정보보호 정책

정보보호 선언문

정보시스템과 정보는 주식회사 원엑스피(이하 “당사”라 함)의 주요한 자산이며, 이의 신뢰있는 제공 없이는 직무를 효율적으로 수행하기 어렵다. 그러므로 당사의 경영진은 당사의 정보시스템과 정보를 보호·향상시킬 의무가 있으며, 이는 정보시스템과 정보가 오류, 파괴, 테러, 개인정보 유출, 서비스 중단, 자연재해 등과 같은 여러 종류의 위협으로부터 보호되도록 적절한 조치를 반드시 취하여야 한다는 것을 의미한다.

당사는 앞으로의 정보시스템 구축 및 향후 운영 또는 관리시 예상되는 다양한 보안상의 문제들을 유념하고 이에 대비하여야 한다. 이는 당사의 정보시스템에 대한 해킹, 불법적인 정보 유출 및 접근, 빠르고 광범위한 악성 컴퓨터 바이러스 감염, 그리고 그 외 각종 운영, 실행, 관리상의 문제들이 예상되기 때문이다. 따라서 이로 인한 중요 정보의 손실과 그에 따른 업무의 지연 및 저하, 그리고 그 외 이로 인한 각종 법적, 사회적, 윤리적인 여파를 철저히 고려하여 이에 따른 적절한 대비책을 마련해야 할 필요성이 날로 증대하고 있다.

그러므로 당사의 정보는 민감성, 가치, 심각도에 준하여 반드시 보호되어야 하며, 정보가 저장되는 매체, 처리되는 시스템, 전송수단에 모두 보안 대책이 적용되어야 한다. 이러한 보호는 직무 수행에 반드시 필요한 정보로의 접근만 허용하는 것을 포함한다. 관리자는 정보가 적절히 보호되기 위한 충분한 시간과 자원을 지원하여야 하며 정보시스템과 정보에 대한 보안 대책이 불충분하다고 판명될 경우에는 신속히 보완 대책을 강구·시행하여 정보의 노출을 최소화하여야 한다.

당사의 정보보호를 달성하기 위해서는 당사 구성원 모두의 참여와 협조가 요구되며 이를 뒷받침할 충분한 교육과 참고자료가 제공되어야 한다. 당사의 정보시스템 보호를 수행하는데 필요한 지침과 절차서의 수립 및 제정을 포함한 모든 활동은 정보보호를 담당하는 팀을 중심으로 이루어져야 한다. 끝으로 정보시스템 보안 감사가 주기적이고 전사적으로 행하여져 정보보호가 제대로 이루어지는가를 확인하여야 한다.

정보보호 강령

정보통신 기술의 발달에 따라 새롭게 파생되고 있는 각종 위협들은 주식회사 원엑스피(이하 “당사”라 함)의 중요 자산인 정보시스템과 정보에 심각한 영향을 미칠 수 있게 되었으며 정보보호 활동은 사업 활동 활성화 및 나아가서는 당사의 생존을 위해 필수 불가결한 요소가 되었다. 따라서 전 임직원은 다음에 제시하는 정보보호방침을 기초로 정보자산의 보호를 위해 최선을 다하여야 한다.

1. 첫째

   임직원은 정보를 보호해야 할 중요한 자산으로 인식하고 취급해야 한다. 중요 정보 자산에 대한 접근시 사용자 식별 및 인증 절차를 거쳐야 하고, 사용자는 불법적인 접근을 시도하거나, 패스워드 등을 다른 사람과 공유해서는 안되며, 팀장의 승인없이 외부에 유출 또는 공개해서는 안된다.

2. 둘째

   전 임직원은 정보보호의 중요성을 인식하고 정보보호 능력을 배양할 수 있도록 각자의 직무와 부합하는 적절한 수준의 정보보호 교육을 받아야 한다. 또한 정보보호 활동과 관련 포상 및 처벌 기준을 공정하게 수립하여 시행함으로써 정보보호 활동에 대한 동기를 부여하여야 한다.

3. 셋째

   정보보호와 관련된 모든 방침 및 지침은 자산에 대한 기밀성·무결성·가용성을 확보할 수 있도록 수립, 검토, 시행되어야 하며, 이러한 일련의 활동들은 정보보호 담당팀에 의해 일관성 있게 추진되어야 한다.

4. 넷째

   당사의 모든 자산은 그 가치와 중요도에 따라 등급을 분류하여 각 등급별로 적절한 절차에 의거 관리되어야 하며 주기적으로 자산의 가치를 재평가하여 정보보호 방침 및 지침에 반영하여야 한다.

5. 다섯째

   당사의 모든 정보자산은 인가된 인원에 한하여 접근 가능하도록 적절한 조치가 취해져야 하며 중요 정보자산을 운영·관리하는 지역은 비인가자의 접근, 정전, 화재, 수해 등 각종 재난과 사고로부터 보호되어야 한다.

6. 여섯째

   당사의 정보 자산이 침해사고 및 내·외부자의 고의적이거나 우발적인 침입에 의해 손상을 입었을 경우에도 당사는 사업을 지속할 수 있어야 하며 신속히 정보 자산을 복구하여 피해를 최소화하도록 침해사고 대응계획이 수립되어 관리되어야 한다.

7. 일곱째

   당사 정보시스템의 운영은 업무의 특성을 고려하여 적절히 분배되어야 하며 사전에 정의된 절차에 따라 수행되어야 한다. 또한 정보시스템 운영에 관한 기록을 유지·관리함으로써 향후 정보시스템의 운영 계획의 수립 및 침해사고 발생시 그 기록이 반영되도록 하여야 한다. 이는 정보 자산의 관리 책임은 자신에게 있음을 의미하는 것으로, 중요 정보 자산에 대해서는 작성자, 작성일자, 사용자가 명확히 지정되어야 하고, 사용시에는 사용 실적의 추적이 가능하도록 관리되어야 한다.

8. 여덟째

   유해한 소프트웨어로부터 당사의 정보시스템을 보호할 수 있도록 조치를 취하여야 하며 업무와 관련이 없는 정보시스템 사용으로 인하여 정보자산이 외부로 유출되거나 정보시스템의 성능이 저하되지 않도록 하여야 한다.

9. 아홉째

   당사의 모든 정보보호 활동은 상급기관의 관련 지침, 지적재산권 및 개인정보보호에 관한 법률 등을 준수해야 하며 정보보호 활동이 지침과 절차에 의해 올바르게 수행되고 있는지 주기적으로 점검되어야 한다.

전 임직원은 성공적인 정보보호가 당사가 경쟁력을 갖추기 위한 지름길임을 다시 한번 인식하고 정보보호를 위해 최선을 다해야 할 것이다.