행정기관 정보시스템 접근권한 관리 규정

제1조(목적) #

이 훈령은 「전자정부법」 제34조 및 같은 법 시행령 제38조제1항에 따라 이용자의 본인확인과 접근권한 관리의 기준 및 절차 등을 정함을 목적으로 한다. 〈개정 2021.10.28〉

제2조(적용범위) #

이 훈령은 중앙행정기관(대통령 소속기관 및 국무총리 소속기관을 포함한다) 및 그 소속기관과 지방자치단체를 적용 대상으로 한다. 〈개정 2013.4.15〉

제3조(정의) #

이 훈령에서 사용하는 용어의 뜻은 다음과 같다. 〈개정 2021.10.28〉

1. "이용자"란 다음 각 목의 사람을 말한다.

가. 업무담당자: 정보시스템 또는 행정정보를 이용하여 행정업무를 수행하는 사람

나. 시스템 관리자: 행정업무의 원활한 수행을 위하여 정보시스템을 운영ㆍ관리하는 사람

2. 삭제 <2021.10.28>

3. 삭제 <2021.10.28>

4. 삭제 <2021.10.28>

5. "본인확인"이란 이용자가 가지고 있거나 알고 있는 정보를 이용하여 본인임을 확인하는 것을 말한다.

6. "접근권한"이란 정보시스템에 접속하여 정보자원을 활용할 수 있는 권한과 행정정보를 생성ㆍ변경ㆍ열람ㆍ삭제 등을 할 수 있는 권한을 말한다.

7. "정보보유기관"이란 행정기관으로서 행정정보를 직무상 작성ㆍ취득하여 유지ㆍ관리하는 기관을 말한다.

8. "정보시스템"이란 정보의 수집, 가공, 저장, 검색, 송신ㆍ수신 및 그 활용과 관련되는 기기와 소프트웨어의 조직화된 체계를 말한다.

9. "행정정보"란 행정기관이 직무상 작성 또는 취득하여 관리하고 있는 자료로서 전자적 방식으로 처리되어 부호ㆍ문자ㆍ음성ㆍ음향ㆍ영상 등으로 표현된 것을 말한다.

10. "모바일 공무원증"이란 「국가공무원 복무규칙」 제62조의2제1항 또는 자치법규에 따라 발급하는 전자적 방식의 공무원 신분증을 말한다.

제4조(기본원칙) #

① 행정기관의 장은 정보통신망을 통한 행정업무의 수행을 위하여 정보시스템 또는 행정정보에 접근하려는 이용자에게 본인확인 및 접근권한 확인 절차를 반드시 거치도록 해야 한다. 〈개정 2021.10.28〉

② 행정기관의 장은 다음 각 호에 해당하는 경우에는 이용자 본인확인 및 접근권한 확인 절차 없이 정보 접근이 가능하도록 할 수 있다.

1. 법령 등에 의하여 공개를 목적으로 작성된 정보의 열람

2. 일반 국민에게 알리기 위하여 작성된 각종 홍보자료의 열람

3. 그 밖에 행정기관의 장이 공개하기로 정한 정보의 열람

제5조(접근권한 관리의 책임자 지정ㆍ운영) #

① 행정기관의 장은 정보시스템의 특성에 따라 이용자에 대한 본인확인 및 접근권한 부여에 관한 책임자(이하 "권한관리책임자"라 한다)를 지정ㆍ운영하여야 한다.

② 권한관리책임자는 제4조에 따른 이용자 본인확인 및 접근권한 확인을 위하여 다음 각 호의 업무를 수행하여야 한다.

1. 이용자 본인확인 및 접근권한 관리 업무의 총괄

2. 이용자 본인확인 및 접근권한 관리와 관련된 기능의 구현

3. 이용자 본인확인 및 접근권한 부여의 기준 및 절차 수립

4. 이용자 접근권한 부여 여부의 심사

5. 이용자 등록ㆍ관리 및 접근권한 부여

6. 정보시스템 또는 행정정보 이용 내역에 대한 기록의 사후 점검 및 확인

7. 정보시스템 또는 행정정보 이용 내역과 관련된 자료의 보관 및 주기적 백업 등 관리

③ 권한관리책임자는 이용자 본인확인 및 접근권한 관리의 효율적 수행을 위하여 제2항제5호 및 제7호에 해당하는 업무를 수행하는 사람을 지정ㆍ운영할 수 있다.

제6조(접근권한 정책수립) #

① 행정기관의 장은 기관별 특성에 맞는 접근권한 정책을 수립하여야 한다.

② 행정기관의 장이 제1항에 따라 접근권한 정책을 수립하는 경우 전산자료의 중요성 또는 가용성 등에 따라 보호등급을 분류하고, 등급별로 분류된 전산자료에 접근하기 위한 인증수준은 이용자 인증의 필요성, 제시된 본인확인 정보의 유효성ㆍ신뢰성에 따라 차등하여 구분한다. 〈개정 2021.10.28〉

제7조(접근권한 책임 및 권한 위탁) #

① 행정정보에 대한 접근권한은 행정정보를 보유하고 있는 정보보유기관의 장이 부여한다.

② 정보보유기관과 전자정부 서비스를 제공하는 기관이 다를 경우, 정보보유기관의 장은 보유중인 행정정보에 대한 이용자 접근권한 관리를 전자정부 서비스 제공기관의 장에게 위탁할 수 있다.

제8조(업무담당자의 본인확인) #

① 업무담당자가 다음 각 호에 해당하는 업무처리를 위하여 정보시스템 또는 행정정보에 접근하려는 때에는 행정전자서명 또는 모바일 공무원증으로 본인임을 확인해야 한다. 다만, 기관 내 불특정 다수를 대상으로 하는 정보를 열람하거나 의견수렴, 만족도 조사에 참여하는 등의 경우에는 사용자계정(ID) 및 비밀번호 방식 등 다른 방법으로 본인임을 확인할 수 있다. 〈개정 2021.10.28〉

1. 정보통신망을 통한 업무수행 및 행정서비스의 제공

2. 전자적 수단에 의한 결재ㆍ의사결정 등 전자적 업무처리

3. 삭제 <2021.10.28>

4. 온라인 원격근무

5. 전자문서의 작성, 발송, 접수, 보존, 보관 및 활용

6. 행정정보의 처리 및 전자적 제공

7. 전자민원창구 등을 통한 비방문민원 처리 및 전자적 민원처리

8. 전자적 급부의 제공

9. 정보통신망을 통한 상담ㆍ자문ㆍ교육 및 진료 등 대국민 서비스의 수행

10. 그 밖에 제1호부터 제9호까지의 업무 수행에 준하는 행정업무의 수행

② 업무담당자가 「공공기관의 정보공개에 관한 법률」 제9조제1항제1호 및 제2호의 정보를 취급하기 위하여 정보시스템 또는 행정정보에 접근할 때에는 행정전자서명인증서 또는 모바일 공무원증과 함께 보안토큰, 스마트카드, 1회용 패스워드(OTP), 생체인식 등 보안성이 강화된 인증 방식을 동시에 사용할 수 있다. 〈개정 2021.10.28〉

제10조(시스템 관리자의 본인확인) #

① 시스템 관리자가 정보시스템 또는 행정정보에 접근할 때에는 행정전자서명인증서 또는 모바일 공무원증으로 본인임을 확인해야 한다. 〈개정 2021.10.28〉

② 국가안보와 관련된 주요 정보시스템 또는 행정정보에 접근할 때에는 행정전자서명인증서 또는 모바일 공무원증과 함께 보안토큰, 스마트카드, 1회용 패스워드(OTP), 생체인식 등 보안성이 강화된 인증 방식을 동시에 사용할 수 있다. 〈개정 2021.10.28〉

제11조(외주직원 등의 본인확인) #

① 권한관리책임자는 원칙적으로 유지보수 업체 또는 외주용역 업체의 직원이 정보시스템 또는 행정정보에 임의로 접근하지 못하도록 해야 한다.

② 권한관리책임자는 유지보수 업체 또는 외주용역 업체의 직원이 운영상 불가피한 사유로 정보시스템 또는 행정정보에 접근을 필요로 하는 때에는 그 직원에게 보안서약서를 받고 다음 각 호의 보안대책을 마련한 후 접근을 승인해야 한다. 이 경우 접근 방식은 사용자계정(ID) 및 비밀번호를 이용한 본인확인 방식으로 한다.

1. 분기 또는 반기 단위의 접근 허용 기간 설정

2. 분기 또는 반기 단위의 접근 허용 적정성 심사

3. 유지보수 업체 또는 외주용역 업체의 직원이 접근할 수 있는 네트워크와 내부 네트워크를 분리

4. 최소 범위의 접근권한 설정

5. 그 밖에 정보시스템 또는 행정정보 보호를 위하여 필요하다고 판단하는 사항

③ 권한관리책임자는 제2항에 따라 접근이 승인된 경우 제2항제1호부터 제5호까지의 사항을 주기적으로 지도ㆍ감독해야 한다.

④ 권한관리책임자는 유지보수 업체 또는 외주용역 업체의 직원에 대한 정보시스템 또는 행정정보 접근 승인 내역 및 사유 등을 기록하고 이를 관리해야 한다.

[전문개정 2021.10.28]

제12조(접근권한 부여 원칙) #

① 정보시스템 접근, 행정정보 열람 등 모든 접근권한은 법령 또는 업무규정 등에 따라 허용된 자에 한하여 업무수행에 필요한 최소한의 범위로 부여하여야 한다.

② 접근권한을 부여받은 이용자는 접근권한을 임의로 양도, 대여해서는 안 되며, 권한관리책임자는 이를 수시로 확인 및 지도ㆍ감독하여야 한다.

③ 권한관리책임자는 제6조제2항에 따라 업무담당자에게 접근권한을 차등 부여하여야 한다.

제13조(접근권한 부여 기준) #

① 권한관리책임자는 법령 또는 업무규정 등을 근거로 다음 각 호의 사항을 참조하여 업무담당자의 접근권한 부여 기준을 마련하여야 한다.

1. 정보시스템의 종류 및 중요도에 따른 접근권한 부여 범위의 차등화

2. 국민의 개인 신상, 재산, 인가 등과 관련된 정보의 접근권한은 업무와 관련 있는 담당자 및 결재권자로 제한

3. 내부 의사결정과 관련된 행정정보는 정보의 중요도에 따라서 접근권한 부여 범위를 업무담당자 및 결재권자, 업무관련 부서 또는 기관 단위로 제한

4. 행정기관의 행정통계와 관련된 정보의 접근권한은 관련 부서 또는 기관 단위로 제한

5. 공개되어도 상관없는 정보의 접근권한은 기관 단위로 제한하거나 허용

② 권한관리책임자는 시스템 관리자가 적절한 승인절차 없이 행정정보를 생성ㆍ열람ㆍ가공할 수 없도록 하여야 하며, 행정정보에 접근할 경우에도 주요 정보 및 개인정보 등은 직접 접근할 수 없도록 보안조치를 하여야 한다.

③ 삭제 <2021.10.28>

제14조(접근권한 신청) #

① 정보시스템 또는 행정정보를 이용하고자 하는 업무담당자, 시스템 관리자 및 외주 직원 등은 다음 각 호의 사항을 기재한 신청서를 작성하여 부서장(외주 직원 등은 관할 부서장)의 결재를 받은 후 권한관리책임자에게 접근권한을 신청하여야 한다.

1. 정보시스템 또는 행정정보의 이용 또는 활용 목적 및 근거

2. 이용 또는 활용하고자 하는 정보시스템 또는 행정정보의 범위

② 행정기관의 장은 다른 기관에서 보유 중인 행정정보를 이용하는 경우, 이용하고자 하는 정보의 범위를 명시하여 정보보유기관의 장에게 다음 각 호의 사항을 작성하여 문서로 요청하여야 한다.

1. 정보시스템 또는 행정정보의 이용 또는 활용목적 및 근거

2. 이용 또는 활용하고자 하는 정보시스템 또는 행정정보의 범위

3. 행정정보의 제공 방식, 보관기간 및 안전관리대책 등

③ 삭제 <2021.10.28>

제15조(접근권한 심사) #

① 권한관리책임자는 제13조에 따른 접근권한 부여의 기준에 따라 다음 각 호의 사항을 심사하여 최소한의 접근권한을 부여하여야 하며, 국가 안보와 관련된 정보시스템 등 주요 정보시스템에 대한 접근권한은 기관별로 접근권한 심사위원회를 구성하여 접근권한을 심사할 수 있다.

1. 정보시스템 또는 행정정보의 이용 또는 활용목적의 정당성

2. 정보시스템 또는 행정정보 이용 범위의 적정성

3. 신청내용의 타당성, 적합성, 공익성

② 정보보유기관의 장은 보유하고 있는 행정정보를 그 기관의 내부 또는 다른 기관에 이용하게 하고자 하는 경우에는 다음 각 호의 사항을 검토하여 업무수행에 필요한 최소한의 범위로 이용하게 하여야 하며, 법령 등에서 정하는 경우 이외에는 접근권한 심사위원회를 구성하여 심사를 거쳐 이용 여부를 결정하여야 한다. 이 경우 정보보유기관의 장은 제공하는 행정정보에 대한 사유 및 제공 내역 등을 관리하여야 한다.

1. 행정정보의 이용 또는 활용 목적의 정당성

2. 행정정보 이용 범위의 적정성

3. 신청내용의 타당성, 적합성, 공익성

4. 행정정보의 목적 외 사용방지 및 안전관리대책 확보 여부

③ 권한관리책임자는 이용자의 접근권한 부여 승인 내역을 기록ㆍ관리하여야 한다.

④ 제1항 및 제2항에 따른 접근권한 심사위원회는 권한관리책임자를 위원장으로 하여 다음 각 호와 같이 구성ㆍ운영한다.

1. 접근권한 심사위원회는 위원장 1명을 포함하여 3명에서 5명까지의 위원으로 구성

2. 위원은 소속 공무원 또는 보안에 관한 지식을 가진 전문가로 지명 또는 위촉

제16조(이용자 정보 관리) #

① 권한관리책임자는 이용자 등록 내역을 주기적으로 점검하여 부적절한 이용자의 접근권한을 삭제하는 등 필요한 조치를 하여야 한다.

② 이용자는 정보시스템 또는 행정정보에 접근할 때 사용되는 행정전자서명인증서, 모바일 공무원증 및 사용자계정(ID) 등 이용자 본인확인에 필요한 정보를 타인과 공유하지 않고 안전하게 관리해야 한다. 〈개정 2021.10.28〉

제17조(이용자교육) #

① 행정안전부장관은 접근권한 관리 업무의 효율적 수행을 위하여 행정기관 권한관리책임자를 대상으로 교육을 실시할 수 있다. 〈개정 2013.4.15, 2014.12.31, 2017.10.25〉

② 권한관리책임자는 내부자 정보유출 방지 및 효율적 업무 수행을 위하여 해당 기관의 업무담당자, 시스템 관리자를 대상으로 타인과 접근권한 공유 또는 이양 금지 등 권한관리의 중요성에 대한 교육을 실시하여야 한다.

제18조(접근권한 점검ㆍ관리) #

① 기관의 조직개편ㆍ인사발령ㆍ사무분장의 변경 등으로 업무담당자의 접근권한을 변경해야 할 경우, 권한관리책임자는 그 변경된 인사 내용에 따라 지체 없이 접근권한을 변경하여야 한다.

② 권한관리책임자는 소관 정보시스템 및 행정정보에 대해서 접근권한 관리의 적절성 및 접근권한의 오ㆍ남용 여부를 주기적으로 점검하여야 한다.

제19조(운영실태 점검 및 개선권고) #

① 행정안전부장관은 행정기관의 내부자 정보유출 방지 및 접근권한 관리 업무를 효율적으로 수행하기 위하여 해당 기관의 이용자 접근권한 관리 실태를 정기적으로 점검할 수 있으며, 개선사항에 대한 조치를 권고할 수 있다. 〈개정 2013.4.15, 2014.12.31, 2017.10.25〉

② 행정기관은 운영실태 점검에 따른 개선 권고사항을 이행하여야 하며, 조치결과를 행정안전부장관에게 통보하여야 한다. 〈개정 2013.4.15, 2014.12.31, 2017.10.25〉

제20조(기반구축 및 기술지원) #

행정안전부장관은 접근권한 관리를 원활하게 운영하기 위하여 각 행정기관에 권한관리 시스템의 기반구축 및 기술지원을 할 수 있다. 〈개정 2013.4.15, 2014.12.31, 2017.10.25〉

제21조(이용내역 기록) #

① 행정기관의 장은 업무담당자가 「공공기관의 정보공개에 관한 법률」 제9조에 해당하는 비공개 대상정보를 생성ㆍ수정ㆍ삭제ㆍ열람 등을 하고자 하는 경우 다음 각 호의 사항을 포함하는 정보이용 내역을 기록으로 남길 수 있도록 정보시스템을 구축ㆍ운영하여야 한다.

1. 이용자 접근 기록 및 이용 시간

2. 이용자 식별 정보

3. 이용자가 생성ㆍ변경ㆍ열람ㆍ삭제한 행정정보의 내용 및 사유

4. 시스템 관리자가 생성ㆍ변경ㆍ열람ㆍ삭제한 정보의 내용 및 사유

5. 그 밖에 접근권한의 오ㆍ남용 및 정보 유출 여부를 검증하기 위해 필요하다고 판단되는 정보

제22조(이용 기록의 보관) #

① 행정기관의 장은 정보시스템 또는 행정정보 이용내역에 대한 기록을 전산자료의 보호등급에 따라 전산자료 저장매체를 이용하여 최소한 1년 이상 보관해야 한다. 다만, 정보시스템 접근권한의 부여ㆍ변경ㆍ회수ㆍ삭제 내역은 3년 이상 보관해야 한다. 〈개정 2021.10.28〉

② 행정기관의 장은 이용내역에 대한 기록이 변경되거나 삭제될 수 없도록 시스템을 구축하고 권한관리책임자의 사전 승인이 없는 한 시스템 관리자 외에는 접근할 수 없도록 하여야 한다.

제23조(재검토기한) #

행정안전부장관은 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 2022년 1월 1일을 기준으로 매 3년이 되는 시점(매 3년째의 12월 31일까지를 말한다)마다 이 훈령의 타당성을 검토하여 개선 등의 조치를 해야 한다.

[본조신설 2021.10.28]