◉방송통신위원회고시 제2008-11호

정보통신망 이용촉진 및 정보보호 등에 관한 법률 제47조제2항 및 같은 법 시행령 제47조제2항․제48조제1항제3호․제5항․제50조제6항 에 따라 정보보호관리체계 인증 등에 관한 고시를 다음과 같이 고시합니다.

2008년  5월 19일

방송통신위원회위원장

정보보호관리체계 인증 등에 관한 고시

제1장 총칙

제1조(목적) 이 고시는 ｢정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하“법”이라 한다) 제47조제2항 및 같은 법 시행령 제47조제2항․제48조제1항제3호․제5항․제50조제6항에 따른 정보보호관리체계 인증에 관한 정보보호관리기준․지정에 필요한 업무수행능력심사 등에 관한 세부사항과 그 밖에 정보보호관리체계 인증에 관하여 필요한 사항에 대하여 정하는 것을 목적으로 한다.

제2조(용어의 정의) 이 기준에서 사용하는 용어의 정의는 다음 각 호와 같다.

1. “업무수행능력심사”란 정보보호관리체계인증기관으로 지정받고자 신청한 법인 또는 단체의 업무수행능력을 세부평가기준에 따라 심사하는 것을 말한다.

2. “정보보호관리체계인증기관”이란 법 제47조에 따른 한국정보보호진흥원과 방송통신위원회가 지정하는 기관을 말한다.

3. “인증”이란 신청기관이 수립하여 운영하고 있는 정보보호관리체계가 인증심사기준 등에 적합함을 정보보호관리체계인증기관이 승인하는 것을 말한다.

4. “인증심사”란 신청기관이 수립하여 운영하는 정보보호관리체계가 인증심사기준 등에 대하여 서면심사 및 기술심사의 방법으로 확인하는 것을 말한다.

5. “정보보호관리과정(이하 ‘관리과정’이라 한다)”이란 정보보호관리체계를 수립ㆍ운영하기 위하여 유지ㆍ관리하여야 할 과정으로 다음 각목의 5단계 활동을 말한다.

가. 정보보호정책 수립

나. 정보보호관리체계 범위설정

다. 위험관리

라. 구현

마. 사후관리

6. “신청기관”이란 이 고시에 따라 정보보호관리체계 인증을 취득하고자 신청한 업체 및 기관 등을 말한다.

7. “외부자”란 신청기관의 직원이 아닌 자를 말한다.

8. “정보보호대책”이란 신청기관이 정보보호관리체계를 수립․운영하기 위하여 별표 6에서 선택한 통제사항을 말한다.

제2장 정보보호관리체계인증기관의 지정 등

제1절 정보보호관리체계인증기관의 지정신청

제3조(정보보호관리체계인증기관의 지정공고) 방송통신위원회는 법 제47조 및 ｢정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령｣(이하 “영”이라 한다) 제48조에 따라 정보보호관리체계인증기관을 지정할 필요가 있는 때에는 미리 접수신청기간과 신청요령 등을 정하여 관보 및 인터넷 홈페이지에 20일 이상 공고하여야 한다.

제4조(제출서류 등) ①정보보호관리체계인증기관 지정을 신청하는 자는 별지 제1호서식의 정보보호관리체계인증기관 지정신청서를 방송통신위원회에 제출하여야 한다.

②영 제48조제1항제2호에 따라 제1항의 정보보호관리체계인증기관지정신청서에 첨부하여야 하는 “인증심사업무를 전담하는 직원의 보유현황”의 제출서식은 별지 제2호서식과 같다.

③영 제48조제1항제3호에 따른 “업무수행능력심사를 위하여 필요한 서류”라 함은 별표 1과 같다.

제2절 인증심사업무를 전담하는 직원의 자격요건

및 업무수행능력심사

제5조(인증심사업무를 전담하는 직원의 요건 등) ①영 제47조제1항제1호 및 제2항에 따른 “인증심사업무를 전담하는 직원(이하 “인증심사원”이라 한다)의 요건”은 별표 2와 같다.

②법 제47조에 따른 정보보호관리체계인증기관으로 지정신청 하고자 하는 자는 제1항의 인증심사원의 요건을 만족하여야 한다.

제6조(업무수행능력심사 기준 등) ①영 제47조제1항제2호 및 제2항에 따른 업무수행능력심사의 세부평가기준은 별표 3과 같다.

②심사위원회는 제1항에 따라 심사위원 각자가 부여한 점수 중 최고점과 최저점을 제외한 점수들의 평균이 80점 이상인 자를 선별한다.

③심사위원회는 제2항에 따라 선별된 자에 대하여 심사결과 검증 및 업무수행능력의 적합성을 판단한다.

제7조(업무수행능력의 적합성 인정) 방송통신위원회는 제5조 및 제6조에 따라 심사한 결과를 토대로 정보통신망 안전성 및 신뢰성 확보를 위한 종합적인 정보보호관리체계의 업무를 수행하는 자로서

적합한지 여부를 결정한다.

제8조(정보보호관리체계인증기관지정서) 영 제48조제3항에 따른 “정보보호관리체계인증기관지정서”는 별지 제4호서식과 같다.

제3절 인증기관 심사위원회 구성․운영

제9조 (심사위원회의 구성) ①방송통신위원회는 영 제48조제1항에 따라 정보보호관리체계인증기관의 지정신청을 받은 경우 영 제48조제4항에 따른 심사위원회를 구성하여 다음 각 호의 심사업무를 수행하게 하여야 한다. 이 경우 방송통신위원회는 필요하다고 인정하는 때에는 분과위원회 또는 작업반을 둘 수 있다.

1. 영 제48조제3항에 따른 현장실사

2. 별표 2에 따른 인증심사원의 자격요건 및 별표 3에 따른 업무수행능력심사 세부평가

3. 정보보호관리체계인증기관 지정의 적합성 결정

4. 그 밖에 지정심사와 관련되는 업무

②심사위원회는 5인이상 10인이내의 위원으로 구성하되, 위원은 정보보호전문가, 회계사, 기술사, 변호사 등 업무수행능력심사를 수행할 수 있는 학식과 경험이 있는 자 중 방송통신위원회가 위촉하며, 위원장은 위원 중에서 호선한다.

③제2항에 따른 심사위원은 최근 2년간 지정신청자와 관련된 업무를 수행하지 않아야 한다.

④위원에 대하여는 예산의 범위안에서 수당과 여비를 지급할 수 있다. 다만, 공무원인 위원이 소관업무와 관련하여 참석한 경우에는 그러하지 아니하다.

제10조(심사위원회의 운영) ①위원장은 심사위원회의 업무를 통할하며 위원회를 대표하여 방송통신위원회에 정보보호관리체계인증기관 지정 적합성 여부에 대한 심사결과를 제출한다.

②위원장이 부득이한 사유로 직무를 수행할 수 없을 때에는 위원장이 미리 지정한 위원이 그 직무를 대행한다.

제3장 정보보호관리체계의 인증기준 등

제1절 정보보호관리체계 인증신청

제11조(신청기관의 준비사항) 신청기관은 다음 각 호의 인증심사기준에 따라 정보보호관리체계를 수립하여 최소 3개월 이상 운영하여야 한다.

1. 별표 4에 따른 관리과정 요구사항

2. 별표 5에 따른 문서 작성 및 관리 통제사항

3. 별표 6에 따른 정보보호관리 통제사항에서 선택한 사항(신청기관은 자신의 정보보호관리체계의 규모 및 사업특성 등을 고려하여 별표 6에서 적절한 항목을 선택할 수 있다)

제12조(인증의 신청) ①영 제50조제1항에 따라 인증을 신청하는 자는 별지 제5호서식의 정보보호관리체계인증신청서를 정보보호관리체계인증기관에 제출하여야 한다. 이 경우 정보보호관리체계의 인증을 받고자 하는 범위를 정하여 신청할 수 있다.

②제1항에 따라 신청을 받은 정보보호관리체계인증기관은 정보보호관리체계 특성상 신청기관이 지정한 정보보호관리체계만을 분리하여 심사할 수 없는 경우에는 신청기관과 상의하여 인증의 범위를 변경할 수 있다.

제13조(인증심사계약의 체결) 정보보호관리체계인증기관은 영 제50조제2항에 따라 신청기관과 협의한 후 심사기간, 심사인원, 심사수수료, 인증의 범위 등을 포함하는 인증심사계약을 체결하여야 한다.

제2절 정보보호관리체계 인증심사 기준 및 방법

제14조(인증심사기준) 정보보호관리체계의 인증심사기준은 별표 4부터 별표 6까지와 같다.

제15조(인증심사요소) ①정보보호관리체계인증기관은 신청기관이 수립한 관리과정을 체계적으로 관리ㆍ유지하고 있는지 여부를 판단하기 위하여 다음 각 호의 사항을 심사하여야 한다.

1. 정보보호정책 수립 : 신청기관에 적합한 정보보호정책의 수립, 조직의 구성․운영, 책임성의 명확한 설정 여부

2. 정보보호관리체계 범위설정 : 정보보호관리체계 수립․운영을 위한 관리범위 설정 및 정보자산의 현황조사 여부

3. 위험관리 : 위험관리 전략 및 계획 수립, 위험분석ㆍ평가, 정보보호대책 선택의 적절성 여부

4. 구현 : 정보보호대책의 구현 및 정보보호 교육ㆍ훈련의 효과성 여부

5. 사후관리 : 정보보호관리체계의 재검토, 모니터링 및 개선, 내부감사 활동의 적절성 여부

②정보보호관리체계인증기관은 신청기관이 정보보호관리체계의 수립 및 이행 활동에 관련된 절차와 운영을 문서화해서 관리하는지에 대하여 심사하여야 한다.

③정보보호관리체계인증기관은 신청기관이 관리과정의 위험평가를 통하여 선택한 통제사항에 대한 정보보호대책을 구현하고 이행하고 있는지에 대하여 심사하여야 한다.

제16조(서면심사) 인증심사원은 신청기관이 영 제50조제1항에 따라 제출한 신청서류를 확인하여 신청기관이 수립한 정보보호관리체계가 별표 4부터 별표 6까지에 따른 인증심사기준에 적합한지에 대하여 심사하여야 한다.

제17조(기술심사) ①인증심사원은 서면심사의 결과를 검증하기 위하여 신청기관이 인증을 신청한 정보보호관리체계가 운영중인 현장을 방문하여 직접 해당 정보보호관리체계의 구축․운영실태를 확인하여야 한다.

②인증심사원은 제1항에 따른 현장방문시 신청기관의 요청이 있는 경우 인터넷 침해사고 등에 대한 안전성 검사를 위하여 해당 정보보보호관리체계에 속한 정보시스템에 대한 모의진단을 실시할 수 있다.

제3절 인증위원회의 구성 및 운영

제18조(인증위원회의 구성) ①정보보호관리체계인증기관의 장은 인증심사원이 실시한 인증심사 결과가 제14조에 따른 인증심사기준에 적합한지 여부를 심의하기 위하여 인증위원회를 구성․운영하여야 한다.

②인증위원회는 5인 이상 10인 이내의 위원으로 구성하되, 위원은 정보보호전문가, 정보시스템감리사, 기술사 등 정보보호분야에 학식과 경험이 있는 자 중 정보보호관리체계인증기관의 장이 위촉하며, 위원장은 위원 중에서 호선한다.

제19조(인증위원회의 운영) ①위원장은 인증위원회의 업무를 통할하며 위원회를 대표하여 정보보호관리체계인증기관의 장에게 인증심사원이 실시한 인증심사 결과가 제14조에 따른 인증심사기준에 적합한지 여부를 심의하고 그 결과를 제출한다.

②정보보호관리체계인증기관의 장은 제1항에 따른 심의를 실시한 때에는 인증심사원이 실시한 심사결과를 위원회 개최 전 5일까지 인증위원회에 제출한다.

제4절 인증서 교부 및 사후관리 등

제20조(인증서 교부) 정보보호관리체계인증기관의 장은 제19조제1항에 따라 인증위원회의 심의결과를 제출받은 경우 신청기관에게 인증심사결과를 통보하고, 신청기관의 정보보호관리체계가 이 고시에서 정한 인증심사기준에 적합하다고 판단된 경우 별지 제6호서식의 정보보호관리체계인증서를 교부하여야 한다.

제21조(정보보호관리체계의 변경) ①인증을 취득한 자는 인증을 받은 정보보호관리체계에 다음 각 호의 어느 하나에 해당하는 중대한 변화가 발생한 경우 발생한 날로부터 3개월 이내에 인증기관의 장에게 변경된 내용을 통보하여야 한다.

1. 신청기관이 수립하여 운영하는 관리체계의 범위가 확대되거나 변경되었을 경우

2. 사업장 변경 및 기업결합 등의 경영환경 변화 등으로 관리체계 운영에 영향을 미치는 경우

②인증기관의 장은 인증을 취득한 자로부터 변경내용을 통보받은 경우 인증을 취득한 자와 협의하여 인증심사 여부를 결정한다.

③제2항에 따라 인증심사를 실시하는 경우에는 제14조부터 제20조까지를 준용한다.

제22조(사후관리) ①영 제52조에 따라 정보보호관리체계인증기관은 인증을 취득한 자가 정보보호관리체계를 지속적으로 유지하고 있는지에 대하여 영 제51조에 따른 유효기간 중 제2절 정보보호관리체계 인증심사 기준 및 방법에 따라 1회 사후관리를 수행한다.

②정보보호관리체계인증기관은 다음 각 호의 어느 하나에 해당하는 사유를 발견한 때에는 인증을 취소하여야 한다.

1. 거짓 그 밖의 부정한 방법으로 정보보호관리체계인증을 받은 때

2. 법 제47조제3항에 따라 인증받은 내용을 홍보하면서 인증의 범위나 유효기간을 속인 경우

3. 제1항에 따른 사후관리에서 정보보호관리체계 인증기준에 적합하지 않게 된 사실이 발견된 때

③정보보호관리체계인증기관이 제2항에 따라 인증을 취소하는 경우에는 인증을 취득한 자에게 통지하고, 제20조에 따라 교부한 정보보호관리체계인증서를 회수하여야 한다.

제23조(인증서 관리) ①정보보호관리체계인증기관은 발급된 인증서의 인증번호, 발급번호, 발급일, 유효기간 등을 관리하여야 한다.

②인증을 취득한 자는 인증서의 분실 등으로 인한 재발급을 받고자 할 경우 별지 제7호서식의 관리체계 인증서 재발급 신청서를 인증기관에 제출하여야 한다.

③인증을 취득한 자가 주소, 업체명 등 인증서 기재사항의 변경을 요청하고자 하는 경우 별지 제8호서식의 인증서 변경신청서를 정보보호관리체계인증기관에 제출하여야 한다.

부      칙

이 고시는 고시한 날부터 시행한다.

[별표 1]

업무수행능력심사 규정에 따른 제출서류(제4조제3항관련)

구 분	제 출 서 류
1. 정보보호수행실적을 확인하는 데 필요한 서류	가. 별지 제3호서식에 따른 정보보호수행실적 명세서 및 이를 증빙할 수 있는 자료(결과보고서 등) 나. 계약서 사본 및 세금계산서 등
2. 업무수행능력심사평가표 각호의 세부 평가요소를 평가하기 위하여 필요한 서류	가. 총매출액대비 정보보호분야 매출액의 비율 계산 내역(공인회계사 또는 회계담당자가 서명 날인한 서류) 나. 부채비율 및 자기자본 이익률의 계산내역(회결산내역 등 관련 증빙자료) 다. 인증업무 운영체계 관련 규정 및 지침 등 o 인증기관의 운영체계 및 인증의 품질관리 o 인증업무를 수행하는 직원에 대한 운영관리 등의 내부규정 o 인증업무 수행 방법 및 절차
비 고 ※ 방송통신위원회는 정보보호관리체계인증기관 지정 공고시 업무수행능력심사에 필요한 자료의 구성 및 그 세부내용, 제출시기 및 방법 등에 관한 사항을 포함하여야 한다.

[별표 2]

인증심사업무를 전담하는 직원의 요건(제5조 관련)

학력 및 경력기준	자격 및 경력기준
1. 유관학력 보유의 경우 가. 학사학위를 취득한 자로서 정보통신유관경력과 정보보호유관경력의 합이 6년 이상인 자 나. 석사학위를 취득한 자로서 정보통신유관경력과 정보보호유관경력의 합이 3년 이상인 자 2. 비 유관학력 보유의 경우 가. 학사학위를 취득한 자로서 정보통신유관경력과 정보보호유관경력의 합이 8년 이상인 자 나. 전문학사를 취득한 자로서 정보통신유관경력과 정보보호유관경력의 합이 10년 이상인 자	1. 유관자격 보유의 경우 가. 기사자격을 취득한 자로서 정보통신유관경력과 정보보호유관경력의 합이 4년 이상인 자 나. 산업기사자격을 취득한 자로서 정보통신유관경력과 정보보호유관경력의 합이 7년 이상인 자 2. 다음 각목의 1에 해당하는 정보보호자격을 취득한 자로서 2년 이상의 정보보호유관경력이 있는 자 가. 한국정보보호진흥원의 정보보호전문가(SIS) 나.「정보시스템의 효율적 도입 및 운영 등에 관한 법률」제14조에 따른 정보시스템감리원 다. 국제정보시스템감사통제협회(Information Systems Audit and Control Association)의 공인정보시스템감사사(CISA) 라.국제정보시스템보안자격협회(International Information System Security Certification Consortium)의 공인정보시스템보호전문가(CISSP)

1. “유관자격”이라 함은 ｢국가기술자격법 시행규칙｣ 별표 7의 검정대상 기술자격 종목 중 전자계산기, 정보통신, 통신설비, 통신기기, 통신선로, 정보기기운용, 전파통신, 전파전자, 무선설비, 방송통신, 정보관리, 정보처리, 사무자동화 및 전자계산조직응용 종목의 기술자격을 말한다.

2. “유관학력”이라 함은 ｢고등교육법｣에 따른 해당 학교에서 다음 각 목에 해당하는 학과에서 소정의 과정을 이수하고 졸업하거나 그 밖의 관계 법령에 따라 국내 또는 외국에서 이와 동등 이상으로 인정되는 학력을 말한다.

가. 전자 관련 학과 : 정보전자, 전자, 전자계산, 전기전자제어, 전자정보, 전자제어, 전기전자, 전자전기정보, 전자컴퓨터전기제어, 컴퓨터과학, 전기전자정보, 전자컴퓨터, 메카트로닉스, 전자재료, 제어계측, 반도체

나. 정보통신 관련 학과 : 전기통신설비, 국제정보통신, 방송설비, 방송통신, 이동통신, 전자통신, 컴퓨터네트워크, 통신, 컴퓨터정보기술, 전파통신, 전기전자통신, 전기전자정보통신, 전자정보통신, 전자제어통신, 전자통신, 전파, 전파통신, 정보통신, 컴퓨터통신, 항공통신정보, 전자정보통신반도체, 전기전자전파, 통신컴퓨터, 무선통신

다. 정보처리기술 관련 학과 : 시스템, 전산, 정보전산, 컴퓨터제어, 컴퓨터응용제어, 컴퓨터응용, 컴퓨터응용설계, 구조시스템, 컴퓨터정보, 멀티미디어, 정보시스템, 전산통계, 정보처리

라. 그 밖에 교육인적자원부장관이나 해당 교육기관의 장으로부터 전자·통신 및 정보처리기술․정보보호 관련 학과로 인정받은 학과

3. “정보통신유관경력”이라 함은 공공기관, 민간기업, 교육기관 등에서 정보통신서비스(기간통신, 별정통신, 부가통신, 방송서비스 등을 말한다), 정보통신기기(정보기기, 방송기기, 부품 등을 말한다) 또는 소프트웨어 및 컴퓨터 관련 서비스(패키지 소프트웨어, 컴퓨터 관련 서비스, 디지털콘텐츠, 데이터베이스 제작 및 검색 등을 말한다)에 해당되는 분야에서 계획․분석․설계․개발․운영․유지보수․컨설팅․감리 또는 연구개발 업무 등을 수행한 기간을 말한다.

5. “정보보호유관경력”이라 함은 공공기관, 민간기업, 교육기관 등에서 정보보호를 위한 공통기반기술(암호 기술, 인증 기술 등을 말한다), 시스템․네트워크 보호(시스템 보호, 해킹․바이러스 대응, 네트워크 보호 등을 말한다) 또는 응용서비스 보호(전자거래 보호, 응용서비스 보호, 정보보호 표준화 등을 말한다)에 해당되는 분야에서 계획․분석․설계․개발․운영․유지보수․컨설팅 또는 연구개발 업무 등을 수행한 기간을 말한다.

[별표 3]

업무수행능력심사 세부평가기준(제6조관련)

평가항목

평가요소

배점

평가지표

세부 평가방법

1.정보보호 업무수행 경험 및 전문화 정도

(40)

최근 3년간 정보보호수행 실적

25

계약금액 총액

o 지정 공고일 기준으로 최근 3년간 완료한 정보보호수행실적을 인정하고 평가점수는 개별 수행실적의 계약금액을 합한 총액에 따라 산출

계약금액총액(단위 : 억원)	점수
30억원이상	배점의 100%
30억원미만	배점의 χ%
※χ = (계약금액 총액/30억원) × 100

최근 3년간 계약금액 5천만원 이상의 정보보호수행실적

10

수행건수

o 지정 공고일 기준으로 최근 3년간 완료한 정보보호수행실적으로 계약금액이 5천만원이상의 실적을 인정

수행실적 건수	점수
30건이상	배점의 100%
30건미만	배점의 χ%
※χ = (수행건수/30건) × 100

총매출액에 대한 정보보호분야 매출액 비율

5

비율

o 지정 공고일 기준으로 직전년도 정보보호분야 매출액의 비율(정보보호분야 매출액/총매출액)

비율	점수
80%이상	5점
80%미만 ~ 60%이상	4점
60%미만 ~ 40%이상	3점
40%미만 ~ 20%이상	2점
20%미만	1점

2. 신뢰도 및 재정상태

건실도 (10)

부채비율

5

비율

o  지정 공고일 기준으로 직전년도 부채비율(부채총계/자기자본)

비율	점수
50%미만	5점
50%이상 ~ 100%미만	4점
100%이상 ~ 150%미만	3점
150%이상 ~ 200%미만	2점
200%이상	1점

자기자본이익률

5

비율

o  지정 공고일 기준으로 직전년도 자기자본이익률(당기순이익/자기자본)

비율	점수
20%이상	5점
20%미만 ~ 15%이상	4점
15%미만 ~ 10%이상	3점
10%미만 ~ 5%이상	2점
5%미만	1점

3.인증업무   운영 체계

(50)

인증기관의 운영 체계 및 인증의 품질관리

25

평가점수

세부 평가요소	점수
o 인증기관의 공정성․객관성․신뢰성․독립성 보증 방안	5점
o 인증기관의 내부감사 실시 및 검토 등에 대한 방안	5점
o 인증위원회 구성․운영 방안	5점
o 인증의 품질 보증 및 관리방안	5점
o 인증업무의 기록 및 문서화 관리체계의 적절성	5점

인증업무를 수행하는 직원에 대한 운영․관리  등의 내부 규정

10

평가점수

세부 평가요소	점수
o 인증업무를 수행하는 직원에 대한 규정 보유 및 그 규정의 타당성 및 실효성 - 인증업무를 수행하는 직원의 의무와 책임 등 준수사항 - 인증업무를 수행하는 직원의 자체 보안관리 및 감독 요령	5점
o 인증업무를 수행하는 직원의 교육 및 평가 등에 대한 방안 및 그 방안의 적절성 및 타당성	5점

인증업무 수행 방법 및 절차

15

평가점수

세부 평가요소	점수
o 인증업무 수행 방법 및 절차 등의 적절성 및 타당성 - 인증심사의 절차 및 방법 - 인증수수료 및 그 징수방법 - 인증심사팀 구성 원칙 - 인증서 발급 기준 - 인증심사 사후관리방안 등	15점

4. 가점 및 감점

인증심사업무를 전담하는 직원의 보유수

5

(가점)

보유 인원수

o 인증심사업무를 수행하는 전담조직을 갖추고, 그 전담조직에 속한 직원에 대해 인정

구분	점수
20명 이상	5점
20명미만 ~ 10명이상	배점의 χ%
10명 미만	없음
※χ = (인원수/20명) × 100

자격취소 사실

5

(감점)

취소사실 및 취소회수

o 지정 공고일 기준으로 10년이내에 방송통신위원회가 부여한 정보보호 관련 수행자격이 취소된 경우

- 정보보호관리체계인증기관, 정보보호컨설팅전문업체, 안전진단수행기관 등

※ 취소 1회당 : 감점 5점

<비 고>

1. 각 평가요소별 세부평가에 필요한 자료의 구성 및 그 세부내용 등에 관한 사항은 지정공고 시 제시한다.

2. 평가항목에 대한 각 평가요소별 세부평가 점수는 소수점 이하 둘째 자리에서 반올림한다.

3. 평가항목에 대한 각 평가요소별 평가점수는 평가결과의 최저점과 최고점을 제외한 점수들의 평균점을 부여한다. 다만, 최저점 또는 최고점이 2개 이상일 경우 각 1개만 제외한다.

4. 가점을 합한 점수가 100점을 초과해도 만점 100점으로 표기한다.

5. 정보보호수행실적으로 인정을 받기 위해서는 다음 각목의 요건을 충족하여야 한다.

가. 전자적 침해행위에 대비하기 위한 정보관리 및 정보시스템의 안전성에 대한 점검과 이에 기초한 정보보호대책의 제시를 주된 목적으로 직접 수행한 실적을 말하는 것으로 정보보호에 관한 감사, 감리, 진단, 인증, 컨설팅 등을 포함한다.

나. 지정 공고일 현재 프로젝트가 종료되고 이에 대한 대금지급이 완료되어야 한다.

다. 하수급업체가 수급업체로부터 하도급을 받아 수행한 실적에 대해서는 인정하지 아니하고 해당 기관에서 직접 계약하여 수행한 실적에 대해서만 인정한다.

마. 가목 내지 다목의 내용이 계약서 및 증빙자료를 통하여 분명하게 확인되어야 한다.

6. ‘정보보호분야의 매출액’이라함은 지정 공고일 기준으로 직전년도 결산회기의 정보보호분야 제품 및 서비스관련 매출총액을 말한다.

7. ‘인증업무 운영체계’에 대한 각 평가요소별 세부평가 점수 부여기준은 각 평가요소의 평가결과에 평가등급(계수)를 곱하여 나온 점수를 합산한다.

평가요소별 세부평가 점수	평가등급(계수)
100점이하 ~ 90점이상	우수(1.0)
90점미만 ~ 80점이상	보통(0.6)
80점미만 ~	미흡(0.2)
미 제출	점수없음(0)

[별표 4] 인증심사기준 - 관리과정 요구사항(제11조 제1호관련)

	관리과정		세부관리과정	관리과정 상세내용
1	정보보호정책수립	1.1	정보보호정책의 수립	신청기관의 경영목표를 지원할 수 있도록 정보보호의 법적, 규제적 요건과 전략적이고 조직적인 위험관리를 기술한 정보보호정책을 수립하여야 한다.
		1.2	조직 및 책임의 설정	정보보호활동에 대한 경영층의 명확한 지원 및 방향제시를 보증할 수 있는 조직을 수립하여야 한다. 또한 정보보호관리 활동을 수행하고 검증하는 인력들에 대한 책임, 권한 및 상호연관관계를 정의하고 문서화하여야 한다.
2	정보보호 관리체계 범위설정	2.1	정보보호관리체계 범위설정	신청기관의 특성, 위치, 기술, 자산 등 내ㆍ외적 환경에 중대한 영향을 미치는 요소를 고려하여 정보보호관리체계의 범위를 설정하여야 한다.
		2.2	정보자산의 식별	신청기관의 정보자산으로 보호를 받을 가치가 있는 정보자산을 식별하고, 이를 정보자산의 형태, 소유자, 관리자, 특성 등을 포함하여 목록을 만들어야 한다.
3	위험관리	3.1	위험관리전략 및 계획 수립	신청기관의 목표 및 정책, 법적 요구사항 등을 고려하여 조직, 역할, 책임, 주요과정을 포함한 위험관리 전략 및 계획을 수립하고, 신청기관에 적합한 위험관리 방법을 선택하고 문서화하여야 한다. 이 위험분석 방법은 조직과 정보보호 환경변화에 대응할 수 있도록 지속적으로 검토하여야 한다.

	관리과정		세부관리과정	관리과정 상세내용
3	위험관리	3.2	위험분석	신청기관은 「2.2 정보자산의 식별」에서 식별된 정보자산에 영향을 줄 수 있는 모든 위협과 취약성, 위험을 식별하고 분류하여야 하며, 이 정보자산의 가치와 위험을 고려하여, 잠재적 손실에 대한 영향을 식별ㆍ분석하여야 한다.
		3.3	위험평가	정보자산에 대한 잠재적 및 알려진 위협과 취약성으로 나타날 수 있는 신청기관의 피해와 현재 구현된 정보보호대책의 실패 가능성 및 영향을 평가하고 수용 가능한 위험수준을 포함하여야 한다. 이를 통해 정보자산의 위험을 관리할 수 있는 적절한 정보보호대책 선택 및 우선순위의 확보를 지원하여야 한다.
		3.4	정보보호대책 선택	신청기관의 정보보호정책과 목적에 부합하도록 위험을 수용 가능한 수준으로 감소시키기 위해, 위험분석 및 평가에 의거하여, 위험처리, 위험수용, 위험회피, 위험전가 등의 전략을 설정하고, [별표3]에서 제시하는 통제사항중에서 선택한다. [별표3]에서 제시되어 있지 않은 통제사항을 추가할 경우에는 [별표1]관리과정의 각 단계간 일관성을 유지하도록 한다. 정보보호대책의 선택은 비용ㆍ효과 분석에 의해 정당화 될 필요가 있다.
		3.5	정보보호계획 수립	정보보호대책의 선택이후 구현할 정보보호대책 및 구현의 우선순위, 일정계획, 예산, 책임, 운영계획 등을 포함한 정보보호계획을 수립하고, 각 위험에 대한 정보보호대책 및 선택하게 된 근거를 정보보호대책 명세서로 문서화하여야 한다.

	관리과정		세부관리과정	관리과정 상세내용
4	구 현	4.1	정보보호대책의 효과적 구현	정보보호대책은 적절한 관리 조치와 우선 순위에 의해 구현하여야 한다.
		4.2	정보보호 교육 및 훈련	신청기관의 정보보호 관련직원들 및 최종사용자에게 정보보호에 대한 인식을 제고시키고, 정보보호대책의 필요성을 이해하도록 하며 구현될 정보보호대책들을 정확하게 사용할 수 있도록 교육 및 훈련 프로그램을 수립하고 이행하여야 한다.
5	사후관리	5.1	정보보호관리체계의 재검토	신청기관의 목표, 기술 등 내․외부의 변화와 내부감사 결과, 보안사고 등을 고려하여, 정보보호관리체계의 효율성, 범위의 적절성, 잔류위험의 수준, 절차 등의 문서를 공식적이고 정기적으로 재검토하여야 한다.
		5.2	정보보호관리체계의 모니터링 및 개선	정보보호관리체계가 신청기관의 정보보호정책과 목적을 충족시키는지 여부에 대하여 모니터링하여, 개선사항을 식별하고, 적절한 수정이나 예방 조치를 통하여 효과적으로 개선사항을 구현하여야 한다. 이에 관련된 조치와 결과는 신청기관의 임직원에게 전달하여야 하고, 관련자들에게 자문을 구하여야 한다.
		5.3	내부감사	신청기관은 정보보호관리체계가 계획된 절차에 따라 효과적으로 실행되는지를 점검하기 위하여 감사의 기준, 범위, 주기 및 방법을 규정하고, 계획된 주기로 내부감사를 수행하여야 한다. 또한 감사의 기획 및 수행, 그리고 결과보고, 기록 유지 및 이행 모니터링에 대한 책임과 요구사항을 문서화된 절차에 의해 규정하여야 한다. 피감사분야의 관리자는 발견된 보완조치 사항을 처리하고, 검증ㆍ보고됨을 보장하여야 한다.

[별표 5] 인증심사기준 - 문서 작성 및 관리 통제사항(제11조 제2호관련)

	문서화	문서화 상세내용
1	문서요건	정보보호관리체계 수립 및 이행에 관련된 모든 문서는 해당 신청기관의 규모, 기능 등을 고려하여 문서화하여야 하며, 신청기관의 정보보호정책에 따라 필요한 모든 임직원 및 관련자들이 쉽게 이용할 수 있어야 한다.
2	문서의 통제	「1. 문서요건」에 의해 작성된 문서는 문서의 발행전 타당성 승인, 주기적 또는 필요시 문서의 검토ㆍ갱신 및 재승인, 문서의 변경과 현재 개정상태의 식별, 문서배포, 폐기된 문서의 사용금지 등의 통제를 정의한 절차를 수립하여야 한다.
3	운영기록의 통제	정보보호관리체계를 효과적, 효율적으로 운영하기 위해서 기록을 확인, 유지보수, 보존, 폐기하는 문서화된 절차를 수립하고 유지․관리하여야 한다. 이 문서화된 절차에는 접근자의 신원확인, 기록의 저장, 보호, 검색, 유지기간, 처분 등의 통제에 필요한 절차를 포함하여야 한다. 또한 기록은 읽기 쉽고, 식별 가능하며, 관련 활동을 추적할 수 있어야 한다.

[별표 6] 인증심사기준 - 정보보호관리 통제사항(제11조 제3호관련)

	통제분야		통제목적		통제사항	통제내용
1	정보보호 정책	1.1	정책의 승인 및 공표	1.1.1	정책의 승인	문서화된 정보보호정책은 최고경영자의 승인을 받아야 한다.
				1.1.2	정책의 공표	정보보호정책 문서는 모든 임직원 및 관련자에게 이해하기 쉬운 형태로 전달하여야 한다.
		1.2	정책의 체계	1.2.1	상위 정책과의 일관성	정보보호정책은 신청기관의 사업목표 및 정보기술정책과 일관성을 유지하여야 한다.
				1.2.2	정책 문서의 유형	정보보호정책을 구체적으로 시행하기 위한 정보보호 지침, 절차 및 표준을 수립하여야 한다. 또한 필요한 경우 특정 시스템 또는 서비스에 대한 상세한 정보보호정책을 수립할 수 있다.
		1.3	정책의 유지관리	1.3.1	주기적 검토	정기적으로 정보보호정책의 타당성을 검토하여야 하며, 중대한 보안사고 발생, 새로운 위협 또는 취약성의 발생, 정보보호 환경에 중대한 변화 등이 발생했을 경우에는 관련된 사항의 타당성을 추가로 검토하여야 한다.
2	정보보호조직	2.1	조직의 체계	2.1.1	조직의 구성	신청기관내 정보보호관리 활동을 계획, 관리하는 정보보호관리자가 있어야 하며, 필요에 따라 정보보호위원회를 구성할 수 있다.

	통제분야		통제목적		통제사항	통제내용
2	정보보호조직	2.1	조직의 체계	2.1.2	외부전문가 활용	정보보호정책 수립, 위험분석ㆍ평가, 통제사항의 선택과 구현, 보안사고 대응 등 중요한 정보보호관리 활동에 도움을 받기 위하여 외부 전문가의 조언을 받을 수 있다. 외부 전문가의 신청기관 자원에 대한 접근은 「3. 외부자 보안」의 대상이 된다.
		2.2	책임과 역할	2.2.1	정보보호 관리자	최고경영자의 지정을 받은 정보보호관리자는 정보보호정책 수립, 정보보호 위원회의 구성 및 운영, 위험분석 및 관리, 보안사고 대응 및 복구 등의 정보보호에 관한 업무를 총괄 관리하여야 한다.
				2.2.2	정보보호 위원회	신청기관 전반에 걸친 중요한 정보보호 관련 심의 및 승인 기능을 수행하며 필요한 자원할당을 통해 정보보호관리 활동이 적절히 수행될 수 있도록 하여야 한다.
3	외부자 보안	3.1	계약 및 서비스 수준협약보안관리	3.1.1	위부위탁 계약시 보안 요구사항	신청기관의 업무를 외부위탁 하는 경우에는 정보시스템, 네트워크, 인력 및 사무환경 등을 관리ㆍ통제하기 위한 보안요구사항을 계약서 상에 명시하여야 하고 요구사항을 서비스수준협약(SLA : Service Level Agreement)에 반영하여야 한다.
				3.1.2	제3자와의 계약시 보안 요구사항	신청기관이 제3자에게 정보자산에 대한 접근을 허용하는 계약을 체결하는 경우에는 신청기관의 정보보호정책 준수 및 필수 보안요건을 포함하는 공식적인 계약을 하여야 한다.

	통제분야		통제목적		통제사항	통제내용
3	외부자 보안	3.2	외부자 보안 실행관리	3.2.1	외부위탁 보안관리	외부위탁 업체가 계약서 및 서비스 수준 협약 명시된 보안요구사항을 충분히 이행하는지 주기적으로 점검하고, 필요시 감사를 수행하여야 한다.
				3.2.2	제3자 보안관리	신청기관의 정보자산에 대한 제3자의 접근을 통제하여야 한다. 업무상 불가피하게 접근을 허용해야 할 경우에는 접근유형 및 접근사유를 파악하고 위험 요소를 고려하여 관리하여야 한다.
4	정보자산 분류	4.1	정보자산의 조사 및 책임할당	4.1.1	정보자산 조사	신청기관의 정보자산을 조사하고 정보자산별로 신청기관에서의 가치, 업무 영향, 법적 준수사항 등을 고려하여 중요도를 결정하여야 한다.
				4.1.2	정보자산별 책임할당	조사된 정보자산에 대하여 소유자, 관리자, 사용자를 확인하고, 적절한 통제 유지를 위해 책임 소재를 명확히 하여야 한다.
		4.2	정보자산의 분류 및 취급	4.2.1	정보자산의 분류	정보자산이 신청기관에서 차지하는 가치와 신청기관에 미치는 영향을 고려하여 분류방식을 선택하고 분류하여야 한다.
				4.2.2	보안등급과 취급	중요도에 따라 분류된 정보자산에 보안등급을 부여하고, 물리적, 전자적 보안등급 표시를 부착, 관리하여야 한다. 또한 보안등급의 부여에 따른 취급 절차도 정의하여 이행하여야 한다.

	통제분야		통제목적		통제사항	통제내용
5	정보보호 교육 및 훈련	5.1	교육 및 훈련 프로그램 수립	5.1.1	교육 및 훈련계획	정보보호 인식제고 및 실제 운영에 필요한 교육ㆍ훈련 계획을 종합적으로 수립하여 이행하여야 한다
				5.1.2	교육 및 훈련대상	교육 및 훈련의 대상에는 신청기관의 임직원 및 관련 외부자를 포함하여야 한다.
				5.1.3	교육 및 훈련내용	교육 및 훈련은 정보보호정책, 정보보호인식, 보안요구사항, 법적인 책임, 보안사고 대응절차, 업무연속성관리 등을 포함하여야 하고, 교육대상자의 직위 및 담당하는 업무의 특성에 따라 구분하여 실시하여야 한다.
		5.2	시행 및 평가			교육 및 훈련은 정기적으로 실시하여야 하며, 정보보호정책이나 절차 및 역할의 변경이 있는 경우에는 수시로 실시하고 이에 대한 기록을 남겨야 한다. 또한 교육훈련 종료 후 검토를 통하여 차기 교육에 반영하여야 한다.
6	인적 보안	6.1	책임할당 및 규정화	6.1.1	책임할당	정보보호업무를 이행하는 역할과 책임을 문서화하여야 한다. 문서화의 내용에는 정보보호정책을 수립, 구현, 운영하는 일반적인 책임과 특정 정보자산의 보호와 활동에 대한 구체적인 책임을 포함하여야 한다.
				6.1.2	인사규정	인사규정에는 정보보호에 대하여 직원이 지켜야 할 책임 및 관련 법규상의 책임을 명시하여야 한다. 특히, 정보보호업무를 담당하는 자와 정보시스템 사용자 및 관리자는 보다 명확한 책임을 명시하여야 하며, 직원이 책임을 이행하지 않는 경우를 대비한 적절한 처벌규정을 포함하여야 한다.

	통제분야		통제목적		통제사항	통제내용
6	인적 보안	6.2	적격심사 및 주요 직무담당자 관리	6.2.1	적격심사	계약직 및 임시직원은 물론 정식직원 채용시 신원, 업무능력, 교육정도, 경력 등에 대한 적격심사가 이루어져야 한다. 직원들이 용역회사를 통하여 충원되는 경우에는 용역회사와의 계약서에 적격심사에 따르는 책임사항을 명문화하여야 한다.
				6.2.2	주요직무 담당자 관리	정보시스템 접근 권한을 포함하는 업무가 새로이 할당될 때, 특히 재무정보나 비밀정보와 같이 중요한 정보를 처리하는 담당자는 별도의 관리를 수행하여야 한다.
		6.3	비밀유지	6.3.1	비밀유지 서약서	직원으로부터 비밀유지 서약서에 서명을 받아야 하며, 임시직원이나 제3자에게 정보에 대한 접근 권한을 부여할 경우에도 그들로부터 비밀유지 서약서에 서명을 받아야 한다. 직원의 고용계약에 변경이 있을 경우, 특히 직원이 퇴사하거나 계약기간이 만료될 때에는 비밀유지 서약서를 환기시켜야 한다.
7	물리적 보안	7.1	물리적 보안대책	7.1.1	물리적 보호구역	특별한 보호가 필요한 시설 및 장비를 권한 없는 자의 물리적 접근 및 각종 물리적, 환경적 재난으로부터 보호하기 위하여 보호구역을 정의하고 이에 따른 보안대책을 수립․이행하여야 한다. 이 경우 제한구역, 접견구역, 장비출하구역 등을 별도로 지정하여 각각에 적합한 보안 조치와 절차를 수립하여야 한다.
				7.1.2	물리적 접근통제	보호구역을 출입하는 자를 감시․통제하고 권한 없는 자의 출입을 방지하기 위하여 수립된 보안 절차에 따라 필요한 조치를 수행하고 주기적으로 검토하여야 한다.

	통제분야		통제목적		통제사항	통제내용
7	물리적 보안	7.2	데이터 센터 보안	7.2.1	위치 및 구조 조건	데이터센터는 물리적, 환경적 위험이 적은 곳에 위치하고 구조의 안정성을 확보하여야 한다.
				7.2.2	출입통제	데이터센터의 출입은 적절한 출입통제절차에 의하여 이행되어져야 하며, 출입자를 식별하고 기록․관리하여야 한다. 또한 출입자 기록 대장은 정기적으로 점검하여야 한다.
				7.2.3	내부설비	화재․수재 등의 각종 재해에 대비한 시설을 충분히 설치하여야 하고, 비상연락장치 및 비상구, 물리적 접근통제 및 시건장치를 설치하여야 한다.
		7.3	장비보호	7.3.1	주요 시스템 보호	신청기관내의 주요 시스템에 대한 별도의 출입통제를 실시하거나 이중의 보호장치를 설치하고, 시스템관리자는 주요 시스템 접근에 대한 보안대책을 수립하여야 한다.
				7.3.2	장비의 배치	장비는 환경적인 위협과 위험, 불법 접근에 대한 위험을 감소시키기 위해 적절한 위치에 배치하고 이를 보호하여야 한다.
				7.3.3	전원공급	전원공급 이상이나 기타 전기관련 사고 발생시 전원을 지속적으로 공급하기 위하여 장비 제조업체의 사양에 따라 적절히 관리하여야 한다.
				7.3.4	케이블 보호	데이터를 송ㆍ수신하거나 정보서비스를 지원하는 전력 및 통신 케이블은 방해되거나 손상을 입지 않도록 보호하여야 한다.
				7.3.5	장비의 보수	장비는 지속적인 가용성과 무결성을 위하여 장비 제공자가 지시한 명세에 따라 유지□보수를 하여야 하고 유지ㆍ보수에 대한 기록을 남겨야 한다.

	통제분야		통제목적		통제사항	통제내용
7	물리적 보안	7.3	장비보호	7.3.6	장비의 안전한 폐기 및 재사용	중요한 정보를 담고 있는 저장 매체의 폐기시에는 이를 물리적으로 파기하여야 하며, 중요 데이터나 정품 소프트웨어는 폐기하기 전에 매체에 기록된 내용이 완전히 삭제되어 복구가 불가능한지 확인하고 점검하여야 한다.
		7.4	사무실 보호			책상 위에 중요한 문서나 저장 매체를 남겨놓지 않도록 하고, 통상 근무시간 동안이나 그 외의 시간에 비인가된 자에 의한 정보 접근, 손상을 방지하기 위하여 컴퓨터 화면에 정보처리에 관한 사항을 남겨놓지 않도록 하여야 한다.
8	시스템 개발보안	8.1	분석 및 설계 보안관리	8.1.1	보안 요구사항 정의	새로운 시스템 개발, 기존시스템 개선시 보안요구사항을 문서로 명확히 하여야 하며, 보안요구사항에는 사용자 접근권한의 부여원칙과 접근통제 유형 등을 포함하여야 한다.
				8.1.2	입력 데이터 검증	응용시스템 설계시 입력 요구사항을 정의하고 문서화하여야 하며, 입력 데이터의 정확성, 무결성, 신뢰성을 판단하기 위한 표준을 마련하여야 한다.
				8.1.3	내부 처리의 검증	응용시스템 설계시 내부처리 요구사항을 정의하고 문서화하여야 하며, 응용소프트웨어의 처리 작업을 검증하고, 무결성을 회복할 수 있는 기능을 포함하여야 한다.
				8.1.4	출력 데이터 검증
						응용시스템 설계시 출력 요구사항을 정의하고 문서화하여야 하며, 출력 데이터의 정확성, 무결성, 신뢰성을 판단하기 위한 대책을 마련하여야 한다.

	통제분야		통제목적		통제사항	통제내용
8	시스템 개발 보안	8.1	분석 및 설계 보안관리	8.1.5	인증 및 암호	응용시스템 설계시 반드시 사용자 인증에 대한 보안 요구사항을 고려하여야 한다. 중요한 메시지의 경우 무결성이 요구될 때 메시지 인증기법을 적용하고 비밀성이 요구될 시 암호화를 적용하여야 한다.
				8.1.6	보안기록 관리	응용시스템 설계시 사용자의 인증, 데이터 분실, 수정, 오남용 등을 점검하고 방지하기 위하여 보안에 관련된 로그, 감사증적 등을 확보할 수 있는 기능을 반영하여야 한다.
		8.2	구현 및 이행 보안관리	8.2.1	구현 및 시험	응용시스템 구현시 코딩표준에 따라 응용시스템을 구현하고, 보안요구사항에 대한 시험을 수행하여야 한다.
				8.2.2	운영환경 이행보안	운영 프로그램의 수정은 적절한 권한을 지닌 사람만이 시행하여야 하고, 운영시스템은 실행코드만 보유하여야 한다. 실행코드는 성공적인 시험과 사용자 인수 후에 실행하여야 한다.
				8.2.3	시험 데이터의 보안	시험 데이터는 운영데이터에 준하여 보호하고 통제하여야 하며, 운영환경에 대하여 적용되는 접근통제 절차를 시험환경에도 적용하여야 한다. 운영데이터가 시험환경으로 복사될 경우 허가절차를 수립하여 이행하고 시험 완료 후 운영데이터는 시험시스템에서 삭제하여야 한다. 운영데이터 사용 및 복사는 기록을 남겨야 한다.
				8.2.4	소스 프로그램의 접근보안	소스 프로그램은 실제 운영 환경에 보관하지 않는 것을 원칙으로 하며, 소스 프로그램 관리자는 각 운영시스템 별로 지정하여야 한다. 또한 소스 프로그램 접근에 대한 통제절차를 수립하고 이행하여야 한다.

	통제분야		통제목적		통제사항	통제내용
8	시스템 개발 보안	8.3	변경관리	8.3.1	변경관리 절차	정보시스템의 파괴와 손상을 최소화하기 위하여 공식적인 변경관리 절차를 수립하고 이행하여야 한다.
				8.3.2	운영체제 변경시의 검토	운영체제 변경이 필요한 경우 응용시스템의 운영이나 보안에 미치는 영향을 분석, 검토하여야 한다.
				8.3.3	소프트웨어 패키지 변경	소프트웨어 패키지는 가능한 수정하지 않고 사용하고, 패키지 변경시에는 공급자의 동의를 얻으며, 수정이 가능한지 확인하여야 한다. 모든 변경사항은 시험하고 문서화하여야 한다.
9	암호 통제	9.1	암호 정책			암호사용에 대한 정책을 수립하여야 한다.
		9.2	암호사용			암호 정책에 따른 암호 사용시 적절한 암호 알고리즘의 유형, 신뢰성 및 키 길이를 결정하여야 한다.
		9.3	키관리			암호 키에 대한 관리지침, 절차 및 방법을 마련하고 필요시 복구방안을 마련하여야 한다.
10	접근 통제	10.1	접근통제 정책	10.1.1	정책의 문서화	업무 요구사항에 따라 접근 통제의 방법과 범위 등을 정의하고 문서화하여야 한다.
				10.1.2	정책의 내용	접근통제 정책은 데이터, 프로그램, 주요 시스템, 네트워크 등에 대한 접근제한을 포함하여야 하며, 여기에는 보안요구사항, 데이터 및 서비스 접근시의 법적, 계약적 제한, 분산 네트워크상의 접근권한 관리 등을 포함하여야 한다.
				10.1.3	접근 통제 규칙	항상 존재하는 규칙과 일정기간이나 선택적으로 존재하는 규칙에 대한 구분, 실행 전에 관리자의 승인을 필요로 하는 규칙과 그렇지 않은 규칙의 구분 등을 포함한 접근 통제 규칙을 명시하여야 한다.

	통제분야		통제목적		통제사항	통제내용
10	접근통제	10.1	접근통제 정책	10.1.4	접근통제 방법	접근통제 방법은 정책 및 절차에 의해 결정된 접근권한을 적절하게 반영하여야 한다.
				10.1.5	접근통제 정책 검토	접근에 대한 모니터링을 통해 정책과의 일치성을 주기적으로 검토하고, 접근통제 정책의 적정성을 확인하여야 한다.
		10.2	사용자 접근 관리	10.2.1	사용자 등록	정보시스템 및 서비스에 대한 접근을 통제하기 위한 공식적인 사용자 등록 및 해지 절차를 마련하여야 한다.
				10.2.2	특수권한 관리	시스템이나 응용프로그램에 대한 통제를 우회할 수 있는 특수권한의 할당 및 사용을 관리하여야 한다.
				10.2.3	사용자 패스워드 관리	사용자 패스워드의 관리절차를 수립하고 이행하여야 한다.
				10.2.4	사용자의 접근권한검토	데이터나 정보 서비스에 대한 접근을 관리하기 위해서 정기적으로 접근 권한에 대하여서 점검을 하여야 한다.
				10.2.5	사용자의 책임	시스템 및 패스워드 관리 책임은 사용자 자신에게 있음을 주지시키고 관리지침을 제공하여야 한다.
		10.3	접근통제 영역	10.3.1	네트워크 접근	비인가된 접근을 막기 위해 네트워크의 내ㆍ외부 연결통제, 사용자 터미널과 컴퓨터 서비스간에 물리적 및 논리적 경로의 통제, 사용자 인증, 고장 진단 포트에 대한 접근 통제 등을 포함한 네트워크 접근정책을 수립하고 이행하여야 한다.
				10.3.2	운영체제 접근	안전한 로그온 절차, 식별 및 인증관리, 필요시 터미널 자동확인 등을 포함하여 시스템의 운영체제 접근을 통제하여야 한다.

	통제분야		통제목적		통제사항	통제내용
10	접근통제	10.3	접근통제 영역	10.3.3	응용 프로그램 접근	사용자 접근이 허가되지 않은 응용 프로그램의 기능들에 대한 정보 제공을 제한하여야 한다. 또한 민감한 정보를 처리하는 응용 프로그램의 출력물은 허가된 위치에서만 전달하여야 한다. 민감한 응용 시스템은 반드시 일반적인 환경과 분리하여야 한다.
				10.3.4	데이터베이스 접근	데이터베이스의 뷰, 레코드 또는 필드 레벨에서의 데이터에 대한 접근통제, 데이터사전 및 데이터베이스 유틸리티에 대한 접근통제, 민감 정보의 암호화 등을 통해 데이터베이스내의 정보를 보호하여야 한다.
11	운영관리	11.1	운영 절차와 책임	11.1.1	운영절차의 문서화	보안정책에 의해 정의된 운영지침과 절차는 문서화하여 관리하여야 한다. 운영관리를 외부에 용역을 주는 경우에도 계약서에 이를 반영하여야 한다.
				11.1.2	정보자산의 변경관리	정보시스템 관련 자산들을 조사하고, 모든 변경사항들을 반영할 수 있는 공식적인 관리책임 및 절차를 수립하여야 한다.
				11.1.3	직무 분리	부주의에 의한 또는 고의적인 시스템 오용의 위험을 감소시키기 위해 직무를 분리하고, 직무 분리가 어려운 특수한 경우 별도의 관리감독 대책을 수립하여야 한다.
				11.1.4	개발과 운영환경의 분리	원칙적으로 개발, 시험, 운영 환경을 분리하여야 한다. 또한 응용프로그램을 개발환경으로부터 운영환경으로 이전하는 절차를 정의하고 문서화하여야 한다.

	통제분야		통제목적		통제사항	통제내용
11	운영 관리	11.1	운영 절차와 책임	11.1.5	외부 운영 설비․ 관리	외부자가 정보시스템 및 장비를 관리하는 경우 데이터의 손상, 손실 등의 상황을 고려하여 통제방안을 수립하고 계약서에 반영하여야 한다.
		11.2	시스템 운영	11.2.1	시스템 도입	정보시스템의 도입을 위해서 도입계획 및 정책을 수립하여야 한다.
				11.2.2	시스템 인수	새로운 정보시스템의 설치 또는 수정에 따른 인수기준을 수립하고, 시스템 구매 계약서에 반영하여야 한다. 또한 시스템은 이 기준에 의해 시험을 한 후 인수하여야 한다.
				11.2.3	성능관리	신청기관에서 요구되는 성능 요구사항을 충족시킬 수 있도록 성능관리를 수행하여야 한다.
				11.2.4	용량관리	신청기관에서 요구되는 용량 요구사항을 충족시킬 수 있도록 용량계획을 통해 적정한 용량을 확보하고, 주어진 용량을 최적으로 사용할 수 있는 관리방안을 수립하여 이에 따른 용량관리를 수행하여야 한다.
				11.2.5	백업 및 복구 관리	데이터 및 장비의 무결성과 가용성을 유지하기 위해 백업 계획을 수립하여 이행하여야 하며, 사고 발생시 적시에 복구할 수 있도록 관리하여야 한다.
				11.2.6	장애관리	시스템의 장애시 효과적으로 대응하기 위해 탐지, 기록, 분석, 복구, 보고 등 적절한 조치를 취하여야 한다.
				11.2.7	로그관리	시스템 운영의 확인이나 사고조사를 위해 활동에 대한 기록을 남기고 주기적으로 검토하여야 한다.
				11.2.8	보안 시스템 운영	보안시스템에 대해서는 그 유형별로 설치, 운영에 대한 절차를 수립하고, 절차이행을 주기적으로 검토하여야 한다.

	통제분야		통제목적		통제사항	통제내용
11	운영 관리	11.3	네트워크 운영	11.3.1	네트워크 운영대책	네트워크 운영 보안 유지를 위해 직무 분리, 접근권한 통제, 원격접속 설비 관리, 네트워크 분리 등을 위한 책임 및 절차 등을 포함한 대책을 수립하여야 한다.
				11.3.2	인터넷 접속관리	인터넷망과 접속시 침입차단시스템을 통하여 접근통제를 수행하여야 하며, 필요시 침입탐지시스템 등을 활용하여 접근을 모니터링 하여야 한다.
				11.3.3	원격운영관리	네트워크를 통해 시스템을 운영하는 경우 원칙적으로 시스템 관리는 내부의 특정 터미널에서만 할 수 있도록 제한하고, 외부에서 네트워크를 통하여 시스템을 관리할 경우에는 사용자 인증, 암호 및 접근통제 기능을 설정하여야 한다.
		11.4	매체 및 문서관리	11.4.1	매체 취급 및 보관	허가되지 않은 유출이나 오용으로부터 정보를 보호하기 위해, 매체의 취급 및 보관에 대한 절차를 수립하고 운영하여야 한다.
				11.4.2	매체의 폐기	매체 폐기를 부주의하게 이행하여 외부자에게 주요정보가 누출되지 않도록 폐기지침을 수립하고 운영하여야 한다.
				11.4.3	시스템 문서의 보안	보안절차, 운영매뉴얼, 운영기록 등 주요 시스템 문서들은 안전하게 보관하고 적절한 폐기절차에 따라 폐기하여야 한다.
		11.5	악성 소프트웨어 통제			바이러스 등의 악성 소프트웨어로부터 시스템을 보호하기 위해 악성 소프트웨어들을 예방하고 탐지, 대응하는 대책을 수립하여야 한다.

	통제분야		통제목적		통제사항	통제내용
11	운영 관리	11.6	이동컴퓨팅 및 원격 작업	11.6.1	이동 컴퓨팅	휴대용 정보통신기기의 사용시에 사업 정보를 보호하기 위한 보안 정책을 수립하고, 내부 네트워크로의 연결 및 공공 장소에서의 사용에 대한 정책을 수립하여야 한다.
				11.6.2	원격 작업	재택 근무와 같은 원격 작업 수행시 이에 대한 물리적, 논리적 보호를 위한 정책과 절차를 마련하여야 한다.
12	전자 거래 보안	12.1	교환 합의서			신청기관간의 정보 및 소프트웨어 교환시에는 이에 대한 합의가 이루어져야 하고, 관리적 책임 및 절차, 전송의 기술적 기준, 인증기준, 데이터의 책임성 등을 반영한 교환 합의서를 작성하여야 한다.
		12.2	전자거래 보안관리			전자거래 시 사기, 계약 분쟁, 정보의 노출 및 수정 등으로부터 보호하기 위해 신원확인, 무결성, 암호화, 부인방지 등의 대책을 수립하여 운영하여야 한다.
		12.3	전자우편			전자 우편 서비스에 대한 가용성, 전자우편 내용에 대한 무결성 및 기밀성과 이에 따른 책임과 위험을 고려한 보안지침 및 대책을 수립하여 운영하여야 한다.
		12.4	공개서버의 보안관리			웹서버 등에 정보를 공개할 경우 정보에 대한 수집, 저장 및 공개에 따른 허가 및 게시절차를 수립하여야 하고, 공개서버에 대한 물리적, 논리적 보안대책을 수립하고 운영하여야 한다.
		12.5	이용자 공지사항			전자거래의 안전한 이행을 위하여 이용자에게 해킹위험, 계정 및 패스워드 관리, 접속관리 등에 대한 공지를 통해 안전거래 준수를 권고하여야 한다.

	통제분야		통제목적		통제사항	통제내용
13	보안사고 관리	13.1	대응 계획 및 체계	13.1.1	대응계획 수립	보안사고의 정의 및 범위, 긴급연락체계 구축, 보안사고 발생시 보고 및 대응 절차, 사고 복구조직의 구성, 교육계획 등을 포함한 보안사고 대응 계획을 수립□․이행하여야 한다.
				13.1.2	보안사고 대응체계 구축	보안사고의 대응이 신속하게 이루어질 수 있도록 중앙 집중적인 대응체계를 구축하고, 대응체계에는 내부직원뿐 아니라 외부기관 및 전문가들과의 협조체계를 반영하여야 한다.
		13.2	대응 및 복구	13.2.1	보안사고 대응 교육 및 훈련	보안사고 대응 계획, 절차 및 방법에 대하여 정기적으로 교육을 실시하여야 하며 사고 처리 후 재발 방지를 위하여 필요한 교육□훈련을 실시하여야 한다
				13.2.2	보안사고 보고	사고의 징후 또는 보안사고 발생을 인지한 때에는 보고체계에 따라 가능한 한 신속히 보고하여야 한다. 시스템이나 네트워크의 보안취약점과 소프트웨어 기능장애 또한 신속히 보고하여야 한다.
				13.2.3	보안사고 처리 및 복구	보안사고 보고시 처리, 복구 절차에 따라 처리와 복구를 신속히 이행하여야 한다.
		13.3	사후관리	13.3.1	보안사고 분석 및 정보의 공유	보안사고가 처리되고 종결된 후 이에 대한 분석을 이행하여야 하며, 그 결과를 보고하여야 한다. 또한 사고에 대한 정보와 발견된 취약성들을 관련 신청기관과 임직원에게 공유하여야 한다.
				13.3.2	재발방지	보안사고로부터 얻은 정보를 활용하여, 유사 사고가 반복되지 않도록 재발방지 대책을 수립하여야 한다. 이를 위해 필요한 경우 정책, 절차, 조직 등의 보안체계에 대한 변경을 하여야 한다.

	통제분야		통제목적		통제사항	통제내용
14	검토, 모니터링 및 감사	14.1	법적 요구사항 준수 검토	14.1.1	요구사항 명시	정보시스템에 대해 관련된 모든 법, 규제, 계약, 정책, 기술상의 요구사항을 정의하고 문서화하여야 하며, 이들 요구사항을 만족시키기 위해 필요한 특정 통제나 개별 책임 등도 정의하고 문서화하여야 한다.
				14.1.2	준수 검토	정보통신망이용촉진및정보보호등에관한법률, 신용정보의이용및보호에관한법률 등의 개인정보보호 관련법 및 저작권법, 컴퓨터프로그램보호법 등 지적재산권법 등의 관련 법규의 준수여부를 검토하여야 한다.
				14.1.3	증거자료 수집	보안사고 처리 및 계약 증빙을 위하여 신청기관이나 개인에 대한 소송을 지원하기 위한 적정한 증거 자료를 확보하여야 한다.
		14.2	정보보호 정책 준수 검토	14.2.1	검토 계획	검토의 대상, 주기, 방법, 범위, 절차, 검토자를 포함한 검토계획 및 정책이 수립되어야 한다. 이를 근거로 보안요구사항에 대한 통제와 책임의 준수에 대한 적정성을 검토하여야 한다.
				14.2.2	정책의 준수	모든 정보보호 정책, 절차의 준수여부를 검토하여야 한다.
				14.2.3	기술적 점검	정보시스템이 정보보호표준 및 절차에 따라 운영ㆍ관리되고 있는지 정기적으로 기술적 점검을 실시하여야 한다. 이에 따라 취약성들을 발견한 후 필요한 조치를 취하여야 한다.

	통제분야		통제목적		통제사항	통제내용
14	검토, 모니터링 및 감사	14.3	모니터링	14.3.1	접근 및 사용 모니터링	사용자의 시스템, 네트워크 사용 및 접근이 명확하게 허용된 범위 안에 있는지를 확인하기 위해 모니터링 절차를 수립하고 이행하여야 한다. 모니터링 결과는 정기적으로 점검하여야 하고 위험의 정도에 따라 점검 주기를 결정하여야 한다.
				14.3.2	감사기록 분석 및 보관	모니터링을 위한 감사 기록을 생성하고, 분석하며 일정 기간 동안 보관하여야 한다.
				14.3.3	시각 동기화	감사 기록의 명확성을 보장하고 법적인 자료나 징계 자료로서 효력을 갖기 위해서는 시스템 시각을 정확히 설정하여야 한다.
		14.4	보안감사	14.4.1	보안감사 계획 및 이행	보안 감사 대상, 범위, 주기, 방법, 절차, 감사자, 감사도구를 포함한 보안감사 계획을 수립하고 이행하여야 한다.
				14.4.2	감사결과 및 사후관리	감사의 결과에 따라 감사보고서를 작성하고 적정한 책임자에게 보고하며, 감사 지적 내용이 이행되도록 사후관리하여야 한다.
15	업무 연속성 관리	15.1	업무연속성 관리 체계 수립	15.1.1	업무연속성 관리 과정 수립	개시단계, 업무연속성전략수립단계, 구현단계, 운영관리단계 등 업무연속성관리를 위한 과정을 사전에 정의하여야 한다. 개시단계에는 업무연속성관리에 대한 정책 수립 및 범위설정, 자원분배를 포함하여야 하며, 업무연속성전략수립단계는 업무영향분석을 통해 이루어져야 한다. 구현단계에는 재해복구 및 위험감소 대책, 업무연속성계획의 문서화를 포함하여야 하며, 운영관리단계에는 시험, 교육훈련, 검토 및 갱신을 포함하여야 한다.

	통제분야		통제목적		통제사항	통제내용
15	업무 연속성 관리	15.1	업무연속성 관리 체계 수립	15.1.2	업무연속성 계획 프레임워크 수립	업무별 연속성 계획의 이행에 필요한 조건, 응급절차, 대체절차 등을 고려하여 연속성 계획들이 일관성을 유지할 수 있도록 프레임워크를 수립하여야 한다.
		15.2	업무연속성 계획 수립과 구현	15.2.1	업무영향 분석	재난재해별로 업무에 미칠 수 있는 영향을 피해규모와 복구에 소요되는 시간 등을 고려하여 분석하고 그 결과를 기초로 구체적인 업무복구목표 및 복구를 위한 최소한의 요구사항을 설정하여야 한다.
				15.2.2	업무연속성 계획 수립	업무복구목표 및 최소 요구사항을 구현하기 위한 여러 대안들을 평가하여 업무연속성을 위한 전략을 수립하고 대책 구현을 위한 계획을 수립하여야 한다.
				15.2.3	업무연속성 계획 구현	업무연속성계획에서 수립한 위험감소 조치 및 재해복구를 위한 설비를 구현하며 필요한 계획 및 절차 등을 문서화하여야 한다.
		15.3	업무 연속성 계획 시험 및 유지관리	15.3.1	업무연속성 계획 시험	환경의 변화 또는 부정확한 전제 등으로 인한 오류를 제거할 수 있도록 지속적인 시험을 수행하며, 시험 계획에는 시기, 방법, 절차 등을 포함하여야 한다.
				15.3.2	업무연속성 계획 유지 ․관리	업무연속성계획에 대해 정기적인 교육 및 훈련을 실시하고 지속적인 검토와 평가 및 변경관리를 수행하여야 한다.

[별지 제1호서식] (앞쪽)
정보보호관리체계인증기관 지정신청서							처리기간
							3 월
신청인		①업 체명 및 대표자성명		②설립일자
		③소재지		④전화번호
		⑤직 원 수	명	⑥인증심사업무를 전담하는 직원의 수		명
「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조 및 같은 법 시행령 제48조에 따라 위와 같이 정보보호관리체계인증기관의 지정을 신청합니다. 년 월 일 신청인 (서명 또는 인) 방송통신위원회 귀중
구비서류	신청인(대표자) 제출서류				담당공무원 확인사항 (부동의하는 경우 해당서류 제출)			수수료
	1. 정관 2. 별지 제2호서식의 인증심사업무를 전담하는 직원 보유현황과 이를 증명할 수 있는 서류 3. 별표 제1호에 따른 업무수행능력심사를 위하여 필요한 서류				법인등기부 등본 (법인인 경우)			없음
본인은 이 신청서의 처리와 관련하여 「전자정부법」 제21조제1항에 따른 행정정보의 공동이용을 통하여 담당공무원이 위의 담당공무원 확인사항을 확인하는 것에 동의합니다. 신청인(대표자) (서명 또는 인)
210㎜×297㎜(일반용지 60g/㎡)

이 신청서는 아래와 같이 처리됩니다.						(뒤쪽)
신청인					처리기관(방송통신위원회)
	신청서 작성						▶	접수
					▼
								심사
								서류심사 업무수행능력 심사 현장실사
					▼
								지정여부 결정
					▼
		지정서 교부	◀					지정서 작성

[별지 제2호서식]

(제1쪽)

인증심사업무를 전담하는 직원의 보유현황
업체명
대표자 성명
소 재 지
종업원수					인증심사업무를 전담하는 직원의 수
일련 번호	성 명 (한 자)	주 소				최종학위		해당 요건
		주민등록번호		입사일		취득학교 및 학과(전공)

(제2쪽)

일련 번호	성 명 (한 자)	주 소		최종학위	해당 요건
		주민등록번호	입사일	취득학교 및 학과(전공)
비 고 1. ｢해당요건｣란에는 별표 1의 요건 중 당해 인증심사업무를 전담하는 직원이 충족하는 요건을 기재한다. 예시) 학력 및 경력기준 제2호 가목 2. 기재된 최종학위를 증명할 수 있는 직원의 졸업 또는 학위증명서 사본을 제출하여야 한다. 3. 별표 1의 「자격 및 경력기준」을 충족하는 직원은 기술자격증 사본 등 자격을 취득하였음을 확인할 수 있는 서류를 함께 제출하여야 한다. 4. 정보통신유관경력 또는 정보보호유관경력을 증명할 수 있는 경력증명서(근무부서 또는 담당업무 등이 기재되어야 한다)와 해당 직원이 신청업체에 현재 근무하고 있음을 확인할 수 있는 재직증명서를 함께 제출하여야 한다.

[별지 제3호서식]

정보보호수행실적 명세서
업 체 명
대 표 자 성 명
소 재 지
정보보호수행실적 총계		외 건 (총 천원)
일련 번호	정보보호수행실적 (프로젝트명)	수행 기간	계약 금액 (천원)	과제책임자	구분
	대상기관(기업)명
비 고 1. 계약금액란에는 정보보호에 관한 업무를 수행한 대가로서 지급받은 대금을 기재하고, 구분란에는 정보보호에 관한 감사, 감리, 진단, 인증, 컨설팅 등으로 실적을 구분하여 기재한다.

[별지 제4호서식]

(제1쪽)

제      호

정보보호관리체계인증기관지정서

업체명 :

대표자 :

소재지 :

지정의 유효기간 :

「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조 및 같은 시행령 제48조에 따라 위와 같이 정보보호관리체계인증기관으로 지정합니다.

년        월        일

방송통신위원회 위원장 [인]

210㎜×297㎜

(보존용지(1종) 120g/㎡)

(제2쪽)

Registry No.

CERTIFICATE OF DESIGNATION

AS

ISMS Certification Authority

Name of Organization :

Name of Representative :

Address :

Period of Validity :

This is to certify that the above-mentioned organization is designated Information Security Management System (ISMS) certification Authority in accordance with Article 47 of the Act on Promotion of Information and Communication Network Utilization and Information Protection, etc. and Article 48 of Promotion of Information and Communication Network Utilization and Information Protection, Etc. Enforcement Ordinance of Act

Signed by the

Chairman of Broadcasting and Communications Commission

Republic of Korea

210㎜×297㎜

(보존용지(1종) 120g/㎡)

[별지 제5호서식]				(앞쪽)
정보보호관리체계인증신청서
신청인	성명(대표자)				주민등록번호
	상호 또는 명칭				사업자등록번호
	소재지				전화번호
인증신청의 구분		□처음으로 인증신청을 하는 때 □유효기간의 만료로 다시 인증신청을 하는 때 □인증의 범위에 중요한 변경이 있어서 다시 인증신청을 하는 때
정보보호관리체계의 범위
정보보호관리체계의 범위에 포함되어 있는 종업원의 수
「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조제1항 및 제4항, 동법 시행령 제50조에 따라 위와 같이 정보보호관리체계의 인증을 신청합니다. 년 월 일 신청인 (서명 또는 인) (인증기관명) 귀하
구비서류 1. 법인등기부 등본(법인인 경우에 한합니다) 2. 정보보호관리체계의 내역서
210mm×297mm(신문용지 54g/㎡)

이 신청서는 아래와 같이 처리됩니다.				(뒤쪽)
신청인				처리기관(인증기관)
	신청서 작성				▶	접수
				▼
						협의
				▼
						인증심사
				▼
	인증서 교부	◀				인증서 작성

[별지 제6호서식]	(제1쪽)
제 호 정보보호관리체계인증서 상호 또는 명칭 : 대표자 : 소재지 : 인증의 범위 : 유효기간 : 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조제1항 및 제4항, 같은 법 시행령 제50조에 따라 위와 같이 정보보호관리체계를 인증합니다. 년 월 일 (인증기관장) (인)
210mm×297mm(보존용지(1종) 120g/㎡)

(제2쪽)

Certificate Number :

CERTIFICATE

OF

Information Security Management System

Name of Organization :

Name of Representative :

Address :

Scope of Certification :

Period of Valid :

Date of Issuance :

This is to certify that the above- mentioned organization is compliant to the assessment standard for Information Security Management System certification in accordance with Article 47, Paragraph 1 and 4 of Act on Information Network Utilization and Data Protection, etc., and Article 50 of the Enforcement Ordinance of the Act.

Signed by the

President of ISMS Certification Authority

Republic of Korea

210mm×297mm(보존용지(1종) 120g/㎡)

[별지 제7호서식] 정보보호관리체계 인증서 추가발급 신청서

정보보호관리체계 인증서 추가발급 신청서
신청인	상호 또는 명칭			성 명(대표자)
	사업자등록번호			전화번호
	주 소(소재지)
추가발급 사유
위와 같이 정보보호관리체계 인증서의 추가발급을 신청합니다. 200 년 월 일 신청인 (서명 또는 인)

[별지 제8호서식] 정보보호관리체계 인증서 변경 신청서

정보보호관리체계 인증서 변경 신청서
신청인	상호 또는 명칭			성 명(대표자)
	사업자등록번호			전화번호
	주 소(소재지)
변경 내용	변경전	(국문)
		(영문)
	변경후	(국문)
		(영문)
변경 사유
위와 같이 정보보호관리체계 인증서 변경을 신청합니다. 200 년 월 일 신청인 (서명 또는 인)