A.5.14
정보 전송
조직적 통제확인사항 6증적 6사례 6
통제 목적
정보 전송 통제는 조직 내부 부서 간, 그리고 외부 당사자와 정보를 주고받는 모든 과정에서 기밀성, 무결성, 가용성이 유지되도록 요구합니다. 대상에는 전자적 전송(이메일, 파일전송, 메시징, 시스템 연계), 물리적 매체 전송(문서, 저장매체의 운반), 구두 전송(대면, 전화, 회의)이 모두 포함됩니다. 전송 과정에서 정보가 가로채기, 위변조, 유실, 오배송 등의 위험에 노출되지 않도록 전송 수단별 정책과 절차를 마련하고, 외부와의 전송에는 당사자 간 책임과 보호 수준을 정한 합의를 두는 것이 목적입니다. 보호 수준은 정보의 분류 등급에 비례하여 차등 적용해야 합니다.
주요 확인사항
- 전송 수단별(전자/물리/구두)로 보호 정책과 절차가 수립되어 있으며, 정보 분류 등급에 따라 보호 수준을 차등 적용하는가?
- 외부 당사자와의 정보 전송에 대해 책임, 보호 조치, 사고 통보/처리, 반환/파기 등을 규정한 전송 합의(계약/약정)를 체결하는가?
- 전자적 전송 시 전송구간 암호화, 무결성 검증, 수신자 인증 등 기술적 보호대책이 적용되는가?
- 물리적 매체 운반 시 신뢰할 수 있는 운송 수단, 포장/봉인, 인수인계 기록 등의 통제가 적용되는가?
- 이메일/메시징에서 오배송, 잘못된 첨부, 무단 자동전달을 방지하는 대책이 마련되어 있는가?
- 임직원 및 외부자가 전송 관련 규정과 주의사항(공공장소 구두 노출 방지 포함)을 인지하고 준수하는가?
이행 지침
- 정보 분류 체계와 연계하여 전송 채널별 허용 여부와 보호 요구사항을 정의하고, 전자/물리/구두 전송을 포괄하는 정책과 절차로 문서화합니다.
- 전자 전송에는 프로토콜에 맞는 암호화와 상대방 인증을 적용합니다. 예를 들어 웹/API에는 TLS를, SFTP에는 SSH를 사용하며, 정보의 민감도와 중계 구간에 따라 종단 간 또는 문서 수준 암호화를 추가합니다.
- 외부 조직과 정기적/대량 전송이 있는 경우 데이터 전송 합의서에 보안 요구사항, 책임 소재, 사고 통보 절차, 데이터 반환/파기 조건, 재위탁 제한 등을 포함합니다.
- 문서와 이동식 저장매체는 승인된 운송, 잠금 보관, 봉인, 인계 기록으로 보호합니다. 전자 저장매체에는 필요한 암호화를 적용하고, 종이 문서에는 포장과 수신자 확인 등 물리적 보호를 적용합니다.
- 수신자 확인, 외부 발송 경고, 발송 지연, 민감정보 전송 승인, DLP 규칙으로 오발송을 예방합니다. 발송 후 회수 기능은 수신 환경에 따라 실패할 수 있으므로 유출 대응을 대신하는 수단으로 간주하지 않습니다.
- 구두 전송 시 공공장소 대화 제한, 회의실 도청 대비, 스피커폰/화상회의 노출 주의 등 인식 기준을 교육에 포함합니다.
- 전송 기록(발송자, 수신자, 시각, 대상 정보)을 남기고 비정상 발송 여부를 주기적으로 점검하여 이상 징후에 대응합니다.
증적자료
- 정보 전송 정책/절차서(전자/물리/구두 전송 포함) 및 정보 분류별 전송 지침
- 외부 당사자와의 데이터 전송 합의서/계약서(보안 요구사항 조항 포함)
- 전자 전송 암호화 설정 내역(TLS, 메일 암호화, SFTP 구성 등)
- 물리적 매체 운반 인수인계 대장, 봉인/포장 및 매체 암호화 기록
- 이메일 보안 정책 설정(외부발송 경고, DLP 규칙, 자동전달 제한), 대용량/민감정보 발송 승인 이력
- 전송 관련 임직원/외부자 교육 자료 및 이수 내역, 전송 로그/점검 결과
부적합 사례
- 정보 전송 정책은 있으나 물리적 매체 운반이나 구두 전송에 대한 절차가 누락되어 전자 전송에만 국한된 경우
- 민감정보/개인정보를 외부에 이메일로 전송하면서 암호화 없이 평문으로 보내는 경우
- 외부 기관과 정기적으로 정보를 전송하면서 보안 요구사항과 책임을 담은 전송 합의를 체결하지 않은 경우
- 대용량 파일전송 서비스에 만료/접근통제 설정 없이 링크를 공유하여 불특정 다수가 다운로드할 수 있는 경우
- 이메일 자동전달 규칙으로 내부 정보가 개인 외부 계정으로 지속 전달되나 통제/모니터링되지 않는 경우
- 이동식 저장매체로 자료를 반출하면서 인수인계 기록을 남기지 않거나 매체를 암호화하지 않는 경우