정보보안 정책

제1조 목적

본 정책은 AIONETRA OS의 기밀성, 무결성, 가용성을 확보하고, 회사 및 고객사의 정보자산을 안전하게 보호하기 위한 기준과 절차를 정함을 목적으로 한다.

본 정책은 정보보호 관련 법령, 개인정보보호 의무, 상장회사 내부통제 및 감사 대응 요구사항을 반영하여 수립한다.

제2조 용어정의

본 정책에서 사용하는 용어의 정의는 다음과 같다.

1. 정보자산: AIONETRA OS 운영에 관련된 모든 정보시스템, 데이터, 문서, 소프트웨어, 네트워크, 물리적 장비를 포함한다.
2. 비밀정보: 비밀번호, API Key, Access Key, Secret Key, 토큰, 인증서, 암호키 등 시스템 인증 및 접근에 사용되는 정보를 말한다.
3. 중요정보: 제5조에 따라 최고중요 정보 또는 중요 정보로 분류된 정보자산을 말한다.
4. 보안사고: 정보자산의 기밀성, 무결성, 가용성을 침해하거나 침해할 우려가 있는 일체의 사건을 말한다.
5. 접근권한: 정보자산에 대한 읽기, 쓰기, 실행, 관리 등의 행위를 수행할 수 있는 권한을 말한다.
6. 변경관리: 운영환경의 프로그램, 인프라, 설정, 네트워크 등을 추가·수정·삭제하는 행위와 이에 대한 통제 절차를 말한다.
7. MFA(다중인증): 비밀번호 외에 추가 인증수단(OTP, 생체인증 등)을 결합하여 본인 확인을 강화하는 방식을 말한다.

제3조 적용범위

본 정책은 다음 각 호에 적용한다.

1. AIONETRA OS와 관련된 모든 정보시스템, 애플리케이션, 데이터베이스, 저장소, 네트워크, 로그, 백업 자산
2. 임직원, 임원, 외주인력, 협력사, 운영대행사, 개발참여자 등 시스템 또는 정보자산에 접근 가능한 모든 인원
3. AWS 등 클라우드 환경, 온프레미스 연계 환경, 운영도구, 배포도구, 개발도구 및 관리계정
4. 고객사 업무데이터, 개인정보, 운영정보, 회계 및 경영관리 관련 정보

제4조 기본원칙

AIONETRA OS의 정보보안은 다음 원칙에 따라 운영한다.

1. 최소권한 원칙 — 모든 접근권한은 업무 수행에 필요한 최소 범위로만 부여한다.
2. 기본 차단 원칙 — 명시적으로 허용되지 않은 접근은 원칙적으로 차단한다.
3. 직무분리 원칙 — 개발, 운영, 보안점검, 승인 권한은 가능한 범위에서 분리한다.
4. 추적가능성 원칙 — 주요 접근, 설정 변경, 데이터 변경, 배포 행위는 로그로 기록되고 추적 가능해야 한다.
5. 암호화 원칙 — 중요 데이터는 저장 시 및 전송 시 적절한 암호화 통제를 적용한다.
6. 복구가능성 원칙 — 보안은 침해 방지뿐 아니라 장애, 삭제, 오조작, 사고 발생 시 복구 가능성까지 포함한다.
7. 승인 및 문서화 원칙 — 중요 보안설정, 권한부여, 예외허용, 변경작업은 승인과 기록을 남겨야 한다.

제5조 정보자산 분류

정보자산은 중요도에 따라 다음과 같이 분류한다.

최고중요 정보와 중요 정보는 별도의 접근제어 및 보호조치를 적용한다.

제6조 조직 및 책임

1. 최고책임자는 본 정책의 승인과 총괄 책임을 진다.
2. 보안관리책임자는 정책 운영, 점검, 사고 대응, 교육, 개선을 담당한다.
3. 시스템 운영책임자는 시스템 설정, 계정관리, 백업, 로그관리, 변경관리를 수행한다.
4. 개발책임자는 안전한 개발, 배포통제, 비밀정보 보호, 형상관리 통제를 책임진다.
5. 임직원 및 외주인력은 본 정책과 세부지침을 준수할 의무를 가진다.
6. 고객사 환경과 연계되는 경우, 고객사 보안정책과 충돌하지 않도록 별도 협의 및 승인 절차를 둔다.

제7조 계정 및 접근권한 관리

1. 모든 사용자에게 고유한 계정을 부여하며 공유계정 사용을 원칙적으로 금지한다.
2. 관리자 권한은 최소 인원에게만 부여하고, 일반 계정과 관리자 계정을 분리한다.
3. 권한 부여, 변경, 회수는 요청-검토-승인 절차를 거쳐 기록한다.
4. 퇴직자, 계약종료자, 프로젝트 이탈자, 외주 종료 인력의 권한은 즉시 회수한다.
5. 콘솔, VPN, 원격접속, 배포도구, 저장소, DB관리도구에는 다중인증(MFA)을 적용한다.
6. 루트 계정은 비상시를 제외하고 사용하지 않으며, 별도 통제 하에 보관한다.
7. 정기적으로 계정 및 권한 적정성을 점검한다.

제8조 인증정보 및 비밀정보 관리

1. 비밀번호, API Key, Access Key, Secret Key, 토큰, 인증서, 암호키는 안전하게 보관한다.
2. 소스코드, 문서, 메신저, 이메일 본문 등에 비밀정보를 평문으로 상시 노출하지 않는다.
3. 비밀정보는 전용 비밀관리 수단 또는 암호화된 저장소를 통해 관리한다.
4. 암호키의 발급, 사용, 교체, 폐기는 승인 절차에 따라 수행한다.
5. KMS 키 비활성화, 삭제, 정책변경은 제한된 권한자만 수행할 수 있다.

제9조 네트워크 보안

1. 외부 공개 구간과 내부 처리 구간은 논리적으로 분리한다.
2. 데이터베이스, 캐시, 메시지큐 등 핵심 자원은 외부에서 직접 접근되지 않도록 구성한다.
3. 허용된 출발지, 포트, 프로토콜만 열고 나머지는 차단한다.
4. 운영접속은 승인된 IP, VPN, 점프호스트, 또는 이에 준하는 통제수단을 통해 제한한다.
5. 인터넷 구간 통신은 TLS/HTTPS를 기본 적용한다.
6. 보안그룹, 방화벽, 라우팅 설정 변경은 기록·승인 하에 수행한다.

제10조 데이터 보호 및 암호화

1. 개인정보, 고객사 업무데이터, 회계 및 경영정보, 인증정보는 중요정보로 분류한다.
2. 저장 데이터는 시스템 특성에 따라 암호화를 적용한다.
3. 전송 데이터는 TLS 등 안전한 프로토콜로 보호한다.
4. 백업본, 스냅샷, 로그에도 중요정보가 포함될 수 있으므로 동일 수준의 보호를 적용한다.
5. 중요정보는 불필요한 복제와 다운로드를 제한한다.
6. 테스트 환경에서는 원칙적으로 실데이터 사용을 금지하며, 필요한 경우 비식별화 또는 마스킹 후 사용한다.

제11조 로그 및 모니터링

1. 시스템 접근, 관리자 행위, 권한 변경, 설정 변경, 배포, 데이터 접근, 실패한 로그인 시도 등 주요 행위를 기록한다.
2. 로그는 위·변조 방지와 보존정책 하에 관리하며, 최소 보존기간은 다음과 같다.
   • 시스템 및 애플리케이션 로그: 최소 1년
   • 개인정보 접속기록: 최소 2년 (개인정보보호법 시행령 제48조의2)
   • CloudTrail 로그: 최소 1년
   • 배포 및 변경 이력: 최소 3년 (내부통제 감사 대응)
3. 주요 로그는 통합적으로 관리한다.
4. 보안 이상징후, 비정상 접근, 권한오남용, 대량 조회, 비인가 변경 시도에 대해 점검한다.
5. 로그 열람 권한은 최소화하고, 점검 결과는 기록한다.

제12조 시스템 변경관리

1. 운영환경의 프로그램, 인프라, 설정, 계정정책, 권한, 네트워크 변경은 사전 승인 후 수행한다.
2. 긴급 변경은 예외적으로 우선 조치할 수 있으나, 사후 승인과 기록을 반드시 남긴다.
3. 개발환경, 테스트환경, 운영환경은 가능한 한 분리한다.
4. 운영 반영 전 테스트, 검토, 승인 절차를 거친다.
5. 중요 변경은 롤백 계획과 영향도 검토를 포함한다.
6. 이는 내부회계관리제도상 IT 일반통제의 핵심 항목인 프로그램 개발·변경·운영·접근보안 요구와 정합적이어야 한다.

제13조 개발보안

1. 소스코드는 승인된 형상관리 저장소에서 관리한다.
2. 브랜치 전략, 병합 승인, 배포 승인 절차를 문서화한다. CI/CD 자동배포를 사용하는 경우, Pull Request 리뷰 및 승인을 배포 승인 통제로 갈음할 수 있다.
3. 오픈소스 사용 시 라이선스와 보안 취약점을 검토한다.
4. 하드코딩된 비밀번호, 키, 토큰, 고객정보 저장을 금지한다.
5. 운영코드 접근 권한은 최소화하며, 외주인력의 접근범위는 계약 및 역할 기준으로 제한한다.
6. 개발 산출물 반출은 승인된 절차에 따른다.

제14조 백업 및 복구

1. 시스템과 데이터는 중요도에 따라 정기적으로 백업한다.
2. 백업의 보관주기, 보관위치, 접근권한, 암호화 여부를 정의한다.
3. 복구 절차를 문서화하고 정기적으로 복구 가능성을 점검한다.
4. 백업은 장애, 오삭제, 랜섬웨어, 운영오류에 대비할 수 있어야 한다.
5. 주요 시스템은 목표복구시간(RTO)과 목표복구시점(RPO)을 별도로 정한다.

제15조 외주·협력사 보안관리

1. 외주인력 및 협력사에는 계약상 비밀유지의무와 보안준수의무를 부과한다.
2. 외주인력에게는 필요한 기간과 범위 내에서만 최소 권한을 부여한다.
3. 개인장비 사용, 자료 반출, 계정공유, 무단 저장을 제한한다.
4. 프로젝트 종료 시 계정 회수, 자료 반환 또는 파기 확인을 수행한다.
5. 협력사가 고객사 시스템에 접근하는 경우 별도 승인 및 접속기록 관리 절차를 둔다.

제16조 개인정보 보호

1. 개인정보는 법령상 안전조치의무에 따라 보호한다. 개인정보보호법 제29조와 시행령 제30조는 내부관리계획, 접근통제, 접속기록 보관 등 안전조치를 요구한다.
2. 개인정보 처리 권한은 업무상 필요한 자로 제한한다.
3. 개인정보의 조회, 수정, 다운로드, 반출은 최소화하고 기록한다.
4. 개인정보가 포함된 로그, 백업, 테스트자료도 동일 수준으로 보호한다.
5. 개인정보 유출 의심 시 즉시 보고 및 대응 절차를 가동한다.

제17조 보안사고 대응

1. 침해사고, 유출사고, 계정탈취, 랜섬웨어, 악성코드 감염, 비인가 접근 시도, 중요 시스템 장애는 보안사고로 본다.
2. 사고 발생 시 즉시 보고, 초동조치, 증거보전, 영향분석, 확산차단, 복구를 수행한다. 보고 시한은 다음과 같다.
   • 내부 보고: 인지 후 즉시 (최대 1시간 이내)
   • 개인정보 유출 시 정보주체 통지: 인지 후 72시간 이내 (개인정보보호법 제34조)
   • 관계기관(개인정보보호위원회, KISA 등) 신고: 인지 후 72시간 이내
3. 사고 등급과 보고체계를 정의하고, 필요 시 고객사와 관계기관 보고를 검토한다.
4. 사고 종료 후 원인분석과 재발방지 대책을 수립한다.
5. 사고 대응 기록은 별도 보관한다.

제18조 점검, 감사 및 교육

1. 본 정책의 준수 여부를 정기적으로 점검한다. (최소 반기 1회)
2. 계정권한, 로그관리, 변경관리, 백업, 암호화, 외주접근 통제에 대해 정기 점검한다.
3. 상장사 또는 고객사 감사 대응이 필요한 경우 관련 기록과 증적을 제출할 수 있어야 한다.
4. 정보보안 및 개인정보보호 교육을 연 1회 이상 실시하며, 신규 입사자·외주인력은 업무 투입 전 교육을 완료한다.
5. 점검 결과 미비점은 개선계획을 수립하고 추적관리한다.

제19조 예외관리

1. 본 정책의 예외가 필요한 경우 사유, 범위, 기간, 대체통제, 위험평가를 포함한 예외승인을 받아야 한다.
2. 예외는 한시적으로만 허용하며 정기 재검토한다.

제20조 위반 시 조치

본 정책을 위반한 자에 대해서는 사규, 계약, 관련 법령에 따라 권한회수, 경고, 징계, 계약해지, 손해배상 청구 등 필요한 조치를 할 수 있다.

제21조 부칙

1. 본 정책은 2026년 4월 1일부터 시행한다.
2. 본 정책은 법령 개정, 감사 요구, 운영환경 변경, 보안위협 변화에 따라 개정할 수 있다.