국토교통부 소관 주요정보통신기반시설 보호지침 (훈령, 국토교통부)
공포일: 20250701 / 시행일: 20250701

제1조(목적) 이 지침은 「정보통신기반 보호법」제10조에 따라 국토교통부장관이 관할하는 주요정보통신기반시설을 각종 전자적 침해행위로부터 보호하기 위하여 해당 주요정보통신기반시설 관리기관의 장이 준수하여야 할 정보보호에 관한 구체적 사항을 정함을 목적으로 한다.

제2조(정의) 이 지침에서 사용하는 용어의 정의는 다음과 같다.1. "보호대책"이란 「정보통신기반 보호법」(이하 "법"이라 한다) 제8조에 따라 지정된 주요정보통신기반시설의 관리기관의 장(이하 "관리기관의 장"이라 한다)이 법 제5조제1항에 따라 소관 주요정보통신기반시설 및 관리 정보를 안전하게 보호하기 위한 예방, 백업, 복구 등 물리적ㆍ기술적 대책을 포함하여 수립한 관리대책을 말한다.2. "보호계획"이란 국토교통부장관(이하 "장관"이라 한다)이 법 제5조제2항에 따라 주요정보통신기반시설 관리기관의 장으로부터 제출받은 보호대책을 종합ㆍ조정하여 소관 주요정보통신기반시설에 대해 수립한 보호계획을 말한다.3. "전담인력"이란 주요정보통신기반시설 운용현장의 보안업무를 담당하는 자를 말한다.4. "업무종사자"란 주요정보통신기반시설을 운용ㆍ관리하는 업무와 관련된 임직원(계약직을 포함한다) 및 유지보수 수행에 참여하는 종사자를 말한다.

제4조(정보보호책임관 지정) ① 장관은 정책기획관을 법 제6조제5항에 따라 소관분야 주요정보통신기반시설의 보호에 관한 업무를 총괄하는 자(이하 "정보보호책임관"이라 한다)로 지정한다.② 정보보호책임관이 총괄하는 업무는 다음 각 호와 같다.1. 주요정보통신기반시설 보호계획의 수립ㆍ시행2. 주요정보통신기반시설의 지정 및 지정취소3. 주요정보통신기반시설 보호지침의 제정ㆍ수정 및 보완4. 침해사고의 피해확산 방지와 신속한 대응을 위하여 필요한 조치5. 피해복구 지원 및 피해확산 방지에 필요한 조치6. 그 밖에 다른 법령에 규정된 주요정보통신기반시설의 보호업무에 관한 사항③ 정보보호담당관은 정보보호책임관의 업무를 지원한다.

제5조(정보보호책임자의 지정) ① 관리기관의 장은 법 제5조제4항에 따라 소관 주요정보통신기반시설의 보호 업무를 담당하는 4급ㆍ4급상당 공무원, 5급ㆍ5급상당 공무원 또는 임원급 관리ㆍ운영자를 정보보호책임자로 지정하여야 한다.② 정보보호책임자가 총괄하는 업무는 다음 각 호와 같다.1. 주요정보통신기반시설 보호대책의 수립ㆍ시행2. 주요정보통신기반시설 보호업무에 대한 기술적 지원의 요청3. 취약점 분석ㆍ평가 및 전담반 구성4. 주요정보통신기반시설의 보호에 필요한 조치 명령의 이행5. 침해사고의 통지6. 주요정보통신기반시설의 복구 및 보호에 필요한 조치7. 주요정보통신기반시설 지정범위의 적정성 여부 검토8. 주요정보통신기반시설의 보호에 필요한 예산 및 자산 확보9. 그 밖에 다른 법령에 규정된 주요정보통신기반시설의 보호업무에 관한 사항③ 관리기관의 장은 정보보호책임자를 지정 또는 변경한 때에는 장관에게 통지하여야 한다.④ 정보보호책임자는 소관 주요정보통신기반시설의 보호를 위하여 정보보호책임관과 긴밀히 협조하여야 한다.⑤ 관리기관의 장은 제1항의 정보보호책임자를 지정할 경우 제9조제2항에 따라 수립하는 자체 보호지침에 정보보호책임자의 권한과 책임을 명시하여야 한다.

제6조(정보보호실무책임자 지정) ① 관리기관의 장은 효율적인 보안업무 수행을 위해 소관 주요정보통신기반시설을 운용하는 부서(팀)의 장을 정보보호실무책임자로 지정할 수 있다. 다만, 주요정보통신기반시설이 하나인 관리기관은 정보보호책임자가 정보보호실무책임자를 겸할 수 있다.② 정보보호실무책임자가 수행하는 업무는 다음 각 호와 같다.1. 소관 주요정보통신기반시설에 대한 차년도 보호대책 수립 의견 제출2. 소관 주요정보통신기반시설의 당해년도 보호대책 추진과제에 대한 조치 및 추진실적의 제출3. 소관 주요정보통신기반시설의 취약점에 대한 조치 및 결과의 제출4. 소관 주요정보통신기반시설에 대한 보안정책의 적용ㆍ관리, 보안점검 및 조치, 용역업체 보안관리 수행5. 이 외에 주요정보통신기반시설 보호를 위하여 정보보호책임자가 협조 요청한 사항 등

제7조(전담조직 구성) ① 관리기관의 장은 소관 주요정보통신기반시설의 보안업무를 총괄하는 전담조직을 구성하여 직제에 반영할 수 있다.② 관리기관의 장은 주요정보통신기반시설의 전담조직이 직무를 원활히 수행할 수 있도록 「공공분야 주요정보통신주요정보통신기반시설 보호대책 이행여부 확인 해설서」(이하 "해설서"라 한다)에 따른 국가정보원 권고 수준의 전담인력과 예산을 확보할 수 있도록 노력하여야 한다.

제8조(협의회 구성ㆍ운영) ① 장관은 주요정보통신기반시설의 보호와 관련된 다음 각 호의 사항을 협의하기 위하여 국토교통 정보통신기반 보호협의회(이하 "협의회"라 한다)를 구성ㆍ운영할 수 있다.1. 주요정보통신기반시설의 지정 및 취소, 지정 범위 조정2. 주요정보통신기반시설의 보호계획 및 보호대책 검토3. 주요정보통신기반시설 보호대책 이행점검 및 보호조치 명령4. 그 밖에 주요정보통신기반시설 보호와 관련하여 협의가 필요한 사항② 협의회의 장은 정보보호책임관으로 하고, 간사는 정보보호담당관으로 하며 위원은 관리기관의 정보보호책임자로 한다. 다만 협의회의 장이 필요하다고 인정하는 경우는 외부 정보보호전문가를 위원으로 위촉할 수 있다.

제9조(보호지침의 수립) ① 관리기관의 장은 법 제10조에 따라 장관이 수립한 주요정보통신기반시설 보호지침(이하 "보호지침"이라 한다)을 준수하여야 한다.② 관리기관의 장은 소관 주요정보통신기반시설의 특성 및 제어ㆍ정보시스템 운영환경 등을 고려하여 자체 보호지침을 수립하고, 이를 준수하여야 한다.③ 관리기관은 제2항에 따른 자체 보호지침을 수립하거나 개정할 때에는 기관장의 결재를 받아야 하며, 관계법령, 보호지침, 보안 가이드라인 등의 변경사항이 반영되도록 자체 보호지침을 최신화하여야 한다.

제10조(주요정보통신기반시설 지정 등) ① 장관은 법 제8조제1항에 따라 소관분야의 정보통신기반시설 중 다음 각 호의 사항을 고려하여 전자적 침해행위로부터의 보호가 필요하다고 인정되는 정보통신기반시설을 주요정보통신기반시설로 지정할 수 있다.1. 해당 정보통신기반시설을 관리하는 기관이 수행하는 업무의 국가 사회적 중요성2. 제1호에 따른 기관이 수행하는 업무의 주요정보통신기반시설에 대한 의존도3. 다른 주요정보통신기반시설과의 상호연계성4. 침해사고가 발생할 경우 국가안전보장과 경제사회에 미치는 피해규모 및 범위5. 침해사고의 발생가능성 또는 그 복구의 용이성② 장관은 제1항의 각 호를 고려하여 소관 분야 정보통신기반시설을 대상으로 주요정보통신기반시설 지정을 위한 전수조사를 실시할 수 있다.③ 장관이 주요정보통신기반시설 지정여부를 결정하기 위해 해당 관리기관에 필요한 자료를 요구하는 경우 해당 관리기관은 협조하여야 한다.④ 장관은 관리기관이 해당업무를 폐지ㆍ정지 또는 변경하는 경우에는 직권 또는 해당 관리기관의 신청에 의하여 주요정보통신기반시설의 지정을 취소할 수 있다.⑤ 장관은 제1항 및 제4항에 따라 지정 또는 지정 취소를 하고자 하는 경우에는 법 제3조의 정보통신기반보호위원회(이하 "위원회"라 한다)의 심의를 받아야 한다. 이 경우 위원회는 지정 또는 지정 취소의 대상이 되는 관리기관의 장을 위원회에 출석하게 하여 그 의견을 들을 수 있다.⑥ 장관은 제1항 및 제4항에 따라 주요정보통신기반시설을 지정 또는 지정 취소한 때에는 이를 고시하여야 한다. 다만, 국가안전보장을 위하여 필요한 경우에는 위원회의 심의를 받아 이를 고시하지 아니할 수 있다.⑦ 관리기관의 장은 제1항에 따라 지정된 소관 주요정보통신기반시설에 대해 별지 제1호서식에 따라 자산관리대장을 작성하고, 정확성 및 최신성이 유지될 수 있도록 관리하여야 한다.⑧ 그 밖에 주요정보통신기반시설 지정과 관련된 세부적인 사항은 국가정보원ㆍ과학기술정보통신부에서 발행ㆍ배포하는 「주요정보통신기반시설 지정ㆍ평가기준 가이드라인」을 따른다.

제11조(취약점 분석ㆍ평가) ① 관리기관의 장은 법 제9조에 따라 소관 주요정보통신기반시설에 대한 취약점 분석ㆍ평가를 매년 실시하여야 한다.② 관리기관의 장은 제1항에도 불구하고 소관 정보통신기반시설이 주요정보통신기반시설로 새로이 지정된 경우에는 6개월 이내에 취약점 분석ㆍ평가를 실시하여야 한다. 다만, 관리기관의 장은 주요정보통신기반시설 지정 후 6개월 이내에 취약점 분석ㆍ평가를 시행하지 못할 특별한 사유가 있는 경우에는 장관의 승인을 받아 지정 후 9개월 이내에 실시하여야 한다.③ 장관은 다음 각 호의 어느 하나에 해당하는 경우 관리기관의 장에게 주요정보통신기반시설의 취약점을 분석ㆍ평가하도록 명령할 수 있다.1. 새로운 형태의 전자적 침해행위로부터 주요정보통신기반시설을 보호하기 위하여 필요한 경우2. 주요정보통신기반시설에 중대한 변화가 발생하여 별도의 취약점 분석ㆍ평가가 필요한 경우④ 관리기관의 장은 취약점을 분석ㆍ평가하려는 경우에는 법 제9조제3항에 따라 취약점을 분석ㆍ평가하는 전담반을 구성하여야 한다.⑤ 관리기관의 장은 제1항에서 제3항에 따라 취약점을 분석ㆍ평가하려는 경우에는 다음 각 호의 하나에 해당하는 기관으로 하여금 소관 주요정보통신기반시설의 취약점을 분석ㆍ평가하게 할 수 있다. 다만, 이 경우 제4항에 따른 전담반을 구성하지 않을 수 있다.1. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제52조의 규정에 의한 한국인터넷진흥원2. 법 시행령 제19조제1항이 정하는 기준을 충족하는 정보공유ㆍ분석센터3. 「정보보호산업의 진흥에 관한 법률」 제23조에 따라 지정된 정보보호 전문서비스 기업4. 「과학기술분야 정부출연연구기관 등의 설립ㆍ운영 및 육성에 관한 법률」 제8조의 규정에 의한 한국전자통신연구원⑥ 관리기관의 장이 취약점 분석ㆍ평가를 실시하는 경우에는 취약점 분석ㆍ평가의 범위, 항목, 방법 및 절차 등에 관한 구체적인 사항은 법 제9조제5항에 따라 과학기술정보통신부에서 고시한 「주요정보통신기반시설 취약점 분석ㆍ평가 기준」을 따른다.

제12조(취약점 보완조치) ① 관리기관의 장은 제11조에 따른 취약점 분석ㆍ평가결과를 반영하여 적극적으로 취약사항을 보완ㆍ조치하여야 한다.② 관리기관의 장은 취약사항에 대하여 조치가 불가능한 경우에는 제작사 권고문 또는 그에 상응하는 증빙자료 등을 보관하고, 보안대책을 마련ㆍ시행하여야 한다.

제13조(보호대책 수립 및 이행) ① 관리기관의 장은 법 제5조제1항에 따라 보호대책을 수립하여 매년 8월 말일까지 장관에게 제출하여야 한다.② 관리기관의 장은 법 제9조에 따라 실시한 취약점 분석ㆍ평가의 결과를 반영하여 보호대책을 수립하여야 한다. 다만, 관리기관의 장은 제14조제1항에 따른 자체 점검을 실시한 경우에는 그 실시한 결과를 함께 반영할 수 있다.③ 관리기관의 장은 제1항의 보호대책에 해당 주요정보통신기반시설의 보안강화를 위한 실효성 있는 추진과제를 포함하여야 하며, 반드시 이를 이행하여야 한다.④ 장관은 제1항의 보호대책을 검토하기 위하여 관리기관의 장에게 취약점 분석ㆍ평가 결과를 함께 제출하도록 할 수 있다.⑤ 장관은 취약점 분석ㆍ평가 결과 등에 따라 필요한 경우 관리기관의 장에게 보호대책을 보완하도록 요청할 수 있다.

제14조(보호대책 이행점검) ① 장관은 관리기관을 대상으로 보호대책에 대한 이행점검을 실시할 수 있으며 필요시 관리기관으로 하여금 자체 이행점검 후 그 결과를 제출하도록 할 수 있다.② 장관은 보호대책 이행점검 실시 결과, 보완이 필요하다고 판단되는 관리기관에 대하여 개선을 권고할 수 있다.

제15조(보호조치 명령) ① 장관은 법 제11조에 따라 다음 각 호의 어느 하나에 해당하는 경우 해당 관리기관의 장에게 주요정보통신기반시설의 보호에 필요한 조치를 하도록 명령할 수 있다.1. 제13조제1항에 따라 제출받은 주요정보통신기반시설 보호대책을 분석하여 별도의 보호조치가 필요하다고 인정하는 경우2. 제14조제1항에 따라 주요정보통신기반시설 보호대책의 이행 여부를 분석하여 별도의 보호조치가 필요하다고 인정하는 경우

제16조(침해사고 예방대책 수립) 관리기관의 장은 소관 주요정보통신기반시설을 보호하기 위하여 침해사고 예방대책을 수립할 때에는 다음 각 호의 사항을 반영하여야 한다.1. 시스템ㆍ네트워크 관리 및 보호에 관한 대책2. 정보보호시스템 설치ㆍ운용에 관한 대책3. 백업ㆍ복구 대책4. 악성코드 방지 대책5. 접근통제에 관한 대책6. 그 밖에 소관 주요정보통신기반시설의 침해사고 예방을 위해 필요한 사항

제17조(침해사고 연락체계의 구축) 관리기관의 장은 소관 주요정보통신기반시설에 대한 전자적 침해사고가 발생한 경우 신속히 대응하고 관계기관에 알리기 위하여 필요한 연락체계를 구축하여야 한다. 이 경우연락체계에는 국가정보원, 국토교통부, 수사기관 또는 한국인터넷진흥원 등을 포함하여야 한다.

제18조(침해사고의 통지) ① 관리기관의 업무종사자는 전자적 침해사고의 징후가 있거나 전자적 침해사고의 발생을 인지한 때에는 이를 즉시 정보보호책임자에게 보고하여야 한다.② 정보보호책임자는 소관 주요정보통신기반시설에 대한 전자적 침해사고의 발생ㆍ징후를 인지하거나 제1항에 따라 보고를 받은 때에는 국가정보원, 국토교통부, 수사기관 및 한국인터넷진흥원에 그 사실을 즉시 통지하고 필요한 응급조치를 하여야 한다.③ 정보보호책임자는 제2항에 따른 침해사고를 통지할 경우 별지 제2호서식을 작성하여 제출하여야 한다.

제19조(침해사고 대응ㆍ복구대책) ① 관리기관의 장은 소관 주요정보통신기반시설에 대한 침해사고가 발생한 때에는 침해사고대응반을 구성하여 해당 주요정보통신기반시설의 대응 및 복구에 필요한 조치를 신속히 취하여야 한다.② 관리기관의 장은 제1항에 따른 복구 및 보호조치를 위하여 필요한 경우 장관 또는 한국인터넷진흥원의 장에게 지원을 요청할 수 있다. 다만, 법 제7조제2항에 해당하는 경우에는 국가정보원장에게 그 지원을 우선적으로 요청하여야 한다.③ 관리기관의 장은 전자적 침해사고 발생에 따른 침해사고 대응ㆍ복구대책을 수립하는 경우에는 다음 각 호의 사항을 반영하여야 한다.1. 침해사고 정의 및 범위2. 침해사고 대응ㆍ복구절차 및 방법3. 침해사고 발생 시 응급조치사항4. 침해사고 복구 장비 및 자원 조달5. 업무종사자별 주요임무 및 역할6. 관계기관 연락망(유지보수 업체 포함)7. 그 밖에 소관 주요정보통신기반시설의 침해사고 대응조치를 위해 필요한 사항

제21조(교육의 실시) ① 관리기관의 장은 전담인력의 전문성 제고를 위해 해설서에 따른 국가정보원 권고수준의 외부 전문기관 교육을 이수하도록 하여야 한다.② 관리기관의 장은 주요정보통신기반시설의 보호를 위한 절차ㆍ방법 및 전담인력 변경, 신규 장비 도입 등이 있을 경우 자체적으로 교육을 실시하여 주요정보통신기반시설의 안정적 운영에 차질이 없도록 하여야 한다.

제22조(훈련의 실시) ① 관리기관의 장은 업무종사자가 제19조에 따른 침해사고 대응ㆍ복구에 관한 절차 및 방법을 정확하고 자세하게 알 수 있도록 필요한 훈련을 정기적으로 실시하여야 한다. 이 경우 관리기관의 장이 필요하다고 인정하는 때에는 다른 관리기관과 공동으로 훈련을 실시할 수 있다.② 관리기관의 장은 대응ㆍ복구훈련을 실시한 결과를 반영하여 필요 시 대응ㆍ복구 절차 및 방법을 수정ㆍ보완하여야 한다.

제23조(외주 용역사업 보안관리) ① 관리기관의 장은 주요정보통신기반시설 관련 사업 및 보안컨설팅 수행 등 외주 용역사업을 계약하거나 종료할 때에는 각각 보안서약서와 보안확약서를 제출받고 다음 각 호의 사항을 계약서에 명시하여야 한다.1. 중요 정보 취급에 대한 비밀 유지 서약2. 용역업체가 준수해야 할 보안준수 사항 및 위반 시 손해배상 책임3. 누출금지 대상정보 및 부정당업자의 제재조치4. 시스템 접근 권한에 대한 승인 절차 준수5. 참여인력의 임의교체 금지6. 보안관리에 대한 감사 권한 등② 관리기관의 장은 용역업체의 전산망을 주요정보통신기반시설망 및 기관 업무망과 분리 구성하여야 하며 용업업체 직원이 사용하는 PC는 인터넷 연결을 금지하여야 한다. 다만, 인터넷 연결이 필요한 경우에는 별도의 PC를 지정하여 제한적으로 이용하도록 관리기관이 통제하여야 한다.③ 관리기관의 장은 용역업체 직원의 계정을 개인별로 부여하고 계정별로 시스템 접근권한을 차등 부여하여야 한다.④ 관리기관의 장은 주요정보통신기반시설 관련 용역사업에 대해 분기별 보안점검을 실시하고 용역사업 참여업체 직원을 대상으로 분기별 보안교육을 실시하여야 한다.

제24조(업무종사자의 준수사항) 관리기관의 장은 업무종사자가 다음 각 호의 사항을 준수하도록 하여야 한다.1. 주요정보통신기반시설의 보호책임에 관한 사항2. 비밀유지 및 비밀서약에 관한 사항3. 주요정보통신기반시설 보호관련 법령 및 지침 등의 준수에 관한 사항

제25조(비밀유지의무) 관리기관의 장은 소관 주요정보통신기반시설의 운용ㆍ관리 또는 취약점 분석ㆍ평가 등 보호에 관한 업무를 전문기관 또는 업체에 위탁하는 경우에는 해당 기관 또는 업체의 업무종사자에게 법 제27조에 따른 비밀유지의무를 준수하도록 필요한 조치를 하여야 한다.

제26조(관리기관간 협조) 관리기관의 장은 소관 주요정보통신기반시설의 보호를 위하여 국토교통부 소관 다른 관리기관과 다음 각 호의 사항에 관하여 상호 협조할 수 있다.1. 주요정보통신기반시설의 보호와 관련된 정보의 공유2. 침해사고 예방 및 대응ㆍ복구를 위한 상호협력 및 지원3. 취약점 및 침해요인과 관련된 정보의 공유4. 그 밖에 소관 주요정보통신기반시설의 보호를 위하여 상호협력이 필요한 사항

제27조(다른 규정과의 관계) 관리기관의 장은 주요정보통신기반시설 보호업무를 수행하면서 이 지침에서 구체적으로 정하지 않은 사항에 관해서는 다음 각 호의 규정 및 지침 등을 따른다.1. 「정보통신기반 보호법」 및 같은 법 시행령2. 「전자정부법」 및 같은 법 시행령3. 「보안업무규정」4. 「국가 정보보안 기본지침」5. 「국가사이버안전관리규정」6. 「국토교통부 정보보안업무규정」7. 해당 연도의 「주요정보통신기반시설 보호계획ㆍ대책 수립지침」8. 그 밖에 정보보호관련 법령 및 지침ㆍ가이드ㆍ매뉴얼

제28조(재검토기한) 장관은 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 이 훈령에 대하여 2025년 7월 1일을 기준으로 매 3년이 되는 시점(매 3년째의 6월 30일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 해야 한다.