행정안전부 정보보안지침

법갈피

행정규칙 불러오는 중…

행정안전부 정보보안지침 — 법갈피

제17조(검토 기관) #

① 분임정보보안담당관은 다음 각 호에 해당하는 정보화사업에 대하여 행정안전부장관을 경유하여 국가정보원장에게 보안성 검토를 요청하여야 한다.

1. 비밀ㆍ대외비를 유통ㆍ관리하기 위한 정보통신망 또는 정보시스템 구축

2. 국가정보원장이 개발하거나 안전성을 확인한 암호자재를 적용하는 정보통신망 또는 정보시스템 구축

3. 외교ㆍ국방 등 국가안보상 중요한 정보통신망 또는 정보시스템 구축

4. 100만명 이상의 개인에 대한 「개인정보보호법」상 민감정보 또는 고유식별정보를 처리하는 정보시스템 구축

5. 주요정보통신기반시설로 지정이 필요한 정보통신기반시설 구축

6. 제52조의2에 따른 제어시스템 도입

7. 재난관리ㆍ국민안전ㆍ치안유지ㆍ비상사태 대비 등 국가위기 관리와 관련한 정보통신망 또는 정보시스템 구축

8. 국가정보통신망 등 여러 기관이 공동으로 활용하기 위한 정보통신망 또는 정보시스템 구축

9. 행정정보, 국가지리, 환경정보 등 국가 차원의 주요 데이터베이스 구축

10. 정상회의, 국제회의 등 국제행사를 위한 정보통신망 또는 정보시스템 구축

11. 내부망 또는 폐쇄망을 인터넷 또는 다른 정보통신망과 연동하는 사업

12. 내부망과 기관 인터넷망을 분리하는 사업

13. 통합데이터센터ㆍ보안관제센터 구축

14. 제2조제7호에 따른 기관 인터넷망 등 소속 공무원 등이 업무상 목적으로 활용하도록 하기 위한 인터넷망(제43조제1항제1호에 따른 업무용 무선랜 형태를 포함한다) 및 이동통신망(HSDPA, WCDMA, LTE, 5G 등)의 구축

15. 제58조제4항에 따른 원격근무시스템 구축

16. 「전자정부법」 제54조의2 및 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제20조에 따라 클라우드컴퓨팅서비스제공자의 클라우드컴퓨팅서비스(이하 "민간 클라우드컴퓨팅서비스"라 한다)를 이용하는 사업

17. 남북 회담 및 협력사업 등을 위한 북한지역 내 정보통신망 또는 정보시스템 구축

18. 외국에 개설하는 사무소 운영을 위한 정보통신망 또는 정보시스템 구축

19. 첨단 정보통신기술을 활용하는 정보화사업으로서 국가정보원장이 해당 기술에 대하여 안전성 확인이 필요하다고 지정하는 사업

② 행정안전부장관은 분임정보보안담당관이 추진하는 다음 각 호에 해당하는 정보화사업에 대하여 보안성 검토를 실시한다. 다만, 제10호부터 제14호까지에 해당하는 정보화사업에 대한 보안성 검토는 각급기관의 장이 실시하도록 위임할 수 있다.

1. 정보화사업의 규모ㆍ중요도 등을 고려하여 국가정보원장으로부터 보안성 검토를 위임받은 사업

2. 홈페이지 및 웹메일 등 웹기반 정보시스템 구축

3. 인터넷전화시스템 구축

4. 다른 기관의 정보통신망 또는 정보시스템과 연동하여 정보의 소통 또는 서비스를 제공하는 정보시스템 구축

5. 제2조제8호에 따른 상용 인터넷망(제43조제1항제2호 또는 제3호에 따른 무선랜 형태를 포함한다)의 구축

6. 내부망에 구축하는 공무원 등의 인사ㆍ복지시스템

7. 주요정보통신기반시설 취약점 분석ㆍ평가, 정보보안컨설팅 등 용역사업

8. 기존 분리된 내부망ㆍ기관 인터넷망간 자료전송시스템 구축 등 후속사업

9. 대규모 백업ㆍ재해복구센터 구축

10. 제45조제1항에 따른 영상회의시스템을 내부망 또는 기관 인터넷망과 분리하여 구축하는 경우

11. 제83조에 따른 영상정보처리기기를 같은 조 제3항 본문에 따라 인터넷과 분리하여 구축하는 경우

12. 백업시스템 구축

13. 대민(對民) 콜센터시스템 구축

14. 기타 해당 기관의 장이 필요하다고 판단하는 정보통신망 또는 정보시스템 구축

③ 행정안전부장관은 제2항에 따라 수행하는 각급기관의 정보화사업 보안성 검토 대상 중에서 반복적으로 요청하는 유형에 대하여는 개별적 검토에 갈음하는 기준을 미리 작성ㆍ배포할 수 있으며, 각급기관의 장이 이를 준수하여 정보화사업 계획을 수립하였을 경우 제2항에 따른 보안성 검토 절차를 이행한 것으로 본다. 다만, 행정안전부장관은 해당 정보화사업 현황을 파악하여 제21조에 따른 제출시에 포함하여야 하며, 필요시 제20조제2항에 따른 현장 점검을 실시한다.

제23조(안전성 검증필 제품 목록) #

① 국가정보원장은 다음 각 호의 어느 하나에 해당하는 정보통신제품을 안전성 검증필 제품 목록에 등재하여 공지할 수 있다.

1. 별표 1 안전성 검증필 제품 목록 등재 기본요건을 준수하는 제품

2. 국가정보원장이 개발하고 안전성을 확인하여 기술 이전한 정보통신제품

② 안전성 검증필 제품 목록에 등재되는 제품별 등재 기간은 등재된 날로부터 다음 각 호의 날까지로 한다.

1. 제1항제1호의 제품 중에서 CC인증서 또는 보안기능 확인서를 발급받은 제품 : CC인증서 또는 보안기능 확인서의 유효기간 만료일

2. 제1항제1호의 제품 중에서 성능평가서를 발급받은 제품 : 성능평가서의 최초 발급일로부터 5년

3. 제1항제1호의 제품 중에서 제2장제5절에 따른 보안적합성 검증을 받은 제품 : 최초 등재된 날로부터 2년. 다만, 등재기간 중에 제품의 형상에 변경이 없음을 검증기관의 장이 확인한 경우 1년씩 연장

4. 제1항제2호의 제품 : 최초 등재된 날로부터 2년. 다만, 등재기간 중에 제품의 형상에 변경이 없음을 국가정보원장이 확인한 경우 1년씩 연장

③ 안전성 검증필 제품 목록에 등재되어 있는 제품이 정부정책ㆍ제도의 변화로 인하여 제1항에 따른 등재 요건을 만족하지 못하게 된 경우에는 제4항제1호에도 불구하고 제2항에 따른 본래의 등재 기간을 적용한다.

④ 국가정보원장은 안전성 검증필 제품에서 다음 각 호의 어느 하나에 해당하는 사유가 발생한 때에는 그 사유가 없어질 때까지 제품 목록에서 해당 제품의 등재를 중지하고 그 사유를 각급기관의 장에게 공지할 수 있다.

1. 제1항에 따른 요건에 더 이상 해당하지 않는 경우

2. [별표 1] 안전성 검증필 제품 목록 등재 기본요건에서 필요로 하는 서류의 효력이 중지되거나 취소된 경우

3. 다른 법령에서 정하고 있는 국내 수입ㆍ판매에 필요한 요건ㆍ절차상에 흠결이 있거나, 위계로서 흠결을 은닉하였다고 해당 행정절차의 주무관청이 판단한 경우

4. 제품이 안보위해(危害) 공격을 행할 우려가 있는 자와 경영상 또는 기술적 연계점이 있다고 국가정보원장이 판단한 경우

5. 제품 개발업체가 국가정보원장으로부터 제품에 취약점이 존재한다는 사실과 개선 또는 제거할 것을 요청받고도 요청받은 기간 내 조치를 취하지 않은 경우

⑤ 국가정보원장은 제4항에 따른 제품 등재 중지의 사유가 해소된 경우에는 등재를 재개할 수 있다. 이 경우 등재 기간은 본래의 기간 만료일까지로 한다.

제28조(용역업체 보안) #

① 분임정보보안담당관은 용역사업 추진시 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다.

1. 제15조제1항 각 호에 따른 제안요청서에 포함된 사항

1의2. 제30조에 따른 원격지 개발, 제30조의2에 따른 원격지에서의 온라인 개발, 제51조에 따른 온라인 유지보수를 허용할 경우 보안 준수사항

2. 소프트웨어 개발보안에 필요한 사항

3. 사업 참여인원의 보안관련 준수사항과 위반할 경우 손해배상 책임에 관한 사항

4. 사업 수행과 관련한 보안교육, 보안점검 및 사업기간 중 참여인원 임의교체 금지

6. 업체의 노트북ㆍ휴대용 저장매체 등 관련 장비는 반출ㆍ반입시마다 악성코드 감염여부, 누출금지정보 무단 반출여부 등 점검

7. 사업 종료시 업체의 노트북ㆍ휴대용 저장매체 등 관련 장비는 저장자료 복구가 불가하도록 완전 삭제

8. 사업 종료 시 누출금지정보 전량 회수

9. 그 밖에 각급기관의 장이 보안관리가 필요하다고 판단하는 사항 또는 국가정보원장이 보안조치를 권고하는 사항

② 분임정보보안담당관은 비밀 및 중요 용역사업을 수행할 경우 용역업체 참여인원이 다음 각 호에 해당되는 사실을 알게 된 경우 교체를 요구하여야 한다.

1. 「국가공무원법」 제33조제3호부터 제6의4호까지에 해당하는 사람

2. 「국가를 당사자로 하는 계약에 관한 법률」 제27조제1항 각 호의 행위를 한 사람

③ 분임정보보안담당관은 다음 각 호에 따른 보안 준수사항의 이행여부를 정기 또는 수시로 점검(불시 점검을 포함한다)하고 미비점을 발견한 경우 용역업체로 하여금 시정 조치하도록 하여야 한다. 이 경우 정보화사업담당자는 점검 후 그 결과를 분임정보보안담당관에게 보고하여야 한다.

1. 제1항에 따라 계약서에 명시된 보안 준수사항

2. 제29조의2에 따른 발주기관내 작업장소 보안 준수사항

3. 제30조에 따른 원격지 개발 보안 및 제30조의2에 따른 원격지에서의 온라인 개발시 보안 준수사항

4. 제50조에 따른 정보시스템 유지보수 및 제51조에 따른 온라인 유지보수시 보안 준수사항

④ 행정안전부장관은 각급기관에 대하여 용역업체 보안관리 실태 점검을 실시할 수 있으며, 필요한 경우 국가정보원장에게 지원을 요청할 수 있다.

⑤ 분임정보보안담당관은 제3항 및 제4항에 따른 점검 결과, 용역업체 보안대책 준수가 미흡하고 시정조치가 어렵다고 판단할 경우 제30조에 따른 원격지 개발, 제30조의2에 따른 원격지에서의 온라인 개발 또는 제51조에 따른 온라인 유지보수 허가를 취소할 수 있다.

⑥ 각급기관의 장은 제30조의2에 따른 원격지에서의 온라인 개발, 제51조에 따른 온라인 유지보수를 허용하고자 할 경우에는 용역업체의 온라인 접속을 통제하기 위한 온라인 용역 통제시스템을 구축ㆍ운영하여야 한다.

⑦ 그 밖에 용역업체 보안과 관련한 사항은 국가정보원장이 배포한 「국가ㆍ공공기관 용역업체 보안관리 가이드라인」을 준수하여야 한다.

제40조(내부망ㆍ인터넷망 분리) #

① 각급기관의 장은 내부망과 기관 인터넷망을 분리ㆍ운영하여야 한다.

② 각급기관의 장은 내부망과 기관 인터넷망을 분리ㆍ운영하고자 할 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다.

1. 침입차단ㆍ탐지시스템 설치 등 비(非)인가자 침입 차단대책

2. 네트워크 접근관리시스템 설치 등 비(非)인가 장비의 내부망 접속 차단대책

3. 내부망 정보시스템의 인터넷 접속 차단대책

4. 내부망과 기관 인터넷망간 안전한 자료전송 대책

5. 기타 국가정보원장이 배포한 「국가ㆍ공공기관 업무전산망 분리 및 자료전송 보안가이드라인」 에서 제시하는 보안대책

③ 각급기관의 장은 정보시스템에 부여되는 IP주소를 체계적으로 관리하여야 하며 비(非)인가자로부터 내부망을 보호하기 위하여 네트워크주소변환기(NAT)를 이용하여 사설 IP주소체계를 구축ㆍ운영하여야 한다. 또한 IP주소별로 정보시스템 접속을 통제하여 비(非)인가 기기에 의한 내부망 접속을 차단하여야 한다.

④ 각급기관의 장은 분리된 내부망과 기관 인터넷망간 자료전송을 위한 접점이 불가피한 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다.

1. 침입차단ㆍ탐지시스템 설치ㆍ운용

2. 내부망과 기관 인터넷망간 접점 최소화

3. 내부망과 기관 인터넷망간 일방향 전송장비 등을 이용한 자료전송체계를 구축ㆍ운영하고 원본파일은 3개월 이상, 전송기록은 6개월 이상 유지

4. 정기적으로 전송실패 기록을 확인하고 악성코드 유입여부 등 점검

5. 내부망 자료를 기관 인터넷망으로 전송할 경우 부서 분임정보보안담당관 또는 결재권자의 사전 또는 사후 승인절차 마련

⑤ 각급기관의 장은 제1항에도 불구하고 예산 부족 등 사유로 부득이한 경우 국가정보원장과 협의하여 내부망과 기관 인터넷망을 분리하지 아니할 수 있다. 이 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다.

1. 정보시스템 및 개별사용자 PC 영역 등에 대한 접근 통제대책

2. 인터넷 PC의 악성코드 감염 최소화를 위한 인터넷 사용 통제대책

3. 인터넷 PC의 악성코드 감염에 따른 내부망으로의 피해확산 차단대책

4. 사이버공격 탐지ㆍ대응 등 안전한 업무환경을 위한 보호대책

⑥ 각급기관의 장은 내부망과 기관 인터넷망의 IP주소 현황을 정기적으로 확인하고 갱신하여야 한다.

⑦ 본 조에 따른 보안대책은 「공공데이터의 제공 및 이용 활성화에 관한 법률」 제17조에 따른 국민제공 공공데이터 범위 산정에는 영향을 미치지 아니하며, 국민에게 제공하는 공공데이터의 범위를 축소하는 것으로 해석하여서는 아니된다.

제41조(클라우드컴퓨팅 보안) #

① 각급기관의 장은 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제12조에 따라 클라우드컴퓨팅[「행정기관 및 공공기관 정보자원 통합기준(행정안전부 고시)」 제2조제5호에 따른 공공클라우드센터를 포함한다]을 자체 구축ㆍ운영하고자 할 경우 국가정보원장이 배포한 「국가ㆍ공공기관 클라우드 컴퓨팅 보안 가이드라인」 에 명시된 기관 자체 클라우드컴퓨팅 구축 보안기준에 따라 보안대책을 수립ㆍ시행하여야 한다.

② 각급기관의 장은 「전자정부법」 제54조의2 및 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제20조에 따라 민간 클라우드컴퓨팅서비스(「행정기관 및 공공기관 정보자원 통합기준(행정안전부 고시)」 제2조제4호에 따른 민간클라우드센터를 포함한다)를 이용하고자 할 경우 다음 각 호에 해당하는 사항을 준수하여야 한다.

1. 국내에 위치한 정보시스템에 데이터가 저장되는 서비스로서 일반 이용자용 서비스 영역과 물리적으로 분리되어 제공되는 서비스 영역(이하 "공공 전용 민간클라우드"라 한다)에 한하여 활용

2. 과학기술정보통신부장관이 고시한 「클라우드컴퓨팅서비스 정보보호에 관한 기준」에 부합하는 서비스 선정

3. 국가정보원장이 배포한 「국가ㆍ공공기관 클라우드 컴퓨팅 보안 가이드라인」에서 제시하는 민간 클라우드컴퓨팅서비스 이용 보안기준 및 행정안전부장관이 배포한 「행정ㆍ공공기관 민간 클라우드 이용 가이드라인」에 따른 절차 이행

③ 각급기관의 내부망과 연동된 공공 전용 민간클라우드는 이 지침을 적용함에 있어 각급기관의 내부망으로 본다.

④ 각급기관의 기관 인터넷망과 연동된 공공 전용 민간클라우드는 이 지침을 적용함에 있어 각급기관의 기관 인터넷망으로 본다.

⑤ 제2항에 따라 민간 클라우드컴퓨팅서비스를 이용하는 기관의 장은 클라우드컴퓨팅서비스제공자에 의하여 누출금지정보가 유출된 경우 제32조에 따른 조치를 취하여야 한다.

제43조(무선랜 보안) #

① 각급기관의 장은 내부망을 제외한 정보통신망에서 다음 각 호의 경우와 같이 청사 내에 무선랜(WiFi)을 구축ㆍ운용할 수 있다.

1. 기관 인터넷망에 중계기(AP)를 설치하여 제73조제1항에 따라 해당 기관의 장이 지급한 단말기의 접속만을 허용하는 업무용 무선랜

2. 상용 인터넷망에 중계기(AP)를 설치하여 제78조제1항 각 호에 따라 반입한 공무원 등의 개인 소유 이동통신단말기의 접속만을 허용하는 무선랜

3. 상용 인터넷망에 중계기(AP)를 설치한 외부인 전용(專用) 무선랜

② 각급기관의 장은 제1항에 따라 무선랜을 구축ㆍ운용하고자 할 경우 국가정보원장이 배포한 「국가ㆍ공공기관의 무선랜 구축 및 RFID 보안가이드라인」을 준수하여 보안대책을 수립ㆍ시행하여야 한다.

③ 제2항에 따른 보안대책을 수립할 경우 제1항제1호 및 제2호에 따른 무선랜에 대하여는 다음 각 호의 사항을 포함하여야 한다.

1. 네트워크 이름(SSID) 브로드캐스팅(broadcasting) 금지

2. 추측이 어렵고 복잡한 네트워크 이름(SSID) 사용

3. WPA2 이상(256비트 이상)의 암호체계를 사용하여 소통자료 암호화

4. 비(非)인가 단말기의 무선랜 접속 차단 및 무선랜 이용 단말기를 식별하기 위한 IP주소 할당기록 등 유지

5. IEEE 802.1X, AAA(Authentication Authorization Accounting) 등의 기술에 따라 상호 인증을 수행하는 무선랜 인증제품 사용

6. 무선침입방지시스템 설치 등 침입 차단대책

7. 기관의 내부망 정보시스템 또는 인접해 있는 다른 기관의 정보시스템이 해당 무선랜에 접속되지 아니하도록 하는 기술적 보안대책

8. 그 밖에 무선랜 단말기ㆍ중계기(AP) 등 구성요소별 분실ㆍ탈취ㆍ훼손ㆍ오용 등에 대비한 관리적ㆍ물리적 보안대책

④ 각급기관의 장은 제2항 및 제3항에 따른 보안대책의 적절성을 수시로 점검ㆍ보완하여야 한다.

제49조(정보시스템 보안책임) #

① 분임정보보안담당관은 정보시스템(PCㆍ서버ㆍ네트워크장비ㆍ정보통신기기 등을 포함한다)을 도입ㆍ운용할 경우 해당 정보시스템에 대하여 시스템관리자 및 관리책임자를 지정ㆍ운영하여야 한다.

② 시스템관리자 및 관리책임자는 서버ㆍ네트워크장비 등 부서가 공동으로 사용하는 정보시스템의 운용ㆍ관리에 대한 보안책임을 진다. 시스템관리자는 서버ㆍ네트워크 장비 등 정보시스템의 운영과 관련하여 다음 각 호에 따라 관리하여야 한다.

1. 운영되는 정보시스템이 비인가자에게 불필요한 서비스를 허용하지 않도록 보안기능을 설정하여야 하며, 보안취약점을 제공할 수 있는 P2P, 웹하드 등 파일 공유 프로그램, 메신저 프로그램 등의 설치를 제한

2. 비인가자가 접근할 수 없도록 물리적인 접근통제 장치가 마련된 공간에 서버를 설치

3. 환경상의 위협을 최소화 할 수 있도록 전산장비 배치

4. 지속적인 서비스 지원을 위해 전원공급 및 정보 전달을 위한 케이블을 물리적인 차단이나 손상으로부터 보호

5. 정보시스템의 유지보수는 사전에 정의된 절차에 따라 인가받은 자에 의해 수행

6. 정보시스템별 유지보수 및 결함 내역 등은 기록ㆍ관리하며 그 내용을 주기적으로 검토하고 대책 마련

7. 중요 정보를 담고 있는 장비를 폐기 또는 재활용하는 경우 저장 정보의 완전 삭제

8. 신규로 설치되는 시스템은 취약점 점검 및 제거 후 네트워크에 연결

9. 사용 중인 운영체제는 최신의 패치 프로그램 설치, 주기적인 패치 실행

10. 설치ㆍ운영 중인 서버의 수시 보안취약점 발굴 및 보안조치

11. 악성코드 감염 방지대책 준수

③ 관리책임자는 정보시스템을 실제 운용하는 부서의 장이 되며 관리책임자는 별지 제4호서식에 따른 정보시스템 관리대장을 수기 또는 전자적으로 작성ㆍ관리하여야 한다.

④ 관리책임자는 별지 제4호서식에 따른 정보시스템 관리대장에 해당 부서 정보시스템의 최종 변경 현황을 유지하여야 하며 사본 1부를 정보보안담당관에게 제출하여야 한다.

⑤ 정보보안담당관은 정보시스템 운용과 관련하여 보안취약점을 발견하거나 보안대책 수립이 필요하다고 판단하는 경우 개별사용자, 시스템관리자 및 관리책임자에게 개선 조치를 요구할 수 있으며 조치가 완료될 때까지 정보시스템의 운용을 일시 제한할 수 있다.

제58조(원격근무 보안) #

① 각급기관의 장은 소속 공무원 등이 재택근무, 출장지 현장 근무, 또는 파견 근무(제48조에 따라 기관 정보통신망 전용(專用) 단말기를 설치 운영하는 경우는 제외한다)시 인터넷을 통해 본인 인증을 거쳐 기관 정보시스템에 접속하여 온라인상으로 수행하는 업무를 수행(이하 "원격근무"라 한다)하게 할 수 있다.

② 제1항에 따른 원격근무를 위해 접속할 수 있는 기관 정보시스템은 다음 각 호와 같다.

1. 기관 인터넷망에 위치한 서버 및 서버에서 구동되는 가상 PC

2. 제40조제2항제4호에 따른 방법을 통해 접속할 수 있는 내부망 서버 및 내부망 서버에서 구동되는 가상 PC

③ 제1항에 따른 원격근무로 취급할 수 있는 업무자료의 범위는 공개 및 비공개 업무자료로 한다.

④ 각급기관의 장은 원격근무를 시행하고자 할 경우 다음 각 호의 사항을 포함한 보안대책이 강구된 정보시스템(이하 "원격근무시스템"이라 한다)을 구축ㆍ운영하여야 한다.

1. 검증필 암호모듈이 탑재된 정보보호시스템을 사용해 원격근무시스템과 원격근무자의 단말기 간 소통구간 암호화

2. 문서 암호화제품(DRM) 사용 등 문서 보호대책 강구

3. 원격근무자를 식별ㆍ인증하기 위하여 공인인증서, 생체인증 기술 및 일회용 비밀번호 생성기(OTP) 등 보안성을 강화한 사용자 인증방식 적용

4. 원격근무자로 하여금 원격근무시스템 접속과정에서 제1호부터 제3호까지의 보안대책을 준수토록 조치

5. 원격근무시스템에 대한 보안취약점 정기 점검

⑤ 원격근무자는 각급기관의 장 등이 원격근무용 단말기(개인 소유의 정보통신기기를 포함한다)의 보안을 위하여 취하는 다음 각 호의 조치에 적극 협조하여야 한다.

1. 제4항에 따라 각급기관의 장이 제공하는 보안소프트웨어 설치ㆍ운영

2. 사이버공격 등으로 인한 자료유출 사고 발생 시 각급기관의 장이 요청하는 점검 및 제133조제3항에 따른 자료제출 요청 협력

3. 소속된 기관에서 지급받은 단말기의 경우 제73조에 따른 단말기 보안대책 준수

⑥ 각급기관의 장은 원격근무자의 직위ㆍ임무에 부합한 정보시스템 접근권한 부여 및 보직변경ㆍ퇴직 등 변동사항 발생시 접근권한 조정 등의 절차를 마련ㆍ시행하여야 하며, 분임정보보안담당관은 원격근무자에게 제5항에 따른 보안조치 등이 포함된 보안서약서를 징구하여야 한다.

⑦ 기타 원격근무 보안과 관련한 사항은 국가정보원장이 배포한 「원격업무 통합보안 매뉴얼」을 준수하여야 한다.

제65조(비공개 업무자료 처리) #

① 공무원 등은 비공개 업무자료를 다음 각 호의 어느 하나에 해당하는 방법으로만 처리하여야 한다.

1. 소속 또는 근무중인 기관의 내부망 PC 및 서버에 작성 및 저장ㆍ보관

2. 소속 또는 근무중인 기관의 장이 지급한 휴대용 저장매체에 작성 및 저장ㆍ보관

3. 다음 각 목의 어느 하나에 해당하는 수단(이하 "업무자료 공식 소통수단" 이라 한다)을 이용한 수ㆍ발신 또는 등재ㆍ열람

가. 소속 또는 근무중인 기관의 장이 자체적으로 구축ㆍ운용하는 전자우편시스템(이하 "기관 전자우편"이라 한다)

나. 공무원 등이 공동으로 사용할 목적으로 문화체육관광부장관이 구축ㆍ운용하는 전자우편시스템(이하 "공직자통합메일"이라 한다)

다. 공무원 등이 다른 공무원 등과 자료를 공유하거나 소통하기 위하여 사용하는 전용(專用) 소프트웨어(이하 "공공 전용(專用) 메신저"라 한다)

라. 국회사무처가 구축ㆍ운용하는 의정자료전자유통시스템 등 기관간 업무자료의 소통 또는 공동활용을 위해 구축한 정보시스템

4. 그 밖에 다른 법규에 따라 허용되는 처리방법

② 공무원 등은 제1항에도 불구하고 다음 각 호의 어느 하나에 해당하는 경우 소속 또는 근무중인 기관의 장이 지급한 인터넷 PC 또는 출장용 노트북을 이용하여 비공개 업무자료를 처리할 수 있다.

1. 업무자료 공식 소통수단의 발신 또는 등재 기능을 이용하여 제2조제14호다목의 문장 또는 문구 작성

2. 업무자료 공식 소통수단으로 수ㆍ발신 또는 등재ㆍ열람하는 과정에서의 일시적 저장

3. 제40조제5항에 따른 기관 인터넷망 PC에 작성ㆍ저장

4. 제45조제3항 및 제4항에 따라 영상회의 솔루션을 활용하여 비공개 업무자료의 화면 영상을 공유하기 위한 일시적 저장

③ 공무원 등은 제1항에도 불구하고 다음 각 호의 어느 하나에 해당하는 경우 개인이 소유한 PCㆍ휴대용 저장매체ㆍ휴대폰 등을 이용하여 비공개 업무자료를 처리할 수 있다.

1. 업무자료 공식 소통수단의 발신 기능 또는 등재 기능을 이용하여 제2조제14호다목의 문장 또는 문구 작성

2. 업무자료 공식 소통수단으로 수ㆍ발신 또는 등재ㆍ열람 과정에서의 일시적 저장

3. 제58조제4항에 따른 원격근무시스템에 접속하여 작성

4. 「감염병의 예방 및 관리에 관한 법률」 제34조제1항에 따른 감염병 위기관리 조치 등 대규모 질병ㆍ재난 발생 등 특별한 사정으로 재택근무를 명받았으나 소속 또는 근무중인 기관에 제58조제4항에 따른 원격근무시스템이 구축되지 아니한 경우

5. 제45조제3항 및 제4항에 따라 영상회의 솔루션을 활용하여 비공개 업무자료의 화면 영상을 공유하기 위한 일시적 저장

6. 국민의 생명ㆍ신체, 국가안보 및 공공의 안전 등을 위하여 긴급히 작성, 저장, 수ㆍ발신이 필요하다고 소속 또는 근무 중인 기관의 장이 인정하는 경우

④ 공무원 등은 제3항제5호 및 제6호에 해당하는 경우를 제외하고는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제2호에 따른 정보통신서비스(전자우편ㆍ메신저 등을 포함한다) 또는 국외에서 제공하는 이와 유사한 서비스(이하 "상용 정보통신서비스"라 한다)를 이용하여 비공개 업무자료를 작성, 저장, 수ㆍ발신하여서는 아니 된다.

⑤ 공무원 등은 제2항부터 제4항까지에 따라 작성ㆍ저장한 비공개 업무자료는 활용이 종료된 후에는 삭제하여야 한다.

제77조(휴대용 저장매체 보안) #

① 각급기관의 장은 휴대용 저장매체를 사용하여 업무자료를 보관하고자 할 경우 자료의 위ㆍ변조, 저장매체의 훼손ㆍ분실 등에 대비한 보안대책을 수립ㆍ시행하여야 한다.

② 정보보안담당관은 휴대용 저장매체 관리시스템을 운용하고자 할 경우 국가정보원장이 안전성을 확인한 제품을 도입하여야 한다.

③ 정보보안담당관은 사용자가 휴대용 저장매체를 PCㆍ서버 등에 연결할 경우 자동 실행되지 아니하고 최신 백신 소프트웨어로 악성코드 감염여부를 자동 검사하는 등의 보안 정책을 수립ㆍ시행하도록 관리하여야 한다.

④ 분임정보보안담당관은 휴대용 저장매체를 비밀용ㆍ일반용으로 구분ㆍ관리하고 수량 및 보관 상태를 정기적으로 점검하며 외부 반출ㆍ반입을 통제하여야 한다.

⑤ 분임정보보안담당관은 비밀이 저장된 휴대용 저장매체는 매체별로 비밀등급 및 관리번호를 부여하고 비밀관리기록부에 등재ㆍ관리하여야 한다. 이 경우 매체 전면에 비밀등급 및 관리번호가 표시되도록 하여야 한다.

⑥ 분임정보보안담당관은 비밀용 휴대용 저장매체를 다른 등급의 비밀용 또는 일반용으로 변경 사용하고자 할 경우 저장자료가 복구 불가하도록 완전삭제 소프트웨어 등을 이용하여 삭제하여야 한다. 다만, 완전삭제가 불가할 경우 변경 사용하여서는 아니 된다.

⑦ 분임정보보안담당관은 휴대용 저장매체를 폐기ㆍ불용 처리하고자 할 경우 저장자료가 복구 불가하도록 완전삭제 소프트웨어 등을 이용하여 삭제하여야 한다. 다만, 완전삭제가 불가할 경우 파쇄하여야 한다.

⑧ 분임정보보안담당관은 정보보안담당관 총괄 하에 소속 부서에 대하여 개별사용자의 휴대용 저장매체 무단 반출, 미(未)등록 휴대용 저장매체 사용여부 등 보안관리 실태를 정기적으로 점검하여야 한다.

⑨ 그 밖에 휴대용 저장매체 보안과 관련한 사항은 국가정보원장이 배포한 「USB메모리 등 휴대용 저장매체 보안관리지침」을 준수하여야 한다.

제85조(디지털복합기 보안) #

① 분임정보보안담당관은 디지털복합기(디지털복사기 등도 포함한다. 이하 "복합기"라 한다)를 설치ㆍ운용하고자 할 경우 복합기 내 저장매체가 있거나 장착이 가능한 경우 자료유출을 방지하기 위하여 자료 완전삭제 또는 디스크 암호화 기능이 탑재된 복합기를 도입하여야 한다.

② 분임정보보안담당관은 제1항에 따라 복합기를 설치ㆍ운용할 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다.

1. 암호화 저장 기능이 있는 경우 해당 기능 사용

2. 정기적으로 저장된 작업 내용(출력ㆍ스캔 등) 완전 삭제

3. 공유 저장소 사용 제한 및 접근 제어

4. 고정 IP주소 설정 및 불필요한 서비스 제거

③ 분임정보보안담당관은 다음 각 호의 어느 하나에 해당하는 경우 복합기의 저장매체에 저장된 자료를 완전 삭제하여야 한다.

1. 복합기 사용연한이 경과하여 폐기ㆍ양여할 경우

2. 복합기 무상 보증기간 중 저장매체 또는 복합기 전체를 교체할 경우

3. 고장 수리를 위한 외부 반출 등의 사유로 해당 기관이 복합기의 저장매체를 통제 관리할 수 없는 장소로 이동할 경우

4. 그 밖에 저장자료의 삭제가 필요하다고 판단되는 경우또는 디스크 암호화 기능이 탑재된 복합기를 도입하여야 한다.

④ 분임정보보안담당관의 소모품 교체 등 복합기 유지보수를 할 경우 부서 정보보안담당자 입회ㆍ감독 하에 실시하고 저장매체의 무단 교체 등을 예방하여야 한다.

⑤ 분임정보보안담당관은 복합기를 통해 내부망과 기관 인터넷망간 접점이 발생하지 않도록 보안대책을 수립ㆍ시행하여야 한다.

⑥ 정보보안담당관은 소속된 기관의 저장매체가 장착되어 있는 복합기 운용과 관련한 보안대책의 적절성을 수시 점검ㆍ보완하여야 한다.

⑦ 기타 복합기 보안과 관련한 사항은 국가정보원장이 배포한 「정보시스템 저장매체 불용처리지침」을 준수하여야 한다.

제87조(대도청 측정) #

① 각급기관의 장은 다음 각 호의 어느 하나에 해당하는 시설ㆍ장소에 대하여 각종 수단에 의한 도청으로부터 정보유출을 방지하기 위한 정책 또는 계획 수립 등 관리적 보안대책, 도청을 예방 또는 탐지ㆍ발견할 수 있는 물리적ㆍ기술적 보안대책을 수립ㆍ시행하여야 한다.

1. 기관 청사(신축, 이전 또는 증축, 개축, 대규모 수선 등)

2. 기관장실, 회의실 등 중요업무 장소

3. 중요회의ㆍ회담ㆍ협상ㆍ행사 장소

4. 기타 대도청 측정이 필요하다고 판단되는 시설ㆍ장소ㆍ장비

② 각급기관의 장은 제1항에 따른 시설ㆍ장소에 대하여 자체 또는 「통신비밀보호법」 제10조의3에 따른 불법감청설비탐지업자 활용 등을 통해 대도청 측정을 실시하여야 한다. 다만, 다음 각 호에 해당하는 시설ㆍ장소에 대하여는 국가정보원장에게 대도청 측정을 요청할 수 있다.

1. 행정안전부장관이 관리하는 시설ㆍ장소

2. 각급기관의 장이 관리하는 시설ㆍ장소 중에서 행정안전부장관이 국가안보 및 국익 보호를 위하여 필요하다고 판단하는 시설ㆍ장소

③ 제2항에 따라 자체 또는 불법감청설비탐지업자 등을 활용하여 측정을 실시한 기관의 장은 측정결과 취약요인이 발견된 경우 그 결과를 행정안전부장관을 거쳐 국가정보원장에게 통보하여야 하고 기술 지원 및 추가 측정을 요청할 수 있다.

④ 제2항에 따라 국가정보원장이 측정을 실시한 결과 취약요인이 발견된 경우 해당 기관의 장은 개선대책을 수립ㆍ시행하여야 한다.

⑤ 각급기관의 장은 대도청 측정 결과를 「공공기관의 정보공개에 관한 법률」 제9조제1항에 따른 비공개 대상 정보로 지정ㆍ관리하여야 한다.

⑥ 기타 대도청 측정과 관련한 사항은 국가정보원장이 배포한 「도청 탐지ㆍ방어활동 가이드라인」을 준수하여야 한다.

제90조(진단ㆍ점검) #

① 각급기관의 장은 「사이버안보 업무규정」 제12조제1항에 따른 진단ㆍ점검 또는 그 밖의 법규에 따라 정보통신망 보안진단ㆍ점검을 실시할 경우, 국가정보원장이 배포하는 다음 각 호의 가이드라인 등을 참고하여야 하며, 이에 필요한 관련예산 확보 등을 위하여 노력하여야 한다.

1. 사이버보안 강화를 위한 길라잡이(정보통신시스템 보안진단 및 대응방법)

2. 홈페이지ㆍ네트워크ㆍ시스템ㆍDBMS 취약점 점검 매뉴얼

3. 정보보안점검 체크리스트

② 행정안전부장관은 각급기관의 정보통신망 안전성을 확인하기 위하여 다음 각 호의 어느 하나에 해당하는 경우 보안진단을 실시할 수 있다.

1. 「전자정부법」 제56조제3항 및 「공공기록물 관리에 관한 법률 시행령」 제5조 등에 따른 보안조치 이행여부를 확인하고자 하는 경우

2. 「사이버안보 업무규정」 제9조제1항 후단에 따른 보안성 검토 결과의 이행여부 확인 또는 같은 조 제5항에 따른 보안컨설팅을 수행하는 경우

3. 「보안업무규정」 제35조에 따른 보안측정을 실시하는 경우

4. 각급기관의 장이 정보통신망에 대한 보안취약점 점검 또는 종합진단이 필요하다고 판단하여 요청하는 경우

5. 그 밖에 국가정보원장이 국가안보상 필요하다고 판단하는 경우

③ 행정안전부장관은 제2항에 따라 보안진단을 실시할 경우 해당 기관의 장에게 진단항목ㆍ일정ㆍ준비사항 등이 포함된 진단 계획을 사전 통보하여야 한다. 다만, 정보통신망의 안전성을 확보하여야 할 긴급한 사유가 발생한 경우 사전 통보를 생략할 수 있다.

④ 행정안전부장관은 제2항에 따라 보안진단을 실시한 결과 개선이 필요하다고 판단하는 경우 해당 기관의 장에게 개선 조치를 요청할 수 있다. 이 경우 해당 기관의 장은 정당한 사유가 없으면 다음 각 호의 사항을 포함한 조치를 취하여야 하며 행정안전부장관은 그 이행여부를 확인할 수 있다.

1. 기존에 알려지지 않은 새로운 취약점일 경우, 취약점 제거를 위한 관리적ㆍ물리적ㆍ기술적 조치

2. 해당 보안취약점이 소속 공무원 등의 고의 또는 중과실로 인하여 발생한 경우, 해당 공무원 등에 대한 징계검토 및 개선 조치의 지시

3. 제2호의 경우 유사 보안위규행위 방지를 위한 소속 공무원 등에 대한 교육 실시

제111조(운용 및 관리) #

① 각급기관의 장은 암호자재를 운용할 경우 다음 각 호의 사항을 준수하여 운영 및 관리하여야 한다.

1. 「보안업무규정 시행규칙」 제5조제2항 및 [별지 제3호 서식]에 따른 암호자재 관리기록부의 기록ㆍ유지

2. 「보안업무규정 시행규칙」 제5조제5항에 따른 주 1회 점검 및 [별지 제4호 서식]에 따른 암호자재 점검기록부 기록ㆍ유지와 월 1회 확인

3. 이 지침 별지 제9호서식에 따른 지편자재 사용기록부의 기록ㆍ유지

4. 암호자재를 배부ㆍ반납 등 취급할 경우에는 「보안업무규정 시행규칙」 제4조제4항 및 [별지 제2호 서식]에 따른 암호자재 증명서 작성

② 각급기관의 장은 제1항에 따른 기록부 및 증명서를 다음 각 호에 따라 보관하여야 한다.

1. 암호자재 관리기록부 : 새로운 관리부철로 옮겨서 관리할 경우, 기존 관리부철 5년간 보관

2. 암호자재 점검기록부 : 최근 5년간 점검기록 보관

3. 지편자재 사용기록부 및 암호자재 증명서 : 해당 암호자재를 반납하거나 파기한 후 5년간 보관

③ 각급기관의 장은 암호자재 외부에 운용상의 기능, 형식승인 번호, 기관번호 및 일련번호를 제외한 어떠한 표지도 하여서는 아니 된다. 다만, 암호자재가 다른 장비에 내장되어 오인 파기나 관리 소홀이 우려되는 경우 경고 문구 등 표지를 부착할 수 있다.

④ 각급기관의 장은 암호자재의 암호체계 및 키 운용체계와 관련된 문서와 암호자재의 고유명칭, 제원, 대상국소 및 수량 등 운용 현황이 기록된 문서를 비밀로 분류ㆍ관리하여야 한다.

⑤ 각급기관의 장은 암호자재를 업무 시간에 사용 가능하도록 별도 관리하되 업무 종료 이후에는 이중 캐비닛 또는 금고에 보관하여야 한다. 다만, 국가정보원장과 사전 협의를 통해 승인된 장소 및 운영 방식에 따라 설치ㆍ운용하는 암호자재는 그러하지 아니할 수 있다.

⑥ 각급기관의 장은 암호자재를 보관함에 보관할 경우 암호자재 이외 비밀 또는 문건을 혼합 보관하여서는 아니 되며 현용 암호자재는 예비용 및 운용 기간이 만료된 암호자재와 구분ㆍ보관하여야 한다.

제132조(사이버공격으로 인한 사고) #

① 「사이버안보업무규정」 제16조제1항에 따라 사고조사를 실시할 경우 국가정보원장 및 행정안전부장관은 안보위해(危害) 공격으로 인한 사고에 대하여 조사를 실시하며, 해당 기관의 장은 안보위해(危害) 공격을 제외한 사이버공격으로 인한 사고에 대하여 조사를 실시한다.

② 제1항에 따른 조사 기관의 장은 사이버공격으로 인한 사고의 원인 분석 및 재발 방지를 위하여 피해 기관의 장에게 다음 각 호에 해당하는 자료 제출을 요청할 수 있다. 사이버공격으로 인하여 「보안업무규정」 제38조 및 제45조, 「보안업무규정 시행규칙」 제65조의2에 따른 조사를 실시하는 경우에도 같다.

1. 공격 주체 및 피해자를 식별하기 위한 IP주소 및 MAC주소, 전자우편 주소, 정보통신서비스 이용자 계정 정보, 피해자의 성명 및 연락처

2. 사이버공격에 사용된 악성프로그램 및 공격 과정에서 생성ㆍ변경 또는 복제된 디지털정보

3. 공격 주체가 절취한 디지털정보

4. 공격 주체의 행위가 기록된 내역 또는 로그기록

③ 제2항에 따른 자료 제출을 요청받은 피해 기관의 장은 관계 법규에 저촉되지 않는 범위 내에서 해당 자료를 제출하여야 하며, 조사 기관의 장은 제출받은 자료를 사고원인 분석, 공격자 의도 파악, 피해영향 평가 등 사이버공격에 대한 예방 및 대응과 관련한 목적으로만 사용하여야 한다.

④ 피해 기관의 장은 사고 원인을 규명할 때까지 피해 시스템에 대한 증거를 보전하고 임의로 관련 자료를 삭제하거나 포맷하여서는 아니 된다.

⑤ 공공 전용(專用) 민간클라우드를 이용하는 기관의 장은 공공 전용(專用) 민간클라우드에서 사고가 발생한 경우 조사 기관의 장과 합동으로 조사반을 구성하여 클라우드컴퓨팅서비스제공자에 대하여 계약의 범위 내에서 자료의 보전 및 제출 요구, 현장 조사 등 필요한 조치를 취하여야 한다.

행정안전부 정보보안지침

제1조(목적) #

제2조(정의) #

제3조(적용 범위) #

제4조(책무) #

제5조(정보보안담당관 운영) #

제6조(정보보안담당관의 임무) #

제7조(분임정보보안담당관의 임무) #

제8조(연도 추진계획 수립) #

제9조(정보보안내규) #

제10조(정보보안 감사 등) #

제11조(정보보안 교육) #

제12조(사이버보안진단의 날) #

제13조(보안책임) #

제14조(보안대책 수립) #

제15조(제안요청서 기재사항) #

제16조(검토 시기 및 절차) #

제17조(검토 기관) #

제18조(검토 생략) #

제19조(제출 문서) #

제20조(검토결과 조치) #

제21조(현황 제출) #

제22조(정보통신제품 도입) #

제23조(안전성 검증필 제품 목록) #

제24조(검증필 암호모듈 목록 및 운용관리) #

제25조(영상정보처리기기 도입) #

제26조(도입현황 제출) #

제26조의2(상용소프트웨어 도입) #

제27조(계약 특수조건) #

제28조(용역업체 보안) #

제29조(소프트웨어 개발보안) #

제29조의2(발주기관내 작업장소 보안) #

제30조(원격지 개발보안) #

제30조의2(원격지에서의 온라인 개발) #

제31조(소프트웨어 산출물 제공) #

제32조(누출금지정보 유출시 조치) #

제33조(대상 제품) #

제34조(검증 기관 맟 신청) #

제35조(검증 신청시 제출물) #

제36조(검증결과 통보 및 조치) #

제37조(취약점 조치) #

제38조(형상변경 및 용도변경시 조치) #

제39조(이행여부 확인) #

제40조(내부망ㆍ인터넷망 분리) #

제41조(클라우드컴퓨팅 보안) #

제42조(보안ㆍ네트워크장비 보안) #

제43조(무선랜 보안) #

제44조(이동통신망 보안) #

제45조(영상회의시스템 보안) #

제46조(인터넷전화 보안) #

제47조(인터넷 사용제한) #

제48조(파견자용 정보통신망) #

제49조(정보시스템 보안책임) #

제50조(정보시스템 유지보수) #

제51조(지정 단말기를 통한 온라인 유지보수) #

제52조(서버 보안) #

제52조의2(제어시스템 보안) #

제53조(공개서버 보안) #

제54조(로그기록 유지) #

제55조(업무용 통신단말기 보안) #

제56조(모바일 업무 보안) #

제57조(사물인터넷 보안) #

제58조(원격근무 보안) #

제59조(국제회의 보안) #

제60조(저장매체 불용처리) #

제61조(비밀의 전자적 처리) #

제62조(비밀관리시스템 운용) #

제63조(비밀의 전자적 처리 규격) #

제64조(대외비의 전자적 처리) #

제65조(비공개 업무자료 처리) #

제65조의2(특정 상황별 비공개 업무자료 처리) #

제66조(행정전자서명 인증서 등 관리) #

제67조(비공개 업무자료 유출방지) #

제68조(공개 업무자료 처리) #

제69조(홈페이지 등 게시자료 보안) #

제70조(정보통신망 현황자료 관리) #

제71조(빅데이터 보안) #

제72조(개별사용자 보안) #

제73조(단말기 보안) #

제74조(계정 관리) #