국민권익위원회 정보보호 규정

제1장 총칙

제1조(목적) 이 규정은「보안업무규정」(대통령령),「국가사이버안전관리규정」(대통령훈령),「국가위기관리기본지침」(대통령령) 및 「전자정부법」과 같은 법 시행령, 「정보통신기반보호법」과 같은 법 시행령, 「국가정보보안기본지침」등에 따라 국가 정보보안을 위하여 국민권익위원회 본부 및 소속기관 (이하 "위원회"라 한다)이 수행해야 할 기본활동을 규정함을 목적으로 한다.

제2조(적용범위 및 대상) ① 이 규정은 본부와 그 소속기관에 적용한다. ② 정보보안업무에 관하여「국가정보보안기본지침」과「국민권익위원회 보안업무규정 시행세칙」등 다른 법령 또는 규정에 따로 정함이 있는 것을 제외하고는 이 규정에서 정하는 바에 따른다.

제3조(정의) 이 규정에서 사용하는 용어의 정의는 다음과 같다. 1. "정보보안" 또는 "정보보호"라 함은 정보통신 수단으로 수집, 가공, 저장, 검색, 송수신되는 정보의 유출, 위변조, 훼손 등을 방지하거나 정보통신망을 보호하기 위하여 관리적, 물리적, 기술적 수단을 강구하는 일체의 행위를 말한다. 2. "사용자"라 함은 정보보안담당관으로부터 정보통신망 또는 정보시스템에 대한 접근 또는 사용 허가를 받은 위원회 소속 공무원 등을 말한다. 3. "정보통신망"이라 함은 유ㆍ무선, 광선, 위성 등을 매개로 하는 다양한 정보통신 수단에 의하여 부호, 문자, 음향, 영상 등의 정보를 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송수신하는 정보통신체제를 말한다. 4. "정보통신실"이라 함은 전산장비(서버ㆍPC 등), 전송장비(교환기 등), 통신장비(라우터 등), 보안장비(방화벽 등) 등 정보통신망과 정보시스템 및 보안시스템이 종합적으로 설치ㆍ운용되는 장소를 말한다. 5. "인터넷서비스망"(이하 "인터넷망"이라 한다)이라 함은 위원회 네트워크 중에서 인터넷을 사용할 수 있도록 연결되어 있는 인터넷 전용망을 말한다. 6. "업무전산망"(이하 "업무망"이라 한다)이라 함은 위원회 네트워크 중에서 내부 업무를 수행할 수 있도록 연결되어 있는 내부 전산망을 말한다. 7. "전산자료"라 함은 전산장비에 의하여 전자기적인 형태로 입력ㆍ보관되어 있는 각종 자료(data)를 말하며, 그 자료가 입력되어 있는 보조기억매체를 포함한다. 8. "휴대용저장매체"라 함은 USB메모리, 플래시메모리, CD(Compact Disk), VD(Digital Versatile Disk), IC칩 등 정보를 저장할 수 있는 일체의 것으로 PC 등의 정보시스템과 분리할 수 있는 기억장치를 말한다. 9. "사이버공격"이라 함은 해킹ㆍ컴퓨터바이러스ㆍ논리폭탄ㆍ메일폭탄ㆍ서비스방해 등 전자적 수단에 의하여 국가정보통신망을 불법침입ㆍ교란ㆍ마비ㆍ파괴 하거나 정보를 절취ㆍ훼손하는 일체의 공격행위를 말한다. 10. "암호모듈"이라 함은 정보의 유출, 위ㆍ변조, 훼손 등을 방지하기 위해 암호논리를 활용하여 구현한 수단이나 도구를 말한다. 11. "암호장비"라 함은 정보통신 수단으로 처리ㆍ저장ㆍ송수신 되는 정보를 보호할 목적으로 암호논리를 내장하여 제작된 장비나 장치를 말한다. 12. "정보시스템"이라 함은 서버, PC 등 단말기, 보조기억매체, 네트워크 장치, 응용 프로그램 등 정보의 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송수신에 필요한 하드웨어 및 소프트웨어 일체를 말한다. 13. "보호구역"이라 함은 출입자 통제 등 철저한 보안대책이 요구되는 구역을 말한다. 14. "진단도구"라 함은 정보통신망과 정보시스템 및 보안시스템에 대한 보안 취약점을 분석하고 점검할 수 있는 기술이나 장치를 말한다. 15. "완전포맷"이라 함은 저장매체 전체의 자료저장 위치에 새로운 자료(0 또는 1)를 중복하여 저장하는 것을 말한다. 16. "안전측정"이라 함은 정보통신망을 불법침입ㆍ교란ㆍ마비ㆍ파괴하거나 정보를 절취ㆍ훼손하는 해킹ㆍ컴퓨터바이러스ㆍ서비스방해ㆍ도청 등으로부터 정보통신망과 정보를 보호하기 위하여 정보보안 취약점을 진단하는 제반활동을 말한다. 17. "전자정보"라 함은 위원회가 업무와 관련하여 취급하는 전자문서 및 전자기록물을 말한다. 18. "전자기록물"이라 함은 정보처리능력을 가진 장치에 의하여 전자적인 형태로 송ㆍ수신 또는 저장되는 기록정보자료를 말한다. 19. "전자문서"라 함은 컴퓨터 등 정보처리 능력을 가진 장치에 의하여 전자적인 형태로 송ㆍ수신 또는 저장되는 정보를 말한다. 20. "정보보호시스템"이라 함은 정보의 수집ㆍ저장ㆍ검색ㆍ송신ㆍ수신 시 정보의 유출, 위ㆍ변조, 훼손 등을 방지하기 위한 하드웨어 및 소프트웨어를 말한다. 21. "무선도청 탐지"라 함은 유ㆍ무선 도청탐지장비 등을 이용하여 은닉된 무선 도청장치 색출과 각종 도청 위해요소를 제거하는 제반활동을 말한다. 22. "업무자료"라 함은 다음 각 목의 어느 하나에 해당하는 것을 말한다. 가. 「전자정부법」 제2조제6호에 따른 행정정보 및 같은 법 제2조제7호에 따른 전자문서 나. 「공공기록물 관리에 관한 법률 시행령」 제2조제2호에 따른 전자기록물 다. 기타 다른 법령에 의하여 공무원등이 직무상 작성ㆍ취득하였거나 보유ㆍ관리하는 자료로서 전자적으로 처리되어 부호ㆍ문자ㆍ음성ㆍ음향ㆍ영상 등으로 표현된 것 23. "비밀"이라 함은 업무자료 중에서 「보안업무규정」 제4조에 따라 분류된 비밀을 말한다. 24. "대외비"라 함은 업무자료 중에서 「보안업무규정」 제16조제3항에 따라 분류된 대외비를 말한다. 25. "비공개 업무자료"라 함은 비밀 및 대외비를 제외한 업무자료 중에서 다음 각 목의 어느 하나에 해당하는 자료 또는 정보를 말한다. 가. 「공공기관의 정보공개에 관한 법률」 제9조제1항에 따른 비공개 대상 정보 나. 국회 소속 공무원(「국회의원수당 등에 관한 법률」 제9조에 따른 보좌직원을 포함한다) 또는 「지방자치법」 제30조에 따른 지방의회 소속공무원의 직무상 요구에 따라 작성 또는 취득한 자료 다. 가목에 따른 비공개 대상 정보의 주요 내용이 기술된 문장 또는 문구 26. "공개 업무자료"라 함은 업무자료 중에서 비밀 및 대외비와 비공개 업무 자료를 제외한 모든 자료 또는 정보를 말한다.

제2장 기본활동 및 업무수행

제4조(정보보안 기본활동) 국민권익위원회 위원장(이하 "위원장"이라 한다)은 정보통신 수단에 의한 각종 정보의 누설(漏泄)을 방지하고 보호하여야 하며 다음 각 호의 정보보안 기본활동을 수행하여야 한다. 1. 정보보안 정책 및 기본계획 수립ㆍ시행 2. 정보보안 관련 규정ㆍ지침 등 제ㆍ개정 3. 정보보안 업무 지도ㆍ감독 4. 정보보안 감사 및 심사분석 5. 정보보안 관리실태 평가 6. 사이버공격 초동조치 및 대응 7. 사이버위협정보 수집ㆍ분석 및 보안관제 8. 정보보안 예산 및 전문 인력 확보 9. 정보보안 사고조사 결과 처리 10. 정보보안 교육 및 정보협력 11. 도청(盜聽) 위해(危害)요소 제거 12. 주요 정보통신 기반시설 보호활동 13. 정보통신망 보안대책의 수립ㆍ시행 14. 사이버보안진단의 날 계획 수립ㆍ시행 15. 기타 정보보안 관련 사항

제5조(정보보안책임관ㆍ정보보안담당관 운영) ① 위원장은 제4조에 따른 정보보안 기본활동의 효율적인 수행을 위하여 정보보안 업무를 총괄하는 정보보안책임관과 정보보안담당관을 임명하여야 한다. ② 기획조정실장이 발령과 동시에 위원회 정보보안책임관이 된다. ③ 혁신행정담당관이 발령과 동시에 위원회 정보보안담당관이 된다. ④ 정보보안담당관은 제4조 각 호에 해당하는 업무를 수행함에 있어 필요한 경우 해당 업무의 일부를 분임정보보안담당관에게 위임할 수 있다.

제6조(분임정보보안담당관 운영) ① 정보보안책임관은 정보통신망을 구성하거나 이에 기반을 둔 각종 업무처리시스템의 정보보안을 위하여 정보시스템별 정보보안담당관(이하 "분임정보보안담당관"이라 한다)을 지정하여 운영할 수 있다. ② 위원회의 분임정보보안담당관은 다음 각 호와 같다. 1. 혁신행정담당관 : 공통행정(대표홈페이지, 인트라넷 등) 및 제도개선 시스템 2. 민원조사기획과장 : 고충e-시스템 3. 심사기획과장 : 청렴포털 시스템 4. 운영지원과장 : 인사관리, 기관관리 시스템 5. 홍보담당관 : 정책홍보관리 시스템 6. 국민신문고과장 : 온라인 국민참여포털 시스템 7. 민원정보분석과장 : 민원정보분석 시스템 8. 행정심판총괄과장 : 행정심판허브 시스템(온라인행정심판) 9. 정부합동민원센터 고충상담기획과장 : 정부합동민원센터 대표홈페이지, 정부민원안내콜센터 10. 청렴연수원 교육지원과장 : 청렴연수원 홈페이지 11. 그밖에 신규 구축되는 시스템 : 해당 정보시스템 관리ㆍ운영 부서장 ③ 분임정보보안담당관은 다음 각 호의 업무를 수행하여야 한다. 1. 소관 정보시스템의 정보보호 업무 2. 소관 정보시스템에 대한 사이버공격 초동조치 및 침해사고 복구 3. 소관부서 정보시스템 및 휴대용 저장매체 보안관리 4. 정보보안담당관이 정보보안 업무를 위하여 취하는 조치 및 협조 요청 사항의 이행 ④ 분임정보보안담당관은 소관 정보시스템의 정보보안담당자를 지정하고 그 사실을 정보보안담당관에게 통보하여야 한다.

제7조(정보보호실무협의회 운영) 정보보안책임관은 정보통신망의 안전성 확보를 위하여 정보보안담당관, 분임정보보안담당관, 정보시스템 관리자, 외부 정보보호 전문가 등으로 구성된 정보보호실무협의회를 구성ㆍ운영할 수 있다.

제8조(정보보호 규정 관리) ① 정보보안담당관은 연1회 이상 위원회 정보보호 규정의 적정성을 검토하여 필요시 제ㆍ개정하여야 한다. 이 경우 변경 내용을 국가정보원장과 사전에 협의하여야 한다. ② 정보보안담당관은 정보보호 관련 규정이 변경된 경우 그 내용을 전 직원에게 공지ㆍ배포하여야 한다.

제9조(세부추진계획 수립 및 심사분석) ① 정보보안담당관은 정보보안업무 세부추진계획(「국가사이버안전관리규정」제9조에 따른 사이버안전대책을 포함한다)을 수립ㆍ시행하여야 한다.

제10조(정보보안 교육) ① 정보보안담당관은 정보보안 교육계획을 수립하고 연1회 이상 정보보안 교육을 실시하여야 한다. ② 정보보안담당관은 정보보안 관련 전문기관 교육 및 기술 세미나 참석을 장려하는 등 위원회 정보보안담당자의 업무 전문성을 제고하기 위하여 노력 하여야 한다 ③ 정보보안담당관은 정보보안 교육을 실시하기 위하여 다음 각 호의 사항을 교육계획에 반영하여야 한다. 1. 교육 대상 및 목적 2. 교육 내용(프로그램 등 포함) 3. 교육 일정 및 시간 4. 교육 방 ④ 정보보안담당관은 다음 각 호의 대상자를 우선적으로 교육대상에 포함하여야 한다. 1. 부서 보안담당자(보안 업무 수행자) 2. 정보시스템(정보통신망 포함) 관리자 및 운영자 3. 응용시스템 개발자 및 유지 보수자 4. 개인정보보호담당자(개인정보 취급자) 5. 기타 정보보안 교육이 필요하다고 판단되는 대상자 ⑤ 정보보안 교육 내용은 각 업무 담당자별로 "[별표 1] 교육대상자 별 교육내용"을 참조하여 선정한다.

제11조(감사 계획수립) ① 정보보안담당관은 연1회 이상 정보보안 감사계획을 다음 각 호를 고려하여 수립한다. 1. 정보시스템 서비스의 중요도 2. 처리되는 정보의 중요도 3. 이전에 수행한 정보보안감사 결과 ② 계획수립 시 다음 각 호에 대한 구체적인 범위 및 내용을 정의한다. 1. 정보보안 감사대상(대상 업무영역, 응용시스템, 서버팜, 네트워크구간 등을 명시적으로 정의) 2. 기간, 절차, 방법 등(정보보안감사 수행에 사용되는 구체적인 방법, 감사도구에 대한 요건 정의)

제12조(감사 전담반 구성) 정보보안담당관은 다음 각 호에 해당하는 인원을 포함하여정보보안감사를 수행할 전담반을 구성할 수 있다. 1. 정보보안담당자(필수) 2. 서버관리자(필수) 3. 네트워크관리자(필수) 4. 응용시스템관리자(필요시 포함)

제13조(정보보안 감사) ① 정보보안담당관은 본부 및 소속기관의 정보통신에 대한 보안감사와 불시점검을 병행하거나 별도로 실시할 수 있다. ② 정보보안 감사를 수행할 전담반은 다음 각 호를 준수하여 정보보안 업무가 수행되고 있는지 평가하고, 필요시 정보시스템에 대한 정보보호 취약점은 취약점 진단 도구를 활용하여 점검한다. 1. 위원회 정보보호 규정 2. 국가 정보보안 기본지침 3. 국가사이버안전매뉴얼의 보안통제 항목 4. 기타 보안관련 통제 항목 ③ 감사전담반은 정보보안감사 시 발견된 부적합 항목 및 주요 보안 취약점을 평가한 후 감사결과 부적합 항목과 관련된 각 관리부서에 전달한다. 각 관리부서에 전달되는 정보보안감사 결과에는 다음 각 호의 내용이 포함되어야 한다. 1. 정보보안감사 수행 일시 2. 정보보안감사 대상 (서버, 응용시스템, PC, 네트워크 장비 등) 3. 부적합 사항 (즉시 시정조치 되어야 하는 사항) 4. 권고 사항 (대책 수립 후 일정기간을 거쳐 시정조치 되어야 하는 사항) ④ 정보보안담당관은 다음 각 호를 포함하는 정보보안감사 결과 보고서를 위원장에게 보고한다. 1. 정보보안 감사 수행 일시, 대상 및 범위 2. 발견된 주요 정보보안 취약점 사항 3. 발견된 주요 정보보안 취약점 사항에 대한 시정조치 계획 ⑤ 정보보안담당관은 정보보안감사의 효율적 수행을 위하여 국가정보원장에게 감사방향, 감사중점사항, 감사관 지원 등 업무협조를 요청할 수 있다.

제14조(지도방문) ① 정보보안담당관은 정보통신망 운영 관리에 따른 보안취약점 개선을 위하여 정보보안 지도방문(이하 "지도방문"이라 한다)을 실시하고, 그 결과를 제9조의 정보보안업무 심사분석에 포함시켜야 한다. ② 정보보안담당관은 본부 및 소속기관 등에 지도방문을 실시할 경우에는 " [별표 2] 정보보안 점검표"를 적극 활용하여야 한다. ③ 정보보안담당관은 정보통신망의 보안취약점 진단과 보안관리 개선을 위하여 국가정보원장에게 지도방문에 필요한 인력을 요청할 수 있다.

제15조(보안관리 실태평가) 정보보안담당관은「전자정부법」제56조 및 같은법 시행령 제69조ㆍ제70조,「공공기록물 관리에 관한 법률 시행령」제5조의 규정에 따라 위원회 국가정보보안 정책 이행여부와 이행정도 등을 국가정보원이 구축한 온라인 평가 시스템을 이용하여 자체 평가를 실시하고 증빙자료 등을 첨부할 수 있다.

제16조(무선도청 탐지) ① 정보보안담당관은 무선도청에 따른 정보유출을 방지하기 위하여 다음 각 호의 시설 및 장소에 대한 보안대책을 강구하여야 한다. 1. 청사 신설ㆍ이전 또는 증ㆍ개축 시설 2. 기관장실ㆍ회의실 등 중요시설 3. 중요 협상ㆍ회의와 회담장소 또는 도청 의심징후가 있는 장소 ② 정보보안담당관은 제1항 각호의 시설 및 장소에 대하여 국가정보원장에게 무선 도청 탐지활동을 요청 할 수 있다. ③ 정보보안담당관은 제2항에 의한 결과나 자체 무선도청 탐지활동 결과를 외부에 공개하여서는 아니 되며, 탐지활동결과 도출된 도청 취약요소 등에 대해서는 개선 대책을 강구하여야 한다.

제17조(사이버보안진단의 날) ① 정보보안담당관은 매월 셋째주 수요일을 ‘사이버보안 진단의 날’로 지정하여 운영하여야 한다. ② 정보보안담당관은 ‘사이버보안 진단의 날’에 PC진단프로그램 등을 활용하여 정보통신망의 악성코드 감염여부, 정보시스템의 보안 취약여부 등 정보보안업무 전반에 대하여 체계적이고 종합적인 보안진단을 실시하여야 한다.

제18조(유관기관과의 협조) 정보보안담당관은 정보통신망의 보호를 위하여 국가정보원 또는 기타 정보통신망 관리 기관과 다음 각 호의 사항에 대하여 상호 협조 할 수 있다. 1. 정보통신망 보호에 필요한 정보의 공유 2. 침해사고 예방ㆍ대응 및 복구를 위한 상호협력 및 지원 3. 그 밖에 정보통신망의 보호를 위하여 상호협력이 필요한 사항

제3장 요소별 보안관리

제1절 정보통신망 기반관리 보안대책

제19조(정보통신망 보안관리) ① 위원장은 정보통신망과 관련한 다음 각 호에 해당하는 자료를 「보안업무규정 시행규칙」제17조에 의거 국가정보원장이 배포한 「비밀세부분류지침」에 따라 보안 비밀로 분류ㆍ관리하여야 한다. 1. 국방 연구개발 및 정보통신 관련 자료 2. 암호자재 운용현황 3. 국가보안시설(보호장비 포함)의 운영ㆍ관리에 필요한 정보통신망 구성현황(IP주소 할당현황 포함) 및 그에 대한 취약점 분석ㆍ평가 결과물(「정보통신기반 보호법」제9조에 따른 취약점ㆍ분석 결과 포함) 4. 그 밖에 제2항 각호에 해당하는 자료 중에서 국가정보원장이 비밀로 분류할 것을 요청한 자료 ② 위원장은 제1항 각호에 해당하는 자료를 제외한 다음 각 호에 해당하는 자료를「공공기관의 정보공개에 관한 법률」제9조 제1항에 따른 비공개 대상 정보로 지정ㆍ관리하여야 한다. 1. 정보통신망 세부 구성현황(IP 세부 할당현황 포함) 2. 보안시스템 운용현황 3. 보안취약점 분석ㆍ평가 결과물 4. 주요 정보화사업 추진현황 ③ 정보보안담당관은 다른 기관 등과 정보통신망을 연결하여 사용하고자 할 경우에는 보안관리 책임한계 설정과 전산자료 제공범위 및 이용자 접근제한 등 정보통신망에 대한 보안대책을 수립ㆍ시행하여야 한다. ④ 정보보안담당관은 외부망과 연결에 따른 보안취약점 해소를 위하여 접속자료를 주기적으로 분석하고 보안도구를 이용한 정보통신망 안전측정을 통해 취약점을 수시 점검하여야 한다. ⑤ 정보보안담당관은 정보통신망을 상용망(인터넷 포함)이나 다른 기관과 정보통신망을 연계하기 위한 보안관리 연결지점을 운용할 경우에는 비인가자의 무단침입(불법접속)이나 악성코드 및 사이버공격을 방지하기 위하여 국가정보원장이 검증한 보안시스템의 설치ㆍ운용 등 보안대책을 강구하여야 한다. ⑥ 개인용 장비를 이용하여 상용망(인터넷 포함)을 통해 자료 또는 정보의 교환을 위하여 송수신할 경우에는 사전에 정보보안담당관의 승인을 받아 중요 정보자료의 무단유출을 방지하여야 한다. ⑦ 정보보안담당관은 인터넷을 통한 불법 사이트 접속이나 프로그램 다운로드를 금지하여야 하며 개인용 장비에서 불건전 정보ㆍ도박ㆍ증권 등 업무와 무관한 인터넷 사이트 접근에 대한 통제대책을 강구하여야 한다.

제20조(우회 정보통신망 보안관리) 각 부서는 모뎀, 인터넷 제공 업체 및 외부 정보통신망 등 우회 정보통신망을 사용할 수 없으며, 필요시 정보보안담당관의 사전 승인을 얻어야 하며 다음 각 호에 따라 사용현황을 관리하여야 한다. 1. 업무현황(업무명) 2. 제공업체 3. 우회 정보통신망 세부 구성현황(IP 세부 할당 현황 등) 4. 담당자 및 사용 시간

제21조(정보시스템 보안관리) ① 정보보안담당관은 정보시스템의 효율적인 보안 관리를 위하여 정보시스템별로 관리책임자(이하 ‘시스템관리자’라 한다)를 지정 운영하여야 한다. ② 시스템관리자는 각종 서버ㆍPCㆍ정보통신장비ㆍ보안장비 등 정보시스템이 비인가자에게 불필요한 서비스를 허용하지 않도록 보안기능을 설정하여야 한다. ③ 시스템관리자는 보안도구를 이용하여 정보시스템의 보안취약점을 진단하여야 하며 이 경우 해당 정보시스템에 대한 접속ㆍ접근기록(일시, 사용자, 대상, 제목, 방법 등)을 관리하여야 한다. ④ 시스템관리자는 다음 각 호와 같이 자동 수록된 접근자료(Log Data)를 관리하여야 한다. 1. 접근자료는 접속의 성공여부와 무관하게 6개월 이상 기록 유지 2. 정보시스템 접근기록을 점검하고, 분석내용을 분기별로 부서장에게 보고 3. 자동 수록된 자료는 보안사고 발생 시 확인 등을 위하여 6개월 이상 보관 4. 접근자료의 외부유출 방지를 위한 보안대책 강구 ⑤ 시스템관리자는 서버ㆍ네트워크장비 등 부서가 공동으로 사용하는 정보시스템의 운용ㆍ관리에 대한 보안책임을 진다. ⑥ 정보시스템 관리자는 소관 정보시스템에 대하여 중요도ㆍ가용성 등에 따라 등급을 분류하고 해당 등급에 맞게 정보 보존 및 관리, 장애관리, 보안관리 등을 수행하여야 한다.

⑦ 시스템관리자는 비인가자가 정보시스템에 침입한 사실을 인지한 경우에는 정보시스템의 보호를 위한 접속차단 등 초동 조치를 취하고 지체 없이 정보보안담당관에게 보고하여야 한다. 또한, 제86조(침해사고 초동조치) 및 제87조(사고통보 및 복구)에 따라 관련 내용을 정보보안담당관에게 통보ㆍ지원을 받아야 한다. ⑧ 사용자별 자료 접근범위는 서버에 등록하여 인가여부를 식별토록 하고 인가된 범위 이외의 자료접근을 통제하여야 한다. ⑨ 시스템관리자는 제3항 부터 제8항의 사항을 정보시스템 보안취약점 점검표(별지 제 12호 서식)를 이용하여 월1회 이상 점검ㆍ유지하고 정보보안담당관의 요구시 제출하여야 한다. ⑩ 정보보안담당관은 정보시스템에 대하여 외부업체의 원격 유지보수 작업을 허용하여서는 아니 된다. 다만, 부득이한 경우에는 접근 가능한 IP를 지정하고 한시적으로 허용하는 등 보안대책을 강구한 후 허용할 수 있으며, 이때에도 원격 유지보수 내용을 확인 감독하여 반드시 기록으로 유지하여야 한다. ⑪ 시스템관리자는 업무용 시스템 및 홈페이지 등 정보시스템의 서비스에 필요한 포트만 정보시스템 서비스 포트 관리대장(별지 제20호 서식)을 작성하여 문서로 유지하고 주기적 점검으로 불필요한 포트 확인 즉시 제거 또는 정보보호시스템으로 차단ㆍ요청하여야 한다. ⑫ 사용자는 개인 PC 등 소관 정보시스템을 사용하거나 본인 계정으로 정보통신망에 접속하는 것과 관련한 보안책임을 가진다. ⑬ 시스템관리자는 서버ㆍ네트워크장비 등 부서공통으로 사용하는 정보시스템의 운용과 관련한 보안책임을 가진다. ⑭ 정보시스템을 실제 운용하는 부서의 장이 정보시스템 ‘관리책임자’가 되며, 관리책임자는 정보시스템 관리대장(별지 제2호 서식)을 수기 또는 전자적으로 운용 관리하여야 한다. ⑮ 관리책임자는 해당 부서의 정보시스템 관리대장에 정보시스템의 변경 최종 현황을 유지하여야 한다. <16> 정보보안담당관은 정보시스템 운용과 관련한 보안취약점을 발견하거나 보안대책 강구가 필요하다고 판단할 경우, 사용자ㆍ시스템 관리자 및 관리책임자에게 시정을 요구할 수 있다.

제22조(비밀의 전자적 처리) ① 정보보안담당관은 비밀 등 중요 전자정보를 정보통신망을 이용하여 생산ㆍ보관ㆍ분류ㆍ열람ㆍ출력ㆍ송수신ㆍ이관하는 등 전자적으로 처리하기 위해서는 국가용 보안시스템을 사용하여 암호화하는 등 국가정보원장이 안전성을 확인한 보안조치를 수행하여야 한다. ② 제1항의 경우, 사용자는 업무망 전용 PC에서 비밀 등 중요 전자정보를 처리하여야 한다. ③ 사용자는 비밀을 전자적으로 생산하고자 할 때에는 해당 비밀등급과 예고문을 입력하여 열람 또는 출력시 비밀등급이 자동으로 표시되도록 하여야 한다. ④ 사용자는 비밀을 전자적으로 생산ㆍ보관ㆍ분류ㆍ열람ㆍ출력ㆍ송수신ㆍ이관 시 관련 규격에 따른 제반사항을 전자적으로 기록 유지하여야 하며 송수신시에는 정당성 확인 및 부인을 방지하기 위하여 전자적으로 생성된 영수증을 사용하여야 한다. ⑤ 사용자는 비밀 생산을 완료한 경우에는 PC에 입력된 비밀내용을 삭제하여야 한다. 다만, 업무상 필요한 경우에는 비밀 저장용 휴대용 저장매체를 별도로 지정 사용하거나 PC내에 독립된 폴더를 지정, 국가용 보안시스템으로 암호화하여 보관하여야 한다. ⑥ 전자적으로 처리된 비밀을 종이문서로 출력한 이후의 취급 관리는 위원회 보안업무세칙에 따른다.

제23조(웹서버 등 공개서버 보안관리) ① 본부 및 소속기관의 홈페이지 등 공개서버 시스템관리자는 외부인에게 공개할 목적으로 설치되는 웹서버 등 각종 공개서버를 내부망과 분리된 영역(DMZ)으로 분리하여 설치ㆍ운영하고 보안적합성이 검증된 보안시스템을 설치하는 등 보안대책을 강구하여야 한다. ② 서버관리자는 비인가자의 공개서버 중 비공개 정보에 대한 무단 접근을 방지하기 위하여 서버 접근 사용자를 제한하고 불필요한 계정을 삭제하여야 한다. ③ 공개서버 운영자는 서비스 개시 전 운영목표, 운영방침을 정하고 게시물 공개범위, 자료 게시 담당자 등 공개 기준을 설정해야 한다. ④ 공개서버 운영자는 홈페이지에 개인정보가 노출되지 않도록 개인정보 유출 차단 필터링 시스템 도입 및 담당자 지정 모니터링 등을 실시하여야 한다. ⑤ 공개서버 운영자는 행사용ㆍ개발용 등 한시적 홈페이지를 주기적으로 확인하고 삭제하여야 한다. ⑥ 공개서버 운영자는 공개서버는 필요서비스를 제외한 모든 서비스 및 시험ㆍ개발도구(컴파일러 등)의 사용을 제한하도록 보안기능을 설정되어야 하며 안전측정을 통해 보안취약점을 수시로 점검하고 자료의 위ㆍ변조, 훼손 여부를 확인하여야 한다. ⑦ 공개서버 운영자는 보안 사고에 대비하여 서버에 저장된 자료의 철저한 백업체계를 구축하여야 하며 공개서버를 통해 개인정보가 유출, 위ㆍ변조되지 않도록 보안대책을 수립ㆍ시행하여야 한다. ⑧ 공개서버관리자는 비인가자의 본부ㆍ소속기관의 홈페이지 등 공개서버의 저장자료 절취, 위ㆍ변조 및 분산서비스거부(DDoS) 공격 등에 대비하기 위하여 국가정보원장이 안전성을 검증한 침입차단ㆍ탐지시스템 및 DDoS 공격대응시스템을 설치하는 등 보안대책을 강구하여야 한다.

제24조(영상회의시스템 보안관리) ① 각 부서에서 영상회의시스템을 구축할 경우 통신망(국가정보통신망, 전용선, 인터넷 등)에 따른 암호화 등 보안대책을 수립하고, 정보보안담당관의 사전 승인을 얻어야 한다. ② 기타 세부적인 사항은 「부처 영상회의시스템 보안가이드라인」(2013.4 국가정보원)을 준수하여야 한다.

제25조(모바일 및 사물인터넷 장비 보안관리) ① 각 부서에서 스마트폰 등을 활용하여 내부행정업무와 현장행정업무 및 대민서비스 업무 등 모바일 업무환경을 구축할 경우 보안대책 수립하고, 정보보안담당관의 사전 승인을 얻어야 한다. ② 기타 세부적인 사항은 「국가ㆍ공공기관 모바일 활용업무에 대한 보안가이드라인」(2014. 국가정보원)을 준수하여야 한다. ③ 사물인터넷을 이용한 시스템을 구축ㆍ운용하고자 할 경우 사물인터넷 기기 및 중요 데이터 등을 보호하기 위하여 보안대책을 수립ㆍ시행하여야 한다. ④ 사물인터넷을 이용한 시스템을 구축ㆍ운용하고자 할 경우 내부망과 분리하여야 한다. 다만, 내부망과 연동이 필요한 경우에는 망간 자료전송제품 설치 등 보안대책을 수립하여야 한다. ⑤ 기타 사물인터넷 보안과 관련한 사항은 국가정보원장이 배포한 「국가ㆍ공공기관 사물인터넷(IoT) 보안가이드라인」을 준수하여야 한다.

제26조(클라우드 시스템 보안관리) ① 정보보안담당관 및 분임정보보안담당관(이하 ‘정보시스템부서장’이라 한다)은「클라우드 컴퓨팅 발전 및 이용자 보호에 관한 법률」제12조에 따라 클라우드컴퓨팅을 자체 구축ㆍ운영하고자 할 경우 국가정보원장이 배포한 「국가ㆍ공공기관 클라우드 컴퓨팅 보안 가이드라인 」(2019. 국가정보원)에 명시된 기관 자체 클라우드컴퓨팅 구축 보안기준에 따라 대책을 수립ㆍ시행하여야 한다. ② 각 정보시스템부서장은 민간 클라우드컴퓨팅서비스를 이용하고자 할 경우 다음 각 호에 해당하는 사항을 준수하여야 한다. 1. 국내에 위치한 정보시스템에 데이터가 저장되는 서비스로서 일반 이용자용 서비스 영역과 물리적으로 분리되어 제공되는 서비스 영역(이하 "공공 전용(專用) 클라우드"라 한다)에 한하여 활용 2. 과학기술정보통신부장관이 고시한 「클라우드컴퓨팅서비스 정보보호에 관한 기준」에 부합하는 서비스 선정 3. 국가정보원장이 배포한 「국가ㆍ공공기관 클라우드 컴퓨팅 보안 가이드라인」에서 제시하는 민간 클라우드컴퓨팅서비스 이용 보안기준 및 행정안전부장관이 배포한 「행정ㆍ공공기관 민간 클라우드 이용 가이드라인」에 따른 절차 이행 ③ 위원회의 내부망과 연동된 공공 전용(專用) 클라우드는 이 지침을 적용함에 있어 위원회의 내부망으로 본다. ④ 위원회의 인터넷망과 연동된 공공 전용(專用) 클라우드는 이 지침을 적용함에 있어 위원회의 인터넷망으로 본다.

제27조(사용자계정 관리) ① 시스템관리자는 사용자에게 정보시스템 접속에 필요한 사용자계정(ID) 부여 시 비인가자 도용 및 정보통신시스템 불법 접속에 대비하여 다음 각 호의 사항을 반영하여야 한다. 1. 사용자별 또는 그룹별로 접근권한 부여 2. 외부인에게 계정 부여는 불허하되 업무상 불가피한 경우 시스템관리부서의 장 책임하에 필요 업무에 한해 특정기간 동안 접속토록 하는 등 보안조치 강구 후 허용 3. 비밀번호 등 사용자 식별 및 인증 수단이 없는 사용자계정 사용 금지 ② 시스템관리자는 사용자가 5회 이상에 걸쳐 로그인 실패시 정보시스템 접속을 중단시키도록 시스템을 설정하고 비인가자의 침입 여부를 확인 점검하여야 한다. ③ 시스템관리자는 직원의 퇴직 또는 보직변경 발생시 사용하지 않는 사용자 계정을 신속히 삭제하여야 한다. ④ 시스템관리자는 업무상 불가피한 경우를 제외하고는 유지보수 등을 위한 외부업체 직원에게 관리자 계정 제공을 금지하여야 한다. ⑤ 정보보안담당관은 사용자계정의 부여ㆍ관리 현황을 연 2회 이상 실태점검하고, 취약요소가 있을 경우 시스템관리자에게 개선을 요청할 수 있다.

제28조(비밀번호 관리) ① 사용자는 비밀번호 설정시 정보시스템의 무단사용 방지를 위하여 다음 각 호와 같이 구분하여야 한다. 1. 비인가자의 정보시스템 접근방지를 위한 장비 접근용 비밀번호(1차) 2. 정보시스템 사용자가 서버 등 정보통신망에 접속 인가된 인원인지 여부를 확인하는 사용자인증 비밀번호(2차) 3. 문서 열람ㆍ수정 및 출력 등 사용권한을 제한할 수 있는 자료별 비밀번호(3차) ② 사용자는 비밀이나 중요자료에는 비밀번호를 반드시 부여하되, 공개 또는 열람 자료에 대해서는 부여하지 않을 수 있다. ③ 비밀번호는 다음 각 호의 사항을 반영하여 숫자와 문자, 특수문자 등을 혼합하여 9자리 이상으로 정하고, 분기별로 1회 이상 주기적으로 변경 사용하여야 한다. 1. 사용자계정(ID)과 동일한 비밀번호 사용 금지 2. 개인 신상 및 부서명칭 등과 관계된 비밀번호 사용 금지 3. 동일단어 또는 반복 숫자 사용 금지 4. 사용한 비밀번호 재사용 금지 5. 동일 비밀번호 여러 사람 공유 사용 금지 6. 응용프로그램 등을 이용한 자동 비밀번호 입력기능 사용 금지 ④ 정보시스템 관리자는 서버에 저장된 비밀번호는 암호화하여 저장하여야 한다.

제29조(업무망 보안관리) ① 정보보안담당관은 업무자료를 소통하기 위한 전산망 구축시 인터넷과 분리하도록 망을 설계하여야 한다. 이 경우 다음 각 호의 보안대책을 강구하여 사업 계획단계(사업 공고 전)에서 국가정보원장에게 보안성 검토를 의뢰하여야 한다. 1. 비인가자의 업무망ㆍ인터넷 침입 차단대책(침입차단ㆍ탐지시스템 등) 2. 비인가 장비의 업무망 접속 차단대책(네트워크 관리시스템 등) 3. 업무PC의 인터넷 접속 차단대책 4. 업무망과 인터넷망간 안전한 자료전송 대책(「국가ㆍ공공기관 업무망과 인터넷간 안전한 자료전송 보안가이드라인」(2010.8, 국가정보원) 참조) ② 업무망 관리자는 정보시스템에 부여되는 ‘IP주소’를 체계적으로 관리하여야 하고, 비인가자로부터 업무망을 보호하기 위하여 사설주소체계(NAT)를 적용하여야 한다. 또한, IP주소별로 정보시스템 접속을 통제하여 비인가 정보통신기기나 PC등을 이용한 업무망 내 정보시스템 접속을 차단하여야 한다. ③ 업무망을 여타 기관의 망 및 인터넷과 연동하고자 할 경우에는 보안관리 책임 한계를 마련하여 국가정보원장에게 보안성 검토를 의뢰하여야 한다. ④ 업무망 관리자는 비인가자의 망 침입을 방지하기 위하여 안전성이 검증된 침입차단ㆍ탐지시스템을 운용하는 등 보안대책을 강구하여야 한다. ⑤ 업무망 관리자는 업무망을 인터넷과 연동시 효율적인 보안관리를 위하여 연결지점을 최소화하여 운용하여야 한다. ⑥ 정보보안담당관은 업무망의 외부망 연결에 따른 보안취약점 해소를 위하여 보안진단 도구를 이용하여 수시 점검하여야 한다. ⑦ 정보보안담당관은 업무망과 인터넷망 간의 자료 교환은 망간자료전송시스템을 사용하도록 시스템을 구축하여야 하며, 전송로그는 6개월 이상, 원본파일은 3개월 이상 유지하여야 한다.

제30조(네트워크장비 보안관리) ① 시스템관리자는 라우터, 스위치 등 네트워크 장비 운용과 관련하여 다음 각 호의 보안조치를 강구해야 한다. 1. 네트워크 장비에 대한 원격접속은 원칙적으로 금지하되, 불가피할 경우 장비관리용 목적으로 내부 특정 IPㆍMAC주소에서의 접속은 허용 2. 물리적으로 안전한 장소에 설치하여 비인가자의 무단접근 통제 3. 최초 설치 시 보안취약점을 점검하여 제거하고 주기적으로 보안패치 실시 4. 불필요한 서비스 포트 제거 ② 시스템관리자는 네트워크장비의 접속기록을 1년 이상 유지하여야 하고 비인가자의 침투 여부를 주기적으로 점검하여 정보보안담당관은 관련결과를 확인할 수 있다.

제31조(이동통신망 보안관리) ① 정보시스템부서장은 이동통신망(HSDPA, WCDMA, LTE, 5G 등) 시스템을 구축하여 업무자료를 소통하고자 할 경우 자체 보안대책을 수립하여 관련 사업 계획단계(사업 공고 전)에서 정보보안담당관을 경유하여 국가정보원장에게 보안성 검토를 의뢰하여야 한다. ② 정보시스템부서장은 이동통신망(HSDPA, WCDMA, LTE, 5G 등)을 이용하여 시스템을 구축하거나 중요자료를 소통하고자 할 경우 암호화 및 비인가 단말기의 이동통신망 접속 차단 등 기술적 보안 대책을 수립ㆍ시행하여야 한다. ③ 제2항에 따라 이동통신망을 이용한 시스템을 구축ㆍ운용할 경우 위원회의 정보통신망과 혼용되지 않도록 하여야 한다.

제32조(무선랜 보안관리) ① 정보시스템부서장은 무선랜(와이파이 등)을 사용하여 업무 자료를 소통하고자 할 경우 자체 보안대책을 수립하여 관련 사업 계획단계(사업 공고 전)에서 정보보안담당관을 경유하여 국가정보원장에게 보안성 검토를 의뢰하여야 한다. ② 정보시스템부서장은 제1항의 보안대책 수립 시, 다음 각 호의 사항을 포함하여야 한다. 1. 네트워크 이름(SSID, Service Set Identifier) 브로드캐스팅 중지 2. 추측이 어려운 복잡한 SSID 사용 3. WPA2 이상(256비트 이상)의 암호체계를 사용하여 소통자료 암호화 4. 비인가 단말기의 무선랜 접속차단 및 무선랜 이용 단말기를 식별하기 위한 IP주소 할당기록 등 유지 5. IEEE 802.1X, AAA(Authentication Authorization Accounting) 등의 기술에 따라 상호 인증을 수행하는 무선랜 인증제품 사용 6. 무선침입방지시스템 설치 등 침입 차단대책 7. 기관의 내부망 정보시스템 또는 인접해 있는 다른 기관의 정보시스템이 해당 무선랜에 접속되지 아니하도록 하는 기술적 보안대책 8. 그 밖에 무선랜 단말기ㆍ중계기(AP) 등 구성요소별 분실ㆍ탈취ㆍ훼손ㆍ오용 등에 대비한 관리적ㆍ물리적 보안대책 ③ 정보보안담당관은 제2항 및 제3항과 관련한 보안대책의 적절성을 수시로 점검하고 취약점을 보완하여야 한다. ④ 정보시스템부서장은 내부망을 제외한 정보통신망에서 다음 각 호의 경우와 같이 청사 내에 무선랜(Wifi)을 구축ㆍ운용할 수 있다. 1. 기관 인터넷망에 중계기(AP)를 설치하여 제37조제1항에 따라 위원장이 지급한 단말기의 접속만을 허용하는 업무용 무선랜 2. 상용 인터넷망에 중계기(AP)를 설치하여 제38조(PC보안설정)에 따라 반입한 공무원등의 개인 소유 이동통신단말기의 접속만을 허용하는 무선랜 3. 상용 인터넷망에 중계기(AP)를 설치한 외부인 전용 무선랜

제33조(인터넷전화 보안관리) ① 정보보안담당관은 인터넷전화 시스템을 구축하거나 민간 인터넷전화 사업자망(070)을 사용하고자 할 경우에는 사업 계획단계에서 자체 보안대책을 수립 시행하여야 한다. ② 시스템관리자는 제1항의 보안대책 수립시, 다음 각 호의 사항을 포함하여야 한다. 1. 인터넷전화기에 대한 장치 인증 및 사용자 인증 2. 제어신호 및 통화내용의 암호화 3. 인터넷전화망(음성 네트워크)과 일반 전산망(데이터 네트워크)의 분리 4. 인터넷전화 전용 방화벽 등 정보보호시스템 5. 백업체제 구축 ③ 시스템 관리자는 인터넷전화 시스템 구축을 위하여 민간 사업자망을 이용할 경우, 해당 사업자로 하여금 서비스 제공 구간에 대한 보안대책을 강구하도록 하여야 한다. ④ 인터넷전화 구축시 보안관리에 관련된 구체적인 사항은 국가정보원 인터넷전화 구축시 보안준수사항에 따른다.

제34조(원격접속 보안) ① 정보보호시스템 관리자는 정보보호시스템을 원격으로 관리할 수 없다. 다만, 부득이한 경우는 정보보안담당관의 승인 하에 원격으로 관리하되 다음 각 호의 사항을 준수하여야 한다. 1. 원격관리 시간을 최소화 2. 원격관리자의 접속 비밀번호 임시 부여 및 소통내용 암호화 등 보안대책 적용 3. 인가되지 않은 원격관리가 수행되는지 주기적 확인 점검 ② 정보보안담당관은 제1항에 의한 승인을 위하여 다음 각 호의 사항을 확인하는 등 보안조치를 수행하여야 한다. 1. 원격 접속할 사용자의 계정 및 비밀번호 2. 접속주소, 접속시간 3. 원격접속 사유(출장, 전산망 유지보수 등) 4. 원격접속 후 사용자계정 및 패스워드 회수 등 조치사항 5. 정보보호시스템 운용현황(별지 제6호 서식) ③ 재택근무, 출장지 현장 근무, 또는 파견 근무시 인터넷을 통해 본인 인증을 거쳐 기관 정보시스템에 접속하여 온라인상으로 수행하는 업무를 수행(이하 "원격근무"라 한다)하게 할 수 있다. ④ 제1항에 따른 원격근무를 위해 접속할 수 있는 기관 정보시스템은 다음 각 호와 같다. 1. 행정안전부 국가정보자원관리원 원격근무서비스 시스템 2. 제75조 제1항 제15호에 근거해 구축한 원격근무서비스 시스템 ⑤ 제1항에 따른 원격근무로 취급할 수 있는 업무자료의 범위는 공개 및 비공개 업무자료로 한다. ⑥ 원격근무자는 원격근무용 단말기(개인 소유의 정보통신기기를 포함한다)의 보안을 위하여 취하는 다음 각 호의 조치에 적극 협조하여야 한다. 1. 제38조에 따른 단말기(PC) 보안대책 준수 및 위원회에서 제공하는 보안소프트웨어 설치ㆍ운영 2. 사이버공격 등으로 인한 자료유출 사고 발생시 제90조(정보보안사고조사)에 따라 정보보안담당관에게 즉각 사고 상황을 알리고 조사에 적극 협조 ⑦ 원격업무 시스템 관리자는 원격근무자에게 보안서약서를 제출받은 후 직위ㆍ임무에 부합한 정보시스템 접근권한 부여 및 보직변경ㆍ퇴직 등 변동사항 발생 시 접근권한 조정 등의 절차를 마련ㆍ시행하여야 한다.

제2절 인적보안 관리

제35조(인적보안) ① 정보보안담당관은 소관 정보통신망(정보시스템 포함) 사용과 관련하여 사용자의 직위ㆍ임무별 정보통신망 접근 자격부여 심사 등 인적보안에 관련된 절차 및 방법을 마련하여야 한다. ② 보안담당관은 정보통신망을 통하여 비밀 등 중요정보를 취급하는 사용자에 대해서는 비밀취급인가, 보안서약서 징구 등의 보안조치를 하여야 한다. ③ 분임정보보안담당관은 사용자가 보직변경, 퇴직 등 인사이동이 있을 경우 관련 정보 시스템 접근권한을 조정하여야 한다. ④ 분임정보보안담당관은 외부 인력을 활용하여 정보시스템의 개발, 운용, 정비 등을 수행할 경우에는 해당 인력의 고의 또는 실수로 인한 정보유출이나 파괴를 방지하기 위하여 보안조치를 수행하여야 한다.

제36조(업무대행자 보안관리) ① 정보보안담당관은 정보시스템을 관리하기 위하여 기간제 근로자, 청원경찰, 공익근무요원 등을 업무대행자로 지정하여서는 아니 된다. 다만, 부득이한 경우에는 정보보안담당관의 승인 하에 지정하되, 다음 각 호의 사항을 준수하여야 한다. 1. 정보시스템 접속시간 최소화 2. 정보시스템의 접속 비밀번호 임시 부여 및 소통내용 암호화 등 보안대책 적용 3. 인가되지 않은 정보시스템 접속 여부의 주기적 확인점검 ② 정보보안담당관이 제1항에 의하여 특정 정보시스템에 대해 업무대행자를 지정한 경우에는 다음 각 호의 사항을 확인하는 등 보안조치를 수행하여야 하며, 그 사유가 소멸 시에는 즉시 해지하여야 한다. 1. 접속할 사용자, 사용자계정, 비밀번호 2. 접속주소, 접속시간, 접속사유(자료입력, 통계작성 등) 3. 접속 종료 후 사용자계정 및 비밀번호 회수 등 조치사항 4. 보안ㆍ비밀유지서약서(별지 제3호 서식) 징구 및 사용자 계정 관리대장(별지 제7호 서식) 작성 비치

제3절 PC 보안관리

제37조(PC 관리책임) ① 정보시스템부서장은 PC, 노트북, 휴대단말(PDA) 등 단말기를 사용하고자 할 경우에는 관리책임자를 지정하여 관리하여야 하며, PCㆍ단말기(저장자료를 포함한다)의 정보보안 관리 책임은 사용자에게 있다. ② 관리책임자는 PCㆍ노트북 관리대장(별지 제21호 서식)을 활용하여 분기별로 현황을 관리하여야 하며, 정보보안담당관의 요구 시 제출하여야 한다.

제38조(PC 보안설정) ① 사용자는 업무상 사용하는 PC에 대한 보안설정을 "[별표 3] PC 보안 설정"에 준하여 설정하여야 한다. ② 관리책임자는 비인가자가 PC를 무단으로 조작하여 전산자료를 유출, 위ㆍ변조 및 훼손시키지 못하도록 다음 각 호에 따라 관리하여야 한다. 1. 장비(CMOS비밀번호)ㆍ자료(문서자료 암호화 비밀번호)ㆍ사용자(로그온 비밀번호)별 비밀번호를 주기적으로 변경 사용 2. 10분 이상 PC 작업 중단 시 화면보호 조치 3. PC용 최신 백신 운용ㆍ점검 운용체제 및 응용프로그램(아래아한글, MS Office 등) 최신 보안 패치 유지 4. P2P, 웹하드 등 자료의 유출이 가능하고 업무와 무관하거나 보안에 취약한 프로그램의 사용 금지 ③ 사용자는 PC 등을 교체ㆍ반납ㆍ폐기하거나 고장으로 외부에 수리를 의뢰하고자 할 경우에는 정보보안담당관과 협의하여 하드디스크에 수록된 자료가 유출, 훼손되지 않도록 보안조치 하여야 한다. ④ 관리책임자는 사용자가 PC 등을 기관 외부로 반출하거나 내부로 반입할 경우에 최신 백신 등을 활용하여 해킹프로그램 감염 여부를 점검하여야 한다. ⑤ 누구든지 개인 소유의 PC 등을 무단 반입하여 사용하여서는 아니 된다. 다만, 부득이한 경우에는 정보보안담당관의 승인을 받아 사용할 수 있다.

제39조(인터넷PC 보안관리) ① 정보보안담당관은 비인가자가 인터넷과 연결된 PC(이하 "인터넷PC"라 한다)를 무단으로 조작하여 전산자료를 절취, 위ㆍ변조 및 훼손시키지 못하도록 다음 각 호의 보안대책을 사용자에게 지원하며, 사용자는 이를 준수하여야 한다. 1. 메신저ㆍP2Pㆍ웹하드 등 업무에 무관하거나 Active-X 등 보안에 취약한 프로그램과 비인가 프로그램ㆍ장치의 설치 금지 2. 특별한 사유가 없는 한 문서프로그램은 읽기 전용으로 운용 3. 음란ㆍ도박ㆍ증권 등 업무와 무관한 사이트 접근차단 조치 4. 업무자료 저장을 금지하기 위한 기술적ㆍ관리적 조치 ② 사용자는 인터넷PC에서 무단으로 업무자료의 작성ㆍ저장 및 소통을 금지하고 최신 백신을 활용하여 바이러스 감염 여부를 주기적으로 점검하여야 한다. ③ 그 밖에 인터넷 PC의 보안관리에 관련한 사항에 대해서는 제38조(PC 보안설정)를 따른다.

제40조(PC 하드웨어 관리) ① 사용자는 PCㆍ단말기나 PCㆍ단말기에 설치 또는 부착된 하드웨어를 임의로 부서 밖으로 반출하거나 반입해서는 안 된다. ② 관리책임자는 PCㆍ단말기 내에 설치 또는 부착된 하드웨어를 임의로 변경ㆍ제거하지 못한다. ③ 사용자는 퇴근, 휴가 등 일정 기간 노트북을 사용하지 않을 경우 시건 장치가 있는 안전한 장소에 보관한다. ④ 사용자는 CD Writer, 모뎀, 착탈식 디스크 등의 주변장치를 임의적으로 설치해서는 안 된다.

제41조(소프트웨어 설치제한) ① 사용자는 위원회의 소프트웨어는 업무상의 인가된 목적으로만 사용되어야 하며, 불법 소프트웨어는 설치ㆍ사용할 수 없다. ② 사용자는 위원회의 정보시스템을 침해하거나 우회할 수 있는 소프트웨어를 임의로 설치해서는 안 된다. ③ 사용자는 원격지에서 목적 없이 개인의 PCㆍ단말기를 관리할 수 있는 소프트웨어를 임의로 설치해서는 안 된다. 사용자는 업무용 목적 이외의 프로그램(게임, 증권 등)을 PC에 설치해서는 안 된다.

제42조(공유폴더 관리) 사용자는 공유폴더는 사용하지 않는 것을 원칙으로 하며, 업무상 목적에 의해 폴더를 공유할 경우 다음 각 호의 조치를 취하여야 한다. 1. 필요에 의해 공유를 하여야 할 시에는 반드시 비밀번호를 설정하여 사용하여야 하고 사용이 완료된 후에는 공유를 제거토록 한다. 2. 파일의 전달 시에는 반드시 일기 권한만을 주어 비밀번호를 설정하고, 상대방이 쓰기를 하여야 하는 경우에 있어서만 쓰기 권한을 주고 패스워드를 설정하여야 한다.

제43조(PC 정보보안 사고 대응) ① 관리책임자는 PCㆍ단말기 관련 정보보호 침해사고 발생 시 정보보안담당관에게 보고하여야 하며, 관련 기록을 보존 한다. ② 사용자는 PCㆍ단말기에 접근하기 위해 사용되는 비밀번호가 노출되었거나 노출이 의심되는 경우, 비밀번호를 변경하여야 한다. ③ 사용자는 정보보안 사고를 미연에 방지하기 위해 인터넷이 연결된 PCㆍ단말기에는 행정전자서명 및 업무자료를 저장할 수 없다. ④ 정보보안담당관은 침해사고 발생 시 제86조(침해사고 초동조치) 및 제87조(사고통보 및 복구)에 따라 관련 내용을 국가정보원장에게 통보ㆍ지원을 받아야 한다.

제44조(유지보수 보안) ① PC를 유지보수 할 경우에는 PC 사용자의 사무실 내에서 인가된 직원이 직접 방문하여 수리하는 것을 원칙으로 한다. ② 제1항에도 불구하고 PC 및 저장매체를 이동ㆍ반출할 경우 PC사용자는 제56조(저장매체 보안관리)에 따라 저장매체에 저장된 데이터가 복구되지 않도록 삭제한 후 반출하여야 한다.

제4절 전자우편 및 인터넷 사용보안

제45조(전자우편 보안) ① 전자우편 시스템관리자는 웜ㆍ바이러스 등 악성코드로부터 사용자 PC 등 전자우편 시스템 일체를 보호하기 위하여 정보보안담당관이 안전성을 확인한 백신, 바이러스 웜, 해킹메일 차단시스템을 구축하는 등 보안대책을 강구하여야 한다. ② 전자우편 사용자는 상용 전자우편을 이용한 업무자료 송ㆍ수신을 할 수 없으며, 공직자 통합메일로 송ㆍ수신한 업무자료는 열람 등 활용 후 메일함에서 즉시 삭제하여야 한다. ③ 사용자는 중요자료를 외부와 송ㆍ수신할 경우에는 반드시 소통 내용 및 첨부파일을 비밀번호를 걸어 사용하여야 한다. ④ 사용자는 메일에 포함된 첨부파일이 자동 실행되지 않도록 설정하고 첨부파일 다운로드시 반드시 최신 백신으로 악성코드 은닉여부를 검사하여야 한다. ⑤ 사용자는 출처가 불분명하거나 의심되는 제목의 전자우편은 열람을 금지하고 해킹메일로 의심되는 메일 수신시 즉시 정보보안담당관에게 신고하여야 한다. ⑥ 사용자는 해킹메일을 열람한 경우 원인 규명 등을 위하여 파일 임의삭제 등 감염 시스템 사용을 중지하고 전산망과의 접속을 신속히 분리한 후 정보보안담당관에게 관련 사실을 즉시 신고하여야 한다.

제46조(인터넷 사용 보안) ① 위원회 직원은 근무 시간 중 위원회 정보통신망에서 다음과 같은 목적으로는 인터넷을 사용할 수 없다. 1. 위원회에 심각한 영향을 줄 수 있는 중요 정보의 송수신 행위 2. 사회적으로 물의와 문제를 야기 시킬 수 있는 정보(메일)의 교환 3. 사회 미풍양속을 해칠 수 있는 불건전 사이트 열람이나 파일의 다운로드 및 배포 4. 저작권을 침해할 수 있는 불법적인 자료의 취득, 배포 5. 타 직원의 업무 수행을 방해할 수 있는 모든 행위 6. 개인의 사업목적 용도의 행위 7. 기타 보안 규정에 의한 금지 사항 ② 정보보안담당관은 인터넷상의 특정 사이트에 대해서 정상적인 업무 활동을 위해 다음 각 호에 해당되는 사이트의 접속을 금지할 수 있다. 1. 사이버 주식, 게임, 도박, 불건전 정보를 포함하는 업무와 무관한 사이트 2. 사용 시 위원회의 정보 유출이 우려되는 사이트(P2P, 메신저, 웹하드, 공개 메일 사이트 등)를 포함한 위원회의 정상적인 업무 활동을 위해 차단이 요구되는 사이트 3. 기타 국가정보원 등 내ㆍ외부기관에서 차단을 요청한 사이트 ③ 위원회 내부정보를 제공하는 비공식적인 인터넷 웹사이트 구축을 금한다. ④ 웹하드 및 인터넷 디스크 등 인터넷 상에 제공되는 외부의 저장공간에 업무적으로 취득한 자료를 저장할 수 없다.

제47조(악성코드 감염 방지대책) ① 정보보안담당관은 웜ㆍ바이러스, 해킹프로그램, 스파이웨어 등 악성코드 감염을 방지하기 위하여 다음 각 호와 같은 대책을 수립ㆍ시행하여야 한다. 1. 사용자는 개인 PC에서 작성하는 문서ㆍ데이터베이스 작성기 등 응용프로그램을 보안패치하고 백신은 최신상태로 업데이트ㆍ상시 감시상태로 설정 및 주기적인 점검을 실시하여야 한다. 2. 사용자는 출처, 유통경로 및 제작자가 명확하지 않은 응용프로그램 사용을 금지하고 인터넷 등 상용망으로 자료 입수 시 신뢰할 수 있는 인터넷사이트를 활용하되 최신 백신으로 진단 후 사용하여야 한다. 3. 사용자는 인터넷 파일공유 프로그램과 메신저ㆍ대화방 프로그램 등 업무상 불필요한 프로그램을 사용 금지하고 시스템관리자는 인터넷 연동구간의 침입차단시스템 등에서 관련 사이트 접속을 차단하도록 보안설정 하여야 한다. 4. 사용자는 웹브라우저를 통해 서명되지 않은 (Unsigned) Active-X 등이 PC 내에 불법 다운로드 되고 실행되지 않도록 보안 설정하여야 한다. 5. 제1호부터 제4호까지의 보안대책과 관련하여 시스템관리자는 정보보안담당관과 협조하여 사용자가 적용할 수 있는 보안기술을 지원하여야 한다. ② 시스템관리자 또는 PC 등의 사용자는 시스템 및 PC등에 악성코드가 설치되거나 감염된 사실을 발견하였을 경우에 다음 각 호의 조치를 하여야 한다. 1. 악성코드 감염원인 규명 등을 위하여 파일 임의삭제 등 감염 시스템 사용을 중지하고 전산망과의 접속을 신속히 분리한다. 2. 악성코드의 감염확산 방지를 위하여 정보보안담당관에게 관련 사실을 즉시 통보한다. ③ 제2항의 조치가 완료된 후 제87조(사고통보 및 복구)에 따라 정보보안 사고 조사권한이 정보보안담당관에게 위임되었을 경우, 정보보안담당관은 감염PC 등에 대하여 다음 각 호의 조치를 하여야 한다. 1. 최신 백신 등 악성코드 제거 프로그램을 이용하여 악성코드를 삭제한다. 2. 감염이 심각할 경우 포맷 프로그램을 사용하여 하드디스크를 포맷한다. 3. 악성코드 감염의 확산 및 재발을 방지하기 위하여 원인을 분석하고 예방조치를 수행한다. ④ 정보보안담당관은 악성코드가 신종이거나 감염피해가 심각하다고 판단할 경우에는 관련사항을 국가정보원장에게 신속히 통보하여야 한다. ⑤ 정보보안담당관은 국가정보원장이 악성코드 감염사실을 확인하여 조치를 권고할 경우, 즉시 이행하여야 한다. ⑥ 그 밖에 정보보안 사고 조사와 관련한 사항에 대해서는 제90조(정보보안 사고조사)를 따른다.

제5절 전자정보 보안관리

제48조(전자정보 보안조치) 정보보안담당관은 정보통신망을 통하여 보관ㆍ유통되는 전자정보의 보안을 위하여 다음 각 호의 조치를 이행하여야 한다. 1. 정보보안 책임 및 기본활동 수행 2. 전자정보 보안대책 이행 3. 국가용 보안시스템의 사용 4. 정보보호시스템의 도입 운용 5. 정보통신망 보안대책의 수립ㆍ시행 6. 국가정보원장이 발행한 지침ㆍ매뉴얼 및 각종 권고사항의 이행 7. 기타 전자정보 보안을 위하여 필요하다고 인정되는 보안대책의 이행

제49조(일반 전자정보 보호등급 분류) ① 정보보안담당관은 비밀이 아닌 중요 전자정보의 효율적 보호를 위하여 다음 각 호에 해당하는 경우에는 자체 실정에 맞는 보호등급으로 분류하여야 한다. 1. 최초로 정보통신망을 신설하여 전자정보의 보호등급 구분이 필요한 경우 2. 현재 운용중인 정보통신망을 재구성할 경우 3. 정보보안담당관이 필요하다고 인정하는 경우 ② 제1항의 규정에 의한 전자정보의 보호등급 분류는 다음 각 호와 같이 구분한다. 1. ‘가’급 유출 또는 손상되는 경우 위원회의 업무수행에 중대한 장애를 초래 하거나 개인 신상에 심각한 영향을 줄 수 있는 전자정보 2. ‘나’급 유출 또는 손상되는 경우 위원회의 업무수행에 장애를 초래 하거나 개인 신상에 영향을 줄 수 있는 전자정보 3. ‘다’급 유출 또는 손상되는 경우 위원회의 업무수행 및 기관의 이미지에 경미한 영향을 줄 수 있는 전자정보 ③ 정보보안담당관은 제2항의 규정에 따라 전자정보 보호등급을 분류하기 위한 자체 기준을 수립하여야 한다. 다만, 소속기관에 대한 기준 수립은 감독기관의 장이 행한다.

제50조(정보자산의 분류 주기) ① 전산자료 및 정보자산 보호등급 분류는 연 1회 수행하는 것을 원칙으로 한다. ② 정보자산을 신규 도입하거나 변경이 발생한 경우 정보자산의 검수가 완료된 시점 및 변경이 완료된 시점에 보호등급 분류를 수행한다. ③ 정보보안담당관은 각 정보자산 관리자로 하여금 해당 자산의 분류 및 중요도 평가 또는 검토를 요구할 수 있다.

제51조(전산자료 보안관리) ① 정보보안담당관은 전산자료에 대한 유출이나 파괴 또는 위ㆍ변조 등에 대비하여 다음 각 호에 정하는 보안대책을 강구하여야 한다. 1. 자료 복사본(예비) 확보하여 안전한 장소에 별도 보관 2. 전산자료(보조기억매체 포함) 보유현황 관리 3. 전산자료 및 장비의 반출 또는 반입 통제 4. 불법접근 및 해킹프로그램ㆍ웜ㆍ바이러스 감염 피해 예방 5. 전산자료 접근권한 구분ㆍ통제 ② 전산자료를 입력 저장하기 위한 보조기억매체는 각 매체별로 별개의 관리번호를 부여 관리하여야 하며, 비밀 등 중요자료가 입력된 보조기억매체는 위원회 부록 1의 "USB메모리 등 휴대용저장매체 보안관리지침"에 따른다. ③ 보조기억매체를 활용하는 부서의 보안담당자는 년 2회 이상 보유현황 및 관리실태를 점검하고 부서장의 확인을 받아야 한다. ④ 비밀로 분류하지 않더라도 민감한 보고서나 자료에 대해서는 자료별 접근 패스워드를 사용하고 보조기억매체를 적극 활용하여야 한다. ⑤ 직원의 퇴직 시 정보자산과 업무자료의 불법 반출ㆍ이동을 통제하기 위해 부서 보안담당자가 입회하여 이상 유무를 점검ㆍ유지하고 그 결과를 부서장이 확인하여야 한다.

제51조의2(비공개 업무자료 처리) ① 비공개 업무자료를 다음 각 호의 어느 하나에 해당하는 방법으로만 처리하여야 한다. 1. 소속 또는 근무중인 기관의 내부망 PC 및 서버에 작성 및 저장ㆍ보관 2. 소속 또는 근무중인 기관의 장이 지급한 휴대용 저장매체에 작성 및 저장ㆍ보관 3. 소속 또는 근무중인 기관의 장이 자체적으로 구축ㆍ운용하는 전자우편시스 템(이하 "기관 전자우편"), 공무원등이 공동으로 사용할 목적으로 문화체육관광부장관이 구축ㆍ운용하는 전자우편시스템(이하"공직자통합메일") 및 공무원 등이 다른 공무원등과 자료를 공유하거나 소통하기 위하여 사용하는 전용 소프트웨어(이하"공공 전용 메신저")를 이용한 수ㆍ발신 4. 그 밖에 다른 법규에 따라 허용되는 처리방법 ② 제 1항에도 불구하고 다음 각 호의 어느 하나에 해당하는 경우 소속 또는 근무중인 기관의 장이 지급한 인터넷 PC 또는 출장용 노트북을 이용하여 비공개 업무자료를 처리할 수 있다. 1. 기관 전자우편, 공직자통합메일 또는 공공 전용 메신저의 발신 기능을 이용하여 작성 2. 기관 전자우편, 공직자통합메일 또는 공공 전용 메신저로 수ㆍ발신하는 과정에서의 일시적 저장 ③ 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」제2조 제1항 제2호에 따른 정보통신서비스(전자우편ㆍ메신저 포함) 또는 국외에서 제공하는 이와 유사한 서비스(상용 정보통신서비스)를 이용하여 비공개 업무자료를 처리하여서는 아니된다

제52조(전자정보 저장매체 불용처리) ① 사용자 및 시스템관리자는 하드디스크 등 전자정보 저장매체를 불용처리(교체ㆍ반납ㆍ양여ㆍ폐기 등) 하고자 할 경우에는 정보보안담당관의 승인하에 저장매체에 수록된 자료가 유출되지 않도록 보안조치 하여야 한다. ② 자료의 삭제는 해당 정보가 복구될 수 없도록 저장매체별, 자료별 차별화된 삭제방법을 적용하여야 한다. ③ 기관내에서 정보시스템의 사용자가 변경된 경우, 비밀처리용 정보시스템은 완전포맷 3회 이상, 그 외의 정보시스템은 완전포맷으로 저장자료를 삭제하여야 한다. ④ 전자정보 저장매체의 불용처리에 관련된 구체적인 사항은 국가정보원 정보시스템 저장매체 불용처리지침에 따른다.

제53조(서버 보안관리) ① 서버 관리자는 서버를 도입 운용할 경우, 정보보안담당관과 협의하여 해킹을 이용한 자료 절취, 위ㆍ변조 등에 대비한 보안대책을 수립ㆍ시행하여야 한다. ② 서버 관리자는 서버내 저장자료에 대해 업무별ㆍ자료별 중요도에 따라 사용자의 접근권한을 차등 부여하여야 한다. ③ 서버 관리자는 사용자별 자료의 접근범위를 서버에 등록하여 인가여부를 식별토록 하고 인가된 범위 이외의 자료접근을 통제하여야 한다. ④ 서버 관리자는 서버의 운용에 필요한 서비스 포트 외에 불필요한 서비스 포트를 제거하며 관리용 서비스와 사용자용 서비스를 분리 운용하여야 한다. ⑤ 서버 관리자는 서버의 관리용서비스 접속시 특정 IP와 MAC주소가 부여된 관리용 단말을 지정 운용하여야 한다. ⑥ 서버 관리자는 서버 설정 정보 및 서버에 저장된 자료에 대해서는 정기적으로 백업을 실시하여 복구 및 침해행위에 대비하여야 한다. ⑦ 서버 관리자는 데이터베이스에 대하여 사용자의 직접적인 접속을 차단하고 개인정보 등 중요정보를 암호화하는 등 데이터베이스별 보안조치를 실시하여야 한다. ⑧ 정보보안담당관은 제1항부터 제7항까지에서 수립한 보안대책의 적절성을 수시 확인하되, 연1회 이상 진단도구를 이용하여 서버 설정 정보 및 저장자료의 절취, 위ㆍ변조 가능성 등 보안취약점을 점검 할 수 있다.

제54조(홈페이지 게시자료 보안관리) ① 사용자는 개인정보, 비공개 공문서 및 민감 내용 등이 포함된 자료를 홈페이지에 공개하여서는 아니 된다. ② 홈페이지에 정보를 게시하고자 하는 부서장은 사전에 자체 검증을 거쳐 비밀 등 비공개 자료가 게시되지 않도록 하여야 한다. ③ 사용자는 인터넷 블로그ㆍ카페ㆍ게시판ㆍ개인 홈페이지 또는 소셜네트워크 서비스 등 일반에 공개된 전산망에 업무관련 자료를 무단 게재하여서는 아니된다. ④ 정보보안담당관은 소속기관의 홈페이지 등에 비공개용이 게시되었는지 여부를 주기적으로 확인하고 개인정보를 포함한 비공개 자료가 홈페이지에 공개되지 않도록 보안교육을 주기적으로 실시하여야 한다. ⑤ 정보보안담당관은 홈페이지에 중요정보가 공개된 것을 인지할 경우 이를 즉시 차단하는 등의 보안조치를 강구 시행하여야 한다.

제55조(저장매체 관리) ① 분임정보보안담당관은 저장매체가 내장된 정보시스템에 대하여 다음 각 호에 해당하는 경우에는 저장자료를 삭제하여야 한다. 1. 정보시스템의 사용연한이 경과하여 폐기 또는 양여할 경우 2. 정보시스템 무상 보증기간 중 저장매체 또는 저장매체를 포함한 정보시스템을 교체할 경우 3. 정보시스템의 임대기간이 만료되어 반납할 경우 4. 고장 수리를 위한 외부 반출 등 당해 기관이 정보시스템 저장매체를 보안 통제할 수 없는 환경으로 이동이 필요한 경우 5. 기타 정보시스템 사용자 변경 등으로 저장자료 삭제가 필요하다고 판단되는 경우 ② 정보시스템 저장자료 삭제 책임은 개인에게 있으며, 지급된 정보시스템의 저장자료는 사용자 본인 책임 하에 삭제하여야 한다. 단, 홈페이지 등 각 부서가 공통적으로 사용하는 정보시스템은 정보보안담당관 책임 하에 저장자료를 삭제하여야 한다. ③ 정보시스템 반출 및 불용 시 다음 각 호에 따라 보안 조치를 하여야 한다. 1. 불용처리 등을 위해 정보시스템을 외부로 반출할 경우 정보보안담당관의 사전 통제를 받아야 하며, 현황을 기록 유지하여야 한다. 2. 정보보안담당관은 저장매체의 고장수리ㆍ저장자료 복구 등을 외부에 의뢰할 경우 저장매체에 저장된 자료의 유출 방지를 위해 수리 또는 복구 참여자에 대해 보안서약서 징구ㆍ교육 및 기기별 점검내역서 유지 등 필요한 보안조치를 하여야 한다. 3. 정보보안담당관은 정보시스템을 불용 처리할 경우 시스템의 사용기관ㆍ부서ㆍ사용자 등을 인식할 수 있는 표시를 모두 제거하여야 한다. ④ 저장자료의 삭제는 "[별표 4] 저장매체 자료 삭제 방법"에 따라 조직별 실정에 맞는 방법을 선택하여야 하며, 정보보안담당관은 정보시스템을 불용 처리할 경우 저장매체 자료 삭제 확인서(별지 제17호 서식)에 따라 저장자료의 삭제 여부를 확인하여야 한다. ⑤ 정보보안담당관은 정보시스템 반출 및 불용처리 시 보안조치 여부를 점검ㆍ확인하여야 한다.

제56조(휴대용 저장매체 보안대책) ① 휴대용 저장매체 관리책임자는 휴대용 저장매체를 사용하여 업무자료를 보관할 필요가 있을 때에는 위변조, 훼손, 분실 등에 대비한 보안대책을 강구하여 정보보안담당관의 승인을 받아야 한다. ② 휴대용 저장매체 관리책임자는 휴대용 저장매체를 비밀용, 일반용으로 구분하고 주기적으로 수량 및 보관 상태를 점검하며 반출ㆍ입을 통제하여야 한다. ③ 휴대용 저장매체 관리책임자는 USB 관리시스템을 도입할 경우 국가정보원장이 안정성을 확인한 제품을 도입하여야 한다. ④ 휴대용 저장매체 관리책임자는 사용자가 USB메모리를 PC 등에 연결시 자동 실행되지 않도록 하고 최신 백신으로 악성코드 감염여부를 자동 검사하도록 보안 설정한다. ⑤ 비밀자료가 저장된 휴대용 저장매체는 매체별로 비밀등급 및 관리번호를 부여하고 비밀관리기록부에 등재 관리하여야 한다. 이 경우에는 매체 전면에 비밀등급 및 관리번호가 표시되도록 하여야 한다. 다만, 휴대용 저장매체가 국가용 보안시스템에 해당될 경우에는 해당 보안시스템의 운용ㆍ관리체계에 따라 관리하여야 한다. ⑥ 휴대용 저장매체를 파기 등 불용처리 하거나 비밀용을 일반용 또는 다른 등급의 비밀용으로 전환하여 사용할 경우 저장되어 있는 정보의 복구가 불가능하도록 완전삭제 프로그램을 사용하여야 한다. ⑦ 정보보안담당관은 사용자의 휴대용 저장매체 무단반출 및 미등록 휴대용 저장매체 사용 여부 등 보안관리 실태를 주기적으로 점검하여야 한다.

제57조(백업 관리) ① 시스템관리자는 정보시스템 및 정보통신망 장애에 대비하여 업무관련 자료와 소프트웨어에 대해 백업 정책을 수립ㆍ수행하여야 한다. ② 중요 백업 데이터의 비인가자 접근ㆍ유실ㆍ훼손에 대비하여 통제구역에 보관하고 백업 관리대장(별지 제19호 서식)을 비치하여 접근 및 사용제한, 열람 및 사용기록 유지관리 등 보안조치를 하여야 한다. ③ 시스템관리자는 백업 자료에 대해 데이터 및 서비스 회복 테스트를 반기 1회 이상 실시하여 대상 데이터, 서비스, 시간 및 손실 데이터 양 등 세부사항을 기록하고 평가한 후 개선대책을 마련하여야 한다.

제58조(접근기록 관리) ① 시스템관리자는 정보시스템의 효율적인 통제ㆍ관리, 사고발생시 추적 등을 위하여 사용자의 정보시스템 접근기록을 유지 관리하여야 한다. ② 제1항의 접근기록에는 다음 각 호의 내용이 포함되어야 한다. 1. 접속자, 정보시스템ㆍ응용프로그램 등 접속대상 2. 로그 온ㆍ오프, 파일 열람ㆍ출력 등 작업 종류, 작업 시간 3. 접속 성공ㆍ실패 등 작업 결과 등 ③ 시스템관리자는 접근기록을 분석한 결과, 비인가자의 접속 시도, 정보 위변조 및 무단 삭제 등의 의심스러운 활동이나 위반 혐의가 발생한 사실을 발견한 경우 정보보안담당관에게 즉시 보고하여야 한다. ④ 시스템관리자는 정보보안 사고 발생시 확인 등을 위하여 최소 6개월 이상 접근기록을 보관하여야 하며 접근기록 위ㆍ변조 및 외부유출 방지 대책을 강구하여야 한다.

제4장 정보통신실 보안

제59조(주요 정보통신 기반시설 등의 보호구역 설정) ① 정보보안담당관은 다음 각 호에 해당하는 경우 주요 정보통신 시설 및 장소를 보호구역으로 설정하여야 한다. 1. 정보시스템실 2. 전산자료 보관실 3. 보안시스템 개발ㆍ설치 장소 4. 백업센터 및 중요한 정보통신 기반시설을 집중 제어하는 장소 5. 기타 보안관리가 필요하다고 인정되는 정보시스템 설치 장소 ② 정보보안담당관은 제1항에서 지정된 보호구역에 대한 보안대책을 강구할 경우 다음 각 호 사항을 참고하여야 한다. 1. 방재대책 및 외부로부터의 위해 방지대책 2. 상시 이용하는 출입문은 한 곳으로 정하고 이중 잠금장치 설치 3. 출입자 인증ㆍ식별 등을 위한 출입문 보안장치 설치 및 주야간 감시대책 4. 휴대용 저장매체를 보관할 수 있는 용기 비치 5. 정보시스템 안전지출 및 긴급파기 계획 수립 6. 관리책임자 및 자료ㆍ장비별 취급자 지정 운용 7. 정전에 대비한 비상전원 공급, 시스템의 안정적 중단 등 전력관리 대책 8. 카메라 장착 휴대폰 등을 이용한 불법 촬영 방지 대책 등 ③ 정보통신실 관리책임자는 자료보호를 위하여 다음 각 호와 같은 보안대책을 강구하여야 한다. 1. 자료별로 접근권한을 제한 2. 작업은 소관업무에 따라 입력ㆍ출력ㆍ열람 등으로 제한 3. 열람은 필요에 따라 기본항목ㆍ전 항목 등으로 제한

제60조(정보통신실 출입통제 절차) ① 정보통신실의 보안사고 예방을 위하여 모든 출입자는 사전출입인가를 받아야 한다. ② 정보보안담당관은 보안담당자, 시스템관리자 등 업무상 필요하다고 인정하는 자를 정보통신실 상시 출입자 명단(별지 제22호 서식)로 지정하여 업무를 원활히 수행하도록 할 수 있다. ③ 정보통신실 관리책임자는 정보통신실 모든 출입사항을 정보통신실 출입자 관리대장(별지 제23호 서식)에 상세히 기록ㆍ유지하여야 한다. ④ 일시적인 출입이 필요한 사람은 출입 인가자와 반드시 동행하며 시스템관리부서의 사전 승인을 득하여야 한다. ⑤ 통제구역 출입 시 사전 승인된 목적 이외의 물품(노트북, 기억매체, 카메라, 카메라 폰, 캠코더 등 영상저장용 장비 등)은 반입할 수 없으며, 이를 어길 경우 근무자는 해당물품을 압수하고 출입자를 통제구역 밖으로 퇴실 시켜야 한다.

제61조(장비 반출입 통제) ① 전산장비의 외부반출이 필요한 경우 시스템관리부서의 장에게 장비반출을 요청한다. ② 시스템관리부서의 장은 반출 전산장비에 내장된 저장매체를 확인하여 "[별표 4] 저장매체 자료 삭제 방법"을 참조하여 해당 저장매체에 저장된 데이터가 복구가능하지 않도록 삭제하도록 하고, 장비반출 및 데이터 삭제 결과를 기록ㆍ관리하여야 한다. ③ 저장매체가 있는 전산장비의 유지보수는 전산실내에서 수행하도록 하여 저장매체의 반출을 허용하지 않는다. 다만 정보보안담당관의 사전 승인을 얻은 후 허용할 수 있다. ④ 전산장비의 폐기시는 제55조(저장매체 보안관리)에 따른다.

제62조(일상점검) ① 정보통신실 담당자는 전산기기 가동 시 일일점검리스트를 작성하여 다음 각 호의 사항을 포함한 전산기기 운용상황을 점검하여 정보통신실 관리자에게 보고한다. 1. 전산실 온습도 정상여부 확인 2. 전원 상태 확인 3. 전산기기의 각 장치별 준비상태 확인 ② 공급자가 제공한 장비 보호 사항을 숙지하여야 하며 시스템관리부서는 이를 정기적으로 점검하여야 한다. ③ 시스템관리부서는 일일점검 중 문제점 발견 즉시 시스템관리부서의 장에게 보고 한다.

제63조(예방정비) ① 시스템관리부서는 특별한 경우를 제외하고는 시스템을 안정적으로 운용하기 위하여 매년 하드웨어 예방정비점검계획(P.M : Preventive Maintenance)을 수립하고 매월 1회 이를 실시하여 그 결과를 기록ㆍ관리한다. ② 장비는 공급자가 지시한 서비스 기간과 명세에 따라 유지 보수 한다. 각종 장비의 유지 보수를 관리하는 담당자를 지정하고, 외부 유지 보수 서비스의 필요 시 절차를 거쳐서 외부 유지 보수 업체를 지정한다. 각종 장비의 유지 보수 이력을 정해진 방법에 따라 기재하고 시스템관리부서의 장에게 확인을 얻어야 한다.

제64조(환경보안) ① 정보통신실 관리자는 전산기기 관리 시 다음 각 호의 사항을 준수하여야 한다. 1. 승인되지 않은 전산기기 부품 해체를 금지함 2. 자성물질고전자파기기를 전산기기 및 자기테이프 등에 접촉하지 않도록 함 3. 전원시설의 예방점검 4. 전기기구를 사용할 때에는 전압을 확인 후 사용 5. 흡연이나 전열기 등 사용금지 6. 소모품 및 출력용지 교체작업, 출력물관리 및 시스템프린터의 상태를 수시 점검 7. 전산기기 전원 작동순서는 공급자의 권고안을 준수하여야 한다. 8. 위험성물질이 보호구역에서 보관되어서는 안 되며, 위험 물질 방치여부를 항상 점검하여야 한다. ② 정보통신실 관리책임자는 주요 전산장비의 안정적인 운영을 위해 "[별표 5] 시설 보안"에 따라 설비하여야 한다.

제5장 정보화용역사업 보안관리

제65조(용역사업 보안관리) ① 정보보안담당관은 정보화ㆍ정보보호사업 및 보안컨설팅 수행 등을 외부용역으로 추진할 경우 사업 책임자로 하여금 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하도록 하여야 한다. 1. 용역사업 계약시 계약서에 참가직원의 보안준수 사항과 위반시 손해배상 책임 등 명시 2. 용역사업 수행 관련 보안교육ㆍ점검 및 용역기간 중 참여인력 임의교체 금지 3. 정보통신망도ㆍIP현황 등 용역업체에 제공할 자료는 자료 인계인수대장을 비치, 보안조치 후 인계ㆍ인수하고 무단 복사 및 외부반출 금지 4. 사업 종료 시 외부업체의 노트북ㆍ휴대용 저장매체 등을 통해 비공개 자료가 유출되는 것을 방지하기 위하여 복구가 불가능하도록 완전삭제 5. 용역업체로부터 용역 결과물은 전량 회수하고 비인가자에게 제공 및 열람 금지 6. 용역업체의 노트북 등 관련 장비를 반출ㆍ반입시 마다 악성코드 감염여부, 자료 무단반출 여부를 확인 ② 정보보안담당관은 「국가계약법」 시행령 제76조 제1항 제18호에 따라 용역사업 추진 시 과업지시서ㆍ입찰 공고ㆍ계약서에 다음 각 호의 누출금지 대상정보를 명시해야 하며 해당 정보 누출 시 입찰 참가자격 제한을 위한 부정당업자로 등록 신청을하여야 한다. 1. 기관 소유 정보시스템의 내ㆍ외부 IP주소 현황 2. 세부 정보시스템 구성 현황 및 정보통신망 구성도 3. 사용자계정ㆍ비밀번호 등 정보시스템 접근권한 정보 4. 정보통신망 취약점 분석ㆍ평가 결과물 5. 정보화 용역사업 결과물 및 관련 프로그램 소스코드(유출시 안보ㆍ국익에 피해가 우려되는 중요 용역사업에 해당) 6. 국가용 보안시스템 및 정보보호시스템 도입 현황 7. 침입차단시스템ㆍ방지시스템(IPS) 등 정보보호제품 및 라우터ㆍ스위치 등 네트워크 장비 설정 정보 8. 「공공기관의 정보공개에 관한 법률」제9조 제1항에 따라 비공개 대상 정보로 분류된 기관의 내부문서 9. 「개인정보보호법」제2조 제1호의 개인정보 10. 「보안업무규정」제4조의 비밀 및 동 시행규칙 제7조 제3항의 대외비 11. 그 밖에 각급기관의 장이 공개가 불가하다고 판단한 자료 ③ 정보보안담당관은 비밀관련 용역사업을 수행할 경우 비밀취급인가, 보안교육 등 보안조치를 수행하여야 한다. ④ 정보보안당관은 제1항부터 제3항까지에서 규정한 보안대책의 시행과 관련한 이행실태를 주기적으로 점검하고 취약요소 발견시 보안하도록 조치하여야 하며, [별표 8, 9] 정보화 용역사업자 보안위규 처리기준 및 정보화 용역사업자 보안 위약금 부과기준에 의거하여 처리할 수 있다. ⑤ 용역사업 보안관리 수행을 위하여 필요한 사항은 "위원회 정보화 용역업체 보안관리 매뉴얼"을 따른다.

제66조(계약 시 유의사항) ① 사업관리부서는 계약 체결 시 다음을 포함하여 용역(아웃소싱)업체가 준수하여야 할 정보보안 사항을 계약서에 명문화 한다. 1. 위원회 정보보안관리 지침 준수 2. 계약서의 보안사항 준수에 대한 감사 수감 3. 제공된 내부 자료에 대해 복사 및 외부반출을 할 수 없으며, 업무 완료 후 위원회에 반환 4. 제공된 내부 자료는 외부로 반출할 수 없으며 사업 수행 장소 내에 시건장치가 가능한 보관함에 보관 5. 업무 수행을 위해 반입된 PC는 업무 종료 시까지 반출을 할 수 없으며 다만, 불가피한 경우 위원회의 승인 후 반출 6. 위원회 "USB 등 보조기억매체 관리지침" 준수 7. 업무 수행으로 생산되는 모든 산출물 및 기록은 위원회가 인가하지 않은 자에게 제공ㆍ대여ㆍ열람을 금지 8. 제공된 자료는 해당 업무 종료 시 반납 9. 사업수행 기간 동안 재해 대비 백업 방안 ② 사업관리부서는 계약서 내용을 확인ㆍ평가하고 필요시 추가적인 통제방안의 명시를 요구하여야 한다.③ 사업 정보보안 방안은 계약서상에 명시하거나 첨부하여야 한다.

제66조의2(계약 특수조건) ① 정보시스템부서장은「국가를 당사자로 하는 계약에 관한 법률 시행령」제76조 제1항 제3호다목에 따른 정보통신망 또는 정보시스템 구축 및 유지보수 등의 계약 이행 과정에서 정보통신망 또는 정보시스템에 허가 없이 접속하거나 무단으로 정보를 수집할 수 있는 비인가 프로그램을 설치하거나 그러한 행위에 악용될 수 있는 정보통신망 또는 정보시스템의 약점을 고의로 생성 또는 방치하는 행위 등을 금지하는 내용의 계약 특수조건을 계약서에 명시하여야 하며 계약기간(하자 보증기간 포함) 내에 발생한 보안약점 등에 대해서는 계약업체로 하여금 개선 조치하도록 하여야 한다. ② 필요한 경우 계약업체로부터 제1항과 관련한 행위가 없다는 대표자 명의의 확약서를 요구할 수 있다.

제67조(작업환경 구성) ① 용역(아웃소싱)업체는 사업 수행 장소를 사업 착수 전에 관리부서와 사전 협의하여 관리부서가 지정한 장소에서 수행하여야 한다. ② 용역(아웃소싱)업체는 위원회 내부 네트워크를 사용할 수 없도록 자체적인 폐쇄망이나 별도의 인터넷망을 이용하여 네트워크를 사용하도록 네트워크를 구성하는 것을 원칙으로 한다. 단, 정보보안담당관의 승인을 득한 후 사용할 수 있다. ③ 용역(아웃소싱)업체가 내부 네트워크를 사용할 경우 침입차단시스템 등을 이용하여 접근통제가 될 수 있는 환경을 구성한다. ④ PC, 노트북 등의 장비 반입이 필요할 경우 정보보안담당관은 반입되는 장비에 대하여 다음 보안조치에 대한 결과를 확인하고 승인한다. 1. 해당 장비에 대한 백신 프로그램의 설치 및 진단 2. 기타 위원회가 소유한 PC 보안 소프트웨어의 설치 ⑤ 개발 프로젝트인 경우 운영환경과 분리된 별도의 개발환경을 구성하여 작업한다.

제67조의2(원격지 개발보안) ① 각 정보시스템부서장은 용역업체가 발주기관 이외 장소(이하 "원격지"라 한다)에서 개발작업(유지보수 제외)을 수행하고자 요청할 경우 관리적ㆍ기술적 보안대책을 수립ㆍ시행하고 정보화사업 계획단계부터 정보보안담당관에게 보안성검토를 의뢰하여야 한다. ② 용역업체의 원격지 개발과 관련한 보안대책 이행여부를 정기 또는 수시로 점검(불시 점검 포함)하여야 한다. ③ 제2항에 따라 용역업체의 원격지 개발과 관련한 보안대책 이행여부를 점검한 결과 미흡하다고 판단될 경우 원격지 개발 허가를 취소하여야 한다. ④ 용역업체가 발주기관 내 장소에서 개발 작업을 수행하더라도 개발용 서버가 민간 클라우드컴퓨팅서비스를 이용하는 등으로 원격지에 위치할 경우 원격지 개발로 간주하고 보안대책을 수립ㆍ시행하여야 한다

제68조(내부시스템 접근통제) ① 용역(아웃소싱)업체는 현재 사용 중인 응용시스템에 대한 입력 및 정정 업무를 수행할 수 없는 것을 원칙으로 한다. 다만, 불가피하게 입력 및 정정 업무가 필요한 경우 용역사업관리 부서장의 사전 승인을 득하여야 한다. ② 용역(아웃소싱)업체에서 위원회 내부시스템(이하 내부시스템이라 한다)을 사용하여야 할 경우 계정을 개별적으로 부여하고 시스템에 대한 접근은 다음 각 호의 통제가 적용되도록 한다. 1. 내부시스템 이용시간, 작업지역(IP주소 등)을 제한하여 접근통제를 실시한다. 2. 용역(아웃소싱) 해당 업무에 필요한 정보 및 시스템 이외에 대한 접근은 허용하지 않는다. 3. 발급한 ID의 사용기간을 설정하여 해당기간 이후에는 사용할 수 없도록 한다. 4. 기타 시스템에 대한 접근통제는 본 지침의 보안통제에 준한다. ③ 사업관리부서는 용역(아웃소싱) 계약이 종료된 경우 용역(아웃소싱)업체에서 사용한 모든 시스템 계정을 확인하여 삭제한다.

제69조(시스템 사용 모니터링) ① 용역(아웃소싱)업체의 개발 및 운영과 관련한 서비스에 대해 정보보안담당관은 다음 각 호를 모니터링을 할 수 있다. 1. 시스템 사용 내용 기록ㆍ감시 2. PC 및 저장매체 사용 내용 기록ㆍ감시 3. 메일, 인터넷 데이터 전송 등 인터넷 및 네트워크 사용 내용 기록ㆍ감시 ② 사업관리부서는 용역(아웃소싱)업체의 작업 활동에 대해 매주 1회 점검하여 비 인가된 접근행위를 시도하는지 확인한다. ③ 사업관리부서는 비 인가된 시스템 접근시도 또는 사업정보 유출 및 시도 적발 시 해당 사항을 정보보안담당관에게 보고하여야 한다.

제70조(자료유출 방지) ① 사업관리부서는 개인정보 및 민감한 정보를 용역(아웃소싱)업체에 제공한 경우 용역(아웃소싱)업체의 물리적 보안관리 대책(자료 보관ㆍ사용ㆍ유출방지 대책)을 확인한 후 제공한다. ② 사업관리부서는 사업 진행시 용역(아웃소싱)업체가 수령한 자료는 자료 반ㆍ출입 보안조치 관리대장(별지 제13호 서식)에 기록하여 사업 종료 시 회수를 확인한다. ③ 용역(아웃소싱)업체가 사용한 PC, 노트북 및 저장매체를 확인하여 사업 관련자료를 확인 삭제한다. 저장매체 삭제의 경우 "제55조(저장매체 보안관리)"에 따른다.

제6장 안전성 확인

제1절 보안성 검토

제71조(정보시스템 도입ㆍ구축 시 인가 기준) ① 각 정보시스템부서장은 정보화사업을 수행하고자 할 경우 정보화사업과 관련한 보안 대책의 적절성을 평가하기 위하여 사업 계획단계(사업 공고 전)에서 보안성 검토 절차를 이행하여야 한다. ② 각 정보시스템부서장은 업무용시스템 및 홈페이지 등 정보시스템을 도입하기 전에 용역업체 요청, 전문기관(업체) 의뢰, 기관자체 점검 등으로 보안취약점을 미리 확인ㆍ제거하고 기록하여야 한다.

제72조(보안성 검토 신청) ① 각 정보시스템부서장은 다음 각 호의 정보화사업을 추진할 경우에 대하여 자체 보안대책을 강구하고 안전성을 확인하기 위하여 사업 계획단계(사업 공고 전)에서 정보보안담당관을 통하여 국가정보원장에게 보안성 검토를 의뢰하여야 한다. 1. 비밀ㆍ대외비를 유통ㆍ관리하기 위한 정보통신망 또는 정보시스템 구축 2. 국가정보원장이 개발하거나 안전성을 확인한 암호자재를 적용하는 정보통신망 또는 정보시스템 구축 3. 외교ㆍ국방 등 국가안보상 중요한 정보통신망 또는 정보시스템 구축 4. 100만명 이상의 개인에 대한 「개인정보보호법」상 민감정보 또는 고유식별정보를 처리하는 정보시스템 구축 5. 주요정보통신기반시설로 지정이 필요한 정보통신기반시설 구축 6. 「국가정보보안기본지침」에 따른 제어시스템 도입 7. 재난관리ㆍ국민안전ㆍ치안유지ㆍ비상사태 대비 등 국가위기 관리와 관련한 정보통신망 또는 정보시스템 구축 8. 국가정보통신망 등 여러 기관이 공동으로 활용하기 위한 정보통신망 또는 정보시스템 구축 9. 행정정보, 국가지리, 환경정보 등 국가 차원의 주요 데이터베이스 구축 10. 정상회의, 국제회의 등 국제행사를 위한 정보통신망 또는 정보시스템 구축 11. 내부망 또는 폐쇄망을 인터넷 또는 다른 정보통신망과 연동하는 사업 12. 내부망과 기관 인터넷망을 분리하는 사업 13. 통합데이터센터ㆍ보안관제센터 구축 14. 소속 공무원등이 업무상 목적으로 이용하도록 하기 위한 무선랜, 이동통신 망(HSDPA, WCDMA, LTE, 5G 등) 등 구축 15. 원격근무시스템 구축 16. 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」제20조에 따라 클라우드컴퓨팅서비스제공자의 클라우드컴퓨팅서비스(이하 "민간 클라우드컴퓨팅 서비스"라 한다)를 이용하는 사업 17. 남북 회담 및 협력사업 등을 위한 북한지역 내 정보통신망 또는 정보시스템 구축 18. 외국에 개설하는 사무소 운영을 위한 정보통신망 또는 정보시스템 구축 19. 첨단 정보통신기술을 활용하는 정보화사업으로서 국가정보원장이 해당기술에 대하여 안정성 확인이 필요하다고 지정하는 사업 ② 정보보안담당관은 해당 기관 및 소속기관이 추진하는 다음 각 호에 해당하는 정보화 사업에 대하여 보안성 검토를 실시한다. 다만, 소속기관이 추진하는 제10호부터 제14호까지 해당하는 정보화사업에 대한 보안성 검토는 정보보안내규에 따라 해당 소속기관의 장이 실시하도록 위임할 수 있다. 1. 제1항 단서에 따라 국가정보원장으로부터 보안성 검토를 위임받은 사업 2. 홈페이지 및 웹메일 등 웹기반 정보시스템 구축 3. 인터넷전화시스템 구축 4. 다른 기관의 정보통신망 또는 정보시스템과 연동하여 정보의 소통 또는 서비스를 제공하는 정보시스템 구축 5. 해당 기관의 정보통신망 또는 정보시스템과 분리된 외부인 전용 무선랜, 인터넷망 및 교육장 정보통신망 등 구축 6. 인터넷과 분리된 소속 공무원등의 인사ㆍ복지관리 등의 목적을 위한 정보시스템 구축 7. 주요정보통신기반시설 취약점 분석ㆍ평가, 정보보안컨설팅 등 용역사업 8. 기존 분리된 내부망ㆍ기관 인터넷망 간 자료전송시스템 구축 등 후속사업 9. 대규모 백업ㆍ재해복구센터 구축 10. 해당 기관의 정보통신망 또는 정보시스템과 분리된 영상회의시스템 구축 11. 인터넷과 분리된 CCTV 등 영상정보처리기기 구축 12. 백업시스템 구축 13. 대민 콜센터시스템 구축 14. 기타 해당 기관의 장이 필요하다고 판단하는 정보통신망 또는 정보시스템 구축 ③ 정보보안담당관은 각 호에 명시된 정보화사업의 경우 보안성 검토 절차를 생략할수 있으나 매뉴얼ㆍ가이드라인 등을 준수하는 등 자체 보안 대책을 수립ㆍ시행하여야 한다. 1. 1항 및 2항 각 호의 정보화 사업에 해당하지 아니하는 단순 장비ㆍ물품 도입 2. 보안성 검토를 거쳐 완료한 정보화사업에 대하여 정보통신망 구성을 변경하지 아니하는 범위 내에서 다음 각 목의 사항을 포함한 후속운영ㆍ유지보수ㆍ컨설팅(단일 회선의 이중화는 본 호를 적용함에 있어 정보통신망 구성의 변경이 아닌 것으로 본다.) 가. 서버ㆍ스토리지ㆍ네트워크장비 등 장비 노후화로 인한 단순 장비 교체 나. 전화기ㆍ무전기ㆍCCV 등 통신ㆍ영상기기의 노후화로 인한 단순 장비 교체 3. 다년도에 걸쳐 계속되는 사업으로써 사업 착수 당시 보안성검토를 완료한 후 사업 내용의 변동 없이 계속 추진하는 운영ㆍ유지사업 4. PCㆍ프린터 및 상용 소프트웨어 등 단순 제품 교체 ④ 정보보안담당관은 해당 연도의 정보통신망 보안성 검토 대상사업 현황을 매년 1월25일까지 국가정보원장에게 제출하여야 한다.

제73조(보안성 검토 절차) ① 국가정보원장에게 정보통신망 보안성 검토를 의뢰하는 업무 절차는 다음과 같다. 1. 부서장은 정보보안담당관과 협의하여 보안대책을 수립하고 정보보안담당관을 통하여 국가정보원장에게 보안성 검토를 요청한다. 2. 소속기관이 국가정보원에 보안성 검토를 의뢰하고자 할 경우 정보보안담당관과 협의하여 보안대책을 수립하고 소속기관 자체 보안심사위원회 심사를 거친 후 정보보안담당관을 통하여 국가정보원장에게 보안성 검토를 요청한다. ② 정보보안담당관은 제72조(보안성 검토 신청) 제1항에서 명시된 사안을 제외한 경미한 사업을 추진할 경우에 소속기관에 대한 보안성 검토를 수행한다. ③ 정보통신망 보안성 검토는 서면 검토를 원칙으로 하되 정보보담담당관이 필요하다고 판단하는 경우에는 현장 확인을 병행 실시할 수 있다.

제74조(제출 문서) ① 정보보안담당관은 국가정보원장에게 보안성 검토를 요청할 경우에는 다음 각 호의 문서를 제출하여야 한다. 1. 사업계획서(사업목적 및 추진계획 포함) 2. 기술제안요청서(RFP) 3. 정보통신망 구성도(필요시, IP주소체계 추가) 4. 자체 보안대책 강구사항 ② 제1항 제4호의 자체 보안대책 강구사항에는 다음 각 호를 포함하여야 한다. 1. 보안관리 수행체계(조직, 인원) 등 관리적 보안대책 2. 정보시스템 설치장소에 대한 보안관리 방안 등 물리적 보안대책 3. 국가용 보안시스템 및 정보보안담당관이 개발하거나 안전성을 검증한 암호모듈ㆍ정보보호시스템 도입 및 운용 계획 4. 국가기관간 망 연동시 해당 기관간 보안관리 협의사항 5. 서버, 휴대용 저장매체, 네트워크 등 정보통신망의 요소별 기술적 보안대책 6. 재난복구 계획 또는 상시 운용계획

제75조(결과 조치) ① 보안성검토를 요청한 부서장은 국가정보원장의 보안성 검토 결과를 준수하여 보안대책을 보완하여야 한다. 이 경우, 정보보안담당관이 보안성 검토 결과 신속한 시정이 필요하다고 판단하는 경우에는 필요한 조치를 요청할 수 있으며 특별한 사유가 없는 한 이에 따라야 한다. ② 정보보안담당관은 정보통신망 보안대책이 적절히 수립되었는지 등 이행여부 확인을 위하여 현장점검을 실시할 수 있다.

제2절 보안적합성 검증

제76조(정보보호시스템의 도입 등) ① 각 정보시스템부서장은 정보 및 정보통신망 등을 보호하기 위해 정보보호시스템을 도입할 경우, [별표 10] 정보보호시스템 유형별 도입요건에 규정된 유형의 시스템에 대해서는 해당 도입요건을 만족하는 시스템을 도입하여야 한다. ② 위원장은 매 반기마다 해당 반기 내에 도입한 제80조에 따른 모든 제품에 대하여 정보통신제품 도입 현황 등을 검증 기관의 장에게 제출하여야 한다. ③ 위원장은 제2항에 따라 관할 하급기관의 장으로부터 제출받은 현황 등을 국가정보원장에게 제출하여야 한다.

제77조(보안적합성 검증 신청) ① 각 정보시스템부서장은 제76조(정보보호시스템의 도입 등)에 따라 정보보호시스템을 도입할 경우 사전에 국가정보원장에게 보안적합성 검증을 신청하여야 한다. ② 보안적합성 검증을 신청하고자 하는 부서의 장은 사전에 정보보안담당관과 협의하여 보안대책을 수립하고 정보보안담당관을 경유하여 국가정보원장에게 보안적합성 검증을 신청한다. ③ 보안적합성 검증대상은 다음 각 호와 같다. 1. 상용 정보보호시스템 등 정보보호를 목적으로 도입ㆍ운용하는 정보통신제품 2. 위원회에서 자체 개발하거나 외부업체 등에 의뢰하여 개발한 정보보호시스템 3. 저장매체 소자장비 혹은 완전삭제 소프트웨어 제품 4. L3 이상 스위치, 라우터 등 네트워크 장비 ④ 제3항에도 불구하고, 다음 각 호의 경우에는 검증을 생략할 수 있다. 1. 「국가정보화 기본법」제38조1항 및 같은 법 시행령 제35조에 따라 과학기술정 보통신부장관이 정한 정보보호시스템 공통평가기준을 준수한 인증(CC인증) 제도에 따라 국내용 CC인증 또는 국제용 CC인증을 받은 정보통신제품 2. 「소프트웨어산업 진흥법」제13조에 따른 품질인증(GS인증)을 받은 정보통신제품 3. 「정보보호산업의 진흥에 관한 법률」제17조에 따른 성능평가를 받은 정보통신제품 4. 「국가표준기본법」제23조 및 「공인기관 인정제도 운영요령(국가기술표준원 고시」제3조에 따른 한국인정기구(KOLAS)에 의해 국제표준 (ISO/IEC17025)에 따라 인정받은 시험기관에서 시험한 정보통신제품 5. 국가정보원장이 공지한 검증필 제품목록에 등재된 정보통신제품 6. 국가정보원장이 개발하고 안전성을 확인하여 기술 이전한 정보통신제품

제78조(신청서류) ① 보안적합성 검증을 신청하고자 하는 경우 다음 각 호의 서류(문서)를 제출하여야 한다. 1. 사용 정보보호시스템 가. 별지 제4호 서식의 정보보호시스템 도입시 확인사항 1부 나. 별지 제5호 서식의 보안적합성 검증 신청서 1부 다. 기술제안요청서 사본 1부 라. 제품 설명서(기능ㆍ운용 설명서 등) 마. CC 인증서 사본(해당되는 경우) 바. 별지 제24호 서식의 정보보호시스템 보안기능 점검표 1부 사. 별지 제25호 서식의 정보보호시스템 운영 점검사항 1부 2. 자체 개발하거나 외부업체 등에 의뢰하여 개발한 시스템 가. 별지 제4호 서식의 정보보호시스템 도입시 확인사항 1부 나. 별지 제5호 서식의 보안적합성 검증 신청서 1부 다. 기술제안요청서 사본 1부 라. 제품설명서(기능ㆍ운용 설명서) 사본 1부 마. 기본 및 상세 설계서(검증기관 또는 시험기관 요청시) 바. 개발완료 보고서 1부 사. 사용설명서 1부 3. 네트워크 장비 가. 별지 제4호 서식의 정보보호시스템 도입시 확인사항 1부 나. 별지 제26호 서식의 네트워크 장비 보안적합성 검증 신청서 다. 장비 설명서(기능ㆍ운용설명서, Private MIB 등 포함) 라. 기본 및 상세 설계서(검증기관 또는 시험기관 요청시) 마. 장비 펌웨어 이미지 및 해시값 1부 바. 별지 제27호 서식의 네트워크 장비 도입 최소 보안 요구사항 사. 별지 제28호 서식의 네트워크 변경내용 분석서 1부(도입장비 펌웨어 업데이트 경우) 아. CC인증서 사본(해당되는 경우) ② 각 부서장은 정보보안담당관이 제1항의 제출문서 이외에 보안적합성 검증에 필요하다고 판단하여 추가 자료를 요청할 경우, 특별한 사유가 없는 한 15일 이내에 추가 자료를 제출하여야 한다.

제79조(검증시험 및 결과조치) ① 각 부서장은 정보보안담당관이 시스템 개발업체의 개발환경에 대한 보안관리 실태 점검을 요청할 경우 특별한 사유가 없는 한 협조하여야 한다. ② 각 부서장은 보안적합성 검증결과 취약점을 통보받았을 때에는 30일 이내에 보완대책을 수립하여 조치하고 그 결과를 정보보안담당관에게 통보하여야 한다.

제80조(사후 관리) ① 각 부서장은 보안적합성 검증 완료 이후 시스템에 새로운 취약점이 발견될 경우에는 즉시 제거한 후 그 결과를 정보보안담당관에게 통보하고 제거가 불가능할 경우에는 그 사실을 정보보안담당관에게 통보하여 조치를 받아야 한다. ② 각 부서장은 정보보안담당관이 신규 취약점을 발견한 시스템에 대해 취약점 제거를 요청한 경우 특별한 사유가 없는 한 30일 이내에 이를 제거하고 그 결과를 정보보안담당관에게 통보하여야 한다.

제81조(무단변경 및 오용금지) 각 부서장은 보안적합성 검증이 완료된 시스템의 형상을 무단 변경하거나 도입 목적 이외의 용도로 운용하기 위해서는 정보보안담당관에게 보안적합성 검증 여부를 확인하여야 한다.

제7장 사이버위협 탐지ㆍ대응 및 재난복구 대책

제82조(침해사고 대응체계 구축) ① 정보보안담당관은「사이버안전 분야」 위기대응 실무매뉴얼을 활용하여 소관분야의 침해사고 대응체계를 구축하고 이행실태를 지속 확인 점검하여야 한다. ② 정보보안담당관은 국가정보원장이 경보 발령시 소관분야 직원을 대상으로 관련 사항을 전파하고 대응조치를 이행하며 진행상황을 예의주시하는 등 대응절차에 따라 신속하게 대처하여야 한다. ③ 정보보안담당관은 제2항에 따른 경보 단계별 조치사항을 국가정보원장에게 통보하여야 한다. 기타 사이버침해사고의 대응에 관한 사항은「국가사이버안전관리규정」과「국가사이버안전매뉴얼」에 따른다.

제83조(침해사고 초동조치) ① 정보보안담당관은 소관 정보통신망에 대하여 해킹, 웜ㆍ바이러스 유포 등 사이버공격 인지시 피해실태를 파악하고 관련 로그자료 보존 및 필요시 정보통신망 분리 등 초동조치를 하여야 한다. ② 단순 웜ㆍ바이러스 감염 등 경미한 사항은 해당 부서장이 자체 처리 후 정보보안담당관에게 관련사항을 통보하여야 한다. ③ 홈페이지 변조, 정보통신망 기능장애ㆍ마비 또는 자료 유출 등 중대사고 발생시에는 초동 조치 후 국가정보원장에게 통보하여 지원을 받아야 한다. ④ 제3항과 관련하여 피해 시스템은 사고원인 규명 시까지 증거보전을 의무화하고 임의 자료삭제 또는 포맷을 금지한다.

제84조(사고통보 및 복구) ① 정보보안담당관은 사이버공격으로 인한 사고의 발생 또는 징후를 발견한 경우에는 피해를 최소화하는 조치를 취하고 그 사실을 국가정보원장에게 통보하여야 한다.② 제1항에서 사이버공격의 사고처리 절차는 다음 각호와 같다. 1. 사고유형 파악 2. 초동조치 3. 기본정보 수집 4. 사고 조사 5. 재발방지 조치 ③ 정보보안담당관은 사이버침해사고 결과를 문서화하고 보안사고 원인, 유형, 비용 등을 분석하고 필요시 보안사고 대응절차, 보안대책, 보안정책 등을 변경하는 재발방지 대책을 수립하여야 한다. ④ 정보보안담당관은 유사사고가 반복되지 않도록 침해사고 원인 및 처리결과를 조직내부, 타기관 등과 공유하여야 한다.

제85조(재난복구 대책) ① 정보보안담당관은 인위적 또는 자연적인 원인으로 인한 정보시스템(정보통신망 포함)의 장애(障碍) 발생에 대비하여 해당 정보시스템(정보통신망 포함)의 이원화, 백업관리, 복구 등 종합적인 재난복구 대책을 수립ㆍ시행하여야 한다. ② 정보보안담당관은 정보시스템(정보통신망 포함)에 대한 재난복구 대책을 정기적으로 시험하고 검토해야 하며 업무 연속성에 대한 영향평가를 실시하여야 한다. ③ 정보보안담당관은 정보시스템(정보통신망 포함)의 장애에 대비한 백업시설을 확보하고 정기적으로 백업을 수행하여야 하며 백업시설을 설치할 경우에는 정보시스템실과 물리적으로 일정거리 이상 위치한 안전한 장소에 설치하여 재난에 대비하여야 한다. ④ 정보보안담당관은 제3항에 따른 백업시설을 설치할 경우에는 정보통신실과 물리적으로 일정거리 이상 떨어진 안전한 장소에 설치하여야 하며 전력공급원 이원화 분리 등 정보시스템의 가용성을 최대화 할 수 있도록 하여야 한다.

제86조(모의훈련) ① 정보보안담당관은 자체 정보통신망을 대상으로 매년 정기 또는 수시 사이버위기 대응 모의훈련을 실시하여야 하고, 훈련결과를 국가정보원장에게 통보하여야 한다. ② 정보보안담당관은 모의훈련 결과 시정이 필요하다고 판단되는 경우에는 각 부서장에게 필요한 조치를 요청할 수 있다. 이 경우 각 부서장은 특별한 사유가 없는 한 필요한 조치를 이행하여야 한다.

제8장 사고처리

제87조(정보보안 사고조사) ① 정보보안담당관은 "[별표 제7]정보보안 사고 유형"에서 규정한 사고가 발생한 때에는 즉시 피해를 최소화하도록 조치를 취하고 다음 각 호의 사항을 국가정보원장에게 통보하여야 한다. 1. 일시 및 장소 2. 사고 원인, 피해현황 등 개요 3. 사고자 및 관계자의 인적사항 4. 조치내용 등 ② 정보보안담당관은 규정에 따른 관련자 징계, 재발방지를 위한 보안대책의 수립ㆍ시행 등 사고 조사 결과에 따라 필요한 조치를 하여야 한다.

제88조(보안 규정 위반자 처벌) 제87조(정보보안 사고조사), 보안감사, 정보보안진단 및 보안관리 실태 평가 과정에서 발견된 보안 규정 위반자에 대한 처벌은 "공무원 징계령 시행규칙 " 및 "위원회 정보보안 위반 감점기준" 등에 따른다.