공정거래위원회 정보보안시행세칙 (훈령, 공정거래위원회)
공포일: 20230414 / 시행일: 20230414

제1조(목적) 이 세칙은 「국가 정보보안 기본지침」(국가정보원)(이하 "기본지침"이라 한다)에 의거 공정거래위원회(이하 "위원회"라 한다) 정보보안과 관련한 기본업무 및 세부사항을 정함을 목적으로 한다.

제5조(용어 정의) 이 세칙에서 사용하는 용어의 정의는 다음과 같다.1. "정보보안"이라 함은 각급기관의 기능 유지를 주 목적으로 정보통신망 및 정보시스템을 통해 수집, 가공, 저장, 검색, 송ㆍ수신되는 정보의 유출, 위ㆍ변조, 훼손 등을 방지하기 위하여 관리적ㆍ물리적ㆍ기술적 수단을 강구하는 일체의 행위로서 다음 각 목에 따른 사항을 포함한다.가. 「국가정보원법」 제4조제1항제4호에 따른 사이버공격 및 위협에 대한 예방 및 대응나. 「전자정부법」 제56조에 따른 정보통신망과 행정정보 등의 보안다. 「정보통신기반 보호법 시행령」 제5조제4항제1호 각 목에 해당하는 주요정보통신기반시설의 보호라. 「공공기록물 관리에 관한 법률 시행령」 제5조에 따른 전자기록물의 보안마. 「국가사이버안전관리규정」 제2조제3호에 따른 사이버안전2. "정보보안담당관"이라 함은 기관의 정보보안업무를 총괄하기 위하여 기관의 장이 임명한 사람을 말한다.3. "정보통신망"이라 함은 「사이버안보 업무규정」 제2조제1호에 따른 정보통신망을 말한다.4. "내부망"이라 함은 위원회가 기관의 업무수행을 위하여 인터넷과 별도로 분리하여 구축한 업무 전용(專用) 정보통신망을 말한다.5. "기관 인터넷망"이라 함은 위원회가 소속 공무원 등의 업무 활용 또는 공개서버 운용을 주(主)목적으로 인터넷과 연동하여 구축한 정보통신망을 말한다.6. "상용 인터넷망"이라 함은 위원회가 기관 인터넷망과 별개로 소속 공무원 등이나 민원인 등의 보편적인 편의성을 위하여 인터넷에 연동하여 구축한 정보통신망을 말한다.7. "정보시스템"이라 함은 정보의 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송신ㆍ수신 및 그 활용과 관련되는 기기와 소프트웨어의 조직화된 체계로 「전자정부법」제2조제13호에 따른 정보시스템을 말한다.8. "휴대용 저장매체"라 함은 CDㆍ외장형 하드디스크ㆍUSB메모리 등 정보를 저장할 수 있는 것으로 PCㆍ서버 등의 정보시스템과 분리할 수 있는 기억장치를 말한다.9. "정보화사업"이라 함은 「전자정부법」제2조제13호의 규정에 따른 정보시스템을 기획ㆍ도입ㆍ구축ㆍ운영ㆍ유지보수하거나 정보시스템감리, 전자정부사업관리의 위탁 등을 하기 위한 사업을 말한다.10. "정보화사업담당관"이라 함은 소관 부서의 정보화사업을 추진 또는 수행하는 부서의 장을 말한다.11. "업무자료"라 함은 다음 각 목의 어느 하나에 해당하는 것을 말한다.가. 「전자정부법」제2조제6호에 따른 행정정보 및 같은 법 제2조제7호에 따른 전자문서나. 「공공기록물 관리에 관한 법률 시행령」제2조제2호에 따른 전자기록물다. 기타 다른 법령에 의하여 공무원 등이 직무상 작성ㆍ취득하였거나 보유ㆍ관리하는 자료로서 전자적으로 처리되어 부호ㆍ문자ㆍ음성ㆍ음향ㆍ영상 등으로 표현된 것12. "비밀"이라 함은 업무자료 중에서 「보안업무규정」제4조에 따라 분류된 비밀을 말한다.13. "대외비"라 함은 업무자료 중에서 「보안업무규정 시행규칙」제16조제3항에 따라 분류된 대외비를 말한다.14. "비공개 업무자료"라 함은 비밀 및 대외비를 제외한 업무자료 중에서 다음 각 목의 어느 하나에 해당하는 자료 또는 정보를 말한다.가. 「공공기관의 정보공개에 관한 법률」제9조제1항에 따른 비공개 대상 정보나. 국회 소속 공무원(「국회의원수당 등에 관한 법률」제9조에 따른 보좌직원을 포함한다) 또는 「지방자치법」제30조에 따른 지방의회 소속 공무원의 직무상 요구에 따라 작성 또는 취득한 자료다. 가목에 따른 비공개 대상 정보의 주요 내용이 기술된 문장 또는 문구15. "공개 업무자료"라 함은 업무자료 중에서 비밀 및 대외비와 비공개 업무자료를 제외한 모든 자료 또는 정보(「공공데이터의 제공 및 이용 활성화에 관한 법률」 제19조에 따라 공표된 공공데이터를 포함한다)를 말한다.16. "정보통신실"이라 함은 서버ㆍ스위치ㆍ라우터ㆍ교환기 등 전산 및 통신장비 등이 설치ㆍ운용되는 장소 또는 전산실ㆍ통신실ㆍ데이터센터 등을 말한다.17. "정보보호시스템"이라 함은 「지능정보화 기본법」 제2조제15호에 따른 정보보호시스템을 말한다.18. "국가용 보안요구사항"이라 함은 「사이버안보 업무규정」 제9조제2항에 따른 정보보호시스템등의 도입ㆍ운영에 관한 보안대책의 일환으로 국가정보원장이 정하는 보안 관련 필수사항을 말한다.19. "보안적합성 검증"이라 함은 기본지침 제21조제1항제3호의 보안기능이 있는 정보통신제품에 대하여 실제 적용ㆍ운용 이전에 시험 등의 방법으로 안전성을 검증하는 활동을 말한다.20. "공무원 등"이라 함은 기관에 근무중인 다음 각 목의 어느 하나에 해당하는 사람을 말한다.가. 「국가공무원법」제2조에 따른 국가공무원나. 「지방공무원법」제2조에 따른 지방공무원다. 「교육공무원법」제2조에 따른 교육공무원라. 「병역법」제2조에 따른 상근예비역, 승선근무예비역, 사회복무요원, 공중보건의사, 공익법무관, 병역판정검사전담의사, 공중방역수의사 및 전문연구요원마. 공공기관 임직원바. 공무직 근로자 및 기간제 근로자21. "개별사용자"라 함은 기관의 장으로부터 정보통신망 또는 정보시스템에 대한 접근 또는 사용 허가를 받은 공무원 등과 기관의 장과 계약에 의하여 정보통신망 또는 정보시스템에 대한 접근 또는 사용 허가를 받은 사람을 말한다.22. "전자파 보안"이라 함은 정보통신시설 및 기기 등을 대상으로 전자파에 의한 정보유출을 방지하고 파괴ㆍ오작동 유발 등의 위협으로부터 정보를 보호하는 일체의 행위를 말한다.23. "대도청 측정"이라 함은 유ㆍ무선 도청탐지장비 등을 사용하여 은닉된 도청장치를 색출하거나 누설전자파(정보통신기기로부터 자유공간 또는 전도성 경로를 통해 비(非)의도적으로 누출되는 정보를 포함한 전자파) 등 각종 도청 위해(危害)요소를 제거하는 제반 활동을 말한다.24. "정보보안 관리실태 평가"라 함은 「사이버안보 업무규정」 제13조 및 「전자정부법」 제56조 등에 따라 각급기관의 국가정보보안 정책에 대한 이행여부를 확인하기 위하여 실시하는 평가를 말한다.25. "암호자재"라 함은 비밀의 보호 및 정보통신 보안을 위하여 암호기술이 적용된 장치나 수단으로 I급, II급 및 III급비밀 소통용 암호자재로 구분된다.26. "암호장비"라 함은 암호자재 중에서 국가정보원장이 승인하여 개발ㆍ제작ㆍ보급되는 하드웨어 형태의 암호자재를 말한다.27. "암호알고리즘"이라 함은 정보의 유출, 위ㆍ변조, 훼손 등을 방지하기 위하여 기밀성ㆍ무결성ㆍ인증ㆍ부인방지 등의 기능을 제공하는 수학적 논리를 말한다.28. "암호가 주기능인 제품"이라 함은 암호알고리즘을 사용해 정보의 암ㆍ복호화를 주된 목적ㆍ기능으로 하는 제품을 말한다.29. "상용 암호모듈"이라 함은 암호알고리즘을 소프트웨어, 하드웨어, 펌웨어 또는 이를 조합한 형태로 구현한 것으로서 비밀이 아닌 업무자료를 보호하기 위하여 민간이 상용(商用)으로 판매하는 것을 말한다.30. "검증필 암호모듈"이라 함은 「사이버안보 업무규정」 제9조제2항 및 제3항, 「전자정부법 시행령」 제69조와 「암호모듈 시험 및 검증지침」(국가정보원 지침)에 따라 국가정보원장이 안전성을 확인하여 제22조에 따른 목록에 등재한 상용 암호모듈을 말한다.31. "사이버공격"이라 함은 「사이버안보 업무규정」 제2조제2호에 따른 행위를 말한다.32. "안보위해(危害) 공격"이라 함은 사이버공격 중에서 다음 각 목의 어느 하나에 해당하는 행위 또는 활동을 말한다.가. 국제 및 국가배후 해킹조직의 활동 등 사이버안보 위협 행위나. 국가안보와 국익에 반하는 북한, 외국 및 외국인ㆍ외국단체ㆍ초 국가행위자 또는 이와 연계된 내국인의 활동다. 「산업기술의 유출방지 및 보호에 관한 법률」제2조에 따른 국가핵심기술이거나 국가연구개발사업으로 개발한 산업기술 또는 「방위산업기술 보호법」제2조제1호에 따른 방위산업기술을 부정한 방법으로 취득하는 행위라. 「북한이탈주민의 보호 및 정착지원에 관한 법률 시행령」 제42조의2에 따른 보호대상자의 개인정보 유출 또는 신변을 위해(危害)할 우려가 있는 해킹마. 「국민보호와 공공안전을 위한 테러방지법」제2조제1호에 따른 테러행위바. 국제범죄조직에 의한 사이버공격사. 「형법」중 내란(內亂)의 죄, 외환(外患)의 죄, 「군형법」중 반란의 죄, 암호 부정사용의 죄, 「군사기밀 보호법」에 규정된 죄, 「국가보안법」에 규정된 죄에 해당되는 행위아. 국가기밀에 속하는 문서ㆍ자재ㆍ시설 및 지역에 관한 정보를 유출하거나 그 운영을 방해하는 행위자. 「전자정부법」제56조제3항에 따른 보안조치 대상 정보통신망에서 전자문서를 위조ㆍ변조ㆍ훼손ㆍ절취하여 국가의 독립, 영토의 보전, 헌법과 법률의 기능, 헌법에 의하여 설치된 국가기관의 유지에 위해를 초래하는 행위차. 「정보통신기반 보호법」제3조에 따라 공공분야 실무위원회가 담당하는 주요정보통신기반시설 또는 같은 법 제7조제2항 각 호에 따른 주요정보통신기반시설에 대한 같은 법 제12조에 따른 침해행위33. "보안관제"라 함은 사이버공격을 실시간으로 즉시 탐지 및 분석, 대응하는 일련의 활동을 말한다.34. "보안관제센터"라 함은 일정한 수준의 시설 및 장비와 이를 운영하기 위한 전문 또는 전담인력을 갖추고 보안관제업무를 수행하는 조직을 말한다.35. "국가보안관제체계"라 함은 「사이버안보 업무규정」 제14조제1항에 따른 정부보안관제체계를 포함하여 국가정보원장이 각급기관의 장과 합동으로 보안관제를 실시하거나, 사이버공격 탐지ㆍ대응 조치 이행여부 확인을 위하여 구축ㆍ운영하는 실시간 탐지ㆍ대응체계를 말한다.36. "부문보안관제센터"라 함은 「사이버안보 업무규정」 제14조제2항에 따라 설치ㆍ운영되는 보안관제센터 중에서 다음 각 목에 해당하는 기구를 말한다.가. 중앙행정기관의 장이 해당 기관 및 관할 하급기관의 정보통신망을 대상으로 운영하는 보안관제센터나. 「책임운영기관의 설치ㆍ운영에 관한 법률」 제4조제1항에 따라 설치된 국가정보자원관리원의 장이 국가기관ㆍ지방자치단체의 공동 활용을 위하여 운영하는 정보통신망(이하 "국가정보통신망"이라 한다) 및 국가정보자원관리원에 입주한 기관의 정보시스템을 대상으로 운영하는 보안관제센터다. 행정안전부장관이 지방자치단체의 정보통신망을 대상으로 운영하는 보안관제센터라. 「전자정부법」 제54조제3항에 따라 행정안전부장관이 지정한 통합관리기관이 운영하는 보안관제센터마. 교육부장관이 시ㆍ도 교육청의 정보통신망을 대상으로 운영하는 보안관제센터바. 한국인터넷진흥원이 운영하는 침해사고대응센터37. "취약점"이라 함은 사이버공격에 악용되어 관리자가 설정한 접근 권한外 정보를 열람ㆍ취득하게 하거나 보안기능을 회피 가능하게 하는 정보통신망ㆍ정보시스템의 결함을 말한다.38. "용역통제시스템"이라 함은 각종시스템에 접속ㆍ통제하며 개발ㆍ운영을 지원하는 시스템을 말한다. 단, 이 지침에서는 국가정보자원관리원 원격접근통제시스템과 위원회 접근제어시스템, 형상관리시스템, 시큐어코딩시스템만을 말한다.39. "클라우드컴퓨팅(Cloud Computing)"이란 직접ㆍ공유된 정보통신기기, 정보통신설비, 소프트웨어 등 정보통신자원을 이용자의 요구나 수요변화에 따른 정보통신망을 통하여 신축적으로 이용할 수 있도록 하는 정보처리체계를 말한다.40. "공공 클라우드센터"란 외교ㆍ안보, 수사ㆍ재판, 행정업무 처리 등 정보시스템을 통합관리하기 위해 각급기관 등의 장이 설치ㆍ운영중인 데이터센터를 말한다.

제6조(기본목표) 위원회 정보보안의 기본목표는 전자적 수단에 의한 각종 사이버공격으로부터 소관 정보통신망 및 정보시스템과 국가안보ㆍ국익과 관련된 정보(업무자료를 포함한다. 이하 같다)를 안전하게 보호하는 데 있다.

제7조(정보보안담당관의 지정) ① 위원회의 정보화담당관은 별도의 인사발령 없이 정보보안담당관이 된다. 다만, 정보보안담당관이 공석중일 때에는 정보화담당관실의 선임자(서기관ㆍ사무관)가 그 직무를 대행한다.② 정보보안담당관이 직무를 효율적으로 수행할 수 있도록 다음 각 호와 같이 각 부서의 장을 분임정보보안담당관으로 한다. 다만, 공석인 경우에는 그 부서의 선임자(서기관ㆍ사무관)가 지방사무소의 경우 직제 순에 의한 부서장이 그 직무를 대행한다.1. 본부 및 서울사무소: 각 담당관ㆍ과장ㆍ팀장2. 부산ㆍ광주ㆍ대전ㆍ대구사무소: 각 총괄과장③ 제4항에 따른 분임정보보안담당관은 소관 부서의 정보보안업무를 담당할 부서정보보안담당자를 지정ㆍ운영하여야 한다.

제8조(정보보안담당관 운영) ① 정보보안담당관은 효율적ㆍ체계적인 정보보안 업무를 수행하기 위하여 정보보안 전문지식을 보유한 인력을 확보하고 관련 전담조직을 구성 운영하여야 한다. 다만, 전담조직을 별도로 구성하기 어려운 경우 정보화담당관 및 그 소속 직원으로 전담조직을 갈음할 수 있다.② 정보보안담당관은 다음 각 호에 해당하는 업무를 전담한다.1. 정보보안 정책ㆍ계획의 수립ㆍ시행 및 정보보안내규 제ㆍ개정2. 정보보안 전담조직 관리, 전문인력 및 관련예산 확보3. 정보화사업 보안성 검토 및 보안적합성 검증 총괄4. 정보통신실, 정보통신망 현황자료 등에 관한 보안관리 총괄5. 소관 주요정보통신기반시설 보호6. 사이버공격 대응훈련 및 정보보안 관리실태 평가 총괄7. 보안관제, 사고대응 및 정보협력 업무 총괄8. 정보보안교육 총괄 및 ‘사이버보안진단의 날’ 계획 수립ㆍ시행9. 위원회 및 산하기관에 대한 정보보안감사ㆍ방문점검10. 산하기관의 정보보안업무 감독11. 부서 분임정보보안담당관 업무 감독12. 그 밖에 정보보안과 관련한 사항

제9조(연도 추진계획 수립) ① 정보보안담당관은 매년 위원회 및 산하기관에 대한 "연도 정보보안업무 추진계획"(「국가사이버안전관리규정」제9조에 따른 사이버안전대책을 포함한다. 이하 "추진계획"이라 한다)을 1.31限 수립ㆍ시행하여야 한다.② 제1항의 경우 정보보안담당관은 추진계획을 [서식 제1호]에 따라 작성할 수 있다. 이 경우 정보보안담당관은 산하기관의 장에게 자체 추진계획의 수립 및 제출을 요구할 수 있다.③ 분임정보보안담당관 및 산하기관의 장은 제1항의 추진계획에 포함할 자체 정보보안업무 추진계획이 있는 경우는 제1항의 기준일로부터 10일 이전에 정보보안담당관에게 제출하여야 한다.

제10조(정보보안감사 등) ① 정보보안담당관은 위원회 본부와 소속기관 및 산하기관을 대상으로 연1회 이상 정보보안감사를 실시하여야 하며 특별히 개선, 보완 등을 요하는 사항이 있을 때에는 시정을 요구할 수 있다.② 정보보안감사는 정기 또는 불시감사와 수시감사로 구분하여 실시하고, 보안업무규정에 따른 국가보안감사와 병행하여 실시하거나 필요에 따라서는 국가보안감사와 별개로 실시할 수 있다.③ 정보보안담당관은 제1항에 따른 정보보안감사를 실시할 경우 제87조제1항 각 호의 사항을 활용할 수 있다.④ 정보보안담당관은 정보보안 감사의 효율적 수행을 위하여 국가정보원장에게 감사 방향, 감사 중점사항, 감사관 지원 등 업무협조를 요청할 수 있다.⑤ 정보보안담당관은 정보보안감사 이외 위원회 및 산하기관의 정보보안업무에 필요한 경우 정보보안 점검방문을 실시할 수 있으며, 점검방문의 대상, 주관기관 및 방식은 제1항부터 제4항까지를 준용한다.⑥ 정보보안담당관은 정보보안 감사 결과 정보보안 업무에 대한 유공이 인정될 경우 위원장에게 표창을 추천할 수 있다.

제11조(정보보안교육) ① 정보보안담당관은 정보보안에 대한 경각심을 제고하기 위하여 정보보안 교육계획을 수립하여 연1회 이상 소속 공무원 등을 대상으로 교육(온라인 교육을 포함한다)을 실시하여야 한다.② 위원회 소속 공무원 등은 부득이한 사정이 없는 한 제1항에 따른 정보보안교육을 연1회 이상 이수하여야 한다.③ 정보보안담당관은 자체 실정에 맞는 교육자료를 작성 활용하여야 하며 필요한 경우 국가정보원장에게 자료 또는 강사 지원 등 협조를 요청할 수 있다.④ 정보보안담당관은 분임정보보안담당관 및 정보보안업무 담당자등의 업무 전문성을 제고하고 소속 공무원 등의 정보보안 지식을 함양하기 위하여 전문기관의 교육 이수나 학술회의 참가 등을 장려하여야 한다. 이 경우 운영지원과장은 교육훈련 과정의 발굴 및 교육지원 등에 협조하여야 한다.

제12조(사이버보안진단의 날) ① 위원회는 매월 세 번째 수요일을 기본지침 제10조에 따른 ‘사이버보안진단의 날’로 지정ㆍ운영한다. 다만 공휴일 등의 경우에는 공휴일 등이 끝나는 다음날에 실시한다.② 분임정보보안담당관은 정보보안담당관 총괄 하에 ‘사이버보안진단의 날’에 소속 부서의 정보통신망과 PC 등 정보시스템의 보안 취약여부 확인 등 보안진단을 실시하고 진단결과 취약점은 개선 조치하여야 한다.③ 정보보안담당관은 제2항의 보안 취약점 여부 확인 등 보안진단에 필요한 PC용 진단프로그램 및 보안진단 체크리스트를 보급하고 분임정보보안담당관은 이를 활용하여야 한다.④ 정보보안담당관은 ‘사이버보안진단의 날’ 운영의 실효성을 제고하기 위하여 부서별 ‘사이버보안진단의 날’ 진단실적을 부서 조직성과평가(BSC)에 반영할 수 있다.

제13조(보안책임) ① 정보통신망 또는 정보시스템을 개발ㆍ구축ㆍ운용ㆍ유지 보수하는 사업(「지능정보화 기본법」 제11조제1항에 따른 지능정보화계획에 따른 사업을 포함한다. 이하 "정보화사업"이라 한다)을 담당하는 정보화사업담당관은 해당 정보화사업에 대한 보안관리를 수행하여야 한다.② 정보화사업담당관은 해당 정보화사업에 대한 보안관리 책임을 지고 관리ㆍ감독하여야 한다.③ 정보보안담당관은 위원회 정보화사업과 관련한 보안대책의 적절성을 평가하고 정보화사업 수행 전반에 대하여 보안대책의 이행여부를 점검하여 필요한 경우 정보화사업담당관에게 시정을 요구할 수 있다.

제14조(보안대책 수립) 정보화사업담당관은 정보통신망 또는 정보시스템을 구축ㆍ운영하기 위한 정보화사업 계획을 수립할 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다.1. 보안관리체계(조직, 인원 등) 구축 등 관리적 보안대책2. 설치ㆍ운영장소 보안관리 등 물리적 보안대책3. 정보통신망 또는 정보시스템의 구성요소별 기술적 보안대책4. 국가정보원장이 개발하거나 안전성을 확인한 암호자재, 검증필 암호모듈 및 정보보호시스템 도입ㆍ운용계획5. 긴급사태 대비 및 재난복구 계획6. 용역업체 작업장소에 대한 보안대책7. 온라인 개발 또는 온라인 유지보수가 필요하다고 판단할 경우, 제32조 원격지에서의 온라인 개발 또는 제53조에 따른 지정단말기를 통한 온라인 유지보수 보안대책8. 누출금지정보 보안관리 방안

제15조(제안요청서 기재사항) ① 정보화사업담당관은 용역업체에 정보화사업을 발주하기 위하여 제안요청서를 작성할 경우 다음 각 호의 사항을 포함하여야 한다.1. 용역업체 작업장소에 대한 보안요구사항2. 온라인 개발 또는 온라인 유지보수가 필요하다고 판단할 경우, 제32조 원격지에서의 온라인 개발 또는 제53조에 따른 지정단말기를 통한 온라인 유지보수 보안대책3. 누출금지정보 목록4. 용역업체가 누출금지정보를 제외한 소프트웨어 산출물을 제3자에게 제공하고자 할 경우 발주자의 승인절차② 제1항제3호에 따른 누출금지정보 목록을 작성할 경우 다음 각 호의 사항을 포함하여야 한다.1. 공정거래위원회 정보시스템 내ㆍ외부 IP주소 현황2. 정보시스템 구성 현황 및 정보통신망 구성도3. 개별사용자의 계정ㆍ비밀번호 등 정보시스템 접근권한 정보4. 정보통신망 또는 정보시스템 취약점 분석ㆍ평가 결과물5. 정보화사업 용역 결과물 및 관련 프로그램 소스코드(외부에 유출될 경우 국가안보 및 국익에 피해가 우려되는 중요 용역사업에 해당)6. 암호자재, 암호가 주 기능인 제품 및 정보보호시스템 도입ㆍ운용 현황7. 정보보호시스템 및 네트워크장비 설정 정보8. 「공공기관의 정보공개에 관한 법률」제9조제1항에 따라 비공개 대상 정보로 분류된 공정거래위원회의 내부문서9. 「개인정보보호법」제2조제1호에 따른 개인정보10. 「보안업무규정」제4조에 따른 비밀 및 「보안업무규정 시행규칙」제16조제3항에 따른 대외비11. 위원회 소관 법률에 따라 법위반 조사 등 진행중인 사건조사 정보12. 그 밖에 위원장이 공개가 불가하다고 판단한 자료

제16조(검토 시기 및 절차) ① 정보화사업담당관은 정보화사업을 수행하고자 할 경우 정보화사업과 관련한 보안대책을 수립하고 그 적절성을 평가하기 위하여 사업 계획단계(사업 공고 전)에서 보안성 검토 절차를 이행하여야 한다.② 정보화사업담당관은 보안대책을 수립하고 제1항에 따른 보안성 검토를 정보보안담당관에게 의뢰하여야 하며, 이 경우 정보보안담당관은 제15조제1항 및 제2항에 따른 보안성 검토 기관의 장에게 검토를 의뢰하거나 자체적으로 실시하여야 한다.③ 보안성 검토는 서면 검토를 원칙으로 하며 보안성 검토 기관의 장이 필요하다고 판단하는 경우 현장 확인을 병행 실시할 수 있다.

제17조(검토 기관) ① 국가정보원장은 다음 각 호에 해당하는 정보화사업에 대하여 보안성 검토를 실시한다. 다만, 국가정보원장이 정보화사업의 규모ㆍ중요도 등을 고려하여 위원장에게 보안성 검토를 위임한 경우에는 정보보안담당관이 보안성 검토를 실시한다.1. 비밀ㆍ대외비를 유통ㆍ관리하기 위한 정보통신망 또는 정보시스템 구축2. 국가정보원장이 개발하거나 안전성을 확인한 암호자재를 적용하는 정보통신망 또는 정보시스템 구축3. 외교ㆍ국방 등 국가안보상 중요한 정보통신망 또는 정보시스템 구축4. 100만명 이상의 개인에 대한 「개인정보보호법」상 민감정보 또는 고유식별정보를 처리하는 정보시스템 구축5. 주요정보통신기반시설로 지정이 필요한 정보통신기반시설 구축6. 기본지침 제53조의2에 따른 제어시스템 도입7. 재난관리ㆍ국민안전ㆍ치안유지ㆍ비상사태 대비 등 국가위기 관리와 관련한 정보통신망 또는 정보시스템 구축8. 국가정보통신망 등 여러 기관이 공동으로 활용하기 위한 정보통신망 또는 정보시스템 구축9. 행정정보, 국가지리, 환경정보 등 국가 차원의 주요 데이터베이스 구축10. 정상회의, 국제회의 등 국제행사를 위한 정보통신망 또는 정보시스템 구축11. 내부망 또는 폐쇄망을 인터넷 또는 다른 정보통신망과 연동하는 사업12. 내부망과 기관 인터넷망을 분리하는 사업13. 통합데이터센터ㆍ보안관제센터 구축14. 제5조제5호에 따른 기관 인터넷망 등 소속 공무원 등이 업무상 목적으로 활용하도록 하기 위한 인터넷망(제45조제1항제1호에 따른 업무용 무선랜 형태를 포함한다) 및 이동통신망(HSDPA, WCDMA, LTE, 5G 등)의 구축15. 기본지침 제59조제4항에 따른 원격근무시스템 구축16. 「전자정부법」 제54조의2 및 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제20조에 따라 클라우드컴퓨팅서비스제공자의 클라우드컴퓨팅서비스(이하 "민간 클라우드컴퓨팅서비스"라 한다)를 이용하는 사업17. 남북 회담 및 협력사업 등을 위한 북한지역 내 정보통신망 또는 정보시스템 구축18. 외국에 개설하는 사무소 운영을 위한 정보통신망 또는 정보시스템 구축19. 첨단 정보통신기술을 활용하는 정보화사업으로서 국가정보원장이 해당 기술에 대하여 안전성 확인이 필요하다고 지정하는 사업② 정보보안담당관은 위원회 및 산하기관이 추진하는 다음 각 호에 해당하는 정보화사업에 대하여 보안성 검토를 실시한다. 다만, 산하기관이 추진하는 제10호부터 제14호까지에 해당하는 정보화사업에 대한 보안성 검토는 정보보안담당관과 사전 협의를 통해 산하기관이 자체적으로 실시할 수 있다.1. 제1항 단서에 따라 국가정보원장으로부터 보안성 검토를 위임받은 사업2. 홈페이지 및 웹메일 등 웹기반 정보시스템 구축3. 인터넷전화시스템 구축4. 다른 기관의 정보통신망 또는 정보시스템과 연동하여 정보의 소통 또는 서비스를 제공하는 정보시스템 구축5. 제5조제6호에 따른 상용 인터넷망(제45조제1항제2호 또는 제3호에 따른 무선랜 형태를 포함한다)의 구축6. 내부망에 구축하는 공무원 등의 인사ㆍ복지시스템7. 주요정보통신기반시설 취약점 분석ㆍ평가, 정보보안컨설팅 등 용역사업8. 기존 분리된 내부망ㆍ기관 인터넷망간 자료전송시스템 구축 등 후속사업9. 대규모 백업ㆍ재해복구센터 구축10. 제47조제1항에 따른 영상회의시스템을 내부망 또는 기관 인터넷망과 분리하여 구축하는 경우11. 제82조에 따른 영상정보처리기기를 같은 조 제3항 본문에 따라 인터넷과 분리하여 구축하는 경우12. 백업시스템 구축13. 대민(대민) 콜센터시스템 구축14. 기타 해당 기관의 장이 필요하다고 판단하는 정보통신망 또는 정보시스템 구축③ 산하기관의 장은 제2항 단서조항에 따라 자체 보안성 검토를 실시한 경우 보안성 검토 결과를 위원회 정보보안담당관에게 통보하여야 한다.

제18조(검토 생략) ① 다음 각 호에 해당하는 정보화사업에 대하여는 보안성 검토 절차의 이행을 생략할 수 있다. 이 경우 정보화사업담당관은 관련 매뉴얼ㆍ가이드라인 등을 준수하는 등 자체 보안대책을 수립ㆍ시행하여야 한다.1. 제16조제1항 및 제2항 각 호의 정보화사업에 해당하지 아니하는 단순 장비ㆍ물품 도입2. 제16조에 따른 보안성 검토를 거쳐 완료한 정보화사업에 대하여 정보통신망 구성을 변경하지 아니하는 범위 내에서 다음 각 목의 사항을 포함한 후속운영ㆍ유지보수ㆍ컨설팅(단일 회선의 이중화는 본 호를 적용함에 있어 정보통신망 구성의 변경이 아닌 것으로 본다)가. 서버ㆍ스토리지ㆍ네트워크장비 등 장비 노후화로 인한 단순 장비 교체나. 전화기ㆍ무전기ㆍCCTV 등 통신ㆍ영상기기의 노후화로 인한 단순 장비 교체다. 기존 운용하던 정보보호시스템을 동일한 보안기능을 보유한 다른 정보보호시스템으로 교체3. 다년도에 걸쳐 계속되는 사업으로써 사업 착수 당시 보안성 검토를 완료한 후 사업 내용의 변동 없이 계속 추진하는 운영ㆍ유지사업4. PCㆍ프린터 및 상용 소프트웨어 등 단순 제품 교체② 정보화사업담당관은 제1항제2호부터 제4호까지에 해당하는 정보화사업을 수행할 경우 기존 보안성 검토결과를 준수하여야 한다.

제19조(제출 문서) 제15조제1항에 따라 보안성 검토를 의뢰할 경우 다음 각 호의 사항이 포함된 문서를 제16조에 따른 검토기관의 장에게 제출하여야 한다.1. 사업계획서(사업목적 및 추진계획을 포함한다)2. 제안요청서3. 정보통신망 구성도(필요시 IP주소체계를 추가한다)4. 자체 보안대책5. 보안성 검토 요청서

제20조(검토결과 조치) ① 정보화사업담당관은 제16조에 따라 보안성 검토결과를 통보받은 경우 검토결과를 반영하여 보안대책을 보완하여야 한다.② 제16조에 따른 보안성 검토 기관의 장은 제1항에 따른 검토결과 반영여부를 확인하기 위하여 현장 점검을 실시할 수 있다.

제22조(정보통신제품 도입) ① 정보화사업담당관은 정보 및 정보통신망 등을 보호하기 위하여 보안기능이 있는 다음 각 호의 정보통신제품을 도입할 수 있다.1. 기본지침 제21조제1항에 따라 국가정보원장이 안전성을 검증한 제품2. 비밀이 아닌 업무자료의 암ㆍ복호화를 목적으로 한 경우 [별표 2] 암호가 주기능인 제품 도입요건을 만족하는 제품3. 제1호 및 제2호에 해당하지 않는 정보통신제품 중에서 국가정보원장이 별도로 공지하는 도입요건을 만족하는 제품4. 제품유형의 특성상 보안기능의 비중이 미미하여, 각급기관의 장이 자유롭게 도입ㆍ운용이 가능한 ‘단순 보안기능 제품유형’으로 국가정보원장이 공지한 제품5. 기본지침 제97조의3 제2항에 따라 취약 정보통신제품을 긴급 대체하기 위하여 도입하는 제품② 제1항제3호에 해당하는 제품은 실제 적용ㆍ운용 이전에 제2장제5절에 따른 보안적합성 검증을 받아야 한다.③ 제1항제5호에 해당하는 긴급 대체 제품을 도입한 기관의 장은 빠른 시일내에 원(原) 제품과 동일 수준의 안전성 확인이 이루어질 수 있도록, 대체 제품에 대하여 제1항제1호 및 제2호에 따른 도입요건을 갖추도록 하거나 제3호 및 제2장제5절에 따른 보안적합성 검증 절차를 거치도록 하여야 하며, 필요시 국가정보원장에게 추가적인 검증을 요청할 수 있다.

제23조(암호모듈 도입) ① 정보화사업담당관은 상용암호모듈을 도입하고자 하는 경우 국가정보원장이 안정성을 확인한 검증필 암호모듈을 도입하여야 한다.② 제1항에도 불구하고 암호모듈을 개발하려 할 경우에는 ‘암호모듈 시험 및 검증지침’을 준수하여야 한다.

제24조(영상정보처리기기 도입) 기본지침 제89조제1항에 따른 영상정보처리기기를 도입하고자 하는 부서의 장은 한국정보통신기술협회(TTA)의 공공기관용 보안 성능품질 인증 등 일정한 보안성능이 확인된 제품을 도입하여야 한다.

제25조(도입현황 제출) ① 정보보안담당관은 매 분기마다 해당 분기 내에 도입한 제22조에 따른 정보통신제품에 대하여 [서식 제3호]에 따라 도입 확인서(현황)와 국가정보원장이 기본지침 제146조제2항의 방식으로 배포하는 제품유형별 운용점검사항을 매 분기 말까지 국가정보원장에게 제출하여야 한다.② 정보화사업담당관 및 산하기관은 제1항에 따른 정보통신제품 도입현황 자료를 매 분기 말(분기 10일 전)까지 정보보안담당관에게 제출하여야 한다.

제26조(상용소프트웨어 도입) 정보화사업담당관은 「상용소프트웨어 제3자단가계약 추가특수조건」(조달청 지침) 제2조제2호에 따른 제3자단가계약으로 상용소프트웨어를 도입하고자 할 경우, 같은 지침 제10조제4항에 따른 판매중지 여부에 유의하여야 한다.

제27조(계약 특수조건) ① 정보화사업담당관은 「국가를 당사자로 하는 계약에 관한 법률 시행령」제76조제1항제3호다목에 따른 정보통신망 또는 정보시스템 구축 및 유지보수 등의 계약 이행과정에서 정보통신망 또는 정보시스템에 허가 없이 접속하거나 무단으로 정보를 수집할 수 있는 비인가 프로그램을 설치하거나 그러한 행위에 악용될 수 있는 정보통신망 또는 정보시스템의 약점을 고의로 생성 또는 방치하는 행위 등을 금지하는 내용의 계약 특수조건을 계약서에 명시하여야 하며 계약기간(하자 보증기간을 포함한다) 내에 발생한 보안약점 등에 대해서는 계약업체로 하여금 개선 조치하도록 하여야 한다.② 정보화사업담당관은 용역업체로부터 제1항과 관련한 행위가 없다는 「정보화사업 보안관리 가이드라인」의 대표자 명의의 확약서를 요구할 수 있다.

제28조(용역업체 보안) ① 정보화사업담당관은 용역업체에 정보화사업을 발주할 경우 다음 각 호의 보안사항을 준수하도록 계약서에 명시하여야 한다.1. 제14조제1항 각 호에 따른 제안요청서에 포함된 사항2. 제31조에 따른 원격지 개발, 제32조에 따른 원격지에서의 온라인 개발, 제53조에 따른 온라인 유지보수를 허용할 경우 보안 준수사항3. 소프트웨어 개발보안에 필요한 사항4. 사업 참여인원의 보안관련 준수사항과 위반할 경우 손해배상 책임에 관한 사항5. 사업 수행과 관련한 보안교육, 보안점검 및 사업기간 중 참여인원 임의 교체 금지6. 정보통신망 구성도ㆍIP주소 현황 등 업체에 제공하는 자료는 「정보화사업 보안관리 가이드라인」의 자료 인계인수대장을 비치하여 보안조치 후 인계ㆍ인수하고 무단 복사 및 외부반출 금지7. 업체의 노트북ㆍ휴대용 저장매체 등 관련 장비는 반출ㆍ입시마다 악성코드 감염여부, 누출금지정보 무단 반출여부 등 점검8. 사업 종료 시 업체의 노트북ㆍ휴대용 저장매체 등 관련 장비는 저장자료 복구가 불가하도록 완전 삭제9. 사업 종료 시 누출금지정보 전량 회수10. 그 밖에 위원장이 보안관리가 필요하다고 판단하는 사항 또는 국가정보원장이 보안조치를 권고하는 사항② 정보화사업담당관은 비밀 및 중요 용역사업을 수행할 경우 용역업체 참여인원이 다음 각 호에 해당되는 사실을 알게 된 경우 교체를 요구하여야 한다.1. 「국가공무원법」제33조제3호부터 제6의4호까지에 해당하는 사람2. 「국가를 당사자로 하는 계약에 관한 법률」제27조제1항 각 호의 행위를 한 사람③ 정보화사업담당관(또는 용역사업자)는 사업단계별 다음 각 호에 대해서 정보보안담당관에게 제출하여야 한다.1. 사업착수(인력투입) : 사업현황(기간, 업체, 장소, 인력), 보안책임자, 용역감독자 보안서약서, 참여인력 보안서약서2. 사업중(매월) : 자체 보안점검 결과(시스템 접근 이력, 작업내용 점검 포함, 비공개자료 인수인계 점검, 정보시스템 반출입 점검), 참여인력 정보보안 교육 결과3. 사업종료 : 대표자명의 보안확약서, 용역업자 비밀엄수 서약서, 저장장치 완전삭제 확인서④ 용역사업자가 자료를 반출입할 때에는 자료교환시스템을 통해 정보화사업담당자의 사전 승인을 얻어야 한다.⑤ 정보화사업담당관은 다음 각 호에 따른 보안 준수사항의 이행여부를 정기 또는 수시로 점검(불시 점검을 포함한다)하고 미비점을 발견한 경우 용역업체로 하여금 시정조치 하도록 하여야 한다. 이 경우 정보화사업담당관이 점검한 후 그 결과를 정보보안담당관에게 통보하여야 한다.1. 제1항에 따라 계약서에 명시된 보안 준수사항2. 제30조에 따른 발주기관내 작업장소 보안 준수사항3. 제31조에 따른 원격지 개발보안 및 제32조에 따른 원격지에서의 온라인 개발시 보안 준수사항4. 제52조에 따른 정보시스템 유지보수 및 제53조에 따른 온라인 유지보수시 보안 준수사항⑥ 정보화사업담당관은 사업착수 전까지 용역업체 참여인원을 대상으로 다음 각 호의 사항을 포함한 정보보안교육을 실시하여야 한다.1. 법적 또는 발주기관 규정에 따른 비밀유지 의무 준수2. 위반 시 처벌내용3. 누출금지 대상정보 및 정보 누출 시 부정당업자 제재조치4. 사업 참여자에 대한 「정보화사업 보안관리 가이드라인」의 보안서약서 징구⑦ 정보화사업담당관은 용역업체가 사업수행과 관련한 정보시스템(개발용 서버ㆍPC)을 반출ㆍ입하는 경우 악성코드 감염여부 및 자료 무단 반출여부 확인 등 보안조치를 실시하고 「정보화사업 보안관리 가이드라인」의 정보시스템 반출ㆍ입대장에 수기 또는 전자적으로 기록 관리하여야 한다.⑧ 정보화사업담당관은 용역사업자 점검항목을 활용하여 사업을 수행하는 용역업체 인원 등을 대상으로 정기적으로 보안점검을 실시하여야 한다. 다만, 점검결과 용역사업 참여인원 등의 위규사항을 적발한 경우에는 정보보안담당관에게 즉시 통보하여야 한다.⑨ 정보화사업담당관은 제3항 및 제4항에 따른 점검 결과 시정조치가 어렵다고 판단할 경우 제31조에 따른 원격지 개발, 제32조에 따른 원격지에서의 온라인 개발 또는 제53조에 따른 지정 단말기를 통한 온라인 유지보수 허가를 취소할 수 있다.⑩ 정보화사업담당관은 제32조에 따른 원격지에서의 온라인 개발, 제53조에 따른 지정 단말기를 통한 온라인 유지보수를 허용하고자 할 경우에는 용역통제시스템만을 이용하여야 한다.⑪ 정보보안담당관은 위원회 및 소속ㆍ산하기관에 대하여 용역업체 보안관리 실태점검을 실시할 수 있으며, 필요한 경우 국가정보원장에게 지원을 요청할 수 있다.⑩ 그 밖에 용역업체 보안과 관련한 사항은 국가정보원장이 배포한 「국가ㆍ공공기관 용역업체 보안관리 가이드라인」을 준수하여야 한다.

제29조(소프트웨어 개발보안) ① 정보화사업담당관은 정보시스템을 개발할 경우 「전자정부법」제45조 및 「행정기관 및 공공기관 정보시스템 구축ㆍ운영지침」(행정안전부 고시) 제50조부터 제53조까지에 따라 보안약점이 발생하지 아니하도록 개발(이하 "소프트웨어 개발보안"이라 한다)하고 정보시스템 감리 등을 통해 보안약점을 진단하여야 한다.② 정보화사업담당관은 정보시스템을 개발할 경우 위원회에 도입되어 있는 형상관리 및 시큐어코딩을 사용하며 다음 각 호의 사항을 준수하여야 한다.1. 모든 소스코드는 형상관리에 등록하여야 한다.2. 소스코드 배포는 시큐어코딩으로 검사 후 형상관리을 통하여 서버에 배포하여야 한다.3. 형상관리의 관리(배포, 소스관리 등) 기능은 내외부망서버를 불문하고 내부망에서 관리하여야 한다.

제30조(발주기관내 작업장소 보안) ① 정보화사업담당관은 발주기관내(위원회가 임차한 외부 사무실을 포함한다) 용역업체 작업장소를 설치할 경우 보안 통제가 가능한 공간을 마련, 운영하여야 한다.② 정보화사업담당관(또는 용역사업자)은 다음 각 호에 대해 정보보안담당관에게 보안성 검토를 받아야 한다.1. 개발장소(출입통제, CCTV 등)2. 네트워크 구성3. 내부망 PC 현황4. 인터넷PC 현황5. 접근이 필요한 시스템 및 권한 현황6. 허용할 웹사이트 현황7. 용역사업 진행에 필요한 보안대책 등③ 정보보안담당관은 제2항의 보안성검토 결과에 따라 이행점검을 수시로 할 수 있다.④ 정보화사업담당관은 용역업체가 발주기관내 작업장소에서 개발 작업을 수행하더라도 개발용 서버가 민간 클라우드컴퓨팅서비스를 이용하는 등으로 원격지에 위치할 경우 원격지 개발로 간주하고 제1항에 따른 보안대책을 수립ㆍ시행하여야 한다.

제31조(원격지 개발보안) ① 「소프트웨어 진흥법」 제49조제3항 및 제4항, 「소프트웨어사업 계약 및 관리감독에 관한 지침」 제14조에 따라 용역업체가 발주기관 이외의 장소(이하 "원격지"라 한다)에서 개발 작업(유지보수는 제외한다)을 수행하고자 요청할 경우 제15조제1항제1호에 따른 용역업체 작업장소에 대한 보안요구사항 등을 포함한 관리적ㆍ기술적 보안대책을 수립ㆍ시행하여야 한다. 이 경우 정보화사업담당관(용역사업자)은 다음 각 호를 포함한 보안대책을 수립한 후 정보보안담당관의 승인을 받아야 한다.1. 개발장소(출입통제, CCTV 등)2. 네트워크 구성3. 내부망 PC 현황4. 인터넷PC 현황5. 접근이 필요한 시스템 및 권한 현황6. 허용할 웹사이트 현황7. 용역사업 진행에 필요한 보안대책 등② 정보보안담당관은 제28조제8항에 따라 이행점검을 수시로 할 수 있다.③ 원격지내 정보시스템은 개발 작업을 위하여 필요한 경우 해당 정보화사업담당관의 보안통제하에 인터넷에 연결할 수 있다.④ 제3장 정보통신망 및 정보시스템 보안을 준수하여 내부개발과 동일수준 이상으로 보안정책을 마련ㆍ적용하여야 한다.

제32조(원격지에서의 온라인 개발) ① 제31조에 따른 원격지 개발에서 위원회가 필요하다고 판단하고 용역업체가 다음 각 호에 따른 보안대책에 동의하는 경우에 한하여, 원격지에서 인터넷을 통해 발주기관 정보시스템에 온라인 접속한 상태의 개발 작업을 허용할 수 있다.1. 지정된 단말기에서만 접속 및 해당 단말기에 대한 접근인원 통제2. 지정 단말기의 망은 인터넷망과 별도로 구성되어야 하며 위원회에서 제공하는 VPN을 통해 용역통제시스템 접속 전용(專用)으로 운용3. 용역통제시스템을 경유하여 개발에 필요한 정보시스템에 접속하는 등 소통구간 보호ㆍ통제4. 접속사실이 기록된 로그기록을 1년 이상 보관5. 계약 시행일로부터 종료 후 30일이 경과하는 날까지의 기간 중에 발주기관 및 국가정보원장의 정기 또는 수시 보안점검(불시 점검을 포함한다) 수검6. 기타 국가정보원장이 배포한「국가ㆍ공공기관 용역업체 보안관리 가이드라인」에서 제시된 온라인 개발에 관련된 보안대책의 준수② 제3장 정보통신망 및 정보시스템 보안을 준수하여 내부개발과 동일수준 이상으로 보안정책을 마련ㆍ적용하여야 한다.

제33조(소프트웨어 산출물 제공) ① 정보화사업담당관은 용역업체가 「소프트웨어 진흥법」 제59조 및 「(계약예규)용역계약일반조건」 (기획재정부 계약예규) 제56조에 따른 지식재산권을 행사하기 위하여 소프트웨어 산출물의 반출을 요청할 경우 제안요청서 또는 계약서에 명시된 누출금지정보에 해당하지 아니하면 제공하여야 한다. 다만, 제공 후 정보보안담당관에게 제공현황을 통지하여야 한다.② 정보화사업담당관은 제1항에 따라 소프트웨어 산출물을 용역업체에 제공할 경우 소프트웨어 산출물에 포함되어 있는 누출금지정보를 완전 삭제하여야 하며 업체로부터 누출금지정보가 완전 삭제되었다는 대표자 명의의 확약서를 받아야 한다.③ 정보화사업담당관은 용역업체가 소프트웨어 산출물을 제3자에게 제공하고자 할 경우 제공하기 이전에 승인을 받도록 하여야 한다.④ 그 밖에 소프트웨어 산출물 제공과 관련한 사항은 「소프트웨어사업 계약 및 관리감독에 관한 지침(과학기술정보통신부 고시)」 제32조를 준수하여야 한다.

제34조(누출금지정보 유출시 조치) ① 정보화사업담당관은 용역업체가 제안요청서 또는 계약서에 명시된 누출금지정보를 유출한 사실을 알게 된 경우 업체를 대상으로 계약 위반에 따른 조치를 취하여야 한다. 이 경우 정보보안담당관을 거쳐 위원장에게 보고하여야 한다.② 제1항에 따라 용역업체의 누출금지정보 유출 사실을 알게되거나 보고를 받은 경우 그 사실을 국가정보원장에게 통보하여야 하고 직접 「국가를 당사자로 하는 계약에 관한 법률 시행령」제76조에 따라 입찰 참가자격 제한 등 관련조치를 취하여야 한다.

제35조(대상 제품) 정보화사업담당관은 제22조제1항제3호에 따른 보안기능이 있는 정보통신제품을 도입하는 경우 실제 적용ㆍ운용 이전에 안전성을 확인하기 위하여 보안적합성 검증을 받아야 한다.

제36조(검증 기관) ① 제35조에 따른 보안적합성 검증을 받고자 할 경우 다음 각 호의 기관(이하 "검증기관"이라 한다)의 장에게 검증을 신청하여야 한다.1. 위원회 본부 및 소속기관: 국가정보원2. 산하기관(주요정보통신기반시설 관리기관은 제외한다): 공정거래위원회② 제1항에도 불구하고 검증기관이 필요하다고 판단하는 경우 검증신청 기관의 장과 협의하여 자체적으로 검증을 실시하게 할 수 있다.

제37조(검증 신청) ① 정보화사업담당관은 보안적합성 검증을 신청할 경우 검증기관의 장에게 [별표 3] 보안적합성 검증 신청시 제출물에 해당하는 문서 등을 제출하여야 한다.② 제1항에 따라 정보화사업담당관은 검증기관이 필요하다고 판단하여 추가 자료를 요청한 경우 이를 제출하여야 한다.

제38조(안전성 시험) ① 검증 기관은 제38조에 따라 제출된 문서 내용의 적절성을 검토한 후 검증대상 제품에 대하여 보안기능 정상 동작여부 등 안전성을 시험한다. 이 경우 검증기관의 장은 시험에 필요한 사항을 추가로 요청할 수 있다.② 검증 기관은 제2항에 따른 안전성 시험 등 관련 업무를 시험기관에 의뢰할 수 있다.③ 검증 기관은 검증대상 제품의 제출 지연 등의 사유로 시험을 진행할 수 없을 경우 검증 절차를 중단할 수 있다.④ 시험기관은 제2항에 따라 의뢰받은 시험을 완료한 경우 그 결과를 검증기관에게 통보한다.

제39조(검증결과 통보 및 조치) ① 검증기관은 제34조에 따른 시험 결과를 토대로 제품의 안전성을 종합 검토한 검증결과를 검증신청 기관에게 통보한다.② 제1항에 따라 검증결과를 통보받은 정보화사업담당관은 해당 조치를 실시하고 그 결과를 검증기관에게 통보하여야 한다.

제40조(취약점 조치) ① 정보화사업담당관은 보안적합성 검증이 완료된 제품에서 새로운 취약점이 발견된 경우 이를 제거 또는 보완하고 그 결과를 정보보안담당관을 경유하여 국가정보원장에게 통보하여야 한다.② 국가정보원장은 보안적합성 검증이 완료된 제품에서 새로운 취약점이 발견된 경우 해당 제품을 도입ㆍ운용중인 제품에 대해 정보보안담당관에게 취약점의 제거 또는 보완조치를 요청할 수 있다.③ 제2항에 따라 요청을 받은 정보보안담당관은 취약점의 제거 또는 보완조치를 실시하고 그 결과를 국가정보원장에게 통보하여야 한다.

제41조(형상변경 및 용도변경시 조치) 보안적합성 검증이 완료된 제품의 보안기능 등 현상 변경이 필요하거나 도입 목적 이외 용도로 운용이 필요한 경우 검증기관과 협의하여 재검증 등 필요한 조치를 취하여야 한다.

제42조(내부망ㆍ인터넷망 분리) ① 정보화사업담당관은 내부망과 기관 인터넷망을 분리ㆍ운영하여야 한다.② 내부망과 기관 인터넷망을 분리ㆍ운영하고자 할 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다.1. 침입차단ㆍ탐지시스템 설치 등 비(非)인가자 침입 차단대책2. 네트워크 접근관리시스템 설치 등 비(非)인가자 장비의 내부망 접속 차단 대책3. 내부망 정보시스템의 인터넷 접속 차단대책4. 내부망과 기관 인터넷망간 안전한 자료전송 대책5. 기타 국가정보원장이 배포한 「국가ㆍ공공기관 업무전산망 분리 및 자료 전송 보안가이드라인」에서 제시하는 보안대책③ 정보통신망 관리자는 정보시스템에 부여되는 IP주소를 체계적으로 관리하여야 하며 비(非)인가자로부터 내부망을 보호하기 위하여 네트워크주소변환기능(NAT)를 이용하여 사설 IP주소체계를 구축ㆍ운영하여야 한다. 또한 IP주소별로 정보시스템 접속을 통제하여 비(非)인가 기기에 의한 내부망 접속을 차단하여야 한다.④ 정보통신망 관리자는 분리된 내부망과 기관 인터넷망간 자료전송을 위한 접점이 불가피한 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다.1. 침입차단ㆍ탐지시스템 설치ㆍ운용2. 내부망과 기관 인터넷망간 접점 최소화3. 내부망과 기관 인터넷망간 일방향 전송장비 등을 이용한 자료전송체계(망연계시스템)를 구축ㆍ운영하고 원본파일은 3개월 이상, 전송기록은 6개월 이상 유지4. 정기적으로 전송실패 기록을 확인하고 악성코드 유입여부 등 점검5. 내부망 자료를 기관 인터넷망으로 전송할 경우 분임정보보안담당관의 사전 또는 사후 승인절차 마련⑤ 위원회 본부 및 소속기관은 제1항에도 불구하고 예산 부족 등 사유로 부득이한 경우 국가정보원장과 협의하여 내부망과 기관 인터넷망을 분리하지 아니할 수 있다. 이 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다.1. 정보시스템 및 개별사용자 PC 영역 등에 대한 접근 통제대책2. 인터넷 PC의 악성코드 감염 최소화를 위한 인터넷 사용 통제대책3. 인터넷 PC의 악성코드 감염에 따른 내부망으로의 피해확산 차단대책4. 사이버공격 탐지ㆍ대응 등 안전한 업무환경을 위한 보호대책⑥ 정보통신망 관리자는 내부망과 기관 인터넷망의 IP주소 현황을 정기적으로 확인하고 갱신하여야 한다.⑦ 본 조에 따른 보안대책은 「공공데이터의 제공 및 이용 활성화에 관한 법률」 제17조에 따른 국민제공 공공데이터 범위 산정에는 영향을 미치지 아니하며, 국민에게 제공하는 공공데이터의 범위를 축소하는 것으로 해석하여서는 아니된다.

제43조(클라우드컴퓨팅 보안) ① 각급기관의 장은 클라우드컴퓨팅(공공 클라우드 센터를 포함)을 자체 구축ㆍ운영하고자 할 경우 국가정보원장이 배포한 「국가ㆍ공공기관 클라우드 컴퓨팅 보안 가이드라인」 에 명시된 기관 자체 클라우드컴퓨팅 구축 보안기준에 따라 보안대책을 수립ㆍ시행하여야 한다.② 정보화사업담당관은 민간 클라우드컴퓨팅서비스를 이용하고자 할 경우 다음 각 호에 해당하는 사항을 준수하여야 한다.1. 국내에 위치한 정보시스템(인증서버, 로그 및 백업서버 등)ㆍ관리주체에 의해 데이터가 저장ㆍ관리되는 서비스의 이용2. 다음 각목의 요건에 따라 일반 이용자용 서비스와 영역이 분리되어 제공되는 서비스(이하 "공공 전용(專用) 민간 클라우드"라 한다)의 이용가. 영역 분리는 일반 이용자용 서비스와 데이터 및 프로세스 등의 간섭없이 국가정보원 및 이용기관의 보안관제, 사고조사, 예방보안활동 유지를 위한 제반 환경을 만족해야 함나. 영역 분리는 ‘시스템 중요도’에 따라 물리적 또는 논리적으로 구현다. ‘시스템 중요도’ 분류는 [별표4]의 기준 준용3. 국가정보원장이 배포한 「국가 클라우드 컴퓨팅 보안 가이드라인」에서 정하는 바에 따라 국가정보원장이 게시하거나 게시 예정인 민간 클라우드컴퓨팅서비스 이용4. ‘내부망ㆍ인터넷망 분리’ 원칙 등 여타 보안 관련사항은 「국가정보보안기본지침」 및 「국가 클라우드 컴퓨팅 보안가이드라인」 준수5. 민간 클라우드컴퓨팅서비스 사업자와 계약시 해킹사고 및 장애 대응, 재발 방지 등에 필요한 조치를 위해 국가정보원 및 이용기관의 보안관제 및 사고조사, 사이버공격 및 위협에 대한 예방 및 대응활동 등에 적극 협조하도록 하는 내용의 명시③ 내부망과 연동된 공공 전용(專用) 민간 클라우드는 이 지침을 적용함에 있어 내부망으로 본다.④ 기관 인터넷망과 연동된 공공 전용(專用) 민간 클라우드는 이 지침을 적용함에 있어 기관 인터넷망으로 본다.⑤ 정보화사업담당관은 제2항에 따른 민간 클라우드컴퓨팅서비스를 이용하는데 있어 클라우드컴퓨팅서비스제공자에 의하여 누출금지정보가 유출된 경우 제34조에 따른 조치를 취하여야 한다.⑥ 제2항에 따라 정보화사업담당관이 이용하는 민간 클라우드컴퓨팅서비스의 제공자는 공공 전용(專用) 민간 클라우드 영역에 대해 정부 기관에 준하는 보안관리 책임을 진다.

제44조(보안ㆍ네트워크장비 보안) ① 보안ㆍ네트워크장비 관리자는 침입차단ㆍ탐지시스템, 스위치ㆍ라우터 등 위원회 정보통신망 구성 또는 위원회 정보보안 정책 전반에 영향을 미치는 보안ㆍ네트워크 장비를 설치ㆍ운용하고자 할 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다.1. 물리적으로 안전한 장소에 설치하여 비(非)인가자의 무단접근 통제2. 콘솔에서 관리함을 원칙으로 하되, 다음 각 목의 경우 청사 내 지정 단말기로부터의 접속 관리 허용가. 장비 관리자의 접속나. 제30조제1항 단서에 따른 발주기관내 용역업체 작업장소에서의 접속3. 최초 설치할 경우 디폴트(default) 계정은 삭제하거나 변경 사용하고 장비 관리를 위한 관리자 계정을 별도로 생성ㆍ운영4. 불필요한 서비스 포트와 개별사용자 계정은 차단 및 삭제5. 펌웨어 무결성과 컴퓨터 운영체계ㆍ소프트웨어의 취약점 및 버전 업데이트 여부를 정기적으로 점검하고 최신 버전으로 유지② 보안ㆍ네트워크장비 관리자는 보안ㆍ네트워크장비의 로그기록을 1년 이상 유지하여야 하고 비(非)인가자의 접속여부를 정기적으로 점검(월1회 이상)하여 그 결과를 정보보안담당관에게 보고하여야 한다.③ 보안ㆍ네트워크장비 관리자는 침입차단ㆍ탐지ㆍ방어규칙(rule)의 생성 근거를 유지하고 정기적으로 필요성 여부를 점검ㆍ갱신(월1회 이상)하여 그 결과를 정보보안담당관에게 보고하여야 한다.④ 보안ㆍ네트워크장비 관리자는 정보보안담당관과 협의하여 보안ㆍ네트워크장비의 로그기록을 위원회 보안관제시스템에 연계되도록 하여야 한다.

제45조(무선랜 보안) ① 정보화사업담당관은 내부망을 제외한 정보통신망에서 다음 각 호의 경우와 같이 청사 내에 무선랜(WiFi)을 구축ㆍ운용할 수 있다.1. 기관 인터넷망에 중계기(AP)를 설치하여 제73조제1항에 따라 위원회가 지급한 단말기의 접속만을 허용하는 업무용 무선랜2. 상용 인터넷망에 중계기(AP)를 설치하여 제78조제1항 각 호에 따라 반입한 공무원 등의 개인 소유 이동통신단말기의 접속만을 허용하는 무선랜3. 상용 인터넷망에 중계기(AP)를 설치한 외부인 전용(專用) 무선랜② 정보화사업담당관은 국가정보원장이 배포한「국가ㆍ공공기관의 무선랜 구축 및 RFID 보안가이드라인」을 준수하여 보안대책을 수립ㆍ시행하여야 한다.③ 제1항에 따른 보안대책을 수립할 경우 다음 각 호의 사항을 포함하여야 한다.1. 네트워크 이름(SSID) 브로드캐스팅(broadcasting) 금지2. 추측이 어렵고 복잡한 네트워크 이름(SSID) 사용3. WPA2 이상(256비트)의 암호체계를 사용하여 소통자료 암호화4. 비(非)인가 단말기의 무선랜 접속 차단 및 무선랜 이용 단말기를 식별하기 위한 IP주소 할당기록 등 유지5. IEEE 802X, AAA(Authentication Authorization Accounting) 등의 기술에 따라 상호 인증을 수행하는 무선랜 인증제품 사용6. 무선침입방지시스템 설치 등 침입 차단대책7. 기관의 내부망 정보시스템 또는 인접해 있는 다른 기관의 정보시스템이 해당 무선랜에 접속되지 아니하도록 하는 기술적 보안대책④ 분임정보보안담당관은 제2항 및 제3항에 따른 보안대책의 적절성을 수시로 점검ㆍ보완하여야 한다.

제46조(이동통신망 보안) ① 정보화사업담당관은 이동통신망(HSDPAㆍWCDMAㆍLTEㆍ5G 등)을 이용하여 시스템을 구축하거나 중요자료를 소통하고자 할 경우 암호화 및 비인가 단말기의 이동통신망 접속 차단 등 기술적 보안대책을 수립ㆍ시행하여야 한다.② 제1항에 따라 이동통신망을 이용한 시스템을 구축ㆍ운영할 경우 내부망 등 정보통신망과 혼용되지 않도록 하여야 한다.

제47조(영상회의 보안) ① 영상회의시스템을 구축ㆍ운용하고자 할 경우 통신망(국가정보통신망ㆍ전용(專用)선ㆍ인터넷 등) 암호화 등 보안대책을 수립ㆍ시행하여야 한다.② 기타 영상회의시스템 보안과 관련한 사항은 국가정보원장이 배포한 「안전한 정보통신 환경 구현을 위한 네트워크 구축 가이드라인」을 준수하여야 한다.③ 다음 각 호의 구분에 따라 상용 소프트웨어에 탑재된 영상회의 서비스를 이용할 수 있다.1. 비공개 업무자료를 취급하거나 회의 내용이 비공개 업무자료에 준하다고 판단할 경우 : 영상ㆍ음성ㆍ업로드 데이터가 국내 서버로만 전송되는 상용 영상회의 소프트웨어(이하 "국내 영상회의 솔루션"이라 한다)를 활용2. 공개 업무자료를 취급하거나, 회의 내용이 공개 업무자료에 준하다고 판단할 경우 : 국내 영상회의 솔루션 또는 그 밖의 영상회의 소프트웨어를 활용④ 전항 제1호에도 불구하고, 다음 각 호의 어느 하나에 해당하는 등 정당한 사유가 있는 경우 국가정보원장과 협의하여 국내 영상회의 솔루션 外의 소프트웨어를 일시적 또는 정기적으로 활용할 수 있다.1. 안보ㆍ국익상 필요한 외국기관(외국軍을 포함한다)과의 영상회의시에 상대방이 국내 영상회의 솔루션을 활용할 수 없거나, 상대방이 국내 영상회의 솔루션 外의 소프트웨어 활용을 제안할 경우2. 정책자문 등의 목적으로 민간인과 영상회의시에 상대방이 국내 영상회의 솔루션을 활용할 수 없는 경우⑤ 기타 영상회의 보안과 관련하여 국가정보원장이 배포한 「원격업무 통합보안매뉴얼」을 준수하여야 한다.

제48조(인터넷전화 보안) ① 인터넷전화시스템을 구축ㆍ운용하거나 민간 인터넷전화 사업자망을 이용하고자 할 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다.1. 한국정보통신기술협회(TTA) verified ver.4 이상 보안규격으로 인증받은 행정기관용 인터넷전화시스템 설치ㆍ운용2. 인터넷전화기에 대한 장치 및 사용자 인증3. 제어신호 및 통화내용 등 데이터 암호화4. 인터넷전화망과 다른 정보통신망과의 분리5. 인터넷전화 전용(專用) 침입차단시스템 등 정보보호시스템 설치ㆍ운용6. 백업체제 구축② 민간 인터넷전화 사업자망을 이용할 경우 해당 사업자로 하여금 서비스 제공 구간에 대한 보안대책을 수립하도록 하여야 한다.③ 기타 인터넷전화 보안과 관련한 사항은 국가정보원장이 배포한 「국가ㆍ공공기관 인터넷전화 보안 가이드라인」을 준수하여야 한다.

제49조(인터넷 사용제한) ① 정보보안담당관은 국가비상사태 및 대형 재해ㆍ재난의 발생, 사이버공격 등으로부터 정보통신망과 정보시스템의 정상적인 운영을 보장하기 위하여 소속 공무원 등에 대한 인터넷 사용을 일부 제한할 수 있다.② 정보보안담당관은 기관 인터넷망의 효율적인 운영 관리 및 악성코드 유입 차단을 위하여 게임ㆍ음란ㆍ도박 등 업무와 관련이 없는 인터넷 이용을 차단하여야 하며, 악성코드 유입 차단을 위하여 필요할 경우 제63조제4항에 따른 정보통신서비스의 접속을 제한할 수 있다.③ 제2항 단서에 따라 차단된 인터넷 접속이 필요한 경우 소속 부서의 분임정보보안담당관을 거쳐 정보보안담당관에게 허용 승인을 받아야 한다.④ 정보보안담당관은 제3항에 따른 요청이 있는 경우 접속대상, 접속기간 및 접속자와 접속하려는 단말기를 제한하여 승인할 수 있다. 다만, 접속을 허용하는 기간은 최대 1개월을 초과하여서는 아니 된다.⑤ 제3항 및 제4항에 따라 접속을 승인한 경우에도 불구하고 정보보안담당관은 악성코드 감염 등의 사이버공격이 의심되는 경우 즉시 차단 조치하여야 한다.

제50조(파견자용 정보통신망) ① 정보화담당관은 다른 기관에 파견된 소속 공무원 등의 활용을 위하여 파견기관 담당부서의 장과 협의하여 위원회 정보통신망 전용(專用) 단말기를 파견기관에 설치ㆍ운영할 수 있다.② 정보화담당관은 제1항에 따라 단말기를 설치할 경우 단말기와 위원회 정보통신망간 소통내용을 보호하여야 한다.③ 제1항에 따라 각급기관의 내부망과 연동된 단말기는 이 지침을 적용함에 있어 원(原) 소속 기관의 내부망 단말기로 본다.④ 제1항에 따라 위원회 내부망과 연동된 단말기는 이 지침을 적용함에 있어 위원회 내부망 단말기로 본다.

제51조(정보시스템 보안책임) ① 정보화사업담당관은 도입ㆍ운용하는 해당 정보시스템(PCㆍ서버ㆍ네트워크장비 등)에 대하여 관리책임자가 되며, 소속 부서의 공무원 등을 관리자로 지정ㆍ운영하여야 한다.② 제1항에도 불구하고 정보화담당관이 위원회 소속 공무원 등의 업무용으로 보급하여 개별사용자 또는 부서가 공용으로 사용하는 정보시스템(PCㆍ노트북ㆍ태블릿 기기ㆍ프린터기) 및 디지털복합기의 경우 관리책임자는 다음 각호와 같다.1. 본부 및 서울사무소: 각 담당관ㆍ과장ㆍ팀장2. 부산ㆍ광주ㆍ대전ㆍ대구사무소: 각 총괄과장③ 정보화사업담당관 및 관리자는 서버ㆍ네트워크장비 등 공동으로 사용하는 정보시스템의 운용ㆍ관리에 대한 보안책임을 진다.④ 정보시스템 관리자는 [서식 제4호]에 따른 정보시스템 관리대장을 수기 또는 전자적으로 작성ㆍ관리하여야 한다.⑤ 정보시스템 관리자는 정보시스템 변경사항(도입ㆍ사용ㆍ반납ㆍ불용, 관리자/취급자 변경 등)을 정보시스템 관리대장에 기록 보관하여야 하며 사본 1부를 정보보안담당관에게 제출하여야 한다.⑥ 정보보안담당관은 정보시스템 운영과 관련한 보안취약점의 발견, 보안대책 수립이 필요하다고 판단한 경우 정보화사업담당관 및 관리자, 개별사용자에게 개선 조치를 요구할 수 있으며 조치가 완료될 때까지 정보시스템의 운영 및 정보통신망 접속을 일시 제한할 수 있다.

제52조(정보시스템 유지보수) ① 정보화사업담당관은 다음 각 호의 사항을 고려하여 유지보수 절차, 주기, 문서화를 수립하여 운용하여야 한다.1. 유지보수 인원에 대한「정보화사업 보안관리 가이드라인」의 보안서약서 집행, 보안교육 등을 포함한 유지보수 인가 절차를 마련하고 인가된 인원만 유지보수에 참여2. 결함이 의심되거나 발생한 결함, 예방 및 유지보수에 대한 기록 유지3. 유지보수를 위하여 정보시스템을 원래 설치장소에서 다른 장소로 이동할 경우 통제수단 마련4. 유지보수 일시 및 담당자 인적사항, 출입통제 조치사항, 작업수행 내용 등 기록 유지② 정보시스템 관리자는 용역업체 등이 유지보수와 관련한 장비ㆍ도구 등을 제30조제1항에 따른 발주기관내 용역업체 작업장소로 반출ㆍ입할 경우 악성코드 감염여부 및 자료 무단 반출여부 확인 등 보안조치를 실시하고 그 결과를 분임정보보안담당관에게 제출하여야 한다.③ 정보시스템 관리자는 직접 또는 용역업체를 활용하여 정보시스템을 유지보수할 경우 콘솔 또는 지정된 단말기로부터의 접속만을 허용하여야 한다.④ 정보화사업담당관은 소관 정보시스템에 대하여 중요도ㆍ가용성 등에 따라 등급을 분류하고 해당 등급에 맞게 정보 보존 및 관리, 장애관리, 보안관리 등을 수행하여야 한다. 단, 국가정보자원관리원에 설치된 장비는 국가정보자원관리원과 맺은 SLA의 업무등급으로 대체할 수 있다.

제53조(지정 단말기를 통한 온라인 유지보수) ① 제52조제3항에 따른 지정된 단말기를 통해 유지보수를 함에 있어 소관 정보화사업담당관이 필요하다고 판단하고 용역업체가 다음 각 호에 따른 보안대책에 서면으로 동의하는 경우에 한하여, 용역업체에게 소관 정보시스템(제44조제1항에 따른 보안ㆍ네트워크장비를 제외한다)에 대하여 인터넷을 통한 온라인 유지보수를 허용할 수 있다.1. 지정된 장소에 설치된 지정된 단말기에서만 접속 및 해당 단말기에 대한 접근인원 통제2. 지정 단말기의 망은 인터넷망과 별도로 구성되어야 하며 위원회에서 제공하는 VPN을 통해 용역통제시스템 접속 전용(專用)으로 운용3. 용역통제시스템을 경유하여 유지보수 대상 정보시스템에 접속하는 등 소통구간 보호ㆍ통제4. 접속사실이 기록된 로그기록을 1년 이상 보관5. 유지보수 계약 시행일로부터 종료 후 30일이 경과하는 날까지의 기간 중에 위원회 및 국가정보원장의 정기 또는 수시 점검(불시 점검을 포함한다) 수검6. 기타 국가정보원장이 배포한 「국가ㆍ공공기관 용역업체 보안관리 가이드라인」에서 제시된 온라인 유지보수에 관련된 보안대책의 준수② 전항 제2호 및 제3호에도 불구하고 온라인 용역통제시스템이 구축되지 않은 정보화사업을 운용하는 정보화사업담당관은 온라인 유지보수를 즉시 실시하지 않고서는 기관 업무수행에 현저한 저해가 있다고 예상되는 경우에는 인터넷망 정보시스템에 한하여 직접 접속하는 온라인 유지보수를 일시적으로 허용할 수 있다.③ 기타 정보시스템 온라인 유지보수 보안과 관련한 사항은 제28조의 용역업체 보안을 준용한다.

제54조(서버 보안) ① 정보화사업담당관은 서버를 도입ㆍ운용하고자 할 경우 정보보안담당관과 협의하여 사이버 공격으로 인한 자료 절취 및 위ㆍ변조 등에 대비하여 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다.1. 서버에 접속시에는 용역통제시스템을 경유하여 시스템에 접속2. 서버 내 저장자료에 대하여 업무별ㆍ자료별 중요도에 따라 개별사용자의 접근권한 차등 부여3. 개별사용자별 자료 접근범위를 서버에 등록하여 인가여부를 식별하도록 하고 인가된 범위 이외 자료 접근통제4. 서버 운용에 필요한 서비스 포트 외에 불필요한 서비스 포트 제거 및 관리자용 서비스와 개별사용자용 서비스 분리ㆍ운용5. 관리자용 서비스 접속시 특정 IP주소가 부여된 관리용 단말기 지정ㆍ운용6. 서버 설정 정보 및 저장자료에 대한 정기적 백업 실시7. 데이터베이스에 대하여 개별사용자의 직접 접속 차단, 개인정보 등 중요정보 암호화 등 데이터베이스별 보안조치 실시8. 서버와 개별사용자PC의 통신구간에 암호화(웹서버SSL) 적용② 서버 관리자는 제1항에 따른 보안대책의 적절성을 수시 확인하여야 하며 연1회 이상 서버 설정 정보와 저장자료의 절취 및 위ㆍ변조 가능성 등 보안취약점을 점검ㆍ보완하여야 한다.

제55조(공개서버 보안) ① 정보화사업담당관은 외부인에게 공개할 목적으로 웹서버 등 공개서버를 구축ㆍ운용하고자 할 경우 내부망과 분리된 영역(DMZ)에 설치하여야 한다.② 정보보안담당관은 비(非)인가자의 공개서버 저장자료 절취 및 위ㆍ변조, 분산서비스거부(DDoS) 공격 등에 대비하여 침입차단ㆍ탐지시스템 및 DDoS 대응장비 설치 등 보안대책을 수립ㆍ시행하여야 한다.③ 공개서버 관리자는 비(非)인가자의 공개서버 내 비공개 정보에 대한 무단접근을 방지하기 위하여 서버에 접근할 수 있는 개별사용자를 제한하고 불필요한 계정은 삭제하여야 한다.④ 공개서버 관리자는 공개서버 서비스에 필요한 프로그램을 개발ㆍ시험하기 위하여 사용한 도구(컴파일러 등) 및 서비스와 관계가 없는 산출물은 개발 완료 후 삭제하여야 한다.⑤ 기타 공개서버 보안과 관련한 사항은 제54조(서버 보안)를 준용한다.

제56조(로그기록 유지) ① 정보시스템 관리자는 정보시스템의 효율적인 통제ㆍ관리 및 사고 발생시 추적 등을 위하여 로그기록을 유지ㆍ관리하여야 한다.② 제1항에 따른 로그기록에는 다음 각 호의 사항이 포함되어야 한다.1. 접속자, 정보시스템ㆍ응용프로그램 등 접속대상2. 로그온ㆍ오프, 자료의 열람ㆍ출력 등 작업 종류 및 작업 시간3. 접속 성공ㆍ실패 등 작업 결과4. 전자우편 사용 등 외부발송 정보 등③ 정보시스템 관리자는 로그기록을 생성하는 정보시스템의 경우 시간 동기화 프로토콜(NTP) 적용 등을 통해 정확한 기록을 유지하여야 한다.④ 정보시스템 관리자는 로그기록을 정기적으로 점검하고 점검결과 비인가자의 접속 시도, 자료의 위ㆍ변조 및 삭제 등 의심스러운 정황이나 위반한 사실을 발견한 경우 정보보안담당관에게 즉시 통보하여야 한다.⑤ 정보시스템 관리자는 로그기록을 1년 이상 보관하여야 하며 로그기록의 위ㆍ변조 및 외부유출 방지대책을 수립ㆍ시행하여야 한다.

제57조(업무용 통신단말기 보안) ① 업무용 통신단말기를 이용하여 업무자료 등 중요자료를 소통ㆍ관리하고자 할 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다.1. 통신단말기에 대한 장치 및 개별사용자 인증2. 제어신호 및 통화내용 등 데이터 암호화3. 분실ㆍ탈취ㆍ훼손 등에 대비한 관리적ㆍ물리적ㆍ기술적 보안대책② 제1항에 따른 보안대책을 수립하기 위하여 국가정보원장에게 취약점 점검 및 기술 지원을 요청할 수 있다.③ 제1항제1호에 따른 통신단말기 개별사용자를 대상으로 인증 및 암호화에 필요한 디지털정보를 발급할 수 없을 경우 국가정보원장이 배포한 「정보통신기기 암호기술 적용지침」을 준수하여야 한다.④ 정보보안담당관은 주요 보직자가 안전한 통화를 위하여 사용하는 공용(公用) 휴대폰(이하 "안보폰"이라 한다)을 사용하는 경우 소관 국의 총괄분임정보보안담당관은 안보폰이 분실ㆍ훼손되지 않도록 현황을 관리하여야 한다. 다만, 위원장, 부위원장, 상임위원 및 사무처장의 경우에는 운영지원과장이 현황을 관리하며, 조사관리관의 경우에는 조사총괄담당관이 현황을 관리하여야 한다.⑤ 정보보안담당관은 국가정보원장이 예외로 허용하는 운용방식 이외에는 기본지침 제118조에 따라 보안대책을 수립ㆍ시행하여야 한다.⑥ 정보보안담당관은 제4항에 따른 안보폰 사용 시 데이터 암호화 등을 위하여 필요한 소프트웨어의 설치ㆍ유지보수 등을 지원할 수 있다.

제58조(모바일 업무 보안) ① 정보화사업담당관은 휴대폰ㆍ태블릿 기기 등을 이용한 모바일 업무환경(내부 행정업무, 현장 행정업무 및 대민서비스 업무 등)을 구축ㆍ운용하고자 할 경우 보안대책을 수립ㆍ시행하여야 한다.② 제1항에 따라 위원회 모바일 전자정부 서비스를 구축하고 관리하는 경우 행정안전부 예규 「모바일 전자정부 서비스 관리 지침」을 준수하여야 한다.③ 기타 모바일 업무 보안관리와 관련한 사항은 국가정보원장이 배포한 「국가ㆍ공공기관 모바일 활용업무에 대한 보안가이드라인」을 준수하여야 한다.

제59조(원격근무 보안) ① 위원회는 소속 공무원 등이 재택근무, 출장지 현장근무, 또는 파견 근무(제50조에 따라 기관 정보통신망 전용(專用) 단말기를 설치ㆍ운영하는 경우는 제외한다)시 인터넷을 통해 본인 인증을 거쳐 기관 정보시스템에 접속하여 온라인상으로 수행하는 업무를 수행(이하 "원격근무"라 한다)하게 할 수 있다.② 제1항에 따른 원격근무를 위해 접속할 수 있는 위원회 정보시스템은 다음 각 호와 같다.1. 인터넷망에 위치한 서버 및 서버에서 구동되는 가상 PC2. 제42조제2항제4호에 따른 방법을 통해 접속할 수 있는 내부망 서버 및 내부망 서버에서 구동되는 가상 PC3. 정부원격근무서비스(GVPN), 스마트워크센터에 등록되어 접근이 허용된 정보시스템③ 제1항에 따른 원격근무로 취급할 수 있는 업무자료의 범위는 공개 및 비공개 업무자료로 한다.④ 원격근무를 시행하고자 할 경우 다음 각 호의 사항을 포함한 보안대책이 강구된 정보시스템(이하 "원격근무시스템"이라 한다)을 구축ㆍ운영하여야 한다.1. 검증필 암호모듈이 탑재된 정보보호시스템을 사용해 원격근무시스템과 원격근무자의 단말기 간 소통구간 암호화2. 문서 암호화제품(DRM) 사용 등 문서 보호대책 강구3. 원격근무자를 식별ㆍ인증하기 위하여 공인인증서, 생체인증 기술 및 일회용 비밀번호 생성기(OTP) 등 보안성을 강화한 사용자 인증방식 적용4. 원격근무자로 하여금 원격근무시스템 접속과정에서 제1호부터 제3호까지의 보안대책을 준수토록 조치5. 원격근무시스템에 대한 보안취약점 정기 점검⑤ 원격근무자는 위원회가 원격근무용 단말기(개인 소유의 정보통신기기를 포함한다)의 보안을 위하여 취하는 다음 각호의 조치에 적극 협조하여야 한다.1. 제4항에 따라 위원회가 제공하는 보안소프트웨어 설치ㆍ운영2. 사이버공격 등으로 인한 자료유출 사고 발생 시 위원회가 요청하는 점검 및 「기본지침」 제141조제3항에 따른 자료제출 요청 협력3. 소속된 기관에서 지급받은 단말기의 경우 제73조에 따른 단말기 보안대책 준수⑥ 원격근무자에게 제5항에 따른 보안조치 등이 포함된 보안서약서를 징구하고 직위ㆍ임무에 부합한 정보시스템 접근권한 부여 및 보직변경ㆍ퇴직 등 변동사항 발생시 접근권한 조정 등의 절차를 마련ㆍ시행하여야 한다.⑦ 기타 원격근무 보안과 관련하여 국가정보원장이 배포한 「원격업무 통합보안매뉴얼」을 준수하여야 한다.

제60조(저장매체 불용 처리) ① 정보시스템 또는 저장매체(하드디스크ㆍ반도체 기반 저장장치(SSD) 등)를 외부수리ㆍ교체ㆍ반납ㆍ양여ㆍ폐기ㆍ불용 처리하고자 할 경우 정보시스템 및 저장매체에 저장된 자료가 외부에 유출되지 않도록 자료 삭제 등 보안조치를 실시하여야 한다. 이 경우 정보시스템 관리자 및 개별사용자는 정보보안담당관과 협의하여야 한다.② 제1항에 따라 자료를 삭제할 경우「정보시스템 저장매체 불용처리지침」에 따라 저장매체별, 자료별로 삭제 조치하여야 한다.③ 비밀ㆍ대외비를 저장하거나 암호화 키를 저장한 저장매체는 소각ㆍ파쇄ㆍ용해 등의 방법으로 완전 파괴하여야 한다.④ 기타 정보시스템 및 저장매체의 불용처리와 관련한 사항은 국가정보원장이 배포한 「정보시스템 저장매체 불용처리지침」을 준수하여야 한다.

제61조(업무자료 책임) 업무자료에 대한 보안책임은 문서를 작성ㆍ시행ㆍ접수ㆍ취득한 부서의 담당자(문서를 인수ㆍ인계한 때에는 인수자)가 지며, 각 부서장은 해당부서의 모든 문서에 대한 관리ㆍ감독의 책임을 진다.

제62조(비밀 등의 전자적 처리) ① 「보안업무규정」에 따라 비밀, 대외비의 생산, 분류, 보관, 열람, 출력, 송수신, 이관, 파기등을 행정안전부에서 제공하는 시스템(보안나라)을 사용하여 전자적으로 처리할 수 있다.② 종이문서로 출력된 비밀의 관리에 관하여는「보안업무규정」을 준수하여야 한다.③ 공정거래위원회 및 소속기관과 산하기관에 대한 보안업무를 총괄하는 보안담당관은 업무와 관계되지 아니한 사람이 대외비를 열람, 복제ㆍ복사, 배부할 수 없도록 보안대책을 수립ㆍ시행하여야 한다.

제63조(비공개 업무자료 처리) ① 위원회 소속 공무원 등은 비공개 업무자료를 다음 각 호의 어느 하나에 해당하는 방법으로만 처리하여야 한다.1. 위원회 내부망 및 서버에 작성 및 저장ㆍ보관2. 위원회 업무용으로 지급한 휴대용 저장매체에 작성 및 저장ㆍ보관3. 다음 각 목의 어느 하나에 해당하는 수단(이하 "업무자료 공식 소통수단"이라 한다)을 이용한 수ㆍ발신 또는 등재ㆍ열람가. 위원회 자체적으로 구축ㆍ운영하는 전자우편시스템(이하 "기관메일"이라 한다)나. 행정안전부장관이 내부망에서 공무원 등이 공동으로 사용할 목적으로 구축ㆍ운영하는 전자우편시스템(이하 "온-나라 메일"이라 한다)다. 문화체육관광부장관이 구축ㆍ운용하는 전자우편시스템(이하 "공직자통합메일"이라 한다)라. 행정안전부장관이 공무원 등이 공동으로 사용할 목적으로 구축ㆍ운영하는 자료저장소(이하 "G드라이브"이라 한다)마. 공무원 등이 다른 공무원 등과 자료를 공유하거나 소통하기 위하여 사용하는 전용(專用) 소프트웨어(이하 "공공 전용(專用) 메신저"라 한다)바. 국회사무처가 구축ㆍ운용하는 의정자료전자유통시스템 등 기관간 업무자료의 소통 또는 공동활용을 위해 구축한 정보시스템4. 그 밖에 다른 법규에 따라 허용되는 처리방법② 제1항에도 불구하고 다음 각호의 어느 하나에 해당하는 경우 기관 인터넷 PC 또는 출장용 노트북을 이용하여 비공개 업무자료를 처리할 수 있다.1. 업무자료 공식 소통수단의 발신 또는 등재 기능을 이용하여 제5조제11호다목의 문장 또는 문구 작성2. 업무자료 공식 소통수단으로 수ㆍ발신 또는 등재ㆍ열람하는 과정에서의 일시적 저장3. 제42조제5항에 따른 기관 인터넷망PC에 작성ㆍ저장4. 제47조제3항 및 제4항에 따라 영상회의 솔루션을 활용하여 비공개 업무자료의 화면 영상을 공유하기 위한 일시적 저장③ 제1항에도 불구하고 다음 각호의 어느 하나에 해당하는 경우 개인이 소유한 PCㆍ휴대용 저장매체ㆍ휴대폰 등을 이용하여 비공개 업무자료를 처리할 수 있다.1. 업무자료 공식 소통수단의 발신 기능 또는 등재 기능을 이용하여 제5조제11호다목의 문장 또는 문구 작성2. 업무자료 공식 소통수단으로 수ㆍ발신 또는 등재ㆍ열람 과정에서의 일시적 저장3. 제59조제4항에 따른 원격근무시스템에 접속하여 작성4. 「감염병의 예방 및 관리에 관한 법률」제34조제1항에 다른 감염병 위기관리 조치 등 대규모 질병ㆍ재난 발생 등 특별한 사정으로 재택근무를 명받았으나 소속 또는 근무중인 기관에 제59조제4항에 따른 원격근무시스템이 구축되지 아니한 경우5. 제47조제1항에 따른 민간 클라우드컴퓨팅서비스 기반의 영상회의 서비스 이용을 위한 일시적 저장ㆍ공유6. 국민의 생명ㆍ신체, 국가안보 및 공공의 안전 등을 위하여 긴급히 작성, 저장, 수ㆍ발신이 필요하다고 위원장이 인정하는 경우④ 위원회 소속 공무원 등은 제3항제5호 및 제6호에 해당하는 경우를 제외하고는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」제2조제1항제2호에 따른 정보통신서비스(전자우편ㆍ메신저 등을 포함한다) 또는 국외에서 제공하는 이와 유사한 서비스(이하 "상용 정보통신서비스"라 한다)를 이용하여 비공개 업무자료를 작성, 저장, 수ㆍ발신하여서는 아니 된다.⑤ 위원회 소속 공무원 등은 제2항부터 제4항까지에 따라 작성ㆍ저장한 비공개 업무자료는 활용이 종료된 후에는 삭제하여야 한다.

제64조(특정 상황별 비공개 업무자료 처리) ① 모든 공무원 등은 「국회법」 제128조제2항, 「국정감사 및 조사에 관한 법률」 제10조제2항, 「국회증언감정법」 제2조 및 제4조에 따라 국회ㆍ정부간 비공개 업무자료를 소통할 경우에는 우선적으로 제63조제1항제3호바목의 의정자료전자유통시스템을 활용하여 처리하여야 한다. 다만, 시스템 장애 등 부득이한 사유로 활용이 곤란할 경우에 한해 제63조에 허용된 다른 방법으로 처리할 수 있다.② 감독ㆍ감사ㆍ조사 등의 관계 법령에 따라 비공개 업무자료를 제출받을 권한이 있는 공무원 등은 업무자료를 제출할 상대방 공무원 등에게 제63조에 위반되는 방법으로 자료 제출을 요구하여서는 아니 된다.③ 공무원 등이 자문 등의 목적으로 비공개 업무자료를 업무자료 공식 소통수단을 활용할 수 없는 민간인에게 발신하거나 민간인으로부터 수신 받고자 할 경우에는 공직자 통합메일을 활용해 발신하거나 수신 받아야 한다. 파일이 대용량으로 공직자 통합메일이 수신 불가한 경우, 위원회 자료교환을 활용해 파일을 수신할 수 있다.

제65조(행정전자서명 인증서 등 관리) ① 위원회 소속 공무원 등은 비공개 업무자료를 처리하기 위하여 「전자정부법」제29조에 따른 행정전자서명의 인증서(이하 "행정전자서명 인증서"라 한다)를 인터넷 PC 또는 개인이 소유한 PCㆍ휴대용 저장매체ㆍ휴대폰 등에 저장ㆍ보관할 수 있다.② 위원회 소속 공무원 등은 행정전자서명 인증서 및 인증서의 비밀번호, 기관 전자우편 또는 공직자통합메일의 비밀번호 등을 상용 정보통신서비스를 이용하여 수ㆍ발신하거나 저장ㆍ보관하여서는 아니 된다.

제66조(비공개 업무자료 유출방지) ① 정보화사업담당관은 제66조에 따른 비공개 업무자료 처리 절차 준수여부를 관리ㆍ통제할 수 있는 보안체계를 구축ㆍ운영하여야 하며, 검증필 암호모듈 등을 사용하여 비공개 업무자료의 위조ㆍ변조ㆍ훼손 및 유출 등을 방지하기 위한 보안대책을 강구하여야 한다.② 정보화사업담당관은 행정안전부에서 다음 각 호에 해당하는 소프트웨어를 개발ㆍ보급할 경우 우선 활용하여야 한다.1. 제1항에 따른 보안체계 구축ㆍ운영을 위한 공통 소프트웨어2. 원격근무시스템 구축ㆍ운용을 위한 소프트웨어3. 공공 전용(專用) 메신저

제67조(공개 업무자료 처리) ① 위원회 소속 공무원 등은 관계 법규에 위배되지 않는 범위 내에서 기관 인터넷 PC나 개인이 소유한 PCㆍ휴대용 저장매체ㆍ휴대폰(기관 청사내에서는 제78조제1항 각 호에 따라 반입한 경우를 말한다), 상용 정보통신서비스(기관 청사내에서는 제49조제2항에 따른 제한이 없는 경우를 말한다) 등을 이용하여 공개 업무자료를 처리할 수 있다.② 업무자료 중 외부로 자유롭게 반출할 수 있는 공개 업무자료는 다음 각 호의 어느 하나에 해당하는 경우에 한한다.1. 법령ㆍ행정규칙2. 공개용 의결서ㆍ재결서, 표준약관3. 대통령업무보고, 국회업무보고4. 외부에 공개된 경쟁정책, 소비자정책, 하도급ㆍ가맹사업정책 등 정책ㆍ제도에 관한 문서5. 외부에 공개된 예산현황6. 공정거래백서, 공개된 용역보고서, 통계연보7. 보도자료, 공개된 인사이동ㆍ공지ㆍ공고ㆍ위원회소식8. 법원의 판결문, 외부학자의 논문, 국제기구 및 외국경쟁당국에서 발간한 문서 등 공정위 외부에서 작성된 문서 및 이를 단순 요약ㆍ가공한 자료9. 제5조제15항의 공개 업무자료10. 기타 위원회 홈페이지 등을 통해 외부에 공개된 문서

제68조(업무자료 반출입) ① 업무자료를 외부로 반출하고자 할 때에는 자료교환시스템을 통해 부서장의 사전 또는 사후 승인을 얻어야 한다. 다만, 부서장이 출장 등의 이유로 승인을 할 수 없는 경우에는 부서장의 위임을 받은 소속 공무원 등이 승인할 수 있다.② 업무자료를 출력하여 반출하는 때에는 반드시 워터마크가 인쇄된 서면으로 반출하여야 한다.③ 기타 도면ㆍ사진ㆍ디스크ㆍ테이프ㆍ필름ㆍ슬라이드 등 특수매체기록은 업무상 불가피하다고 판단되는 경우로서 부서장의 별도 승인을 얻어 원본 또는 그 복제본을 반출할 수 있다.④ 위원회를 퇴직하거나 다른 행정기관으로 전출하는 자와 위원회에 파견되었다가 원 소속된 기관으로 복귀하는 자는 모든 업무자료를 인수자에게 인계하여야 하며 외부로 반출하여서는 아니 된다.

제69조(홈페이지 등 게시자료 보안) ① 정보화사업담당관은 비공개 업무자료가 홈페이지 또는 외부 웹사이트(이하 "홈페이지 등"이라 한다.)에 무단 게시되지 않도록 게시자료의 범위, 자료의 게시방법 등을 규정한 자체 홈페이지 정보공개 보안지침을 수립ㆍ시행하여야 한다.② 분임정보보안담당관은 소속 부서에서 홈페이지 등에 업무자료를 게시하고자 할 경우 자료 내용을 사전 검토하여 비공개 업무자료가 게시되지 아니하도록 하여야 한다.③ 분임정보보안담당관은 소속 부서에서 운용하는 홈페이지에 비공개 업무자료가 무단 게시되었는지 여부를 정기적으로 점검(월1회 이상)하여야 한다.④ 분임정보보안담당관 및 정보화사업담당관은 홈페이지 등에 비공개 업무자료가 무단 게시된 사실을 알게 된 경우 즉시 삭제 또는 차단 등 보안조치를 취하여야 한다.

제70조(정보통신망 현황자료 관리) ① 다음 각호에 해당하는 자료를 「공공기관의 정보공개에 관한 법률」제9조제1항에 따른 비공개 대상 정보로 지정ㆍ관리하여야 한다.1. 정보통신망 구성현황(IP주소 할당현황을 포함한다. 이하 본 조에서 같다)2. 정보시스템 운용현황3. 취약점 분석ㆍ평가 결과물(「정보통신기반 보호법」제9조에 따른 취약점 분석ㆍ평가결과를 포함한다. 이하 본 조에서 같다)4. 주요 정보화사업 추진현황② 제1항에도 불구하고 다음 각 호에 해당하는 자료는 「보안업무규정 시행규칙」제17조에 의거 국가정보원장이 배포한 「비밀세부분류지침」에 따라 비밀로 분류ㆍ관리하여야 한다.1. 국방연구개발 및 정보통신 관련자료2. 암호자재 운용현황3. 「보안업무규정」제32조에 따른 국가보안시설 및 국가보호장비의 운영ㆍ관리에 필요한 정보통신망 구성현황 및 그에 대한 취약점 분석ㆍ평가 결과물4. 그 밖에 제1항의 자료 중에서 국가정보원장이 비밀로 분류할 것을 요청한 자료③ 제1항 및 제2항에도 불구하고 다른 기관과 협력하여 정보통신망 및 정보시스템 운용 또는 정보보안업무를 수행할 필요가 있는 경우 제1항 및 제2항 각 호에 해당하는 자료를 다른 기관의 장에게 제공할 수 있다.

제71조(빅데이터 보안) ① 정보화사업담당관은 빅데이터와 관련한 시스템을 구축ㆍ운영하고자 할 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다.1. 데이터의 수집 출처 확인 및 데이터 오ㆍ남용 방지2. 데이터 수집을 위한 정보통신망 보안체계 수립3. 수집된 데이터의 저장 및 보호체계 수립4. 중요 데이터 암호화5. 사용자별(데이터 제공자ㆍ수집자ㆍ분석요청자 및 분석결과 제공자 등) 권한부여 체계 수립6. 데이터 파기절차 수립② 그 밖에 빅데이터 보안과 관련한 사항은 개인정보보호위원회가 고시한 「개인정보의 안전성 확보조치 기준」 및 국가정보원장이 배포한 「국가ㆍ공공기관 빅데이터 보안 가이드라인」 을 준수하여야 한다.

제72조(개별사용자 보안) ① 정보시스템 관리자는 소관 정보통신망 또는 정보시스템의 사용과 관련하여 다음 각 호의 사항을 포함한 개별사용자 보안에 관한 절차 및 방법을 마련하여야 한다.1. 직위ㆍ임무별 정보통신망 접근권한 부여 심사2. 비밀 취급시 비밀취급 인가, 「공정위 보안업무규정」 [제39호 서식]의 보안서약서 징구 등 보안조치3. 암호자재 취급시 기본지침 제103조에 따라 암호취급자 지정ㆍ관리4. 보직변경, 퇴직 등 변동사항 발생시 정보시스템 접근권한 조정② 위원회 소속 공무원 등 개별사용자는 본인이 PC 등 정보시스템을 사용하거나 정보통신망에 접근하는 행위와 관련하여 스스로 보안책임을 진다.

제73조(단말기 보안) ① 위원회 소속 공무원 등 개별사용자는 업무용으로 지급 받은 PCㆍ노트북ㆍ휴대폰ㆍ태블릿 기기 등 단말기(이하 "단말기"라 한다) 사용과 관련한 일체의 보안관리 책임을 진다.② 개별사용자는 단말기에 대하여 다음 각 호에 해당하는 보안대책을 준수하여야 한다.1. CMOSㆍ로그온 비밀번호의 정기적 변경 사용2. 단말기 작업을 일정 시간 이상 중단시 비밀번호 등을 적용한 화면보호 조치3. 최신 백신 소프트웨어 설치4. 운영체제 및 응용프로그램에 대한 최신 보안패치 유지5. 내부망 단말기에 저장된 비공개 업무자료의 암호화 조치(DRM 문서보안 조치를 포함한다)6. 출처, 유통경로 및 제작자가 불분명한 응용프로그램의 사용 금지7. 인터넷을 통해 자료(파일) 획득시 신뢰할 수 있는 인터넷사이트를 활용하고 자료(파일) 다운로드시 최신 백신 소프트웨어로 검사 후 활용8. 인터넷 파일공유ㆍ메신저ㆍ대화방 프로그램 등 업무상 불필요한 프로그램의 설치 금지 및 공유 폴더 삭제9. 웹브라우저를 통해 서명되지 않은 액티브-X 등이 다운로드ㆍ실행되지 않도록 보안 설정10. 내부망과 기관 인터넷망이 분리된 기관의 인터넷 PC에서는 특별한 사유가 없는 한 문서프로그램을 읽기 전용(專用)으로 운용11. 비인가 기기(휴대용 저장매체를 포함한다.)의 내부망 및 기관 인터넷망 무단 접근을 통제하기 위한 정보보호용 프로그램의 설치ㆍ운영12. 그 밖에 국가정보원장이 안전성을 확인하여 배포한 프로그램의 운용 및 보안권고문 이행③ 분임정보보안담당관은 정보보안담당관 총괄 하에 개별사용자의 제2항 각 호에 해당하는 보안대책의 준수여부를 정기적으로 점검(월1회 이상)하고 개선 조치 하여야 한다.

제74조(계정 관리) ① 정보시스템 관리자는 개별사용자에게 소관 정보통신망 또는 정보시스템의 접속에 필요한 사용자 계정(아이디)을 부여하고자 할 경우 다음 각 호에 해당하는 사항를 준수하여야 한다.1. 개별사용자별 또는 그룹별 접근권한 부여2. 외부인에게 계정을 부여하지 아니하되 업무상 불가피한 경우 소관 정보시스템 운영부서의 장 책임 하에 필요한 업무에 한하여 일정기간 동안 접속 허용 가능3. 특별한 사유가 없는 한 용역업체 인원에게 관리자 계정 부여 금지4. 비밀번호 등 사용자 식별 및 인증 수단이 없는 사용자 계정 사용 금지② 정보시스템 관리자는 개별사용자의 보직변경, 퇴직, 계약종료 등 변동사항이 발생할 경우 신속히 사용자 계정을 삭제하거나 부여된 접근권한을 회수하여야 한다.③ 정보시스템 관리자는 개별사용자가 시스템 접속(로그온)에 5회 이상 실패할 경우 접속이 중단되도록 시스템을 설정하고 동일한 계정으로 중복하여 접속(로그온)되지 않도록 하여야 한다.④ 정보시스템 관리자는 사용자 계정 부여 및 관리의 적절성을 연2회 이상 점검하고 그 결과를 정보보안담당관에게 통보하여야 한다.⑤ 정보시스템 관리자는 제1항 및 제3항에 의한 접근권한 부여, 변경, 회수 또는 삭제 등에 대한 내역을 기록하고 3년 이상 보관하여야 한다.

제75조(비밀번호 관리) ① 개별사용자 및 정보시스템 관리자는 각종 비밀번호를 다음 각 호에 해당하는 사항을 반영하고 숫자ㆍ문자ㆍ특수문자 등을 혼합하여 안전하게 설정하고 정기적으로 변경ㆍ사용하여야 한다.1. 사용자 계정(ID)과 동일하지 않은 것2. 개인 신상 및 부서 명칭 등과 관계가 없는 것3. 일반 사전에 등록된 단어의 사용을 피할 것4. 동일한 단어 또는 숫자를 반복하여 사용하지 말 것5. 사용된 비밀번호는 재사용하지 말 것6. 동일한 비밀번호를 여러 사람이 공유하여 사용하지 말 것7. 응용프로그램 등을 이용한 자동 비밀번호 입력기능을 사용하지 말 것② 정보시스템 관리자는 서버 등 정보시스템에 보관되는 비밀번호가 복호화되지 아니하도록 일방향 암호화하여 저장하여야 한다.③ 정보시스템에서 개별사용자를 식별 또는 인증하기 위하여 비밀번호에 갈음하거나 병행하여 지문인식 등 생체인증 기술 및 일회용 비밀번호 생성기(OTP) 등을 안전성 확인 후 사용할 수 있다. 이 경우 생체인증 정보는 안전하게 보관하여야 한다.

제76조(전자우편 보안) ① 위원회 소속 공무원 등 개별사용자는 전자우편을 공직자통합메일만을 사용하여야 한다.② 개별사용자는 수신된 전자우편에 포함된 첨부파일이 자동 실행되지 아니 하도록 기능을 설정하고 첨부파일을 다운로드할 경우 최신 백신 소프트웨어로 악성코드 은닉여부를 검사하여야 한다.③ 개별사용자는 출처가 불분명하거나 의심되는 제목의 전자우편은 열람하지 말고 해킹메일로 의심될 경우 즉시 정보보안담당관에게 신고하여야 한다. 정보보안담당관은 해킹메일로 판단될 경우 국가정보원장과 관계 중앙행정기관의 장에게 통보하여야 한다.④ 정보보안담당관은 전자우편 발신자 조작 등을 통한 기관 사칭 전자우편의 유포를 차단하기 위하여 보안대책을 수립ㆍ시행하여야 한다.

제77조(휴대용 저장매체 보안) ① 위원회 정보시스템에 연결하여 휴대용 저장매체를 사용하고자 하는 경우에는 사전에 등록한 후 사용하여야 한다. 이 경우 저장매체의 등록은 전자적 관리시스템에 등재하는 것을 말한다.② 분임정보보안담당관은 휴대용 저장매체를 다음 각 호와 같이 구분ㆍ관리하고 수량 및 보관 상태를 정기적으로 점검하며 외부 반출ㆍ입을 통제하여야 한다.1. 일반용: 업무관련 일반자료(공개 또는 비공개 자료)의 처리를 위해 등록한 휴대용 저장매체2. 업무용: 일반용 휴대용 저장매체로 내부망 PC에서 업무관련 일반자료의 처리를 위해 등록한 휴대용 저장매체(보안USB를 말한다)3. 비밀용: 비밀의 처리를 위해 정보화담당관이 각 부서에 보급한 휴대용 저장매체③ 제2항 구분에 따른 휴대용 저장매체에 대한 관리요령은 국가정보원장이 배포한 「USB메모리 등 휴대용 저장매체 보안관리지침」의 관리요령을 따른다. 다만, 업무용의 경우에는 일반용 관리요령을 준용한다.④ 분임정보보안담당관은 비밀이 저장된 휴대용 저장매체별로 비밀등급 및 관리번호를 부여하고 비밀관리기록부에 등재ㆍ관리하여야 한다. 이 경우 매체 전면에 비밀등급 및 관리번호가 표시되도록 하여야 한다.⑤ 분임정보보안담당관은 휴대용 저장매체를 폐기ㆍ불용 처리하고자 할 경우 저장자료가 복구 불가하도록 완전삭제 소프트웨어 등을 이용하여 삭제하여야 한다. 다만, 완전삭제가 불가할 경우 파쇄하여야 한다.⑥ 정보보안담당관은 개별사용자가 휴대용 저장매체를 PCㆍ서버 등에 연결할 경우 자동 실행되지 아니하고 최신 백신 소프트웨어로 악성코드 감염여부를 자동 검사하는 등의 다음 각호의 보안 정책을 수립ㆍ시행하도록 관리하여야 한다.1. 내부망과 기관 인터넷망이 분리된 내부망 정보시스템(PC 등)에서 업무용, 비밀용 외에 기타 휴대용 저장매체 사용 제한2. 기관 인터넷망 정보시스템(PC 등)에서 일반용 외에 기타 휴대용 저장매체 사용 제한3. 기관 인터넷망 정보시스템에서 일반용은 인증서 보관 외에 읽기전용 모드로 허용, 이 경우 사용은 등록한 PC 단말기로 제한4. 취급자는 최신 백신 소프트웨어로 점검 후 사용5. 정보시스템에 연결 시 자동 실행 차단6. 사건조사, 감사 수감 등 업무상 불가피하게 사전에 등록되지 않은 저장매체의 사용이 필요한 경우 정보보안담당관의 승인(최대 1개월) 후 사용⑦ 그 밖에 휴대용 저장매체 보안과 관련한 사항은 국가정보원장이 배포한 「USB메모리 등 휴대용 저장매체 보안관리지침」을 준수하여야 한다.

제78조(비인가 기기 통제) ① 위원회 소속 공무원 등은 다음 각 호의 경우를 제외하고는 개인 소유의 정보통신기기를 위원회 내에 무단으로 반입ㆍ사용하여서는 아니 된다.1. 보편적 통신 목적의 개인 소유 이동통신단말기(LTEㆍ5G 등 이동통신망 접속기능이 있는 휴대폰ㆍ태블릿ㆍ스마트워치) : 반입하여 개인 용도로만 사용. 이 경우 반입 장비를 도크스테이션(dock station)ㆍ마우스ㆍ모니터ㆍ키보드 등 PC와 유사하게 활용토록 하는 장치와의 연결 사용을 금한다.2. 제1호를 제외한 정보통신기기 : 제1호에 따른 반입ㆍ사용만으로는 보편적 통신 곤란 등 특별한 사정이 있는 경우에 한하여 소속 부서의 분임정보보안담당관을 거쳐 정보보안담당관의 승인을 받아 반입 후 개인 용도로만 사용② 개별사용자는 제1항 각 호에 따라 반입한 개인 소유의 정보통신기기를 내부망 및 기관 인터넷망(제43조제1항제1호에 따른 무선랜 형태를 포함한다)에 연결하여서는 아니 되며, 내부망 및 기관 인터넷망 정보시스템을 다른 정보통신망에 연결하는 수단으로 사용하여서는 아니 된다. 분임정보보안담당관은 이에 대하여 수시로 점검하여야 한다.③ 정보보안담당관은 개인 소유의 정보통신기기가 업무자료를 외부로 유출하는데 악용될 수 있거나 위원회 정보통신망 운영에 위해(危害)가 된다고 판단될 경우 반출ㆍ입 통제, 보안 소프트웨어의 설치 조건부 반입 등 보안대책을 수립ㆍ시행하여야 한다.

제79조(정보보안 위규자 처리) ① 위원장은 이 세칙을 위반한 소속 공무원 등 및 관리ㆍ감독의 책임이 있는 직속 부서장에 대해 정보보안담당관으로 하여금 [별표 4]의 조치기준에 따라 기관장 명의의 경고ㆍ주의 조치, 벌점부과 등 위규처리하게 할 수 있다.② 정보보안담당관은 제1항에 따른 위규자를 조치하는데 있어 정당한 사유가 있다고 인정하는 경우에는 정상을 참작하여 조치 할 수 있다.③ 제1항에 따른 조치에 있어 위규자의 징계가 필요하다고 위원장이 인정하는 경우 정보보안담당관은 감사담당관에게 통보하여야 한다.

제80조(정보통신시설 보호대책) ① 정보통신시설 및 장소를 운영ㆍ관리하는 부서장은 다음 각 호의 어느 하나에 해당하는 경우 「보안업무규정」제34조에 따른 보호지역으로 설정 관리하여야 한다.1. 암호실ㆍ정보통신실2. 통합데이터센터3. 암호자재 개발ㆍ설치 및 정비 장소4. 국가비상통신 등 중요통신망의 교환국, 회선집중국 또는 중계국5. 보안관제센터, 백업센터 및 중요 정보통신시설을 집중 제어하는 국소6. 디지털 포렌식 증거분석 장비 설치 장소 및 증거자료 보관소7. 그 밖에 보안관리가 필요하다고 인정되는 정보시스템 설치 장소② 제1항에 따라 보호지역으로 지정된 정보통신시설 및 장소에 대한 보안대책을 수립하고자 할 경우 다음 각 호에 해당하는 사항을 포함하여야 한다.1. 방재대책 및 외부로부터의 위해 방지대책2. 상시 이용하는 출입문은 한 곳으로 정하고 이중 잠금장치 설치3. 출입자 인증ㆍ식별 등을 위한 출입문 보안장치 설치 및 주야간 감시대책4. 휴대용 저장매체를 보관할 수 있는 용기 비치5. 정보시스템 안전지출 및 긴급파기 계획 수립6. 관리책임자 및 자료ㆍ장비별 취급자 지정 운용7. 정전에 대비한 비상전원 공급, 시스템의 안정적 중단 등 전력관리 대책8. 비상조명 장치 등 비상탈출 대책9. 카메라 장착 휴대폰 등을 이용한 불법 촬영 방지 대책 등

제81조(정보통신시설 출입관리) ① 정보통신시설을 운영하는 부서의 장은 외부인이 정보통신시설을 방문할 경우 반드시 신원을 확인하고 보안교육 및 보안검색 후 출입을 허용하여야 한다.② 정보통신시설을 운영하는 부서의 장은 불가피한 경우를 제외하고는 정보통신시설에 대한 관람 및 견학을 지양하고 외국인의 출입은 금지하여야 한다. 다만, 외국인의 출입이 꼭 필요한 경우 국가정보원장과 사전 협의하여 출입을 허용할 수 있다.

제82조(영상정보처리기기 보안) ① 영상정보처리기기를 구축ㆍ운영하는 부서장은 업무상 목적으로 불특정 사람 또는 사물을 촬영한 영상을 유ㆍ무선 정보통신망으로 전송ㆍ저장ㆍ분석하는 CCTVㆍIP카메라ㆍ이동형 영상촬영장비ㆍ중계서버ㆍ관제서버ㆍ관리용PC 등의 기기ㆍ장비(이하 "영상정보처리기기"이라 한다)를 설치ㆍ운용하고자 할 경우 운영자의 계정ㆍ비밀번호 설정 등 인증대책을 수립하고 특정 IP주소에서만 접속 허용 등 비(非)인가자 접근 통제대책을 수립ㆍ시행하여야 한다.② 영상정보처리기기를 통합ㆍ운용하는 시설(이하 "영상관제상황실"이라 한다)을 운영하고자 할 경우 영상관제상황실을 「보안업무규정」제34조제2항에 따른 제한구역 또는 통제구역으로 지정ㆍ관리하고 출입통제 장치를 운용하여야 한다.③ 영상정보처리기기 관리자는 영상정보처리기기를 인터넷과 분리ㆍ운용하여야 한다. 다만, 부득이하게 인터넷과 연결ㆍ사용하여야 할 경우 전송내용을 암호화하여야 한다.④ 영상정보처리기기 관리자는 제1항부터 제3항까지와 관련한 보안대책의 적절성을 수시 점검ㆍ보완하여야 한다.⑤ 기타 영상정보처리기기 보안과 관련한 사항은 국가정보원장이 배포한 「국가 공공기관 영상정보 처리기기 도입ㆍ운영 가이드라인」 및 「안전한 정보통신 환경 구현을 위한 네트워크 구축 가이드라인」을 준수하여야 한다.

제83조(디지털복합기 보안) ① 디지털복합기(디지털복사기 등도 포함한다. 이하 "복합기"라 한다)를 설치ㆍ사용하고자 하는 부서의 장은 복합기 내 저장매체가 있거나 장착이 가능한 경우 자료유출을 방지하기 위하여 자료 완전삭제 또는 디스크 암호화 기능이 탑재된 복합기를 도입하여야 한다.② 복합기 관리자는 제1항에 따라 복합기를 설치ㆍ운용할 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다.1. 암호화 저장 기능이 있는 경우 해당 기능의 사용2. 정기적으로 저장된 작업 내용(출력ㆍ스캔 등) 완전 삭제3. 공유 저장소 사용 제한 및 접근 제어4. 고정 IP주소 설정 및 불필요한 서비스 제거③ 복합기 관리자는 다음 각 호의 어느 하나에 해당하는 경우 복합기 저장매체의 저장자료를 완전 삭제하여야 한다.1. 복합기 사용연한이 경과하여 폐기ㆍ양여할 경우2. 복합기 무상 보증기간 중 저장매체 또는 복합기 전체를 교체할 경우3. 고장 수리를 위한 외부 반출 등의 사유로 해당 기관이 복합기의 저장매체를 통해 관리할 수 없는 장소로 이동할 경우4. 그 밖에 저장자료의 삭제가 필요하다고 판단되는 경우④ 복합기 관리자는 소모품 교체 등 복합기 유지보수를 할 경우 부서 분임정보보안담당관의 입회ㆍ감독 하에 실시하고 저장매체의 무단 교체 등을 예방하여야 한다.⑤ 복합기 관리자는 복합기를 통해 내부망과 기관 인터넷망간 접점이 발생하지 않도록 보안대책을 수립ㆍ시행하여야 한다.⑥ 정보보안담당관은 저장매체가 장착되어 있는 복합기 운영과 관련한 보안대책의 적절성을 수시 점검ㆍ보완하여야 한다.⑦ 기타 복합기 보안과 관련한 사항은 국가정보원장이 배포한 「정보시스템 저장매체 불용처리 지침」에 따라 저장매체ㆍ자료별 삭제방법에 따라 자료를 삭제하여야 한다.

제84조(재난 방지대책) ① 정보화사업담당관은 인위적 또는 자연적인 원인으로 인한 정보통신망의 장애 발생에 대비하여 정보시스템의 이중화, 백업관리 및 복구 등 종합적인 재난 방지대책을 수립ㆍ시행하여야 한다.② 정보화사업담당관은 제1항에 따른 재난 방지대책을 정기적으로 시험ㆍ검토하고 재난으로 인해 업무에 지장이 초래될 가능성에 대한 영향평가를 실시하여야 한다.③ 정보통신망의 장애 발생에 대비하여 정보시스템 백업시설을 확보하고 정기적으로 백업을 실시하여야 한다.④ 제3항에 따른 백업시설을 구축ㆍ운용하고자 할 경우 정보통신실ㆍ통합데이터센터와 물리적으로 일정한 거리 이상 떨어진 안전한 장소에 설치하여야 하며 전력공급원 이중화 등 정보시스템의 가용성을 최대화 할 수 있도록 하여야 한다.

제85조(대도청 측정) ① 각급기관의 장은 다음 각 호의 어느 하나에 해당하는 시설ㆍ장소에 대하여 각종 수단에 의한 도청으로부터 정보유출을 방지하기 위한 정책 또는 계획 수립 등 관리적 보안대책, 도청을 예방 또는 탐지ㆍ발견할 수 있는 물리적ㆍ기술적 보안대책을 수립ㆍ시행하여야 한다.1. 기관 청사(신축, 이전 또는 증축, 개축, 대규모 수선 등)2. 위원장실, 대ㆍ중회의실, 합의장 등 중요업무 장소3. 중요회의ㆍ회담ㆍ협상ㆍ행사 장소4. 기타 대도청 측정이 필요하다고 위원장이 인정하는 시설ㆍ장소ㆍ장비② 제1항에 따른 시설ㆍ장소에 대하여 자체 또는 「통신비밀보호법」제10조의3에 따른 불법감청설비탐지업자 활용 등을 통해 대도청 측정을 실시하여야 한다. 다만 각 호에 해당하는 시설ㆍ장소에 대하여는 국가정보원장에게 대도청 측정을 요청할 수 있다.1. 국가기관의 장 또는 위원장이 관리하는 시설ㆍ장소2. 산하기관의 장이 관리하는 시설ㆍ장소 중에서 위원장이 국가안보 및 국익 보호를 위하여 필요하다고 판단하는 시설ㆍ장소③ 제2항에 따라 자체 또는 불법감청설비탐지업자 등을 활용하여 측정결과 취약요인이 발견된 경우 그 결과를 국가정보원장에게 통보하여야 하고 기술 지원 및 추가 측정을 요청할 수 있다. 이 경우 정보보안담당관은 자체 또는 불법감청설비탐지업자 등을 활용한 대도청 측정을 실시할 수 있다.④ 제2항에 따라 국가정보원장이 측정을 실시한 결과 취약요인이 발견된 경우 해당 시설ㆍ장소 운영ㆍ관리부서의 장은 개선대책을 수립 ㆍ시행하여야 한다.⑤ 대도청 측정 결과는 「공공기관의 정보공개에 관한 법률」제9조제1항에 따른 비공개 대상 정보로 지정ㆍ관리하여야 한다.⑥ 기타 대도청 측정과 관련한 사항은 국가정보원장이 배포한 「도청 탐지ㆍ방어활동 가이드라인」을 준수하여야 한다.

제86조(사이버공격 대응훈련) 정보보안담당관은 위원회 정보통신망을 대상으로 매년 정기 또는 수시로 다음 각 호를 포함한 사이버공격 대응훈련을 실시하여야 한다.1. 모의 해킹메일 훈련2. 전산망 침투 훈련(모의해킹)3. 사이버공격 유형별 대응 훈련(위기 상황별 도상훈련)

제87조(진단ㆍ점검) ① 정보화사업담당관은 「사이버안보 업무규정」 제12조제1항에 따른 진단ㆍ점검 또는 그 밖의 법규에 따라 정보통신망 보안진단ㆍ점검을 실시할 경우, 국가정보원장이 배포하는 다음 각 호의 가이드라인 등을 참고하여야 하며, 이에 필요한 관련예산 확보 등을 위하여 노력하여야 한다.1. 사이버보안 강화를 위한 길라잡이(정보통신시스템 보안진단 및 대응방법)2. 홈페이지ㆍ네트워크ㆍ시스템ㆍDBMS 취약점 점검매뉴얼3. 정보보안점검 체크리스트② 그 밖에 보안진단에 관한 사항은 기본지침 제97조(정보통신망 보안진단)에 따른다.

제88조(자체 평가) ① 정보보안담당관은 기본지침 제98조제2항에 따른 국가정보원장이 배포한 평가지표에 따라 자체 평가를 실시하여야 한다.② 정보보안담당관은 자체 평가를 위해 분임정보보안담당관 및 정보시스템 관리자 등에게 증빙자료의 제출을 요청할 수 있으며 이 경우 특별한 사유가 없는 한 이에 따라야 한다.③ 정보보안담당관은 자체 평가의 적절성을 입증하기 위하여 필요하다고 판단하는 경우 평가지표별 증빙자료를 국가정보원장에게 제출할 수 있다.④ 그 밖에 정보보안 관리실태 평가에 관한 사항은 기본지침 제2절(정보보안 관리실태 평가)에 따른다.

제89조(현장 실사) ① 국가정보원장은 제1항에 따른 자체평가의 객관성ㆍ공정성을 확보하기 위하여 위원회에 방문하여 자체 평가결과를 검증(이하 "현장 실사"라 한다)할 수 있다.② 제1항에 따른 현장 실사가 효율적으로 수행될 수 있도록 다음 각 호에 해당하는 사항에 협조하여야 한다.1. 사이버위기 대응능력 점검2. 정보통신망 및 정보시스템 보안진단3. PC 등 단말기ㆍ휴대용 저장매체 보안관리 실태 확인4. 공무원 등의 정보보안 기본수칙 숙지여부 확인5. 자체 평가에 대한 증빙자료 제출6. 담당자 면담 등

제90조(사이버공격으로 인한 사고) ① 「사이버안보 업무규정」 제16조제1항에 따라 사고조사를 실시할 경우 국가정보원장은 안보위해(危害) 공격으로 인한 사고에 대하여 조사를 실시하며, 정보보안담당관은 안보위해(危害) 공격을 제외한 사이버공격으로 인한 사고에 대하여 조사를 실시한다.② 정보보안담당관은 사이버공격으로 인한 사고의 원인 분석 및 재발 방지를 위하여 피해 부서의 장에게 다음 각 호에 해당하는 자료 제출을 요청할 수 있다. 사이버공격으로 인하여 「보안업무규정」제38조 및 제45조, 「보안업무규정 시행규칙」제65조의2에 따른 조사를 실시하는 경우에도 같다.1. 공격 주체 및 피해자를 식별하기 위한 IP주소 및 MAC주소, 전자우편 주소, 정보통신서비스 이용자 계정 정보, 피해자의 성명 및 연락처2. 사이버공격에 사용된 악성프로그램 및 공격 과정에서 생성ㆍ변경 또는 복제된 디지털정보3. 공격 주체가 절취한 디지털정보4. 공격 주체의 행위가 기록된 내역 또는 로그기록③ 제2항에 따른 자료 제출을 요청받은 피해 부서의 장은 관계 법규에 저촉되지 않는 범위 내에서 해당 자료를 제출하여야 하며 조사 기관의 장은 제출받은 자료를 사고원인 분석, 공격자 의도 파악, 피해영향 평가 등 사이버공격에 대한 예방 및 대응과 관련한 목적으로만 사용하여야 한다.④ 피해 정보화사업담당관 및 피해자는 사고 원인을 규명할 때까지 피해 시스템에 대한 증거를 보전하고 임의로 관련 자료를 삭제하거나 포맷하여서는 아니 된다.⑤ 공공 전용(專用) 민간 클라우드를 이용하는 정보화사업담당관은 공공 전용(專用) 민간 클라우드에서 사고가 발생한 경우 조사 기관의 장과 합동으로 조사반을 구성하여 클라우드컴퓨팅서비스제공자에 대하여 계약의 범위 내에서 자료의 보전 및 제출 요구, 현장 조사 등 필요한 조치를 취하여야 한다. 조치 후 그 결과를 정보보안담당관에게 제출하여야 한다.

제91조(정보통신보안 규정 위반 및 자료유출 사고) ① 정보보안담당관은 국가정보원장으로부터「보안업무규정 시행규칙」[별표 2]에 따른 정보통신보안규정 위반사항에 대한 사실을 통보받은 경우 동규정 시행규칙 제66조제3항에 따라 즉시 필요한 조치를 취하고 위규자, 위규 내용 및 조치 결과를 국가정보원장에게 통보하여야 한다.② 비밀ㆍ대외비 등 국가 기밀에 속하는 업무자료가 유출되거나 비공개 업무자료가 유출된 사고 중 「국가정보원법」 제4조제1항제1호 나목부터 마목까지와 관련된 사안일 경우 즉시 국가정보원장에게 통보하여 합동 조사를 실시하여야 한다.③ 위원회 소속 공무원 등의 과실로 인하여 개인 소유의 정보통신기기 및 이동통신단말기, 상용 정보통신서비스에서 제2항에 따른 유출사고가 발생한 경우 조사 기관의 장은 해당 공무원 등에게 저장자료ㆍ이용 내역 등의 자료 제출을 요청할 수 있다.④ 소속 공무원 등은 제3항에 따른 요청이 위법하다고 판단하는 경우 그 사유를 소명하고 자료 제출을 거부할 수 있다.⑤ 조사 기관의 장은 제1항 및 제2항에 따른 조사를 통해 유출이 확인된 자료에 대하여 관계 기관의 장과 합동으로 국가안보 및 국익, 정부정책에 미치는 영향을 평가하여 필요한 조치를 취하여야 한다.

제92조(재발방지 조치) ① 조사 기관의 장은 조사 결과 및 재발방지를 위한 보안조치 사항을 정보보안담당관에게 통보하여야 한다.② 제1항에 따라 조사 결과를 통보받은 정보보안담당관은 관계 법규에 따른 관련자 징계, 개선대책 수립ㆍ시행 등 필요한 조치를 취하여야 한다.

제93조(준용) 이 세칙에 명시되지 않은 사항은 다음 관련규정 및 지침에 따른다.1. 국가 정보보안 기본지침2. 보안업무 규정 및 위원회 보안업무규정 시행세칙3. 정보화사업 보안관리 가이드라인4. 기타 관련법령

제94조(재검토 기한) 위원장은 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 이 지침에 대하여 2024년 1월 1일 기준으로 매3년이 되는 시점(3년째의 12.31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.