# 교육부 소관 주요정보통신기반시설 보호지침
(행정규칙구분=훈령, 공포일자=20250731, 시행일자=20250731, 소관부처=교육부)
행정규칙번호: 529
출처: 국가법령정보센터

행정규칙명: 교육부 소관 주요정보통신기반시설 보호지침
행정규칙종류: 훈령
발령일자: 20250731
발령번호: 529
시행일자: 20250731
소관부처: 교육부
담당부서기관: 교육부(디지털인프라담당관)
현행여부: Y

조문내용:
['      제1장 총칙', '제1조(목적) 이 지침은 「정보통신기반 보호법」 제10조에 따라 교육부 장관이 관할하는 주요정보통신기반시설을 각종 전자적 침해행위로부터 보호하기 위하여 해당 주요정보통신기반시설 관리기관의 장(이하 "관리기관의 장"이라 한다)이 준수하여야 할 구체적 사항에 대해 정함을 목적으로 한다.', '제2조(용어의 정의) ① 이 지침에서 사용하는 용어의 정의는 다음과 같다.1. "주요정보통신기반시설 보호대책"(이하 "보호대책"이라 한다)이라 함은 「정보통신기반 보호법」(이하 "법"이라 한다) 제5조제1항의 규정에 의하여 각 관리기관의 주요정보통신기반시설을 안전하게 보호하기 위한 관리적ㆍ물리적ㆍ기술적 대책을 포함한 관리기관별 보호대책을 말한다.2. "주요정보통신기반시설 보호계획"(이하 "보호계획"이라 한다)이라 함은 법 제5조제2항의 규정에 의하여 관리기관으로부터 제출받은 보호대책을 종합ㆍ조정한 교육부 소관 주요정보통신기반시설에 관한 보호계획을 말한다.3. "주요정보통신기반시설 관리기관"(이하 "관리기관"이라 한다)이라 함은 법 제8조에 따라 교육부 장관이 지정 고시한 주요정보통신기반시설을 관리하는 기관을 말한다.② 이 지침에서 사용하는 용어의 정의는 제1항에서 정한 것을 제외하고는 정보통신기반보호법에서 정하는 바에 따른다.', '제3조(적용범위) 이 지침은 관리기관과 해당 주요정보통신기반시설을 관리ㆍ운용하는 업무종사자에 적용한다.', '      제2장 정보보호체계 및 관리', '제4조(정보보호책임관) ① 법 제6조제5항에 따른 교육부 정보보호책임관은 교육부 주요정보통신기반시설 보호업무를 담당하는 고위공무원으로 한다.② 정보보호책임관은 교육부 장관이 관할하는 소관분야 및 시ㆍ도교육청의 모든 주요정보통신기반시설의 보호에 관한 업무를 총괄한다.③ 정보보호책임관은 다음 각 호에서 규정하는 보호업무를 수행한다.1. 주요정보통신기반시설 보호지침의 제정ㆍ수정 및 보완에 관한 업무2. 주요정보통신기반시설의 지정 및 지정 취소에 관한 업무3. 보호계획의 수립ㆍ시행에 관한 업무4. 침해사고의 피해확산 방지와 신속한 대응을 위하여 필요한 조치5. 피해복구 지원 및 피해확산 방지에 필요한 조치6. 기타 다른 법령에 규정된 주요정보통신기반시설의 보호업무에 관한 사항7. 그 밖에 소관분야 주요정보통신기반시설의 보호를 위하여 장관이 지시하는 사항', '제5조(보호지원기관) 교육부 장관은 한국교육학술정보원을 주요정보통신기반시설 보호지원기관으로 지정하여 운영할 수 있다.', '제6조(정보보호책임자) ① 관리기관의 장은 「정보통신기반보호법 시행령(이하 "시행령"이라 한다)」 제9조제1항에 따라 소관 주요정보통신기반시설 보호에 관한 업무를 담당하는 4급ㆍ4급상당 공무원, 임원급 관리ㆍ운영자를 정보보호책임자로 지정하여야 한다. 다만, 소속기관의 경우 주요정보통신기반시설 업무를 담당하는 부서의 장 또는 정보보안에 관한 소양이 있는 사람으로 지정할 수 있다.② 정보보호책임자는 다음 각 호의 업무를 수행한다.1. 보호대책의 수립ㆍ시행2. 주요정보통신기반시설 보호업무에 대한 기술적 지원의 요청3. 취약점 분석ㆍ평가4. 주요정보통신기반시설의 보호에 필요한 조치 명령 또는 권고의 이행5. 침해사고의 통지6. 주요정보통신기반시설의 복구 및 보호에 필요한 조치7. 기타 다른 법령에 규정된 주요정보통신기반시설의 보호업무에 관한 사항③ 관리기관의 장은 정보보호책임자를 지정하거나 변동사항이 발생한 경우에는 15일 이내에 교육부 장관에게 통지하여야 한다.', '제7조(정보보호실무협의회) ① 교육부 장관은 주요정보통신기반시설 보호와 관련된 다음 사항을 협의하기 위해 정보보호실무협의회(이하"협의회"라 한다)를 구성ㆍ운영할 수 있다.1. 보호계획 및 보호대책 검토2. 주요정보통신기반시설의 지정 및 취소, 지정 범위 조정3. 주요정보통신기반시설 보호 관련 제도 개선4. 보호대책 이행점검 결과에 따른 후속조치 및 이행률 제고방안5. 주요정보통신기반시설 점검에 따른 미흡사항 조치방안6. 주요정보통신기반시설 침해사고 예방 및 대응조치7. 그 외 주요정보통신기반시설 보호와 관련하여 협의가 필요한 사항 등② 제1항에 따른 협의회의 의장은 교육부의 실ㆍ국장급 공무원으로 하고, 간사는 보호지원기관의 주요정보통신기반시설 보호 업무를 담당하는 부서의 장으로 하며, 위원은 정보보호책임관 및 관리기관의 정보보호책임자로 한다.③ 협의회를 소집하고자 하는 때에는 회의 일시ㆍ장소 및 협의사항을 회의개최 7일전까지 각 위원에게 서면 또는 전자문서로 통지하여야 한다. 다만, 긴급을 요하거나 부득이한 사유가 있는 경우에는 그러하지 아니한다.', '제8조(전담 조직의 구성) ① 관리기관의 장은 제6조제2항에 따른 주요정보통신기반시설 보호 업무를 수행하기 위하여 정보보호책임자 소속 하에 별도의 전담 조직을 구성ㆍ운영할 수 있다.② 관리기관의 장은 관리기관에 소속되지 아니한 자로서 정보보호에 관한 지식이 있는 인력을 전담 조직에 참여하게 할 수 있다.③ 관리기관의 장은 제1항에 따른 전담조직의 구성 및 운영에 필요한 사항을 정하여야 한다.', '제9조(업무종사자의 준수사항) ① 관리기관의 장은 소관 주요정보통신기반시설을 관리ㆍ운용하는 업무종사자로 하여금 다음 각 호의 사항을 준수하도록 하여야 한다.1. 주요정보통신기반시설의 보호책임에 관한 사항2. 비밀유지 및 비밀서약에 관한 사항3. 주요정보통신기반시설 보호관련 법령 및 지침 등의 준수에 관한 사항4. 보호관련 지침 및 보호조치 위반에 따른 징계에 관한 사항② 관리기관의 장은 해당 시설을 관리ㆍ운용하는 업무종사자가 보직이 변경되거나 퇴사하는 경우 법 제27조에 따라 소관 주요정보통신기반시설의 관리ㆍ운용에 관하여 취득한 비밀을 외부에 유출하지 않도록 주지시켜야 한다. 이 경우 관리기관의 장은 보직이 변경되거나 퇴사하는 자에 대하여 비밀유지에 관한 서약서를 작성하도록 요구할 수 있다.', '제10조(보호업무 등의 위탁 및 협조) ① 관리기관의 장은 소관 주요정보통신기반시설의 관리ㆍ운용 또는 제17조에 따른 점검 등 보호에 관한 업무일부와 법 제9조에 따른 취약점 분석ㆍ평가 업무를 다음 각 호의 기관 또는 업체에 위탁할 수 있다.1. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제52조에 따른 한국인터넷진흥원2. 법 제16조에 따른 정보공유ㆍ분석센터3. 「정보보호산업의 진흥에 관한법률」 제23조에 따라 지정된 정보보호 전문서비스 기업4. 「정부출연연구기관 등의 설립ㆍ운영 및 육성에 관한 법률」 제8조에 따른 한국전자통신연구원② 제1항의 위탁업무 수행에 참여하는 종사자에게 법 제27조에 따른 비밀유지의무를 준수하도록 비밀유지 서약서의 작성 요구, 업무관련 기록ㆍ자료의 안전한 보존 및 폐기 등 필요한 조치를 하여야 한다.③ 관리기관의 장은 소관 주요정보통신기반시설의 보호를 위하여 보호지원기관 또는 다른 관리기관과 다음 각 호의 사항에 관하여 상호 협조할 수 있다.1. 주요정보통신기반시설의 보호 및 취약점 분석ㆍ평가와 관련된 정보의 공유2. 침해사고 예방, 대응, 복구 등을 위한 상호협력 및 지원3. 그 밖에 소관 주요정보통신기반시설의 보호를 위하여 상호협력이 필요한 사항', '제11조(정보보호 교육ㆍ모의훈련의 실시) ① 관리기관의 장은 소관 주요정보통신기반시설을 관리ㆍ운용하는 업무종사자를 대상으로 해당 시설의 보호를 위하여 필요한 정보보호 교육 및 침해사고 모의훈련을 매년 1회 이상 실시하여야 한다.② 관리기관의 장은 소관 주요정보통신기반시설의 보호를 위한 중요한 절차ㆍ방법, 담당인력 등의 변경이 있거나 침해사고가 발생 또는 관련 징후가 발견되었을 경우에는 필요한 교육ㆍ훈련을 실시하여야 한다.', '제12조(정보보호 활동 지원) 교육부 장관은 주요정보통신기반시설 및 그와 연계된 시설의 안정성 및 신뢰성을 위하여 관리기관에 다음 각 호의 사항을 지원할 수 있다.1. 모의 해킹을 통한 취약점 분석 및 그 조치방안에 대한 지원2. 보호대책 수립ㆍ이행에 대한 지원3. 침해사고 대응ㆍ복구 지원4. 그 밖에 주요정보통신기반시설 보호를 위하여 지원이 필요한 사항', '      제3장 보호대책 수립ㆍ이행', '제13조(보호대책의 수립) ① 관리기관의 장은 법 제9조제1항에 따른 취약점 분석ㆍ평가의 결과에 따라 소관 주요정보통신기반시설을 안전하게 보호하기 위한 관리적ㆍ물리적ㆍ기술적 대책을 포함한 보호대책을 수립ㆍ시행하여야 한다.② 관리기관의 장은 제1항에 따라 수립한 보호대책을 매년 8월말까지 교육부 장관에게 제출하여야 한다.③ 제1항의 보호대책에는 다음 각 호의 사항이 포함되어야 한다.1. 소관 주요기반시설 현황 및 보호 목적2. 전년도 보호업무 추진실적 및 차년도 추진계획3. 보안취약점 분석ㆍ평가 결과 및 도출된 문제점에 대한 개선사항4. 침해사고 발생 시 대응 및 복구대책5. 전자적 침해행위 예방을 위한 관리적ㆍ물리적ㆍ기술적 보안대책 등6. 그 밖에 주요정보통신기반시설의 보호를 위하여 필요한 사항', '제14조(보호대책 이행) ① 교육부 장관은 법 제6조 및 같은법 시행령 제10조제3항에 따라 정보통신기반보호위원회에서 심의ㆍ확정한 교육부 소관 보호계획을 심의일로부터 15일 이내에 소관 관리기관에 통보해야 한다.② 관리기관의 장은 제1항에 따라 통보받은 보호계획과 법 제5조에 따라 수립한 보호대책을 이행하여야 한다.', '제15조(보호대책 이행점검) ① 교육부 장관은 법 제6조에 따른 보호계획을 수립하기 위해 전년도 보호대책을 제출ㆍ이행한 관리기관을 대상으로 해당 보호대책에 대한 이행점검을 실시할 수 있다.② 교육부 장관은 직접 이행점검을 실시하거나 관리기관으로 하여금 자체적으로 이행점검을 한 후 그 결과를 교육부 장관에게 제출하도록 할 수 있다.', '제16조(취약점 분석ㆍ평가) ① 관리기관의 장은 법 제9조제1항 및 시행령 제17조 및 제18조에 따라 소관 주요정보통신기반시설에 대한 취약점 분석ㆍ평가를 실시해야 한다.② 교육부 장관은 다음 각 호의 어느 하나에 해당하는 경우 관리기관의 장에게 주요정보통신기반시설의 취약점을 분석ㆍ평가하도록 명령할 수 있다.1. 새로운 형태의 전자적 침해행위로부터 주요정보통신기반시설을 보호하기 위하여 필요한 경우2. 주요정보통신기반시설에 중대한 변화가 발생하여 별도의 취약점 분석ㆍ평가가 필요한 경우③ 관리기관의 장은 제1항 또는 제2항에 따라 취약점을 분석ㆍ평가하고자 하는 경우에는 법 제9조제3항 및 같은법 시행령 제18조에 따라 취약점을 분석ㆍ평가하는 전담반을 구성하여야 한다. 다만 제10조제1항에 따라 위탁시에는 전담조직을 구성하지 아니할 수 있다.④ 관리기관의 장은 제3항에 따른 전담반을 구성하는 때에는 정보보호책임자를 반장으로 하고, 취약점 분석ㆍ평가의 실효성 및 객관성을 확보할 수 있도록 주요정보통신기반시설 관리ㆍ운용 업무종사자와 정보보호에 관한 전문성을 가진 자로 구성하여야 한다. 이 경우 관리기관의 장은 소관 주요정보통신기반시설의 특성 및 취약점 분석ㆍ평가 기준을 고려하여 필요한 전문인력을 미리 확보하여야 한다.⑤ 관리기관의 장은 제1항에도 불구하고 소관 정보통신기반시설이 주요정보통신기반시설로 새로이 지정된 경우에는 6개월 이내에 취약점 분석ㆍ평가를 실시하여야 한다. 다만, 관리기관의 장은 취약점 분석ㆍ평가를 지정 후 6개월 이내에 시행하지 못할 특별한 사유가 있는 경우에는 교육부 장관의 승인을 받아 지정 후 9개월 이내에 실시하여야 한다.⑥ 관리기관의 장은 법 제9조제5항에 따른 취약점 분석ㆍ평가에 관한 기준을 고려하여 취약점 분석ㆍ평가의 대상, 기간, 절차, 방법, 소요예산 편성 및 집행 등 취약점 분석ㆍ평가를 구체적으로 시행하기 위하여 필요한 계획을 수립ㆍ시행하여야 한다.', '제17조(자체 점검 및 수시점검) ① 관리기관의 장은 시행령 제17조제2항에 따라 취약점 분석ㆍ평가가 필요하다고 판단되는 경우에는 1년이 되지 아니한 때에도 소관 주요정보통신기반시설에 대한 자체 점검을 실시할 수 있다.② 관리기관의 장은 다음 각 호의 어느 하나에 해당하는 경우에는 수시로 점검(이하 "수시점검"이라 한다)을 실시할 수 있다.1. 침해사고의 징후가 있는 경우2. 시설ㆍ장비의 교체 및 보수를 한 경우3. 침해사고에 따른 복구조치를 한 경우4. 소관 주요정보통신기반시설의 보호에 관한 절차ㆍ방법 및 담당 인력의 변경이 있는 경우③ 관리기관의 장은 제1항과 제2항에 따른 자체 점검 및 수시점검을 실시할 때에는 다음 각 호의 사항을 고려하여 실시하여야 한다.1. 법 제9조에 따른 취약점 분석ㆍ평가 기준2. 취약점 분석ㆍ평가의 범위 및 항목, 절차, 방법3. 이전에 실시한 취약점 분석ㆍ평가의 결과④ 관리기관의 장은 자체 점검 및 수시점검을 실시한 때에는 점검 기간, 대상, 방법 및 결과 등 점검에 관한 제반사항을 기록ㆍ관리하여야 한다.', '제18조(보완조치) 관리기관의 장은 제16조에 따른 취약점 분석ㆍ평가 및 제17조에 따른 점검 결과를 반영하여 다음 각 호의 조치를 하여야 한다.1. 주요정보통신기반시설 보호를 위해 수립된 각종 보호조치, 절차 및 방법 등의 재검토 및 수정ㆍ보완2. 시설ㆍ장비의 개축ㆍ보수 또는 설치3. 그 밖에 취약점 분석ㆍ평가 또는 점검 결과를 반영한 보완 조치', '      제4장 침해사고에 대한 대응 및 복구', '제19조(연락체계의 구축) 관리기관의 장은 소관 주요정보통신기반시설에 대한 침해사고가 발생한 경우 신속히 대응하고 관계기관에 알리기 위해 필요한 연락체계를 구축하여야 한다.', '제20조(침해사고의 통지) ① 관리기관의 장은 침해사고가 발생하여 소관 주요정보통신기반시설이 교란ㆍ마비 또는 파괴된 사실을 인지한 때에는 법 제13조제1항에 따라 교육부 및 교육부 사이버안전센터와 관계 행정기관, 수사기관에 그 사실을 통지하여야 한다.② 제1항에 의한 침해사고의 통지에는 다음 각 호의 사항이 포함되어야 한다.1. 침해사고발생 일시 및 시설2. 침해사고로 인한 피해내역, 조치현황3. 기타 신속한 대응ㆍ복구를 위하여 필요한 사항', '제21조(침해사고 대응조치) ① 관리기관의 임직원 및 유지보수업체의 수탁업무 수행에 참여하는 종사자는 전자적 침해사고의 징후가 있거나 전자적 침해사고의 발생을 인지한 때에는 이를 즉시 정보보호책임자에게 보고하고 침해사고대응팀 구성 등 필요한 응급조치를 취하여야 한다.② 정보보호책임자는 소관 주요정보통신기반시설에 대한 중대한 전자적 침해사고의 발생ㆍ징후를 보고 받거나 인지한 때에는 이를 교육부에 즉시 보고하여야 한다.③ 관리기관의 장은 제1항 및 제2항에 따른 사항을 포함하여 전자적 침해사고 발생에 따른 대응절차 및 방법 등 침해사고 대응체계를 수립하여야 한다. 이 경우 [별표 1]에서 정하는 사항을 고려하여야 한다.④ 교육부 장관은 관리기관의 장에게 침해사고 대응요령을 권고할 수 있으며, 관리기관의 장은 이에 따라 피해사실의 보고 및 긴급대응조치 등을 하여야 한다.', '제22조(침해사고 복구조치) ① 관리기관의 장은 소관 주요정보통신기반시설에 대한 침해사고가 발생한 때에는 해당 정보통신기반시설의 복구 및 보호에 필요한 조치를 신속히 취하여야 한다. 이 때, 교육부 장관 또는 보호지원기관에게 지원을 요청할 수 있다.② 관리기관의 장은 제1항의 복구조치를 위하여 필요한 조직, 자원, 외부기관과의 협력 등을 포함하는 복구지원체계를 구축하여야 한다.③ 관리기관의 장은 제1항 및 제2항의 내용을 포함하여 전자적 침해사고가 발생한 시설에 대한 복구절차 및 방법에 관하여 필요한 사항을 정하여야 한다. 이 경우 [별표 2]에서 정하는 사항을 고려하여야 한다.', '제23조(대응ㆍ복구 훈련의 실시) ① 관리기관의 장은 소속 임직원과 제10조에 따른 기관 또는 업체의 위탁업무 수행에 참여하는 종사자에게 제21조제3항 및 제22조제3항에 따른 침해사고 대응ㆍ복구에 관한 절차 및 방법을 정확히 숙지할 수 있도록 필요한 훈련(이하 "대응ㆍ복구 훈련"이라 한다)을 정기적으로 실시하여야 한다. 이 경우 관리기관의 장은 필요하다고 인정하는 때에는 다른 관리기관과 공동으로 훈련을 실시할 수 있다.② 관리기관의 장은 대응ㆍ복구 훈련을 실시한 결과 필요하다고 인정하는 때에는 해당되는 대응ㆍ복구 절차 및 방법을 수정ㆍ보완하여야 한다.', '제24조(침해사고 예방조치) 관리기관의 장은 소관 주요정보통신기반시설을 보호하기 위하여 침해사고 예방대책을 수립ㆍ시행하는 경우에는 다음 각 호의 사항을 고려하여야 한다.1. 시스템ㆍ네트워크 관리 및 보호에 관한 대책2. 정보보호시스템 설치ㆍ운용에 관한 대책3. 전산자료에 대한 백업조치 등4. 악성코드 방지 대책5. 접근통제에 관한 대책6. 그 밖에 소관 주요정보통신기반시설의 침해사고 예방을 위해 필요한 사항', '      제5장 기술적 보호조치', '제25조(정보통신망 보안관리) ① 관리기관의 장은 소관 주요정보통신기반시설 보호를 위하여 타 정보통신망과 분리ㆍ운영, 인터넷 연결이 차단된 관리자PC를 통한 시스템 관리기능 접속, 비인가 단말기 접속차단 등의 기술적 통제수단을 강구하여야 한다.② 관리기관의 장은 소관 주요정보통신기반시설 관련 서버, 단말기, 네트워크 장비 등에 불필요한 서비스ㆍ사용자 계정 등은 제거하고 유지보수를 위한 외부업체의 원격관리를 금지하여야 한다. 다만, 부득이한 경우에는 정보보호책임자와 협의하여 자체 보안대책을 마련한 후 한시적으로 허용할 수 있다.③ 관리기관의 장은 소관 주요정보통신기반시설 보호를 위하여 시스템별 사용자접근, 사용내역 등의 로그 자료를 1년 이상 보관하는 등 기록 유지하여야 한다.', '제26조(외부 용역사업 보안관리) 관리기관의 장은 주요정보통신기반시설 관련 정보화사업 및 보안컨설팅 수행 등 외부 용역사업 계약 시 보안서약서를 징구하고 다음 각 호의 사항을 계약서에 명시하여야 한다.1. 중요 정보 취급에 대한 비밀 유지 서약2. 외주 업체가 준수해야 할 보안준수 사항 및 위반시 손해배상 책임3. 정보시스템 접근 권한에 대한 승인 절차 준수4. 보안관리에 대한 감사 권한 등', '제27조(준용) 관리기관의 장은 주요정보통신기반시설 보호 업무를 수행함에 있어 이 지침에 명시되지 않은 사항은 다음 관련 규정 및 지침 등에 따른다.1. 「전자정부법」및 같은 법 시행령2. 「보안업무규정」3. 「국가정보보안기본지침」4. 「국가사이버안전관리규정」5. 「교육부정보보안기본지침」6. 그 밖에 정보보호 관련 법령 및 지침ㆍ가이드ㆍ매뉴얼', '      제6장 기타', '제28조(재검토기한) 교육부 장관은 이 훈령에 대하여「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 2020년 7월 1일 기준으로 매3년이 되는 시점(매 3년째의 6월 30일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.']


별표

별표 0001: 침해사고 대응체계 수립 시 고려사항(제22조 관련)

[별표 1] 침해사고 대응체계 수립 시 고려사항(제22조 관련)

┏━━━━━━━━━━━┯━━━━━━━━━━━━━━━━━━━━━━━━━━━┓

┃구  분                │주요 고려 사항                                        ┃

┣━━━━━━━━━━━┿━━━━━━━━━━━━━━━━━━━━━━━━━━━┫

┃ 침해사고 대응ㆍ복구  │o 침해사고에 대한 복구 절차 및 방법 수립 시 고려 사항 ┃

┃절차 및 방법          │ - 침해사고의 정의 및 범위                            ┃

┃                      │ - 긴급연락체계 구축                                  ┃

┃                      │ - 침해사고 발생 시 대응 요령 및 절차                 ┃

┃                      │ - 침해사고 복구조직 구성                             ┃

┃                      │ - 침해사고 복구 장비 및 자원 조달                    ┃

┃                      │ - 침해사고 대응 및 복구 훈련 실시 사항               ┃

┠───────────┼───────────────────────────┨

┃ 침해사고 보고        │o 침해사고 보고 시 고려 사항                          ┃

┃                      │ - 침해 날짜와 시간                                   ┃

┃                      │ - 침해 사고 보고자 및 보고 일시                      ┃

┃                      │ - 침해 사고 내용                                     ┃

┃                      │ - 침해 사고 대응 내역                                ┃

┠───────────┼───────────────────────────┨

┃ 침해사고 발생 시     │o 침해사고 발생 후 응급조치 시 고려사항               ┃

┃응급조치              │ - 손상된 시스템은 동작을 즉시 정지                   ┃

┃                      │ - 내부망의 외부 접속을 즉시 차단                     ┃

┃                      │ - 긴급복구가 즉시 수행되어야 하는 곳은 정보보호전문가┃

┃                      │에 의한 침입탐지 및 복구                              ┃

┠───────────┼───────────────────────────┨

┃ 침해사고             │o 침해사고 복구 시 고려사항                           ┃

┃ 복구                 │ - 사고원인의 분석 및 정의                            ┃

┃                      │ - 필요한 경우, 재발을 방지하기 위한 대책의 수립 및 시┃

┃                      │행                                                    ┃

┃                      │ - 정보자원 및 시스템 백업을 통한 시스템 재구축 방법  ┃

┃                      │ - 시스템 및 정보통신망에 대한 취약점 제거            ┃

┗━━━━━━━━━━━┷━━━━━━━━━━━━━━━━━━━━━━━━━━━┛

별표 0002: 침해사고 예방조치 시 고려사항(제23조 관련)

[별표 2] 침해사고 예방조치 시 고려사항(제23조 관련)

가. 관리ㆍ운영 측면의 고려사항

┏━━━━━━━━┯━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┓

┃구  분          │주요 고려 사항                                                ┃

┣━━━━━━━━┿━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┫

┃ 관리?운영절차 │o 관리ㆍ운영절차의 수립 시 고려사항                           ┃

┃                │ - 시스템 문제발생시 재동작 및 복구 절차                      ┃

┃                │ - 시스템 모니터링 방안                                       ┃

┃                │ - 중요 산출물에 대한 관리 방안                               ┃

┃                │ - 업무수행 시 발생될 예외사항 및 오류사항 처리 방안          ┃

┃                │ - 정보처리 및 취급 절차                                      ┃

┠────────┼───────────────────────────────┨

┃ 제한구역설정   │o 제한구역 설정 시 고려 사항                                  ┃

┃및 보호         │ - 보호대상 설정                                              ┃

┃                │ - 특히 중요한 시설이나 장비는 제한구역으로 설정              ┃

┃                │ - 출입 통제 방안                                             ┃

┃                │ - 반출?입 물품에 대한 기록 유지                             ┃

┃                │ - 정전대비 별도의 전원 공급 시설                             ┃

┠────────┼───────────────────────────────┨

┃ 장비ㆍ시설의   │o 시스템 구입 및 설치 시 일반적 고려 사항                     ┃

┃도입 및 설치    │ - 현재 시스템의 성능과 가용능력의 한계에 대한 분석           ┃

┃                │ - 시스템의 기능적, 운용적 요구사항 정의 및 시기의 예측       ┃

┃                │ - 기존 시스템과의 적합성 확보                                ┃

┃                │ - 정보보호 시스템의 설치시는 보호지침과의 부합성 및 설치 필  ┃

┃                │요성에 대하여 검증                                            ┃

┃                │ - 정기적인 점검 및 안전성에 대한 재검토                      ┃

┃                │                                                              ┃

┃                │o 정보보호시스템 도입 및 설치ㆍ운영 시 고려 사항              ┃

┃                │ - 요구사항 파악 및 도입?설치의 목적                         ┃

┃                │ - 성능 및 도입?설치의 타당성에 대한 검토                    ┃

┃                │ - 관리의 편이성 및 로그관리의 편이성                         ┃

┃                │ - 정보보호시스템에 대한 로그 감시 기능                       ┃

┠────────┼───────────────────────────────┨

┃ 변경관리 절차  │o장비, 소프트웨어, 절차들의 변경사항에 대한 관리 책임 및 절차 ┃

┃                │수립 시 고려사항                                              ┃

┃                │ - 주요 변경사항 및 변경대상에 관한 정의?기록 유지           ┃

┃                │ - 변경 실패에 따른 복구나 폐기에 대한 책임 정의 절차         ┃

┃                │ - 변경에 대한 잠정적인 영향 평가                             ┃

┃                │ - 요구된 변경사항에 대한 승인절차                            ┃

┃                │ - 모든 관련자에게 변경사항에 대한 공지 및 교육               ┃

┗━━━━━━━━┷━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┛

┏━━━━━━━━┯━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┓

┃구  분          │주요 고려 사항                                                          ┃

┣━━━━━━━━┿━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┫

┃ 로그 관리      │o 운영자 로그관리방안 수립 시 고려사항                                  ┃

┃                │ - 시스템 시작, 종료시간, 사용자 인증실패, 접속 시도, 시스템 에         ┃

┃                │러 및 수정 내용 등에 대한 로그 유지                                     ┃

┃                │ - 로그 기록 방법, 대상, 보존 기간, 백업 등                             ┃

┃                │ - 주기적 로그 점검 및 방법                                             ┃

┃                │ - 접근기록에 대한 정기적 분석 및 불법시도에 대한 조치 방법             ┃

┃                │ - 보안 로그 기록 점검사항에 대한 주기적 보고                           ┃

┃                │                                                                        ┃

┃                │o 정보보호시스템의 로그 기록 시 필수 고려사항                           ┃

┃                │ - 성공적이거나 거부된 접속                                             ┃

┃                │ - 정보보호시스템 구성요소로부터의 에러 메시지                          ┃

┃                │ - 다중 접근 시도 및 불안한 포트로의 접근                               ┃

┃                │ - 로그를 저장할 메모리                                                 ┃

┃                │ - 기록이 멈추게 되지 않도록 사전 대책 강구                             ┃

┠────────┼────────────────────────────────────┨

┃ 장애 관리      │o 장애관리 시 고려사항                                                  ┃

┃                │ - 장애의 감지 및 복구를 위해 운영상황 감시 기능 설정                   ┃

┃                │ - 장애관리 보고 절차 수립                                              ┃

┃                │ - 전체시스템에 대한 피해 최소화를 위해 장애차단 및 장애복구 기능 설정  ┃

┃                │ - 장애처리 후 로그에 대한 재점검으로 장애의 완전 복구상태 확인         ┃

┠────────┼────────────────────────────────────┨

┃ 저장매체 관리  │o 테이프, 디스켓, 출력보고서 등의 저장매체 관리 시 고려 사항            ┃

┃                │ - 저장매체에 대한 목록관리, 분류, 접근통제, 보관 장소, 보관기          ┃

┃                │간, 보관절차 등 수립                                                    ┃

┃                │ - 저장매체에 대한 복사, 변경, 배포, 폐기 방안                          ┃

┃                │ - 저장매체 정보저장, 취급 및 전달 절차 수립                            ┃

┃                │ - 저장매체 사용에 대한 허가, 점검 수립 및 기록유지                     ┃

┃                │ - 저장매체 저장 내용 삭제?폐기 절차                                   ┃

┠────────┼────────────────────────────────────┨

┃ 악의적         │o 컴퓨터바이러스 등 악의적 소프트웨어로부터의 보호를 위한 통제?탐      ┃

┃소프트웨어 관리 │지 조치 시 고려 사항                                                    ┃

┃                │ - 사용자에게 바이러스의 위험성에 대한 인식 필요                        ┃

┃                │ - 비인가 및 불법 소프트웨어 사용금지                                   ┃

┃                │ - 알려진 바이러스 백신프로그램 사용                                    ┃

┃                │ - 지속적인 바이러스 백신프로그램 업데이트 및 검사                      ┃

┃                │ - 검증되지 않은 저장매체는 사용 전에 검사                              ┃

┃                │ -외부 네트워크나 매체로부터 파일 또는 소프트웨어 다운로드 시 대책 마련 ┃

┠────────┼────────────────────────────────────┨

┃ 백  업         │o 시스템, 데이터, DB 등 정보자산에 대한 백업조치 시 고려 사항           ┃

┃                │ - 정보자산에 대한 장애 대비 백업 및 복구 절차 규정                     ┃

┃                │ - 데이터 중요도에 따른 백업 대상, 백업 방식, 백업주기, 백업기준 등 설  ┃

┃                │정                                                                      ┃

┃                │ - 자연재해로부터 보호받을 수 있는 안전한 장소에 대한 지정              ┃

┃                │ - 주기적으로 백업 받은 데이터에 대한 복구 테스트 실시                  ┃

┃                │ -중요정보에 대하여는 제3의 장소 등 물리적으로 분리된 곳에 백업데이터 보┃

┃                │관                                                                      ┃

┗━━━━━━━━┷━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┛

나. 기술적 측면에서의 고려사항

┏━━━━━━━┯━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┓

┃구  분        │주요 고려 사항                                                  ┃

┣━━━━━━━┿━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┫

┃ 사용자 관리  │o 사용자 계정 관리 시 고려 사항                                 ┃

┃              │ - 시스템 접근에 대한 공식적인 사용자 등록 및 해지 절차 수립    ┃

┃              │ - 주기적으로 인가된 사용자 여부 및 접근권한 점검               ┃

┃              │ - 사용자의 공식적인 로그를 보관                                ┃

┃              │ - 동일사용자 계정의 다른 사용자 계정 재발급 방지               ┃

┃              │ - 시스템 관리자가 일반 업무 시 일반 사용자 계정 사용           ┃

┠───────┼────────────────────────────────┨

┃ 패스워드 관리│o 패스워드 관리 시 고려사항                                     ┃

┃              │ - 책임 추적성을 위해 패스워드 할당                             ┃

┃              │ - 패스워드의 안전한 보관                                       ┃

┃              │ - 패스워드의 노출가능성이 있으면 즉시 변경                     ┃

┃              │ - 패스워드 설정 시 기피해야 할 요건                            ┃

┃              │  . 특정 달, 요일, 머리글자, 주민등록번호, 자동차번호           ┃

┃              │  . 회사이름, 전화번호 또는 비슷한 숫자 그룹                    ┃

┃              │  . 2개 이상의 연관된 신원확인 가능 문자, 숫자,                 ┃

┃              │   영문 알파벳 그룹                                             ┃

┃              │ - 주기적으로 패스워드를 변경, 지난 패스워드 사용금지           ┃

┃              │ - 특별권한이 부여된 ID의 패스워드는 정기적으로 점검            ┃

┃              │ - 첫 로그온 시 임시 패스워드는 변경                            ┃

┃              │ - 비밀번호 오류 횟수의 제한                                    ┃

┠───────┼────────────────────────────────┨

┃ 네트워크     │o 네트워크 접근 통제 시 고려 사항                               ┃

┃ 접근 통제    │ - 네트워크로 접근하는 사용자에 대한 인가 절차                  ┃

┃              │ - 원격접속 사용자 인가 절차                                    ┃

┃              │ - 비인가된 접근을 막기 위해 서비스 경로의 제한 및 분리         ┃

┃              │ - 관계회사 등과 네트워크 공유 시에는 물리적 또는 논리적으로 분 ┃

┃              │리                                                              ┃

┃              │ - 원격 장비의 관리를 위한 책임 및 절차를 수립                  ┃

┃              │ - 개발업무 네트워크와 다른 업무용 네트워크와의 분리 운영       ┃

┃              │ - 인증, 암호 활용을 통한 원격 접속 사용자에 대한 접근통제      ┃

┃              │ - 네트워크를 통해 시스템 운영 시 시스템 관리는 원칙적으로 내   ┃

┃              │부 특정 단말로 제한                                             ┃

┗━━━━━━━┷━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┛


부칙

['부칙 이 규정은 발령한 날부터 시행한다.', '부칙 이 훈령은 발령한 날부터 시행한다. 다만, 제16조제2항은 2020년 6월 11일부터 시행한다.']

부칙 공포정보: ['20151019', '20200320'] (공포번호: ['151', '330'])