국가기관 망 분리 사업 추진계획

국가기관 망 분리 구축 가이드 2008. 5

행정안전부 국가정보원 한국정보사회진흥원

국가기관 망 분리 구축 가이드

제1장 개요

1. 목적 및 필요성

Ο 해킹 등 주요 사이버 공격으로부터 국가 기밀 등 중요자료의 유출을 근본적으로 차단하기 위해 국가기관의 인터넷과 업무전산망 분리 ∙ 구축을 위한 가이드를 제공함으로써 효율적인 사업계획 수립을 지원하고, Ο 망 분리 사업을 추진함에 있어 보조기억매체 관리시스템, 망 관리시스템, PC보안 및 PMS(Patch Management System) 등의 필수적인 보안시스템에 대한 구성요소 및 도입시 고려사항 등을 제공하기 위함

2. 적용대상과 범위

Ο 국가정보원이 선정한 망 분리 국가기관을 대상으로 하며, 년도 ’08년 확정 ’08년 추진 (잠정) 대상 국가기관 ▪ 국토해양부, 방송통신위원회, 기획재정부, 지식경제부, 국가경쟁력강화위원회, 국방부(본부), ▪ 통일연구원(자체예산) ▪ 국토해양부, 농수산식품부, 교육과학기술부, 환경부, 노동부, 금융감독위원회, 공정거래위, 중소기업청, 보건복지가족부, 국립보건연구원(질병관리본부),관세청, 감사원,특허청,병무청, 소방방재청, 문화체육부,법무부, 검찰청,한국원자력연구원(자체예산) 망,분리 방식 ▪ 물리적 분리 Ο 국가기관 사용자의 인터넷과 업무망 분리를 우선 추진하고, 향후 정보시스템 식별 및 중요도 평가 등의 업무분석을 통해 서버영역 분리 추진

3. 기대효과

Ο 국가기관 망 분리 구축 가이드를 활용하여 인터넷과 업무망 분리를 추진함으로써 국가기관에 대한 해킹사고 발생이 감소하여, 국가기관의 중요자료 유출 및 훼손 예방으로 국익손실 방지 할 수 있으며, Ο 국가기관의 망 분리 추진을 위한 체계적이고 효율적인 방향을 제시함으로써 불필요한 예산의 절감, 업무처리과정의 간소화 및 업무향상성 증가 기대 Copyright ⓒ 2008 IDCneturyKorea Co., LTD., All rights reserved 2

국가기관 망 분리 구축 가이드

제2장 사업계획 수립

1. 망 분리 방식 결정

국가기관의 망 분리는 물리적(2대 PC 이용) 분리를 원칙으로 하며, 해당 국가기관 의 업무 특성 및 정보시스템의 중요도에 따라 불가피한 경우에만 논리적(SBC이용) 분리 허용

가. 물리적 망 분리

Ο 목표 시스템 개념도 (2대 PC 이용) DMZ PMS NMS 패치관리 인터넷 업무망 업무PC 인터넷PC

지청 사용자

PMS NMS 패치관리 업무메일 WEB 외부메일 ERP G/W DB DB DRM AES SAN Switch 인터넷PC 업무PC

사용자 A 사용자 B

Copyright ⓒ 2008 IDCneturyKorea Co., LTD., All rights reserved 3 Array Array 기관업무시스템(Legacy시스템)

국가기관 망 분리 구축 가이드

나. 논리적 망 분리

Ο 목표 시스템 개념도 (SBC 이용) 외부사용자 인터넷 PMS NMS 패치관리 F/W 백본스위치 WEB DMZ 외부메일 외부접속용 (VPN) 내부접속용 (VPN) 보안인증시스템 발급시스템 내부사용자 내부망 인증

USB

Master Browser (MB) Domain Controller (DC) Domain Controller Backup Domain Controller Free Channel Controller App#1 App#2 App#3 App#N S/W 로드 밸런싱 시스템 Application Server App#1 DATA Backup DATA Storage SBC(Server-Based Computing) 영역 ERP G/W DB DB DRM AES SAN Switch Array Array 기간업무시스템(Legacy시스템)

다. 망 분리 방안별 장 ▪ 단점 비교

Ο ‘국가 ▪ 공공기관 업무전산망 분리 실무매뉴얼(2007.4, 국가정보원)’에 제시되어 있는 망 분리 방안별 장 ▪ 단점 비교는 붙임 참조 ※

붙임. 국가기관 망 분리 방안별 장 ▪ 단점 비교

Copyright ⓒ 2008 IDCneturyKorea Co., LTD., All rights reserved 4

국가기관 망 분리 구축 가이드

2. 현황분석

국가기관 망 분리 구축의 세부 추진계획을 수립하기 위해서는 해당 국가 기관의 현황 을 정확히 파악하는것이 중요하고, 특히, 해당 국가기관의 인원, 네트워크 구성, 통신회선 내역, 통신장비 현황 및 대민서비스 제공 현황 등의 특성을 고려한 면밀한 현황분석이 필요함 또한, 논리적 망 분리를 추진하기 위해서는 물리적 망 분리시의 현황분석외에 SBC(Server-Based Computing) 시스템의 규모 및 사용자 인증 방식 등의 범위결정 을 위한 면밀한 업무분석이 필요함

3. 사업범위 설정

사업범위를 설정하는 일은 매우 중요하며, 범위가 명확할수록 사업의 진행이 용이하 고 혼동이 없게 되며, 이를 통해 비용과 기간, 그리고 투여 인력의 범위와 수준 등을 가늠할 수 있음 현재의 네트워크 구성은 업무망 전용으로 전환하고, 신규 인터넷망을 구축한다고 가정한다면, 국가기관의 물리적 망 분리를 위해서는 인터넷 PC, 보안메일시스템 등 각종 보안시스템 구축, 네트워크 장비 및 공사 등이 필요하며, 신규로 도입되는 보안 관련 제품은 ‘08. 6. 1부터 개정되는 국정원의 보안적합성 검증(CC인증 제품 도입후 보안적합성 의뢰)을 받아야 함

가. 인터넷 PC환경 구축

Ο 인원 및 PC 사용 현황, 직무분석 결과를 반영하여 인터넷 PC 및 KVM Switch도입 - 인터넷 PC 지급은 직급? 직책별 일괄 지급을 지양하고, 직무분석을 통해 업무상 필요한 개인에 한해 PC 지급 계획 수립 - 문서작성 및 편집, 인트라넷 등 업무는 업무용 PC를 이용하는 것이 원칙임에 따라, 인터넷 PC의 기능 최소화 - 키보드, 마우스 및 모니터 공유를 위한 KVM Switch Copyright ⓒ 2008 IDCneturyKorea Co., LTD., All rights reserved 5

국가기관 망 분리 구축 가이드

나. 보안환경 구축

물리적 방 분리시 반드시 도입해야 하는 각종 보안시스템에 대한 구성요소, 주요기능 및 고려사항 등은 제 3장에서 자세히 제시하며, 기 구축되어 있는 보안시스템과의 호 환성 여부에 대한 면밀한 검토 필요 ○ 신규 구축되는 인터넷망의 침입차단을 위한 방화벽 ○ 외부로부터 유입되는 웜/바이러스, 악성코드 및 스펨메일 등으로부터 사용자 PC 의 자료 보안 및 네트워크를 보호하고, OS 및 SW의 자동 업데이트를 위한 PC 보안 및 PMS 시스템 ○ 인터넷 망과 업무망의 상호 보안 및 사용자 PC 혼용 방지 등을 위한 네트워크 접근 제어(NAC : Network Access Control) 시스템 ○ 보조기억매체의 물리적 이동, 미등록 매체 통제 및 중요 자료 유출 방지를 위한 보조기억매체관리시스템 ○ 인터넷과 업무망의 메일시스템을 분리 구축하고, 외부 기관 등과 메일 송수신을 위한 보안메일시스템 ○ 사업예산이 허락하는 범위 내에서 악성코드, 헤킹메일 등을 차단하기 위한 이메일 악성코드 차단시스템(국정원 권고사항)

다. 네트워크 환경 구축

신규 인터넷망을 위한 네트워크 환경구축을 위해서는 면밀한 현황분석이 요구되며, 이를 통해 네트워크 장비와 인터넷 접속을 위한 통신회선 등 정확한 요구사항 도출이 필요 특히, 청사 입주 국가기관의 신규 인터넷 네트워크 전용망 구축시에는 광케이블 포설, 포트 및 케이블 식별 등을 위한 표준화 방안과 층간 수직 배선을 위한 공동구 확보가 필요 ○ 현재 사용 중인 네트워크 환경을 업무망으로 전환하고, 인터넷 접속을 위한 라우터, 백본 스위치, L3/L2 스위치 도입 ○ 본청 및 지청의 네트워크 구축 편리성 및 효율성을 고려한 인터넷 접속 통신회선 산정 Copyright ⓒ 2008 IDCneturyKorea Co., LTD., All rights reserved 6

국가기관 망 분리 구축 가이드

○ 현재 사용중인 네트워크 환경 정비를 포함한 배관 공사, 케이블 포설 및 전원 공사 등 - 정보통신공사 관련 법규(통신공사표준공법 등) 및 건설관련 법규 등에 의하여 공사를 시공하고, 보안업부시행규칙 준수 - 백본 스위치와 층간 L3 스위치까지 광케이블 구성 - 업무망과 인터넷망의 식별을 위한 랜 케이블 및 포트 색상 차별화 등

라. 기타

국가 정보보안 기본지침, USB메모리 등 보조기억매체보안관리지침(국정원, ‘07. 1), 공공기관의 개인정보보호에 관한 법률/ 시행령/ 시행규칙 및 해당 기관의 정보보안 관리지침 등을 반영한 보안정책 수립이 필요함

4. 소요예산 산정

망 분리 방식에 따라 도입장비 및 구축 내역이 상이하며, 제 3장의 각 시스템 별 주요 기능을 참고하여 사업범위에 맞는 소요예산 산정 장비구입비는 해당 제품의 견적과 조달단가 비교 등을 통해 걱정 소요예산을 산정하 고, 네트워크 구축 비용은 시스템운용환경구축비(공사비)를 준용

5. 기타

기타 사업계획 수립 및 사업추진에 필요한 내용이나 절차 등은 ‘전자정부 지원사업관 리방안(2007. 2, 한국정보사회진흥원)’을 참조하고, 망 분리에 따른 기술적 고려사항 등은 ‘국가 ▪ 공공기관 업무전산망 분리 실무매뉴얼(’07. 4, 국가정보원) 참조 Copyright ⓒ 2008 IDCneturyKorea Co., LTD., All rights reserved 7

국가기관 망 분리 구축 가이드

제3장 망 분리에 따른 필수 보안시스템

1. 보조기억매체 관리시스템 가. 목적

○ 인가된 저장 매체만을 업무망 및 인터넷 망에 접속 가능하도록 통제하며 외부로부 터 위험요소 유입 및 내부 중요 정보 유출을 사전 차단 할 수 있도록 하여, 자료 유통 내역에 대한 통합 기록 관리를 위함

나. 구성요소

○ 업무 및 인터넷 영역별 관리시스템(서버 및 SW) 각 1식 ○ USB 메모리 반 ▪ 입출에 따른 추적관리를 위한 대용량 스토리지 1식 ○ 보안 USB 메모리 및 Agent SW

인터넷영역

인터넷

분실USB

매체관리서버 패치관리 인터넷 PC

비인가USB 인가USB

업무영역

업무 PC 매체관리서버 업무망

다. 주요 기능

○ 국정원의 “USB 메모리 등 보조기억매체 보안관리 지침(‘07.1)”에 다른 USB 및 보조기억매체 보안관리 - 사용자 인증 및 식별 Copyright ⓒ 2008 IDCneturyKorea Co., LTD., All rights reserved 8

국가기관 망 분리 구축 가이드

- 지정데이터 암 ▪ 복호화 - 저장된 자료의 임의복제 방지 - 분실 시 지정데이터 보호를 위한 삭제기능 등 ○ USB 반 ▪ 입출시 중요자료의 추적관리를 위한 저장데이터 로그 및 원본 저장

라. 도입시 고려사항

○ 보안사고 및 장애 발생 시나리오 등의 보안정책 및 지침 수립 필요 ○ 인터넷 및 업무 영역의 매체관리서버 동기화 방안 ○ 관리자의 로그 삭제 권한을 제거하여 매체 반 ▪ 입출에 대한 로그 무결성 유지 방안 등

2. 네트워크 접근 제어 (NAC : Network Access Control) 시스템

가. 목적 ○ IP와 MAC 주소를 관리하여 비 인가된 PC의 업무 및 인터넷 사용을 차단하고, 등록된 PC만 네트워크 허용하기 위함 나. 구성 요소 ○ 업무 및 인터넷 영역별 NAC 시스템(서버 및 SW) 각 1식

인터넷영역

인터넷 미등록 PC 인터넷

PC

망관리시스템 등록된 PC

비인가USB 혼용 사용금지

업무영역

미등록 PC 업무

PC

등록된 PC 망관리시스템 업무망 Copyright ⓒ 2008 IDCneturyKorea Co., LTD., All rights reserved 9

국가기관 망 분리 구축 가이드

다. 주요 기능 ○ 각 기능별 서비스 모듈 ○ Agent, 네트워크 장비로부터 로그 데이터 수신, 알람, 저장 ○ 관리자 계정별 권한 설정 ○ 네트워크 장애 감시, 경보 및 현황 탐색 ○ IP 충돌방지 및 차단 ○ 미 인가 사용자 및 장비의 네트워크 접속 차단 ○ 사용자 이력 정보 수집 등 라. 도입시 고려사항 ○ 기존에 활용 중이 NMS 시스템과의 연계 가능 등 호환서 여부 확인 3. PC보안 및 PMS(Patch Management System) 가. 목적 ○ 외부로부터 유입된 웜/바이러스, 악성코드 및 스팸메일 등으로부터 사용자 PC 및 네트워크를 보호하고, ○ 인터넷 및 업무 사용자 PC의 OS, 상용 SW 및 각종 어플리케이션의 자동 업데이트를 통한 PC보안 관리 - 특히, 업무용 PC의 PMS가 필요하며, 수동관리를 위한 관리방안 수립 필요 나. 구성 요소 ○ 업무 및 인터넷 영역별 PC보안 및 PMS(서버 및 SW) 각 1식 다. 주요 기능 ○ PC 방화벽, 안티바이러스, 안티웜, DOS 차단 및 안티애드/스파이웨어 등의 PC보호 기능 Copyright ⓒ 2008 IDCneturyKorea Co., LTD., All rights reserved 10

국가기관 망 분리 구축 가이드

○ PC보안 관리 및 PMS를 위한 실시간 통합 관제 기능 - 공유폴더, 화면보호기, 계정에 대한 보안 취약성 관리 - 웜 등에 감염된 PC에 대한 네트워크 차단 등의 실시간 통합 관계 - 사용자 PC의 OS, 상용 SW 및 각종 어플리케이션 패치의 자동 설치 - 사용자 PC의 특정 SW 에 대한 실행 제한 등 라. 도입시 고려사항 ○ 인터넷과 업무망 PMS 시스템의 동기화를 위한 관리 방안 ○ 대부분의 PMS SW는 기본적인 매체관리 모듈이 내장되어 있어 매체관리 시스템 과의 모듈 충돌이 일어나므로 모듈 충돌 해결 방안 Copyright ⓒ 2008 IDCneturyKorea Co., LTD., All rights reserved 11

국가기관 망 분리 구축 가이드

제4장 기타 구성요소

1. 보안메일시스템 구축 가. 목적 ○ 메일에 대한 해킹을 근본적으로 방지하기 위해 인터넷 송 ? 수신용 보안 메일시스 템과 업무용 보안메일시스템 구축을 통하여 외부 위협 및 중요 기밀자료 유출을 차단 하기 위함 나. 구성요소 ○ 업무 및 인터넷 서비스 영역별 보안메일시스템(서버, 스토리지 및 HW) 각1식

인터넷영역

인터넷 메일 송 수신 인터넷 스토리지 보안메일 서버 유관기관 메일 송 수신 유관기관 국가기관 업무망

업무영역

내부업무

PC

내부업무 메일 송 수신 보안메일 서버 스토리지 다. 주요기능 ○ 중요자료 보호를 위해 데이터, 첨부파일 및 DB 자료 암호화 등의 보안 메일 송 ▪ 수신 기능 Copyright ⓒ 2008 IDCneturyKorea Co., LTD., All rights reserved 12

국가기관 망 분리 구축 가이드

라. 도입시 고려사항

○ 유관기관을 통한 우회 시도하는 해킹 메일 의 근절을 위해 유관기관 및 인터넷 사 용자 메일을 인터넷 보안메일시스템을 이용하여 송 ? 수신 ○ 내부 업무용 보안메일시스템에는 내부 업무용 도메인을 사용하되, 보안을 감안하 여 범위를 해당 국가기관 내부 직원으로만 적용

2. 업무 및 인터넷 프린터 공유

가. 목적 ○ 국가기관 사용자의 인터넷과 업무망을 분리함에 따라, 기존 환경에서 사용중인 프린터를 업무 및 인터넷 PC에서 공유하여 사용하기 위함 나. 프린터 공유 방식 구분 구성방식 적용대상 장 점 단 점 구성요소 인터넷 전용 프린터 도입 기존 프린터는 업무용으로, 신규 프린터는 인터넷 전용으로 구성 기존 프린터의 USB, Parallel, Lan등 여유포트가 없는 경우 구성이 단순하며, 사용이 편함 기존 프린터 공유 기존 프린터를 업무와 인터넷 PC 에서 공유 기존 프린터의 USB, Parallel, Lan등 여유 포트가 있는 경우 구축 비용이 저렴하며, 과도한 구축 및 유지보수 비용 발생 프린터 구성 방식이 다소 복잡함 프린터 서버용PC 또는 프리터 서버

인터넷 전용 프린터 도입 업무용 인터넷용 기존 프린터 공유 업무용 인터넷용 기존 프린터 인터넷 전용 프린터 신규 구입

Copyright ⓒ 2008 IDCneturyKorea Co., LTD., All rights reserved 13

기존 프린터 프린터 서버

국가기관 망 분리 구축 가이드

다. 도입시 고려사항 ○ 현재 사용중인 프린터 수량 및 여부 포트 등을 참조하여 프린터 공유 방식 선택 Copyright ⓒ 2008 IDCneturyKorea Co., LTD., All rights reserved 14