조사분석연구	03-02

2003년 정보보호 실태조사 보고서

2003 Information Security Survey

2003. 12.

서  문

우리나라는 세계 최고의 정보통신인프라를 구축하기 위하여 그동안 줄기찬 노력을 기울여온 결과  IT 강국의 기틀이 마련되었습니다. 그리고 행정, 의료, 교육, 경제 기타 사회각 부문은 정보시스템과 네트워크에 점점 더 크게 의존하게 되었습니다. 그러나 정보화의 진전은 많은 혜택과 함께 새로운 문제를 제기하였습니다. 정보통신인프라가 고도화되고, 인터넷 활용이 대중화됨에 따라 해킹·컴퓨터 바이러스 등 사이버공격과 개인정보 침해, 불법스팸메일의 범람, 불건전 정보의 확산, 사이버 중독 등과 같은 부작용도 증가하고 있습니다. 이러한 정보화의 부작용 증가는 정보보호에 대한 중요성을 더욱 부각시키고 있습니다.

이에 따라 세계 각국은 안전하고 신뢰할 수 있는 정보사회를 만들기 위해 정보보호기반을 구축하고 또 정보보호를 정보사회의 문화로 정착시키기 위해 많은 노력을 기울이고 있습니다. 우리나라도 정보보호 대책 마련에 고심하고 있으며, 이를 위해서는 무엇보다도 우리나라 정보보호현황에 대한 명확한 실태파악이 선행되어야 할 것입니다.

이 조사보고서는 민간부문의 정보보호대책 수립을 위한 기초작업으로, 네트워크 관계를 중심으로 네트워크제공자인 ISP, 네트워크이용서비스제공기관인 공공기관, 금융기관,전자상거래업체, 취약계층인 학교, PC방 등을 대상으로 정보보호시스템 구축현황, 정보보호사고대응체계, 관리수준, 정보보호전담조직 및 인식수준 등을 조사·분석하였습니다. 이 조사결과가 우리나라 정보보호 대책수립에 도움이 되길 바라며, 본 조사를 위해 애쓴 조사분석팀 및 (주)아이클릭 관계자 여러분들의 노고를 치하합니다.

2003년 12월

한국정보보호진흥원 원장

김 창 곤

제       출       문

정보통신부 장관 귀하

본 보고서를 "2003년도 정보보호 실태조사"의 최종 연구개발 결과 보고서로 제출합니다.

2003년  12월

연구책임자 : 정책기획단장  박 광 진

참여연구원 :  팀               장  공 진 동

연      구     원  황 성 원

요       약       문

1. 제목

2003년도 정보보호 실태조사 보고서

2. 조사의 목적 및 중요성

인터넷과 지식네트워크로 대표되는 정보통신기술의 비약적인 발전은 많은 대중에게 생활의 편의를 제공하고 있다. 반면 해킹이나 컴퓨터 바이러스 등 각종 정보화 폐해에 노출될 가능성도 더불어 높아지고 있고, 그 피해가 나날이 점증하고 있다.

컴퓨터 시스템과 인터넷이 접목하면서 사이버 공격의 폐단은 더해가고 있으며, 바이러스의 기승도 정도를 넘어선 지 오래다. 최근에는 해킹과 바이러스의 결합형태인 웜바이러스가 자기복제를 통해 무제한으로 전파되고 있다. 일단 바이러스에 감염된 이후로는 무수히 많은 선의의 피해자를 양산하게 되는데, 그것은 지난 2003년 1월 25일 발생한 인터넷 침해사고에서 여실히 증명되었다.

그러나 이러한 돌발적 상황에 대해 민간기업, 공공기관 등은 대부분 무방비 상태로 노출되어 있는 것이 현실이다. 그러한 상황 하에서, 세계 최고의 인터넷 인프라를 자랑하는 우리나라는 일부의 문제가 언제든지 전체의 문제로 확대될 소지가 있으므로 보다 철저한 준비를 하여야 할 것이다.

따라서 2003년도 정보보호실태조사는 정보보호가 그 무엇보다도 중요시되고 있는 민간기업(일반기업, PC방, ISP사업체), 공공기관(금융기관, 행정기관 및 학교 등 포함)을 대상으로 정보보호실태를 파악하여, 정보보호 수준을 측정하고, 비교 분석함으로써 향후 정보보호 정책수립과 각 기업 및 기관의 유용한 지침서로 활용하는데 목적이 있다.

3. 조사의 내용 및 범위

본 조사에서는 중소기업 456개, 금융기관 92개, 학교 216개, 전자상거래업체 372개, ISP사업자 41개, 공공기관 81개, PC방 307개 등 총 1563개를 대상으로 아래와 같은 연구의 내용과 범위를 토대로 정보보호실태를 조사하였다.

특히 각 조사대상별로 공통조사내용과 더불어 ISP 사업자를 대상으로 하는 내용과 금융기관, 전자상거래업체, PC방을 구분하여 보다 세분화 된 정보보호실태를 조사하였으며 연구범위는 다음과 같다.

○ 정보보호 시스템 구축 현황

○ 정보보호 관리 기준 및 조직

○ 정보보호 사고 대응 체계

○ PC방의 정보보호 실태 분석

○ 정보보호를 위한 주요 지원요청 사항

4. 조사결과

【정보보호 시스템 구축 현황】

정보보호와 관련하여 가장 많이 구축된 시스템은 ‘백신’(80.1%)이었고, 다음은 ‘방화벽’(49.2%)으로 분석되었다. 백신 구축의 경우  ISP 사업자와 공공기관에게서 특히 높게 나타났다. 방화벽의 경우도 공공기관과 ISP 사업자의 구축비중이 높았다.

시스템 모니터링에 관하여는 ‘상시’(41.1%)가 가장 많았고, ISP 사업자와 공공기관이 자주 실시하는 것으로 분석되었으며, 주기는 ‘1개월’(21.9%)단위가 가장 많았다.

장비 패치정보 입수 및 설치주기에 관하여 ‘문제발생 시마다 실시한다’(38.8%)가 가장 많았으나  ISP 사업자 등 장비와 솔루션에 특히 민감한 업체들은 ‘1주일마다 실시’(16.1%)하는 비중이 높았다.

중요한 서버에 대한 백업대상으로는 ‘시스템의 중요파일과 사용자 파일’(45.3%)이라는 응답이 가장 많았으며, 고객관련정보를 중시하는 공공기관과 금융기관은 백업대상으로 ‘모든 파일’을  많이 지목했다.

주요서버에 대한 백업주기는 ‘매일’(34.6%)이 가장 많았고, 주요서버에 대한 로그관리 분석 수행에 관하여는 ‘수행한다’, ‘수행하지 않는다’가 비슷하게 나타났으나 업체의 성격에 따라 응답을 달리했다.

‘주요 데이터를 구별 관리한다’는 응답이 74.4%로 높았고, 그 보안대책으로는 ‘백업’(70.6%)을 가장 선호했으나 '그 저장매체의 폐기절차가 수립되어 있는가'에서는 ‘아니오’(57.7%)가 높았으며 업체의 성격에 따라 응답선택을 달리했다.

정보시스템의 취약점 점검에 관하여 ‘하고 있지 않다’(34.8%)가 많았으며, 네트워크 접근통제 여부에서는 ‘아니오’(62.4%)가 많아 정보누출의 가능성이 큰 것으로 분석되었다.

정보시스템의 안정적인 전원공급 방법으로는 ‘USP’(59.1%)를 가장 선호했으며, 장비의 유지보수 내역을 ‘관리한다’(60.8%)는 비율도 비교적 높게 나타났다.

재해를 대비한 정보시스템 백업센터 여부에 ‘없음’(53.7%)이 높았고, 재해 시 비상복구 계획수립 여부에 대해서도 ‘없음’(59.1%)이 크게 나타난 반면, 성장기업인 중소기업의 그것이  가장 미흡한 것으로 나타나 우려를 더해 주었다.

【정보보호 관리기준 및 조직】

정보보호 정책지침 여부에 대하여 ‘마련하고 있지 않다’(34.4%)가 높게 나타났으나 향후 지침 설정 의향이 높게 나타났다. 지침내용에 대해서는 ‘네트워크 보안지침’과 ‘서버보안지침’이 각각 57.3%로 조사되어 해킹 등의 위험부담을 우려하는 경향을 반영하고 있다고 보여 진다.

지침이 정해지면 ‘준수하는 편’(40.3%)이라는 응답비율이 컸으며, 지침을 전 직원이 회람하는가에 대하여 ‘회람한다’(64.7%)가 많아 그 필요성을 높게 인식하고 있었으며, 지침변경주기는 ‘필요 시마다’(73.7%)가 크게 나타나 변화가 심한 현재의 실상을 반영하고 있다.

지침에 따른 보안감사 여부는 ‘비정기적 실시’(48.4%)가 많았고, 그 형태는 ‘내부감사조직’(64.9%)을 선호하였으며, PC보안을 위한 정보가이드 설정에서는 ‘설정하지 않는다’(79.3%)의 비중이 높아 자료유출의 가능성이 높은 것으로 판단된다.

정보보호 조직에 관하여는 ‘특별한 수행 인력 없음’(41.9%)이 높았고 평균 수행 인력은 3.14명이었으나 정보관련 전문업인 ISP 사업자의 경우 11.16명이었다.

수행 인력의 자격취득 방법에 대해서는 ‘사내 교육 이수 또는 이수 중’(62.3%)이 많았으나 ISP 사업자나 공공기관 등 정보보호에 적극적인 업체들은 전문가의 위탁교육을 선호하는 것으로 나타났고, 정보보호 전담조직 충원에 대해서는 ISP 사업자(17.0%)가 가장 적극적이었다.

CEO가 정보보호 관련 업무를 수행하는가에 대해 긍정적인 응답이 40.9%로 특히 ISP 사업자와 전자상거래에서 높은 비율을 보였으며, 임직원 대상 정보보호 관련 교육에서는 중소기업(63.2%)이 가장 적극적이었다.

정보보호 투자는 2001년과 2002년에 비해 2003년은 낮아져 ‘매출액 대비 IT 투자비중’은 9.9%에 그칠 것으로 조사되었다. 그러나  ‘IT투자비용 대비 정보보호 투자비중’은 2001년(16.1%)보다 높아져 20.1%에 이를 것으로 평가되었다.

【정보보호 사고대응 체계】

MS-SQL Slammer 웜 침해사고 피해 정도는 ‘전혀 없었다’(70.9%)가 많았는데 이유는  토․일요일에 바이러스가 활동한 때문인 것으로 판단된다. 웜 바이러스에 의한 서비스 중단시간은 평균 14.43시간이었으며 전자상거래가  16.70시간으로 가장 큰 손실을 기록했다.

해킹․침해사고 등의 정보획득 채널은 보안업체(41.1%)를 많이 활용했으며, 문제해결을 위한 대외협력채널로도 보안업체(35.9%)를 가장 선호했다.

모니터링 주기는 1개월이 31.5%, 기타가 33.0%로 나타났으며, 침해사고 대응계획 미수립은 28.5%였으나 수립계획 의사는 33.8%로 나타나 필요성을 인식하고 있는 것으로 분석되었다.

침해사고 조치 대처방안으로는 특별한 절차 없이 자체적으로 해결하는 경우가 44.9%였으나 침해사고 종결 후의 정밀분석은 외부 전문기관을 활용한다는 응답이 30.8%였다.

【PC방의 정보보호 실태 분석】

정보보호에 대한 의사결정 직접수행 여부에서 긍정적 답변이 71.5%에 달했으나 정보보호 직원교육 기회제공 여부에서는 ‘교육기회를 제공하지 않는다’(62.5%)가 높게 나타나 직원교육에 대한 관심이 낮은 것으로 보이며, 이것으로 직원의 이동이 매우 높다는 것을 간접적으로 유추할 수 있다.

PC방의 정보보호 문제점으로 ‘정부차원의 명쾌한 지침 부족’(34.4%)과 ‘정보보호제품 도입 비용부담’(30.2%)이 지적되었다.

해킹․바이러스 방어용 제품 도입에 관해서는 ‘도입하고 있다’(99.0%)가 압도적이었으며 ‘백신’(82.5%) 구입을 첫 번째로 뽑았다.

기 구축된 백신의 업데이트 주기는 ‘수시’(38.4%)가 가장 많았으며, 6대 광역도시에서 보다 적극적이었다.

정보보호 제품 투자비용은 ‘10만원~20만원 미만’이 가장 많았고, 매출액 대비 투자비용은 평균 2.3%였다.

보호되어야할 주요 데이터는 ‘주민등록번호’(86.2%)가 가장 많았으나 ‘전화번호’와 ‘이름’도 각각 66.6%와 42.6%를 나타냈다.

해킹 및 침해사고 정보획득 채널은 ‘신문․뉴스’(65.6%)가 가장 많아 ISP 사업자의 전문업체 의존과 비교되었다. 그러나 문제 해결 채널로는 ‘보안업체’(41.0%)와 ‘직원’(40.0%)을 선택했다.

MS-SQL Slammer 웜 침해에 의한 피해는 89.2%로 높았다. 이는 토․일요일에 바이러스가 활동하였던 까닭에 PC방 피해가 커진 것으로 분석된다. 바이러스 침해에 의한 서비스 중단시간은 평균 19.50시간이었으며 59.2%가 24시간 내에 해결된 것으로 분석되었다.

바이러스에 의한 피해금액은 평균 7만6천원이었으며, 서울이 10만8천원으로 가장 큰 피해를 입은 것으로 조사되었다.

5. 기대효과

본 조사결과는 각 업체 및 기관의 정보보호실태 및 현황을 파악하여 객관적 자료로 재편한 것이므로 문제점을 해결하기 위한 정책대안 기초 자료로 활용될 수 있을 것이다. 또한 우리나라의 주요 정보취급 대상을 민간기업과 공공기관으로 구분하여 정보보호실태 및 현황을 파악함으로써 정보보호에 대한 다양한 현상과 문제점을 수집․분석하였으므로 정보보호에 대한 정책수립 기반 자료로 인식되기를 바란다.

더 나아가서, 지속적으로 정보보호 관련 데이터를 수집 및 분석함으로써, 향후 새롭게 등장할 정보보호실태의 문제점과 유형을 예측 파악하는 유용한 자료로 활용될 수 있으리라 기대한다.

SUMMARY

1. Title

2003 Information Security Survey

2. The purpose and the importance of this survey

The rapid progress of the data communication which is represented such as Internet and Knowledge Network is offering the convenience of life to the mass of people. But the possibility of exposure to various information influence such as Hacking or Computer Virus is increasing and the damage is rapidly increasing.

As Computer System and Internet goes together, not only the paradigm of the Cyber attack is reputed day by day but also the increasement of Virus as Cyber anonymity is formerly excessive.

Recently, the combination form of Hacking and Virus advanced into Self reproduction and unlimited propagation as Worm Virus is increasing.

If you are infected, you are changed unconsciously into the assaulter and the well-intended sufferer will be increasing and also the danger of the Internet infringement accident happened on January 25th, 2003 is proved as examples.

But these days, the private corporation and the public organization to the unexpectedly circumstances is exposed. Especially Korea which is proud of Internet-Infra at the superlative has to prepare in advance because the partial problems can always cause to extend to the main problems.

Therefore, this 2003 Information Security Survey

the private corporation(General companies, PC room, ISP companies) and the public organization (including financial organization, administrative organization and schools) grasp the Information Security Effects and then the standard of each company and each organization has to be measured and analyzed as compared with situations. From now on, policies based on the Information Security are established and Social responsibility of each company and organization is purposefully used as useful guidelines.

3. Contents and Scope of this survey.

In this survey, 456 small and medium enterprises, 92 financial organizations, 216 Schools, 372 Electronic commerce business bodies, 41 ISP owners, 81 Public Institutions, 307 PC rooms, totally focused on those 1563, contents and scope of this survey was investigated.

Contents are therefore ...

->Information Security System construction present status

->Information Security Management Standard and Structure

->Information Security Circumstances Correspondence System

->Information Security Present Conditions of PC rooms

->Main Support Request for Information Security

4. Results of the survey

[Information Security System construction present status]

In relationship with Information Security, the most constructed system is vaccine (80.1%), fire wall (49.2%) is the second category as analyzed. For the case of construction of vaccine is highly examined to ISP companies and the public organization. The construction of fire wall is also highly examined to ISP companies and the public organization as same as vaccine.

In relationship with System monitoring, ISP companies and the public organization does the ordinary times and the period is 1 month as units.

For the Tools Patch Information obtainability and Construction Period, they do whenever something happened (38.8%) as highly examined but who are very sensitive for tools and solutions such as ISP owners do every week (16.1%).

Backup for the important server, the important files of the system and user files are the most outstanding and the public organization and the financial organization which care Information about customers do the backup all files as Backup categories.

Backup period for the important server is "Everyday"(34.6%) as highly examined. Log management for the important server is proceeded and not proceeded is almost same and based on the character of companies.

Main data classification management 74.4% is proceeded, for the security countermeasure is Backup and preferable and the wasted storage media is not constructed (57.7%) but dependent on the character of companies.

Information System weaken examination is not managed (34.8%) was outstanding, Network approach control is no (62.4%) was outstanding so the possibility of Information leakage will be high as analysis.

Stable Electricity Support for the Information System is USP (59.1%) is the most preferable and the maintenance for tools as categories is managed (60.8%) was highly examined as the rate.

Information System Backup Center for the disaster is NO (53.7%) is highly examined. If the disaster happened, the emergency recovery schedule is NO (59.1%) is highly examined small and medium companies are weaken for this category so they are concerned.

[Information Security Management Standard and Structure]

For Information Security Policies Management is concerned but from now on the guide construction is highly examined. The contents of the guide are Network Security Guide and Server Security Guide respectively examined such 57.3%. Therefore the dangerous responsibility such as Hacking is concerned.

If the guide is builded, confirm (40.3%) is mostly examined and all workers follow the guide is mostly examined (64.7%) so the importance is highly concerned. The guide changement period is changed if necessary anytime is dependent on the frequent changement of the present.

Security Examination for the guide at the irregular time is highly examined (48.4%) and the inner examination organization is mostly preferable Information Guide Setup for PC security is not "set up (79.3%)" is highly examined so the possibility of the data flow can be caused.

For the Information Security Organization, general process is NO (41.9%) and the average processing person is 3.14 but in the case of ISP owners for the special Information Security are 11.16 for the processing person.

Processing person to obtain the qualification is Inner Complete Education or educating is highly examined (62.3%) but the active companies for the Information Security such as ISP owners and the public organization prefer the professional education and ISP owners for the Information Security at the complete charge are preferable.

CEO is processing the business matters for the Information Security affirmative answer(40.9%) especially ISP owners and Business Trade is highly rated small and medium companies are active for the education of the Information Security.

Information Security Investment is lowering in 2003 in compare to in 2001and in 2002, the IT investment rate of Public offer preparation will be stopped by 9.9%. But the preparation for IT investment expense Information Security Investment rate will be increased 20.1% from 16.1% (in 2001) is judged.

[Information Security Circumstances Correspondence System]

The rate of MS-SQL Slammer Worm infringement damaged "hardly No" (70.9%) but because of Virus activity for Saturday and Sunday is judged. Service Stopping time at Worm Virus are on an average 14.43 hours Business Trade incur a high loss such as 16.70 hours.

Information acquirement Channel such as Hacking / Infringement Circumstances used Security companies (41.1%),

Security companies for solving the problems to the outer cooperation channel are preferable.

Monitoring Period is 1 month (31.5%) and so on (33.0%) were showed up but infringement Circumstances confrontation schedule disestablishment 28.5% establishment schedule purpose 33.8% therefore we concern the purpose as examined.

The disposal program of the Infringement Circumstances is solved itself without specific process : 44.9%

Analysis after the Infringement circumstances termination outer professional organization is applied 30.8%

[Information Security Present Conditions of PC rooms]

The purpose determination about Information Security which is directly processing was the affirmative answer 71.5% but the opportunities for workers education about Information Security is not offered (62.5%) is highly examined and is low concerned as well and that caused the movement of workers by guess.

The Information Security problems of PC rooms are concerned such as the obvious guide weakness of the Government(34.4%) and Information Security products import defray expenses(30.2%)

Hacking / Protection Products for Virus are imported (99.9%) are overpoweringly examined and then vaccine purchase(82.5%) is highly chosen.

Constructed vaccine update periods are occasionally(38.4%) examined and 6 main metropolitan cities are mostly active.

Information Security products investment expenses are between "100,000 and 200,000" are mostly examined  and Sales preparation for the investment expenses is 2.3% at the average.

The mainly protected data are ID number(86.2%) which are highly examined and also judged telephone number (66.6%) and name (42.6%)

Hacking and Infringement circumstances information obtainability channel is newspaper / news (65.6%) as highly examined and is comparative to the dependence of the professional companies of ISP owners. But Solving problems channel are chosen Security companies (41.0%) and workers(40.0%).

MS-SQL Slammer Worm infringement circumstances damage is highly concerned at 89.2% that's because the active virus on Saturday/Sunday caused the damage of PC rooms is analyzed by guess. Service Stopping time at Worm Virus are on an average 19.50 hours and are solved in 24 hours 59.2%.

Damaged expenses against virus are 76 thousands and 108 thousands in Seoul are highly damaged.

5. Expected Effects

This survey was grasped of Information Security actual conditions and present conditions of each company and each organization into objective data so we can use as the fundamental data to solve the problems.

And also the main Information handling of Korea is classified private companies and public organization through the actual and present conditions of Information Security are concerned, the present conditions and the problems of Information Security that are analyzed recognized as the policies for Information Security.

Furthermore, continuously data gathered and analyzed for Information Security, we expect to take advantage of the practical use to estimate the problems of the Information Security conditions and type.

목       차

제 1 장 조사 개요	1

제 1 절 조사 목적	1

제 2 절 조사 내용 및 범위	2

1. 과제 목표	2

2. 내용 및 범위	2

제 3 절 조사 방법	2

1. 조사 대상	2

2. 조사 방법	3

3. 표본추출 및 구성	3

4. 조사 기간	4

5. 자료 수집 방법	4

6. 개별 기업․기관 정보 및 보안	5

7. 통계처리 및 분석방법	5

제 2 장  조사 결과	7

제 1절 정보보호 시스템 구축 현황	7

1. 정보보호 시스템 구축 및 운영	7

2. 정보보호를 위한 서버 및 데이터 운영 현황	13

3. 정보보호 시스템 보안 감시 및 통제 점검	19

4. 출입통제 장치 설치 및 백업센터 운영	21

제 2절 정보보호 관리기준 및 조직	29

1. 정보보호 정책 및 지침 수립과 준수 현황	29

2. 정보보호 업무 수행 조직 구성	37

3. 정보보호 인식 수준 및 교육 시행	42

4. 정보보호 투자 현황	46

제3절 정보보호 사고 대응 체계	50

1. 정보보호 침해사고 대비 체계	50

2. 정보보호 침해사고 대처 방안 및 사고복구조직 구성	57

제4절 PC방의 정보보호 실태 분석	60

1. 정보보호 관리에 대한 현황	60

2. 정보보호제품 구축과 투자 현황	63

3. 정보보호 보안관리대책 현황	66

4. MS SQL Slammer 웜 침해사고 피해 현황	71

제5절 정보보호를 위한 주요 지원요청 사항	74

1. 공공기관	74

2. 금융기관	74

3. 전자상거래업체	74

4. ISP 사업체	74

5. 중소기업	74

6. 학교	74

제 3장 조사 결론	76

제1절 서언	76

제2절 정보보호 시스템 구축현황 요약	77

제3절. 정보보호 관리기준 및 조직 요약	79

제4절. 정보보호 사고대응 체계 요약	81

제5절. PC방의 정보보호 실태 분석 요약	82

제6절. 제언	84

부    록	85

부록 1. 설문지	86

부록 2. 자유응답	101

부록 3. 세부통계표	105

Contents

Chapter 1 Introduction	1

Section 1 The purpose of this survey	1

Section 2 Contents and Scope of this survey	2

1. The purpose of Survey	2

2. Contents and Scope	2

Section 3 Method of Survey	2

1. Subject of Survey	2

2. Method of Survey	3

3. Sampling	3

4. Term of Survey	4

5. Data collection	4

6. Information of Private Corporation, Public Institution, Security	5

7. Data Analysis and output	5

Chapter 2  Result of the Study	7

Section 1 Information Security System construction present status	7

1. Security system construction and management	7

2. Status of Server and Data management for security	12

3. Security system surveillance and Control	18

4. Establishment of access control equipment, Backup center management	20

Section 2 Information Security Management Standard and Structure	28

1. Information Security policies, the guide construction and confirm	28

2. Structure organization of Information Security business performance	36

3. Standard of Information Security understanding, enforcement of education	41

4. Investment status	45

Section 3 Information Security Circumstances Correspondence System	49

1. Information Security Circumstances Correspondence System	49

2. Information Security Correspondence, Constitution of restoration structure	56

Section 4 Information Security Present Conditions of PC rooms	59

1. Status of Information Security management	59

2. Status of construction and Investment about security product	61

3. Status of management countermeasure Information Security	65

4. Status MS SQL Slammer Worm infringement circumstances damage	68

Section 5 Matter of major backup requesting for Information Security	71

1. Public Institution	71

2. Financial Organization	71

3. Electronic commerce business body	71

4. ISP business body	71

5. Small and medium enterprise	71

6. School	71

Chapter 3 Conclusion of the Study	73

Section 1 Preface	73

Section 2 Status of Information Security System Construction	74

Section 3 Management standard, organization	76

Section 4 System of accident confrontation	78

Section 5 Status of PC room's Information Security	79

Section 6 Proposal	81

표 목차

[표 1-1] 표본구성 현황	4

[표 2-1] 정보보호 제품운영에 대한 모니터링 정도	11

[표 2-2] 서버, DB 및 네트워크장비에 대한 패치정보 입수 및 설치주기	12

[표 2-3] 중요한 서버에 대한 백업대상	13

[표 2-4] 주요서버에 대한 백업주기	14

[표 2-5] 주요 데이터에 대한 보안대책 수립여부	17

[표 2-6] 정보시스템에 대한 보안 취약성 점검주기	19

[표 2-7] 주요 장소에 대한 출입통제 장치의 설치 및 운영 여부	21

[표 2-8] 출입통제 장치의 설치장소에 대한 출입허용 대상	22

[표 2-9] 출입내역에 대한 검토주기	24

[표 2-10] 정보시스템의 안정적인 전원공급을 위한 방법	25

[표 2-11] 재해에 대비한 정보시스템 백업센터 운영 현황	27

[표 2-12] 재해에 대비한 비상복구 계획 수립 운영	28

[표 2-13] 정보보호 정책 및 지침 마련 여부	29

[표 2-14] 정보보호 지침 내용(중복응답)	30

[표 2-15] 정보보호 지침 준수	31

[표 2-16] 정보보호 정책 및 지침 변경주기	32

[표 2-17] 정보보호 정책의 회람 여부	33

[표 2-18] 정보보호 정책의 지침에 따른 보안감사활동 여부	34

[표 2-19] 정보보호 정책 및 지침 감사활동의 형태	35

[표 2-20] 정보보호 업무 수행 형태	37

[표 2-21] 정보보호 업무 수행 인력	38

[표 2-22] 정보보호 업무 수행 인력 현황	39

[표 2-23] 정보보호 업무 책임자 현황	40

[표 2-24] 정보보호 전담인력 채용계획 유무	41

[표 2-25] CEO의 정보보호 관련업무 의사결정 수행 정도	42

[표 2-26] CEO의 정보보호 관련업무 수행 정도	43

[표 2-27] 임직원 대상 교육시행 및 기회제공 여부	44

[표 2-28] 정보보호 교육실시 방법(중복응답)	45

[표 2-29] 최근 3년간 정보보호 투자 비중	46

[표 2-30] 정보보호 제품 구입 및 운영 예산-IT 투자비용 대비 비중	48

[표 2-31] MS-SQL Slammer 웜 침해사고 피해 유무	50

[표 2-32] MS-SQL Slammer 웜에 의한 서비스 중단시간	51

[표 2-33] 해킹, 침해사고 등에 대한 정보획득 채널	52

[표 2-34] 해킹, 침해사고 등 보안사고에 대한 모니터링 주기	53

[표 2-35] 침해사고 발생 시 대응계획 수립여부	54

[표 2-36] 침해사고 문제해결을 위한 대외협력채널	56

[표 2-37] 침해사고 조치 및 대처방안	58

[표 2-38] 침해사고 종결 후 정밀분석 시행 여부	59

[표 2-39] PC방의 정보보호 관련 문제점	62

[표 2-40] 기 구축 정보보호 제품 종류(중복응답)	63

[표 2-41] 기 구축된 정보보호 제품의 백신 업데이트 주기와 패턴	64

[표 2-42] 정보보호 제품 투자비용	65

[표 2-43] 보호되어야 할 주요 데이터(중복응답)	68

[표 2-44] 보호되어야 할 주요 데이터에 대한 접근 권한	68

[표 2-45] PC방에서 확보하고 있는 해킹 및 침해사고 정보획득 채널(중복응답)	69

[표 2-46] 해킹 및 침해사고 발생 시 문제해결 채널	70

[표 2-47] MS SQL Slammer 웜에 의한 서비스 중단시간	72

[표 2-48] 경제적 피해규모(금액)	73

그림 목차

(그림 1-1) 정보보호 실태조사 설문참여 조사메일 형태	4

(그림 2-1) 기 구축된 정보보호 시스템	7

(그림 2-2) 기 구축된 정보보호 시스템 종류	8

(그림 2-3) 주요 서버에 대한 로그관리 수행 여부	15

(그림 2-4) 주요 데이터 구별 관리 여부	16

(그림 2-5) 저장매체에 대한 폐기절차 수립여부	18

(그림 2-6) 네트워크 접근 통제를 위한 DMZ 설치여부	20

(그림 2-7) 주요 정보시스템 설치장소에 대한 출입기록 작성 여부	23

(그림 2-8) 정보시스템 장비에 대한 유지보수 내역	26

(그림 2-9) 사용자 PC 보안을 위한 정보가이드 설치 운영여부	36

(그림 2-10) 정보보호 제품 구매계획 여부	47

(그림 2-11) 정보보호를 위한 내․외부 컨설팅 계획 여부	49

(그림 2-12) 침해사고 인지 시 긴급체계 구축 여부	55

(그림 2-13) 침해사고 복구 조직 여부	57

(그림 2-14) 정보보호에 대한 의사결정의 직접수행 여부	60

(그림 2-15) 정보보호 관련교육 수행여부	61

(그림 2-16) 직원대상 정보보호 관련교육 기회제공 여부	61

(그림 2-17) 해킹․바이러스로부터 보호하기 위한 정보보호 제품 도입여부	63

(그림 2-18) 정보보호 제품 투자비용	66

(그림 2-19) 관리용 PC의 비밀번호 설정여부	67

(그림 2-20) 미설정 시 문제점 인지여부	67

(그림 2-21) MS SQL Slammer 웜 침해사고 관련 피해여부	71

제 1 장 조사 개요

제 1 절 조사 목적

지속적인 정보화 정책의 추진 결과 대한민국은 세계 최고의 IT인프라를 형성하였다. 인터넷 사용인구 2,627만 명, 초고속인터넷 가입자 1,040만 가구는 거미줄처럼 서로를 연계하면서 다양한 정보를 교환하고 있다.

개개인은 이러한 사이버공간에서 단순한 정보의 교환뿐만 아니라 금융거래나 상품구입을 위해 자신의 고유정보를 제공하기에 이르렀다.

이러한 지식정보사회에서 기업과 개인의 경쟁력을 배가하는 네트워크 인프라의 순기능은 매우 고마운 것이지만, 그에 못지않은 역기능이 항상 도사리고 있으며 나날이 그 정도를 더해가고 있다.

2003년 1.25 인터넷 침해사고에서 알 수 있듯이 정보화의 발전은 필연적으로 정보의 유출 가능성을 잉태하고 있으며 익명의 악의적 행태는 사회 전체의 혼란을 일거에 야기할 수 있다는 점에서 문제의 심각성이 있다 할 것이다.

물론 이러한 문제점은 이전에도 충분히 인지되고 있었던 것이지만, 정보보호실태에 대한 객관적인 자료의 부족으로 관련정책을 수립하고 이를 시행하는데 많은 어려움이 있었던 게 사실이다.

따라서 보다 엄정하면서도 투명한 네트워크 질서가 절실히 요구되는 이때, 사회 각 부문별에 대한 실태파악과 비교분석을 통해 인터넷의 안전성․신뢰성 제고를 위한 각 단위별 정보보호 지침을 구축하는 것은 매우 중차대한 일이라 할 것이다.

2003년도 정보보호실태조사는 일차적으로 이와 같은 당면한 문제를 해결하고자 실시되었으며, 향후 보다 안전한 지식정보사회 환경을 조성하는데 밑거름이 되었으면 한다.

제 2 절 조사 내용 및 범위

1. 과제 목표

o 정보보호 실태의 유형별 현황 파악 :

2003년도 정보보호실태조사는 중소기업, 전자상거래, ISP사업자, PC방 및 금융기관, 공공기관, 학교 등의 정보보호에 대한 현황과 이에 대한 문제점을 분석한다.

o 정보보호실태에 관한 객관적 자료 확보 :

객관적인 정보보호 관련 실태자료 수집과 분석을 통해 보편타당한 정보보호정책을 수립하는 기초 자료로 활용한다.

o 실현 가능한 정보보호 관련 문제점 파악 및 해결 패러다임 모색 :

객관적이고 신뢰할 수 있는 조사방법 및 자료를 통해 향후 다양한 목적으로 활용할 수 있도록 유형별 정보보호 관련 문제점의 해결방안 패러다임을 창출한다.

2. 내용 및 범위

본 조사는 중소기업, 전자상거래업체, ISP사업자, PC방, 금융기관, 행정기관, 학교 등을 대상으로 다음과 같은 내용을 수집․분석하였다.

제 3 절 조사 방법

1. 조사 대상

본 2003년도 정보보호실태 조사는 정보보호실태를 전반적으로 살펴보고자 공공기관, 금융기관 및 학교 등의 기관과 ISP사업자, 전자상거래업체, 중소기업, PC방 등을 대상으로 조사를 실시하였다.

2. 조사 방법

정보보호 실태조사는 기업과 각 기관을 대상으로 폭넓게 진행되었기 때문에 세심한 주의와 관심이 요구된다.

금번 조사는 설문 응답자에게 조사의 필요성과 목적을 충분히 설명하여 정확하고 객관적인 응답을 유도하고자 1차로 전화조사를 통한 조사대상 리스트를 구축하였다. 조사대상 구축 후 구조화된 설문지를 통한 인터넷 설문조사를 실시하여 정보보호 실태를 파악하였다.

본 조사의 목적에 비추어 볼 때 인터넷 설문조사 방식은 각 조사대상의 담당 부서 해당자에게 정보보호실태에 관한 내용과 이에 대한 인식과 관련된 정보를 획득하고 좀 더 깊이 그들의 의견을 반영할 수 있으며 급변하는 정보화의 흐름에 맞추어 보다 신속한 결과를 얻을 수 있다는 장점을 최대화하였다.

인터넷 설문조사는 조사자의 개입 없이 편한 상태에서 진행되어 솔직한 답변을 얻을 수 있고, 응답자가 원하는 시간에 설문에 응답함으로써 객관적이고 응답에 대한 성실성을 높일 수 있으며, 또한 조사의 모든 과정을 전산 처리함으로써 정확하고 객관적인 자료 수집을 할 수 조사방법이다.

3. 표본추출 및 구성

o 조사 대상 : 중소기업, 전자상거래, ISP사업자, PC방, 학교, 금융기관, 공공기관

o 조사 방법 : 전화조사를 통한 조사 대상 리스트 구축 후 구조화된 설문지를 이용한 온라인 이메일 조사

o 표본추출방법: 임의 할당 추출법(Purposive Quota Sampling)

o 표본 수: 총 1,563개이며, 세부구성현황은 다음과 같다.

[표 1-1] 표본구성 현황

	사례수	비중(%)
중소기업	456	29.2
학교	216	13.8
전자상거래업체	372	23.8
금융기관	92	5.9
ISP사업자	41	2.6
공공기관 PC방	81 305	5.2 19.5
{전 체}	1,563	100.0

4. 조사 기간: 2003. 3.10 ～ 2003. 3. 27(18일간)

5. 자료 수집 방법

(그림 1-1) 정보보호 실태조사 설문참여 조사메일 형태

자료의 수집은 아이클릭(www.eyeclick.co.kr)에서 조사참여 메일을 발송하고 응답자가 조사참여 버튼을 클릭하면 조사에 참여하게 된다. 조사에 참여한 응답자의 데이터는 아이클릭 데이터베이스에 쌓이게 되며, 이 데이터를 다운받아 자료를 수집하게 된다. (그림 1-1)은 패널들이 받게 되는 조사 참여 메일의 형태이다. 안내문에는 조사 목적과 내용 및 활용방안, 개인정보보호서약이 포함된 조사기관의 인사말과 함께 조사기간, 설문참여시의 경품 내역 등을 설명하였다. 또한 안내문을 통해 설문조사의 총 응답시간을 밝히고 조사에 참여하도록 권유하였다. 조사참여 메일을 받고 조사에 응답하는 사람들은 웹 상에서 보여지는 질문지를 보고 자기기입식 (Self Selection)방법에 의해 조사에 참여하게 된다.

6. 개별 기업․기관 정보 및 보안

수집된 데이터는 조사 데이터와 개별 기업․기관관련 정보로 나뉘어져 각기 다른 데이터베이스에 기업․기관명을 분리․저장함으로써 정보의 유출에 대해서 최대한 대비하고 있다. 아이클릭의 웹 서버는 완벽한 설비체계(이중수배전설비, 비상발전기, UPS, 항온항습기 등)에 의해 유지되며 인터넷 데이터 센터인 KIDC에 서버를 두고 있어 물리적인 침입, 천재지변에 대해서 완벽하게 보호되고 있다.

또한 응답자가 다른 사람과 컴퓨터를 공유하여 사용하거나 공공장소에서 이용하는 경우, 설문도중 자리를 비우는 것을 고려하여 세션(session time)을 통해 일정한 시간이 지나면 자동으로 설문이 중단되도록 하고 있다.

7. 통계처리 및 분석방법

본 조사에서 수집된 자료는 먼저 자료 검증을 거쳐 부실 응답 및 응답자의 응답시간이 너무 짧아 데이터에 대한 신뢰성이 떨어진다고 여겨지는 사례들은 모두 제외시켰다.

분석기법으로 빈도분석(frequency analysis)과 기술통계분석(descriptive analysis)이 먼저 사용되었다. 이 두 가지 분석기법을 통해 조사 대상의  각 정보보호실태에 관한 의견에 대한 전반적인 응답 성향을 살펴보았다. 이와 같은 자료의 기초분석 과정은 수집된 자료의 특성을 개괄적으로 파악하는 작업에 속한다. 또한 제시되는 테이블에서 보여 지는 값은 기준에 맞게 반올림되어 그 합을 더할 경우 정확하게 100이 되지도 않을 수 있음을 밝혀둔다. 기초분석을 통해 파악된 응답 특성을 토대로 이후 분석 방향에 맞도록 원자료를 가공하는 과정을 거쳤다.

빈도분석은 도수분포표(frequency table)나 막대그림표(histogram)를 작성하여 원자료의 변수들이 지닌 분포의 모양을 알게 해 주는 분석기법이다. 그리고 빈도분석을 통해 변수의 평균, 분산 등과 같은 분포가 지닌 여러 가지 특성을 파악할 수 있다. 이러한 빈도분석은 두 가지 기능을 한다. 첫째, 원자료를 간편하게 정리 및 조직하여 제시함으로써 유의미하고 중요한 특징을 알기 쉽게 보여준다. 둘째, 여러 가지 통계적 처리를 간편하게 할 수 있다.

또한 조사대상별로 볼 때, PC방은 조사내용의 특성이 다른 관계로, 본 보고서의 제2장 4절에 내용을 별도로 분석하였다.

제 2 장  조사 결과

제 1 절 정보보호 시스템 구축 현황

1. 정보보호 시스템 구축 및 운영

가. 기 구축된 정보보호 시스템 종류

정보보호제품 구축 현황 및 운영에 대해 알아보기 위해, 본 실태조사에서는 정보보호 시스템의 종류를 총 13가지로 분류하여 각 기관이 어떤 정보보호 시스템을 설치하고 있는지 조사하였다.

PC보안(PC방화벽, 유해사이트차단제품 등), 침입탐지시스템(IDS), 방화벽(F/W), 가상사설망(VPN), 전자우편보안솔루션, Secure OS, 서버보안솔루션, 백신, Secure IC카드, Viruswall, 보안관제시스템, 기타, 없음

그 결과, (그림 2-1)에서와 같이 80.1%의 높은 비중을 차지하고 있는 정보보호 시스템은 백신이었다. 그 다음으로 기관들이 선호하는 시스템은 침입탐지 시스템으로 49.2%를 차지하였다. 이와 같이 1위와 2위가 현저한 차이를 보이는 이유는 백신이 설치 및 관리(업데이트 등) 그리고 사용법이 쉬우며, 경제적이기 때문이다.

또한 아래 (그림 2-1)을 보고 우리가 주목할 점은 취약점검도구등 침해사고 예방을 위한 시스템 도입이 매우 저조하다는 것이다. 이번 1.25 인터넷 침해사고와 실태조사를 통해 각 기관들이 침해사고 예방을 위한 시스템의 도입에 관심을 가지고 있지만, 경제적인 문제로 인해 도입에 어려움을 겪고 있다.

(그림 2-1) 기 구축된 정보보호 시스템

(그림 2-1)에서 살펴본 내용을 조사대상별로 자세히 살펴보면 (그림 2-2)와 같다.

ISP 사업자는 백신(90.2%)을 비롯하여 Virus wall(24.4%), 보안관제시스템(26.8%), 취약점검도구(14.6%), 전자우편보안솔루션(26.8%), VPN(48.8%), Secure IC카드(26.8%) 총 7개 분류에서 가장 앞선 수치를 보여줌으로써 정보보호 시스템 구축에 많은 노력을 기울이고 있음을 알 수 있다. ISP는 네트워크 제공자 입장으로 네트워크를 안전하게 보호하기위해 최대한 노력하는 것으로 분석된다.

공공기관의 경우 방화벽(95.1%)과 IDS(69.1%), 서버보안솔루션(37.0%)에서 가장 앞섬으로써 정보보호시스템 구축에 대한 정부의 방침에 따라 정보보호에 관심이 높은 것으로 나타났다.

반면에 전자상거래업체 및 중소기업 등은 거의 모든 분야에서 기본적인 정보보호시스템을 갖추지 못한 경우가 많은데, 이는 CEO의 정보보호 인식부족, 정보보호 시스템 도입을 위한 재원부족, 정보보호시스템 설치에 따른 이용자 속도저하 등에 기인한 것으로 판단된다.

(그림 2-2) 기 구축된 정보보호 시스템 종류

나. 기 구축된 정보보호 시스템 모니터링 정도

‘기 구축된 정보보호 시스템 종류’ 조사에 이어, 구축되어 있는 시스템의 모니터링 정도를 조사한 결과([표 2-1]), 조사기관 전체 중 41.1%만이 ‘상시’ 모니터링을 실시한다고 대답해 정보보호 제품이 구축되어 있어도 이에 대한 운영․관리가 미흡한 실정임을 알 수 있다.

‘상시’모니터링을 실시하는 기관 중, 조사대상 별로는 ISP 사업자(79.5%), 공공기관(61.7%), 금융기관(60.7%) 순으로 모니터링 빈도가 높았다. 이러한 결과는 정보보호에 민감한 기관일수록 정보보호 시스템을 자주 모니터링 하는 것으로 분석된다.

반면, 모니터링 정도가 ‘1개월’(21.9%)인 경우는 학교(29.2%), 중소기업(24.1%), 전자상거래(21.6%) 순으로 순위가 나타나, 이러한 단체들의 정보보호에 대한 인식이 부족함을 알려준다.

참고로, ISP 사업자는 침입탐지시스템(IDS)을 운영(51.2%)하면서 IDC에서 통합모니터링을 실시(68.2%)하고 있으며 관리영역 전체에 걸쳐서 유해 트래픽을 측정(58.5%)하고 있다. 그러나, 종합적인 이상 징후 탐지․대응 시스템 구축이 미흡하고, 이상 트래픽 발생 시 자동 차단 시스템도 존재하지 않아 문제가 되고 있다.

[표 2-1] 정보보호 제품운영에 대한 모니터링 정도

다. 서버, DB 및 네트워크 장비 패치정보 입수 및 설치주기

이번에는 위에서 구축된 정보보호 시스템 사용 시, 최신 패치(업데이트) 사용주기에 대해 조사하였다. 조사 결과, 전체적으로 패치정보 입수 및 설치를 ‘문제발생 시마다 실시한다(38.8%)’가 가장 많아 기관들이 최신패치 설치에 소홀함을 시사하였다. 이는 장비운영의 효율적 접근성을 높이기 위한 정보탐색이 소홀히 되고 있음을 입증한다. 세부적으로 볼 때, 최신 패치정보 입수 및 설치주기가 ‘1주일(16.1%)’인 기관은 ISP 사업자(43.9%), 전자상거래업체(23.1%), 금융기관(14.1%) 순으로 나타나 장비와 솔루션에 특히 민감한 업체들이 패치정보 입수와 설치에 빠른 반응을 보임을 알 수 있다. 반면, 패치정보 입수 및 설치를 ‘하지 않는다’(15.4%)에서는 중소기업(27.6%)이 가장 높게 나타났다. [표 2-2]는 [표2-1]과 같은 패턴을 보이는데, 즉 정보보호제품 모니터링을 자주 실시하는 기관은 패치정보 입수 및 설치 주기가 짧고, 모니터링을 자주 실시하지 않는 기관은 패치 정보 설치 주기가 길다는 것을 보인다. 이것을 통해 정보보호에 민감한 기관일수록 모니터링과 패치 입수를 자주한다는 것을 알 수 있다. 이 조사를 통해 공공기관의 경우, 앞에서 정보보호제품에 대한 모니터링 정도는 높은 반면, 최신 패치에는 소홀함을 보이고 있어 공공기관에 문제점을 드러내고 있다. 참고로, ISP 사업자는 시스템 보안 패치를 수행함에 있어 DNS서버를 운영하면서 70%가 항시 모니터링하고 있으며, 메일서버를 운영하면서 59%가 항시 모니터링 하고 있다.

[표 2-2] 서버, DB 및 네트워크장비에 대한 패치정보 입수 및 설치주기

2. 정보보호를 위한 서버 및 데이터 운영 현황

가. 중요한 서버에 대한 백업대상

정보보호를 위한 서버 및 데이터 운영 현황에 대해 알아보기 위해, 우선 각 기관의 서비스와 관련된 중요한 서버에 대한 백업대상이 무엇인지 물었다. 조사에 의하면 백업대상으로 ‘시스템의 중요파일과 사용자 파일’(45.3%)이 가장 높게 나타났으며, 특히 ISP 사업자(56.1%)와 학교(56.0%)가 매우 적극적이었다. ‘모든 파일’을 백업대상으로 기관(35.4%) 중, 공공기관(55.6%), 금융기관(45.7%), 전자상거래(37.6%)가 많은 비중을 차지하였는데, 이는 고객관련정보를 특히 중시하는 업체의 특성이 드러난 것으로 해석된다. 한편 ‘백업하지 않는다’(8.7%)라고 대답한 기관 중에는 중소기업(15.4%)이 가장 높은 수치를 나타냈다.

[표 2-3] 중요한 서버에 대한 백업대상

나. 주요서버에 대한 백업 주기

주요서버에 대한 백업주기를 묻는 질문에, ‘매일’(34.6%)이라고 대답한 기관들이 가장 많았으며 조사대상별로는 공공기관(55.6%), 금융기관(45.7%), 전자상거래(37.6%) 순으로 나타났다. 이는 [표2-3]에서 모든 파일을 백업대상으로 인식한 업체 순과 동일한 바, 파일을 중시하는 업체는 백업 주기가 짧다는 것을 반증한다. ‘1주일’(22.5%)을 감안하면 데이터의 중요성 인지도가 확산되었음을 알 수 있으나, 중소기업의 경우 다른 업체에 비해 백업 주기가 비교적 길게 나타나 데이터의 자산가치 인식 정도에서 다소 낮음을 알 수 있다.

[표 2-4] 주요서버에 대한 백업주기

다. 주요 서버에 대한 로그관리 분석 수행여부

전체 기관들은 주요서버에 대한 로그관리(기록 및 분석)를 수행하는지에 대한 질문에 ‘수행한다’(52.5%)와 ‘수행하지 않는다’(47.4%)가 비슷하게 집계 되었으나, 조사대상별로 볼 때의 내용구성은 전혀 다른 양상을 보이고 있다. [그림 2-3]에서 조사대상별로 볼 때, ‘수행한다’의 경우 공공기관(85.2%), ISP 사업자(82.9%), 금융기관(66.3%) 순으로 나타났는데, 공공기관의 경우 서비스 확대의 측면에서, ISP 사업자와 금융기관의 경우 고객분석의 측면에서 로그 분석에 적극적인 것으로 해석된다. 부가설명하자면 ISP 사업자는 시스템 보안 패치를 수행함에 있어 DNS서버를 운영하면서 로그생성과 동시에 정기점검을 87%가 수행하고 있다. 또한, ‘수행하지 않는다’의 경우 중소기업(64.9%), 학교(50.0%), 전자상거래(38.4%) 순으로 나타났다.

(그림 2-3) 주요 서버에 대한 로그관리 수행 여부

라. 주요 데이터 구별 관리 여부

주요 데이터를 구별 관리하는지에 대한 질문에, 전체적으로 ‘구별한다’(74,4%)는 응답비율이 높게 나타났다. 조사대상별로는 ISP 사업자(97.6%), 공공기관(90.1%), 금융기관(87.0%) 순이며 높은 수치를 보였는데, 위의 기관들은 기관의 특성상 데이터 선별의 필요성을 충분히 인식하고 데이터의 종류별로 보안의 레벨을 정해 관리하는 등 데이터 보호를 위해 노력하는 것으로 분석된다.

기관의 주요 데이타란 예를 들어 고객정보, 내부 핵심정보 등을 말한다.

(그림 2-4) 주요 데이터 구별 관리 여부

마. 주요 데이터에 대한 보안대책 수립내용

주요데이터에 대한 보안대책으로는 어떤 것들이 수립되어있는지 조사하였다. 이에 대해‘백업’(70.6%)과 ‘접근통제’(48.5%)가 비교적 높게 나타났다. 이것은 백업과 접근통제가 데이터 관리 시 가장 편리하고 안전하기 때문에 선호하는 것으로 분석된다.

‘백업’을 수행한다고 대답한 기관들 중, ISP 사업자(87.8%)가 가장 높은 수치를 나타내 ISP사업자들이 데이터 백업의 중요성을 가장 잘 인식하는 것으로 분석되었다. 조사에 의하면 ISP 사업자는 고객의 비밀정보를 명문화(86.5%)하고 있으며 고객개인정보보호에 중점을 둔 교육을 필요시마다 수행(77.4%)하고 있다. 이는 네트워크 제공자로서 당연한 일로 여겨진다.

‘접근통제’의 방법은 공공기관(85.2%)이 가장 선호하는 것으로 조사되었는데, 이것이 데이터의 보안을 위해 가장 쉬운 방법이기 때문이다.

주요데이타에 대한 보안대책으로 ‘기타’(6.5%)를 선택한 기관 중 중소기업(11.8%)이 가장 높은 수치를 나타내 ‘백업’, ‘접근통제’, ‘암호화’의 방법 외에 ‘직접통제’ 등 비용부담을 최소화하는 방법을 모색하는 것으로 판단된다.

[표 2-5] 주요 데이터에 대한 보안대책 수립여부

바. 저장매체에 대한 폐기절차 수립여부

각 기관들에게 고객의 중요한 정보를 담고 있는 저장매체에 대한 폐기 절차가 수립되어 있는지 물었다. 그 결과, ‘아니오’(57.7%)라고 대답한 기관이 ‘예’(42.1%)라고 대답한 기관보다 많아 중요 데이터 저장매체의 폐기 시 데이터의 유출 위험이 많음을 암시한다.

‘폐기절차가 있다’(42.1%)라도 대답한 경우, 높은 비율을 차지하는 기관들은 ISP 사업자(68.3%), 공공기관(67.9%), 금융기관(59.8%) 순이다. 이것은 위의 기관들의 서비스를 생각해볼 때, 다소 미흡한 수준으로 분석된다. 앞의 조사에 의하면 위의 기관들은 중요 데이터를 대부분 구별 관리하며, 주요 데이타에 대한 보안 대책도 수립되어있는데, 폐기 시 관리를 소홀히 한다는 것으로 분석되기 때문이다. 이것은 각 기관의 정보보호 인식의 부족으로 보여 지며, 각 기관은 저장매체의 페기 시 데이터가 유출될 수 있음을 인식하고 주요 데이터 폐기 시에도 신중함을 기해야한다.

‘폐기절차가 없다’(57.7%)의 경우, 높은 비율을 차지한 기관은 중소기업(68.4%), 학교(62.0%), 전자상거래(55.1%)로 나타났는데, 이들 기관에서는 고객 데이터의 유용 가능성이 상대적으로 클 것으로 예측된다.

(그림 2-5) 저장매체에 대한 폐기절차 수립여부

3. 정보보호를 위한  정보시스템 보안 감시 및 통제 점검

가. 정보시스템에 대한 보안 취약성 점검주기

불법적인 네트워크 접근 및 경로에 대한 감시 및 통제 현황을 알아보기 위하여 우선 정보시스템에 대한 보안 취약성 점검(모의 해킹 등) 주기에 대해 설문조사하였다. 그 결과, 보안취약성 점검을, ‘하고 있지 않다’(34.8%)라고 응답한 기관이 가장 많았으며, 조사대상별로는 중소기업(47.8%), 학교(32.9%), 금융기관(29.3%) 이 ‘하고 있지 않다’라고 많이 응답했다. 중소기업의 경우 재정의 어려움과 정보시스템 운영미숙이 원인이 되는 것으로 추정된다.

정례화 수준은 ‘주1회 이상’은 6%, ‘월1회 이상’은 8.6%에 그치고 있는 등 전반적으로 보안 취약점 점검이 미흡하여 침해사고 예방노력이 필요하다. 또한 전자상거래업체와 학교, 중소기업의 경우 정기적인 보안감사를 거의 하지 않고 있으며, 취약점 점검 및 보안패치 적용 등 침해사고 예방 활동도 취약한 수준으로 판단된다.

[표 2-6] 정보시스템에 대한 보안 취약성 점검주기

나. 네트워크 접근통제를 위한 DMZ 설치여부

DMZ : 인터넷상에 공개하는 서버에 부정 접속을 방지하기 위한 침입 차단(firewall) 기능. 인터넷 측과 사내 통신망 측 사이에 비무장 지대(DMZ)를 설치해서 침입 차단으로 여과 처리하면 월드 와이드 웹 등의 공개 서버에 부정 접속을 방지할 수 있다.

기관의 외부에서 내부로의 네트워크 접근통제를 위한 DMZ를 구성하고 있는지에 대한 조사에서, 전체적으로 ‘설치하고 있지 않다’(62.4%)가 높게 나타났으며, 조사대상별로는 중소기업(80.5%), 전자상거래(64.5%)가 특히 높은 수치를 보였다.

‘설치하고 있다’(37.5%)의 경우 불특정 다수의 접근가능성이 큰 공공기관(87.7%)과 고객정보 보호에 극히 민감한 금융기관(55.4%) 순으로 나타났다. 차후 규모가 점증하면서 대중의 접근이 활성화될 것으로 예측되는 전자상거래의 경우 가장 시급히 DMZ설치를 적극 권장할 필요가 있을 것이다.

(그림 2-6) 네트워크 접근 통제를 위한 DMZ 설치여부

4. 출입통제 장치 설치 및 백업센터 운영

가. 주요 장소에 대한 출입통제 장치의 설치 및 운영 여부

사무실 및 전산실 등의 주요 장소에 대한 출입통제장치를 설치 및 운영하는지에 대한 조사 결과 전체적으로 ‘운영하고 있지 않다’(58.3%)가 높은 수치로 나타났으며, 특히 중소기업(74.6%), 전자상거래(63.4%) 가 기관의 규모가 소규모이며 경제적 문제로 인해 출입통제의 필요성을 느끼지 못하는 것으로 분석된다.

반면 ISP 사업자의 경우 ‘스마트카드’(56.1%), ‘생체인식제품’(31.7%), ‘CCTV, 감시카메라’(61.0%)에서 모두 가장 높은 수치를 나타내 정보유출을 막기 위해 많은 노력을 기울이고 있음을 알 수 있다.

[표 2-7] 주요 장소에 대한 출입통제 장치의 설치 및 운영 여부

나. 출입통제 장치의 설치장소에 대한 출입허용 대상

출입통제 장소의 출입허용 대상으로는, 전체적으로 ‘담당자’(70.9%)가 가장 많았으며, ‘내부직원’(41.1%) 순으로 나타났다.

‘외부인’(5.5%)에 대해서는 대체로 적극적인 통제를 하고 있으나 ISP 사업자(13.2%)는 상대적으로 외부인 출입을 선별해서 허용하고 있는 것으로 보여 진다.

또한 설문에 응답한 기관 중 1.5%가 ‘아무나’를 선택했는데, 출입통제장치를 설치한 후, 아무나 출입을 허가하는 것은 그 기관의 보안의식이 부족하다는 걸 나타낸다.

[표 2-8] 출입통제 장치의 설치장소에 대한 출입허용 대상

다. 주요 정보시스템 설치장소에 대한 출입기록 작성 여부

정보시스템 설치이 설치된 출입통제 장소의 출입기록을, ‘작성한다’(61.5%)가 높게 나타났으며, 조사대상별로는 공공기관(100%)과 ISP 사업자(100%)가 출입기록을 철저히 관리하는 것으로 나타났다.

고객정보의 유출을 방지하고 회사 기밀을 유지하는 것이 향후 모든 업체의 경쟁력임을 고려할 때 금융기관, 전자상거래, 중소기업의 출입통제장치 및 출입기록 작성 비율은 좀더 높아져야 할 것으로 분석된다.

(그림 2-7) 주요 정보시스템 설치장소에 대한 출입기록 작성 여부

라. 출입통제장치의 출입내역에 대한 검토주기

다음으로 출입통제 장치를 설치하고 출입기록을 작성하는 기관들 중, 출입내역에 대한 검토주기는 어느 정도인지 알아보았다. 전체적으로 ‘매일검토’(52.0%)가 가장 많았으며 조사대상별로는 공공기관(74.6%), 금융기관(62.2%), ISP 사업자(57.9%) 순으로 출입기록 작성에 적극적인 업체가 검토에 있어서도 적극적임을 보여주고 있다.

‘1개월’검토(19.2%)에서는 학교(40.5%)가 가장 높은 수치를 나타냈는데, 이는 학교라는 특수성이 출입기록의 작성과 출입내역 검토주기를 비교적 길게 설정하는데 영향을 미치고 있다고 판단된다.

[표 2-9] 출입내역에 대한 검토주기

마. 정보시스템의 안정적인 전원공급을 위한 방법

정보통신시스템 운영을 위한 가용성 확보 대책에 대해 조사하기 위해 정보시스템의 안정적인 전원공급을 위해 어떤 방법을 쓰고 있는지 물었다. 조사 기관들이 선호하는 방법은 ‘UPS 사용’(59.1%)이며, 조사대상별로는 ISP 사업자(97.6%), 공공기관(97.5%), 금융기관(84.8%)등이 특히 ‘UPS사용’을 선호하고 있었다.

UPS[uninterruptible power supply] : 무정전 전원 공급 장치, CVCF(constant voltage constant frequency)라고도 한다. 일반 전원 또는 예비 전원 등을 사용할 때 전압변동, 주파수 변동, 순간 정전, 과도 전압 등으로 인한 전원 이상을 방지하고 항상 안정된 전원을 공급하여 주는 장치이다.

정보시스템의 안정적 전원공급을 위한 이러한 방법이 ‘없다’(31.9%)는 중소기업(47.1%)과 전자상거래(42.5%)가 특히 높은 수치를 보여 정보시스템의 안정적인 운영 필요성이 낮은 것으로 나타났다.

[표 2-10] 정보시스템의 안정적인 전원공급을 위한 방법

바. 정보시스템 장비에 대한 유지보수 내역

조사 결과, 응답 기관의 60.8%가 정보시스템 장비에 대한 유지보수 내역을 관리하고 있는 것으로 조사되었다. 조사대상별로는 공공기관(98.8%), 학교(88.0%), 금융기관(81.5%) 높은 비율로 관리하고 있었다.

‘관리하고 있지 않다’(39.1%)에서는 중소기업(54.6%), 전자상거래(51.3%) 업체가 높은 응답을 보이고 있어 장비관리에 상대적으로 소홀함을 보여주고 있다.

(그림 2-8) 정보시스템 장비에 대한 유지보수 내역

사. 재해에 대비한 정보시스템 백업센터 운영 현황

화재, 수재 등 각종 재해에 대비한 정보시스템 백업센터를 어떻게 운영하고 있는지 조사한 결과, 전체적으로 ‘백업센터 없음’(53.7%)이 가장 높았는데, 대부분의 경우 이러한 재해에 대한 정보손실에 대해 의식을 하지 않기 때문으로 분석된다. 특히 조사대상별로는 중소기업(70.8%)이 백업센터 운영이 가장 미흡한 것으로 분석되었다.

‘정보시스템 장비가 있는 전산실에 백업센터 운영’(29.8%)에서는 공공기관(45.7%), 학교(44.9%) 순으로 나타나 공공․교육분야가 백업센터 운영의 필요성을 가장 잘 인식하고 있는 것으로 분석되었다.

주목할 점은 백업의 필요성이 절대적인 ISP 사업자(46.3%)나 전자상거래(46.2%), 금융기관(38.0%)도 대체적으로 미흡한 것으로 분석되어 보다 적극적인 개선방안이 제도화되어야 할 것으로 판단된다.

[표 2-11] 재해에 대비한 정보시스템 백업센터 운영 현황

아. 재해에 대비한 비상복구 계획 수립 운영 현황

[표 2-11]에서 53.7%가 재해에 대비한 백업센터가 없다고 조사된 것과 비슷한 확률로 ‘재해 및 침해사고에 대한 비상복구계획 없음’(59.1%)이 가장 많았다. 즉, 백업센터에 대한 의식이 없는 기관은 비상복구계획도 없다고 분석된다. 이것 또한 중소기업(72.4%)이 가장 의식이 부족하다.

‘재해 및 침해사고에 대한 비상복구계획 수립 운영’(20.3%)에서는 ISP 사업자(48.8%), 공공기관(48.1%), 금융기관(34.8%) 순으로 데이터의 중요성을 인식하고 있는 업체가 상대적으로 높은 수치를 보였다. 참고로 ISP 사업자의 경우 백업 장애 시 신속복구 능력이 92.7%로 조사되었다.

[표 2-12] 재해에 대비한 비상복구 계획 수립 운영

제 2절 정보보호 관리기준 및 조직

1. 정보보호 정책 및 지침 수립과 준수 현황

정보보호지침 : 정보보호 기본수행지침 및 교육자료, 보안사고시 대응절차, 해킹/바이러스 대책, 보안감사활동, 지침 등이 포함된 문서

가. 정보보호 정책 및 지침 마련 여부

각 기관들이 정보보호 정책 및 지침을 마련하고 있는지에 대한 설문조사에서, ‘정보보호 정책 및 지침을 마련하고 있지 않다’가 34.4%로 나타났다. 여기에 ‘1년~2년 내에 마련할 계획이다’라고 대답한 12.75%와 ‘마련 중이다’라고 대답한 23.1%를 포함하면 총 조사 기관 중 70.2%가 아직 정보보호 정책 및 지침을 마련하지 않은 것으로 밝혀진다. 그나마 지난 1.25 침해사고 후 정보보호에 대한 인식이 제고되어 정보보호 정책 및 지침을 마련 중이거나 1년~2년 안에 마련할 것으로 보인다. 조사기관별로 보면, 공공기관(81.5%), ISP 사업자(58.5%), 금융기관(43.5%) 순으로, 공공기관의 상당수만이 침해사고 대응계획을 수립하고 있고, 대다수 기관들은 보안침해사고에 대해서는 별도의 계획을 수립하고 있지 않으므로 사고 발생 시 초동대응이 어려운 실정이다.

[표 2-13] 정보보호 정책 및 지침 마련 여부

나. 정보보호 지침 내용

앞에서 정보보호 지침을 가지고 있는 기관들에게 그 안에 어떤 내용이 포함되어 있는지 조사 결과, ‘네트워크 보안 지침’(57.3%)과 ‘서버보안 지침’(57.3%)이 가장 많았으며, 특히 그러한 내용은 중소기업과 학교, 전자상거래, 금융기관의 정보보호 지침에 많이 포함되는 것으로 보인다.

‘보안조직의 구성’(56.2%)과 ‘인적보안지침’(53.5%), ‘정보보안사고대응절차’(49.8%), ‘주요 정보관리 및 외부자 관리사항’(49.5%), ‘자산분류 및 통제’(31.3%)에서는 ISP 사업자와 공공기관이 특히 높게 나타나 정보보호 지침의 체계화가 정착된 것으로 분석되었다.

[표 2-14] 정보보호 지침 내용(중복응답)

다. 정보보호 지침 준수

앞에서 정보보호 지침을 가지고 있는 기관들에게 정보보호 지침을 어느 정도 준수하는지 조사하였다. 그 결과 ‘준수하는 편’(40.3%)이 가장 많았으며 조사대상별로 볼 때 공공기관(66.2%), ISP 사업자(45.8%), 금융기관(42.1%) 순이고, ‘보통’(40.0%)의 경우 학교(47.8%), 전자상거래(47.6%), 중소기업(44.4%) 순으로 나타나, 상위기관들에 의해 지침 수립이 의무화되는 공공기관과 ISP사업자, 금융기관의 경우 지침 준수율이 상대적으로 높게 나타남을 알 수 있다.

반면에, 전자상거래업체(45.4%), 중소기업(43.6%), 학교(38.2%)의 지침 준수율은 전체 평균(50.2%) 이하로 나타나, 전반적으로 지침에 대한 인식이 부족하고, 체계적인 보안관리 수행이 미흡한 것으로 판단된다.

[표 2-15] 정보보호 지침 준수

라. 정보보호 정책 및 지침 변경 주기

정보보호 정책 및 지침의 변경의 주기를 묻는 질문에 ‘필요시마다’(73.7%)가 가장 많았으며, 조사대상별로는 금융기관(84.2%), 전자상거래(81.7%) 순으로 나타났다. 금융기관과 전자상거래 업체는 금융거래에서의 상관성이 있으며 급증하는 인터넷금융거래와 이에 따른 정책변화가 큰 영향을 미치는 것으로 추정된다.

[표 2-16] 정보보호 정책 및 지침 변경주기

마. 정보보호 정책의 회람 여부

정보보호 정책 및 지침을 최고경영층으로부터 승인을 득하고 전 직원에게 회람하는가에 대한 조사 결과, ‘예’(64.7%)가 많았으며, 조사대상별로는 공공기관(81.8%), ISP 사업자(79.2%), 금융기관(75.4%) 순으로, 대체로 [표 2-15]에서 정보보호 정책 지침을 마련하고 이를 준수하는 업체와 일치한다.

‘아니오’(33.8%)의 경우 중소기업(42.3%), 전자상거래(39.7%) 순으로 나타나 이들 업체는 전사적 차원에서 정보보호정책 집행능력이 낮은 것을 알 수 있다.

[표 2-17] 정보보호 정책의 회람 여부

바. 정보보호 정책 및 지침에 따른 보안감사활동의 여부

정보보호 정책의 지침이 있는 기관들에게 그에 따른 보안감사 활동을 정기적으로 시행하고 있는지 조사하였다. 그 결과, 전체로 ‘비정기적으로 실시’가 48.4%로 가장 많았으며,  조사대상별로는 전자상거래(55.5%), 학교(55.1%), 중소기업(54.2%) 순으로 나타남으로써 이들 기관들은 지침에 따른 보안감사활동이 정례화 되어 있지 않음을 알 수 있다.

‘정기적 실시’(23.6%)의 경우 공공기관(81.8%), ISP 사업자(50.0%) 순이었으며, 특히 법규상 피감사자인 공공기관의 비율이 높게 나타나 정책적 시행 효과가 상당함을 시사하고 있다.

[표 2-18] 정보보호 정책의 지침에 따른 보안감사활동 여부

사. 정보보호 정책 및 지침 보안감사활동의 형태

앞에서 정보보호 정책 및 지침을 가지고 있으며 보안 감사 홛동을 시행하는 기관들에게 어떤 행태로 보안 감사 활동을 시행하는지 조사한 결과, 전체적으로 ‘내부 감사조직’(64.9%) 형태가 가장 높았으며, 공공기관(75.7%)과 금융기관(68.8%)이 높은 비중을 차지하였다. 더군다나 ‘TFT(Task Force Team)'을 선택한 기관들도 9.6%를 차지하므로, 전체적으로 내부기관에서 보안감사활동을 실시하는 것으로 조사되었다.

반면, 전자상거래, 학교, 중소기업들은 보안감사활동을 할 인력이 없어 외부기관에 맞기는 것으로 보여 진다.

[표 2-19] 정보보호 정책 및 지침 감사활동의 형태

아. 사용자 PC보안을 위한 정보가이드 설정 운영 여부

사용자 정보가이드 : 일반 사용자가 알아야 할 보안사고 대응절차, 사용자 PC 사용절차 등(사용자가 PC상에서 대처해야하는 행동지침)이 포함된 문서를 말함

화면보호 비밀번호, 백신, 파일 공유 시 비밀번호, 주요문서 비밀번호 등이 함축되는 사용자 PC보안을 위한 정보가이드를 설정하여 운영하고 있는지 여부에 대한 조사 결과, ‘아니오’(70.3%)가 매우 높게 나타났으며, 조사대상별로는 중소기업(82.0%), 전자상거래(73.7%), 학교(65.3%) 순으로 나타나 이들 업체에서의 자료 유출과 훼손이 상대적으로 많을 것이라는 분석이 가능하다.

‘예’(29.7%)의 경우 공공기관(81.5%)이 압도적으로 높은 수치를 보여 공공기관의 정보특성상 사용자에 대한 보안업무가 상당 수준에 도달했음을 시사한다.

(그림 2-9) 사용자 PC 보안을 위한 정보가이드 설치 운영여부

2. 정보보호 업무 수행 조직 구성

가. 정보보호 업무 수행 형태

정보보호책임자 등 정보보호전담조직의 구성 및 운영상태를 알아보기 위해 우선 정보보호업무를 어떻게 수행하는지 조사한 결과 ‘특별히 수행하는 인력 없음’(41.9%)이 높게 나타났다. 중소기업(59.9%), 전자상거래(41.7%), 금융기관(31.5%)들이 높은 비중을 차지하고 있었는데, 특히 금융기관의 경우 고객의 정보민감도가 크다는 것을 감안할 때 시급히 개선되어야 할 사항으로 분석되었다.

‘유관부서’(32.0%)의 경우 ISP 사업자(51.2%), 공공기관(50.6%) 순으로 나타났고, ‘전담부서’(15.7%)의 경우도 공공기관(39.5%), ISP 사업자(29.3%) 순으로 다른 업체에 비해 상대적으로 높게 나타남으로써, 이들 업체는 자체적으로 정보보호 업무 수행 능력을 향상시키고 있음을 알 수 있다.

[표 2-20] 정보보호 업무 수행 형태

나. 정보보호 업무 수행 인력

앞에서 정보보호 업무를 수행하는 전담부서나 유관부서가 있는 기관들에게 수행인원이 몇인지 조사한 결과, 전체 평균 3.14명이며 조사대상별로는 정보기술의 첨병인 ISP 사업자가 평균 11.16명으로 가장 높게 나타났다.

‘1명’(35.9%)의 경우 전자상거래(43.5%)가 가장 많았으며 금융기관(34.5%)은 업무성격에 비해 취약한 것으로 보인다.

[표 2-21] 정보보호 업무 수행 인력

다. 정보보호 업무 수행 인력 현황

각 기관에서 정보보호 업무를 수행하는 인력의 자격취득 및 교육이수 상황을 조사한 결과, 전체로는 ‘사내교육 이수 또는 이수 중’(62.3%)이 가장 많았으며, 조사대상별로는 ISP사업자(69.7%), 전자상거래(69.6%), 중소기업(69.4%) 등의 순으로 나타났다.

정보보호 전문 자격증의 종류 : ISC2(International Systems Security Certification Consortium)의 국제 공인정보시스템보안전문가(CISSP), 한국정보보호진흥원의 정보보호전문가(SIS), 국제공인정보시스템감사사(CISA) 등

정보보호 전문 교육기관 : 한국정보보호진흥원, 한국정보보호교육센터, 한국정보통신자격협회,

한국정보통신대학원, 정보통신교육원, 동국대 국제정보대학원(기타 정보보호업체)등

‘위탁교육 이수 또는 이수 중’(50.3%)의 경우 금융기관(69.0%), ISP 사업자(60.6%), 공공기관(56.2%) 순으로 나타나 정보보호에 적극적인 업체들일수록 전문가의 위탁 교육을 실시하는 것으로 분석된다.

[표 2-22] 정보보호 업무 수행 인력 현황

라. 정보보호 업무 책임자 현황

정보보호 업무를 누가 책임지고 있는지 조사한 결과, 전체적으로 ‘총무과 및 기존 보안 담당 부서장’(22.5%)이 가장 많았으며, 조사대상별로는 중소기업(37.1%), 금융기관(34.8%) 순이었다.

‘대표이사’(11.3%)의 경우 전자상거래(21.2%), ISP 사업자(14.6%) 순으로 나타났다.

[표 2-23] 정보보호 업무 책임자 현황

마. 정보보호 전담인력 채용계획 유무

정보보호 전담인력의 채용계획에 대해 ‘없다’(75.9%)가 매우 높게 나타났으며 조사대상별로 비슷한 수치를 보였다. 각 기관들은 정보보호에 대해 지각한 후, 적당한 교육을 받은 정보보호 인력을 채용해야만 한다.

‘전담조직 구성을 위한 충원’(3.7%)에서는 ISP 사업자(17.1%)가 가장 높게 나타나 그들이 향후 정보보호의 필요성을 가장 절감하는 것으로 분석되었다.

[표 2-24] 정보보호 전담인력 채용계획 유무

3. 정보보호 인식 수준 및 교육 시행

가. CEO의 정보보호 관련업무 의사결정 수행 정도

CEO가 정보보호 관련업무의 의사결정을 직접 수행하고 있는지에 대해 ‘그렇다’(33.1%), ‘매우 그렇다’(7.8%)로 관련업무 직접수행도가 40.9%로 나타났으며, 조사대상별로는 ISP 사업(65.8%), 전자상거래(56.5%) 순으로 나타났다. 여기서 전자상거래업체는 공공기관이나 금융기관에 비하여 조직의 규모가 작아서 CEO의 의사결정 참여도가 높은 것으로 분석된다.

특히, 금융기관의 경우, 금융업무에 있어서 정보보호의 비중을 고려할 때 CEO의 정보보호인식 수준이 매우 낮다고 볼 수 있다.

[표 2-25] CEO의 정보보호 관련업무 의사결정 수행 정도

나. CEO의 정보보호 관련업무 수행 정도

CEO가 정보보호와 관련된 보안사고에 대한 보고를 직접 받고 필요대책을 지시하는지 등의 업무수행 정도 조사 결과, ‘그렇다’(35.3%), ‘매우 그렇다’(8.7%)가 44.0%로 나타났으며, 조사대상별로는 ISP 사업자(73.2%), 전자상거래(56.7%) 순으로 나타나 CEO의 정보보호 관련업무 의사결정에 관한 조사 결과와 비슷한 추이를 보였다.

[표 2-26] CEO의 정보보호 관련업무 수행 정도

다. 임직원 대상 교육시행 및 기회제공 여부

임직원 대상 정보보호 관련 교육(인식 교육 등)을 시행하거나 기회제공 여부 조사 결과, ‘실시하고 있지 않음’(42.9%)이 가장 크게 나타나 전반적으로 모든 업체가 정보보호에 취약한 상태임을 보여주고 있다.

조사대상별로는 인력규모가 작은 중소기업(63.2%)이 임직원 교육에 가장 관심이 적은 것으로 조사되었다.

반면 ‘정기적 실시’(8.2%)에서는 공공기관(48.1%)의 정부에서 제도적으로 실시하는 교육제도가 돋보였다.

[표 2-27] 임직원 대상 교육시행 및 기회제공 여부

라. 정보보호 교육실시 방법

앞에서 임직원에서 정기적 혹은 비정기적으로 정보보호 교육 및 훈련을 실시하는 기관들에게 어떤 방법으로 교육 및 훈련을 실시하는지 물었다. 그 결과, ‘필요한 지침을 작성하여 배포’(60.6%)한다는 응답이 가장 많았다. 특히 공공기관(74.3%)와 학교(71.5%)들은 정부의 지침에 따르는 것으로 보인다.

‘방침 또는 대응기술 등을 포함한 내부교육 실시’(47.6%)에서는 ISP 사업자(77.8%)가 가장 높게 나타나 단순한 위탁교육에 앞서 사전지식 보강을 선호하는 것으로 분석되었다.

[표 2-28] 정보보호 교육실시 방법(중복응답)

4. 정보보호 투자 현황

가. 최근 3년 간 정보보호 투자 비중

최근 3년간 IT투자(개발 및 운영) 비용 중 정보보호를 위한 투자비용을 알아보기 위해 ‘최근 3년 간 매출액 대비 IT에 대한 투자비중’과 ‘최근 3년 간 IT 투자비용 대비 정보보호 투자비중’ 두 가지로 나누어 조사를 했다.

조사 결과, ‘최근 3년 간 매출액 대비 IT에 대한 투자비중’은 2002년에 9.5%로 전년들에 비해 낮아졌다. 그러나 ‘최근 3년 간 IT 투자비용 대비 정보보호 투자비중’을 살펴보면 2002년에 20.3%로 전년(16.1%)과 전전년(19.2%)에 비해 다소 높아졌음을 알 수 있다. 이것은 갈수록 기관들이 정보보호의 중요성을 깨닫고 투자에 비중을 두기 시작한 것으로 여겨진다.

조사대상별로는 특히 전자상거래업체가 다른 업체에 비해 가장 적극적인 투자를 집행한 것으로 분석되었다.

[표 2-29] 최근 3년간 정보보호 투자 비중

나. 정보보호 제품 구매계획 여부

정보보호 제품의 구매계획에 대해서는, ‘아니오’(75.2%)가 높았으며, 조사대상별로는 정보보호에 민감한 공공기관(34.6%), ISP 사업자(36.6%)를 제외한 나머지 업체 모두 77.7~84.5%를 기록해 정보보호 제품 구매에 낮은 관심을 보이고 있다.

그러나 전자상거래의 경우 주요 거래형태가 온라인 입금(83.4%)과 신용카드 결제(77.5%)로 이루어지므로 이에 대한 외부침해를 방지하기 위한 정보보호 제품 구입에 적극적이어야 할 것으로 판단된다.

(그림 2-10) 정보보호 제품 구매계획 여부

다. 정보보호 제품 구입 및 운영예산

앞에서 정보보호 제품 구입 계획이 있다고 응답한 기관들에게 그에 대한 예산을 조사한 결과, ‘1~5% 미만’(50.4%)이 가장 많았다. 그러나 ‘5%~10% 미만’(12.9%), ‘10% 이상’(21.3%) 등 34.1%가 운영예산의 5% 이상을 정보보호 제품구입 의사를 갖고 있는 것으로 분석되었다.

특히 정보보호 제품 구매계획에 높은 비율을 보였던 ISP 사업자의 경우, 다른 기관들과 비교하여 정보보호 투자비율이 높은 편이지만, 정보보호 투자비율이 10% 미만인 기관도 40%로 선진국에 비하여 정보보호 투자가 부족한 기관도 다수로 나타났다.

또한 학교의 경우, 정보보호 투자비율이 10% 이상인 기관이 67.3%로 높게 나타난 이유는 정보시스템 투자비용 자체가 상당히 적기 때문에 상대적으로 정보보호 투자비용이 높게 나타난 것이라고 본다.

[표 2-30] 정보보호 제품 구입 및 운영 예산-IT 투자비용 대비 비중

라. 정보보호를 위한 내․외부 컨설팅 계획 여부

정보보호를 위한 컨설팅 계획에 대해, 전체적으로 ‘가지고 있지 않다’(74.1%)고 응답한 기관들이 많았다.

반면, ‘가지고 있다’(25.8%)라고 응답한 기관 중, 조사대상별로 정보보호에 민감한 ISP 사업자(63.4%)와 공공기관(44.4%)이 다른 업체에 비해 높았는데, ISP 사업자의 경우 다른 업체보다 기술력이 앞섬에도 컨설팅 계획에 적극적인 것은 그만큼 정보침해의 가능성이 높고, 이에 대한 대비가 필수적이기 때문이다.

(그림 2-11) 정보보호를 위한 내․외부 컨설팅 계획 여부

제3절 정보보호 사고 대응 체계

1. 정보보호 침해사고 대비 체계

가. MS-SQL Slammer 웜 침해사고 시 피해 유무

조사 결과, 30%에 가까운 응답자가 업무마비, 이미지 실추, 경제적 피해 등의 피해를 입었던 것으로 답변했으며, 특히, ISP사업자가 심각한 피해를 입었다. 상대적으로 금융기관과 공공기관의 피해가 적었던 것으로 조사되었다. 이는 침해가 토․일요일에 집중되어 피해가 적었던 것으로 판단된다. 그러나, 우리나라 국민의 인터넷 접근은 대부분 ISP 사업자를 통해 이뤄지고 있기 때문에 일반 국민들이 인터넷 대란에서 느꼈던 피해는 적지 않았을 것이라 예상 할 수 있다. 특히 보안 사고에 대한 대비태세가 잘 이뤄져있던 금융기관등은 피해가 적었던 것으로 보이며, 이에 반해 중소기업은 대비가 허술해 상대적으로 피해가 증가된 것으로 보인다. 또 전자상거래 기업들은 DBMS 소프트웨어로 MS-SQL(64.3%)을 많이 쓰고 있으며, 시기상 주말거래가 활발할 시기였으므로 상대적으로 피해가 컸던 것으로 평가된다. 한편, ISP 사업자의 경우는 특성상 주말에도 이용자들이 많은 관계로 패킷 필터링 적용(92.7%), 침입탐지시스템 운영(58.5%), IDC를 통한 통합모니터링(68.2%)을 수행했음에도 불구하고 적잖은 피해를 입은 것으로 집계되었다.

[표 2-31] MS-SQL Slammer 웜 침해사고 피해 유무

나. MS-SQL Slammer 웜에 의한 서비스 중단시간

피해를 입은 업체들을 조사한 결과, 전체 평균 14.43시간의 피해를 입었으며 조사대상별로는 인터넷에 대한 사업의존도가 크면서도 사고 대비가 부족했던 전자상거래(16.70시간)와 중소기업(15.74시간)이 긴 시간 동안 피해를 입은 것으로 분석되었다. 특히 전자상거래의 경우엔 고객들의 인터넷 불통으로 고객 접근 자체가 불가능해지면서 더욱더 피해가 컸던 것으로 보인다.

조사대상별로는 공공기간을 제외한 모든 업체가 비슷하게 나타났다. 공공기관의 경우에는 업무시간이외의 시간에 사고가 집중되어 큰 피해를 입지 않았던 것으로 분석된다. 주목할 점은 공공기관과 ISP 사업자는 복구기간이 빠른 것으로 나타나 해킹 등의 침해 대응력이 비교적 우수한 것으로 분석되었다. 금융기관과 학교가 그 다음 순위를 차지하고 있다. 웜에 의한 피해 정도가 컸고, 서비스 중단시간도 길었던 전자상거래업체의 경우에는 사고 대응인력의 부족이 중요요인 중의 하나로 작용하였을 것이다.

[표 2-32] MS-SQL Slammer 웜에 의한 서비스 중단시간

다. 해킹, 침해사고 등 정보획득을 위한 채널 현황

조사 결과, 해킹, 침해사고 관련 정보의 획득은 ‘보안업체’(41.1%)에게 가장 많이 의존하는 것으로 조사되었다. 이전 설문 조사 항목의 결과 피해시간이 짧았던 공공기관과 ISP 사업체등의 경우엔 다른 곳보다도 KISA에 대한 의존도가 큰 것으로 조사되었으며, 피해시간이 길었던 중소기업이나 전자상거래 업체들은 단순히 보안업체에서만 정보를 획득하는 것으로 나타났다. 또, ISP 사업자의 경우는 한국침해사고대응지원팀(CERTCC)을 이용하는 비율도 61.0%로 집계되어  CERTCC의 정보창구 역할이 향후 더욱 향상될 것으로 추측된다.

정보획득 채널이 ‘없다’(37.1%)의 경우 중소기업(55.5%), 금융기관(33.7%)이 상대적으로 높게 나타났다. 이 경우 중소기업의 경우엔 보안에 대한 인식이 낮기 때문으로 보이며, 금융기관의 경우엔 그와는 반대로 자체적인 보안 태세를 견고히 하고 있기 때문인 것으로 보인다.

[표 2-33] 해킹, 침해사고 등에 대한 정보획득 채널

라. 해킹 등 보안사고에 대한 모니터링 주기

보안사고에 대한 모니터링 주기는 전체적으로 1주일 이하의 주기로 모니터링을 한다고 응답한 응답자가 32.2%인 반면 2주 이상으로 응답한 경우가 67.8%에 달해 전체적인 모니터링이 잘 안 이뤄지고 있는 것으로 판단된다. 조사 대상중 중소기업과 학교, 전자상거래 기업이 모니터링을 잘 안하는 것으로 보이며, ISP업체, 공공기관, 금융기관순으로 모니터링이 잘 이뤄지는 것으로 조사되었다. ‘1개월’(31.5%)에서는 학교(38.0%), 전자상거래(36.8%) 순이었고, ‘매일’(18.4%)에서는 특히 보안에 민감한 업체들인 ISP 사업체(61.0%), 공공기관(38.3%), 금융기관(38.0%) 순으로 나타났다.

참고로, ISP 사업자의 경우 DNS서버 운영 시 항상 모니터링을 한다고 응답한 응답자가 70.0%였으며, 메일서버 운영 시 항상 모니터링을 한다고 응답한 응답자가 59.0%였다. 국민  전체에 대한 인터넷망을 공급, 관리하고 있는 ISP업체인만큼 서버에 대한 각종 모니터링에 더 신경을 써야 할 것으로 보인다.

[표 2-34] 해킹, 침해사고 등 보안사고에 대한 모니터링 주기

마. 침해사고 발생 시 대응계획 수립여부

1월 25일에 있었던 인터넷 침해사고와 같은 사고가 발생했을 경우, 이에 대한 대응계획을 세우고 있는지에 관한 질문에,  ‘수립할 계획임’(33.7%)으로 응답한 응답자가 가장 많고, 수립되어있거나 수립중이라고 응답한 응답자는 전체의 30.2%뿐이므로 전반적으로 대응계획 수립이 매우 미흡한 것으로 집계되었다. 특히 학교, 전자상거래, 중소기업은 수립의 필요성을 느끼지만, 현재는 수립되어 있지 않은 것으로 분석되었다.

‘수립되어 있지 않음’(28.5%)에서는 중소기업(38.6%)이 가장 높고, 수립할 계획이 없음이라고 응답한 응답자도 14%에 이르러 보안에 대한 인식이 낮으며, 갑작스런 침해사고 발생시 그 피해가 상대적으로 높을 것으로 분석되었다.

[표 2-35] 침해사고 발생 시 대응계획 수립여부

바. 침해사고 인지 시 긴급체계 구축 여부

침해사고 및 그 징후를 인지했을 때 활용할 긴급연락체계가 구축되어있는지의 여부에 대한 조사 결과, ‘구축하고 있음’(53.0%)과 ‘구축하고 있지 않음’(46.9%)이 비슷하게 나타났다. 하지만, 조사대상별로 살펴보면 공공기관(90.1%), ISP 사업자(85.4%), 금융기관(71.1%)이 높은 구축율을 보였고, 중소기업(63.4%)과 학교(45.8%), 전자상거래(43.8%)는 구축율이 저조한 것으로 나타났다. 특히 매출의 큰 부분을 인터넷망에 의존하고 있는 전자상거래 업체의 경우, 절반이상의 업체가 긴급연락체계를 구축하고 있지 않은 것으로 조사되어 사고 발생시 그 피해 여파가 클 것으로 예상된다.

(그림 2-12) 침해사고 인지 시 긴급체계 구축 여부

사. 침해사고 문제해결을 위한 대외협력채널

침해사고 발생시 그 문제 해결을 위해 활용하는 대외협력채널에 대한 질문에는 ‘보안업체’(35.9%)와 제품 판매업체(22.9%)가 가장 많았다. ‘KISA'(5.7%), 'CERTCC'(2.3%)에 대한 의존도는 매우 빈약한 것으로 조사되었다. 주목할 부분은 ISP업체와 공공기관의 ’KISA'에 대한 의존도가 큰 것으로 조사된 것이다. ‘제품 Vendor'를 대외 협력 채널로 활용한다고 응답한 응답자는 중소기업(28.7%), 금융기관(27.2%) 순이었으며, ’내부 침해사고 협력팀‘(14.1%)에 의존하는 경우로는 전자상거래(21.5%)가 가장 높았다. 특히, 학교와 중소기업의 경우엔 내부 침해조사 협력팀에 대한 활용이 매우 적은 것으로 나타나 자체 해결 능력이 매우 부족한 것으로 분석되었고, 외부 보안업체나 판매업체에 대한 의존도가 큰 것으로 나타났다.

[표 2-36] 침해사고 문제해결을 위한 대외협력채널

2. 정보보호 침해사고 대처 방안 및 사고복구조직 구성

가. 침해사고 복구 조직 여부

침해사고 발생시 자체적인 복구 조직을 구성하고 있는지에 대한 질문에 전체 응답자의 절반을 훨씬 넘는 65.2%가 ‘구성하고 있지 않다’고 응답해 침해사고 발생시 자체 복구 태세가 매우 부족한 것으로 조사되었다.

조사대상별로는 중소기업(78.9%), 학교(68.1%), 전자상거래(58.9%) 순으로 사고 복구 조직을 갖추고 있지 않은 것으로 나타나 이들 조직들에 대한 사고 복구 계획 및 조직의 수립이 시급한 것으로 분석된다. ‘구성하고 있다’라고 응답한 응답자는 ISP 사업자(73.2%), 공공기관(58.0%) 순으로 나타나 네트워크에 대한 의존도가 크고 정보 활용에 민감한 기업일수록 복구 조직 구성율도 높은 것으로 분석되었다. 그러나 사고 발생시 그 피해 여파가 막대할 것으로 보이는 금융기관의 경우도 침해사고 복구 조직의 구성율이 절반에 못 미치고 있어 사고발생시 침해사고 복구전담 조직의 필요성을 인식시키고, 피해 최소화를 위해 모든 조치를 강구하도록 해야 할 것이다.

(그림 2-13) 침해사고 복구 조직 여부

나. 침해사고 조치 및 대처방안

침해사고에 대한 대처방안의 수립여부 조사 결과, ‘특별히 마련된 절차가 없으며 자체적으로 해결방안 마련함’(44.9%)이 가장 많았으며, 조사대상별로는 중소기업(49.8%), 전자상거래(48.4%), 학교(42.6%) 순으로 비슷하게 나타났다. 다음으로 ‘내부적인 전담팀이나 전담자에 의해 처리됨’(26.7%)에서는 ISP사업자(58.5%), 공공기관(42.0%), 금융기관(40.2%) 순으로 나타나 이들 업체의 침해사고 대응 능력이 다소 앞선 것으로 평가되었다. ‘외부 전문 기관에 의뢰하도록 되어있다’를 선택한 응답자도 22.7%에 이르고 특히 학교의 경우 전산담당인력의 비중이 크지 않아 외부 기관에 의뢰하는 비율이 높은 것으로 조사되었다. 침해사고를 내부적으로 전담 처리할 수 있는 능력이 유지되지 않는 비율도 중소기업과 학교가 큰 것으로 나타났다.

[표 2-37] 침해사고 조치 및 대처방안

다. 침해사고 종결 후 정밀분석 시행 여부

침해사고 발생 후 그 사고의 원인에 대한 정밀 분석 시행에 대한 질문에, ‘외부 전문기관의 도움을 받아 원인을 규명함’(30.8%)이 근소한 차로 많았으며, 조사대상별로는 공공기관(48.1%), 학교(49.5%) 순이었다. 한편 ‘내부 전담팀이 침해사고 로그 등의 자료를 분석하여 원인규명’(30.7%)라고 응답한 응답자로는 ISP 사업자(65.9%), 금융기관(41.3%)등이 있었으며, 이들의 경우는 사고 해결과 원인 분석의 전문성을 자체적으로 보유한 것으로 평가되었다. 주목할 점은 침해사고 복구 종료 시 그에 대한 원인을 분석하지 않고 모든 상황을 종료시킨다고 응답한 응답자도 전체의 27.7%에 이르러 사고의 재발의 위험이 큰 것으로 조사되었다. 특히 그 중에서도 중소기업과 전자상거래 등 보안에 대한 투자가 적은 영세업체일수록 사고 처리 후 그에 대한 대책 수립이 부족한 것으로 분석되었다.

[표 2-38] 침해사고 종결 후 정밀분석 시행 여부

제4절 PC방의 정보보호 실태 분석

1. 정보보호 관리에 대한 현황

가. 정보보호에 대한 의사결정의 직접수행 여부

정보보호와 관련된 사안에 대한 결정 주체에 대한 질문에 PC방 사업주가 직접 수행한다고 응답한 응답자가 전체의 71.5%인 것으로 조사되었으며, 조사대상 지역별로는 서울시(73.8%), 일반시도(73.2%), 6대 광역시(66.6%) 순으로 나타나 서울에 존재하는 PC방일수록 그 사업주들이 직접 보안관련 사안을 결정하고 집행하는 것으로 조사되었다. 반면에 사업주 이외의 종업원등이 결정하고 처리한다고 응답한 응답자는 전체의 8.2%에 불과했다.

(그림 2-14) 정보보호에 대한 의사결정의 직접수행 여부

나. 정보보호 관련교육 수행여부

조사 결과 PC방 사업주들이 정보보호와 관련된 교육을 받았거나 받고 있는지에 대한 질문에 ‘아니오’(65.2%)라고 응답한 응답자가 높게 나타났으며, 조사대상별로 비슷하게 나타났다. 또한 PC방 사업주가 직접 종업원들에게 교육을 하거나 만약 직접 교육 못하더라도 그러한 정보보호 관련 교육의 기회를 종업원대상으로 제공하는지에 대한 질문에 대해서도 ‘아니오’(63.0%)가 더 높게 나타났다. 이는 사업주가 교육받지 못한 영향이 종업원들에 대한 교육 여부에도 그대로 반영됨을 나타냄으로써 사업주들의 정보보호 관련 교육의 필요성이 절실함을 나타내고 있다. 또한 PC방은 운영상 시간제 직원을 고용하는 것이 대부분이므로 직원의 변동이 심해 교육을 시키는 데 커다란 장애요인이 되고 있는 실정이다.

(그림 2-15) 정보보호 관련교육 수행여부

(그림 2-16) 직원대상 정보보호 관련교육 기회제공 여부

다. PC방의 정보보호 관련 문제점

PC방 사업주들이 느끼는 자신의 PC방이 갖는 정보보호의 문제점에 대한 질문에 ‘정부차원의 정보보호관련 명확한 기준과 지침의 공지 부족’(34.4%)으로 응답한 응답자가 가장 많았으며 ‘정보보호제품을 도입, 구축하는데 비용부담이 크다’(30.2%)라고 응답한 응답자도 높게 나타났다. 이는 일반기업을 대상으로 조사한 결과(‘정부차원의 정보보호관련 명확한 기준과 지침의 공지 부족’(38.7%), ‘정보보호제품을 도입, 구축하는데 비용부담이 크다’(60.5%))과 비교해 볼 때 정부의 명확한 지침 과 기준 공지의 부족이라는 문제에 대한 인식에 대해서는 비슷하지만, 정보보호제품의 도입에 대해서는 그 수행여부에 큰 차이가 나타나는 것으로 조사되었다. PC방의 경우 정보보호가 무엇인지 모른다거나, 또는 적절한 채널이 어떤 것이 있는지 조차 모른다고 응답한 응답자도 27.8%의 높은 응답율을 보이는 것으로 보면 정보보호에 대한 인식 자체부터가 문제인 PC방도 많은 것으로 나타났다.

[표 2-39] PC방의 정보보호 관련 문제점

2. 정보보호제품 구축과 투자 현황

가. 해킹․바이러스 방어용 제품 도입여부와 기 구축 제품 종류

PC방의 해킹․바이러스 방어용 제품 도입과 관련된 조사 결과, 보안 제품을 도입하고 있다고 응답한 응답자가 전체의 99.0%로 매우 높게 나타나, 거의 모든 PC방에서 보안 제품을 도입하여 PC급에서의 최소한의 보안 체계는 갖추고 있는 것으로 나타났다. 이어서 현재 구축되어있는 보안 제품의 종류가 무엇인지 조사한 결과 컴퓨터 바이러스에 대한 방어의 목적으로 V3, ViRobot, Anti-Virus처럼 개인용 PC에 설치하는 ‘백신’(82.5%)을 선택한 응답자가 가장 높았으며 다음으로 PC용 방화벽, 유해사이트 차단기등의 제품을 통해 보안체계를 구축하고 있다고 응답한 응답자가 57.9%로 나타났다.

(그림 2-17) 해킹․바이러스로부터 보호하기 위한 정보보호 제품 도입여부

[표 2-40] 기 구축 정보보호

제품종류(중복응답)

나. 기 구축된 정보보호 제품의 백신 업데이트 주기와 패턴

현재 자신의 PC방에 설치되어있는 바이러스 백신 프로그램의 업데이트 주기에 대한 질문에 ‘수시로’(38.4%)라고 응답한 PC방 사업주가 가장 많았으며 조사대상별로는 서울(30.0%)보다 일반시도(40.9%)와 6대 광역도시(42.4%)가 더 높게 나타났다.

‘주1회’라고 응답한 응답자도 27.5%였으며, 결국 총 65.9%의 응답자가 백신 프로그램의 업데이트를 자주 수행하는 것으로 나타나 정보보호 제품, 백신 프로그램 업데이트에 적극적인 것으로 분석되었다. 그러나 백신 프로그램 업데이트에 매우 소극적이거나 무관심한  PC방도 30%이상인 것으로 조사되었고, 심지어는 업데이트를 시행하지 않는다고 응답한 응답자도 있어 이러한 PC방 사업주들과 직원들에 대한 정보보호관련 교육이나 중요성 인식이 시급한 것으로 나타났다.

[표 2-41] 기 구축된 정보보호 제품의 백신 업데이트 주기와 패턴

다. 정보보호 제품 투자비용

지난 2001년부터 올해까지 PC방 사업주가 정보보호 제품에 대한 구입 및 업데이트에 투입한 투자 비용에 대한 질문에 대해서 ‘10만원~20만원 미만’이라고 응답한 사업주가 2001년, 2002년 각각 42.5%, 39.0%로 가장 많이 나타났다. 이어서 ‘20만원~50만원 미만’도 각각 36.9%, 34.9%로 나타나 점차 비용이 감소된 경향을 보여주었다. 2003년에 투자할 예상 금액에 대한 질문에는 49.5%가 ‘10만원~20만원 미만’에 응답했으며, ‘20만원~50만원 미만’이라 응답한 응답자가 33.0%였다. 2003년 예상 투자 비용은 매출액 대비 평균 2.28% 수준이었으며, 매출액 대비 1~2%가 67.0%로 가장 높게 나타났고, 다음으로 3~5%가 31.1%로 나타났다. 1.25 인터넷 침해사고을 통해 정보보안에 대한 투자의 필요성이 좀 더 부각된 것으로 보이지만, 투자 비용에 대해서는 여전히 소극적인 것으로 분석된다. 주목할 점은 다른 지역보다도 서울지역의 PC방 사업주들의 정보보안 분야 투자 비용이 계속 증가 추세에 있다는 점에서 앞으로 전체 PC방들의 정보보호 제품에 대한 투자가 늘어날 것으로 기대된다.

[표 2-42] 정보보호 제품 투자비용

(그림 2-18) 정보보호 제품 투자비용

3. 정보보호 보안관리대책 현황

가. 관리용 PC의 각종 비밀번호 설정 여부와 미 설정 시 문제점 인지 여부

PC방 전체 관리용 컴퓨터에 대해 부팅시 사용되는 CMOS 비밀번호나 바탕화면 화면보호기의 비밀번호 등 각종 비밀번호의 설정여부에 대한 설문조사 결과, 설정하고 있다고 응답한 응답자가 52.8%로 ‘아니오’보다 약간 많아 비밀번호 설정율이 매우 낮은 것으로 분석되었다. 대부분의 PC방에서는 일반 종업원이 관리용 PC를 수시로 조작하여야 하기 때문에 비밀번호의 설정 및 사용이 잘 이뤄지지 못하고 있는 것으로 판단된다. 비밀번호 미설정 시에 발생되는 문제점을 인지하고 있는가에 대한 질문에는 ‘예’(71.5%)가 ‘아니오’보다 훨씬 많아 비밀번호 설정의 필요성을 인지하고는 있는 것으로 분석되었다. 결론적으로 사업주들의 필요성 인식은 있으나, 실제로 PC방 운영에 적용되지는 않는 것으로 분석되어 사업주들 보다도 직원들에 대한 보안 교육이나 정보보호에 대한 인식전환이 필요한 것으로 조사 되었다.

(그림 2-19) 관리용 PC의 비밀번호 설정여부

(그림 2-20) 비밀번호 미설정시 문제점 인지여부

나. 보호되어야 할 주요 데이터

PC방 사업주들이 생각하는 가장 보호되어야 할 중요 개인정보로는 ‘주민등록번호’(86.2%)가 가장 많았으며 조사대상별로 별 차이를 보이지 않아 가장 민감한 보호 데이터로 인식되고 있는 것으로 나타났다. 주민등록번호 다음으로 ‘전화번호’(66.6%), ‘이름’(59.7%), ‘주소’(42.6%)의 순으로 나타나 개인 프라이버시 침해에 우려가 있는 중요한 개인 정보에 대한 보호의 중요성을 어느 정도는 인식하고 있는 것으로 나타났다.

[표 2-43] 보호되어야 할 주요 데이터(중복응답)

다. 보호되어야할 주요 데이터 관리

PC방에서 갖추고 있는 회원 관리 시스템에 대한 접근 권한과 관련된 질문으로 PC방에서 유지되고 있는 개인 정보 등 정보 보안과 관련되어 민감한 데이터의 접근은 누구에게까지 가능한지 조사한 결과, ‘사장만 모든 권한을 가지고 있다’(44.6%)가 가장 높은 응답율을 나타냈으며 ‘사장은 권한을 가지고, 지정 직원에게 추가․조회 권한 부여’(34.8%)가 그 다음으로 높은 응답율을 보였다. 그러나 실질적으로 조사 대상 PC방 중 54.1%의 PC방에서 사장 이외의 종업원이 개인 정보에 대한 접근 권한을 가지고 있는 것으로 나타나 이들에 대한 충분한 정보보호 교육이 필요할 것으로 보인다.

[표 2-44] 보호되어야 할 주요 데이터에 대한 접근 권한

라. 해킹 및 침해사고 정보획득 채널

PC방에서 확보하여 활용하고 있는 정보획득 채널에 대한 조사 결과, 해킹 및 침해사고 관련 정보의 획득은  ‘신문․뉴스’(65.6%)에 가장 많이 의존하는 것으로 조사되어 비정기적이고 비전문적인 정보제공자에게 크게 의존하는 것으로 나타났다. 다음으로는 ‘직원’이 43.0%에 이르러 PC방 사업자의 전문성이 떨어지고 있는 것으로 나타났으며 그 결과 상대적으로 직원들에게 많이 의존하는 것으로 분석되었다. 보안업체에 의존한다는 응답은 31.5%인데 반해 KISA나 CERTCC에 의존한다는 의견은 총 7.2%에 불과해 한국정보보호진흥원(KISA) 등 전문기관의 이용을 늘릴 수 있도록 정보보호에 관한 인식을 확대해야 할 것으로 보인다.

[표 2-45] PC방에서 확보하고 있는 해킹 및 침해사고 정보획득 채널(중복응답)

마. 해킹 및 침해사고 발생시 문제해결 채널

해킹이나 바이러스와 같은 각종 컴퓨터 침해사고 발생시 이에 대한 문제해결을 어떻게 처리하는지에 대한 설문 결과 ‘보안업체’(41.0%)와 ‘직원’(40.0%)이 거의 비슷하게 최고 응답율을 나타냈다. ‘직원(아르바이트 포함)’에대한 의존도가 보안업체에 대한 의존도 수준과 같다는 것은 보안업체나 제품 판매업체의 이용 장벽이 높다는 점을 시사해주는 것이기도 하지만, 기업이나 공공기관에 비해 침해사고의 피해 정도가 개인 PC의 수준에 머무를 정도로 경미한 수준이기 때문인 것으로 분석된다. 이 설문문항도 앞의 문항과 비슷하게 외부 보안업체나 제품 판매업체에 의존한다는 응답이 총 80.0%인데 반해 KISA나 CERTCC에 의존한다는 의견은 총 7.6%에 불과한 것으로 조사되었다.

[표 2-46] 해킹 및 침해사고 발생시 문제해결 채널

4. MS SQL Slammer 웜 침해사고 피해 현황

가. MS SQL Slammer 웜 침해사고 관련 피해 여부

금년 1월 25일에 있었던 MS SQL Slammer 웜 침해사고에 대한 피해 경험 여부에 대한 질문 결과 ‘피해를 입었다’라고 응답한 응답자가 89.2%에 이르러 많은 PC방에서 경제적 또는 비경제적 피해를 입은 것으로 조사되었다. 이는 ‘피해가 전혀 없었다’(70.9%)고 응답한 공공기관, 중소업체, ISP 사업자, 학교, 전자상거래업체와는 매우 대조적인 설문결과로, 사고가 토․일요일에 집중된 것과 PC방이 일반적으로 ISP사업자를 통해 인터넷 네트워크 서비스를 받기 때문인 것으로 분석되었다.

(그림 2-21) MS SQL Slammer 웜 침해사고 관련 피해여부

나. MS SQL Slammer 웜에 의한 서비스 중단시간

금년 MS SQL Slammer 웜 침해사고로 인한 피해 시간에 대한 조사 결과, 서비스 중단시간은 평균 19.50시간이었던 것으로 나타났다. ‘10시간~20시간 미만’이라고 응답한 응답자가 전체의 38.2%로 가장 많았으며, ‘10시간 미만’이 21.0%, ‘20시간~30시간 미만’의 장시간 피해자도 20.6%나 되었던 것으로 조사되었다. 설문 응답자의 59.2%가 24시간 내에 문제를 해결한 것으로 분석되었으나, 20%이상의 PC방에서 24시간이상의 피해를 겪은 것으로 조사되어 침해 사고에 대한 피해가 적지 않았다는 것을 알 수 있고 사고 해결에 대한 조치도 부족했던 것으로 분석된다.

[표 2-47] MS SQL Slammer 웜에 의한 서비스 중단시간

다. 피해 금액

이번 MS SQL Slammer 웜 침해사고로 인한 피해를 경제적 수치로 금액화하여 응답해 달라고 조사한 결과, 평균 7만6천원 수준의 피해를 입은 것으로 조사되었으며, 조사대상별로는 ‘서울’(10만8천원)의 피해가 가장 큰 것으로 나타났다. PC방마다 피해를 경제적 수치로 금액화하는 방법이나 관점에 있어서 많은 차이가 있을 수 있는 설문 문항이기 때문에 그 수치에 대한 신뢰도는 높지 않을것으로 보이며, 이전 항목의 피해시간에 대한 응답 결과와 비교해보면 그 차이를 알 수 있다. 그 결과 피해 금액이 경미한 수준인 ‘2만원~5만원 미만’(44.6%)이 가장 많았지만, ‘10만원 이상’이라고 분석한 PC방도 11.4%에 이르러 편차가 심한 것으로 분석된다. 20%이상의 PC방에서 24시간이상의 긴 시간의 피해를 입었던것과 비교해보면 피해 시간과 규모, 경제적 피해액간의 상관관계에 대한 조사와 연구가 더 이뤄져야 할 것으로 보인다.

[표 2-48] 경제적 피해규모(금액)

제5절 정보보호를 위한 주요 지원요청 사항

1. 공공기관

◦ 정보보호에 대한 무료 교육 시행과 정보보호전문기술

◦ 정책협의에 의한 정보보호 예산편성. 표준화된 보안지침. 전문인력 양성보급

2. 금융기관

◦ 정보보호전담반 구성 또는 CSO 지정을 위한 제도 마련

◦ 실제적인 정보보호 교육 제공

3. 전자상거래업체

◦ 정보보호 교육과 현실에 맞는 정보보호 지침

◦ 정보보호시스템 구축 등 정보보호 투자에 대한 정부차원의 지원

4. ISP 사업체

◦ 명쾌한 정부의 지침과 대응책 및 전문인력 파견

5. 중소기업

◦ 정보보호 전반에 걸친 최소한의 가이드라인 제시(체크리스트, 홍보용 책자, 정보보호 지침, 기술적 대책 등)

◦ 정부차원에서 중소기업청이나 중소기업사장단 모임 등을 통해 CEO의 정보보호 인식수준 향상 기회 부여

◦ 정기적인 교육 기회 부여(임직원의 정보보호 인식수준 향상 목적. 정보보호 담당자의 기술적 능력 향상 목적)

◦ 정부차원의 장려 대책(정보보호 우수 기업 선정 등)

6. 학교

가. 대학교

◦ 정부차원에서 대학교육협의회나 대학총장 모임을 통해 CEO의 정보보호 인식수준  향상 기회 부여

◦ 정보보호 전반에 걸친 최소한의 가이드라인(체크리스트, 홍보용 책자, 정보보호 지  침, 기술적 대책 등)

◦ 정기적인 교육 기회 부여(교직원, 교수의 정보보호 인식수준 향상 목적. 정보보호  담당자의 기술적 능력 향상 목적)

◦ 정부차원의 장려대책(정보보호 우수 학교 지정 등)

나. 초․중․고

◦ 학교 특성상 내부에서 정보보호 대책을 마련하기 보다는 정부차원에서 전반적인  정보보호 대책을 마련

◦ 정보보호 담당자에 대한 정기적인 교육 프로그램 마련

◦ 정보보호 지침 및 서버와 방화벽 교육

7. PC방

◦ ID, Password 등의 노출방지를 위한 기술적 대책

◦ 하드보안관 등의 하드디스크 보안제품 사용의 정책적 권장

제 3장 조사 결론

제1절 서언

정보통신기술의 비약적인 발전은 대중에게 생활의 편의를 제공하고 있으나, 한편으로는 해킹이나 컴퓨터 바이러스 등 각종 정보화 역기능 노출로 인한 피해도 더불어 늘어나고 있다.

익명성을 이용한 사이버 공격과 그 첨병인 바이러스의 기승도 정도를 넘어선 지 오래이며 무한복제 기능을 갖춘 최근의 웜 바이러스는 가공할 파괴력을 여실히 보여 주었다.

그러나 이러한 돌발적 환경에 대해 민간기업, 공공기관 등은 대부분 무방비 상태로 노출되어 있으며, 특히 세계 최고의 인터넷인프라를 자랑하는 우리나라에 있어서 그 피해는 한층 더할 것으로 예측되고 있다.

이런 종류의 바이러스는 단 한번의 침해로도 치명적인 손실을 초래할 수 있음이 여러 사례를 통해 증명되었다. 따라서 전자상거래업체와, PC방, ISP사업체 및 금융기관과 공공기관, 학교 등 불특정 다수가 빈번히 방문하는 대중공간에 정보보호 시스템 구축의 필요성에 대해 여러 번 강조해도 지나침이 없을 것이다.

제2절 정보보호 시스템 구축현황 요약

본 조사의 결과, 정보보호 관련하여 가장 많이 구축된 시스템은 ‘백신’(80.1%)이었고, 다음은 ‘방화벽’(49.2%)으로 분석되었다. 백신 구축의 경우  ISP 사업자와 공공기관에게서 특히 높게 나타났다. 방화벽의 경우도 공공기관과 ISP 사업자의 비중이 높았다.

백신 구축이 상대적으로 높은 것은 무엇보다도 재정적 부담을 줄이면서 효율성이 크기 때문인 것으로 판단된다. 한편, 대학의 경우 침입차단․탐지 시스템과 방화벽(Viruswall)은 구축되어 있지만 정보보호시스템 관리는 잘 안되고 있는 경우가 대부분이었다.

시스템 모니터링에 관하여는 ‘상시’(41.1%)가 가장 많았고 ISP 사업자와 공공기관이 자주 실시함으로써 정보보호에 대한 적극적 대응태세를 갖춘 것으로 평가되었다. 조사에 의하면  IDC 센터에 입주한 전자상거래의 경우 보안시스템에 대한 아웃소싱을 통하여 상시 모니터링하고 있는 것으로 분석되었다. 모니터링 주기는 ‘1개월’(21.9%)단위가 가장 많았으나 전담인력에 의한 전문관리는 아직 미흡하다 하겠다.

장비 패치정보 입수 및 설치주기에 관하여 ‘문제발생 시마다 실시한다’(38.8%) 가 가장 많았으나  ISP 사업자 등 장비와 솔루션에 특히 민감한 업체들은 ‘1주일’(16.1%)마다 실시하는 비중이 높았다. 비용부담이 별로 없으면서도 효과적인 문제해결 방안임에도 불구하고, 업체 전반적인 인식부족으로 미진한 응답률을 보인 것은 아쉬운 점이다.

중요한 서버에 대한 백업대상으로는 ‘시스템의 중요파일과 사용자 파일’(45.3%)이라는 응답이 가장 많았으며, 공공기관과 금융기관은 ‘모든 파일’을 백업대상으로 많이 지목했다. 사용자 파일의 중요성은 곧 고객정보보호의 핵심이므로 모든 업체가 더욱 큰 관심과 의지를 갖고 유출과 훼손을 방지해야 할 것이다.

주요서버에 대한 백업주기는 ‘매일’(34.6%)이 가장 많았고, 주요서버에 대한 로그관리 분석 수행에 관하여는 ‘예’ ‘아니오’가 비슷하게 나타났으나 업체의 성격에 따라 응답을 달리했다. ISP 사업자는 라우터 및 주요서버의 로그정보를 평소에도 수집 분석하고 있으며 보관기간은 2~3년으로 밝혀졌다.

주요 데이터는 ‘구별관리 한다’는 응답이 74.4%로 높았고, 그 보안대책으로는 ‘백업’(70.6%)을 가장 선호하고있다. ‘그 저장매체의 폐기절차가 수립되어 있는가’에서는 중소기업 등을 중심으로 ‘아니오’(57.7%)가 높았으나 ISP 사업자 다수는 절차를 수립하고 준수하는 것으로 분석됐다.

정보시스템의 취약점 점검에 관하여 ‘하고 있지 않다’(34.8%)가 많았으며, 네트워크 접근통제 여부에서는 ‘아니오’(62.4%)가 많아 정보유출의 가능성이 큰 것으로 분석되었다.

정보시스템의 안정적인 전원공급 방법으로는 ‘UPS’(59.1%)를 가장 선호했으며, 장비의 유지보수 내역을 ‘관리’(60.8%)하는 비율도 비교적 높게 나타났다.

재해를 대비한 정보시스템 백업센터 여부에 ‘없음’(53.7%)이 높았고, 재해 시 비상복구 계획수립 여부에 대해서도 ‘없음’(59.1%)이 크게 나타난 가운데 성장기업인 중소기업이 가장 미흡한 것으로 나타나 상당한 개선이 필요한 것으로 분석되었다.

제3절. 정보보호 관리기준 및 조직 요약

정보보호 정책지침 여부에 대하여 ‘마련하고 있지 않다’(34.4%)가 높게 나타났으나 향후 지침설정 의사는 큰 것으로 분석되었다. 지침내용에 대해서는 ‘네트워크 보안지침’과 ‘서버보안지침’이 모두 57.3%로 많아 해킹 등의 위험부담을 우려하는 경향이 두드러졌다.

지침이 정해지면 ‘준수하는 편’(40.3%)이라는 응답비율이 컸으며, 지침을 전 직원이 회람하는가에 대하여 ‘예’(64.7%)가 많아 그 필요성을 인식하고 있는 것으로 보인다.

지침변경주기는 ‘필요 시 마다’(73.7%)가 크게 나타났으며, 지침에 따른 보안감사 여부는 ‘비정기적 실시’(48.4%)가 많았고, 그 형태는 ‘내부감사조직’(64.9%)을 선호하였다. 전자상거래 대부분의 업체는 내부감사팀이 없어서 보안감사를 수행하지 않고 있었으며, 금융기관의 경우 금융감독위원회 및 내부감사팀에서 년 1회 이상 IT감사를 실시하고 있는 것으로 밝혀졌다. 보안감사를 실시하는 업체는 정보보호에 있어서 보다 큰 실효를 거두고 있는 것으로 밝혀져 제도도입의 당위성을 증명하고 있다. 한편, 공공기관은 기관별로 연 1회 이상 내부보안감사와 하위기관에 대한 보안감사를 실시하고 있었다.

PC보안을 위한 정보가이드 설정에서는 ‘아니오’(79.3%)의 비중이 높아 자료유출의 가능성이 클 것으로 판단되었다.

정보보호 조직에 관하여는 ‘특별한 수행 인력 없음’(41.9%)이 높았고 평균 수행 인력은 3.14명이었으나 ISP 사업자의 경우 11.16명이었다. 조사에 의하면 대부분의 전자상거래 업체는 정보보호 전담조직을 구성하지 않고 있었으며 정보보호전담인력도 많아야 2~3명으로 나타났다. 한편 대부분의 금융기관은 정보보호전담조직을 구성하고 있으나 일부 온라인 증권사의 경우는 전담조직을 구성하지 않고 있었다. 금융기관의 전담인력수는 2~15명으로 규모에 따른 차이가 있기는 하나 전자상거래에 비해 월등하게 나타났다.

수행 인력의 자격취득 방법에 대해서는 ‘사내 교육 이수 또는 이수 중’(62.3%)이 많았으나 ISP 사업자나 공공기관 등 정보보호에 적극적인 업체들은 전문가의 위탁교육을 선호하는 것으로 나타났고, 정보보호 전담조직 충원에 대해서는 ISP 사업자(17%)가 가장 적극적이었다. 전자상거래업체와 금융기관의 정보보호업무 수행인력에 대한 교육은 비정기적으로 년 1~2회 정도 실시하고 있었으나, 일반직원에 대한 정보보호 교육은 적극적이지 못해 전사적차원의 정보보호 정책에까지 이르지 못한 것으로 분석되었다. 공공기관에서는 많은 경우 년 1회 정도 비정기적으로 실시하면서 지침서와 게시판 게재를 통한 공지로 대신하고 있었다.

CEO가 정보보호 관련업무를 수행하는가에 대해 긍정적인 응답이 40.9%로 특히 ISP 사업자와 전자상거래에서 높은 비율을 보였으며, 임직원 대상 정보보호 관련 교육에서는 중소기업(63.2%)이 가장 적극적이었다. 규모가 작은 업체일수록 CEO 또는 CIO의 정보보호에 대한 관심이 크고 주요의사결정을 직접수행하고 있었다. 반면 공공기관의 경우, CIO는 보안의 필요성은 이해하고 있지만 실제적인 보안업무는 실무자 선에서 처리되고 있었다.

학교의 경우 초중고교의 CEO와 담당자의 정보보호 인식수준은 매우 낮은 것으로 조사되었고, 대학의 경우도 전반적으로 낮은 것으로 평가되었다.

정보보호 투자는 2001년과 2002년에 비해 2003년은 낮아져 ‘매출액 대비 IT 투자비중’은 9.93%에 그칠 것으로 조사되었다. 그러나  ‘IT투자비용 대비 정보보호 투자비중’은 2001년(16.05%)보다 높아져 20.13%에 이를 것으로 평가되었다.

제4절. 정보보호 사고대응 체계 요약

MS-SQL Slammer 웜 바이러스는 전 세계 Microsoft SQL 서버 2000의 90%를 10분내에 감염시킬 수 있는 자기복제형 바이러스이다. 국내에서도 전 세계 감염시스템의 11.8%인 8천8백여 개가 감염되어 일본의 7배, 중국의 2배에 달하는 컴퓨터 마비가 있었다.

이렇듯 가공할 파괴력을 지닌 웜 바이러스가 우리의 생활공간을 침범한 것은 2003년 1월 25일이었다. 웜이 뿌린 대량의 공격패킷은 93.2%가 해외를 향하므로 국제관문인 라우터에 심각한 병목현상을 유발시키게 되고, 따라서 외국으로부터의 국내 인터넷 접속장애가 일어나게 되는 것이다. 따라서 대규모 손실을 입은 곳은 대형 ISP 사업체들이며, 그 영향은 작은 사업단위에까지 연쇄반응을 일으키게 된다.

우리나라가 특히 많은 피해를 입은 이유는 널리 보급된 초고속망과 낮은 보안의식 때문이었다. 본 조사서에서는 이 중 보안의식에 초점을 맞추어 몇 가지 분석을 실행하였다.

다행스럽게도, MS-SQL Slammer 웜 침해사고 피해 정도가 ‘전혀 없었다’(70.9%)가 많았으나 이는 토․일요일에 바이러스가 활동한 때문인 것으로 판단된다. 웜 바이러스에 의한 서비스 중단시간은 평균 14.43시간이었으며 전자상거래업체가  16.70시간으로 가장 큰 시간 손실을 기록했다. 또한 웜 바이러스가 일반 바이러스와는 달리 이용자에게 직접 피해를 주는 것보다는 네트워크 자체의 트래픽을 증가시켜 인터넷 접속을 방해하는 것이므로 피해 정도를 적게 산정한 탓도 있을 것으로 추정한다.

해킹․침해사고 등의 정보획득 채널은 보안업체(41.1%)를 많이 활용했으며, 문제해결을 위한 대외협력채널로도 보안업체(35.9%)를 가장 선호했다.

모니터링 주기는 1개월이 31.5%, 기타가 33.0%로 나타났으며, 침해사고 대응계획 미수립은 28.5%였으나 수립계획 의사는 33.8%로 나타나 필요성을 인식하고 있는 것으로 분석되어 정보보호 인식을 제고하는 계기가 되었던 것으로 평가된다.

침해사고 조치 대처방안으로는 특별한 절차 없이 자체적으로 해결하는 경우가 44.9%였으나 침해사고 종결 후의 정밀분석은 외부 전문기관을 활용한다는 응답이 30.8%로 나타나 침해사고 대응 전문가 집단을 양성할 필요성이 있는 것으로 판단된다.

제5절. PC방의 정보보호 실태 분석 요약

정보보호에 대한 의사결정 직접수행 여부에서 긍정적 답변이 71.5%에 달했으나 정보보호 직원교육 기회제공 여부에서는 ‘아니오’(62.5%)가 높게 나타나 CEO가 교육받지 아니한 결과로 분석된다.

PC방의 정보보호 문제점으로 ‘정부차원의 명쾌한 지침 부족’(34.4%)과 ‘정보보호제품 도입 비용부담’(30.2%)이 지적되었으며, 그 영향으로 해킹․바이러스 방어용 제품 도입에 관해서는 ‘예’(99.0%)로 압도적임에도 불구하고 관리의 부담 때문에 ‘백신’(82.5%) 구입을 첫 번째로 뽑았다. 기 구축된 백신 업데이트 주기는 ‘수시’(38.4%)가 가장 많았으며 6대 광역도시에서 보다 적극적이었다.

정보보호 제품 투자비용은 ‘10만원~20만원 미만’이 가장 많았고, 매출액 대비 투자비용은 평균 2.28%였다. 한편, 비용의 부담을 최소화하기 위해 유해사이트차단 프로그램을 설치하고 문제발생 시에만 백신으로 점검하는 경우도 있었다. 그러나 전반적으로 정보보호를 위해서는 개인방화벽과 하드보안관 등의 물리적 잠금장치 및 보안프로그램의 추가 투자가 요구된다 할 것이다.

보호되어야할 주요 데이터는 ‘주민등록번호’(86.2%)가 가장 많았으나 ‘전화번호’와 ‘이름’도 각각 66.6%와 42.6%를 나타냈으나 이를 위한 실제 투자는 거의 이루어지지 않고 체인점에서 처음 출시된 프로그램만으로 운영하는 경우가 대다수여서 고객의 정보유출이 심히 우려된다고 볼 수 있다.

해킹 및 침해사고 정보획득 채널은 ‘신문․뉴스’(65.6%)가 가장 많아 ISP 사업자의 전문업체 의존과 비교되었다. 그러나 문제 해결 채널로는 ‘보안업체’(41.0%)를 가장 많이 선호했으나 ‘직원’(40.0%)을 통해 해결한다는 경우도 높아 가벼운 것은 내부에서 처리하고, 전문성이 필요하면 외부 보안업체를 활용하는 것으로 보인다.

MS-SQL Slammer 웜 침해에 의한 피해는 89.2%로 높았다. 이는 토․일요일의 바이러스 활동 시간과 정보보안 시스템이 극히 미비했던 탓으로  PC방 피해가 커진 것으로 분석된다. 바이러스 침해에 의한 서비스 중단시간은 평균 19.50시간이었으며 59.2%가 24시간 내에 해결된 것으로 분석되었으나, 이 경우 체인점 본사 차원의 지원에 의한 것이 대부분이었다.

바이러스에 의한 피해금액은 평균 7만6천원이었으며, 서울이 10만8천원으로 가장 큰 피해를 입은 것으로 조사되었다.

제6절. 제언

정보화의 역기능으로 인한 사회비용이 급증하고 있다. 대부분의 기업이 정보화를 위해 상당한 예산을 편성하고 있으며 실제로 집행하고 있으나 안정적인 유지보수는 애써 외면하고 있다. 그러나 정보가 최고의 가치로 부상하는 정보화 사회에서는 정보의 창출만큼이나 정보보호가 중요하다.

본 조사결과는 각 업체의 정보보호실태 및 현황을 파악하여 객관적 자료로 제시한 것이므로 정보보호관련 문제점을 해결하기 위한 정책대안 기초 자료로 활용될 수 있을 것이며, 이를 통해 안정적인 정보운영시스템 구축요건을 파악하여 각 사업단위의 부가가치를 향상시킬 수 있을 것이다. 또한 정보보호실태 및 현황을 파악함으로써 정보보호에 대한 다양한 현상과 문제점을 수집․분석하였으므로 정보보호에 대한 정책수립 기반 자료로 활용되기를 바란다.

더 나아가서, 본 조사방법론에 입각하여 지속적으로 정보보호 관련 데이터를 수집 및 분석함으로써, 향후 새롭게 등장할 정보보호실태의 문제점과 유형을 예측 파악하는 유용한 자료로 활용될 수 있을 것이다. 무엇보다도 본 조사결과가 각 경제주체의 정보보호 필요성을 일깨우는 소중한 지침서가 되기를 기대한다.

부    록

	부록 1.	설 문 지
	부록 2.	자유응답

부록 1. 설문지

* 본 조사와 관련된 문의사항은 다음으로 연락하여 주시기 바랍니다.			이 조사표에 조사된 모든 내용은 통계목적 이외에는 절대 사용할 수 없으며, 그 비밀이 보호되도록 통계법(제13조, 제14조)에 규정되어 있습니다.
조사원성명
전 화
fax
e-mail

정보보호 실태조사

안녕하십니까?

정보통신부에서는, 지난 1월 25일에 발생한 인터넷 대란과 관련하여 국내 기업 및 교육기관의 정보보호 실태를 파악하고, 향후 우리나라의 정보보호정책을 수립하는데 참고하고자 합니다.

본 조사결과는 향후 정보보호 정책관련 공식통계로 활용될 예정으로 귀 기관(사)에서 응답해주신 내용은 관련 정책의 연구 및 개발에 중요한 밑거름이 될 것입니다. 조사결과 모든 내용은 통계분석 이외에 절대 사용하지 않을 것입니다. 바쁘시더라도 잠시 시간을 내시어 성의껏 응답해 주시길 부탁드립니다.

조사에 협조해 주셔서 감사합니다.

2003. 2

주    관 : 정 보 통 신 부 ․한국정보보호진흥원

조사기관 :  (주) 아이클릭

※ 귀사에 관한 일반사항입니다. 각 항목에 대해 말씀해 주시기 바랍니다.

회사명		설립년월	년 월
소재지
총종사자수	명	응답자의 부서 및 직책
응답자성명		응답자연락처	( ) -

※ 본 조사는 귀 기관(사)의 정보보호에 관한 관리적 대책현황, 기술적 대책현황, 사고대응, 물리적 대책현황, 기타 정보보호에 대한 투자 현황 및 슬래머 웜 사고(2003.1.25이후) 등에 대해 파악하고자 합니다. 각 문항마다 지시사항에 따라 정확하게 응답하여 주시기 바랍니다.

♠ 정보보호란?

기업이나 기관이 가진 중요한 정보 또는 전자거래시 발생하는 거래정보의 안전성과 신뢰성을 확보하고자 각종 보안상 위협, 재해, 운용상 실수, 부정한 조작 등으로부터 기업이나 기관의 중요 정보 및 시스템, 서비스 등을 보호하는 것을 의미합니다.

관리적 대책 현황

◆ 정보보호관리규정 제정 및 준수현황에 대해 여쭤보겠습니다.

문1. 귀 기관(사)은 정보보호정책 및 지침을 마련해두고 있습니까? (없다면 문2번으로)

□ ① 마련하였다	□ ② 현재 마련 중이다

□ ③ 마련하고 있지 않다    □ ④  1년～2년 내에 마련할 계획이 있다

♠ 정보보호지침이란?

정보보호 기본수행지침 및 교육자료, 보안사고시 대응절차, 해킹/바이러스 대책, 보안감사활동 지침 등이 포함된 문서를 말합니다.

문1-1. 【정보보호지침이 있다면】어떠한 내용이 포함되어 있습니까? (해당사항에 모두 ✔표시)

□ ① 보안조직의 구성	□ ② 자산의 분류 및 통제

□ ③ 인적 보안 지침	□ ④ 사용자 교육 지침

□ ⑤ 정보보안 사고 대응 절차	□ ⑥ 주요정보관리 및 외부자 관리사항

□ ⑦ 네트워크 보안지침	□ ⑧ 서버(NT, UNIX, TANDEM, 등) 보안지침

□ ⑨ 데이터베이스 보안지침	□ ⑩ 응용시스템 보안지침

□ ⑪ 비상계획 관리지침	□ ⑫ 보안시스템 관리지침

□ ⑬ 기타 (                                    )

문1-2. 【정보보호지침이 있다면】이 지침의 준수 수준은 어느 정도 된다고 생각하십니까?

해당 사항에 표시해 주십시오.

매우 적극적으로 준수		준수하는 편		보통		준수하지 않는 편		전혀 준수하지 않음
□ ①		□ ②		□ ③		□ ④		□ ⑤

문1-3. 귀 기관(사)은 정보보호정책 및 지침을 정기적으로 변경하고 있습니까?

□ ① 연 1회	□ ② 연 2～3회

□ ③ 필요시마다	□ ④ 변경하지 않는다

문1-4. 귀 기관(사)은 정보보호정책 및 지침을 최고경영층으로부터 승인을 득하고, 전 직원에게 배포하고 있습니까?

□ ① 예	□ ② 아니오

문1-5. 귀 기관(사)은 정보보호정책 및 지침에 따라 정기적으로 보안감사활동을 시행하고 있습니까?

□ ① 정기적으로 실시한다	□ ② 비정기적으로 실시한다

□ ③ 시행하지 않는다

문1-6. 【보안감사활동을 시행한다면】귀 기관(사)은 어떤 형태로 시행하고 있습니까?

□ ① 내부감사조직	□ ② TFT : Task Force Team

□ ③ 상위 감독기관	□ ④ 외부 컨설팅 및 감리기관

□ ⑤ 기타(                                 )

◆ 정보보호전담조직(정보보호책임자 등)구성 및 운영에 대해 여쭤보겠습니다.

문2. 귀 기관(사)에는 정보보호업무를 어떻게 수행하고 있습니까?

□ ① 전담부서를 두어 수행하고 있다  □ ② 유관부서에서 수행하고 있다

□ ③ 외부전문업체를 이용하고 있다	□ ④ 특별히 수행하는 인력이 없다

문2-1. 귀사의 정보보호업무를 수행하는 인원은 모두 몇 명입니까?  _________명

문2-2. 귀사의 정보보호업무를 수행하는 인력의 자격취득 및 교육이수 상황은 어떠합니까?

항 목		예	아니오
①	정보보호 관련 자격증을 소유하고 있다	( )명
②	사내에서 정보보호 관련 교육을 받았거나 교육중이다	( )명
③	위탁교육을 받았거나 위탁교육중이다	( )명
※ 정보보호 전문 자격증의 종류 : ISC2(International Information Systems Security Certification Consortium)의 국제공인정보시스템보안전문가(CISSP), 한국정보보호진흥원의 정보보호전문가(SIS), 국제공인정보시스템감사사(CISA) 등 ※ 정보보호 전문 교육기관 : 한국정보보호진흥원, 한국정보보호교육센터, 한국정보통신자격협회, 한국정보통신대학교 부설 정보통신교육원, 동국대 국제정보대학원 (기타 정보보호업체)등

문2-3. 귀사의 정보보호업무는 누가 책임지고 있습니까? (한가지만 ✔표시)

□ ① 대표이사

□ ② 정보관리책임자(CIO; Chief Information Officer)

□ ③ 정보보호관리책임자 (또는 개인정보관리책임자)

□ ④ 총무과 및 기존 보안(관리)담당 부서장

□ ⑤ 기타(                       )

□ ⑥ 없다

♠ CEO : 최고경영자 [ Chief Executive Officer ]

기업의 최고 의사결정권자. 미국 기업에서 처음 생긴 개념으로, 보통 대표이사와 같은 뜻으로 쓰인다. 대외적으로 기업을 대표하고 대내적으로는 이사회의 결의를 집행하며, 회사 업무에 관한 결정과 집행을 담당하는 등 대표이사와 유사한 지위․권한을 갖는다.

CIO : 최고정보관리책임자 [Chief Information Officer]

조직의 경영과 전략적 관점에서 정보기술 및 정보시스템을 총괄 관리하는 최고 책임자

◆ CEO의 정보보호인식 수준에 대해 여쭤보겠습니다.

문3. 귀 기관(사)의 CEO는 ‘정보보호’에 대한 주요 의사결정을 직접 수행하는 편입니까?

매우 그렇다		그렇다		보통		그렇지 않다		전혀 그렇지 않다
□ ①		□ ②		□ ③		□ ④		□ ⑤

문3-1. 귀 기관(사)의 CEO는 정보보호와 관련된 보안사고에 대한 보고를 직접 받고 필요대책을 지시하는 편입니까?

매우 그렇다		그렇다		보통		그렇지 않다		전혀 그렇지 않다
□ ①		□ ②		□ ③		□ ④		□ ⑤

◆ 정보보호교육 실시현황에 대해 여쭤보겠습니다.

문4. 귀 기관(사)은 임직원을 대상으로 정보보호에 대한 교육(인식교육 등)을 직접 실시하거나 교육받을 수 있는 기회를 제공하고 있습니까?

□ ① 정기적으로 실시하고 있다	□ ② 비정기적으로 실시하고 있다

□ ③ 실시하고 있지 않다	□ ④ 1년～2년 사이에 실시할 계획을                                              가지고 있다

문4-1.【정보보호 교육 및 훈련을 실시하고 있다면】귀사는 어떠한 방법으로 실시하고 계십니까? (해당사항에 모두 ✔표시)

□ ① 필요한 지침을 작성하여 배포

□ ② 외부 전문기관에 위탁하여 전문교육 실시

□ ③ 중요자산 보호를 위한 모의대응훈련 실시

□ ④ 방침 또는 대응기술 등을 포함한 내부교육 실시

□ ⑤ 기타(                       )

기술적 대책

◆ 정보보호제품 구축현황 및 운영에 대해 여쭤보겠습니다.

문5. 귀 기관(사)에 구축되어 있는 정보보호시스템은 무엇입니까? (해당사항에 모두 ✔표시)

□ ① PC보안(PC방화벽, 유해사이트차단제품 등) □ ② IDS(침입탐지시스템)

□ ③ F/W(방화벽)  □ ④ VPN(가상사설망)  □ ⑤ 전자우편보안솔루션

□ ⑥ Secure OS   □ ⑦ 서버보안솔루션   □ ⑧ 백신

□ ⑨ Secure IC카드 □ ⑩ Viruswall    □ ⑪ 보안관제시스템

□ ⑫ 기타(              ) □ ⑬ 없음

문5-1. 귀 기관(사) 내 구축되어 있는 정보보호제품(F/W, IDS, VPN 등)의 운영사항을 얼마 나 자주 모니터링하고 있습니까?

□ ① 상시   □ ② 1일  □ ③ 1주일  □ ④ 1개월  □ ⑤ 기타(        )

문5-2. 귀 기관(사) 내 구축되어 있는 정보보호 제품 (IDS, 취약점 점검도구, 바이러스 백신 등)의 최신 패치(업데이트)를 사용하고 있습니까?

① PC보안(PC방화벽, 유해사이트차단제품 등)	□ ① 예     □ ② 아니오

② F/W(방화벽)	□ ① 예     □ ② 아니오

③ IDS(침입탐지시스템)	□ ① 예     □ ② 아니오

④ VPN(가상사설망)	□ ① 예     □ ② 아니오

⑤ 전자우편보안솔루션	□ ① 예     □ ② 아니오

⑥ Secure OS	□ ① 예     □ ② 아니오

⑦ 서버보안솔루션	□ ① 예     □ ② 아니오

⑧ 바이러스 백신	□ ① 예     □ ② 아니오

⑨ Secure IC카드	□ ① 예     □ ② 아니오

⑩ Viruswall	□ ① 예     □ ② 아니오

⑪ 보안관제시스템	□ ① 예     □ ② 아니오

⑫ 취약점 점검도구	□ ① 예     □ ② 아니오

⑬ 기타__________	□ ① 예     □ ② 아니오

◆ 서버의 백업 및 패치 현황에 대해 여쭤보겠습니다.

문6. 귀 기관(사)의 서비스와 관련된 중요한 서버에 대한 백업 대상은 무엇입니까?

□ ① 모든 화일

□ ② 시스템의 중요 화일과 사용자 화일

□ ③ 사용자 화일

□ ④ 시스템 접속 및 에러(장애) 로그 화일

□ ⑤ 하지 않는다.

문6-1. 귀 기관(사)은 주요 서버에 대한 주기적인 백업을 실시하고 있습니까?

□ ① 매일  □ ② 1주일  □ ③ 2주일 □ ④ 4주일  □ ⑤ 기타(        )

문6-2. 귀 기관(사)은 서버, DB 및 네트워크 장비에 대한 최신 패치 정보를 주기적으로 입수 및 설치를 하고 있습니까?

□ ① 1주일	□ ② 2주일	□ ③ 매월	□ ④ 문제 발생시

□ ⑤ 하지 않는다   □ ⑥ 기타(                             )

문6-3. 귀 기관(사)의 주요 서버에 대한 로그관리(기록 및 분석)를 수행하고 있습니까?

□ ① 예	□ ② 아니오

◆ 불법적인 네트웍 접근 및 경로에 대한 감시ㆍ통제현황에 대해 여쭤보겠습니다.

문7. 귀 기관(사)은 귀사의 정보시스템에 대한 보안 취약성을 주기적으로 점검(모의해킹 등)하고 있습니까?

□ ① 주 1회 이상	□ ② 월 1회 이상  □ ③ 연 1회 이상

□ ④ 필요시	□ ⑤ 문제 발생시  □ ⑥ 하고 있지 않다

문7-1. 외부에서 내부로의 네트워크 접근을 통제하기 위한 DMZ를 구성하고 있습니까?

□ ① 예	□ ② 아니오

◆ 사용자 PC 보안을 위한 정보보호 가이드에 대해 여쭤보겠습니다.

문8. 사용자 PC 보안을 위한 정보보호 가이드를 제정하여 운영하고 있습니까?

□ ① 예	□ ② 아니오

♠ 사용자 정보보호가이드란?

일반사용자가 알아야 할 보안사고 대응절차, 사용자 PC 사용절차 등(사용자가 PC상에서 대처해야 하는 행동지침)이 포함된 문서를 말합니다.

문8-1. 【정보보호 가이드를 제정․운영하고 있다면】다음의 내용이 포함되어 있습니까? (해당사항에 모두 ✔표시)

□ ① 내부 사용자 PC에 부팅 및 화면보호 비밀번호 설정

□ ② 내부 사용자 PC에 바이러스 감지 및 복구를 위한 백신 설치

□ ③ 내부 사용자 PC용 방화벽 설치

□ ④ 파일 공유시 비밀번호 설정

□ ⑤ 주요문서(문서작업)에 대한 비밀번호를 설정

□ ⑥ 사용자 PC의 중요 자료에 대한 백업

□ ⑦ 사용자 PC의 서비스팩 및 최신 패치 설치

◆ 주요 데이터(자료)보호 대책에 대해 여쭤보겠습니다.

문9. 귀 기관(사)은 보호되어야 할 주요 데이터(예: 고객정보, 내부 핵심정보 등)를 구별하여 관리하고 있습니까?

□ ① 예	□ ② 아니오

문9-1. 귀 기관(사)은 주요 데이터에 대한 보안 대책이 수립되어 있습니까?

(해당사항에 모두 ✔표시)

□ ① 접근 통제    □ ② 암호화    □ ③ 백업   □ ④ 기타(          )

문9-2. 귀 기관(사)은 고객의 중요한 정보를 담고 있는 저장 매체에 대한 폐기 절차를 수립하여 시행하고 있습니까?

□ ① 예	□ ② 아니오

사고 대응

◆ 해킹, 침해사고 등에 대한 정보획득 방법에 대해 여쭤보겠습니다.

문10. 귀 기관(사)에서 확보하고 있는 해킹 및 침해사고 정보획득 채널은 무엇입니까? (해당사항에 모두 ✔표시)

□ ① KISA(CERTCC/KR)  □ ② CERTCC   □ ③ 내부 침해사고 대응팀

□ ④ 보안업체             □ ⑤ 없다       □ ⑥ 기타(              )

문10-1. 국내ㆍ외 해킹 및 보안사고에 대해 주기적인 모니터링을 수행하고 있습니까?

□ ① 매일 □ ② 1주일 □ ③ 2주일 □ ④ 1개월  □ ⑤ 기타(          )

◆ 침해사고 발생시 보고체계(대외협력 등)에 대해 여쭤보겠습니다.

문11. 귀 기관(사)은 침해사고 대응계획을 수립하고 있습니까?

□ ① 수립되어 있다	□ ② 수립되어 있지 않다

□ ③ 수립할 계획이다  □ ④ 수립중이다	□ ⑤ 수립할 계획이 없다

문11-1. 귀 기관(사)은 침해사고 및 사고징후 인지시 이에 대처하기 위한 긴급연락 체계를 구축하고 있습니까?

□ ① 구축하고 있다	□ ② 구축하고 있지 않다

문11-2. 귀 기관(사)은 침해사고발생에 따른 문제해결 및 정보공유를 위해 대외협력 채널은 무엇입니까?

□ ① KISA   □ ② CERTCC    □ ③ 내부 침해사고대응팀

□ ④ 보안업체  □ ⑤ 제품 vendor	□ ⑥ 기타--(               )

◆ 침해사고 해결방안 및 후속조치에 대해 여쭤보겠습니다.

문12. 귀 기관(사)은 침해사고를 조치하기 위한 사고복구조직을 구성하고 있습니까?

□ ① 구성하고 있다	□ ② 구성하고 있지 않다

문12-1. 귀 기관(사)은 침해사고를 조치하기 위한 대처 방안은 무엇입니까?

□ ① 특별히 마련된 절차가 없으며, 자체적으로 해결 방안을 마련한다.

□ ③ 내부적인 전담팀이나 전담자에 의해서 처리된다.

□ ② 외부 전문기관에 의뢰하도록 되어 있다.

□ ④ 기타--(              )

문12-2. 귀 기관(사)은 침해사고처리가 종결된 후 이에 대한 정밀한 분석을 수행하고 있습니까?

□ ① 내부 전담팀이 침해사고 로그 등의 자료를 분석하여 원인을 규명한다

□ ② 침해사고에 대한 복구가 완료가 되면 상황은 종료된다

□ ③ 외부전문기관의 도움을 받아 원인규명을 하게 된다

□ ④ 기타--(                )

물리적 대책

◆ 주요 정보시스템 설치장소에 대한 출입통제 대책에 대해 여쭤보겠습니다.

문13. 사무실 및 전산실에 대한 출입통제장치를 설치 및 운영하고 있습니까?(해당사항에 모두 ✔표시)

□ ① 운영하고 있지 않다	□ ② 스마트카드

□ ③ 생체인식제품	□ ④ CCTV, 감시카메라 등

□ ⑤ 기타(            )

문13-1. 주요 정보시스템 설치장소에 대한 출입허용 대상은 누구입니까? (해당사항에 모두 ✔표시)

□ ① 담당자	□ ② 내부직원

□ ③ 외부인(방문자)	□ ④ 아무나

문13-2. 주요 정보시스템 설치장소에 대한 출입 기록을 남기고 있습니까?

□ ① 예	□ ② 아니오

문13-3. 출입내역에 대해 얼마나 자주 검토하고 있습니까?

□ ① 매일 □ ② 1주일 □ ③ 2주일 □ ④ 1개월  □ ⑤ 기타(          )

◆ 정보통신시스템 운영을 위한 가용성 확보 대책에 대해 여쭤보겠습니다.

문14. 정보시스템의 안정적인 전원 공급을 위한 방법은 무엇인가?(해당사항에 모두 ✔표시)

□ ① UPS 사용	□ ② 자체 발전기 사용

□ ③ 이중 전원선 사용	□ ④ 없다

□ ⑤ 기타(                                 )

문14-1. 정보시스템의 장비에 대한 유지보수내역을 관리하고 있습니까?

□ ① 관리하고 있다     □ ② 관리하고 있지 않다

◆ 백업센터 구축 및 비상복구 대책에 대해 여쭤보겠습니다.

문15. 화재, 수재 등 각종 재해에 대비한 정보시스템 백업센터를 어떻게 운영하고 있습니까?

□ ① 정보시스템 장비가 있는 전산실에 백업센터 운영

□ ② 정보시스템 장비가 있는 건물에 백업센터 운영

□ ③ 정보시스템 장비가 있는 건물 외부에 백업센터 운영

□ ④ 백업센터 없다

문15-1. 재해 및 침해사고에 대비한 비상복구계획을 수립하여 운영하고 있습니까?

□ ① 재해에 대한 비상복구계획을 수립하여 운영

□ ② 침해사고에 대한 비상복구계획을 수립하여 운영

□ ③ 재해 및 침해사고에 대한 비상복구계획을 수립하여 운영

□ ④ 재해 및 침해사고에 대한 비상복구계획이 없음

기 타

◆ 최근 3년간 연도별 IT투자 및 정보보호 투자 금액에 대해 여쭤보겠습니다.

문16. 귀 기관(사)의 최근 3년간 IT투자(개발 및 운영) 비용 중 정보보호를 위한 투자비용은 얼마입니까?

		2000	2001	2002
매출액		원	원	원
IT 투자 (인력 및 시스템 개발․구축․운영비 등 )	IT 투자비용	원	원	원
	매출액을 100으로 했을 때 IT에 대한 투자비중	%	%	%
정보보호 투자 (인력 및 시스템 개발․구축․운영비 등 )	정보보호 투자비용	원	원	원
	IT 투자비용을 100으로 했을 때 정보보호에 대한 투자비중	%	%	%

◆ 2003년도 정보보호투자계획에 대해 여쭤보겠습니다.

문17. 올해 귀 기관(사)는 정보보호 제품을 구입할 계획입니까?

□ ① 예	□ ② 아니오

문17-1. 정보보호 제품 구입 및 운영을 위한 예산은 어느 정도입니까?

---    ________________ 원  또는  IT 투자비용 대비 ---________--___ %

-

문17-2. 귀 기관(사)의 정보보호를 위한 내ㆍ외부 컨설팅 계획을 갖고 있는가?

□ ① 갖고 있다	□ ② 갖고 있지 않다

문17-3. 귀 기관(사)의 정보보호 전담인력 채용계획이 있습니까?

□ ① 없다	□ ② 1-2명 충원

□ ③ 전담조직 구성을 위한 충원	□ ④ 외부에 위임할 계획이다

□ ⑤ 기타(                )

◆ 지난 1월 25일 발생한 SQL Slammer 웜 침해사고관련 피해현황에 대해 여쭤보겠습니다.

문18. 금년도 1월에 발생한 MS-SQL Slammer 웜 침해사고와 관련하여 귀 기관(사)에 피해가 있었습니까? (해당사항에 모두 ✔표시)

□ ① 피해가 전혀 없었다	□ ② 경제적 피해가 있었다

□ ③ 회사 이미지가 실추되었다	□ ④ 업무가 마비되었다

□ ⑤ 기타(                )

문18-1. 위 사고로 인한 귀 기관(사)의 서비스 중단시간은 몇 시간이었습니까?

-     __________-__ 시간  -----____________분

문18-2. 귀 기관(사)에서 파악한 MS-SQL Slammer 웜에 감염된 서버는 몇 대이었습니까?

____________ 대

문18-3. 귀 기관(사)에서 파악한 경제적인 피해 규모(금액)는 얼마나 됩니까?

____________ 원

◆ 끝으로 귀 기관(사)의 정보보호 업무수행에 따른 문제점에 대해 여쭤보겠습니다.

문19. 귀 기관(사)이 정보보호관련 업무를 수행하는 데 있어서 따르는 문제점은 무엇입니까?

□ ① 정보보호가 무엇인지/어떻게 해야 하는 지 잘 모르겠다

□ ② 정보보호관련 정보 획득․공유에 필요한 적절한 채널이 무엇인지 모르겠다

□ ③ 정보보호시스템을 도입․구축하는 데 비용부담이 크다

□ ④ 기관(사) 내 경영진의 정보보호에 대한 투자의지가 미흡하다

□ ⑤ 정보보호업무수행 능력이 뛰어난 정보보호 전문인력을 확보하기 어렵다

□ ⑥ 정부차원의 정보보호관련 명확한 기준․지침의 공지가 부족하다

□ ⑦ 기타(                                    )

문20. 귀사가 정보보호업무와 관련하여 정보통신부나 한국정보보호진흥원에 필요한 지원사항이 있으시면 자유롭게 적어 주시기 바랍니다.

≪바쁘신 가운데 끝까지 응답해 주셔서 감사합니다. ≫

부록 2. 자유응답

1. 정보보호 진흥원에 바라는 점 (기타)

* 정부차원의 정보보호관련 대응체계 구축

․1ㆍ25인터넷 대란과 같은 사이버 재앙이 발생하기 전에 미리 대비할 수 있는 대응체계의 구축과 사후 사고 수습을 신속하게 처리하는 것이 무엇보다도 시급한 문제인 것 같습니다.

․정보보호관련 정보보호시스템을 국가적으로 구축해야 하겠습니다. 국가 전체적으로 관리할 수 있는 일괄 자동 시스템을 구축하여 관리, 유지, 운용하는 것이 좋을 것 같습니다.

․국내 보안업체의 수준은 세계적인 수준인 것으로 알고 있습니다만, 정보보호와 관련한 시스템의 구축과 사고에 대한 대응책은 현저히 떨어진다고 생각합니다. 세계적인 보안기술 자원을 효율적으로 운용할 수 있는 시스템의 구축이 필요합니다.

․정보보호의 책임을 각 업체에 일임하기보다는 사고 발생 시 피해 규모를 생각한다면 국가적 보안시스템을 구축하여 관리하는 것이 더 좋을 듯 합니다. 정부차원에서 시스템을 구축하면 체계적인 계획을 수립하여 중복투자를 막고 효율적으로 운영될 수 있을 것 같습니다.

․새로운 문제가 발생했거나 발생할 위험이 감지될 경우 지금보다 더 신속한 공개 및 주의령을 발동하여 초기에 신속한 대처를 할 수 있었으면 좋겠습니다. 또한 사고방지를 위한 방안을 서둘러 세워서 시행하기 보다 실제적인 정보보호현황을 신중히 점검하여 현실적인 대응방안을 마련해 주시기 바랍니다.

․국내외 정보보호 침해 가능성을 미리 예측하고 대응할 수 있는 방안과 기술을 구축하여 사고를 예방하고, 정보침해사고 발생 이후에는 관련되는 현황과 사후조치에 대한 정보제공과 같은 문제 발생에 대한 대응책의 제시가 요구됩니다.

* 정보보호관련 교육, 훈련, 정보제공의 필요성

․정보보호와 관련된 정보가 너무 미흡하기 때문에 담당자를 대상으로 교육을 하기가 용이하지 않고 현실에서 보다 접근하기 쉬운 정보보호관련 자료의 수집이 너무 힘듭니다. 세미나 등을 통해 정보보호와 관련된 담당자들에 대한 교육 및 정보공유가 필요하다고 생각됩니다.

․정보보호 업무와 관련한 교육이나 세미나를 많이 주최하여 실무에 직접적으로 도움이 있었으면 좋겠습니다. 또한 정보보호 필요성 및 방법 등을 구체적으로 체험할 수 있는 연수기회가 제공되었으면 좋겠습니다.

․정보 침해 사고 예방을 위한 교육자료, 홍보자료를 만들어 제공해 주었으면 좋겠고, 단기가 아닌 장기적인 차원에서 지속적으로 제공해 주어야 효과가 증대될 것 같습니다.

․교육용 비디오나 CD제작 및 보급, 기본적인 사항에 대한 안내서나 지침서를 발간하는 것이 필요하고, 내용은 개별 사항에 대한 구체적인 대응방법과 사례들이 알기 쉽게 담겨 있었으면 좋겠습니다. 또, 사고 발생 시 대처를 위해서 모의 훈련 및 직원 정기 교육도 필요할 것 같습니다.

․보안제품이 난립하고, 명확한 기준으로 인증받은 보안제품에 대한 정보가 부족하여 보안 전문업체가 아니면 자체 구축하기가 곤란합니다. 이러한 측면에서 정보보호를 위한 포괄적인 안내서가 절실히 필요합니다.

* 보안시스템 구축에 필요한 비용문제

․열악한 경영환경에서 정보보호 시스템을 확충하고 관리하는데는 예산상의 문제로 어려움이 있습니다. 시스템 설치를 하는데 있어 기본적인 시스템의 도입에는 정부의 금융지원이 필요하고, 그 밖의 시스템의 업그레이드나, 유지는 기업이 부담할 수 있는 정책적인 지원이 필요합니다.

․전자상거래 업체는 일부업체를 제외하고는 영세하게 운영되고 있는 실정입니다. 현재 정보보호 측면보다는 전자상거래 솔루션의 보완에도 급급한 실정입니다. 정부차원에서의 정보보호에 대한 지원이 시급한 문제라고 생각합니다.

․전반적으로 모든 보안제품을 구입, 설치, 운영하기에는 보안환경이 빠르게 변화하고 있기 때문에 보안 관련 제품들에 대한 비용이 너무 부담이 되고 있습니다. 정부차원에서 보안제품들에 대한 구매 시 정책적인 지원이 있었으면 좋겠습니다.

* 정보보호관련 전문인력의 배치, 인력 육성

․일선 학교에서는 정보보호 업무를 수행할 수 있는 전문 인력이 없고 예산도 거의 없는 실정이며 전담요원이 아닌 일반교원이 교육청의 지시에 의해서 교육정보부장의 직책만 맡고 운영되고 있는 것이 우리나라의 현실입니다. 따라서 각 교육청별로 시급히 정보보호 전문인력을 배치해야 할 것입니다.

․작은 회사에서는 정보보호 업무에 대한 전문적인 기술을 가지고 있는 사람이 없어 외부 업체에 의존하는 경우가 많아 정보침해사고 시에 빠른 대응을 할 수 없는 실정입니다. 이에 적절한 조치가 요구됩니다.

․정보보호 업무를 전담하여 처리할 수 있는 전문적인 인력을 늘려 보안의 취약성을 미리 방지하고 대처할 수 있었으면 좋겠습니다.

․정보보호 업무를 지원해 줄 수 있는 전문적인 인력이나 지원센터가  있어 정기적인 보안 점검이나 유지 관리가 시행되었으면 좋겠습니다.

․학교의 경우에 서버를 제대로 운용할 수 있는 전문인력이 거의 없는 실정입니다. 교사는 정상적인 교육을 활 수 없을 정도로 업무량도 많은데 전문교육을 받지 않은 교사가 서버 및 네트워크, 그리고 보안을 관리하는데 따른 문제점이 많습니다. 전문인력의 양성 및 배치 등 실질적인 도움이 필요합니다.

* 정보보호 관련 정책기준 수립 및 법 제정

․일반 중소기업 경영자의 경우에 정보보호에 대한 마인드가 부족하므로, 기업자체 판단과 의지에 맡기지 말고 정부에서 일정 가이드라인을 정해 준수를 강제하는 것이 필요하다고 생각됩니다.

․정보보호법에 대한 정책이 명확하게 고지될 필요가 있습니다. 기준이 명확하지 못하기 때문에 타 업체와 비교해서 자체 기준으로 시행하고 있는데 다소 불안한 측면이 있습니다. 보다 정확한 정책기준이 있었으면 좋겠습니다.

․국가차원에서 정보보호와 관련한 명확하고 일관된 정책이나 지침에 대한 지속적인 제시가 필요하고 정보보호를 잘 수행하는 업체를 선별하여 시상할 필요가 있다고 생각합니다.

․정보화 신규사업시 정보보호에 대한 보안대책 및 예산을 반영하지 않으면 지원을 할 수 없도록 법제화 또는 조항을 추가되어야 한다고 생각합니다.

․ISP업체에 문제가 발생하면 모든 전산업체의 업무가 마비됩니다. 그에 따른 백업정책과 보안정책이 수립되어야 한다고 봅니다. 정부차원에서 할 수 있는 가장 크고 우선 시정되어야 할 문제가 아닌가 봅니다. 제대로 수행되어지는 보안정책이야 말로 인터넷 강국의 초석이라고 생각합니다.

* 기타

․중소기업의 경우에 열악한 경영조건과 경영자의 정보보호 중요성에 대한 인식 부족으로 정보보호가 거의 이루어지고 있지 못하고 있습니다. 따라서 1ㆍ25인터넷 대란과 같은 사고가 발생했을 때 즉각적인 대응을 한다는 것은 거의 불가능합니다. 정부차원의 통합적 대응체계의 구축이 필요합니다.

2003년도 정보보호 실태조사

2003년  12월       인쇄

2003년  12월       발행

발행인:  김 창 곤

발행처:  한국정보보호진흥원

서울시 송파구 가락본동 78번지

IT벤처타워(서관)

Tel: (02) 4055-114

인쇄처:  T&C 인쇄사

Tel: (02) 2273-2607

<비매품>

1. 본 보고서는 정보통신부의 출연금 등으로 수행한

정보보호체계 구축사업의 결과입니다.

2. 본 보고서의 내용을 발표할 때에는 반드시 정보통신부

정보보호체계구축사업의 결과임을 밝혀야 합니다.

3. 본 보고서의 판권은 한국정보보호진흥원이 소유하고 있으며,

당 진흥원의 허가 없이 무단 전재 및 복사를 금합니다.