# 클라우드컴퓨팅서비스 보안인증에 관한 고시
(행정규칙구분=고시, 공포일자=20230131, 시행일자=20230131, 소관부처=과학기술정보통신부)
행정규칙번호: 2023-4
출처: 국가법령정보센터

행정규칙명: 클라우드컴퓨팅서비스 보안인증에 관한 고시
행정규칙종류: 고시
발령일자: 20230131
발령번호: 2023-4
시행일자: 20230131
소관부처: 과학기술정보통신부
담당부서기관: 과학기술정보통신부(사이버침해대응과)
현행여부: Y

조문내용:
['   제1장 총칙', '제1조(목적) 이 고시는 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」(이하 "법"이라 한다) 제23조제2항, 제23조의2부터 제23조의4까지, 같은 법 시행령(이하 "시행령"이라 한다) 제15조의6부터 제15조12까지의 규정 및 같은 법 시행규칙(이하 "규칙"이라 한다) 제2조부터 제4조까지의 규정에 따라 클라우드컴퓨팅서비스의 보안인증에 필요한 사항을 정하는 것을 목적으로 한다.', '제2조(정의) 이 고시에서 사용하는 용어의 정의는 다음과 같다.1. "클라우드컴퓨팅서비스 보안인증(이하 "보안인증"이라 한다)"이란 인증신청인의 클라우드컴퓨팅서비스 제공을 위한 보안 관련 일련의 조치와 활동이 보안인증기준에 적합함을 한국인터넷진흥원 또는 인증기관이 인증하는 것을 말한다.2. "인증기관"이란 인증에 관한 업무를 수행할 수 있도록 법 제23조의2제5항에 따라 과학기술정보통신부장관이 지정하는 기관을 말한다.3. "평가기관"이란 인증평가에 관한 업무를 수행하는 기관으로서 다음 각 호의 기관을 말한다.가. 법 제23조의2제6항에 따라 인증평가 업무를 수행하는 기관으로 지정된 기관(이하 "지정평가기관"이라 한다)나. 법 제23조의2제5항제1호에 따라 인증평가 업무를 수행하는 한국인터넷진흥원 또는 인증기관4. "업무수행 요건ㆍ능력 심사"란 인증기관 또는 평가기관으로 지정받고자 신청한 법인 또는 단체가 보안인증에 관한 인증 및 평가 업무를 수행함에 적합한 인적ㆍ물적ㆍ기술적 요건과 능력을 갖추었는지 여부를 판단하는 것을 말한다.5. "인증평가"란 인증신청인이 제공하는 클라우드컴퓨팅서비스가 보안인증기준에 적합한지의 여부를 평가기관이 서면평가 및 현장평가의 방법으로 확인하는 것을 말한다.6. "인증위원회"란 한국인터넷진흥원 또는 인증기관이 인증평가 결과 등을 심의ㆍ의결하기 위해 설치ㆍ운영하는 기구를 말한다.7. "보안인증평가원"이란 제16조제2항에 따라 인증평가를 수행할 수 있는 자격요건을 갖춘 자를 말한다.8. "최초평가"란 처음으로 인증을 신청하거나 인증범위에 중요한 변경이 있어서 다시 인증을 신청한 때 실시하는 인증평가를 말한다.9. "사후평가"란 인증을 받고난 후 매년 사후관리를 위하여 실시하는 인증평가를 말한다.10. "갱신평가"란 유효기간 만료 전 유효기간 갱신을 위해 실시하는 인증평가를 말한다.', '   제2장 인증기관 및 평가기관의 지정기준ㆍ절차 등', '제3조(지정공고 및 지정신청) ① 과학기술정보통신부장관은 인증기관 또는 평가기관을 지정할 필요가 있는 때에는 지정대상, 지정기관의 업무범위, 신청 절차 및 방법 등을 미리 정하여 관보 또는 인터넷 홈페이지에 20일 이상 공고하여야 한다.② 제1항에 따라 인증기관 또는 평가기관으로 지정받으려는 자는 규칙 별지 제3호서식의 신청서에 다음 각 호의 서류를 첨부하여 과학기술정보통신부장관에게 제출하여야 한다.1. 법인의 정관 또는 단체의 규약(법인 또는 단체만 해당한다)2. 별지 제1호서식의 인증평가 업무를 수행하는 직원 보유현황과 이를 증명할 수 있는 서류3. 별표 5의 업무수행 요건ㆍ능력 심사 제출서류', '제4조(지정기준 및 지정절차) ① 인증기관 또는 평가기관의 업무수행 요건ㆍ능력 심사에 관한 세부기준은 별표 6과 같다.② 과학기술정보통신부장관은 제3조제2항에 따라 인증기관 또는 평가기관의 지정 신청을 받은 때에는 제1항에 따른 업무수행 요건ㆍ능력을 심사하여 인증기관 또는 평가기관으로의 지정여부를 최종 결정한다.③ 과학기술정보통신부장관은 인증기관으로 지정된 신청기관에 규칙 별지 제4호서식의 보안인증 인증기관 지정서를, 평가기관으로 지정된 신청기관에 규칙 별지 제5호서식의 보안인증 평가기관 지정서를 발급한다.④ 과학기술정보통신부장관은 제3항에 따라 지정서를 발급받은 자의 명단을 관보 또는 인터넷 홈페이지에 공고하여야 한다.', '제5조(인증기관 및 평가기관에 대한 관리 등) ① 과학기술정보통신부장관은 필요한 경우 인증기관 또는 평가기관의 지정기준 충족여부를 심사하기 위해 자료요청 또는 현장실사를 할 수 있다.② 과학기술정보통신부장관은 제1항의 업무를 한국인터넷진흥원에 위탁할 수 있다.', '제6조(인증기관 및 평가기관의 재지정) ① 인증기관 및 평가기관은 유효기간이 끝나기 6개월 전까지 재지정 신청을 할 수 있으며 규칙 별지 제3호서식의 신청서에 제3조제2항 각 호의 서류를 첨부하여 과학기술정보통신부장관에게 제출하여야 한다.② 과학기술정보통신부장관은 제1항에 따른 재지정 신청을 받은 때에는 별표 6 업무수행 요건ㆍ능력 심사에 관한 세부기준에 따른 적합 여부를 심사하여 신청을 받은 날부터 4개월 이내에 재지정 여부를 결정하고 지정서를 신청기관에 발급하여야 한다.③ 인증기관 또는 평가기관이 재지정을 신청하지 않고 유효기간이 경과한 때에는 인증기관 또는 평가기관에 대한 지정의 효력은 상실된다.', '제7조(공정성 및 독립성 확보) 인증기관 및 평가기관은 인증평가의 공정성 및 독립성 확보를 위해 다음 각 호의 행위가 발생하지 않도록 하여야 한다.1. 영리를 목적으로 보안인증과 관련된 컨설팅 업무를 수행하는 행위2. 정당한 사유 없이 인증절차, 보안인증기준 등의 일부를 생략하는 행위3. 자신 또는 그 소속 임직원의 이익 등을 위해 인증평가 결과에 영향을 주는 행위4. 그 밖에 인증평가의 공정성 및 독립성을 훼손할 수 있는 행위', '제8조(인증기관 및 평가기관의 지정취소 등) ① 과학기술정보통신부장관은 인증기관 또는 평가기관이 다음 각 호의 어느 하나에 해당하면 그 지정을 취소하거나 1년 이내의 기간을 정하여 해당 업무의 전부 또는 일부의 정지를 명할 수 있다. 다만, 제1호 또는 제2호에 해당하는 경우에는 그 지정을 취소하여야 한다.1. 거짓이나 그 밖의 부정한 방법으로 인증기관 또는 평가기관의 지정을 받은 경우2. 업무정지 기간 중에 보안인증 또는 인증평가를 한 경우3. 정당한 사유 없이 보안인증 또는 인증평가를 하지 아니한 경우4. 보안인증기준을 위반하여 보안인증 또는 인증평가를 한 경우5. 별표 6에 따른 지정기준에 적합하지 아니하게 된 경우② 과학기술정보통신부장관은 인증기관 또는 평가기관이 지정취소를 요청한 경우 지정을 취소할 수 있다.③ 지정취소 및 업무정지에 대해서는 시행령 제15조의12제1항에 따른 인증기관 또는 평가기관의 지정취소 및 업무정지에 관한 행정처분의 기준을 따른다.④ 과학기술정보통신부장관은 제1항에 따라 지정을 취소하거나 업무정지를 명한 사실을 관보 또는 인터넷 홈페이지에 공고하여야 한다.', '   제3장 인증평가의 신청 및 수수료 납부', '제9조(인증 신청 등) ① 인증신청인은 인증 신청 시 규칙 별지 제1호서식의 신청서에 다음 각 호의 서류를 첨부하여 한국인터넷진흥원 또는 인증기관에 제출하여야 한다.1. 별지 제2호서식의 취약점 점검 및 침투테스트 동의서2. 별지 제3호서식의 클라우드컴퓨팅서비스 보안인증 명세서(클라우드컴퓨팅서비스 보안운영 명세서 포함)3. 사업자등록증4. 신청기관이 인증수수료 지원 대상인 경우, 이를 증빙할 수 있는 서류② 제1항에 따라 보안인증의 신청을 받는 한국인터넷진흥원 또는 인증기관은 지정평가기관에 인증평가를 수행하게 하여야 하며, 인증신청인은 인증평가의 범위, 인증평가의 일정 등을 지정평가기관과 사전 협의하여야 한다.③ 지정평가기관은 인증평가를 착수하기 전에 인증신청인의 인증평가 사전준비사항을 확인할 수 있으며, 인증신청인의 준비가 미흡한 경우에는 인증신청인에게 이를 보완할 것을 요구할 수 있다.④ 지정평가기관은 인증평가의 범위에 변경이 필요한 경우에 이를 인증신청인과 협의하여 변경할 수 있다.', '제10조 (평가기관의 조정) ① 과학기술정보통신부장관은 시행령 제15조의6제3항에 해당하는 경우 인증평가 업무를 수행할 평가기관을 조정할 수 있다.② 제1항에 따른 과학기술정보통신부장관의 조정이 있는 경우 한국인터넷진흥원은 이해관계, 평가 난이도 등을 고려하여 인증평가를 직접 수행하거나 인증기관 또는 다른 지정평가기관에게 인증평가를 수행하도록 요청할 수 있다.', '제11조(인증평가의 일부 생략 신청 등) ① 평가기관은 인증신청인이 다음 각 호의 어느 하나에 해당하는 인증을 받거나 정보보호 조치를 취한 경우 보안인증기준의 일부를 생략하여 인증평가를 할 수 있다. 다만 제1호 또는 제2호에 해당하는 경우 별표 7의 범위 내로 한정한다.1. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」제47조 또는 「개인정보 보호법」제32조의2에 따른  정보보호 관리체계 인증을 받은 경우2. 보안인증을 받은 클라우드컴퓨팅서비스와 동일한 사양의 클라우드컴퓨팅서비스를 다른 클라우드컴퓨팅서비스 환경으로 구축하려는 경우3. 제1호 및 제2호에 준하는 정보보호조치를 취한 경우로서 과학기술정보통신부장관이 필요하다고 인정하는 경우② 과학기술정보통신부장관은 제1항제3호에 따라 생략되는 보안인증기준을 정할 때 국가기간등이 이용하는 클라우드컴퓨팅서비스와 관련이 있는 경우 국가정보원장과 사전에 협의하여야 한다.③ 제1항에 따라 인증평가의 일부를 생략하려는 경우에는 다음 각 호의 요건을 모두 충족하여야 한다.1. 해당 정보보호 관리체계 인증 또는 정보보호 조치의 범위가 보안인증의 범위와 일치할 것2. 보안인증 신청 및 평가 시에 해당 정보보호 관리체계 인증이나 정보보호 조치가 유효하게 유지되고 있을 것④ 제1항에 따른 인증평가 일부 생략을 신청하고자 하는 자는 별지 제4호서식의 인증평가 일부 생략 신청서를 평가기관에 제출하여야 한다.', '제12조(수수료의 산정 등) ① 인증 수수료는 별표 8의 인증 수수료 산정 및 평가원 보수 기준을 적용하여 산정한다.② 평가기관은 제1항에 따라 산정된 인증 수수료를 공지하여야 한다.③ 평가기관은 인증신청인이 다음 각 호에 해당하는 경우 수수료를 감면 또는 조정할 수 있다.1. 「중소기업기본법」제2조제1항에 따른 중소기업에 해당되는 경우2. 제11조에 따른 인증평가 일부 생략 신청을 하는 경우3. 그 밖에 인증신청인과 협의하여 수수료 조정이 필요하다고 판단되는 경우④ 과학기술정보통신부장관은 인증신청인이 제3항제1호에 해당할 경우 예산의 범위에서 감면된 인증수수료의 전부 또는 일부를 평가기관에게 지원할 수 있다.', '제13조(수수료의 납부) 인증신청인은 최초평가, 사후평가 및 갱신평가 신청 시 인증 수수료를 청구 받은 날부터 인증평가 시작일 이전까지 평가기관에 납부하여야 하며, 수수료를 납부하지 않은 경우 평가기관은 인증평가를 실시하지 아니할 수 있다.', '   제4장 인증평가의 기준과 방법', '제14조(보안인증 유형 및 등급) ① 보안인증의 대상은 시행령 제3조에 따른 클라우드컴퓨팅서비스로 하며 보안인증의 유형은 다음 각 호와 같다.1. 서버, 저장장치, 네트워크 등을 제공하는 서비스 인증(IaaS 인증)2. 응용프로그램 등 소프트웨어를 제공하는 서비스 인증(SaaS 인증)3. 응용프로그램 등 소프트웨어의 개발ㆍ배포ㆍ운영ㆍ관리 등을 위한 환경을 제공하는 서비스 인증(PaaS 인증)4. 그 밖에 제1호부터 제3호까지의 서비스를 둘 이상 복합하는 서비스 인증② 보안인증 등급은 클라우드컴퓨팅서비스의 정보보호 수준에 따라 상, 중, 하로 한다.③ 인증신청인은 제1항 및 제2항에 따른 보안인증 유형 및 등급을 선택하여 제9조에 따라 보안인증을 신청할 수 있다.', '제15조(보안인증기준) ① 보안인증기준은 별표 1부터 별표 3과 같다.② 인증신청인이 「전자정부법」 제2조에 따른 행정기관 및 공공기관에게 클라우드컴퓨팅서비스를 제공하려는 경우에는 제1항에 따른 보안인증기준에 별표 4를 추가하여 적용한다.③ 과학기술정보통신부장관은 보안인증기준 내에서 제14조 보안인증 유형 및 등급에 따른 세부 점검항목을 한국인터넷진흥원이 홈페이지에 공개하도록 하여야 한다.', '제16조(인증평가팀 구성) ① 평가기관은 인증평가 일정이 확정된 때에는 인증평가팀을 구성하여야 한다.② 인증평가팀은 별표 9에 따른 자격을 갖춘 보안인증평가원으로 구성하여야 한다.③ 평가기관은 인증평가팀 구성 시 인증신청 범위, 사업유형, 기술의 다양성 등을 고려하여 별표 9의 구성원을 적절히 포함시켜야 한다.④ 평가기관은 인증평가 전에 인증평가팀의 구성원이 인증신청인과 이해관계가 있는지 확인하여야 하며, 이해관계인은 인증평가팀의 구성원에서 배제하여야 한다.', '제17조(인증평가 방법 및 보완조치) ① 인증평가는 인증신청인의 업무수행 현장에 방문하여 서면평가, 현장평가 등을 병행한다.② 서면평가는 인증신청인이 제출한 신청 서류를 포함하여 추가적인 문서의 열람을 요청하여 보안인증기준에 적합한지 평가한다.③ 현장평가는 서면평가의 결과와 관리적ㆍ물리적ㆍ기술적 보호대책 이행여부를 확인하기 위하여 담당자 면담, 관련 시스템 확인 등의 방법으로 평가한다.④ 평가기관은 인증평가에서 발견된 결함에 대해 심사종료 다음날부터 30일(최대 90일까지 연장 가능) 이내에 보완조치를 완료하도록 인증신청인에게 요청할 수 있다.⑤ 평가기관은 인증위원회 심의결과에 따라 인증위원회 종료 다음날부터 60일 이내에 인증신청인에게 추가 보완조치를 요구할 수 있다.⑥ 제1항에도 불구하고 「재난 및 안전관리 기본법」 제3조에 따른 재난의 발생 등으로 인증신청인을 방문하기 어렵다고 평가팀장이 판단하는 경우 원격평가를 병행할 수 있다.', '제18조(평가중단) ① 평가기관은 다음 각 호의 사유가 발생한 경우에는 인증평가를 중단할 수 있다.1. 인증신청인이 고의로 인증평가의 실시를 지연 또는 방해하거나 인증신청인의 귀책사유로 인하여 평가팀장이 인증평가를 계속 진행하기가 곤란하다고 판단하는 경우2. 인증신청인이 제출한 관련 자료 등을 검토한 결과 인증평가를 받을 준비가 되었다고 볼 수 없는 경우3. 제17조제4항에 따른 보완조치를 최대 90일 이내에 완료하지 않은 경우4. 「재난 및  안전관리 기본법」 제3조에 따른 재난의 발생 또는 인증신청인의 파산ㆍ청산 등의 경영환경 변화로 인하여 평가 진행이 불가능하다고 판단되는 경우② 평가기관은 제1항에 따라 인증평가를 중단하는 때에는 그 사유를 인증신청인에게 서면으로 통보하여야 한다.③ 평가기관은 제1항의 중단 사유가 해소되거나 제28조에 따른 이의신청이 이유 있다고 인정한 경우에는 인증평가를 지체 없이 재개하여야 한다. 다만, 제1항제3호의 해당하는 경우는 제외한다.', '제19조(사후관리) ① 한국인터넷진흥원 또는 인증기관은 시행령 제15조의8에 따른 보안인증의 사후관리를 실시하여야 한다.② 한국인터넷진흥원 또는 인증기관은 제1항에 따른 사후관리를 실시하는 경우 보안인증을 발급한 날부터 매 1년마다 보안인증이 보안인증기준에 적합한지 여부의 확인을 평가기관으로 하여금 수행하게 할 수 있다.③ 사후관리에 관하여 그밖에 필요한 사항은 제3장 및 제4장의 규정을 적용한다.', '제20조(인증의 갱신) ① 인증취득인은 해당 보안인증의 유효기간 연장을 위해서 유효기간 만료일 6개월 이전에 갱신평가를 신청하여야 한다.② 과학기술정보통신부장관은 「재난 및 안전관리 기본법」 제3조에 따른 재난의 발생 등 특정한 사유가 발생하는 경우 제1항에 따른 보안인증의 유효기간을 연장할 수 있다.③ 갱신평가 결과 보완조치가 불가피한 사유로 인해 완료되지 못한 경우 한국인터넷진흥원 또는 인증기관은 인증위원회의 심의를 거쳐 보완조치기간을 부여할 수 있다.④ 인증취득인이 특별한 사유 없이 제1항에 따른 보안인증의 갱신을 신청하지 아니하여 보안인증의 유효기간이 경과한 때에는 보안인증의 효력은 상실된다.⑤ 갱신평가에 관하여 그밖에 필요한 사항은 제3장 및 제4장의 규정을 적용한다.', '   제5장 인증위원회 구성과 운영', '제21조(인증위원회의 구성) ① 한국인터넷진흥원 또는 인증기관은 다음 각 호의 사항을 심의ㆍ의결하기 위하여 인증위원회를 설치ㆍ운영하여야 한다.1. 최초평가 또는 갱신평가 결과가 보안인증기준에 적합한지 여부2. 제27조제1항에 따른 인증의 취소에 관한 사항3. 제28조에 따른 이의신청에 관한 사항4. 그 밖에 보안인증과 관련하여 한국인터넷진흥원 또는 인증기관, 위원장이 필요하다고 인정하는 사항② 인증위원회는 15인 이내의 위원으로 구성하되, 위원은 정보보호 및 클라우드 보안 관련 분야에 학식과 경험이 있는 자 중에서 한국인터넷진흥원 또는 인증기관이 위촉하며, 위원장은 위원 중에서 호선한다.③ 위원장은 인증위원회의 업무를 통할하며 위원회를 대표한다.④ 한국인터넷진흥원 또는 인증기관은 위원이 관계법령 또는 이 규정을 위반한 때에는 해당 위원을 해촉할 수 있다.', '제22조(인증위원회의 운영) ① 인증위원회의 회의는 한국인터넷진흥원 또는 인증기관의 요구로 개최하되, 회의마다 위원장과 전문분야를 고려한 5명의 위원 출석으로 개의하며, 출석위원 3분의 2 이상의 찬성으로 의결한다. 다만, 위원장이 부득이한 사유로 직무를 수행할 수 없는 경우 위원장이 사전에 지명한 위원이 위원장의 직무를 대행한다.② 한국인터넷진흥원 또는 인증기관은 인증위원회의 심의안건을 검토하여 위원회 개최 5일 전까지 인증위원회에 제출한다. 다만, 긴급한 경우나 부득이한 사유가 있는 경우에는 그러하지 아니하다.③ 인증위원회 위원장은 제21조제1항의 각 호의 사항에 대한 심의ㆍ의결 결과를 한국인터넷진흥원 또는 인증기관에게 제출한다.④ 인증위원회는 심의를 위하여 필요하다고 인정되는 경우에는 인증평가에 참여한 보안인증평가원 또는 관련 전문가로부터 그에 관한 의견을 들을 수 있다.⑤ 한국인터넷진흥원 또는 인증기관은 인증위원회의 심의ㆍ의결 결과를 제출받은 때에는 인증신청인 또는 이의신청인에게 결과를 통보하여야 한다.', '제23조(제척ㆍ기피ㆍ회피) ① 인증위원회 위원은 인증신청인과 다음 각 호의 사항 중  어느 하나에 해당하는 경우에는 인증위원회의 심의ㆍ의결에서 제척(除斥)된다.1. 위원 또는 그 배우자나 배우자였던 사람이 해당 안건의 당사자가 되거나 그 안건의 당사자와 공동권리자 또는 공동의무자인 경우2. 위원이 해당 안건의 당사자와 친족이거나 친족이었던 경우3. 위원이 해당 안건에 대하여 증언ㆍ진술ㆍ자문ㆍ연구 또는 용역을 한 경우4. 위원이나 위원이 속한 법인이 해당 안건의 당사자의 대리인이거나 대리인이었던 경우5. 위원이 해당 안건의 원인이 된 처분이나 부작위에 관여하거나 관여하였던 경우② 위원에게 심의ㆍ의결의 공정을 기대하기 어려운 사정이 있는 경우 인증신청인 또는 이의신청인은 기피신청을 할 수 있고, 위원회는 의결로 이를 결정한다.', '   제6장 보안인증서의 발급ㆍ관리 및 홍보', '제24조(보안인증서의 발급 등) ① 한국인터넷진흥원 또는 인증기관은 인증위원회에서 인증적합으로 판정된 경우 그 결과에 따라 인증신청인에게 규칙 별지 제2호서식의 클라우드 보안인증서를 발급하여야 한다.② 보안인증서 발급 시 규칙 별표의 보안인증의 표시 기준을 따른다.', '제25조(보안인증서 관리 및 재발급) ① 한국인터넷진흥원 또는 인증기관은 발급된 보안인증서의 인증번호, 발급일, 유효기간 등 보안인증서를 관리하여야 한다.② 인증취득인은 보안인증서의 분실 등으로 인해 재발급을 받고자 할 경우 별지 제5호서식의 보안인증서 재발급 신청서를 한국인터넷진흥원 또는 인증기관에 제출하여야 한다.③ 인증취득인이 주소, 업체명 등 보안인증서 기재사항의 변경을 요청하고자 하는 경우 별지 제6호서식의 보안인증서 변경 신청서를 한국인터넷진흥원 또는 인증기관에 제출하여야 한다.', '제26조(인증의 표시 및 홍보) ① 보안인증의 표시는 규칙 별표와 같다.② 제1항에 따른 인증의 표시를 사용하는 경우에는 인증번호, 인증대상, 유효기간 등을 함께 표시하여야 한다.③ 한국인터넷진흥원은 홈페이지를 통해 인증현황을 공개하여야 한다.', '제27조(인증의 취소) ① 한국인터넷진흥원 또는 인증기관은 법 제23조의3제1항제2호에 해당하여 보안인증을 취소하고자 할 때는 인증위원회의 심의ㆍ의결을 거쳐야 한다.② 국가정보원장은 「전자정부법」제2조에 따른 행정기관 또는 공공기관이 사용하는 클라우드컴퓨팅서비스가 법 제23조의3제1항제2호에 해당한다고 판단하는 경우, 한국인터넷진흥원 또는 인증기관에 보안인증 취소를 요청할 수 있다.③ 한국인터넷진흥원 또는 인증기관은 제1항에 따라 인증을 취소한 경우에 그 결과를 통지하여야 한다.', '제28조(이의신청) ① 인증신청인 또는 인증취득인이 인증평가 결과, 평가중단 또는 보안인증 취소처분에 관하여 이의가 있는 때에는 그 결과를 통보받은 날부터 15일 이내에 별지 제7호서식의 이의신청서를 한국인터넷진흥원 또는 인증기관에 제출하여야 한다.② 한국인터넷진흥원 또는 인증기관은 제1항에 따른 이의신청이 이유가 있다고 인정되는 경우에는 인증위원회에 재심의를 요청하여야 한다.③ 한국인터넷진흥원 또는 인증기관은 이의신청에 대한 처리결과를 인증신청인 또는 인증취득인에게 통지하여야 한다.', '   제7장 인증 일반업무 등', '제29조(비밀유지 등) ① 한국인터넷진흥원, 인증기관 및 평가기관의 임직원, 인증위원회 위원, 보안인증평가원 등 인증평가 업무에 종사하는 자 또는 종사하였던 자는 정당한 권한 없이 또는 허용된 권한을 초과하여 업무상 지득한 비밀, 인증 평가 및 심의 결과에 관한 정보를 누설하거나 이를 업무 목적 이외에 보관ㆍ사용하여서는 아니 된다.② 한국인터넷진흥원, 인증기관, 평가기관, 인증위원회 위원, 보안인증평가원 등 인증평가 업무에 종사하는 자 또는 종사하였던 자는 인증에 관련하여 일체의 금전, 금품, 이익 등을 부당하게 수수하여서는 아니 된다.', '제30조(인증업무의 위탁) 과학기술정보통신부장관은 법 제31조 및 시행령 제20조제3항제3호 및 제4호의 규정에 따라 다음 각 호의 업무를 한국인터넷진흥원에 위탁한다.1. 제3조 및 제6조에 따른 인증기관 또는 평가기관의 지정, 재지정 등에 따른 업무2. 제5조제2항에 따른 지정기준의 충족여부 심사, 자료제출 요구 또는 현장심사에 관한 업무3. 제8조에 따른 지정취소 사유의 조사 및 확인4. 그밖에 인증업무의 효율적 처리를 위하여 필요하다고 인정한 업무', '제31조(업무 지침 등) 한국인터넷진흥원, 인증기관 또는 평가기관은 보안인증 또는 평가업무 수행을 위해 필요한 경우 법령의 범위 내에서 인증 또는 평가업무에 관한 지침을 마련하여 시행할 수 있다.', '제32조(재검토) 과학기술정보통신부장관은 「행정규제기본법」 및  「훈령ㆍ예규 등의 발령 및 관리에 관한 규정(대통령훈령 제248호)」에 따라 이 고시에 대하여 2023년 1월 1일을 기준으로 매 3년이 되는 시점(매 3년째의 12월 31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.']


별표

별표 0001: 관리적 보호조치

[별표 1] 관리적 보호조치┌──────────────┬─────────────────────────────┬─┐

│구   분                     │세 부 조 치 사 항                                         │하│

├──┬─────┬─────┼─────────────────────────────┼─┤

│1.  │1.1.      │1.1.1.    │정보보호 정책을 문서화하고, 정보보호 최고책임자의 승인    │○│

│정  │정보보호  │정보보호  │후 정책에 영향을 받는 모든 임직원 및 외부 업무 관련자     │  │

│보  │정책      │정책 수립 │에게 제공하여야 한다.                                     │  │

│보  │          ├─────┼─────────────────────────────┼─┤

│호  │          │1.1.2.    │정보보호 정책의 타당성 및 효과를 연 1회 이상 검토하고,    │  │

│정  │          │정보보호  │관련 법규 변경 및 내·외부 보안사고 발생 등의 중대한 사   │  │

│책  │          │정책 검토 │유가 발생할 경우에는 추가로 검토하고 변경하여야 한다.     │  │

│및  │          │및 변경   │                                                          │  │

│조  │          ├─────┼─────────────────────────────┼─┤

│직  │          │1.1.3.    │정보보호 정책 및 정책 시행문서의 이력관리 절차를 수립     │  │

│    │          │정보보호  │하고 시행하며, 최신본으로 유지하여야 한다.                │  │

│    │          │정책문서  │                                                          │  │

│    │          │관리      │                                                          │  │

│    ├─────┼─────┼─────────────────────────────┼─┤

│    │1.2.      │1.2.1.    │정보보호 활동을 계획, 실행, 검토하는 정보보호 전담조직    │○│

│    │정보보호  │조직 구성 │을 구성하고 정보보호 최고책임자를 임명하여야 한다.        │  │

│    │조직      ├─────┼─────────────────────────────┼─┤

│    │          │1.2.2.    │정보자산과 보안에 관련된 모든 임직원 및 외부 업무 관련    │  │

│    │          │역할 및   │자의 정보보호 역할과 책임을 명확하게 정의하여야 한다.     │  │

│    │          │책임 부여 │또한 서비스 이용자의 정보보호 역할과 책임도 서비스 수     │  │

│    │          │          │준 협약 등을 통해 명확하게 정의하여야 한다.               │  │

├──┼─────┼─────┼─────────────────────────────┼─┤

│2.  │2.1.      │2.1.1.    │고용 계약서에 정보보호 정책 및 관련 법률을 준수하도록     │  │

│인  │내부인력  │고용계약  │하는 조항 또는 조건을 포함시키고, 새로 채용하거나 합류    │  │

│적  │보안      │          │한 근무 인력이 클라우드컴퓨팅서비스의 설비, 자원, 자산    │  │

│보  │          │          │에 접근이 허용되기 이전에 서명을 받아야 한다.             │  │

│안  │          ├─────┼─────────────────────────────┼─┤

│    │          │2.1.2.    │클라우드컴퓨팅서비스의 시스템 운영 및 개발, 정보보호      │○│

│    │          │주요      │등에 관련된 임직원의 경우 주요 직무자로 지정하여 관리     │  │

│    │          │직무자    │하고, 직무 지정 범위는 최소화하여야 한다.                 │  │

│    │          │지정 및   │                                                          │  │

│    │          │감독      │                                                          │  │

│    │          ├─────┼─────────────────────────────┼─┤

│    │          │2.1.3.    │권한 오남용 등 내부 임직원의 고의적인 행위로 발생할 수    │  │

│    │          │직무 분리 │있는 잠재적인 위협을 줄이기 위하여 직무 분리 기준을 수    │  │

│    │          │          │립하고 적용하여야 한다.                                   │  │

│    │          ├─────┼─────────────────────────────┼─┤

│    │          │2.1.4.    │정보보호와 개인정보보호 등을 위해 필요한 사항을 비밀유    │  │

│    │          │비밀유지  │지서약서에 정의하고 주기적으로 갱신하여야 한다.           │  │

│    │          │서약서    │                                                          │  │

│    │          ├─────┼─────────────────────────────┼─┤

│    │          │2.1.5.    │임직원의 퇴직 또는 직무 변경에 관한 책임을 명시적으로     │  │

│    │          │퇴직 및   │정의하고 수행하여야 한다. 또한 이에 대한 접근권한도 제    │  │

│    │          │직무변경  │거하여야 한다.                                            │  │

│    ├─────┼─────┼─────────────────────────────┼─┤

│    │2.2.      │2.2.1.    │외부인력(외부유지보수직원, 외부용역자 포함)에 의한 정     │  │

│    │외부인력  │외부인력  │보자산 접근 등과 관련된 보안요구사항을 계약에 반영하여    │  │

│    │보안      │계약      │야 한다.                                                  │  │

│    │          ├─────┼─────────────────────────────┼─┤

│    │          │2.2.2.    │계약서에 명시한 보안요구사항 준수 여부를 주기적으로 점    │  │

│    │          │외부인력  │검하고 위반사항이나 침해사고 발생 시 적절한 조치를 수     │  │

│    │          │보안 이행 │행하여야 한다.                                            │  │

│    │          │관리      │                                                          │  │

│    │          ├─────┼─────────────────────────────┼─┤

│    │          │2.2.3.    │외부인력과의 계약 만료 시 자산 반납, 접근권한의 회수,     │  │

│    │          │계약 만료 │중요정보 파기, 업무 수행 시 알게 된 정보의 대한 비밀 유   │  │

│    │          │시 보안   │지서약 등을 확인하여야 한다.                              │  │

│    ├─────┼─────┼─────────────────────────────┼─┤

│    │2.3.      │2.3.1.    │모든 임직원 및 외부 업무 관련자를 포함하여 연간 정보보    │  │

│    │정보보호  │교육      │호 교육 프로그램을 수립하여야 한다.                       │  │

│    │교육      │프로그램  │                                                          │  │

│    │          │수립      │                                                          │  │

│    │          ├─────┼─────────────────────────────┼─┤

│    │          │2.3.2.    │모든 임직원 및 외부 업무 관련자를 대상으로 연 1회 이상    │○│

│    │          │교육 시행 │정보보호 교육을 시행하고 정보보호 정책 및 절차의 중대     │  │

│    │          │          │한 변경, 내·외부 보안사고 발생, 관련 법규 변경 등의 사유 │  │

│    │          │          │가 발생하면 추가 교육을 실시하여야 한다.                  │  │

│    │          ├─────┼─────────────────────────────┼─┤

│    │          │2.3.3.    │정보보호 교육 시행에 대한 기록을 남기고 결과를 평가하     │  │

│    │          │평가 및   │여 개선하여야 한다.                                       │  │

│    │          │개선      │                                                          │  │

├──┼─────┼─────┼─────────────────────────────┼─┤

│3.  │3.1.      │3.1.1.    │클라우드컴퓨팅서비스에 사용된 정보자산(정보시스템, 정     │○│

│자  │ 자산     │자산 식별 │보보호시스템, 정보 등)에 대한 자산분류기준을 수립하고     │  │

│산  │식별 및   │          │식별된 자산의 목록을 작성하여 관리하여야 한다.            │  │

│관  │분류      ├─────┼─────────────────────────────┼─┤

│리  │          │3.1.2.    │식별된 자산마다 책임자 및 관리자를 지정하여 책임소재를    │○│

│    │          │자산별    │명확히 하여야 한다.                                       │  │

│    │          │책임할당  │                                                          │  │

│    │          ├─────┼─────────────────────────────┼─┤

│    │          │3.1.3.    │기밀성, 무결성, 가용성, 법적요구사항 등을 고려하여 자산   │  │

│    │          │보안등급  │의 보안 등급을 부여하고, 보안 등급별 취급 절차에 따라     │  │

│    │          │및 취급   │관리하여야 한다.                                          │  │

│    ├─────┼─────┼─────────────────────────────┼─┤

│    │3.2.      │3.2.1.    │클라우드컴퓨팅서비스에 사용된 자산(시설, 장비, 소프트     │  │

│    │자산      │변경관리  │웨어 등)의 변경이 필요한 경우 보안 영향 평가를 통해 변    │  │

│    │변경관리  │          │경 사항을 관리하여야 한다. 또한 이용자에게 큰 영향을 주   │  │

│    │          │          │는 변경에 대해서는 사전에 공지를 하여야 한다.             │  │

│    │          ├─────┼─────────────────────────────┼─┤

│    │          │3.2.2.    │클라우드컴퓨팅서비스에 사용된 자산(시설, 장비, 소프트     │  │

│    │          │변경 탐지 │웨어 등)의 변경을 지속적으로 모니터링하여 허가 받지 않    │  │

│    │          │및        │은 변경을 탐지하고 최신의 변경 이력을 유지하여야 한다.    │  │

│    │          │모니터링  │                                                          │  │

│    │          ├─────┼─────────────────────────────┼─┤

│    │          │3.2.3.    │클라우드컴퓨팅서비스에 사용된 자산(시설, 장비, 소프트     │  │

│    │          │변경 후   │웨어 등)의 변경 후에는 보안성 및 호환성 등에 대한 작업    │  │

│    │          │작업검증  │검증을 수행하여야 한다.                                   │  │

│    ├─────┼─────┼─────────────────────────────┼─┤

│    │3.3.      │3.3.1.    │관리적, 기술적, 물리적, 법적 분야 등 정보보호 전 영역에   │  │

│    │위험관리  │위험관리  │대한 위험식별 및 평가가 가능하도록 위험관리 방법과 계     │  │

│    │          │계획      │획을 사전에 수립하여야 한다.                              │  │

│    │          │수립      │                                                          │  │

│    │          ├─────┼─────────────────────────────┼─┤

│    │          │3.3.2.    │취약점 점검 정책에 따라 주기적으로 기술적 취약점(예 :     │○│

│    │          │취약점    │유·무선 네트워크, 운영체제 및 인프라, 응용 프로그램 취   │  │

│    │          │점검      │약점 등)을 점검하고 보완하여야 한다.                      │  │

│    │          ├─────┼─────────────────────────────┼─┤

│    │          │3.3.3.    │위험관리 방법 및 계획에 따라 정보보호 전 영역에 대한      │  │

│    │          │위험분석  │위험 식별 및 평가를 연 1회 이상 수행하고 그 결과에 따라   │  │

│    │          │및 평가   │수용 가능한 위험수준을 설정하여 관리하여야 한다.          │  │

│    │          ├─────┼─────────────────────────────┼─┤

│    │          │3.3.4.    │법규 및 계약관련 요구사항과 위험수용 수준을 고려하여      │  │

│    │          │위험처리  │위험평가 결과에 따라 통제할 수 있는 방법을 선택하여 처    │  │

│    │          │          │리하여야 한다.                                            │  │

├──┼─────┼─────┼─────────────────────────────┼─┤

│4.  │4.1.      │4.1.1.    │클라우드컴퓨팅서비스에 대한 접근과 서비스 연속성을 저     │○│

│서  │공급망관  │공급망    │해하는 위험을 식별하고 최소화하기 위해 공급망과 관련한    │  │

│비  │리 정책   │관리 정책 │보안 요구사항을 정의하는 관리 정책을 수립하여야 한다.     │  │

│스  │          │수립      │                                                          │  │

│공  │          ├─────┼─────────────────────────────┼─┤

│급  │          │4.1.2.    │클라우드컴퓨팅서비스 범위 및 보안 요구사항을 포함하는     │  │

│망  │          │공급망    │공급망 계약을 체결하고 다자간 협약 시 책임을 개별 계약    │  │

│관  │          │계약      │서에 각각 명시해야하며, 해당 서비스에 관련된 모든 이해    │  │

│리  │          │          │관계자에게 적용하여야 한다.                               │  │

│    ├─────┼─────┼─────────────────────────────┼─┤

│    │4.2.      │4.2.1.    │정보보호 정책, 절차 및 통제에 대한 수정 및 개선이 필요    │  │

│    │공급망    │공급망    │하다고 판단될 경우 서비스 공급망 상에 발생할 수 있는      │  │

│    │변경관리  │변경관리  │위험에 대한 검토를 통해 안전성을 확보 후 계약서 내용      │  │

│    │          │          │변경 방안을 제시하여야 한다.                              │  │

│    │          ├─────┼─────────────────────────────┼─┤

│    │          │4.2.2.    │클라우드컴퓨팅서비스 공급망 상에서 발생하는 기록 및 보    │○│

│    │          │공급망    │고서는 정기적으로 모니터링 및 검토하여야 한다.            │  │

│    │          │모니터링  │                                                          │  │

│    │          │및 검토   │                                                          │  │

├──┼─────┼─────┼─────────────────────────────┼─┤

│5.  │5.1.      │5.1.1.    │침해사고에 대한 효율적이고 효과적인 대응을 위해 신고절    │○│

│침  │침해사고  │침해사고  │차, 유출 금지 대상, 사고 처리 절차 등을 담은 침해사고 대  │  │

│해  │대응      │대응      │응절차를 마련하여야 한다. 침해사고 대응절차는 이용자와    │  │

│사  │절차 및   │절차 수립 │제공자의 책임과 절차가 포함되어야 한다.                   │  │

│고  │체계      ├─────┼─────────────────────────────┼─┤

│관  │          │5.1.2.    │침해사고 정보를 수집·분석·대응할 수 있는 보안관제 시스  │○│

│리  │          │침해사고  │템 및 조직을 구성·운영하고, 침해사고 유형 및 중요도에    │  │

│    │          │대응      │따라 보고 및 협력체계를 구축하여야 한다.                  │  │

│    │          │체계 구축 │                                                          │  │

│    │          ├─────┼─────────────────────────────┼─┤

│    │          │5.1.3.    │침해사고 대응과 관련된 역할 및 책임이 있는 담당자를 훈    │○│

│    │          │침해사고  │련시켜야 하고, 주기적으로 침해사고 대응 능력을 점검하     │  │

│    │          │대응      │여야 한다.                                                │  │

│    │          │훈련 및   │                                                          │  │

│    │          │점검      │                                                          │  │

│    ├─────┼─────┼─────────────────────────────┼─┤

│    │5.2.      │5.2.1.    │침해사고 발생 시 침해사고 대응절차에 따라 법적 통지 및    │○│

│    │침해사고  │침해사고  │신고 의무를 준수하여야 한다. 또한 클라우드컴퓨팅서비스    │  │

│    │대응      │보고      │이용자에게 발생 내용, 원인, 조치 현황 등을 신속하게 알    │  │

│    │          │          │려야 한다.                                                │  │

│    │          ├─────┼─────────────────────────────┼─┤

│    │          │5.2.2.    │침해사고 발생 시 침해사고 대응절차에 따라 처리와 복구     │○│

│    │          │침해사고  │를 신속하게 수행하여야 한다.                              │  │

│    │          │처리 및   │                                                          │  │

│    │          │복구      │                                                          │  │

│    ├─────┼─────┼─────────────────────────────┼─┤

│    │5.3.      │5.3.1.    │침해사고가 처리 및 종결된 후 발생 원인을 분석하고 그      │  │

│    │사후관리  │침해사고  │결과를 이용자에게 알려야 한다. 또한 유사한 침해사고에     │  │

│    │          │분석 및   │대한 신속한 처리를 위해 침해사고 관련 정보 및 발견된      │  │

│    │          │공유      │취약점을 관련 조직 및 임직원과 공유하여야 한다.           │  │

│    │          ├─────┼─────────────────────────────┼─┤

│    │          │5.3.2.    │침해사고 관련 정보를 활용하여 유사한 침해사고가 반복되    │○│

│    │          │재발방지  │지 않도록 침해사고 재발방지 대책을 수립하고, 필요한 경    │  │

│    │          │          │우 침해사고 대응 체계도 변경하여야 한다.                  │  │

├──┼─────┼─────┼─────────────────────────────┼─┤

│6.  │6.1.      │6.1.1.    │관련 법률에서 규정한 클라우드컴퓨팅서비스의 중단으로      │○│

│서  │장애대응  │장애      │부터 업무 연속성을 보장하기 위해 백업, 복구 등을 포함하   │  │

│비  │          │대응절차  │는 장애 대응 절차를 마련하여야 한다.                      │  │

│스  │          │수립      │                                                          │  │

│연  │          ├─────┼─────────────────────────────┼─┤

│속  │          │6.1.2.    │클라우드컴퓨팅서비스 중단이나 피해가 발생 시 장애 대응    │○│

│성  │          │장애 보고 │절차에 따라 법적 통지 및 신고 의무를 준수하여야 한다.     │  │

│관  │          │          │또한 클라우드컴퓨팅서비스 이용자에게도 발생 내용, 원      │  │

│리  │          │          │인, 조치 현황 등을 신속하게 알려야 한다.                  │  │

│    │          ├─────┼─────────────────────────────┼─┤

│    │          │6.1.3.    │클라우드컴퓨팅서비스 중단이나 피해가 발생할 경우, 서비    │○│

│    │          │장애      │스 수준 협약(SLA)에 명시된 시간 내에 장애 대응절차에      │  │

│    │          │처리 및   │따라 해당 서비스의 장애를 처리하고 복구시켜야 한다.       │  │

│    │          │복구      │                                                          │  │

│    │          ├─────┼─────────────────────────────┼─┤

│    │          │6.1.4.    │장애 관련 정보를 활용하여 유사한 서비스 중단이 반복되     │○│

│    │          │재발방지  │지 않도록 장애 재발방지 대책을 수립하고, 필요한 경우 장   │  │

│    │          │          │애 대응 절차도 변경하여야 한다.                           │  │

│    ├─────┼─────┼─────────────────────────────┼─┤

│    │6.2.      │6.2.1.    │클라우드컴퓨팅서비스의 가용성을 보장하기 위해 성능 및     │○│

│    │서비스    │성능 및   │용량에 대한 요구사항을 정의하고, 지속적으로 관리할 수     │  │

│    │가용성    │용량      │있는 모니터링 방법 또는 절차를 수립하여야 한다.           │  │

│    │          │관리      │                                                          │  │

│    │          ├─────┼─────────────────────────────┼─┤

│    │          │6.2.2.    │정보처리설비(예 : 클라우드컴퓨팅서비스를 제공하는 물리    │  │

│    │          │이중화 및 │적인 서버, 스토리지, 네트워크 장비, 통신 케이블, 접속 회  │  │

│    │          │백업      │선 등)의 장애로 서비스가 중단되지 않도록 정보 처리설비    │  │

│    │          │          │를 이중화하고, 장애 발생 시 신속하게 복구를 수행하도록    │  │

│    │          │          │백업 체계도 마련하여야 한다.                              │  │

│    │          ├─────┼─────────────────────────────┼─┤

│    │          │6.2.3.    │서비스 가용성에 대한 영향 평가를 주기적으로 점검하여야    │  │

│    │          │서비스    │한다.                                                     │  │

│    │          │가용성    │                                                          │  │

│    │          │점검      │                                                          │  │

├──┼─────┼─────┼─────────────────────────────┼─┤

│7.  │7.1.      │7.1.1.    │정보보호 관련 법적 요구사항을 식별하고 준수하여야 한      │○│

│준  │법 및     │법적요구  │다.                                                       │  │

│거  │정책      │사항      │                                                          │  │

│성  │준수      │준수      │                                                          │  │

│    │          ├─────┼─────────────────────────────┼─┤

│    │          │7.1.2.    │정보보호 정책 및 서비스 수준 협약에 포함된 보안 요구사    │  │

│    │          │정보보호  │항을 식별하고 준수하며 이용자가 요구하는 경우 관련 증     │  │

│    │          │정책      │거를 제공하여야 한다.                                     │  │

│    │          │준수      │                                                          │  │

│    ├─────┼─────┼─────────────────────────────┼─┤

│    │7.2.      │7.2.1.    │법적 요구사항 및 정보보호 정책 준수 여부를 보증하기 위    │  │

│    │보안      │독립적    │해 독립적 보안감사 계획을 수립하여 시행하고 개선 조치     │  │

│    │감사      │보안감사  │를 취하여야 한다.                                         │  │

│    │          ├─────┼─────────────────────────────┼─┤

│    │          │7.2.2.    │보안감사 증적(로그)은 식별할 수 있는 형태로 기록 및 모    │○│

│    │          │감사기록  │니터링 되어야 되고 비인가된 접근 및 변조로부터 보호되     │  │

│    │          │및        │어야 한다.                                                │  │

│    │          │모니터링  │                                                          │  │

└──┴─────┴─────┴─────────────────────────────┴─┘

별표 0002: 물리적 보호조치

[별표 2] 물리적 보호조치┌──────────────┬────────────────────────────┬─┐

│구   분                     │세 부 조 치 사 항                                       │하│

├──┬────┬──────┼────────────────────────────┼─┤

│8.  │8.1.    │8.1.1.      │중요 정보 및 정보처리시설을 보호하기 위한 물리적 보     │○│

│물  │물리적  │물리적      │안 구역(예 : 주요 정보처리 설비 및 시스템 구역, 사무실, │  │

│리  │보호구역│보호구역    │외부인 접견실 등)을 지정하고, 각 보안 구역에 대한 보    │  │

│적  │        │지정        │안 대책을 마련하여야 한다.                              │  │

│보  │        ├──────┼────────────────────────────┼─┤

│안  │        │8.1.2.      │물리적 보안 구역에 인가된 자만이 접근할 수 있도록 출    │○│

│    │        │물리적      │입을 통제하는 시설(예 : 경비원, 출입 통제 시스템 등)을  │  │

│    │        │출입통제    │갖추어야 하고, 출입 및 접근 이력을 주기적으로 검토하    │  │

│    │        │            │여야 한다.                                              │  │

│    │        ├──────┼────────────────────────────┼─┤

│    │        │8.1.3.      │유지보수 등 주요 정보처리 설비 및 시스템이 위치한 보    │  │

│    │        │물리적      │호구역 내에서의 작업 절차를 수립하고 작업에 대한 기     │  │

│    │        │보호구역 내 │록을 주기적으로 검토하여야 한다.                        │  │

│    │        │작업        │                                                        │  │

│    │        ├──────┼────────────────────────────┼─┤

│    │        │8.1.4.      │사무실 및 설비 공간에 대한 물리적인 보호방안을 수립     │  │

│    │        │사무실 및   │하고 적용하여야 한다.                                   │  │

│    │        │설비 공간   │                                                        │  │

│    │        │보호        │                                                        │  │

│    │        ├──────┼────────────────────────────┼─┤

│    │        │8.1.5.      │노트북 등 모바일 기기 미승인 반출입을 통한 중요정보     │  │

│    │        │모바일 기기 │유출, 내부망 악성코드 감염 등의 보안사고 예방을 위하    │  │

│    │        │반출·입    │여 보호구역 내 임직원 및 외부인력 모바일 기기 반출입    │  │

│    │        │            │통제절차를 수립하고 기록·관리하여야 한다.              │  │

│    ├────┼──────┼────────────────────────────┼─┤

│    │8.2.    │8.2.1.      │물리적 및 환경적 위험으로부터 잠재적 손상을 최소화하    │  │

│    │정보처리│정보처리시  │고 비인가 된 접근 가능성을 최소화하기 위하여, 정보처    │  │

│    │시설 및 │설의 배치   │리시설 내 장비의 위치를 파악하고 배치하여야 한다.       │  │

│    │장비보호├──────┼────────────────────────────┼─┤

│    │        │8.2.2.      │각 보안 구역의 중요도 및 특성에 따라 화재, 누수, 전력   │  │

│    │        │보호설비    │이상 등 자연재해나 인재에 대비하여 화재 감지기, 소화    │  │

│    │        │            │설비, 누수 감지기, 항온 항습기, 무정전 전원 장치(UPS),  │  │

│    │        │            │이중 전원선 등의 설비를 갖추어야 한다.                  │  │

│    │        ├──────┼────────────────────────────┼─┤

│    │        │8.2.3.      │데이터를 송수신하는 통신케이블이나 전력을 공급하는      │  │

│    │        │케이블 보호 │전력 케이블은 손상이나 도청으로부터 보호하여야 한다.    │  │

│    │        ├──────┼────────────────────────────┼─┤

│    │        │8.2.4.      │정보처리시설은 가용성과 무결성을 지속적으로 보장할      │  │

│    │        │시설 및     │수 있도록 유지보수하여야 한다.                          │  │

│    │        │장비        │                                                        │  │

│    │        │유지보수    │                                                        │  │

│    │        ├──────┼────────────────────────────┼─┤

│    │        │8.2.5.      │장비의 미승인 반출·입을 통한 중요 정보 유출, 악성코드  │  │

│    │        │장비 반출· │감염 등의 침해사고 예방을 위하여, 보안 구역 내 직원     │  │

│    │        │입          │및 외부 업무 관련자에 의한 장비 반출·입 절차를 수립하  │  │

│    │        │            │고, 기록 및 관리하여야 한다.                            │  │

│    │        ├──────┼────────────────────────────┼─┤

│    │        │8.2.6.      │정보처리시설 내의 저장 매체를 포함하여 모든 장비를      │  │

│    │        │장비 폐기   │파악하고, 민감한 데이터가 저장된 장비를 폐기하는 경우   │  │

│    │        │및 재사용   │복구 불가능하도록 하여야 한다. 또한 재사용하는 경우에   │  │

│    │        │            │도 복구 불가능 상태에서 재사용하여야 한다.              │  │

└──┴────┴──────┴────────────────────────────┴─┘

별표 0003: 기술적 보호조치

[별표 3] 기술적 보호조치┌──────────────┬──────────────────────────────┬────┐

│구   분                     │세 부 조 치 사 항                                           │하      │

├──┬────┬──────┼──────────────────────────────┼────┤

│9.  │9.1.    │9.1.1.      │가상자원(가상 머신, 가상 스토리지, 가상 소프트웨어 등)      │○      │

│가  │가상화  │가상자원    │의 생성, 변경, 회수 등에 대한 관리 방안을 수립하여야 한     │        │

│상  │인프라  │관리        │다.                                                         │        │

│화  │        ├──────┼──────────────────────────────┼────┤

│보  │        │9.1.2.      │이용자와의 계약 종료 시 가상자원 회수 절차에 따라 백업      │○      │

│안  │        │가상자원    │을 포함한 모든 클라우드 시스템에서 삭제하여야 한다.         │        │

│    │        │회수        │                                                            │        │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │9.1.3.      │가상자원에 대한 무결성 보장하기 위한 보호조치 및 가상       │○      │

│    │        │가상자원    │자원의 변경(수정, 이동, 삭제, 복사)에 대해 모니터링 하여    │        │

│    │        │모니터링    │야 한다. 또한, 가상자원에 손상이 발생한 경우 이를 이용      │        │

│    │        │            │자에게 알려주어야 한다.                                     │        │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │9.1.4.      │가상자원을 관리하는 하이퍼바이저의 기능 및 인터페이스       │○      │

│    │        │하이퍼바이  │에 대한 접근 통제 방안을 마련하여야 한다. 또한 하이퍼바     │        │

│    │        │저 보안     │이저에 대한 소프트웨어 업데이트 및 보안패치를 최신으로      │        │

│    │        │            │유지하여야 한다.                                            │        │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │9.1.5.      │가상자원을 제공하기 위한 웹사이트와 가상소프트웨어(앱,      │○      │

│    │        │공개서버    │응용프로그램)를 배포하기 위한 공개서버에 대한 물리적,       │        │

│    │        │보안        │기술적 보호대책을 수립하여야 한다.                          │        │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │9.1.6.      │클라우드컴퓨팅서비스 제공자는 표준화된 가상화 포멧, 이      │        │

│    │        │상호 운용성 │식성이 높은 가상화 플랫폼, 공개 API 등을 이용하여 클라      │        │

│    │        │및 이식성   │우드컴퓨팅서비스 간의 상호 운용성 및 이식성을 높여야        │        │

│    │        │            │한다.                                                       │        │

│    ├────┼──────┼──────────────────────────────┼────┤

│    │9.2.    │9.2.1.      │바이러스, 웜, 트로이목마 등의 악성코드로부터 이용자의       │○      │

│    │가상    │악성코드    │가상 환경(가상PC, 가상 서버, 가상 소프트웨어 등)을 보호     │        │

│    │환경    │통제        │하기 위한 악성코드 탐지, 차단 등의 보안기술을 지원하여      │        │

│    │        │            │야 한다. 또한 이상 징후 발견 시 이용자 통지하고 사용 중     │        │

│    │        │            │지 및 격리 조치를 수행하여야 한다.                          │        │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │9.2.2.      │가상 환경(가상PC, 가상 서버, 가상 소프트웨어 등) 접근을     │        │

│    │        │인터페이스  │위한 인터페이스 및 API에 대한 보안 취약점을 주기적으        │        │

│    │        │및 API 보안 │로 분석하고, 이에 대한 보호방안을 마련하여야 한다.          │        │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │9.2.3.      │이용자가 기존 정보시스템 환경에서 클라우드컴퓨팅서비        │        │

│    │        │데이터 이전 │스의 가상 환경으로 전환 시 안전하게 데이터를 이전하도       │        │

│    │        │            │록 암호화 등의 기술적인 조치방안을 제공하여야 한다.         │        │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │9.2.4.      │클라우드컴퓨팅서비스 제공자는 출처, 유통경로 및 제작자      │        │

│    │        │가상        │가 명확한  소프트웨어로 구성된 가상환경을 제공하여야        │        │

│    │        │소프트웨어  │한다.                                                       │        │

│    │        │보안        │                                                            │        │

├──┼────┼──────┼──────────────────────────────┼────┤

│10. │10.1.   │10.1.1.     │비인가자의 접근을 통제할 수 있도록 접근통제 영역 및 범      │○      │

│접  │        │접근통제    │위, 접근통제 규칙, 방법 등을 포함하여 접근통제 정책을       │        │

│근  │접근통  │정책 수립   │수립하여야 한다.                                            │        │

│통  │제 정책 ├──────┼──────────────────────────────┼────┤

│제  │        │10.1.2.     │접근기록 대상을 정의하고 서비스 통제, 관리, 사고 발생       │○      │

│    │        │접근기록    │책임 추적성 등을 보장할 수 있는 형태로 기록되고 유지하      │        │

│    │        │관리        │여야 한다.                                                  │        │

├──┼────┼──────┼──────────────────────────────┼────┤

│10. │10.2.   │10.2.1.     │클라우드 시스템 및 중요정보에 대한 접근을 통제하기 위       │○      │

│접  │접근    │사용자 등록 │하여 공식적인 사용자 등록 및 해지 절차를 수립하고 업무      │        │

│근  │권한    │및 권한부여 │필요성에 따라 사용자 접근권한을 최소한으로 부여하여야 한다. │        │

│통  │관리    ├──────┼──────────────────────────────┼────┤

│제  │        │10.2.2.     │클라우드 시스템 및 중요정보 관리 및 특수 목적을 위해        │○      │

│    │        │관리자 및   │부여한 계정 및 권한을 식별하고 별도 통제하여야 한다.        │        │

│    │        │특수        │                                                            │        │

│    │        │권한관리    │                                                            │        │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │10.2.3.     │클라우드 시스템 및 중요정보에 대한 접근을 관리하기 위       │○      │

│    │        │접근권한    │하여 접근권한 부여, 이용(장기간 미사용), 변경(퇴직 및 휴    │        │

│    │        │검토        │직, 직무변경, 부서변경)의 적정성 여부를 정기적으로 점검     │        │

│    │        │            │하여야 한다.                                                │        │

│    ├────┼──────┼──────────────────────────────┼────┤

│    │10.3.   │10.3.1.     │클라우드 시스템에서 사용자를 유일하게 구분할 수 있는        │○      │

│    │사용자  │사용자 식별 │식별자를 할당하고 추측 가능한 식별자 사용을 제한하여야      │        │

│    │식별 및 │            │한다. 동일한 식별자를 공유하여 사용하는 경우 그 사유와      │        │

│    │인증    │            │타당성을 검토하고 책임자의 승인을 받아야 한다.              │        │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │10.3.2.     │클라우드 시스템에 대한 접근은 사용자 인증, 로그인 횟수      │○      │

│    │        │사용자 인증 │제한, 불법 로그인 시도 경고 등 안전한 사용자 인증 절차      │        │

│    │        │            │에 의해 통제하여야 한다.                                    │        │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │10.3.3.     │이용자가 클라우드컴퓨팅서비스에 대해 다중 요소 인증 등      │○      │

│    │        │강화된 인증 │강화된 인증 수단을 요청하는 경우 이를 제공하기 위한 방      │        │

│    │        │수단 제공   │안을 마련하여야 한다.                                       │        │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │10.3.4.     │법적 요구사항, 외부 위협요인 등을 고려하여 패스워드 복      │○      │

│    │        │패스워드    │잡도 기준, 초기 패스워드 변경, 변경 주기 등 사용자 및 이    │        │

│    │        │관리        │용자 패스워드 관리 절차를 수립·이행하고 패스워드 관리      │        │

│    │        │            │책임이 사용자 및 이용자에게 있음을 주지시켜야 한다. 특      │        │

│    │        │            │히 관리자 패스워드는 별도 보호대책을 수립하여 관리하        │        │

│    │        │            │고, 이용자 패스워드 관리절차는 공지하여야 한다.             │        │

├──┼────┼──────┼──────────────────────────────┼────┤

│11. │11.1.   │11.1.1.     │클라우드컴퓨팅서비스와 관련된 내·외부 네트워크에 대해      │○      │

│네  │네트워  │네트워크    │보안 정책과 절차를 수립하여야 한다.                         │        │

│트  │크 보안 │보안 정책   │                                                            │        │

│워  │        │수립        │                                                            │        │

│크  │        ├──────┼──────────────────────────────┼────┤

│보  │        │11.1.2.     │DDoS, 비인가 접속 등으로 인한 서비스 중단 및 중요 정보      │○      │

│안  │        │네트워크    │유출 등을 막기 위해 네트워크를 모니터링하고 통제하여야      │        │

│    │        │모니터링 및 │한다.                                                       │        │

│    │        │통제        │                                                            │        │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │11.1.3.     │클라우드컴퓨팅서비스와 관련된 내·외부 네트워크를 보호      │○      │

│    │        │네트워크    │하기 위하여 정보보호시스템(방화벽, IPS, IDS, VPN 등)을      │        │

│    │        │정보보호시  │운영하여야 한다.                                            │        │

│    │        │스템 운영   │                                                            │        │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │11.1.4.     │클라우드 시스템에서 중요정보가 이동하는 구간에 대해서       │○      │

│    │        │네트워크    │는 암호화된 통신채널을 사용하여야 한다.                     │        │

│    │        │암호화      │                                                            │        │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │11.1.5.     │클라우드컴퓨팅서비스 제공자의 관리 영역과 이용자의 서       │○      │

│    │        │네트워크    │비스 영역, 이용자 간 서비스 영역의 네트워크 접근은 물리     │        │

│    │        │분리        │적 또는 논리적으로 분리하여야 한다.                         │        │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │11.1.6.     │클라우드 시스템은 무선망과 분리하고, 무선접속에 대한        │        │

│    │        │무선        │접근을 통제하여야 한다. 무선접속을 사용하는 경우 그 사      │        │

│    │        │접근통제    │유와 타당성을 검토하고 책임자의 승인을 받아야 한다.         │        │

├──┼────┼──────┼──────────────────────────────┼────┤

│12. │12.1.   │12.1.1.     │데이터 유형, 법적 요구사항, 민감도 및 중요도에 따라 데      │        │

│데  │데이터  │데이터 분류 │이터를 분류하고 관리하여야 한다.                            │        │

│이  │보호    ├──────┼──────────────────────────────┼────┤

│터  │        │12.1.2.     │이용자와 서비스 수준 협약 단계에서 데이터의 소유권을        │○      │

│보  │        │데이터      │명확하게 확립하여야 한다.                                   │        │

│호  │        │소유권      │                                                            │        │

│및  │        ├──────┼──────────────────────────────┼────┤

│암  │        │12.1.3.     │입·출력, 전송 또는 데이터 교환 및 저장소의 데이터에 대     │        │

│호  │        │데이터      │해 항상 데이터 무결성을 확인하여야 한다.                    │        │

│화  │        │무결성      │                                                            │        │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │12.1.4.     │데이터에 대한 접근제어, 위·변조 방지 등 데이터 처리에      │        │

│    │        │데이터 보호 │대한 보호 기능을 이용자에게 제공하여야 한다.                │        │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │12.1.5.     │이용자에게 데이터를 추적하기 위한 방안을 제공하고, 이       │        │

│    │        │데이터      │용자가 요구하는 경우 구체적인 제공정보(이용자의 정보가      │        │

│    │        │추적성      │저장되는 국가의 명칭 등)를 공개하여야 한다.                 │        │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │12.1.6.     │클라우드컴퓨팅서비스 종료, 이전 등에 따른 데이터 폐기       │○      │

│    │        │데이터 폐기 │조치 시 이용자와 관련된 모든 데이터를 폐기하여야 하며,      │        │

│    │        │            │폐기된 데이터를 복구할 수 없도록 삭제 방안을 마련하여       │        │

│    │        │            │야 한다.                                                    │        │

│    ├────┼──────┼──────────────────────────────┼────┤

│    │12.2.   │12.2.1.     │중요정보를 담고 있는 하드디스크, 스토리지 등의 저장매       │        │

│    │매체    │저장매체    │체 폐기 및 재사용 절차를 수립하고 매체에 기록된 중요정      │        │

│    │보안    │관리        │보는 복구 불가능하도록 완전히 삭제하여야 한다.              │        │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │12.2.2.     │중요정보 유출을 예방하기 위해 외장하드, USB, CD 등 이       │        │

│    │        │이동매체    │동매체 취급, 보관, 폐기, 재사용에 대한 절차를 수립하여      │        │

│    │        │관리        │야 한다. 또한 매체를 통한 악성코드 감염 방지 대책을 마      │        │

│    │        │            │련하여야 한다.                                              │        │

│    ├────┼──────┼──────────────────────────────┼────┤

│    │12.3.   │12.3.1.     │클라우드컴퓨팅서비스에 저장 또는 전송 중인 데이터를 보      │        │

│    │암호화  │암호 정책   │호하기 위해 암호화 대상, 암호 강도(복잡도), 키관리, 암호    │        │

│    │        │수립        │사용에 대한 정책을 마련하여야 한다. 또한 정책에는 개인      │        │

│    │        │            │정보 저장 및 전송 시 암호화 적용 등 암호화 관련 법적 요     │        │

│    │        │            │구사항을 반드시 반영하여야 한다.                            │        │

│    │        │            ├──────────────────────────────┼────┤

│    │        │            │클라우드컴퓨팅서비스에 저장 또는 전송 중인 데이터를 보      │○      │

│    │        │            │호하기 위해 암호화 대상, 암호 강도(복잡도), 키관리, 암호    │※하만  │

│    │        │            │사용에 대한 정책을 마련하여야 한다.                         │적용    │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │12.3.2.     │암호키 생성, 이용, 보관, 배포, 파기에 관한 안전한 절차를    │        │

│    │        │암호키 관리 │수립하고, 암호키는 별도의 안전한 장소에 보관하여야 한다.    │        │

├──┼────┼──────┼──────────────────────────────┼────┤

│13. │13.1.   │13.1.1.     │신규 시스템 개발 및 기존 시스템 변경 시 정보보호 관련       │○      │

│시  │시스템  │보안요구    │법적 요구사항, 최신 보안취약점, 정보보호 기본요소(기밀      │        │

│스  │분석 및 │사항 정의   │성, 무결성, 가용성) 등을 고려하여 보안요구사항을 명확히     │        │

│템  │설계    │            │정의하고 이를 적용하여야 한다.                              │        │

│개  │        ├──────┼──────────────────────────────┼────┤

│발  │        │13.1.2.     │클라우드 시스템 설계 시 사용자 인증에 관한 보안요구사       │○      │

│및  │        │인증 및     │항을 반드시 고려하여야 하며 중요정보의 입·출력 및 송수     │        │

│도  │        │암호화 기능 │신 과정에서 무결성, 기밀성이 요구될 경우 법적 요구사항      │        │

│입  │        │            │을 고려하여야 한다.                                         │        │

│보  │        ├──────┼──────────────────────────────┼────┤

│안  │        │13.1.3.     │클라우드 시스템 설계 시 사용자의 인증, 권한 변경, 중요      │        │

│    │        │보안로그    │정보 이용 및 유출 등에 대한 감사증적을 확보할 수 있도       │        │

│    │        │기능        │록 하여야 한다.                                             │        │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │13.1.4.     │클라우드 시스템 설계 시 업무의 목적 및 중요도에 따라        │        │

│    │        │접근권한    │접근권한을 부여할 수 있도록 하여야 한다.                    │        │

│    │        │기능        │                                                            │        │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │13.1.5.     │로그기록의 정확성을 보장하고 법적인 자료로서 효력을 지      │○      │

│    │        │시각 동기화 │니기 위해 클라우드 시스템 시각을 공식 표준시각으로 정       │        │

│    │        │            │확하게 동기화 하여야 한다. 또한 서비스 이용자에게 시각      │        │

│    │        │            │정보 동기화 기능을 제공하여 한다.                           │        │

│    ├────┼──────┼──────────────────────────────┼────┤

│    │13.2.   │13.2.1.     │안전한 코딩방법에 따라 클라우드 시스템을 구현 하고, 분      │○      │

│    │구현 및 │구현 및     │석 및 설계 과정에서 도출한 보안요구사항이 정보시스템에      │        │

│    │시험    │시험        │적용되었는지 확인하기 위하여 시험을 수행하여야 한다.        │        │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │13.2.2.     │개발 및 시험 시스템은 운영시스템에 대한 비인가 접근 및      │○      │

│    │        │개발과      │변경의 위험을 감소하기 위해 원칙적으로 분리하여야 한        │        │

│    │        │운영환경    │다. 단 분리하여 운영하기 어려운 경우 그 사유와 타당성을     │        │

│    │        │분리        │검토하고 안전성 확보 방안을 마련하여야 한다.                │        │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │13.2.3.     │시스템 시험 과정에서 운영데이터 유출을 예방하기 위해        │        │

│    │        │시험 데이터 │시험데이터 생성, 이용 및 관리, 파기, 기술적 보호조치에      │        │

│    │        │보안        │관한 절차를 수립하여 이행하여야 한다.                       │        │

│    │        ├──────┼──────────────────────────────┼────┤

│    │        │13.2.4.     │소스 프로그램에 대한 변경관리를 수행하고 인가된 사용자      │○      │

│    │        │소스        │만이 소스 프로그램에 접근할 수 있도록 통제절차를 수립       │        │

│    │        │프로그램    │하여 이행하여야 한다. 또한 소스 프로그램은 운영환경에       │        │

│    │        │보안        │보관하지 않는 것을 원칙으로 한다.                           │        │

│    ├────┼──────┼──────────────────────────────┼────┤

│    │13.3.   │13.3.1.     │클라우드 시스템 개발을 외주 위탁하는 경우 분석 및 설계      │        │

│    │외주    │외주 개발   │단계에서 구현 및 이관까지의 준수해야 할 보안요구사항을      │        │

│    │개발    │보안        │계약서에 명시하고 이행여부를 관리·감독하여야 한다.         │        │

│    │보안    │            │                                                            │        │

│    ├────┼──────┼──────────────────────────────┼────┤

│    │13.4.   │13.4.1.     │클라우드 시스템의 처리 속도와 용량에 대하여 주기적인        │        │

│    │시스템  │시스템 도입 │모니터링을 수행하고 안정성의 확보에 필요한 시스템 도입      │        │

│    │도입    │계획        │계획을 수립하여야 한다.                                     │        │

│    │보안    ├──────┼──────────────────────────────┼────┤

│    │        │13.4.2.     │새로 도입되는 시스템에 대한 인수 기준이 수립되어야 하       │        │

│    │        │시스템 인수 │며, 인수  전에 테스트가 수행되어야 한다.                    │        │

└──┴────┴──────┴──────────────────────────────┴────┘

별표 0004: 국가기관등이 이용하는 클라우드컴퓨팅서비스 보호조치

[별표 4] 국가기관등이 이용하는 클라우드컴퓨팅서비스 보호조치

┌──────────────┬────────────────────────────┬────┐

│구   분                     │세 부 조 치 사 항                                       │하      │

├──┬────┬──────┼────────────────────────────┼────┤

│14. │14.1.   │14.1.1.     │국가기관등의 보안 요구사항이 반영된 보안서비스 수준     │○      │

│공  │관리적  │보안서비스  │협약을 체결하고, 클라우드컴퓨팅서비스 관련 정보보호     │        │

│공  │보호조치│수준 협약   │정보를 국가기관등에게 제공하여야 한다.                  │        │

│기  │        ├──────┼────────────────────────────┼────┤

│관  │        │14.1.2.     │클라우드컴퓨팅서비스 구축을 위해 도입되는 보안기능을    │○      │

│보  │        │도입        │가진 정보통신제품 중에서 전자정부법 제56조에 규정된 전  │        │

│안  │        │전산장비    │자문서의 위조ㆍ변조ㆍ훼손 또는 유출을 방지하기 위한 목적│        │

│요  │        │안전성      │으로 도입하는 제품은 국가정보원장이 안전성을 확인한 제  │        │

│구  │        │            │품을 사용하여야 한다.                                   │        │

│사  │        ├──────┼────────────────────────────┼────┤

│항  │        │14.1.3.     │클라우드컴퓨팅서비스 운영 장소 및 망은 국가기관등의 내  │○      │

│    │        │보안관리    │부 정보 시스템 운영 보안 수준에 준하여 보안 관리하여    │        │

│    │        │수준        │야 한다.                                                │        │

│    │        ├──────┼────────────────────────────┼────┤

│    │        │14.1.4.     │클라우드컴퓨팅서비스를 제공하는 민간 사업자는 사고      │○      │

│    │        │사고 및     │또는 장애 발생시 관계 법령이 정하는 바에 따라 해당      │        │

│    │        │장애 대응   │국가기관, 대내?외 관련 기관 및 전문가와 협조체계를     │        │

│    │        │            │구성하여 대응하여야 하며, 피해확산 및 재발방지와 복     │        │

│    │        │            │구 등에 필요한 조치를 위해 국가정보원 및 이용기관의     │        │

│    │        │            │보안관제 및 사고조사, 예방보안활동 등에 적극 협조하     │        │

│    │        │            │여야 한다.                                              │        │

│    ├────┼──────┼────────────────────────────┼────┤

│    │14.2.   │14.2.1      │클라우드 시스템, 백업 시스템 및 데이터와 이를 위한 관   │        │

│    │물리적  │물리적 위치 │리·운영 인력의 물리적 위치는 국내로 한정하여야 한다.   │        │

│    │보호조치│및 영역분리 │또한, 국가기관용 클라우드컴퓨팅서비스의 물리자원(서     │        │

│    │        │            │버, 네트워크, 보안장비 등), 출입통제, 운영인력 등은 데  │        │

│    │        │            │이터 및 프로세스 등의 간섭없이 국가기관등의 보안관      │        │

│    │        │            │제, 사고조사, 예방보안활동 유지를 위한 제반 환경을 만   │        │

│    │        │            │족시킬 수 있도록 일반 이용자용 클라우드컴퓨팅서비스     │        │

│    │        │            │영역과 물리적으로 분리하여 운영하여야 한다.             │        │

│    │        │            ├────────────────────────────┼────┤

│    │        │            │클라우드 시스템, 백업 시스템 및 데이터와 이를 위한 관   │○      │

│    │        │            │리·운영 인력의 물리적 위치는 국내로 한정하여야 한다.   │※하만  │

│    │        │            │또한, 국가기관용 클라우드컴퓨팅서비스의 물리자원(서     │적용    │

│    │        │            │버, 네트워크, 보안장비 등), 출입통제, 운영인력 등은 데  │        │

│    │        │            │이터 및 프로세스 등의 간섭없이 국가기관등의 보안관      │        │

│    │        │            │제, 사고조사, 예방보안활동 유지를 위한 제반 환경을 만   │        │

│    │        │            │족시킬 수 있도록 일반 이용자용 클라우드컴퓨팅서비스     │        │

│    │        │            │영역과 물리적 또는 논리적으로 영역을 분리하여 운영하    │        │

│    │        │            │여야 한다                                               │        │

│    │        ├──────┼────────────────────────────┼────┤

│    │        │14.2.2.     │클라우드컴퓨팅서비스를 제공하는 사업자는 네트워크 스    │○      │

│    │        │중요장비    │위치, 스토리지 등 중요장비를 이중화하고 서비스의 가용   │        │

│    │        │이중화 및   │성을 보장하기 위해 백업체계를 구축하여야 한다.          │        │

│    │        │백업체계    │                                                        │        │

│    │        │구축        │                                                        │        │

│    ├────┼──────┼────────────────────────────┼────┤

│    │14.3.   │14.3.1.     │클라우드컴퓨팅서비스를 통해 생성된 중요자료를 암호화하  │○      │

│    │기술적  │검증필      │는 수단을 제공하는 경우에는 검증필 국가표준암호화 기술  │        │

│    │보호조치│암호화 기술 │을 제공하여야 한다.                                     │        │

│    │        │제공        │                                                        │        │

│    │        ├──────┼────────────────────────────┼────┤

│    │        │14.3.2.     │클라우드컴퓨팅서비스를 국가기관등에 제공하는 민간사     │○      │

│    │        │보안관제    │업자는 민간 영역을 제외한 공공 영역 대상 사이버공격 및  │        │

│    │        │제반환경    │위협을 탐지하기 위한 국가기관등의 클라우드컴퓨팅서비    │        │

│    │        │지원        │스 보안관제 수행 및 정부보안관제체계와 연계하기 위해    │        │

│    │        │            │필요한 제반환경을 지원하여야 한다.                      │        │

│    │        ├──────┼────────────────────────────┼────┤

│    │        │14.3.3      │클라우드컴퓨팅서비스를 통해 생성되는 공공의 데이터가    │○      │

│    │        │데이터 유출 │국외로 유출되지 않도록 데이터 저장 위치를 선택할 수     │※하만  │

│    │        │방지        │있는 기능 및 로그정보 등을 제공하여야 한다.             │적용    │

│    │        ├──────┼────────────────────────────┼────┤

│    │        │14.3.4.     │클라우드컴퓨팅서비스는 보안관제가 이뤄지는 서비스 네    │○      │

│    │        │시스템 격리 │트워크 이외의 비정상 통신경로가 발생하지 않도록 주기    │        │

│    │        │            │적으로 검토하고 점검하는 체계 마련 등 기술적 대책을     │        │

│    │        │            │수립하여야 한다.                                        │        │

│    │        ├──────┼────────────────────────────┼────┤

│    │        │14.3.5.     │국가기관용 클라우드컴퓨팅서비스와 일반 이용자용 클      │○      │

│    │        │영역분리    │라우드컴퓨팅서비스는 영역분리를 통해 데이터 및 프로     │        │

│    │        │            │세스 등의 간섭없이 국가기관등의 보안관제, 사고조사,     │        │

│    │        │            │예방 보안활동 유지를 위한 제반환경을 만족시킬 수 있     │        │

│    │        │            │도록 기술적 보호조치를 취해야 하며, 영역 분리를 훼손    │        │

│    │        │            │하여 데이터에 접근할 수 있는 취약점을 방지/완화/제거    │        │

│    │        │            │하고, 비인가 접근을 모니터링 해야 한다.                 │        │

└──┴────┴──────┴────────────────────────────┴────┘

별표 0005: 업무수행 요건·능력 심사 제출서류(제3조 관련)

[별표 5] 업무수행 요건ㆍ능력 심사 제출서류(제3조 관련)

업무수행 요건ㆍ능력 심사 제출서류(제3조 관련)

┏━━━━━━━━━━┯━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┓

┃구 분               │제출서류                                                        ┃

┠──────────┼────────────────────────────────┨

┃인증평가원 고용     │인증평가업무를 전담하는 평가원의 보유현황                       ┃

┠──────────┼────────────────────────────────┨

┃인증·평가의        │1. 클라우드 보안인증과 관련된 컨설팅 업무를 수행하지 않음을 확  ┃

┃공정성·독립성 확보 │인할 수 있는 기업설명자료, 직제규정, 사업수행계획서 등          ┃

┃                    │2. 인증신청인으로부터 독립성 확보 방안                          ┃

┠──────────┼────────────────────────────────┨

┃재정 능력           │1. 자본금 또는 자본총계 내역(공인회계사 또는 회계담당자가 서명  ┃

┃                    │날인한 서류)                                                    ┃

┃                    │2, 신용평가서                                                   ┃

┃                    │3. 운영자금 보유 내역 및 피해보상 대책                          ┃

┠──────────┼────────────────────────────────┨

┃시설                │사무공간ㆍ인증평가 서류 보관 장소 및 보안설비?시설 증빙서류    ┃

┠──────────┼────────────────────────────────┨

┃인증 및 평가실적    │인증 및 평가실적에 대한 증빙서류                                ┃

┃(재지정만 해당)     │                                                                ┃

┠──────────┼────────────────────────────────┨

┃업무수행            │[별표 6] 업무수행 요건·능력 심사를 위한 세부기준 충족을 증빙할 ┃

┃요건·능력          │수 있는 서류                                                    ┃

┃심사를              │1. 조직 및 전문성 관련 증빙서류                                 ┃

┃위하여 필요한       │2. 신뢰도 관련 증빙서류                                         ┃

┃서류                │3. 업무수행 관련 증빙서류                                       ┃

┃                    │4. 시설 및 보안 관련 증빙서류                                   ┃

┗━━━━━━━━━━┷━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┛

별표 0006: 업무수행 요건·능력 심사에 관한 세부기준(제4조, 제6조 관련)

[별표 6] 업무수행 요건ㆍ능력 심사에 관한 세부기준(제4조¸ 제6조 관련)

업무수행 요건ㆍ능력 심사에 관한 세부기준

(제4조, 제6조 관련)

1. 업무능력 인정 기준

  제4조에 따른 업무능력은 "업무수행 요건 심사 기준(필수)"을 충족하고, "업무수행 요건 심사 기준"의 평가 결과가 100점 만점을 기준으로 80점 이상인 경우 인증기관 또는 평가기관으로서의 업무능력을 갖춘 것으로 본다.

2. 업무능력 평가 방법

  업무능력은 다음 표에 따른 평가항목 및 세부평가항목에 따라 정량 또는 정성 평가한 결과를 합산하는 방법으로 평가한다.

가. 업무수행 요건 심사 기준(필수)

┏━━━┯━━━━━━━━━━━━┯━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┓

┃평가  │세부평가                │세부 평가 기준                                                        ┃

┃항목  │항목                    │(인증기관 및 심사기관 모두 해당)                                      ┃

┠───┼────────────┼───────────────────────────────────┨

┃인력  │보안인증평가원 고용     │· 별표 9의 보안인증평가원 4명 이상 상시 고용                         ┃

┠───┼────────────┼───────────────────────────────────┨

┃공정성│객관성·공정성·독립성  │· 인증 또는 평가 업무의 독립성, 객관성, 공정성, 신뢰성을 확보할 수 있┃

┃      │확보                    │어야 하며 클라우드 보안인증과 관련된 컨설팅 업무를 수행하지 않아야    ┃

┃      │                        │함                                                                    ┃

┗━━━┷━━━━━━━━━━━━┷━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┛

나. 업무수행 능력 심사 기준

┏━━━┯━━━━━━━━┯━━━┯━━┯━━┯━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┓

┃평가  │세부평가        │평가  │인증│평가│세부 평가 기준                                              ┃

┃항목  │항목            │지표  │기관│기관│                                                            ┃

┃      │                │      │배점│배점│                                                            ┃

┠───┼────────┼───┼──┼──┼──────────────────────────────┨

┃1.    │전담조직        │등급  │5   │5   │o 인증/평가 업무를 수행하는 전담조직 유무                   ┃

┃조직  │                │      │    │    │· 전담조직 보유 : 배점의 100%                              ┃

┃및    │                │      │    │    │· 전담조직 없음 : 0점                                      ┃

┃전문성├────────┼───┼──┼──┼──────────────────────────────┨

┃(20점)│전문인력        │비계량│5   │5   │다음을 고려하여 배점 범위에서 정성평가                      ┃

┃      │                │      │    │    │가) 인증/평가 업무를 수행하는 전문인력의 기술 능력          ┃

┃      │                │      │    │    │나) 인증/평가 업무를 수행하는 전문인력의 실무 경력          ┃

┃      ├────────┼───┼──┼──┼──────────────────────────────┨

┃      │전문성          │비율  │5   │5   │o 최근 3년간 전담 평가원의 인증평가 참여일 수의 합          ┃

┃      │                │      │    │    │· 200일 이상 : 배점의 100%                                 ┃

┃      │                │      │    │    │· 200일 미만 : 배점의 χ%                                  ┃

┃      │                │      │    │    │※ χ= (총 참여일수/200일) ×100                            ┃

┃      │                ├───┼──┼──┼──────────────────────────────┨

┃      │                │비율  │5   │5   │o 업무 전문성 강화를 위한 최근 3년간 교육 시간              ┃

┃      │                │      │    │    │· 전담 평가원 모두 100시간 이상의 교육을 받은 경우 :       ┃

┃      │                │      │    │    │배점의 100%                                                 ┃

┃      │                │      │    │    │· 전담 평가원 모두 100시간 이상의 교육을 받지 않은         ┃

┃      │                │      │    │    │경우 : 배점의 χ%                                           ┃

┃      │                │      │    │    │※ χ= (100시간 이상 교육을 받은 전담 평가원의 수/          ┃

┃      │                │      │    │    │총 전담 평가원의 수) ×100                                  ┃

┠───┼────────┼───┼──┼──┼──────────────────────────────┨

┃2.    │재정 능력       │신용등│5   │5   │「자본시장과 금융투자업에 관한 법률」 제335조의3에 따라     ┃

┃신뢰도│                │급    │    │    │인가를 받은 신용평가회사에서 부여한 신용평가등급별로        ┃

┃(10점)│                │      │    │    │다음 표에 따른 점수                                         ┃

┃      │                │      │    │    │                                                            ┃

┃      │                │      │    │    │  신용평가등급      점수                                    ┃

┃      │                │      │    │    │                                                            ┃

┃      │                │      │    │    │  · AAA ∼ A-      5점                                     ┃

┃      │                │      │    │    │                                                            ┃

┃      │                │      │    │    │  · BBB+ ∼ BBB-   3.5점                                   ┃

┃      │                │      │    │    │                                                            ┃

┃      │                │      │    │    │  · BB+  ∼ BB-    2.5점                                   ┃

┃      │                │      │    │    │                                                            ┃

┃      │                │      │    │    │  · B+   ∼ B-     1.5점                                   ┃

┃      │                │      │    │    │                                                            ┃

┃      │                │      │    │    │  · CCC+ 이하      0.5점                                   ┃

┃      │                │      │    │    │                                                            ┃

┃      │                ├───┼──┼──┼──────────────────────────────┨

┃      │                │자본규│3   │3   │o 자본금 또는 자본총계                                      ┃

┃      │                │모    │    │    │· 5억 이상 : 배점의 100%                                   ┃

┃      │                │      │    │    │· 5억 미만 : 배점의 χ%                                    ┃

┃      │                │      │    │    │※ χ= (보유 자본금 또는 자본총계/5억원) ×100              ┃

┃      ├────────┼───┼──┼──┼──────────────────────────────┨

┃      │업무 지원 및 피 │비계량│2   │2   │다음을 고려하여 배점 범위에서 정성평가                      ┃

┃      │해보상 대책     │      │    │    │가) 운영자금 관련 법인 통장 보유 여부 및 자금 규모 유지     ┃

┃      │                │      │    │    │수준                                                        ┃

┃      │                │      │    │    │나) 선정취소, 부도ㆍ해산, 업무상 과실 등에 따른 피해보상    ┃

┃      │                │      │    │    │관련 보험 가입 또는 이에 상응하는 대책 마련 수준            ┃

┠───┼────────┼───┼──┼──┼──────────────────────────────┨

┃3.업무│평가업무수행지침│비계량│4   │4   │다음의 내용이 포함된 인증/평가업무 수행지침 보유 여부 및    ┃

┃수행  │                │      │    │    │지침의 타당성을 배점 범위에서 정성평가                      ┃

┃(62점)│                │      │    │    │가) 인증/평가 업무를 수행하는 직원의 의무와 책임            ┃

┃      │                │      │    │    │나) 품질관리, 운영관리, 인증/평가업무, 문서관리, 시설관리,  ┃

┃      │                │      │    │    │보안관리 절차 및 방법                                       ┃

┃      ├────────┼───┼──┼──┼──────────────────────────────┨

┃      │품질관리        │비계량│16  │18  │다음을 고려하여 배점 범위에서 정성평가                      ┃

┃      │                │      │    │    │o 인증/평가의 품질 보증 및 관리를 위한 정보공유, 교         ┃

┃      │                │      │    │    │육, 세미나 등의 활동                                        ┃

┃      │                │      │    │    │o 피평가기관에 대한 공정성, 객관성, 신뢰성, 독립성          ┃

┃      │                │      │    │    │확보방안 마련 여부                                          ┃

┃      │                │      │    │    │o 인증/평가업무 참여자 및 업무 담당자의  공정성, 객관       ┃

┃      │                │      │    │    │성, 신뢰성, 독립성 확보방안 마련 여부                       ┃

┃      │                │      │    │    │o 관계 법령 및 내부절차 준수, 청렴 등에 대한 독립적         ┃

┃      │                │      │    │    │인 내부감사 실시 및 결과에 대한 조치                        ┃

┃      │                │      │    │    │o 인증/평가기관 책임자의 인증/평가 결과 검토ㆍ처리 절차     ┃

┃      │                │      │    │    │마련 정도                                                   ┃

┃      │                │      │    │    │o 인증/평가 업무 관련 불만 및 이의제기에 대한 대응          ┃

┃      │                │      │    │    │절차마련                                                    ┃

┃      ├────────┼───┼──┼──┼──────────────────────────────┨

┃      │운영관리        │비계량│8   │12  │다음을 고려하여 배점 범위에서 정성평가                      ┃

┃      │                │      │    │    │o 업무 수행 방법 및 절차 등의 투명성 및 타당성              ┃

┃      │                │      │    │    │o 신청 접수, 수수료 산정방법 및 부과 정도                   ┃

┃      │                │      │    │    │o 평가 자문료, 출장비 등의 지급                             ┃

┃      │                │      │    │    │o 인증/평가 관련 부당행위 방지대책                          ┃

┃      ├────────┼───┼──┼──┼──────────────────────────────┨

┃      │인증관리        │비계량│12  │-   │다음을 고려하여 배점 범위에서 정성평가                      ┃

┃      │                │      │    │    │o 인증의 독립성·객관성·공정성 확보를 위한 인증위          ┃

┃      │                │      │    │    │원 구성 및 인증위원회 운영                                  ┃

┃      │                │      │    │    │o 인증위원회 개최 정족수, 상정안건의 검토, 의결             ┃

┃      │                │      │    │    │등의  운영절차 마련 및 이행 계획                            ┃

┃      │                │      │    │    │o 보안인증서 관리 절차 마련 및 이행 계획                    ┃

┃      │                │      │    │    │o (재지정만 해당)인증실적 및 인증 내역                      ┃

┃      ├────────┼───┼──┼──┼──────────────────────────────┨

┃      │평가관리        │비계량│12  │18  │다음을 고려하여 배점 범위에서 정성평가                      ┃

┃      │                │      │    │    │o 평가팀 구성 원칙                                          ┃

┃      │                │      │    │    │o 평가전문인력의 의무?책임 준수 방안, 평가 관련            ┃

┃      │                │      │    │    │보안?관리 및 감독 방안                                     ┃

┃      │                │      │    │    │o 평가 수행절차 관련 계획                                   ┃

┃      │                │      │    │    │o 평가결과보고, 인증위원회 상정 등 사후 절차 준수           ┃

┃      │                │      │    │    │계획                                                        ┃

┃      │                │      │    │    │o 인증평가 수행 시 문서 및 정보의 유출 방지를 위한          ┃

┃      │                │      │    │    │시스템 도입                                                 ┃

┃      │                │      │    │    │o (재지정만 해당)평가 실적 및 인증평가원 참여 내역          ┃

┃      ├────────┼───┼──┼──┼──────────────────────────────┨

┃      │문서관리        │비계량│10  │10  │다음을 고려하여 배점 범위에서 정성평가                      ┃

┃      │                │      │    │    │o 업무의 기록 및 문서에 관한 관리절차 마련                  ┃

┃      │                │      │    │    │o 업무 담당자간 파일 송수신 및 문서 공유시 방식의           ┃

┃      │                │      │    │    │안전성                                                      ┃

┃      │                │      │    │    │o 업무 기록 및 문서에 권한이 없거나 불필요한 인원의 접      ┃

┃      │                │      │    │    │근방지 대책                                                 ┃

┠───┼────────┼───┼──┼──┼──────────────────────────────┨

┃4.    │시설 및 시설보안│비계량│4   │4   │다음을 고려하여 배점 범위에서 정성평가                      ┃

┃시설  │                │      │    │    │o 독립된 사무공간 및 회의공간 유무                          ┃

┃및    │                │      │    │    │o 인증 및 평가 기록물의 안전한 보관을 위한 장소 유무        ┃

┃시스템│                │      │    │    │o 사무공간 출입 시 신원확인 및 출입통제를 위한              ┃

┃(8점) │                │      │    │    │보안설비 운영 여부                                          ┃

┃      │                │      │    │    │o 문서 분실, 도난 등 예방을 위한 보안시설 마련 여부         ┃

┃      ├────────┼───┼──┼──┼──────────────────────────────┨

┃      │운영시스템 및   │비계량│4   │4   │다음을 고려하여 배점 범위에서 정성평가                      ┃

┃      │보안시스템      │      │    │    │o 인증 및 평가 관리 및 사무처리를 위한 운영시스템           ┃

┃      │                │      │    │    │보유                                                        ┃

┃      │                │      │    │    │o 인증 및 평가 정보의 침해사고 또는 유출사고를              ┃

┃      │                │      │    │    │방지하기 위한 보안시스템 보유 및 운영 여부                  ┃

┠───┼────────┼───┼──┼──┼──────────────────────────────┨

┃5.    │자격 취소 사실  │계량  │감점│감점│다음을 고려하여 배점 범위에서 정성평가                      ┃

┃감점  │                │      │    │    │o 지정공고일 기준으로 10년 이내에 과학기술정보통신          ┃

┃      │                │      │    │    │부가 부여한 정보보호 또는 개인정보보호, 클라우드            ┃

┃      │                │      │    │    │보안 관련 업무 수행자격이 취소된 사실이 있는 경우           ┃

┃      │                │      │    │    │※취소 1회 당 : 감점 10점                                   ┃

┠───┴────────┴───┼──┼──┼──────────────────────────────┨

┃합계                            │100 │100 │                                                            ┃

┗━━━━━━━━━━━━━━━━┷━━┷━━┷━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┛

1.평가항목에 대한 각 평가요소별 세부평가 점수는 소수점 이하 둘째 자리에서 반올림한다. 

2. 비계량 각 세부평가 점수 부여기준은 배점에 평가등급(계수)를 곱하여 계산한다.

┌───────────┬───────┐

│평가요소별 비계량 평가│평가등급(계수)│

├───────────┼───────┤

│우수                  │1.0           │

├───────────┼───────┤

│보통                  │0.6           │

├───────────┼───────┤

│미흡                  │0.2           │

├───────────┼───────┤

│미 제출               │점수없음(0)   │

└───────────┴───────┘

별표 0007: 인증평가 일부 생략의 범위(제11조 관련)

[별표 7] 인증평가 일부 생략의 범위(제11조 관련)

┌─────────────────────┬──────────────────┐

│분야                                      │항목                                │

├─────────┬───────────┼──────────────────┤

│2. 인적보안       │2.1. 내부인력 보안    │2.1.1. 고용계약                     │

│                  │                      ├──────────────────┤

│                  │                      │2.1.3. 직무 분리                    │

│                  │                      ├──────────────────┤

│                  │                      │2.1.4. 비밀유지서약서               │

│                  ├───────────┼──────────────────┤

│                  │2.2. 외부인력 보안    │2.2.1. 외부인력 계약                │

│                  │                      ├──────────────────┤

│                  │                      │2.2.2. 외부인력 보안 이행 관리      │

│                  │                      ├──────────────────┤

│                  │                      │2.2.3. 계약 만료 시 보안            │

│                  ├───────────┼──────────────────┤

│                  │2.3. 정보보호 교육    │2.3.1. 교육 프로그램 수립           │

│                  │                      ├──────────────────┤

│                  │                      │2.3.2. 교육 시행                    │

│                  │                      ├──────────────────┤

│                  │                      │2.3.3. 평가 및 개선                 │

├─────────┼───────────┼──────────────────┤

│3.  자산관리      │3.1.  자산 식별 및    │3.1.1. 자산 식별                    │

│                  │분류                  ├──────────────────┤

│                  │                      │3.1.2. 자산별 책임할당              │

│                  │                      ├──────────────────┤

│                  │                      │3.1.3. 보안등급 및 취급             │

├─────────┼───────────┼──────────────────┤

│5. 침해사고관리   │5.1. 침해사고 대응    │5.1.1. 침해사고 대응절차 수립       │

│                  │절차 및 체계          ├──────────────────┤

│                  │                      │5.1.2. 침해사고 대응체계 구축       │

│                  ├───────────┼──────────────────┤

│                  │5.2. 침해사고 대응    │5.2.1. 침해사고 보고                │

│                  │                      ├──────────────────┤

│                  │                      │5.2.2. 침해사고 처리 및 복구        │

│                  ├───────────┼──────────────────┤

│                  │5.3. 사후관리         │5.3.1. 침해사고 분석 및 공유        │

│                  │                      ├──────────────────┤

│                  │                      │5.3.2. 재발방지                     │

├─────────┼───────────┼──────────────────┤

│6.                │6.1. 장애대응         │6.1.1. 장애 대응절차 수립           │

│서비스연속성관리  │                      ├──────────────────┤

│                  │                      │6.1.2. 장애 보고                    │

│                  │                      ├──────────────────┤

│                  │                      │6.1.3. 장애 처리 및 복구            │

│                  │                      ├──────────────────┤

│                  │                      │6.1.4. 재발방지                     │

│                  ├───────────┼──────────────────┤

│                  │6.2. 서비스 가용성    │6.2.1. 성능 및 용량 관리            │

├─────────┼───────────┼──────────────────┤

│8. 물리적         │8.1. 물리적 보호구역  │8.1.1. 물리적 보호구역 지정         │

│보안              │                      ├──────────────────┤

│                  │                      │8.1.2. 물리적 출입통제              │

│                  │                      ├──────────────────┤

│                  │                      │8.1.3. 물리적 보호구역 내 작업      │

│                  │                      ├──────────────────┤

│                  │                      │8.1.5. 모바일 기기 반출·입         │

│                  ├───────────┼──────────────────┤

│                  │8.2. 정보처리         │8.2.1. 정보처리시설의 배치          │

│                  │시설 및 장비보호      ├──────────────────┤

│                  │                      │8.2.2. 보호설비                     │

│                  │                      ├──────────────────┤

│                  │                      │8.2.3. 케이블 보호                  │

│                  │                      ├──────────────────┤

│                  │                      │8.2.4. 시설 및 장비 유지보수        │

│                  │                      ├──────────────────┤

│                  │                      │8.2.5. 장비 반출·입                │

│                  │                      ├──────────────────┤

│                  │                      │8.2.6. 장비 폐기 및 재사용          │

├─────────┼───────────┼──────────────────┤

│9. 가상화 보안    │9.1. 가상화 인프라    │9.1.5. 공개서버 보안                │

├─────────┼───────────┼──────────────────┤

│10. 접근통제      │10.1. 접근통제 정책   │10.1.1. 접근통제 정책 수립          │

├─────────┼───────────┼──────────────────┤

│10. 접근통제      │10.2. 접근 권한 관리  │10.2.2. 관리자 및 특수 권한관리     │

│                  │                      ├──────────────────┤

│                  │                      │10.2.3. 접근권한 검토               │

│                  ├───────────┼──────────────────┤

│                  │10.3. 사용자 식별 및  │10.3.1. 사용자 식별                 │

│                  │인증                  ├──────────────────┤

│                  │                      │10.3.2. 사용자 인증                 │

│                  │                      ├──────────────────┤

│                  │                      │10.3.3. 강화된 인증 수단 제공       │

│                  │                      ├──────────────────┤

│                  │                      │10.3.4. 패스워드 관리               │

├─────────┼───────────┼──────────────────┤

│11. 네트워크 보안 │11.1. 네트워크 보안   │11.1.1. 네트워크 보안 정책 수립     │

│                  │                      ├──────────────────┤

│                  │                      │11.1.2. 네트워크 모니터링 및 통제   │

│                  │                      ├──────────────────┤

│                  │                      │11.1.3. 네트워크 정보보호시스템 운영│

│                  │                      ├──────────────────┤

│                  │                      │11.1.5. 네트워크 분리               │

│                  │                      ├──────────────────┤

│                  │                      │11.1.6. 무선 접근통제               │

├─────────┼───────────┼──────────────────┤

│12. 데이터 보호   │12.2. 매체 보안       │12.2.1. 저장매체 관리               │

│및 암호화         │                      ├──────────────────┤

│                  │                      │12.2.2. 이동매체 관리               │

│                  ├───────────┼──────────────────┤

│                  │12.3. 암호화          │12.3.1. 암호 정책 수립              │

│                  │                      ├──────────────────┤

│                  │                      │12.3.2. 암호키 관리                 │

├─────────┼───────────┼──────────────────┤

│13. 시스템 개발   │13.1. 시스템 분석 및  │13.1.1. 보안요구사항정의            │

│및 도입 보안      │설계                  ├──────────────────┤

│                  │                      │13.1.2. 인증 및 암호화 기능         │

│                  │                      ├──────────────────┤

│                  │                      │13.1.3. 보안로그 기능               │

│                  │                      ├──────────────────┤

│                  │                      │13.1.4. 접근권한 기능               │

│                  │                      ├──────────────────┤

│                  │                      │13.1.5. 시각 동기화                 │

│                  ├───────────┼──────────────────┤

│                  │13.2. 구현 및 시험    │13.2.1. 구현 및 시험                │

│                  │                      ├──────────────────┤

│                  │                      │13.2.3. 시험 데이터 보안            │

│                  │                      ├──────────────────┤

│                  │                      │13.2.4. 소스 프로그램 보안          │

│                  ├───────────┼──────────────────┤

│                  │13.3. 외주 개발 보안  │13.3.1. 외주 개발 보안              │

│                  ├───────────┼──────────────────┤

│                  │13.4. 시스템 도입     │13.4.1. 시스템 도입 계획            │

│                  │보안                  ├──────────────────┤

│                  │                      │13.4.2. 시스템 인수                 │

└─────────┴───────────┴──────────────────┘

┌─────────────────────┬─────────────────┐

│분야                                      │항목                              │

├─────────┬───────────┼─────────────────┤

│1. 정보보호 정책  │1.1.정보보호 정책     │1.1.1. 정보보호 정책 수립         │

│및 조직           │                      ├─────────────────┤

│                  │                      │1.1.2. 정보보호 정책 검토 및 변경 │

│                  │                      ├─────────────────┤

│                  │                      │1.1.3. 정보보호 정책문서 관리     │

│                  ├───────────┼─────────────────┤

│                  │1.2.정보보호 조직     │1.2.1. 조직 구성                  │

│                  │                      ├─────────────────┤

│                  │                      │1.2.2. 역할 및 책임 부여          │

├─────────┼───────────┼─────────────────┤

│2. 인적보안       │2.1. 내부인력 보안    │2.1.1. 고용계약                   │

│                  │                      ├─────────────────┤

│                  │                      │2.1.3. 직무 분리                  │

│                  │                      ├─────────────────┤

│                  │                      │2.1.4. 비밀유지서약서             │

│                  ├───────────┼─────────────────┤

│                  │2.3. 정보보호 교육    │2.3.2. 교육 시행                  │

├─────────┼───────────┼─────────────────┤

│4. 서비스 공급망  │4.1. 공급망관리 정책  │4.1.1. 공급망 관리 정책 수립      │

│관리              │                      │                                  │

├─────────┼───────────┼─────────────────┤

│5. 침해사고관리   │5.1. 침해사고 대응    │5.1.1. 침해사고 대응절차 수립     │

│                  │절차 및 체계          │                                  │

│                  ├───────────┼─────────────────┤

│                  │5.2. 침해사고 대응    │5.2.1. 침해사고 보고              │

│                  │                      ├─────────────────┤

│                  │                      │5.2.2. 침해사고 처리 및 복구      │

│                  ├───────────┼─────────────────┤

│                  │5.3. 사후관리         │5.3.1. 침해사고 분석 및 공유      │

│                  │                      ├─────────────────┤

│                  │                      │5.3.2. 재발방지                   │

├─────────┼───────────┼─────────────────┤

│6.                │6.1. 장애대응         │6.1.1. 장애 대응절차 수립         │

│서비스연속성관리  │                      ├─────────────────┤

│                  │                      │6.1.2. 장애 보고                  │

│                  │                      ├─────────────────┤

│                  │                      │6.1.3. 장애 처리 및 복구          │

│                  │                      ├─────────────────┤

│                  │                      │6.1.4. 재발방지                   │

├─────────┼───────────┼─────────────────┤

│7. 준거성         │7.1. 법 및 정책 준수  │7.1.1. 법적요구사항 준수          │

│                  │                      ├─────────────────┤

│                  │                      │7.2.1. 독립적 보안감사            │

├─────────┼───────────┼─────────────────┤

│9. 가상화 보안    │9.1. 가상화 인프라    │9.1.1.가상자원 관리               │

├─────────┼───────────┼─────────────────┤

│11. 네트워크 보안 │11.1. 네트워크 보안   │11.1.1. 네트워크 보안 정책 수립   │

├─────────┼───────────┼─────────────────┤

│12. 데이터 보호   │12.1.                 │12.1.1. 데이터 분류               │

│및 암호화         │데이터 보호           ├─────────────────┤

│                  │                      │12.1.2. 데이터 소유권             │

│                  │                      ├─────────────────┤

│                  │                      │12.1.5. 데이터 추적성             │

│                  │                      ├─────────────────┤

│                  │                      │12.1.6. 데이터 폐기               │

├─────────┼───────────┼─────────────────┤

│13. 시스템 개발   │13.1. 시스템 분석 및  │13.1.1. 보안요구사항정의          │

│및 도입 보안      │설계                  ├─────────────────┤

│                  │                      │13.1.2. 인증 및 암호화 기능       │

│                  │                      ├─────────────────┤

│                  │                      │13.1.4. 접근권한 기능             │

│                  ├───────────┼─────────────────┤

│                  │13.2. 구현 및 시험    │13.2.1. 구현 및 시험              │

│                  │                      ├─────────────────┤

│                  │                      │13.2.3. 시험 데이터 보안          │

│                  │                      ├─────────────────┤

│                  │                      │13.2.4. 소스 프로그램 보안        │

│                  ├───────────┼─────────────────┤

│                  │13.3. 외주 개발 보안  │13.3.1. 외주 개발 보안            │

└─────────┴───────────┴─────────────────┘

별표 0008: 인증 수수료 산정 및 평가원 보수 기준(제12조 관련)

[별표 8] 인증 수수료 산정 및 평가원 보수 기준(제12조 관련)

인증 수수료 산정 및 평가원 보수기준(제12조 관련)

1. 인증수수료 산정기준

┏━━━━━━━━━━━━━━━━━━━━━━━━━━━━┓

┃ 인증 수수료 = 직접인건비 + 제경비 + 기술료  + 직접경비 ┃

┗━━━━━━━━━━━━━━━━━━━━━━━━━━━━┛

     가. 직접인건비는 인증평가에 투입되는 평가인력에 대한 인건비로 소프트웨어 진흥법 제46조를 준용하여 산정한다.

     나. 제경비는 최대 (직접인건비×120%) 로 산정한다.

     다. 기술료는 최대 {(직접인건비+제경비)×40%｝로 산정한다.

     라. 직접경비는 인증평가업무의 수행에 따라 발생하는 교통비, 숙박비 및 식대 등 인증평가업무에 소요되는 직접적인 경비를 산정한다. 단, 신청인은 평가 현장 상황에 따라 직접경비를 인증 수수료와 별도로 지급할 수 있다.

2. 평가인력 보수 및 출장비 지급기준

     가. 평가인력에 대한 보수 및 경비는 평가기관의 업무 지침에 따라 정하여 지급할 수 있다.

     나. 평가인력이 국내ㆍ외에서 출장업무를 수행하는 경우 평가기관의 업무 지침에 따른 정액여비를 별도 지급할 수 있다.

별표 0009: 인증평가팀 자격 요건 및 구성기준(제16조 관련)

[별표 9] 인증평가팀 자격 요건 및 구성기준(제16조 관련)

인증평가팀 자격 요건 및 구성기준(제16조 관련)

┌────────┬────────────────────────────────┐

│구성원          │경력·자격 기준                                                 │

├────────┼────────────────────────────────┤

│보안인증평가원  │정보보호 및 개인정보보호 관리체계(ISMS-P) 인증심사원 자격을 취  │

│                │득한 자로서 클라우드 보안인증, PIMS, ISMS, ISMS-P 및 유사인증제 │

│                │도(ISO27001 등) 합산 평가일수의 합이 40일 이상인 자             │

├────────┼────────────────────────────────┤

│취약점 점검원   │o 5회 이상 보안 취약점 진단/분석 업무를 수행한 자               │

├────────┼────────────────────────────────┤

│소스코드 점검원 │o SW보안약점 진단원 자격을 취득한 자 중 5회 이상 소프트웨어 보안│

│                │약점 업무를 수행한 자                                           │

├────────┼────────────────────────────────┤

│모의침투 점검원 │o 5회 이상 모의침투 업무를 수행한 자                            │

└────────┴────────────────────────────────┘

비고 : 평가기관은 클라우드 서비스 제공자의 특성에 따라 평가팀 구성요건을 고려하여 클라우드 보안인증을 수행할 수 있는 적정인원의 전문인력을 확보하여야 한다.

별표 0001: 인증평가 업무를 수행하는 직원 보유현황

[별지 1] 인증평가 업무를 수행하는 직원 보유현황

  ■「클라우드컴퓨팅서비스 보안인증에 관한 고시」 [별지 제1호서식]                                                        

  인증평가 업무를 수행하는 직원 보유현황                                                                                  

──────┬──────────────────────────────────────────────────────

  신청인    │업체명                                                                                                      

            ├──────────────────────────────────────────────────────

            │대표자                                                                                                      

            ├─────────────────┬────────────────────────────────────

            │전체 직원 수                      │인증평가 업무를 전담하는 직원의 수                                      

──────┴─────────────────┴────────────────────────────────────

───┬──┬────────┬────────┬─────────┬──────────────────────────

  번호│성명│생년월일        │입사일          │소속부서 및 업무  │고용형태                                            

      │    ├────────┼────────┼─────────┼──────────────────────────

      │    │인증평가원      │최초자격취득일  │인증평가 참여 일수│비고                                                

      │    │자격번호        │                │※ 최근 3년 이내  │                                                    

───┼──┼────────┼────────┼─────────┼──────────────────────────

      │    │   .   .   .    │   .   .   .    │                  │                                                    

      │    ├────────┼────────┼─────────┼──────────────────────────

      │    │                │   .   .   .    │일                │                                                    

───┼──┼────────┼────────┼─────────┼──────────────────────────

      │    │   .   .   .    │   .   .   .    │                  │                                                    

      │    ├────────┼────────┼─────────┼──────────────────────────

      │    │                │   .   .   .    │일                │                                                    

───┼──┼────────┼────────┼─────────┼──────────────────────────

      │    │   .   .   .    │   .   .   .    │                  │                                                    

      │    ├────────┼────────┼─────────┼──────────────────────────

      │    │                │   .   .   .    │일                │                                                    

───┼──┼────────┼────────┼─────────┼──────────────────────────

      │    │   .   .   .    │   .   .   .    │                  │                                                    

      │    ├────────┼────────┼─────────┼──────────────────────────

      │    │                │   .   .   .    │일                │                                                    

───┼──┼────────┼────────┼─────────┼──────────────────────────

      │    │   .   .   .    │   .   .   .    │                  │                                                    

      │    ├────────┼────────┼─────────┼──────────────────────────

      │    │                │   .   .   .    │일                │                                                    

───┼──┼────────┼────────┼─────────┼──────────────────────────

      │    │   .   .   .    │   .   .   .    │                  │                                                    

      │    ├────────┼────────┼─────────┼──────────────────────────

      │    │                │   .   .   .    │일                │                                                    

━━━┷━━┷━━━━━━━━┷━━━━━━━━┷━━━━━━━━━┷━━━━━━━━━━━━━━━━━━━━━━━━━━

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

  유의사항                                                                                                                

─────────────────────────────────────────────────────────────

  1.인증평가원 자격 보유 및 인증평가 경력을 증빙할 수 있는 서류를 함께 제출하여야 한다.                                   

  2.비고에 학위, 자격 등에 대한 사항을 추가로 기재한 경우 학위 및 자격을 취득하였음을 확인할 수 있는 서류를 함께 제출하   

  여야 한다.                                                                                                              

─────────────────────────────────────────────────────────────

  210mm×297mm[(백상지(80g/㎡)]                                                                                           

별표 0002: 취약점 점검 및 침투테스트 동의서

[별지 2] 취약점 점검 및 침투테스트 동의서

  ■「클라우드컴퓨팅서비스 보안인증에 관한 고시」 [별지 제2호서식]                                                                    

  취약점 점검 및 침투테스트 동의서                                                                                                    

───────────────────────────────────────────────────────────────────

───────────────────────┬──────┬────────────────────────────────────

  신청인                                      │업체명(상호명)│사업자등록번호                                                          

                                              ├──────┼────────────────────────────────────

                                              │성명(대표자)│전화번호                                                                

                                              ├──────┼────────────────────────────────────

                                              │주소        │이메일                                                                  

───────────────────────┴──────┴────────────────────────────────────

    신청기관은 클라우드컴퓨팅서비스 보안인증 취득을 위해서 취약점 점검 및 침투테스트를 받아야 하며 클라                               

  우드컴퓨팅서비스 보안인증 평가의 침투테스트 및 취약점 진단에 대해 아래와 같은 상호의무, 비밀유지 및 책임                            

  제한에 관한 내용에 동의하여야 합니다.                                                                                               

────────────────────────┬──────────────────────────────────────────

  상호의무                                      │                                                                                    

                                                │ 1. 신청기관은 클라우드컴퓨팅서비스 보안 인증범위 내의 정보시스템 중 평가팀         

                                                │에서 취약점 점검 및 침투테스트를 수행하고자 요구하는 대상이 되는 정보시스           

                                                │템에 대해서 불가피한 사유가 있지 않는 한 최대한 수행에 협조하여야 한다.             

                                                │                                                                                    

                                                │ 2. 신청기관은 평가팀에서 취약점 점검 및 침투테스트를 수행하기 위해서 필요한        

                                                │정보제공을 요청할 경우 이를 제공하여야 한다.                                        

                                                │                                                                                    

                                                │ 3. 신청기관은 평가팀에서 취약점 점검 및 침투테스트를 수행하기 위해서 필요한        

                                                │환경을 요청할 경우 이를 제공하여야 한다.                                            

                                                │                                                                                    

                                                │ 4. 평가팀은 클라우드컴퓨팅서비스 보안 인증범위 내의 정보시스템 중 신청기           

                                                │관과 협의된 정보시스템에 대해서 취약점 점검 및 침투테스트를 수행한다.               

                                                │                                                                                    

                                                │ 5. 평가팀은 협의된 정보시스템 이외의 정보시스템에 대해서 취약점 점검 및            

                                                │침투테스트를 수행하고자 할 경우 사전에 신청기관과 협의하여야 한다.                  

                                                │                                                                                    

                                                │ 6. 평가팀은 취약점 점검 및 침투테스트를 수행하기 전에 수행기간 및 대상,            

                                                │수행IP주소 등을 문서화하여 신청기관에 제공하여야 한다.                              

                                                │                                                                                    

                                                │ 7. 침투테스트의 대상은 아래를 기본으로 하며 신청기관의 클라우드컴퓨팅서비스        

                                                │환경 구성에 따라 추가 혹은 축소될 수 있다.                                          

                                                │    ┌──────────────────────────┐                        

                                                │    │침투테스트 대상 영역                                │                        

                                                │    ├──────────────────────────┤                        

                                                │    │외부 인터넷으로부터 클라우드컴퓨팅서비스 포털로 침투│                        

                                                │    ├──────────────────────────┤                        

                                                │    │이용자 VM으로부터 하이퍼바이저로 또는 다른VM의 침투 │                        

                                                │    └──────────────────────────┘                        

                                                │                                                                                    

                                                │ 8. 평가팀은 취약점 점검 및 침투테스트를 수행하면서 발생 가능한 소프트웨어,         

                                                │하드웨어에 대한 영향 또는 손상에 대해서 신청기관에 설명하여야 한다.                 

                                                │                                                                                    

                                                │ 9. 평가팀은 취약점 점검 및 침투테스트를 수행하면서 신청기관의 소프트웨어,          

                                                │하드웨어에 대한 이상동작 또는 손상을 최소화하도록 노력하여야 한다.                  

                                                │                                                                                    

                                                │ 10. 신청기관은 취약점 점검 및 침투테스트 기간 동안 신청기관 내 정보시스템          

                                                │침입 및 이상 알림에 대해서 예외처리, 통보 등 대응 업무를 수행하여야 한다.           

                                                │                                                                                    

                                                │ 11. 신청기관은 취약점 점검 및 침투테스트로 장애발생 시 수행의 일시 중단을 요청할   

                                                │수 있으며, 평가팀은 이에 즉시 협조하여야 한다. 단, 신청기관은 장애처리 후 침투      

                                                │테스트 및 취약점 진단 수행이 즉시 재개될 수 있도록 협조하여야 한다.                 

                                                │                                                                                    

                                                │ 12. 평가팀은 취약점 점검 및 침투테스트를 수행한 후 결과에 대해서 문서로            

                                                │제공하며, 신청기관이 이에 대한 설명을 요청할 경우 설명하여야 한다.                  

                                                │                                                                                    

                                                │ 13. 평가팀은 취약점 점검 및 침투테스트를 수행한 후 발견한 문제점에 대해서          

                                                │신청기관에 보완조치를 요청할 수 있다.                                               

                                                │                                                                                    

                                                │ 14. 신청기관은 요청받은 문제점에 대해서 보완조치를 지체 없이 시행하여야 한다.      

                                                │                                                                                    

                                                │ 15. 신청기관은 요청받은 문제점에 대해서 보완조치 방법을 평가팀을 통해 안내         

                                                │받을 수 있으나, 최종적인 보완조치 방법의 결정은 신청기관이 하며 이에                

                                                │대한 책임은 신청기관에 있다.                                                        

                                                │                                                                                    

                                                │ 16. 신청기관은 정해진 기간 내에 보완조치를 완료하고, 이에 대해 평가기관에          

                                                │통보하여야 한다.                                                                    

                                                │                                                                                    

                                                │ 17. 평가기관은 신청기관의 보완조치 적절성을 확인하고, 필요 시 이행여부를 확        

                                                │인 할 수 있다.                                                                      

                                                │                                                                                    

                                                │ 18. 평가팀은 보완조치 내역에 대해서 취약점 점검 및 침투테스트를 수행하여           

                                                │보완조치 이행여부를 확인할 수 있으며, 신청기관은 이에 적극 협조하여야 한다.         

                                                │                                                                                    

                                                │ 19. SaaS/PaaS 사업자의 경우, 취약점 점검 및 침투테스트 동의서에 대해 IaaS          

                                                │사업자의 동의를 득하여야 한다.                                                      

────────────────────────┼──────────────────────────────────────────

  비밀유지                                      │ 1. 평가팀은 신청기관이 제공하거나, 취약점 점검 및 침투테스트를 통해서 얻은         

                                                │아래의 기밀정보에 대해서 외부에 공개 또는 누출되지 않도록 하여야 하며,              

                                                │내부에서도 최소한의 필요에 의해서 기밀정보가 취급되어야 한다.                       

                                                │                                                                                    

                                                │  1) 취약점 점검 및 침투테스트를 위해서 신청기관이 제공한 정보                      

                                                │  2) 신청기관이 기밀로 지정한 정보                                                  

                                                │  3) 취약점 점검 및 침투테스트의 결과                                               

                                                │  4) 일체의 개인정보                                                                

                                                │  5) 신청기관의 사업정보                                                            

                                                │  6) 이에 준하는 비밀수준의 정보                                                    

                                                │                                                                                    

                                                │ 2. 평가팀은 타법령에 의해서 기밀정보의 제공을 명시적으로 요청받았을 경우           

                                                │외부에 제공할 수 있으나, 이 경우에도 반드시 한국인터넷진흥원을 통해서               

                                                │제공하여야한다. 한국인터넷진흥원은 외부에 기밀정보를 제공할 경우에도 기밀           

                                                │정보에 대해서 최대한 비식별화 조치를 취하여 제공하여야 한다.                        

────────────────────────┼──────────────────────────────────────────

  책임제한                                      │ 1. 평가기관은 취약점 점검 및 침투테스트로 인한 소프트웨어, 하드웨어에 대한 영향    

                                                │또는 손상에 대해서 책임을 지지 않는다.                                              

                                                │                                                                                    

                                                │ 2. 취약점 점검 및 침투테스트의 수행은 신청기관의 클라우드컴퓨팅서비스에 대         

                                                │해서 현 시점 및 미래의 침투로부터 안전하다는 것을 보장하지 않는다.                  

────────────────────────┴──────────────────────────────────────────

  상기 사항들을 확인하고 동의합니다.                                                                                                  

  년     월     일                                                                                                                    

  신청인(대표자)                                     (서명 또는 인)                                                                   

  한국인터넷진흥원 또는 인증기관의 장               귀중                                                                              

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

───────────────────────────────────────────────────────────────────

  210mm×297mm[백상지(80g/㎡)]                                                                                                        

별표 0003: 클라우드컴퓨팅서비스 보안인증 명세서

[별지 3] 클라우드컴퓨팅서비스 보안인증 명세서

  ■「클라우드컴퓨팅서비스 보안인증에 관한 고시」 [별지 제3호서식]                                                  

    클라우드컴퓨팅서비스 보안인증 명세서                                                                            

  ┌──────────────────┬───────────────────────────┐                  

  │작성 항목                           │기재 내용(요약서)                                     │                  

  ├──────────────────┼───────────────────────────┤                  

  │1. 클라우드컴퓨팅서비스 보안 인     │※ 인증을 받고자 하는 서비스명과 소개 등              │                  

  │증범위                              │                                                      │                  

  ├──────────────────┼───────────────────────────┤                  

  │2. 클라우드컴퓨팅서비스 보안 인증   │o 주센터(총 00대)                                     │                  

  │범위에 포함되어 있는 주요 정보      │ - 서버 0대, NW 0대, DB 0대                           │                  

  │시스템 수량                         │ - 클라우드 시스템 0대                                │                  

  │                                    │                                                      │                  

  │                                    │o DR센터(총 00대)                                     │                  

  │                                    │ - 서버 0대, NW 0대, DB 0대                           │                  

  │                                    │ - 클라우드 시스템 0대                                │                  

  │                                    │※ 인증범위 대상의 서비스를 구성하는 주요 정보시스템  │                  

  │                                    │수량 기재                                             │                  

  ├──────────────────┼───────────────────────────┤                  

  │3. 클라우드컴퓨팅서비스 보안인증과  │o 총 00종 : 정책(00종), 지침(00종), 절차서(00종)      │                  

  │관련된 주요 문서                    │※ 클라우드컴퓨팅서비스 보안인증과 관련된 주요 문서   │                  

  │                                    │목록 및 수량 기재                                     │                  

  └──────────────────┴───────────────────────────┘                  

   ※ 위 표에는 주요 내용만을 기재하고, 세부 사항은 이후 페이지에 기재                                              

   ※ 세부 사항에 대한 가이드라인 및 클라우드컴퓨팅서비스 보안운영 명세서는 평가·인증기관 홈페이지에 게재할 예정   

별표 0004: 인증평가 일부 생략 신청서

[별지 4] 인증평가 일부 생략 신청서

  ■「클라우드컴퓨팅서비스 보안인증에 관한 고시」 [별지 제4호서식]                                        

  인증평가 일부 생략 신청서                                                                               

─────────┬───────┬───────────────────────────────────

  접수번호        │접수일시      │처리기간                                                              

─────────┴───────┴───────────────────────────────────

────────┬────────┬───────────────────────────────────

  신청인        │업체명(상호명)  │사업자등록번호                                                        

                ├────────┼───────────────────────────────────

                │성명(대표자)    │전화번호                                                              

                ├────────┴───────────────────────────────────

                │주소                                                                                    

                ├────────────────────────────────────────────

                │전자우편(e-mail)                                                                        

────────┴────────────────────────────────────────────

────────┬────────┬───────────────────────────────────

  정보보호      │인증번호 :      │인증기관 :                                                            

  관리체계 인증 ├────────┴───────────────────────────────────

                │인증의 범위 :                                                                           

                ├────────────────────────────────────────────

                │인증유효기간 :     .   .   ~    .   .                                                   

                ├────────────────────────────────────────────

                │최근 인증평가 수행기간 :     .   .   ~    .   .                                         

                ├────────────────────────────────────────────

                │보완조치 완료일 :                                                                       

────────┴────────────────────────────────────────────

────────┬────────┬───────────────────────────────────

  클라우드      │인증번호 :      │인증기관 :                                                            

  보안인증      ├────────┴───────────────────────────────────

                │인증의 범위 :                                                                           

                ├────────────────────────────────────────────

                │인증유효기간 :     .   .   ~    .   .                                                   

                ├────────────────────────────────────────────

                │최근 인증평가 수행기간 :     .   .   ~    .   .                                         

                ├────────────────────────────────────────────

                │보완조치 완료일 :                                                                       

────────┴────────────────────────────────────────────

─────────────────────────────────────────────────────

    「클라우드컴퓨팅서비스 보안인증 등에 관한 고시」제11조에 따라 위와 같이 클라우드 보안인증 일부 평가   

  생략을 신청합니다.                                                                                      

  년       월       일                                                                                    

  신청인(대표자)                   (서명 또는 인)                                                         

  ooooo(평가기관명)의 장          귀하                                                                    

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

──────┬──────────────────────────────────────────────

  첨부서류  │1. 클라우드 보안인증 평가 일부 생략 명세서 1부                                              

            │2. 인증평가 일부기준 생략을 증명할 수 있는 서류                                             

──────┴──────────────────────────────────────────────

  210mm×297mm[(백상지(80g/㎡)또는 중질지(80g/㎡)]                                                        

별표 0005: 보안인증서 재발급 신청서

[별지 5] 보안인증서 재발급 신청서

  ■「클라우드컴퓨팅서비스 보안인증에 관한 고시」 [별지 제5호서식]          

  보안인증서 재발급 신청서                                                  

────────────────┬──────┬──────────────

  접수번호                      │접수일      │처리기간                    

                                │시          │                            

────────────────┴──────┴──────────────

──────┬─────────────────────┬─────────

  신청인    │업체명(상호명)                            │사업자등록번호    

            ├─────────────────────┼─────────

            │성명(대표자)                              │전화번호          

            ├─────────────────────┴─────────

            │주소                                                          

            ├───────────────────────────────

            │전자우편(e-mail)                                              

──────┴───────────────────────────────

──────┬──────────────┬──────┬─────────

  재발급사유│재발급신청사유              │사유발생일자│사유별 세부내용   

            ├──────────────┼──────┼─────────

            │□ 보안인증서 분실 또는 훼손│            │                  

            ├──────────────┼──────┼─────────

            │□ 보안인증서보유기관명 변경│            │                  

            ├──────────────┼──────┼─────────

            │□ 보안인증 서비스명 변경   │            │                  

            ├──────────────┼──────┼─────────

            │□ 보안인증서비스 권리 양도 │            │                  

            │또는 양수                   │            │                  

            ├──────────────┼──────┼─────────

            │□ 기타                     │            │                  

──────┴──────────────┴──────┴─────────

──────┬─────────┬─────────────────────

  인증      │ 인증번호         │                                          

  정보      ├─────────┼─────────────────────

            │ 서비스 구분      │                                          

            ├─────────┼─────────────────────

            │서비스 명         │                                          

            ├─────────┼─────────────────────

            │보안인증서 교부일 │                                          

──────┴─────────┴─────────────────────

──────────────────────────────────────

    위와 같이 보안인증서의 재발급을 신청합니다.                             

  년       월       일                                                      

  신청인(대표자)                               (서명 또는 인)               

  한국인터넷진흥원 또는 인증기관의 장         귀하                          

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

  210mm×297mm[(백상지(80g/㎡)또는 중질지(80g/㎡)]                          

별표 0006: 보안인증서 변경 신청서

[별지 6] 보안인증서 변경 신청서

  ■「클라우드컴퓨팅서비스 보안인증에 관한 고시」 [별지 제6호서식]    

  보안인증서 변경 신청서                                              

───────────────┬──────┬────────────

  접수번호                    │접수일시    │처리기간                

───────────────┴──────┴────────────

───────┬───────────────┬───────────

  신청인      │업체명(상호명)                │사업자등록번호        

              ├───────────────┼───────────

              │성명(대표자)                  │전화번호              

              ├───────────────┴───────────

              │주소                                                  

              ├───────────────────────────

              │전자우편(e-mail)                                      

───────┴───────────────────────────

───────┬──────┬────────────────────

  인증        │ 인증번호   │                                        

  정보        ├──────┼────────────────────

              │ 서비스 구분│                                        

              ├──────┼────────────────────

              │서비스 명   │                                        

              ├──────┼────────────────────

              │보안인증서  │                                        

              │교부일      │                                        

───────┴──────┴────────────────────

───────┬──────┬────────────────────

  변경        │변경 전     │(국문)                                  

  내용        │            ├────────────────────

              │            │(영문)                                  

              ├──────┼────────────────────

              │변경 후     │(국문)                                  

              │            ├────────────────────

              │            │(영문)                                  

───────┴──────┴────────────────────

──────────────┬────────────────────

  변경사유                  │                                        

──────────────┴────────────────────

───────────────────────────────────

    위와 같이 보안인증서의 변경을 신청합니다.                         

  년       월       일                                                

  신청인(대표자)                             (서명 또는 인)           

  한국인터넷진흥원 또는 인증기관의 장       귀하                      

━━━━━━┯━━━━━━━━━━━━━━━━━━━━━━━━━━━━

  첨부서류  │보안인증서 내용의 변경이 필요함을 증명할 수 있는 서류   

──────┴────────────────────────────

  210mm×297mm[(백상지(80g/㎡)또는 중질지(80g/㎡)]                    

별표 0007: 이의신청서

[별지 7] 이의신청서

  ■「클라우드컴퓨팅서비스 보안인증에 관한 고시」 [별지 제7호서식]    

  이의신청서                                                          

──────────────┬──────┬─────────────

  접수번호                  │접수일시    │처리기간                  

──────────────┴──────┴─────────────

──────┬──────────────┬─────────────

  신청인    │업체명(상호명)              │사업자등록번호            

            ├──────────────┼─────────────

            │성명(대표자)                │전화번호                  

            ├──────────────┴─────────────

            │주소                                                    

            ├────────────────────────────

            │전자우편(e-mail)                                        

──────┴────────────────────────────

──────┬───────┬────────────────────

  통지사항  │통지를 받은 날│                                        

            ├───────┼────────────────────

            │통지된 사항   │                                        

──────┴───────┴────────────────────

──────┬────────────────────────────

  이의신청  │                                                        

  대상      │                                                        

──────┼────────────────────────────

  이의신청  │                                                        

  사유      │                                                        

──────┴────────────────────────────

───────────────────────────────────

    위와 같이 이의신청합니다.                                         

  년       월       일                                                

  신청인(대표자)                           (서명 또는 인)             

  한국인터넷진흥원 또는 인증기관의 장     귀하                        

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

───────┬───────────────────────────

  첨부서류    │이의신청 내용을 확인할 수 있는 증빙 자료              

───────┴───────────────────────────

  210mm×297mm[(백상지(80g/㎡)또는 중질지(80g/㎡)]                    


부칙

['        부칙 제1조(시행일) 이 고시는 공포한 날부터 시행한다.제2조(종전의 고시에 따른 행위의 효력에 관한 경과조치) 이 고시 시행 이전에 과학기술정보통신부 고시 제2017-17호에 따라 과학기술정보통신부장관 및 한국인터넷진흥원이 행한 행위는 이 고시에 따라 행한 것으로 본다.제3조(보안인증서 및 인증취득인에 관한 경과조치) 과학기술정보통신부 고시 제2017-17호에 따라 취득한 보안인증서는 그 유효기간 동안 이 고시에 따라 인증을 받은 것으로 본다.제4조(보안인증평가원에 관한 경과조치) 이 고시 시행 이전에 과학기술정보통신부 고시 제2017-17호에 따라 클라우드 보안인증평가에 평가팀장으로 참여했거나 참여하고 있는 한국인터넷진흥원의 직원은 2024년 12월 31일까지 평가에 참여할 수 있다.', '        부칙 제1조(시행일) 이 고시는 공포한 날부터 시행한다. 다만, 제14조제2항에 따른 상, 중등급은 고시 시행 후 별도 기준을 마련한 후에 시행한다.제2조(종전의 고시에 따른 행위의 효력에 관한 경과조치) 이 고시 시행 이전에 과학기술정보통신부 고시 제2023-3호에 따라 과학기술정보통신부장관 및 한국인터넷진흥원이 행한 행위는 이 고시에 따라 행한 것으로 본다.제3조(보안인증서 및 인증취득인에 관한 경과조치) 인증신청인은 고시 시행 후 상, 중등급 시행전까지 종전 고시에 따른 유형 및 등급(IaaS, SaaS 표준, SaaS 간편 등)에 대해 인증을 신청할 수 있다. 이 경우 이 고시 별표1부터 별표4까지의 보안인증기준으로 인증평가를 받을 수 있다. 또한 기존의 SaaS 간편 인증은 하등급 인증을 받은 것으로 인정할 수 있다.제4조(보안인증평가원에 관한 경과조치) 종전 고시에 따라 클라우드 보안인증평가에 참여했거나 참여하고 있는 한국인터넷진흥원의 직원은 2024년 12월 31일까지 평가에 참여할 수 있다.']

부칙 공포정보: ['20230131', '20230131'] (공포번호: ['2023-3', '2023-4'])