계획은 매우 중요하다.

가. 계획의 수립

사고의 대응 및 복구 계획은 침해예방계획, 사고조치계획, 복구계획으로 구분할 수 있다.

침해예방계획에는 평소 산업기술의 유출 및 침해를 막기 위하여 지켜야할 사항들이 포함되어야 하며, 모든 임·직원은 그러한 침해예방계획이 잘 지켜나갈 수 있도록 서로 교육하고 감독해야 한다.

사고조치계획에는 산업기술이 유출 및 침해되었을 경우를 예상하여 부서 및 인력별로 조치해야 할 사항을 미리 규정해 두고, 사고 발생시 조치에 따라 대응함으로써 빠른 시간에 처리가 가능하도록 한다.

복구계획은 조치 중 복구와 관련된 내용을 따로 규정해 둠으로써 업무의 정상화를 위해 우선적으로 노력해야 할 사항들을 확인할 수 있도록 한다.

나. 사고의 대응 및 복구훈련

사고의 대응 및 복구훈련은 산업기술의 유출방지 및 보호 세부규정을 보다 현실화 시킬 수 있는 기능을 하기도 하면서, 동시에 차후 침해사고 발생시 시의적절하고 정확한 대응을 할 수 있도록 도와준다.

훈련의 방법에는 “Table-top”, “Drill”, “Exercise” 등이 있다.

“Table-top” 훈련은 대표이사 등의 경영층만 참여하여 메시지 위주로 시행하는 메시지 훈련이다. 부여된 메시지에 대한 조치를 구두 혹은 문서로 시행하며 조치에 따른 영향도 미리 산정하여 메시지로 부여한다.

“Drill” 훈련은 “Table-top”과 비슷하게 진행되나 메시지와 더불어 모형을 이용하는 것이 특징이다. 일반적인 의미의 “Drill”은 연습과 동일한 개념으로 사용되기도 한다.

Exercise는 말 그대로 실제 행동으로 조치하는 훈련이다. 산업기술의 유출 및 침해상황을 그대로 묘사하고 실제 행동으로 훈련한다.

위의 훈련을 마치고 나서 훈련의 결과를 토대로 하여 사고의 대응 및 복구계획을 수정하여 가장 피해가 적도록 준비해야 한다.

7. 산업기술의 보호문화 정착

산업기술은 최신의 기술과 최고의 장비로 보호하고 침입을 차단해도 기술을 유출하고자 하는 사람이 있다면 그 기술은 유출될 가능성이 매우 높다. 특히 대부분의 유출이 내부 직원에 의해 이루어지므로 산업기술의 유출 및 침해 방지의 가장 궁극적인 방법은 조직 내 산업기술을 보호해야 한다는 문화를 정착시키는 것이다.

그렇다면 그러한 문화를 정착시키기 위해서는 무엇이 필요한 것인가?

가. 10대 생활보안 준수사항

한국정보보호진흥원에서는 컴퓨터를 사용하는 기업의 사용자에게 10대 생활보안 준수사항을 만들어 배포하고 있다. 그 10대 준수사항만 철저히 지켜도 해킹 등의 위험에서 어느 정도 벗어날 수 있다. 그 내용을 소개하면 다음과 같다.

① 윈도우즈 보안 패치 자동 업데이트 설정하기

② 바이러스 백신 및 스파이웨어 제거 프로그램 설치하기

③ 윈도우즈 로그인 패스워드 설정하기

④ 패스워드는 8자리 이상의 영문자를 혼용하여 만들고 3개월마다 변경하기

⑤ 신뢰할 수 있는 웹사이트에서 제공하는 프로그램만 설치하기

⑥ 인터넷에서 다운로드받은 파일은 바이러스 검사하기

⑦ 출처가 불분명한 메일은 바로 삭제하기

⑧ 메신저 사용 중 수집된 파일은 바이러스 검사하기

⑨ 인터넷상에서 개인 및 금융정보를 알려주지 않기

중요 문서 파일은 암호를 설정하고 백업을 생활화하기

나. 산업기술의 유출방지 및 보호를 위한 교육

(1) 자체교육

임·직원에 대한 교육 및 홍보는 입사 시부터 퇴사 시까지 지속적으로 이루어져야 하는 매우 중요한 기술유출 방지 수단이다. 이러한 교육의 시행 여부에 따라 산업기술의 유출 및 침해의 빈도 및 강도를 현저히 낮출 수 있고, 법적 증거로도 활용할 수 있다.

구 분	내 용
시 기	① 정기교육 - 신규 채용 직원교육 - 산업기술 총괄책임자 판단 후 계획하여 실시 ② 수시교육 - 연말, 연초 등 분위기가 어수선할 때 - 신규 기술거래를 시작할 때 - 외부에서 매수 등의 징후가 포착되었을 때 - 대규모의 인사이동이 있을 때 - 전 임·직원을 대상으로 한 워크숍 - 기술유출 방지에 관한 지침의 제·개정 시
대 상	전 임·직원(외부인, 외국인 포함)
내 용	산업기술 보호 세부규정 산업기술 보호 관련 법률(위반 시 처벌규정 포함) 산업기술 보호 서약서 징구 이유 및 내용 설명 생활보안 행동준칙(기관별 작성) 기타 경영진 판단 하 교육하여야 할 내용

(2) 외부교육

자체교육 여건이 보장되지 않거나 자체교육만으로 교육목적의 달성이 어렵다고 판단될 경우에는 외부기관을 이용하여 위탁교육을 받을 수 있다.

기관 명

교육내용

국가정보원

산업기밀보호센터

1. 국가정보대학원 산업보안교육

■ 교육내용

▸외국의 산업정보 탐지동향

▸산업보안관리 실무

▸산업기밀 유출 사례 및 대책

▸사이버 보안관리

▸보안관리 우수업체 사례

■ 교육일정(2007년)

제74기	제75기	제76기	제77기	제78기
3.27~3.29	4.24~4.26	5.29~5.31	6.19~6.21	7.31~8.2
제79기	제80기	제81기	제82기	제83기
8.21~8.23	9.18~9.20	10.23~10.25	11.13~11.15	12.11~12.13

2. 기업체 / 연구소 방문교육

■ 교육내용

▸최근 산업스파이 사건사례

▸산업체 종사자들의 산업기술 보호의식 함양

▸산업기술 보호 경각심 제고

▸보안관리 능력

▸해당 기업체에서 특별히 요청하는 분야

산업기술보호협회

■ 교육내용

▸산업기술의 유출방지 및 보호에 관한 법규와 보호지침

▸산업기술의 유출방지 및 보호와 관련된 기술유출 현황과 대응방안

■ 관련법령

「산업기술의 유출방지 및 보호에 관한 법률 시행령」 제24조(산업기술보호교육의 실시)

다. 산업기술 보호 내부점검

산업기술 보호 세부규정의 지속적인 준수와 산업기술 보호문화 정착을 위하여 임·직원에게 지속적인 경각심을 줄 수 있는 방법은 끊임없이 점검하고 확인하는 것이다. 따라서 각 기관에서는 내부점검에 필요한 조직을 구성하여 산업기술 보호 세부규정의 준수 여부를 점검해야 한다. 물론 점검조직을 구성하기 어려운 소규모 기관에서는 최고 경영자가 항상 신경 써서 확인해야 한다.

내부점검은 점검표를 만들어 활용하는 것이 효율적이며, 부록 #4를 참조하여 각 기관에 맞도록 수정하여 사용할 수 있다.

04		제 4 장
		산업기술개발시 유출방지 및 보호방법
		제 1 절 유출 및 침해의 주요원인 제 2 절 산업기술개발시 유출방지 및 보호방법

	이 장에서는 산업기술을 개발할 경우 발생 가능한 유출 및 침해원인이 개발유형에 따라 다르다는 점을 감안하여 대상기관 자체개발, 공동연구/위탁연구 개발, 국가연구개발사업을 통한 개발 등의 유형에 따라 유출 및 침해원인을 도출하고 유출방지 및 보호방법도 그 원인에 따라 제시하였다.

산업기술의 개발은 여러 형태로 이루어질 수 있는데 크게 구분하면 국가연구개발사업에 의해 개발되는 경우 대상기관 자체로 개발되는 경우, 산업기술과 공동/위탁연구에 의해 개발되는 경우로 구분할 수 있다. 이러한 개발 형태는 고유의 특성 때문에 산업기술이 유출되는 것도 형태별로 다르게 나타난다.

이 장에서는 개발 형태에 따라 유출 및 침해의 주요원인을 도출하고 그 원인에 따른 유형별 예방대책을 제시하였다.

·제1절 유출 및 침해의 주요원인

1. 공통적 원인

산업기술의 개발 시에 유출 및 침해가 발생하는 주요원인 중 공통적인 원인은 인력관리 및 권리설정의 소홀이다. 특히 80% 이상의 산업기술 유출 및 침해사고는 임·직원(연구원 포함)에 의해서 일어나고 있다. 또한 법적 권리를 설정하지 않음으로 인해 산업기술의 유출 및 침해 이후 법적으로 보호받을 수 없게 되는 경우도 빈번하게 발생하고 있다.

2. 국가연구개발사업을 통한 산업기술의 개발인 경우

국가연구개발사업을 수행하는 연구기관이나 전문기관은 과학기술부에서 제정한 ‘국가연구개발사업 공통보안관리지침(부록 #5 참조)’을 준수해야 한다. 따라서 위 지침에 의해 연구기관 및 전문기관이 어떤 일을 해야 하는지 파악하는 것이 중요하다.

3. 기타 사유에 의한 산업기술의 개발인 경우

인력관리 및 권리설정의 소홀로 인해 산업기술이 유출 및 침해되는 빈도가 가장 많은 것이 대상기관에서 자체 개발하는 경우이다. 특히 연구개발에 직접 참여한 연구원에 대한 관리 소홀로 인해 유출 및 침해되는 경우가 가장 많다. 연구원은 자신이 참여한 연구 결과를 자신의 것이라고 생각하게 되고 외부의 유혹이 있을 때 거리낌 없이 제공하는 경우가 발생한다.

권리설정의 소홀은 법률이 정하는 특허권, 실용신안권, 의상(디자인)권, 저작권 등의 법적인 보호를 받을 수 없게 한다.

또한 공동 / 위탁연구 개발시 주요 유출 및 침해의 원인은 연구원에 의한 경우가 가장 많으며, 산업기술의 유출 및 침해는 계획서 검토, 계약, 사후관리 등과 같이 개발 단계에 따라 나누어져 이루어진다.

제2절 산업기술개발시 유출방지 및 보호방법

1. 인력관리

연구과정에서 인력은 다음과 같이 구분된다.

연구개발 관련 인력	연구자, 보조자, 연구 지원 인력, 연구 기획 인력, 감독자(부서장 등 경영진 포함)

보조 관련 인력	① 시설관리인력 : 동력공급 관련인력, 통신 관련인력 장비 관련인력, 정비 인력 ② 물품조달 관련인력 : 기자재 관련인력, 물품 공급 인력, 시설보수 인력 ③ 행정 관리인력 : 행정 지원 인력, 재정 지원 인력 ④ 경비 인력 : 경비 인력, 청소 인력
핵심 연구 인력	① 일반연구인력 중 산업기술 취급 인력 ② 핵심연구과제 등 특수과제 담당 인력 ③ 지원인력 중 산업기술 접근 인력

제3장에서 다룬 인력관리는 제재위주의 예방대책이었다면 개발 시의 인력관리는 인성의 변화를 이끌어 내는 것이 초점이다. 이러한 인성의 변화를 이끌어 내는 방법은 다음과 같다.

가. 채용시

특정 기술이나 연구능력이 있는 연구인력을 채용할 경우에는 특별계약을 맺을 필요가 있다. 특별계약에는 연구개발 성과에 대한 지식재산권화, 기밀유지에 따른 보상금, 수익에 대한 배분 등의 내용이 포함되어야 한다. 인센티브는 정액, 비율, 연구성과 단계, 지식재산권 취득 단계별로 제공할 수 있다.

나. 재직 중

연구개발 성과를 촉진하여 연구개발 이외의 생각을 하지 않고 연구에 매진할 수 있도록 적절하게 간섭, 규제, 이완을 배분해야 한다. 또한 연구인력은 언제든 대상기관을 떠날 수 있다는 생각을 잊지 말고 우대와 책임을 적절히 조합하여 관리해야 한다. 아울러 순환보직은 부득이한 경우를 제외하고는 하지 않는 것이 바람직하며 출장, 연수, 회의참석, 휴가 등의 조치를 강구할 필요가 있다.

그리고 투철한 직업관을 가질 수 있도록 끊임없는 노력을 해야 한다.

또한 대부분의 연구인력은 핵심연구과제의 수행 과정이나 연구개발성과에 대해 자기 자신의 능력에 의한 산출물이라 생각한다. 그에 따라 연구원에 의해 산업기술이 유출되는 경우가 많은데, 각 대상기관의 기획 하에 대상기관의 시설을 이용하여 동료 임·직원과의 협력으로 연구성과를 얻었다는 사실을 연구원에게 인지시킬 필요가 있다. 따라서 연구성과의 소유권에 대한 서약서를 징구하는 등의 노력이 필요하다.

연구인력의 마음속에 회사를 사랑하는 마음이 있다면 결코 회사에 피해가 되는 행동을 하지 않을 것이다. 따라서 각 기관은 연구인력의 애사심을 고취시키는 방안을 강구해야 한다. 그 방안으로는 투명한 경영, 인센티브와 책임의 명확화, 한가족이라는 정신을 함양하는 것 등이 있다. 또한 연구개발 성과에 대한 지식재산의 소유권이 회사에 있음을 인지시켜야 한다. 그러기 위해서는 연구성과에 따라 보상금을 지급하거나 승진(승급)을 보장하는 방안을 강구해야 한다.

다. 퇴직 및 전직시

특별계약의 내용에 전직의 제한, 겸업의 금지기간을 사전에 조율해야 한다. 또한 퇴직 절차가 진행되면 사소한 메모 등도 반출되지 않도록 조치를 취해야 한다. 그리고 퇴직 후에도 퇴직사원 사우회, 각종 비공식적 인적유대를 유지하고 동향을 살필 수 있어야 한다.

2. 권리의 설정

가. 특허권

특허출원이란 새로운 발명을 한 사람이 그 발명을 공개하는 대가로 독점권을 갖기 위해 국가(특허청)에 일정한 양식 및 절차에 따라 신청하는 행위를 말한다.

특허청은 이러한 신청을 받게 되면 절차와 양식에 맞게 되었는지를 확인하고 제대로 된 출원에 대하여 특허권을 허가하여야 할 일정한 요건을 갖추었는지를 심사한 후 특허 여부를 결정하게 된다.

특허권을 획득하였을 경우 특허법에 의해 보호를 받을 수 있기 때문에 유사제품 발견 및 산업기술의 유출 시 민·형사적 제재를 가할 수 있다.

나. 실용신안권

실용신안등록절차는 별도의 심사가 없어 특허제도와 차이점이 있다. 즉, 출원 시에 출원수수료와 등록료를 함께 지불하여야 하며, 간단한 심사를 통과하면 실용신안권을 취득할 수가 있다.

존속기간은 출원일로부터 10년이다. 그러나 간단한 절차임에도 불구하고 법적인 효력은 특허권과 거의 유사하다.

다. 의장(디자인)권

디자인보호법 제2조 제1호에는 「디자인이라 함은 물품(물품의 부분 및 글자체 포함)의 형상, 모양이나 색채 또는 이들을 결합한 것으로서 시각을 통하여 미감을 일으키게 하는 것을 말한다.」고 규정하고 있으며, 독립거래의 대상이 되는 유체 동산인 물품(또는 동 물품의 부분)의 외관에 관한 창작을 디자인이라고 할 수 있다.

라. 저작권

1) 일반적인 저작물의 등록

저작물은 산업정책적인 의미는 없기 때문에 특허, 실용신안, 디자인 및 상표와 같은 권리 취득을 위한 출원 및 등록은 저작권의 권리 발생 요건이 아니다. 단, 「저작권의 귀속」등에 대하여 후일 분쟁이 발생할 경우에 대한 예방수단으로 저작물 등록을 해두는 것은 의미가 있다. 저작물의 등록은 저작권 심의 조정위원회에서 할 수 있다.

2) 프로그램 저작물의 등록

컴퓨터 프로그램도 일반 저작물과 마찬가지로 저작권의 일종으로서 등록하지 않아도 권리가 발생한다. 그러나 권리의 귀속에 대하여 분쟁이 발생하는 경우 재판 과정에서 사용하고 있는 프로그램을 특정하거나 창작된 일시 등을 입증하는 것이 중요한 포인트가 되기 때문에 등록 제도를 활용하는 것이 일반저작물 이상으로 의미가 크다. 프로그램 저작물 등록 신청절차는 프로그램 심의조정위원회 소프트웨어 온라인 등록 시스템(www.sors.or.kr)에 접속하여 소정의 절차에 따라 진행하면 된다.

※ 권리설정을 하지 않고 산업기술을 개발할 경우의 법적 문제

기술(연구) 개발성과를 특허(실용신안, 의상(디자인) 포함)로 출원하지 않고 실시하면, 그 내용(연구개발성과)이 물품의 제조 과정이나 상품판매 등 기업활동을 통하여 불특정 다수인에게 알려지게 되고, 이같이 공지기술(Public Domain)화 되면, 누구든지 아무런 제약을 받지 않고 자유롭게 활용(제조, 사용, 판매 등) 할 수 있다.

일단 공지기술화 된 연구개발성과는 신규성이 상실되었으므로 특허 등의 권리설정으로는 보호 받을 수 없다.

그러나, 기술연구개발성과를 특허 등 권리설정을 하지 않았으나,  공개하지 않고 비밀로 간직하였다면 이는 ‘영업비밀’로 보호 받을 수 있다.

결국 공지된 타인의 기술을 사용하는 것은 아무런 법적 책임도 없기 때문에 이러한 기술을 국내 타기업 또는 외국기업으로 유출하는 것을 제재할 법적 근거는 없다.

3. 국가연구개발사업을 통해 개발된 산업기술

국가연구개발사업을 통해 개발할 경우 전문기관 및 연구기관이 이행해야하는 사항은 다음과 같다.

가. 전문기관 준수사항

조항	이행사항
제4조 보안관리의 위탁	· 『국가연구개발사업의 관리 등에 관한 규정』 제2조 제3호에 따른 보안관리에 관한 위탁업무의 수행
제6조 연구기관보안관리심의회	· 연구기관보안관리심의회 구성, 운영 - 전문기관의 장은 국가연구개발사업의 수행과 관련된 보안관리에 관한 사항을 심의하기 위해 “연구기관보안관리심의회”를 구성, 운영
제11조 보안등급에 따른 조치	· 보안등급에 따른 조치 - 과제의 선정, 평가, 관리와 관련하여 보안과제와 일반 과제를 구분하여 보안대책을 수립, 시행
제12조 연구개발과제 보안관리 현황보고	· 연구개발과제 보안관리 현황 보고 - 연구기관의 연구과제의 보안관리 현황을 종합하여 보안관리심의회에 보고
제13조 보안사고 발생 시 처리	· 보안사고 발생 시 조치 - 사고보고, 수습 및 재발방지 대책 마련
제14조 보안관리 위반 시 조치	· 보안관리 위반 시 조치(협약서에 반영) - 보안관리에 최선의 노력의무 및 정당한 사유 없이 보안조치를 이행하지 않은 자는 참여제한 조치

나. 연구기관 준수사항

조항	이행사항
제3조 활용	· 관련 보안관리 담당자 지정 및 규정을 마련하는 등의 보안대책을 수립, 시행
제6조 연구기관보안관리심의회	· 연구기관보안관리심의회 구성, 운영 - 국가연구개발사업의 수행과 관련된 보안관리에 관한 사항을 심의하기 위해 “연구기관보안관리심의회” 구성, 운영
제7조 분류기준	· 분류기준에 따른 보안등급 분류 - 보안등급 분류 및 과제수행에 따른 모든 문서에 보안등급 표기
제8조 분류절차	· 과제신청서 및 연구개발계획서에 보안등급 표기 - 연구책임자는 과제신청서에 등급을 분류하여 연구보안심의회에 제출 - 연구기관장은 연구개발계획서에 등급을 표기하여 제출
제11조 보안등급에 따른 조치	· 보안등급에 따른 조치 - 보안등급(보안과제/일반과제)에 따라 보안조치수행
제12조 보안관리현황보고	· 연구개발과제 보안관리 현황 보고
제13조 보안사고 발생 시 처리	· 보안사고 발생 시 조치 - 사고보고, 수습 및 재발방지 대책 마련
제14조 보안관리 위반 시 조치	· 보안관리 위반 시 조치(협약서에 반영) - 보안관리에 최선의 노력의무 및 정당한 사유 없이 보안조치를 이행하지 않을 경우 참여제한

4. 공동 / 위탁연구로 개발된 산업기술

공동 / 위탁연구 개발은 사전조사, 의향서 교환, 비밀유지 계약 체결, 옵션계약 체결, 공동 / 위탁연구과제 계획서 검토, 예비적 합의 조인, 중요 계약조건의 교섭 및 확인, 공동연구계약의 체결, 공동연구결과물 보호를 위한 사후관리의 단계를 거치게 된다. 이 중 기술유출의 가능성이 높은 단계는 공동 / 위탁연구과제 계획서 검토 단계이다. 계획서 검토과정에서 개발기술 및 제품 관련 연구인력, 연구성과, 연구절차 등에 대한 의견교환 및 협의를 진행하면서 노하우와 중요정보에 대한 유출 및 침해가 발생할 가능성이 높다.

※ 사건 / 사례

외국의 A연구소는 국내 B연구소와 생명공학 관련 공동연구를 제의하여 공동연구 계약을 체결하려고 협의하던 중 공동연구 계약과 관련한 내용은 협의하지 않고 B사의 생명공학 관련 기술에만 관심을 보이는 것을 이상히 여겨 따로 조사해보니 B사의 기술을 빼내려는 의도가 보여 공동연구 계약을 체결하지 않았다.

가. 단계별 산업기술 유출 및 침해 예방 방법

공동 / 위탁연구 개발시 각 단계 중 산업기술의 유출 및 침해가 발생할 가능성이 높은 순서는 ① 공동 / 위탁연구과제 계획서 검토단계, ② 공동 / 위탁연구 계약단계, ③ 공동 / 위탁연구 결과물 사후관리 단계 등이다. 각 단계별 유출 및 침해 예방 방법은 다음과 같다.

구 분	내 용
공동 / 위탁연구과제 계획서 검토단계	· 공동 / 위탁연구하는 주체가 기술유출 방지 전략을 이행하는지 여부 확인 · 실무 협의 과정에서 참석 대상자에 대한 기술유출 방지 사전교육 실시 · 연구과제를 세분화하여 계획서만으로는 전체의 산업기술이 확인되지 않도록 조치
공동 / 위탁연구 계약단계	· 공동 / 위탁연구 범위 및 연구개발 시 발명성과 개시의무 협의 · 지적재산권이나 노하우의 귀속 여부 확인 · 상용화에 대비한 제조 / 판매주체 결정 · 공동 / 위탁연구와 연관된 연구개발 제한
공동 / 위탁연구 결과물 사후관리 단계	· 공동 / 위탁연구 결과물에 대한 활용이 합의 범위 내에 존재하는 지 여부 확인 · 사용된 기자재 / 설비에 대한 소유권 협의

05		제 5 장
		산업기술계약시 유출방지 및 보호방법
		제 1 절 기술계약의 유형 제 2 절 기술계약 유형별 유출방지 및 보호방법

	이 장에서는 대상기관이 기술계약에 의해 산업기술을 이전해야 할 경우 기술계약의 유형에 따라 산업기술의 유출 및 침해 시기와 방법 등이 달라진다는 점을 감안하여, 기술계약의 유형을 구분하고 유형별 산업기술의 유출 및 침해되는 주요 단계를 찾아 각 단계에서 사용해야하는 유출방지 및 보호방법을 제시하였다.

두개 이상의 대상기관이 합병을 추진하거나, 공동출자를 통해 신규 사업을 진행하는 등의 과정에서 상호간의 이해관계에 따라 산업기술이 거래될 수 있다.

그러나, 이와 같이 산업기술이 거래되는 경우 일방의 대상기관이 기술계약의 특성을 악용하여 타방의 대상기관의 산업기술을 악의적으로 유출하려는 시도가 종종 발생하고 있다. 합병을 추진하면서 실사를 핑계로 상대 대상기관의 중요정보만을 빼내어 간다거나, 공동출자를 통해 진행되는 신규사업을 독자적으로 이용하거나, 산업기술만 제공받고 계약 없이 무단 사용하는 등 그 형태도 다양하다.

이러한 악의적인 산업기술의 유출시도는 기술계약의 유형에 따라 각각 다른 양상을 보이고 있으며, 기술계약별로는 빈번하게 발생하는 특정 단계가 있다.

이 장에서는 산업기술계약을 유형별로 살펴보고, 유형별 산업기술이 유출 및 침해될 가능성이 높은 계약단계에 따라 대상기관이 활용할 수 있는 산업기술의 유출방지 및 보호방법을 제시하였다.

제1절 기술계약의 유형

산업기술 거래(이하 ‘기술계약’이라 한다)의 유형은 다음과 같다.

구 분		설 명
기술양도형 계약	합병계약(M&A)	당사자 일방이 기술의 소유권을 이전하는 계약과 둘 이상의 회사를 하나의 회사로 합병하는 것을 목적으로 하는 계약
	조인트벤처	2인 이상의 업자 간에 단일특정의 일을 행하게 하는 출자계약 또는 공동계약
기술대여형 계약	라이선스 계약	기술제공자가 상대방인 기술도입자에게 특정기술에 대하여 실시권을 허락하는 계약
	위·수탁 계약	하청위탁자가 하청자에게 특정기술을 제공하고 상대방에게 자기의 기관으로서 당해기술을 실시하게 하는 계약 (하청 라이선스 계약이라고도 한다.)

제2절 기술계약 유형별 유출방지 및 보호방법

1. 합병계약

합병계약은 두 개의 대상기관이 각 대상기관에 속해있는 모든 산업기술을 포함하여 하나의 대상기관으로 합쳐지는 계약을 말한다. 따라서 상대 기관에 어떠한 기술이 있는지 확인하는 과정을 거치는데, 그 과정에서 산업기술이 빈번하게 유출되고 있다.

계약 단계	산업기술 유출 및 침해 대응방안
경영전략 수립 및 M&A 전략팀 구성	• 중요 산업기술은 원칙적으로 이전 금지 • 중요 기술의 이전 필요 시 M&A 전략팀에 의해 기술 이전에 따른 피해 최소화 및 비밀유지 전략 수립
인수의향서 및 비밀유지 계약 체결	• 실제 계약서가 작성되어 법적으로 보호받을 수 있기 전까지 산업기술에 대한 세부자료가 제공되지 않도록 유의
정밀실사, 기업가치 평가 및 가격 결정	• M&A 중개기관을 통하여 업무를 추진하는 경우 중개기관에 의해 산업기술이 무단 사용되지 않도록 비밀유지 계약을 체결 • 중개기관을 통하지 않을 경우 비밀유지 계약을 체결하고 재확인 후 실사 진행
협상 및 계약서 작성	• 합병계약서에는 자료보존 방법과 유출의 금지, 제한에 관한 조항 삽입 • 계약단계에서 근로자와의 산업기술 보호 서약서 징구 • 개인이 비밀을 유출한 경우 합병상대기업의 연대책임 명시

※ 합병계약시 산업기술 유출 및 침해 사례

국내 벤처회사인 A사는 외국 B사와 M&A 계약을 추진하고 있던 중 B사 직원이 정밀심사를 위해 A사의 기술자료를 요구하였다. A사는 어차피 합병될 것을 감안해 문제를 일으키고 싶지 않아 여과 없이 자료를 공개하였다. 정밀심사가 끝난 후 몇 달 후 B사에서 합병의 가치가 없음을 이유로 M&A 계약체결을 취소해 왔고 1년 후 그 기술을 이용한 유사상품이 시장에 출시되었다.

2. 조인트 벤처

조인트 벤처는 각기 다른 기관의 기술을 이용하여 공동 투자하는 방식으로 투자 후 운영을 위해 기술을 공유해야 한다. 이 때 산업기술의 유출이 발생 가능하다. 다음은 조인트벤처의 단계에 따른 산업기술 유출 및 침해 대응방안이다.

계약 단계	산업기술 유출 및 침해 대응방안
대상기업 발굴	• 대상기업이 비밀유지의무의 이행 능력이 있는지 여부 확인
의향서(MOU) 체결	• 합작투자할 상대방을 발굴하는 단계에서 상대방 기업에 핵심적인 기술정보에 대한 자세한 정보를 제공하지 않도록 주의 • 세부 계약 조건에 대해 신의성실의 원칙에 따른 의무를 부과하고 산업기술에 대하여 제3자에게 공개하거나 이를 임의로 이용하지 않을 의무를 부담
조인트 벤처 설립절차 진행	• 합작투자회사를 설립하는 팀의 담당자로부터 비밀유지 서약서 징구
최종계약 체결
조인트 벤처 설립 완료

※ 조인트벤처시 산업기술 유출 및 침해 사례

A사의 개발담당이사 등 2명은 사내에서 자체 개발한 핸즈프리 생산을 위해 외국 B사와 외국에 합작업체를 설립하는 과정에서 그 외국 업체에 매수되어 회사 측에 사직서를 제출하고 핵심기술이 저장된 노트북을 소지한 채 해외로 출국, 핵심 기술자료 및 시제품을 B사에 제공하다 적발되었다.

3. 라이선스 계약

라이선스 계약은 제품이나 기술을 독자적으로 개발하는데 필요한 시간과 자원을 별도로 투입하지 않고 그 제품이나 기술을 획득하는 방법이다. 따라서 계약의 전반에 걸쳐 기술 자체가 이전되어 버리는 결과를 가져올 수 있으므로 다음 쪽의 중점 확인사항을 참조해야 한다.

또한, 크로스 라이선스의 경우를 제외하고 지적재산권 보호가 약한 국가에는 일방적인 라이선스 공여를 금지하고, 기술이전은 상대기업으로의 기술이전에 따른 영향, 상대국의 상황을 고려하여 임원회의에서 결정한다. 기술이전 시 기술 이외에 중요한 노하우 역시 지적재산권화 하여 보호하고, 해외로 이전하기 전에 이전국에 특허 및 기술에 대한 권리화를 완료하여 등록이 유효한지 여부를 항상 확인할 수 있는 시스템을 구축한다.

크로스 라이선스

특허실시 계약 당사자들이 자기가 가진 특허권 등에 관하여 상호간에 실시권을 상호부여하는 일.

특히 계약서에는 다음사항을 명시한다.

• 개량기술에 대한 소유권의 귀속문제

• 서브 라이선스(재실시 허락) 금지

• 기술 및 노하우의 범위, 대상지역 특정, 계약 종료 후 비밀유지, 관련
물품 및 설비의 반환, 계약 위반에 대한 벌칙

구 분	점검항목
기술계약	• 대상기술의 가치 및 기술이전의 유형
계약상대방	• 권리능력, 행위능력의 유무 • 계약상대방 중 조건협상의 주요 담당자 • 기업규모(계약기술의 사업화 역량) • 추가 기술개발의 능력 • 대가 지급을 위한 재정능력
계약조건	• 기술이전의 대가 지불방법 / 지급처 • 기술이전을 위한 지도방법 • 성과의 귀속(개량 발명의 범위, 보고 등), 권리의 지분분할 • 기술이전의 대가(선급기술료, 경상기술료 등) • 출원, 등록의 절차 및 비용의 부담 방법 • 계약 유효기간, 계약의 변경 / 해지 / 종료 • 손해배상 청구 / 범위
기타	• 계약의 목적, 배경, 경위 확인 • 다른 법률과의 저촉여부 확인 • 비밀의 유지, 정보의 반환 내용 협의 • 정보의 상호 교환

※ 라이선스 계약시 산업기술 유출 및 침해 사례

무역업자인 서 모 씨는 업무상 알게 된 외국인 W씨로부터 자국 내 LCD 모니터 시장이 유망하니 한국의 기술을 이용, 현지공장을 설립하자는 제의를 받고, 페이퍼 컴퍼니인 A사를 설립하는 한편 국내 LCD 모니터 제조업체인 B사 신 부장 및 C사 이·박 이사를 유혹하였다. 이에 B사의 제조공정도 등 기술자료 2GB 분량을 하드디스크에 저장, D사로 유출하고 외국과 합작업체 설립을 추진하다 적발되었다.

4. 위·수탁 계약

위·수탁 계약은 위탁자가 수탁자에게 당해물품을 생산하는 데 필요한 원재료를 공급하는 것이 보통이다. 또한 수탁자는 위탁자에 비하여 기술수준이 낮은 경우가 대부분이기 때문에 위탁자의 기술지도가 필수적이다. 따라서 위·수탁 계약과 관련하여 생산공정, 제조설비, 기술지도 등 전 범위에 걸쳐 기술유출이 일어날 소지가 많다. 그래서 위·수탁 계약은 계약 단계별 대응이 아닌 다음과 같은 전략적 대응이 필요하다.

구 분	산업기술 유출 및 침해 대응방안
전략의 수립	노동집약적 공정은 해외에서, 기술집약적 공정은 국내 혹은 지적재산권 보호가 가능한 국가에 두는 것을 원칙으로 하고 생산에 필요한 것만 현지에 이전
기술지도	제품 생산에 필요한 범위 만큼에 대하여만 지도
생산공정 관련 유의사항	• 중요한 제조공정 등은 특정 본사로부터 파견된 직원만 관여 • 외부판매제한 조항, 자사의 중요한 노하우의 보호 의무조항, 위반행위에 대한 처벌조항 등을 계약서에 삽입 • 본사에서 핵심부품을 모듈화 하여 수출하고 해외에서 조립 • 순정품에 대한 위조방지 대책을 강구

구 분	산업기술 유출 및 침해 대응방안
제조설비에 대한 산업기술 보호유지	• 핵심 제조공정이 포함된 도면이나 서류의 블랙박스화를 추진 • 해외에 도면을 제공하는 경우에는 제조도면상에 게재된 시험방법, 소재정보 등 개발 노하우를 삭제하고 제공 • CAD/CAM 데이터는 현지 컴퓨터로 읽을 수 없도록 암호화
설비의 유지, 보수 관련	• 유지보수를 직접 수행하고 부득이하게 현지인을 고용할 경우 출입지역은 한정 • 설비의 판매계약에 제조설비의 정기적인 유지보수 조항을 삽입

※ 위·수탁 계약시 산업기술 유출 및 침해 사례

음료 제조사인 A사는 B국의 저렴한 인건비의 이유로 B국의 중소기업 C사와 위·수탁 계약을 체결하고 현지에서 생산하기로 하였다. 또한 현지의 우수한 인재를 발굴하여 생산라인의 설계를 추진하였다. C사에 입사한 현지인 공장설비 디자이너 Y 씨는 기술지도 등을 이용하여 A사의 주요 산업기술을 습득하였다. B국의 경쟁업체인 D사는 이러한 사실을 알아내고 설비 디자이너 Y 씨에게 접근하여 A사의 음료생산 설비 디자인 및 음료 배합비율 등이 포함된 자료를 넘길 것을 제의하였다. Y 씨는 거액의 대가를 받고 설비 디자인 및 음료 배합비율 등이 포함되어있는 자료를 D사에 판매하였다.

06		제 6 장
		산업기술의 유출 및 침해시 조치방법
		제 1 절 유출 및 침해의 유형 제 2 절 유출 및 침해시 조치방법 제 3 절 유출 및 침해에 대한 제재 제 4 절 사고를 통한 학습

	이 장에서는 산업기술이 유출 및 침해되는 주요 유형, 불법유출 및 침해시 신고절차 등 조치방법, 그리고 불법유출 및 침해에 대한 제재 등을 제시하였다.

대상기관은 “산업기술의 유출 및 침해사고가 발생할 우려가 있거나 발생하였을 경우 해야 하는 일이 무엇인가?”라는 질문에 답을 할 수 있어야 산업기술의 유출 및 침해사고에 적절히 대처할 수 있게 된다.

2006년 8월 한국산업기술진흥협회에서 조사한 “기업연구소 산업기밀 관리실태 및 개선방안”에 따르면 중소기업과 벤처기업 등 영세한 대상기관일수록 수사기관에 수사의뢰를 하는 것보다 자체 보안시스템을 강화하는 등 내부적 조치를 수행하였다. 그 이유는 향후 산업기술의 유출 및 침해를 방지하기 위해 내부 시스템을 강화하는 측면도 있으나, 대상기관 외부의 유출 및 침해시 조치와 관련한 정보가 없거나 관련 기관을 제대로 알지 못한 이유가 가장 크다.

이 장에서는 산업기술이 유출 및 침해되는 주요 유형을 살펴보고 대상기관이 산업기술의 유출 및 침해시 취해야 하는 신고절차, 신변보호 등의 조치 그리고 신고해야하는 정보수사기관을 제시하였다.

또한「산업기술의 유출방지 및 보호에 관한 법률」에 명시된 유출 및 침해에 따른 벌칙을 소개하여 대상기관이 참고하도록 하였다.

제1절 산업기술 유출 및 침해 유형

1. 산업기술 유출 및 침해 유형과 사례

「산업기술의 유출방지 및 보호에 관한 법률」에 따르면 산업기술이 유출되는 주요 유형은 다음과 같다.

가. 부정한 방법 (절취, 협박, 기만 등)으로 대상기관의 산업기술을 취득, 사용, 공개하는 행위

새로 개발한 A전자의 기술을 알아내기 위해 B전자의 직원이 A전자에 납품중인 C사에게 접근하여 A전자 잠입에 도움을 주는 대가로 B전자로 납품하도록 하였다. 이에 C사는 거절하지 않고 A전자로 방문 시 B전자 직원을 C사 직원으로 가장해 주어 A전자로 잠입하게 하였다. 그러나 잠입 후 다른 하청업체의 직원과 B전자의 직원이 친분관계가 있어 서로 인사하다 발각되었다.

나. 산업기술에 대한 비밀유지의무가 있는 자가 부정한 방법으로 산업기술을 유출, 공개하여 제3자가 사용하게 하는 행위

디스플레이 전문 제조업체인 A사에 1984년 입사한 정 모 씨는 2002년 2월부터 PDP사업부 품질관리 총괄직으로 근무하다 2003년 임원 승진심사에서 탈락하였다. 정 모 씨는 승진심사 탈락에 불만을 품고 있던 중, A사 선임연구원으로 근무하다 미국 B사의 CTO로 근무하고 있는 후배 김 모 씨가 대만의 경쟁업체 D사에 ‘PDP 다면취 공법’을 매매하자고 제안하였다. 정 모 씨는 흔쾌히 승낙하였고 1차로 기술자료 일부를 2억 원에 넘기고 추가로 제공할 때마다 대가를 받기로 약속하였다. 기술자료를 획득하기 위해 연구목적이라고 속여 부하직원으로부터 기술자료를 수집해 자택 데스크톱에 보관하였다. 정 모 씨는 회사의 로고를 모두 지우고 영문판으로 개작하여 후배에게 넘기려다 적발되었다.

다. 위의 가. 또는 나.의 내용에 해당하는 행위가 개입된 사실을 알고 그 산업기술을 취득·사용 및 공개하는 행위

품질경영부장으로 근무하던 자가 생산에 관한 전반적인 기술과 영업비밀을 알고 있는 상태에서 사직하였고 이후 재직 중인 직원들을 이용하여 생산부서, 품질관리부서 직원을 사직하게 한 후 그들과 동종업체를 설립하였다. 설립이후 기존 회사의 기술을 이용하여 동일한 제품을 출시, 판매하였고 그에 따른 두 번의 소송에서 결국 영업비밀 침해 등의 죄목으로 처벌되었다.

라. 위의 가. 또는 나.의 내용에 해당하는 행위가 개입된 사실을 알았으나 그 사실을 중대한 과실로 여기지 않고 그 산업기술을 취득·사용 및 공개하는 행위

A연구소 기술개발실장으로 근무하던 B씨는 그동안 많은 기술을 연구하였고, 연구 결과물로 얻어진 산업기술은 국가핵심기술로 지정되는 경우도 많았었다. B씨는 개인적으로 구매한 외장형 HDD에 자신이 연구하였던 모든 결과물을 저장하여 자택에 보관하고 있었다.

어느 날 외국 연구소에서 해당 B 씨에게 기술에 대한 문의와 함께 기술이전을 요청해 왔고, B씨는 그 요구에 자신이 개발한 연구결과물은 자신의 것이므로 법적으로 전혀 상관없다는 생각으로 그 자료를 제공하려다가 발각되었다.

마. 승인을 얻지 않거나 부정한 방법으로 승인을 얻어 국가핵심기술의 수출을 추진하는 행위

반도체 핵심기술을 보유하고 있는 Z사는 중국으로 그 기술을 수출하기 위해 W기관에 수출승인을 의뢰하였으나, 보유하고 있는 기술이 국가핵심기술로 지정되어 있었고 수출이 금지된 상태이어서 수출을 승인하지 않았다. 하지만 개발팀장 B씨는 개인의 목적을 위하여 기술수출 내용을 반도체와 상관없는 다른 기술로 위장하고 국가핵심기술로 지정된 기술을 암호를 이용하여 끼워 넣는 수법으로 국가핵심기술을 수출하려다 적발되었다.

바. 수출절차 등의 위반으로 산업자원부장관의 수출금지 명령을 이행하지 않는 행위

M국은 우리 정부가 ‘방산물자 수출 요주의 국가’로 지정한 나라여서 포탄 플랜트 등의 수출이 사실상 불가능한 나라이다.

그러나 일반 산업용 기계를 수출하는 것처럼 위장계약서를 사용하고 관련 문건에 음어를 사용했으며 기술 이전 대가도 법인이 아닌 개인 직원 계좌로 받아 총 480여종의 포탄 제조장비 등을 수출하고 현지공장 건설을 90%까지 완료하였다. 또한 국내 기술자를 현지에 파견하여 노하우를 전수하려다 적발되었다.

제2절 유출 및 침해시 조치방법

1. 산업기술 침해신고

「산업기술의 유출방지 및 보호에 관한 법률」제15조에서는 “국가핵심기술 및 국가연구개발사업으로 개발한 산업기술을 보유한 대상기관의 장은 제14조 각 호의 어느 하나에 해당하는 행위가 발생할 우려가 있거나 발생한 때에는 즉시 산업자원부장관 및 정보수사기관의 장에게 그 사실을 신고하여야 하고, 필요한 조치를 요청할 수 있다.”고 규정되어 있다.

산업기술 침해행위가 발생할 우려가 있거나 발생한 사실을 반드시  신고해야 하는 의무가 부여되어 있는 경우를 살펴보면 다음과 같다.

구 분	내 용
신고 의무자	국가핵심기술 및 국가연구개발사업으로 개발한 산업기술을 보유한 대상기관의 장
신고의 시기 및 신고 할 곳	- 유출 및 침해의 우려가 있는 경우 : 2곳(산업자원부와 정보수사기관(국정원 또는 경찰청)) ☞ 검찰청 제외 - 유출 및 침해사고가 발생 한 경우 : 2곳(산업자원부와 정보수사기관(국정원, 경찰청 또는 검찰청))
신고의 방법	산업기술침해신고서 (산업기술의 유출방지 및 보호에 관한 법률 시행규칙 별지 제4호 참조)
조치요청사항	대상기관의 장은 산업자원부장관 및 정보수사기관의 장에게 필요한 조치 요청 가능
미신고시 제재	1천만원 이하의 과태료

※ 신고처

기관명	전화번호	홈페이지/e-mail
산업자원부	02)2110-5175	www.mocie.go.kr
산업기밀 보호센터	111	www.nisc.go.kr
기술유출범죄 수사지원센터	02)3480-2580~1	wkbong@spo.go.kr
경찰청 (산업스파이신고)	112	www.police.go.kr

2. 신변보호

「산업기술의 유출방지 및 보호에 관한 법률」을 위반하여 산업기술을 해외로 유출 및 침해한 사실을 신고한 사람은 정보수사기관의 장에게 신변보호를 요청할 수 있다. 신변보호는 ‘신변보호등요청서’(산업기술의 유출방지 및 보호에 관한 법률 시행규칙 별지 제5호 참조)를 제출하는 것을 원칙으로 하고 있으나, 긴급히 처리할 필요가 있는 경우에는 구두 또는 정보통신망 등의 방법으로 요청한 후 지체없이 ‘신변보호등요청서’를 제출해야 한다.

제3절 유출 및 침해에 대한 제재

「산업기술의 유출방지 및 보호에 관한 법률」에서 정하고 있는 산업기술의 유출 및 침해에 대한 처벌의 내역은 다음과 같다.

처벌기준	처벌내역
산업기술을 외국에서 사용하거나 사용되게 할 목적으로 유출 및 침해 행위를 한자	7년 이하의 징역 또는 7억 원 이하의 벌금
유출 및 침해 행위를 한자	5년 이하의 징역 또는 5억 원 이하의 벌금
유출 및 침해 행위에 해당하는 행위가 개입된 사실을 중대한 과실로 알지 못하고 기술을 사용 또는 공개한 자	3년 이하의 징역 또는 3억 원 이하의 벌금
비밀유지의무가 있는 자가 비밀을 누설한 경우	5년 이하의 징역 10년 이하의 자격정지 또는 5천만 원 이하의 벌금

제4절 사고를 통한 학습

산업기술의 유출 및 침해는 부단한 노력이 없는 한 언제든 발생할 가능성이 있다. 따라서 대상기관에서는 항상 산업기술의 유출 및 침해를 염두하고 있어야 한다. 그러나 막상 유출 및 침해사고가 발생하면 당황하여 나서 적절한 대처를 못하는 경우가 많다. 또한 대처를 잘 했어도 동일한 경우의 사고가 재발하는 경우가 자주 있다.

이것은 ‘사고를 통한 학습’이 없었다는 이야기이다. 즉 사고가 발생했으면 6하원칙에 의해 사고를 분석하고 다시는 동일한 방법으로 사고가 발생되지 않도록 취약한 부분부터 개선해 나가야 한다.

한 번의 실수는 실수이지만 두 번의 실수는 실력이다.

		부 록
		#1. 위험평가 sheet(예시) #2. 산업기술 보호 세부규정(예시) #3. USB 등 보조기억매체 보안관리지침 #4. 산업기술 보호 세부 점검사항 #5. 국가연구개발사업 공통보안관리지침 #6. 산업기술 유출사례 분석

부록#1. 위험평가 Sheet(예시)

부록#2. 산업기술 보호 세부규정(예시)

제1장 총칙

제1조 목적

본 지침은 ○○○연구소의 산업기술을 안전하고 효과적으로 보호하기위한 기준 및 임·직원이 준수해야 할 사항을 정한다.

제2조 적용범위

1. 본 지침은 ○○○연구소에 근무하는 모든 인력에 적용함을 원칙으로 한다.

2. 규정한 범위 내에서 연구소의 출입자, 계약 관계에 있는 업체 및 기타 업무상 조정 통제를 받는 단체의 인력들도 관련 계약 및 협정에 따라 적용될 수 있다.

제3조 용어정의

1. ‘산업기술’이란, …

제2장 내부 조직체계 운영

제4조 산업기술관리 위원회

1. 산업기술관리 위원회는 다음과 같이 구성한다.

① 위원장 :

② 간사 :

2. 산업기술관리 위원회의 기능

제5조 각 부서별 산업기술 관리 조직

산업기술 관리 및 유지를 위한 조직은 다음과 같이 구성한다.

1. 산업기술관리 본부장 :

2, 비밀관리자 :

제3장 인력의 관리

제6조 산업기술 보호책임

1. 다음 각 호에 해당하는 인원은 해당 업무에 대한 책임을 진다.

① 산업기술 관리 본부장

- 각 부서의 부서장이 본부장의 임무를 수행한다.

② 비밀관리자

산업기술 보호 세부규정(例)

제7조 산업기술 유지 및 의무

전 ○○○연구소 인력은 산업기술을 보호하기 위하여 본 정책을 성실히 수행하여야 할 책임을 갖는다.

1. 산업기술 보호

① 전 소원은 업무상 취득한 산업기술을 보호하기 위하여 다음과 같은
의무를 진다.

제8조 산업기술 보호 서약

인사부서는 인사규정에 의거 ‘산업기술보호서약서’를 작성하도록 하고, 이를 별도의 장소에 보관 / 관리해야 한다.

제9조 징계요구 및 재발방지 대책

1. 본 정책을 위반한 사실을 인지한 부서의 장은 징계 주관부서로 징계를 요구해야 하고, 산업기술보호 주관부서로 즉시 해당 위반사실을 통보하여야 한다.

제10조 산업기술 보호 교육계획 수립

1. 산업기술보호 주관부서는 연간 보안교육계획을 차기 회계연도 시작 1개월 전에 수립하여 인사부서에 전달하여야 한다.

제11조 산업기술 보호 교육의 실시

1. 정기보안교육은 연1회 실시하며,

제12조 직무발명제도

1. 전 ○○○연구소에서 발명된 중요 기술에 대해서는 발명자와 연구소가 해당 기술에 대한 특허는 소유권을 공동으로 한다.

2. 연구성과 및 성과에 따른 매출에 따라 해당 산업기술을 개발한 인력은
인센티브를 지급한다.

산업기술 보호 세부규정(例)

제4장 보유 산업기술의 관리

제13조 보유 산업기술의 분류

1. 전 연구소가 보유하고 있는 산업기술은 다음과 같이 분류한다.

① 1급기술 :
예)

② 2급기술 :
예)

제14조 보유하고 있는 산업기술별 관리방안

1. 각 분류기준에 의해 분류된 산업기술들은 다음과 같이 관리하여야 한다.

① 1급기술 :

② 2급기술 :

제5장 문서의 관리

제15조 문서의 등급설정

1. 연구소의 모든 문서는 다음과 같이 분류한다.

① 1급문서 :
예)

② 2급문서 :
예)

제16조 등급별 보호대책

1. 각 등급별 문서는 다음과 같이 보호한다.

① 1급문서 :

② 2급문서 :

제17조 등급별 취급 대상 인가 및 해제

전 소원은 비밀의 취급 인가를 구별하여 부여한다.

1. 1급 취급인가 : 연구소장, 부장급 이상, 각 파트장 …

2. 2급 취급인가 : ……

산업기술 보호 세부규정(例)

제18조 비밀문서 열람, 대출, 반출

모든 산업기술은 해당등급의 취급 인가를 받은 자로서 그 산업기술과 업무상 직접 관계가 있는 자에 한하여 열람할 수 있다.

1. 산업기술을 열람, 대출, 반출하는 때에는 열람/대출/반출기록부에 요구되는 사항을 기록 유지한다.

제19조 비밀문서의 파기

모든 산업기술은 다음 각 호에 해당하는 경우에 파기하며 파기기록부에 요구되는 사항을 기록 유지한다.

1. 산업기술로서 가치를 상실한 때

2. 대체되는 산업기술이 개발되었을 때

3. 소장/연구원에 의해 필요 없음이 승인된 때

제20조 비밀문서의 수발(전송)

비밀로서 인정되는 산업기술을 수발하는 경우 다음의 조치를 취해야 한다.

1. 전자문서의 경우 :

2. 출력문서의 경우 :

제21조 비밀문서의 보관

1. 전자문서의 경우 :

2. 출력문서의 경우 :

제6장 시설의 관리

제22조 출입관리

연구소는 출입증을 패용한 자만 출입 가능하나, 다음의 각호는 예외로 한다.

1.

제23조 보안구역의 지정

연구소의 구역은 다음의 각호와 같이 분류한다.

1. 공용구역 :

2. 일반구역 :

3. 설비구역 :

4. 특수구역 :

산업기술 보호 세부규정(例)

제24조 물품 반출입 통제

연구소의 물품을 반입 / 반출하고자 하는 경우에는 해당 부서장, 산업기술본부장의 승인을 득한 후 반출입대장에 기입/유지한다.

제25조 중요 시설의 관리

각 시설은 다음과 같은 보호대책을 강구한다.

1. 공용구역 :

제7장 통신 및 전산관리

제26조 로그 기록 및 관리

1. 서버 로그관리 :

2. 네트워크 장비 로그관리 :

3. 중요 시스템 접근 로그관리 :

제27조 미디어의 취급 관리

백업 등에 사용되는 미디어는 비인가자가 접근할 수 없는 격리된 곳에 보관하고, 물리적인 접근통제 및 방화 등의 재난으로부터 보호되어야 한다.

제28조 업무용 PC의 관리

1. ID / PW 관리

2. 화면보호기

제29조 이동형 장비(노트북, PDA 등) 관리

이동형 장비는 사용하지 않음을 원칙으로 하고 다음 각 호의 경우 예외로 한다.

1. 연구소장의 승인을 득한 경우

제8장 산업기술 유출사고 발생 시 조치

제30조 산업기술 유출사고 책임 및 권한

모든 산업기술 유출사고에 대한 책임은 연구소장, 본부장이 책임을 지며…

제31조 산업기술 유출사고의 처리절차 및 방법

산업기술이 유출되었음을 인지한 경우 인지한 자는 지체 없이 산업기술보호 주관부서에 통보하고 …

제32조 산업기술 유출사고 처리 후 조치

산업기술 유출사고의 재발 방지를 위해 산업기술보호 주관부서는 다음 각 호의 대책을 강구한다.

1. 산업기술 유출사고분석

2. 산업기술 유출사고 재발 방지를 위한 계획수립

산업기술 보호 세부규정(例)

부록 #3 USB메모리 등 보조기억매체

보안관리지침

('07.4.1, 국가정보원)

제1조 (목적) 이 지침은 『국가정보원법』,『정보 및 보안업무 기획ㆍ조정규정』,『보안업무규정』,『보안업무규정 시행규칙』및 『국가정보보안 기본지침』등에 의거, USB(Universal Serial Bus)메모리 등 보조기억매체 보안관리에 필요한 세부 사항을 규정함을 목적으로 한다.

제2조 (적용범위)

①이 지침은 중앙행정기관(대통령 소속기관 및 국무총리 소속기관을 포함한다)과 지방자치단체 및 소속 ㆍ산하기관(이하 “각급기관”이라 한다)에 적용한다. 다만, 교육기본법 제9조 제1항에서 규정한 학교에 대해서는 적용 하지 아니한다.

②제1항의 규정에도 불구하고 소속ㆍ산하기관에 대하여는 그 중앙행정기관의 장 또는 지방자치단체의 장이 적용여부를 결정 할 수 있다.

제3조 (정의) 이 지침에서 사용하는 용어의 정의는 다음과 같다.

1. ‘보조기억매체’라 함은 디스켓, 이동형 하드디스크(HDD), USB 메모리, CD(Compact Disk), DVD(Digital Versatile Disk) 등 자료를 저장할 수 있는 일체의 것으로 PC 등의 정보통신시스템과 분리할 수 있는 기억장치를 말한다.

2. ‘보조기억매체 관리책임자’(이하 ‘관리책임자’라 한다)라 함은 각 팀 또는 과별 보조기억매체 관리상의 책임을 맡은 그 팀장 또는 과장을 말한다.

3. ‘보조기억매체 취급자’(이하 ‘취급자’라 한다)라 함은 해당 보조기억매체를 사용하는 자를 말한다.

4. ‘보조기억매체 관리시스템’(이하 ‘관리시스템’이라 한다) 이라 함은 보조기억매체의 등록, 파기, 재사용, 반출ㆍ입, 불용처리 현황 등에 관하여 전자적으로 처리하는 시스템을 말한다.

5. ‘보조기억매체 관리번호’(이하 ‘관리번호’라 한다)라 함은 사용 중인 보조기억매체의 식별 및 관리를 용이하게 하기 위하여 부여한 번호를 말한다.

6. 공인인증서보관용 보조기억매체 중 ‘업무용’ 이라 함은 업무와 관련하여 신분확인 등에 활용되는 것을 말한다.

7. 공인인증서보관용 보조기억매체 중 ‘개인용’ 이라 함은 인터넷 뱅킹 등 사적인 목적으로 활용되는 것을 말한다.

제4조 (USB메모리 및 관리시스템 도입절차)

①각급기관의 장은 USB 메모리를 도입할 경우 그 제품의 안전성을 검증하기 위하여『전자정부구현을위한행정업무등의전자화촉진에 관한법률시행령』제34조를 준용하여 국가정보원장에게 보안 적합성 검증을 의뢰하여야 한다.

②국가정보원장은 보안적합성 검증시 다음 각 호에 해당하는 필수 보안기능의 유무를 검토한 후 그 결과를 적합성 검증결과에 반영한다.

1. 사용자 식별ㆍ인증기능

2. 지정데이터 암.복호화 기능

3. 저장된 자료의 임의 복제 방지기능

4. 분실시 저장데이터의 보호를 위한 삭제 기능

③제2항 제2호의 지정데이터 암.복호화 기능은 자료를 USB 메모리에 보관하는 경우로 한하며, 비밀자료를 PC에 보관 하거나 소통하고자 할 경우에는 국가정보원이 개발ㆍ보급한 암호장비ㆍ자재 등 국가용 보안시스템을 사용하여야 한다.

④각급기관의 장은 운용중인 보조기억매체를 안전하게 관리하기 위하여 관리시스템을 구축할 수 있다. 이 경우 별지 제1호 내지 별지 제7호 서식에 갈음할 수 있다.

제5조 (보조기억매체 사용)

①각급기관은 보조기억매체를 등록한 후 사용하여야 한다.

②보조기억매체의 등록방법은 제7조의 규정에 따라 각급 기관별 별지 제1호 내지 별지 제3호 서식을 이용하여 보조 기억매체 관리대장(이하 ‘관리대장’이라 한다)에 등재하는 것을 말한다.

제6조 (보조기억매체 사용제한)

①각급기관은 등록된 보조기억 매체만 사용할 수 있으며 업무목적 이외 사적인 용도로 사용할 수 없다. 다만, 공인인증서용(업무용, 개인용)에 한하여 등록 후 개인소지 및 사용을 하게 할 수 있다.

②각급기관의 장은 그 소속직원에게 공지. 교육을 통하여 보조기억매체의 임의 사용을 제한하여야 하고 이에 대하여 주기적인 점검을 실시하여야 한다.

제7조 (관리책임자)

①각급기관의 보조기억매체는 각 팀장 또는 과장 책임하에 관리하는 것을 원칙으로 하며 그 팀장 또는 과장을 ‘관리책임자’라 칭한다.

②관리책임자는 별지 제1호 내지 별지 제3호 서식의 일반용, 비밀용 그리고 공인인증서용 보조기억매체 관리대장(이하 ‘관리대장’이라 한다)을 각각 비치하여야 한다.

③관리책임자는 관리대장에 최종 변경된 보조기억매체의 등록현황을 등재하여야 하며 사본 1부를 정보보안담당관에게 제출하여야 한다 .

④관리책임자는 월 1회 이상 보조기억매체 수량 및 보관상태를 점검하고 별지 제4호 서식에 따라 확인. 서명하여야 한다.

⑤관리책임자는 보조기억매체의 반.출입을 통제하여야 하며 별지 제5호 서식에 따라 기록하여야 한다. 이때 반ㆍ출입은 업무상 목적(별지 제5호 서식의 ‘용도’참조)에 한한다. 다만, 사적소지가 허용된 공인인증서용은 제외한다.

⑥관리책임자는 소속직원이 미등록 보조기억매체를 사용하거나 공인인증서용 보조기억매체에 업무자료를 보관하지 않도록 감독하여야 하며 이를 위반한 사실을 발견 또는 확인하는 즉시 정보보안담당관에게 통지하여야 한다.

제8조 (정보보안담당관의 책무)

①정보보안담당관은 소속 기관 내에서 사용하는 보조기억매체 등록 현황을 파악하여야 한다. 이 경우 각 부서 팀ㆍ과별 관리대장 사본을 비치ㆍ관리하는 것으로 갈음할 수 있다.

②정보보안담당관은 각 팀ㆍ과별 관리책임자가 별지 제6호 서식에 따라 보조기억매체 라벨 작성 및 별지 제7호 서식에 따라 불용처리 확인을 요청하는 경우에는 확인한 후 날인하여야 한다.

③정보보안담당관은 보조기억매체를 일괄 구입하여 필요한 부서에 보급할 수 있다.

④정보보안담당관은 미등록 또는 공인인증서용 보조기억매체에 업무자료를 보관하는 것을 인지한 경우에는 수록된 자료현황을 파악하는 등의 경위조사를 실시하여야 한다.

⑤정보보안담당관은 대외비 이상 비밀이 보관된 보조기억매체를 무단 반출하거나 미등록 또는 공인인증서용 보조기억매체에 비밀을 보관하고 있는 경우에는 경위조사를 실시하여야 한다.

⑥정보보안담당관은 제5항에 따라 조사를 실시한 결과, 비밀 유출이 우려되거나 유출 징후가 있는 경우에는 지체 없이 국가정보원장에게 보안사고 조사를 의뢰하여야 한다.

제9조 (보조기억매체의 구분 및 관리요령)

①보조기억매체는 일반용, 비밀용(대외비 포함) 그리고 공인인증서보관용으로 구분한다.

②일반용 보조기억매체(이하 ‘일반용’ 이라 한다)의 관리요령은 다음과 같다.

1. 일반용에는 일반자료만 보관하여야 하며 별지 제1호 서식의 관리대장에 기록하여야 한다.

2. 일반용은 캐비넷 등에 안전하게 보관하여야 한다.

3. 일반용에는 별지 제6호 서식과 같이 기입ㆍ표시하여야 한다.

4. 관리번호는 팀ㆍ과명, 일반, 연번으로 한다. 이 경우 팀ㆍ과명은 약칭을 사용할 수 있다.(예 : 총무과-일반-01, 총무과-일반-02, 총무-일반-03 등)

③대외비 이상 자료를 보관하는 비밀용 보조기억매체(이하 ‘비밀용’이라 한다) 관리요령은 다음과 같다.

1. 비밀용을 사용할 경우에는 별지 제2호 서식의 관리대장에 기록하여야 하며 대외비 이상의 기밀자료가 수록되어 있는 경우에는 비밀관리기록부에도 등재ㆍ관리하여야 한다.

2. 비밀용은 비밀자료와 동일하게 이중캐비닛 또는 금고에 보관하여야 한다.

3. 비밀용에는 별지 제6호 서식과 같이 기입ㆍ표시하여야 한다.

4. 비밀용을 사용하여 비밀작업을 하는 경우 그 작업을 완료하거나 일시 중단할 때에는 PC에서 즉시 분리하여야 한다.

5. 비밀용은 해당 비밀을 생산하거나 보관할 필요가 있는 경우 비밀등급별로 각각 보조기억매체를 마련해야 하며, 하나의 보조기억매체에 등급이 다른 비밀 또는 대외비를 혼합 보관해서는 아니 된다.

6. 관리번호는 팀ㆍ과명, 비밀등급, 연번으로 한다. 이 경우 팀ㆍ과명은 약칭을 사용할 수 있다.

④공인인증서보관용 보조기억매체(이하 ‘공인인증서용’ 이라 한다)의 관리요령은 다음과 같다. 다만, 공인인증서를 CD-R 형태의 매체에 보관하고 있는 경우에는 아래의 관리요령 준수대상에서 제외할 수 있다.

1. 공인인증서용에는 공인인증서 이외의 자료를 저장할 수 없으며 별지 제3호 서식의 관리대장에 기록하여야 한다.

2. 공인인증서용은 소지ㆍ사용에 유의하여야 한다.

3. 공인인증서용에는 별지 제6호 서식과 같이 기입ㆍ표시하여야 한다.

4. 관리번호는 팀ㆍ과명, 인증, 연번으로 한다. 이 경우 팀ㆍ과명은 약칭을 사용할 수 있다.

제10조 (보조기억매체 불용처리 및 재사용)

①업무상 목적으로 사용한 보조기억매체는 불용처리 시 물리적 파기를 원칙으로 하며 그 사실을 관리대장에 기록하여야 한다.

②일반용을 타부서 이전 또는 용도를 전환하여 사용하고자 할 경우에는 수록된 자료를 완전히 삭제ㆍ포맷 후 사용하여야 한다.

③비밀용을 일반용 또는 다른 등급의 비밀용으로 전환하여 사용할 경우 또는 일반용을 외부기관에 이전하여 사용하는 경우에는 파일 삭제ㆍ포맷 및 필요한 경우 자성소거 등의 파일복원 방지대책을 강구하여야 한다.

④공인인증서용을 타부서 이전 또는 퇴직 후 사용하고자 할 경우 업무용은 그 기록의 삭제ㆍ변경 등 적절한 조치 후 사용할 수 있고 개인용은 그 등록의 해지를 요한다.

⑤보조기억매체를 불용처리하거나 재사용하는 경우에는 별지 제7호 서식에 따라 정보보안담당관의 확인을 받아야 하며 확인서를 보관하여야 한다.

제11조 (보조기억매체의 분실, 소각시 대처방안)

①취급자는 보조기억매체의 분실 또는 소각 등의 사유가 발생한 즉시 관리책임자에게 그 사실을 보고하여야 한다.

②관리책임자는 보조기억매체의 분실 또는 소각사실을 보고 받은 즉시 정보보안담당관에게 통지하여야 한다. 다만, 공인인증서용은 등록을 해지하고 취급자에게 사용상의 주의를 환기시켜야 한다.

③정보보안담당관은 일반용의 분실 또는 소각 사실을 통지 받거나 인지한 경우에는 자체 조사를 실시하고 재발방지 대책을 강구하여야 한다.

④정보보안담당관은 비밀용의 분실 또는 소각 사실을 통지받거나 인지한 경우에는 지체 없이 국가정보원장에게 그 사실을 통보하여야 한다.

제12조 (보조기억매체 고장ㆍ훼손, 오인 삭제ㆍ포맷 시 대처방안)

①보조기억매체의 고장, 자료의 훼손 또는 자료의 오인삭제, 포맷시 제10조의 규정에 의거 불용처리를 원칙으로 한다. 다만, 자료의 복구가 필요한 경우 상용 소프트웨어 활용 및 민간업체에 의뢰할 수 있다.

②제1항에 따라 민간업체에 의뢰하는 경우에는 정보보안담당관과 협조하여 보안서약서 징구 등 적절한 보안대책을 강구하여야 한다. 다만, 비밀자료가 포함된 경우에는 우선 정보보안담당관을 경유하여 국가정보원장에게 통보하여야 한다.

제13조 (준용규정) USB메모리 등 보조기억매체의 보안관리에 관하여 이 지침에서 규정한 사항을 제외하고는 다음 각 호의 관련 규정을 준용한다.

1. 『보안업무규정』

2. 『보안업무규정 시행규칙』

3. 『정보 및 보안업무 기획ㆍ조정규정』

4. 『국가 사이버안전 관리규정』

5. 『전자문서 보안조치 수행지침』

6. 『국가정보보안 기본지침』

7.  기타 관련 법령

< 부 칙 >

제1조 (시행일) 이 지침은 2007년 4월 1일부터 시행한다.

제2조 (보안적합성 검증필 USB메모리 도입에 관한 경과조치) 각급기관의 장은 이 지침 시행후 1년이내에 제4조의 규정에 따라 기존에 사용하는 USB메모리를 보안적합성 검증을 필한 USB메모리로 교체하여야 한다.

제3조(준용규정의 변경) 제4조 제1항의『전자정부구현을위한행정업무등의전자화촉진에관한법률시행령』제34조를 2007년 7월 1일부터 『전자정부법』제27조로 대체한다.

부록 #4 산업기술 보호수준 점검사항

1. 산업기술 보호 정책지침 점검사항

점검항목	평가		확인내용
	yes	no
산업기술 보호 정책지침이 최고 관리자층에 의해 승인(결재)되고 있는가?
산업기술 보호 정책지침이 제/개정 시 전 임·직원에게 공지 또는 배포되었는가?
임·직원에게 알리기 위한 홍보 또는 인식교육 등이 실시되는가?
산업기술 보호 정책지침이 대내외적 환경 변화가 발생한 경우 검토를 실시하고 있는가?
산업기술 보호 정책지침에 대하여 정기적으로 검토를 실시하는가?

2. 산업기술 보호 조직관리 점검사항

점검항목	평가		확인내용
	yes	no
보안 책임자 또는 보안 담당자들이 모여 산업기술 보호에 대하여 협의하는 정보보안 실무 협의회나 회의 등이 존재 하는가?
정보보안 실무 협의회는 정기적으로 운영하고 있는가?
임·직원의 업무 분장에서 정보보안을 위하여 수행해야 할 업무 책임 및 역할이 정의되어 있는가?
보안서약서 등이 주기적으로 갱신되고 있는가?
법원, 검찰, 국정원 및 경찰, 소방당국 등 국가 기관과 협조 요청 공문 및 결과 제출 공문을 수발하고 있는가?
제3자 업무방식, 절차, 보안규정 등을 제3자 계약에 포함시키는가?
계약의 시작 및 종료 시점에서 이루어져야 하는 보안 관련 절차 및 조건, 법적인 관계 등을 사전에 제3자에게 통보하는가?

3. 자산의 분류와 통제 방법 점검사항

점검항목	평가		확인내용
	yes	no
소유 자산들을 관리하기 위한 규정/기준이 수립되어 있는가?
자산들의 목록을 유지/관리하고 있는가?
자산 목록에 등록된 자산에 대한 자산 분류 기준을 적용하고 있는가?
자산 별 관리부서가 지정되어 있는가?
조직 내 모든 자산에 대해 개인별 책임이 정책지침에 명시되어 있는가?

4. 인력관리 점검사항

점검항목	평가		확인내용
	yes	no
고용 계약 조건에 직원의 산업기술 보호에 대한 책임 사항이 명시되어 있는가?
고용 계약 조건에 직원이 산업기술 보호 책임사항을 위반하였을 경우 징계나 처리사항이 포함되어 있는가?
모든 임·직원(외주업체, 임시직 포함)에 대한 보안 교육 정책이 존재하는가?
모든 임·직원에게 조직의 산업기술 보호 관련 교육을 주기적으로 실시하고 있는가?
보안사고 발생 시 대응/처리하는 방법에 대해 교육하고 있는가?
보안규정/기준의 재·개정 시 임·직원에게 알리고 있는가?
고용인원의 퇴사 시에 대한 책임이 명확히 규정되어 있는가?
퇴사 시 자산(장비, 문서, 법인신용카드 등)을 반납하는 절차가 있는가?
퇴사 시 자산을 반납한 것을 확인하고 있는가?

5. 시설관리 점검사항

점검항목	평가		확인내용
	yes	no
감시 장비는 항상 작동하고 있는가?
중요도에 따라 공용구역, 일반구역, 설비구역, 특수구역으로 지역 구분하는 규정/기준이 있는가?
통제구역에 출입하는 사람들의 출입 시각, 날짜 등을 기록/유지하고 있는가?
부서원이 회사 내에서 사원카드(신분증)를 패용하고 있는가?
설비구역 및 특수구역은 외부인이 보았을 때 용도를 알 수 없게 최소한의 정보만을 표시하였는가?
복사기, 팩스 등의 장치는 일반인이 쉽게 접근할 수 없도록 사무실 등의 안쪽에 배치되어 있는가?
보호구역에 위험하거나 가연성이 있는 물질이 저장되어 있지는 않은가?
화재 대응장비는 즉각 사용이 가능한가?
통제구역의 방문 또는 작업은 책임자 등의 승인 하에 실시되고 있는가?
통제구역 내에 카메라 등 촬영장비 및 녹음기 등의 저장장치의 반입을 금지하고 있는가?
정보보안구역 내에서의 작업 시 불필요한 물품의 반입을 통제하고 있는가?
화물 등의 물품 출입 지역에 접근 및 출입할 때 인가 및 신원확인을 하고 있는가?
중요 설비(장비) 주변의 금지사항이 예외 없이 지켜지고 있는가? (예. 흡연, 식음 등)
누수 및 화재에 대비한 보호 설비가 갖추어져 있는가?
부서원은 노트북을 사외에서 사용하기 위하여 승인을 받고 있는가?
장비(노트북, USB 저장장치 등)의 외부 반출 기준이 지켜지고 있는가?

6. 전산관리 점검사항

점검항목	평가		확인내용
	yes	no
부서 내 모든 PC에 바이러스 백신이 설치되어 있는가?
개인 노트북, PDA 등을 사용하기 위해서 승인을 받고 있는가?
사내/외로 반출입하는 이동형 저장장치(USB, CD, 디스켓 등)에 대해 승인을 받고 있는가?
저장장치(CD, 디스켓 등)에 대해 폐기(소각, 분쇄, 데이터 삭제)하고 폐기 내용을 기록하고 있는가?
사내 중요정보 보호를 위하여 문서의 출력제한, 전자파일 암호화 등을 실시하고 있는가?
테이프, 디스크 등 저장매체 운반 시 시건장치 되어있는 함 이용 등 안전 대책을 강구하고 있는가?
외부 발송 메일의 첨부 파일에 대한 모니터링을 하고 있는가?
개인 컴퓨터의 패스워드는 8자리 이상 영숫자를 혼용하여 설정/사용하고 있는가?
화면보호기는 5분 이내로 설정되어있는가?
자리를 비울경우 windows+L 키를 눌러 잠금 설정을 하는가?
컴퓨터는 이용되지 않을 때 잠금 장치가 있는 캐비닛과 같은 안전한 곳에 보관되는가?
사내 정보망을 사용할 경우 사용자 ID 리스트가 존재하는가?

7. 문서관리 점검사항

점검항목	평가		확인내용
	yes	no
내부적으로 생산 / 관리하고 있는 문서에 대하여 비밀등급을 부여하고 있는가?
각 문서는 적절한 비밀등급이 부여되었는가?
부서별로 관리하고 있는 비밀문서는 관리자가 지정되어 있는가?
비밀문서의 열람 시 기록하고 있는가?
비밀문서를 외부로 반출 시 승인을 받고 있는가?
문서 세단기를 사용하고 있는가?
문서 인쇄 시 프린터에서 즉시 제거하고 있는가?
퇴근 후 책상에 비밀문서가 방치되어 있지는 않는가?

부록 #5 국가연구개발사업 공통보안관리지침

('07.3, 과학기술부)

제1장 총 칙

제1조(목적) 이 지침의 목적은 「국가연구개발사업의 관리 등에 관한 규정」
(이하 “공동관리규정”이라 한다) 제16조제4항에 따라 중앙행정기관의 장, 국가연구개발사업을 수행하는 연구기관 등이 보안대책을 수립·시행함에 있어 필요한 공통된 방법 및 절차를 정함으로써 국가연구개발사업의 보안관리에 관한 업무를 효율적으로 수행하도록 하는데 있다.

제2조(적용대상) 이 지침의 적용대상은 다음 각 호와 같다.

1. 국가연구개발사업을 추진하는 중앙행정기관(이하 “중앙행정기관”이라 한다)

2. 국가연구개발사업을 수행하는 모든 연구기관(정부출연연구기관, 특정연구기관, 국공립연구소, 전문생산기술연구소, 기업, 대학 등을 포함한다. 이하 “연구기관”이라 한다)

3. 중앙행정기관의 장이 소관 연구개발사업에 대한 기획·평가·관리 등의 업무를  위탁하여 수행하기 위해 설립하거나 지정한 기관(이하 “전문기관” 이라 한다)

제3조(활용) ①중앙행정기관의 장은 이 지침을 토대로 소관 사업성격을 반영한 별도의 보안관리 대책을 수립·시행할 수 있다.

②연구기관의 장은 이 지침에 규정된 사항을 기초로 연구개발사업 관련 보안관리 담당자 지정 및 규정을 마련하는 등의 보안대책을 수립·시행하여야 한다.

제4조(보안관리의 위탁) 중앙행정기관의 장은 이 지침에 따른 보안관리에 관한 사항을 공동관리규정 제2조제3호에 따른 전문기관에 위탁할 수 있다.

제2장 보안관리 체계

제5조(보안관리심의회) ①중앙행정기관의 장은 국가연구개발사업의 보안관리에 관한 사항을 심의하기 위해 심의회(이하 “보안관리심의회”라고 한다)를 구성·운영하여야 한다.

②보안관리심의회는 국가연구개발사업 업무를 담당하는 부서의 고위공무원단에 속하는 공무원을 위원장으로 하고, 보안관리심의회의 구성과 운영에 관한 사항은  위원장이 정한다.

③보안관리심의회는 다음 각 호의 사항을 심의한다.

1. 연구개발사업 관련 보안관리 규정의 제·개정

2. 전문기관의 보안관리규정 및 보안관리현황 보고사항

3. 연구개발사업 관련 보안사고 발생 시 사후 조치사항

4. 그 밖에 위원장이 필요하다고 인정하는 사항

④보안관리심의회의 위원장은 필요하다고 인정할 때에는 관계자를 출석시켜 의견을 진술케 할 수 있다.

제6조(연구기관보안관리심의회) ①전문기관의 장, 연구기관의 장은 국가연구개발  사업의 수행과 관련된 보안관리에 관한 사항을 심의하기 위한 위원회(이하 “연구보안심의회” 라고 한다)를 구성·운영여야 한다.

②연구보안심의회의 구성과 운영에 관한 사항은 연구보안심의회가 속한 기관의 장이 정한다. 단, 기관 실정에 맞도록 연구보안심의회의 기능을 대신할 수 있는 별도의 기구에 위임할 수 있다.

③연구보안심의회는 다음 각 호의 사항을 심의한다.

1. 연구개발사업 관련 보안관리 규정의 제·개정

2. 연구개발과제 보안등급 분류에 대한 적정성

3. 연구개발사업과 관련된 보안사고의 처리

4. 그 밖에 위원장이 필요하다고 인정하는 사항

④중소·벤처기업 등 조직체계상 연구보안심의회의 운영이 어려운 연구기관에서는 연구기관의 장의 검토로 연구보안심의회의 기능을 대신 한다.

제3장 보안등급 분류

제7조(분류기준) ①연구개발과제의 보안등급은 다음 각 호와 같이 분류한다.

1. 보안과제 : 수행성과가 대외로 유출될 경우 기술적, 재산적 가치의 손실이 예상되어 일정 수준의 보안조치가 필요한 과제

2. 일반과제 : 보안과제로 지정되지 아니한 과제

②제1항에 따른 보안등급을 분류할 때에는 다음 각 호의 사항을 고려하여야 한다.

1. 지식재산권 확보와 관련하여 기술유출 가능성이 있는 연구개발과제

2. 세계 초일류 기술제품 개발과 관련되는 연구개발과제

3.외국의 기술이전 거부로 국산화가 추진중이거나, 미래의 기술적·경제적 가치 및 성장잠재력이 높은 기술로서 보호할 필요성이 인정되는 연구개발과제

4. 국방·안보관련 기술로 전용 가능한 연구개발과제

③연구개발과제 수행과정 중 산출되는 모든 문서에는 제1항에서 규정한 보안 등급에 따른 표시를 부여하여야 한다.

④「국가정보원법」에 따른「보안업무규정」에 따라 Ⅰ·Ⅱ·Ⅲ급 비밀 또는 대외비로 분류된 과제 와 「군사기밀보호법」에 따른 「군사보안업무시행규칙」에  따라 군사Ⅰ·Ⅱ·Ⅲ급 비밀 또는 대외비로 분류된 과제에 대해서는 제1항 내지 제3항에도 불구하고 관련 법령에서 정하는 바에 따른다.

제8조(분류 절차) ①연구책임자가 연구개발과제 신청서를 제출할 때에는 제7조에 따라 보안등급을 분류하여 연구보안심의회에 사전 제출하여야 한다.

②연구보안심의회는 해당 과제에 대한 보안등급 분류의 적정성을 검토하고 연구기관의 장은 그 결과에 따라 보안등급을 연구개발계획서에 표기하여 중앙행정기관의 장에게 제출하여야 한다.

③중앙행정기관의 장은 공동관리규정 제5조에 따른 연구개발과제평가단이 과제  선정을 위한 평가를 수행할 때 보안등급에 관한 심사를 병행하도록 하여 그 결과를 서면으로 제출토록 하고 이를 토대로 보안등급을 결정한다.

제9조(보안등급 변경) ①전문기관의 장, 연구기관의 장이 연구개발과제의 보안등급을 변경하고자 하는 때에는 소관 중앙행정기관의 장에게 변경 내역, 변경사유 등을 제출하여야 한다.

제4장 보안을 위한 조치

제10조(연구개발과제 보안관리규정의 마련 절차) ①연구기관의 장은 자체 연구 보안심의회의 심의를 거쳐 연구개발과제 보안관리규정을 마련하여 시행하여야 한다.

②중앙행정기관의 장은 연구기관의 실태점검 등을 통하여 연구개발과제 보안관리규정에 대해 이의가 있을 경우 수정을 요구할 수 있다. 단, 소관 중앙행정기관이 다수일 경우에는 협의를 통해 수정사항을 반영하고, 해당 연구기관의 장은 특별한 사유가 없는 한 이에 응하여야 한다.

④주관연구기관의 연구개발과제에 참여하는 기업과 위탁연구기관은 주관연구기관의 보안관리규정 및 조치에 따른다.

제11조(보안등급에 따른 조치) ①전문기관의 장은 연구개발과제의 선정·평가·관리와 관련하여 보안과제와 일반과제를 구분하여 보안대책을 수립·시행하여야 한다.

②연구기관의 장 및 연구책임자는 보안등급에 따라 다음 각 호의 사항을 포함한 보안조치를 수행하여야 한다.

1. 보안과제는 다음 각 목에 따른 보안조치 외에 제2호의 보안조치를 포함한다.

가. 외국기업, 국외연구기관에게 연구개발과제를 위탁하는 것을 원칙적으로 제한한다. 단, 불가피한 사유가 있다고 판단되는 경우에는 중앙행정기관의 장 또는 전문기관의 장에게 사전승인을 얻어야 한다.

나. 외국인의 연구개발과제 참여를 원칙적으로 제한하여야 한다. 단, 불가피한 사유가 있다고 판단되는 경우에는 소속 연구기관의 장의 사전승인을 얻어야 한다.

다. 외국인이 연구개발과제에 참여하는 경우 그 해당자의 출입지역 및 열람가능 자료를 제한하도록 하여야 하며, 특이동향 인지 시 중앙행정기관의 장에게 그 내용을 보고할 수 있다.

라. 연구개발과제에 참여한 연구원에게 보안유지 의무 및 위반 시 제재사항이 포함된 보안서약서를 징구하여야 한다.

마. 연구원의 외국인 접촉현황을 관리하여야 한다.

바. 연구원에 대한 정기·수시 보안점검 및 교육을 실시하여야 한다.

사. 연구결과물 반출·대외제공·공개 시 연구책임자의 승인 등에 대한 보안대책을 수립하여야 한다.

아. 휴대용 정보통신기기, 이메일 등 인터넷서비스 활용과 관련된 보안대책을 수립하여야 한다.

2. 일반과제

가. 연구기관별 연구개발과제 보안관리 규정에 따라 조치를 수행하여야 한다.

제12조(연구개발과제 보안관리현황 보고) ①연구기관의 장은 연구과제의 보안관리 현황을 년1회(10월중) 전문기관에 제출하여야 하며, 전문기관의 장은 이를 종합하여 소관 중앙행정기관의 보안관리심의회에 보고하여야 한다. 단, 전문기관이 없는 경우 해당연구기관은 중앙행정기관의 보안관리심의회에 직접 보고하여야 한다.

②중앙행정기관의 장은 국가정보원과 합동으로 소관 과제의 보안관리 실태를 점검하여 문제점이 있을 경우 시정을 요구할 수 있으며 해당 연구기관의 장은 점검에 필요한 자료요구 및 면담에 특별한 사유가 없는 한 성실히 응하여야 한다.

제5장 보안사고 처리

제13조(보안사고 발생 시 처리) ①전문기관의 장, 연구기관의 장은 연구개발과제 관련 정보자료의 유출, 연구개발 정보시스템 해킹 등의 보안사고가 발생한 경우 사고일시·장소, 사고자 인적사항, 사고내용 등을 즉시 소관 중앙행정기관의 장에게 보고하고 필요한 조치를 취하여야 한다.

②중앙행정기관의 장은 보안사고 발생 시 국가정보원과 합동으로 그 경위를 조사할 수 있으며 연구기관의 장과 연구책임자 등은 조사에 성실히 협조하여야 한다.

③관계중앙행정기관의 장, 전문기관의 장, 연구기관의 장은 조사가 종결될 때까지 관련내용을 공개하지 아니하여야 하며, 사고 수습 후 재발방지 대책을 마련하여야 한다.

제14조(보안관리 위반 시 조치) ①전문기관, 연구기관, 연구책임자 및 참여 연구원 등은 보안관리에 최선을 다하여야 한다.

②중앙행정기관의 장은 협약이 정하는 바에 따라 다음 각 호의 어느 하나에 해당하는 연구기관에 대해서 보안관리심의회의 심의를 통해 국가연구개발사업에의 참여제한 등의 조치를 취할 수 있다.

1. 제10조제2항을 위반하여 보안규정을 마련하지 않거나 시행하지 않는 연구기관

2. 제12조제1항에 따른 보안관리 현황 보고를 하지 않은 연구기관

3. 제13조에 따른 보안사고 처리 절차를 이행하지 않은 연구기관

③중앙행정기관의 장은 제8조에 따른 보안등급 분류, 제11조에 따른 보안조치를 정당한 사유 없이 이행하지 않은 자에 대하여 국가연구개발사업에의 참여제한 등의 조치를 취할 수 있다.

부 칙

①(시행일)이 지침은 공포 후 3개월이 경과한 날부터 시행한다.

②(경과조치)이 지침의 시행 전에 보안등급을 확정하여 관리되고 있는 계속과제의 경우 이 지침에서 정하는 분류절차를 생략할 수 있다.

부록 #6 산업기술 유출사례 분석

산업기술의 해외유출 방지 등의 업무를 수행하고 있는 국가정보원 산업기밀보호센터에서 매년 제공하고 있는 통계를 살펴보면 다음과 같다.

기술유출자는 주로 전·현직원에 의한 생계형 기술유출이 대부분이나, 최근에는 협력, 용역업체에 의한 기술유출 사례도 점차 증가하고 있어 업체에 대한 보안관리가 새로운 관심사로 대두되고 있다.

기술유출 유형은 연구원매수(71건), 공동연구(5건), 위장합작(4건), 불법수출(3건), 해킹에 의한 유출(2건), 기타(7건) 등이며 연구원을 대상으로 승진, 연봉인상 등 금전적 유혹에 의한 매수가 가장 많았고 기업차원의 공동연구 및 위장합작을 통한 유출사례도 증가하고 있다.

1. 위장취업 후 산업기술을 유출 한 경우

가. 사건개요

외국인이 국내 스피커 업체에 업무상 파견으로 왔다가 정식 직원으로 채용되었으나 이후 기술 유출 제의를 받고 취업중임을 이용하여 국내 스피커 업체의 기밀을 유출, 외국의 동종 경쟁업체에 넘기는 조건으로 이중 취업하고 외국현지에서 생산판매 하였다. 이후 외국 경쟁업체의 한국 진출을 위해 국내로 다시 들어왔다가 검거되었다.

나. 진단(유출원인)

산업기술 보호정책	산업기술 보호조직	보유자산의 분류 및 통제	인력의 관리
	×		×
물리적 / 환경적 보호	통신 및 운영 관리	사고대응 및 복구계획과 훈련	산업기술 보호문화 정착
×	×	×	×

다. 사건 분석

구 분	해야 했던 일
A기업에서 해외 영업이사로 외국인 채용	• 신상조사 실시(이전 직장, 다른 업체와의 연관성 등 확인) • 고용 계약서 작성(산업기술 보호서약서, 위반 시 징계내용 포함) • 기술유출에 관한 내용으로 산업기술 보호교육 실시
외국 B사가 A기업의 영업이사를 매수	• 경쟁업체에 매수됨을 전제로 한 산업기술 보호규정 교육 지속 실시 • 중요 인원에 대해 외부업체와 접촉여부 확인

구 분	해야 했던 일
2개월 동안 A기업 영업비밀 절취	• 전산실 등 통제구역 출입에 대한 로그 유지 • 사내 전산 시스템 접근 로그 유지 • 외부 e-mail 내역 확인 / 로그유지 • 장비(노트북, CD, 기타 저장장치) 반출입 여부 확인 및 로그 유지
부인이 위독하다는 핑계로 외국으로 이동	• 장기 휴직에 따른 증거서류 징구 (진단서, 입원확인서 등) • 필요시 해당국에 파견된 직원을 보내어 직접 방문 - 사장의 대리인 자격으로 위로 방문한 것으로 하여 실제 입원여부 확인
“국제전자쇼”에서 B사 제품의 영업사실 확인	• 사진 촬영(경쟁업체 제품의 영업사실 증거) • B사 제품이 A기업 제품의 기술을 이용해 제작된 것인지 확인
A기업의 피해상황 자체조사	• 시스템 접근 현황 파악 • 저장장치로 저장한 자료명, 수량 확인 • 유출경로 확인(언제, 어디서, 어떻게) / 유출 증거 확보
기술유출 혐의로 입건	• B사를 상대로 한 소송여부 결정 / 소송 진행 • 사건 전반에 대한 외부 공개여부 결정 (매스컴 대응 여부)

2. 납품업체 직원으로 위장 후 생산 시설 염탐

가. 사건개요

B사의 직원은 A사의 김치냉장고 기술을 알기위해 A사에 부품을 납품하는 C사에게 접근하였다. C사가 B사 직원을 A사로 들어갈 수 있도록 해주면 B사로 납품할 수 있게 해주겠다고 제안하였고 C사는 거절하지 않았다.

며칠 후 유지보수를 위해 C사가 A사를 방문할 때 B사의 직원도 동행하여 A사로 잠입하는데 성공하였다. 그러나 생산라인을 확인하려고 할 때 B사 직원의 친구인 A사의 또 다른 하청업체 직원과 이야기하는 것을 A사 직원이 듣고 B사 직원임을 알아채고 적발하였다.

나. 진단(유출원인)

산업기술 보호정책	산업기술 보호조직	보유자산의 분류 및 통제	인력의 관리
		×	×
물리적 / 환경적 보호	통신 및 운영 관리	사고대응 및 복구계획과 훈련	산업기술 보호문화 정착
×		×	×

다. 사건 분석

구 분	해야 했던 일
C사의 직원으로 사칭하여 A전자 공장으로 잠입	• 출입자에 대한 통제 - 사전 허가된 자, 모든 출입자는 대기실에서 대기 후 내부 직원이 안내하여 지정된 장소로 이동 • 회사 방문에 따른 공문 확인
방문객 대기실에 있지 않고 생산라인으로 바로 이동	• 방문객의 방문 시 지정된 장소만 공개되도록 정확히 유도 • 카드키 등 내부에서도 직원 외 다른 인원의 접근을 차단할 수 있는 대책 강구 • 고의가 아닌 경우에 대비하여 중요 시설 / 설비 등에는 외부에서 육안으로 식별 불가능하도록 조치
고발 및 법적대응	• 수사의뢰 / 고발 • 자백서 / 확인서 징구 • 소송절차 진행

3. 퇴직 후 산업기술을 외국기업에 불법 판매

가. 사건개요

국내 PDP 제조업체인 A사 간부 정 씨는 임원 승진이 여러 번 좌절되자 이에 불만을 품고 있었다.

그러던 중 A사에 근무하다 퇴직하여 외국에서 유통업에 종사중인 김 씨로부터 PDP기술의 매매 제의를 받고 김 씨의 소개로 대만의 디스플레이 제조회사인 D사와 접촉하여 2억 원에 기술자료 일부를 제공하기로 합의하였다.

정 씨는 기술의 유출을 위해 플로피디스켓에 관련 자료를 저장, 보안장비가 없는 뒷문을 통해 자신의 집으로 유출한 후 D사로 송부하려다 적발되었다.

나. 진단(유출원인)

산업기술 보호정책	산업기술 보호조직	보유자산의 분류 및 통제	인력의 관리
		×	×
물리적 / 환경적 보호	통신 및 운영 관리	사고대응 및 복구계획과 훈련	산업기술 보호문화 정착
×	×	×	×

다. 사건 분석

구 분	해야 했던 일
임원승진 누락에 불만을 품음	• 임·직원 모두가 이해 가능한 승진 기준 수립 / 준수 • 지속적인 면담을 통한 임·직원의 불만사항 확인
플로피 디스켓에 관련 자료를 저장	• 전산실 접근 통제 • 휴대용 저장장치(USB, CD-RW 등) 사용 통제 • 컴퓨터를 이용한 자료 저장 시 저장 로그의 유지
보안장비가 없는 문	• 출입하는 모든 장비, 문서, 저장장치 등 감지할 수 있는 장비가 있는 출입구만 사용 • 사내 이동형 저장장치, 카메라폰, PDA, USB 등 반입 및 반출 금지(필요시 결제에 의한 허가)
자가 유출 후 송부하려다 적발	• 반출 자료 여부 지속 확인 • 유출 된 자료의 출처 조사(소송의 증거 제출용)

4. 경쟁사에서 전 직장의 기술로 제품을 불법 생산 / 판매

가. 사건개요

경기도 소재 섬유관련 특수기계 생산회사인 B사의 생산조립 및 관리하던 A씨는 생산조립 및 생산관리 업무를 담당하고 있어서 조립기술 및 노하우를 습득한 상태였다. A씨는 개인사정상 퇴직을 하였고 바로 경쟁사로 이직하게 되었다. 그 후 경쟁사에서는 A씨가 가지고 있는 B사의 기술을 이용하여 섬유관련 특수기계를 생산할 수 있었고 이를 판매하기 시작하였다. 이후 B사는 A씨의 이직사실과 경쟁사의 동일제품 생산판매를 인지하지 못하고 있다가 시장에 출시된 제품을 보고 추적한 결과 A씨가 이직하여 경쟁사에서 생산판매가 가능한 사실을 알았고 약 7억 원의 피해가 발생하였다.

나. 진단(유출원인)

산업기술 보호정책	산업기술 보호조직	보유자산의 분류 및 통제	인력의 관리
×			×
물리적 / 환경적 보호	통신 및 운영 관리	사고대응 및 복구계획과 훈련	산업기술 보호문화 정착
		×	×

다. 사건 분석

구 분	해야 했던 일
임·직원의 퇴직 의사 표명	• 정확한 퇴직 사유 확인(외부 업체와의 접촉여부 확인) • 보안서약서 작성 (퇴직 후 동종 / 경쟁업체 이직 금지 내용 포함) • 통제구역 출입권한 삭제 준비 • ID/PW 삭제 준비 • 퇴직자의 업무내용은 별도로 보관 (분석을 통하여 기술유출 여부를 확인할 수 있음) • 장비의 반출입 내역 집중 확인 및 기록

구 분	해야 했던 일
경쟁업체 이직 및 제품 생산	• 경쟁업체에 확인서 발송 - 채용한 인원은 경쟁회사인 자사에 있던 사람이고 경쟁업체 이직 금지 서약을 하였으며 그 사람을 고용하면 민·형사상 불이익을 볼 수 있음을 인지 • 동일한 제품일 경우 생산 및 판매금지 가처분 신청 실시 • 제품이 특허 / 실용신안 등이 등록되어 있는지 여부 확인
시장에 출시된 것을 보고 인지	• 생산 및 판매금지 가처분 신청, 손해배상 청구소송 준비 • 퇴직자의 퇴직 후 경쟁업체 이직 제한 서약서를 근거로 한 불이행 관련 소송 준비 • 매스컴 대응여부 결정(매스컴에 알리는 것이 회사의 이미지에 어떤 영향을 줄 것인가에 대한 내용) ※ 모방제품이 출시된다는 것은 그만큼 제품이 좋다는 것을 반증함

5. 전 직장동료를 포섭 후 전 직장 기술로 경쟁사 설립

가. 사건개요

품질경영부장으로 근무하던 A 씨는 C사의 생산에 관한 전반적인 기술과 영업비밀을 알고 있는 상태에서 사직하였다. 그 후 그는 재직 중인 직원들을 이용하여 생산부서, 품질관리부서 직원을 사직하게 한 후 그들과 동종업체를 설립한 후 D사의 기술을 이용하여 동일한 제품을 출시, 판매하였다. 그 사실을 확인 한 D사는 두 번에 걸쳐 소송을 제기하였고 결국 영업비밀 침해 등의 죄목으로 처벌되었다.

나. 진단(유출원인)

산업기술 보호정책	산업기술 보호조직	보유자산의 분류 및 통제	인력의 관리
×			×
물리적 / 환경적 보호	통신 및 운영 관리	사고대응 및 복구계획과 훈련	산업기술 보호문화 정착
	×	×	×

다. 사건 분석

구 분	해야 했던 일
퇴직 후 재직 중인 직원들을 이용 동종업체를 설립	• 퇴직자에 대한 동종업체 전직 및 유사업체 설립 금지 서약서 집행(증거자료) • 내부 직원 관리 프로그램 개발 • 기술유출에 관한 내용으로 보안교육 실시
기존 회사의 기술을 이용하여 동일제품 출시	• 동일제품 생산 및 판매 사실 인지와 동시에 생산 및 판매금지 가처분 신청 • 유출확인(유출경로, 유출자 공모내역 등)
소송 절차	• 전문 변호사 고용 • 소소에 필요한 서류(보안서약서, 고용계약서 등) 준비 • 재직 중 사용했던 자료 비교 • 동일 기술로 제조되었음을 증명

6. 산업기술을 외국기업에 불법 판매

가. 사건개요

첨단 바이오장비를 제조하는 A사에 근무하는 B씨는 주식투자를 하다 약 1억 원의 빚을 지게 되었다. B 씨는 그 빚으로 인해 고민을 하고 있었는데, A사가 해외 업체와 합작 법인 설립을 추진하고 있었고 그 실무자로 B 씨가 발탁되었다. B씨는 업무로 인해 해외 C사와 접촉하던 도중 C사에서 A사의 바이오장비의 제조기술을 유출하면 거액의 대가를 지불하겠다는 제의가 들어왔다. 그 금액은 B 씨의 빚을 갚고도 남는 금액이었다.

결국 B 씨는 그 제의를 받아들였고 연구원 3명을 규합하여 A사가 100억 원을 투입해 국내 최초로 개발한 장비 설계도면을 획득하였고 이를 C사에 유출하려다 적발되었다.

나. 진단(유출원인)

산업기술 보호정책	산업기술 보호조직	보유자산의 분류 및 통제	인력의 관리
		×	×
물리적 / 환경적 보호	통신 및 운영 관리	사고대응 및 복구계획과 훈련	산업기술 보호문화 정착
	×	×

다. 사건 분석

구 분	해야 했던 일
빚이 있었던 직원에게 기술 유출 제의가 들어옴	• 직원에 대한 면담 강화(반드시 빚에 대한 내용을 알아야 하는 것은 아니나 경제적/내부적 고민에 대한 파악여부는 필요함) • 해외출장 중 불필요하거나 개별적인 고객사와의 만남 제거 • 합작법인 설립 시 완료 전까지 내부직원에게도 비밀유지

구 분	해야 했던 일
연구원들을 규합하여 장비의 설계도면 획득	• 문서에 대한 열람 제한(허가된 인원에 한하여 지정된 장소에서 열람하도록 규정해야 함) • 연구원이라 하더라도 설계도면의 소유권은 회사에게 있다는 사실을 인식하도록 교육
외국 기업으로 유출 기도	• 해외 기업에 대한 소송 준비 • 기술 유출 관련자 적법 처리 • 사건의 소송에 대비한 증거 확보

7. 경쟁사로 가기위해 산업기술 유출

가. 사건개요

국내 최고의 반도체 제조업체인 A사에 근무하는 W 씨는 반도체 책임 연구원이었다. 따라서 반도체 핵심기술에 접근하기 쉬웠다. 그러다 해외지사로 파견 나갈 수 있는 자격이 주어졌고 만약 해외지사로 나갈 경우를 대비하여 막대한 자금을 투입하여 개발한 반도체 핵심기술 자료 등 A사의 모든 반도체 공정기술을 망라한 방대한 양의 자료를 유출하여 개인 휴대용 저장장치에 보관하고 있었다. 이후 해외지사 근무 시 해외기업에 기술을 팔 계획을 세우고 있었으나 다행히 다른 기업에 유출되기 전에 개인이 보관하던 중 적발되었다.

나. 진단(유출원인)

산업기술 보호정책	산업기술 보호조직	보유자산의 분류 및 통제	인력의 관리
			×
물리적 / 환경적 보호	통신 및 운영 관리	사고대응 및 복구계획과 훈련	산업기술 보호문화 정착
×	×	×

다. 사건 분석

구 분	해야 했던 일
기술개발 연구원이 경쟁사로 가기위해 자료유출	• 연구원과의 고용계약 시 재직 중 연구개발한 제품 / 기술 등에 대한 소유권이 회사에 있음을 명시하고 지속적으로 교육 • 중요자료 보관소의 출입인원에 대한 기록을 전자파일 / 문서(수기)로 2중화하여 관리 및 기록
유출된 자료를 개인집에 보관 / 고소	• 회사의 소유로 된 기술 자료에 대한 절도 등의 범죄로 간주하여 내부 징계절차 병행 필요 • 기 작성되어 있는 서약서(혹은 각서)를 지속적으로 인지하게 하는 방안 필요 (분기별 서명 등)

8. 외국 동종업체 사장 아들이 기술훈련생으로 위장

가. 사건개요

LPG등 고압가스 밸브와 용기 등을 생산하는 업체인 D사는 동남아인 기술훈련생 7명을 고용하였다. 그 중 A 씨는 특히 성실하여 사장의 신임을 얻고 있었다.

연말이 되었고 회식을 하던 도중 A씨가 사장이 취한 것을 이용하여 사장에게 고압가스 밸브 접착기에 대해 질문하였고 사장은 기술유출의 위험을 못 느꼈고 신임하는 사람이라 자세한 제조 노하우를 알려주었다.

이 후 A 씨는 들은 노하우를 바탕으로 아무도 몰래 제조 실습을 하였고 성공하자 돌연 본국으로 귀국하였다. 나중에 확인한 결과 A 씨는 본국의 동종업체 사장의 아들이었고 제조 공정, 기계구조, 샘플, 주요 부품 등도 같이 가져간 것으로 확인되었다.

나. 진단(유출원인)

산업기술 보호정책	산업기술 보호조직	보유자산의 분류 및 통제	인력의 관리
×	×		×
물리적 / 환경적 보호	통신 및 운영 관리	사고대응 및 복구계획과 훈련	산업기술 보호문화 정착
×	×	×	×

다. 사건 분석

구 분	해야 했던 일
외국인이라는 제약에 따른 철저한 신상조사 불가	• 신상확인이 불가능할 경우 신원보증 등의 방법으로 보완 필요 • 불법 체류 여부 확인 (산업연수생 자격 여부 확인) • 고용계약서에 보안관련 내용 추가
산업연수생이 중요부품, 기술, 노하우까지 전수받아 돌아감	• 철저한 자산관리 필요 (부품, 사용하고 남은 원료 등) • 즉흥적인 판단이 아닌 체계적인 판단에 의한 노하우 전수
본국으로 가서 동일제품 생산	• 해당국 기업에 대한 제품생산 및 판매 금지 가처분 신청(현지 변호사 인력 투입)

9. 공동연구개발 시 개발된 연구결과에만 관심 있어 무산

가. 사건개요

국내 B 연구소는 외국의 A 연구소와 공동연구 계약을 체결하려고 협의하던 중 공동연구 계약과 관련한 내용은 협의하지 않고 B사의 생명공학 관련 기술에만 관심을 보이는 것을 이상히 여겨 따로 조사해보니 B사의 기술을 빼내려는 의도가 보여 공동연구 계약을 체결하지 않음

나. 진단(유출원인)

산업기술 보호정책	산업기술 보호조직	보유자산의 분류 및 통제	인력의 관리
×
물리적 / 환경적 보호	통신 및 운영 관리	사고대응 및 복구계획과 훈련	산업기술 보호문화 정착
			×

다. 사건 분석

구 분	해야 했던 일
외국의 생명과학 연구소와 공동연구 발주	• 기술유출 방지전략의 이행여부 확인(공동연구 계약서) / 기술유출 방지 사전교육 • 공동연구개발의 성과를 이용한 제품 생산 제한
기술 탐색만 실시하려는 것을 파악하여 무산시킴	• 계약 위반에 따른 소송 진행

10. 기술양도계약 시 기술을 빼낸 후 제품을 생산

가. 사건개요

해외 무선 데이터망 사업자인 외국 A사는 국내 B사와 4건의 무선단말기 공급 및 기술이전계약을 체결한 후, 소스코드 등 중요 기술자료를 지속 제공받으면서, 별도로 C사연구원 오 모 씨 등에게 D연구원을 설립하도록 하고 B사에서 입수한 자료를 토대로 무선데이터 단말기용 모뎀 개발을 지시하였다. 그 후 D연구원에서 원 제품을 상용화하려다 적발되었다.

나. 진단(유출원인)

산업기술 보호정책	산업기술 보호조직	보유자산의 분류 및 통제	인력의 관리
			×
물리적 / 환경적 보호	통신 및 운영 관리	사고대응 및 복구계획과 훈련	산업기술 보호문화 정착
	×	×

다. 사건 분석

구 분	해야 했던 일
기술이전계약 후 기술자료 획득	• 기술이전계약서에 명시된 한정된 기술만 이전 • 필요한 기술 이외의 다른 기술은 별도의 계약서 다시 작성
별도의 연구원 설립 후 모뎀 개발	• 기술이전 계약의 당사자의 추이를 지속 관찰 필요 • 제공한 기술 자료에 대한 활용 범위의 한정 (특정 사업장 내로)
원 제품을 상용화하려다 적발	• 계약 위반 및 부정경쟁 방지법 등에 저촉되므로 소송 진행 • 국제법상 해당 기업에 대한 소송 및 매스컴 대응

11. 조인트벤처 계약 시 직원을 매수하여 기술만 갈취

가. 사건개요

A사의 개발담당이사 등 2명은 사내에서 자체 개발한 핸즈프리 생산을 위해 외국 B사와 외국에 합작업체를 설립하는 과정에서 그 외국 업체에 매수되어 회사 측에 사직서를 제출하고 핵심기술이 저장된 노트북을 소지한 채 해외로 출국, 핵심 기술자료 및 시제품을 B사에 제공하다 적발되었다.

나. 진단(유출원인)

산업기술 보호정책	산업기술 보호조직	보유자산의 분류 및 통제	인력의 관리
		×	×
물리적 / 환경적 보호	통신 및 운영 관리	사고대응 및 복구계획과 훈련	산업기술 보호문화 정착
×	×	×

다. 사건 분석

구 분	해야 했던 일
외국 기업과 합작투자 설립 추진	• 합작업체 설립 등에서 외국 기업과 내부직원간 개별적인 만남 지양 / 감시 • 합작투자시 단계별 조치사항 이행
외국 기업에 매수되어 사직	• 외국 기업에서 매수가 있을 지도 모른다는 것을 항상 인지하고 있어야 함

구 분	해야 했던 일
노트북을 이용 해외로 기술자료 유출	• 퇴직자가 재직 중 가지고 있던 노트북을 퇴직 후에도 사용하는 것은 직원관리가 전혀 되고 있지 않았음을 반영함 • 퇴직자 관리 참조
외국 기업에 기술자료 및 시제품 제공	• 매수한 외국기업 및 매수당한 직원에 대한 고소 / 소송 진행

12. 라이선스 계약 후 해당 기술을 불법 사용

가. 사건개요

무역업자인 S 씨는 업무상 알게 된 외국인 W 씨로부터 자국 내 LCD 모니터 시장이 유망하니 한국의 기술을 이용, 현지공장을 설립하자는 제의를 받고, 페이퍼 컴퍼니인 E사를 설립하는 한편 국내 LCD 모니터 제조업체인 Z사 A 씨 및 X사 B, C 씨를 유혹하였다. 이에 Z사의 제조공정도 등 기술자료 2GB 분량을 하드디스크에 저장, E사로 유출하고 외국과 합작업체 설립을 추진하다 적발되었다.

나. 진단(유출원인)

산업기술 보호정책	산업기술 보호조직	보유자산의 분류 및 통제	인력의 관리
		×	×
물리적 / 환경적 보호	통신 및 운영 관리	사고대응 및 복구계획과 훈련	산업기술 보호문화 정착
×	×		×

다. 사건 분석

구 분	해야 했던 일
국내 기업의 연구원 포섭	• 연구원에 대한 지속적인 보안에 대한 교육 실시 • 중요직(연구직, 생산총괄 등)에 대한 관리 필요
국내 LCD 제조 기술 획득	• 업무용 컴퓨터 내부의 자료가 USB 등 이동형 저장 장치에 저장되는 것을 방지하고 메일로 발송되는 경우 로그를 남겨야 함 • 첨단 기술에 대해서는 연구원이라 하더라도 쉽게 접근이 불가능하도록 조치
획득된 기술로 다른 외국 기업과 합작업체 설립하다 적발	• 유출자(유령회사 설립자, 내부 연구원 등)에 대한 소송 진행

13. 내부직원이 고객정보를 사채업자에게 팔아넘김

가. 사건개요

투자증권사 직원 5명이 고객 신용정보를 빼내 고객 주식계좌정보를 도용한 예탁금 인출, 주가조작, 고객 신용정보 매매 등을 통하여 거액의 부당이득을 취하려 한 투자증권사 직원 및 사채업자 등 피의자 5명을 검거하여 3명을 구속하고 2명은 불구속 입건되었다.

이들은 범행을 감행하였으나 정보유출을 알아챈 A 증권사의 신고와 경찰의 신속한 조치로 자칫 대형 금융사고로 이어질 사고를 예방할 수 있었다.

나. 진단(유출원인)

산업기술 보호정책	산업기술 보호조직	보유자산의 분류 및 통제	인력의 관리
		×	×
물리적 / 환경적 보호	통신 및 운영 관리	사고대응 및 복구계획과 훈련	산업기술 보호문화 정착
	×		×

다. 사건 분석

구 분	해야 했던 일
증권사 직원이 고객 개인정보를 빼냄	• 개인정보 보호에 관한 시스템 구축 - 고객 개인정보 열람 시 자동으로 서버에 열람기록 유지 - 통합 인증 체계를 통한 업무 감사 • 개인정보 취급 인원에 대한 지속적인 교육 실시
고객 개인정보 매매	• 고객 개인정보에 대한 자료 보관 시 암호화 하여 열람이 불가능 하도록 조치
해당 정보를 이용 부당이득을 취함	• 내부 직원이 주식거래 프로그램 운영 시 본인 인증 절차에 대한 대책 강구
증권사의 신고	• 증권사 직원 / 사채업자를 대상으로 고소 및 소송 진행 • 내부직원이 고객 정보를 빼낸 증거 확보

14. 경쟁업체 홈페이지 해킹 후 고객정보를 취득/삭제

가. 사건개요

K 씨는 2004년 경쟁업체인 유명 인터넷 티켓예매 업체인 A사의 인터넷 서버를 통해 내부보안망 내에 들어 있는 데이터베이스 서버에 침입하여 A사 회원 개인정보와 예매정보 등 시스템 운영에 가장 핵심적인 데이터 11GB 분량, 9,841만여 건을 파괴하여 14시간가량 예약 및 발권처리 등 업무를 전면 중단되도록 하였다. 경찰 수사 결과 경쟁회사인 B사의 K 씨로 밝혀졌고 컴퓨터 등 장애 업무방해죄 등의 혐의로 검거되었다.

나. 진단(유출원인)

산업기술 보호정책	산업기술 보호조직	보유자산의 분류 및 통제	인력의 관리
물리적 / 환경적 보호	통신 및 운영 관리	사고대응 및 복구계획과 훈련	산업기술 보호문화 정착
×	×	×

다. 사건 분석

구 분	해야 했던 일
인터넷 서버를 해킹	• 침입 탐지 / 방지장치에 대해 주기적인 업데이트가 되지 않아 전 직원에 의해 해킹 가능 • 중요 데이터 저장소인 서버에 대한 위험분석 / 평가를 실시하고 위협요소 제거 필요
경쟁사의 핵심 데이터 삭제	• 중요 데이터는 실시간 혹은 주기적인 백업으로 만일의 사태에 대비하여 복구계획이 있어야 함
불법으로 인한 검거	• 컴퓨터 등 장애 업무방해죄 등으로 검거 • 사고 이후의 서버 관리에 대한 대책 강구 필요

15. 버려진 테스트 제품을 외부로 유출하려한 사건

가. 사건개요

극세사를 활용한 섬유제품을 만드는 S사는 샘플의 테스트를 마친 후 테스트 완료 샘플을 쓰레기통에 방치하였는데 이를 뒤져 기술 유출하려는 직원을 발견하였으나 본인이 적극 부인하여 별도 제재는 가하지 않고 해당 샘플은 소각하고 샘플 처리 방법만 변경하였다.

나. 진단(유출원인)

산업기술 보호정책	산업기술 보호조직	보유자산의 분류 및 통제	인력의 관리
×			×
물리적 / 환경적 보호	통신 및 운영 관리	사고대응 및 복구계획과 훈련	산업기술 보호문화 정착
×			×

다. 사건 분석

구 분	해야 했던 일
테스트용 샘플을 폐기물장에 방치	• 테스트 제품에 대한 처리 방법에 대한 규정이 없음 • 개발 중인 제품에 대한 테스트 제품은 신제품과 동일하게 간주하여 별도로 수집 및 처리
폐기물을 뒤지는 자를 발견 / 검거	• 산업 폐기물, 테스트 제품 등의 폐기 절차 준수 및 CCTV 설치로 수상한 인원에 대한 감시 필요
적극 부인하여 샘플 처리 방법만 변경	• 사내 보안관리 규정 내 테스트 제품에 대한 내용 추가 • 테스트 제품 및 완성품 중 하자있는 제품에 대한 처리 규정 추가