# 행정기관 및 공공기관 정보자원 통합기준
(행정규칙구분=고시, 공포일자=20230927, 시행일자=20231227, 소관부처=행정안전부)
행정규칙번호: 2023-69
출처: 국가법령정보센터

행정규칙명: 행정기관 및 공공기관 정보자원 통합기준
행정규칙종류: 고시
발령일자: 20230927
발령번호: 2023-69
시행일자: 20231227
소관부처: 행정안전부
담당부서기관: 행정안전부(디지털기반안전과)
현행여부: Y

조문내용:
['제1조(목적) 이 고시는 「전자정부법」 제54조 및 같은 법 시행령 제66조, 「지능정보화 기본법」 제40조제3항 및 같은 법 시행령 제26조제2항, 제28조제3호에 따라 행정기관 및 공공기관(이하 "행정기관등"이라 한다)의 정보시스템을 통합적으로 구축ㆍ관리하기 위한 기준 및 원칙을 정하고 통합관리기관 지정ㆍ운영 및 행정기관등의 데이터센터 구축ㆍ운영, 정보시스템 운영시설의 안정적인 운영에 필요한 사항을 정함을 목적으로 한다.', '제2조(정의) 이 고시에서 사용하는 용어의 정의는 다음과 같다.1. "행정기관"이란 「전자정부법」(이하 "법"이라 한다) 제2조제2호에 따른 행정기관을 말한다.2. "공공기관"이란 법 제2조제3호에 따른 공공기관(「초ㆍ중등교육법」 제3조제3호 및 「고등교육법」 제3조에 따른 사립학교는 제외)을 말한다.3. "데이터센터"란 행정기관등이 전자정부서비스를 제공하기 위해 정보시스템을 일정한 공간에 집적시켜 통합 운영ㆍ관리하는 시설을 말한다.4. "통합관리기관"이란 행정안전부장관이 법 제54조제3항에 따라 행정기관등의 정보시스템을 통합적으로 구축ㆍ관리하기 위해 지정한 전담기관을 말한다.5. "정보시스템"이란 법 제2조제13호에 따른 정보시스템을 말한다.6. "정보시스템 등급"은 「행정기관 및 공공기관 정보시스템 구축ㆍ운영 지침」제48조의2에 따른 정보시스템 등급을 말한다.7. "정보시스템 운영시설"이란 행정기관등이 정보시스템을 운영하기 위해 보유한 건축물 및 건축설비를 말한다.8. "범정부 정보기술아키텍처 지원시스템"(이하 "범정부 EA 포털"이라 한다)이란 법 제47조제3항에 따라 행정안전부장관이 행정기관등에서 정보기술아키텍처 관련 정보를 공동으로 등록ㆍ관리ㆍ활용할 수 있도록 구축ㆍ운영하는 시스템을 말한다.', '제3조(적용범위) 이 고시는 행정기관등의 정보시스템 통합과 통합관리기관의 지정ㆍ운영 및 데이터센터 구축ㆍ운영, 정보시스템 운영시설의 안정적인 운영에 대하여 적용한다.', '제4조(기본원칙)  행정기관등의 장은 다음 각 호의 기본원칙에 따라 정보시스템을 통합적으로 구축ㆍ관리해야 한다.1. 정보시스템의 효율적 구축ㆍ관리를 위한 표준화 및 공동 이용2. 침해ㆍ위협으로부터 안전하고 신뢰할 수 있는 보안환경 구현3. 소규모 데이터센터 통합 및 정보시스템의 연계ㆍ통합 운영환경 구현4. 정보시스템의 에너지 및 비용 효율성 향상5. 정보시스템 운영시설의 안정적인 운영', '제5조(정보자원통합실무협의회 구성ㆍ운영) 행정안전부장관은 「전자정부법 시행령」(이하 "영"이라 한다) 제66조의2에 따른 정보자원통합심의위원회(이하 "정보자원통합심의위원회"라 한다)에 상정될 안건을 미리 검토하고 정보자원통합심의위원회의 운영을 지원하기 위하여 정보자원통합실무협의회를 구성ㆍ운영할 수 있다.', '제6조(전문기관) ① 법 제71조제1항에 따라 행정안전부장관이 지정한 전문기관의 장은 영 제86조제3항제4호에 따라 다음 각 호의 업무 중 일부 또는 전부를 위탁받아 수행한다.1. 행정기관등의 정보시스템 통합2. 통합관리기관 지정, 업무 정지 및 취소 지원3. 행정기관등의 통합관리기관 이용 지원4. 정보자원통합심의위원회 운영 지원5. 정보시스템 운영시설의 안정적인 운영 지원6. 그 밖에 정보시스템 통합과 관련하여 행정안전부장관이 정하는 업무② 행정안전부장관은 전문기관의 업무수행에 필요한 경비의 전부 또는 일부를 지원할 수 있다.', '제7조(통합 대상) ① 정보시스템 통합 대상은 행정기관등의 장이 신규로 구축하거나 운영ㆍ관리하고 있는 모든 정보시스템으로 한다.② 제1항에도 불구하고 다음 각 호 중 어느 하나의 정보시스템에 해당하는 경우에는 통합대상에서 제외한다.1. 다른 법령에 따라 특정 장소에 설치ㆍ운영하도록 규정된 정보시스템2. 원자력, 상수도, 가스 등 시설제어와 관련한 정보시스템3. 센서, CCTV 등 현장자료를 실시간으로 수집ㆍ전송하는 정보시스템4. 행정기관등의 내부운영을 위한 보안ㆍ통신, 보안관제 등 현장설치가 필요한 정보시스템5. 출입통제, 현장장비 제어 등 통신 성능 및 안정성의 사유로 현장에 위치해야 하는 정보시스템6. 슈퍼컴퓨터 등 정보시스템의 특성상 통합이 불가능한 정보시스템7. 그 밖에 행정안전부장관이 정보자원통합심의위원회의 심의를 거쳐 정보시스템의 통합이 곤란하다고 인정한 정보시스템', '제8조(통합관리기관 지정) ① 행정안전부장관은 법 제54조제3항에 따른 통합관리기관을 지정하려는 경우에는 통합관리기관 지정 계획을 수립해야 한다.② 행정기관등의 장은 제1항의 통합관리기관 지정 계획에 따라 통합관리기관으로 지정받고자 하는 경우 별표 1의 지정요건을 갖추어 행정안전부장관에게 신청해야 한다.③ 행정안전부장관은 제1항에 따라 통합관리기관 지정신청을 받은 경우 관계부처, 학계, 연구기관 등의 실무전문가로 구성된 검토반을 구성ㆍ운영하여 심의 대상에 대한 서류 검토 또는 현장 실사를 할 수 있다.④ 행정안전부장관은 통합관리기관을 지정할 경우에는 정보자원통합심의위원회의 심의를 거쳐야 한다.', '제9조(통합관리기관 지정 취소 및 정지) ① 행정안전부장관은 제8조에 따라 지정된 통합관리기관이 다음 각 호의 어느 하나에 해당하는 경우에는 그 지정을 취소하거나 6개월 이내의 기간을 정하여 그 업무의 전부 또는 일부의 정지를 명할 수 있다.1. 거짓이나 그 밖의 부정한 방법으로 지정을 받은 경우2. 별표 1의 지정요건에 적합하지 아니하게 된 경우3. 통합관리기관으로 지정받은 행정기관등의 장이 지정 취소를 요청한 경우② 행정안전부장관은 제1항에 따라 통합관리기관 지정을 취소하거나 업무 정지를 명하고자 할 경우에는 정보자원통합심의위원회 심의를 거쳐야 한다.', '제10조(통합관리기관의 책무) 통합관리기관은 다음 각 호의 업무를 수행한다.1. 정보시스템의 통합 및 유지ㆍ관리2. 사이버침해에 대비한 보안관제 및 침해 대응3. 정보통신망의 구축 및 관리4. 정보시스템 재해복구 등에 관한 계획의 수립 및 시행5. 행정기관등에 제공하는 별표 2의 서비스 품질 수준의 측정, 평가 및 개선6. 그 밖에 정보시스템의 안정적인 통합 운영ㆍ관리에 필요한 사항', '제11조(통합관리기관의 점검) ① 행정안전부장관은 통합관리기관에 대하여 통합관리기관 지정요건 충족 여부 및 서비스 품질 수준 등을 점검할 수 있다.② 행정안전부장관은 통합관리기관에 대하여 정보시스템 통합 현황, 운영현황 및 운영성과 등의 자료 제출을 요구할 수 있다.', '제12조(통합관리기관의 이용료 징수 등) ① 통합관리기관의 장은 소관 정보시스템의 통합ㆍ구축을 요청하는 행정기관등의 장(이하 "이용기관의 장"이라 한다)에게 해당 정보시스템의 구축ㆍ운영에 소요되는 비용을 징수할 수 있다.② 통합관리기관의 장은 이용기관의 장에게 비용을 징수할 경우에는 비용 산정기준 및 부과방식 등을 정하여 이용기관의 장에게 사전에 통지하고 정보통신망을 통하여 공개해야 한다.', '제13조(통합방법) ① 행정안전부장관이 법 제54조제2항에 따라 행정기관등의 정보시스템을 통합적으로 구축ㆍ운영하려는 경우에는 정보시스템 소관 행정기관등의 장의 의견을 청취하여 통합할 대상 정보시스템을 정하고 해당 행정기관의 장에게 통지해야 한다.② 행정기관등의 장은 소관 정보시스템을 효율적으로 관리할 수 있도록 통합적으로 구축ㆍ관리해야 한다.', '제14조(데이터센터 신규 구축 등) ① 행정기관등의 장이 다음 각 호의 어느 하나에 해당하는 경우에는 데이터센터를 신규로 구축할 수 있다.1. 다른 법령에서 데이터센터를 구축할 수 있도록 정한 경우2. 제8조에 따라 통합관리기관으로 지정된 경우3. 제7조제2항에 따른 정보시스템을 구축ㆍ운영하는 경우4. 법 제55조에 따른 지역정보통합센터를 설립ㆍ운영하는 경우5. 제13조제2항에 따라 자체적으로 정보시스템을 통합하는 경우② 행정기관등의 장은 제1항의 경우를 제외하고는 데이터센터를 신규로 구축할 수 없다.③ 행정기관등의 장이 제1항에 따라 데이터센터를 신규로 구축하려는 경우에는 행정안전부장관과 사전에 협의해야 한다.', '제15조(정보시스템 운영시설의 점검 등) ① 행정기관등의 장은 해당 기관 및 그 소속 기관이 보유한 정보시스템 운영시설을 매년 별표 3에 따라 점검하고 그 결과를 3월 31일까지 범정부 EA 포털에 등록해야 한다.② 행정안전부장관은 제1항에 따른 점검 결과를 검토하고, 필요시 현장점검을 실시할 수 있다.', '제16조(정보시스템 운영시설의 개선 등) ① 행정안전부장관은 제15조제2항에 따른 검토 결과 정보시스템 운영시설이 다음 각 호를 충족시키지 못하는 경우 관계 기관의 장 및 해당 정보시스템 운영시설을 관리ㆍ운영하는 자(이하 "정보시스템 운영시설을 관리ㆍ운영하는 자등"이라 한다)에게 개선권고 등 필요한 조치를 요청할 수 있다.1. 정보시스템 등급 1등급 및 2등급은 별표 3의 운영시설 안정성 기준 "상"을 충족2. 정보시스템 등급 3등급은 별표 3의 운영시설 안정성 기준 "중" 이상을 충족3. 정보시스템 등급 4등급 및 5등급은 별표 3의 운영시설 안정성 기준 "하" 이상을 충족② 제1항에 따른 개선권고를 받은 정보시스템 운영시설을 관리ㆍ운영하는 자등은 그 요청을 받은 때로부터 1개월 이내에 정보시스템 운영시설의 보강, 정보시스템 이전 등 조치계획을 행정안전부장관에게 제출해야 한다.③ 행정안전부장관은 제2항에 따라 제출된 조치계획을 검토하고, 정보시스템 운영시설을 관리ㆍ운영하는 자등에게 수정을 요청할 수 있다.④ 제3항에 따라 요청을 받은 정보시스템 운영시설을 관리ㆍ운영하는 자등은 정당한 사유 없이 그 요청을 거부할 수 없으며, 제2항의 조치계획에 따른 조치결과를 행정안전부장관에게 제출해야 한다.⑤ 행정안전부장관은 제4항에 따른 조치결과를 확인하기 위하여 현장점검을 추가로 실시할 수 있다.', '제17조(재검토기한) 행정안전부장관은 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 2024년 1월 1일 기준으로 매 3년이 되는 시점(매 3년째의 12월 31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 해야 한다.']


별표

별표 0001: 통합관리기관 지정요건(제8조제2항 관련)

[별표1]

┌────────────────────┬──────────────────────────────┐

│구   분                                 │세 부 조 치 사 항                                           │

├───┬──────┬─────────┼──────────────────────────────┤

│      │1.1         │1.1.1.            │서버, 스토리지 등의 정보통신장비와 함께 소방설비, CCTV      │

│기반  │전산운영    │데이터센터 공간   │등을 구비하여 물리적 안정성이 보장되어야 하며, 외부와       │

│시설  │            │                  │공간이 분리되어 접근 통제가 가능해야 한다.                  │

│      │            ├─────────┼──────────────────────────────┤

│      │            │1.1.2.            │정전, 전압 변동 등의 상황이 발생하더라도 통합관리기관에     │

│      │            │전력공급시설      │안정적인 전력을 공급하기 위한 수·배전, 무정전전원장치 등을 │

│      │            │                  │구비해야 한다.                                              │

│      │            ├─────────┼──────────────────────────────┤

│      │            │1.1.3.            │데이터센터 내부를 일정한 온도 및 습도로 유지하기 위한       │

│      │            │공조시설          │시설 또는 외기 냉방시설 등을 구비해야 한다.                 │

│      │            ├─────────┼──────────────────────────────┤

│      │            │1.1.4.            │장시간 정전이 발생할 경우 통합관리기관 전체부하를 감당할    │

│      │            │비상발전시설      │수 있도록 비상발전기 등 자체 전력공급 능력을 구비해야       │

│      │            │                  │한다.                                                       │

│      ├──────┼─────────┼──────────────────────────────┤

│      │1.2         │1.2.1             │신규 또는 교체ㆍ개체 수요 발생 시 특별한 사유가 없는 한     │

│      │에너지      │고효율기기        │「고효율에너지기자재 보급촉진에 관한 규정」(산업통상자원    │

│      │효율        │                  │부고시)에 따른 고효율에너지기자재 인증제품, 「효율관리기    │

│      │            │                  │자재 운용규정」(산업통상자원부고시)에 따른 에너지소비효율   │

│      │            │                  │1등급 제품 또는 ?대기전력저감프로그램 운용규정」(산업통    │

│      │            │                  │상자원부고시)에 따른 에너지절약마크가 표시된 제품을 우선    │

│      │            │                  │적용해야 한다. 다만, 고효율에너지기자재 인증제품 또는 에    │

│      │            │                  │너지소비효율 1등급 제품이 없는 경우에는 차상위 에너지효     │

│      │            │                  │율등급 제품을 적용할 수 있다.                               │

│      │            ├─────────┼──────────────────────────────┤

│      │            │1.2.2.            │데이터센터를 신축하거나 별동으로 증축하는 경우 에너지 효    │

│      │            │에너지효율        │율을 최대화하고 환경에 미치는 영향을 최소화하여 운영되도    │

│      │            │관리              │록 설계해야 하며, 「에너지이용 합리화법」 제2조에 따른      │

│      │            │                  │에너지관리시스템을 구축·운영해야 한다.                     │

│      │            │                  ├──────────────────────────────┤

│      │            │                  │태양광 등 신·재생에너지 설비 도입을 통해 데이터센터의 에   │

│      │            │                  │너지자립률 향상을 위해 노력해야 한다.                       │

│      │            │                  ├──────────────────────────────┤

│      │            │                  │한국산업표준(KS) X ISO/IEC 30134-2에 따른 전력사용효율      │

│      │            │                  │지수(PUE*)를 설정하여 측정·관리하고, 데이터센터의 지속적   │

│      │            │                  │인 에너지효율 개선을 위해 노력해야 한다.                    │

│      │            │                  │* PUE(Power Usage Effectiveness, 전력사용효율지수)          │

├───┼──────┼─────────┼──────────────────────────────┤

│2.    │2.1.        │2.1.1.            │정보보호 정책을 문서화하고, 정보보호 최고책임자의 승인      │

│정보  │정보보호    │정보보호 정책     │후 정책에 영향을 받는 모든 업무 관련자에게 제공해야         │

│보호  │정책        │수립              │한다.                                                       │

│정책  │            ├─────────┼──────────────────────────────┤

│및    │            │2.1.2.            │정보보호 정책의 타당성 및 효과를 연 1회 이상 검토하고,      │

│조직  │            │정보보호 정책     │관련 법규 변경 및 내·외부 보안사고 발생 등의 중대한        │

│      │            │검토 및 변경      │사유가 발생할 경우에는 추가로 검토하고 변경해야 한다.       │

│      │            ├─────────┼──────────────────────────────┤

│      │            │2.1.3.            │정보보호 정책 및 정책 시행문서의 이력관리 절차를            │

│      │            │정보보호          │수립?시행해야 한다.                                        │

│      │            │정책문서 관리     │                                                            │

│      ├──────┼─────────┼──────────────────────────────┤

│      │2.2.        │2.2.1.            │정보보호 활동을 계획?실행?검토하는 정보보호 전담조직을    │

│      │정보보호    │조직 구성         │구성하고 정보보호 최고책임자를 임명해야 한다.               │

│      │조직        ├─────────┼──────────────────────────────┤

│      │            │2.2.2.            │정보자산과 보안에 관련된 모든 업무 관련자의 정보보호        │

│      │            │역할 및 책임      │역할과 책임을 명확하게 정의해야 한다.                       │

│      │            │부여              │                                                            │

│      │            ├─────────┼──────────────────────────────┤

│      │            │2.2.3.            │통합관리기관과 이용기관의 보안에 관한 책임범위는 업무별     │

│      │            │보안에 관한 책무  │특성 등을 고려하여 양 기관이 협약으로 정한 책임과 역할에    │

│      │            │                  │따라 정해지며, 정해진 소관 업무범위에 따라 침해사고의       │

│      │            │                  │예방?대응?복구활동을 수행해야 한다.                       │

├───┼──────┼─────────┼──────────────────────────────┤

│3.    │3.1.        │3.1.1.            │정보시스템 운영?개발 및 정보보호 등에 관련된 부서장의      │

│인적  │내부인력    │주요 직무자 지정  │경우 주요 직무자로 지정하여 관리하고, 직무 지정 범위는      │

│보안  │보안        │및 감독           │최소화해야 한다.                                            │

│      │            ├─────────┼──────────────────────────────┤

│      │            │3.1.2.            │권한 오남용 등 내부 부서장의 고의적인 행위로 발생할 수      │

│      │            │직무 분리         │있는 잠재적인 위협을 줄이기 위하여 직무분리 기준을          │

│      │            │                  │수립하고 적용해야 한다.                                     │

│      │            ├─────────┼──────────────────────────────┤

│      │            │3.1.3.            │정보보호와 개인정보보호 등을 위해 필요한 사항을             │

│      │            │비밀유지서약서    │비밀유지서약서에 정의하고 주기적으로 갱신해야 한다.         │

│      │            ├─────────┼──────────────────────────────┤

│      │            │3.1.4.            │직원의 퇴직 또는 직무 변경에 관한 책임을 명시적으로 정의    │

│      │            │퇴직 및 직무변경  │하고 수행해야 한다. 또한 이에 대한 접근권한도 제거해야 한   │

│      │            │                  │다.                                                         │

│      ├──────┼─────────┼──────────────────────────────┤

│      │3.2.        │3.2.1.            │외부인력(외부유지보수직원, 외부용역자 포함)에 의한          │

│      │외부인력    │외부인력 계약     │정보자산 접근 등과 관련된 보안요구사항을 계약에             │

│      │보안        │                  │반영해야 한다.                                              │

│      │            ├─────────┼──────────────────────────────┤

│      │            │3.2.2.            │계약서에 명시한 보안요구사항 준수 여부를 주기적으로         │

│      │            │외부인력 보안     │점검하고 위반사항이나 침해사고 발생 시 적절한 조치를        │

│      │            │이행 관리         │수행해야 한다.                                              │

│      │            ├─────────┼──────────────────────────────┤

│      │            │3.2.3.            │외부인력과의 계약 만료 시 자산 반납, 접근권한의 회수,       │

│      │            │계약 만료 시      │중요정보 파기, 업무 수행 시 알게 된 정보에 대한 비밀        │

│      │            │보안              │유지서약 등을 확인해야 한다.                                │

│      ├──────┼─────────┼──────────────────────────────┤

│      │3.3.        │3.3.1             │모든 직원 및 외부 업무 관련자를 포함하여 연간 정보보호      │

│      │정보보호    │교육 프로그램     │교육 프로그램을 수립해야 한다.                              │

│      │교육        │수립              │                                                            │

│      │            ├─────────┼──────────────────────────────┤

│      │            │3.3.2.            │모든 직원 및 외부 업무 관련자를 대상으로 연 1회 이상        │

│      │            │교육 시행         │정보보호 교육을 시행하고 정보보호 정책 및 절차의 중대한     │

│      │            │                  │변경, 내·외부 보안사고 발생, 관련 법규 변경 등의 사유가    │

│      │            │                  │발생하면 추가 교육을 실시해야 한다.                         │

│      │            ├─────────┼──────────────────────────────┤

│      │            │3.3.3.            │정보보호 교육 시행에 대한 기록을 남기고 결과를 평가하여     │

│      │            │평가 및 개선      │개선해야 한다.                                              │

├───┼──────┼─────────┼──────────────────────────────┤

│4.    │4.1.        │4.1.1.            │정보자산(시설, 장비, 소프트웨어 등)에 대한 자산분류기준     │

│자산  │ 자산 식별  │자산 식별         │수립하고 식별된 자산의 목록을 작성하여 관리해야 한다.       │

│관리  │및 분류     ├─────────┼──────────────────────────────┤

│      │            │4.1.2.            │식별된 자산마다 책임자 및 관리자를 지정하여 책임소재를      │

│      │            │자산별 책임할당   │명확히 해야 한다.                                           │

│      │            ├─────────┼──────────────────────────────┤

│      │            │4.1.3.            │기밀성, 무결성, 가용성, 법적요구사항 등을 고려하여 자산의   │

│      │            │보안등급 및 취급  │보안등급을 부여하고, 보안등급별 취급 절차에 따라            │

│      │            │                  │관리해야 한다.                                              │

│      ├──────┼─────────┼──────────────────────────────┤

│      │4.2.        │4.2.1.            │정보자산(시설, 장비, 소프트웨어 등)의 변경이 필요한 경우    │

│      │자산        │변경관리          │보안 영향 평가를 통해 변경 사항을 관리해야 한다. 또한       │

│      │변경관리    │                  │이용자에게 큰 영향을 주는 변경에 대해서는 사전에 공지를     │

│      │            │                  │해야 한다.                                                  │

│      │            ├─────────┼──────────────────────────────┤

│      │            │4.2.2.            │정보자산(시설, 장비, 소프트웨어 등)의 변경을 지속적으로     │

│      │            │변경 탐지 및      │모니터링하여 허가받지 않은 변경을 탐지하고 최신의 변경      │

│      │            │모니터링          │이력을 유지해야 한다.                                       │

│      │            ├─────────┼──────────────────────────────┤

│      │            │4.2.3.            │정보자산(시설, 장비, 소프트웨어 등)의 변경 후에는 보안성    │

│      │            │변경 후           │및 호환성 등에 대한 작업검증을 수행해야 한다.               │

│      │            │작업검증          │                                                            │

│      ├──────┼─────────┼──────────────────────────────┤

│      │4.3.        │4.3.1.            │관리적, 기술적, 물리적, 법적 분야 등 정보보호 전 영역에     │

│      │위험관리    │위험관리계획      │대한 위험식별 및 평가가 가능하도록 위험관리 방법과          │

│      │            │수립              │계획을 사전에 수립해야 한다.                                │

│      │            ├─────────┼──────────────────────────────┤

│      │            │4.3.2.            │취약점 점검 정책에 따라 주기적으로 기술적 취약점(예 :       │

│      │            │취약점 점검       │유·무선 네트워크, 운영체제 및 인프라, 응용 프로그램        │

│      │            │                  │취약점 등)을 점검하고 보완해야 한다.                        │

│      │            ├─────────┼──────────────────────────────┤

│      │            │4.3.3.            │위험관리 방법 및 계획에 따라 정보보호 전 영역에 대한        │

│      │            │위험분석 및 평가  │위험 식별 및 평가를 연 1회 이상 수행하고 그 결과에 따라     │

│      │            │                  │수용 가능한 위험수준을 설정하여 관리해야 한다.              │

│      │            ├─────────┼──────────────────────────────┤

│      │            │4.3.4.            │법규 및 계약관련 요구사항과 위험수용 수준을 고려하여        │

│      │            │위험처리          │위험평가 결과에 따라 통제할 수 있는 방법을 선택하여         │

│      │            │                  │처리해야 한다.                                              │

├───┼──────┼─────────┼──────────────────────────────┤

│5.    │5.1.        │5.1.1.            │침해사고에 대한 효율적이고 효과적인 대응을 위해             │

│침해  │침해사고    │침해사고 대응     │신고절차, 유출 금지 대상, 사고 처리 절차 등을 담은          │

│사고  │대응 절차   │절차 수립         │침해사고 대응절차를 마련해야 한다. 침해사고 대응절차는      │

│관리  │및 체계     │                  │통합관리기관과 이용기관의 책임과 절차가 포함되어야 한다.    │

│      │            ├─────────┼──────────────────────────────┤

│      │            │5.1.2.            │침해사고 정보를 수집·분석·대응할 수 있는 보안관제 시스템  │

│      │            │침해사고 대응     │및 조직을 구성·운영하고, 침해사고 유형 및 중요도에 따라    │

│      │            │체계 구축         │보고 및 협력체계를 구축해야 한다.                           │

│      │            ├─────────┼──────────────────────────────┤

│      │            │5.1.3.            │침해사고 대응과 관련된 역할 및 책임이 있는 담당자를         │

│      │            │침해사고 대응     │훈련시켜야 하고, 주기적으로 침해사고 대응 능력을            │

│      │            │훈련 및 점검      │점검해야 한다.                                              │

│      ├──────┼─────────┼──────────────────────────────┤

│      │5.2.        │5.2.1.            │침해사고 발생 시 침해사고 대응절차에 따라 이용기관에게      │

│      │침해사고    │침해사고 보고     │발생 내용, 원인, 조치 현황 등을 신속하게 알려야 한다.       │

│      │대응        ├─────────┼──────────────────────────────┤

│      │            │5.2.2.            │침해사고 발생 시 침해사고 대응절차에 따라 처리와 복구를     │

│      │            │침해사고          │신속하게 수행해야 한다                                      │

│      │            │처리 및 복구      │                                                            │

│      ├──────┼─────────┼──────────────────────────────┤

│      │5.3.        │5.3.1.            │침해사고가 처리 및 종결된 후 발생 원인을 분석하고 그        │

│      │사후관리    │침해사고          │결과를 이용기관에게 알려야 한다. 또한 유사한 침해사고에     │

│      │            │분석 및 공유      │대한 신속한 처리를 위해 침해사고 관련 정보 및 발견된        │

│      │            │                  │취약점을 행정안전부, 국가정보원 등 사이버 보안 유관기관과   │

│      │            │                  │공유해야 한다.                                              │

│      │            ├─────────┼──────────────────────────────┤

│      │            │5.3.2.            │침해사고 관련 정보를 활용하여 유사한 침해사고가 반복되지    │

│      │            │재발방지          │않도록 침해사고 재발방지 대책을 수립하고, 필요한 경우       │

│      │            │                  │침해사고 대응 체계도 변경해야 한다.                         │

├───┼──────┼─────────┼──────────────────────────────┤

│6.    │6.1.        │6.1.1.            │업무 연속성을 보장하기 위해 백업, 복구 등을 포함하는        │

│서비  │장애대응    │장애 대응절차     │장애 대응 절차를 마련해야 한다.                             │

│스연  │            │수립              │                                                            │

│속성  │            ├─────────┼──────────────────────────────┤

│관리  │            │6.1.2.            │서비스 중단이나 피해가 발생한 경우, 장애 대응절차에 따라    │

│      │            │장애 보고         │이용기관에게 발생 내용, 원인, 조치 현황 등을 신속하게       │

│      │            │                  │알려야 한다.                                                │

│      │            ├─────────┼──────────────────────────────┤

│      │            │6.1.3.            │서비스 중단이나 피해가 발생한 경우, 서비스 수준             │

│      │            │장애              │협약(SLA)에 명시된 시간 내에 장애대응절차에 따라 해당       │

│      │            │처리 및 복구      │서비스의 장애를 처리하고 복구시켜야 한다.                   │

│      │            ├─────────┼──────────────────────────────┤

│      │            │6.1.4.            │장애 관련 정보를 활용하여 유사한 서비스 중단이 반복되지     │

│      │            │재발방지          │않도록 장애 재발방지 대책을 수립하고, 필요한 경우 장애      │

│      │            │                  │대응 절차도 변경해야 한다.                                  │

│      ├──────┼─────────┼──────────────────────────────┤

│      │6.2.        │6.2.1.            │서버, 스토리지, 네트워크 장비, 통신 케이블, 접속 회선       │

│      │서비스      │이중화 및 백업    │등의 장애로 서비스가 중단되지 않도록 이중화하고, 장애 및    │

│      │가용성      │                  │재난재해 발생 시 신속하게 복구를 수행하도록 백업체계를      │

│      │            │                  │구축해야 한다.                                              │

├───┼──────┼─────────┼──────────────────────────────┤

│7.    │7.1.        │7.1.1.            │정보보호 관련 법적 요구사항을 식별하고 준수해야 한다.       │

│준거  │법 및 정책  │법적요구사항      │                                                            │

│성    │준수        │준수              │                                                            │

│      │            ├─────────┼──────────────────────────────┤

│      │            │7.1.2.            │정보보호 정책 및 서비스 수준 협약에 포함된 보안             │

│      │            │정보보호 정책     │요구사항을 식별하고 준수하며 이용자가 요구하는 경우         │

│      │            │준수              │관련 증거를 제공해야 한다.                                  │

│      │            ├─────────┼──────────────────────────────┤

│      │            │7.1.3.            │보안감사 증적(로그)은 식별할 수 있는 형태로 기록 및         │

│      │            │감사기록 및       │모니터링 되어야 하고 비인가된 접근 및 변조로부터            │

│      │            │모니터링          │보호되어야 한다.                                            │

├───┼──────┼─────────┼──────────────────────────────┤

│8.    │8.1.        │8.1.1.            │중요 정보 및 정보처리시설을 보호하기 위한 물리적 보안       │

│물리  │물리적      │물리적 보호구역   │구역(예 : 주요 정보처리 설비 및 시스템 구역, 사무실,        │

│적    │보호구역    │지정              │외부인 접견실 등)을 지정하고, 각 보안 구역에 대한 보안      │

│보안  │            │                  │대책을 마련해야 한다.                                       │

│      │            ├─────────┼──────────────────────────────┤

│      │            │8.1.2.            │물리적 보안 구역에 인가된 자만이 접근할 수 있도록 출입을    │

│      │            │물리적 출입통제   │통제하는 시설(예 : 경비원, 출입 통제 시스템 등)을 갖추어야  │

│      │            │                  │하고, 출입 및 접근 이력을 주기적으로 검토해야 한다.         │

│      │            ├─────────┼──────────────────────────────┤

│      │            │8.1.3.            │유지보수 등 주요 정보처리 설비 및 시스템이 위치한           │

│      │            │물리적 보호구역   │보호구역 내에서의 작업 절차를 수립하고 작업에 대한          │

│      │            │내 작업           │기록을 주기적으로 검토해야 한다.                            │

│      │            ├─────────┼──────────────────────────────┤

│      │            │8.1.4.            │사무실 및 설비 공간에 대한 물리적인 보호방안을 수립하고     │

│      │            │사무실 및 설비    │적용해야 한다.                                              │

│      │            │공간 보호         │                                                            │

│      │            ├─────────┼──────────────────────────────┤

│      │            │8.1.5.            │공공장소 및 운송ㆍ하역을 위한 구역은 내부                   │

│      │            │운송·하역구역    │정보처리시설로부터 분리 및 통제해야 한다.                   │

│      │            │보호              │                                                            │

│      │            ├─────────┼──────────────────────────────┤

│      │            │8.1.6.            │노트북 등 모바일 기기 미승인 반출입을 통한 중요정보         │

│      │            │모바일 기기       │유출, 내부망 악성코드 감염 등의 보안사고 예방을 위하여      │

│      │            │반출·입          │보호구역 내 직원 및 외부인력 모바일 기기 반출입             │

│      │            │                  │통제절차를 수립하고 기록·관리해야 한다                     │

│      ├──────┼─────────┼──────────────────────────────┤

│      │8.2.        │8.2.1.            │물리적 및 환경적 위험으로부터 잠재적 손상을 최소화하고      │

│      │정보처리    │정보처리시설의    │비인가 된 접근 가능성을 최소화하기 위하여, 정보처리시설     │

│      │시설 및     │배치              │내 장비의 위치를 파악하고 배치해야 한다.                    │

│      │장비보호    ├─────────┼──────────────────────────────┤

│      │            │8.2.2.            │각 보안 구역의 중요도 및 특성에 따라 화재, 누수, 전력       │

│      │            │보호설비          │이상 등 자연재해나 인재에 대비하여 화재 감지기, 소화        │

│      │            │                  │설비, 누수 감지기, 항온 항습기, 비상발전기, 무정전 전원     │

│      │            │                  │장치(UPS), 이중 전원선 등의 설비를 갖추어야 한다.           │

│      │            ├─────────┼──────────────────────────────┤

│      │            │8.2.3.            │데이터를 송수신하는 통신케이블이나 전력을 공급하는 전력     │

│      │            │케이블 보호       │케이블은 손상이나 도청으로부터 보호해야 한다.               │

│      │            ├─────────┼──────────────────────────────┤

│      │            │8.2.4.            │정보처리시설은 가용성과 무결성을 지속적으로 보장할 수       │

│      │            │시설 및 장비      │있도록 유지보수해야 한다.                                   │

│      │            │유지보수          │                                                            │

│      │            ├─────────┼──────────────────────────────┤

│      │            │8.2.5.            │장비의 미승인 반출·입을 통한 중요 정보 유출, 악성코드      │

│      │            │장비 반출·입     │감염 등의 침해사고 예방을 위하여, 보안 구역 내 직원 및      │

│      │            │                  │외부 업무 관련자에 의한 장비 반출·입 절차를 수립하고,      │

│      │            │                  │기록 및 관리해야 한다.                                      │

│      │            ├─────────┼──────────────────────────────┤

│      │            │8.2.6.            │정보처리시설 내의 저장 매체를 포함하여 모든 장비를          │

│      │            │장비 폐기 및      │파악하고, 민감한 데이터가 저장된 장비를 폐기하는 경우       │

│      │            │재사용            │복구 불가능하도록 해야 한다. 또한 재사용하는 경우에도       │

│      │            │                  │복구 불가능 상태에서 재사용해야 한다.                       │

├───┼──────┼─────────┼──────────────────────────────┤

│9.    │9.1.        │9.1.1.            │비인가자의 접근을 통제할 수 있도록 접근통제 영역 및         │

│접근  │ 접근통제   │접근통제 정책     │범위, 접근통제 규칙, 방법 등을 포함하여 접근통제 정책을     │

│통제  │정책        │수립              │수립해야 한다.                                              │

│      │            ├─────────┼──────────────────────────────┤

│      │            │9.1.2.            │접근기록 대상을 정의하고 서비스 통제, 관리, 사고 발생       │

│      │            │접근기록 관리     │책임 추적성 등을 보장할 수 있는 형태로 기록되고 유지해야    │

│      │            │                  │한다.                                                       │

│      ├──────┼─────────┼──────────────────────────────┤

│      │9.2.        │9.2.1.            │시스템 및 중요정보에 대한 접근을 통제하기 위하여            │

│      │접근 권한   │사용자 등록 및    │공식적인 사용자 등록 및 해지 절차를 수립하고 업무           │

│      │관리        │권한부여          │필요성에 따라 사용자 접근권한을 최소한으로 부여해야         │

│      │            │                  │한다.                                                       │

│      │            ├─────────┼──────────────────────────────┤

│      │            │9.2.2.            │시스템 및 중요정보 관리 및 특수 목적을 위해 부여한 계정     │

│      │            │관리자 및 특수    │및 권한을 식별하고 별도 통제해야 한다.                      │

│      │            │권한관리          │                                                            │

│      │            ├─────────┼──────────────────────────────┤

│      │            │9.2.3.            │시스템 및 중요정보에 대한 접근을 관리하기 위하여            │

│      │            │접근권한 검토     │접근권한 부여, 이용(장기간 미사용), 변경(퇴직 및 휴직,      │

│      │            │                  │직무변경, 부서변경)의 적정성 여부를 정기적으로 점검해야     │

│      │            │                  │한다.                                                       │

│      ├──────┼─────────┼──────────────────────────────┤

│      │9.3.        │9.3.1.            │시스템에서 사용자를 유일하게 구분할 수 있는 식별자를        │

│      │사용자      │사용자 식별       │할당하고 추측 가능한 식별자 사용을 제한해야 한다. 동일한    │

│      │식별 및     │                  │식별자를 공유하여 사용하는 경우 그 사유와 타당성을          │

│      │인증        │                  │검토하고 책임자의 승인을 받아야 한다.                       │

│      │            ├─────────┼──────────────────────────────┤

│      │            │9.3.2.            │시스템에 대한 접근은 사용자 인증, 로그인 횟수 제한, 불법    │

│      │            │사용자 인증       │로그인 시도 경고 등 안전한 사용자 인증 절차에 의해          │

│      │            │                  │통제해야 한다.                                              │

│      │            ├─────────┼──────────────────────────────┤

│      │            │9.3.3.            │법적 요구사항, 외부 위협요인 등을 고려하여 패스워드         │

│      │            │패스워드 관리     │복잡도 기준, 초기 패스워드 변경, 변경주기 등 패스워드       │

│      │            │                  │관리절차를 수립·이행해야 한다. 특히 관리자 패스워드는      │

│      │            │                  │별도 보호대책을 수립하여 관리해야 한다.                     │

├───┼──────┼─────────┼──────────────────────────────┤

│10.   │10.1.       │10.1.1.           │서비스와 관련된 내·외부 네트워크에 대해 보안 정책과        │

│네트  │네트워크    │보안 정책 수립    │절차를 수립해야 한다.                                       │

│워크  │보안        ├─────────┼──────────────────────────────┤

│보안  │            │10.1.2.           │DDoS, 비인가 접속 등으로 인한 서비스 중단 및 중요 정보      │

│      │            │네트워크          │유출 등을 막기 위해 네트워크를 모니터링하고 통제해야        │

│      │            │모니터링 및 통제  │한다.                                                       │

│      │            ├─────────┼──────────────────────────────┤

│      │            │10.1.3.           │서비스와 관련된  내·외부 네트워크를 보호하기 위하여        │

│      │            │네트워크          │정보보호시스템(방화벽, IPS, IDS, VPN 등)을 운영해야 한다.   │

│      │            │정보보호          │                                                            │

│      │            ├─────────┼──────────────────────────────┤

│      │            │10.1.4.           │시스템에서 중요 정보가 이동하는 구간에 대해서는 암호화된    │

│      │            │네트워크 암호화   │통신채널을 사용해야 한다.                                   │

│      │            ├─────────┼──────────────────────────────┤

│      │            │10.1.5.           │시스템관리 영역과 서비스 영역의 네트워크 접근은 물리적      │

│      │            │네트워크 분리     │또는 논리적으로 분리해야 한다. 행정기관의 경우              │

│      │            │                  │국가정보원의 행정업무망과 인터넷망의 분리 정책을            │

│      │            │                  │유지해야 한다.                                              │

│      │            ├─────────┼──────────────────────────────┤

│      │            │10.1.6.           │시스템은 무선망과 분리하고 무선접속에 대한 접근을           │

│      │            │무선 접근통제     │통제해야 한다. 무선접속을 사용하는 경우 그 사유와           │

│      │            │                  │타당성을 검토하고 책임자의 승인을 받아야 한다               │

├───┼──────┼─────────┼──────────────────────────────┤

│11.   │11.1.       │11.1.1.           │가상화기술을 적용한 경우 가상자원(가상 머신, 가상           │

│가상  │가상화      │가상자원 관리     │스토리지, 가상 소프트웨어 등)의 생성, 변경, 회수 등에 대한  │

│화    │인프라      │                  │관리 방안을 수립해야 한다.                                  │

│보안  │            ├─────────┼──────────────────────────────┤

│      │            │11.1.2.           │가상화 기술을 적용한 경우 가상자원에 대한 무결성을          │

│      │            │가상자원          │보장하기 위한 보호조치 및 가상자원의 변경(수정, 이동,       │

│      │            │모니터링          │삭제, 복사)에 대해 모니터링 해야 한다. 또한, 가상자원에     │

│      │            │                  │손상이 발생한 경우 이를 이용기관에게 알려주어야 한다.       │

│      │            ├─────────┼──────────────────────────────┤

│      │            │11.1.3.           │가상화 기술을 적용한 경우 가상자원을 관리하는               │

│      │            │하이퍼바이저      │하이퍼바이저의 기능 및 인터페이스에 대한 접근 통제          │

│      │            │보안              │방안을 마련해야 한다. 또한 하이퍼바이저에 대한              │

│      │            │                  │소프트웨어 업데이트 및 보안패치를 최신으로 유지해야         │

│      │            │                  │한다.                                                       │

│      │            ├─────────┼──────────────────────────────┤

│      │            │11.1.4.           │가상화 기술을 적용한 경우 가상자원을 제공하기 위한          │

│      │            │공개서버 보안     │웹사이트와 가상소프트웨어(앱, 응용프로그램)를 배포하기      │

│      │            │                  │위한 공개서버에 대한 물리적, 기술적 보호대책을 수립해야     │

│      │            │                  │한다.                                                       │

│      │            ├─────────┼──────────────────────────────┤

│      │            │11.1.5.           │가상화기술을 적용한 경우 표준화된 가상화 포멧, 이식성이     │

│      │            │상호 운용성 및    │높은 가상화 플랫폼, 공개 API 등을 이용하여 서비스 간의      │

│      │            │이식성            │상호 운용성 및 이식성을 높여야 한다.                        │

├───┼──────┼─────────┼──────────────────────────────┤

│12.   │12.1        │12.1.1            │서비스 구축을 위해 도입되는 서버·PC 가상화 솔루션 및       │

│데이  │보안인증    │CC인증            │정보보호 제품 중에 CC인증이 필수적인 제품군은 국내·외      │

│터    │            │                  │CC인증을 받은 제품을 사용해야 한다.                         │

│보호  │            ├─────────┼──────────────────────────────┤

│및    │            │12.1.2            │정보시스템을 통해 생성된 중요자료를 암호화하는 수단을       │

│암호  │            │검증필 암호화     │제공하는 경우에는 검증필 국가표준암호화 기술을 제공해야     │

│화    │            │                  │한다.                                                       │

│      ├──────┼─────────┼──────────────────────────────┤

│      │12.2        │12.2.1.           │중요정보를 담고 있는 하드디스크, 스토리지 등의 저장매체     │

│      │매체 보안   │저장매체 관리     │폐기 및 재사용 절차를 수립하고 매체에 기록된 중요정보는     │

│      │            │                  │복구 불가능하도록 완전히 삭제해야 한다.                     │

│      │            ├─────────┼──────────────────────────────┤

│      │            │12.2.2.           │중요정보 유출을 예방하기 위해 외장하드, USB, CD 등          │

│      │            │이동매체 관리     │이동매체 취급, 보관, 폐기, 재사용에 대한 절차를 수립해야    │

│      │            │                  │한다. 또한 매체를 통한 악성코드 감염 방지 대책을            │

│      │            │                  │마련해야 한다.                                              │

│      ├──────┼─────────┼──────────────────────────────┤

│      │12.3.       │12.3.1.           │저장 또는 전송 중인 데이터를 보호하기 위해 암호화 대상,     │

│      │암호화      │암호 정책 수립    │암호 강도(복잡도), 키관리, 암호 사용에 대한 정책을          │

│      │            │                  │마련해야 한다. 또한 정책에는 개인정보 저장 및 전송 시       │

│      │            │                  │암호화 적용 등 암호화 관련 법적 요구사항을 반드시           │

│      │            │                  │반영해야 한다.                                              │

│      │            ├─────────┼──────────────────────────────┤

│      │            │12.3.2.           │암호키 생성, 이용, 보관, 배포, 파기에 관한 안전한 절차를    │

│      │            │암호키 관리       │수립하고, 암호키는 별도의 안전한 장소에 보관해야 한다.      │

└───┴──────┴─────────┴──────────────────────────────┘

통합관리기관 지정요건(제8조제2항 관련)

별표 0002: 통합관리기관 서비스수준협약 기준(제10조 관련)

[별표2]

통합관리기관 서비스수준협약 기준(제10조 관련)

1. 서버관리

┌─────────┬─────────────────────────────────────┐

│서비스 종류       │내  용                                                                    │

├─────────┼─────────────────────────────────────┤

│서버 모니터링     │ 서버 자원의 운영상태 및 관련 로그를 감시하고 발생된 이벤트의 수집 및 분  │

│                  │석을 통해 서버 운영 상태 최적화                                           │

├─────────┼─────────────────────────────────────┤

│서버 성능/용량관리│ 서버 자원의 성능 및 용량 정보수집, 자원사용 추이분석을 통해 서버 개선    │

├─────────┼─────────────────────────────────────┤

│서버 변경관리     │ 서버의 변경에 대한 계획, 검토, 승인, 구현, 검증, 변경이력의 관리활동 수행│

├─────────┼─────────────────────────────────────┤

│서버 장애관리     │ 서버의 장애를 조치하고, 장애 예방점검을 정기적으로 수행                  │

└─────────┴─────────────────────────────────────┘

2. 시스템소프트웨어 관리

┌─────────┬──────────────────────────────────────┐

│서비스 종류       │내  용                                                                      │

├─────────┼──────────────────────────────────────┤

│시스템소프트웨어  │ 시스템소프트웨어의 운영상태 및 관련 로그를 모니터링 하고, 발생된 이벤트    │

│모니터링          │수집 및 분석을 통해 운영 상태 최적화                                        │

├─────────┼──────────────────────────────────────┤

│시스템소프트웨어  │ 시스템소프트웨어에 대해 확인된 오류 수정, 성능개선 등이 요구되는 경우, 안정│

│패치 및 업그레이드│성이 검증된 패치 적용 및 업그레이드 수행                                    │

├─────────┼──────────────────────────────────────┤

│시스템소프트웨어  │ 시스템소프트웨어의 장애 조치, 예방점검의 정기적 수행 및 이에 대한 결과분   │

│장애관리          │석과 개선활동 수행                                                          │

├─────────┼──────────────────────────────────────┤

│DBMS 운영         │ DBMS 환경구성, 공간관리, 성능관리 등을 통해 최적의 가동상태 유지ㆍ관리     │

└─────────┴──────────────────────────────────────┘

3. 스토리지 관리

┌─────────┬──────────────────────────────────┐

│서비스 종류       │내  용                                                              │

├─────────┼──────────────────────────────────┤

│스토리지 모니터링 │ 스토리지의 운영상태 및 관련 로그 확인ㆍ분석을 통해 운영상태 최적화 │

├─────────┼──────────────────────────────────┤

│스토리지          │ 스토리지의 성능/용량 정보 수집 및 분석을 통해 개선활동 수행        │

│성능/용량관리     │                                                                    │

├─────────┼──────────────────────────────────┤

│스토리지 장애관리 │ 스토리지의 장애를 조치 및 장애 예방점검을 정기적으로 수행          │

└─────────┴──────────────────────────────────┘

4. 백업 및 복구 관리

┌────────┬─────────────────────────────────┐

│서비스 종류     │내  용                                                            │

├────────┼─────────────────────────────────┤

│백업관리        │ 백업정책 및 지침에 따라 백업 수행                                │

├────────┼─────────────────────────────────┤

│백업 모니터링   │ 백업장비 운영상태 및 관련 로그 확인ㆍ분석을 통해 운영상태 최적화 │

├────────┼─────────────────────────────────┤

│백업 성능/용량  │ 백업장비의 성능/용량 정보 수집 및 분석을 통해 개선활동 수행      │

│관리            │                                                                  │

├────────┼─────────────────────────────────┤

│복구관리        │ 데이터 유실로부터 데이터의 일관성 유지                           │

└────────┴─────────────────────────────────┘

5. 보안관리

┌──────────┬──────────────────────────────────────┐

│서비스 종류         │내  용                                                                      │

├──────────┼──────────────────────────────────────┤

│보안정책 운영?관리 │ 체계적이고 일관성 있는 침입차단, 침입탐지, 접근제어에 대한 보안정책 운영,  │

│                    │관리                                                                        │

├──────────┼──────────────────────────────────────┤

│보안관제(모니터링)  │ 사이버위협으로부터 통합관리기관 내 정보시스템을 안전하게 보호하기 위해 24  │

│                    │시간 실시간 보안관제 및 초동대응 수행                                       │

├──────────┼──────────────────────────────────────┤

│보안 이벤트         │ 유해 트래픽을 분석하여 보안취약점을 보완하고 이를 보안정책에 반영          │

│로깅/분석           │                                                                            │

├──────────┼──────────────────────────────────────┤

│정보보호시스템 운영 │ 정보보호시스템의 운영관리 및 정책관리 수행                                 │

├──────────┼──────────────────────────────────────┤

│원격접근관리        │ 이용기관에 안전한 원격접근을 허용함                                        │

├──────────┼──────────────────────────────────────┤

│계정관리            │ 정보시스템의 계정관리를 통해서 정보유출 방지                               │

├──────────┼──────────────────────────────────────┤

│웹 보안관제         │ HTTP 포트를 통해 유입되는 트래픽 감시 및 차단                              │

├──────────┼──────────────────────────────────────┤

│웹 보안 취약점      │ 웹 응용프로그램에 대한 취약점 점검 및 제거를 수행 함                       │

│점검 및 제거 (지원) │                                                                            │

├──────────┼──────────────────────────────────────┤

│취약점 분석         │ 서버 및 네트워크에 잠재되어 있는 취약점 분석 및 제거                       │

├──────────┼──────────────────────────────────────┤

│정밀진단            │ 정보시스템에 의도적으로 해킹을 시도하여 보안상 허점을 발견하고 제거 방안   │

│(해킹훈련지원)      │수립                                                                        │

└──────────┴──────────────────────────────────────┘

6. 통신망관리

┌────────┬──────────────────────────────────────┐

│서비스 종류     │내  용                                                                      │

├────────┼──────────────────────────────────────┤

│통신망 모니터링 │ 통합관리기관 내 통신망 상태 및 관련 로그를 감시하고 발생된 이벤트 수집 및  │

│                │분석                                                                        │

├────────┼──────────────────────────────────────┤

│통신망          │ 통합관리기관 내 통신망의 성능/용량 정보 수집 및 추이분석을 통해 개선활동   │

│성능/용량관리   │수행                                                                        │

├────────┼──────────────────────────────────────┤

│통신망 변경관리 │ 통합관리기관 내 통신망 변경수행 및 변경이력 관리                           │

├────────┼──────────────────────────────────────┤

│통신망 장애관리 │ 통합관리기관 내 통신망에 대한 장애 조치 및 장애 예방 점검의 정기적 수행    │

└────────┴──────────────────────────────────────┘

7. 재해복구관리

┌────────┬──────────────────────────────────────┐

│서비스 종류     │내  용                                                                      │

├────────┼──────────────────────────────────────┤

│재해복구시스템  │ 재해복구시스템의 운영ㆍ관리                                                │

│운영?관리      │                                                                            │

├────────┼──────────────────────────────────────┤

│원격지 데이터   │ 소산대상으로 선정된 정보시스템의 백업매체를 정해진 주기에 따라 원격장소로  │

│소산 및 보관    │이송하여 보관                                                               │

└────────┴──────────────────────────────────────┘

8. 시스템 현황 공유

┌──────────┬───────────────────────────────────────┐

│서비스 종류         │내  용                                                                        │

├──────────┼───────────────────────────────────────┤

│시스템 구조진단     │ 개별 운영업무 시스템의 전체 영역(서버, 네트워크, 보안, AP 등) 대상으로 종합  │

│                    │진단하고 개선방안을 도출?조치하여 서비스 가용성 및 안정성 제고               │

├──────────┼───────────────────────────────────────┤

│운영현황보고서 제공 │ 통합관리기관이 운영ㆍ관리하는 정보시스템 대한 월간운영 현황보고서            │

├──────────┼───────────────────────────────────────┤

│웹 로그 분석 및     │ 웹서버 로그파일을 기반으로 웹사이트 운영에 필요한 정보 제공                  │

│보고                │                                                                              │

└──────────┴───────────────────────────────────────┘

별표 0003: 정보시스템 운영시설 안정성 기준(제15조 관련)

[별표3]

┌─────┬─────┬──────┬─────────────────────────────────┬──────────┐

│대분류    │중분류    │소분류      │기준                                                              │운영시설 안정성 수준│

│          │          │            │                                                                  ├──┬──┬────┤

│          │          │            │                                                                  │상  │중  │하      │

├─────┼─────┼──────┼─────────────────────────────────┼──┼──┼────┤

│1. 건물   │1.1       │1.1.1       │지진, 폭발 등 진동 발생으로부터 건물의 붕괴·파괴를 막            │필수│필수│권고    │

│(9항목)   │구조      │내진 및     │기 위해 내진설계 1등급 이상의 건물 구조이거나, 진동 발            │    │    │        │

│          │안정성    │면진 적용   │생으로부터 전산 장비와 전산 랙의 전도를 방지하기 위한             │    │    │        │

│          │          │여부        │면진을 적용해야 한다.                                             │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │1.1.2       │UPS*, 변압기, 배전반, 자가발전설비 등이 설치된 장소               │필수│필수│권고    │

│          │          │바닥 하중   │의 바닥 또는 이중마루는 장비하중(운전하중)에 견디도               │    │    │        │

│          │          │안정성      │록 필요한 조치를 해야 한다.                                       │    │    │        │

│          │          │            │* UPS(Uninterruptible Power System, 무정전전원장치)               │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │1.1.3       │화재 및 물리적 충격에 견디기 위해 철골조, 철근 콘크               │필수│필수│필수    │

│          │          │건축 구조   │리트를 사용한 건축물이어야 한다.                                  │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │1.1.4       │바닥재, 내벽, 천장 등의 건물 내부에 사용하는 자재는               │필수│필수│권고    │

│          │          │건축 재료   │화재 발생 시에도 잘 연소 되지 않는 불연재료·준불연               │    │    │        │

│          │          │            │재료 또는 난연재료를 사용해야 한다.                               │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │1.1.5       │운영시설 중 전기실(UPS실 포함), 전산 및 통신장비실은              │필수│필수│권고    │

│          │          │내화벽체·  │내화벽체로 구분되어야 하며, 방화문을 설치해야 한다.               │    │    │        │

│          │          │방화문      │                                                                  │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │1.1.6       │전산실, 통신실 등은 천장, 바닥을 통하여 외부와의 왕               │필수│필수│필수    │

│          │          │벽면구성    │래가 불가능하도록 벽면과 접한 천장, 바닥을 차단하는               │    │    │        │

│          │          │            │조치를 해야 한다.                                                 │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │1.1.7       │주요시설(전기실, 전산실, 통신실 등)에는 창문이 없어야             │필수│필수│필수    │

│          │          │유리 창문   │한다. 부득이 창문이 설치되어 있는 경우, 창문은 강화유             │    │    │        │

│          │          │            │리로 제작하고, 개폐가 되지 않도록 설치한다.                       │    │    │        │

│          ├─────┼──────┼─────────────────────────────────┼──┼──┼────┤

│          │1.2       │1.2.1       │운영시설의 천장(상부층 바닥) 및 바닥(주요시설이 지하              │필수│필수│권고    │

│          │수해방지  │방수 시공   │에 위치한 경우 벽을 포함)은 방수 시공을 해야 한다.                │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │1.2.2       │운영시설 중 전기관련실, 정보시스템 및 통신장비관련                │필수│권고│권고    │

│          │          │누수탐지기  │실에는 누수탐지기를 설치하여 누전·감전 등으로 인한               │    │    │        │

│          │          │            │장비 손상 또는 인명사고를 예방해야 한다.                          │    │    │        │

├─────┼─────┼──────┼─────────────────────────────────┼──┼──┼────┤

│2. 방호   │2.1       │2.1.1       │운영시설이 설치된 건물에는 외부인의 출입을 통제해야               │필수│권고│-       │

│및 출입   │외곽 방호 │정문 출입   │한다.                                                             │    │    │        │

│통제      │          │통제        │                                                                  │    │    │        │

│(17항목)  │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │2.1.2       │차량의 출입을 통제하기 위한 방안을 수립·운영해야 한다.           │필수│권고│-       │

│          │          │차량 출입   │ * 통제 방안 예시                                                 │    │    │        │

│          │          │통제        │ - 차단기 또는 바리케이드                                         │    │    │        │

│          │          │            │ - 차량 돌진방지 장치(로드블로커 등)                              │    │    │        │

│          │          │            │ - 차량번호 인식기, 카드 인식기                                   │    │    │        │

│          │          │            │ - 차량하부 검색 장치                                             │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │2.1.3       │운영시설의 건물 외부, 울타리, 출입구에 방범 및 화재               │필수│필수│권고    │

│          │          │외부        │감시를 위해 CCTV를 설치해야 한다.                                 │    │    │        │

│          │          │CCTV        │                                                                  │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │2.1.4       │운영시설이 설치된 건물의 출입자를 통제하기 위하여 24              │필수│필수│권고    │

│          │          │상근        │시간 경비업무를 수행하는 상근 경비원을 두어야 한다.               │    │    │        │

│          │          │경비원      │                                                                  │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │2.1.5       │운영시설의 주차장 차량 출입 통제 및 외부 울타리 감                │필수│권고│-       │

│          │          │경비초소    │시를 위한 감시 초소를 설치?운영해야 한다.                        │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │2.1.6       │외곽 울타리, 건물 외부, 건물 내부의 이상 유무를 확인              │필수│필수│권고    │

│          │          │순찰관리    │하기 위해 순찰하고, 순찰 기록을 유지·관리해야 한다.              │    │    │        │

│          ├─────┼──────┼─────────────────────────────────┼──┼──┼────┤

│          │2.2       │2.2.1       │운영시설 출입 현관에는 휴대품 엑스레이 검색대와 금                │필수│권고│-       │

│          │현관 출입 │검색대 및   │속 탐지기를 설치?운영해야 한다.                                  │    │    │        │

│          │통제      │탐지기      │                                                                  │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │2.2.2       │방문자의 신원확인, 방문목적, 방문장소 및 담당자 등을              │필수│필수│필수    │

│          │          │방문자      │확인하여 출입증을 교부하는 절차와 업무를 수행해야                 │    │    │        │

│          │          │안내        │한다.                                                             │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │2.2.3       │방문자가 사전에 승인되지 않은 반입·반출금지품을                  │필수│필수│권고    │

│          │          │반출입      │반입·반출하지 않도록 관리해야 한다.                              │    │    │        │

│          │          │물품 통제   │                                                                  │    │    │        │

│          │          │            │ * 반입금지물품                                                   │    │    │        │

│          │          │            │ - 법정 유해물품 : 「총포·도검·화약류 등의 안전관리에 관한 법   │    │    │        │

│          │          │            │률」 제2조 및 11조 규정에 따른 총포류, 도검류, 화약류 등          │    │    │        │

│          │          │            │ - 기타 위해물품 : 총기류, 칼, 곤봉류, 폭발물 및 탕약, 인화물질,  │    │    │        │

│          │          │            │가스 및 화학물질, 그 밖의 무기로 사용 가능한 물품                 │    │    │        │

│          │          │            │ - 정보통신시스템 : 정보통신기기(노트북, 스마트폰 등), 보조기억   │    │    │        │

│          │          │            │매체(CD, USB 등 전산자료를 저장할 수 있는 보조기억장치) 등        │    │    │        │

│          │          │            │ - 기록장치 : 캠코더, 카메라폰, 녹음기능이 있는 무선통신기기 등   │    │    │        │

│          │          │            │ ※ 단, 카메라폰의 렌즈부, 휴대용 저장매체의 메모리 카드 입·출   │    │    │        │

│          │          │            │력 부분, USB 충전단자, 스마트폰충전기 등에 보안스티커 부          │    │    │        │

│          │          │            │착 후 반입 허용 가능                                              │    │    │        │

│          │          │            │                                                                  │    │    │        │

│          │          │            │ * 반출금지물품                                                   │    │    │        │

│          │          │            │ - 정보통신시스템 : 정보통신기기(노트북, 스마트폰 등), 보조기억   │    │    │        │

│          │          │            │매체(CD, USB 등 전산자료를 저장할 수 있는 보조기억장치)           │    │    │        │

│          │          │            │등                                                                │    │    │        │

│          │          │            │ - 기록장치 : 캠코더, 카메라폰, 녹음기능이 있는 무선통신기기 등   │    │    │        │

│          │          │            │ - 종이 출력물 : 운영기관과 관련된 비밀, 대외비, 비공개 자료, 정  │    │    │        │

│          │          │            │보통신보호자료 및 그 밖의 용역사업 관련 산출물이 포함된 종이      │    │    │        │

│          │          │            │출력물                                                            │    │    │        │

│          │          │            │※ 단, 보안스티커 부착 후 반입한 스마트폰은 반출 가능             │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │2.2.4       │방문·출입 절차를 지키지 않고 무단출입하는 사람을 통              │필수│권고│-       │

│          │          │스피드      │제하기 위한 스피드게이트를 설치?운영해야 한다.                   │    │    │        │

│          │          │게이트      │                                                                  │    │    │        │

│          ├─────┼──────┼─────────────────────────────────┼──┼──┼────┤

│          │2.3       │2.3.1       │운영시설은 중요도에 따라 “통제구역”, “제한구역”, “일         │필수│필수│필수    │

│          │접근 통제 │보호구역    │반구역”으로 구분하고, 중앙감시실, 전산실, 전기실(UPS             │    │    │        │

│          │및 감시   │설정        │포함), 전력감시실, 통신장비실, 방재센터 등은 통제구역             │    │    │        │

│          │          │            │으로 설정해야 한다.                                               │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │2.3.2       │출입자별로 역할에 따라 차등적인 출입 권한을 부여하                │필수│필수│필수    │

│          │          │내부        │고 운영시설 중 통제구역의 경우 출입자의 신원확인을                │    │    │        │

│          │          │출입통제    │통해 개폐되는 잠금장치를 설치해야 한다.                           │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │2.3.3       │운영시설에 대한 출입기록(모든 출입자의 신원과 방문                │필수│필수│필수    │

│          │          │출입기록    │목적 및 방문일시에 대한 기록, 출입통제장치의 로그기               │    │    │        │

│          │          │            │록)은 출입일로부터 1년 이상, CCTV 영상은 30일 이상                │    │    │        │

│          │          │            │유지되도록 보관해야 한다.                                         │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │2.3.4       │운영시설의 각 출입구에 방범 및 화재 감시를 위해                   │필수│필수│필수    │

│          │          │내부        │CCTV를 설치해야 한다.                                             │    │    │        │

│          │          │CCTV        │운영시설 중 전산실, 통신실, 전기실(UPS실 포함)은 내               │    │    │        │

│          │          │            │부에도 CCTV를 설치해야 한다.                                      │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │2.3.5       │불법 AP, Ad-hoc 연결, 단말기 피싱 공격 등 무선 보안위             │필수│필수│권고    │

│          │          │무선침입    │협을 차단하기 위한 보호 대책을 수립?이행해야 한다.               │    │    │        │

│          │          │차단        │                                                                  │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │2.3.6       │내부자와 외부자의 휴대폰 등 개인 휴대단말기를 통한                │필수│필수│권고    │

│          │          │휴대용      │촬영, 근거리 통신 등의 기능을 막기 위해 휴대단말기에              │    │    │        │

│          │          │단말기기    │통제시스템을 설치하거나 보안 스티커 부착 등의 조치                │    │    │        │

│          │          │통제        │를 취해야 한다.                                                   │    │    │        │

│          ├─────┴──────┼─────────────────────────────────┼──┼──┼────┤

│          │2.4                     │ 보안 구역 내 직원 및 외부 업무 관련자에 의한 장비 반             │필수│필수│필수    │

│          │장비 반출입             │출입 절차를 수립해야 하고, 수립된 절차에 따라 반출입              │    │    │        │

│          │                        │신고, 반출입 대장 작성, 미승인 장비 반출입 제한 등 장             │    │    │        │

│          │                        │비 반출입을 관리해야 한다.                                        │    │    │        │

├─────┼─────┬──────┼─────────────────────────────────┼──┼──┼────┤

│3. 전기   │3.1       │3.1.1       │배전선로, 전기공급 변전소 등의 장애에 대비하여 한전               │필수│권고│-       │

│(22항목)  │수변전    │한전 전원   │전원을 이중화해야 한다.                                           │    │    │        │

│          │설비      │이중화      │                                                                  │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │3.1.2       │건물 내부 수배전반 장비의 고장 등에 대비하여 백업                 │필수│권고│-       │

│          │          │수배전반    │변압기를 보유해야 한다.                                           │    │    │        │

│          │          │백업        │                                                                  │    │    │        │

│          │          │변압기      │                                                                  │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │3.1.3       │전원 중단을 방지하기 위해 발전기 전원을 부하에 투입할             │필수│필수│권고    │

│          │          │무순단      │때 폐쇄형 전원절환절체개폐기(CTTS*)·자동절체개폐기               │    │    │        │

│          │          │절체        │(ATS**) 등을 이용하여 무순단으로 절체해야 한다.                   │    │    │        │

│          │          │            │* CTTS(Closed Transition Transfer Switch, 전원절환절체개폐기)     │    │    │        │

│          │          │            │** ATS(Automatic Transfer Switch, 자동절체개폐기)                 │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │3.1.4       │배전반에 단락, 지락 및 과전류를 방지할 수 있도록 계               │필수│필수│권고    │

│          │          │누전차단기  │전기(Relay)를 설치하고 누전이 발생하였을 때 이를 차               │    │    │        │

│          │          │·경보기    │단할 수 있도록 누전차단기 또는 누전경보기를 설치해                │    │    │        │

│          │          │            │야 한다.                                                          │    │    │        │

│          ├─────┼──────┼─────────────────────────────────┼──┼──┼────┤

│          │3.2       │3.2.1       │전산실 및 통신실 내의 정보시스템 장비, 항온항습 관련              │필수│필수│권고    │

│          │비상 전원 │발전기      │기기와 출입통제시설, 방재실(중앙감시실, 전기기계감시              │    │    │        │

│          │(발전기)  │발전 용량   │실 포함), 승강기, 시설 내에 설치된 유도등 등의 3개월              │    │    │        │

│          │          │            │간 평균 순간사용 전력의 130% 이상의 발전용량을 구                 │    │    │        │

│          │          │            │비해야 한다.                                                      │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │3.2.2       │발전기를 통해 전원을 공급하고자 할 때의 발전기 장애               │필수│필수│권고    │

│          │          │발전기      │(발전기 기동 실패, 가동 중단 등)에 대비하여 발전기를              │    │    │        │

│          │          │구성        │구성해야 한다.                                                    │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │3.2.3       │발전기를 12시간 이상 가동할 수 있도록 연료 공급 저                │필수│권고│-       │

│          │          │연료탱크    │장시설을 구비하거나 이에 상응하는 별도의 방안을 마                │    │    │        │

│          │          │용량(시간)  │련해야 한다.                                                      │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │3.2.4       │연료탱크의 균열 등으로 인한 유지보수 동안에도 발전                │필수│권고│-       │

│          │          │연료탱크    │기 기동이 가능하도록 연료탱크를 구성하거나 이에 상                │    │    │        │

│          │          │구성        │응하는 별도의 방안을 마련해야 한다.                               │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │3.2.5       │연료 공급 배관의 이상 발생 등으로 인한 유지보수 동                │필수│권고│-       │

│          │          │연료 공급   │안에도 발전기 기동이 가능하도록 연료 배관을 구성하                │    │    │        │

│          │          │배관 구성   │거나 이에 상응하는 별도의 방안을 마련해야 한다.                   │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │3.2.6       │발전기 가동 시 연소가스의 원활한 배출이 가능하도록                │필수│필수│필수    │

│          │          │발전기      │발전기 연도를 구성해야 하며, 화재에 대비해야 한다.                │    │    │        │

│          │          │연도 구성   │                                                                  │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │3.2.7       │발전기는 불시의 정전에 대비하여 주기적인 가동시험                 │필수│필수│필수    │

│          │          │발전기      │(월 1회 이상 무부하 시험 및 연 1회 이상 부하시험)을               │    │    │        │

│          │          │기동 시험   │실시해야 한다.                                                    │    │    │        │

│          ├─────┼──────┼─────────────────────────────────┼──┼──┼────┤

│          │3.3       │3.3.1       │UPS 전원을 공급하는 운영시설의 3개월 평균 부하의                  │필수│필수│필수    │

│          │무정전    │UPS 용량    │130% 이상의 UPS 용량을 구비해야 한다.                             │    │    │        │

│          │전원 장치 │산정        │                                                                  │    │    │        │

│          │(UPS)     ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │3.3.2       │UPS는 일부 장애에도 정보시스템 등에 중단없이 전원                 │필수│필수│권고    │

│          │          │UPS 구성    │을 공급할 수 있도록 구성해야 한다.                                │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │3.3.3       │축전지를 사용하는 UPS는 발전기의 전원이 공급될 때까               │필수│필수│필수    │

│          │          │축전지      │지 안정적인 전원을 20분 이상 공급할 수 있도록 총 부               │    │    │        │

│          │          │용량        │하(100%)에 대한 축전지의 용량을 설치?운영해야 한다.              │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │3.3.4       │축전지는 화재 및 폭발에 대비해 내화벽으로 구분된 별               │필수│권고│-       │

│          │          │UPS·       │도의 공간에 설치해야 한다.                                        │    │    │        │

│          │          │축전지실    │                                                                  │    │    │        │

│          ├─────┼──────┼─────────────────────────────────┼──┼──┼────┤

│          │3.4       │3.4.1       │정보시스템의 전원공급은 2중으로 구성해야 한다.                    │필수│필수│권고    │

│          │정보시스템│전산장비    │                                                                  │    │    │        │

│          │전원      │전원공급    │                                                                  │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │3.4.2       │정보시스템의 전원공급장치가 하나일 경우를 대비하여 UPS            │필수│권고│-       │

│          │          │STS 구성    │전원을 이중으로 공급할 수 있도록 STS*를 구성해야 한다.            │    │    │        │

│          │          │            │* STS(Static Transfer Switch, 무순단절체스위치)                   │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │3.4.3       │정보시스템에 대한 전원은 이중화된 공급경로를 통하여               │필수│필수│권고    │

│          │          │전원공급    │전원을 공급해야 한다.                                             │    │    │        │

│          │          │경로        │                                                                  │    │    │        │

│          ├─────┼──────┼─────────────────────────────────┼──┼──┼────┤

│          │3.5       │3.5.1       │항온항습을 위한 설비의 전원은 한전 정전 시 발전기                 │필수│권고│-       │

│          │동력 전원 │항온항습    │전원을 공급하고, 전원공급 경로(분전반, 배선용차단기,              │    │    │        │

│          │          │설비 전원   │전원케이블 등)의 장애에도 신속한 전원 공급이 될 수                │    │    │        │

│          │          │공급        │있도록 백업 경로를 구비해야 한다.                                 │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │3.5.2       │운영시설의 제어 및 감시를 위한 설비의 전원은 UPS                  │필수│필수│필수    │

│          │          │각종 제어   │전원을 공급하며, 정전에 대비하여 발전기 전원을 공급               │    │    │        │

│          │          │감시설비    │할 수 있어야 한다.                                                │    │    │        │

│          │          │전원        │                                                                  │    │    │        │

│          ├─────┴──────┼─────────────────────────────────┼──┼──┼────┤

│          │3.6                     │운영시설의 전기 사용 설비는 누전, 정전기 등으로 인한              │필수│필수│필수    │

│          │전기 접지               │장비 및 인명 손상을 방지하기 위하여 접지하고, 연 1회              │    │    │        │

│          │                        │이상 접지저항을 측정해야 한다.                                    │    │    │        │

│          ├────────────┼─────────────────────────────────┼──┼──┼────┤

│          │3.7                     │운영시설에는 기존 조명설비의 작동이 멈추는 경우에                 │필수│필수│필수    │

│          │비상조명 및 유도등      │바닥 또는 작업면의 조도가 최소 10룩스(lux)이상이 유               │    │    │        │

│          │설비                    │지되도록 비상조명을 설치해야 한다.                                │    │    │        │

│          │                        │운영시설 전 지역에 유도등 및 유도표지를 설치해야 한다.            │    │    │        │

├─────┼─────┬──────┼─────────────────────────────────┼──┼──┼────┤

│4. 항온   │4.1       │4.1.1       │원활한 운영을 위하여 정보시스템 및 운영시설 장비는                │필수│필수│필수    │

│항습      │항온항습기│적정        │적정한 온도와 습도가 유지되도록 운영·관리해야 한다.              │    │    │        │

│(5항목)   │          │온습도      │                                                                  │    │    │        │

│          │          │유지관리    │                                                                  │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │4.1.2       │항온항습기는 장비의 장애, 유지보수, 냉방효율 저하 등              │필수│필수│필수    │

│          │          │항온항습기  │을 고려하여 냉방부하 대비 냉방용량이 상회하도록 설                │    │    │        │

│          │          │용량        │치?운영해야 한다.                                                │    │    │        │

│          ├─────┼──────┼─────────────────────────────────┼──┼──┼────┤

│          │4.2       │4.2.1       │항온항습을 위한 설비는 장비의 장애, 유지보수, 교대운              │필수│필수│권고    │

│          │항온항습  │예비장비    │전 등을 고려하여 예비장비를 설치해야 한다.                        │    │    │        │

│          │관련 설비 ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │4.2.2       │항온항습을 위한 배관의 장애, 유지보수 등을 고려하여               │필수│권고│-       │

│          │          │예비배관    │예비배관을 설치하거나, 이에 상응하는 별도의 방안을                │    │    │        │

│          │          │            │마련해야 한다.                                                    │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │4.2.3       │항온항습을 위해 펌프의 장애, 유지보수 등을 고려하여               │필수│권고│-       │

│          │          │예비펌프    │예비펌프를 설치하거나 이에 상응하는 별도의 방안을                 │    │    │        │

│          │          │            │마련해야 한다.                                                    │    │    │        │

├─────┼─────┴──────┼─────────────────────────────────┼──┼──┼────┤

│5. 소방· │5.1                     │운영시설에는 화재 감지를 위해 열 감지 또는 연기 감                │필수│필수│권고    │

│방재      │화재 감지 설비          │지기를 설치해야 한다. 특히 주요시설(전기실, 전산실,               │    │    │        │

│(6항목)   │                        │통신실 등)에는 2종 이상으로 교차 회로를 구성해야 하               │    │    │        │

│          │                        │며, 이중마루가 설치된 경우 이중마루에 대한 화재감지               │    │    │        │

│          │                        │가 가능하도록 화재 감지 설비를 설치해야 한다.                     │    │    │        │

│          │                        │ ※ 단, 「자동화재탐지설비 및 시각경보장치의 화재안전             │    │    │        │

│          │                        │기술기준(NFTC 203)」의 2.4.1 단서의 각 감지기로 설                │    │    │        │

│          │                        │치한 경우 교차회로를 적용하지 아니할 수 있다.                     │    │    │        │

│          ├─────┬──────┼─────────────────────────────────┼──┼──┼────┤

│          │5.2       │5.2.1       │운영시설에는 화재 진압을 위한 소화설비를 설치해야                 │필수│필수│필수    │

│          │화재 소화 │소화 설비   │한다. 특히, 주요시설(전기실, 전산실, 통신실 등)에는 소            │    │    │        │

│          │설비      │            │화 시 장비에 피해를 주지 않는 소화 장비를 설치해야                │    │    │        │

│          │          │            │하며, 이중마루가 설치된 경우 이중마루에 대한 화재진               │    │    │        │

│          │          │            │압이 가능하도록 소화설비를 설치해야 한다.                         │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │5.2.2       │주요시설(전기실, 전산실, 통신실 등)에는 가스 소화설비             │필수│필수│필수    │

│          │          │휴대용      │외에 보조적으로 휴대용 소화가스기를 비치해야 한다.                │    │    │        │

│          │          │소화기      │                                                                  │    │    │        │

│          ├─────┼──────┼─────────────────────────────────┼──┼──┼────┤

│          │5.3       │5.3.1       │내부 소화가스 등으로 초기 화재 진압 실패 시 소방차                │필수│필수│필수    │

│          │소방 화재 │소방차      │량 진입 및 화재 진압을 위한 공간을 확보해야 한다.                 │    │    │        │

│          │진압      │진입        │                                                                  │    │    │        │

│          │          │및 위치     │                                                                  │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │5.3.2       │내부 소화가스 등으로 초기 화재 진압 실패 시 소방차                │필수│필수│필수    │

│          │          │외부        │량이 사용할 수 있는 외부 소화전을 확보해야 한다.                  │    │    │        │

│          │          │소화전      │                                                                  │    │    │        │

│          ├─────┴──────┼─────────────────────────────────┼──┼──┼────┤

│          │5.4                     │방재실에는 화재감시센서의 작동상황이 실시간으로 파                │필수│필수│필수    │

│          │화재 경보 장치          │악되도록 하고, 화재 발생 시에 경보 신호를 통해 상황               │    │    │        │

│          │                        │을 알 수 있도록 화재감지센서와 연동된 경보장치를 설               │    │    │        │

│          │                        │치해야 한다. 단, 방재실은 중앙감시실(또는 전기기계감              │    │    │        │

│          │                        │시실)과 통합하여 운영할 수 있다.                                  │    │    │        │

├─────┼────────────┼─────────────────────────────────┼──┼──┼────┤

│6. 통신   │6.1                     │운영시설로의 통신선 인입은 관로 침수, 파손 등에 대비              │필수│권고│-       │

│(2항목)   │통신선 인입 및 경로     │하여 이격된 다른 관로를 통해 이중으로 인입하거나, 통              │    │    │        │

│          │이중화                  │신실(또는 주배선반)에서 정보시스템에 연결하는 주요                │    │    │        │

│          │                        │통신선의 경로를 이중화해야 한다.                                  │    │    │        │

│          ├────────────┼─────────────────────────────────┼──┼──┼────┤

│          │6.2                     │운영시설의 통신장비·설비는 노이즈에 대비하여 접지를              │필수│필수│필수    │

│          │통신 접지               │하고, 연 1회 이상 접지저항을 측정해야 한다.                       │    │    │        │

├─────┼────────────┼─────────────────────────────────┼──┼──┼────┤

│7. 관리   │7.1                     │운영시설 중 전산실 및 통신장비실, 전기실에 대하여 각              │필수│필수│필수    │

│체계      │중앙감시실              │시설의 기능별 작동상황 및 사고 발생여부를 확인하기                │    │    │        │

│(6항목)   │(종합상황실)            │위하여 중앙감시실(종합상황실)을 두며, CCTV가 촬영                 │    │    │        │

│          │                        │한 영상을 24시간 감시 및 제어할 수 있도록 모니터를                │    │    │        │

│          │                        │설치해야 한다.                                                    │    │    │        │

│          ├─────┬──────┼─────────────────────────────────┼──┼──┼────┤

│          │7.2       │7.2.1       │운영시설 내의 모든 보호조치를 계획, 감독, 통제하는                │필수│필수│필수    │

│          │운영      │관리책임    │관리책임자를 두어야 한다.                                         │    │    │        │

│          │조직      │자          │                                                                  │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │7.2.2       │분야별(건물, 소방·방재, 전기, 통신) 전문 관리인력을              │필수│필수│필수    │

│          │          │운영시설    │두어야 한다.                                                      │    │    │        │

│          │          │관리인력    │                                                                  │    │    │        │

│          ├─────┼──────┼─────────────────────────────────┼──┼──┼────┤

│          │7.3       │7.3.1       │운영시설의 각종 설비에 대한 운영 및 유지관리 매뉴얼               │필수│필수│필수    │

│          │평상시    │운영 및     │을 마련하고, 운영시설 관리인력은 그 내용을 숙지해야               │    │    │        │

│          │운영      │유지관리    │한다.                                                             │    │    │        │

│          │          │매뉴얼      │                                                                  │    │    │        │

│          │          ├──────┼─────────────────────────────────┼──┼──┼────┤

│          │          │7.3.2       │재난 발생으로 운영시설의 각종 설비 피해를 예방하거                │필수│필수│권고    │

│          │          │재난대비    │나 최소화하기 위하여 평상시 재난대비 점검 체크리스                │    │    │        │

│          │          │평시점검    │트를 구비하고, 주기적으로 점검해야 한다.                          │    │    │        │

│          ├─────┴──────┼─────────────────────────────────┼──┼──┼────┤

│          │7.4                     │재난 발생으로 운영시설의 중단, 파손 등 비상상황에 대              │필수│필수│권고    │

│          │업무연속성계획          │한 예방·대비·대응·복구 활동을 위한 업무연속성계획              │    │    │        │

│          │(BCP)                   │(BCP)을 구비하고, 주기적으로 모의훈련을 실시해야 한               │    │    │        │

│          │                        │다.                                                               │    │    │        │

└─────┴────────────┴─────────────────────────────────┴──┴──┴────┘

정보시스템 운영시설 안정성 기준(제15조 관련)


부칙

['        부칙 제1조(시행일) 이 고시는 발령한 날부터 시행한다.제2조(경과조치) 본 고시 시행 이전에 「행정기관 및 공공기관 정보자원 통합기준(행정안전부 고시, 2020-31호, 2020.6.16.)」 제14조에 따라 공공클라우드센터로 지정된 데이터센터를 보유한 기관을 이 고시에 따른 통합관리기관으로 본다.', '        부칙 제1조(시행일) 이 고시는 2023년 12월 27일부터 시행한다.제2조(경과조치) 본 고시 시행 이전에 「행정기관 및 공공기관 정보자원 통합기준(행정안전부 고시, 2020-31호, 2020.6.16.)」 제14조에 따라 공공클라우드센터로 지정된 데이터센터를 보유한 기관을 이 고시에 따른 통합관리기관으로 본다.']

부칙 공포정보: ['20220331', '20230927'] (공포번호: ['2022-27', '2023-69'])