환경위성센터 주요정보통신기반시설 보호지침

제1조(목적) #

이 지침은 「기후에너지환경부 소관 주요정보통신기반시설 보호지침」에 따라 국립환경과학원 소관 주요정보통신기반시설인 정지궤도환경위성 지상국시스템(이하 "지상국시스템"이라 한다)을 전자적 침해행위로부터 보호하기 위하여 관리조직인 환경위성센터가 준수하여야 할 정보보호에 관한 세부사항의 정함을 목적으로 한다.

제2조(용어정의) #

이 지침에서 사용하는 용어의 정의는 다음과 같다.

1. "정보통신기반시설"이란 국가안전보장ㆍ행정ㆍ국방ㆍ치안ㆍ금융ㆍ통신ㆍ운송ㆍ에너지 등의 업무와 관련된 전자적 제어ㆍ관리시스템 및 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제1호에 따른 정보통신망을 말한다.

2. "전자적 침해행위" 또는 "사이버공격"이란 다음 각 목의 방법으로 정보통신기반시설을 공격(불법적 침입, 교란, 마비 및 파괴 또는 정보의 훼손, 절취 및 위ㆍ변조)하는 행위를 말한다.

가. 해킹, 컴퓨터바이러스, 논리ㆍ메일폭탄, 서비스거부 또는 고출력 전자기파 등의 방법

나. 정상적인 보호ㆍ인증 절차를 우회하여 정보통신기반시설에 접근할 수 있도록 하는 프로그램이나 기술적 장치 등을 정보통신기반시설에 설치하는 방법

3. "침해사고"란 전자적 침해행위로 인하여 발생한 사태를 말한다.

제3조(적용범위) #

이 지침은 "지상국시스템"을 관리ㆍ운용하는 환경위성센터의 업무종사자에게 적용한다.

제4조(정보보호책임자) #

① 「기후에너지환경부 소관 주요정보통신기반시설 보호지침」 제5조제1항에 따라 국립환경과학원 소관 주요정보통신기반시설 "정지궤도환경위성 지상국시스템"의 정보보호책임자는 기후에너지환경부 국립환경과학원 대기환경연구부 환경위성센터장으로 한다.

② 「기후에너지환경부 소관 주요정보통신기반시설 보호지침」 제5조제2항의 규정에 따라 정보보호책임자는 다음 각 호의 업무를 수행한다.

1. 주요정보통신기반시설의 보호대책 수립ㆍ시행

2. 주요정보통신기반시설 보호업무에 대한 기술적 지원 요청

3. 취약점 분석ㆍ평가 및 침해사고 예방에 관한 업무

4. 취약점 분석ㆍ평가 및 전담반 구성

5. 주요정보통신기반시설의 보호에 필요한 조치 명령 및 권고의 이행

6. 침해사고의 통지

7. 주요정보통신기반시설의 복구 및 보호에 필요한 조치

8. 기타 주요정보통신기반시설의 보호업무에 관한 사항

제5조(전담 조직의 구성) #

① 제4조제2항에 따른 주요정보통신기반시설 보호 업무를 수행하기 위하여 제4조제1항에 따른 정보보호책임자 소속하에 별도의 전담 조직을 구성ㆍ운영할 수 있다.

② 정보보호책임자는 "지상국시스템" 보호 업무에 대한 실무 수행을 위한 정보보호담당자를 지정하여야 한다.

제6조(업무종사자의 준수사항) #

① 정보보호책임자는 "지상국시스템"을 관리ㆍ운용하는 업무종사자(공무직근로자 등을 포함한다)가 다음 각 호의 사항을 준수하도록 하여야 한다.

1. 주요정보통신기반시설의 보호책임에 관한 사항

2. 비밀유지 및 비밀서약에 관한 사항

3. 주요정보통신기반시설 보호관련 법령 및 지침 등의 준수에 관한 사항

4. 보호관련 지침 및 보호조치 위반에 따른 징계에 관한 사항

② 정보보호책임자는 해당 시설을 관리ㆍ운용하는 업무종사자가 보직이 변경되거나 퇴사하는 경우 「기후에너지환경부 소관 주요정보통신기반시설 보호지침」 제8조제2항에 따라 "지상국시스템"의 관리ㆍ운용에 관하여 취득한 비밀을 외부에 유출하지 않도록 주지시켜야 한다. 이 경우 보직이 변경되거나 퇴사하는 자에 대하여 비밀유지에 관한 서약서를 작성하도록 요구할 수 있다.

제7조(정보보호 교육ㆍ훈련) #

① 정보보안에 대한 경각심 및 인식 제고를 위하여 환경위성센터 업무종사자는 특별한 사유가 없는 경우에는 국립환경과학원의 연간 정보보안 교육 계획에 따른 교육을 연 1회 이상 이수하여야 한다. 단, "지상국시스템"의 보호에 관한 중요한 절차 및 방법 등의 변경이 있거나 신규로 직원을 채용한 때에는 지체 없이 필요한 교육ㆍ훈련을 실사하여야 한다.

② 정보보호책임자는 정보보호담당자의 업무 전문성을 제고하고, 소속 공무원 등의 정보보안 지식을 함양하기 위하여 전문기관의 교육 이수나 학술회의 참가 등을 장려하여야 한다.

③ 정보보호책임자는 1항에 따른 교육ㆍ훈련을 실시하기 위하여 다음 각 호의 사항을 정하여야 한다.

1. 교육ㆍ훈련의 내용 및 방법

2. 교육ㆍ훈련에 관한 기록유지 및 인사관리에 관한 사항

3. 그 밖에 교육ㆍ훈련을 위하여 필요한 사항

제8조(보호대책 수립) #

① 정보보호책임자는 「정보통신기반 보호법」제5조제1항에 따라 보호대책을 수립하여 매년 8월 말까지 장관에게 제출하여야 한다.

② 정보보호책임자는 보호대책을 수립할 때에는 「정보통신기반 보호법 시행령」 제10조제2항에 따라 기후에너지환경부로부터 통보받은 보호대책 수립지침을 준수하여야 하며, 「정보통신기반 보호법」 제9조에 따라 실시한 취약점 분석ㆍ평가 결과를 반영하여야 한다.

③ 정보보호책임자는 제1항에 따른 보호대책 제출 시 「기후에너지환경부 소관 주요정보통신기반시설 보호지침」제 12조 3항 요청에 따라 취약점 분석평가 결과를 함께 제출하여야 한다.

④ 정보보호책임자는 「기후에너지환경부 소관 주요정보통신기반시설 보호지침」 제12조제4항에 따라 기후에너지환경부로부터 보호대책의 보완 요청을 받을 경우 이에 따라야 한다.

⑤ 정보보호책임자는 주요정보통신기반시설의 관리ㆍ운영 또는 취약점 분석ㆍ평가 등 보호에 관한 업무를 전문기관 또는 업체에 위탁하는 경우에는 해당 기관 또는 업체의 위탁업무종사자에게 정보통신기반 보호법 제 27조에 따른 비밀유지의무를 준수하도록 비밀유지 서약서의 작성 요구, 업무관련 기록ㆍ자료의 안전한 보존 및 폐기 명령 등 필요한 조치를 하여야 한다.

제9조(보호대책 이행) #

정보보호책임자는 「기후에너지환경부 소관 주요정보통신기반시설 보호지침」 제13조제1항에 의해 기후에너지환경부로부터 통보받은 보호계획과 제8조제1항에 따라 수립한 보호대책을 이행하여야 한다.

제10조(이행점검) #

정보보호책임자는 「기후에너지환경부 소관 주요정보통신기반시설 보호지침」 제14조에 따라 기후에너지환경부가 실시하는 보호대책에 대한 이행점검에 응하여야 한다.

제11조(취약점 분석ㆍ평가) #

① 정보보호책임자는 「기후에너지환경부 소관 주요정보통신기반시설 보호지침」 제15조제1항에 따라 "지상국시스템"에 대한 취약점 분석ㆍ평가를 매년 실시해야 한다.

② 정보보호책임자는 제1항에 의해 취약점을 분석ㆍ평가하고자 하는 경우에는「정보통신기반 보호법 시행령」 제18조제1항에 따라 취약점 분석ㆍ평가 전담반을 구성하여야 한다.

③ 정보보호책임자는 제1항에 의해 취약점을 분석ㆍ평가하고자 하는 경우에는 다음 각 호의 하나에 해당하는 기관으로 하여금 취약점을 분석ㆍ평가하게 할 수 있으며, 이 경우 제2항에 따른 전담반을 구성하지 아니할 수 있다.

1. 한국인터넷진흥원

2. 「정보통신기반 보호법」 제16조에 의한 정보공유ㆍ분석센터

3. 「정보보호산업의 진흥에 관한 법률」 제23조에 따라 지정된 정보보호 전문서비스 기업

4. 한국전자통신연구원

④ 정보보호책임자는 취약점 분석ㆍ평가시 발견된 취약점에 대한 조치를 위해 점검항목별 조치 이력 관리대장을 작성ㆍ관리하여야 한다.

제12조(자체점검 및 수시점검) #

① 정보보호책임자는 「기후에너지환경부 소관 주요정보통신기반시설 보호지침」 제16조제1항에 따라 "지상국시스템"에 중대한 변화가 발생하였거나 취약점 분석ㆍ평가가 필요하다고 판단하는 경우에는 취약점에 대한 자체점검을 실시할 수 있다.

② 정보보호책임자는 다음 각 호의 하나에 해당하는 경우에는 수시점검을 실시할 수 있다.

1. 침해사고의 징후가 있는 경우

2. 시설ㆍ장비의 교체 및 보수를 한 경우

3. 침해사고에 따른 복구조치를 한 경우

4. 소관 주요정보통신기반시설의 보호에 관한 절차ㆍ방법 및 담당 인력의 변경이 있는 경우

③ 정보보호책임자는 제1항과 제2항에 따른 자체점검 및 수시점검을 실시할 때에는 다음 각 호의 사항을 고려하여야 한다.

1. 「정보통신기반 보호법」 제9조에 따른 취약점 분석ㆍ평가 기준

2. 취약점 분석ㆍ평가의 범위, 항목, 절차 및 방법

3. 이전에 실시한 취약점 분석ㆍ평가의 결과

④ 정보보호책임자는 자체점검 및 수시점검을 실시한 때에는 점검 기간, 대상, 방법 및 결과 등 점검에 관한 제반사항을 기록ㆍ관리하여야 한다.

제13조(보완조치) #

정보보호책임자는 제11조에 따른 취약점 분석ㆍ평가 및 제12조에 따른 점검 결과를 반영하여 다음 각 호의 조치를 하여야 한다.

1. "지상국시스템" 보호를 위해 수립된 각종 보호조치, 절차 및 방법 등의 재검토 및 수정ㆍ보완

2. 시설ㆍ장비의 개축ㆍ보수 또는 설치

3. 그 밖에 취약점 분석ㆍ평가 또는 점검 결과를 반영한 보완 조치

제14조(정보통신망 보안관리) #

① 정보보호책임자는 "지상국시스템" 보호를 위하여 타 정보통신망과 분리ㆍ운영, 인터넷 연결이 차단된 관리자PC를 통한 시스템 관리기능 접속, 비인가 단말기 접속차단 등의 기술적 통제수단을 강구하여야 한다.

② 정보보호책임자는 "지상국시스템" 관련 서버, 단말기, 네트워크 장비 등에 불필요한 서비스ㆍ사용자 계정 등은 제거하고 유지보수를 위한 외부업체의 원격관리를 금지하여야 한다.

③ 정보보호책임자는 "지상국시스템" 보호를 위하여 시스템별 사용자접근, 사용내역 등의 로그 자료를 12개월 이상 보관하는 등 기록을 유지하여야 한다.

제15조(연락체계의 구축) #

정보보호책임자는 "지상국시스템"에 대한 전자적 침해사고가 발생한 경우 신속히 대응하고 관계기관에 알리기 위해 필요한 연락체계를 구축하여야 한다.

제16조(침해사고 예방조치) #

정보보호책임자는 "지상국시스템"을 보호하기 위하여 침해사고 예방대책을 수립ㆍ시행하는 경우에는 다음 각 호의 사항을 고려하여야 한다.

1. 시스템ㆍ네트워크 관리 및 보호에 관한 대책

2. 정보보호시스템 설치ㆍ운용에 관한 대책

3. 전산자료에 대한 백업조치 등

4. 악성코드 방지 대책

5. 접근통제에 관한 대책

6. 그 밖에 침해사고 예방을 위해 필요한 사항

제17조(침해사고의 통지) #

① 정보보호책임자는 침해사고가 발생하여 "지상국시스템"이 교란ㆍ마비 또는 파괴된 사실을 인지한 때에는「정보통신기반 보호법」 제13조제1항에 따라 관계행정기관(국가정보원, 기후에너지환경부), 수사기관 또는 한국인터넷진흥원에 그 사실을 통지하여야 한다.

② 제1항에 의한 침해사고의 통지에는 다음 각 호의 사항이 포함되어야 한다.

1. 침해사고발생 일시 및 시설

2. 침해사고로 인한 피해내역, 조치현황

3. 기타 신속한 대응ㆍ복구를 위하여 필요한 사항

제18조(침해사고 대응조치) #

① 환경위성센터 업무종사자는 전자적 침해사고의 징후가 있거나 전자적 침해사고의 발생을 인지한 때에는 이를 즉시 정보보호책임자에게 보고하고 침해사고대응팀 구성 등 필요한 응급조치를 취하여야 한다.

② 정보보호책임자는 "지상국시스템"에 대한 중대한 전자적 침해사고의 발생ㆍ징후를 보고 받거나 인지한 때에는 이를 국가안보실, 국가정보원, 기후에너지환경부, 국립환경과학원에 즉시 보고하여야 한다. 다만, 정보보호책임자는 "지상국시스템"의 교란, 마비 또는 파괴가 일어나지 아니하는 등 경미한 침해사고의 발생ㆍ징후는 조치를 선행하고 이를 사후 보고할 수 있다.

③ 정보보호책임자는 제1항 및 제2항에 따른 사항을 포함하여 전자적 침해사고 발생에 따른 대응절차 및 방법 등 침해사고 대응체계를 수립하여야 한다.

제19조(침해사고 복구조치) #

① 정보보호책임자는 "지상국시스템"에 대한 침해사고가 발생한 때에는 해당 정보통신기반시설의 복구 및 보호에 필요한 조치를 신속히 취하여야 한다.

② 정보보호책임자는 제1항의 복구조치를 위하여 필요한 조직, 자원, 외부기관과의 협력 등을 포함하는 복구지원체계를 구축하여야 한다.

③ 정보보호책임자는 제1항 및 제2항의 내용을 포함하여 전자적 침해사고가 발생한 시설에 대한 복구절차 및 방법에 관하여 필요한 사항을 정하여야 한다.

제20조(대응ㆍ복구훈련의 실시) #

① 정보보호책임자는 환경위성센터 업무종사자가 제18조제3항 및 제19조제3항에 따른 침해사고 대응ㆍ복구에 관한 절차 및 방법을 정확히 숙지할 수 있도록 필요한 훈련을 정기적으로 실시하여야 한다.

② 정보보호책임자는 대응ㆍ복구훈련을 실시한 결과 미비점이 발견된 경우, 해당되는 대응ㆍ복구 절차 및 방법을 수정ㆍ보완하여야 한다.

제21조(보안관리 절차) #

① "지상국시스템"의 보안관리에 관한 세부사항은 "환경위성센터 주요정보통신기반시설 보안관리 매뉴얼"을 따른다.

② 정보보호책임자는 환경위성 관련 업무의 증감, 환경위성센터 내ㆍ외부 운영환경의 변화 등에 따라 제1항에 따른 보안관리 세부사항을 주기적으로 재검토하고 수정ㆍ보완하여야 한다.

제22조(위규자 처리) #

정보보안사고(위규)자 처리기준은「기후에너지환경부 정보보안 업무지침」제79조제2항의 "기후에너지환경부 정보보안사고(위규)자 처리기준"에 따른다.

제23조(재검토기한) #

국립환경과학원장은「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 이 예규에 대하여 2026년 1월 1일 기준으로 매 3년이 되는 시점(매 3년째의 12월 31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.