정보통신보안업무규정

제정 2000. 12.  1. 행정안전부훈령 제 61호

개정 2005.  4. 23. 행정안전부훈령 제135호

개정 2007. 12.  6 . 행정안전부훈령 제246호

제정 2008. 3.  11. 행정안전부훈령 제 17호

제 1 장  총  칙

제1조(목적) 이 규정은「보안업무규정」및「보안업무규정 시행규칙」(이하 “‘시행규칙”이라 한다),「보안업무시행요강」(2006.9.8 행정자치부훈령 제205호)제3조 제2항 (이하 “시행요강”이라 한다)에서 위임된 사항과 행정안전부의 정보통신보안업무에 필요한 사항을 규정함을 목적으로 한다.

제2조(적용) 이 규정은 행정안전부와 그 소속기관, 특별시․광역시․도․특별자치도 및 시․군․구와 그 소속기관(이하 “행정기관”이라 한다)에 적용한다.

제3조(정의) 이 규정에서 사용하는 용어의 정의는 다음과 같다.

1. “정보통신보안”이라 함은 정보(Data, Voice, Images 등)를 통신하기 위한 수단으로 수집․가공․저장․검색․송수신되는 정보의 유출․위변조․훼손 및 기밀 등을 방지(防止)하거나 정보통신망 및 정보통신시스템을 보호하기 위하여 관리적․물리적․기술적 수단을 강구하는 일체의 행위를 말한다.

2. “정보통신망”이라 함은 유․무선, 광선, 위성 등을 매개로 하는 다양한 정보통신수단에 의하여 부호, 문자, 음향, 영상 등의 정보를 수집․가공․저장․검색․송수신하는 정보 전달체계를 말한다.

3. “정보통신시스템”(이하 “정보시스템”이라 한다)이라 함은 정보통신망을 매개로 하는 다양한 정보를 수집․가공․저장․검색․송수신하는 각종 정보를 관리적․물리적․기술적 수단으로 관리하는 정보통신 일체의 기술(소프트웨어 등)이나 장치(하드웨어 등)를 말하며 정보통신보안시스템을 포함한다.

4. “정보통신보안시스템”(이하 “보안시스템”이라 한다)이라 함은 정보통신 수단으로 생산․처리․저장․송신되는 정보의 유출․위변조․훼손 및 기밀 등 중요자료를 보호하기 위해 국가정보원장이 승인한 암호장비, 암호논리, 암호자재․음어자재․약호자재와 사이버안전기술이 적용된 일체의 기술(소프트웨어 등)이나 장치(하드웨어 등)(이하 “정보보호시스템”이라 한다) 등을 말한다.

5. “정보통신보안측정”(이하 “보안측정”라 한다)이라 함은 정보통신보안진단도구(이하 “진단도구”라 한다)를 통해 정보통신망과 정보시스템 및 보안시스템에 대한 보안관리 실태와 해킹, 도청 등 각종 위협요소에 대해 보안취약성을 진단하기 위한 제반 보안활동을 말하며 대도청(對盜聽) 측정활동을 포함한다.

6. “대도청(對盜聽) 측정”이라 함은 도청탐색장비 등을 이용하여 은닉된 도청장치 색출 등 각종 도청위해 요소를 제거하는 제반 보안활동을 말한다.

7. “진단도구”라 함은 정보통신망과 정보시스템 및 보안시스템에 대한 보안취약성을 분석하고 점검할 수 있는 기술이나 장치를 말한다.

8. “정보통신실”이라 함은 전산장비(서버 등), 전송장비(교환기 등), 통신장비(라우터 등), 보안장비(방화벽 등) 등 정보통신망과 정보시스템 및 보안시스템이 종합적으로 설치․운용되는 장소를 말하며, 전산실과 통신실 및 관제실 등이 있다.

9. “전산실”이라 함은 각종 전산장비(서버)를 설치․운용하는 곳으로 정보를 입력․보관하고 보조기억매체를 종합 관리․보관하는 장소로써 자료보관실을 포함한다.

10. “통신실”이라 함은 각종 전송장비의 운용과 음성․영상 등을 입력․보관하고 있는 보조기억매체를 종합 관리․보관하는 장소를 말한다.

11. “관제실”이라 함은 정보통신망이나 정보시스템의 운용과 통신하기 위한 수단으로 수집․가공․저장․검색․송수신되는 각종 정보를 종합 관리․감시․분석․대응하는 장소를 말한다.

12. “전산자료”라 함은 전산장비에 의하여 전자기적인 형태로 입력․보관되어 있는 각종 정보(data)를 말하며, 그 자료가 입력되어 있는 보조기억매체를 포함한다.

13. “보조기억매체”라 함은 디스켓(FD), 이동형 하드디스크(HDD), USB메모리, 플레쉬메모리, CD(Compact Disk), DVD(Digital Versatile Disk), IC칩 등 자료를 저장할 수 있는 일체의 것으로 PC 등의 정보통신시스템과 분리할 수 있는 기억장치를 말한다.

14. “암호논리”라 함은 자료의 누설, 위․변조, 훼손방지를 위하여 기밀성․무결성․인증․부인봉쇄 등의 기능을 제공하는 프로그램을 말한다.

15. “암호장비”라 함은 정보통신수단으로 처리․저장․송수신 되는 정보를 보호할 목적으로 암호논리를 내장하여 제작된 장비나 장치를 말한다.

16. “암호자재”라 함은 Ⅱ급비밀 이하의 통신내용 및 정보자료를 비닉할 목적으로 사용하는 문자․숫자․기호 등으로 구성된 환자표와 난수 또는 암호논리 등을 저장한 문서나 도구를 말한다.

17. “음어자재”라 함은 Ⅲ급비밀 이하의 통신내용 및 정보자료를 비닉할 목적으로 사용하는 문자․숫자․기호 등으로 구성된 환자표 또는 암호논리 등을 저장한 문서나 도구를 말한다.

18. “약호자재”라 함은 대외비 이하의 통신내용을 비닉할 목적으로 특정 용어를 문자․숫자․기호 등으로 변환하여 수록한 문서나 도구를 말한다.

19. “암호취급자”라 함은 암호취급인가를 받아 암호체계를 연구․제작․수발 및 보안시스템을 취급관리하는 자를 말한다.

20. “보안시스템 제작업체”(이하 “제작업체”라 한다)“라 함은 보안시스템의 제작권을 획득한 업체를 말한다.

제 2 장 기본방향 및 체계

제4조(기본방향) 행정기관의 장은 정보통신수단에 의한 각종 정보의 누설(漏泄)을 방지하고 보호(保護)하여야 하며 다음과 각 호의 정보통신보안 기본활동을 수행하여야 한다.

1. 정보통신보안 정책 및 활동 세부계획 수립․시행

2. 정보통신보안 감사․지도점검 실시

3. 취약 정보통신망 및 정보시스템의 보안대책 수립 추진

4. 보안시스템 개발․운용

5. 정보통신보안 위규 적발 및 사고조사 처리

6. 소관 분야 정보통신보안 업무조정 및 감독

7. 사이버위협정보 수집․분석․전파 및 보안관제

8. 사이버공격 관련 경보 발령시 대응활동

9. 사이버침해사고 대응․복구

10. 정보통신보안 수준 평가․관리

11. 정보통신보안 교육계획 수립․시행

12. 정보통신보안업무 심사분석 시행

13. 도청(盜聽) 위해(危害)요소 제거

14. 정보통신보안 관련 규정․지침 등 제․개정

15. 기타 정보통신보안 관련 사항

제5조(책임) 행정기관의 정보통신보안에 관한 책임은 행정기관의 장에게 있다.

제6조(정보통신보안담당관 제도운영) ①행정기관의 장은 효율적인 정보통신보안업무를 수행하기 위하여 “시행요강 제3조제2항”에 의거 정보통신보안담당관을 임명․운영하여야 한다.

②정보통신보안담당관은 정보통신업무를 관장하는 부서에 발령과 동시에 소관기관의 정보통신보안담당관이 된다.

③정보통신보안담당관이 교체되었을 때에는 “시행요강 제3조제6항”에 의거 통보하여야 한다.

④정보통신보안담당관은 “시행요강 제3조제1항”에서 정한 보안담당관의 지휘감독을 받아 제4조의 기본활동 임무를 수행한다.

⑤정보통신보안담당관은 행정기관의 효율적인 정보통신보안의 업무를 수행하기 위하여 다음 각호의 시책을 강구하여야 한다.

1. 정보통신보안 관련 전문기술인력 확보 및 양성에 관한 사항

2. 정보통신보안 교육 및 홍보 등에 관한 사항

제7조(세부추진계획 수립 및 심사분석) ①행정기관의 장은 제4조의 규정에 따라 정보통신보안에 대한 세부추진계획을 수립․시행하고 이에 대한 심사분석을 실시하여야 한다.

②행정기관의 장은 정보통신보안업무 세부추진계획 및 심사분석을 별지 제1호 및 제2호서식에 작성하여 다음 각 호의 기간 내에 행정안전부장관에게 제출하여야 한다.

1. 연간 정보통신보안업무 세부추진계획 : 익년도 1. 31한

2. 정보통신보안업무 심사분석 : 당해년도 10. 31한

③행정안전부장관은 제2항의 규정에 따라 제출된 세부추진계획 및 심사분석 결과를 종합하여 국가정보원장에게 통보하여야 한다. 다만, 제출기한은 매년도 보안업무 수행지침의 제출기한을 우선 적용한다.

제8조(보안감사) ①행정기관의 장은 “시행규칙 제64조” 및 “시행요강 제3조제4항”에 의거 본청 및 소속기관의 정보통신에 대한 보안감사와 불시점검을 병행하거나 별도로 실시할 수 있다.

②행정기관의 장은 보안감사 또는 불시점검은 제도적인 문제점 발굴에 중점을 두고 실시하여야 하며 도출된 취약요인은 근본적인 대책을 수립하여 시행하여야 한다.

③행정기관의 장은 정보통신에 대한 보안감사 실시계획과 감사결과를 다음 각호의 기간內에 행정안전부장관에게 제출하여야 한다.(단, 불시점검 결과는 심사분석에 포함하여야 한다)

1. 연도 정보통신보안감사 실시계획 : 익년도 1.31한

2. 정보통신보안감사 결과 : 감사결과 강평서 작성 완료시

④행정기관의 장은 보안감사의 효율적 수행을 위하여 행정안전부장관에게 감사의 방향, 중점사항, 감사관 지원 등 업무협조를 요청할 수 있다.

제9조(보안지도방문) ①행정기관의 장은 “시행요강 제3조제4항”에 의거 정보통신의 운영에 관하여 보안에 취약분야를 개선하기 위한 보안지도방문(이하 “지도방문”이라 한다)을 실시하여야 한다.

②행정기관의 장은 본청 및 소속기관 등에 지도방문을 실시할 경우에는 별표1의 “정보통신보안 점검표” 및 “국가사이버안전매뉴얼 보안점검항목”을 적극 활용하여야 한다.

③행정기관의 장은 정보통신의 운영에 관하여 보안취약성 진단과 보안관리 개선을 수행하기 위해 행정안전부장관 또는 국가정보원장에게 지도방문을 요청할 수 있다.

제10조(보안성 검토) ①행정기관의 장은 다음 각 호의 사유가 발생한 경우에 자체 보안대책을 강구하고, 국가정보원장에게 보안성검토를 의뢰하여야 한다. 다만, 국가정보원장과 사전 협의를 통해 사안이 경미하다고 판단된 경우 보안성검토를 생략할 수 있다.

1. 정보통신망을 신․증설하거나 서버 등 정보시스템을 교체하는 경우

2. 내부 정보통신망을 외부망과 연결하고자 하는 경우

3. 정보통신보안 관련법규을 제정 또는 개정하고자 할 경우

4. 보안시스템을 도입 운용하고자 할 경우

5. 외부기관 및 업체의 보안감리 또는 보안컨설팅(보안취약성 분석․평가 포함)을 받거나 정보처리․보안관제 등의 업무를 위탁할 경우

6. 무선랜 등 무선망을 사용하여 업무를 처리하거나 원격근무 지원등을 위해 정보시스템을 도입하고자 하는 경우

7. 기타 정보통신 운용환경 변화로 인하여 보안성검토가 필요하다고 인정되는 경우

②보안성검토 업무절차는 다음과 같다.

1. 정보통신망을 신․증설하거나 정보화 용역개발 등 추진하고자 하는 사업계획에 대하여 “시행요강 제4조․제5조․제6조”의 의거 보안심사위원회 심의를 거친 후 국가정보원장에게 요청하여야 한다. 다만, 계획수립 단계에서 보안대책을 판단하기가 곤란한 경우에는 미리 국가정보원장과 사전 협의하여야 한다.

2. 행정안전부는 국가정보원 본부에 지방자치단체는 해당지역을 관할하는 국가정보원 지부에 요청한다.

③행정기관의 장은 보안성검토를 요청할 경우에는 다음 각 호의 서류를 제출 하여야 한다.

1. 사업 목적 및 추진계획

2. 사업계획서(신규사업에만 적용)

3. 기술제안요구서

4. 정보통신망 구성도

5. 자체 보안대책 강구사항

가. 보안관리 수행체계(조직, 인원) 등 관리적 보안대책

나. 정보통신망이나 정보시스템 설치장소에 대한 보안관리방안 등 물리적 보안대책

다. 보안시스템 도입 및 운용계획

라. 망 연동시 행정기관과 연동기관간 보안관리 협의사항

마. 정보시스템의 요소별 기술적 보안대책

바. 전산자료 보호대책

사. 재난복구 계획 또는 상시 운용계획

6. 암호논리 지원을 요청할 경우에는 제84조제2항에 근거한 자료

7. 상용 보안시스템의 보안적합성 검증을 병행하고자 할 경우에는 제45조제3항에 근거한 자료

④제1항에 의거 보안성을 검토를 요청할 경우에는 행정안전부 정보통신 보안업무 시책(施策)과 상충(相衝)할 소지가 있는지에 대하여 행정안전부장관과 사전 협의하여야 한다. 이 경우 행정안전부장관이 관련자료 요청시 해당기관의 장은 특별한 사유가 없는 한 이에 협조하여야 한다.

제11조(보안교육) ①행정기관의 장은 다음과 같이 정보통신에 대한 보안교육계획(외부전문기관 위탁교육 포함)을 수립․시행하여야 한다.

1. 본청 및 소속기관 : 년 1회 이상

2. 공무원교육기관 : 3일 이상 교육과정 연 1회 이상

②행정기관의 장은 정보통신에 대한 보안교육의 효율성을 제고시키기 위하여 행정기관별 자체 실정에 맞는 보안교육 교안 및 교재를 작성․활용하여야 한다.

제12조(비상통신 보안대책) 전시 또는 비상사태 발생에 대비하여 비상 정보통신망을 운용하고 있거나 중요한 정보통신시설을 관리 감독하는 행정기관의 장은 평상시 비상통신 보안대책을 강구하여야 한다.

제 3 장  정보통신 보안관리

제13조(주요 정보통신 기반시설 등의 보호구역 설정) ①행정기관의 장은 “시행요강 제43조”에 의거 다음 각 호에 해당하는 경우 주요 정보통신 기반시설 및 장소(이하 “기반시설”이라 한다)를 보호구역으로 설정하여야 한다.

1. 암호실

2. 정보통신실(기관내 통합전산센터 포함)

3. 전산자료 보관실

4. 보안시스템 개발․설치 장소

5. 경호통신, 국가비상통신 등 중요통신망의 교환국, 회선집중국 또는 중계국

6. 백업센터 및 중요한 정보통신 기반시설을 집중 제어하는 장소

7. 기타 보안관리가 필요하다고 인정되는 정보시스템 설치 장소

②행정기관의 장은 기반시설에 대해 보안취약 요인을 발굴․개선하거나 외부의 위협요소(카메라, 카메라폰, 켐코더 등 영상저장용 장비 포함)로부터 보호대책을 강구하기 위하여 정기적으로 보안점검을 실시하여야 한다.

③국방․외교 관련 사항 등 비밀을 주로 취급하는 기반시설 또는 공항․전략․가스․원자력 등 국가안보상 중요한 기반시설과 연결하고자 할 경우에는 상용망과 분리 운용함을 원칙으로 한다.다만, 국가정보원장이 승인한 경우에는 그러하지 아니할 수 있다.

제14조(무선통신 보안관리) ①행정기관의 무선통신망(이하 “무선망”이라 한다) 운용을 위한 보안관리 방침은 다음과 같다.

1. 보안상 취약한 무선망의 신설 또는 증설 억제

2. 내륙 지역 취약 무선망의 유선화 및 다원화 추진

3. 국가 및 공공기관의 무선망으로 중요자료 및 비밀 소통시에는 보안시스템을 사용한다. 이 경우, 무선망을 신규 도입 및 운용환경 변경시 보안시스템을 개발 적용할 수 있도록 입찰 조건에 명시하여야 한다.

4. 도서 무선망의 보안대책 수립추진

5. 관공서 통신시설(MTS 및 SSB 등)에 대한 보안대책 수립추진

②무선망을 운용하는 행정기관의 장은 다음 각호에 대하여 보안대책을 강구하여야 한다.

1. 전파월경 방지대책 강구

2. 무선망에 보안시스템 설치 운용

3. 무선국의 현황 관리와 보안지도 점검

4. 정보통신보안 위규 및 보안취약성 근절을 위한 전파감시 및 전파측정

5. 공중통신망 이용시 보안시스템 활용

제15조(해외 정보통신 보안관리) ①행정기관의 장은 해외 순방행사 관련 사항은 국제전화, 전자우편, 일반팩스 등 보안성이 없는 정보통신 수단의 이용을 금지한다. 다만, 해외공관과 비밀 등 중요자료를 소통하고자 할 때에는 국가정보원장이 승인한 보안대책을 시행하여야 한다.

②행정기관의 장은 인터넷 및 현지 고용원 PC와 연결을 차단하여야 하며 국가정보원장이 승인한 보안대책 없이 인터넷에 연결된 PC를 이용하여 해외전문 등 비밀․중요자료의 작성․보관․소통을 금지하여야 한다. 다만, 부득이한 경우에는 외교정보통신망을 이용하여야 한다.

③행정기관의 장은 해외에 직원을 파견하고자 할 경우에는 파견 직원에 대하여 정보통신망 및 정보시스템의 운용시 보안관리 방안 등 정보통신 보안교육을 실시하여야 하며 정보통신 보안업무에 대하여 인계인수를 철저히 하여야 한다.

제16조(국제통신 보안관리) 행정기관의 장은 국제통신망에 의한 국가기밀 및 중요자료의 누설을 방지하기 위하여 다음 각호의 보안대책을 강구하여야 한다.

1. 비밀 및 중요사항에 대한 통신내용 보호대책

2. 보안성, 안전성을 고려한 정보통신망 활용

제17조(경호통신 보안관리) ①국가원수 행사 및 경호와 관련된 사항은 경호통신망 이외의 다른 통신수단을 이용하여 송수신할 수 없다. 다만, 부득이한 경우에는 대통령경호실과 협의한 후 그러하지 아니할 수 있다.

②경호업무를 수행하는 기관의 장은 다음 각 호의 사항을 소통할 경우 국가용 보안시스템을 사용하여야 한다. 다만, 행주 중인 국가원수 동정이나 행사동향 등은 어떠한 통신장비를 이용해서도 송수신을 금지하여야 한다.

1. 행사 준비단계에서 준비사항

2. 관련 기관간 행사관련 협조사항

3. 대통령 행차 및 환차와 관련한 일체의 사항

4. 행사 종료후 지휘 보고사항

제18조(남북통신 보안관리) ①행정기관의 장은 본청 및 소속기관이 남북회담 또는 남북경협사업 등을 위하여 북한지역에 정보시스템을 반출하거나 정보통신망을 구축할 경우에는 국가정보원장과 협의를 거쳐 자체 보안대책을 강구하여야 한다. 다만, 행정안전부는 국가정보원 본부에 지방자치단체는 해당기관을 관할하는 국가정보원 지부에 협의 한다.

②남북경협사업 등에 참가한 사업자를 관할하는 행정기관의 장은 사업자가 북한 현지에서 운영하는 정보통신망이나 정보시스템이 도청(盜聽) 등에 악용되지 않도록 주기적인 정보통신 보안교육 등 보안지도 활동을 강화하여야 한다.

③남․북한 지역간 정보통신망을 연결하거나 정보시스템을 설치할 경우에는 정보통신의 경로 및 시설을 임의로 변경하거나 인가받지 않은 다른 정보통신망과 연결하지 말아야 한다.

제19조(정보통신시설 보안관리) ①행정기관의 장은 제13조에 의거 기반시설을 운용하는 경우에는 기반시설의 관리책임자를 지정하여야 한다. 이 경우 기반시설의 관리책임자는 기반시설을 관리하고 있는 부서에 발령과 동시에 관리책임자가 된다.

②기반시설의 관리책임자는 다음 각 호와 같은 보안대책을 강구하여야 한다.

1. 방재대책 및 외부로부터의 위해(危害) 방지대책

2. 상시 이용하는 출입문은 한 곳으로 정하고 이중 잠금장치 설치

3. 출입문 보안장치 설치 및 주야간 감시대책

4. 보조기억매체를 보관할 수 있는 용기 비치

5. 보조기억매체에 대한 안전지출 및 긴급파기 계획 수립

6. 관리책임자 및 자료․장비별 취급자 지정 운용

7. 전산자료별로 접근권한을 제한

8. 작업은 소관업무에 따라 입력․출력․열람 등으로 제한

9. 열람은 필요에 따라 기본항목․전항목 등으로 제한

제20조(정보통신망 보안관리) ①행정기관의 장은 다음 각 호에 해당하는 자료는 대외비(對外秘)로 분류하여 관리하여야 한다. 다만, 국가안보와 직결되는 중요한 정보통신망 관련 세부자료는 “보안업무규정” 및 “시행규칙” 및 “시행요강”에 의거 비밀로 분류 관리하여야 한다.

1. 정보통신망 세부 구성현황(IP 세부 할당현황 포함)

2. 보안시스템 운용현황

3. 보안취약성 분석․평가 결과물

4. 기타 보호할 필요가 있는 정보통신망 관련 자료

②제1항에 명시되지 않은 정보통신망 관련 자료의 분류 관리는 국가정보원장이 제정한 “비밀 세부분류지침”을 따른다.

제21조(정보시스템 보안관리) ①행정기관의 장은 정보시스템의 효율적인 보안관리를 위하여 정보시스템별로 관리책임자(이하 ‘시스템관리자’라 한다)를 지정 운영하여야 한다.

②시스템관리자는 각종 서버․PC․정보통신장비․보안장비 등 정보시스템이 비인가자에게 불필요한 서비스를 허용하지 않도록 보안기능을 설정하여야 한다.

③시스템관리자는 보안도구를 이용하여 정보시스템의 보안취약성을 진단하여야 하며 이 경우 해당 정보시스템에 대한 접속․접근기록(일시, 사용자, 대상, 제목, 방법 등)을 관리하여야 한다.

④시스템관리자는 다음 각 호와 같이 자동 수록된 접근자료(Log Data)를 관리하여야 한다.

1. 접근자료는 접속의 성공여부와 무관하게 기록 유지

2. 정보시스템 접근기록은 매일 점검하고, 분석내용을 분기별 관리책임자에게 보고

3. 자동 수록된 자료는 보안사고 발생시 확인 등을 위하여 3개월  이상 보관(백업자료 포함)

4. 접근자료의 외부유출 방지를 위한 보안대책 강구

5. 3회 이상 접속시도의 오류가 발생하는 경우 경보 발생 및 시스템관리자에 통보기능 부여

⑤시스템관리자는 정보시스템의 보유자료에 대해 업무별, 자료별 중요도에 따라 접근권한을 차등 부여하여야 한다. 이 경우 사용자별 자료 접근범위는 등록하여 인가여부를 식별토록 하고 인가된 범위 이외의 자료접근을 통제하여야 한다.

⑥시스템관리자가 비인가자의 정보시스템에 침입한 사실을 인지한 경우에는 정보시스템의 보호를 위한 접속차단 등 초동 조치를 취하고 지체 없이 정보통신보안담당관을 경유하여 행정안전부장관에게 보고하여야 한다. 이 경우 행정안전부장관은 국가정보원장에게 지원을 요청할 수 있다.

⑦시스템관리자는 정보시스템에 대하여 외부업체의 원격 유지보수 작업을 허용하여서는 아니 된다. 다만, 부득이한 경우에는 제26조 및 제31조에 따라 필요한 보안대책을 강구한 후 허용할 수 있다.

⑧시스템관리자는 정보시스템을 운영하기 위한 업무대행자(이하 “업무대행자”이라 한다)를 지정하여서는 아니 된다. 다만, 부득이한 경우에는 제32조제2항에 근거한 보안조치를 수행하여야 한다.

제22조(전산자료 보안관리) ①행정기관의 장은 전산자료에 대한 유출이나 파괴 또는 위․변조 등에 대비하여 다음 각 호에 정하는 보안대책을 강구하여야 한다.

1. 자료 복사본(예비) 확보 및 타 행정기관 또는 다른 안전한 지역에 별도 보관

2. 전산자료(보조기억매체 포함) 보유현황 관리

3. 전산자료 및 장비의 반출 또는 반입 통제

4. 불법접근 및 해킹프로그램․웜․바이러스 감염 피해 예방

5. 전산자료 접근권한 구분․통제

6. 예비(Back up)체계 수립․시행

②행정기관의 민감한 보고서나 주요 자료를 입력․가공․저장․검색하기 위해 사용하는 보조기억매체는 제39조에 따라 보조기억매체를 관리하여야 한다. 다만, 외부에 공개되어도 무방한 자료는 그러하지 아니한다. 이 경우 “시행요강 제3조제3항”에 의거 지정된 행정기관의 분임보안담당관의 승인 하에 사용할 수 있다.

제23조(PC 등 보안관리) ①행정기관의 분임보안담당관은 PC, 단말기(업무용), 노트북 등(이하 “개인용장비”라 한다)을 사용할 경우에  취급자 또는 관리책임자(이하 “관리책임자”라 한다)를 지정하여야 한다. 이 경우 사용자를 별지 제4호(전산장비 관리대장)서식에 등재하여야 하며 제40조(사용자계정) 내지 제41조(비밀번호 관리)의 규정을 준용하여야 한다.

②관리책임자는 비인가자가 무단으로 개인용장비 등을 조작하여 전산자료를 유출하거나 위․변조 및 훼손시키지 못하도록 다음 각 호에 정한 보안대책을 강구하여야 한다.

1. 장비별․자료별․사용자별 비밀번호 사용

2. 10분 이상 작업 중단시 화면보호 설정 및 비밀번호 조치

3. 백신 및 PC용 침입차단시스템 등의 운용

4. P2P 등 업무와 무관하거나 보안에 취약한 프로그램의 사용금지

③관리책임자는 개인용장비를 공유하여 사용하는 것을 금지하여야 한다. 다만, 부득이한 경우에는 분임보안담당관의 책임 하에 제40조 내지 제42조의 보안조치를 한 후 사용여야 한다.(단, 그 사유가 소멸 시에는 즉시 해지하여야 한다)

④관리책임자는 개인용장비 등을 교체․반납․폐기하거나 고장으로 외부에 수리를 의뢰하고자 할 경우에는 하드디스크에 수록된 자료가 유출, 훼손되지 않도록 보안조치를 강구하여야 한다.

⑤관리책임자는 개인용장비를 각급기관 내부로 반입하거나 외부로 반출하여 사용하여서는 아니 된다. 다만, 부득이한 경우에는 분임보안담당관의 승인을 받아 제41조 내지 제42조의 보안조치를 한 후 반입 또는 반출하여야 하며 현황(일시, 취급자, 용도, 보안조치 여부 등)을 비치하여야 한다.

제24조(전자우편 등 보안관리) ①행정기관의 시스템관리자는 전자우편 사용자가 보안조치 없이 전자우편을 이용한 비밀 및 중요자료 전송을 금지하고 출처가 불분명한 전자우편의 경우 열람하지 말고 삭제하여야 한다.

②시스템관리자는 E-mail서버를 내부망에 설치하는 내부용 서버와 침입차단시스템 외부에 설치하는 외부용 서버를 분리하여 운용하거나 이에 상응하는 적절한 보안대책을 수립한 후 설치하여야 한다.

③행정기관의 장은 침입차단시스템을 운영할 경우에는 별표5의 “침입차단시스템 점검표”에 의한 점검을 실시하여야 한다.

제25조(웹서버 등 보안관리) ①행정기관의 시스템관리자는 외부인에게 공개할 목적으로 설치되는 웹서버 등 각종 공개서버는 내부망과 외부망을 분리하여 운영하고 보안적합성이 검증된 보안시스템을 설치하는 등 보안대책을 강구하여야 한다.

②시스템관리자는 서버에 접근할 수 있는 사용자계정을 제한하고 불필요한 계정은 삭제하여야 한다. 이 경우 제40조에 따라 사용자계정을 관리하여야 한다.

③시스템관리자는 홈페이지 게재내용은 자체 보안심사위원회의 심의를 거쳐 비밀내용 등 비공개 자료가 포함되지 않도록 하여야 한다. 다만, 수치변경 및 동일 제목의 내용 수정 등 경미한 내용은 분임보안담당관의 승인으로 갈음 할 수 있다.

④제3항의 경우 공개서버는 업무서비스를 제외한 모든 서비스 및 시험․개발도구 등의 사용을 제한하도록 보안기능을 설정하여야 하며 보안측정을 통해 보안취약성을 수시로 점검하고 자료의 위․변조, 훼손 여부를 확인하여야 한다.

⑤시스템관리자는 보안사고에 대비하여 서버에 저장된 자료의 철저한 백업체계를 구축하여야 하며 공개서버를 통해 개인정보가 유출, 위․변조되지 않도록 보안대책을 수립․시행하여야 한다.

제26조(원격근무 보안관리) ①행정기관의 장은 재택․파견․이동근무 등 원격근무를 지원하기 위한 정보시스템을 도입․운영하고자 할 경우에는 행정안전부장관과 사전 협의하여야 한다.

②제1항의 경우 원격근무를 지원하고 있는 행정기관의 장은 원격근무 이용자에 대하여 제27조에 따른 보안대책을 강구하여야 한다.

제27조(원격관리 제한) ①행정기관의 장은 보안시스템을 원격으로 관리하여서는 아니 된다. 다만, 부득이한 경우는 정보통신보안담당관의 승인 하에 원격으로 관리하되, 다음 각 호의 사항을 준수하여야 한다.

1. 원격관리 시간 최소화

2. 원격관리자의 접속비밀번호 임시 부여 및 소통내용 암호화 등 보안대책 적용

3. 인가되지 않은 원격관리가 수행되는지 주기적 확인점검

②정보통신보안담당관은 제1항에 의하여 원격근무를 승인한 경우에는 다음 각 호의 사항을 확인하는 등 보안조치를 수행하여야 한다.

1. 원격 접속할 사용자, 사용자계정, 비밀번호

2. 접속주소, 접속시간

3. 원격접속 사유(재택, 파견, 이동근무, 출장, 전산망 유지보수 등)

4. 원격접속 후 사용자계정 및 비밀번호 회수 등 조치사항

5. 별지 제21호(정보보호시스템 운용현황)․제22호(원격근무 보안서약서)․제23호(원격근무 보안관리대장)서식 작성 비치

6.「별표4」“원격근무 보안점검표”의 점검사항에 따른 점검

제28조(상용망 등 외부망 연동) ①행정기관의 장은 중앙행정기관이나 소속기관 등과 정보통신망을 연결하여 사용하고자 할 경우에는 보안관리 책임한계 설정과 전산자료 제공범위 및 이용자 접근제한 등 정보통신망에 대한 보안대책을 수립․시행하여야 한다.

②행정기관의 장은 외부망과 연결에 따른 보안취약성 해소를 위하여 접속자료를 주기적으로 분석하고 보안도구를 이용한 정보통신망 보안측정을 통해 취약성을 수시 점검하여야 한다.

③행정기관의 장은 정보통신망을 상용망(인터넷 포함)이나 다른 기관과 정보통신망을 연계하기 위한 보안관리 연결지점을 운용할 경우에는 비인가자의 무단침입(불법접속)이나 악성코드 및 사이버공격을 방지하기 위하여 국가정보원장이 검증한 보안시스템의 설치․운용 등 보안대책을 강구하여야 한다.

④행정기관의 장은 정보통신망 및 정보시스템에 사용되는 “IP주소”를 체계적으로 관리하여야 한다. 이 경우 내부 정보시스템을 보호하기 위하여 사설주소체계(NAT:Network Address Translation)를 사용한다.

⑤행정기관의 장은 행정안전부의 종속망인 자체 정보통신망을 소속․민간기관(상용망 포함)․인터넷 등에 연계하여 내부망과 외부망을 연동하고자 할 경우에는 행정안전부장관과 사전 협의하여야 한다. 다만, 원격접속을 위하여 연계가 필요할 경우에는 제27조제2항에 따른 보안조치를 하고 행정안전부장관과 협의하여야 한다.

⑥행정기관의 장은 개인용장비를 이용하여 상용망(인터넷 포함)을 통해 자료 또는 정보의 교환을 위하여 송수신할 경우에는 사전에 분임보안담당관의 승인을 받아 중요 정보자료의 무단유출을 방지하여야 한다.

⑦행정기관의 장은 같은 청사를 사용하는 유관기관 등에서 상용망(인터넷 포함)을 이용하기 위해 정보통신망 이용요청이 있을 경우 내부망에 접근할 수 있는 IP부여를 금해야 한다.

⑧행정기관의 장은 인터넷을 통한 불법 사이트 접속이나 프로그램 다운로드를 금지하여야 하며 개인용장비에서 음란․도박․증권 등 업무와 무관한 인터넷 사이트 접근에 대한 통제대책을 강구하여야 한다.

⑨행정기관의 장은 비밀을 취급하는 정보통신망 또는 국방․외교 등 국가안보상 중요하거나 경제․사회적 재난이 우려되는 국가 주요 기반시설에 대해서는 상용망과 분리․운용하여야 한다.

제29조(운용현황 관리) 행정기관의 장은 다음 각 호에 해당하는 정보통신 운용현황을 관리하여야 한다.

1. 정보시스템 운용현황

2. 정보통신망 세부 구성도

3. IP 할당현황

4. 주요 정보화사업 추진현황

제30조(재난복구 대책) ①행정기관의 장은 인위적 또는 자연적인 원인으로 인한 정보시스템(정보통신망 포함)의 장애(障碍) 발생에 대비하여 해당 정보시스템(정보통신망 포함)의 이원화, 백업관리, 복구 등 종합적인 재난복구 대책을 수립․시행하여야 한다.

②행정기관의 장은 정보시스템(정보통신망 포함)에 대한 재난복구 대책을 정기적으로 시험하고 검토해야 하며 업무 연속성에 대한 영향평가를 실시하여야 한다.

③행정기관의 장은 정보시스템(정보통신망 포함)의 장애에 대비한 백업시설을 확보하고 정기적으로 백업을 수행하여야 하며 백업시설을 설치할 경우에는 정보통신실과 물리적으로 일정거리 이상 위치한 안전한 장소에 설치하여 재난에 대비하여야 한다.

④제3항에 의하여 별도의 백업시설을 구축 운영하고자 할 경우에는  사전에 국가정보원장에게 보안성검토를 의뢰하여야 한다.

제31조(외부용역사업 보안관리) ①행정기관의 장은 정보화사업 및 보안컨설팅 수행 등 외부 용역사업을 추진할 경우에는 제10조에 따른 보안조치를 실시하여야 한다.

②제1항에 의한 용역사업 계약시 해당 계약서에 용역사업 참여직원의 보안준수 사항과 위반시 손해배상 책임 등을 명시하여야 한다.

③행정기관의 장은 정보통신망도․IP현황 등 용역업체에 제공할 자료는 자료 인계인수대장을 비치하고 보안조치 후 인계인수하여야 하며 무단 복사․외부반출을 금지한다.

④행정기관의 장은 용역 참여직원이 개인용장비를 반출 또는 반입할 때마다 제41조 내지 제42조에 의한 조치사항 및 자료 무단반출 여부를 확인하는 등 보안조치를 하여야 한다.

⑤행정기관의 장은 용역사업 종료시 외부업체의 개인용장비나 보조기억매체 등을 통해 기관 내부자료 및 용역 결과물이 유출되는 것을 방지하기 위하여 복구가 불가능하도록 완전 소거하는 등 보안조치를 하여야 한다.

⑥행정기관의 장은 용역업체로부터 용역 결과물을 전량 회수하고 비인가자에게 제공․대여․열람을 금지하는 등 보안조치를 하여야 한다.

⑦행정기관의 장은 용역사업을 수행할 경우, 용역 참여 직원을 대상으로 보안교육 및 보안점검을 실시하여야 하며, 비밀관련 용역사업을 수행할 경우 외부인원에 대한 비밀취급인가 등 보안조치를 수행하여야 한다.  또한, 외부 용역사업에 대한 보안측정․보안교육․보안점검 등이 필요할 경우 국가정보원장에게 지원을 요청할 수 있다.

제32조(업무대행자 보안관리) ①행정기관의 장은 정보시스템을 관리하기 위하여 계약직, 일용직, 고용직, 청원경찰, 공익근무요원 등을 업무대행자로 지정하여서는 아니 된다. 다만, 부득이한 경우에는 분임보안담당관의 승인 하에 지정하되, 다음 각 호의 사항을 준수하여야 한다.

1. 정보시스템 접속시간 최소화

2. 정보시스템의 접속비밀번호 임시 부여 및 소통내용 암호화 등 보안대책 적용

3. 인가되지 않은 정보시스템 접속 여부의 주기적 확인점검

②행정기관의 장이 제1항에 의하여 특정 정보시스템에 대해 업무대행자를 지정한 경우에는 다음 각 호의 사항을 확인하는 등 보안조치를 수행하여야 하며, 그 사유가 소멸 시에는 즉시 해지하여야 한다.

1. 접속할 사용자, 사용자계정, 비밀번호

2. 접속주소, 접속시간, 접속사유(자료입력, 통계작성 등)

3. 접속 종료후 사용자계정 및 비밀번호 회수 등 조치사항

4. 서약서(별지 제7호 서식) 징구 및 사용자계정 관리대장(별지 제8호 서식) 작성 비치

5. “시행요강”에 의한 신원조사 결과 또는 사본 비치

제33조(감리) 행정기관의 장은 정보시스템에 대한 감리(監理)를 감리인에게 의뢰하고자 할 때에는 비밀 및 중요자료의 유출방지를 위하여 다음 각 호의 사항을 국가정보원장과 사전에 협의하여야 한다.

1. 감리인 및 보조 참여인원

2. 감리 일정 및 감리대상․영역

3. 감리 중점사항 및 보안점검 대상항목

4. 비밀 및 중요자료 보호대책 등

제 4 장 보호등급 및 보안관리

제34조(보호등급 분류) ①행정기관의 장은 전산자료의 보호를 위하여 다음 각 호에 해당하는 경우에는 자체 실정에 맞는 “전산자료 보호등급”을 정하여 분류하여야 한다.

1. 최초로 정보통신망을 신설하여 전산자료의 보호등급 구분이 필요한 경우

2. 현재 운용중인 정보통신망을 재구성할 경우(단, 국가정보원장과 사전 협의를 통해 사안이 경미하다고 판단된 경우 기존 보호등급 적용)

3. 행정기관의 장이 필요하다고 인정하는 경우

②제1항의 규정에 의한 전산자료의 보호등급 분류는 다음 각 호와 같이 구분한다.

1. ‘가’급 자료

유출 또는 손상되는 경우 각급기관의 업무수행에 중대한 장애를 초래하거나 개인 신상에 심각한 영향을 줄 수 있는 전산자료

2. ‘나’급 자료

유출 또는 손상되는 경우 각급기관의 업무수행에 장애를 초래하거나 개인신상에 영향을 줄 수 있는 전산자료

3. ‘다’급 자료

유출 또는 손상되는 경우 각급기관의 업무수행 및 기관의 신뢰도에 경미한 영향을 줄 수 있는 전산자료

제35조(보호등급 분류기준) ①행정기관의 장은 제34조에 따른 보호등급을 분류하기 위한 자체 기준을 수립하여 행정안전부장관과 협의한 후 시행하여야 한다. 다만, 소속기관에 대한 분류기준은 행정기관의 장이 수립한다.

②행정기관의 장이 보호등급 분류기준을 정하고자 할 경우에는 국가정보원이 제정한 지침이나 다른 법령에서 규정하고 있는 보호등급 분류기준을 참고할 수 있다.

제36조(보호등급별 보안대책) ①행정기관의 장은 ‘가’급 보호등급으로 분류된 전산자료를 보호하기 위해서는 다음 각 호의 보안대책을 강구하여야 한다.

1. K4등급 또는 EAL4 등급 이상의 인증을 받고 국가정보원장이 국가기관용으로 보안적합성을 검증한 보호시스템을 설치 사용

2. 자료별 비밀번호의 사용과 시스템 접근권한을 설정 관리

② ‘나’급 보호등급으로 분류된 전산자료 보호하기 위해서는 다음 각호의 보안대책을 강구하여야 한다.

1. K3등급 또는 EAL3 등급 이상의 인증을 받고 국가정보원장이 국가기관용으로 보안적합성을 검증한 보호시스템을 설치 사용

2. 정보시스템 접근권한을 설정 관리

③ ‘다’급 보호등급 자료를 보호하기 위해서는 K2등급 또는 EAL2 등급 이상의 인증을 받고 국가정보원장이 국가기관용으로 보안적합성을 검증한 정보보호시스템을 설치 사용하여야 한다.

④서로 다른 보호등급의 전산자료를 보호하고자 할 경우에는 가장 높은 보호 등급에 따른 보안대책을 강구하여야 한다. 다만, 위 항에서 규정하지 않은 사항은 제23조의 전산자료 보안관리에 따른 보안대책을 준용한다.

제37조(비공개 정보의 보호) 행정기관의 장은 정보통신보안과 관련된 정보를 비공개로 분류․관리하여야 하고, 소속직원 중 비밀 및 중요업무 담당자의 인적사항, 세부 담당업무와 전자우편 주소 등을 인터넷 등에 공개하여서는 아니 된다. 다만, 국가정보원장과 사전 협의하여 공개범위․요건 등 관련내용을 공개할 수 있으며, 이 경우 다른 법령에서 규정하고 있는 사항은 해당 법령이 정하는 바에 따른다.

제38조(비밀자료 등의 전자적 처리) ①행정기관의 장은 비밀 등 중요자료를 정보통신 수단을 이용하여 생산․보관․분류․열람․출력․송수신․이관하는 등 전자적으로 처리하기 위해서는 보안시스템을 사용하여 암호화하는 등 국가정보원장이 안전성을 확인한 보안조치를 수행하여야 한다.

②비밀자료를 전자적으로 생산하고자 할 때에는 해당 비밀등급과 “시행요강 제24조의2”에 따른 예고문을 입력하여 열람 또는 출력시 비밀등급이 자동으로 표시되도록 하여야 한다.

③비밀자료 생산을 완료한 경우에는 PC에 입력된 비밀내용을 즉시 삭제하여야 한다. 다만, 업무상 계속 보관할 경우에는 관리책임자의 승인 하에 저장할 보조기억매체를 별도로 지정하거나 PC내에 독립된 폴더를 지정하여 사용할 수 있다. 이 경우 보안시스템을 이용하여 암호화하는 등 적절한 보안대책을 강구하여야 한다.

④비밀자료를 전자적으로 생산․열람․출력․송수신․이관시에는 작업내용을 전자적으로 기록 유지하여야 하며 송수신시에는 정당성 확인 및 부인을 봉쇄하기 위하여 전자적으로 생성된 영수증을 사용하여야 한다. 다만, 전자적으로 처리된 비밀자료를 종이문서로 출력한 이후의 취급관리는「보안업무규정」및「공공기관의 개인정보보호에 관한법률」을 따른다.

⑤제1항에 의한 보안조치 중 이 지침에 명시되지 않은 세부사항은 「전자문서 보안조치 수행지침」을 준용한다.

제39조(보조기억매체 관리) ①행정기관의 장은 중요한 정보를 보관 관리하기 위하여 보조기억매체 관리책임자(이하 “관리책임자”라 한다)를 지정하여 운영하여야 한다.

②관리책임자는 비밀 등 중요 정보를 평문 또는 암호화 저장되어 있는 보조기억매체를 사용하고자 할 경우에는 유출, 훼손, 비인가자 접근 및 내용 위변조 등에 대비한 보안대책을 강구하여야 한다.

③관리책임자는 비밀(기관용 행정전자서명인증서 포함) 등 중요자료를 저장.보관하기 위해서는 매체별로 해당 비밀등급 및 관리번호를 부여하고 “시행규칙”의 비밀관리기록부 서식 및 보조기억매체 관리대장(별지 제3호 서식)서식에 등재하여 이중캐비닛 또는 금고에 보관하여야 하며, 이 경우 매체 전면에 비밀등급 및 관리번호가 표시되도록 하여야 한다. 다만, 비밀자료가 보안시스템으로 암호화되어 저장된 보조기억매체는 그러하지 아니할 수 있다.

④비밀문서를 많이 취급하는 부서나 실과에서는 제3-1호, 제3-2호 서식으로 관리할 수 있다.

⑤행정기관의 장은 비밀 등 중요자료가 아닌 내부 업무용 자료를 저장하거나 보관을 위하여 보조기억매체를 사용하고자 할 경우에는 사전에 관리책임자에게 승인을 받아 사용하도록 조치하여야 하며, 제3-2호 서식으로 관리하여야 한다.

제40조(사용자계정 관리) ①행정기관의 시스템관리자는 사용자계정(ID)의 비인가자 도용 및 정보시스템 불법접속에 대비하여야 하며, 다음 각 호의 사항을 반영하여 관리하여야 한다.

1. 사용자별 또는 그룹별로 접근권한 부여

2. 외부 사용자의 계정부여는 불허하되 부득이한 경우에는 행정기관장의 책임 하에 유효기간을 설정하는 등 보안조치를 강구한 후 허용

3. 비밀번호가 없는 사용자계정 사용 금지

②시스템관리자는 사용자계정의 등록․변경․폐기 시 시스템관리자의 승인 하에 수행하고, 그 결과를 사용자계정 관리대장(별지 제8호 서식)에 등재하여 관리하여야 한다.

③시스템관리자는 3회에 걸쳐 사용자인증 실패시 정보시스템 접속을 중지시키고 비인가자 침입 여부를 확인 점검하여야 한다.

④시스템관리자는 사용자의 퇴직 또는 보직변경 등으로 사용하지 않는 사용자계정이 발생할 경우 이를 신속히 삭제하여야 한다.

제41조(비밀번호 관리) ①행정기관의 시스템관리자는 정보시스템  비밀번호의 무단사용 방지를 위하여, 다음 각호와 같이 구분하여 사용하여야 한다.

1. 비인가자의 정보시스템 접근방지를 위한 접근용 비밀번호(1차)

2. 사용자가 정보시스템 접속시 인가된 인원인지 여부를 확인하는 사용자인증(2차)

3. 문서에 대한 열람․수정 및 출력 등 사용권한을 제한할 수 있는 자료별 비밀번호(3차)

②시스템관리자는 비밀이나 중요자료에는 반드시 자료별 비밀번호를 부여하여야 한다. 다만, 공개 또는 열람 자료에 대하여는 그러하지 아니할 수 있다.

③시스템관리자는 비밀번호를 다음 각 호의 사항을 반영하여 숫자와 문자, 특수문자 등을 혼합하여 8자리 이상으로 정하고 분기1회 이상 주기적으로 변경 사용하여야 한다.

1. 사용자계정(ID)과 동일하지 않은 것

2. 개인 신상 및 부서명칭 등과 관계가 없는 것

3. 일반 사전에 등록된 단어는 사용을 피할 것

4. 이미 사용된 비밀번호는 재사용하지 말 것

5. 동일 비밀번호를 여러 사람이 공유하여 사용하지 말 것

7. 응용프로그램 등을 이용한 자동 비밀번호 입력기능 사용 금지

④시스템관리자는 정보시스템에 등록되어 있는 비밀번호를 암호화하여 보관하여야 하며 주요 전산자료에 접속하는 개인용장비 등의 비밀번호를 기록 관리하여야 한다. 이 경우에는 전산장비 관리대장(별지 제4호 서식)에 등재하여 대외비 이상으로 분류 관리하여야 한다.

제42조(악성코드 방지) ①행정기관의 시스템관리자 및 개인용장비 사용자(이하 “시스템운영자”이라 한다)는 웜․바이러스, 해킹프로그램, 스파이웨어 등 악성코드 감염을 방지하기 위하여 다음 각 호에 따라 정보시스템을 운영 관리하여야 한다.

1. 출처, 유통경로 및 제작자가 명확하지 않은 응용프로그램은 사용을 자제하고 불가피할 경우에는 백신 등 관련 검색프로그램으로 진단 후 사용

2. 업무상 불필요한 서비스를 제한

3. 실행파일은 읽기 전용으로 속성 변경

4. 인터넷 등 상용망으로 입수한 자료는 필히 악성코드 여부 검색 후 사용

5. 악성코드 조기 발견을 위하여 최신 백신프로그램 활용 및 보안 업데이트 실행

6. 정보통신시스템이 작동할 때마다 컴퓨터 하드디스크의 부트섹터 또는 메모리 등에 악성코드가 감염되었는지 점검

②시스템운영자는 악성코드 감염이 발견되었을 경우 다음 각 호의 조치를 하여야 한다.

1. 악성코드 감염피해를 최소화하기 위하여 감염된 시스템의 사용 중지 및 내부망과 접속 분리

2. 최신 백신 등 악성코드 제거 프로그램을 이용하여 퇴치

3. 악성코드의 감염확산 방지를 위하여 정보통신보안담당관에게 관련내용 및 보안조치 사항을 즉시 보고

4. 악성코드 감염의 재발을 방지하기 위하여 원인 분석 및 예방 조치 수행

③시스템운영자는 악성코드가 신종이거나 감염피해가 심각하다고 판단할 경우에는 관련사항을 정보통신담당관을 경유하여 행정안전부장관에게 신속히 보고하여야 한다.

④행정안전부장관 또는 국가정보원장이 악성코드 감염사실을 확인하여 조치를 권고할 경우 시스템운영자는 즉시 이행하여야 한다.

제43조(‘정보통신보안진단의 날’운영) ①행정기관의 장은 매월 “정보통신보안진단의 날”을 지정하여 운용하여야 한다.

②행정기관의 장은 “정보통신보안진단의 날”을 이용하여 악성코드 감염여부를 진단하여야 한다. 다만, 정보통신망에 연결되어 자동으로 악성코드를 점검․치료하거나 파일 업데이트(패치)가 되고 있는 PC는 그러하지 아니하다.

③행정기관의 장은 “정보통신보안진단의 날”에 소관 정보통신망을 대상으로 악성코드 감염여부와 정보시스템의 보안 취약여부 등을 진단하여 문제점을 발굴 개선하여야 한다.

④제2항 내지 제3항에 따른 보안취약성 발굴․개선 실적을 심사분석에 포함하여야 한다.

제 5 장 보안시스템 관리

제 1 절  공  통

제44조(개발 및 제작) ①행정기관이 보안시스템을 사용하고자 할 경우에 국가정보원장이 개발하거나 제작한 보안시스템을 해당기관에 공급한다. 다만, 국가정보원장이 필요하다고 인정할 때에는 중앙행정기관 또는 정부출연 연구기관으로 하여금 개발하게 하거나 제작하게 할 수 있다.

②제1항에 의거 중앙행정기관 또는 정부출연 연구기관이 개발하거나 제작한 보안시스템은 국가정보원장의 승인을 받아야 한다.

③보안시스템 연구개발 절차 등은「국가 정보보안기술 연구개발 지침」이 정하는 바에 따른다.

제45조(보안적합성 검증요청) ①행정기관의 장은 보안시스템으로 등재되지 아니한 정보를 보호하기 위한 보안시스템을 도입할 경우 국가정보원장에게 보안적합성 검증을 요청하여야 한다.

②보안적합성 검증대상 상용 보호시스템은「정보화촉진기본법」또는 정보보호제품 국제상호인정협정(CCRA)에 의해 인증서가 발급된 것이어야 한다.

③행정기관의 장은 보안적합성 검증 요청시 다음 각 호의 자료를 국가정보원장에게 제출하여야 한다.

1. 별지 제19호서식에 의거한 검증 신청서 1부

2. 별지 제20호서식에 의거한 사용자 보안요구사항

3. 정보통신망 및 정보시스템 구성도 등 운용환경

4.「정보화촉진기본법」또는 국제상호인정협정(CCRA)에 의해 발행된 인증서 사본, 보안 목표명세서, 평가보고서 1부

5. 암호논리가 포함된 경우「암호모듈 시험 및 검증지침」에 의해 발행된 검증서 사본 1부 또는 암호기능 검증에 필요한 문서

제46조(사용) 행정기관의 장이 암호장비․암호논리․보안자재․사이버안전기술이 적용된 보안시스템을 사용하고자 할 때에는 국가정보원장이 개발․제작하거나 검토․승인된 제품을 사용하여야 한다.

②행정기관의 장은 암호장비․암호논리․보안자재․사이버안전기술이 적용된 보안시스템을 운용할 경우 관리를 담당하는 정․부책임자를 지정하여야 한다.

제47조(암호취급인가) ①행정기관의 장은 암호체계를 연구 개발하거나 보안시스템을 취급하고자 하는 자에 대해서 사전에 암호취급 인가를 받도록 하여야 한다.

②암호취급인가는 대한민국 국적소유자로서 비밀취급인가를 받은 자에 한하여 별도로 지정하여야 한다.

③행정기관의 장은 암호취급을 인가한 경우에는 별지 제14호(암호취급자 인감등록서)서식에 의거 암호취급인가자를 행정안전부장관에게 통보하여야한다.

제48조(암호취급인가 해제) ①행정기관의 장은 암호취급인가를 받은 자가 타부서로 전출하거나 휴직, 퇴직 등으로 암호체계 관련 업무를 수행하지 않는 경우에는 즉시 암호취급인가를 해제하여야 한다.

②행정기관의 장이 암호자재 취급인가를 해제하고자 할 때에는 취급인가증을 첨부하여 해제를 행정안전부장관에게 요청하여야 한다.

제49조(암호전문의 보안관리) ①행정기관의 장은 암호전문을 일반문서로 분류한다. 다만, 암호전문상에 암호해독 작업을 실시하였을 때에는 비밀로 분류하되 90일 이내에 파기하여야 한다.

②행정기관의 장은 암호전문과 평문전문은 별도 보관하여야 하며 암호 작업지는 작업후 즉시 파기하여야 한다.

③행정기관의 장은 암호전문의 내용을 공개할 경우에는 그 전문내용을 통신문형식으로 작성하지 아니하고 백지 등을 사용하되 수신 일․시․분 등을 표시하여서는 아니 된다.

제50조(암호체계의 보안관리) ①암호개발 업무를 수행하는 자는 이를 비인가자에게 공개하거나 비인가자에게 노출된 장소에서 국가 암호체계 및 운용 등에 대한 토의하거나 발설을 하여서는 아니 된다. 다만, 국가정보원장의 승인하에 서약서(별지 제7호 서식) 징구 등  보안조치를 한 경우에는 그러하지 아니한다.

②암호체계와 관련된 사항을 알고 있는 자는 이를 학술․논문지, 간행물, 전시회 및 공개된 정보통신망 등을 통해 공개하여서는 아니된다. 다만, 국가정보원장의 승인을 받은 내용은 공개할 수 있다.

③행정기관의 장은 암호(외국의 암호를 포함한다) 또는 이와 관련된 정보를 획득․습득하거나 불법암호의 사용과 암호의 부정사용을 인지한 경우에는 지체 없이 그 내용을 행정안전부장관을 경유하여 국가정보원장에게 통보하여야 한다.

제51조(암호관리 점검) ①행정안전부장관이 임명한 암호실 점검관은 행정안전부 및 지방자치단체의 암호실을 점검 할 수 있다.

②암호실의 점검관은 암호취급인가를 받은자에 한하여 임명될 수 있으며, 점검관으로 임명된 자는 그 임무를 제3자에게 위임하거나 대행하게 할 수 없다.

③암호실 점검관은 불법암호의 사용과 암호자재의 위규사용 등을 조사하기 위하여 암호취급기관의 암호관리 실태를 점검할 수 있다.

④행정안전부장관으로부터 통보된 점검결과 위규사항에 대하여는 적절한 대책을 강구하여야 하며, 보안위규를 범한자에 대하여는 위법 조치하고 그 결과를 행정안전부장관에게 통보하여야 한다.

제52조(보안시스템 관리실태 점검) 행정안전부장관은 행정기관의 장과 협조하여 보안시스템 관리실태 등을 점검할 수 있다. 이 경우 점검결과 드러난 문제점을 행정기관에 통보하고 행정기관의 장은 이에 대한 보안대책을 강구하여야 한다.

제53조(복제․복사 금지) 보안시스템은 어떠한 경우에도 복제․복사할 수 없으며 다른 기관이나 개인에게 임의 대여할 수 없다.

제54조(사용제한)행정기관의 장은 국가정보원장이 승인하지 아니한 보안시스템이나 외국에서 생산한 보안시스템을 무단으로 사용하여서는 아니 되며, 보안시스템을 주한 외국인 및 주한 외국기관(대사관, 외국군 등)에 제공할 수 없고, 외국으로 반출할 수 없다. 다만, 부득이하다고 판단되는 경우에는 사전에 행정안전부장관을 경유하여 국가정보원장의 승인을 받아 사용할 수 있다.

제 2 절  암호장비

제55조(제작) 행정기관의 장은 암호장비를 제작할 경우에는 다음 각호의 사항에 따라야 한다.

1. 암호장비는 지정된 제작업체에서 제작하여야 한다.

2. 제작된 암호장비의 외부에 일반적인 운용상의 기능, 형식승인 번호, 기관번호 및 일련번호를 제외한 어떠한 표지도 하여서는 아니 된다.

3. 제작된 암호장비의 검사는 제작을 의뢰한 행정기관장의 책임 하에 행하여야 한다. 다만, 비닉부분에 대한 검사는 국가정보원장에게 요청하여 실시하여야 한다.

제56조(사용승인 요청) 행정기관의 장이 정보통신보안을 위하여 암호장비를 사용하고자 할 경우에는 다음 각 호에 정하는 사항을 구비하여 국가정보원장의 승인을 받아야 한다.

1. 사용목적

2. 사용기관

3. 암호장비의 종류, 소요량 및 산출근거

4. 관련 보안시스템 제원

5. 대상 정보통신망 구성도

6. 보안대책

7. 기타 참고자료

제57조(설치) ①행정기관의 장은 암호장비 설치장소를 선정할 경우 보안사고(분실, 도난, 피탈 등)를 방지하기 위하여 다음 각 호의 제반 보안대책을 강구하여야 한다. 다만, 부득이한 경우에는 행정안전부장관과 협의하여야 한다.

1. 보호구역 설정

2. 이중 잠금장치가 된 보관함 설치 운용

3. 사진 촬영금지

4. 비인가자 출입통제

5. 화재예방 대책 등

②제1항에 불구하고 암호장비에 대한 별도 운영체계가 수립된 경우에는 이를 따른다.

제58조(등록)암호장비 사용기관의 장은 암호장비 설치 후 30일 이내에 행정안전부장관에게 암호장비 운용관리현황(별지 제9호 서식)에 의거 통보하여야 하며, 행정안전부장관은 지체없이 이를 국가정보원장에게 등록하여야 한다.

제59조(성능개선 등) 암호장비 사용기관의 장은 암호장비의 성능개선이나 운용 편의성 제고 등이 필요하다고 판단되는 경우에는 그 사유서를 작성하여 행정안전부장관에게 요청하여야 한다.

제60조(운용관리) ①암호장비를 설치 운용하고 있는 행정기관의 장은 보안시스템 관리기록부(별지 제10호 서식)를 비치하고 기록․유지하여야 한다.

②암호장비의 비닉체계 및 키 운용체계와 관련된 서류 등 결과물(암호논리, 보안모듈, 키 주입기 등)은 비밀로 분류하여야 한다.

③암호장비의 고유명칭, 제원, 대상국소 및 수량 등 운용현황이 기록된 문서는 대외비 이상으로 분류하여야 한다.

④암호장비 취급책임자는 설치 운용중인 암호장비의 보관상태 및 정상 작동여부 등 이상 유무를 수시로 점검하고 그 결과를 월 1회 보안시스템 점검기록부(별지 제11호 서식)에 기록 유지하여야 하며 관리책임자는 점검여부를 확인하여야 한다.

제61조(비밀소통 기준) 암호장비의 비밀소통 기준은 기종 및 운용하고자하는 정보통신망의 특성을 고려하여 장비 개발 완료시 기종별로 국가정보원장이 기준을 정한다.

제62조(운반 및 전시) ①암호장비는 취급책임자가 직접 운반하여야 하며 이를 확인하기 위하여 보안시스템 증명서(별지 제12호 서식)을 사용한다.

②암호장비를 운반하거나 전시하고자 할 경우에는 보안사고(분실, 도난, 피탈 등)를 방지하기 위한 보안대책을 강구하여야 한다.

③암호장비 운반이나 전시(展示)도중 보안조치가 필요할 경우에는 가까운 경찰서나 군부대에 암호장비의 보호를 요청할 수 있다. 이 경우 요청받은 기관은「국가 정보보안 기본지침」제66조에 의거 운반 및 전시에 필요한 조치를 지원하여야 한다.

④암호장비의 운반이나 전시 중에 사고가 발생한 경우에는 즉시 행정안전부장관을 경유하여 국가정보원장에게 통보하여 필요한 후속 조치를 행(行)할 수 있도록 하여야 한다.

제63조(정비) ①암호장비 사용기관에서의 정비는 비닉부분을 제외한 일반부분으로 제한하며 비닉부분의 정비는 암호장비 제작업체에서 행하여야 한다. 다만, 비닉부분이 완전 밀폐된 별개의 구성품으로 되어 있을 경우에는 사용기관에서 예비용으로 교체할 수 있다.

②암호장비 정비장소는 보호구역으로 설정하여야 하며, 정비절차는 암호장비 사용기관의 장이 정한다.

③암호장비 사용기관의 정비요원은 암호취급인가를 받아야 한다.

제64조(파기) ①암호장비 사용기관의 장이 암호장비를 파기하고자 할 때에는 다음 각 호의 사항을 행정안전부장관을 경유하여 국가정보원장에게 제출하고 승인을 받아야 하며, 긴급 파기계획은 평시에 수립하여야 한다.

1. 파기사유

2. 장비명칭, 수량 및 등록번호

3. 파기일시 및 장소

4. 파기방법

5. 파기자

②암호장비 사용기관의 장은 긴급사태 발생 등으로 암호장비를 안전하게 보호할 수 없을 때에는 긴급 파기할 수 있으며, 파기 후 제1항 각 호의 사항을 행정안전부장관을 경유하여 국가정보원장에게 지체 없이 통보하여야 한다.

제65조(인계인수) ①행정기관의 장은 암호장비 운용관리 정․부 책임자가 교체시에는 인계인수를 실시하여야 하며 보안시스템 관리기록부(별지 제10호 서식)의 최종 기록 여백에 인계인수 사항을 기록 유지하여야 한다.

②인계인수를 할 경우에는 다음 각 호의 사항을 확인하여야 한다.

1. 암호장비의 종류와 수량

2. 납봉 또는 봉인표지의 이상유무

3. 암호장비의 정상 작동여부

4. 암호논리․키 수록매체(메모리카드 포함) 및 운용법 등 관련자료 이상 유무

제66조(외국산 암호장비 사용) ①외국군 또는 외국기관과의 합동통신망에 설치 운용되는 외국산 암호장비는 당해 국가와의 협정에 의거 행정기관 장의 책임 하에 운용 관리하여야 한다.

②제1항에 의한 암호장비를 설치 운용하고자 할 경우에는 사전에 보안대책을 강구하여야 하며 운용추진 경위 및 그 현황을 행정안전부장관에게 통보하여야 한다.

제67조(현황통보) 암호장비 사용기관의 장은 다음해 6월 30일 까지 암호장비 운용관리현황(별지 제9호 서식)을 작성하여 행정안전부장관에게 제출하여야 한다.

제 3 절  암호 및 음어․약호자재

제68조(제작) 행정기관의 장은 암호자재를 제작할 경우 다음 각호의 사항에 따른다.

1. 국가정보원장은 암호자재를 제작하여 필요한 기관에 배부한다. 다만, 필요시 사용기관에 암호자재 제작을 위임할 수 있다.

2. 암호자재 제작을 위임받은 행정기관의 장은 암호 및 비닉 체계에 대하여 국가정보원장의 인가를 받아야 한다.

제69조(암호자재 취급기관) ①암호자재를 취급하는 기관은 등록 암호자재 취급기관(이하 "등록기관"이라 한다)과 위임암호자재 취급기관(이하 "위임기관"이라 한다)으로 구분한다.

②국가정보원장이 지정한 등록기관과 행정안전부장관이 지정한 위임기관은 다음 각호와 같다.

1. 등록기관 : 행정안전부 전자정부본부

2. 위임기관 : 시․도․특별자치도

제70조(취급기관의 임무) 암호자재 취급기관의 임무는 다음 각호와 같으며 경상북도는 울릉군의 자재운영관리를 지도․감독하여야 한다.

1. 등록기관의 임무

가. 암호자재의 운영관리 및 지도감독

나. 암호취급 인가자에 대한 암호교육 훈련

다. 위임기관에 대한 자재 및 암호취급소의 지도조정 및 검열

라. 암호자재 보안에 관한 업무의 발전책 연구

마. 암호자재 수령․배포 반납에 관한 사항

2. 위임기관의 임무

가. 암호자재의 운영관리

나. 암호취급인가자의 숙달훈련

다. 암호실의 관리

제71조(사용신청) ①암호 및 음어자재를 사용하고자 하는 행정기관의 장은 다음해의 연간 소요량(소속기관용 포함)을 파악하여, 매년 10월 31일까지 별지 제13호(암호 및 음어자재 신청서)서식에 의거 행정안전부장관에게 신청하여야 한다.

②직제개편 및 특별한 요인발생 등으로 암호 및 음어자재가 추가 소요되는 행정기관의 장은 다음 각 호의 사항을 반영하여 즉시 행정안전부장관에게 신청하여야 한다.

1. 사용대상 및 용도

2. 자재명 및 수량

3. 자재형태 및 사용주기

4. 정보통신망도

5. 암호실 설치여부

제72조(등록 및 관리) ①행정기관의 장은 자체 제작한 암호 및 음어․약호자재(이하 ‘보안자재’라 한다.)를 행정안전부장관에게 등록하여야 한다.

②보안자재를 보유하고 있는 행정기관의 장은 보안시스템 관리기록부(별지 제10호 서식)을 비치하고 용도별로 구분하여 기록 관리하여야 한다. 다만, 비밀관리기록부에는 등재하지 아니한다.

③보안자재는 사용완료(이하 “반납용”이라 한다)․현용․미래용으로 구분하여 보관하되, 현용을 제외하고는 이를 포장한 후 봉인하여 보관함에 보관하여야 한다.

④암호자재는 암호실내 금고에 보관하고 음어․약호자재는 평시 사용이 가능하도록 별도 관리하되 일과 후에는 이중 캐비닛 또는 금고에 보관하여야 한다.

⑤보안자재 보관함에는 보안자재 이외의 비밀 또는 문건을 혼합 보관하여서는 아니 된다.

⑥보안자재는 수시점검을 실시하고 그 결과를 보안시스템 점검기록부(별지 제11호 서식)에 기록 관리하여야 하며 행정기관의 보안담당관은 월1회 점검사항을 확인하여야 한다.

⑦보안자재 보관함은 그 개봉방법을 2통 작성 밀봉하여 보관책임자와 소속기관장이 관할하는 보관함에 보관하여야 한다. 다만, 보관함 번호가 다이얼식인 경우에는 주기적으로 번호를 변경하여야 한다.

제73조(배부 또는 회수) ①행정안전부장관은 암호 및 음어자재를 정기적으로 행정기관에 배부하되 암호취급자 인감등록서(별지 제14호서식)에 의한 인감등록이 되어 있는 자 또는「국가기관 음어자재 운용매뉴얼」에 규정된 체계에 의해 신분확인이 가능한 자에 한하여 직접 배부하거나 회수한다. 다만, 직접 배부 또는 회수가 불가능할 때에는 비밀취급인가를 받은 사람 중 정책임자의 위임장을 소지한 자에게 배부 또는 회수할 수 있다.

②행정기관이 소관분야에 대해 보안자재를 배부 또는 회수하는 경우에도 인감등록이 되어 있는 자 또는 각급기관이 규정한 체계에 의해 신분확인이 가능한 자에 한하여 직접 배부 또는 회수하여야 한다.

③보안자재를 배부 또는 회수할 경우에는 등록번호가 보안시스템 증명서(별지 제12호 서식)의 기재내용과 일치여부 등을 확인하여야 하며 제63조제2항 내지 제4항의 보안조치를 하여야 한다.

④사용기간이 만료된 보안자재는 지체 없이 배부기관의 장에게 반납 하여야 한다.

제74조(취급 및 운용) ①행정기관의 장은 암호자재 취급 필요성이 있는 자에 대하여 암호취급을 인가한 후 취급하도록 하여야 한다.

②암호취급인가를 대한민국 국적소유자로서 비밀취급인가를 받은 자에 한하여 별도로 임명하여야 한다.

③보안자재의 변경․운용지시는 제작기관의 장이 대외비로 하달한다.

④비밀을 정보통신 수단으로 수발할 경우나 비밀이 아니더라도 국가이익을 해할 우려가 있는 내용이 있는 경우에는 보안자재 사용을 원칙으로 한다.

⑤같은 내용의 전문을 암호문과 평문으로 이중 송신하거나 평문으로 문의하거나 암호문과 평문을 혼용하여서는 아니 된다.

⑥비밀이 아닌 일반문서 내용을 암호자재로 소통한 경우에는 전문우측 상단에 암호송신, 암호수신을 표시하여 관리하여야 한다.

⑦지편식 암호자재 사용시 사용현황을 지편자재 사용기록부(별지 제15호서식)에 기록하여 이중 또는 미사용이 발생하지 않도록 하여야 한다.

제75조(소통 기준) ①암호자재는 Ⅱ급비밀 이하의 내용을 소통하는데 사용할 수 있다.

②음어자재는 Ⅲ급비밀 이하의 내용을 소통하는데 사용할 수 있다.

③약호자재는 대외비 이하의 내용을 소통하는데 사용할 수 있다.

④보안자재는 비밀이 아니더라도 국가이익을 해할 우려가 있는 내용을 정보통신수단으로 송수신할 경우에 사용할 수 있다.

제76조(암호실 설치 및 폐쇄) ①행정기관의 장은 암호자재를 활용하여 암호작업을 할 경우에는 다음 각 호의 구비요건을 갖춘 암호실을 설치 운용하여야 한다.

1. 통신소와 인접하고 비인가자 출입통제가 용이한 곳에 설치

2. 출입문 이중 잠금장치(자동잠금)와 창문에 철제 보호망 및 외부 투시 차단장치 설치

3. 출입문외 천장 등을 통한 외부통로 차단

4. 암호자재 보관용 금고 구비

5. CCTV, 지문인식기 등 과학보안장비 운용 등 경계대책 및 안전지출 계획 수립

②암호실의 폐쇄는 행정기관의 장 책임 하에 행하고 암호실을 폐쇄할 경우에는 암호자재를 지체 없이 배부기관의 장에게 반납하여야 한다.

③암호실을 설치하거나 폐쇄한 경우에는 행정안전부장관에게 그 내용을 통보하여야 한다.

제77조(암호실 출입통제) ①암호실에는 행정기관의 장, 암호취급자 및 국가정보원장이 인가한 자 이외에는 출입할 수 없다.

②암호실에는 암호실 및 암호취급자 현황(별지 제5호 서식) 및 암호실 출입자 기록부(별지 제6호 서식)에 의거 암호실 출입자를 통제하고 그 내용을 기록 유지하여야 한다.

제78조(암호실의 표지와 경비) ①암호실에는 “출입제한” 표지 이외의 암호취급을 나타내는 어떠한 표지도 하여서는 아니 된다.

②암호실은 무장경비원에 의하여 경비되어야 한다. 다만, 군(軍) 이외의 기관으로서 무장 경비원을 둘 수 없는 경우에는 이에 상당하는 특별 경비조치를 취하여야 한다.

제79조(암호실 검열) ①국가정보원장이 임명한 암호실 검열관은 모든 암호취급기관에 대한 검열을 할 수 있다.

②암호실 검열관은 암호취급인가를 받은 자에 한하여 임명될 수 있다. 단, 검열관으로 임명된 자는 그 임무를 제3자에게 위임하거나 대행하게 할 수 없다.

제80조(인계인수) ①보안자재를 취급하는 정․부 책임자가 교체 또는 해임되거나 1개월 이상 부재중인 경우에는 암호자재 등을 인계인수하여야 한다.

②암호자재 정책임자가 1개월 이상 부재중인 때에는 부책임자가 직무를 수행할 수 있도록 암호자재를 인계인수하여야 한다.

③보안자재를 인계인수할 때에는 보안시스템 관리기록부(별지 제10호서식)의 최종기록 여백에 인계인수사항(명칭, 수량, 등록번호 등)을 기록 확인하여야 한다.

제81조(파기) ①보안자재의 파기는 일반파기와 긴급파기로 구분한다.

②일반파기는 반납용 보안자재를 파기하는 것으로서 회수한 자재는 제작기관의 장이 지정하는 자가 파기한다.

③긴급파기는 긴급사태 발생으로 보안자재의 보안관리가 곤란한 경우에 파기하는 것으로 당해 사용기관의 장의 책임 하에 다음 각 호의 순서에 따라 파기한다.

1. 긴급한 사태가 발생하였을 때에는 상황 악화정도에 따라 반납용․미래용․현용 순으로 파기한다.

2. 현용 보안자재를 계속 보유할 수 없을 때에는 공통용․단독용 순으로 파기한다.

3. 암호문과 평문 및 그 관련서류는 보안자재의 파기에 앞서 파기 하거나 이와 병행하여 파기한다.

④제2항 내지 제3항에 따라 보안자재를 파기한 경우에는 다음 각 호의 사항을 지체 없이 행정안전부장관을 경유하여 국가정보원장에게 통보하여야 한다.

1. 파기일시 및 장소

2. 보안자재 수량 및 등록번호

3. 파기이유 및 방법

4. 파기자 및 참여자의 직책, 성명

5. 긴급 파기계획은 평시 수립해야 한다.

제82조(현황통보) 행정기관의 장은 보안자재의 운용결과 및 보유실태를 별지 제5호(암호실 및 암호취급자 현황)․제15호(지편자재 사용기록부)․제16호(암호 개발요원 현황)․제17호(암호 및 음어․약호자재 보유현황)서식에 의거 종합 작성하여 다음해 1월 31일까지 행정안전부장관에게 통보하여야 한다.

제 4 절  암호논리

제83조(개발) ①행정기관의 장은 암호논리를 개발할 경우 다음 각호의 기준에 따라 개발한다.

1. 행정기관이 사용하는 암호논리는 국가정보원장이 개발하여 보급한다. 다만, 필요시 자체적으로 암호논리를 개발하여 사용할 수 있으며, 이 경우 행정안전부장관을 경유하여 국가정보원장의 안전성 평가․승인을 받아야 한다.

2. 암호논리를 개발하는 행정기관의 장은 제19조 및 제22조 및 제44조에 따라 개발실 보안대책을 강구 시행하여야 한다.

②암호논리를 개발하는 행정기관의 장이 국가정보원장에게 안전성 평가․승인을 요청하고자 할 경우에는 다음 각 호의 사항을 첨부하여 행정안전부장관에게 신청하여야 한다.

1. 암호알고리즘, 소스프로그램 등 최종 비닉방식 및 체계설명서

2. 안전성 평가 등 관련자료

제84조(요청) ①암호논리를 제공받고자 하는 행정기관의 장은 운용하고 있는 보안자재의 적합성여부 검토와 키 관리방안 등 보안대책을 강구한 후 행정안전부장관에게 암호논리를 요청하여야 한다.

②암호논리를 요청할 경우에는 다음 각 호의 자료를 첨부하여야 한다.

1. 사용 목적

2. 보안시스템 구성도 및 동작 프로토콜

3. 암호키 관리방안

4. 보안시스템 구성요소별 기능 및 제원

5. 보안서비스 요구사항

제85조(설치 및 운용) ①암호논리의 키 주입과 운용은 행정기관의 장 책임 하에 행하여야 하고, 행정안전부장관은 키 운용현황을 국가정보원장에게 통보하여야 한다.

②암호논리의 키 주입 절차와 방법은 행정안전부장관이 정한다.

③암호논리를 운용하는 행정기관의 장은 암호논리와 관련된 키를 안전하게 관리하여야 하며 주기적으로 키를 변경 운용하여야 한다.

제86조(보안관리) ①승인된 암호논리의 세부구조를 알 수 있는 설계도, 소스코드 등은 비밀로 분류하고 암호논리를 개발하고자 하는 자는 제47조의 규정에 의거 암호취급인가를 받아야 한다.

②암호논리가 내장된 보안시스템이 설치된 장소는 보호구역으로 설정하고, 암호장비에 준하여 관리하거나 이에 상응한 보안대책을 강구하여야 한다

제87조(반납 및 파기) 실용성이 상실되거나 유효기간이 만료된 암호논리는 행정안전부장관에게 반납하여야 하며, 행정안전부장관의 책임 하에 파기(소자)하고 국가정보원장에게 그 결과를 통보하여야 한다.

제88조(현황통보) 암호논리를 사용하는 행정기관의 장은 매년 12월말을 기준으로 암호논리 운용현황(별지 제18호 서식)에 의거 암호논리 운용현황을 작성하여 다음해 6월 30일까지 행정안전부장관에게 통보하여야 한다.

제 5 절 정보보호시스템

제89조(도입) ①행정기관의 장은 소관 정보를 보호하기 위하여 정보보호 기능이 탑재되었거나 사이버안전기술이 적용된 상용 보안시스템을 도입하고자 할 경우에는 보안적합성 검증된 제품이어야 한다.

②보안적합성 검증되지 않은 제품을 도입하고자 하는 행정기관은 제11조의 보안성검토 요청시 제45조의 보안적합성 검토를 병행하여야 한다.

제90조(운용실태 확인) 행정안전부장관은 보안시스템의 정상적인 운영 및 보안수준 유지 등을 보장하기 위해 도입한 행정기관의 장과 협조하여 운용실태 확인을 위한 조치를 수행할 수 있다.

제91조(관리자 지정) ①행정기관의 장은 보안시스템을 관리하는 보안관리책임자(이하 ‘보안책임자’라 한다)를 지정․운용하여야 한다.

②행정기관의 장은 보안시스템 관리자 및 운용요원을 임명할 때에는 정보통신망 및 정보통신시스템의 안전․신뢰성 및 보안관리를 위하여 확인절차 및 선발기준을 수립 시행하여야 한다.

제92조(운용 및 보안관리) ①행정기관의 보안책임자는 보안시스템을 비인가자의 출입통제가 용이한 장소에 설치하여야 한다.

②보안책임자는 보안시스템 선정시 다음 각호의 사항을 반영하여야 한다.

1. 행정기관에 적용 가능한 평가등급을 획득하고 인증서를 받은 제품

2. 행정기관의 소관업무 및 정보시스템(정보통신망 포함) 특성을 지원할 수 있는 제품

3. 지속적인 유지보수 및 정보보호 운용기술 지원능력을 구비한 업체의 제품

4. 보안적합성 검증필한 제품이거나 행정안전부장관이 인정한 행정정보보호용시스템으로 등록된 제품

③보안책임자는 운용요원에 대하여 다음 각 호의 사항에 대한 교육․훈련계획을 체계적으로 수립․시행하여야 한다.

1. 운용관리 직무지식

2. 시스템 취약성 분석 및 보안진단 방법

3. 보안사고 발생시 긴급 대응능력 등

④보안책임자는 보안시스템 설치시 요구되는 시험절차와 보안관리 기준을 사전에 수립․시행하고, 설치 결과에 대해서는 행정안전부장관에게 승인을 받아야 한다.

⑤보안책임자는 보안시스템에서 P2P 등 업무에 불필요한 서비스 사용을 금지하고 관련서비스 포트를 차단하도록 패킷 필터링 정책을 설정하여야 한다.

⑥분임보안담당관은 주기적으로 다음 각 호의 사항을 점검하여 결과를 정보통신보안담당관에게 통보하여야 한다.

1. 정보보호시스템에 일반사용자 계정이 있는지 여부

2. 정보보호시스템 사용자 권한 설정의 적절성 여부

3. 정보보호시스템 기능에 영향을 줄 수 있는 프로그램 설치 및 은닉 여부

4. 정보보호시스템에 대한 비인가자의 물리적․기술적 접근 차단 대책

5. 주기적인 보안패치 및 업그레이드 여부

6. 비인가자의 침입여부를 확인하기 위한 시스템 접근기록 등

⑦행정기관의 장은 정보보호시스템을 설치할 때에 보안기능 설정을 위하여 국가정보원장에게 기술지원을 요청할 수 있다.

제93조(목적이외 사용제한) 행정기관의 장은 보안시스템을 사용할 경우 설치 목적이외 사용 및 보안기능의 임의변경 등을 하여서는 아니 된다.

제94조(사용자 관리) 행정기관의 보안책임자는 복수의 사용자가 보안시스템을 공동 사용하는 경우에 사용자에 대한 효율적 관리를 위하여, 다음 각 호의 사항을 반영하여 사용자관리대장을 작성 비치하여야 한다.

1. 소속기관 및 부서, 사용자이름, 사용자계정, 비밀번호

2. 사용자계정 부여일자 및 유효기간

3. 사용자의 현재 상황(근무, 휴가, 출장, 사용중지 등)

제95조(긴급사태 관리) 행정기관의 보안책임자는 인위적․자연적으로 발생되는 보안시스템 장애, 가동 중지 등 긴급사태에 대비하기 위하여 제33조 “재난복구 대책”을 참조하여 다음 각 호의 백업 및 복구 절차 등을 수립․시행하여야 한다.

1. 긴급사태에 대비한 조직, 임무 및 업무처리 절차

2. 백업시설 구성, 백업방법 및 절차

3. 정상상태로의 복구절차

4. 긴급사태에 대비한 정기적 훈련과 교육실시 등

제96조(현황작성 비치) 행정기관의 장은 정보보호시스템 운용현황(별지 제21호서식)에 의거 보안시스템 설치 및 운용현황 등을 작성 비치하여야 한다.

제 6 장  사이버공격 대응 및 조치

제97조(관제) ①행정기관의 장은 불법침입, 해킹프로그램․웜․바이러스 유포 등의 사이버공격에 신속히 대응 및 조치하기 위하여 사이버침해를 대응하기 위한 관제실(이하 “보안센터”이라 한다)을 구축․운영하여야 한다.

②제1항에 따라 구축된 보안센터는 다음 각 호의 역할을 수행한다.

1. 사이버위협 관련 정보의 탐지 및 정보공유체계의 구축․운영

2. 사이버공격 관련 경보 발령시 대응활동

3. 사이버침해 사고 대응․복구

4. 사이버침해 대응 보안시스템 개발․운용

5. 사이버공격 기법 분석 및 공격차단 등 대응방안

6. 긴급사태에 대비한 정기적 훈련과 교육실시

7. 그 밖에 경보의 수준별 세부 대응조치 등 필요한 사항

③행정기관의 장은 보안센터의 업무 수행과 관련하여 필요하다고 인정하는 경우에는 행정안전부장관에게 지원을 요청할 수 있다.

제98조(초동조치) ①행정기관의 장은 소관 정보시스템 및 정보통신망에 대하여 사이버공격 인지시 피해실태를 파악하고 관련 로그자료 보존하여야 하며, 필요시 정보시스템을 정보통신망과 분리하는 등 초동조치를 취하여야 한다.

②행정기관의 장은 단순 웜․바이러스 감염 등 경미한 사항은 행정기관이 자체 처리 후 관련사항을 정보통신담당관을 경유하여 행정안전부장관에게 보고하여야 한다.

③행정기관의 장은 정보통신망 마비 또는 중요 정보자료 유출 등 중대사고 발생시에는 초동조치하고, 즉시 행정안전부장관을 경유하여 국가정보원장의 지원을 받아야 한다. 이 경우 해당 피해시스템은 사고원인 규명시까지 증거보전을 의무화하고 임의 자료삭제 또는 포맷을 하여서는 아니된다.

제99조(경보발령) ①행정안전부장관은 사이버공격에 대한 체계적인 대응 및 대비를 위하여 사이버공격의 파급영향, 피해규모 등을 고려하여 관심․주의․경계․심각 등 수준별 경보를 발령할 수 있다.

②행정안전부장관은 국가정보원장과 협조하여 제1항의 경보 발령에 필요한 정보를 행정기관의 장에게 요청할 수 있다. 이 경우 행정기관의 장은 특별한 사유가 없는 한 이에 협조하여야 한다.

제100조(대응활동) ①행정기관의 장은 소관분야의 사이버공격 대응절차를 수립․시행하고 이행실태를 지속적으로 확인․점검하여야 한다.

②행정기관의 장은 행정안전부장관이 경보를 발령하였을 경우 소관분야 직원을 대상으로 관련사항을 전파하고 대응조치를 이행하여야 하며, 진행상황을 예의주시하는 등 대응절차에 따라 신속하게 대처하여야 한다. 이 경우에는 경보 단계별 조치결과를 행정안전부장관을 경유하여 국가정보원장에게 통보하여야 한다.

③행정안전부장관은 사이버공격에 대하여 소관분야의 정보시스템 및 정보통신망에 대한 안전성을 확인할 수 있다.

④행정기관의 장은 사이버안전을 위한 대응절차 기준을 정하고자 할 경우에는 국가정보원장이 제정한「국가사이버안전매뉴얼」을 적극 활용하여야 한다.

제101조(사고통보 및 복구) ①행정기관의 장은 사이버공격으로 인한 사고의 발생 또는 징후를 발견한 경우에는 피해를 최소화하는 조치를 취하고 지체 없이 그 사실을 행정안전부장관을 경유하여 국가정보원장에게 통보하여야 한다.

②행정안전부장관은 사이버공격으로 인한 사고의 발생 또는 징후를 발견하거나 통보를 받은 때에는 관계 행정기관의 장에게 사고복구 및 피해의 확산방지에 필요한 조치를 요청할 수 있다. 이 경우 요청받은 관계 행정기관의 장은 특별한 사유가 없는 한 이에 협조하여야 한다.

제 7 장  보안측정

제102조(정보통신보안 측정) ①행정안전부장관이 행정기관의 정보시스템(정보통신망 포함)에 대한 보안취약성을 진단하기 위하여 협의할때 해당기관의 장은 보안측정에 관한 제반 사항에 적극 협조하여야 한다.

②보안측정은 다음 각 호의 경우에 실시한다.

1. 정보보안 사고가 발생하여 정보통신시스템의 보안취약성 진단이 요구될 때

2. 제19조에 의거 지정된 중요 정보통신시설에 대해 사이버공격이나 도청(盜聽)등으로부터의 보호대책이 필요한 경우

3. 정보통신수단에 의하여 국가기밀 유출 및 암호체계의 누설 우려가 있는 경우

4. 정보통신시스템에 대한 보안성 검토와 보안시스템 설치 등과 관련하여 보안대책 확인이 요구되는 경우

5. 행정기관의 장이 정보통신시스템에 관한 보안취약성 점검 또는 종합진단이 필요하다고 판단하여 요청할 경우

6. 기타 국가안보상 필요하다고 판단하는 경우

③제1항에 의거 행정기관의 보안측정을 위하여 행정안전부장관이나 국가정보원장에게 요청하여 실시하는 경우에는 적극 협조하여야 한다.

제103조(대도청(對盜聽) 측정 활동) ①행정기관의 장은 청사(해외공관 포함)를 신설․이전 또는 증․개축하고자 할 때에는 도청방지 대책을 강구하여야 한다.

②행정기관의 장은 전자파 방출 또는 도청장치에 의한 정보 유출을 방지하기 위하여 다음 각 호를 대상으로 대도청(對盜聽)측정 계획을 수립․시행할 수 있다.

1. 보안업무규정에 의한 행정기관의 주요시설, 지역, 정보통신망

2. 기관장 및 주요간부 사무실, 주요회의실

3. 행정기관의 해외공관 및 해외무역관 등

③행정기관의 장은 도청징후를 포착하였거나 중요한 협상이나 회의 또는 회담을 개최하는 장소 및 공사가 진행중인 주요시설 등에 대하여 도청으로부터 위해요소 발굴 제거를 위하여 국가정보원장에게 대도청(對盜聽) 측정을 요청할 수 있다.

④카메라 장착 휴대폰 등을 이용하여 불법적으로 내부 중요자료나 제13조제1항의 중요시설에 대한 사진촬영을 금지토록 하는 등 보안대책을 강구하여야 한다.

⑤디지털․레이저 등 첨단도청장치에 의한 불법도청을 방어하기 위한 보안시스템의 도입․운용할 경우에는 국가정보원장과 사전 협의하여 성능이 검증된 제품을 사용하여야 한다.

⑥정보시스템 사용시 비의도적인 전자파 발생에 의한 기밀유출 방지를 위해 전자파 차폐실을 구축하거나 관련장비를 사용하고자 할 경우에는 국가정보원장이 제정한「전자파 차폐실 구축 및 측정기준」에 근거한 보안성 검토를 의뢰하여야 한다.

⑦주요 사무실에 차폐유리․도료 등 차폐재료 설치를 권장하고 정보시스템은 전자파장애(EMI)․전자파적합성(EMC) 검증을 받은 제품을 사용하여야 한다.

⑧행정기관의 장은 대도청(對盜聽) 보안활동의 중요성과 전자파보안 의식제고 등을 위하여 국가정보원장에게 관련사항의 시연 및 보안교육을 요청할 수 있다.

제104조(대도청(對盜聽)측정 결과조치) ①대도청(對盜聽)측정 결과를 통보받은 행정기관의 장은 도출된 문제점에 대하여 행정안전부장관과 협의하여 필요한 보안방책을 수립․시행하여야 한다.

②행정기관의 장은 대도청(對盜聽) 측정계획 및 결과에 관한 내용을 외부에 공개 하여서는 아니 된다.

제105조(정보통신보안관리 수준평가) 행정기관의 장은「국가사이버안전매뉴얼」을 참고하여 매년 자체 정보통신보안관리 수준을 평가하여야 하며, 그 평가 결과를 심사분석에 포함하여야 한다.

제 8 장  사고처리

제106조(위규) ①정보통신보안 위규사항은「별표2」와 같다.

②행정기관의 장은 정보통신보안 위규를 적발했을 때는 위규자, 위규내용 및 조치사항을 행정안전부장관을 경유하여 국가정보원장에게 통보하여야 한다.

③행정기관의 장은 국가안보 및 국가이익에 중대한 영향을 미칠 수 있다고 판단되는 정보통신보안 위규에 대해서는 가장 신속한 방법으로 행정안전부장관을 경유하여 국가정보원장에게 통보하여야 한다.

제107조(처리 및 조사) ①행정기관의 장은「별표3」의 정보통신 보안사고가 발생한 때에는 즉시 피해를 최소화하도록 조치를 취하고, 다음 각 호의 사항을 행정안전부장관을 경유하여 국가정보원장에게 통보하여야 한다.

1. 일시 및 장소

2. 사고원인, 피해현황 등 개요

3. 사고자 및 관계자의 인적사항

4. 피해내용 및 원인

5. 조치내용

6. 향후대책 등

②행정안전부장관이 사고발생 기관에 대한 사고조사를 실시할 때에는 적극 협조하여야 한다. 다만, 경미한 사고발생에 대해 행정안전부장관이 행정기관의 장에게 사고조사를 위임한 경우에 행정기관의 장은 자체 사고조사를 실시하고 제반 보안조치를 취하여야 하며 그 결과를 행정안전부장관에게 통보하여야 한다.

④행정기관의 장은 정보통신 보안사고 관련자를 관련규정의 징계기준에 의거 처벌토록 하며 사고조사 및 징계결과에 대해 행정안전부장관을 경유하여 국가정보원장에게 통보하여야 한다.

제 9 장  보   칙

제108조(시행세칙) 행정기관의 장은 정보통신보안 업무수행을 위하여 이 지침에 저촉되지 아니하는 범위 내에서 자체적으로 세부규칙을 정할 수 있다.

제109조(준용) 이 지침에 명시되지 않은 사항은 다음 각 호의 관련규정 및 지침에 따른다.

1.「보안업무규정」

2.「보안업무규정시행규칙」

3.「보안업무규정시행요강」

4. 전자문서보안조치수행지침

5. 국가정보보안기술연구개발지침

6. 연도보안업무수행지침

7. USB메모리 등 보조기억매체 보안관리지침

8. 국가사이버안전관리매뉴얼

9.「전자정부보안관리실무매뉴얼」

10. 기타 정보통신 보안관련 법령 및 지침․가이드․매뉴얼

부   칙

①(시행일) 이 규정은 2000.12.1일부터 효력을 발생한다.

②(규정, 지침 등의 폐지) 본 규정의 시행과 동시에 아래 규정과 지침 등은 각각 이를 폐지한다.

1. 행정전산업무보안관리세부지침(총무처, ‘88)

2. 지방행정전산화사업 보안관리 추가지침(내무부, ‘90)

3. 워드프로세서 및 디스켓보안관리지침(내무부, ‘92)

4. 사무용컴퓨터 및 디스켓관리요령(총무처, ‘93)

5. 통신보안업무규정(Ⅲ급비밀, 내무부예규 제675호, ‘87.11)

부   칙

(시행일) 이 규정은 2005.4.23일로부터 효력을 발생한다.

부   칙

(시행일) 이 규정은 발령된 날부터 시행한다.

별  표

<별표 1>

정보통신보안 점검표

1. 정보통신보안 수행체계

점 검 사 항	자 체 점 검 결 과
	Y	N	담당자	참고서류
1. 정보통신보안업무 수행을 위한 보안절차, 보안통제를 점검․감독하는 보안관리 체계가 확립되어 있는가?
2. 정보통신보안 업무를 수행하는 부서는 적절한 권한과 인적자원을 보유하고 있는가?
3. 연도별 추진계획에 의거, 정보통신보안 교육은 실시되고 있는가?
4. 보안관리 체계는 정보시스템 운용 부서와 분리되어 독립적으로 수행하는가?
5. 보안심사위원회가 구성 운영되고 있는가?
6. 보안심사위원회의 구성인원은 적절하며 위원회의 활동은 형식적으로 수행되지 않는가?
7. 정보통신보안 업무수행을 위한 자체 내규, 지침이 수립되어 있으며, 각 부서에 배포 시행되고 있는가?
8. 연도별 정보통신보안활동 추진계획 및 심사분석이 각 부서 및 소속기관의 의견을 종합적으로 수렴하여 작성되고 있는가?
9. 월1회 보안진단의 날을 실시하고 있는가?
10. 정보통신보안 사고유형과 사고조치 절차에 대해 전직원이 숙지하고 있는가?

2. 정보통신실 보안관리

점 검 사 항	자 체 점 검 결 과
	Y	N	담당자	참고서류
1. 정보통신실, 자료보관실은 통제구역 또는 제한구역으로 설정 관리하고 있는가?
2. 출입자기록부를 비치하고 기록관리 하고 있는가?
3. 무단침입을 방지하기 위한 이중시건 장치 등 시설 또는 절차가 있는가?
4. 수재 및 화재 등에 대한 대비책은 적절한가?
5. 정보통신실내 보조기억매체 보관함 비치 및 유사대비 안전지출계획을 수립 시행하고 있는가?

3. 정보시스템 보안관리

점 검 사 항	자 체 점 검 결 과
	Y	N	담당자	참고서류
1. 각종 정보시스템 관리책임자를 임명(담당 역할, 책임구분) 운영하고 있는가?
2. 각종 정보시스템 구축계획시 보안 대책 관련사항을 반영하여 추진했는가?
3. 각종 보안시스템, 주전산기, 서버 등에 대한 비인가자 접근의 물리적, 관리적, 기술적 대책을 강구하여 시행하고 있는가?
4. 모든 접근시도는 기록되고 사후 점검 되고 있는가?
5. 주전산기, 서버 등 각종 시스템에 대해 외부업체의 원격작업을 허용하고 있지 않은가?
6. 자체 정보통신망의 취약성 개선을 위한 보안진단 또는 보안측정을 실시하는가?
7. 정보통신망 신․증설시 보안심사위원회 개최 및 자체 보안대책을 강구하고 있는가?
8. 정보통신망 운용현황 및 통신 소통량은 파악되고 있는가?

4. 인터넷 보안관리

점 검 사 항	자 체 점 검 결 과
	Y	N	담당자	참고서류
1. 자체 전산망과 인터넷을 접속할 경우 에는 인가된 침입차단시스템 설치 등 보안대책을 강구하고 있는가?
2. 홈페이지에 자료를 게재할 경우에는 중요내용이 외부에 공개되지 않도록 자체 보안심사위원회 심의 또는 보안담당관의 통제를 거치는가?
3. 홈페이지용 웹서버의 자료업그레이드는 디스켓 등 보조기억장치를 이용하는가?
4. 비밀 및 중요자료를 처리하는 단말기를 인터넷에 접속하여 사용하지는 않는가?
5. 보안담당 부서의 승인없이 임의로 인터넷을 접속하여 사용하고 있지 않은가?

5. ID 및 비밀번호 관리

점 검 사 항	자 체 점 검 결 과
	Y	N	담당자	참고서류
1. 퇴직자, 전출자 및 사용기간 만료된 사용자계정은 즉시 삭제되고 있는가?
2. 모든 시스템 사용자에게 고유의 개인별 사용자계정이 있는가?
3. 비밀번호는 쉽게 추적되거나 인지되지 않도록 문자, 숫자, 기호 등을 혼합하여 8자리이상으로 사용하는가?
4. 비밀번호는 분기1회이상 변경 사용하는가?
5. 비밀번호는 전산망별, 단말기별, 자료별로 구분 관리되고 있는가?

6. 전산자료 보안관리

점 검 사 항	자 체 점 검 결 과
	Y	N	담당자	참고서류
1. 전산자료는 중요도에 따라 보호등급별로 구분 관리되고 있는가?
2. 비밀 및 중요자료의 전송시는 기밀성을 보장하기 위하여 보안시스템 또는 암호 자재를 사용하는가?
3. 비밀자료 입․출력관리대장에 기록 관리하는가?
4. 비밀내용을 암호화 등 보안조치 없이 하드디스크에 저장 사용하지 않는가?
5. 비밀자료 입력전용 보조기억매체를 별도 지정하고 매체별로 관리번호를 부여 사용하는가?
6. 비밀자료 입력 보조기억매체 관리 책임자는 월 1회 보유현황을 확인 점검하는가?
7. 소관업무에 따라 입력, 출력, 열람 등 으로 자료 접근범위를 제한하고 있는가?
8. 자료복사본 확보 및 안전지역 별도 보관 등 자료 보호대책을 강구하였는가?
9. 절차에 의해 정기적으로 자료 백업을 하고 있는가?
10. 정보통신수단을 통한 비밀 및 중요문서 수발시 보안통제 절차를 수립시행 하는가?

7. PC 보안관리

점 검 사 항	자 체 점 검 결 과
	Y	N	담당자	참고서류
1. 개인컴퓨터(단말기 포함)별 취급자 및 관리책임자를 지정 운영하고 있는가?
2. 비인가자의 개인컴퓨터 무단조작 방지대책은 강구하고 있는가?
3. 장시간 자리를 비울 경우 단말기 화면보호기능을 사용하는가?
4. 개인소유 노트북 등 개인컴퓨터를 중요업무가 처리되는 곳에 무단 반입 사용하는 사례가 없는가?

8. 암호장비 운용관리

점 검 사 항	자 체 점 검 결 과
	Y	N	담당자	참고서류
1. 보안상 취약한 정보시스템에는 암호장비를 부착 사용하고 있는가?
2. 암호장비의 보안관리 정․부책임자가 지정 운용되고 있는가?
3. 암호장비의 동작여부를 주기적으로 점검(담당자)하고 매월 확인(책임자) 하고 있는가?
4. 암호장비의 키는 변경운용지시에 의거, 주기적 변경을 실시하는가? (지시문 : 대외비)
5. 인가되지 않은 암호장비를 사용하고 있지 않는가?
6. 암호장비 고장시 정비범위 및 정비 절차는 수립 시행되고 있는가?
7. 책임자 교체시 암호장비의 인계인수는 실시하고 인계인수사항을 기록 유지하고 있는가?

9. 암호 및 음어자재 운용관리

점 검 사 항	자 체 점 검 결 과
	Y	N	담당자	참고서류
1. 암호 및 음어자재는 암호실내 별도 금고 또는 비밀 캐비넷에 보관되고 있는가?
2. 암호 및 음어자재 수발시 인감등록자가 업무를 수행하는가?
3. 암호 및 음어자재는 현용을 제외한 예비용, 반납용은 봉인하여 보관하고 있는가?
4. 비상시 암호 및 음어자재 긴급파기계획을 문서 로 작성하고 각 부서에 전달 시행하고 있는가?
5. 암호 및 음어자재에 대해 주1회 주기적으로 이상유무 점검을 실시하는가?
6. 암호 및 음어자재를 임의복제 복사하여 사용하 지 않는가?
7. 암호 및 음어자재의 인계인수는 실시하고, 인계 인수 사항은 기록 유지되고 있는가?

10. 대도청 활동

점 검 사 항	자 체 점 검 결 과
	Y	N	담당자	참고서류
1. 내부로 유입되는 각종 장비 및 물품 등에 대해 도청장치 은닉여부의 보안 검색을 하는가?
2. 외부인이 청사내에 출입할 경우 출입 통제를 실시하고 있는가?
3. 중요회의 및 협상시 해당장소에 대해서 도청위해요소 제거 등 보안대책을 강구하는가?
4. 은닉된 도청장치 탐색을 위한 활동 계획을 수립 시행하는가?
5. 도청(盜聽)에 취약한 전화단자함 등 통신시설에 시건장치를 하는가?

11. 정보보호시스템 운용관리

점 검 사 항	자 체 점 검 결 과
	Y	N	담당자	참고서류
1. 정보보호시스템은 국가기관용의 정보 보안 요구사항을 만족하는 제품을 선정하였는가?
2. 정보보호시스템 구성시 보안등급은 적절히 구현 되었는가?
3. 최초 설정된 보안등급이 임의로 변경 되지 않았는가?
4. 보안등급 관리대장을 작성 유지하는가?
5. 정보보호시스템 설치장소는 ‘보안시스템 보안관리’에 상응하는 보안대책을 강구 하였는가?
6. 정보보호시스템 관리책임자는 지정 운영하고 주기적으로 교육을 실시하고 있는가?
7. 정보보호시스템은 필요한 서비스만 제공되고 설치 목적외 다른 용도로 사용되지 않는가?
8. 정보보호시스템에 대한 감사기록자료는 주기적으로 점검 분석하고 있는가?
9. 안전진단 소프트웨어 등 보안도구를 이용하여 정기적으로 점검을 실시하여 점검결과를 기록 유지하는가?

<별표 2>

정보통신보안 위규사항

조	내 용	항	세 부 내 용
1	불법통신에 관한 사항	(1)	북한 통신소와의 불법교신
		(2)	국내침투 간첩과의 교신
		(3)	적성국(또는 반국가단체) 통신소와의 불법교신
		(4)	기타 반국가적인 불법통신
2	군사상 기밀의 누설	(1)	군사전략, 작전계획 및 진행사항
		(2)	군편제․임무․시설 및 기타 부대현황
		(3)	병력(군․경․예비군) 현황 및 이동 상황
		(4)	경찰 및 특수기관의 장비(작전․정보․수사용) 현황과 집행사항
		(5)	특수기관․군사시설의 위치 및 이동상황
		(6)	군사장비의 구성․성능 및 발명개량 연구사항
		(7)	군사장비(군수품 등) 생산 및 공급사항
		(8)	기타 국가방위에 영향을 초래하는 사항
3	외교상 기밀의 누설	(1)	국가 외교방침, 기본계획 및 재외공관에 발하는 훈련
		(2)	공개할 수 없는 외교조약 또는 협약
		(3)	특수임무를 수행하는 해외주재원의 활동(계획․지시․보고) 및 신원정보에 관한 사항
		(4)	기타 국가외교에 영향을 초래하는 사항
4	국가정보활동에 관한 사항 누설	(1)	대공업무와 관련된 사항
		(2)	정보(첩보) 수집활동에 관한 사항
		(3)	간첩 또는 대공용의자 발견과 수사활동
		(4)	정보 및 특수수사기관의 기구 또는 임무기능에 관한 사항

조	내 용	항	세 부 내 용
4	국가정보활동에 관한 사항 누설	(5)	국가원수 및 기타 용인의 비공개행사
		(6)	불명선박의 발견 및 처리
		(7)	중요물자 수송활동
		(8)	테러․마약․밀수 및 국제범죄조직에 관한 정보․수사활동
		(9)	적 또는 경쟁국에 유리한 과학기술 및 산업에 관한 정보
		(10)	기타 국가안보 및 공안유지에 불리한 영향을 초래하는 사항
5	보안시스템에 관한 사항 누설	(1)	보안시스템의 연구개발 및 제작에 관한 사항
		(2)	암호전문을 허위로 조립하여 송신
		(3)	암호를 부정한 목적에 사용하였을 때
		(4)	암호문과 평문의 혼용 및 이중사용
		(5)	암호문 작성시 동일 난수를 2회이상 반복사용
		(6)	사용기간이 경과된 암호자재를 계속 사용
		(7)	암호문에 평문을 삽입하여 송신
		(8)	기타 보안시스템 보호체계를 손상시킬 우려가 있는 사항
6	허가목적외 방법으로 사용하는 경우	(1)	허가목적 업무와 관련이 없는 통신
		(2)	군 통신망에서 군사업무와 관련이 없는 통신
		(3)	기타 사회질서를 해하는 통신

<별표 3>

정보통신 보안사고 유형

조	내 용	항	세 부 내 용
1	정보시스템 및 정보통신실	(1)	정보통신망에 대한 해킹․악성코드의 유포
		(2)	비밀이 저장된 PC 분실
		(3)	승인 없이 정보시스템내 비밀 저장
		(4)	정보시스템 및 정보통신실 파괴
		(5)	정보시스템 LOG 비인가자 접근
2	암호장비	(1)	암호장비 분실 및 피탈
		(2)	암호장비 파손 및 임의파기
		(3)	암호장비 복제․복사
		(4)	비인가 암호장비 사용
		(5)	암호장비 비닉체계 특성 및 제원 노출
		(6)	암호장비 키 운용체계 노출
3	암호 및 음어․약호자재	(1)	암호․음어․약호자재의 분실 및 누설
		(2)	암호․음어․약호자재의 파손 및 임의파기
		(3)	암호․음어․약호자재의 임의제작 사용
		(4)	세부 비닉체계 노출
4	정보자료	(1)	주전산기․대용량 전자기록(DB) 손괴
		(2)	비밀자료의 유출․파괴․변조 및 평문 소통
		(3)	전자공문서 위변조

<별표 4>

원격근무 보안점검표

* 공개 : 공개 원격근무, 비공개 : 비공개 원격근무

구 분	점 검 사 항	적용대상
		공개	비 공 개			확인
			재택	파견	이동
관리대책	1. 원격근무 업무 선정 기준이 존재하는가?	○	○	○	○
	2. 원격근무 관련 보안관리지침이 존재하는가?	○	○	○	○
보안계획 및 활동	1. 원격근무 보안사고 대응계획이 존재하는가?	○	○	○	○
	2. 비상 연락체계가 존재하는가?	○	○	○	○
	3. 원격근무 세부계획에 대하여 국가정보원의 보안성 검토를 받았는가?	○	○	○	○
정보자산	1. 원격근무용 정보자산의 목록이 주기적으로 관리되고 있는가?	○	○	○	○
	2. 원격근무 관련 문서의 반출․입 대장이 존재 하는가?	○	○	○	○
	3. 원격근무 관련 중요문서의 반출․입 대장이 정기적으로 점검되는가?	○	○	○	○
	4. 업무변경 및 인사이동시 전산자료 인계인수 절차가 있는가?		○	○	○
	5. 원격근무자는 소속기관이 제공 또는 인가한 원격근무용 전용장비(HW,SW)를 사용하는가?		○	○	○
	6. 원격근무 전산장비 고장시 정보보안담당관에게 통보가 되고 자료유출 방지 대책이 있는가?		○	○	○
	7. 원격근무 권한 해제시 정보보안담당관은 전산 장비를 회수 또는 인가취소 하는가?		○	○	○
원 격 근 무 자 보안관리	1. 원격근무자의 정보보안 관련 직무․책임이 명확히 정의되어 있는가?	○	○	○	○
	2. 원격근무자의 담당직무에 따라 접근권한이 구분 부여되어 있는가?	○	○	○	○
	3. 원격근무자에게 보안서약서를 징구하는가?	○	○	○	○
	4. 원격근무자에게 주기적 보안교육이 시행 되는가?	○	○	○	○
	5. 원격근무자 인사변동에 따른 이용권한 회수 절차가 있는가?	○	○	○	○

구 분	점 검 사 항	적용대상
		공개	비 공 개			확인
			재택	파견	이동
원 격 근 무 자 보안관리	6. 원격근무자가 장기간 작업을 하지 않을 경우 이용권한 회수 절차가 있는가?	○	○	○	○
	7. 원격근무자가 인증정보 분실시 신속한 재인증 절차가 있는가?	○	○	○	○
	8. 원격근무자의 보안규정 위반시 징계절차가 있는가?	○	○	○	○
	9. 정보보안 관련자료를 원격근무자에게 신속히 배포할 수 있는 수단이 있는가?	○	○	○	○
물 리 적 보 안	1. 원격근무용 전산장비는 도난․분실․훼손 방지 대책이 있는가?		○	○	○
	2. 근무시간 중 출입문 시건장치 등 비인가자의 접근방지 대책이 있는가?		○
불법접근 차단대책	1. 이용권한에 따라 서버 및 네트워크 접근을 통제하고 내부망 접근을 제한하기 위한 침입 차단시스템 등 검증필 정보보호시스템이 설치․운영되고 있는가?	○	○	○	○
	2. 정상․오(誤)사용에 대한 모니터링 및 로그자료의 저장․감사가 이루어지는가?	○	○	○	○
	3. 원격근무자는 행정전자서명(GPKI)인증서를 사용하는가?		○	○	○
	4. 일회용 패스워드, 생체인증, 기타수단을 이용하여 다단계 인증을 수행하는가?		○	○	○
	5. 원격근무 전산장비에 전자문서 저장시 국정 원장이 승인한 전자문서 보안체계가 적용 되는가?		○	○	○
	6. 원격근무자가 무선랜 이용시 적절한 보안 대책이 있는가?(재택․이동근무 중 상용 무선랜 사용 등 부득이한 경우 국가정보원장과 협의한 보안대책을 적용하고 있는가?)		○	○	○
	7. 승인되지 않은 프로그램 설치 금지 및 주기적 확인․삭제 절차가 있는가?		○	○	○
	8. 원격근무 서버가 불필요한 서비스 포트를 개방하지 못하도록 보안설정 하였는가?		○	○	○

구 분	점 검 사 항	적용대상
		공개	비 공 개			확인
			재택	파견	이동
운영관리	1. 원격근무 전산장비에 부팅 패스워드, 화면 보호기, 사용자인증 비밀번호가 작동중인가?	○	○	○	○
	2. 원격근무 전산장비에 바이러스 백신, 침입 차단시스템이 운영되고 최신 업데이트를 유지하는가?	○	○	○	○
	3. 원격근무 전산장비의 운영체제 패치 및 보안 관련 최신 업데이트를 유지하는가?	○	○	○	○
	4. 원격근무 중 이석시 사전 화면보호기능 구동 등 보안조치가 실시되고 있는가?		○	○	○
	5. 원격근무용 소프트웨어 설치시 시험평가 절차가 있는가?		○	○	○
	6. KeyLogging, ScreenCapture 등 자료유출 방지대책이 있는가?		○	○	○

<별표 5>

침입차단시스템 점검표

< 인적․물리적 관리>

점검사항	점검일	점검결과	점검주기 (일,주,월,분기)	특이사항
침입차단시스템의 보안관리책임자 지정 운용여부
업무 및 책임의 범위설정여부
침입차단시스템에 대한 안전 유지와 운영에 관한 교육시행
퇴직직원에 대한 시스템 사용자계정의 신속한 삭제여부
침입차단시스템 설치장소의 보호구역설정 여부
침입차단시스템 운영실에 출입하는 자에 대한 통제 및 기록관리여부
무정전 전원장치(UPS)설치 및 작동여부
비상사태 발생시 대처계획 수립여부
침입차단시스템과 관련된 장비의 허가없는 이동여부

< 운용관리>

점검사항		점검일	점검결과	점검주기 (일,주,월,분기)	특이사항
침적 입정 차성 단 시여 스부 템 선 정	국내기술진에 의해 개발
	국가기관용으로 인증된 제품
	납품업체의 지속적 기술지원 가능여부
	납품업체의 유지보수 여부
중요정보에 대한 인터넷연결금지여부

점검사항	점검일	점검결과	점검주기 (일,주,월,분기)	특이사항
침입차단시스템을 다른 용도로 사용하는지 여부
성능관리 및 평가에 따른 대책수립 여부
감사기록 하드디스크의 지속적 관찰 여부
서비스 접속율 파악 여부
서비스 비인가자 접속기록 유지여부
침입차단시스템 내에 중요자료 방치여부
무결성 이상 발생시 조치사항
시스템관리 자료 및 감사기록 보관기간
침입차단시스템 이상 발견시 관리자 대책 여부
설치후 점검시 관리자 입회여부
침입차단시스템 구성에 필요한 최소한의 사용자만이 등록되었는지의 여부
등록되지 않은 사용자 등록여부
업로드된 파일의 유해성 검사실시 여부
단순화일전송프로토콜(TFTP)의 서비스 실시여부
익명 파일전송프로토콜 연결시 침해가능성 검사
공개용 웹서버의 분리운용 여부
홈페이지의 불법적인 변경감시 여부
원격관리의 최소화 연결 여부
원격관리시 강력한 인증방법 사용여부
원격관리후 사후조치 여부

점검사항	점검일	점검결과	점검주기 (일,주,월,분기)	특이사항
원격관리대장 기록․유지 여부
침입차단시스템에서 필요한 서비스만 제공하는지 여부
외부에 불필요하게 열려진 서비스가 없는지 여부
명시적으로 허용되지 않는 서비스 제공 여부
명시적으로 허용되지 않는 주소에 서비스 제공 여부
명시적으로 허용되지 않는 사용자에 서비스 제공 여부
강력하지 않은 인증방법을 사용하는 사용자 분류 여부
공개용 서버와 비공개용 서버분류의 적절성 여부
주소변환기능을 사용하는지 여부
주소변환시 내부 비공인 주소와 외부 공인주소와의 비일치성 여부
침입차단시스템 구성시 기관규모에 따라 적절히 설치되었는지 여부
침입차단시스템 구성시 부하규모에 따라 적절히 설치되었는지 여부
침입차단시스템 구성시 보유자료의 안전성에 따라 적절히 설치되었는지 여부
DMZ가 적절히 설정되었는지 여부
DMZ내의 불필요한 서버가 위치하지 않았는지 여부
DMZ내의 주요한 서버에 침입탐지시스템이 설치되었는지 여부
중요한 내부망을 보호하기 위하여 네트워크 기반 침입탐지시스템이 설치되었는지 여부
메일서버 위치의 적절성 여부

점검사항	점검일	점검결과	점검주기 (일,주,월,분기)	특이사항
웹서버 위치의 적절성 여부
파일전송프로토콜 서버 위치의 적절성 여부
서비스 관리대장을 적절히 작성․유지하는지 여부
과도하게 등급이 조정된 사용자 및 호스트는 없는지 여부
사용자 그룹관리의 적절성 여부
비밀번호 유효기간이 적절한지 여부
등급별 인증방법 설정이 적절한지 여부
페킷필터링 관리대장을 적절히 작성․유지하고 있는지 여부
네트워크 그룹에 부적절한 보안등급이 할당되지 않았는지 여부
사용자별 보안등급 관리의 적정성 여부
운영변경시 절차 수립후 실시하는지 여부
바이러스 방지대책을 적절히 수립하고 있는지 여부
바이러스 검색을 주기적으로 실행하는지 여부
정품 소프트웨어만을 사용하는지 여부
바이러스 발견시 조치사항을 사용자에게 공지하였는지 여부
보안사고 발생시 정해진 규정에 의거 처리하고 있는지 여부
침입차단시스템 관리자가 침입탐지 활동에 적극적으로 대처하는지 여부
침입발견시 조치사항에 대하여 잘 숙지하고 있는지 여부
침입발견후 사후 조치사항을 잘 시행하는지 여부
침입차단시스템오동작에 대한 조치사항을 숙지하고 있는지 여부

< 안전진단 >

점검사항	점검일	점검결과	점검주기 (일,주,월,분기)	특이사항
비밀번호가 없는 사용자계정이 있는지 여부
쉽게 추정이 가능한 비밀번호의 사용여부
시스템의 부팅 비밀번호 유무
비밀번호 파일에 빈라인 유무
비밀번호 파일에 각 라인의 field개수 확인
비밀번호 파일에 비밀번호가 없는 사용자계정 유무
비밀번호 파일에 영문자와 숫자이외의 문자로 구성된 ID 유무
비밀번호 파일에 숫자로 되어 있지 않은 UID/GID 확인
비밀번호 파일에 root 이외에 UID가 0인 ID 유무
비밀번호 파일에 잘못된 로그인 디렉토리의 유무
/etc/ftpusers 파일의 유무 및 파일내 root ID존재 여부
/etc/passwd 파일내 ftp ID 존재 여부
ftp ID의 홈디렉토리 중 ～ftp/etc/passwd 파일 및 ～ftp/etc/group 파일과 root의 해당파일(/etc/passwd, /etc/group)의 중복여부
ftp관련 주요파일 및 디렉토리 의 접근허용모드와 소유자의 적절성 여부
단순파일전송 프로토콜 서비스 제공 여부
사용자 홈디렉토리의 접근허용 모드
사용자 홈디렉토리 내에 환경 파일접근 허용모드 확인
사용자 그룹파일내의 빈라인 유무
사용자 그룹파일 내의 각 라인의 field개수 확인
사용자 그룹파일내의 중복된 그룹 유무
사용자 그룹파일내의 영문자와 숫자 이외의 문자로 구성된 그룹 유무
사용자 그룹파일 내의 숫자로 되어 있지 않은 그룹ID 확인
root의 startup file(/.login, /.cshrc, /.profile)의 쓰기 가능여부 확인
부적당한 umask 설정 확인
/.rhosts 파일의 목록 확인
/etc/hosts.equiv 파일내에 ‘+’ 유무 확인
/bin, /etc등 중요 디렉토리 및 파일의 root 소유 여부 확인
setuid 설정 실행 파일 변경 사항 유무
모든 호스트에 export된 파일시스템 확인
export된 파일시스템의 쓰기 가능 여부
export목록에 localhost 포함 여부
export 목록내 256자 초과여부 확인
rlogin 서비스 제공 여부
rsh, rcp 서비스 제공 여부
호스트 신뢰여부
사용자의 신뢰여부
$HOME/.rhosts 파일의 소유자 확인
$HOME/.rhosts 파일의 소유자 접근허가 모드 확인
접속가능한 모든 네트워크 서비스 확인
finger 서비스 확인
sendmail 버전 확인
decode, undecode 등의 alias 제공 여부
‘wiz' 명령어의 제공여부
‘debug' 명령어의 제공여부
ftp 버전 확인
ftp 접속시 system 정보 유출 확인
익명 ftp 서비스 제공 여부 및 익명 ftp에서 파일 생성/삭제 가능 여부
lpr 유틸리티의 존재 여부 및 해킹 가능성
autoreply 유틸리티의 존재 여부 및 해킹 가능성
expreserve 유틸리티의 존재 여부 및 해킹 가능성
at 유틸리티의 존재 여부 및 해킹 가능성
loadmodule 유틸리티의 존재 여부 및 해킹 가능성
sysinfo 유틸리티의 존재 여부 및 해킹 가능성
finger 명령을 수행할 수 있는지 여부
finger 리다이렉트 명령이 유효한지 여부
finger dot 명령이 유효한지 여부
ruser 서비스가 가능한지의 여부
telnet 서비스 배너가 유효한지 검사
sendmail 서비스 배너가 유효한지 검사
ftp서비스 배너가 유효한지 검사
익명의 ftp가 수행되는지 검사
rstad 데몬이 수행되는지 검사
고퍼 데몬이 수행되는지 검사
netstat 명령 서비스를 지원하는지 검사
systat 명령서비스를 지원하는지 검사
확장된 SMTP 명령이 수행되는지 검사
Identd 데몬이 수행되는지 검사
라우팅 테이블이 검색되는지 검사
ICMP 프로토콜에서 Netmask를 읽어낼 수 있는지 검사
Finger search. **@host 명령이 수행되는지 검사
웹서버 버전이 검색되는지 검사
S/Key 배너가 검색되는지 확인 호스트로 라우팅이 될 수 있는지 검사
ftp에서 루트 디렉토리에 쓰기 가능한지 검사
ftp에서 원격 실행이 허용되는지 검사
ftp에서 하위 디렉토리에 쓰기 가능한 디렉토리가 있는지 검사
ftp에서 사용자 이름과 비밀번호가 없이 접근가능한지 검사
ftp 바운스 검사
ftp 서버에 쓰기 가능한 파일이 존재하는지 검사
ftp 명령상에서 chmod명령이 수행되는지 검사
서비스되는 포트 검색
sendmail syslog 버퍼 오버플로우 검사
서비스되는 포트 검색
sendmail syslog 버퍼 오버플로우 검사
sendmail 데몬 버전 검사
sendmail MIME 오버플로우 검사
sendmail 디코드 얼라이어스 검사
메일 위조 가능 검사
NFS에서 mknod 명령 수행 검사
echo/chageon 패킷 넘침 검사
반복 finger 검사
SYN flood 검사
ICMP unreachable 호스트 검사
ping 서비스 거부 공격 검사
telnet 비밀번호 추측 검사
pop 비밀번호 추측 검사
imap 비밀번호 추측 검사
rexec 비밀번호 추측 검사
rlogin 비밀번호 추측 검사
웹서버 오버플로우 검사
WWW finger 검사
웹서버를 통한 비밀번호 추측
라우팅 정보 테이블 속임 검사
IP 포워딩 검사
IP 플래그먼트 검사
소스 라우팅 허용 검사
소스 포팅 허용 검사
TCP 포트 검색
UDP 포트 검색
TCP 시퀸스 넘버 예측 검사
X-Open 검사
추측가능한 쿠키 검사
rlogin-front 명령 허용 검사
UUCP 서비스 허용 검사
radiusd 오버플로우 검사
Hosts.equiv 검사
pop 사용자 아이디 오버플로우 검사
tftp 쓰기가능 모드 허용 검사
DNS 존 트랜스퍼 검사
IQUERY 명령을 허용하는 DNS 검사
DNS 버전검색 확인가능 검사
DNS 캐쉬 파괴 검사
DNS IQUERY 오버플로우 검사
TCP SYN 플래그 플루딩 검사
TCP ACK 플래그 반응 검사
TCP FIN 플래그 반응 검사
Active X 수행검사
Java Applet 수행검사

별지 서식

<별지 제1호서식>

세부추진계획

1. 활동 목표

2. 기본 방침

3. 세부 추진계획

분 야 별	사 업 명	세부 추진계획	주관․관련부서	비 고

4. 전년도 보안감사․지도방문시 지적사항과 조치계획

지적사항	조치계획	담당부서

※ 형식위주의 계획수립을 지양하고 소속기관의 추진계획을 종합, 자체 실정에 맞게 작성

<별지 제2호서식>

심사분석

1. 총평

2. 주요 성과 및 추진사항

3. 세부 사업별 실적 분석

추진계획	추진실적	문 제 점	개선대책

※ 추진실적은 목표량과 대비하여 성과 달성도를 계량화하여 작성

4. 부진(미진)사업

지적사항	조치계획	담당부서

5. 애로 및 건의사항

6. 첨부

가. 정보통신망 및 검증필 정보보호시스템 운용현황

나. 개인소유의 PC(노트북 PC 등) 반출 또는 반입현황

다. 기타 정보통신 보안관련 실적

<별지 제3호서식>

보조기억매체 관리대장

<관리책임자 :         >

관리번호	매 체 형 태 (TYPE)	매체 사용용도						등록일자	취급자 (성 명)	불용처리일 자	불용처리 방 법 (재 사 용 용 도)	비고 (사유)
		일반용	인증서용	비밀용
				대외비	Ⅲ급	Ⅱ급	Ⅰ급

<별지 제3-2호 서식>

보조기억매체 관리대장(비밀용)

<관리책임자 :         >

관리번호	매 체형 태 (TYPE)	등 급	등록일자	취급자 (성 명)	불용처리일자	불용처리방법 (재사용용도)	비 고 (사 유)

<별지 제3-2호 서식>

보조기억매체(전산장비 포함) 반출․입 대장

<관리책임자 :         >

장비명	관리번호 (시리얼번호)	취급자 (성명)	반출․입 용도	반출․입 일시 (반출․입 구분)	확 인	비 고

<별지 제4호서식>

전산장비 관리대장

연번	소속	취급자 (성명)	단말기․PC 및 서버		비 밀 번 호				부여 일자	해제 일자
					장비별	자료별	망접속시 취급자
			관리 번호	기종 성능			사용자 계 정	비밀 번호

<별지 제5호서식>

암호실 및 암호취급자 현황

구분 부서	암 호 실				암 호 취 급 자				비고
	인가	운용	과부족	변동 내용	인가	운용	과부족	변동 내용
총 계

<별지 제6호서식>

암호실 출입자 기록부

소속	직급	성명	직책	용무	출입일시	서명	인가자인	비고

<별지 제7호서식>

서   약   서

본인은   년   월   일부로 보안시스템(정보시스템)과 관련한 업무(연구개발, 제작, 입찰, 기타)를 수행함에 있어 다음 사항을 준수할 것을 엄숙히 서약합니다.

1. 나는 보안시스템(정보시스템)과 관련된 소관업무가 국가기밀 사항임을 인정하고 제반 보안관계규정 및 지침을 성실히 수행한다.

2. 나는 이 기밀을 누설함이 국가이익을 침해할 수도 있음을 인식하고 재직 중은 물론 퇴직 후에도 알게 된 모든 기밀사항을 일체 타인에게 누설하지 아니한다.

3. 나는 기밀을 누설한 때에는 아래의 관계법규에 따라 엄중한 처벌을 받을 것을 서약한다.

가. 국가보안법 제4조 제1항 제2호․제5호 (국가기밀 누설 등)

나. 형법 제99조(일반이적) 및 제127조 (공무상 비밀의 누설)

다. 군형법 제80조 (군사기밀 누설)

라. 군사기밀보호법 제12조(누설) 및 제13조 (업무상 누설)

년     월     일

서약자    소속    직급    주민등록번호

직위    성         명              인

서  약    소속    직급    주민등록번호

집행자            직위    성         명              인

<별지 제8호서식>

사용자계정 관리대장

연번	소속	성명	업무명	계 정	접근권한	처리내용 (등록,수정,삭제)	처리일자	확인

<별지 제9호서식>

암호장비 운용관리현황

기관명 :                                            년   월   일 현재

순위	시스템명	등록번호	설치장소	상대국소	회선 및 방식	설치일자	비고

<별지 제10호서식>

보안시스템 관리기록부

<암호장비용>

장비명	배 부(수령)					회 수(반납)				변 동 사 항				비고
	일시	수량	등록번호	대상기관	증빙번호	일시	수량	등록번호	증빙번호	일시	근거	수량	확인

<암호 및 음어․약어자재용>

자재 명칭	수 령(제작)				배 부				회 수		변 동 사 항				비고
	일시	수량	등록번호	발행처	일시	수량	등록번호	발행처	일시	수량	일시	수량	반납처	확인

364×257㎜

※ 보안시스템 관리기록부는 한 권으로 만들고 암호장비, 암호자재 등 용도별로 색인 구분하여 사용

<별지 제11호서식>

보안시스템 점검기록부

<암호장비용>

점검일시	장비명칭	점 검 사 항				점 검 관
		납 봉	암호화	회 선	동 작	성 명	서 명

※ 점검요령

○ 납봉상태 : 암호장비 외장 불법개봉 여부 점검

○ 암호화상태 : 암호화 또는 비화상태 점검

○ 회선상태 : 암호장비와 정보통신장비간 접속코드 등 연결상태 점검

○ 작동상태 : 암호장비의 성능저하 고장여부 등 정상작동 여부점검

<암호 및 음어․약호자재용>

점검일시	자재명칭	부 수	보관상태	점 검 관		비 고
				성 명	서 명

※ 보안시스템 점검기록부는 필요에 따라 암호장비, 암호 및 음어․약호자재 등 용도별로 분류 또는 통합권으로 사용

<별지 제12호서식>

보안시스템 증명서

<암호장비용>

○ 증명서 번호		구분 : (배부, 반납, 파기, 정비)
발신 :		수신 :
아래 암호장비 및 부품( 대)를 (배부, 반납, 폐기, 정비의뢰)하였음		아래 암호장비 및 부품( 대)를 (수령, 회수, 폐기, 정비) 하였음
일자 : 년 월 일		일자 : 년 월 일
소속 :		소속 :
성명 : (인)		성명 : (인)
구분	암호장비 명칭	수량	등 록 번 호	비고

<암호 및 음어․약호자재용>

○ 증명서 번호		구분 : (배부, 반납, 파기, 기타)
발 신 :		수신 :
아래 이록된 암호자재( 부)를 (배부, 반납, 파기) 하였음		아래 이록된 암호자재( 부)를 (배부, 반납, 파기) 하였음
일자 : 년 월 일		일자 : 년 월 일
소속 :		소속 :
성명 : (인)		성명 : (인)
구분	자 재 명 칭	수량	등록번호	비고

<별지 제13호서식>

암호 및 음어자재 신청서

자재명	수령 지역	실수령 기 관	소요 부수	산출내역	보유 부수	과부족	비 고

※ 작성 요령

○ 수령지역 : 세종로청사, 과천청사, 대전청사, 지자체별

○ 산출내역 : 세부 운용부서 및 소요부수

○ 소요부수 : 소요자재 부수기준 산출

○ 보유부수 : 현용 자재기준 산출

○ 과 부 족 : 소요부수-현재 보유부수

○ 비    고 : 조직 신편․증편․통합 등 참고사항 기재

<별지 제14호서식>

암호취급자 인감등록서

1. 기관명 :

2. 변동 및 등록일자 :     년    월     일

가. 정 책임자

인 적 사 항		인 감	서 명
직급 및 성명
직 책
주민등록번호
비밀취급등록

나. 부 책임자

인 적 사 항		인 감	서 명
직급 및 성명
직 책
주민등록번호
비밀취급등록

다. 실무자

인 적 사 항		인 감	서 명
직급 및 성명
직 책
주민등록번호
비밀취급등록

<별지 제15호서식>

지편자재 사용기록부

장비명	관리 번호	일자	전 문 액 표			난 수 사 용				소자 일시	소자자	비고
			번호	송수 구분	조수	부터		까지
						쪽	행	쪽	행

297×210㎜(A4)

<작성요령>

○ 전문 액표

- 번    호 : 암호전문 일련번호

- 송수구분 : 수발신으로 구분

- 조    수 : 암호전문 조수

<별지 제16호서식>

암호 개발요원 현황

구 분	인 가	운 용	과부족	변동내용	비 고
총 계

<별지 제17호서식>

암호 및 음어․약호자재 보유현황

기 관 명	자재명칭	수 량	등록번호	비 고

<별지 제18호서식>

암호논리 운용현황

기관명	운용부서	운용시스템	수 량	설치일	비 고

<별지 제19호서식>

보안적합성 검증 신청서

신청기관	기 관 명			담당부서
	도입목적
	운용환경	□ 유선망 □ 무선망 □ 유․무선 통합망
	주요 보안기능 요구사항
대상 시스템	개발사 (판매사)	* 개발사와 판매사가 상이한 경우 판권소유자 기재		대 표 자
	주 소		전화번호
	시스템명		평가등급
	평가기관		인증기관
	담당자		E-mail
비 고

※ 복수의 시스템을 신청하는 경우, 별도 출력하여 대상 시스템란에만 기재

<별지 제20호서식>

사용자 보안요구사항

1. 개  요

○ 목  적

2. 정보보호시스템 운용환경

○ 인가되어야 할 최대 사용자

○ 정보통신망 환경

- 속도

- 통신규약

- 유․무선 연동

3. 보안기능 요구사항

○ 형상(S/W 또는 H/W)

○ 보안감사기능

- 기록방식

- 저장방식 및 보존기간

- 출력방식

○ 식별 및 인증기능

○ 정보보호시스템 접속방법

- 접속경로

- 통신규약

- 암호화 방식

○ 내부 데이터 보호

○ 비인가자에 대한 접근통제

4. 활용 대상업무

<별지 제21호서식>

정보보호시스템 운용현황

운용부서	제 품 명	수량	설치일자	보호 대상망	보안기능	비 고

<별지 제22호서식>

원격근무 보안서약서

본인은      년    월     일부로 원격근무를 수행함에 있어 다음 사항을 준수할 것을 엄숙히 서약합니다.

1. 나는 부여받은 인증 관련 정보 및 매체를 타인에게 유출하지 아니 한다.

2. 나는 원격근무 중 작성․저장․열람․출력한 문서는 업무 목적에만 활용하고 타인에게 유출하지 아니한다.

3. 나는 원격근무용 소프트웨어 및 전산장비를 업무목적에만 활용하며 바이러스 백신 프로그램 및 기타 보안 프로그램을 설치하여 최신 상태로 유지한다.

4. 나는 여타 보안사항들을 성실히 준수하며 위반시 관련규정에 따라 처벌도 감수한다.

년       월       일

서약자    소속      직급      주민등록번호

직위      성명                    인

서  약    소속      직급      주민등록번호

집행자              직위      성명                    인

<별지 제23호서식>

원격근무 보안관리대장

소속명	부서	직급/직위	성명	인증ID	신청일	폐기일	폐기사유

전산자료 보호등급 세부분류기준

- 국가정보원 “국가정보보호기본지침”의 [부록1] -

1. 목적 및 적용대상

1-1. 목    적

이 기준은 본 지침 제32조(전산자료 보호등급 분류기준)에 따라 각급기관별 전산자료의 가치 및 중요도에 따른 보호수준을 분류하여 전산자원을 체계적․효율적으로 관리함에 있어 참고할 수 있도록 세부사항을 권고함에 있음

1-2. 적용 대상

이 기준은 비밀로 분류된 전산자료를 제외한 일반자료를 대상으로 함

2. 용어 정의

가. “기밀성”이라 함은 정당한 사용자가 허용된 정보만을 알 수 있도록 하는 정보보호의 특성을 말함

나. “무결성”이라 함은 비인가자가 정보내용을 불법적으로 위․변조 또는 훼손할 수 없도록 하는 정보보호의 특성을 말함

다. “가용성”이라 함은 정당한 사용자가 정보를 접근하고자 할 경우 지체 없이 접근하여 사용할 수 있도록 하는 정보보호의 특성을 말함

3. 분류기준

3-1. 분    류

전산자료 보호가치 및 업무특성 등 각급기관의 전산환경에 적합한 전산자료의 보호등급을 분류함

3-2. 전산자료 특성

동 기준은 전산자료의 기밀성․무결성․가용성 등 정보보호 특성을 고려하여 설정함. 다만, 각급기관의 전산환경에 따라 동 기준에서 제시한 3가지 특성 이외의 다른 정보보호 특성을 고려할 수 있음

3-3. 보호등급 단계

전산자료의 보호수준은 기밀성․무결성․가용성 등 정보보호 특성이 손상될 경우에 예상 피해정도에 따라 ‘가’급, ‘나’급, ‘다’급의 3단계로 구분할 수 있음

① 보호수준이 ‘가’급인 경우는 3가지 정보보호 특성 중 한 가지 특성이 손상되더라도 예상되는 피해정도가 클 경우를 말함

② 보호수준이 ‘나’급인 경우는 3가지 정보보호 특성 중 한 가지 특성이 손상되더라도 예상되는 피해정도가 중간일 경우를 말함

③ 보호수준이 ‘다’급인 경우는 3가지 정보보호 특성 중 한 가지 특성이 손상되더라도 예상되는 피해정도가 낮은 경우를 말함

3-4. 예상 피해정도의 구분

전산자료의 기밀성․무결성․가용성 등이 손상될 경우 피해정도는 다음과 같이 결정함

가. 피해정도가 큰 전산자료는 다음과 같은 경우임

① 개인 신상 및 재산권에 심각한 손상을 줄 수 있는 피해

② 기관의 신뢰성에 심각한 손상을 줄 수 있는 피해

③ 기관의 중요업무 수행에 장애를 줄 수 있는 피해

④ 복구에 많은 예산과 상당한 기간이 요구되는 피해

⑤ 다른 기관의 업무수행에 영향을 주는 피해

나. 피해정도가 중간인 전산자료는 다음과 같은 경우임

① 개인 신상 및 재산권에 경미한 손상을 줄 수 있는 피해

② 기관의 기본적 임무수행에 지장을 초래하는 피해

③ 기관의 신뢰성을 손상하는 피해

④ 내부 관리상 문제를 주는 피해

⑤ 다른 기관의 업무수행에 경미한 영향을 주는 피해

다. 피해정도가 낮은 전산자료는 다음과 같은 경우임

① 중요 업무가 아닌 부수적 업무수행에 경미한 지장을 주는 피해

② 기관의 신뢰성에 경미한 손상을 주는 피해

③내부 관리상 문제가 발생하나 빠른 기간 내에 복구가 가능한 피해

라. 추가 고려사항

전산자료의 기밀성․무결성․가용성 등 정보보호 특성 이외의 해당자료로 수행되는 업무의 중요성, 전산자료 보유건수 및 대체성 등을 고려할 수 있음

① 해당 전산자료로 수행되는 업무가 각급기관에서 차지하는비중이 클수록 전산자료는 높은 보호수준을 요구함

② 입력된 전산자료의 건수가 많을수록 전산자료의 보호수준은 높게 요구될 수 있음

③ 해당 전산자료의 손상에 대비한 백업 등 대체수단이 없을 경우 전산자료의 보호수준은 높게 요구될 수 있음