ISMS-P 인증 기준 2.7.1.암호정책 적용 편집하기 (부분)

==세부 설명==

====암호 정책 수립====
개인정보 및 주요정보의 보호를 위하여 법적 요구사항을 반영한 암호화 대상, 암호강도, 암호사용 등이 포함된 암호정책을 수립하여야 한다.

*'''암호화 대상''': 법적 요구사항, 처리 정보 민감도 및 중요도에 따라 정의
{| class="wikitable"
|+
! colspan="2" rowspan="2" style="width:30%"|구분
! colspan="2" |개인정보 보호법에 따른 암호화 대상 개인정보
|-
!style="width:35%" |이용자가 아닌 정보주체의 개인정보
!style="width:35%" |이용자의 개인정보
|-
| rowspan="2" |정보통신망을 통한 송, 수신시
|정보통신망
| colspan="2" |인증정보(비밀번호, 생체인식정보 등)
|-
|인터넷망
| colspan="2" |개인정보
※ 단, 종전의 개인정보의 안전성 확보조치 기준 적용 대상의 경우 2024.9.15 시행
|-
| rowspan="4" |저장시
| rowspan="2" |저장 위치 무관
| colspan="2" |인증정보(비밀번호, 생체인식정보 등)
※단, 비밀번호는 일방향암호화
|-
| colspan="2" |주민등록번호
※ 법 제24조의2 제2항에 따라 암호화
|-
|인터넷구간,DMZ
| rowspan="2" |고유식별정보 
※ 단, 주민등록번호 외의 고유식별정보를 내부망에 저장하는 경우에는 개인정보 영향평가의 결과  또는 위험도 분석에 따른 결과에 따라 암호화의 적용여부 및 적용범위를 정하여 시행 가능
| rowspan="2" |주민등록번호, 여권번호, 운전면허정보, 외국인등록번호, 신용카드번호, 계좌번호, 생체인식정보
※ 저장위치 무관
|-
|내부망

|-
| colspan="2" |개인정보취급자 컴퓨터,모바일기기, 보조저장매체 등에 저장 시
|고유식별정보, 생체인식정보
|개인정보
|}
*'''암호화 알고리즘''': 법적 요구사항 등을 고려하여 안전한 암호화 알고리즘 및 보안강도 선택
※ 안전한 암호 알고리즘(예시)(ʻ개인정보의 암호화 조치 안내서ʼ 참고)
{| class="wikitable"
!구분
!알고리즘 명칭
|-
|대칭키 암호 알고리즘
|SEED, ARIA-128/192/256, AES-128/192/256, HIGHT, LEA 등
|-
|공개키 암호 알고리즘
|RSAES-OAEP 등
|-
|일방향 암호 알고리즘
|SHA-256/384/512 등
|}

====정책에 따른 암호화 수행====
암호정책에 따라 개인정보 및 중요정보의 저장, 전송, 전달 시 암호화를 수행하여야 한다.

*암호화 위치, 시스템 특성 등을 고려하여 암호화 방식 선정 및 적용
※ 암호화 방식(예시)
{| class="wikitable"
!구분
!암호화 방식
|-
|'''정보통신망을 통한 송·수신 시'''
|
*1. 웹서버에 [[TLS(SSL)|SSL(Secure Socket Layer)]] 인증서를 설치하여 전송하는 정보를 암호화 송수신
*2. 웹서버에 암호화 응용프로그램을 설치하여 전송하는 정보를 암호화하여 송수신
*3. 그 밖에 암호화 기술 활용 : [[가상 사설망|VPN]], [[PGP]] 등
|-
|'''개인정보처리시스템 등 저장 시'''
|
*1. 응용프로그램 자체 암호화(API 방식)
*2. 데이터베이스 서버 암호화(Plug-in 방식)
*3. DBMS 자체 암호화([[TDE]] 방식)
*4. DBMS 암호화 기능 호출
*5. 운영체제 암호화(파일암호화 등)
* 6. 그 밖의 암호화 기술 활용
|-
|'''업무용 컴퓨터 및 모바일 기기 저장 시'''
|
*1. 문서도구 자체 암호화(오피스 등에서 제공하는 암호 설정 기능 활용)
*2. 암호 유틸리티를 이용한 암호화
*3. DRM(Digital Right Management) 적용 등
|-
|'''보조저장매체로 전달 시'''
|
* 1. 암호화 기능을 제공하는 보안 저장매체 이용([[보안 USB|보안USB]] 등)
*2. 해당 정보를 암호화한 후 보조저장매체에 저장 등
|}