정 보 보 호 규 정
제1장 총칙
제1조(목적) 본 규정은 연합뉴스(이하 ‘회사’라 한다)의 정보보호 활동에 필요한 기본 방침에 대해 규정하는 것을 목적으로 한다.
제2조(범위) 회사의 서비스 제공 및 업무 수행을 위한 IT 인프라, 인력, 정보 및 활동을 보호하기 위한 모든 업무를 본 규정의 정보보호 대상으로 한다.
제3조(용어의 정의) 본 규정에서 사용되는 용어는 각 하위 정보보호 지침에서 규정된 정의를 준용하여 사용한다.
제4조(관련법령) 회사의 정보보호 업무는 본 규정에 따라 수행하며 이에 명시되지 않은 사항은 사규 및 관련 법령이 정하는 바에 따른다.(2014. 6. 1. 신설)
1. 정보보통신망 이용촉진 및 정보보호 등에 관한 법률
2. 개인정보보호법
제 2 장 책임 및 권한
제5조(정보보호 책임자) ① 정보보호 책임자는 대표이사가 지정한 임원으로 한다.
② 정보보호 규정을 수립하고 관련 지침을 승인하며, 정보보호 이행을 위해 필요한 자원을 지원할 책임을 갖는다.
③ 정보보호 업무와 조직의 지휘를 총괄하며, 정보보호 업무의 추진상황을 점검해야 할 책임을 갖는다.
제6조(개인정보 관리책임자) ① 개인정보관리 책임자는 정보보호 책임자가 겸임할 수 있다.
② 개인정보보호 규정을 수립하고 규정의 이행을 위해 필요한 자원을 지원할 책임을 갖는다.
③ 개인정보 취급 관련 업무를 총괄 관리, 감독한다.
제7조(정보보호 관리자) ① 정보보호 관리자는 정보보호 책임자가 지정한다.
② 정보보호 업무의 기획, 실행, 평가 및 개선에 대한 실무를 관리할 책임을 갖는다.
③ 정보보호 활동을 효과적으로 운영하기 위해 필요한 지침을 수립하고 시행할 책임을 갖는다.
④ 정보보호 관련 지침에 따라 정보보호 현황을 점검한다.
제8조(정보보호위원회) ① 정보보호 업무의 기획, 실행, 평가 및 개선에 관한 사항의 적절성을 심의 조정한다.
② 정보보호위원회는 다음 각 호에 대한 심의 조정 업무를 수행한다.
1. 정보보호 규정 및 지침의 제.개정 및 폐지에 관한 사항
2. 연간 정보보호 업무 기획 안 검토 및 자원 배분에 관한 사항
3. 보안사고 처리검토 및 재발방지 대책 협의
4. 정보보호 대책 및 시스템의 개선과 발전에 관한 사항
5. 정보보호실무협의회로부터 부의된 사항
6. 정보보호 실천 우수자 또는 위반자에 대한 상벌사항 결정
7. 기타 위원장이 필요하다고 판단된 안건
제9조(정보보호실무협의회) ① 정보보호 업무의 기획, 실행, 평가 및 개선에 대한 실무적인 사항을 심의 조정한다.
② 정보보호실무협의회는 다음 각 호에 대해 실무를 담당한다.
1. 정보보호위원회로부터 위임되거나 위원장으로부터 지시 받은 사항
2. 정보보호위원회로부터 상정되는 안건의 사전검토 및 기술에 관한 사항
3. 정보보호 규정 및 지침의 제.개정을 위한 실무검토
4. 기획 안에 따른 정보보호 실행계획 수립 및 이행에 대한 검토
5. 보안사고 대응 및 재발방지 대책 수립
6. 기타 위원장이 필요하다고 판단된 안건
제 3 장 정보보호 정책
제10조(정보보호 기본 원칙) ① 임직원이 업무 수행과정에서 수집 및 생성한 정보는 회사의 자산이며, 회사가 소유권을 가진다.
② 회사가 보호해야 할 정보 및 정보자산은 기밀성, 무결성, 가용성, 준거성 요건을 충족하여야 한다.
③ 회사가 보호해야 할 정보 및 정보자산은 식별, 분류, 관리되어야 하며 승인된 사용자만 접근이 허용되어야 한다.
④ 정보보호와 관련한 위험을 식별하고 관리하여야 한다.
⑤ 임직원은 정보보호의 책임과 역할에 대해 명확히 인식하여야 한다.
제11조(정보보호 정책의 수립 및 문서화) ① 회사는 임직원이 준수하여야 할 정보보호 기본 방침을 포함하는 정보보호 규정을 수립하여 운영하여야 한다.
② 정보보호 규정은 이사회의 승인을 득하여야 한다.
③ 회사는 정보보호 규정의 실질적인 운영을 위하여 필요한 경우 구체적인 세부 지침을 수립 및 운영하여야 한다.
제12조(정보보호 정책의 준수) ① 임직원은 본 규정을 숙지 및 준수하여야 하며 담당 업무에 적용하여야 한다.
② 임직원은 본 규정 또는 하위 정보보호 지침을 위반하여 회사에 손실을 입히거나 이미지를 훼손한 경우에는 관련 사규에 따라 징계할 수 있다.
제13조(정보보호 정책 운영 평가) 정보보호 책임자는 정보보호 활동이 적절히 수행되는지 평가하고 개선하여야 한다.
제14조(정보보호 정책의 관리) ① 사업환경 및 정보보호 관리체계의 변화에 따라 필요한 정보보호 지침을 수립하고 개선하여야 한다.
② 본 규정의 제반 의무에 대한 이행 기록은 유지 및 보관되어야 한다.
제15조(정보보호 조직의 구성 및 운영) ① 다음 각 호의 정보보호 조직을 구성하여야 하며, 관련 정보보호 지침에 조직의 역할 및 책임을 명확히 규정하여야 한다
1. 정보보호위원회
2. 정보보호실무협의회
② 정보보호 조직의 구성 및 운영에 관한 세부 규정은‘정보보호 관리규칙’을 따른다.
제16조(자산분류 및 통제) ① 정보자산에 대한 최신 목록을 유지, 관리하여야 한다.
② 정보자산의 보호를 위해 보호대책을 마련하고 적용하여야 한다.
③ 회사에서 생성되는 모든 정보는 정보의 중요도를 고려하여 보안등급을 정하여 관리하여야 한다.
④ 자산분류 및 통제 업무에 관한 세부 규정은 ‘정보자산 관리지침’을 따른다.
제17조(위험평가) ① 서비스 및 업무에서 발생이 예상되는 위험을 평가하고 위험관리 전략을 수립하여 통제하여야 한다.
② 회사가 보유하고 있는 정보보호 위험은 지속적으로 평가되고 관리되어야 한다.
③ 위험평가에 관한 세부 규정은 ‘위험평가관리지침’을 따른다.
제18조(인적 보안) ① 임직원에 대한 인사관리 업무 상 발생 가능한 위험을 식별하고 대책을 적용하여야 한다.
② 외부인력에 의해 발생 가능한 위험을 식별하고 대책을 적용하여야 한다.
③ 정보보호 담당부서는 년간 정보보호 교육 및 훈련계획을 수립하고 이를 시행하여야 한다.
④ 임직원은 정보보호 교육을 이수하여야 하며 교육평가에 응하여야 한다.
⑤ 인적 보안에 관한 세부 규정은 ‘인력 보안지침’ 및 ‘외부인력 보안지침’을 따른다.
제19조(물리적·환경적 보안) ① 업무 상 보호되어야 하는 구역을 제한구역 또는 통제구역으로 한다.
② 정보 및 정보자산에 대한 비인가 물리적 접근, 유출, 손상으로부터 보호하기 위한 대책을 적용하여야 한다.
③ 물리적·환경적 보안에 관한 세부 규정은 ‘물리적 보안지침’과 ‘사용자 보안관리 지침’을 따른다.
제20조(통신 및 운영관리) ① 정보시스템의 운영과정에서 발생하는 보안 위험을 예방하고 통제하여야 한다.
② 정보시스템의 신규 도입, 운영 및 폐기 단계에서 보안성을 확보하여야 한다.
③ 네트워크 상에서 전송되는 중요 정보에 대한 기밀성, 무결성, 가용성 보장을 위하여 적절한 통제 대책을 수립하여 적용하여야 한다.
④ 매체에 저장된 중요 정보의 보호를 위하여 안전한 보관 및 폐기 관리를 수행하여야 한다.
⑤ 정보시스템 운영 보안에 관한 세부 규정은 ‘정보시스템 운영보안 지침’을 따른다.
제21조(보안사고 예방 및 대응) ① 회사에서 발생 가능한 보안사고를 사전에 예방하고 대응할 수 있는 통제 대책을 수립하여 운영하여야 한다.
② 보안사고 대응을 위한 조직을 구성하고, 대응책을 수립하여 적용하여야 한다.
③ 보안사고를 인지한 임직원은 정보보호 담당부서에 즉시 신고하여야 한다.
④ 보안사고 예방 및 대응업무에 관한 세부 규정은 ‘침해사고 대응지침’을 따른다.
제22조(접근 통제) ① 회사의 정보 및 정보자산은 승인된 사용자만 접근할 수 있어야 한다.
② 정보시스템에 대한 접근통제 정책은 사용자 식별, 인증, 활동기록 등의 보안통제기능을 통하여 이행되어야 한다.
③ 정보시스템 사용자는 사용자 인증 시 안전한 패스워드 설정 및 관리를 통해 비인가 접근을 예방하여야 한다.
④ 정보시스템의 접근통제에 관한 세부 규정은 ‘정보시스템 운영 보안지침’을 따른다.
제23조(응용 프로그램 보안관리) ① 응용 프로그램의 신규 개발, 변경 및 폐기 시 보안성 검토가 수행되어야 한다.
② 응용 프로그램에서 취급하는 민감한 정보의 전송 및 저장 시 암호화가 고려되어야 한다.
③ 응용 프로그램의 보안관리에 관한 세부 규정은 ‘응용시스템 보안 지침’을 따른다.
④ 데이터베이스 보안관리에 관한 세부 규정은 ‘데이터베이스 보안 지침’을 따른다.
제24조(업무연속성 계획) ① IT 인프라 및 설비의 복구를 위한 비상계획을 수립하여야 한다.
② 인위적 및 자연적으로 발생되는 긴급사태에 대비하여 백업 및 복구절차를 수립하고 시행해야 한다.
③ 업무연속성 관리에 관한 세부 규정은 ‘정보시스템 운영 보안지침’과 ‘응용시스템 보안지침’,’데이터베이스 보안지침’, ‘업무연속성관리지침’을 따른다.(2016. 8. 1 개정)
제25조(개인정보 보호) ① 고객 개인정보는 업무 목적에 근거하여 최소한으로 수집 및 관리되어야 한다.
② 고객 개인정보는 업무상 필요한 직원만이 접근할 수 있도록 보호하여야 한다.
③ 고객의 사생활 침해 소지가 높은 중요 개인정보에 대하여 적절한 기술적 관리적 조치를 통하여 보호하여야 한다.
④ 수집 목적이 종료된 개인정보는 안전한 방법으로 적시에 폐기되어야 한다.
⑤ 개인정보의 보호에 관한 세부 규정은 ‘개인정보 내부관리계획’을 따른다.(2016. 8. 1 개정)
제26조(준거성 검토) ① 사업 운영에 저촉되는 법적, 제도적 요구사항을 식별하고 준수하여야 한다.
② 정보보호 규정 및 지침의 준수 여부를 확인하기 위해 보안감사가 수행되어야 한다.
부 칙
본 규정은 2013년 1월 29일부터 시행한다.
부 칙
본 규정은 2014년 6월 1일부터 시행한다.
부 칙
본 규정은 2016년 8월 1일부터 시행한다.