정보보호 사전점검에 관한 고시 (고시, 과학기술정보통신부)
공포일: 20170824 / 시행일: 20170824

제1조(목적) 이 고시는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 "법"이라 한다) 제45조의2 및 같은 법 시행령(이하 "영"이라 한다) 제36조의2부터 제36조의5까지의 규정에 따라 정보보호 사전점검의 방법·절차·수수료에 관한 세부사항과 그 밖의 정보보호 사전점검에 필요한 사항에 대하여 정하는 것을 목적으로 한다.

제2조(용어의 정의) 이 고시에서 사용하는 용어의 정의는 다음 각 호와 같다.1. "정보보호 사전점검(이하 ‘사전점검’이라 한다)"이란 정보통신망의 구축 또는 정보통신서비스의 제공 이전에 계획 또는 설계 등의 과정에서 정보보호를 고려하여 필요한 조치를 하거나 계획을 마련하는 것을 말한다.2. "정보보호컨설팅"이란 전자적 침해행위에 대비하기 위한 정보시스템의 취약점 분석·평가와 이에 기초한 보호대책의 제시 또는 정보보호 관리체계 구축 등을 주된 목적으로 수행한 컨설팅을 말한다.3. "정보보호 사전점검 대상자(이하 ‘대상자’라 한다)"란 정보보호 사전점검을 받으려는 자를 말한다.

제4조(사전점검 실시 우대) 과학기술정보통신부는 사업자가 사전점검을 실시하거나 실시 계약을 체결한 경우 해당 사업 또는 서비스에 대하여 가점을 부여하는 등 우대조치를 할 수 있다.

제6조(사전점검 수행기관 지정 공고) ① 과학기술정보통신부는 영 제36조의4제3항에 따라 사전점검을 수행하는 외부 전문기관(이하 "사전점검 수행기관"이라 한다)을 지정할 수 있다.② 과학기술정보통신부는 사전점검 수행기관을 지정할 필요가 있을 때에는 미리 접수 신청기간과 신청요령 등을 정하여 관보 및 인터넷 홈페이지에 20일 이상 공고하여야 한다.

제7조(사전점검 수행기관 지정 요건) ① 사전점검 수행기관으로 지정받으려는 자는 시스템·네트워크·데이터베이스·소프트웨어 개발 보안 및 취약점 분석·평가 분야 등의 정보보호 기술인력을 보유하여야 한다.② 사전점검 수행기관이 되기 위해서는 정보보호컨설팅 수행실적이 있어야 한다.③ 사전점검 수행기관으로 지정 받으려는 자는 사전점검 과정에서 발생하는 자료를 보호하기 위하여 다음 각 호를 포함한 보호대책을 별표 1과 같이 수립·시행하여야 한다.1. 사전점검 수행구역 및 설비에 대한 보호대책2. 사전점검 수행인력에 대한 보호대책3. 문서 및 전산자료에 대한 보호대책4. 일반 관리적 보호대책

제9조(사전점검 수행기관 지정 신청) ① 사전점검 수행기관으로 지정받으려는 자는 별지 제1호서식의 수행기관 지정신청서를 과학기술정보통신부에 제출하여야 한다.② "정보보호 기술인력 보유현황"의 제출 서식은 별지 제2호서식과 같다.③ "정보보호컨설팅 수행실적 명세서"의 제출 서식은 별지 제3호서식과 같다.

제10조(사전점검 수행기관 지정 심사) ① 과학기술정보통신부는 사전점검 수행기관 지정신청서를 접수한 경우 심사위원회를 구성하여 다음 각 호의 심사업무를 수행하게 할 수 있다.1. 정보보호 기술인력 현황 확인2. 신청인의 정보보호컨설팅 수행실적 검토3. 사전점검 수행기관 보호대책의 검토② 심사위원회는 사전점검 수행기관 지정 신청을 검토하기 위하여 서류심사 또는 현장실사를 할 수 있다.③ 심사위원회는 서류심사 또는 현장실사 결과를 종합적으로 검토하여 심사 결과를 작성하여야 한다.

제11조(사전점검 수행기관 지정) ⓛ 과학기술정보통신부는 심사위원회의 심사결과를 검증하여야 한다.② 과학기술정보통신부는 지정신청서 및 관련 자료 검토 결과에 따라 사전점검 수행기관 지정을 받으려는 신청인에게 별지 제4호서식에 따른 "정보보호 사전점검 수행기관 지정서"를 교부한다.

제13조(사전점검 수행기관 지정의 유효기간) ① 사전점검 수행기관의 유효기간은 3년으로 한다.② 사전점검 수행기관이 수행기관 지정을 계속 유지하려고 할 경우 유효기간 만료 3개월 전에 재지정 신청을 하여야 하며, 재지정 절차는 지정 절차를 따른다.③ 사전점검 수행기관이 인수·합병 등에 따른 법인격 변동이 있을 경우 재지정 절차를 따른다.

제14조(사전점검 수행기관 지정 취소) ① 과학기술정보통신부는 사전점검 수행기관이 다음 각 호에 해당할 경우 사전점검 수행기관 지정을 취소하고, 이를 관보에 게재할 수 있다.1. 거짓이나 그 밖의 부정한 방법으로 지정을 받은 경우2. 제7조 각 항에 따른 사전점검 수행기관 지정 요건에 미달한 경우② 사전점검 수행기관이 폐업하거나, 수행기관 지정을 반납하려 할 경우 해당 의사를 명시한 문서에 수행기관 지정서를 첨부하여 과학기술정보통신부에 제출하여야 한다.

제16조(사전점검 수행인력의 교육) ① 한국인터넷진흥원은 정보보호 사전점검의 품질관리 및 수행인력의 전문성 확보를 위하여 필요한 교육을 할 수 있다.② 사전점검 교육과정은 정보통신서비스 구조 분석, 보호자산 식별, 위협 및 취약점 분석, 위협 시나리오 작성 등 사전점검 절차·방법 및 프로젝트관리를 포함한다.

제17조(사전점검 계약) 대상자가 자체적으로 사전점검을 수행하지 않고 한국인터넷진흥원 또는 사전점검 수행기관으로부터 사전점검을 받으려는 경우 점검기간, 참여인력, 사전점검 수수료, 사전점검 범위 등에 대한 합의를 포함하는 사전점검 실시 계약을 체결하여야 한다.

제19조(사전점검 준비) 대상자는 사전점검을 수행하기 위하여 사업 또는 정보통신서비스 담당자 및 제15조의 요건을 갖춘 내·외부의 사전점검 수행인력 등으로 정보보호 사전점검 수행팀(이하 "점검팀"이라 한다)을 구성하고, 사전점검 수행계획서를 작성한다.

제20조(설계 검토) 점검팀은 사전점검을 하려는 사업 또는 정보통신서비스에 대하여 아래 각 호의 순서로 설계 검토 단계를 진행한다.1. 서비스 정의2. 서비스 구조 분석3. 보호자산 식별4. 위협 분석5. 취약점 분석6. 위험 분석7. 위협 시나리오 도출8. 보호대책 도출

제22조(보호대책 구현 현황 점검 및 시험) 점검팀은 아래 각 호의 순서로 보호대책 구현 현황을 점검한다.1. 권고한 보호대책에 대한 실제 구현 현황을 파악2. 위협 시나리오에 따라 현장에서 모의해킹 및 침투시험 등을 통해 위협 가능성을 확인

제24조(사전점검 결과 처리) ① 대상자는 사전점검 결과에 따라 적용하지 아니한 보호대책이 있을 경우 보호조치 계획을 수립하고 정보통신망 또는 정보통신서비스의 운영과정에 반영한다.② 사전점검 과정에서 심각한 위험이 발견된 경우 그에 대한 보호대책을 구현한 이후에 정보통신망 또는 정보통신서비스를 운영하여야 한다.

제26조(사전점검 수수료) 사전점검 수수료는 다음 각 호의 기준을 준용하여 별표 4에 따라 산정한다. 다만, 대상자와 한국인터넷진흥원 또는 사전점검 수행기관이 이와 다르게 합의할 경우에는 다음 각 호를 적용하지 아니할 수 있다.1. 「엔지니어링산업 진흥법」 제31조제2항에 따른 엔지니어링사업의 대가 기준2. 한국소프트웨어산업협회가 제공하는 「SW사업 대가산정 가이드」의 정보보안 컨설팅비

제27조(재검토기한) 「훈령·예규 등의 발령 및 관리에 관한 규정」(대통령훈령 제334호)에 따라 이 고시에 대하여 2017년 1월 1일 기준으로 매 3년이 되는 시점(매 3년째의 12월 31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.