기후에너지환경부 행정업무 모바일 서비스 보안 규정

제1조(목적) #

이 규정은「보안업무규정」 및 「보안업무규정시행규칙」(이하"시행규칙"이라 한다), 「국가정보보안기본지침」,「보안업무규정시행요강」제3조제2항(이하"시행요강"이라 한다)에서 위임된 사항과 행정업무 모바일 서비스 보안업무에 필요한 사항을 규정함을 목적으로 한다.

제2조(적용) #

이 규정은 기후에너지환경부와 그 소속기관 및 산하기관(이하 "각급기관"이라 한다)에 적용한다.

제3조(정의) #

이 규정에서 사용하는 용어의 뜻은 다음과 같다.

1. "모바일 전자정부 공통기반"이라 함은 안전한 행정업무 모바일 서비스 제공을 위해 갖추어야 할 모바일 기기 관리, 구간 암호화, 문서변환, 사용자 인증 등의 보안기능을 각급기관이 공동 활용할 수 있도록 제공하는 시스템을 말 한다.

2. "모바일 기기"라 함은 각급 기관의 업무 수행을 위해 기관 또는 기관 소속 공무원이 취득ㆍ관리ㆍ사용하는 스마트폰, 스마트패드, 태블릿PC 등의 휴대 용 정보통신 단말기를 말한다.

3. "행정업무 모바일 서비스"라 함은 모바일 기기와 모바일 전자정부 공통기반을 이용하여 제공하는 행정업무 서비스를 말한다.

4. "행정업무 모바일 서비스 이용자"(이하 "이용자"라 한다)라 함은 행정업무 모바일 서비스를 이용하여 행정기관의 사무를 처리하고자 하는 행정기관 소속 공무원을 말한다.

5. "설치허용앱목록(화이트리스트)"이라 함은 행정업무 모바일 서비스를 이용하는 모바일 기기에 설치할 수 있는 안전행정부에서 검증한 모바일 애플리케이션의 목록을 말한다.

6. "모바일 전자정부 지원센터"라 함은 「모바일 전자정부 서비스 관리지침」에 따라 공공기관의 모바일 서비스 등록, 검증, 배포 및 관리를 전담하는 조직을 말한다.

제4조(모바일 정보보안 담당관 지정) #

① 기후에너지환경부장관은 행정업무 모바일 서비스의 안전한 제공을 위해 모바일 정보보안 담당관을 정보화담당관으로 지정한다.

② 각급기관의 장이 별도로 모바일 정보보안 담당관을 지정하지 않은 경우 정보보안 관리 부서장이 모바일 정보보안 업무를 담당한다.

③ 모바일 정보보안 담당관은 다음 각 호의 임무를 수행한다.

1. 행정업무 모바일 서비스 접속용 보안 소프트웨어 배포 및 설치 관리

2. 행정업무 모바일 서비스 이용자 등록 및 관리

3. 모바일 정보보안 정책 수립 및 검토

4. 모바일 악성코드 및 해킹 사고 발생 시 대응

5. 행정업무 모바일 서비스 이용자에 대한 주기적인 보안 교육 시행

6. 행정업무 모바일 서비스 이용 모바일 기기의 주기적인 보안 점검 시행

7. 기타 행정업무 모바일 서비스 보안 관련 제반 사항

④ 모바일 정보보안 담당관은 제1항과 제2항의 효율적인 업무 수행을 위하여 행정업무 모바일 서비스 이용자의 근무지 위치, 업무특성 등에 따라 필요하면 별도의 모바일 분임관리자를 지정할 수 있다.

제5조(서비스 운영 시 준수사항) #

각급 기관의 장은 행정업무 모바일 서비스를 구축ㆍ운영할 때 다음 각 호의 지침 및 가이드라인 등을 준수하여야 한다.

1. 모바일 전자정부 서비스 관리 지침

2. 모바일 서비스 사용자 인터페이스 설계 지침

3. 대국민 모바일 서비스 구축 가이드라인

4. 행정업무 모바일 서비스 구축 가이드라인

5. 모바일 전자정부 서비스 공통기반 및 지원센터 활용 가이드라인

6. 모바일 전자정부 표준 프레임워크 활용 가이드라인

7. 국가ㆍ공공기관 업무용 스마트폰 보안 규격(국가정보원)

제6조(모바일 기기의 보안관리) #

① 각급기관의 장은 행정업무 모바일 서비스를 이용하려는 자에게 이용신청서 및 보안서약서(별지 제1호 및 제2호 서식)를 징수하여야 한다.

② 각급기관의 모바일 정보보안 담당관은 행정업무 모바일 서비스를 이용하려는 자의 모바일 기기에 설치된 모든 모바일 애플리케이션이 설치허용앱목록에 포함되어 있는지를 확인한 후 행정업무 모바일 서비스 접속용 보안 소프트웨어를 설치하여야 한다.

③ 행정업무 모바일 서비스 이용자는 모바일 기기를 분실하였을 경우에는 바로 모바일 정보보안 담당관에게 신고하여야 하며, 모바일 정보보안 담당관은 해당 모바일 기기 관리자의 동의를 받아 원격 모바일 기기 잠금, 모바일 기기 초기화 등의 필요한 조치를 수행하여야 한다.

④ 모바일 행정업무 서비스 이용자가 모바일 기기를 교체 또는 폐기할 경우 모바일 정보보안 담당관에게 신고하여야 하며, 모바일 정보보안 담당관은 행정업무 모바일 서비스 접속용 보안 소프트웨어의 비활성화, 삭제 등의 필요 한 조치를 수행하여야 한다.

⑤ 각급기관의 모바일 정보보안 담당관은 제1항부터 제4항까지의 효율적인 업무 수행을 위하여 행정업무 모바일 서비스 이용자의 근무지 위치, 업무특성 등에 따라 별도의 모바일 분임관리자를 지정할 수 있으며, 지정 시 보안 서약서(별지 제3호 서식)를 징수하여야 한다.

⑥ 제5항에 따라 모바일 분임관리자를 지정한 경우, 각급 기관의 모바일 정보보안 담당관은 모바일 분임관리자가 행정업무 모바일 서비스 접속용 보안 소프트웨어의 배포 및 설치를 안전하게 수행하도록 보안관리를 하여야 한다.

⑦ 행정업무 모바일 서비스 이용자는 다음 각 호의 사항을 준수하여야 한다.

1. 모바일 기기의 설치허용앱목록 검사 및 허용되지 않는 앱의 삭제

2. 모바일 기기의 운영체계 임의 변조 금지

3. 행정업무 모바일 서비스 접속용 소프트웨어 및 업무 관련 자료를 모바일 기기 내부에 복사하거나 외부에 유출 금지

4. 비밀번호 설정 기능을 이용하고 정기적인 비밀번호 변경 관리

5. 운영체제 및 백신 프로그램을 최신 버전으로 유지

6. 발신인이 불명확하거나 의심스러운 메시지 또는 메일 열람 금지

7. 모바일 기기의 이상 동작 탐지 시 악성코드 감염 여부 등 확인ㆍ조치

8. 작성자/배포자가 불분명한 앱 설치 금지 및 신뢰할 수 없는 웹 사이트 접속 금지

9. 행정업무 모바일 서비스 접속 시 해당 용도 이외의 모바일 애플리케이션 및 무선랜, 테더링, 카메라, 화면캡처, 블루투스, 마이크 등 타 프로세스 실행 금지

제7조(개발 환경) #

모바일 기기를 이용한 행정 업무용 소프트웨어 개발 시에는 모바일 공통기반 시스템을 이용 할 수 있도록 개발해야 하며, 이용이 불가피 할 경우 다음 각 호의 보안조치를 해야 한다.

1. 모바일 기기 서버를 위한 별도의 DMZ를 구성하고, 모바일 기기와 DMZ 연결 시에는 VPN 또는 E2E암호화를 적용해야 한다.

2. 송ㆍ수신하는 모든 전송자료는 SSL VPN을 이용하거나 자료를 암호화 해야 한다.

3. 모바일 기기에서 업무서버로 직접 연결은 차단하고 보안스토리지 등 안전한 연계 방식으로 구현해야 한다.

제8조(소프트웨어 보안) #

모바일 기기에서 사용하는 행정 업무용 소프트웨어는 다음사항을 준수하여 개발해야 한다.

1. 행정전자서명 인증서를 이용하여 로그인 할 수 있도록 개발해야 한다.

2. 사용자가 일정 시간 동안 사용하지 않을 경우 자동으로 로그아웃 되도록 개발해야 한다.

3. 연속으로 5회 이상 사용자 인증에 실패한 경우 모바일 정보보안 담당관을 통해서만 해제 할 수 있어야 한다.

4. 업무용 소프트웨어를 사용하는 동안 화면 캡쳐가 되서는 안 된다.

5. 모바일 기기에는 자료를 남기지 말아야 하며, 부득이한 경우는 암호화하여 처리해야 한다.

6. 모바일 기기에서의 행정업무용 소프트웨어 이용 시 인터넷 접속(Wi-Fi)은 차단하고 이동통신망(3G, 4G)만을 이용하여 접속 하도록 해야 한다.

제9조(보안성검토) #

① 모바일 기기에서 이용하는 업무용 소프트웨어 개발이 필요한 경우 해당 부서장은"국가 정보보안 기본지침"에 따라 사업 발주이전에 모바일 정보보안 담당관에게 보안성 검토를 받아야 한다.

② 보안성 검토 신청시에는 사업계획서, 자체보안대책, 과업지시서를 첨부하여 공문으로 해야 하며, 사업계획서에는 추진배경 또는 목표, 상세사업내용, 네트워크 구성을 포함해야 한다.

제10조(소스검증) #

모바일 기기에서 운영하는 업무용 소프트웨어는 개발 완료 후 한국인터넷 진흥원 및 모바일 전자정부 지원센터에서 소스보안 검증을 받아야 한다.

제11조(장비보안) #

① 서버(웹서버ㆍ방화벽), 스위치 등 시스템ㆍ네트워크 장비에서 불필요한 서비스 포트와 사용자 계정을 삭제하고 외부 원격관리를 금지 한다.

② 신규도입 서버ㆍ네트워크 장비는 초기 비밀번호를 변경(영문자ㆍ숫자ㆍ특수문자 포함 9자리 이상)하고, 취약점이 제거된 최신 버전으로 운영하여야 하며, 주기적으로 보안패치를 적용해야 한다.

③ 방화벽 등 정보보호 시스템 로그를 6개월 이상 보존하고, 주기적으로 분석하여 해킹시도 등 비정상 접속여부를 점검해야 한다.

제12조(교육) #

모바일 정보보안 담당관은 전직원을 대상으로 모바일 기기 사용에 대하여 년1회 이상 보안 교육을 실시해야 한다.

제13조(준용) #

본 규정에 명시되지 않은 사항은 다음 각 호의 관련 규정 및 지침에 따른다.

1. 「보안업무규정」

2. 「보안업무규정 시행규칙」

3. 「국가사이버안전관리규정」

4. 「행정기관 정보시스템 접근권한 관리 규정」

5. 「국가 정보보안 기본지침」

6. 「기후에너지환경부 정보보안 업무지침」

7. 「행정전자서명 인증업무지침」

8. 「행정기관 및 공공기관 정보시스템 구축ㆍ운영 지침」

9. 기타 정보보안 관계 법령 및 지침ㆍ가이드ㆍ매뉴얼