사법부 전산정보 보안에 관한 일반지침

제1조(목적) #

이 지침은 사법부 정보시스템을 사용함에 있어 일반적으로 지켜야 할 전산정보 보안 업무 수행에 필요한 사항을 규정함을 목적으로 한다.

제2조(적용 범위) #

이 지침은 법관 및 법원직원, 법원공무직원 등, 협력업체 직원(이하 "법관 및 법원직원등"이라 한다)에게 적용된다.

제3조(정의) #

이 지침에서 사용하는 용어의 정의는 다음과 같다.

1. "각급 기관"이라 함은 법원행정처, 사법연수원, 사법정책연구원, 법원공무원교육원, 법원도서관, 양형위원회, 각급 법원 및 그 소속기관을 말한다.

2. "각 센터"라 함은 대법원 전산정보센터, 대법원 등기정보센터를 말한다.

3. "소관부서"라 함은 사법부 정보시스템을 운영하는 법원행정처 실ㆍ국, 각급 기관의 사무국 또는 사무과를 말한다.

4. "법원공무직원 등"이라 함은 「기간제 및 공무직 근로자 관리규정」 제2조에 의한 기간제 근로자 및 공무직 근로자를 말한다.

5. "협력업체 직원"이라 함은 법원공무직원 등이 아닌 자로서 법령 또는 계약에 의하여 사법부의 업무를 수행하는 자를 말한다.

6. "정보시스템"이라 함은 정보의 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송신ㆍ수신 및 그 활용과 관련되는 기기와 소프트웨어의 조직화된 체계를 말한다.

7. "공정보통신망"이라 함은 「전기통신사업법」 제2조제2호에 따른 전기통신설비를 이용하거나 전기통신설비와 컴퓨터 및 컴퓨터의 이용기술을 활용하여 정보를 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송신 또는 수신하는 정보통신체제를 말한다.

8. "내부망"이라 함은 사법부 업무 수행을 위하여 인터넷과 별도로 분리하여 구축한 업무 전용 정보통신망을 말한다.

9. "인터넷망"이라 함은 사법부 업무 수행을 위한 목적으로 인터넷과 연동하여 구축한 정보통신망을 말한다.

10. "악성코드"이라 함은 바이러스(virus), 웜(worm), 트로이목마(trojan) 등 유해한 컴퓨터 프로그램으로, PC, 서버, 네트워크 등 사법부 정보시스템에 피해를 입히도록 설계된 모든 소프트웨어를 말한다.

11. "저장매체"라 함은 컴퓨터에 장착되거나 연결되어 컴퓨터의 정보를 별도로 저장할 수 있는 보조기억장치를 말한다.

제4조(전산정보 보안교육) #

① 각급 기관의 장은 개인정보 보호 및 정보보안을 위하여 연 1회 이상 법관 및 법원직원등을 대상으로 교육(온라인 교육을 포함한다)을 실시하여야 한다.

② 사법부 정보시스템을 운영하는 각급 기관의 장은 전산정보 보안 관련 전문기관의 교육 및 기술 세미나 참석을 장려하는 등 전산정보 보안 관련 직원들의 전문성을 제고하기 위하여 노력하여야 한다.

③ 법원행정처 사법정보화실장(이하 "사법정보화실장"이라 한다)은 전산정보 보안을 위하여 사법부 정보시스템 운영하는 각 센터의 법관 및 법원직원등을 대상으로 교육을 실시할 수 있다.

제5조(개인정보의 수집제한) #

법관 및 법원직원등은 업무수행을 위해 「개인정보 보호법」 등 관련 법령에 따른 필요한 최소한도로 개인정보를 수집, 처리 및 저장하여야 하며, 업무와 무관한 개인정보를 수집하여서는 아니 된다.

제6조(관련 법령의 준수) #

법관 및 법원직원등은 전산정보 보안, 개인정보 보호, 소프트웨어 불법사용 금지 등 관련 법령을 준수하여야 한다.

제7조(시스템 관리자 등 지정) #

① 각급 기관이 필요한 정보시스템(PCㆍ서버ㆍ네트워크장비, 정보통신기기 등 포함)을 도입ㆍ사용할 경우, 사법부 정보시스템의 안정적인 운영ㆍ관리를 위하여 시스템 관리자 및 관리책임자를 지정하여야 한다.

② 제1항 시스템 관리자 및 관리책임자의 별도 지정이 없는 경우 사법부 정보시스템을 실제 운영하는 소속 과의 행정관과 사무관 중 선임자가 시스템 관리자로, 소속 과장이 관리책임자로 지정된 것으로 본다.

제8조(전산정보 보안 점검) #

① 사법정보화실장은 사법부 정보시스템을 안정적으로 운영ㆍ관리하기 위하여 연 1회 이상 각 센터의 직원 및 컴퓨터에 대하여 전산정보 보안 점검을 실시하여야 한다.

② 제1항에 따라 전산정보 보안 점검을 실시할 경우 전산정보 보안 점검 체크리스트를 작성하여 활용할 수 있다.

제9조(보안사고 대응조치) #

① 법관 및 법원직원등은 사법부 정보시스템 사용 중 보안사고가 발생할 염려가 있거나, 발생한 경우에는 법원행정처 사법정보화실 정보보호담당관실에 신고하여야 한다.

② 법관 및 법원직원등은 보안사고 대응절차를 숙지하여야 하며, 보안사고 시 별표 1 보안사고 대응절차에 따라 적절한 조치를 취하여야 한다.

제10조(문서 보존) #

전산정보 보안과 관련하여 사법, 등기, 가족 등 사법부 정보시스템을 운용하는 소관부서는 다음 각 호의 문서를 전자문서로 관리ㆍ보존하여야 한다.

1. 보안서약서

2. 보안감사 등 감사 관련 기록

3. 기타 정보보호와 관련하여 필요한 자료

제11조(보안서약서 등) #

① 법관 및 법원직원은 별지 제1호 개인정보보호 서약서에, 법원공무직원 등과 협력업체 직원은 별지 제2호 보안서약서에 각 서명하여야 한다.

② 각 센터의 중요한 전산정보를 다루는 협력업체 직원 중 사법정보화실장이 필요하다고 인정하는 직원에 대해서는 그 업무 담당 이전에 신원조사를 할 수 있다.

제12조(계정 관리) #

① 사법정보화실장은 사법부 정보시스템 불법 접속에 대비하여 다음 각 호의 사항을 준수하여 계정을 관리하여야 한다.

1. 사법부 정보시스템을 이용하여 업무를 수행하는 법관 및 법원직원등에게 계정 부여

2. 사용자별 또는 그룹별로 접근 권한을 달리 부여

3. 비밀번호 등 사용자 식별 및 인증 수단이 없는 사용자 계정 사용 금지

② 정보시스템 관리자는 사용자의 보직변경, 퇴직, 계약종료 등 변동사항이 발생한 경우 신속히 사용자 계정을 삭제하거나 부여된 접근권한을 회수하여야 한다.

제13조(비밀번호 관리) #

① 비밀번호는 다음 각 호의 사항을 반영하여 숫자와 영문자, 특수문자 등을 혼합하여 정하고, 주기적으로 변경 사용하여야 한다.

1. 사용자 계정과 동일하지 않은 것

2. 개인 신상 및 부서 명칭 등과 관계가 없는 것

3. 일반 사전에 등록된 단어는 사용을 피할 것

4. 동일단어 또는 숫자를 반복하여 사용하지 말 것

5. 사용된 비밀번호는 재사용하지 말 것

6. 동일 비밀번호를 여러 사람이 공유하여 사용하지 말 것

7. 응용프로그램 등을 이용한 자동 비밀번호 입력기능을 사용하지 말 것

② 컴퓨터 사용자는 컴퓨터에 접근하기 위하여 사용하는 모든 비밀번호에 대하여 비밀을 유지하여야 하며, 타인에게 노출시켜서는 아니 된다.

제14조(일부 웹사이트 등의 사용 제한) #

① 사용자는 다음 각 호의 웹사이트 등을 이용하기 위하여 사법부 정보통신망에 접속하여서는 아니 된다.

1. 온라인 게임ㆍ음악ㆍ영화 등 각종 실시간 오락제공 서비스

2. 도박, 복권 등 사행성이 있는 서비스

3. 증권, 가상화폐 등 거래 서비스

4. 음란물

5. 피투피(P2P), 웹 하드 등 자료공유 서비스

6. 기타 보안상의 이유로 사용이 제한되어야 하는 서비스

② 사법정보화실장은 제1항 각 호의 웹사이트 등의 접속을 차단하거나 제한할 수 있다.

③ 사용자는 업무상 이유로 제1항 각 호의 웹사이트 등의 이용이 필요한 경우 사법정보화실장에게 접속의 허용을 요청할 수 있다.

④ 사용자는 제1항 각 호에 열거된 웹사이트 등 이외에도 업무시간 중에 법원 업무와 관련 없는 인터넷 이용을 자제하여야 한다.

제15조(인터넷 이용 제한 및 통보) #

① 사법정보화실장은 제14조제1항 및 제4항의 인터넷 이용 사실이 확인된 사용자에 대하여는 정보시스템에 피해가 발생되거나 예상되는 경우 그 사실을 개별 통보하고, 필요한 경우 이용 제한의 조치를 취할 수 있으며, 소속 기관에 통보할 수 있다.

② 제1항의 조치에 앞서 사법정보화실장은 해당 사용자에게 그 사유를 소명할 기회를 부여하여야 한다.

제16조(협력업체 직원의 사법부 정보시스템 접속) #

협력업체 직원이 사법부 정보시스템에 접속하려 하거나 사법부 전산망을 통하여 외부와 접속하려고 하는 경우 사법정보화실장의 사전 승인을 얻어야 한다.

제17조(컴퓨터 보안관리) #

① 컴퓨터 사용자에게는 업무용으로 지급된 컴퓨터에 대하여 다음 각 호의 관리책임이 있다.

1. 컴퓨터의 부팅 비밀번호 및 화면보호기 비밀번호의 설정 및 관리

2. 암호화를 이용한 컴퓨터의 중요정보 보호

② 법관 및 법원직원등은 개인소유의 컴퓨터 등 전산장비를 사법부 내부망에 연결하여 사용할 수 없다. 다만, 업무상 특별한 필요가 있는 경우에는 소관부서 장의 승인을 얻은 후 이를 사법정보화실장에게 미리 통보하여야 한다.

③ 컴퓨터 사용자는 컴퓨터 및 관련 장비를 임의로 반출입할 수 없다. 다만, 유지ㆍ보수 등을 위하여 반출입이 필요한 경우에는 전산장비에 수록된 사법부 전산정보 유출 방지를 위한 보안조치를 한 후 소관부서 장의 승인을 얻어야 한다.

제18조(소프트웨어 관리 등) #

① 사법부가 구매한 소프트웨어는 복제ㆍ복사하거나 외부로 반출할 수 없다.

② 사법부의 컴퓨터에는 법원 업무와 관련 없는 소프트웨어를 설치하여 사용할 수 없다.

③ 사법정보화실장은 사법부 컴퓨터에 설치되어 있는 모든 소프트웨어의 불법사용 여부를 필요한 때에 점검할 수 있다.

④ 법관 및 법원직원등은 보안기능을 우회할 수 있는 하드웨어나 소프트웨어를 사용하여서는 아니 된다.

⑤ 법관 및 법원직원등은 악성코드 등 유해프로그램으로부터의 감염 및 피해를 막기 위하여 소프트웨어 사용과 관련한 다음 각 호를 준수하여야 한다.

1. 판매자와 공급자가 명확히 확인되고, 갱신정보가 확실한 소프트웨어를 사용한다.

2. 유해한 코드나 파괴적인 요소가 없는 것으로 검증된 소프트웨어를 사용한다.

3. 정품 소프트웨어만을 사용하고, 출처가 분명하지 않은 소프트웨어는 사용하지 않는다.

제19조(네트워크 장비 보안관리) #

① 각급 기관의 장은 라우터ㆍ스위치 등 네트워크 장비 운용과 관련하여 다음 각 호의 보안조치를 강구해야 한다.

1. 네트워크 장비에 대한 원격접속은 원칙적으로 금지하되, 불가피한 경우 장비 관리용 목적으로 내부 특정 IPㆍMAC 주소에서의 접속은 허용

2. 물리적으로 안전한 장소에 설치하여 비인가자의 무단접근 통제

3. 불필요한 서비스 포트 제거

4. 주기적으로 보안취약점을 점검하고 보안패치를 실시

② 시스템관리자는 네트워크 장비의 접속기록을 일정기간 이상 유지하여야 하고 비인가자의 접속 여부를 주기적으로 점검하여야 한다.

제20조(서버 보안관리) #

① 각급 기관의 장은 서버를 도입ㆍ운용할 경우 사이버공격으로 인한 자료 절취 및 위ㆍ변조 등에 대비하여 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다.

1. 서버 내 저장자료에 대해 업무별ㆍ자료별 중요도에 따라 사용자의 접근권한 차등 부여

2. 서버의 운용에 필요한 서비스 포트 외에 불필요한 서비스 포트 제거 및 관리용 서비스와 사용자용 서비스를 분리ㆍ운용

3. 서버 설정 정보 및 서버 저장자료에 대한 정기적인 백업 실시

4. 데이터베이스에 대하여는 권한 없는 사용자의 직접적인 접속 차단, 개인정보 등 중요정보 암호화 등 데이터베이스별 보안조치 실시

② 시스템 관리자는 제1항에 따른 보안대책의 적절성을 수시 확인하여야 하며, 연 1회 이상 보안 도구 등을 이용하여 서버 설정 정보 및 저장자료의 절취, 위ㆍ변조 가능성 등 보안취약점을 점검해야 한다.

제21조(휴대용 저장매체 보안대책) #

① 각급 기관의 장은 휴대용 저장매체를 사용하여 업무자료를 보관할 필요가 있을 때에는 위ㆍ변조, 훼손, 분실, 유출 등에 대비한 보안대책을 강구하여야 한다.

② 각급 기관의 장은 사용자가 휴대용 저장매체를 컴퓨터 등에 연결하는 경우 최신 백신 소프트웨어로 악성코드 감염 여부를 자동 검사하도록 관리하여야 한다.

제22조(저장매체 자료삭제) #

① 각급 기관의 장은 다음 각 호의 경우 저장된 자료가 외부에 유출되지 않도록 저장매체의 자료를 삭제하여야 한다.

1. 개인정보 및 업무상 비밀이 저장된 저장매체를 교체ㆍ반납ㆍ양여ㆍ폐기ㆍ불용하는 경우

2. 컴퓨터를 외부로 반출하는 경우(다만, 업무상 필요에 의한 경우는 제외)

② 제1항에 따라 자료를 삭제할 경우 해당 정보가 복구될 수 없도록 「전산장비 운영관리지침」의 전산장비 불용품처분에 따른 완전 삭제를 하여야 한다.

제23조(정보시스템 보안) #

① 사법정보화실장은 바이러스ㆍ웜 등 악성코드로부터 사법부 정보시스템을 보호하기 위하여 보안대책을 수립ㆍ시행하여야 한다.

② 사용자는 소관 정보시스템을 사용하거나 정보통신망에 접속하는 것과 관련된 보안규정을 준수하여야 한다.

③ 시스템관리자는 서버ㆍ네트워크 장비 등 정보시스템의 운용과 관련한 보안규정을 준수하여야 한다.

제24조(각급 기관 정보시스템 구축) #

① 각급 기관의 장은 정보시스템을 구축ㆍ운용하는 경우 전산정보의 안전성 및 신뢰성 확보를 위한 관리적ㆍ물리적ㆍ기술적 보안대책 및 구축ㆍ운용 방안을 마련하여야 한다.

② 각급 기관의 장은 사법부 정보통신망과 접속이 필요한 정보시스템을 설치하는 경우 제1항의 보안대책 및 구축ㆍ운용 방안을 사법정보화실장과 사전에 협의를 하여야 한다.

③ 사법정보화실장은 각급 기관이 설치한 정보시스템으로 인하여 사법부 정보시스템의 정상적인 운용이 불가능하다고 인정되는 경우 해당 시스템의 사용을 제한할 수 있다.

제25조(내부망ㆍ인터넷망 분리) #

① 사법부에서 이용하는 정보통신망은 정보유출 방지 및 사이버위협으로부터 정보시스템의 안정성과 신뢰성을 확보하기 위하여 내부망과 인터넷망을 분리ㆍ운영하여야 한다.

② 사법정보화실장은 내부망과 인터넷망을 분리ㆍ운영하기 위하여 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다.

1. 침입차단ㆍ침입탐지시스템 설치 등 비인가자 침입차단 대책

2. 네트워크 접근관리시스템 설치 등 비인가 장비의 내부망 접속차단 대책

3. 내부망 정보시스템의 인터넷 접속차단 대책

4. 내부망과 인터넷망 간의 안전한 자료전송 대책

③ 사법정보화실장은 분리된 내부망과 인터넷망 간의 자료전송을 위한 접점이 불가피한 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다.

1. 침입차단ㆍ침입탐지시스템 설치ㆍ운용

2. 내부망과 인터넷망 간의 접점 최소화

3. 인터넷망에서 내부망으로 자료전송이 필요한 경우 일방향 전송 장비 등을 이용한 자료전송 체계 구축ㆍ운영

4. 정기적으로 악성코드 유입 여부 등 점검

제26조(무선인터넷 보안관리) #

① 각급 기관은 청사에서 무선인터넷을 사용할 수 없다. 다만, 각급 기관의 장이 민원인 등의 편의를 위하여 무선인터넷 사용이 필요한 경우 사전에 사법정보화실장의 보안성 검토를 받아야 한다.

② 각급 기관의 장은 허가 받지 않은 무선인터넷 단말기의 사무실 무단 반입ㆍ사용을 금지하고 제1항 관련한 보안대책의 적절성을 수시로 점검하고 보완하여야 한다.

③ 사법정보화실장은 각급 기관의 무선인터넷 사용 현황을 파악하여 보안 위협이 있는 경우 사용을 제한할 수 있다.

④ 사법정보화실장은 업무용 컴퓨터에서 무선인터넷 접속장치(USB형 등)가 작동되지 않도록 관련 프로그램 설치 금지 등 기술적 보안대책을 강구하여야 한다.

제27조(사이버안전센터 운영) #

① 법원행정처장은 사법부의 사이버 보안업무를 효율적이고 체계적으로 수행하기 위하여 사법정보화실 내에 사이버 보안조직을 구성ㆍ운영하여야 한다.

② 사법정보화실장은 제1항 사이버 보안조직으로 사법정보화실에 사이버안전센터를 설치해야 한다.

③ 사이버안전센터는 다음 각 호의 임무를 수행한다.

1. 사법부 정보시스템에 관한 전산정보 보안관리 업무

2. 보안장비 운영 및 보안관제 업무

3. 사이버공격 정보 탐지ㆍ분석

4. 사이버 보안 점검의 날 계획 수립ㆍ시행

5. 그 밖에 전산정보 보안과 관련한 사항

제28조(사이버안전센터 보안관제) #

① 사이버안전센터는 보안관제 업무를 24시간 중단 없이 수행하여야 하며 이를 담당할 전담인력을 배치하고 운영하여야 한다.

② 제1항의 업무를 보안관제 전문업체에 위탁한 경우 사법정보화실장은 수탁자를 대상으로 정보유출 금지 등에 관한 보안교육 및 보안 점검을 실시하여야 한다.

제29조(사이버공격 시 대응조치) #

① 사법정보화실장은 사이버공격으로 인하여 침해사고가 발생한 경우 피해 최소화 및 확산 방지를 위하여 다음 각 호의 사항을 포함한 대응조치를 취하여야 한다.

1. 사이버공격 경유지(사이버공격에 악용되거나 악용될 우려가 있는 웹사이트 주소, IP주소, 전자우편 주소 등을 말한다) 및 공격 IP주소 차단

2. 피해 시스템을 정보통신망으로부터 분리하거나 악성프로그램의 동작을 정지시키는 조치

3. 사고 조사를 위한 피해 시스템 및 로그 기록의 보전

4. 상황 전파

② 사법정보화실장은 사이버공격으로 인한 피해를 최소화하기 위하여 필요한 경우 각급 기관의 장에게 피해시스템과 사용자에 관한 정보 등의 제공을 요청할 수 있다.

제30조(사이버 보안 점검의 날) #

① 사법정보화실장은 각 센터를 대상으로 매월 첫 번째 화요일을 ‘사이버 보안 점검의 날’로 지정하고 보안 점검을 실시하여야 한다. 다만, 부득이한 사유로 해당 일에 시행하지 못할 경우 같은 달 다른 날에 시행할 수 있다.

② 사법정보화실장은 ‘사이버 보안 점검의 날’에 필수 보안프로그램 설치, 주기적 비밀번호 변경 관리 등 정보보안 업무 전반에 대하여 보안 점검을 실시하여야 한다.

제31조(악성코드 감염예방 및 관리) #

① 법관 및 법원직원등은 별표 2 악성코드 관리절차에 따라 컴퓨터를 관리하여야 한다.

② 법관 및 법원직원등은 악성코드에 감염되는 것을 방지하기 위하여 다음 각 호를 준수하여야 한다.

1. 사법부 정보통신망에 연결하는 컴퓨터는 반드시 필수 보안프로그램을 설치하여야 한다.

2. 타인과 공유하는 파일이나 전자메일, 인터넷망 등을 통하여 외부로부터 습득한 파일에 대해서는 사용 전에 악성코드 검사를 실시하여야 한다.

3. 백신프로그램은 항상 최신 버전으로 유지하여야 하며 주기적으로 악성코드 감염 여부를 검사하여야 한다.

4. 악성코드 관련 공지사항을 준수하여 악성코드에 의한 피해를 사전에 예방하여야 한다.

③ 법관 및 법원직원등은 악성코드 감염이 확인된 경우에는 다음 각 호에 따라 조치하여야 한다.

1. 악성코드 감염이 확인된 경우에는 컴퓨터를 네트워크에서 분리한 후 사이버안전센터에 즉시 통보하고, 그 지시에 따른다.

2. 악성코드의 치료가 완료되었음이 확인되기 전에는 파일 복사 등 일체의 컴퓨터 사용을 하지 않는다.

④ 사법정보화실장은 악성코드 종류, 증상, 감염일시, 감염경로 등의 확인을 위하여 각급 기관의 장에게 필요한 자료 제출을 요구할 수 있고, 각급 기관의 장은 이에 협조하여야 한다.

제32조(의심메일 신고) #

법관 및 법원직원등이 출처가 불분명하거나 해킹이 의심되는 전자우편을 수신한 경우 즉시 사이버보안담당자(cybersecurity@scourt.go.kr)에게 신고하여야 한다.