소프트웨어 개발보안 가이드(전자정부 SW 개발/운영자를 위한)

소프트웨어 개발보안 가이드

(전자정부 SW 개발/운영자를 위한)

○ SW 개발보안은 해킹 등 사이버공격의 원인인 보안약점을 SW 개발단계에서 사전에 제거하고 SW 개발생명주기의 각 단계별로 수행하는 일련의 보안활동을 통하여 안전한 SW를 개발/운영하기 위한 목적으로 적용하는 개발체계이다.

○ SW 개발과정 중 소스코드 구현단계에서 보안약점을 배제하기 위한 '시큐어코딩'을 중심으로 발주자, 사업자, 감리법인 등 다양한 참여 주체가 기획 검토 단계부터 개발, 검사/종료에 이르는 다양한 단계에서의 수행해야 할 활동을 포괄적으로 정의한다.


▶ SW 개발보안 적용 대상 및 범위

▶ 첨부파일 : 용량문제로 알집 분할 파일 입니다

   - 소프트웨어 개발보안 가이드(전자정부 SW 개발/운영자를 위한) 3_1

    - 소프트웨어 개발보안 가이드(전자정부 SW 개발/운영자를 위한) 3_2

    - 소프트웨어 개발보안 가이드(전자정부 SW 개발/운영자를 위한) 3_3​
​

행정·공공기관 웹사이트 구축·운영 가이드 (2017 개정)

 뉴딜코리아 홈페이지

웹사이트 발주자‧관리자를 위한

행정·공공기관 웹사이트 구축·운영 가이드

▣ 개 요

1.1 작성 배경 및 목적

○ 행정기관 및 공공기관(이하 ‘행정기관 등’이라 한다)에서 웹사이트 개발 및 운영에 있어 준수하여야 할 다양한 기준과 가이드라인들이 있으나, 해당 기준 및 가이드라인이 다양하고 분산되어 있어 현업 실무 담당자들이 활용하기 어려움

○ 이에, 행정기관 등의 웹사이트 업무담당자에게 웹 사이트의 구축·운영부터 폐기까지 준수 또는 참고해야 할 사항을 종합적으로 제공하여 효율적인 웹사이트 구축·운영 업무를 지원 하는데 있음

1.2 적용범위

○ 본 가이드는 행정기관 등에서 대국민 서비스를 목적으로 구축‧운영하는 웹사이트를 대상으로 함


1.3 가이드의 성격

○ 본 가이드는 행정기관 등에서 웹사이트를 기획하거나 구축‧운영할 때에 전반적으로 준수하거나 참고할 내용 등을 포괄적으로 정리한 종합 지침서의 성격임

※ 본 가이드의 내용 중에는 관련 지침, 규정, 표준에 따라 웹사이트 구축 시 반드시 이행해야 하는 준수사항과 각종 가이드라인의 권고 내용을 제공하고 있으며, 활용기관에서는 최신의 정확한 기준을 확인하고 이해하여 준수 또는 활용 여부를 결정하여야 함

○ 본 가이드는 웹사이트 관련 각종 지침‧규정‧표준 등을 분석하여 재정리한 것으로 내용의 변경이나 상충부분이 있을 경우 최신의 기준에 따르는 것을 원칙으로 함

※ 본 가이드에서 기술한 법령·지침·규정·표준 등은 수시로 재·개정될 수 있으므로 해당 법령·지침·규정·표준 등의 재 개정 여부를 반드시 확인하시기 바랍니다.
   - 또한,「정부조직법」등에 따라 해당 법령 지침 규정 표준 가이드 매뉴얼에 대한 소관 기관이 변경될 경우 그에 따름


1.4 가이드 구성

○ 본 가이드는 웹사이트 생애주기 단계별로 주체별로 필요한 행정절차에 따라 적용해야 하는 활동별 준수 및 고려사항 등을 포함하여 구성

▶ 추가 상세내용은 첨부파일을 참고하세요 !

주민등록번호 수집 금지 정책 Q&A

 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2583

개인정보보호법 개정으로 2014년 8월 7일부터 개인정보보호법 제24조의2가 신설되어 주민등록번호의 처리를 원칙적으로 금지했습니다.

개인정보보호법 제24조의2(주민등록번호 처리의 제한)

① 제24조제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 주민등록번호를 처리할 수 없다.

1. 법령에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우
2. 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우
3. 제1호 및 제2호에 준하여 주민등록번호 처리가 불가피한 경우로서 행정자치부령으로 정하는 경우

Q.국가·지방자치단체, 장학재단, 대학 등에서 장학금을 지급하기 위하여 대상자의 주민등록번호를 수집·이용할 수 있는지요?A. 국가장학금의 신 청·심사를 위해서는 관 련 법령의 근거규정에 따라 주민등록번호의 수집·이용·제공 등이 허용됩니다. 반면 지방자치단체나 각종 장학재단·단체 등은 장학금 업무를 위한 주민등록번호 수집·이용이 허용되지않으므로 생년월일 등의 대체 정보를 활용할 필요가 있습니다.

[상세설명]

학생에 대해 장학금을 지급하는 경우는 국가 또는 지방자치단체가 지급하는 경우, 각종 장학재단 등의 외부 단체에서 지급하는 경우, 교내 자체적으로 지급하는 경우 등으로 나눠볼 수 있습니다.

국가장학금의 경우, 「한국장학재단 설립 등에 관한 법률」에 따라 설립된 한국장학재단에서 대학생에 대한 학자금 지원, 국가장학금 지원 등의 제도를 운영 중에 있습니다.

국가장학금은 가구의 소득수준에 따라 지원되는데, 정부의 사회보장정보시스템을 통해 조사된 공적자료 및 금융재산, 금융부채 등을 파악하여 소득인정액을 산정하고 총 10개 학자금지원구간(소득분위)를 설정한 뒤 그중 1분위~8분위에 대해 지원하고 있습니다(상세한 내용은 한국장학재단 홈페이지 www.kosaf.go.kr 참조).

따라서 국가장학금은 소득분위를 속이고 부정수급하는 경우나 지원규모를 초과하여 수혜하는 경우 등을 방지할 필요 불가피성이 있으며 이를 위해서는 해당 학생 및 부모 등의 가족관계 등록사항, 주민등록사항, 국세 관련자료 등의 정보를 제공·활용할 것이 요구됩니다.

이를 위해서 교육부장관 및 한국장학재단은 학자금 지원신청, 자료 제출요청, 정보시스템 연계사용, 금융정보등의 제공요청 등의 사무를 위해 주민등록번호 등이 포함된 자료를 처리할 수 있도록 관련 법령에 구체적인 근거가 마련되어 있습니다(「한국장학재단 설립 등에 관한 법률」시행령 제36조의2). 따라서

국가장학금의 신청 및 심사 등을 위해서는 주민등록번호의 수집·이용·제공 등이 허용됩니다.

지방자치단체에서도 해당 지역의 거주학생 등을 대상으로 장학금 제도를 운영하는 경우가 많은데, 이 경우는 주로 조례·규칙에 근거를 두고 있으며, 해당 지역의 주민 여부(거주여부) 등을 확인할 목적으로 신청서에 주민등록번호 기재를 요구하는 경우가 다수있습니다.

그러나 주민등록번호 처리는 반드시 법령의 근거를 필요로 하므로, 현재로서는 지방자치단체가 장학금 지급을 위해 조례·규칙에만 근거하여 주민등록번호를 수집·이용하는 것은 허용되지 않는다고 봐야 합니다.

이 외에 각종 장학재단이나 학교 자체적으로 장학금을 심사·지급하는 경우도 마찬가지로 주민등록번호 수집·이용이 허용되지 않으므로, 생년월일 등의 대체 정보를 활용하여야 합니다.

Q. 어떤 경우에 주민번호를 수집할 수 있나요?

A. 법령(법률, 시행령, 시행규칙)상 주민번호 수집을 요구하거나 허용하는 내용이 구체적으로 명시된 경우를 말합니다.

예를 들면, 금융실명거래법에서는 금융회사의 거래 시 주민번호를 통해 이용자의 실지명의를 확인해야 함을 명시하고 있으므로 금융회사가 금융거래와 관련하여 거래자의 실지명의 확인을 위한 경우에는 주민번호 사용이 가능합니다.

Q. 웹사이트 회원 가입 때 본인 확인을 위해 주민번호를 요구하는데?A. 주민번호를 이용한 실명확인 외에도 휴대전화번호, 공인인증서, 아이핀(i-PIN) 등 다양한 본인확인 방법이 있습니다.

주민번호 보다 대체수단을 이용한 본인확인 방법을 이용하시기 바랍니다.

Q. 민간회사의 건물에 출입할 때 외부 방문자의 주민번호를 기록할 수 있나요?
A. 해당 건물의 보안 유지나 시설물 보호를 위해 일정 부분 필요하다고 볼 수 있지만, 주민번호와 같은 중요한 정보까지 수집해야할 불가피성이 있다고 보기는 어렵습니다.

출입목적과 필요시 연락을 취할 수 있는 전화번호 등 최소한의 개인정보에 한해 요구해야 합니다.

Q. 콜센터 상담 때도 본인 확인을 위해 주민번호를 요구하는데요?A. 생년월일, 휴대전화 번호 등 다른 정보를 이용해 고객 본인 여부를 충분히 확인할 수 있어요.

주민번호를 요구해야 할 필요성이나 법적 근거가 없습니다.

Q. 채용시험 대상자의 주민번호 수집은 가능한가요?A. 입사 지원 단계의 구직자는 아직 근로계약을 체결하지 않은 상태이기 때문에 사용자가 구직자의 주민번호를 요구할 필요성이나 법적 근거가 없습니다.

Q. 기존에 수집했던 번호는 어떻게 해야 하나요?A. 주민번호를 수집하지 않기로 결정했다면, 기존에 수집했던 주민번호는 외부로 유출되지 않도록 주의해 파기해야 합니다.

문서 형태라면 파쇄, 전자 파일 경우엔 복원할 수 없도록 적절한 삭제 방법을 취하기 바랍니다.

Q. 회사가 직원들의 주민번호를 수집할 수 있나요?A. 사업주는 소속 근로자의 4대 보험(국민연금, 고용보험, 건강보험, 산업재해보험) 가입과 세금 원천징수 등을 위해 법령에서 정하는 바에 따라 근로자의 주민번호를 수집할 수 있습니다.

위 내용은 현재의 법령 기준(2014.01.23)에 따라 서술되어 있으므로 향후 관련 법령의 제 · 개정에 따라 주민등록번호의 처리 허용여부가 달라질 수 있습니다. ​

애초에 개인정보는 최소한으로 수집해, 안전한 환경을 만드는 게 중요할 것 같아요.^^

주민번호 수집 법정주 관련문의 : 뉴딜코리아 컨설팅사업부 /070-7867-3721

​

링크 : 분야별 주민등록번호 처리기준 상담사례집

웹사이트 디자인 표준안 (미국 정부)

카페 > 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2372

미국 정부 - 웹사이트 디자인 표준안 발표

미국 18F(미국 연방 총무청 소속의 디지털 서비스 기관)와 디지털 혁신 자문기구인 미국 디지털 서비스(USDS)는 협업을 통해 미 연방정부 웹사이트 디자인에 대한 표준안을 깃허브(Github)에 공개했다. 이는 웹사이트 이용자들이 찾고자하는 정보의 탐색과 검색을 한층 편리하도록 하고, 접근성을 향상하기 위한 것이며 더불어 기관의 웹디자이너, 개발자들의 개발 편의성을 돕기 위한 일환으로 진행된 프로젝트다.

- 기관	:	미국 18F(미 연방 총무청 소속의 디지털 서비스 기관)와 미국 디지털 서비스(USDS)
- 수행년도	:	2015년
- 도입배경	:	미 연방 공공기관 웹사이트 사용 시 디지털 접근성이 떨어지며 웹디자인의 UX 측면에서 불편함이 제기, 웹디자인 제작에 많은 노동력과 예산이 낭비되고 있음
- 솔 루 션	:	HTML
- 도입효과	:	디자인 표준안 제정으로 이용자들의 접근성 향상과 웹디자인 제작의 편리성 제공

종종 미국 공공기관 웹사이트의 이용자들은 온라인 상에서 정보를 구할 때 혼란을 겪어 왔다. 각 사이트 마다 검색 시스템이 상이하다거나 시각 프로그램의 충돌, 패턴 불일치 등을 경험하기 때문이다. 이러한 문제들로 온라인 서비스 이용자들은 정보를 구하기 위해 많은 시간과 노력을 낭비할 수밖에 없었다. 또 웹사이트 담당자 입장에선 이용자들의 불편함을 해소하기 위해 새로운 디자인 제작으로 문제를 개선해야 하고 이는 결국 사용자 경험을 저해함과 동시에 세금을 소비하게 되는 악순환을 반복하게 되는 문제를 야기시켰다.

공공 웹사이트 이용 및 제작에 개선 필요성을 인식한 미 연방 총무청 소속의 디지털 서비스 기관인 18F과 디지털 혁신 자문기구인 미국 디지털 서비스(USDS)는 상호 협력을 통해 ‘미국 연방 웹디자인 표준안(U.S. Web Design Standards)을 정하기로 하고 개발기간을 4개월로 계획했다. 이 외에도 국세청, 사회보장국 등 많은 기관에서 근무하고 있는 경험이 풍부한 공무원들을 자문단으로 구성했다.

만들어야 하는 것

표준안은 데스크탑, 태블릿, 모바일 등 어떠한 디바이스에서도 스크린 샷을 볼 수 있도록 한다. 또한 공공 웹사이트의 일반적인 UI 콤포넌트와 디자인 스타일을 규정하는 것이다. 관계자는 이러한 요소들이 정부기관 웹디자이너나 개발자들이 디자인을 보다 쉽게 만들 수 있게 돕는 한편 높아져가는 국민들의 디지털 경험에 대한 기대 수준을 충족시킬 수 있을 것으로 예상한다고 밝혔다.

▲ 미 공공 웹사이트에서 사용되고 있는 제 각각의 버튼 스타일도 사용자에게 혼란을 준다.

웹디자인 표준안이 제공하는 것은,

- 시각적인 웹 스타일 가이드 : 유연성, 가독성에 영향을 주는 ‘508 컴플라이언스’라는 기준에 따르는 타이포그라피 및 색상 추천
- 일반적인 UI 구성요소와 패턴 : 정부 웹사이트의 기본적인 인터페이스 구성 요소 모음과 인터페이스에 영향을 주는 코드

 

표준안의 4가지 목표

 

1. 가장 쉽게 최상의 것을 만든다.

공공 기관에 종사하는 웹디자인 및 개발자들은 표준안이 제공하는 도구를 가치와 필요에 따라 쉽게 이용해 웹사이트를 만들 수 있다.

 

2. 디바이스 접근성 향상

색상에서부터 코드에 이르기까지 508 컴플라이언스를 충족시키는 도구로 접근성을 높인다.

 

3. 유연한 디자인

미국 국민이 공공기관 서비스를 이용할 때 친숙하면서도 동시에 도구가 기관의 고유한 특성에 맞게 최적화할 수 있게 한다.

 

4. 재사용

다양한 공공 및 민간 분야 스타일 가이드를 참고해 패턴, 코드, 디자인 평가, 테스트, 검토, 유용성 검증을 수행해 신뢰할 만한 최상의 모범사례를 활용한다.

▲ 미 정부 웹디자인 표준안은 어떤 디바이스에서도 볼 수 있도록 설계되었다.

 

최적화 및 표준안 공개

표준안은 장차 미 공공기관 웹사이트 디자인 설계시 활용할 수 있는 권장 도구들과 방법을 제시하고 있다.

모든 18F와 USDS의 모든 프로젝트와 마찬가지로 누구나 표준안이 제공하고 있는 자원을 이용할 수 있도록 공개하고 공헌할 수 있도록 했다.

 

GitHub(https://github.com/18F/web-design-standards)에 공개된 표준안을 통해 사용자 뿐 아니라 웹디자이너, 개발자들이 개선 및 요구사항에 대한 의견을 줄 수 있다. 애초에 표준안을 사용자 중심으로 접근할 수 있도록 최적화하기 위한 반복(iterative) 작업을 수행했다. UX, 프론트엔드, 비주얼 분야 각 디자이너들을 기능팀으로 구성해 개발 과정에서 핵심적인 역할을 수행하도록 했다.

 

관계자는 ‘최상의 것을 가장 쉽게 만들자’라는 모토는 웹사이트 그 자체를 쉽게 사용하자는 기준을 만드는 것에서 시작한다고 말한다. 전 기관의 웹사이트에 걸쳐 디자이너와 개발자들을 대상으로 도구에 대한 반복 작업과 수많은 인터뷰, 사용성 테스트, 카드소팅(card sorting)을 수행했다. 코드 정보와 다운로드 버튼 등 모든 사이트의 요소들은 사용자 설문을 통해 도출된 것이다.

 

정부 내부 기관인 DigitalGOV와 외부 자문 기관(Nielsen Norman group)을 참고함으로써 최상의 디자인 사례를 찾았다. 표준안의 많은 컴포넌트들은 다른 기관의 스타일 가이드 패턴을 차용한 것이다. 복잡한 패턴들은 엔드유저들의 더 많은 테스트를 거친 것이다.

 

표준안에 따라 기관들이 구축한 것들에 대한 사용성 테스트를 수행한다면 일반적인 위험을 회피할 수 있도록 도울 것이라고 말한다.

 

접근성 강화와 웹디자인 도구 개발

기관은 표준안이 개발자에게 웹사이트 개발에 필요한 일반적인 패턴 즉 코드 빌딩 블록을 제공함으로써 하나의 참조 기준으로 사용될 수 있기를 원했다. 목표는 선진화된 모범사례로 만들어진 시스템 컴포넌트에 기반한 프론트엔드 개발 및 공공 사이트 접근성을 갖춘 표준안을 마련하는 것이었다.

 

견고한 HTML 기반의 UI 컴포넌트로 브라우저에 관계없이 웹사이트 이용이 가능하도록 기능을 점진적으로 강화한다고 밝히고 있다. 모든 코드들은 508 컴플라이언스를 따르고 있다. 그렇기에 일반인, 장애인, 어린이 등 누구나 접근이 가능하다. 스타일은 Sass와 Sass 라이브러리 또는 CSS로 컴파일된 것들도 포함해 작성되었다. 때문에 코드를 쉽게 읽을 수 있고 취할 수 있다. 수많은 프론트엔드 개발자와 웹디자이너들과의 대화를 통해 명확하고 사용하기 쉬운 모듈러 CSS와 코드 간 균형을 맞추기 위해 노력했다고 말한다.

 

다양한 정부 플랫폼에서 유연하게 적용하기 위해 하나의 공통된 시각적 스타일을 만든 것이다. 공공 웹디자인이 신뢰성, 진실성, 따뜻함을 전달하면서 높은 수준의 시각적 접근성을 충족할 수 있는 명확한 디자인 심미성을 추구한다.

 

수많은 정부 웹사이트들의 로고와 브랜드 스타일을 검사하고 브랜드 운동을 실시했다. 서체를 테스트하고 공개했으며 특히 가독성에 중점을 뒀다. 폰트 일체를 선정했다. 굵은 고딕체에서 가는 고딕체까지, 혹은 세련된 홍보 페이지에서부터 많은 내용을 담은 디지털 서비스까지 다양한 레이아웃의 요구사항을 충족시킬 수 있도록 했다. 색상을 풍부하게 하거나 제한적으로 적용시킬 수 있도록 해 미국인의 성향에 맞게 적용시켜 구축할 수 있게끔 했다.

 

협력과 발전

기관은 계속된 실질적인 피드백을 통해 개발과 진화를 거듭해 나갈 것이라고 밝혔다. 미국 디자인 표준안을 깃허브를 통해 공개했기 때문에 누구나 사용할 수 있으며 코드나 아이디어를 공헌할 수도 있다. 이를 통해 앞으로 표준안을 더욱 개선하고 정기적으로 릴리즈 할 예정이다.

 

이 프로젝트는 협력을 통해 이룬 성과이다. 만약 많은 대내외 기관 관계자들의 격려, 피드백, 지원이 없었더라면 고작 웹사이트 구석의 버튼 디자인을 만드는 수준에 머물렀을지도 모른다.

 

새로운 웹디자인 표준안은 현재, vote.usa.gov, Mockup of VA Appeals Modernization Screen, U.S. Digital Service Playbook 사이트들에 적용되었다.

▲ 표준안을 적용한 웹사이트(vote.usa.gov)

 

Draft U.S. Web Design Standards

https://playbook.cio.gov/designstandards/

>> 주요 솔루션 ……………………………………………………………………………………………………

문의 : 뉴딜코리아 솔루션사업부 (070-7867-3721, ismsbok@gmail.com)

.............................................................................................................................................................…… CoolCheck!™ Privacy Monitoring System  ::::: 홈페이지 개인정보 노출점검 통합관제 시스템
…… CoolCheck!™ Enterprise                   ::::: 홈페이지 통합관제(품질진단/개인정보진단/자산관리/접근성진단)
…… CoolCheck!™ Accessibility                 ::::: 웹표준/접근성진단/자산관리
…… CoolCheck!™ Privacy                       ::::: 개인정보진단/기술적오류진단/자산관리
…… CoolFilter!™                                 ::::: 홈페이지 게시판 개인정보 등록차단
…… CCD (CoolCheck!™ Desktop)              ::::: PC내 개인정보 관리/점검/암호화저장