정보 보안 침해사고 대응 절차
제I부 – 목적, 정의 및 근거
조 1. 목적
1.1. 본 절차는 HiTechCloud가 정보 보안 장애(Security Incident) 발생 후 이를 탐지, 분석, 억제, 조치, 복구하고 교훈을 도출하기 위한 표준 실행 프레임워크를 수립하여 다음을 달성하는 것을 목적으로 합니다: (a) 피해 최소화; (b) 고객에 대한 SLA 약정 유지; (c) PDPD에 따른 개인정보 보호; (d) 관할 당국 및 영향을 받는 고객에 대한 통지 의무 준수.
조 2. 정의
2.1. “보안 이벤트” (Security Event): 보안과 관련될 가능성이 있는 관찰 항목(로그인 실패, scan port). “보안 장애” (Security Incident): 개인정보처리방침을 위반하거나 위반할 위협이 있는 것으로 확인된 이벤트. “데이터 위반” (Data Breach): 권한 없이 데이터를 노출, 손실, 변경 또는 파괴하는 장애. “CSIRT”: HiTechCloud의 내부 정보 보안 침해사고 대응팀.
법적 근거:
- 사이버보안법 2025(법률 제116/2025/QH15호, 2026년 7월 1일 효력 발생 — 사이버보안법 2018 및 사이버정보보안법 2015를 합치고 대체), 사이버 보안 보호 및 장애 조율과 대응에 관한 규정;
- 분류 수준별 정보 시스템 안전 보장에 관한 시행령 85/2016/ND-CP 및 사이버보안법 2025를 시행하는 시행령;
- 개인정보보호법 2025 (법률 제 91/2025/QH15호) 및 개인정보 위반 신고에 관한 시행령 356/2025/NĐ-CP;
- 국가 사이버 정보 보안 긴급 대응 계획 및 장애 대응 네트워크(VNCERT/CC)에 관한 결정 05/2017/QĐ-TTg;
- GDPR (제33조, 제34조) — 적용 대상 정보주체의 데이터에 적용됩니다.
제 II 부 - 침해사고 대응 조직 (CSIRT)
제3조. CSIRT 구성
3.1. CSIRT는 다음으로 구성됩니다: (a) 장애 지휘관(Incident Commander) – 보안 관리자(CISO/ISO); (b) 기술 대응 인사(Tier 1/Tier 2 NOC + SOC); (c) 디지털 포렌식(Digital Forensics) 전문가; (d) 법무 대표 및 DPO(개인정보에 영향을 미치는 장애의 경우); (e) 커뮤니케이션 및 고객 관계 대표; (f) 이사회 참관인(P1 장애의 경우).
3.2. CSIRT는 24/7 순번 대기 제도로 운영합니다. Email: csirt@photuesoftware.com.
제4조. 장애 등급 분류
4.1. 장애는 4가지 수준으로 분류됩니다: P1 – CRITICAL (전체 시스템 서비스 중단, 레벨 4 데이터 위반, Ransomware 확산, key/secret 유출 — 응답 ≤ 15분); P2 – HIGH (중요 고객 그룹의 서비스 중단, 프로덕션 시스템에 대한 불법 접근, 레벨 3 데이터 노출 — 응답 시간 ≤ 30분); P3 – MEDIUM (1–2대 서버의 malware, 단일 IP 발 brute-force, 미악용 Critical 취약점 — 응답 ≤ 2시간); P4 – LOW (포트 스캔, 비정상 로그인 실패, 경미한 이상 징후 — 영업일 기준 ≤ 1일 이내 응답). 분류 수준은 ATTT 시스템 개인정보처리방침의 데이터 분류 및 SLA의 P1–P4 우선순위 수준과 일치합니다.
제3부 – 6단계 프로세스(NIST SP 800-61 기반)
조 5. 단계 1 – 준비 (Preparation)
5.1. HiTechCloud는 다음을 유지 관리합니다: (a) 유형별(DDoS, Ransomware, data leak, Phishing, insider threat) 장애 대응 runbook(12개월마다 1회 업데이트), (b) 표준 포렌식 툴킷(FTK Imager, Volatility, Wireshark, GRR, Velociraptor, OSSEC, Wazuh), (c) 장애 훈련(tabletop + live drill, 최소 6개월마다 1회), (d) 비상 연락망: 국가기관, 인프라 파트너, 변호사, 보험사.
제6조. 2단계 – 탐지 및 분석 (Detection & Analysis)
6.1. 탐지 출처: (a) SIEM – 중앙 집중식 로그 수집; (b) IDS/IPS, EDR/XDR 실시간 알림; (c) Ticket/Hotline/Email을 통한 고객 보고 report@photuesoftware.com (남용 보고 정책에 따름); (d) 제3자 알림 (VNCERT/CC, CDN 파트너, threat intel feed).
6.2. 신호를 수신하면 SOC Tier 1은 ≤ 15분 이내에 예비 평가를 수행하고 P1–P4로 분류합니다. P1/P2 장애는 즉시 Tier 2 및 Incident Commander로 업그레이드됩니다.
조 7. 3단계 – Containment
7.1. 단기 격리: 침입한 host 격리, NGFW/DNS에서 악의적 IP/도메인 차단, 의심 계정 임시 잠금, 격리 전 가상 머신 Snapshot 생성
7.2. 장기 격리: 시스템 재구축, 모든 secret/key 재설정, 근본 원인 취약점 패치, 새로운 강화(hardening) 구성 적용.
7.3. 차단 결정은 Incident Commander가 승인하며; P1의 경우 1시간 이내에 이사진에 알립니다.
제8조. 4단계 – 제거 (Eradication)
8.1. 억제 이후, 기술 팀이 근본 원인을 파악하고, 악성코드를 제거하며, 위조 계정을 폐쇄하고, 공격자 artefact를 삭제합니다.
8.2. 모든 eradication 조치는 완전히 로깅되어야 합니다(타임스탬프, 실행자, 조치, 영향받은 호스트).
제9조. 5단계 – 복구(Recovery)
9.1. 백업 & 복원 정책에 따라 깨끗한 백업(감염되지 않음을 확인)에서 서비스를 복원합니다.
9.2. 시스템을 운영 상태로 복귀하기 전에 다음을 완료해야 합니다: 취약점 진단, 중요 파일 무결성 검사, 복구 후 7일간 강화된 모니터링.
조 10. 6단계 – 경험 교훈 (Lessons Learned)
10.1. 각 P1/P2 장애 후, CSIRT는 5영업일 내에 검토 회의를 개최하고 10영업일 내에 근본 원인 분석(RCA) 보고서를 릴리스합니다.
10.2. RCA는 다음으로 구성됩니다: 장애 타임라인, 기술적 및 프로세스 근본 원인, 예상 손실, 시정 조치, 재발 방지 조치입니다.
제IV부 – 알림 의무
제11조. 고객 알림
11.1. 고객의 서비스에 영향을 미치는 장애의 경우, HiTechCloud는 등록된 Email, status.hitechcloud.vn 상태 대시보드, 시스템 Ticket을 통해 통지하며, (P1의 경우) 가능한 경우 직접 전화로 안내합니다.
11.2. 첫 번째 알림 시간: P1 확인 시점부터 ≤ 30분; P2는 ≤ 2시간; P3/P4는 ≤ 8시간. P1의 경우 문제가 해결될 때까지 최소 2시간마다 업데이트 알림을 제공합니다.
제12조. 국가기관 알림
12.1. 네트워크 정보 보안 장애의 경우: 사이버 보안 및 정보 보안 담당 국가 관계기관(과학기술부; VNCERT/CC) 및 사이버보안 및 첨단기술 범죄 방지 부서(A05, 공안부)와 협력 및 통지, 2025년 사이버보안법 및 결정안 05/2017/QĐ-TTg에 따름.
12.2. 개인정보 침해 위반 장애의 경우: 2025년 개인정보보호법 및 시행령 356/2025/NĐ-CP에 규정된 기한에 따라 A05(공안부)에 통지하고, 고위험이 있는 경우 영향을 받는 정보주체/고객에게 동시에 통지합니다. HiTechCloud는 법률에 다른 기한이 규정되어 있지 않는 한 위반 확인 후 72시간 이내에 통지하는 것을 운영 목표로 합니다.
조 13. 국제 관할권 내 알림
13.1. EU/EEA의 정보주체 데이터의 경우: GDPR 제33조에 따라 72시간 내에 관련 감독 기관에 알리고, 위험이 높을 경우 GDPR 제34조에 따라 정보주체에 알립니다.
13.2. 통보 요구사항이 있는 다른 지역(UK, California, Singapore…)의 대상자의 경우: 각 지역의 규정을 규정 준수합니다.
제V부 – 증거 보전 및 조사 협조
제14조. Chain of Custody
14.1. 모든 디지털 증거(disk image, memory dump, 로그, packet capture)는 Chain of Custody 원칙에 따라 수집되며, 수집자, 시간, SHA-256 해시, 방법 및 목적을 기록합니다.
14.2. 증거는 엄격한 접근 제어 하에 별도의 스토리지 저장소에 장애 종료일로부터 최소 24개월 동안(또는 관할 기관의 요청/진행 중인 법적 사건에 따라 더 오래) 보관됩니다.
조 15. 수사 기관과의 협력
15.1. HiTechCloud는 서면의 합법적 요청이 있을 때 공안기관, 검찰청, 법원과 협력합니다.
15.2. 모든 데이터 제공 요청은 제공 전에 법무 부서에서 적법성과 범위를 검토해야 하며, 개인정보 제공은 PDPD에 따른 최소 필요 원칙을 규정 준수하여 처리됩니다.
제 VI 부 – 효력
제16조. 효력 및 검토
16.1. 본 절차는 01/07/2026부터 효력이 발생하며, 최소 12개월마다 1회 이상 검토됩니다.
16.2. 모든 수정 사항은 이사의 승인을 받아야 하며, 시행일 최소 5영업일 전에 내부 알림을 진행해야 합니다.
