식품의약품안전처 사이버안전센터 운영규정

제1조(목적) #

이 규정은 「정보통신기반 보호법」제16조, 「사이버안보 업무규정」제14조, 「국가사이버안전관리규정」제4조 및 제10조의2에 따라 식품의약품안전처의 보안관제센터 설치ㆍ운영 등에 관한 사항을 규정함을 목적으로 한다.

제2조(정의) #

① 이 규정에서 사용하는 용어의 정의는 다음과 같다.

1. "정보통신망"이라 함은 「전기통신기본법」 제2조제2호에 따른 전기통신설비를 활용하거나 전기통신설비와 컴퓨터 및 컴퓨터의 이용기술을 활용하여 정보를 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송수신하는 정보통신체제를 말한다.

2. "사이버공격"이란 해킹ㆍ컴퓨터바이러스ㆍ서비스방해 등 전자적 수단에 의하여 정보통신망을 불법침입ㆍ교란ㆍ마비ㆍ파괴하거나, 정보를 위조ㆍ변조ㆍ절취ㆍ훼손ㆍ유출하는 일체의 공격행위를 말한다.

3. "보안관제"란 전자문서ㆍ전자기록물 또는 정보통신망을 대상으로 하는 사이버공격 정보를 수집ㆍ분석ㆍ전파하는 일련의 활동을 말한다.

4. "사이버안전"이라 함은 사이버공격으로부터 정보통신망 및 정보자산을 보호함으로써 정보통신망과 정보의 기밀성ㆍ무결성ㆍ가용성 등 안전성을 유지하는 상태를 말한다.

5. "사이버안전센터"란 일정한 수준 이상의 시설 및 장비와 이를 운영하기 위한 전문인력을 갖추고 보안관제 업무를 수행하는 조직을 말한다.

6. "보안관제 대상기관"이란 본부와 그 소속기관 및 산하기관 중 사이버안전센터가 보안관제 서비스를 제공하는 기관을 말한다.

② 이 지침에서 사용하는 용어는 제1항에서 정하는 것을 제외하고는 「전자정부법」, 「정보통신기반 보호법」, 「보안업무규정」「국가사이버안전관리규정」, 「국가정보보안기본지침」 등 관계법령 및 규정이 정하는 바에 따른다.

제3조(적용범위) #

이 규정은 다른 법령에 규정된 것을 제외하고 식품의약품안전처(이하 "본부"라 한다)와 그 소속기관 및 다른 법률에 의하여 업무상 식품의약품안전처장의 지도ㆍ감독을 받는 기관ㆍ단체(이하 "산하기관"이라 한다)에 적용한다.

제4조(보안관제 목표) #

보안관제 목표는 보안관제 대상기관의 정보시스템 및 정보통신망에 대한 사이버공격 정보를 실시간 수집ㆍ분석하고 전파함으로써 사이버공격으로 인한 피해의 발생 또는 확산을 방지하는데 있다.

제5조(사이버안전센터 설치) #

① 식품의약품안전처장은 본부와 그 소속기관 및 산하기관을 대상으로 하는 사이버공격으로 인한 피해의 발생 또는 확산을 방지하기 위하여 보안관제 업무 등을 수행하는 사이버안전센터를 설치할 수 있다.

② 제1항에 따라 설치한 사이버안전센터의 명칭은 ‘식의약품안전 사이버안전센터(이하 "센터"라 한다)’라 하고, 영문은 FDS-CSC(Food And Drug Safety, Cyber Security Center)라 한다.

제6조(조직 및 기능) #

① 센터는 식품의약품안전처 정보보호업무 담당부서에서 운영하며, 센터장은 식품의약품안전처 정보보호업무 담당부서의 장으로 한다.

② 센터에서 수행하는 업무는 다음 각 호와 같다.

1. 센터업무 기획에 관한 사항

2. 센터 관련 규정ㆍ제도 운용

3. 사이버공격 실시간 관제ㆍ분석ㆍ전파

4. 사이버침해사고 조사 및 처리

5. 사이버공격 재발방지대책 수립을 위한 기술지원

6. 정보보안 취약점 진단 및 조치확인

7. 국내외 유관기관과 정보교류 및 협력

8. 기타 사이버공격 탐지ㆍ분석ㆍ대응에 관한 사항

제7조(통합보안관제시스템 구축ㆍ운영) #

식품의약품안전처장은 보안관제 업무를 효율적으로 수행하기 위하여 본부와 그 소속기관 및 산하기관을 포괄하는 통합보안관제시스템을 구축ㆍ운영할 수 있다.

제8조(보안관제서비스 신청) #

① 산하기관의 장은 「국가사이버안전관리규정」 제4조 및 제9조에 따라 정보통신망 보호를 위하여 센터에 사이버 보안관제 서비스(이하 "서비스"라 한다)를 신청하여야 한다. 다만, 별도의 보안관제센터를 구축하여 자체적으로 보안관제 업무를 수행하는 경우에는 그러하지 아니한다.

② 제1항에 따라 서비스를 신청하고자 하는 경우에는 센터장에게 서비스 신청서(별지 제1호 서식)를 제출하여야 한다.

③ 센터장은 제2항에 따른 서비스 신청을 받으면 보안관제에 필요한 제반사항의 구비여부를 검토하고 승인여부를 신청일로부터 15일 이내에 신청기관에 통보하여야 한다.

제9조(회원기관 승인) #

① 센터장은 제8조제3항에 따라 서비스 승인한 경우에 한하여 신청기관의 장과 서비스에 대한 협약을 체결하여야 한다.

② 제1항의 협약을 체결함으로써 서비스 신청기관은 회원기관이 된다.

제10조(회원기관 해지) #

① 회원기관의 장은 서비스를 해지하고자 하는 경우에는 서비스 해지 신청서(별지 제2호 서식)를 센터장에게 제출하여야 한다.

② 제1항에 따른 서비스 해지 신청을 받은 센터장은 해지신청일로부터 15일 이내에 해지 신청기관의 장에게 해지 완료 통보를 하여야 한다.

제11조(보안관제회의) #

센터장은 사이버안전 업무를 효율적으로 수행하기 위하여 정기 또는 수시로 보안관제 대상기관이 참석하는 회의를 개최할 수 있다.

제11조의2(교육ㆍ모의훈련) #

① 센터장은 관제업무 담당자를 대상으로 사이버안전 교육을 매년 1회 이상 실시하여야 한다.

② 센터장은 기관의 사이버안전 모의 훈련을 매년 1회 이상 실시하고 필요한 경우 해당 대응ㆍ예방 절차 및 방법을 수정ㆍ보완하여야 한다.

제11조의3(지도ㆍ점검) #

① 센터장은 보안관제 대상기관의 사이버안전 현황 등을 지도ㆍ점검할 수 있다.

② 보안관제 대상기관은 지도ㆍ점검시 지적된 사항에 대하여 성실하게 필요한 조치를 취하여야 한다.

제12조(비상연락체계) #

① 센터장은 사이버공격 정보의 신속한 전파 및 대응을 위하여 센터와 보안관제 대상기관 간 비상연락체계를 구축ㆍ운영하여야 한다.

② 보안관제 대상기관의 장은 제1항의 규정에 따른 비상연락체계를 최초 구축하거나 변동이 발생한 경우 별지 제3호 서식을 작성하여 센터장에게 통보하여야 한다.

제13조(정보수집) #

① 센터장은 보안관제 대상기관에 대한 사이버공격 정보를 수집할 수 있다.

② 센터장은 제1항의 업무 수행을 위하여 보안관제 대상기관의 정보통신망에 사이버공격 정보를 수집하는 장치를 설치ㆍ운용할 수 있다.

제14조(초동조치) #

① 센터장은 보안관제 대상기관으로부터 수집된 사이버공격 정보를 분석하여 정보시스템 및 정보통신망의 피해유무를 확인하고, 이를 해당기관의 장에게 전파하여야 한다.

② 센터장은 보안관제 대상기관의 정보시스템 및 정보통신망에 대한 사이버공격 피해가 확인된 경우에는 해당기관의 장에게 공격IP 차단, 로그자료 보존, 정보통신망에서 피해시스템 분리 등 초동조치를 요청할 수 있으며, 해당기관은 특별한 사유가 없는 한 이에 협조하여야 한다.

제15조(정보분석) #

① 센터장은 사이버공격의 분석과 피해확산 방지대책 강구 등을 위하여 피해기관의 장에게 피해시스템과 그 사용자 등에 관하여 필요한 정보제공을 요청할 수 있으며, 해당기관은 특별한 사유가 없는 한 이에 협조하여야 한다.

② 센터장은 피해시스템에 대한 정보분석을 통해 재발방지 대책을 수립하여 이를 피해기관의 장에게 제공할 수 있다.

제16조(사이버침해사고 이관) #

센터장은 보안관제 과정에서 수집된 사이버공격 정보가 다른 중앙행정기관의 업무와 연관되어 있을 경우에는 해당 중앙행정기관의 장에게 당해 사이버공격 정보를 신속하게 이관하여야 한다.

제17조(사고보고) #

① 보안관제 대상기관은 사이버공격으로 인한 사고발생 또는 징후를 발견한 경우에는 피해를 최소화하는 조치를 취하고 지체 없이 그 사실을 센터에 보고하여야 한다.

② 센터장은 사이버공격으로 인한 사고의 발생 또는 징후를 발견하거나 제1항에 따른 보고를 받은 때에는 보안관제 대상기관 등에 사고복구 및 피해의 확산방지에 필요한 조치를 요청하고 그 사실을 지체 없이 국가정보원장에게 통보하여야 한다.

제18조(사고조사 및 처리) #

① 센터장은 보안관제 대상기관의 사이버공격으로 인하여 발생한 사고에 대하여 그 원인 분석을 위한 조사를 실시할 수 있다. 다만, 경미한 사고라고 판단되는 경우에는 보안관제 대상기관이 자체적으로 조사하게 할 수 있으며, 이 경우 보안관제 대상기관은 사고개요 및 조치내용 등 관련사항을 파악 즉시 센터에 보고하여야 한다.

② 센터장은 제1항에 따른 조사결과를 국가정보원장에게 통보하여야 한다.

③ 센터장은 사이버공격으로 인한 피해가 심각하다고 판단되는 경우에는 국가사이버안전센터, 보안관제 대상기관 등 유관기관과 협의하여 협동조사 및 복구지원팀을 구성ㆍ운영할 수 있다.

제19조(상황 등 전파) #

① 센터장은 국가사이버안전센터에서 발령하는 국가사이버 위기경보 상황 등을 상시적으로 확인하고 관련 상황을 보안관제 대상기관에 전파하여야 한다.

② 제1항의 규정에 의하여 위기경보 상황 등이 발령ㆍ전파되었을 때에는 센터장과 보안관제 대상기관의 장은 위기경보 상황 등에 적절한 계획을 수립하여 이행하여야 한다.

③ 보안관제 대상기관의 장은 제2항에 따라 수립한 계획 및 이행결과를 센터에 보고하여야 한다.

제20조(시설보안) #

① 센터장은 센터를 보호구역으로 설정하여 관리하여야 하며, 접근 권한이 없는 자에 대한 접근 통제 및 감시를 효율적으로 수행할 수 있는 독립된 공간에 설치ㆍ운영하여야 한다.

② 센터장은 센터 출입인가자의 범위를 설정하고 비인가자에 대한 접근 통제 대책을 마련하여야 한다.

③ 센터장은 외부로부터 시찰ㆍ견학 요청을 받은 경우에는 핵심시설에 대한 사진촬영을 제한하고 보안관제와 관련된 세부 정보의 제공을 금지하는 등 출입 인원에 대한 보안대책을 마련하여야 한다.

제21조(인원보안) #

① 센터장은 센터 근무인력(외부 인력을 포함한다)에 대하여 사전에 신원조사를 실시하여야 한다. 다만, 공무원 등 직원 임용 시 신원조사를 거친 자의 경우에는 임용 시의 신원조사 결과로 갈음할 수 있다.

② 센터장은 외부 인력을 보안관제 업무에 활용하고자 하는 경우에는 다음 각 호의 보안대책을 수립ㆍ시행하여야 한다.

1. 계약서에 보안 주의사항과 위반 시 책임한계 명시

2. 보안서약서 징구(별지 제4호 서식)

3. 보안관리 책임자 지정

4. 업무와 무관한 정보통신망 접속 금지 등 업무범위 명확화

5. 업무와 무관한 정보통신실 등 중요시설에 대한 출입 제한

6. 기타 필요하다고 인정되는 보안대책

③ 센터장은 외부 인력에 대하여 매월 1회 이상 정기 또는 수시로 보안점검과 보안교육을 실시하여야 한다.

제22조(문서보안) #

① 보안관제 업무를 수행하는 PCㆍ서버 등 정보시스템에 대외비 또는 비밀을 보관ㆍ유통하여서는 아니 된다.

② 센터 내에 설치한 인터넷 접속이 가능한 PCㆍ서버 등 정보시스템에 식품의약품안전처 및 보안관제 대상기관의 업무와 관련된 문서를 보관ㆍ유통하여서는 아니 된다.

③ 누구든지 보안관제 업무와 관련된 세부적인 사항이 포함된 문서를 대외에 임의로 공개하거나 공개된 장소에 무단 방치하여서는 아니 된다.

제23조(비밀유지) #

① 센터에 근무하는 자 또는 근무하였던 자는 업무수행 중 지득한 정보 및 자료 등을 센터운영 용도 이외에 다른 목적으로 사용하거나 누설하여서는 아니 된다.

② 보안관제 대상기관은 센터장이 통보하는 보안관제 관련 사항을 외부에 임의로 공개ㆍ누설 또는 제공하여서는 아니 된다.

③ 제1항 및 제2항과 관련하여 센터에서 근무하는 자 및 보안관제 대상기관의 정보보호업무 담당자는 비밀유지서약서(별지 제5호 서식)를 센터장에게 제출하여야 한다.

제24조(운영지침) #

소속기관 및 산하기관에서 사이버안전센터를 설치ㆍ운영하려고 하는 경우 이 훈령에 저촉되지 아니하는 범위 내에서 소관 부문에 대한 세부 운영지침을 정할 수 있다.

제25조(준용) #

이 지침에 명시되지 않은 사항은 다음 각 호의 관련 법령 및 규정에 따른다.

1. 「전자정부법」 및 같은 법 시행령

2. 「정보통신기반 보호법」 및 같은 법 시행령

3. 「보안업무규정 시행규칙」

4. 「국가사이버안전관리규정」

5. 「국가정보보안기본지침」

6. 그 밖의 관계 법령

제26조(재검토기한) #

「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 2026년 1월 1일을 기준으로 3년마다(매 3년이 되는 해의 1월 1일 전까지를 말한다) 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.