정 보 보 호 관 리 규 칙

제1장 총칙

제1조(목적) 본 규칙은 「정보통신망 이용촉진 및 정보보호 등에 관한 법률 제47조(정보보호 관리체계의 인증)제2항 제3호」에 의거하여 정보보호 관리체계 인증 의무 대상 기관으로서 의무를 다하며 연합뉴스(이하 ‘회사’라 한다)의 정보 오남용, 훼손, 변조, 유출 등의 정보보호 위협으로부터 서비스 및 중요 정보자산을 보호하기 위한 정보보호 업무를 규정하는 것을 목적으로 한다.(2015. 3. 30. 개정)

제2조(적용 범위) 회사의 서비스 제공 및 업무 수행을 위한 정보시스템, 인력, 정보 및 활동을 보호하기 위한 모든 업무를 본 지침의 정보보호 대상으로 한다.

제3조(용어 정의) 본 규칙에서 사용되는 용어는 다음 각 호에서 정하는 바에 따른다.

      1. 보안사고: 인가 받지 않은 외부 또는 내부의 사용자에 의한 정보의 유출, 위조, 변경, 훼손 또는 정보시스템의 장애를 유발시키거나 운영을 방해하는 프로그램을 유포하는 행위를 말함

      2. 취약점: 시스템의 기능명세, 설계 또는 구현 단계의 오류나 시동, 설치 또는 운용상의 문제점으로 인하여 시스템이 지니게 되는 보안상의 약한 부분을 말함

      3. 보안사고 대응조직: 모든 정보시스템에 대한 보안사고의 탐지, 접수 및 처리를 담당하는 조직으로 보안사고 확산을 억제하고, 보안사고 조치 역할을 수행

제 2 장 책임 및 권한

제4조(정보보호 책임자) 정보보호 책임자는 아래와 같은 업무를 수행 및 책임을 갖는다.

      1. 정보보호 정책을 수립하고 정책의 이행을 위해 필요한 자원을 지원할 책임을 갖는다.

      2. 정보보호 업무와 조직의 지휘를 총괄해야 할 책임을 갖는다.

      3. 정보보호 업무의 추진상황을 점검해야 할 책임을 갖는다.

      4. 정보보호 관련 지침을 승인한다.

제5조(정보보호 관리자) ①정보보호 업무의 기획, 실행, 평가, 개선에 대한 실무를 관리할 책임을 갖는다.

      ②정보보호 업무를 효과적으로 운영하기 위해 필요한 지침을 수립하고 시행할 책임을 갖는다.

      ③정보보호 관련 지침에 따라 정보보호 현황을 점검한다.

      ④정보보호 관리자는 정보보호 업무의 효율적 운영을 위하여 담당자를 지정하여 단위 업무에 대한 감독 및 승인 권한을 위임할 수 있다. 단, 해당 권한을 위임한 경우라도 정보보호 관리자의 책임은 위임되지 않는다.

제6조(정보보호 담당자) ①정보보호 업무의 분야별 실무를 담당한다.

      ②정보보호 정책 및 지침을 문서화하고 변경사항을 관리할 책임을 갖는다.

정보보호 관리체계

제1절 정보보호 조직 구성 및 운영

제7조(정보보호 조직 구성 체계) ①회사의 정보보호 조직은 정보보호 담당 부서와 정보보호 업무의 기획, 실행, 평가 및 개선 등에 관한 사항을 심의·조정하기 위한 위원회(정보보호위원회, 정보보호실무협의회)로 구성된다.

      ②보안 사고 발생 시 정보보호 조직을 중심으로 보안사고 대응을 위한 임시 조직이 구성될 수 있다.

제8조(정보보호 담당부서의 구성) ①정보보호 업무를 전담하는 정보보호 담당 부서는 정보보호 책임자, 정보보호 관리자, 정보보호 담당자로 구성된다.

      ②정보보호 담당 부서의 구성원은 보안 사고 발생 시 보안사고 대응을 위한 임시 조직의 구성원으로 활동할 수 있다.

제9조(정보보호 담당부서의 임무) ①회사의 정보보호 위험을 평가하고 위험관리 방안을 수립한다.

       ②위험관리 방안에 따라 회사의 정보보호 업무를 기획, 실행, 평가 및 개선 한다.

       ③회사의 정보보호 정책 및 지침을 수립 및 개선한다.

       ④회사의 내부 및 외부 인력을 대상으로 정보보호 교육을 실시한다.

       ⑤회사의 서비스 운영 과정에서 발생하는 정보보호 이슈에 대해 대응한다.

       ⑥정기 보안감사를 통해 정보보호 정책·지침의 준수 여부를 점검한다.

       ⑦정보보호 활동의 성과를 평가하고 회사의 정보보호 수준 제고를 위한 개선방안을 수립한다.

제10조(정보보호위원회의 구성) 정보보호 업무의 기획, 실행, 평가 및 개선에 관한 사항을 심의 조정하기 위해 정보보호위원회를 다음 각 호와 같이 구성한다.(2015. 3. 30. 개정, 2016. 7. 1 개정, 2018. 5. 1. 개정)

       1. 위원장: 대표이사(CEO)

       2. 위원: 부사장, 전무이사, 기획조정실장

       3. 간사: 정보보호관리자. 기타 정보보호위원회의 사안에 따라 관련 부서장 및 담당자가 정보보호 위원회에 참석할 수 있다.

제11조(정보보호위원회의 임무) ①정보보호위원회는 다음 각 호의 사항에 대해 검토하여야 한다.

       1. 정보보호 정책 및 지침의 제정, 개정 및 폐지에 관한 사항

       2. 정보보호 계획 검토 및 자원 배분에 관한 사항

       3. 보안사고 처리 검토 및 재발 방지 대책 협의

       4. 정보보호 대책 및 시스템의 개선과 발전에 관한 사항

       5. 정보보호실무협의회로부터 부의된 사항

       6. 정보보호 실천 우수자 또는 위반자에 대한 상벌 사항

       7. 정보보호관리체계(ISMS) 심사 및 검토결과

       8. 이해관계자로부터의 피드백

       9. 정보보호관리체계(ISMS) 성과 및 효과성을 개선하기 위하여 조직에서 활용될 수 있는 기술, 제품 또는 절차

       10. 예방 및 시정조치의 상태

       11. 이전의 위험평가에서 적절히 다루어지지 않은 취약성 또는 위험

       12. 유효성 척도에 따른 결과

       13. 이전의 경영검토에 따른 후속조치

       14. 정보보호관리체계(ISMS)에 영향을 줄 수 있는 변경

       15. 개선을 위한 제안

       16. 기타 위원장이 필요하다고 판단된 안건

       ②정보보호위원회는 다음 각 호의 사항에 대해 결정하여야 한다.

       1. 정보보호관리체계(ISMS)의 효과성 개선

       2. 위험평가 및 위험처리 계획의 갱신

       3. 다음에 대한 변경을 포함하여 필요 시 정보보호관리체계(ISMS)에 영향을 줄 수 있는 내부 또는 외부사건에 대응하기 위한 정보보안 절차의 수정

         1) 비즈니스 요구사항

         2) 보안 요구사항

         3) 현재의 비즈니스 요구사항을 달성하는 비즈니스 프로세스

         4) 규제 또는 법률적 환경

         5) 계약의무

         6) 위험수준 및/또는 위험허용 수준

       4. 자원의 필요성

       5. 적당한 통제의 유효성을 위한 개선

제12조(정보보호위원회의 운영) ①위원장은 회의를 반기 1회 소집한다. 단, 중대한 사항 발생 시 임시 소집할 수 있다.

       ②정보보호위원회를 소집할 경우 간사는 안건, 장소, 일정, 참석대상을 사전 공지한다.

       ③위원회의 의결은 긴급을 요하거나 기타 위원장이 필요하다고 인정한 경우에는 서면이나 전자결재에 의한 결의로써 갈음할 수 있다.

       ④위원장이 부득이한 사유로 인하여 직무를 수행할 수 없는 경우 위원장이 미리 지명한 위원이 그 직무를 수행할 수 있다.

       ⑤정보보호위원회의 효율적인 운영을 위하여 정보보호실무협의회를 둔다.

       ⑥정보보호위원회는 구성위원의 과반수 이상 출석으로 개최하고, 출석위원 과반수 찬성으로 의결하며, 위원회가 가부동수인 경우 위원장이 결정권을 갖는다.

       ⑦정보보호 통상적인 범위를 벗어난 업무가 발생한 경우 정보보호 관리자가 내용을 정리하여 정보보호 책임자에게 서면으로 보고하고 정보보호위원회에서 검토할 수 있다.

       ⑧정보보호위원회의 결정사항에 중대한 착오가 발견되거나 재심 요구가 있을 때에는 위원장은 지체 없이 회의 소집 등 재심의에 필요한 조치를 해야 한다.

       ⑨간사는 위원회의 결정사항이 승인을 받아 확정되면 이를 관련 부서에 지체 없이 통보해야 한다.

       ⑩정보보호위원회에 관여한 자는 정보보호위원회에서 심의된 사항 중 비밀에 속하는 사항을 누설하거나 공개되지 않도록 비밀을 유지해야 한다.

제13조(정보보호실무협의회의 구성) 정보보호 업무의 기획, 실행, 평가 및 개선에 관한 실무적인 사항을 심의 조정하기 위하여 정보보호실무협의회를 다음 각 호와 같이 구성한다.(2016. 8. 1. 개정)

       1. 위원장: 정보보호관리자

       2. 위원: 정보시스템운영담당자, 응용프로그램 개발 담당자, 물리적담당자, 감사담당자, 인사.교육담당자, 미래전략실담당자. 단, 기타 회의 사안에 따라 관련 부서장 및 담당자가 정보보호 실무협의회에 참석할 수 있다.

       3. 간사: 정보보호담당자

제14조(정보보호실무협의회의 임무) 정보보호실무협의회는 다음 각 호의 정보보호 실무를 담당한다.

       1. 정보보호위원회로부터 위임되거나 위원장으로부터 지시 받은 사항

       2. 정보보호위원회에 상정되는 안건의 사전검토 및 기술에 관한 사항

       3. 정보보호 정책 및 지침의 제정, 개정을 위한 실무 검토

       4. 기획 안에 따른 정보보호 실행 계획 수립 및 이행에 대한 검토

       5. 보안사고 대응 및 재발 방지 대책 수립

       6. 기타 위원장이 필요하다고 판단된 안건

제15조(정보보호실무협의회의 운영) ①정보보호실무협의회는 중대한 사항 발생 시 간사가 참석인원을 선발하여 소집한다.

       ②간사는 정보보호실무협의회를 소집할 경우 안건, 장소, 일정, 참석대상을 사전 공지한다.

       ③위원회의 의결은 긴급을 요하거나 기타 위원장이 필요하다고 인정한 경우에는 서면이나 전자결재에 의한 결의로써 갈음할 수 있다.

       ④위원장이 부득이한 사유로 인하여 직무를 수행할 수 없는 경우 위원장이 미리 지명한 위원이 그 직무를 수행할 수 있다.

       ⑤정보보호실무협의회는 선발위원 과반수 이상의 출석으로 개최한다.

       ⑥위원회의 의장은 출석인원의 의견을 수렴하여 최종 결정권을 가지며, 최종 결정에 대해 출석인원 과반수 이상의 반대 안건에 대해서는 정보보호 위원회에 상정한다.

       ⑦정보보호실무협의회에 관여한 자는 정보보호실무협의회에서 심의된 사항 중 비밀에 속하는 사항을 누설하거나 공개되지 않도록 비밀을 유지해야 한다.

제2절 정보보호 정책 및 지침의 관리

제16조(정보보호 정책 및 지침의 문서화) ①정보보호 담당자는 정보보호 정책 및 지침을 문서화하여야 한다.

       ②수립된 정보보호 정책서는 대표이사의 승인 후 시행하며 정보보호 지침은 정보보호 책임자의 승인 후 시행하여야 한다.

       ③승인을 득한 정보보호 정책과 지침은 정보보호 관리자가 회람, 게시 등 적절한 방법을 통하여 전 임직원 및 관계된 모든 인원이 인식할 수 있도록 공표하여야 한다.

       ④회사의 임직원 및 관련 인력들은 문서화된 정보보호 정책 및 지침을 준수하여 업무를 수행하여야 한다.

       ⑤정보보호 정책 및 지침 문서는 목적, 적용범위, 책임 및 권한, 세부 업무절차 등을 명시하여야 하며 개정이력을 관리하여야 한다.

제17조(정보보호 정책 및 지침의 평가와 변경관리) ①정보보호 관리자는 정보보호 정책 및 지침에 대하여 연 1회 다음 사항을 검토하고 평가하여야 한다.

       1. 정보보호 정책 및 지침의 효과성

       2. 사업 효율성 측면에서의 통제 비용과 영향

       3. 기술 변화 및 보안 사고 발생 유형

       ②정보보호 담당자는 정보보호 정책 및 지침의 변경이 필요한 경우 다음 절차에 따라 변경한다.

       1. 해당 실무자의 개정 필요성 검토

       2. 개정안 작성 및 정보보호 관리자 검토

       3. 정보보호위원회 의결 및 대표이사의 승인

       4. 개정된 정책 및 지침 공표 및 교육

제3절 정보보호 관리 과정

제18조(정보보호 관리 원칙) ①정보보호 관리자는 회사의 정보보호 위험을 평가하고 평가 결과에 따라 위험관리 방안을 수립한다.

       ②정보보호 관리자는 수립된 위험관리 방안에 따라 정보보호 활동을 계획하고 정보보호 책임자의 승인을 거쳐 수행한다.

       ③정보보호 관리자는 정보보호 활동의 실행을 지원하고 실행 결과를 평가하여 개선방안을 수립하여야 한다.

       ④정보보호 관리자는 정보보호 담당자 및 관련 인력에게 개선방안을 적용하도록 요구하여야 하며 차년도의 정보보호 활동 계획에 개선방안을 반영하여야 한다.

제19조(정보자산 목록관리) ①정보보호 담당자는 정보자산을 목록화 하도록 정보자산을 소유하고 있는 부서에 요청하여야 한다.

       ②위험평가 수행 시 정보보호 담당자는 자산 소유부서에 정보자산 목록 갱신을 요청하고 이를 취합하여 위험평가에 반영하여야 한다.

       ③정보보호 담당자는 회사의 서비스에 대규모 변경이 발생하거나 정보보호 사고 발생 시 정보자산 목록의 갱신과 취합을 자산 소유부서에 요청할 수 있다.

제20조(정보자산 중요도 평가) ①위험평가 수행 시 정보보호 담당자는 정보자산을 소유하고 있는 담당부서에 정보자산의 중요도 평가를 요청하여야 한다.

       ②정보자산의 중요도 평가를 의뢰 받은 부서장은 중요도 평가기준에 따라 종합적인 고려를 통해 중요도를 평가하여야 한다. .

       ③정보보호 담당자는 정보자산의 중요도 평가 결과를 위험평가에 반영하여야 한다.

제21조(위험평가 수행) ①정보보호 담당자는 위험평가는 년 1회 실시하는 것을 원칙으로 한다.

       ②정보보호 담당자는 서비스 및 업무에서 발생 가능한 위협과 취약점을 분석하여야 한다.

       ③정보보호 담당자는 서비스 및 업무에서 발생 가능한 위협, 취약점에 적용된 보안대책을 고려하여 위험도를 산정하여야 한다.

제22조(위험관리 방안 수립) ①정보보호 담당자는 위험평가 결과와 서비스 및 업무 중요도를 고려하여 위험관리 전략을 수립하여야 한다.

       ②정보보호 관리자는 위험관리 전략을 기준으로 회사의 위험 허용 수준(Degree of Assurance)을 결정하고 이를 관리하기 위한 위험조치 계획을 수립하여야 한다.

       ③정보보호 관리자는 위험조치 계획에 따라 정보보호 활동을 기획하여야 한다.

제 4 장 정보보호 관리활동

제1절 정보보호 일반사항

제23조(정보보호 지원활동) ①정보보호 담당자는 임직원의 업무수행 과정에서 정보보호와 관련된 지원요청에 대해 대응방안을 수립하고 지원하여야 한다.

       ②정보보호 관리자는 상기 1항의 정보보호 담당자의 활동을 검토하고 승인하여야 한다.

제2절 보안사고 관리

제24조(보안사고 예방활동) ①정보보호 담당자는 보안사고 발생 가능성을 사전에 점검하고 보안사고를 감지할 수 있는 대책을 마련하여야 한다.

       ②정보보호 담당자는 보안사고 관련 정보를 사내 게시판 등을 이용하여 임직원들에게 공지하여야 한다.

       ③정보보호 관리자는 보안사고 발생 시 신속한 대응을 위하여 절차를 마련하여야 한다.

제25조(보안사고 대응원칙) ①정보보호 담당자는 보안사고 발생시 선 보고 후 조치를 하여야 한다. 단, 긴급 상황일 경우에는 선 조치 후 보고할 수 있다.

       ②정보보호 담당자는 모든 이상 징후에 대해서는 분석을 실시하여야 하며 정보보호 관리자는 이를 총괄하여 관리하여야 한다.

       ③정보보호 담당자는 보안사고가 의심되거나 실제 사고가 발생했을 경우, 법적 증거 확보를 위하여 침해사실 발생관련 로그, 보안사고 발생 흔적 및 파일이나 기타 정보를 수집하여 보관하여야 한다.

       ④정보보호 담당자는 모든 보안사고 관련 분석, 조치, 보고에 대한 사항은 기록으로 남긴다.

제26조(보안사고 탐지) 정보시스템 운영부서는 침입탐지시스템 등 정보보호시스템을 지속적으로 모니터링 하여 서비스 이상 발생 시 정보보호 담당자에게 통보하여야 한다.

제27조(보안사고 보고 및 대응) 회사의 임직원은 보안사고 발생 및 침입 흔적을 인지한 경우 ‘침해사고 대응지침’의 절차를 준용하여 정보보호 담당자에게 통보하여야 한다.

제28조(징계) 보안사고의 근본 원인이 내부자에 의한 고의적인 과실로 드러날 경우, 인사규정에 따라 징계 처리할 수 있으며 막대한 피해를 초래하였을 경우 이를 관계기관에 고발 조치할 수 있다.

제3절 정보보호 교육

제29조(정보보호 교육 계획) 정보보호 담당자는 다음 각 호를 고려하여 회사 임직원의 정보보호 교육을 계획한다.

       1. 교육 대상 및 목적

       2. 교육 내용

       3. 교육 일정 및 시간

       4. 교육 방법

       5. 교육 내용 및 강사 평가 결과

제30조(정보보호 교육 절차) ①정보보호 담당자는 교육계획을 수립하여 정보보호 관리자의 승인을 받는다.

       ②정보보호 관리자는 교육계획의 적정성을 검토하여 정보보호 책임자의 승인을 득한 후 교육 계획에 따라 교육을 수행하여야 한다.

       ③피 교육자는 교육 결과물 (교재 등)을 관리하여야 한다.

       ④정보보호 담당자는 교육훈련 결과에 대해 정보보호 관리자에게 보고하여야 한다.

제31조(정보보호 교육 내용) ①정보보호 담당자는 모든 임직원과 6개월 이상 회사에 상주하여 업무를 수행하는 외부인에 대한 정보보호 교육을 실시하여야 한다.

       ②정보보호 담당자는 정보보호 교육 실시 후 교육 결과를 관련 부서에 전달한다.

제32조(정보보호 교육 실시) ①신규 입사자는 입사 후 6개월 이내에 정보보호 교육을 수료하여야 하며, 외부인의 경우 회사의 출입증을 발급받은 1개월 이내에 정보보호 교육을 수료하여야 한다.

       ② '개인정보 취급자 및 처리자, 정보보호 관련 담당자 등의 교육은 사용자의 부주의나 고의에 의한 정보보호 사고를 최소화하기 위해 다음 각 호와 같이 정기 교육 및 비 정기 교육을 실시한다.(2016. 8. 1. 개정)

       1. 정기 교육은 연 1회 실시

       2. 비 정기 교육은 정보보호사고 발생 후 사고에 대한 내용과 대응절차에 대한 교육이 필요한 경우, 새로운 정보보호 이슈에 대한 교육이 필요하다고 인정되는 경우, 실무 부서에서 교육의 필요성이 제기되는 경우일 때 실시

       ③정보보호 담당자는 사내 게시판이나 메일 등을 활용하여 임직원의 정보보호 인식제고를 위한 지속적인 홍보를 실시하여야 한다.

제33조(정보보호 교육기관의 선정) ①정보보호 담당자는 교육의 내용과 교육 시기, 비용, 교육 대상 등을 고려하여 위탁 교육기관을 선정할 수 있다.

       ②내부 정보보호 교육은 외부 전문교육기관의 초빙 강사 또는 내부 정보보호 담당자가 실시하여야 한다.

       ③외부 위탁 교육은 정보보호 전문 교육 기관에 피교육자가 방문하여 이수한다.

제4절 정보보호 활동 평가 및 개선

제34조(보안 감사) 정보보호 관리자는 ‘정보보호 감사지침’에 따라 보안감사를 실시하고 감사결과 개선사항이 조치되도록 관리 감독하여야 한다.

제35조(정보보호 성과관리) ① 정보보호관리자는 정보보호 활동의 성과를 평가 할 수 있다.(2016. 8. 1 개정)

       ②정보보호 책임자는 정보보호 성과 평가결과를 정보보호위원회에 보고하고 성과가 우수한 부서에 대해서 포상을 상정할 수 있다.

       ③정보보호 관리자는 정보보호 성과 평가결과를 차년도 정보보호 활동 기획시 반영하여야 한다.

부   칙

본 규칙은 2013년  1월  29일부터 시행한다. .

부   칙

본 규칙은 2015년  4월  20일부터 시행한다.

부   칙

본 규칙은 2016년  8월  1일부터 시행한다.

부   칙

본 규칙은 2018년  5월  1일부터 시행한다.