국세청정보보안업무규정

제1장 총칙

제1조(목적) 이 규정은 「국가 정보보안 기본지침」, 「국세청보안업무처리규정」 등에 의거 국세청과 그 소속기관의 정보보안 업무 수행에 필요한 사항을 규정함을 목적으로 한다.

제2조(적용범위) 이 규정은 국세청과 그 소속기관에 적용한다.

제3조(정의) 이 규정에서 사용하는 용어의 정의는 다음과 같다. 1. "정보보안"이라 함은 각급기관의 기능 유지를 주 목적으로 정보통신망 및 정보시스템을 통해 수집, 가공, 저장, 검색, 송ㆍ수신되는 정보의 유출, 위ㆍ변조, 훼손 등을 방지하기 위하여 관리적ㆍ물리적ㆍ기술적 수단을 강구하는 일체의 행위로서 다음 각 목에 따른 사항을 포함한다. 가. 「국가정보원법」 제4조제1항제4호에 따른 사이버공격 및 위협에 대한 예방 및 대응 나. 「전자정부법」 제56조에 따른 정보통신망과 행정정보 등의 보안 다. 「정보통신기반 보호법 시행령」 제5조제4항제1호 각 목에 해당하는 주요정보통신기반시설의 보호 라. 「공공기록물 관리에 관한 법률 시행령」 제5조에 따른 전자기록물의 보안 마. 「국가 사이버안전관리 규정」 제2조제3호에 따른 사이버안전 2. "정보시스템"이란 PCㆍ서버 등 단말기, 휴대용 저장매체, 전산ㆍ통신장치, 정보통신기기, 응용프로그램 등 정보의 수집, 가공, 저장, 검색, 송ㆍ수신에 필요한 하드웨어 및 소프트웨어 일체를 말한다. 3. "정보통신망"이란 「전기통신사업법」제2조제2호의 규정에 따른 전기통신설비를 이용하거나 전기통신설비와 컴퓨터 및 컴퓨터의 이용기술을 활용하여 정보를 수집, 가공, 저장, 검색, 송ㆍ수신하는 정보통신체제를 말한다. 4. "전자기록물"이란 컴퓨터 등 정보처리 능력을 가진 장치에 의하여 전자적인 형태로 송ㆍ수신 또는 저장되는 전자문서 등 모든 형태의 기록정보자료를 말한다. 5. "전자정보"란 국세청에서 세무업무와 관련하여 취급하는 전자기록물을 말한다. 6. "세무업무"란 국세의 부과ㆍ징수 등 국세행정업무를 말한다. 7. "비밀자료"란「국세청 보안업무처리규정」에 따른 대외비와 비밀이 포함된 전자정보를 말한다. 8. "비공개 업무자료"라 함은 비밀 및 대외비를 제외한 업무자료 중에서 다음 각 목의 어느 하나에 해당하는 자료 또는 정보를 말한다. 가. 「공공기관의 정보공개에 관한 법률」제9조제1항에 따른 비공개 대상 정보 나. 국회 소속 공무원(「국회의원수당 등에 관한 법률」제9조에 따른 보좌직원을 포함한다) 또는「지방자치법」제30조에 따른 지방의회 소속 공무원의 직무상 요구에 따라 작성 또는 취득한 자료 다. 가목에 따른 비공개 대상 정보의 주요 내용이 기술된 문장 또는 문구 9. "공개 업무자료"라 함은 업무자료 중에서 비밀 및 대외비와 비공개 업무자료를 제외한 모든 자료 또는 정보(「공공데이터의 제공 및 이용 활성화에 관한 법률」 제19조에 따라 공표된 공공데이터를 포함한다)를 말한다. 10. "개별사용자(이하 "사용자"라 한다)"란 국세청에서 관리하는 정보통신망ㆍ정보시스템에 대한 접근 또는 사용 허가를 받은 공무원과 국세청과 계약에 의하여 정보통신망 또는 정보시스템에 대한 접근 또는 사용 허가를 받은 사람을 말한다. 11. "사용관서"란 국세청(본청), 국세공무원교육원, 국세청주류면허지원센터, 국세상담센터, 지방국세청 및 세무서를 말하며 "사용관서의 장"이란 국세청장, 국세공무원교육원장, 국세청주류면허지원센터장, 국세상담센터장, 지방국세청장 및 세무서장을 말한다. 12. "사용부서"란 국세청(본청), 국세공무원교육원, 국세청주류면허지원센터, 국세상담센터, 지방국세청 및 세무서의 과 단위 부서를 말하며 "사용부서의 장"이란 해당부서의 과장(팀장)을 말한다. 13. "외부인 또는 외부기관"이란 국세청 및 그 소속기관에 근무하는 공무원이 아닌 자 또는 국세청 및 그 소속기관이 아닌 기관을 말한다. 14. "전산분임보안담당관(이하 "정보보안담당관"이라 한다)"이란 「국세청보안업무처리규정」제5조제3항에 따라 효율적ㆍ체계적인 정보보안업무 수행을 위하여 사용관서의 장이 지정하는 자로서 정보보안 업무를 총괄 지휘ㆍ감독한다. 15. "정보보안담당자"란 정보보안담당관을 보좌하여 사용자등록 업무, PCㆍUSB 등 정보시스템 보안업무 등 정보보안 관련 실무업무를 수행하는 자를 말한다. 16. "시스템운영자"란 서버, 네트워크, 데이터베이스, 응용프로그램 등이 원활히 가동되도록 유지, 보수 및 운영을 담당하는 자를 말한다. 17. "외부입력대행자"란 신고서, 과세자료 등 입력 업무 수행을 위해 일시적으로 국세청에 근무하는 공무원이 아닌 자를 말한다. 18. "외부용역업체"란 국세청과 그 소속기관에서 신규개발사업, 유지보수사업 등 정보화사업(「국세청 정보화업무규정」제2조제5호)을 위탁받은 업체를 말한다. 19. "정보통신실"이란 서버, 네트워크 장비 등이 설치ㆍ운용되는 장소로 별도의 출입통제가 요구되는 지역을 말한다. 20. "내부망"이란 국세청에서 구축ㆍ운영하는 정보통신망 중에서 업무 수행을 위하여 인터넷과 별도로 분리하여 구축한 업무 전용(專用) 정보통신망을 말한다. 21. "기관 인터넷망"(이하 "인터넷망"이라 한다)이란 국세청에서 구축ㆍ운영하는 정보통신망 중에서 소속 공무원등의 이용을 위해 인터넷과 연동하여 구축한 정보통신망을 말한다. 22. "상용 인터넷망"이란 사용부서의 장(세무서는 사용관서의 장)이 기관 인터넷망과 별개로 소속 공무원이나 민원인 등의 편의를 위하여 사용하는 정보통신망을 말한다. 23. "정보보호시스템"이란 정보의 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송신ㆍ수신시 정보의 유출, 위ㆍ변조, 훼손 등을 방지하기 위한 하드웨어 및 소프트웨어를 말한다. 24. "응용시스템"이란 정보시스템 중 사용자가 직접 작성하거나 응용 패키지를 사용하여 만들어진 프로그램 및 하드웨어의 집합으로 사용자의 고유 업무처리에 사용되는 시스템(대내포털시스템, 정보분석시스템 등)을 말한다. 25. "NTIS접근권한 관리시스템"이란 사용자에게 담당업무에 따라 권한그룹을 부여하고, 권한그룹을 통합 관리하는 시스템을 말한다. 26. "대민서비스 시스템"이란 납세자, 세무대리인 등이 세무관서를 방문하지 않고도 인터넷을 통해 효율적으로 각종 세무업무를 처리할 수 있도록 서비스하거나 국세행정을 홍보하는 시스템(홈택스, 국세청 홈페이지 등)을 말한다. 27. "내부정보 유출방지 시스템(이하 "유출방지시스템"이라 한다)"이란 전자정보 등 내부정보가 휴대용 저장매체 등을 통해 유출되는 것을 방지하기 위해 구축한 시스템으로 국세청 PC에서는 동 시스템에 등록한 휴대용 저장매체만 사용할 수 있도록 하는 등 휴대용 저장매체의 보안관리를 전자적으로 처리하는 시스템을 말한다. 28. "휴대용 저장매체"란 외장형 하드디스크, USB메모리(이하 "USB"라 한다), CD, DVD 등 정보를 저장할 수 있는 것으로 PC 등의 정보시스템과 분리할 수 있는 기억장치를 말한다. 29. "보안USB"(보안외장하드를 포함한다)란 본청 정보보안담당관에서 보급하거나 사용관서(본ㆍ지방청의 경우 국ㆍ실을 말한다)에서 개별적으로 도입한 자체 암호화와 비밀번호 설정 기능이 있는 USB(외장하드) 메모리로 「유출방지시스템」의 읽기ㆍ쓰기 차단 등의 보안정책을 적용할 수 있는 것을 말한다. 30. "일반 휴대용 저장매체"란 보안USB를 제외한 모든 휴대용 저장매체를 말한다. 31. "완전포맷"이란 저장매체 전체의 자료저장 위치에 새로운 자료(0 또는 1)를 중복하여 저장하는 것을 말한다. 32. "사이버공격"이란 「사이버안보 업무규정」 제2조제2호에 따른 해킹, 컴퓨터바이러스, 서비스거부, 전자기파 등 전자적 수단에 의하여 정보통신기기, 정보통신망 또는 이와 관련된 정보시스템을 불법침입ㆍ교란ㆍ마비ㆍ파괴하거나 정보를 위조ㆍ변조ㆍ훼손ㆍ절취하는 행위 및 그와 관련한 위협을 말한다. 33. "국세청 사이버안전센터"란 「사이버안보 업무규정」제14조제2항 (보안관제센터의 설치ㆍ운영)에 따라 국세청과 그 소속기관의 정보시스템과 정보통신망에 대한 사이버공격 정보를 탐지ㆍ분석하여 즉시 대응 조치하는 보안관제 기구를 말한다. 34. "안전성 검증필 제품"이라 함은 국가정보원장이 국가용 보안요구사항 만족여부 등 안전성을 확인하여 안전성 검증필 제품 목록에 등재한 정보통신제품을 말한다. 35. "보안적합성 검증"이라 함은 보안기능이 있는 정보통신제품에 대하여 실제 적용ㆍ운용 이전에 시험 등의 방법으로 안전성을 검증하는 활동을 말한다. 36. "보안관제"라 함은 사이버공격을 실시간으로 즉시 탐지 및 분석, 대응하는 일련의 활동을 말한다. 37. "사이버안전센터"라 함은 일정한 수준의 시설 및 장비와 이를 운영하기 위한 전문 또는 전담인력을 갖추고 보안관제 업무를 수행하는 조직을 말한다. 38. "취약점"이라 함은 사이버공격에 악용되어 관리자가 설정한 접근 권한外 정보를 열람ㆍ취득하게 하거나 보안기능을 회피 가능하게 하는 정보통신망ㆍ정보시스템의 결함을 말한다. 39. "상용 정보통신서비스"라 함은 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제2호에 따른 정보통신서비스(전자우편ㆍ메신저 등을 포함한다) 또는 국외에서 제공하는 이와 유사한 서비스를 말한다. 40. "데이터베이스"라 함은 정보가 체계적으로 구조화되어 저장된 전자적 집합물을 말한다. 41. "데이터베이스 관리부서"라 함은 데이터베이스에 대한 생성, 삭제, 성능 등을 관리하는 부서를 말한다. 42. "데이터베이스 운영부서"라 함은 데이터베이스에 정보를 입력, 변경 등을 수행하는 부서를 말한다.

제4조(다른 규정과의 관계) ① 정보보안업무에 관하여 다른 규정에 특별한 규정이 있는 경우를 제외하고는 이 규정이 정하는 바에 따른다. ② 이 규정에서 구체적으로 정하지 않은 사항은 다음 각 호의 규정을 따른다. 1. 「국가 사이버안전관리 규정」 2. 「국가 사이버안전 매뉴얼」 3. 「국가 정보보안 기본지침」 4. 「국세청 보안업무처리규정」 5. 「사이버안보 업무규정」 6. 「국세청 및 지방세무관서 감사규정」

제2장 정보보안 기본활동

제5조(정보보안 책무) ① 사용관서의 장은 정보시스템, 정보통신망 및 전자정보 등을 보호하기 위하여 보안대책을 수립ㆍ시행하여야 하며 정보보안에 대한 책임을 진다. ② 사용관서의 장은 소속 공무원 등에 대한 근무성적 또는 성과 평가를 실시할 경우 정보보안규정 준수 여부 등을 반영할 수 있다.

제6조(정보보안 조직) ① 사용관서의 장은 정보보안업무를 총괄 지휘ㆍ감독하는 정보보안담당관을 지정하여야 한다. ② 각 사용관서의 정보보안담당관은 관서별 정보보안 관련 실무업무를 수행하는 정보보안담당자를 지정하여야 한다. 이 경우 본청 및 지방국세청은 국ㆍ실 단위로, 국세공무원교육원, 국세청주류면허지원센터 및 국세상담센터와 세무서는 사용관서 단위로 "정보보안담당자"를 지정한다. ③ 사용부서의 장은 서버, 네트워크, 데이터베이스, 응용 프로그램 등을 운영ㆍ관리하는 경우 시스템운영자를 지정하여야 한다. ④ 본청 정보보안담당관은 정보보안 업무 수행을 위해 필요한 경우 별도의 정보보안 조직을 구성하여 운영할 수 있다.

제7조(정보보안담당관) ① 사용관서의 장이 제6조제1항에 따른 정보보안담당관을 별도로 지정하지 아니한 경우 본청은 정보화관리관실의 정보보호담당관이, 국세공무원교육원은 교육지원과장이, 국세청주류면허지원센터는 분석감정과장이, 국세상담센터는 업무지원팀장이, 지방국세청은 정보화관리팀장이, 세무서는 징세과장이 각각 정보보안담당관으로 지정된 것으로 본다. ② 정보보안담당관은 다음 각 호의 직무를 수행한다. 1. 정보보안 업무 세부 추진계획 수립ㆍ시행 2. 정보통신실, 정보시스템, 정보통신망 및 전자정보 등의 보안관리 3. 정보보안 업무의 지도ㆍ감독ㆍ교육ㆍ감사 및 심사분석 4. 사이버공격 초동 조치 및 대응 5. 정보보안 사고 조사 및 처리 6. 사이버보안진단의 날 계획 수립ㆍ시행 7. 사용자 권한 관리 8. 기타 정보보안 업무 관련 사항 ③ 본청 정보보안담당관은 제2항 각 호의 직무 이외에도 다음 각 호의 직무를 수행한다. 1. 정보보안 관련 규정ㆍ지침 등 제ㆍ개정 2. 정보보안 예산 및 전문인력 확보 3. 보안관제, 사고대응 및 정보협력 업무 총괄 4. 사이버공격 대응훈련 및 정보보안 관리실태 평가 총괄 5. 정보화사업 보안성 검토 및 보안적합성 검증 총괄 ④ 시스템 운영부서의 장, 관서별 정보보안담당관 및 본청 사용부서의 장은 제2항 및 제3항의 직무와 관련한 본청 정보보안담당관의 요구ㆍ협조ㆍ권고사항 등을 따라야 한다.

제8조(정보보안 실무협의회) ① 본청 정보보안담당관은 정보보안 업무와 관련한 실무적인 검토 및 이행방안 수립 등 원활한 정보보안 업무 추진을 위하여 정보보안 실무협의회를 운영할 수 있다. ② 제1항에 따른 정보보안 실무협의회는 정보보안담당자 및 시스템운영자 등으로 구성한다. ③ 정보보안 실무협의회는 다음 각 호의 사항에 관하여 협의한다. 1. 정보보안 관련 사업을 집행하기 위해 사용부서에서 협조해야 할 업무 2. 국세청 내부망에 악성코드 확산 등 긴급 상황 시 실무와 관계된 부서별 협조사항 3. 기타 업무부서와 협의가 필요하다고 판단하는 정보보안 관련 업무 ④ 사용부서의 장은 특별한 사유가 없는 한 실무협의회에서 협의된 사항에 따라야 한다.

제9조(정보보안 업무 세부 추진계획 및 성과평가) 본청 정보보안담당관은 「국세청 보안업무처리규정」 제7조에 따라 매년 정보보안 업무 세부 추진계획(「국가 사이버안전관리 규정」 제9조에 따른 사이버안전대책 포함)을 수립ㆍ시행하고, 업무성과에 대하여 평가하여야 한다.

제10조(보안성 검토) ① 사용부서의 장은 정보화 사업을 추진할 경우 자체 보안대책을 마련하고 보안성 확인을 위하여 관련 사업 계획단계(사업 공고 전)에서 본청 정보보안담당관에게 보안성 검토를 의뢰하고, 본청 정보보안담당관은 국가정보원장에게 보안성 검토를 의뢰하여야 한다. ② 사용부서의 장은 보안성 검토를 의뢰할 경우 다음 각 호의 서류를 제출하여야 한다. 1. 사업계획서(사업목적 및 추진계획 포함) 2. 제안요청서(RFP) 3. 정보통신망 구성도(필요시 IP주소체계 추가) 4. 자체 보안대책 ③ 제2항제4호에 따른 자체 보안대책 마련 사항에는 다음 각 호를 포함하여야 한다. 1. 보안관리 수행체계(조직, 인원) 등 관리적 보안대책 2. 정보시스템 설치장소에 대한 보안관리 방안 등 물리적 보안대책 3. 국가정보원장이 개발하거나 안전성을 확인한 검증필 암호모듈ㆍ정보보호시스템 도입ㆍ운용 계획 4. 국가기관간 망 연동 시 해당 기관간 보안관리 협의사항 5. 서버, 단말기, 휴대용 저장매체, 네트워크 등 정보통신망의 요소별 기술적 보안대책 6. 재난복구 계획 또는 상시 운용계획 7. 용역업체 작업장소에 대한 보안대책 8. 누출금지정보 보안관리 방안 ④ 사용부서의 장은 보안성 검토 결과를 준수하여 정보화사업을 추진하여야 한다. ⑤ 사용부서의 장은 다음 각 호에 해당하는 정보화사업에 대하여는 보안성 검토 절차의 이행을 생략할 수 있다. 이 경우 사용부서의 장은 자체 보안대책을 수립ㆍ시행하여야한다. 1. 정보화사업에 해당하지 아니하는 단순 장비ㆍ물품 도입 2. 1항에 따른 보안성 검토를 거쳐 완료한 정보화 사업에 대하여 정보통신망 구성을 변경하지 아니하는 범위 내에서 다음 각 목의 사항을 포함한 후속운영ㆍ유지보수ㆍ컨설팅(단일 회선의 이중화는 본 호를 적용함에 있어 정보통신망 구성의 변경이 아닌 것으로 본다) 가. 서버ㆍ스토리지ㆍ네트워크장비 등 장비 노후화로 인한 단순 장비 교체 나. 전화기ㆍ무전기ㆍCCTV 등 통신ㆍ영상기기의 노후화로 인한 단순 장비 교체 다. 기존 운용하던 정보보호시스템을 동일한 보안 기능을 보유한 다른 정보보호시스템으로 교체 3. 다년도에 걸쳐 계속되는 사업으로써 사업 착수 당시 보안성검토를 완료한 후 사업 내용의 변동없이 계속 추진하는 운영ㆍ유지사업 4. PCㆍ프린터 및 상용 소프트웨어 등 단순 제품 교체 ⑥ 사용부서의 장은 제5항제2호부터 제4호까지에 해당하는 정보화사업을 수행할 경우 기존 보안성 검토결과를 준수하여야 한다.

제11조(보안적합성 검증) ① 사용부서의 장은 전자정보 및 정보통신망 등을 보호하기 위해 보안기능이 있는 다음 각 호에 해당하는 정보통신 제품을 도입할 수 있다. 1. 안전성 검증필 제품 목록에 등재되어 있는 제품 2. 비밀이 아닌 업무자료의 암ㆍ복호화를 목적으로 한 경우 암호가 주기능인 제품 도입요건(별표5)을 만족하는 제품 3. 제1호 및 제2호에 해당하지 않는 정보통신제품 중에서 국가정보원장이 별도로 공지하는 도입요건을 만족하는 제품 4. 제품유형의 특성상 보안기능의 비중이 미미하여, 사용부서의 장이 자유롭게 도입ㆍ운용이 가능한 ‘단순 보안기능 제품유형’으로 국가정보원장이 공지한 제품 5. 국가정보원장이 운용중지 요청한 취약 정보통신제품을 긴급 대체하기 위하여 도입하는 제품 ② 제1항제3호에 해당하는 제품은 실제 적용ㆍ운용 이전에 보안적합성 검증을 받아야 한다. ③ 제1항제5호에 해당하는 긴급 대체 제품을 도입한 사용부서의 장은 빠른 시일내에 원(原) 제품과 동일 수준의 안전성 확인이 이루어질 수 있도록, 대체 제품에 대하여 제1항제1호 및 제2호에 따른 도입요건을 갖추도록 하거나 제1항제3호 및 제4항에 따른 보안적합성 검증 절차를 거치도록 하여야 한다. ④ 사용부서의 장은 보안적합성 검증을 신청할 경우 검증기관의 장에게 보안적합성 검증 신청 시 제출물에 해당하는 문서(별표6) 등을 포함하여 본청 정보보안담당관에게 신청하여야 하고, 본청 정보보안담당관은 국가정보원장에게 보안 적합성 검증을 신청하여야 한다.

제12조(취약점 조치) ① 사용부서의 장은 보안적합성 검증 결과 취약점이 발견된 경우 30일 이내에 보완 대책을 수립하여 조치하고 그 결과를 본청 정보보안담당관에게 통보하고, 본청 정보보안담당관은 국가정보원장에게 통보하여야 한다. ② 사용부서의 장은 보안적합성 검증 완료 이후 시스템에 새로운 취약점이 발견될 경우 즉시 제거한 후 그 결과를 제1항의 절차에 따라 통보하고, 제거가 불가능할 경우 그 사실을 제1항의 절차에 따라 통보하여 국가정보원장의 조치를 받아야 한다. ③ 보안적합성 검증 대상이 아닌 경우에도 정보시스템 운용 전 국가정보원에서 배포한 최신 가이드를 준수하여 보안기능을 점검하여 취약점을 제거하고 운용하여야 한다. ④ 사용부서의 장은 보안적합성 검증이 완료된 시스템의 형상을 무단 변경하거나 도입 목적 외의 용도로 운용하여서는 아니 된다.

제13조(도입현황 제출) ① 정보보안담당관은 정보시스템 사용부서의 장으로부터 해당 분기 내에 도입한 제11조에 따른 모든 제품에 대하여「정보통신제품 도입 확인서(현황)」(별지 제2호 서식)와 국가정보원장이 정보공유시스템을 통해 관계 법규 및 「국가 정보보안 기본지침」 따라 작성하는 정보와 각종 매뉴얼ㆍ가이드라인 등으로 배포하는 제품유형별 운용점검사항을 제출받아 그 현황을 매 분기 말에 국가정보원장에게 제출하여야 한다.

제14조(정보보안 교육) ① 정보보안담당관은 연간 정보보안 교육계획을 수립ㆍ시행하여야 한다. 다만, 제9조의 정보보안 업무 세부 추진계획에 포함하여 수립ㆍ시행할 수 있다. ② 사용부서의 장은 모든 소속 공무원을 대상으로 정보보안에 관한 교육(온라인 교육을 포함)을 연 1회 이상 실시하여야 한다. ③ 사용부서의 장은 소속 시스템운영자ㆍ보안담당자에 대해 시스템 운영방법 및 시스템 보안관리 등에 관한 교육을 수시로 실시하여야 한다. ④ 사용부서의 장은 소속 전산직 종사자를 대상으로 프로그램 개발 및 운영 보안 등에 대해 수시로 교육을 실시하여야 한다. ⑤ 사용부서의 장은 소속 정보보안담당자를 대상으로 최신 보안기술 및 정보보안 사고 대응 등에 대하여 수시로 교육을 실시하여야 한다.

제15조(사이버보안진단의 날) ① 정보보안담당관은 매월 셋째 주 수요일을 ‘사이버보안진단의 날’로 지정ㆍ시행하여야 한다. ② 인터넷PC 사용자는 ‘사이버보안진단의 날’에 실행되는 PC 보안취약점을 점검하여야 하며, 그 결과에 따라 필요한 보안조치를 반드시 취하여야 한다.

제3장 사용자 보안

제16조(보안서약서 요청) ① 정보보안담당관은 신규 임용(타 부처 전입자 포함)된 자에 대해 「보안서약서」(별지 제3호 서식)를 제출받아야 하며, 퇴직 예정자에게도 퇴직 전 「보안서약서」(별지 제3-1호 서식)를 제출받아야 한다. ② 정보보안담당관은 제18조제1항 단서 및 제18조제2항의 "NTIS접근권한관리시스템 한시사용자계정(ID)"을 부여 받는 자에 대해 「보안서약서(한시사용자용)」(별지 제4호 서식)를 제출받아야 한다. ③ 국세통합시스템에 접근하고자 하는 사용자는 반드시 보안서약을 하여야 한다. ④ 본청 정보보안담당관은 종사 직원의 정보보안 의식 제고를 위하여 반기 1회 PC에서 ‘사이버 보안서약’을 하고 국세통합시스템에 접속하도록 하여야 한다.

제17조(시스템운영자 등의 정보시스템 접근권한 관리) ① 정보시스템 운영부서의 장은 서버, 데이터베이스 등의 운영을 위한 시스템운영자ㆍ보안담당자를 지정할 경우 다음 각 호에 따라 해당 업무 수행에 필요한 최소한의 접근권한을 부여하여 비인가자의 도용 및 불법접속 등을 차단하여야 한다. 1. 사용자별 또는 그룹별로 접근권한 부여 2. 특별한 사유가 없는 한 용역업체 소속 직원에게 관리자 계정 부여 금지 3. 비밀번호가 없는 사용자계정(ID) 사용 차단 ② 정보시스템 운영부서의 장은 시스템운영자ㆍ보안담당자의 퇴직 또는 보직변경 등으로 사용하지 않는 사용자계정(ID)이 발생하는 경우 이를 즉시 삭제하여야 한다. ③ 정보시스템 운영부서의 장은 5회에 걸쳐 로그인 실패시 정보시스템 접속을 중단시키도록 시스템을 설정하고, 비인가자의 침입 여부를 확인 점검하여야 한다. ④ 정보시스템 운영부서의 장은 사용자계정 부여 및 관리의 적절성을 점검하여야 한다. ⑤ 정보시스템 운영부서의 장은 접근권한 부여ㆍ변경 또는 해제에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하여야 한다.

제18조(사용자의 정보시스템 접근권한 관리) ① 사용관서의 장(본청 및 지방국세청은 국ㆍ실장, 국ㆍ실에 속해 있지 않는 경우에는 과장)은 신규 임용(타 부처 전입자 포함)된 자에게 "NTIS접근권한 관리시스템 사용자계정(ID)"를 부여하여야 하고, 행정전자서명 인증서(GPKI)를 발급할 수 있다. 다만, 공무원 채용시험에 합격한 자로서 임용 전에 실무수습 등 업무수행을 위하여 필요한 경우 국세청장의 사전 승인을 얻어 "NTIS접근권한 관리시스템 한시사용자계정(ID)" 또는 행정전자서명 인증서(GPKI)를 발급할 수 있다. ② 사용관서의 장(본청 및 지방국세청은 국ㆍ실장)은 업무수행에 필요한 경우 외부용역업체 소속직원, 외부입력대행자 또는 「국세청 공무직 등 근로자 인사관리규정」 제1조의 ‘공무직 등 근로자’에게 제1항 단서에 따른 "NTIS접근권한 관리시스템 한시사용자계정(ID)" 및 행정전자서명 인증서(GPKI)를 발급할 수 있다. 다만, 「국세청 보안업무처리규정」제15조에 의한 신원조사 결과 「국가 정보보안 기본지침」 제26조2항에 해당하는 등 보안상 문제의 소지가 있는 자에게 부여해서는 아니 된다. ③ 사용관서의 장(본청 및 지방국세청은 국ㆍ실장)은 사용자의 담당업무 변경, 전입ㆍ전출, 파견, 휴직ㆍ복직ㆍ퇴직, 1개월 이상의 장기출장ㆍ장기휴가 등 신분상 변동사유가 발생된 경우 지체 없이 NTIS접근권한 관리시스템 접근권한을 변경 또는 해제하여야 한다. ④ 제1항부터 제3항까지 일반 사용자의 정보시스템 접근권한 등록ㆍ변경ㆍ해제는 「접근권한 등록ㆍ변경ㆍ해제 신청서」(별지 제5호 서식)에 의하고, 어떠한 경우에도 임의로 등록하여서는 아니 된다. 다만, 정기전보기간(전보일로부터 10일 이내)에는 업무의 시급성과 효율성을 고려하여 「접근권한 등록ㆍ변경ㆍ해제 신청서」(별지 제5호 서식)를 생략할 수 있다. ⑤ 행정전자서명 인증서(GPKI)는 대내포털 인증센터에서 신청하여야 하며, 인증담당자(본ㆍ지방청 각국ㆍ실 및 세무서 정보보안담당자)는 어떠한 경우에도 임의로 발급하여서는 아니 된다. 행정전자서명 인증서 신청ㆍ발급ㆍ재발급 등은 대내포털시스템의 행정전자서명 인증센터에서 정한 절차에 따른다. ⑥ 그 밖에 일반 사용자의 정보시스템 접근권한 관리와 관련한 세부사항은 제17조를 준용한다.

제19조(전자정보 접근권한 관리) ① 본청 정보보안담당관은 대내포털시스템 접근권한을 전자정보 접근권한 부여기준(별표3)에 따라 업무 그룹별로 관리하고, 사용관서(본청 및 지방국세청은 국ㆍ실장)의 장은 대내포털시스템 사용자에게 전자정보 접근권한 부여기준(별표3)에 따라 접근권한을 부여하여야 한다. ② 제1항에 따라 접근권한을 부여할 수 없는 경우 본청 정보보안담당관은 사용자계정으로 접근권한을 부여할 수 있다. 다만, 사용기간은 인사이동 등을 고려하여 1년을 초과할 수 없다. ③ 사용관서의 장(본청 및 지방국세청은 국ㆍ실장)은 제1항에 의한 전자정보 접근권한을 부여할 경우 「접근권한 등록ㆍ변경ㆍ해제 신청서」(별지 제5호 서식)에 의해 처리하여야 한다. 다만, 일시적인 동원 근무, 업무대행 등 담당업무 이외의 다른 권한이 필요한 경우 반드시 신청사유를 기재하고, 해당 업무에 맞는 접근권한을 부여하며, 기간 종료 즉시 해제하여야 한다. ④ 대내포털시스템 이외의 정보시스템을 운영하는 부서의 장은 제1항부터 제3항까지를 준용하여 해당 시스템 사용자의 업무 수행에 필요한 최소한의 전자정보 접근권한을 부여하여야 한다. ⑤ 본청 정보보안담당관 및 사용관서의 장(본청 및 지방국세청은 국ㆍ실장)은 소속직원에게 업무수행에 필요한 접근권한이 최소한으로 부여되어 있는지 점검하여야 한다.

제20조(비밀번호 관리) ① 사용자는 비밀번호에 대하여 철저히 보안을 유지하여야 하며 비밀번호가 누설되었거나, 누설될 우려가 있는 경우에는 즉시 변경하여야 한다. ② 정보시스템 운영부서의 장은 비밀번호가 숫자와 영문자, 특수문자 등 9자리 이상으로 구성되고, 반기 1회(최소 180일 이내) 이상 주기적으로 변경되어야만 접근할 수 있도록 시스템을 설정하여야 한다. ③ 사용자는 다음 각 호를 준수하여 비밀번호를 설정하여야 한다. 1. 사용자계정(ID)과 동일하지 않은 것 2. 개인 신상 및 부서 명칭 등과 관계가 없는 것 3. 일반 사전에 등록된 단어는 사용을 피할 것 4. 동일 단어 또는 숫자를 반복하여 사용하지 말 것 5. 이미 사용된 비밀번호는 재사용하지 말 것 6. 비밀번호(사용자계정(ID) 포함)를 다른 사람과 공유하지 말 것 7. 응용 프로그램 등을 이용한 자동 비밀번호 입력기능 사용 금지 ④ 사용자는 비밀번호를 분실한 경우 「비밀번호 재발급신청서」(별지 제6호 서식)에 의해 정보보안담당자로부터 초기 비밀번호를 통보받는 즉시 본인만이 알고 있는 비밀번호로 변경하여야 한다. ⑤ 정보시스템 운영 부서의 장은 서버 등 정보시스템에 보관되는 비밀번호가 복호화되지 아니하도록 일방향 암호화하여 저장하여야 하며, 사용부서의 장은 소속 직원이 사용하는 단말기ㆍPC 등의 비밀번호를 종합기록 관리하고자 할 경우에는 「PC 비밀번호 관리대장」(별지 제21호 서식)에 기록하고 대외비 이상으로 분류 관리하여야 한다. ⑥ 정보시스템 운영부서의 장은 필요한 경우 비밀번호의 사용기간 및 오류 허용 횟수를 제한할 수 있다. ⑦ 정보시스템 운영부서의 장은 공용(公用) 정보시스템에서 개별사용자를 식별 또는 인증하기 위하여 비밀번호에 갈음하거나 병행하여 지문인식 등 생체인증 기술 및 일회용 비밀번호 생성기(OTP) 등을 안전성 확인 후 사용할 수 있다. 이 경우 생체인증 정보는 안전하게 보관하여야 한다.

제21조(외부 용역사업 등 관리) ① 사용부서의 장은 정보화사업, 정보보호사업 및 보안컨설팅 수행 등을 외부 용역사업으로 추진할 경우에는 자체 보안대책을 수립ㆍ시행하여야 한다. ② 사용부서의 장은 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제76조에 따라 외부 용역사업 추진 시 과업지시서ㆍ입찰공고ㆍ계약서에 누출금지 대상 정보를 명시해야 하며 해당 정보 누출 시 입찰 참가자격 제한을 위한 부정당업자로 등록하여야 한다. ③ 사용부서의 장은 외부 용역업체 및 그 소속직원, 외부입력 대행자를 대상으로 이 규정, 「개인정보보호법」 및 「외부 용역사업 보안관리 세부지침」의 주요 내용 등에 대해 용역사업 착수 시점 및 착수 이후 월 1회 이상 주기적으로 보안교육을 실시하여야 한다. ④ 사용부서의 장은 외부 용역업체 및 그 소속직원, 외부입력 대행자를 대상으로 월 1회 이상 보안점검을 실시하고, 점검결과 나타난 문제점에 대하여는 즉시 시정 조치하여야 한다. ⑤ 사용부서의 장은 반기 1회 이상 외부 용역직원의 접근기록을 점검하여 접근의 적정성 여부를 검토하고 점검 결과를 본청 정보보안담당관에게 제출하여야 한다. ⑥ 그 밖에 용역업체 보안과 관련한 사항은 국세청 「외부 용역사업 보안관리 세부지침」 및 국가정보원 「국가ㆍ공공기관 용역업체 보안관리 가이드라인」 을 준수하여야 한다.

제4장 전산시설 보안

제22조(정보통신실 시설기준) ① 본청 정보보안담당관은 「국세청 보안업무처리규정」 제61조에 따라 정보통신실을 제한구역으로 설정하여 보호하고, 정보통신실 시설기준(별표1)에 따라 건물, 장비 및 전자정보 보관 매체 등을 안전하게 관리하여야 한다. ② 사용관서의 장은 제1항을 적용하기 곤란한 경우 주변여건을 고려하여 별도의 대책을 수립하여 조정할 수 있다.

제23조(정보화관리관실 등 출입통제) ① 본청 정보보안담당관은 본청 정보화관리관실 직원, 외부용역업체 직원 및 그 이외의 자가 공무로 정보화관리관실 또는 외부용역업체 사무실에 출입할 경우에는 다음 각 호에 따라 통제하여야 한다. 1. 공무원증, 출입증, 방문증 등 출입 증명 패용 2. 스마트폰 등 동영상 및 사진 촬영이 가능한 장비는 반입을 금지하거나 촬영할 수 없도록 통제. 다만, 국세청 직원에 대하여는 예외로 할 수 있다. 3. PC, USB 등 전자정보를 저장할 수 있는 모든 장비는 반입 금지. 다만, 업무상 반입이 필요한 경우 관련 업무 담당자는 「전산장비 반입ㆍ반출 요청서」(별지 제7호 서식)에 따라 통제 4. 관련 업무 담당자가 직접 안내하여 동행 ② 제1항에서 규정하지 아니한 사항은 「국세청 보안업무처리규정」 및 「정부세종청사 출입보안 매뉴얼」을 준용하여 출입자를 통제하여야 한다.

제24조(정보통신실 출입통제) ① 정보통신실 운영 부서의 장은 전산업무 관련 직원 중 업무적 필요성이 있는 자에게만 정보통신실 출입을 허용하여야 한다. 다만, 다음 각 호의 경우 출입을 제한적으로 허용할 수 있다. 1. 정보통신실 내(內) 관련 시스템의 설치 및 시험 2. 보안 관리상 출입이 필요한 경우 3. 시설(설비) 개ㆍ보수 작업자 및 주요인사 방문 4. 긴급 상황 발생 ② 정보통신실 운영 부서의 장은 정보통신실 안에서 카메라 내장 휴대폰, 디지털카메라 등 사진 및 동영상 촬영이 가능한 장비를 소지하거나 촬영할 수 없도록 통제하여야 한다. 다만, 촬영이 필요한 경우 제한적으로 허용할 수 있다. ③ 정보통신실 운영 부서의 장은 제1항 단서 및 제2항 단서의 경우 「정보통신실 출입 관리대장 양식」(별지 제19호 서식)에 따라 출입자, 출입목적, 출입일시 등을 기록 관리하여야 한다. ④ 국세청 사이버안전센터 운영 부서의 장은 제1항부터 제3항에 따라 사이버안전센터 출입통제를 하여야 한다.

제25조(지정구역 외 출입금지) 사용관서(부서)의 장은 외부용역업체 소속 직원 등 외부인의 경우 업무상 지정된 구역 이외의 장소 출입을 금지하여야 한다.

제5장 정보통신망ㆍ시스템 보안

제26조(정보통신망 관리) ① 국세청장은 정보통신망을 물리적으로 내부망과 인터넷망으로 분리하여 운영하여야 한다. 다만, 내부망과 인터넷망간 자료의 입ㆍ출력 등을 위해 접속이 필요한 경우에는 별도의 서버를 구성하는 등 보안조치를 마련한 후 제10조에 따라 보안성 검토를 받아야 한다. ② 사용부서의 장(세무서는 사용관서의 장)은 인터넷망이 아닌 상용인터넷망을 사용하고자 할 경우 본청 정보보안담당관의 사전 승인을 받아야 한다. ③ 정보통신망 운영부서의 장은 제17조를 준용하여 시스템운영자ㆍ보안담당자에게 접근권한을 부여하고 정보통신망의 원활한 운영 및 보안 관리를 하여야 한다. ④ 정보통신망 운영부서의 장은 라우터, 스위치 등 네트워크 장비 운영과 관련하여 다음 각 호의 보안조치를 강구해야 한다. 1. 네트워크 장비에 대한 원격접속은 원칙적으로 금지하되, 장비 관리 등 불가피할 경우에는 내부의 특정 IP주소에서의 접속 허용 2. 물리적으로 안전한 장소에 설치하여 비인가자의 무단접근 통제 3. 최초 설치시 보안취약점을 점검하여 제거하고 주기적으로 보안패치 실시 4. FTP등 불필요한 서비스 포트 및 사용자계정 차단ㆍ삭제 5. 네트워크 장비 등 신규 전산장비 도입시 생성되는 기본(default) 계정을 삭제 또는 변경하고 시스템 운영을 위한 관리자 계정 별도 생성 6. 펌웨어 무결성 및 소프트웨어ㆍ서버 운영체제 취약성과 최신 업데이트 여부를 주기적으로 확인하여 항상 최신 버전으로 유지 ⑤ 정보통신망 운영부서의 장은 정보시스템에 부여되는 IP주소를 체계적으로 관리하여야 하고, 비인가자로부터 내부망을 보호하기 위하여 사설주소체계(NAT)를 적용하여야 한다. 또한, IP주소별로 정보시스템 접속을 통제하여 비인가 정보통신기기나 PC 등을 이용한 내부망내 정보시스템 접속을 차단하여야 한다. ⑥ 정보통신망 운영부서의 장은 정보보안을 위해 필요한 경우 통신회선을 차단할 수 있다. ⑦ 정보통신망 운영부서의 장은 정보통신망에 연결된 각종 서버 변화상태(System Behavior), 비인가자의 침투 여부를 주기적으로 점검하여 특이사항에 대해서는 로그(Log)추적, 네트워크 차단 등 적절한 조치를 하여야 한다. ⑧ 사용자는 무선랜, 블루투스, 무선공유기, 무선인터넷이 가능한 장비 등 국세청에서 허가하지 않은 통신수단을 사용해서는 아니 된다. 다만, 업무상 부득이한 경우 제10조에 따라 보안성 검토를 받아 사용할 수 있다. ⑨ 세무서장은 세무서 민원봉사실에 설치된 공공 와이파이 보안관리를 위해 관리담당자를 지정하고 반기별로 「공공 와이파이 보안점검 체크리스트」(별지 제18호 서식)를 활용하여 보안점검을 수행하여야 한다.

제27조(정보시스템 보안책임) ① 정보시스템 운영부서의 장은 정보시스템(PCㆍ서버ㆍ네트워크장비ㆍ정보통신기기 등을 포함한다)을 도입ㆍ운용할 경우 해당 정보시스템에 대하여 시스템 운영자 및 관리책임자를 지정ㆍ운영하여야 한다. ② 정보시스템 운영자 및 관리책임자는 서버ㆍ네트워크장비 등 부서가 공동으로 사용하는 정보시스템의 운용ㆍ관리에 대한 보안책임을 진다. ③ 정보시스템 관리책임자는 정보시스템을 실제 운용하는 부서의 장이 되며, 관리책임자는 「정보시스템 관리대장」(별지 제23호 서식)을 수기 또는 전자적으로 작성ㆍ관리하여야 한다. 단, IT자산관리시스템에 기록ㆍ관리하는 경우 「정보시스템 관리대장」을 생략할 수 있다. ④ 정보시스템 관리책임자는 해당 부서의 「정보시스템 관리대장」(별지 제23호 서식)에 정보시스템의 최종 변경 현황을 유지하여야 하며 사본 1부를 정보보안담당관에게 제출하여야 한다. ⑤ 본청 정보보안담당관은 사용자ㆍ정보시스템ㆍ정보통신망ㆍ전자정보 등 정보보안 전반에 대해 매년 정기적으로 보안취약점 점검을 실시하고 정보시스템 운용과 관련하여 보안취약점을 발견하거나 보안대책 수립이 필요하다고 판단하는 경우 개별사용자, 정보시스템 운영자 및 관리책임자에게 개선조치를 요구할 수 있으며 조치가 완료될 때까지 정보시스템의 운용을 일시 제한할 수 있다. ⑥ 제5항에 따라 보안취약점이 발견된 정보시스템 운영부서의 장은 특별한 사유가 없는 한 신속하게 보완하여야 한다. ⑦ 사용부서의 장(세무서는 사용관서의 장)은 제5항과 관련하여 자체적으로 보안취약점을 매년 정기적으로 점검하여 보완하여야 한다.

제28조(정보시스템 관리) ① 사용자는 정보시스템 사용과 관련하여 보안관리 책임을 진다. ② 사용자는 다음 각 호의 보안사항을 준수하여야 한다. 1. 장비(CMOS 비밀번호 등)ㆍ자료(문서자료 암호화 비밀번호)ㆍ사용자(로그온 비밀번호)별 비밀번호를 주기적으로 변경하여 사용 2. 10분 이상 PC 등의 작업 중단 시 비밀번호 등이 적용된 화면보호 조치 3. 최신 백신 소프트웨어 설치 4. 운영체제 및 응용프로그램에 대한 최신 보안패치 유지 5. 유출 방지시스템 등 보안프로그램 운용 6. 업무와 무관하거나 보안에 취약한 프로그램의 사용 금지 7. 저장매체 무단 탈착 금지 8. 승인된 용도 외 사용 금지 9. 내부망PC에 스마트폰 연결 금지 10. 업무상 불필요한 응용프로그램 설치 금지 및 공유폴더의 삭제 11. 기타 제1호부터 제10호에 준하는 사항 ③ 사용부서의 장(세무서는 사용관서의 장)은 시스템운영자ㆍ보안담당자를 지정하여 사용부서(관서)의 정보시스템을 총괄 관리하도록 하여야한다. ④ 사용부서의 장(세무서는 사용관서의 장)은 정보시스템의 도입 시 고장 수리 등을 위하여 공급업체가 저장매체를 교환ㆍ반출해 갈 경우에 대비하여 저장자료 삭제방법 등 저장매체 보안조치 방안을 계약서에 포함하여야 한다. ⑤ 사용부서의 장(세무서는 사용관서의 장)은 정보시스템을 임차하여 사용할 경우 임차기간 만료 후 반납시 해당 시스템의 저장자료 삭제방법 등 저장매체에 대한 보안조치 방안을 임차계약서에 포함하여야 한다.

제29조(정보시스템 반출ㆍ반입 관리) ① 사용자는 정보시스템을 저장자료 복구, 고장 수리 등의 목적으로 외부에 반출ㆍ반입하고자 할 경우에는 「PC 등 정보시스템 반출ㆍ반입 관리대장」(별지 제8호 서식)에 기록하여 관리하여야 한다. ② 사용부서의 장(세무서는 사용관서의 장)은 정보시스템을 내부로 반입할 경우에 최신 백신 등을 활용하여 해킹프로그램, 웜, 바이러스 감염 여부 등을 점검ㆍ조치하여야 한다. ③ 사용부서의 장(세무서는 사용관서의 장)은 정보시스템의 고장 수리를 위해 외부로 반출하는 경우 저장매체를 분리하여 별도 보관하여야 한다. ④ 사용부서의 장(세무서는 사용관서의 장)은 정보시스템의 저장자료 복구를 외부에 의뢰할 경우 저장매체에 저장된 자료의 유출, 훼손 등을 방지하기 위해 복구 참여자에 대해 보안서약서 집행, 보안교육, 작업 감독 등 필요한 보안조치를 하여야 한다. ⑤ 사용자는 개인 소유의 PC, USB, 저장매체 등 국세청에서 허가하지 않은 정보시스템을 무단 반입하여서는 아니 된다. 다만, 업무상 부득이한 경우 정보보안담당관의 사전 승인을 받아 완전 포맷한 후 반입하여 사용할 수 있으며, 공동인증서용 개인USB를 반입하고자 하는 경우에는 휴대용 저장매체 관리대장에 등록하고 사용할 수 있다.

제30조(정보시스템 불용처리) ① 정보시스템을 폐기ㆍ양여ㆍ교체ㆍ반납(이하 "불용처리"라 한다)하는 경우 저장 자료는 사용자 본인 책임 하에 사유 발생 즉시 삭제하고, PC 초기화 전용 프로그램으로 3회 이상 완전포맷하여 보안조치를 하여야 한다. 다만, 공통적으로 사용하는 정보시스템은 사용 부서장의 책임 하에 사유 발생 즉시 저장자료를 삭제하여 보안조치를 하여야 한다. ② 제1항에 따라 불용처리 하는 경우 저장자료는 정보시스템 저장매체ㆍ자료별 삭제방법(별표2)에 따라 삭제하여야한다. ③ 사용부서의 장은 정보시스템의 사용자가 변경된 경우 공개자료 처리에 사용된 정보시스템은 포맷 또는 삭제, 그 외의 정보시스템은 디가우징 또는 완전삭제 S/W로 저장자료를 삭제하도록 조치하여야 한다. 다만, 업무 인계인수 등 특별한 사유가 있는 경우에는 삭제하지 아니할 수 있다. ④ 사용부서의 장은 정보시스템에 장착된 하드디스크 불량으로 교체해야 하는 경우 예비용 하드디스크로 교체하고, 불량 하드디스크는 반드시 저장자료 복구가 불가능하도록 물리적인 방법으로 전량 파쇄처리하고 그 현황을 「불량 하드디스크 관리대장」(별지 제9호 서식)에 기록ㆍ관리하여야 한다. ⑤ 사용부서의 장은 부서 내 불용처리 대상 PC의 저장자료 삭제 여부를「업무용 전산장비 자료삭제확인서」(별지 제22호 서식)와 증빙(별지 제22-1호 서식)으로 확인하고 보관하여야 한다. 또한, 삭제여부 현황을 사용관서의 불용처리 담당자에게 제출하여야 하며, 사용관서 불용처리 담당부서의 장(담당자)은 삭제 처리 여부를 확인하여야 한다. ⑥ 불용PC 수거 시에는 사용기관ㆍ부서ㆍ사용자 등을 인식할 수 있는 표시를 모두 제거하여야 한다.

제31조(정보시스템 개발관리) ① 정보시스템 개발부서의 장은 정보시스템을 개발하고자 하는 경우 다음 각 호의 사항을 고려하여 보안대책을 수립하고 본청 정보보안담당관의 사전 승인을 받아야 한다. 1. 독립된 개발시설을 확보하고 비인가자의 접근 통제 2. 개발시스템과 운영시스템의 물리적 분리 3. 소스코드 관리 및 소프트웨어 보안관리 ② 정보시스템 개발부서의 장은 정보시스템을 개발할 경우 「전자정부법」 제45조제3항에 따라 규정된 「행정기관 및 공공기관 정보시스템 구축ㆍ운영지침」 (행정안전부 고시) 제50조부터 제53조까지에 따라 보안약점이 발생하지 아니하도록 개발(이하 "소프트웨어 개발보안"이라 한다)하고 정보시스템 감리 등을 통해 보안약점을 진단하여야 한다. ③ 정보시스템 개발부서의 장은 외부용역 업체와 계약하여 정보시스템을 개발하고자 하는 경우 제21조를 준수하여 보안대책을 수립하고 본청 정보보안담당관의 사전 승인을 받아야 한다.

제32조(정보시스템 유지보수 관리) ① 정보시스템 운영부서의 장은 정보시스템 유지보수와 관련하여 다음 각 호의 사항을 준수하여야 한다. 1. 유지보수 인력에 대해 「외부용역사 보안서약서」(별지 제10호 서식)를 제출받고, 보안교육 등을 포함한 유지보수 인가 절차를 마련하여 인가된 유지보수 인력만 유지보수에 참여 2. 결함이 의심되거나 발생한 결함, 예방 및 유지보수에 대한 기록 보관 3. 유지보수를 위하여 원래 설치장소 이외의 다른 장소로 정보시스템을 이동할 경우, 통제수단 강구 4. 정보시스템 유지보수 시 일시, 담당자 인적사항, 출입 통제조치, 정비내용 등을 기록ㆍ관리 ② 정보시스템 운영부서의 장은 정기적으로 정보시스템 정비를 실시하고 정보시스템의 변경이 발생할 경우, 본청 정보보안담당관과 협조하여 정보시스템의 설계ㆍ코딩ㆍ테스트ㆍ구현 과정의 보안대책을 강구하여야 한다. ③ 정보시스템 운영부서의 장은 유지보수와 관련한 장비ㆍ도구 등을 반입ㆍ반출할 경우 제29조를 준용하여 관리하여야 한다. ④ 정보시스템 운영부서의 장은 외부에서 원격으로 정보시스템을 유지보수 하는 것을 원칙적으로 금지하여야 하며, 부득이한 경우에는 본청 정보보안담당관과 협의하여 자체 보안대책을 강구한 후 한시적으로 허용할 수 있다.

제33조(PC 등 보안관리) ① 사용자는 PC를 인터넷 등 외부통신망과 연결하여서는 아니 된다. ② 사용자가 부득이하게 PC를 인터넷망에 연결하여야 할 경우에는 사용부서의 장(세무서는 사용관서의 장)의 사전 승인을 받아 PC를 인터넷망에 연결하여 사용할 수 있으며, 이 경우 다음 각 호를 준수하여야 한다. 1. 완전포맷한 후 연결 2. 내부망과 물리적으로 분리한 후 연결 3. 개인정보 또는 업무 관련 자료를 작성하거나 수록 금지 ③ 제1항의 규정에도 불구하고 사용자는 본청 정보보안담당관의 사전 승인을 받아 PC를 인터넷망이 아닌 상용인터넷망에 연결하여 사용할 수 있으나, 이 경우 다음 각 호를 준수하여야 한다. 1. 제2항 각 호의 준수사항 2. 개인정보 또는 업무 관련 자료 송ㆍ수신 금지 ④ 본청 정보보안담당관은 제3항 및 제26조제2항에 따라 사전 승인하는 경우 사용 목적 등을 면밀히 검토하고, 사용 장소ㆍ기간 등을 제한하여야 한다. 다만, 동일한 승인사항이 반복적으로 발생하는 경우 사용부서의 장(세무서는 사용관서의 장)에게 위임할 수 있다. ⑤ 사용자는 사용부서의 장의 사전 승인을 받아 인터넷 PC를 내부망 PC로 변경하여 사용할 수 있으며, 이 경우 포맷을 수행하고, 인터넷 등 외부통신망과 분리한 후 연결하여야 한다. ⑥ 사용자는 노트북 PC를 내부망에서 사용하여서는 아니 된다. 다만, 사용부서의 장(세무서는 사용관서의 장)의 사전 승인을 받은 경우 무선랜 차단 등 보안조치를 한 후 사용기간을 정하여 한시적으로 사용할 수 있으며, 사용기간 종료 후에는 포맷을 하여야 한다. ⑦ 사용자는 국세청에서 허가하지 않은 PC등 정보시스템을 이용하여 개인정보 또는 업무자료를 송ㆍ수신, 작성ㆍ저장 하여서는 아니 된다. ⑧ 사용자는 PC 사용기간 중 연 1회 이상 업무종결 자료 등 PC에 있는 불필요한 자료의 삭제여부, 공유폴더 설정 유무 등을 점검하는 등 과세(개인)정보 보호를 위한 제반 조치를 취하여야 하며, 노트북PC에는 현재 진행 중인 업무 자료만 저장하여야 하고 특별한 사정이 없는 한 업무가 종결된 자료는 즉시 삭제하여야 한다.

제33조의2(인터넷PC 관리) ① 본청 정보보안담당관은 인터넷과 연결된 PC(이하 "인터넷PC"라 한다)에 대하여 비인가자가 무단으로 조작하여 전산자료를 절취, 위ㆍ변조 및 훼손시키지 못하도록 다음 각 호의 보안대책을 지원하며, 사용자는 이를 준수하여야 한다. 1. 메신저ㆍP2P, 웹하드 등 업무와 무관하거나 Active-X 등 보안에 취약한 프로그램과 비인가 프로그램ㆍ장치의 설치 금지 2. 특별한 사유가 없는 한 문서프로그램은 읽기 전용으로 운용 3. 게임ㆍ음란ㆍ도박 등 업무와 무관한 사이트 접근차단 조치 ② 사용자는 인터넷PC에서 무단으로 업무자료를 작성ㆍ저장 및 소통 하여서는 아니 되며, 최신 백신을 활용하여 바이러스 감염 여부 등을 주기적으로 점검하여야 한다. ③ 본청 정보보안담당관은 인터넷PC에 업무자료를 저장하지 못하도록 하는 기술적ㆍ관리적 방안을 강구하여야 한다. ④ 사용자는 수시로 임시폴더 등을 확인하여 업무관련 자료를 삭제하는 등 인터넷PC에 업무 관련 자료가 수록되지 않도록 하여야 한다. ⑤ 본청 정보보안담당관은 국가비상사태 및 대형 재해ㆍ재난의 발생, 사이버공격 등으로부터 정보통신망과 정보시스템의 정상적인 운영을 보장하기 위하여 소속 공무원에 대한 인터넷 사용을 일부 제한할 수 있다.

제34조(USB 등 휴대용 저장매체 관리) ① 휴대용 저장매체는 업무용과 비밀용으로 구분하여 「유출방지시스템」에 등록한 후 사용하여야 하며, 인사이동ㆍ담당업무 변경 등으로 사용자가 변동된 경우에는 지체 없이 사용자를 변경하는 등 인계인수하여야 한다. 1. 업무용 휴대용 저장매체는 「보안USB」를 사용하여야 하고, 업무자료만 저장하여야 한다. 다만, 「보안USB」의 용량을 초과하는 대용량 자료를 반입하는 경우에 한하여 예외적으로 비밀번호 설정 등 보안 기능이 있는 휴대용 저장매체를 업무용 휴대용 저장매체로 사용할 수 있다. 2. 업무용 휴대용 저장매체에는 현재 진행 중인 업무 자료만 저장하여야 하고, 특별한 사정이 없는 한 업무가 종결된 자료는 즉시 삭제하여야 한다. 3. 비밀용 휴대용 저장매체는 「보안USB」만을 사용하여야 하고, 비밀자료만 보관하여야 한다. ② 제1항의 유형에 해당하지 않는 휴대용 저장매체는 인터넷PC에서 공동인증서를 이용하는 경우에만 개인용으로 사용하고, 업무자료 및 비밀자료를 수록하여서는 아니되며, 유출방지시스템에 등록하지 아니하고「휴대용 저장매체 관리대장」(별지 제17호 서식)에 등록하고 사용하여야 한다. ③ 기타 휴대용 저장매체의 사용에 대한 세부사항은 「내부정보 유출방지 시스템 운영지침」에 따른다.

제35조(첨단 정보통신기기 관리) ① 사용부서의 장(세무서는 사용관서의 장)은 개인휴대단말기(PDA)ㆍ스마트폰, 태블릿PC. 전자제어장비 등 첨단 정보통신기기를 활용하여 내부 행정업무, 현장 행정업무 및 대민 서비스업무 등 모바일 업무환경을 구축하고자 할 경우에는 「국가ㆍ공공기관의 모바일 활용 업무에 대한 보안가이드라인(국가정보원)」을 준수하여 자체 보안대책을 수립하고, 제10조에 따른 보안성 검토를 받아야 한다. ② 제1항의 보안대책 수립 시, 다음 각 호의 사항을 포함하여야 한다. 1. 첨단 정보통신기기에 대한 장치 인증 및 사용자 인증 2. 제어신호, 통화내용 등 데이터의 암호화 3. 업무자료의 무단 저장 금지 및 업무용ㆍ인터넷 PC에 무단 연동 금지 4. 시스템의 분실ㆍ훼손ㆍ탈취 등에 대비한 관리적ㆍ물리적ㆍ기술적 보안대책 ③ 정보보안담당관은 개인이 소지한 첨단 정보통신기기가 업무와 무관하더라도 업무자료 유출에 직ㆍ간접적으로 악용될 소지가 있다고 판단될 경우, 반출ㆍ반입 통제 등 관련 대책을 강구할 수 있다.

제36조(클라우드시스템 보안관리) 사용부서의 장은 클라우드 컴퓨팅시스템 구축ㆍ운영 시「국가ㆍ공공기관 클라우드컴퓨팅 보안가이드라인(국가정보원)」에 따라야 한다.

제37조(원격근무 보안) ① 사용부서의 장(세무서는 사용관서의 장)은 소속 공무원 등이 재택근무, 출장지 현장근무, 또는 파견근무(「국가 정보보안 기본지침」 제48조의2에 따라 기관 정보통신망 전용(專用) 단말기를 설치 운영하는 경우는 제외한다)시 인터넷을 통해 본인 인증을 거쳐 기관 정보시스템에 접속하여 온라인상으로 수행하는 업무를 수행(이하 "원격근무"라 한다)하게 할 수 있다. ② 제1항에 따른 원격근무로 취급할 수 있는 업무자료의 범위는 공개 및 비공개 업무자료로 한다. ③ 원격근무자는 원격근무용 단말기의 보안을 위하여 다음 각 호의 조치를 취하여야 한다. 1. 본청 정보보안담당관이 제공하는 보안소프트웨어 설치ㆍ운영 2. 사이버공격 등으로 인한 자료유출 사고 발생 시 정보보안담당관이 요청하는 점검 및 자료제출 요청 협력 3. 제28조에 따른 단말기 보안대책 준수 ④ 사용부서의 장(세무서는 사용관서의 장)은 원격근무자에게 제3항에 따른 보안조치 등이 포함된 「보안서약서(원격근무자용)」(별지 호 24호 서식)를 징구하여야 한다. ⑤ 기타 원격근무 보안과 관련한 사항은 국가정보원장이 배포한 「원격업무 통합보안매뉴얼」을 준수하여야 한다.

제38조(디지털복합기 관리) ① 사용부서의 장(세무서는 사용관서의 장)은 디지털복합기(디지털복사기 등도 포함한다. 이하 "복합기"라 한다)를 설치ㆍ운용하고자 할 경우 자료유출을 방지하기 위하여 자료 완전삭제 또는 디스크 암호화 기능이 탑재된 복합기를 도입하여야 한다. ② 제1항에 따라 복합기를 설치ㆍ운용 할 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다. 1. 암호화 저장 기능이 있는 경우 해당 기능 사용 2. 정기적으로 저장된 작업 내용(출력ㆍ스캔 등) 완전 삭제 3. 공유 저장소 사용 제한 및 접근 제어 4. 고정 IP주소 설정 및 불필요한 서비스 제거 5. 디지털복합기 USB포트 사용 금지 6. 관리자 암호(특수문자 포함 9자리 이상)를 설정하고 반기 1회 이상 주기적으로 변경 7. 디지털복합기 인터넷망 연결 금지 ③ 사용부서의 장(세무서는 사용관서의 장)은 다음 각 호의 어느 하나에 해당하는 경우 복합기의 저장매체에 저장된 자료를 완전 삭제하여야 한다. 1. 복합기 사용연한이 경과하여 폐기ㆍ양여할 경우 2. 복합기 무상 보증기간 중 저장매체 또는 복합기 전체를 교체할 경우 3. 고장 수리를 위한 외부 반출 등의 사유로 해당 기관이 복합기의 저장매체를 통제 관리할 수 없는 장소로 이동할 경우 4. 그 밖에 저장자료의 삭제가 필요하다고 판단되는 경우 ④ 사용부서의 장(세무서는 사용관서의 장)은 소모품 교체 등 복합기 유지보수를 할 경우 보안담당자의 입회ㆍ감독 하에 실시하고 저장매체의 무단 교체 등을 예방하여야 한다. ⑤ 사용부서의 장(세무서는 사용관서의 장)은 복합기를 통해 내부망과 기관 인터넷망간 접점이 발생하지 않도록 보안대책을 수립ㆍ시행하여야 한다. ⑥ 정보보안담당관은 소속된 기관의 저장매체가 장착되어 있는 복합기 운용과 관련한 보안대책의 적절성을 수시 점검ㆍ보완하여야 한다. ⑦ 기타 복합기 보안과 관련한 사항은 국가정보원장이 배포한 「정보시스템 저장매체 불용처리지침」 을 준수하여야 한다.

제39조(서버 관리) ① 서버 운영부서의 장은 제17조를 준용하여 시스템운영자ㆍ보안담당자의 접근권한을 부여하고, 불필요한 계정은 삭제하는 등 인가된 범위 이외의 자료접근을 통제하여야 한다. ② 서버 운영부서의 장은 서버 운영에 필요한 서비스 포트를 제외한 불필요한 서비스 포트를 제거하고, 시스템 운영용 서비스와 일반 사용자용 서비스를 분리ㆍ운영하여야 하며, 시스템 운영용 서비스 접속시 특정 IP와 MAC주소가 부여된 관리용 단말을 지정하여 운영하여야 한다. ③ 서버 운영부서의 장은 서버 설정 정보 및 서버에 저장된 자료에 대해 정기적으로 백업을 실시하여 복구 및 침해행위에 대비하여야 하고, 데이터베이스에 대해 비인가자의 무단 접속을 차단하여야 한다. ④ 서버 운영부서의 장은 외부인에게 공개할 목적으로 설치되는 웹서버 등 공개 서버는 내부망과 분리된 영역(DMZ)에 설치ㆍ운용하여야 하며, 공개 서버의 서비스에 필요한 프로그램을 개발하고 시험하기 위하여 사용된 도구(컴파일러 등)는 개발 완료 후 삭제를 원칙으로 한다. ⑤ 외부정보통신망에 연결된 정보시스템에 전자정보를 수록하고자 할 경우 제10조에 따라 보안성 검토를 받아야 한다. ⑥ 서버 운영부서의 장은 공개 서버에 자료를 갱신하고자 할 경우 자료교환시스템, 보안USB 등을 이용하여야 하며 내부망과 직접 연결하여 자료를 갱신해서는 아니 된다.

제40조(정보보호시스템 관리) ① 사용부서의 장(세무서는 사용관서의 장)은 제17조를 준용하여 시스템운영자ㆍ보안담당자의 접근권한을 부여하고, 정보보호시스템을 총괄 관리하도록 하여야 한다. ② 사용부서의 장(세무서는 사용관서의 장)은 인터넷 등의 외부통신망과 접속할 경우 내부망을 보호하기 위하여 정보보호시스템 도입 등 보안대책을 마련하여야 한다. ③ 사용부서의 장(세무서는 사용관서의 장)은 제11조에 따라 국가정보원장이 보안적합성을 검증한 정보보호시스템을 도입하여야 한다.

제41조(응용시스템 관리) ① 응용시스템 운영부서의 장은 제17조를 준용하여 시스템운영자ㆍ보안담당자의 접근권한을 부여하고, 응용시스템을 총괄 관리하도록 하여야 한다. ② 응용시스템 운영부서의 장은 각종 프로그램 및 서비스의 개발 및 변경(개선, 유지보수 포함)시, 행정안전부 소프트웨어 개발 보안 가이드 등에 따라 보안 취약점이 발생하지 않도록 하여야 한다. ③ 응용시스템 운영 부서의 장은 응용 프로그램 개발ㆍ변경 및 DB 등 전자정보 접근시 정당한 접근권한이 있는 사용자만 접근할 수 있도록 통제하여야 한다. ④ 응용시스템 운영부서의 장은 응용프로그램 개발 및 변경 시 반드시 시험용 데이터를 사용하여야 하며 본청 정보보안담당관이 특별히 허용한 경우 이외에는 개발담당자의 실 운영환경 접근을 금지하여야 한다. ⑤ 응용시스템 운영부서의 장은 신규 개발한 화면용 소프트웨어에 대한 화면보안 적용이나 기존 소프트웨어에 대한 화면보안을 변경할 경우「화면 권한 신규 등록 및 변경 신청서」(별지 제11호 서식)에 의해 본청 정보보안담당관에게 요청하여야 한다. 이 경우 본청 정보보안담당관은 보안상 필요하다고 판단되면 해당 프로그램의 수정ㆍ보완을 요청할 수 있다. ⑥ 응용시스템 운영 부서의 장은 응용프로그램 개발 및 변경 시 해당 시스템(서버)에는 실행코드만 보유하여야 하고, 실행코드는 성공적인 시험과 업무담당자 인수 후에 실행하여야 한다. ⑦ 응용시스템 운영부서의 장은 각종 프로그램 및 서비스의 개발ㆍ개선ㆍ유지ㆍ보수 시 최종 검수 테스트를 시행하고 보안기능에 대한 검증을 실시하여야 한다. ⑧ 응용시스템 운영부서의 장은 신규 서비스를 개시하는 경우, 해당 서비스의 개시 전 보안성 검토를 우선 수행하는 것을 원칙으로 한다.

제42조(대민서비스 시스템 관리) ① 대민서비스 운영부서의 장은 제17조를 준용하여 시스템운영자ㆍ보안담당자에게 접근권한을 부여하고, 인터넷 해킹, 개인정보 유출 등에 대비하여 필요한 보안대책을 수립ㆍ시행하는 등 전자정보를 안전하게 관리하여야 한다. ② 대민서비스 운영부서의 장은 웹 서비스 개편 또는 신규 서비스 개발 시 서비스 운영 전에 보안취약점 점검 및 모의해킹을 실시하여 발견된 취약점을 보완하여야 한다. ③ 대민서비스 운영부서의 장은 주민등록번호 등 고유식별정보, 비밀번호 및 바이오정보를 저장 또는 송ㆍ수신하는 경우 암호화하여야 한다. ④ 대민서비스 운영부서의 장은 제3항 이외에도 암호화할 필요가 있다고 판단되는 전자정보가 있는 경우에는 암호화하여야 한다.

제43조(대민서비스 사용자 관리) ① 대민서비스 운영부서의 장은 납세자 등이 인터넷 대민서비스에 회원 가입시 사용자 번호를 최소 6자리 이상으로 신청하도록 하여야 한다. 다만, 기존에 이미 가입하여 사용하고 있는 경우에는 예외로 한다. ② 대민서비스 운영부서의 장은 회원이 비밀번호 설정 또는 변경시 숫자와 문자, 특수문자 등으로 최소 9자리 이상 최대 15자리로 설정하도록 하여야 하며, 장기간 비밀번호 미변경 등 비밀번호 노출 우려가 있다고 판단되는 경우 회원에게 비밀번호를 변경하도록 안내하여야 한다. ③ 대민서비스 운영부서의 장은 회원이 비밀번호를 5회 이상 잘못 입력한 경우에는 비밀번호 초기화 절차를 거치지 않으면 서비스 이용을 할 수 없도록 하여야 한다.

제44조(대민서비스 모니터링) ① 대민서비스 운영부서의 장은 자료게재 담당자를 지정하여 모든 자료는 자료게재 담당자가 홈페이지에 게재하도록 하여야 하며, 자료게재 전 개인정보 등 포함 여부를 반드시 확인하여 개인정보 또는 비공개 정보가 노출되지 않도록 하여야 한다. ② 대민서비스 운영부서의 장은 개인정보 등의 노출 여부를 항상 모니터링 하여야 하며, 노출된 비공개 정보 발견 시에는 즉시 삭제하고 재발방지 방안을 마련하여야 한다.

제45조(소자장비 등 도입) 사용부서의 장(세무서는 사용관서의 장)은 정보시스템의 저장자료를 삭제하는 장비나 소프트웨어를 도입할 경우 보안적합성 검증을 받은 제품을 도입하거나 제11조에 따른 보안적합성 검증을 받아야 한다.

제6장 전자정보 보안

제46조(전자정보 보안조치) 정보보안담당관은 정보통신망을 통하여 보관ㆍ유통되는 전자정보의 보안을 위하여 다음 각 호의 조치를 이행하여야 한다. 1. 제7조제2항 및 제3항의 정보보안 기본활동 수행 2. 제19조, 제20조, 제28조부터 제33조, 제34조, 제39조, 제65조에 규정하는 전자정보 보안대책 이행 3. 제40조에 규정하는 정보보호시스템의 도입 운용 4. 제26조에 규정하는 정보통신망의 보안대책의 수립ㆍ시행 5. 국가정보원장이 발행한 지침ㆍ매뉴얼 및 각종 권고사항의 이행 6. 기타 전자정보 보안을 위하여 필요하다고 인정되는 보안대책의 이행

제47조(전자정보 사용원칙) ① 사용자는 전자정보를 세무업무 목적에만 사용하여야 한다. 다만, 제57조에 따라 외부기관에 제공하는 경우에는 예외로 한다. ② 사용자는 각종 전자정보를 입력, 정정, 삭제, 조회, 송ㆍ수신 등 처리함에 있어 누락, 위ㆍ변조, 훼손 등을 하여서는 아니 된다. ③ 국세를 부과ㆍ징수하기 위한 과세자료 처리 등의 목적이 아니고, 단순히 납세자가 본인이 신고ㆍ신청한 내용을 조회 또는 문의하는 경우, 그 업무를 처리하는 담당자는 반드시 본인 여부를 확인한 후, 그 납세자 본인이 신고ㆍ신청한 내용의 범위 내에서 조회할 수 있다. 이 경우에도 해당 납세자의 거래처나 기타 관련인 등에 대한 전자정보를 조회하거나 제공하여서는 아니 된다. ④ 사용자는 방문민원 상담 과정에서 과세정보를 조회하는 경우에는 민원인의 신분증을 스캔(복사)하여 보관하여야 한다. ⑤ 사용자가 과세정보 조회 등 전자정보를 처리하는 경우에는 향후 전자정보 사용 사유를 소명할 수 있도록 조회목적 입력 화면에 입력하는 등의 조치를 취하여야 한다. 다만, 본인이 담당하고 있는 체납ㆍ자료처리ㆍ조사 등 객관적으로 업무목적을 위한 처리임을 입증할 수 있는 경우에는 조회목적 입력을 생략할 수 있다.

제48조(비밀자료 관리) ① 사용부서의 장(세무서는 사용관서의 장)은 비밀자료를 전자적으로 생산ㆍ보관ㆍ열람ㆍ출력 등 처리하고자 하는 경우에는 다음 각 호를 따라야 한다. 1. 비밀자료 처리에 사용할 PC를 정보통신망과 분리하고, 해당 PC에는 비밀자료의 수록을 금지한다. 2. 제34조제1항제3호에 따른 비밀용 휴대용 저장매체를 별도로 지정하여 비밀자료만을 수록하고 휴대용 저장매체에는 표지를 부착한다. 3. 비밀자료 작성을 완료하거나 일시 중단하는 경우 비밀용 보조기억매체를 PC에서 즉시 분리하여야 한다. ② 사용부서의 장(세무서는 사용관서의 장)은 다음 각 호의 자료를 대외비로 분류하여 관리하여야 한다. 다만, 국가안보와 직결되는 중요한 정보통신망 관련 세부자료는 해당 등급의 비밀로 분류하여 관리하여야 한다. 1. 정보통신망 세부 구성현황(IP 세부 할당현황 포함) 2. 보안취약점 분석ㆍ평가 결과물 3. 그 밖에 보호할 필요가 있는 정보통신망 관련 자료

제49조(비공개 업무자료 관리) ① 사용자는 비공개 업무자료를 전자적으로 처리하고자 하는 경우에는 다음 각 호의 어느 하나에 해당하는 방법으로만 하여야한다. 1. 내부망PC 및 서버에 작성 및 저장ㆍ보관 2. 본청 정보보호담당관실에서 보급한 보안USB(외장하드)에 작성 및 저장ㆍ보관 3. 국세청 웹메일 또는 공직자통합메일을 이용한 수ㆍ발신 4. 국회사무처가 구축ㆍ운용하는 의정자료전자유통시스템 등 기관간 업무자료의 소통 또는 공동 활용을 위하여 구축한 정보시스템을 이용한 등재ㆍ열람 ② 사용자는 제1항에도 불구하고 다음 각 호의 어느 하나에 해당하는 경우 인터넷 PC 또는 출장용 노트북을 이용하여 비공개 업무자료를 처리할 수 있으며, 작성ㆍ저장한 비공개 업무자료는 활용 후 즉시 삭제하여야 한다. 1. 국세청 웹메일, 공직자통합메일 또는 의정자료전자유통시스템의 발신 또는 등재 기능을 이용하여 제3조제8호다목의 문장 또는 문구 작성 2. 국세청 웹메일, 공직자통합메일 또는 의정자료전자유통시스템으로 수ㆍ발신 또는 등재ㆍ열람하는 과정에서의 일시적 저장 ③ 사용자는 제1항에도 불구하고 국민의 생명ㆍ신체, 국가안보 및 공공의 안전 등을 위하여 긴급히 작성, 저장, 수ㆍ발신이 필요하다고 사용부서의 장(세무서는 사용관서의 장)이 인정하는 경우 개인이 소유한 PCㆍ휴대용 저장매체ㆍ휴대폰 등을 이용하여 비공개 업무자료를 처리할 수 있다. ④ 사용자는 제3항에 해당하는 경우를 제외하고는 상용 정보통신 서비스를 이용하여 비공개 업무자료를 처리하여서는 아니 되며, 작성ㆍ저장한 비공개 업무 자료는 활용 후 즉시 삭제하여야 한다. ⑤ 사용자가 「국회법」 제128조제2항, 「국정감사 및 조사에 관한 법률」 제10조제2항, 「국회증언감정법」 제2조 및 제4조에 따라 국회ㆍ정부간 비공개 업무자료를 소통할 경우에는 의정자료전자유통시스템을 활용하여 처리하여야 하며, 부득이한 사유로 활용이 곤란할 경우에 한하여 제49조제1항에서 제4항까지 허용된 다른 방법으로 처리할 수 있다. ⑥ 사용자가 자문 등의 목적으로 제49조제1항에 열거된 방법을 활용할 수 없는 민간인과 비공개 업무자료를 수ㆍ발신하고자 할 경우에는 국세청 웹메일, 공직자통합메일을 활용하여 처리해야한다.

제50조(행정전자서명 인증서 등 관리) ① 사용자는 비공개 업무자료를 처리하기 위하여 행정전자서명 인증서를 인터넷PC 또는 개인이 소유한 PCㆍ휴대용 저장매체ㆍ휴대폰 등에 저장ㆍ보관할 수 있다. ② 사용자는 행정전자서명 인증서 및 인증서의 비밀번호, 기관 전자우편 또는 공직자통합메일의 비밀번호 등을 상용 정보통신서비스를 이용하여 수ㆍ발신하거나 저장ㆍ보관하여서는 아니된다.

제51조(일반 전자정보 관리) ① 사용 부서의 장은 네트워크의 구성내용, DB구성 및 수록내용, 화면출력물, 화면사용설명서, 정보시스템 운용현황, 정보통신망 구성현황, IP 할당현황, 주요 정보화사업 추진현황, 취약점 분석ㆍ평가 결과물( 「정보통신기반 보호법」 제9조에 따른 취약점 분석ㆍ평가결과를 포함한다) 등 정보통신망ㆍ정보시스템 등에 관한 사항을 임의로 복사ㆍ배포하는 등 비인가자 및 외부인에게 유출되지 않도록 관리하여야 한다. ② 사용자는 전자정보의 보호를 위하여 다음 각 호의 조치를 취하여야 한다. 1. 사용자는 화면보호기 설정시간을 10분 이내로 설정하여 사용하여야 하며, ‘윈도우키( )’ + ‘L'키 등을 눌러 화면보호기를 가동하는 등 보안조치를 하여야 한다. 2. 사용자가 과세정보를 조회할 경우에는 부득이한 경우를 제외하고는 외부인이 조회화면을 볼 수 없도록 하여야 한다. 3. 사용자 전용 PC가 아닌 다른 PC에서 대내포털시스템 등 업무시스템에 접속하여 업무처리를 하다가 자리를 비울 경우에는 반드시 로그아웃하여야 한다.

제52조(데이터베이스 관리) ① 데이터베이스 관리부서의 장은 시스템운영자ㆍ보안담당자의 접근권한을 부여하고, 데이터베이스를 총괄 관리하도록 하여야 한다. ② 본청 정보보안담당관은 데이터베이스 관리부서ㆍ운영부서의 요청에 따라 데이터베이스 접근권한을 부여하여야 한다. ③ 데이터베이스 운영부서의 장은 데이터베이스의 접근 제한이 필요한 경우 본청 정보보안담당관에게 사용자의 접근통제를 요청하여야 한다. ④ 사용자는 제3항에 따른 데이터베이스 접근권한이 필요한 경우 데이터베이스 운영부서의 검토를 받은 후 본청 정보보안담당관에게 요청하여야 한다. ⑤ 데이터베이스 관리부서ㆍ운영부서의 장은 인사이동 등으로 사용자가 변경된 경우 즉시 접근권한 변경(해지, 신규) 신청을 하여야 한다. ⑥ 사용자는 실 운영 데이터베이스를 업무에 필요한 최소한의 자료만 조회하여야 하며 무단으로 복사하거나 위ㆍ변조 등 훼손하여서는 아니 된다. ⑦ 데이터베이스 운영부서의 장은 정보시스템의 실 운영 데이터베이스를 송ㆍ수신하고자 할 경우 본청 정보보안담당관이 지정한 방법으로 송ㆍ수신하여야 한다. ⑧ 데이터베이스 관리부서의 장은 다음 각 호의 사항을 수행하기 전에 반드시 관련 데이터베이스 운영부서 및 본청 정보보안담당관과 협의하여야 한다. 1. 데이터베이스 관련 기술적ㆍ관리적 보안설정 적용이 필요한 경우 2. 데이터베이스 자료의 백업방법 변경 및 개선이 필요한 경우 ⑨ NTIS시스템 이외의 정보시스템을 운영하는 부서의 장은 제1항에서 제8항까지를 준용하여 해당 시스템 사용자의 업무 수행에 필요한 최소한의 접근권한을 부여하여야 한다.

제53조(전자정보의 조회 등 사용절차) ① 사용자는 업무 진행 과정에서 전자정보 조회 등 사용 시 오ㆍ남용하지 않도록 해당 업무에 맞는 범위 안에서 적정하게 사용하여야 한다. ② 사용자가 탈세 등 정보수집 목적으로 전자정보를 사용한 경우 별표8에 따라 처리하여야 한다. ③ 사용자는 전자결재(사전ㆍ사후) 절차가 필요한 전자정보를 사용하는 경우 결재 받은 사용목적 이외의 목적으로 사용하여서는 아니 된다. ④ 제2항 및 제3항에 따른 결재자는 국세의 부과ㆍ징수 등 세무업무 목적 부합 여부를 면밀히 검토하여야 하고, 사용자는 단위업무 종결시 지체 없이 출력자료를 파쇄ㆍ소각하거나 관련 서류와 함께 보관하여야 한다. ⑤ 사용자는 조회ㆍ발송 목적 등을 입력하여야 하는 절차가 필요한 전자정보를 사용하는 경우 제반 입력사항을 사실에 맞게 입력하여야 한다. ⑥ 정보보안담당관은 사회적 이슈가 되는 납세자 및 관련인의 과세정보에 대한 업무목적 외 열람을 방지하기 위해 필요한 경우에 해당 전자정보의 조회 등 사용절차를 강화할 수 있다.

제54조(전자정보의 PC 등 수록 사용절차) ① PC, USB 등에 전자정보를 수록하여 활용하고자 하는 사용자는 분석 등 단위업무가 종결된 경우 다음 각 호에 따라 처리하여야 한다. 1. 출력자료는 지체 없이 파쇄ㆍ소각하거나 관련 서류에 첨부한다. 2. PC, USB 등에 수록된 전자정보는 지체 없이 삭제한다. 다만, 다른 업무에서의 활용 등 계속 보관이 필요할 경우 비밀번호 설정, 암호화 등 보안조치를 취한 후 저장할 수 있다.

제55조(전자정보의 송ㆍ수신 처리) ① 사용자는 전자우편을 이용하여 업무 관련 자료를 송ㆍ수신할 경우 다음 각 호를 따라야 한다. 1. 다음ㆍ네이버 등 상용 이메일을 사용하여서는 아니 되고, 반드시 국세청 웹메일 또는 공직자통합메일을 사용하여야 한다. 2. 보안메일 기능 등을 활용하여 안전하게 송ㆍ수신하고, 열람 등 활용 후 메일함에서 즉시 삭제하여야 한다. 3. 메일에 포함된 첨부파일이 자동 실행되지 않도록 설정하고, 첨부파일 다운로드 시 반드시 최신 백신으로 악성코드 감염 여부를 검사하여야 한다. 4. 출처가 불분명하거나 의심되는 제목의 전자우편은 열람하지 말고 해킹메일로 의심될 경우 즉시 해킹메일 신고 기능을 이용하여 신고하여야 하며, 신고를 받은 본청 정보보안담당관은 해킹메일로 판단될 경우 국가사이버안전센터에 통보하여야 한다. ② 사용자는 출장지 등 외부에서 업무관련 자료를 취급하는 경우 보안USB를 사용하여야 한다. 다만, 납세자소통 및 기술적 제약조건 등으로 보안USB를 사용할 수 없는 경우에 한하여 보안메일 기능을 활용한 전자우편으로 송ㆍ수신할 수 있다. ③ 사용자는 온라인을 이용하여 업무 관련 자료를 송ㆍ수신할 경우 행정정보공동이용시스템을 활용하거나 별도로 구축된 전용망을 활용하여 암호화된 자료로 송ㆍ수신하여야 한다. 다만, 행정정보공동이용시스템을 통하여「개인정보보호법」제32조에 따른 개인정보 파일을 연계ㆍ제공하려는 경우에는「전자정부법」제39조에 따라 행정안전부장관에게 행정정보 공동이용 신청을 하고 개인정보 보호위원회의 심의ㆍ의결을 거쳐 승인을 받아야 한다. ④ 사용자는 모바일 메신저를 이용하여 업무 관련 자료를 송ㆍ수신할 경우 카카오톡ㆍ라인 등 상용 모바일 메신저를 이용하여서는 아니 된다. 다만, 공무원 외 유관기관 직원, 국세행정 위탁업무 수행 용역직원, 납세자등과 실시간 소통 및 정보 공유를 하지 않으면 업무수행이 현저히 곤란한 경우에는 사용부서의 장 책임 하에 상용 모바일 메신저를 제한적으로 사용할 수 있다. ⑤ 사용자는 USB, CD 등 휴대용 저장매체를 이용하여 업무 관련 자료를 송ㆍ수신할 경우 비밀번호 설정, 암호화 등의 보안조치를 하고 보안USB를 이용하여야 하며, 송ㆍ수신이 완료된 후 해당 휴대용 저장매체에 수록된 업무관련 자료는 정보시스템 저장매체ㆍ자료별 삭제방법(별표2)에 따라 삭제하는 등의 조치를 하여 전자정보의 유출ㆍ위조ㆍ변조ㆍ훼손 등을 방지하여야 한다. ⑥ 사용자가 내부망과 인터넷망간에 자료를 전송하고자 하는 경우는 망간자료전송시스템을 사용하여야 하고, 본청 정보보안담당관은 자료를 전송한 로그는 6개월 이상, 원본파일은 3개월 이상 보존ㆍ관리하여야 한다. ⑦ 본청 정보보안담당관은 망간 자료전송 실패기록을 점검하여 악성코드 유입 여부 등을 주기적으로 확인 조치하여야 한다. ⑧ 사용자가 내부망PC의 자료를 외부로 반출하고자 하는 경우에는 상급 결재권자에게 사전 승인을 요청하여야 하며, 요청을 받은 자는 적정 여부를 검토한 후 승인하여야 한다. ⑨ 본청 정보보안담당관은 사용자의 상용메일 사용으로 인하여 인터넷PC에 악성코드 감염 등이 우려되는 경우 사용자의 상용메일 접속을 일괄 차단할 수 있다. ⑩ 웹메일시스템을 구축하는 사업부서에서는 수신된 전자우편의 발신지 IP주소와 국가명이 표시되어야 하며, 해킹메일로 의심될 경우 해킹메일 원본을 전송하여 신고할 수 있는 기능을 갖춘 웹메일시스템을 구축하여야 한다. ⑪ 웹메일시스템을 구축하는 사업부서에서는 전자우편 발신자 조작 등을 통한 기관 사칭 전자우편의 유포를 차단하기 위하여 보안대책을 수립ㆍ시행하여야 한다.

제56조(인사이동 시 전자정보 관리) ① 사용자는 보직 변경ㆍ퇴직 등 인사이동 시 전자정보를 무단으로 반출하거나 이동하지 않아야 하며, 사용부서의 장은 사용부서별 보안담당자를 지정하여 전자정보가 무단으로 반출되거나 이동되지 않도록 관리하여야 한다. ② 각 부서별 보안담당자는 제1항에 따라 정보자산 및 업무자료의 불법 반출ㆍ이동 유무를 「인사이동시 보안관리 체크리스트」(별지 제13호 서식)에 의해 점검하여야 한다.

제57조(외부기관 전자정보 제공) ① 사용관서의 장은 「국세기본법」 제81조의13제1항 각 호의 어느 하나에 해당하는 경우로서 과세정보제공요구서(3호ㆍ4호 제외) 등으로 외부기관에서 전자정보의 제공 요구를 받은 경우 사용 목적 범위 내에서 정보를 제공하여야 하고, 그 이외의 경우에는 정보제공을 거부하여야 하며, 문서로 그 결과를 통지하여야 한다. ② 사용관서의 장은 과세정보제공요구서 등의 자료제공 요구 목적, 제공요구 근거 법률 등을 철저히 검토하여 제공 여부를 판단하여야 하고, 자료 제공시 근거 법률에 따른 제공범위을 검토하여 최소한으로 제공하여야 한다. ③ 사용관서의 장은 외부기관에 자료를 제공하는 것이 타당하다고 판단하여 자료를 제공할 경우 「국세기본법」 제81조의13제4항 및 제6항, 「개인정보보호법」 제18조제5항에 따라 타인에게 제공 또는 누설하거나 목적 외의 용도로 사용을 제한하고, 필요할 경우 「확인서」(별지 제15호 서식)를 요구할 수 있다. 만약 외부기관이 이에 응하지 아니할 경우 자료제공을 거부할 수 있다. ④ 사용관서의 장은 외부기관에 전자정보를 제공하는 경우에는 개인정보의 안전성 확보를 위해 필요한 조치 이행 여부를 매년 공문으로 제출 요청할 수 있으며, 외부기관으로부터 제출받은 점검결과 나타난 문제점에 대해서는 시정 조치 할 수 있다.

제58조(빅데이터 보안) ① 빅데이터와 관련한 시스템을 구축ㆍ운용하고자 할 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다. 1. 데이터의 수집 출처 확인 및 데이터 오ㆍ남용 방지 2. 데이터 수집을 위한 정보통신망 보안체계 수립 3. 수집된 데이터의 저장 및 보호체계수립 4. 중요 데이터 암호화 5. 사용자별(데이터 제공자ㆍ수집자ㆍ분석요청자 및 분석결과 제공자 등) 권한부여 체계 수립 6. 데이터 파기절차 수립 ② 그 밖에 빅데이터 보안과 관련한 사항은 개인정보보호위원회가 고시한「개인정보의 안전성 확보조치 기준」및 국가정보원장이 배포한 「국가ㆍ공공기관 빅데이터 보안 가이드라인」을 준수하여야 한다.

제7장 정보보안사고 대응

제59조(보안관제) ① 본청 정보보안담당관은 비인가자의 서버 저장자료 절취, 위ㆍ변조 및 분산서비스거부(DDoS) 공격 등에 대비하기 위하여 국가정보원장이 안전성을 검증한 침입차단ㆍ탐지시스템 및 DDoS 공격대응시스템을 설치하는 등 보안대책을 강구하여야 한다. ② 본청 정보보안담당관은 정보통신망에 대한 사이버공격 정보를 수집ㆍ분석ㆍ대응하는 등 보안관제 업무를 하루 24시간 동안 중단 없이 수행하여야 한다. ③ 본청 정보보안담당관은 보안관제 과정에서 자동적으로 처리되는 다음 각 호의 정보를 수집ㆍ이용할 수 있다. 1. 사이버공격으로 인하여 발생한 패킷 2. 공격 주체 및 피해자를 식별하기 위한 IP주소 및 MAC주소, 전자우편 주소, 정보통신서비스 이용자 계정 정보, 피해자의 성명 및 연락처 3. 그 밖에 사이버공격의 방법 및 피해 확인ㆍ식별에 필요한 정보 ④ 본청 정보보안담당관은 원활한 보안관제 업무를 위하여 국가사이버안전센터, 국가정보자원관리원(광주센터) 등 유관기관과 비상 연락체계를 구축하여야 한다. ⑤ 본청 정보보안담당관은 보안패치, 백신 등 보안프로그램을 최신 상태의 업데이트 및 감시상태를 유지하고, 주기적인 점검을 실시하여야 한다. ⑥ 본청 정보보안담당관은 파일공유시스템, 메신저ㆍ대화방 프로그램 등 업무와 관련 없는 프로그램의 사용을 차단하도록 설정하여야 한다. ⑦ 본청 정보보안담당관은 자체 개발한 탐지 규칙을 적용할 경우 통합보안관제정보공유시스템을 통해 공유하여야 한다. ⑧ 본청 정보보안담당관은 보안관제 용역업체 직원을 대상으로 매월 1회 이상 정기 또는 수시로 탐지규칙 관리 등 보안교육 및 보안점검을 실시하여야 한다. ⑨ 본청 정보보안담당관은 국가정보원장이 제공한 탐지규칙 전담 관리자를 지정하고 다음 각 호의 조치를 이행하여야 한다. 1. 대외비에 준하는 탐지규칙 관리 2. 보안관제시스템 외부로 탐지규칙 유출 금지 3. 탐지규칙 관리시스템 원격접근 금지 4. 인터넷 등 외부로 공개된 경우 즉시 국가사이버안전센터로 신고 ⑩ 탐지규칙 전담 관리자는 탐지규칙 보안관리를 강화하기 위하여 자체 ‘보안관제 탐지규칙 보안관리 지침’을 마련하여 시행하여야 하며, 매월 1회 이상 정기 또는 수시로 관리사항을 점검하여야 한다.

제60조(정보보안사고의 범위) 정보보안사고의 범위는 다음 각 호와 같다. 1. 비밀자료의 유출 및 무단 반출 2. 정보시스템ㆍ대용량 전자기록(DB) 손괴 3. 전자정보의 위조ㆍ변조ㆍ훼손 및 유출 4. PC 등 단말기 내(內) 비밀자료의 평문 보관 및 유통 5. 정보통신망ㆍ정보시스템에 대한 해킹, 악성코드ㆍ바이러스 등의 유포 6. 비밀자료가 저장된 PC, 휴대용 저장매체 등 분실 7. 중요 정보시스템 및 정보통신실 파괴 8. 중요 정보시스템 기능 장애 및 정지 9. 정보통신기기, 상용메일 등을 통한 비밀자료 무단 소통 10. 기타 국가정보원「보안업무규정 시행규칙」정보통신보안 규정 위반 사항(별표2)에서 규정한 사항

제61조(정보보안사고 조치) ① 사용부서의 장(세무서는 사용관서의 장)은 정보보안사고 발생 시 피해시스템 사용을 중지하고, 정보통신망과의 접속을 분리하는 등 즉시 피해확산을 방지하는 조치를 취하고, 직ㆍ차상급 정보보안담당관에게 신속히 보고하여야 한다. ② 사용부서의 장(세무서는 사용관서의 장)은 사고원인이 규명될 때까지 증거를 보전하고 임의로 관련 자료를 삭제하거나 포맷하여서는 아니 되며, 사고분석, 복구 또는 참조자료로 활용할 수 있도록 사고처리와 관련된 모든 활동 및 수집정보를 기록ㆍ관리하여야 한다. ③ 사용부서의 장(세무서는 사용관서의 장)은 제2항의 사고원인 규명 후 본청 정보보안담당관의 지시에 따라 악성코드 삭제, 하드디스크 포맷 등의 조치를 취하여야 한다. ④ 사용부서의 장(세무서는 사용관서의 장)은 조사 결과에 따른 재발방지 대책을 수립ㆍ시행하는 등 필요한 조치를 하여야 한다. ⑤ 직ㆍ차상급 정보보안담당관은 정보보안사고 조치와 관련하여 국가사이버안전센터, 국가정보자원관리원(광주센터) 등 유관기관과 협조하여 적극 지원하여야 한다. ⑥ 본청 정보보안담당관은 필요한 조치를 취한 후 다음 각 호의 사항을 국가정보원장에게 신속히 통보하여야 한다. 1. 발생 일시 및 장소 2. 사고 원인, 피해현황 등 개요 3. 사고자 및 관계자의 인적 사항 4. 조치 내용 등

제62조(사이버공격 대응) ① 본청 정보보안담당관은 사이버공격 대응절차를 수립ㆍ시행하고, 이행실태를 지속적으로 확인 점검하여야 한다. ② 본청 정보보안담당관은 국가정보원장의 경보 발령 시 소속직원에게 관련 사항을 전파하고 대응조치를 이행하도록 하며 진행상황을 예의 주시하는 등 사이버공격 대응절차에 따라 신속하게 대처하여야 한다. ③ 본청 정보보안담당관은 제2항에 따른 경보 단계별 조치사항을 국가정보원장에게 통보하여야 한다. ④ 본청 정보보안담당관은 사이버공격 정보를 수집할 경우 피해 유무를 파악하고 공격 IP차단, 로그자료 보관 등 제61조제1항부터 제2항에 따른 조치를 신속하게 취해야 한다. ⑤ 본청 정보보안담당관은 사이버공격과 관련한 다음 각 호의 정보를 확인한 경우에는 전화ㆍ팩스ㆍ이메일 등 통신수단을 활용하여 지체없이 다음 각 호의 사항을 국가안보실장, 국가정보원장에게 신속히 통보한 후 국가사이버안전센터, 국가정보자원관리원(광주센터) 등 유관기관과 협의하여 보안대책을 수립ㆍ시행하여야 한다. 1. 대규모 사이버공격 발생시 2. 사이버공격으로 인하여 피해가 발생하거나 피해 발생이 예상되는 경우 3. 사이버공격이 확산될 우려가 있는 경우 4. 그 밖에 사이버공격 계획 등 사이버안전에 위협을 초래할 수 있는 정보를 입수한 경우 ⑥ 본청 정보보안담당관은 매년 1회 이상 사이버위기 대응 모의훈련을 실시하여야 한다. ⑦ 제1항부터 제6항까지의 규정에 구체적으로 정하지 않은 사항은 「국가사이버안전관리규정」과 「국가사이버안전매뉴얼」에 따른다.

제63조(정보보호전담반 운영) ① 본청 정보보안담당관은 다음 각 호의 경우에는 정보보호전담반을 운영할 수 있다. 1. 정보보안사고 발생 또는 징후발견 및 대응ㆍ복구 시 2. 정보시스템 취약점 분석ㆍ평가 및 자체점검 시 3. 정보보호와 관련된 긴급사항 발생으로 대응팀이 필요하다고 판단되는 경우 ② 본청 정보보안담당관은 제1항에 따라 정보보호전담반을 다음 각 호에 해당하는 직원으로 구성할 수 있다. 1. 정보보안담당자 2. 시스템운영자ㆍ보안담당자 3. 프로그램 개발ㆍ관리자 4. 시스템별 네트워크 및 통신관리자 5. 외부의 정보보호 전문인력 ③ 본청 정보보안담당관은 정보보안 사고 등 신속한 대응을 위해 비상연락체계를 구축하여야 한다.

제64조(재난 방지 대책) ① 본청 정보보안담당관은 정보통신망의 장애 발생에 대비하여 정보통신망 이원화, 백업, 복구 등 종합적인 재난방지 및 복구대책을 수립, 시행하여야 한다. ② 본청 정보보안담당관은 재난방지를 위하여 정보통신망 점검, 재해복구 훈련을 정기적으로 실시하여야 한다. ③ 정보시스템 운영부서의 장은 필요한 경우 정보시스템의 장애에 대비한 백업시스템을 구축하고 정기적으로 백업을 수행하여야 한다.

제8장 정보보안감사

제65조(접근기록 관리) ① 정보시스템 운영부서의 장은 정보시스템에 대한 접근기록은 1년간, 엔티스 등 전자정보에 대한 화면 접근기록은 2년간 보존하여야 한다. ② 제1항에 따른 접근기록의 기록ㆍ관리는 다음 각 호에 따라야 한다. 1. 주요 정보시스템 접근기록 가. 접속자 및 IP 주소 나. 로그 온ㆍ오프, 조회ㆍ정정ㆍ삭제 등 처리한 작업의 종류ㆍ내용ㆍ일시 다. 접속 성공ㆍ실패 등 작업 결과 라. 기타 기록관리가 필요한 사항 2. 전자정보에 대한 화면 접근기록 가. 접속자 IDㆍ소속코드ㆍ담당코드 나. 조회ㆍ정정ㆍ삭제 등 처리한 작업의 종류ㆍ내용ㆍ일시 다. 전자우편, 전자팩스 등 외부 발송정보 라. 기타 기록관리가 필요한 사항 ③ 정보시스템 운영부서의 장은 로그기록을 생성하는 정보시스템의 경우 시간 동기화 프로토콜(NTP) 적용 등을 통해 정확한 기록을 유지하여야 한다. ④ 정보시스템 운영부서의 장은 접근기록이 위ㆍ변조 또는 도난, 분실되지 않도록 비인가자의 열람 차단, 정기적인 백업 수행 등으로 접근기록을 안전하게 보관하여야 한다. ⑤ 정보시스템 운영부서의 장은 접근기록을 주기적으로 분석하여 비인가자의 접속 시도, 정보 위ㆍ변조 및 무단 삭제 등의 의심스러운 활동이나 위반 혐의를 발견한 경우 본청 정보보안담당관에게 즉시 보고하여야 한다. ⑥ 본청 정보보안담당관은 중요성, 자료 발생량, 사용빈도 등을 감안하여 기록관리 대상 접근기록의 범위, 보유기간을 조정할 수 있다. ⑦ 본청 정보보안담당관은 정보보안감사, 정보보안사고 처리 등과 관련하여 접근기록이 필요한 경우 정보시스템 운용부서의 장에게 접근기록을 요구할 수 있다. ⑧ 정보시스템 운용부서의 장은 제6항 및 제7항과 관련하여 특별한 사유가 없는 한 이에 따라야 한다.

제66조(정보보안감사) ① 본청 정보보안담당관은 사용자ㆍ정보시스템ㆍ정보통신망ㆍ전자정보 등 정보보안 전반에 대해 정기감사, 수시감사, 특별감사 등의 정보보안감사를 실시하여야 한다. ② 본청 정보보안담당관은 정보화관리관실의 업무량을 감안하여 정보보안감사 업무를 지방국세청장에게 위임할 수 있다. ③ 감사업무 담당자는 감사업무상 필요하다고 인정될 때에는 전자정보 사용자 또는 감사사항과 관련 있는 자로부터 필요한 문서, 확인서, 경위서, 문답서 등을 받고, 그 내용을 확인할 수 있다. ④ 감사업무 담당자는 감사와 관련하여 위법 또는 부당하다고 인정되는 사항에 대하여는 감사반장의 명의로 위반 행위 당시 피감사자소속기관의 장에게 질문서를 발부하고, 그 내용을 기록, 관리하여야 하며, 질문서 발부 시 적극행정 면책제도에 대한 안내를 할 수 있다. 다만, 피감사기관이 본청(국세공무원교육원 등 부속기관 포함), 지방국세청인 경우에는 소관 국장(과장)에게 발부할 수 있다. ⑤ 제4항에 따라 질문서를 받은 관계 공무원은 지정된 기한까지 답변서를 작성하고, 답변내용과 관련 있는 증명서류를 첨부하여 감사실시기관에 제출하여야 한다. ⑥ 사용자는 본인이 조회, 입력, 정정, 삭제, 송ㆍ수신 등 처리한 모든 전자정보에 대하여 명확하게 세무업무 목적으로 사용하였음을 해명하여야 한다. 만약, 제출한 증빙서류와 해명내용이 처리한 전자정보와의 관련성에 비추어 불분명하여 업무목적으로 사용한 사실을 객관적으로 명확하게 입증하지 못한 경우, 감사업무 담당자는 업무목적 외 사용으로 보아 처벌할 수 있으며, 이 경우에는 그 사용자가 처리한 전자정보 및 업무내용, 그 사용자의 담당업무, ‘전자정보조회대장처리' 및 ’전자정보 조회목적‘ 입력화면에 입력된 정보 사용 사유, 관련인 등의 진술 등을 종합적으로 검토하여 처분한다. ⑦ 감사대상자는 정보보안업무규정 위반 행위를 확인할 수 있는 자료를 고의로 삭제, 훼손, 사실과 다른 진술 등 감사를 방해하는 행위를 하여서는 아니 된다. 정보보안담당관은 감사를 방해하는 행위에 대하여 가중하여 처벌할 수 있다. ⑧ 감사업무 담당자는 정보보안감사 결과 제71조에 따라 위반행위를 처벌하는 경우에는 「양정조정검토서」(별지 제16호 서식)를 작성하여 정보보안감사 양정조정심의회에 양정조정을 의뢰하고, 그 결과를 검토하여 양정하여야 한다. 다만, 그 처벌이 주의에 해당하는 경우 양정조정 의뢰를 생략할 수 있다. ⑨ 정보보안감사업무를 수행하는 공직자는 공정한 직무수행을 위해 「이해충돌방지법」, 「이해충돌방지법 시행령」 및 「국세청 공직자의 이해충돌 방지제도 운영지침」을 준수하여야 한다.

제67조(정기감사) ① 본청 정보보안담당관은 연 1회 이상 주기적으로 정보보안감사를 실시하여야 한다. ② 본청 정보보안담당관은 「국세청 및 지방세무관서 감사규정」 제3조제1항제1호에 따른 종합감사 시에는 정기감사와 통합(이하 이 조에서 ‘통합감사’라 한다)하여 실시할 수 있다.

제68조(수시감사) 본청 정보보안담당관은 세무업무 목적 외 사용혐의 등 정보보안 위반혐의가 있다고 판단되는 경우 사전에 감사계획의 통보 없이 수시로 정보보안 감사를 실시할 수 있다.

제69조(특별감사) 본청 정보보안담당관은 정보보안사고가 발생한 경우 특별감사를 실시할 수 있고, 특별감사 결과에 따른 재발방지대책 등을 마련하여 같은 유형의 사고가 재발하지 않도록 조치하여야 한다.

제70조(포상) 국세청장은 연간 정보보안 점검 및 감사결과를 평가하여 정보보안 업무 모범직원에 대하여 포상할 수 있다.

제71조(처벌의 종류) 처벌의 종류는 징계, 경고(인사경고 포함), 주의로 구분한다. 이 규정의 위반으로 처벌을 하는 경우에는 처벌기준(별표7)에 따른다.

제72조(처벌의 적용) ① 제71조의 처벌대상이 되는 행위는 행위자별로 위반행위 1개 또는 납세자 1명을 기준으로 적용한다. ② 처벌을 받은 위반행위자가 처벌을 받은 날로부터 3년 이내에 다시 위반행위를 한 경우 또는 서로 관련이 없는 2개 이상의 위반행위가 경합될 경우의 가중처벌에 관하여는 「국세청공무원 상벌규정」 제11조제3항 각 호 및 제6항에 따른다. ③ 처벌대상이 되는 행위에 대한 관리자와 관서장의 감독책임은 그 위반행위의 정도에 따라 직상감독자，차상감독자，최고감독자(결재권자)의 순으로 문책한다. 다만，업무 처리과정에서의 내부통제와 소속직원 관리를 성실히 이행한 사실이 입증되는 경우에는 그 책임을 면할 수 있다. ④ 제71조에 따라 처벌을 받은 사용자는 이를 전산 입력하여 해당 공무원의 신상관리 자료로 활용한다. ⑤ 정보보안 위반행위를 처벌함에 있어 이 규정에서 정하지 아니한 사항은 「공무원징계령 시행규칙」, 「국세청공무원 상벌규정」 등 다른 규정에서 정하는 바에 따른다. ⑥ 제71조의 기준에 따라 처벌을 하는 경우 비위의 정도, 고의성 여부, 과실의 정도, 반복적 위반 등에 따라 처벌을 가중하거나 경감할 수 있다. ⑦ 제71조 및 제6항의 규정을 적용함에 있어 양정의 객관성 확보와 형평 유지를 위해 국세청 정보보호담당관실 또는 지방국세청 정보화관리팀 "양정조정심의회"를 설치ㆍ운영할 수 있다.