이 페이지는 기계 번역 기술을 통해 자동 번역되었습니다. 번역의 정확성을 높이기 위해 합리적인 노력을 기울였으나, 영문이 원본으로 적용됩니다. 번역문과 영문 간의 해석상의 차이, 모호함 또는 불일치가 발생하는 경우에는 영문이 우선됩니다.

사이버 보안(전자 정보 및 통신 시스템) 정책

정책 성명

  1. 당사의 전자 통신 시스템 및 장비는 ComponentSource Group 내에서 효과적인 커뮤니케이션과 업무 관행을 촉진하기 위한 것이며, 당사 비즈니스의 성공에 매우 중요합니다. 사이버 범죄 및 데이터 도난은 당사의 평판과 사업 발전에 부정적인 영향을 미칠 수 있으며, 재무 정보, 민감한 상업 문서, 직원 데이터 및 고객 정보와 같은 데이터를 보호되지 않은 상태로 둘 수 있습니다. 본 정책은 이러한 시스템의 사용자가 준수해야 하는 기준, 당사가 이러한 시스템의 사용을 모니터링하는 상황 및 이러한 기준 위반에 대해 당사가 취할 조치를 설명합니다.
  2. 당사는 모든 전자 및 컴퓨터 시설이 효과적이고 전문적인 방식으로 사용되기를 기대하며, 모든 직원이 이를 위해 필요한 기술을 개발하도록 권장합니다. 이러한 시설은 직원들이 업무를 효과적으로 수행할 수 있도록 지원하기 위해 회사가 자체 비용으로 자체 업무 목적에 따라 제공합니다. 각 직원은 이 기술이 적절한 업무 목적으로 사용되며 회사나 직원에게 어떠한 방식으로도 위험을 초래하지 않도록 사용할 책임이 있습니다.
  3. 본 정책은 원격 근무를 포함하여 근무 중 회사 기술을 사용하는 경우에 적용되며, 자택에서 원격으로 접속하거나 출장 중 회사 노트북을 사용하거나 스마트폰 또는 개인용 디지털 보조기기(PDA)를 사용하는 등 근무 외부에서 회사 기술을 사용하는 경우에도 적용됩니다. 본 정책 문서는 징계 규칙 및 징계 절차와 함께 읽어야 합니다. 본 정책의 적용에 대해 질문이 있는 경우 Chief Technology Officer 또는 Financial Director에게 문의하십시오.
  4. 인터넷 또는 이메일의 오용은 귀하와 회사 모두에게 법적 또는 재정적 책임을 초래할 수 있습니다. 예를 들어, 의도하지 않은 계약을 체결하거나, 저작권 또는 라이선스 약정을 위반하거나, 명예훼손 또는 괴롭힘에 대한 책임을 지거나, 시스템에 바이러스를 유입할 수 있습니다. 본 정책은 이러한 책임으로부터 귀하와 회사를 모두 보호하기 위해 마련되었습니다. 본 정책을 주의 깊게 읽고 인터넷 또는 이메일을 사용할 때 그 조건을 준수하는지 확인하는 것이 중요합니다.
  5. 귀하가 ComponentSource와 관련된 사람임을 밝히는 경우, 본 정책은 이메일 또는 인터넷의 개인적 사용에도 적용됩니다. 당사는 기술, 법률 및 모범 사례의 변경 사항을 반영하기 위해 수시로 본 정책을 수정할 수 있습니다.
  6. Chief Technology Officer는 본 정책의 모니터링 및 시행을 담당합니다. 본 정책의 내용에 대한 질문이나 기타 의견이 있는 경우 Chief Technology Officer에게 문의하십시오.
  7. 본 정책은 직원의 고용 계약의 일부를 구성하지 않으며 언제든지 수정될 수 있습니다.

본 정책의 적용 대상은 누구입니까?

  1. 본 정책은 senior Managers, 임원, Directors, 직원, 컨설턴트, 계약자, 연수생, 재택근무자, 시간제 및 기간제 직원, 임시 및 파견 직원을 포함하여 모든 직급에서 근무하는 모든 개인에게 적용됩니다(본 정책에서는 통칭하여 직원이라고 함).
  2. 당사의 전자 통신 시스템 및 장비에 접근할 수 있는 제3자도 본 정책을 준수해야 합니다.

정책의 범위 및 목적

  1. 본 정책의 목적은 ComponentSource의 데이터 및 인프라를 보호하고, 당사의 사이버 보안 조치를 관리하는 프로토콜과 지침을 설명하며, 회사 및 개인 사용에 대한 규칙과 미준수 시 징계 결과를 정의하는 것입니다.
  2. 본 정책은 주로 컴퓨터 장비(직접 또는 원격 액세스를 통한 사용), 이메일, 인터넷(승인된 ComponentSource PR 활동과 관련된 경우를 제외한 과도한 개인 인터넷 검색 및 소셜 미디어 사용 포함), 전화, 스마트폰, USB 스틱, 개인용 디지털 보조기기(PDA) 및 음성사서함의 사용(및 오용)을 다루지만, 팩스기, 복사기, 스캐너, CCTV, 전자 키 포브 및 카드의 사용에도 동일하게 적용됩니다.
  3. 모든 직원은 당사의 전자 통신 시스템 및 장비를 무단 접근과 손상으로부터 보호하기 위해 항상 본 정책을 준수해야 합니다. 본 정책 위반은 당사의 징계 절차에 따라 처리될 수 있으며, 중대한 경우 즉시 해고로 이어질 수 있는 중대한 위법 행위로 간주될 수 있습니다.

정책 시행 책임자

  1. ComponentSource 이사회(이사회)는 본 정책의 효과적인 운영에 대한 전반적인 책임을 가지지만, 일상적인 운영 책임은 Chief Technology Officer에게 위임했습니다. 본 정책의 운영을 모니터링 및 검토하고 당사 운영에 대한 위험을 최소화하기 위한 변경 사항을 권고할 책임도 Chief Technology Officer에게 있습니다.
  2. IT 부서는 당사의 핵심 시스템 유지라는 주요 업무를 우선으로 하면서 본 정책의 모든 조항에 따른 허가 또는 지원 요청을 처리하며, 보안 및 호환성을 보장하기 위해 특정 장비 또는 절차 표준을 지정할 수 있습니다.
  3. 모든 Managers는 본 정책의 범위 내에서 업무를 수행하고, 모든 직원이 자신에게 요구되는 행동 기준을 이해하도록 하며, 행동이 그 기준에 미달할 경우 조치를 취할 특별한 책임이 있습니다.
  4. 모든 직원은 본 정책의 성공적인 시행에 대한 책임이 있으며 시간을 내어 이를 읽고 이해해야 합니다. 당사의 전자 통신 시스템 또는 장비의 오용은 Chief Technology Officer 또는 Financial Director에게 보고해야 합니다. 본 정책의 내용이나 적용에 관한 질문은 Chief Technology Officer에게 문의해야 합니다.

장비 보안 및 비밀번호

  1. 직원은 자신에게 할당되었거나 자신이 사용하는 장비의 보안에 대한 책임이 있으며, 본 정책에 따른 경우를 제외하고 다른 사람이 이를 사용하도록 허용해서는 안 됩니다.
  2. 이메일 시스템 또는 인터넷에 대한 접근 권한을 부여받은 경우 직원은 자신의 단말기 보안에 대한 책임이 있습니다. 단말기를 무인 상태로 두거나 사무실을 떠날 때에는 무단 사용자가 부재 중 시스템에 접근하지 못하도록 단말기를 잠그거나 로그오프해야 합니다.
  3. 데스크톱 PC 및 전화 또는 컴퓨터 장비의 케이블은 IT 부서에 먼저 문의하지 않고 이동하거나 조작해서는 안 됩니다.
  4. 비밀번호는 각 사용자에게 고유하며 기밀성을 보장하기 위해 정기적으로 변경해야 합니다. 비밀번호는 기밀로 유지해야 하며 다른 사람에게 제공해서는 안 됩니다. 모범 사례에서는 최소 8자 이상으로 대문자와 소문자, 숫자 및 가능하면 기호를 조합한 비밀번호를 선택하도록 요구합니다. 비밀번호는 기억하고 기록하지 않는 것이 좋지만, 반드시 기록해야 하는 경우 해당 문서는 기밀로 보관하고 더 이상 필요하지 않을 때 폐기해야 합니다. 명확히 하기 위해, 고용이 종료되는 경우(이유 불문) 비밀번호 세부 정보를 Chief Technology Officer 또는 Financial Director에게 제공하고 모든 장비, 키 포브 또는 카드를 반환해야 합니다.
  5. 노트북이나 스마트폰을 지급받은 경우 특히 여행 중에는 항상 안전하게 보관해야 합니다. 분실 또는 도난 시 기밀 데이터가 보호되도록 이러한 장비에 저장된 데이터에 대한 접근을 보호하기 위해 비밀번호를 사용해야 합니다. 또한 ComponentSource 구내 밖에서 장비를 사용할 때에는 예를 들어 대중교통 이용객과 같은 제3자가 문서를 볼 수 있다는 점을 인식하고 이를 방지하기 위해 필요한 모든 조치를 취해야 합니다.

시스템 및 데이터 보안

  1. 당사의 비즈니스에 피해를 주거나 위험에 노출시킬 수 있는 기존 시스템, 프로그램, 정보 또는 데이터를 삭제, 파괴 또는 수정해서는 안 됩니다.
  2. Chief Technology Officer의 승인 없이 외부 소스에서 소프트웨어를 다운로드하거나 설치해서는 안 됩니다. 여기에는 소프트웨어 프로그램, 인스턴트 메시징 프로그램, 화면 보호기, 사진, 비디오 클립 및 음악 파일이 포함됩니다. 수신되는 파일 및 데이터는 다운로드되기 전에 IT 부서에서 바이러스 검사를 받습니다. 또한 네트워크에서 다음 또는 이와 유사한 항목에 접근해서는 안 됩니다: 온라인 라디오, 오디오 및 비디오 스트리밍, 인스턴트 메시징 및 웹메일(예: Hotmail, WhatsApp 또는 Yahoo), 소셜 네트워킹 사이트(예: Facebook, Instagram, YouTube, Twitter).
  3. 기밀 데이터에는 다음이 포함되며 이에 국한되지 않습니다:
    • 미공개 재무 정보
    • 고객, 공급업체, 파트너 및 주주 정보
    • 직원 정보
    • 고객 목록, 영업 리드 및 관련 데이터
    • 비밀번호
    • 계약
    • 법률 및 비즈니스 기록

    내부 또는 외부 수신자에게 데이터를 전송하는 것은 추가적인 보안 위험을 수반합니다. 따라서 직원은 다음을 준수해야 합니다:

    1. 기밀 정보를 승인되지 않은 직원이나 외부 당사자에게 전송하지 않아야 합니다;
    2. 기밀 데이터는 ComponentSource 네트워크를 통해서만 전송해야 합니다;
    3. 데이터 전송에 필요한 모든 승인을 받았는지 확인해야 합니다;
    4. 회사 외부의 수신자가 적절한 보안 조치를 갖추고 있는지 확인해야 합니다;
    5. ComponentSource 데이터 보호 정책을 준수해야 합니다;
    6. 실제 또는 의심되는 개인정보 침해, 해킹 시도, 악성 소프트웨어 및/또는 사기를 즉시 Chief Technology Officer에게 보고해야 합니다.
  4. IT 부서의 사전 승인을 받지 않고 어떠한 장치나 장비도 당사의 시스템에 연결해서는 안 됩니다. 여기에는 USB 플래시 드라이브, MP3 또는 유사 장치, PDA 또는 전화가 포함됩니다. USB 포트, 적외선 연결 포트 또는 기타 포트의 사용도 포함됩니다. 마찬가지로 직원은 다른 사람 소유의 장치에서 ComponentSource 시스템 및 계정에 접근하려고 해서는 안 되며, Chief Technology Officer의 사전 승인을 받지 않고 자신의 회사 장치를 다른 사람에게 대여해서도 안 됩니다.
  5. 당사는 시스템을 통과하는 모든 이메일에 대해 바이러스를 모니터링합니다. 직원은 알 수 없는 외부 출처에서 온 이메일을 열거나 어떤 이유로든 이메일이 의심스러워 보이는 경우(예: 이름이 .exe 또는 .ran으로 끝나는 경우) 주의해야 합니다. 의심되는 바이러스가 수신되면 즉시 IT 부서에 알려야 합니다. 당사는 시스템의 효율적인 사용 및 본 정책 준수를 위해 이메일 첨부 파일에 대한 접근을 차단할 권리를 보유합니다. 또한 당사는 이메일 메시지를 전송하지 않을 권리를 보유합니다.
  6. 특별히 승인받지 않은 경우 네트워크의 제한된 영역이나 비밀번호로 보호된 정보에 접근하려고 해서는 안 됩니다.
  7. 7. 노트북이나 Wi-Fi 지원 장비를 사용하는 직원은 사무실 밖에서 사용할 때 특히 주의해야 하며, 바이러스 유입 또는 시스템 보안 침해를 방지하기 위해 IT 부서가 수시로 요구하는 예방 조치를 취해야 합니다. 시스템에는 당사 비즈니스에 기밀인 정보 및/또는 데이터 보호 법률의 적용을 받는 정보가 포함되어 있습니다. 이러한 정보는 극도의 주의를 기울여 당사의 데이터 보호 정책에 따라 처리해야 합니다.

이메일 에티켓 및 내용

  1. 이메일은 중요한 업무 도구이지만 비공식적인 커뮤니케이션 수단이므로 각별한 주의와 절제된 방식으로 사용해야 합니다. 특정 커뮤니케이션에 이메일이 적절한 수단인지 항상 고려해야 하며, 이메일로 전송되는 서신은 편지나 팩스만큼 전문적으로 작성되어야 합니다. 당사의 표준 면책 고지는 항상 포함되어야 합니다. 계약 조건이나 변경 사항을 포함하거나 분쟁 관련 서신(수신 또는 발신)을 포함하는 모든 이메일의 인쇄본은 적절한 파일에 보관해야 합니다.
  2. 이메일은 다른 모든 커뮤니케이션 형태와 마찬가지로 항상 최고 수준의 전문성을 반영해야 합니다. 메시지는 간결하고 요점에 맞게 작성하고, 제목 필드에 적절한 제목을 입력하며, 보내기 전에 철자와 문법을 주의 깊게 확인해야 합니다. 또한 보내기 버튼을 누르기 전에 수신자를 다시 확인해야 합니다 – 메시지가 잘못된 사람에게 전송되면 당황스러울 뿐만 아니라 회사의 기밀 정보가 의도치 않게 공개될 수도 있습니다.
  3. 매 근무일마다 최소 한 번은 이메일을 확인하고, 출장 중에는 원격 액세스를 통해 연락을 유지하며, 하루 이상 사무실을 비울 경우 부재중 응답을 사용해야 합니다. "높은 우선순위"로 표시된 이메일에는 1영업일 이내에 응답하도록 노력해야 합니다.
  4. 모욕적, 외설적, 차별적, 인종차별적, 괴롭힘성, 비하적 또는 명예훼손성 이메일을 보내서는 안 됩니다. 괴롭힘이나 따돌림을 당했다고 느끼거나 동료로부터 이메일을 통해 받은 자료로 인해 불쾌감을 느낀 경우 직속 Manager 또는 Financial Director에게 알려야 합니다.
  5. 이메일은 복구 가능한 기록을 남기므로 이메일 메시지의 내용에 항상 주의를 기울여야 합니다. 이메일 메시지는 다른 사람이 읽을 수 있다고 가정해야 하며, 공개될 경우 어떤 독자나 본인에게 불쾌감을 주거나 당혹감을 줄 수 있는 내용을 포함해서는 안 됩니다.
  6. 이메일 메시지는 종이 문서와 동일한 방식으로 법적 절차에서 공개될 수 있습니다. 부정확하거나 부적절한 진술은 차별, 괴롭힘, 명예훼손, 기밀 유지 위반 또는 계약 위반에 대한 청구로 이어질 수 있습니다. 사용자의 받은 편지함이나 보관함에서 삭제되었다고 해서 공개 목적으로 이메일을 복구할 수 없는 것은 아니며, 모든 이메일 메시지는 메인 서버 또는 전문 소프트웨어를 통해 잠재적으로 복구 가능하다고 간주해야 합니다.
  7. 일반적으로 다음과 같은 행위를 해서는 안 됩니다:
    • 제3자가 읽는 것을 원하지 않는 개인 이메일을 직장에서 보내거나 전달하는 행위;
    • 체인 메일, 정크 메일, 만화, 농담 또는 소문을 보내거나 전달하는 행위;
    • 사소한 메시지를 보내거나 실제로 받을 필요가 없는 사람들에게 불필요하게 이메일을 참조 또는 전달하여 시스템 혼잡을 초래하는 행위;
    • Financial Director의 승인 없이 당사의 통신 시스템을 사용하여 판매 또는 광고하거나 분실물, 후원 또는 자선 모금에 대한 메시지를 방송하는 행위;
    • 적절한 권한을 보유하거나 획득하지 않은 상태에서 이메일을 통해 조건에 동의하거나 계약상 의무를 부담하거나 진술하는 행위. 이메일 끝에 입력한 이름은 편지 끝에 적은 이름과 동일하게 서명으로 간주됩니다;
    • 저작권 보호를 받는 인터넷의 텍스트, 음악 및 기타 콘텐츠를 해당 저작물의 소유자가 허용한다는 점이 명확하지 않은 상태에서 다운로드하거나 이메일로 전송하는 행위;
    • 특별히 승인받지 않은 상태에서 다른 직원의 컴퓨터에서 또는 가명으로, 혹은 가상 사설망(VPN)을 통해 메시지를 보내는 행위; 또는
    • 안전하지 않은 것으로 알려진 이메일, 인터넷 또는 기타 외부 통신 수단을 사용하여 매우 기밀이거나 민감하거나 개인적인 콘텐츠를 전송하는 행위.

    내부 또는 외부 메시지가 그렇게 표시되어 있더라도 반드시 비공개이고 기밀이라고 가정해서는 안 됩니다. 인터넷은 안전한 통신 수단이 아니며 제3자가 송수신된 메시지에 접근하거나 이를 변경할 수 있습니다. 따라서 공개되어도 괜찮다고 생각하지 않는 정보는 이메일로 보내지 마십시오. 내부 통신의 기밀성은 내부 우편으로 발송하거나 직접 전달하거나 비밀번호로 보호된 온라인 문서에 포함한 경우에만 보장될 수 있습니다.

  8. 잘못 전달된 이메일을 받은 경우 가능한 한 빨리 발신자에게 반환하고 어떤 방식으로도 보관, 복사 또는 공개해서는 안 됩니다. 단, 이메일에 위에서 설명한 부적절한 자료가 포함되어 있는 경우 Chief Technology Officer에게 보고해야 합니다.

인터넷 사용

  1. 웹사이트를 방문할 때 사이트 소유자가 방문자를 식별하고 모니터링할 수 있도록 쿠키, 태그 또는 웹 비콘과 같은 장치가 사용될 수 있습니다. 웹사이트가 아래 10.11.2항에 설명된 유형에 해당하는 경우, 특히 부적절한 자료가 웹사이트에서 접근, 다운로드, 저장 또는 전달된 경우 이러한 표시는 방문자와 당사 모두에게 당혹스러운 일이 될 수 있습니다. 또한 이러한 행위는 특정 상황에서, 예를 들어 해당 자료가 음란물인 경우 형사 범죄에 해당할 수 있습니다. 이에 대해서는 아래 10.11항의 장비 및 시스템의 부적절한 사용에서 추가로 설명합니다.
  2. 따라서 인터넷에서 다운로드한 웹페이지 또는 파일(문서, 이미지 또는 기타 파일) 중 어떤 방식으로든 불법적이거나, 불쾌하거나, 저속하거나, 부도덕하다고 간주될 수 있는 항목에 접근해서는 안 됩니다. 콘텐츠가 영국에서 합법적이더라도 충분히 저속하여 이 금지 대상에 해당할 수 있습니다. 일반적으로 어떤 사람이라도(해당 페이지를 보도록 의도된 사람이든 아니든) 페이지의 내용에 불쾌감을 느낄 수 있거나, 당사의 소프트웨어가 해당 페이지나 파일에 접근했다는 사실이 공개될 경우 당혹스러울 수 있다면, 해당 페이지를 보는 것은 본 정책 위반에 해당합니다.
  3. 어떠한 상황에서도 ComponentSource 시스템을 사용하여 인터넷 채팅방에 참여하거나, 인터넷 게시판에 메시지를 게시하거나, 블로그 또는 위키에 텍스트나 정보를 작성 또는 기록해서는 안 되며, 이는 개인 시간에도 마찬가지입니다. 예외적으로 관련 직원에게 ComponentSource 및 그 비즈니스 홍보와 관련된 목적에 한해서만 소셜 미디어에 접근하고 게시할 수 있는 특별 허가가 부여될 수 있습니다.

시스템의 개인적 사용

  1. 아래에 명시된 특정 조건을 전제로 개인 이메일 전송, 인터넷 검색 및 개인 전화 통화를 위한 인터넷, 이메일 및 전화 시스템의 부수적 사용을 허용합니다. 개인적 사용은 권리가 아닌 특권입니다. 이를 남용하거나 과도하게 사용해서는 안 되며 당사는 언제든지 허가를 철회할 권리를 보유합니다.
  2. 개인적 사용이 계속 허용되려면 다음 조건을 충족해야 합니다:
    1. 사용은 최소한으로 제한되어야 하며 긴급 상황을 제외하고 주로 정상 근무시간 외(즉, 점심시간, 오전 9시 이전 또는 오후 5시 30분 이후)에 이루어져야 합니다;
    2. 개인 이메일은 제목란에 "개인"이라고 표시해야 합니다;
    3. 사용으로 인해 업무 또는 사무실 책임에 지장이 있어서는 안 됩니다;
    4. 사용으로 인해 당사에 추가 비용이 발생해서는 안 됩니다; 그리고
    5. 사용은 평등 기회 정책, 괴롭힘 및 따돌림 방지 정책, 데이터 보호 정책 및 징계 절차를 포함한 당사의 정책을 준수해야 합니다(위 10.7항 이메일 에티켓 및 내용, 위 10.8항 인터넷 사용 참조).
  3. 당사 시스템의 개인적 사용은 모니터링될 수 있으며(아래 10.9.10항 참조), 본 정책 위반이 발견된 경우 당사의 징계 절차에 따라 조치가 취해질 수 있음을 인지해야 합니다. 개인적 사용이 과도하다고 판단되는 경우 특정 전화번호 또는 인터넷 사이트에 대한 접근을 제한하거나 차단할 권리를 보유합니다.
  4. ComponentSource로 개인 우편물을 보내도록 할 권리는 없습니다. 특정 우편물이 회사 업무와 관련이 없는지 확인할 방법이 없으므로 모든 수신 우편물은 통상적으로 개봉됩니다. 이는 ‘개인’ 및/또는 ‘비공개 및 기밀’로 표시된 우편물에도 적용됩니다.
  5. 휴대전화: 휴대전화 또는 차량용 전화가 제공된 경우 기본적으로 업무용 전화 통화에만 사용해야 합니다. 개인 통화에 사용한 경우 해당 통화 비용의 상환을 요구할 권리를 보유합니다. 휴대전화를 잘 관리하고 항상 안전하게 보관해야 합니다. 도난당한 경우 직속 Manager 또는 Financial Director에게 즉시 알려야 합니다. 두 사람 모두 부재 중인 경우 서비스 제공업체가 전화를 차단하도록 합리적인 모든 조치를 취해야 합니다. 직속 Manager가 요청하거나 고용이 종료되는 경우 휴대전화와 모든 액세서리를 즉시 반환해야 합니다.

시스템 사용 모니터링

  1. 당사의 시스템을 통해 전화, 이메일, 음성사서함, 인터넷 및 기타 통신을 모니터링할 수 있습니다. 업무상의 이유 및 고용주로서의 법적 의무를 이행하기 위해 전화 및 컴퓨터 시스템을 포함한 당사 시스템의 사용과 모든 개인적 사용은 지속적으로 모니터링될 수 있습니다. 모니터링은 법률에서 허용하거나 요구하는 범위 내에서, 그리고 업무 목적상 필요하고 정당화되는 경우에만 수행됩니다.
  2. CCTV 시스템은 당사 건물의 외부를 하루 24시간 모니터링합니다. 이 데이터는 기록됩니다.
  3. 당사는 다음 목적을 위해 메시지의 내용을 검색하거나 인터넷에서 이루어진 검색을 확인할 권리를 보유합니다(이 목록은 모든 경우를 포함하지 않음):
    • 이메일 시스템 또는 인터넷 사용이 정당하고 당사의 정책을 준수하는지 모니터링하기 위해;
    • 분실된 메시지를 찾거나 컴퓨터 장애로 인해 손실된 메시지를 복구하기 위해;
    • 위법 행위에 대한 조사 지원을 위해; 또는
    • 법적 의무를 준수하기 위해.

장비 및 시스템의 부적절한 사용

  1. 인터넷, 전화 및 기타 전자 시스템에 대한 접근은 합법적인 업무 목적으로만 허용됩니다. 본 정책, 평등 기회 정책, 괴롭힘 및 따돌림 방지 정책, 데이터 보호 정책 및 징계 절차를 포함한 당사의 규칙, 정책 및 절차를 완전히 준수하는 경우에 한해 부수적인 개인적 사용이 허용됩니다. 위 9.9항 시스템의 개인적 사용을 참조하십시오.
  2. 당사의 전화 또는 이메일 시스템을 오용, 과도하게 사용하거나 남용하는 행위 또는 본 정책을 위반한 인터넷의 부적절한 사용은 당사의 징계 절차에 따라 처리됩니다. 인터넷의 오용은 특정 상황에서 형사 범죄에 해당할 수 있습니다. 특히 온라인 도박이나 체인 레터에 참여하거나 다음 자료를 생성, 열람, 접근, 전송 또는 다운로드하는 방식으로 이메일 시스템을 오용하거나 인터넷을 부적절하게 사용하는 것은 중대한 위법 행위에 해당합니다(이 목록은 모든 경우를 포함하지 않음):
    • 음란물(즉, 성적으로 노골적이거나 성적 흥분을 유발하는 성격의 글, 사진, 영화 및 비디오 클립);
    • 모욕적, 외설적 또는 범죄성 자료 또는 당사나 고객에게 당혹감을 줄 수 있는 자료;
    • 개인 또는 조직에 대한 허위 및 명예훼손성 진술;
    • 차별적, 모욕적, 비하적이거나 다른 사람에게 당혹감을 줄 수 있는 자료;
    • 당사 또는 당사의 직원이나 고객에 관한 기밀 정보(귀하가 접근 권한을 보유하지 않은 정보);
    • 귀하 또는 당사에게 형사상 또는 민사상 책임을 발생시킬 가능성이 있는 기타 모든 진술; 또는
    • 저작권을 침해하는 자료.
  3. 이러한 행위는 매우 심각하게 취급되며 즉시 해고로 이어질 가능성이 높습니다.
  4. 오용의 증거가 발견되는 경우 당사는 징계 절차에 따라 보다 상세한 조사를 실시할 수 있으며, 여기에는 조사를 담당하도록 지정된 사람 및 징계 절차에 관여하는 증인 또는 Managers에게 모니터링 기록을 검토하고 공개하는 것이 포함될 수 있습니다. 필요한 경우 이러한 정보는 형사 수사와 관련하여 경찰에 제공될 수 있습니다.

본 정책의 모니터링 및 검토

  1. Chief Technology Officer는 Financial Director와 함께 본 정책이 법적 요구 사항을 충족하고 모범 사례를 반영하는지 확인하기 위해 정기적으로 검토할 책임이 있습니다.
  2. Financial Director는 본 정책에 따른 관리 또는 조사에 관여할 수 있는 모든 사람이 이러한 업무를 수행할 수 있도록 적절한 교육 및/또는 지침을 받았거나 받도록 할 책임이 있습니다.
  3. 직원은 Chief Technology Officer 또는 Financial Director에게 연락하여 본 정책에 대한 의견을 제시하고 개선 방안을 제안할 수 있습니다.

재해 복구 계획

  1. Chief Technology Officer (CTO)는 회사 비즈니스를 위한 적절한 재해 복구 계획을 수립, 시행 및 유지할 책임이 있습니다. 즉, 자연적 원인이든 인간의 행위나 실수로 인한 것이든 재해 발생 후 회사 IT 인프라에 대한 접근 및 기능을 복구하여 장애 발생 후 가능한 한 신속하게 핵심 업무 기능이 운영될 수 있도록 해야 합니다.
  2. 유지 관리에는 감염되거나, 침해되거나, 어떠한 이유로든 작동 불가능해진 시스템의 기능과 제어를 복구하기 위해 데이터 및 IT 인프라를 특정 복원 지점에 적절하게 복제하고 백업하는 것이 필요합니다.
  3. CTO는 회사의 재해 복구 계획에 존재할 수 있는 약점이나 공백을 식별하고, 사고 발생 시 기존 전략적 프로세스가 중요 시스템과 데이터를 효과적으로 복구하여 회사가 IT 시스템에 대한 통제권을 되찾을 수 있도록 정기적으로 재해 복구 테스트를 수행합니다.
  4. 사이버 보안은 재해 복구가 위협 대응에 필수적인 분야로 점점 더 중요해지고 있습니다. 여기에는 피싱, 해킹, 랜섬웨어, 멀웨어, 서비스 중단 또는 서비스 거부, 내부자 공격 등 다양한 형태가 포함될 수 있습니다. ComponentSource는 재해 복구 계획의 필수적인 일부로 사이버 공격 대응 절차를 개발했습니다. 이 절차는 시스템 및 데이터의 기밀성, 무결성 또는 가용성을 위협하는 사이버 공격의 탐지, 평가 및 대응을 다루며, 이러한 모든 사고를 신속하고 적법하며 투명하게 처리하여 비즈니스, 고객 및 정보주체에 대한 피해를 최소화하는 것을 목표로 합니다.

사이버 공격 대응 절차

  1. 본 절차는 ComponentSource IT 시스템, 네트워크, 클라우드 플랫폼 또는 데이터(개인 데이터 포함)에 접근할 수 있는 모든 직원, 계약자 및 제3자에게 적용됩니다.
  2. 사이버 공격은 운영 및 상업적 영향 외에도 EU 및 UK GDPR, 컴퓨터 오용 관련 법률, 자금세탁 방지 법률, 캘리포니아 소비자 개인정보 보호법(CCPA), UK Extension to the DPF를 포함한 EU-US Data Privacy Framework 등 여러 관련 법률 및 규정에 따른 의무를 발생시킬 수 있습니다.
  3. ComponentSource는 네트워크 방화벽, 침입 탐지 시스템, 패치 및 취약점 관리 프로그램, 다중 요소 인증, 정기적인 침투 테스트 및 직원 인식 교육을 포함한 강력한 방어 조치를 유지하여 사이버 공격 위험을 최소화합니다.
  4. 잠재적 사이버 공격을 적시에 탐지하고 정확히 보고하는 것은 피해를 제한하는 데 필수적이며, 회사 직원, 계약자 또는 회사를 대신하여 업무를 수행하는 기타 모든 당사자는 비정상적인 시스템, 네트워크 또는 사용자 행동의 징후를 경계하고 의심되는 지표를 즉시 CIO에게 보고해야 합니다. 잠재적 사이버 공격의 지표에는 비정상적인 시스템 및 네트워크 행동, 갑작스럽거나 설명할 수 없는 시스템 종료, 충돌 또는 재부팅, 비정상적으로 높은 네트워크 트래픽(특히 정상 근무시간 외), 승인되지 않은 구성 변경 또는 비활성화된 방화벽 설정, 알 수 없는 확장자를 가진 파일이 잠기거나 접근할 수 없게 되는 현상, 로그 또는 시스템 구성의 설명할 수 없는 삭제 또는 변경 등이 있습니다.

    다른 지표에는 여러 번의 로그인 실패, 예상치 못한 지리적 위치에서의 로그인, 예상치 못한 신규 계정 생성, 요청하지 않았거나 의심스러운 이메일, 변조되거나 변경된 웹사이트 콘텐츠, 고객의 팝업 또는 리디렉션 보고, 설명할 수 없는 데이터 삭제, 지속적인 성능 저하, 과열, 리소스 사용 급증 또는 회사 시스템에 승인되지 않은 장치가 연결되는 현상 등이 포함될 수 있습니다.

  5. 직원, 계약자 또는 회사를 대신하여 업무를 수행하는 기타 당사자가 사이버 공격을 의심하는 경우 회사 시스템 사용을 중단해야 하며, CIO의 명시적인 사전 승인과 지시 없이 독립적으로 조사하려고 해서는 안 됩니다. 모든 증거는 보존해야 하며 삭제해서는 안 되고, 가능한 경우 스크린샷을 촬영해야 합니다.


    의심되는 사이버 공격에 대한 보고에는 관찰된 내용에 대한 명확한 설명, 발생 날짜 및 시간, 영향을 받은 시스템 및/또는 애플리케이션 및/또는 데이터, 사용자가 최근 수행한 작업(예: 다운로드, 열어본 이메일, 방문한 웹사이트)이 포함되어야 합니다.

    사고가 운영 또는 규제 위험을 초래하는 것으로 판단되는 경우 DPM에게도 보고해야 합니다.

  6. 확인되었거나 의심되는 사이버 공격이 식별된 경우 대응 절차는 다음과 같습니다:
    1. 사고를 다음과 같이 낮음, 중간, 높음 또는 심각으로 분류합니다:
      분류 설명 일반적인 예
      낮음 경미하거나 국지적인 중단으로 신속히 통제되었으며 데이터 침해가 없음 국지적 멀웨어, 단발성 피싱 시도
      중간 데이터 노출 가능성 또는 운영 영향이 있는 중단; 추가 분석 필요 자격 증명 침해, 비개인 데이터에 대한 무단 접근
      높음 확인되었거나 의심되는 데이터 침해, 랜섬웨어 감염 또는 상당한 운영 중단 시스템 전반의 멀웨어 확산, 데이터 침투, 서비스 거부 공격
      심각 핵심 시스템에 영향을 주는 중대한 사고, 대규모 데이터 손실 또는 국가적 규제 영향 치명적인 서비스 중단, 개인에게 높은 위험을 초래하는 확인된 개인 데이터 침해
    2. 중간 이상으로 분류된 사고의 경우 CIO는 영향을 받은 시스템이나 장치를 네트워크에서 격리하고, 침해된 자격 증명을 철회하고, 알려진 악성 IP 또는 도메인을 차단하고, 침해가 의심되는 경우 원격 액세스 또는 통합을 비활성화하는 등의 통제 조치를 시작하며, 이 통제 단계에서 증거가 파기되지 않도록 해야 합니다.
    3. 사고의 시간 흐름, 영향을 받은 시스템, 관련 데이터의 성격과 민감도 등을 파악하기 위한 초기 조사를 수행하고, 사고의 고유 참조 번호에 따라 안전하게 보관할 증거와 로그, 이미지 및 아티팩트 사본을 수집합니다.
    4. 사고를 CFO 및 CEO를 포함한 적절한 고위 경영진에게 보고하며, 이들은 필요한 경우 법률 자문을 받아 UK Information Commissioner’s Office, 법 집행기관 및 계약상 요구되는 외부 통지가 필요한지 여부를 결정합니다. 개인 데이터 침해가 발생한 경우 DPM은 해당 사고를 평가하고 회사의 Data Breach Register에 기록합니다. 개별 정보주체의 권리에 높은 위험이 있는 경우 DPM은 EU 및 UK GDPR의 요구에 따라 영향을 받은 정보주체에게 부당한 지체 없이 알립니다. 모든 외부 보고는 참조 번호, 제출 날짜 및 책임자와 함께 문서화됩니다.
    5. 통제 및 조사 후 CIO는 모든 악성 코드, 백도어 또는 승인되지 않은 계정이 제거되도록 박멸 단계를 관리합니다.


      복구는 시스템 무결성 검증 및 패치 적용, 깨끗하고 검증된 백업에서의 복원, 네트워크에 다시 연결하기 전에 시스템이 안전한지 확인하는 검증 테스트, 그리고 정의된 사고 후 기간(예: 30일) 동안 재발 여부를 지속적으로 모니터링하는 방식으로 정상 운영을 복원합니다.

    6. CIO는 사고 후 검토 회의를 소집하여 대응 및 커뮤니케이션의 효과를 평가하고, 절차적 또는 기술적 공백을 식별하며, 개선 조치 및 책임 배정을 합의하고, 필요에 따라 관련 정책 및 교육을 업데이트합니다.
    7. 모든 사이버 공격 또는 조사와 관련된 정보는 엄격히 기밀이며, 공개는 승인된 인력과 필요한 경우 규제기관 및 법 집행기관으로 제한됩니다. 사고 세부 정보를 내부 또는 외부에 무단으로 공유하는 행위는 징계 사항으로 처리됩니다.
    8. 다음 표는 개별 사이버 보안 사고에 적용되는 경우 작성 및 유지해야 하는 기록을 설명합니다:
      기록 유형 목적/설명 최소 보존 기간 담당 팀/역할 폐기 또는 검토 방법
      사고 보고서 및 통지 사이버 공격 보고 절차를 통해 제출된 초기 및 후속 보고서로, 내부 경보와 규제기관, 보험사 또는 법 집행기관에 대한 외부 통지를 포함합니다. 종결 또는 최종 연락일로부터 6년. 예: CIO 또는 DPM 보존 기간 종료 후 안전하게 폐기 또는 익명화; 절차가 계속되는 경우 연장.
      사고 대응 보고서 및 사례 파일 사이버 또는 데이터 보안 사고에 대한 전체 문서. 사고 발생일 또는 종결일로부터 6년. 예: DPM 보존 기간 종료 후 안전하게 폐기 또는 익명화; 법적 조치가 계속 중인 경우 더 오래 보관.
      통제 및 복구 로그 즉각적인 통제, 격리 및 복구 조치 기록(예: 네트워크 세분화, 자격 증명 재설정, 패치 적용). 사고 종결일로부터 6년. 예: CIO 검토 후 안전하게 삭제; 분석 또는 후속 조치가 필요한 경우 연장.
      조사 및 분석 메모 공격 벡터, 범위 및 영향을 문서화한 포렌식 조사 자료, 시간 흐름 및 분석가 메모. 6년 예: CIO 보존 기간 종료 후 안전하게 폐기 또는 익명화.
      포렌식 아티팩트 및 증거 이미지 잠재적인 법적 또는 규제 용도로 보존된 디스크 이미지, 패킷 캡처, 멀웨어 샘플 및 기타 증거 아티팩트. 6년 또는 모든 사안이 종결될 때까지(더 긴 기간 적용). 예: DPM 증거관리 연속성 감독 하에 암호학적 삭제; 폐기 기록 유지.
      사고 등록부 모든 사고, 분류, 조치, 결정 및 결과에 대한 마스터 로그. 영구 기록(무기한 보관 또는 10년 후 보관 처리). 예: DPM 안전한 보관; 5년마다 정기 검토.
      외부 커뮤니케이션(고객, 규제기관, 보험사, 법 집행기관) 사고와 관련된 공식 통지, 서신 및 보도자료. 6년. 예: DPM 보존 기간 종료 후 안전하게 폐기; 절차가 계속되는 경우 연장.
      제3자 커뮤니케이션 및 계약 공급업체 및 파트너 서신, SLA, 시정 또는 포렌식 공급업체 관련 문서. 사고 해결 / 계약 종료 후 6년. 예: Legal Counsel 보존 기간 종료 후 안전하게 삭제 또는 익명화.
      사고 후 검토 보고서 및 개선 계획 사고 종결 후 교훈 문서, 검토 회의록 및 시정 조치 추적. 6년. 예: DPM 보존 기간 종료 후 안전하게 삭제 또는 익명화; 감사 추적용 요약본 보관.
      감사 및 준수 보고서(보안, 기술, 거버넌스) 통제 또는 시정 조치의 효과를 확인하는 독립 또는 내부 감사 보고서. 보고서 날짜로부터 6년. 예: DPM 보존 기간 종료 후 안전하게 폐기 또는 익명화.
      시스템 및 네트워크 로그 시스템 활동, 침입 탐지 및 포렌식 재구성을 입증하는 로그. 최소 12개월(조사 시 연장). 예: CIO 검토 및 종결 후 안전하게 삭제 또는 익명화.
      접근 제어 및 인증 로그 책임 확인을 위한 사용자 로그인, 권한 변경 및 접근 시도. 12개월. 예: CIO 안전하게 삭제 또는 익명화; 분석에 필요한 경우 연장.
      백업 및 복구 로그 백업 성공, 무결성 및 복원 테스트 확인. 시스템 중요도에 따라 6–12개월. 예: CIO 예정된 순환 주기 후 안전하게 삭제 / 덮어쓰기.
      사이버 보안 교육 및 인식 기록 모든 직원 및 계약자의 교육 및 인식 프로그램 이수 증거. 고용 기간 + 6년. 예: CFO 보존 기간 종료 후 안전하게 폐기; 법적 / 징계 사안의 경우 연장.
      징계 및 직원 조사 기록(사이버 보안 관련) 오용, 과실 또는 정책 위반에 대한 직원 조사. 고용 기간 + 6년. 예: CFO 보존 기간 종료 후 안전하게 폐기 또는 익명화; 진행 중인 사례가 있는 경우 연장.
      보안 인식 테스트 및 피싱 시뮬레이션 사이버 인식 및 대응력을 측정하기 위한 직원 테스트 결과. 3년. 예: CFO, DPM, CIO 보존 기간 종료 후 안전하게 삭제 또는 익명화.
      시뮬레이션 결과 사고 대응 시뮬레이션 또는 준비 훈련의 기록. 3년. 예: CIO 보존 기간 종료 후 안전하게 삭제; 교육 기록용 요약본 보관.
      보험 청구 및 서신 사이버 사고로 발생한 통지, 청구 양식 및 보험사 커뮤니케이션. 청구 종결일로부터 6년. 예: Legal Counsel 보존 기간 종료 후 안전하게 폐기; 분쟁이 계속되는 경우 연장.
      재무 및 제재 점검(SAMLA 2018) 지급 승인 전 수행된 제재 및 AML 점검 증거(예: 랜섬웨어 또는 공급업체 비용). 6년. 예: Legal Counsel 보존 기간 종료 후 안전하게 폐기; 감사 확인 기록 유지.
      Terrorism Act 2000 / Proceeds of Crime Act 2002 보고서 테러 또는 범죄수익 관련 법률에 따라 NCA에 제출된 Suspicious Activity Reports 또는 관련 커뮤니케이션 기록. 제출 또는 종결일로부터 6년. 예: Legal Counsel 안전한 보관; NCA 승인 후 보존 기간 종료 시 폐기.
      법률 자문 및 의견 사고 대응 과정에서 받은 외부 또는 내부 법률 자문. 종결일로부터 6년. 예: Legal Counsel 보존 기간 종료 후 안전하게 폐기; 특권이 적용되는 사본은 안전한 접근 권한으로 보관

CSCSP 10/2025