공정거래위원회 보안관제센터 운영지침

제1장 총칙

제1조(목적) 이 지침은「국가 정보보안 기본지침」,「국가전산망 보안관제지침」에 의거 공정거래위원회(이하 ‘위원회’라 한다)가 소관하는 정보통신망에 대한 사이버공격 정보를 수집ㆍ분석ㆍ대응하는 보안관제센터의 운영에 관하여 필요한 세부사항을 정하는데 그 목적이 있다.

제2조(용어 정의) 이 지침에서 사용하는 용어의 정의는 다음과 같다.

1. "정보통신망"이라 함은 「사이버안보 업무규정」 제2조제1호에 따른 정보통신망을 말한다. 2. "업무자료"라 함은 「국가 정보보안 기본지침」제2조제14호에 따른 업무자료를 말한다. 3. "보안관제"라 함은 「국가 정보보안 기본지침」제2조제42호에 따른 일정한 수준의 시설 및 장비와 이를 운영하기 위한 전문 또는 전담인력을 갖추고 보안관제업무를 수행하는 조직을 말한다. 4. "사이버공격"이라 함은 「사이버안보 업무규정」 제2조제2호에 따른 행위를 말한다. 5. "보안관제센터"라 함은 일정한 수준 이상의 시설 및 장비와 이를 운영하기 위한 전문인력을 갖추고 보안관제 업무를 수행하는 조직을 말하며, 국가사이버안보센터, 부문보안관제센터, 단위보안관제센터로 구분된다. 6. "취약점 분석"이라 함은 해킹ㆍ컴퓨터바이러스, 도청 등 각종 위협요소로부터 정보통신망 및 정보시스템에 대한 정보보안 취약점을 진단하기 위한 제반활동을 말한다. 7. "관제기술지원시스템"이라 함은 국가사이버안보센터에서 부문ㆍ단위보안관제센터와 보안관제정보를 공유하기 위해 운영하는 시스템을 말한다. 8. "국가사이버위협 정보공유시스템"(이하 "NCTI"라 한다.)이라 함은 국가사이버안보센터에서 운영하는 시스템으로 국가 차원의 사이버공격 피해 확산방지 및 신속대응을 위한 民ㆍ官ㆍ軍ㆍ금융분야의 정보를 공유한다.

제3조(적용범위 및 보안관제 대상기관) 이 지침의 적용범위 및 보안관제 대상기관은 다음 각 호와 같다.

1. 위원회 및 그 소속기관 2. 한국소비자원(이하 ‘소비자원’라 한다) 3. 한국공정거래 조정원(이하 ‘조정원’라 한다)

제4조(보안관제 목표) 위원회와 소속 산하기관의 정보통신망에 대한 사이버공격 정보를 실시간 수집ㆍ분석하고 대응함으로써 사이버공격으로 인한 피해의 발생 또는 확산을 방지하는데 있다.

제2장 보안관제센터의 설치 및 운영

제5조(보안관제센터 설치ㆍ운영) ① 정보보안담당관은 「사이버안보 업무규정」 제14조제2항에 따라 부문보안관제센터를 설치ㆍ운영하여야 하고 국가보안관제체계와 연계 운영하여야 한다. 이 경우 연계 방법은 국가보안관제체계를 운영하는 국가정보원장과 사전 협의하여 정한다.

② 보안관제센터 업무를 총괄하기 위하여 보안관제센터의 장(이하 "센터장"이라 한다)은 정보화담당관실에서 정보보안업무를 담당하는 선임 사무관ㆍ기술서기관으로 한다. 이때 센터장의 임무는 다음과 같다. 1. 각종 사이버공격 정보의 수집ㆍ분석 및 전파 2. 보안관제 결과의 작성, 종합 및 보고 3. 보안관제 관련 세부방안ㆍ기준의 작성ㆍ배포 4. 사이버위협에 대한 정보공유ㆍ대응협력ㆍ예방활동 5. 정보통신망의 취약점 분석ㆍ평가 6. 보안관제용 정보통신망 및 정보보호시스템의 운영 7. 침해사고의 접수ㆍ초동조치ㆍ사고분석 및 조치 8. 침해사고에 대한 재발방지 보안대책 마련 9. 보안관제 탐지규칙의 운영 및 보안관리 10. 사이버공격 대응훈련의 실시 11. 기타 센터의 운영 및 관리에 관한 사항

③ 센터장은「국가사이버안전관리규정」제10조의2제4항에 따라 보안관제전문업체의 인원을 전문인력으로 활용하고자 하는 경우에는 다음 각 호에 해당하는 사항을 준수하여야 한다. 1. 업체를 선정할 경우 과학기술정보통신부장관이 고시하는 「보안관제 전문기업 지정 등에 관한 공고」에 따른 업무수행능력 평가기준 등 준수 2. 보안관제업무의 책임 있는 수행 및 보안관리 등을 위하여 적정한 수의 공무원 또는 정규직원 상시 배치 3. 업체 인원에 대하여 「국가 정보보안 기본지침」제26조(용역업체 보안) 및 제30조(누출금지정보 유출시 조치) 준용 4. 업체 인원을 대상으로 매월 1회 이상 탐지규칙정보 관리 등에 관한 보안 교육 및 점검 실시

④ 국가 차원의 보안관제 역량 강화를 위하여 관계법령에 위배되지 않는 범위내에서 보안관제 정보를 국가사이버안보센터, 부문보안관제센터 등 유관기관과 공유할 수 있다.

제6조(통합보안관제시스템 이용) ① 센터장은 정보이관, 상황전파, 보안관제 결과종합, 현황통보 등 국가사이버안보센터와 효율적인 보안관제 수행을 위하여 관제기술지원시스템 등 관련시스템을 이용하여 전자적으로 통보할 수 있다.

② 센터장은 제1항의 시스템을 이용함에 있어 부여받은 계정과 비밀번호 등을 타인에게 임의로 누설ㆍ양도 또는 공개하여서는 아니 된다.

제7조(보안관제 인원) 보안관제업무를 24시간 중단없이 수행하여야 하며 이를 담당할 전문 또는 전담인력을 배치하고 교대근무 체계를 운영하여야 한다. 다만, 인력ㆍ예산 사항을 고려하여 예외적으로 그러하지 아니할 수 있다.

제3장 보안관제 업무

제8조(정보수집) ① 센터장은 보안관제 대상기관에 대한 사이버공격에 관한 정보를 탐지ㆍ처리하여야 한다.

② 센터장은 제1항의 업무를 수행하기 위하여 보안관제 대상 정보화사업담당관과 협의하여 사이버공격에 관한 정보를 실시간 탐지하는 장비[암호화된 사이버공격 패킷을 가시화(可視化)하는 장비를 포함한다]를 보안관제 대상기관의 정보통신망에 설치ㆍ운용하거나 탐지규칙정보를 제공하여 관련 정보를 실시간 탐지ㆍ처리할 수 있다.

③ 제2항에 따른 사이버공격 정보의 수집을 목적으로 장치를 설치ㆍ운영하고자 할 경우에는 대상기관과 수집정보의 범위, 제공방식 및 제공주기 등필요한 사항을 사전에 협의하여야 한다.

④ 센터장은 탐지한 사이버공격에 관한 정보를 보안관제 대상 정보화사업담당관에게 실시간 제공하여야 한다.

⑤ 센터장은 보안관제 과정에서 자동적으로 처리되는 다음 각 호의 정보를 수집ㆍ이용할 수 있다. 1. 사이버공격으로 인하여 발생한 패킷 2. 공격 주체 및 피해자를 식별하기 위한 IP주소 및 MAC주소, 전자우편 주소, 정보통신서비스 이용자 계정 정보, 피해자의 성명 및 연락처 3. 그 밖에 사이버공격의 방법 및 피해 확인ㆍ식별에 필요한 정보

제9조(정보이관) 센터장은 보안관제 과정에서 수집된 사이버공격 정보가 타 기관 보안관제센터(또는 사이버안전센터)의 업무와 연관되어 있을 경우에는 국가사이버안보센터 및 해당 부문보안관제센터를 운영하는 기관에 당해 공격정보를 별지 제1호 서식에 따라 작성하여 신속하게 이관하여야 한다.

제10조(상황전파 및 침해사고 접수ㆍ이관) ① 센터장은 국가사이버안보센터에서 발령하는 국가 사이버 위기경보 상황 등을 상시적으로 확인하고 관련 상황을 정보보안담당관에게 즉시 보고하여야 한다.

② 센터장은 사이버공격 정보의 수집결과 침해사고가 발생한 경우에는 별지 제2호 서식에 따라 접수하고 정보보안담당관에게 보고하여야 하며 관련 보안관제 대상기관 또는 이용자에게도 별지 제3호 서식에 따라 통보하여야 한다.

③ 센터장은 사이버공격을 탐지ㆍ분석한 결과 그 피해가 국가ㆍ공공기관 전체로 확산될 우려가 있다고 판단될 경우에는 국가사이버안보센터에 신속하게 통보하여야 한다.

④ 정보통신망을 이용하는 이용자는 소관 정보통신망에 대한 사이버공격을 인지하거나 그로 인한 피해가 발생한 경우 보안관제센터에 즉시 신고하여야 한다.

제11조(초동조치) ① 센터장은 사이버공격으로 인한 피해 최소화 및 확산 방지를 위하여 다음 각 호의 사항을 포함한 조치를 취하고 그 결과를 별지 제4호 서식에 따라 정보보안담당관에게 보고하여야 한다. 1. 사이버공격 경유지(사이버공격에 악용되거나 악용될 우려가 있는 웹사이트 주소, IP주소, 전자우편 주소를 말한다) 및 공격 IP주소 차단 2. 피해 시스템을 정보통신망으로부터 분리하거나 악성프로그램의 동작을 정지시키는 조치 3. 사고 조사를 위한 피해 시스템 및 로그 기록의 보전

② 센터장은 침해사고가 발생된 보안관제 대상 정보화사업담당관, 정보통신망 이용자로 하여금 필요한 초동조치를 하도록 요구할 수 있다.

③ 센터장은 사이버공격으로 인한 피해를 최소화하기 위하여 필요한 경우 보안관제 대상 정보화사업담당관에게 피해시스템과 사용자에 관한 정보 제공을 요청할 수 있다.

④ 보안관제 대상 정보화사업담당관, 정보통신망 이용자는 침해사고 발생 시 사고원인이 규명될 때까지 증거를 원형대로 보전하여야 하며 임의로 훼손하여서는 아니 된다.

제12조(침해사고 분석ㆍ대응) ① 센터장은 침해사고가 발생한 시스템을 분석하여 추가로 조치할 사항 등 보안대책을 마련하고 시스템 관리자 또는 이용자가 관련 보안조치를 하도록 별지 제5호 서식에 따라 전파하여야 한다.

② 센터장은 사이버공격으로 인하여 발생한 사고의 접수ㆍ초동조치ㆍ조사ㆍ분석 등 침해사고 대응시 위원회 「정보보안시행세칙」제6장에 따른 침해사고 대응 업무를 수행한다.

③ 센터장은 제1항의 지침에 따라 필요한 조치를 취함에 있어 정보통신망에 대한 보안대책의 이행을 해당 보안관제 대상 정보화사업담당관, 이용자로 하여금 수행토록 하고 이행여부를 확인할 수 있다.

④ 센터장은 제1항내지 제3항의 보안대책의 조치결과를 종합하여 최종 조치결과를 별지 제6호 서식에 따라 정보보안담당관에게 보고하여야 한다.

제13조(조치결과 통보) ① 사이버공격에 관한 정보를 제공받은 보안관제 대상 정보화사업담당관 및 이용자는 제공받은 날로부터 5일 이내에 대응조치 결과를 센터장에게 통보하여야 한다. 이 경우 안보위해(危害) 공격에 관한 사항은 정보보안담당관을 거쳐 국가정보원장에게 통보하여야 한다.

② 센터장은 국가정보원장이 별도로 요청한 안보위해(危害) 공격을 초동 조치한 경우 관련내용을 즉시 국가정보원장에게 통보하여야 한다.

제14조(보안관제 결과종합) ① 센터장은 보안관제 대상기관에 대한 보안관제결과를 종합하여 정보보안담당관에게 보고하여야 한다.

② 보안관제 결과는 매일 1회(익일 09시) 국가사이버안보센터에 통보하여야 한다.

③ 제1항 및 제2항의 지침에도 불구하고 이 지침 제6조에 따른 국가정보원장이 운영하는 관제기술지원시스템을 통해 사이버공격 정보의 최초 수집 및 처리 종결 시점에서 관련사항을 전자적으로 통보할 수 있다.

제15조(정보자산 취약점 분석ㆍ평가) ① 센터장은 정보자산에 대한 취약점 분석ㆍ평가를 매년 1회 이상 시행하여야 한다. 다만, 신규 정보자산을 도입할 경우 정상운영 이전에 취약점 분석ㆍ평가를 실시하여야 한다.

② 센터장은 취약점 분석ㆍ평가를 위한 대상ㆍ기간ㆍ절차 등이 포함된 세부 시행계획을 수립ㆍ시행하여야 한다.

③ 제1항에 따른 취약점의 분석ㆍ평가 결과에 따른 이행 및 조치가 필요한 사항에 대해서 보안관제 대상 정보화사업담당관 및 이용자는 취약점 제거 등 보안 조치를 적극 이행하여야 한다.

제16조(사이버위기 대응훈련) ① 센터장은 정보통신망 보호를 위하여 사이버공격 대응훈련을 매년 1회 이상 실시하여야 한다.

② 센터장은 제1항의 사이버공격 대응훈련결과 수정ㆍ보완이 필요한 사항은 위원회 「사이버위기 대응매뉴얼」등 정보보안 관련 지침에 적용할 수 있다.

제17조(운영현황 통보) ① 센터장은 부문보안관제센터 운영현황을 국가정보원장이 운영하는 ‘NCTI’에 매년 1.2.5까지 등록하여 통보하여야 한다.

② 제1항에 따라 작성되거나 통보받은 자료는 보안관제와 관련한 목적으로만 사용하여야 한다.

제4장 보안관제 탐지규칙의 관리

제18조(탐지규칙정보 개발 및 배포) ① 센터장은 사이버공격을 탐지할 수 있는 기술정보(이하 "탐지규칙정보"라 한다)를 개발하여 보안관제업무에 활용할 수 있다.

② 제1항에 따라 탐지규칙정보를 개발한 경우 해당 탐지규칙정보를 국가보안관제체계를 이용하는 다른 기관의 보안관제센터와 공유할 수 있다.

③ 국가정보원장이 안보위해(危害) 공격에 대한 탐지규칙정보를 개발하여 배포한 경우 센터장은 이를 위원회 및 산하기관에 다시 배포할 수 있다.

④ 센터장은 제1항에 따른 탐지규칙정보를 「공공기관의 정보공개에 관한 법률」제9조제1항에 따른 비공개 대상 정보 및 「국가정보자료관리규정」제2조제1호에 따른 국가정보자료로서 취급ㆍ관리하여야 한다.

⑤ 제3항에 따라 탐지규칙정보를 배포받은 위원회 및 산하기관은 탐지규칙정보를 다음 각 호에 해당하는 방법으로 관리하고 매월 1회 이상 보안관리 실태를 점검하여야 한다. 1. 암호화 저장ㆍ전송 2. 인터넷을 통한 평문 송ㆍ수신 금지 3. 인터넷 등 외부유출 금지 4. 탐지규칙정보 관리시스템의 원격 접속 금지

⑥ 제3항에 따라 탐지규칙정보를 배포받은 기관의 정보보안담당관은 탐지규칙정보가 유출된 경우 즉시 그 사실을 국가정보원장에게 통보하여야 한다.

제5장 보안관리 대책

제19조(보안관제센터 출입통제) ① 정보보안담당관은 보안관제센터를 보호구역으로 설정하여 관리하여야 하며 접근권한이 없는 자에 대한 접근 통제 및 감시를 효율적으로 수행할 수 있는 독립된 공간에 설치ㆍ운영하여야 한다.

② 보안관제센터에 출입하고자 하는 자는 사전 또는 사후에 정보보안담당관의 승인을 받아야 하며 정보보안담당관은 다음 각 호에 해당되는 자에 대하여 출입을 승인할 수 있다. 1. 소관 정보통신망에 대한 보안관제 업무를 수행하는 자 2. 보안관제를 위한 시스템, 정보통신망, 관제시설 등 운영장비 및 시설에 대한 운영 및 유지보수 업무를 수행하는 자 3. 보안관제센터에서 수행하는 보안관제 대상기관의 업무 관련자 4. 보안관제 시설 방문, 견학을 목적으로 사전에 정보보안담당관의 승인을 받은자

③ 제2항의 지침에도 불구하고 센터장은 긴급 상황 발생으로 신속한 조치가 필요하다고 인정하는 경우 우선 출입을 허용하고 사후에 보고할 수 있다.

④ 보안관제센터 내에서 카메라, 태블릿, 스마트폰 등을 이용한 촬영을 금지하여야 한다. 단, 업무적으로 필요하여 정보보안담당관의 승인을 받은 경우는 예외로 한다.

제20조(정보통신망 보안) ① 센터장은 보안관제 업무를 수행하기 위한 정보통신망을 별도로 구축ㆍ운영하여야 하며 침입차단시스템 등 정보보호시스템을 사용하여 업무용 및 인터넷용 정보통신망과 분리하여야 한다.

② 센터장은 보안관제 업무를 수행하는 정보통신망에서 사이버공격 정보의 수집을 위한 접속을 제외하고는 인터넷 등 다른 정보통신망과의 접속을 제한하여 운영하여야 한다.

③ 보안관제 업무 수행 중에 입수한 악성프로그램 등의 분석ㆍ보관 등 취급하고자 할 경우에는 업무망 등 다른 정보통신망과 분리된 별도의 정보시스템을 이용하여야 한다.

④ 보안관제를 수행하는 정보통신망에서는 정보보안담당관이 사전에 인가한 USB메모리 등 보조기억매체를 사용하여야 하며 비인가된 휴대용 저장매체를 사용하여서는 아니 된다.

⑤ 인가받은 USB메모리의 사용은 보안관제센터 내로 제한하며 임의로 센터 외부로 반출하여 사용하여서는 아니 된다.

⑥ 노트북 등 전산장비를 임의로 보안관제센터에 반입하거나 반출할 수 없으며 사전에 정보보안담당관의 승인을 받아야 한다.

⑦ 정보시스템을 침해하거나 우회할 수 있는 프로그램을 임의로 설치하거나 사용해서는 아니되며, 업무상 불가피한 경우에는 정보보안담당관에게 승인을 받아야 한다.

제21조(비밀엄수) 보안관제 업무에 종사하거나 종사하였던 자는 그 직무상 알게 된 비밀을 타인에게 누설하거나 직무상 목적 외에 이를 사용하여서는 아니 된다.

제22조(문서보안) ① 보안관제 업무를 수행하는 PC, 서버 등 정보시스템에 대외비 또는 비밀에 해당되는 업무자료를 보관ㆍ유통하여서는 아니 된다.

② 정보통신망 구성도, 정보시스템 구성도, 보안관제 산출물 및 개인정보 등은 대외비에 준하여 관리하여야 한다.

제23조(비상연락망) 센터장은 사이버공격에 대한 신속한 탐지 및 대응을 위하여 위원회, 산하기관 및 국가사이버안보센터 등 유관기관과의 비상연락망을 현행화하여야 한다.

제24조(직원 교육) ① 센터장은 보안관제업무 전담 또는 담당직원에 대한 교육 계획을 수립ㆍ시행하여야 한다.

② 센터장은 보안관제업무 전담 또는 담당직원이 연 20시간 이상 보안관제 관련 교육을 이수하도록 하여야 한다.

③ 센터장은 보안관제 업무 수행을 위해 외부 인력을 활용하는 경우 매월1회 이상 정기적으로 보안관제 수행인력 등을 대상으로 보안교육을 실시하고 그 결과를 정보보안담당관에게 보고하여야 한다.

제25조(지침 및 매뉴얼) 센터장은 보안관제센터의 세부 운영에 관한 지침을 수립ㆍ시행하여야 하고 보안관제업무와 관련한 지침ㆍ매뉴얼ㆍ가이드 등을 수립ㆍ시행할 수 있다.

제6장 보칙

제26조(운영지침) 보안관제 대상기관에서 보안관제센터를 설치ㆍ운영하고자 할 때에는 상위 지침에 저촉되지 아니하는 범위 내에서 소관 부문에 대한 세부 운영지침을 정할 수 있다.

제27조(준용) 이 지침에 명시되지 않은 사항은 다음 각 호의 규정에 따른다.

1. 「전자정부법」 2. 「국가사이버안전관리규정」 3. 「국가정보보안기본지침」 4. 「국가전산망 보안관제지침」 5. 「공정거래위원회 정보보안시행세칙」

제28조(재검토 기한) 위원장은 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 이 지침에 대하여 2023년 1월 1일 기준으로 매3년이 되는 시점(3년째의 12.31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.