전자우편ㆍ스마트폰 보안관리 강화대책

□ 배 경

o 최근 국가ㆍ공공기관 직원의 상용메일 계정정보가 탈취되어 중요 업무자료가 유출되는 사고가 지속 발생

o 공격자는 기관메일의 보안관리 강화로 해킹이 어려워지자 상용메일을 대상으로 관리자를 사칭하는 피싱메일 등을 발송, 비밀번호를 탈취

o 일부 공직자는 업무편의ㆍ외부활용 등의 이유로 중요자료를 상용메일로 송ㆍ수신하고 同 메일을 삭제치 않고 메일함에 보관, 자료 전량 유출

* 특히, 업무활용 목적으로 자신의 상용메일로 주요인사 연락처 등 다량의 업무자료를 전송ㆍ보관하다 유출되는 사고가 발생

□ 보안관리 강화대책

【 전자우편 보안관리 】

o 기관메일을 통해서만 업무자료를 소통할 수 있으며 대외비 이상 중요문건은 ‘비밀관리시스템’을 활용

o 상용메일을 통한 업무자료 송ㆍ수신 금지는 물론 기관메일을 통한 송ㆍ수신 업무자료도 활용후 메일함에서 즉시 삭제

o 기관메일에서 업무편의 등을 위해 중요 업무자료를 본인 또는 동료 직원의 상용메일로 발송 금지

o 자택 등 사적공간에서 개인목적으로 상용메일 이용시 2단계 인증 등 상용메일 보안기능 적극 활용

- 특히, 메일 접속이력 확인방법을 숙지하고 지정지역外 접속금지 설정

o 개인목적의 상용메일 비밀번호와 기관메일 비밀번호를 다르게 설정, 상용메일 해킹이 기관메일 해킹으로 확산되는 것을 차단

o 기관메일을 상용메일로 자동 포워딩하거나 상용메일에서 기관메일을 불러올 수 없도록 보안 조치

- 기관메일 서버에서 POP3ㆍIMAP 등의 기능을 제거하거나 방화벽에서 해당 포트 차단

o GPKI(행정전자서명) 인증서를 메일함 또는 클라우드 저장소에 보관 금지

- 특히, 해킹에 의한 인증서 유출이 의심되는 경우에는 반드시 인증서 폐기후 재발급 조치

* 인증서 비밀번호는 중앙서버에서 관리하지 않고 인증서에 포함되어 관리되므로 인증서 비밀번호를 변경하더라도

  유출된 인증서는 기존 비밀번호로 로그인 가능

o 공직자통합메일 및 기관메일에서 제공하는 보안기능 반드시 활용

- GPKIㆍOTPㆍSMS 인증 등을 사용하여 본인 인증절차 강화

- ‘해외 로그인 차단’ㆍ‘국가별 로그인 허용’ 등 보안기능을 사용하여 비인가 불법접속 차단

- ‘로그인 기록’ㆍ‘최근활동 보기’ 등 이력 조회기능을 통해 이메일 계정에 대한 비인가자 접근여부 정기점검 실시(월 1회 이상)

- 자체 기관메일 운영시 인증서기반 로그인, 발신IPㆍ국가명 표시, 해킹메일 신고 등 ‘공직자통합메일’과 동일한 수준의 보안기능 구현

o 수신메일內 첨부파일이 자동 실행되지 않도록 설정하고 첨부파일 다운로드시 반드시 백신으로 악성코드 은닉여부 검사

o 명함 또는 전자우편 서명內 ‘상용메일 주소’ 표기 금지

o 분기 1회 이상 숫자ㆍ문자ㆍ특수문자 등을 혼합한 9자리 이상의 비밀번호를 설정ㆍ변경하고 아래와 같은 요건을 충족토록 조치

- 사용자 아이디와 동일하지 않은 것

- 개인 신상 및 부서명칭 등과 관계가 없는 것

- 일반 사전에 등록된 단어는 사용을 피할 것

- 동일단어 또는 숫자를 반복하여 사용하지 말 것

- 사용된 비밀번호는 재사용하지 말 것

- 동일 비밀번호를 여러 사람이 공유하여 사용하지 말 것

- 자동 비밀번호 입력기능은 사용하지 말 것

o 知人 사칭 해킹메일 유포에 대비하여 첨부파일이 있을 경우, 반드시 발송자에게 유선 확인 후 열람토록 하며, 해킹메일 의심시 신속 신고

o 해킹메일을 지속적으로 수신하거나 비밀번호가 유출되었을 경우 사용중인 이메일 계정 변경

o 해킹메일 유포 등 사이버공격에 대한 피해 확산방지 요청 접수시, 기관內 해킹메일 유입차단 등 신속 보안조치

o 기타 전자우편 보안관리에 관련한 세부사항에 대해서는「국가정보보안기본지침」제26ㆍ27ㆍ35조에 명시된 보안조치 사항 준수

【 스마트폰 보안관리 】

o 스마트폰 10대 보안수칙 준수 및 기관장 포함 全직원 숙지

o 카카오톡ㆍ밴드 등 메신저ㆍSNS 프로그램을 통한 업무자료 소통을 금지하고 인터넷 PC에 同 프로그램 설치 금지

?- 업무자료 소통을 위해서는 ‘바로톡’ 등 업무용 메신저만 활용

o 의심스러운 문자메시지ㆍ이메일ㆍ메시지 등을 수신할 경우, 피해확산 방지를 위해 관련 내용 신고 철저

o 중요 회의참석시 스마트폰 휴대금지 또는 전원차단 등 스마트폰을 이용한 도청ㆍ도촬에 대한 예방대책 강구

o 스마트폰에 업무자료 저장을 금지하고, 수리의뢰 또는 판매시 스마트폰 초기화 등 저장자료 유출 방지 대책 강화

o 스마트폰의 WiFi 기능은 자택 및 공공장소 등에서 필요시에만 활성화

o 매체제어시스템을 이용하여 개인용 스마트폰의 업무용 단말기 연결(테더링)을 차단하고 주기적으로 비인가 AP 설치여부 점검