경상남도교육청 정보보안 기본지침(2015.12.) 교육기관 정보보호 수준을 제고하기 위해 「국가정보원법」, 「보안업무 규정」, 「교육부 정보보안 기본지침」, 「교육부 사이버안전센터 운영규정」 등을 기반으로 수립된 규정 7개 영역세부사항 1정책 및 업무수행 정보보안.

Presentation on theme: "경상남도교육청 정보보안 기본지침(2015.12.) 교육기관 정보보호 수준을 제고하기 위해 「국가정보원법」, 「보안업무 규정」, 「교육부 정보보안 기본지침」, 「교육부 사이버안전센터 운영규정」 등을 기반으로 수립된 규정 7개 영역세부사항 1정책 및 업무수행 정보보안."— Presentation transcript:

1

2

3 경상남도교육청 정보보안 기본지침(2015.12.) 교육기관 정보보호 수준을 제고하기 위해 「국가정보원법」, 「보안업무 규정」, 「교육부 정보보안 기본지침」, 「교육부 사이버안전센터 운영규정」 등을 기반으로 수립된 규정 7개 영역세부사항 1정책 및 업무수행 정보보안 내규, 활동계획, 정보보안감사, 사이버보안 진단의 날 등 2정보자산 관리정보통신망 현황관리, 보안성검토, 보안적합성검증 등 3인적 보안정보보안담당관, 사용자관리, 정보보안교육 등 4침해사고대응체계구축 모의훈련, 경보발령, 정보보안사고 처리 및 조사 등 5접근 보안 용역사업 보안관리, 원격업무 보안 등 6상황별 보안 무선랜, 무선인터넷, RFID, 인터넷전화, CCTV, 디지털복사기 보안관리 등 7물리적 보안 주요기반시설 취약점 분석 · 평가, 재난방지 등

4 정보보안담당관 임명 · 운영 효율적인 정보보안업무를 수행하기 위해 정보보안담당관을 임명 · 운영 정보보안담당관(경상남도교육청 보안업무규정시행요강 제3조) - 경상남도교육청 : 재정정보과장 - 교육지원청 : 행정지원과장 - 직속기관 및 교육지원청 소속기관 : 기관의 장이 실정에 맞게 임명 - 각급학교 : 정보부장 교사 또는 정보보안 업무 교사 정보보안담당관이 변경된 경우 7일 이내 소속, 직책, 직급, 성명, 연락처(이메일 주소 포함) 등을 지도감독 기관의 장에게 통보

5 정보보안 교육 자체 정보보안 교육계획을 수립하여 연 1회 이상 전 직원을 대상으로 정보보안 교육 실시 정보보안담당자는 연간 15시간 이상 정보보안 교육을 이수 - 개인정보보호 교육 포함(개인정보보호법 제28조 2항) 정보보안담당자의 업무전문성 제고를 위해 전문기관 교육 및 세미나 참석을 적극 장려

6 사이버보안 진단의 날 운영 『사이버보안 진단의 날』은 언제? 내PC지키미 실행 - 모든 컴퓨터에 내PC지키미 프로그램을 실행하여 발견된 보안 취약점을 모두 보완 조치 『사이버보안 진단의 날』 수행사항 매월 세 번째 수요일 Privacy-i 프로그램을 실행하여 업무용 PC 내 개인정보파일 암호화 조치 내PC지키미 실행 결과 90점 미만인 교육행정기관은 그 결과를 매월 통보 예정 및 지도점검 시행

7 사용자 PC 보안관리 운영체제 및 프로그램 최신 보안관리 보안패치는 알려진 취약점을 제거해주므로 항상 최신의 보안패치 상태를 유지 새로운 악성코드에 대응하기 위하여 백신프로그램은 반드시 설치 - 경남교육연구정보원에서 배포하는 『알약』 프로그램 사용 정기적인 업데이트 수행으로 백신엔진을 항상 최신상태로 유지 - 엔진업데이트 발생 시 자동으로 업데이트 수행 - 매일 12시10분에 자동 백신 검사 실행 백신 설치 및 최신 엔진 업데이트

8 사용자 PC 보안관리 패스워드 설정 패스워드는 1차(부팅), 2차(로그인), 3차(화면보호기)로 설정 숫자, 대소문자, 특수문자를 조합하여 9자리 이상 설정 【 패스워드 공격시간 】 입력문자7자리8자리9자리10자리 영문 소문자(26문자)13분58시간6.3일163일 영문 소문자 + 숫자(36문자)2시간78시간118일4년4년 영문 대/소문자 + 숫자(62문자)25일4년6개월-- 영문 대/소문자 + 숫자 + 특수문자(94문자)437일11년--

9 사용자 PC 보안관리 화면보호기 설정 화면보호기 설정 및 암호적용을 하지 않은 경우 PC에 임의의 사용자가 접근하여 조작 및 중요 정보를 유출할 수 있음 화면보호기는 10분이상 PC 작업 중단 시 실행되도록 조치

10 전자우편 보안관리 일반적인 전자우편 해킹 방법 해킹메일 수신자가 수신함에서 메일 제목을 클릭 피싱사이트로 자동접속, ID · 패스워드를 다시 입력하도록 유도 ID · 패스워드 입력 시 정보를 가로채 감 문서를 열 경우 악성파일이 생성되며 사용자 PC를 감염시킴 메일에 문서파일을 보내 사용자가 문서 파일을 열도록 만듬 악성파일이 실행되면서 중요 파일을 해커가 가져감

11 전자우편 보안관리

12

13 해킹메일로 의심되는 메일 수신 시에는 통합보안관제센터에 신고 (☎ 055-269-0724~7) 상용메일을 이용하여 업무자료를 송 · 수신 금지 사적 공간에서 상용메일 이용 시 상용메일 보안기능을 설정 수신메일의 첨부파일이 자동 실행되지 않도록 설정 첨부파일 다운로드 시 반드시 백신으로 악성코드 검사 실시 출처가 불분명하거나 의심되는 제목의 전자우편을 열람 금지

14 휴대용 저장매체 보안관리 휴대용 저장매체 사용 시 유의사항 휴대용 저장매체 관리 월 1회 이상 저장매체 수량 및 보관상태를 점검 저장매체는 보조기억매체관리대장에 등록한 후 사용 최신 백신으로 악성코드 감염여부를 자동 검사 휴대용 저장매체 불용처리 및 재사용 업무상 목적으로 사용한 저장매체는 불용처리 시 물리적 파기를 원칙 휴대용 저장매체를 불용처리하거나 재사용하는 경우에는 「휴대용 저장매체 불용처리 확인서」에 기재하여 정보보안담당관 확인

15 무선랜 및 무선인터넷 보안관리 https://www.youtube.com/watch?v=9quEhcBVQZc

16 무선랜 및 무선인터넷 보안관리 - 무료 공개, 가정용, 기업용, 대형규모로 서비스 규모에 따라 구축 이용 - 이용 시스템 : 노트북, 스마트폰, 탭북, 스마트 TV, 스마트 오디오, 사물인터넷(IoT) 등 - 유심(USIM), 기기 인증을 통해 서비스 사용자, 통신사, 요금제 등을 구분 이용 - 이용 시스템 : 스마트폰, 탭북(USIM) 등

17 무선랜 보안관리 학교 무선랜 구축 방식에 따른 보안성 검토 방법 - 무선접속서비스 제공사업자가 구축 (KT, LG U+ 등) - 보안성 검토 요청 생략 (단, 자체보안대책 수립 · 운영) - 학교에서 직접 무선랜 인프라 구축 - 학교별 보안대책 수립 후 보안성 검토 요청(도교육청 재정정보과) - 제출서류 : 사업계획서, 제안요청서 (시방서), 무선랜 구성도(IP포함), 자체 보안대책, 체크리스트 교육행정기관 보안성 검토 방법 제출서류를 사업계획단계에 도교육청으로 보안성 검토 의뢰 - 교육지원청 소속기관은 해당 교육지원청을 거쳐 도교육청으로 보안성 검토 의뢰

18 무선랜 보안관리 학교 무선랜 구축에 따른 무선인증 방법 대상학교 : 구축형 무선랜 구축 학교 (단, 임대형 무선랜 구축학교는 도교육청에서 통신사와 무선인증서버 연동에 관련된 사항을 진행하므로 별도 신청 불필요) 제출서류 - 보안성검토 요청시 : 무선인증 이용신청서 - 사업완료 시 : 접속계정 신청서

19 무선랜 보안관리

20 교육행정기관 - 청사 전역에 무선랜 사용 제한 - 민원실, 교육장, 회의실 등 특별히 무선랜 사용이 필요한 구역에 한해 기관장 책임하에 운용 각급학교 - 교육목적으로 무선랜을 사용하는 경우 학교 전역에 무선랜 관련 장비 설치 가능 정보보안담당관은 개인 휴대폰을 제외한 무선 단말기의 사무실 무단 반입 · 사용 금지

21 스마트폰 보안관리 스마트폰 보안 취약점 스마트폰 분실 - 습득자가 문자메시지, 연락처, SNS 정보 등 저장된 각종자료 유출 위험 악성코드 감염 - 웜, 바이러스 감염 시 저장된 자료유출 또는 오작동 위험 발생 - PC에 접속 시 웜, 바이러스가 PC로 전이 무선랜 해킹 - 보안이 취약한 무선랜 공유기에 접속함에 따라 자료유출 · 해킹 공격에 무방비

22 스마트폰 보안관리 스마트폰 보안대책 스마트폰 잠금기능 설정 모바일 전용 백신 설치 SNS(카카오톡, 밴드 등)을 통한 업무관련 자료 공유 금지 신뢰할 수 없는 문자메시지 열람과 앱프로그램 설치 자제 도박 등 신뢰할 수 없는 사이트 접속 금지 무료로 제공되는 WiFi 접속 금지 (특히, 모바일뱅킹 사용 시 WiFi에 접속된 상태로 사용 금지)

23 CCTV 보안관리 CCTV 보안취약점 유 형보 안 취 약 점 동축케이블 해킹 카메라와 비디오 서버 간 연결된 동축케이블 중간을 절취 하여 영상정보를 외부에 유출 CCTV 카메라 (비디오 서버) 해킹 네트워크에 연결된 카메라(비디오서버)의 시스템 취약점을 활용하여 조작 및 영상정보 외부 유출 CCTV↔관제센터 간 영상자료 절취 카메라(비디오서버)와 관제센터 간 소통자료를 스니핑, 코덱 분석 후 복구하여 영상정보 유출 관제센터 보안관리 부실로 인한 취약 관제센터 서버가 인터넷에 연결된 상태로 운영되며, 서버 · 관제인력PC 등의 보안관리 취약으로 해킹 및 자료유출

24 CCTV 보안관리

25 CCTV 보안대책 CCTV 시스템망은 반드시 인터넷 및 내부 업무망과 분리된 별도의 단독망으로 구성 CCTV 시스템은 비인가자의 임의 조작이 물리적으로 불가능하도록 위치하거나 시건장치 설치 영상기록의 임의 열람 및 사적 활용 금지 원격접근 차단 설정, 접근가능IP 제한, 기본 패스워드 변경, 카메라IP 외부 공개 금지 등 보안조치를 수행

26 용역업체 보안관리 용역업체 보안사고 유형 유 형보 안 사 고 내 용 해킹 기관의 정보시스템 계정, 비밀번호 절취 후 내부 침투 또는 유지 보수용 노트북 해킹, 기관 주요 정보시스템 파괴 자료 무단 반출 용역업체 직원이 개인 USB에 전산망 구성도 등 업무 중요자료 저장 또는 정보화 용역사업 후 프로그램의 소스코드 등 자료 무단 반출 인터넷 자료 유출 기관의 민감자료를 인터넷PC에 무단 저장하여 악성코드 감염으로 유출되거나 P2P, 웹하드 등 무분별한 인터넷 사용에 따른 내부자료 유출

27 용역업체 보안관리 용역업체 보안대책 계약서에 용역업체의 보안준수사항 및 위반시 손해배상 책임 등 명시 업체직원의 보안준수사항을 명시한 보안서약서 및 대표자 보안 서약서 징구 사업종료 시 외부업체의 노트북 · 휴대용저장매체 등을 통해 비공개 자료가 유출되는 것을 방지하기 위해 복구가 불가능하도록 완전삭제 정보통신망 구성도, IP현황 등 용역업체에 제공할 자료는 자료 인계 · 인수대장을 비치하여 기록한 후 인계 · 인수 용역업체의 노트북 등 관련 장비를 반입 · 반출 시마다 악성코드 감염여부, 자료 무단 반출 여부 확인

28 정보보안 사고 사례 정보보안 사고의 유형별 사례 해킹 디도스 공격 디도스 공격 피싱/ 파밍 피싱/ 파밍 악성코드 감염 악성코드 감염 컴퓨터, 시스템의 정당한 접근권한 없이 또는 허용된 접근 권한을 초과하여 정보통신시스템에 침입하는 행위 농협전산망 마비(‘11.4) 중앙일보 내부서버파괴(‘12.6 방송 및 금융사 전산망 파괴(‘13.3) 청와대 홈페이지다운(‘13.6) 악성코드에 감염된 다수의 PC를 이용하여, 특정시스템에 대량의 트래픽을 전송하여 운영을 방해하는 행위 청와대, 정보기관 홈페이지 공격(‘09.7) 중앙선관위 홈페이지 공격‘11.2) 유명 사이트를 사칭한 가짜 사이트를 만들어 개인 정보, 금융정보 등을 갈취하는 행위 대검찰청, 금감원, 은행 등 사칭 (‘11년 1,849건 → 12년 6,944건) 이용자 몰래 컴퓨터에 설치 되어, 자료 유출, 시스템 파괴 등을 수행하는 컴퓨터 프로그램 농협 전산망 장애(‘11.4), SK컴즈 개인정보 유출(‘11.7)

29 정보보안 사고 사례 ①홈페이지 해킹을 통한 제로데이 악성코드 게시 ②첨부파일 등을 통한 악성코드 감염 ③원격 제어 및 기밀자료 절취 웹 서버 좀비 PC 제로데이 공격(Zero-Day Attack) 소프트웨어의 취약점을 공격하는 기법 해당취약점에 대한 패치가 나오지 않은 시점에서 이루어지는 공격 주로 문서파일(한글, PDF, 오피스 등)의 취약점을 활용 소프트웨어의 취약점을 공격하는 기법 해당취약점에 대한 패치가 나오지 않은 시점에서 이루어지는 공격 주로 문서파일(한글, PDF, 오피스 등)의 취약점을 활용

30 정보보안 사고 사례 내 · 외부 직원에 의한 기밀자료 유출 유출 유형 - 비인가 USB 메모리 무단 사용에 의한 기밀자료 유출 - 업무PC에 스마트폰, 무선공유기 등 비인가 인터넷 연결 시 악성코드에 의한 기밀자료 유출 - 스마트폰, USB 메모리 등의 분실에 의한 기밀자료 유출 - 용역사업 추진 시 용역업체 직원에 의한 전산망 구성도, IP주소 등 대외비 자료 유출

31 정보보안 사고 사례 보안강화 대책 - USB 메모리를 통한 자료 반 · 출입 통제 강화 - 비밀문서 작성 시 인터넷이 연결되지 않은 안전한 PC 이용 - 민원실 등 외부인 사용 네트워크 보안 강화 - 기관 내 직원 명의도용 방지 강화 ※ 특히, 인증서 타인 사용 금지 - 정보화사업 추진 등 외부 용역업체 보안관리 강화

32 정보보안 사고 사례 SNS를 악용한 공격 홈페이지 URL을 이용 피싱사이트 유도 및 악성코드 감염 ①유명인 검색 시 악성홈페이지가 바로 보여지도록 검색결과 조작 ② 유명인 웹페이지 검색 ③검색결과 클릭 ④악성코드 감염 ⑤계정정보 등 PC 제어권 탈취 검색사이트 피싱사이트(악성코드유포)

33 정보보안 사고 사례 국가 · 공공기관 기밀자료 절취목적의 SNS 표적화 공격 ①가짜 계정 생성 후 친구 신청 ③발신주소를 친구A로 위장 악성코드 첨부 이메일 전송 ②친구A의 이메일, 이름, 직업 등 정보 수집 ④의심 없이 열람 후 악성코드 감염 및 기말자료 유출

34 정보보안 사고 사례 보안강화 대책 - 단축 홈페이지 URL 위 · 변조 여부 확인 강화 - 개인정보 및 계정(아이디 · 비밀번호) 관리 강화 - 인가된 SNS만 사용

35 정보보안 사고 사례 조직적이고 지능화된 DDoS 공격 분산서비스거부(DDoS) 공격 - 여러 대의 컴퓨터를 일제히 동작하게 하여 특정 사이트를 공격하여 시스템을 마비시키는 방식 APT(Advanced Persistent Threat) 공격 - 표적으로 삼은 특정기관이나 조직 네트워크에 침투해 탐지를 피하면서 활동거점을 마련 후 기밀정보를 지속적으로 유출하는 보다 은밀한 형태의 공격

36 정보보안 사고 사례 사회공학(social engineering) 공격 - 사람의 취약점을 고려하여 원하는 정보를 얻는 공격 기법 - 보이스피싱, 이메일피싱, 우편물 등을 통한 개인정보 유출 등 특별한 기술없이도 손쉽게 정보를 얻어내는 비기술적 침입 방법 피싱(Phishing) - 금융기관 등의 웹사이트나 거기에서 보내온 메일로 위장하여 개인의 인증번호나 계좌정보 등을 빼내 불법적으로 이용하는 사기수법 - 개인정보(private data)와 낚시(fishing)를 합성

37 정보보안 사고 사례

38 랜섬웨어(Ransomware) 공격 몸값을 의미하는 ‘Ransom‘과 소프트웨어의 ‘Ware‘ 를 합성한 단어 사용자의 문서 등 중요 파일을 사용할 수 없게 만든 후 암호를 풀어주는 대가로 금품을 요구하는 사이버 공격 랜섬웨어(Ransomware) 침해 예방 PC 상태 최신 업데이트 및 데이터 백업 - Windows Update, 백신 Software 최신상태 유지 공유폴더 사용 금지 등 접속하고자 하는 사이트의 안전 확인 - 『한국랜섬웨어 침해대응센터』 - 『사이트안전진단』 메뉴에서 안전상태 체크 후 접속

39 통합보안관제센터 침해사고 처리 방법 침해사고 보고서를 통보받은 기관(학교)에서 수행할 처리 업무 http://edas.gne.go.kr로 접속 ▣ 아이디, 비밀번호는 별도 안내 ▣ 각급학교(기관)에서만 접속 가능(외부에서 접근 금지)

40 통합보안관제센터 침해사고 처리 방법 메인화면 중앙에 위치한 「침해사고 처리 현황」에서 제목을 클릭

41 통합보안관제센터 침해사고 처리 방법 사고(피해)시스템 정보 및 공격시스템 정보 중 대상기관에 해당되는 정보 또는 통합보안관제센터에서 제공한 “첨부1.침해사고발생보고서” 확인

42 통합보안관제센터 침해사고 처리 방법 IP 대장을 활용하여 PC 물리적 위치 확인 ▣ 점검 가능 PC - 수동 바이러스 검사 - 바이러스 치료 및 삭제 - 내PC지키미 실행 - 인터넷 익스플로러 10버전 이상 업데이트 ※ 매 항목 점검 시 화면 캡쳐 필요 ▣ 점검 불가 PC - 랜 케이블 분리 후 포맷 - 포맷 후 랜 케이블 연결 및 보안업데이트 ※ 당일 처리 불가시 랜 케이블 분리

43 통합보안관제센터 침해사고 처리 방법 처리 후 결과보고 메인화면 ‘자료실’에서 「사고조치확인서」 작성

44 통합보안관제센터 침해사고 처리 방법 - 사고처리 현황 → 종결요청 클릭 - 내용 입력 및 첨부선택 - 등록 ※ 처리기한 2~3일 이내 (단위기관 사고처리 기한 참조) ▣ 사고처리 문의전화 055-269-0724~7

45 사이버보안 생활 수칙 운영체제 로그인 패스워드 설정 - 로그인 패스워드는 9자리 이상 영문, 숫자, 특수문자 등을 조합하여 구성 최신 버전의 소프트웨어 사용 - 윈도우, 백신, 문서프로그램 등 사용하는 소프트웨어는 자동업데이트를 설정하여 최신상태로 유지 백신 설치 및 주기적 검사 휴대용 저장매체 보안관리 철저 - 등록된 저장매체 외 인가되지 않은 저장매체 사용 및 반입 금지

46 사이버보안 생활 수칙 PC 보안 관리 철저 - 화면보호기 설정, 공유폴더 사용 금지, 비밀자료는 암호화 저장, 주기적인 백업 등 업무자료의 상용메일 및 메신저를 통한 송.수신 금지 - 상용메일, 스마트폰 메신저 등을 통한 내부 업무자료의 송.수신 금지 수상한 메일, 휴대폰 문자 등은 즉시 삭제 - 출처가 불분명한 메일이나 휴대폰 문자 등은 열람하지 말고 즉시 삭제 신뢰할 수 있는 웹 사이트만 방문

47