산업통상부 소관 주요정보통신기반시설 보호지침

제1조(목적) #

이 지침은 「정보통신기반보호법」 제10조에 따라 산업통상부 장관이 관할하는 주요정보통신기반시설을 각종 전자적 침해행위로부터 보호하기 위하여 해당 주요정보통신기반시설 관리기관의 장이 준수해야 할 정보보호에 관한 구체적 사항에 대해 정함을 목적으로 한다.

제2조(정의) #

① 이 지침에서 사용하는 용어의 정의는 다음과 같다.

1. "주요정보통신기반시설 관리기관"(이하 "관리기관"이라 한다)이란 「정보통신기반보호법」(이하 "법"이라 한다) 제8조에 따라 산업통상부 장관(이하 "장관"이라 한다)이 지정한 주요정보통신기반시설을 관리하는 기관을 말한다.

2. "주요정보통신기반시설 보호대책"(이하 "보호대책"이라 한다)이란 법 제5조제1항에 따라 주요정보통신기반시설을 관리하는 기관의 장(이하 "관리기관의 장"이라 한다)이 수립한 주요정보통신기반시설을 안전하게 보호하기 위한 관리적ㆍ물리적ㆍ기술적 보호대책을 말한다.

3. "주요정보통신기반시설 보호계획"(이하 "보호계획"이라 한다)이란 법 제5조제2항의 규정에 따라 관리기관으로부터 제출받은 보호대책을 종합ㆍ조정한 산업통상부 소관 주요정보통신기반시설에 관한 보호계획을 말한다.

4. "침해사고"란 전자적 침해행위로 인하여 발생한 사태를 말한다.

② 이 지침에서 사용하는 용어의 정의는 제1항에서 정한 것을 제외하고는 법에서 정하는 바에 따른다.

제3조(적용범위) #

이 지침은 법 제8조에 따라 장관이 지정한 관리기관에 적용한다.

제4조(정보보호책임관) #

① 법 제6조제5항에 따른 산업통상부 정보보호책임관은 산업통상부 기획조정실장으로 지정한다.

② 정보보호책임관은 산업통상부 소관의 주요정보통신기반시설의 보호에 관한 업무를 총괄한다.

③ 정보보호책임관은 법 시행령 제11조제1항에 따라 산업통상부 정보보호담당관을 업무 수행 지원인력으로 지정한다.

제5조(정보보호책임자) #

① 법 제5조제4항에 따라 관리기관의 장은 소관 주요정보통신기반시설의 보호에 관한 업무를 총괄하는 임원급 관리ㆍ운영자를 정보보호책임자로 지정해야 한다.

② 관리기관의 장은 정보보호책임자를 지정하거나 변동사항이 발생한 경우에는 발생한 날로부터 30일 이내에 장관에게 이를 통지해야 한다.

③ 정보보호책임자는 효율적인 정보보호 업무 수행을 위해 정보보호실무책임자를 업무 수행 지원인력으로 지정할 수 있다.

제6조(정보보호협의회) #

① 정보보호책임관은 주요정보통신기반시설 보호와 관련된 다음 사항을 수립ㆍ추진하기 위해 협의회를 구성ㆍ운영할 수 있다.

1. 주요정보통신기반시설의 지정, 지정 취소 및 지정 범위 조정

2. 주요정보통신기반시설의 보호계획 수립 및 보호대책 검토

3. 보호대책 이행여부의 확인 및 필요한 조치사항 명령

4. 그 밖에 주요정보통신기반시설 보호와 관련하여 협의가 필요한 사항

② 협의회의 장은 산업통상부 정보보호책임관으로 하고, 간사는 정보보호담당관으로 하며 위원은 주요정보통신기반시설 정보보호책임자로 한다.

제7조(관리기관간 협조) #

관리기관은 소관 주요정보통신기반시설의 보호를 위하여 산업통상부 소관 다른 관리기관, 법 제16조 및 「사이버안보 업무규정」 제14조에 따라 설치된 산업통상부 사이버안전센터와 다음 각 호의 사항에 관하여 상호 협조할 수 있다.

1. 주요정보통신기반시설의 보호와 관련된 정보의 공유

2. 침해사고 예방ㆍ대응 및 복구를 위한 상호협력 및 지원

3. 취약점 및 침해요인과 관련된 정보의 공유

4. 그 밖에 소관 주요정보통신기반시설의 보호를 위하여 상호협력이 필요한 사항

제8조(보호대책 수립) #

① 관리기관의 장은 법 제5조제1항에 따라 수립한 보호대책을 매년 8월 31일까지 장관에게 제출해야 한다.

② 보호대책에는 다음 각 호의 사항이 포함되어야 한다.

1. 소관 주요정보통신기반시설 보호의 목적 및 대상시설

2. 정보보호체계 및 관리 대책

3. 취약점 분석ㆍ평가 및 조치 결과

4. 침해사고 예방 대책

5. 침해사고 대응 및 복구 대책

6. 그 밖에 소관 주요정보통신기반시설의 보호를 위하여 필요한 사항

③ 관리기관의 장은 제2항제4호 침해사고 예방 대책을 수립하기 위해서는 다음 각 호의 사항을 고려해야 한다.

1. 시스템ㆍ네트워크 관리 및 보호에 관한 대책

2. 정보보호시스템 설치ㆍ운용에 관한 대책

3. 전산자료에 대한 백업ㆍ복구에 관한 대책

4. 악성코드 방지에 관한 대책

5. 시스템ㆍ네트워크ㆍ보안장비ㆍ데이터베이스 접근통제에 관한 대책

6. 그 밖에 소관 주요정보통신기반시설의 침해사고 예방을 위해 관리적ㆍ물리적ㆍ기술적 필요한 사항

④ 장관은 필요할 경우 관리기관으로 하여금 제1항에 따른 보호대책 제출 시 취약점 분석ㆍ평가 결과를 함께 제출하도록 요청할 수 있다.

제9조(보호대책 이행여부 확인) #

① 장관은 법 제6조에 따른 보호계획을 수립하기 위해 소관 관리기관에 대하여 보호대책의 이행여부를 확인할 수 있으며, 관리기관의 장에게 자체 보호대책 이행점검을 실시하도록 명령할 수 있다.

② 관리기관의 장은 제1항에 따라 자체 보호대책 이행점검을 실시한 때에는 그 이행점검 결과를 장관에게 제출해야 한다.

③ 관리기관의 장은 제1항에 따른 이행점검을 실시할 때에는 다음 각 호의 사항을 고려해야 한다.

1. 공공ㆍ민간분야 주요정보통신기반시설 보호대책 이행여부 확인 해설서

2. 산업통상부 소관 주요정보통신기반시설 보호대책 이행여부 확인 해설서

④ 장관은 관리기관의 주요정보통신기반시설과 관련된 시스템 현황 및 정보보호에 관한 사항을 확인할 수 있다. 이때 장관은 산업통상부 사이버안전센터로 하여금 보호대책의 이행여부 확인을 수행하도록 할 수 있다.

제10조(취약점 분석ㆍ평가) #

① 관리기관의 장은 법 제9조에 따라 소관 주요정보통신기반시설에 대한 취약점 분석ㆍ평가를 매년 실시해야 한다.

② 관리기관의 장은 취약점 분석ㆍ평가 시 발견된 취약점에 대하여 조치계획을 수립하고 그 결과를 기록ㆍ관리해야 한다.

제11조(보호조치 명령) #

장관은 법 제10조에 따라 다음 각 호의 어느 하나에 해당하는 경우 해당 관리기관의 장에게 주요정보통신기반시설의 보호에 필요한 조치를 하도록 명령할 수 있다.

1. 주요정보통신기반시설 운영에 영향을 미치는 세부시설의 범위에 해당하여 취약점 분석ㆍ평가 대상 자산으로 지정하는 경우

2. 제9조에 따른 보호대책 이행여부 확인 또는 자체 보호대책 이행점검을 실시한 결과에 따라 취약점 조치가 필요한 경우

제12조(침해사고 대응조치) #

① 관리기관의 장은 법 제13조제1항에 따라 소관 주요정보통신기반시설이 침해사고가 발생하여 교란ㆍ마비 또는 파괴된 사실을 인지한 때에는 산업통상부, 산업통상부 사이버안전센터, 수사기관, 한국인터넷진흥원에 그 사실을 별지 제1호서식에 따라 침해사고 신고서를 작성하여 통지해야 한다. 다만, 관리기관의 장은 소관 주요정보통신기반시설에 대한 경미한 침해사고의 경우에는 우선 조치하고 이를 사후 보고할 수 있다.

② 관리기관의 장은 침해사고 발생에 따른 대응절차 및 방법 등 자체 사이버위기대응매뉴얼을 수립해야 한다.

제13조(복구조치) #

① 관리기관의 장은 법 제14조에 따라 소관 주요정보통신기반시설에 대한 침해사고가 발생한 때에는 해당 정보통신기반시설의 복구 및 보호에 필요한 조치를 신속히 취하여야 한다.

② 관리기관의 장은 제1항의 복구조치를 위하여 필요한 조직, 자원, 외부기관과의 협력 등을 포함하는 복구지원체계를 구축해야 한다.

③ 관리기관의 장은 제1항 및 제2항의 내용을 포함하여 소관 주요정보통신기반시설에 대한 백업 및 복구절차에 관하여 필요한 사항을 정해야 한다.

보칙

제14조(재검토기한) #

장관은 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 이 훈령에 대하여 2026년 2월 10일을 기준으로 매 3년이 되는 시점마다 그 타당성을 검토하여 개선 등의 조치를 해야 한다.