2010년 교육과학기술부 및 교육․연구기관

「사이버․보안진단의 날」 시행 세부 추진계획

2010. 1.

	교육과학기술부
	MINISTRY OF EDUCATION, SCIENCE AND TECHNOLOGY

(정보보호팀)

Ⅰ	개요

1. 추진배경 및 목적

○ 2008년 10월부터 汎정부 차원에서 매월 세번째 수요일을 ｢사이버․보안 진단의 날｣로 지정, 전체 교육․연구기관의 PC 안전성 정기점검, 비밀현황 확인 등 자체 진단을 실시하도록 함

※관련 : 외교안보정책관-562(2008.09.09, 국무총리실)

※대통령 주재 국무회의 시행계획 보고(2008.09.02, 국무총리실)

○ PC보안진단, 캠페인 전개 및 자체 보안교육 실시 등을 통한 국가기밀 유출 예방 및 공직자 보안의식 제고

Ⅱ	'09년 「사이버․보안진단의 날」 이행 실태점검 결과

○ 기관별 연간 ‘사이버․보안진단의 날’ 세부 시행계획을 점검 항목만 나열하는 정도로 형식적으로 수립․시행

○ ‘사이버․보안진단의 날’에 각급기관의 전 보안분야의 실태를 점검하여야 하나 ‘PC 안정성“ 등 정보보안 분야만 한정 점검 실시

○ 일부기관은 점검조차 하지 않고 소속․산하기관에 공문만 시행하고 실제 이행여부 미확인 및 PC진단결과 도출된 문제를 전혀 개선 하지 않고 해킹에 취약한 상태로 방치

○ ‘PC지키미’ 프로그램을 설치도 안한 기관 다수 발견

Ⅲ	'10년 업무추진 계획

1. 기본방향

○ 「사이버․보안진단의 날」 세부 시행계획을 기관 실정에 맞게 충실히 수립․시행하고 소속․산하기관의 이행여부 관리감독 강화

※ ‘진단의 날’ 계획 수립 및 실시 결과를 교과부에서 점검 예정

○ 비밀현황 조사, 비밀 편법분류(대외주의․비공개) 실태 및 PC안전성, 중요시설 보안대책 점검 등 제반 보안 분야 진단을 반드시 시행

○ 보안담당부서는 진단결과 도출된 문제점을 즉시 시정하고, 중대한 위규사항은 ‘보안심사위원회’에 회부, 문책 및 재발방지대책 강구

2. 주요 내용

○ 보안업무 추진계획 수립 시 ‘사이버․보안진단의 날’도 포함하여 수립․시행

○ 사이버․보안 진단의 날 시행 기관 : 전체 교육․연구기관

- 각급기관은 국정원의 진단 프로그램(‘내PC 지키미’)을 전 부서 PC에 설치 및 실행, PC진단결과확인시스템은 필요기관에서만 활용

○ PC보안진단 사전준비

- 1주전 업무망 게시판과 팝업창을 제작, 공지하고 퇴근 전 안내방송 실시, 전 직원 홍보 및 참여 독려

- PC진단프로그램(내PC 지키미)을 전 부서 PC에 설치

○ 시행 및 취약점 결과 조치

- 사이버․보안 진단의 날 운영일 지정 : 매월 세번째 수요일

- ‘사이버․보안진단의 날’ 시행 안내방송 실시, PC진단프로그램 실행 및 비밀현황 확인, 취약점 결과 조치

※‘10년도 사이버보안 진단의 날 월별 중점 점검 사항 이행(붙임1 참조)

- 사이버․보안진단 일지 기록․유지

※ 보안업무규정 시행세칙 제63조 관련 서식 제22호 및 서식 제23호에 사이버보안 진단일지를 작성(붙임2 참조)

○ 이행 실태 점검 실시

- 2010년도 보안감사와 병행하여 점검하고, 보안감사 대상기관에 인접한 기관도 지도․점검 추진

○ 이행실태 진단결과는 국정원「보안관리실태 평가」 등에 반영

Ⅳ	행정사항

○ 시행 점검 결과 통보

- 운영지원과(일반보안), 시도교육청(지역청 제외)은 매월 시행 점검 결과를 종합하여 매분기말 교육과학기술부 정보보호팀에 제출(서식 : 붙임3)

※ 위 기관 외의 모든 기관에서는 시행 결과를 자체 보관

○ 보안업무 심사분석 자료 작성 시 이행결과도 포함

○ 주관부서는 ‘진단의 날’ 시행 시 2 ~ 3개 부서 이행여부 확인

<붙임 1>

‘10년도「사이버ㆍ보안 진단의 날」월별 중점점검사항

	일반 보안	정보 보안
공통 사항 <매월 점검>	【매월 2~3개 부서 선정ㆍ점검】 o 비밀전수조사(부처 여건에 맞게 실시) o 비밀 안전지출, 긴급파기 계획 점검 o '대외주의', '비공개' 등 편법분류 실태 점검 - 보안업무규정시행규칙(대통령훈령)의 기본분류 지침표 참고 【금년도 중점 착안사항】 o FTA 등 국외협상 및 국가중요행사 운영 부서 보안관리실태 점검 o 조직 통합, 개편 시 비밀인계인수 및 인가자 현황 재조사 o [업무망, 인터넷 분리기관] 업무망․인터넷 분리 정책 위배 여부 점검	【매월 2~3개 부서 선정ㆍ점검】 o PC진단 프로그램 점검결과 및 보안패치 등 취약점 제거여부 확인 o 상용메일, 웹하드, P2P, 메신저 차단목록 갱신․추가 및 차단여부 점검 o [업무망, 인터넷 분리 기관] 인터넷 PC내 업무자료 저장여부 점검 【금년도 중점 착안사항】 o 정보화사업 추진 시 용역업체 보안관리
1월 (1.20)	o 정보공개 관련 공개, 비공개 기준 재정비 o 행정정보 홈페이지 게재 관련 보안관리 강화 - 사전 보안성 검토를 거친 자료에 한해 홈페이지 게재 - 개인정보, 중요 정책정보는 비공개 - 비밀 등 홈페이지 게재한 경우 교육과학기술부를 거쳐 국정원 통보 및 경위조사 실시 o 보안업무 추진계획, 비밀 및 인가자 현황 작성, 제출	o 인터넷 전화․CCTV시스템 등 신규 구축 정보시스템 보안관리 실태 점검 - 암호화 소통 및 관리자 권한 설정 - 인터넷 등 외부망 연결 여부 확인
2월 (2.17)	o 제한구역, 통제구역 지정현황 및 보안대책 강구실태 확인 - 인가자 인솔 없이 외부인 출입 금지(제한구역) - 출입통제대장에 기록 후 인가자 통제 하에 출입 가능(통제구역) o 과학보안장비 가동실태 점검, 출입문 비밀번호 주기적 변경 등 o 자체보안감사 계획 수립 및 적정성 검토	o 기관 내 무단 설치된 비인가 무선인터넷시스템(AP) 점검 o 인가 무선인터넷시스템(AP) 점검 - 암호화 적용 여부, 관리자 비밀번호 설정 여부(기본 비밀번호 사용 등) - 비인가 사용자 접근통제 대책 o 기관 내 상주 유지보수업체 보안점검 - 메신저, P2P, 웹하드 등 비인가 서비스 사용 여부 점검 - PC 내 중요자료 저장여부 확인
3월 (3.17)	o 분기별 보안교육(전직원 대상, 비밀관리실무 위주) o '대외주의', '비공개' 등 편법분류 실태 중점 점검 o e-mail을 통한 비밀소통 실태 확인 및 교육	o 노트북 관리현황 점검․재정비 - 노트북 내 업무자료 존재여부, 대여 시 포맷상태 점검여부, 반납 후 노트북 포맷여부, 관리대장 관리․유지보수 등 점검 o 정보시스템 사용자 권한부여 적절성 확인 및 인증절차, 접속 로그 백업 여부 등 점검
4월 (4.21)	o 장기보유, 불필요 비밀 실태조사 및 재분류 - 예고문 불명확, 장기보유 비밀은 생산기관에 재분류 문의 o 외국인, 공익근무요원 등의 비밀취급 여부 확인 o 외주 용역연구 관련 대외비, 비밀 연구용역 보안대책 강구 여부 점검	o 기관 내 공유폴더 사용실태 점검(비밀번호 설정 등 접근통제 여부, 불필요 공유폴더 등) o 방화벽ㆍ침입방지시스템 등 정보보안 장비 보안정책 재정비 o 사이버침해 대비 비상연락체계 재정비 - 대외기관, 부서 정보보안담당자 등 유관 연락처
5월 (5.19)	o 예고문 부여실태 확인 - '계획 변경 시', '별도 통보 시' 등 불명확한 예고문 사용 금지 o 해외출장자에 대한 보안조치 실태 점검 - 반출 서류, 노트북 등에 대한 보안성 검토 - FTA등 중요 협상차 출장 시 안전한 통신수단 확보 - 서약서 징구, 보안교육 확행 등	o 업무용 시스템 및 홈페이지 등 정보시스템 내 불필요 서비스 포트 활성화 여부 점검 o 기관 시스템 내 Telnet 등 원격서비스 사용여부 점검 및 사용목적 관리 등 재정비 - SSH 기본 포트 변경사용 및 접근제어 권장 o 하드디스크 내장형 디지털 OA 기기 현황 파악, 포트 변경사용 및 접근제어 권장
6월 (6.16)	o 분기별 보안교육(전직원 대상) o 폐지처리 관련 보안대책 강구 - 비밀, 중요 정책자료, 개인정보 등은 반드시 세절하여 파기 - 폐지 회수업체에 대한 보안조치 및 교육 - 폐지 집하장에 대한 현장점검 등 o 불용 PC, 복사기, 카메라 등 디지털 저장매체 불용처리 실태 확인 o 1~6월 실시한 진단의 날 시행결과 교과부 제출	o 기관 내 상주 유지보수업체 보안점검 - 메신저, P2P, 웹하드 등 비인가 서비스 사용 여부 점검 - PC 내 중요자료 저장여부 확인 o PC진단S/W 실행결과 통계 작성(1~6월) - 전체PC 대수, 진단S/W설치PC 대수, 진단S/W 실행PC 대수 - 백신설치PC 대수, 바이러스 발견․치료PC 대수, 보안패치적용 완료PC 대수 등
7월 (7.21)	o 을지연습 대비 비밀 외주발간 시 보안대책 점검 o 보안업무 심사분석 및 보안감사 실시결과 작성, 제출	o 노트북 관리현황 점검․재정비 - 노트북 내 업무자료 존재여부, 대여 시 포맷상태 점검여부, 반납 후 노트북 포맷여부, 관리대장 관리․유지보수 등 점검
8월 (8.18)	o 소속직원 비상연락망 일제 점검 및 훈련 실시 o 소방서, 경찰서 등 유관기관 비상연락체계 갱신 o 을지연습 보안관리 강화 - 비밀작성용 PC에 인터넷 연결 금지 - 연습비밀은 최소한의 예고문만 부여, 불필요 비밀 파기 o 국가지도통신망 운용 및 보관실태 점검	o 홈페이지 내 을지연습자료, 개인정보 등 민감 자료 게시여부 점검 o 홈페이지 Database 점검 - 기본 패스워드 변경 등 계정ㆍ패스워드 보안관리 재정비 - 특이 Table 존재여부 점검
9월 (9.15)	o 분기별 보안교육(전직원 대상, 사고사례 위주 경각심 제고) o 국감대비 보안절차 철저 준수 - 자료제공 창구를 對국회업무 담당부서로 일원화 - 비밀자료 서면 제공 가급적 지양, 비밀문건은 열람 후 회수 등	o 기관 내 무단 설치된 비인가 무선인터넷시스템(AP) 점검 o 인가 무선인터넷시스템(AP) 점검 - 암호화 적용 여부, 관리자 비밀번호 설정 여부(기본 비밀번호 사용 등) - 비인가 사용자 접근통제 대책
10월 (10.20)	o 비밀취급자인가자 현황 일제 정리 - 실제 비밀취급인가자에 한해 최소한 발급 - 전출자, 퇴직자 등 인사명령과 일치 여부 확인 o VIP행사 관련 보안대책 강구 여부 확인	o 라우터․스위치 등 네트워크 장비 보안조치 재정비 - 관리자 비밀번호 설정 여부(기본 비밀번호 사용 등) - 불필요 접근포트 차단 - ACL(접근제어목록) 재정비 등 o 불용PC HDD 정상 소거 여부 확인 - PC반납 시 개인이 중요자료 삭제 후 반납, 불용HDD 정상 소거 여부 등 점검
11월 (11.17)	o 비밀 외주발간 시 보안대책 점검 - 발간업체 PC 등에 작업내용 저장 여부 중점 확인 - 비밀발간 의뢰 시 출력물 또는 인가받은 비밀용USB만 사용 가능	o 홈페이지 보안취약점 점검 - SQL인젝션, 파일다운로드, 웹취약점 점검 - 관리자 접근 페이지 차단, 디렉토리 리스팅 여부 확인 o 기관 내 공유폴더 사용 실태점검(비밀번호 설정 등 접근통제 여부, 불필요한 공유폴더 등)
12월 (12.15)	o 분기별 보안교육(전직원 대상, 통합교육) o 연두 업무보고 사전 유출방지 대책 강구 o 7~12월 실시한 진단의 날 시행결과 교과부 제출	o 장기간 미사용 등 불필요 VPN 계정 재정비 o USB메모리 등 보조기억매체 관리현황 점검 - 관리번호 부여, 비밀, 대외비, 일반, 인증서 등 구분 사용 여부 점검 - USB메모리 바이러스 감염 여부 점검 o PC진단S/W 실행결과 통계 작성(7~12월) - 전체PC 대수, 진단S/W설치PC 대수, 진단S/W 실행PC 대수 - 백신설치PC 대수, 바이러스 발견․치료PC 대수, 보안패치적용 완료PC 대수 등

<붙임 2>

[별지 제21호 서식]

일반보안 진단일지

20   .    .    .

비밀취급 및 암호자재취급 인가현황	실 시 결 과
	구 분			등 급		전월 현황 ①			증 감						현 황 ①+②-③		비 고
									인가(증) ②			해제(감) ③
	비밀취급			Ⅰ급
				Ⅱ급
				Ⅲ급
	계
	암호자재 취 급			Ⅰ급
				Ⅱ급
	계
출입증 발급현황	공 무 원
	민 간 인
	계
비밀소유 및 정리 현황	구분 등급		전월		금 월												현보유
					접수			작성		이첩		파기	재분류			기타
	Ⅰ급
	Ⅱ급
	Ⅲ급
	계
보안교육 실시현황	일시	장소			참석인원				교육내용								주 관
음어자재 보유현황	자재명칭
보호구역의 출입통제 현황	보호구역
	명
일반보안	실태점검 내용													점검결과
	복사기, 팩스 사용 후 문건방치 여부
	폐휴지 처리시 비밀문건 등 무단유기 여부
기타 보안관리 문제점	내용 : 대책 :

[별지 제22호서식]

사이버보안 진단일지

20    .    .     .

실 태 점 검 항 목		점 검 결과
개인 정보	정보보안(개인정보보호) 교육 실시	실시여부 : 교육방법 : 예)집합, 유인물, 방송 등
	홈페이지 개인정보 노출여부 점검	노출건수 : 건
PC 진단 실시	자체 보유중인 PC는 모두 몇 대입니까?	전체 PC : 대
	내PC지키미를 실행한 PC는 몇 대입니까?	실행 PC : 대
	P2P, 증권, 게임사이트 이용 여부 점검
	화면보호기 설정 여부	설정 PC : 대
저장 매체 불용 처리	외부업체에 삭제 의뢰시 정보보안담당관 입회하 실시
	시스템 불용처리시 저장자료 삭제여부 최종 확인
	창고 등에 저장자료를 삭제하지 않은 불용시스템을 방치하고 있는가?
	수리의뢰시 참여자에 대해 보안서약서 집행ㆍ교육 등을 수행하는가?

			1/4분기 보안지도 체크리스트

<붙임 3>

기관명 :                                                   작성일 : 20   .  .   .

번호	구분	점 검 항 목	결과 (○/×)
1	PC 보안 진단 실시	「사이버보안 진단의 날」자체 행사계획을 수립하였는가?
2		「진단의 날」행사 관련 1주前 기관 업무망에 공지하였는가?
3		PC진단프로그램을「사이버․보안 진단의 날」에 실행하였는가 ?
4
-	진단 결과 보완	PC진단프로그램 실행후 파악된 취약점을 보완 조치하였는가?
5		1) 바이러스 백신 설치 및 실행 여부
6		2) 바이러스 백신의 최신 업데이트 여부
7		3) 운영체제, MS Office의 최신 보안패치 설치 여부
8		4) 로그인 패스워드 안전성 여부
9		5) 로그인 패스워드의 분기 1회 이상 변경 여부
10		6) 화면보호기 설정 여부
11		7) 사용자 공유 폴더 설정 여부
12	일반 보안	자체 보안업무 시행세칙에 「사이버․보안 진단의 날」시행 내용을 포함, 개정을 완료 또는 추진 중인가?
13		보유비밀에 대한 전수조사 및 안전지출을 실시하였는가?
14		사무실 복도, 복사기ㆍ팩스 사용 후 문건방치 여부를 점검하였는가?
15		폐휴지 저장소에 비밀ㆍ중요문건 무단 유기 여부를 점검하였는가?
16	중점 점검	‘10년도 「사이버․보안 진단의 날」월별 중점점검사항을 점검하였는가?