「정보 보안 업무 규정」

<전면개정 2019. 5. 1.>

제1장 총 칙

제1조(목적) 본 규정은 울산대학교(이하 ”본 대학교“라 한다.)의 보안요구사항에 대한 정보보안 관리체계의 방향성을 제시하고, 이를 바탕으로 관련 법규 및 기타 계약상의 요구에 대응하며, 비 인가자에 의한 정보의 오남용, 훼손, 변조, 유출 등의 위협으로부터 중요 정보 자산을 보호하여 업무의 연속성을 보장하고, 정보보안 사고로 인한 시스템 및 자원의 피해를 최소화하기 위한 기본 방침을 정립하는 것을 목적으로 한다.

제2조(정의) 이 규정에서 사용하는 용어의 정의는 다음 각 호와 같다.

  1. “정보”라 함은 본 대학교 업무와 관련하여 생성 또는 입수하여 소유하고 있는 지적 자산 등의 자료로서, 컴퓨터나 저장매체에 기록된 자료를 말한다.

  2. “정보시스템”이라 함은 다양한 서비스 제공을 위해 사용 또는 관리하는 모든 컴퓨터 하드웨어와 시스템 소프트웨어, 응용프로그램 등을 통칭하며, PC를 포함한다.

  3. “캠퍼스통신망”이라함은 본 대학교 캠퍼스내에 설치한 유무선 전화망, 유무선 전산망 및 CATV망 설비를 통칭한다. 단, 각 단위 기관에서 임의로 설치 운영하는 LAN설비, 사설교환기 및 키폰 등은 제외하며, 만약 이를 캠퍼스통신망에 접속할 경우는 캠퍼스통신망측 접속장치까지만 캠퍼스통신망으로 간주한다.

  4. “보안시스템”이라함은 정보시스템 및 캠퍼스통신망을 침해사고로부터 보호하기 위해 설치한 각종 하드웨어 및 소프트웨어를 말한다.

  5. “정보자산“이라 함은 정보와 정보시스템, 캠퍼스통신망, 보안시스템 등을 통칭한다.

  6. "침해사고"라 함은 외부 또는 내부의 악의적인 사용자에 의한 비인가된 시스템 사용, 사용자 계정의 도용, 악성코드(웜/바이러스) 유입 및 실행, 정보시스템 방해 등 시스템의 서비스를 왜곡 또는 지연시키거나 시스템을 파괴, 데이터를 변조, 삭제하는 등의 행위를 말한다.

  7. “사용자” 또는 “이용자”라 함은 본교 교원, 직원, 조교, 본교 재적생 및 졸업생, 부설연구소 및 부설교육기관․부속기관 소속으로 정보시스템 사용을 인정받은 자 등 본교 정보시스템을 사용할 수 있도록 허가받은 자를 말한다.

  8. “외부자”라 함은 본 대학교와 계약에 의해 용역 및 서비스를 제공하는 외부 전문가 및 외부용역업체, 기타 본 대학교 정보자산에 접근이 허용된 자 및 업체를 말한다.

제3조(적용대상 및 범위) ① 본 규정의 적용대상은 정보자산을 이용하거나, 관리하는 본 대학교 전 구성원 및 외부자로 한다.

  ② 본 규정은 본 대학교가 보유 및 운영하고 있는 관리적・기술적・물리적 보호가 필요한 모든 정보자산 및 정보 관련자산을 대상으로 한다.

제4조(정보보안 요구사항) 본 대학교의 정보자산은 다음과 같은 요구사항을 충족하여야 한다.

  1. 기밀성 : 정보가 권한이 없는 사람에게 공개되지 않아야 한다.

  2. 무결성 : 정보가 권한이 없는 사람에 의해 변경되지 않고, 정확하고 완전한 상태로 유지되어야 한다.

  3. 가용성 : 권한이 있는 사람이 정보에 대한 접근을 필요로 할 때, 적정한 시간 내에 이용 가능해야 한다.

  4. 준법성 : 개인정보보호법, 정보통신 기반보호법, 정보통신망 이용촉진 및 정보보호 등에 관한 법률, 저작권법, 신용정보의 이용 및 보호에 관한 법률, 금융실명거래 및 비밀보장에 관한 법률 등 정보보호 관련 법적 요구사항을 준수하여야 한다. <개정 2019. 5. 1.>

제5조(정보보안 기능 요구사항) 정보자산에 대한 정보보안 요구사항을 충족하기 위하여 보안관리는 다음과 같은 기능 요구사항을 충족하여야 한다.

  1. 권한 관리 : 정보자산을 업무특성 및 중요도에 따라 분류하고 사용자별로 업무수행에 따른 역할에 따라 정보자산에 대한 접근권한을 부여하고 관리하여야 한다.

  2. 식별 및 인증 : 정보자산에 접근하고자 하는 사용자를 식별하고 확인하여야 한다.

  3. 접근 통제 : 식별된 사용자에게 주어진 권한에 따라 정보자산에 대한 접근을 통제하여야 한다.

  4. 책임 추적 : 정보 및 정보시스템의 소유자, 운영자, 사용자의 의무 및 책임을 명확히 하고 특정 활동의 책임을 추적할 수 있어야 한다.

  5. 기타 기능 : 정보자산에 따라 기밀성, 무결성, 가용성 및 준법성 요구에 적합한 기능이 제공되고 관리되어야 한다.

제6조(정보자산 사용자) 인가된 정보 자산만을 이용할 권한을 가지며, 본 규정을 준수할 의무와 불법 사용에 대한 최종 책임을 갖는다.

제7조(준수 확인) ① 정보자산 사용자의 본 규정 위반은 본 대학교 인사규정에 따라 징계되며, 사안에 따라서는 고발 조치 될 수 있다.

  ② 정보자산 사용자가 본 규정을 위반하여 본 대학교에 재산상의 손실을 입히거나 이미지를 훼손시킬 경우에는 민·형사상의 모든 책임을 진다.

제2장 정보보안 조직

제8조(정보보안 심의사항) <개정 2019. 5. 1.>  ① 정보보호 위반자 심사 및 처리 등에 관한 사항은 전산화위원회에 상정한다.

  ② 다음 각 호에 대한 사항은 전산화위원회의 정보보호소위원회에서 심의한다.

  1. 정보보안 정책·지침 및 대책 수립에 관한 사항

  2. 정보보안 신규 추진 사업 및 연간계획 수립에 관한 사항

  3. 기타 위 각호에 부수되는 제반 사항

제9조(정보보안 조직) ① 정보보안 조직은 효율적인 정보보안 업무를 수행하기 위하여 정보보호최고책임자과 정보보안 담당부서로 구성한다. <개정 2019. 5. 1.>

  ② 정보보호최고책임자은 정보통신원장으로 하고, 정보보안 담당부서는 정보통신원 정보인프라팀이 된다.<개정 2016. 9. 1. 2019. 5. 1. 2021. 3. 1.>

  ③ 정보보안 담당부서는 정보보호관리자 및 정보보호담당자로 구성한다.<개정 2016. 9. 1. 2019. 5. 1.>

  ④ 정보보호관리자는 정보인프라팀의 팀장으로 하고, 정보보호담당자는 정보인프라팀 팀원으로 한다.<신설 2016. 9. 1. 개정 2019. 5. 1.>

제10조(정보보호최고책임자의 역할) <개정 2019. 5. 1.> ① 정보보호최고책임자은 정보보안 관련업무를 총괄하며, 다음과 같은 업무를 수행한다.

  1. 정보보안 정책 수립 및 시행

  2. 정보보안 업무 지도감독 및 교육

  3. 보안점검 및 보안업무 심사분석에 관한 사항

  4. 기타 정보보안에 관한 사항

제11조(내부방침의 수립 및 시행) ① 정보보호최고책임자은 본교의 정보운영환경의 안정성과 정보의 신뢰성을 확보하는데 필요한 정보보호조치를 내용으로 하는 정보보안(호)내부지침(이하 “내부지침”이라 한다)을 수립·시행하여야 한다. <개정 2019. 5. 1.>

  ② 제1항의 내부지침을 년 1회 이상 검토 및 보완하여야 한다.

제12조(정보보호관리자의 역할) <개정 2019. 5. 1.> ① 삭 제<2016. 9. 1.>

  ② 정보보호관리자는 정보보호최고책임자로부터 위임받은 업무와 적절한 정보보안 수준을 유지하기 위하여 다음과 같은 업무를 수행한다. <개정 2019. 5. 1.>

     1. 정보보안 정책·지침 및 비상·재난 대책 수립 <개정 2019. 5. 1.>

     2. 정보자산 신·증설에 따른 보안성 검토

     3. 기타 보안관련 대외협력 담당 등

제13조(정보보호담당자의 역할)<개정 2016. 9. 1. 2019. 5. 1.> ① 정보보호담당자는 정보보호관리자를 보좌하여 정보보호관리자가 진행하는 모든 영역에 대해 실무를 담당한다. <개정 2019. 5. 1.>

② 정보보호담당자의 역할 및 책임은 다음과 같다. <개정 2019. 5. 1.>

1. 정보보호 계획 수립 및 정책지침 제/개정 업무

2. 정보보호 활동에 대한 점검 및 평가 업무

3. 정보보호 시스템 도입에 대한 계획 수립 및 운영 업무

4. 침해사고 예방 및 대응을 위한 업무수행 등

제3장 정보보안

제1절 정보자산관리

제14조(정보자산의 식별 및 분류) <개정 2019. 5. 1.> ① 정보보호 담당부서는 본 대학교 주요 정보자산을 파악하고, 보호되어야 할 정보자산을 식별하여야 한다. <개정 2019. 5. 1.>

  ② 식별된 정보자산에 대해 유형별로 분류하고, 목록을 통해 관리하여야 한다. <개정 2019. 5. 1.>

  ③ <삭제 2019. 5. 1.>

  ④ <삭제 2019. 5. 1.>

제15조(보안등급) ① 본 대학교 주요 정보자산은 내부 지침에서 정의한 보안등급의 분류기준에 따라 분류・관리하여야 한다. <개정 2019. 5. 1.>

  ② 정보자산의 보안등급 및 사용자 인가는 전항의 기준에 따라 정보자산을 보유한 부서의 장이 별도로 정한다.

제16조(보안 점검) ① 정보보호최고책임자은 연 1회 이상 정보보안 업무규정 및 지침 준수에 대한 정기 점검을 실시해야 하며, 필요시 수시 점검을 실시할 수 있다. <개정 2019. 5. 1.>

  ② 정보보안 담당부서는 보안점검 대상 및 분야를 해당 부서에 통보하고, 해당 부서에서는 보안점검에 필요한 자료 및 제반 요청사항을 준비하여 보안점검에 대비한다.

  ③ 정보보안 담당부서는 보안점검을 실시한 후 그 결과를 정보보호최고책임자에게 보고한 후 해당 부서에 통보한다. <개정 2019. 5. 1.>

  ④ 해당 부서에서는 지적사항을 즉각 시정하고 그 결과를 정보보호최고책임자에게 보고한다. <개정 2019. 5. 1.>

  ⑤ 정보보호최고책임자은 필요시 각 부서의 보안점검 지적사항에 대한 시정 여부를 확인할 수 있다. <개정 2019. 5. 1.>

제17조 (정보자산의 도입 시 보안성 검토) ① 안전성 및 침해사고의 방지를 위해 보안시스템, 소프트웨어 등과 같이 보안성 검토가 요구되는 정보자산의 도입 시에는 규정된 구매절차와 더불어 보안성에 대한 검토를 실시한다.

  단, 공신력 있는 기관의 인증된 제품에 대해서는 생략할 수 있다.

  ② 보안성 검토는 정보보안 담당부서에 의해 수행되어야 하며, 필요 시 외부보안전문가 및 전문 업체를 통한 협력검사를 실시한다.

  ③ 보안성에 대한 검토 결과를 장비 선택에 대한 평가 자료에 반영한다.

제18조(정보자산의 설치 및 변경) ① 정보자산의 설치 및 변경으로 인하여 서비스 연속성에 영향이 있을 경우는 이를 사전에 공지하여야 한다.

  ② 정보자산의 설치 및 변경 시에는 보안관련 기술적 보안 조치사항을 고려하여 적용한다.

  ③ 정보자산의 관리부서는 설치 또는 변경되는 정보자산에 대한 보유현황을 최신의 상태로 유지하여야 한다.

  ④ 보안시스템, 정보시스템, 캠퍼스통신망 장비 등 보안성이 요구되는 정보자산의 설치가 종료된 후에는 관리 담당자는 보안설정 및 보안기능 등이 정상적으로 설치되었는지 확인하고, 정보보안 담당부서에 검토를 요청한다.

  ⑤ 보안시스템과 기밀정보를 처리하는 서버, 주요 통신망 장비는 설치 시 다음 사항을 준수하여야 한다.

     1. 제한 구역 내에 설치하여야 하며, 7일 X 24시간 X 365일 모니터링 가능한 곳에 설치 운영 하고 비인가자의 불법접근 및 오용이나 남용을 방지하기 위하여 물리적인 출입 통제가 시행되도록 한다.

     2. 설치 위치를 설정함에 있어 화재, 침수, 홍수, 지진 등 발생 가능한 다양한 형태의 위험을 고려하여야 한다.

     3. 장비가 위치한 곳에서의 음식물, 인화성물질 등의 반입 및 흡연을 금지한다.

제19조(정보자산의 매각 및 폐기) ① 하드웨어의 매각이나 폐기 시 해당 하드웨어 관리자는 반출 전에 하드웨어에 적재된 모든 구성설정정보, 로그정보, 비밀번호 등을 포함한 일체의 내용을 초기화 또는 삭제하여야 한다.

  ② 하드디스크 등의 저장장치가 부착된 하드웨어(서버, 스토리지, PC 등)는 매각이나 폐기 시, 분리하여 별도 파기하거나 기록된 데이터를 삭제하고 포맷하여야 한다.

  ③ 하드웨어 관리자는 매각이나 폐기장비 반출 전에 정보보안 담당부서에 확인을 요청하여야 한다.

  ④ 백업 미디어 등과 같은 기록매체는 폐기 시 데이터 삭제 및 포맷 후 폐기하여야 하며, 필요한 경우 물리적으로 완파하여야 한다.

  ⑤ 정보자산 운영에 필요한 문서 등은 안전하게 파쇄 또는 소각해야 한다.

  ⑥ 정보자산의 폐기를 전문 업체를 통해 시행할 경우, 정보의 유출과 관련한 보안사항을 계약서에 반영하여야 한다.

제2절 인적보안

제20조(인적보안) ① 정보통신망을 통하여 비밀 등 중요 정보를 취급하는 다음 각 호의 사용자에 대해서는 인사담당 부서에서 비밀취급 인가, 보안서약서 징구 등의 보안 조치를 이행해야 한다.

     1. 교직원으로 임용된 자

     2. 비밀 취급 예정자

     3. 주요 시설, 장비 및 자료 등의 관리자

     4. 기타 정보보호최고책임자가 보안상 필요하다고 인정하는 자 <개정 2019. 5. 1.>

  ② 인사 담당자는 정보보안 담당부서와 협의하여 신규 교직원 채용 시 본 대학교의 정보보안 업무 규정 및 지침과 정보보안 관리 책임에 대한 교육을 실시해야 한다.

  ③ 학사・행정시스템 관리자는 보직변경, 퇴직 등 인사이동이 있을 경우에 인사 관리부서나 해당 업무부서의 요청에 의해 사용자의 접근 권한을 조정해야 한다.

제21조(보안 교육) ① 정보보호최고책임자는 연간 정보보안 교육계획을 수립해야 하며, 연 1회 이상 교내 전 구성원에 대한 정보보안 집체교육을 시행해야 한다. <개정 2019. 5. 1.>

  ② 정보보안 교육은 학내 의사결정자・사용자 및 시스템 관리자를 대상으로 주제별, 대상별 필요에 따라 수시・정기교육을 실시해야 한다.

제22조(보안사고의 처리) ① 사이버침해사고가 발생하거나 징후가 발견될 경우 다음 각 호의 단계에 따라 적절한 조치를 취해야 한다.

     1. 시스템 관리자는 자신의 시스템에 비정상적인 활동이나 징후가 보이면 무단 침입자의 유무를 즉각 점검해야 한다.

     2. 정보보안 담당부서는 사이버 침해사고 발생 시 경우 필요한 조치를 즉각 취하고 정보보호최고책임자에게 보고해야 한다. <개정 2019. 5. 1.>

     3. 정보보안 담당부서는 피해 확산의 우려가 큰 중대한 사이버침해사고의 경우 긴급 차단을 수행해야 한다.

     4. 정보보안 담당부서는 침입자를 차단했거나 로그파일의 분석을 통해 침입한 흔적이 발견된 경우 즉시 정보보호최고책임자에게 보고하고, 보안진단 도구나 체크리스트를 이용하여 정보자료의 이상 유・무를 점검해야 한다. <개정 2019. 5. 1.>

     5. 시스템 관리자는 사이버침해사고의 경위 및 재발방지 대책을 수립・이행해야 하며, 정보보호최고책임자에게 개선조치사항을 보고해야 한다. <개정 2019. 5. 1.>

  ② 정보보호최고책임자는 중대한 사고라고 판단될 경우, 사고 사례를 전파하여 추가 피해사고를 미연에 방지하여야 한다. <개정 2019. 5. 1.>

제4장 사용자

제23조(PC 관리) ① 이용자는 개인용 PC(노트북, 넷북 등 유사 정보시스템 포함)를 사용함에 있어 보안의 적절성을 유지하여야 하며, 다음 각 호가 지켜지지 않을 시에는 부적절한 사용으로 간주하여 제재 조치할 수 있다.

  1. ~ 6. <삭제 2019. 5. 1.>

제24조(계정 관리) 이용자는 자신의 계정 및 패스워드가 외부로 노출되지 않도록 유의하고 주기적으로 이를 변경하여야 한다.

제25조(개인정보 관리) ① 이용자는 개인정보를 제공할 경우에는 본교 홈페이지에 게시된 '개인정보보호정책'에서 규정하는 개인정보의 수집목적, 관리방법 등을 확인하여야 한다.

  ② 이용자는 정보공유가 가능하고 다양한 이용자가 공동으로 이용하는 전기통신설비를 이용하는 경우에는 개인정보 및 사생활정보 등의 보호를 위하여 공유해지 등 필요한 조치를 하여야 한다.

제26조(컴퓨터바이러스 등 주의) ① 이용자는 발송자를 확인할 수 없는 전자우편 또는 제공자가 불확실한 컴퓨터프로그램 등에 대해 안전성여부를 확인하고 실행하여야 한다.

  ② 이용자는 컴퓨터바이러스 방지프로그램을 설치하여 침투여부를 수시로 점검하고, 침투한 경우에는 이를 제거·복구하여야 한다.

  ③ 이용자는 최신의 윈도우 업데이트를 주기적으로 실행하며 필요한 보안패치를 반드시 적용하여야 한다.

제27조(PC 폐기) ① 이용자는 PC의 폐기시에는 반드시 저장장치를 분리하여 별도 파기하거나 초기화한다.

  ② 정보보호관리자는 사용자정보, 중요 컨텐츠 등 민감한 내용이 보관된 PC의 경우 PC 폐기 처리결과에 대해 사후검토를 실시할 수 있다. <개정 2019. 5. 1.>

제28조(불법소프트웨어에 대한 책임) ① 불법소프트웨어의 사용에 대한 책임은 사용자 및 부서장에게 있다.

  ② 각 부서장은 구성원이 불법소프트웨어를 사용하지 않도록 관리감독을 하여야 한다.

제29조(정보보호의 날)<개정 2016. 9. 1.> ① 정보보호최고책임자는 매월 넷째 주 목요일을 「정보보호의 날」로 지정․운영한다. 단, 해당일이 공휴일 등 부득이한 사유가 있을 경우 변경하여 운영할 수 있다. <개정 2019. 5. 1.>

  ② 정보보호담당자는 서버․네트워크․정보보안 장비에 대하여 보안점검을 실시한다. <개정 2019. 5. 1.>

  ③ 정보자산을 보유한 모든 부서는 PC보안 체크리스트 및 개인정보관리실태를 점검한다.

  ④ 정보자산을 보유한 모든 부서는 정보보호최고책임자가 지정한 정보보호 소프트웨어를 사용하여 보안진단을 수행해야 하며 이상이 있을시 그 결과를 정보보호최고책임자에게 통보하여야 한다. <개정 2019. 5. 1.>

  ⑤ 정보보호최고책임자는 사이버 보안진단을 수행하지 않는 이용자의 전산망 접속을 제한 할 수 있다. <개정 2019. 5. 1.>

제5장 외부자

제30조(외부자 보안관리 역할 및 책임) ① 계약업무담당자는 외부업체와 계약 시 계약서에 정보보안 요구사항을 명시하여 계약 당사자 간에 합의하여야 한다.

  ② 업무주관부서는 정보보안 준수 사항 및 사고 시 보고 절차 등을 명확히 외부자에게 공지하여야 하며, 필요 시 외부자에 대해서 정보보안 요구사항의 이행여부를 감사할 수 있다.

  ③ 정보보안 담당부서는 계약업무담당자 및 업무주관부서에서 요청 시 외부자가 정보보안 요구사항을 이행하고 있는지 검토하여야 한다.

제31조(외부용역 추진 시 검토사항) ① 중요 정보시스템의 개발 및 운영업무를 외부용역으로 대체하는 경우, 업무주관부서는 다음 사항을 충분히 검토하여야 한다.

  1. 정보시스템 서비스 외부용역에 따른 정보 관리의 취약점을 최소화하고 정보보안을 위하여 내부 통제방안을 수립 및 운영하여야 한다.

  2. 재난상황에서도 최소한의 업무기능 유지를 위해 백업자료를 보존하고, 백업설비를 확보하는 방안을 강구해야 한다.

  3. 외부자가 제공하는 서비스의 품질수준을 주기적으로 평가할 수 있다.

제32조(계약 시 정보보안 요구사항) ① 외부자의 계약서에는 정보보안을 위한 다음과 같은 요구조건을 포함하거나 관련사항이 언급된 문서가 명시되어야 하며, 계약은 정보시스템 접근 허가 전에 공식 체결되어야 한다.

     1. 법적 요구사항의 충족 여부

     2. 모든 계약 당사자들에게 정보보안 책임을 주지시키는 절차

     3. 정보자산의 무결성 및 비밀성 유지

     4. 전산매체에 저장된 데이터의 보호 및 소유권

     5. 중요 정보 사용권한이 없는 자의 접근제한에 관한 사항

     6. 재해 발생 시 서비스의 가용성 유지 방법

     7. 외부자 장비에 대한 물리적 보안 허용 수준

     8. 자료 제출 및 감사 권한

     9. 서비스수준협약의 정의

    10. 본 대학교와 외부자의 위험 및 의무 등

  ② 외부자는 원칙적으로 재 위탁을 금한다. 다만 재 위탁 계약 시 반드시 정보보안 요구사항을 준수하도록 명시하며 이를 관리/감독한다.

  ③ 본 대학교는 업무와 관련된 사항에 대하여 외부자를 감사할 수 있는 권한을 가지며, 이를 계약서에 명시할 수 있다.

제33조(비밀유지 서약) ① 외부자가 법인일 경우는 대표가 서명한 업무 전반에 비밀 보장을 서약하는 외부자 보안서약서 [별표 1]를 작성하여야 한다.

  ② 외부자가 법인일 경우 대표의 외부자 보안서약서 이외에 업무를 수행할 인원 개개인에 대해서도 비밀보장을 위해 정보보안서약서를 작성하여야 한다.

제34조(외부자의 의무) ① 외부자는 내부직원과 동일한 정보보안 책임과 의무를 가진다.

  ② 업무주관부서는 외부자에게 정보보안 준수 사항 및 사고 시 보고 절차 등을 명확히 공지하고, 외부자는 이를 숙지하여야 한다.

  ③ 외부자는 다음의 책무을 다 하여야 한다.

     1. 계약서에 기술한 정보보안 요구사항을 포함하여 계약사항에 대해 성실히 이행하여야 한다.

     2. 업무의 수행 중 발생하는 추가적인 정보보안 요구사항에 대하여 협의 및 합의하고 이를 준수하여야 한다.

  ④ 외부자가 법인일 경우는 외부용역인력에 대한 정보보안교육을 정기적으로 실시하여야 한다.

제35조(외부자 사용자 관리) ① 본 대학교의 시스템에 접근할 경우, 별도 사용자 계정을 발급받아야 한다.

  ② 운영 중인 정보시스템에 대한 작업을 승인한 경우 이용시간과 작업지역을 제한하여 접근통제를 실시할 수 있다.

  ③ 업무담당 부서는 외부자에게 제공하는 각종 통제 방법 등을 평가하고, 필요 시 추가적인 통제방안을 요구하여야 한다.

제36조(외부자 접근통제) ① 외부자는 직무에 필요한 정보만 접근할 수 있도록 하여야 한다.

  ② 시스템의 계정에 적절한 접근권한을 설정하여 필요 이상의 접근이 가능하지 않도록 소프트웨어적 통제를 실시한다.

  ③ 외부자가 사용하는 통신망은 캠퍼스통신망과 분리하여 주요시스템의 접근이 제한되도록 한다. 단, 업무상 부득이한 경우 예외로 할 수 있다.

제37조(외부자 업무 완료 시) ① 외부자는 보유 중인 본 대학교 소유의 모든 정보자산을 반환해야 하며, 특별한 허가를 받지 않는 한, 개인PC/노트북/저장장치 등에 포함된 본 대학교의 지적재산과 관련된 모든 정보는 삭제한다.

  ② 본 대학교로부터 부여받은 물리적, 논리적 권한의 삭제 요청과 정보자산에 대한 반납에 대해 외부자는 외부용역 업무완료 보안 점검표 [별표 2]를 작성하여 업무주관부서의 확인을 받아야 한다.

  ③ 업무주관부서로부터 특별한 허가를 받지 않는 한, 본 대학교에서 취득한 어떤 정보자산도 외부자가 보유해서는 아니 된다.

제38조(위배사항의 처리) ① 계약상의 정보보안 요구사항과 관련하여 외부자의 위배사항이 발생할 경우 제도적, 법적 대응책을 강구해야 한다.

  1. 경미한 위배사항일 경우, 외부자와의 협의를 통해 피해를 구제한다.

  2. 중요한 위배사항일 경우, 계약서 및 관련 법률에 따라 피해보상을 강구해야 한다.

제39조(외부자 장비 반입/반출) 외부자 소유 정보자산의 반입/반출시는 본 규정 제18조 및 제19조에 따른다.<개정 2016. 9. 1.>

제40조(예외적용) ① 다음 각 호에 해당하는 경우에는 본 규정에서 명시한 내용일지라도 정보보호최고책임자의 승인을 받아 예외 취급할 수 있다. <개정 2019. 5. 1.>

  1. 기술환경의 변화로 적용이 불가능할 경우

  2. 기술적, 관리적 필요에 따라 규정의 적용을 보류할 긴급한 사유가 있을 경우

  3. 기타 재해 등 불가항력적인 상황일 경우

  4. 기관의 특성에 따라 본 규정의 일부적용이 불가능 할 경우 정보보안 조직의 승인을 거쳐 기관용 지침을 별도로 제정하여 운영할 수 있다.

   부  칙

1. (시행일) 이 규정은 2014년 5월 1일부터 시행한다.

   부  칙

1. (시행일) 이 규정은 2016년 9월 1일부터 시행한다.

   부  칙

1. (시행일) 이 규정은 2019년 5월 1일부터 시행한다.

   부  칙

1. (시행일) 이 규정은 2020년 10월 1일부터 시행한다.

   부  칙

1. (시행일) 이 규정은 2021년 3월 1일부터 시행한다.

[별표 1]

외부자 보안 서약서     본인은    년    월   일부로 울산대학교 용역으로           사업과  관련한 업무를 수행함에 있어 다음 사항을 준수할 것을 엄숙히 서약한다.      1. 본인은 업무를 수행함에 있어 관련된 소관업무가 기밀사항임을 인정하고 제반 보안관계규정 및 지침을 성실히 수행한다.      2. 본인은 이 기밀을 누설함이 이적행위가 됨을 자각하고, 보안내규 및 제 규정을 시간과 지역에 제한 없이 성실히 이행하며, 법 규정에 의하여 용역기간중은 물론 용역 종료 후에도 직무상 지득한 제반 비밀사항을 일체 누설하지 않을 것을 서약한다.      3. 본인은 용역 관련 자료(노트북 및 보조기업매체 저장파일 포함) 전량을 반납하고 용역 참가자 소유의 컴퓨터 보관 자료를 완전 삭제하여, 복사본 등 용역사업관련 자료를 보유하지 않을 것을 서약한다.      4. 본인이 기밀을 누설하였을 시에는 아래 관계법규에 따라 엄중한 처벌을 받을 것을 서약합니다.          가. 국가보안법 제4조 제1항 제2호ㆍ제5호(국가기밀 누설 등)          나. 형법 제99조 (일반이적) 및 제127조(공무상 비밀의 누설)     서약자 소속 :                 직위 :          성명 :                   인   서  약 소속 :                 직위 :          성명 :                   인 집행자                    울산대학교 총장 귀하

[별표 2]

외부용역 업무완료 보안 점검표

1. 사업 개요

2. 외부용역 업무 수행시 인적사항

3. 확인 항목