yakdoli/chandra-27b-ocr-v1 huggingface dataset:
제16567호                관             보       2007. 8.14. (화요일)
제22조(인증서 관리) ①정보보호관리체계인증기관은 발급된 인증서의 인증번호, 발급번호, 발급일,

 유효기간 등을 관리하여야 한다.

 ②인증을 취득한 자는 인증서의 분실 등으로 인한 재발급을 받고자 할 경우 별지 제3호서식의 관

 리체계 인증서 재발급 신청서를 인증기관에 제출하여야 한다.

 ③인증을 취득한 자가 주소, 업체명 등 인증서 기재사항의 변경을 요청하고자 하는 경우 별지 제

 4호서식의 인증서 변경신청서를 정보보호관리체계인증기관에 제출하여야 한다.

    부        칙

이 고시는 고시한 날부터 시행한다.
[별표 1]
                 업무수행능력심사 규정에 따른 제출서류(제4조제2항관련)


         구          분                    제   출   서    류

1. 정보보호수행실적을 확인하는 데       가.별지 제2호서식에 따른 정보보호수행실적 명세서 및 이

  필요한 서류                   를 증빙할 수 있는 자료(결과보고서 등)

                          나. 계약서 사본 및 세금계산서 등



2. 업무수행능력심사평가표 각호의        가. 총매출액대비 정보보호분야 매출액의 비율 계산 내역

  세부 평가요소를 평가하기 위하여        (공인회계사 또는 회계담당자가 서명 날인한 서류)

  필요한 서류                  나. 부채비율 및 자기자본 이익률의 계산내역(회결산내역

                           등 관련 증빙자료)

                          다.인증업무 운영체계 관련 규정 및 지침 등

                           ○인증기관의 운영체계 및 인증의 품질관리

                           ○인증업무를 수행하는 직원에 대한 운영관리 등의 내부

                               규정

                           ○인증업무 수행 방법 및 절차




비   고

  ※정보통신부장관은 정보보호관리체계인증기관 지정 공고시 업무수행능력심사에 필요한 자료의
    구성 및 그 세부내용, 제출시기 및 방법 등에 관한 사항을 포함하여야 한다.




                                    42
제16567호               관          보               2007. 8.14. (화요일)
[별표 2]
                 인증심사업무를 전담하는 직원의 요건(제5조 관련)

             학력 및 경력기준                       자격 및 경력기준

1. 유관학력 보유의 경우                1. 유관자격 보유의 경우
  가. 학사학위를 취득한 자로서 정보통신유관         가. 기사자격을 취득한 자로서 정보통신유관
   경력과 정보보호유관경력의 합이 6년 이상          경력과 정보보호유관경력의 합이 4년 이상
   인 자                             인 자
  나. 석사학위를 취득한 자로서 정보통신유관         나. 산업기사자격을 취득한 자로서 정보통신
   경력과 정보보호유관경력의 합이 3년 이상          유관경력과 정보보호유관경력의 합이 7년
   인 자                             이상인 자
2. 비 유관학력 보유의 경우              2. 다음 각목의 1에 해당하는 정보보호자격을
  가. 학사학위를 취득한 자로서 정보통신유관         취득한 자로서 2년 이상의 정보보호유관경력
   경력과 정보보호유관경력의 합이 8년 이상         이 있는 자
   인 자                            가. 한국정보보호진흥원의 정보보호전문가(SIS)
  나. 전문학사를 취득한 자로서 정보통신유관         나.「정보시스템의 효율적 도입 및 운영 등에
   경력과 정보보호유관경력의 합이 10년 이          관한 법률」제14조에 따른 정보시스템감리원
   상인 자                           다.국제정보시스템감사통제협회(Information
                                   Systems Audit and Control Association)
                                   의 공인정보시스템감사사(CISA)
                                  라.국제정보시스템보안자격협회(International
                                   Information System Security Certification
                                   Consortium)의 공인정보시스템보호전문가
                                   (CISSP)

 1. “유관자격”이라 함은 「국가기술자격법 시행규칙」 별표 7에 따라 정보통신부장관을 검정의 소
  관 주무부장관으로 하는 전자계산기, 정보통신, 통신설비, 통신기기, 통신선로, 정보기기운용,
  전파통신, 전파전자, 무선설비, 방송통신, 정보관리, 정보처리, 사무자동화 및 전자계산조직응용
  종목의 기술자격을 말한다.
 2. “유관학력”이라 함은 「고등교육법」에 따른 해당 학교에서 다음 각 목에 해당하는 학과에서 소
  정의 과정을 이수하고 졸업하거나 그 밖의 관계 법령에 따라 국내 또는 외국에서 이와 동등 이
  상으로 인정되는 학력을 말한다.
  가. 전자 관련 학과:정보전자, 전자, 전자계산, 전기전자제어, 전자정보, 전자제어, 전기전자,
    전자전기정보, 전자컴퓨터전기제어, 컴퓨터과학, 전기전자정보, 전자컴퓨터, 메카트로닉스, 전
    자재료, 제어계측, 반도체
  나. 정보통신 관련 학과:전기통신설비, 국제정보통신, 방송설비, 방송통신, 이동통신, 전자통
    신, 컴퓨터네트워크, 통신, 컴퓨터정보기술, 전파통신, 전기전자통신, 전기전자정보통신, 전자
                             43
제16567호                      관         보              2007. 8.14. (화요일)
     정보통신, 전자제어통신, 전자통신, 전파, 전파통신, 정보통신, 컴퓨터통신, 항공통신정보, 전
     자정보통신반도체, 전기전자전파, 통신컴퓨터, 무선통신

 다. 정보처리기술 관련 학과:시스템, 전산, 정보전산, 컴퓨터제어, 컴퓨터응용제어, 컴퓨터응용,
    컴퓨터응용설계, 구조시스템, 컴퓨터정보, 멀티미디어, 정보시스템, 전산통계, 정보처리
 라. 그 밖에 교육인적자원부장관이나 해당 교육기관의 장으로부터 전자·통신 및 정보처리기술·
    정보보호 관련 학과로 인정받은 학과
3. “정보통신유관경력”이라 함은 공공기관, 민간기업, 교육기관 등에서 정보통신서비스(기간통신,
 별정통신, 부가통신, 방송서비스 등을 말한다), 정보통신기기(정보기기, 방송기기, 부품 등을 말한
 다) 또는 소프트웨어 및 컴퓨터 관련 서비스(패키지 소프트웨어, 컴퓨터 관련 서비스, 디지털콘텐
 츠, 데이터베이스 제작 및 검색 등을 말한다)에 해당되는 분야에서 계획·분석·설계·개발·운
 영·유지보수·컨설팅·감리 또는 연구개발 업무 등을 수행한 기간을 말한다.
5. “정보보호유관경력”이라 함은 공공기관, 민간기업, 교육기관 등에서 정보보호를 위한 공통기반
 기술(암호 기술, 인증 기술 등을 말한다), 시스템·네트워크 보호(시스템 보호, 해킹·바이러스 대
 응, 네트워크 보호 등을 말한다) 또는 응용서비스 보호(전자거래 보호, 응용서비스 보호, 정보보호
 표준화 등을 말한다)에 해당되는 분야에서 계획·분석·설계·개발·운영·유지보수·컨설팅 또
 는 연구개발 업무등을 수행한 기간을 말한다.
[별표 3]
                     업무수행능력심사 세부평가기준(제6조관련)

평   가    항   목   평 가 요 소    배점 평가지표            세     부   평   가   방       법

1. 정보보호 업무 최근3년간 정보         25   계약금액 o지정 공고일 기준으로 최근 3년간 완료한 정
 수행 경험및 전 보호수행 실적                    총액    보보호수행실적을 인정하고 평가점수는 개
 문화 정도(40)                                 별 수행실적의 계약금액을 합한 총액에 따
                                           라 산출
                                           계약금액총액(단위 : 억원)           점       수
                                                30억원이상            배점의 100%
                                                30억원미만             배점의 χ%
                                               ※χ=(계약금액 총액/30억원)×100

                 최근 3년간 계   10   수행건수 o 지정 공고일 기준으로 최근 3년간 완료한
                 약금액 5천만원                  정보보호수행실적으로 계약금액이 5천만원
                 이상의 정보보                   이상의 실적을 인정
                  호수행실적                        수행실적 건수               점       수

                                                30건이상            배점의 100%

                                                30건미만             배점의 χ%

                                                   ※χ=(수행건수/30건)×100


                                      44
제16567호                      관          보                 2007. 8.14. (화요일)

평   가   항    목   평 가 요 소    배점 평가지표               세       부   평   가   방   법

                 총매출액에 대한   5        비율    o지정 공고일 기준으로 직전년도 정보보호분
                 정보보호분야 매                   야 매출액의 비율(정보보호분야 매출액/총매
                  출액 비율                     출액)
                                                      비       율           점   수
                                                      80%이상                5점
                                                80%미만~60%이상                4점
                                                60%미만~40%이상                3점
                                                40%미만~20%이상                2점
                                                      20%미만                1점

2. 신뢰도 및 재정       부채비율      5        비율    o지정 공고일 기준으로 직전년도 부채비율(부
 상태 건실도(10)                                 채총계/자기자본)
                                                      비       율           점   수

                                                      50%미만                5점
                                                50%이상~100%미만               4점
                                              100%이상~150%미만                3점
                                              150%이상~200%미만                2점
                                                      200%이상               1점

                 자기자본이익률    5        비율    o지정 공고일 기준으로 직전년도 자기자본이
                                            익률(당기순이익/자기자본)
                                                      비       율           점   수

                                                      20%이상                5점
                                                20%미만~15%이상                4점
                                                15%미만~10%이상                3점
                                                  10%미만~5%이상               2점
                                                      5%미만                 1점

3. 인증업무 운영 인증기관의 운영         25   평가점수
                                                          세부 평가요소                 점수
    체계(50)       체계 및 인증의
                                           o인증기관의 공정성·객관성·신뢰성·
                                                               5점
                  품질관리                      독립성 보증 방안
                                           o인증기관의 내부감사 실시 및 검토 등
                                                                 5점
                                            에 대한 방안
                                           o인증위원회 구성·운영 방안                        5점
                                           o인증의 품질 보증 및 관리방안                      5점
                                           o인증업무의 기록 및 문서화 관리체계의
                                                                 5점
                                            적절성

                                      45
제16567호                        관             보                2007. 8.14. (화요일)

평    가    항   목   평 가 요 소    배점 평가지표                  세    부       평   가   방       법

                  인증업무를 수행    10    평가점수                   세부 평가요소                         점수
                  하는 직원에 대                       o인증업무를 수행하는 직원에 대한 규정
                  한 운영·관리등                        보유 및 그 규정의 타당성 및 실효성
                   의 내부규정                         -인증업무를 수행하는 직원의 의무와
                                                                                           5점
                                                   책임 등 준수사항
                                                  -인증업무를 수행하는 직원의 자체
                                                   보안관리 및 감독 요령
                                                 o인증업무를 수행하는 직원의 교육 및
                                                  평가 등에 대한 방안 및 그 방안의 5점
                                                  적절성 및 타당성

                  인증업무 수행     15    평가점수                   세부 평가요소                         점수
                  방법 및 절차                        o인증업무 수행 방법 및 절차 등의 적
                                                  절성 및 타당성
                                                  -인증심사의 절차 및 방법
                                                  -인증수수료 및 그 징수방법                          15점
                                                  -인증심사팀 구성 원칙
                                                  -인증서 발급 기준
                                                  -인증심사 사후관리방안 등

4. 가점 및 감점        인증심사업무를     5     보유 인원 o인증심사업무를 수행하는 전담조직을 갖추
                  전담하는 직원 (가점)          수        고, 그 전담조직에 속한 직원에 대해 인정
                   의 보유수                              구        분               점       수
                                                      20명 이상                   5점
                                                   20명미만~10명이상             배점의 χ%
                                                      10명 미만                   없음
                                                          ※χ=(인원수/20명)×100

                  자격취소 사실     5     취소사실 o지정 공고일 기준으로 10년이내에 정보통신
                             (감점)       및        부장관이 부여한 정보보호 관련 수행자격이
                                    취소회수         취소된 경우
                                                 -정보보호관리체계인증기관, 정보보호컨설
                                                  팅전문업체, 안전진단수행기관 등
                                                  ※취소 1회당 : 감점 5점

<비   고>

 1. 각 평가요소별 세부평가에 필요한 자료의 구성 및 그 세부내용 등에 관한 사항은 지정공고 시
                                            46
제16567호                    관            보               2007. 8.14. (화요일)
     제시한다.
2. 평가항목에 대한 각 평가요소별 세부평가 점수는 소수점 이하 둘째 자리에서 반올림한다.
3. 평가항목에 대한 각 평가요소별 평가점수는 평가결과의 최저점과 최고점을 제외한 점수들의 평
 균점을 부여한다. 다만, 최저점 또는 최고점이 2개 이상일 경우 각 1개만 제외한다.
4. 가점을 합한 점수가 100점을 초과해도 만점 100점으로 표기한다.
5. 정보보호수행실적으로 인정을 받기 위해서는 다음 각목의 요건을 충족하여야 한다.

 가. 전자적 침해행위에 대비하기 위한 정보관리 및 정보시스템의 안전성에 대한 점검과 이에 기
     초한 정보보호대책의 제시를 주된 목적으로 직접 수행한 실적을 말하는 것으로 정보보호에 관
     한 감사, 감리, 진단, 인증, 컨설팅 등을 포함한다.
 나. 지정 공고일 현재 프로젝트가 종료되고 이에 대한 대금지급이 완료되어야 한다.
 다. 하수급업체가 수급업체로부터 하도급을 받아 수행한 실적에 대해서는 인정하지 아니하고 해
     당 기관에서 직접 계약하여 수행한 실적에 대해서만 인정한다.
 마. 가목 내지 다목의 내용이 계약서 및 증빙자료를 통하여 분명하게 확인되어야 한다.
6. ‘정보보호분야의 매출액’이라함은 지정 공고일 기준으로 직전년도 결산회기의 정보보호분야 제
 품 및 서비스관련 매출총액을 말한다.
7. ‘인증업무 운영체계’에 대한 각 평가요소별 세부평가 점수 부여기준은 각 평가요소의 평가결과
 에 평가등급(계수)를 곱하여 나온 점수를 합산한다.
                 평가요소별 세부평가 점수                                 평가등급(계수)

                     100점이하~90점이상                                 우수(1. )

                     90점미만~80점이상                                  보통(0.6)

                       80점미만~                                     미흡(0.2)

                        미 제출                                      점수없음(0)

[별표 4]
                     인증심사기준-관리과정 요구사항(제10조 제1호관련)
      관리과정           세부관리과정              관   리   과   정   상    세   내   용

                                신청기관의 경영목표를 지원할 수 있도록 정보보호의 법
                     정보보호정
               1.1              적, 규제적 요건과 전략적이고 조직적인 위험관리를 기술
                      책의 수립
                                한 정보보호정책을 수립하여야 한다.
      정보보호
 1                              정보보호활동에 대한 경영층의 명확한 지원 및 방향제시
      정책수립
                     조직 및 책     를 보증할 수 있는 조직을 수립하여야 한다. 또한 정보보
               1.2
                      임의 설정     호관리 활동을 수행하고 검증하는 인력들에 대한 책임,
                                권한 및 상호연관관계를 정의하고 문서화하여야 한다.

      정보보호            정보보호      신청기관의 특성, 위치, 기술, 자산 등 내·외적 환경에
 2    관리체계     2.1    관리체계      중대한 영향을 미치는 요소를 고려하여 정보보호관리체계
      범위설정            범위설정      의 범위를 설정하여야 한다.

                                    47
제16567호                   관             보               2007. 8.14. (화요일)

    관리과정            세부관리과정              관   리   과   정   상    세   내   용

                              신청기관의 정보자산으로 보호를 받을 가치가 있는 정보
                    정보자산의
              2.2             자산을 식별하고, 이를 정보자산의 형태, 소유자, 관리자,
                      식별
                              특성 등을 포함하여 목록을 만들어야 한다.

                              신청기관의 목표 및 정책, 법적 요구사항 등을 고려하여
                              조직, 역할, 책임, 주요과정을 포함한 위험관리 전략 및
                    위험관리전략    계획을 수립하고, 신청기관에 적합한 위험관리 방법을 선
              3.1
                    및 계획 수립   택하고 문서화하여야 한다. 이 위험분석 방법은 조직과
                              정보보호 환경변화에 대응할 수 있도록 지속적으로 검토
                              하여야 한다.

                              신청기관은 「2.2 정보자산의 식별」에서 식별된 정보자산
                              에 영향을 줄 수 있는 모든 위협과 취약성, 위험을 식별
              3.2    위험분석     하고 분류하여야 하며, 이 정보자산의 가치와 위험을 고
                              려하여, 잠재적 손실에 대한 영향을 식별·분석하여야 한
                              다.

                              정보자산에 대한 잠재적 및 알려진 위협과 취약성으로 나
                              타날 수 있는 신청기관의 피해와 현재 구현된 정보보호
                              대책의 실패 가능성 및 영향을 평가하고 수용 가능한 위
              3.3    위험평가
                              험수준을 포함하여야 한다. 이를 통해 정보자산의 위험을
3   위험관리
                              관리할 수 있는 적절한 정보보호대책 선택 및 우선순위의
                              확보를 지원하여야 한다.

                              신청기관의 정보보호정책과 목적에 부합하도록 위험을 수
                              용 가능한 수준으로 감소시키기 위해, 위험분석 및 평가
                              에 의거하여, 위험처리, 위험수용, 위험회피, 위험전가 등
                     정보보호     의 전략을 설정하고, [별표3]에서 제시하는 통제사항중에
              3.4
                    대책 선택     서 선택한다. [별표3]에서 제시되어 있지 않은 통제사항을
                              추가할 경우에는 [별표1]관리과정의 각 단계간 일관성을
                              유지하도록 한다. 정보보호대책의 선택은 비용·효과 분
                              석에 의해 정당화 될 필요가 있다.

                              정보보호대책의 선택이후 구현할 정보보호대책 및 구현
                              의 우선순위, 일정계획, 예산, 책임, 운영계획 등을 포함
                    정보보호계
              3.5             한 정보보호계획을 수립하고, 각 위험에 대한 정보보호대
                     획 수립
                              책 및 선택하게 된 근거를 정보보호대책 명세서로 문서화
                              하여야 한다.

                                   48
제16567호                      관                보               2007. 8.14. (화요일)

       관리과정           세부관리과정                    관   리   과   정   상    세   내   용

                       정보보호
                               정보보호대책은 적절한 관리 조치와 우선 순위에 의해 구
                4.1    대책의
                               현하여야 한다.
                      효과적 구현

                               신청기관의 정보보호 관련직원들 및 최종사용자에게 정보
 4       구 현
                       정보보호    보호에 대한 인식을 제고시키고, 정보보호대책의 필요성
                4.2    교육 및    을 이해하도록 하며 구현될 정보보호대책들을 정확하게
                        훈련     사용할 수 있도록 교육 및 훈련 프로그램을 수립하고 이
                               행하여야 한다.

                               신청기관의 목표, 기술 등 내·외부의 변화와 내부감사
                      정보보호관
                               결과, 보안사고 등을 고려하여, 정보보호관리체계의 효율
                5.1    리체계의
                               성, 범위의 적절성, 잔류위험의 수준, 절차 등의 문서를
                       재검토
                               공식적이고 정기적으로 재검토하여야 한다.

                               정보보호관리체계가 신청기관의 정보보호정책과 목적을
                               충족시키는지 여부에 대하여 모니터링하여, 개선사항을
                      정보보호관리
                               식별하고, 적절한 수정이나 예방 조치를 통하여 효과적으
                5.2 체계의 모니터
                               로 개선사항을 구현하여야 한다. 이에 관련된 조치와 결
                      링 및 개선
                               과는 신청기관의 임직원에게 전달하여야 하고, 관련자들
 5     사후관리
                               에게 자문을 구하여야 한다.

                               신청기관은 정보보호관리체계가 계획된 절차에 따라 효과
                               적으로 실행되는지를 점검하기 위하여 감사의 기준, 범위, 주
                               기 및 방법을 규정하고, 계획된 주기로 내부감사를 수행
                               하여야 한다. 또한 감사의 기획 및 수행, 그리고 결과보고
                5.3    내부감사
                               , 기록 유지 및 이행 모니터링에 대한 책임과 요구사항을
                               문서화된 절차에 의해 규정하여야 한다. 피감사분야의 관
                               리자는 발견된 보완조치 사항을 처리하고, 검증·보고됨
                               을 보장하여야 한다.

[별표 5]
                인증심사기준-문서 작성 및 관리 통제사항(제10조 제2호관련)
           문 서 화               문       서        화           상   세        내       용

                        정보보호관리체계 수립 및 이행에 관련된 모든 문서는 해당 신청기
                        관의 규모, 기능 등을 고려하여 문서화하여야 하며, 신청기관의 정보
  1        문서요건
                        보호정책에 따라 필요한 모든 임직원 및 관련자들이 쉽게 이용할 수
                        있어야 한다.

                                           49
제16567호                      관                 보                2007. 8.14. (화요일)

              문 서 화                문      서        화            상   세       내       용

                            「1. 문서요건」에 의해 작성된 문서는 문서의 발행전 타당성 승인, 주
                            기적 또는 필요시 문서의 검토·갱신 및 재승인, 문서의 변경과 현재
    2      문서의 통제
                            개정상태의 식별, 문서배포, 폐기된 문서의 사용금지 등의 통제를 정
                            의한 절차를 수립하여야 한다.

                            정보보호관리체계를 효과적, 효율적으로 운영하기 위해서 기록을 확
                            인, 유지보수, 보존, 폐기하는 문서화된 절차를 수립하고 유지·관리
                            하여야 한다. 이 문서화된 절차에는 접근자의 신원확인, 기록의 저장
    3     운영기록의 통제
                            , 보호, 검색, 유지기간, 처분 등의 통제에 필요한 절차를 포함하여
                            야 한다. 또한 기록은 읽기 쉽고, 식별 가능하며, 관련 활동을 추적
                            할 수 있어야 한다.

[별표 6]
                        인증심사기준-정보보호관리 통제사항(제10조 제3호관련)

        통제분야             통제목적            통 제 사 항                통       제       내       용

                                                           문서화된 정보보호정책은 최고경영자의
                                 1.1.1   정책의 승인
                                                           승인을 받아야 한다.
                        정책의 승인
                  1.1                                      정보보호정책 문서는 모든 임직원 및 관
                         및 공표
                                 1.1.2   정책의 공표 련자에게 이해하기 쉬운 형태로 전달하
                                                           여야 한다.

                                                           정보보호정책은 신청기관의 사업목표 및
                                         상위 정책과의
                                 1.2.1                     정보기술정책과 일관성을 유지하여야 한
                                          일관성
                                                           다.


        정보보호                                               정보보호정책을 구체적으로 시행하기 위
                  1.2 정책의 체계
1                                                          한 정보보호 지침, 절차 및 표준을 수립
         정책                              정책 문서의
                                 1.2.2                     하여야 한다. 또한 필요한 경우 특정 시
                                           유형
                                                           스템 또는 서비스에 대한 상세한 정보보
                                                           호정책을 수립할 수 있다.

                                                           정기적으로 정보보호정책의 타당성을 검
                                                           토하여야 하며, 중대한 보안사고 발생,
                         정책의                               새로운 위협 또는 취약성의 발생, 정보
                  1.3            1.3.1   주기적 검토
                         유지관리                              보호 환경에 중대한 변화 등이 발생했을
                                                           경우에는 관련된 사항의 타당성을 추가
                                                           로 검토하여야 한다.

                                              50
제16567호                    관           보           2007. 8.14. (화요일)

    통제분야          통제목적             통 제 사 항         통   제      내     용

                                             신청기관내 정보보호관리 활동을 계획,
                                             관리하는 정보보호관리자가 있어야 하며,
              2.1 조직의 체계 2.1.1     조직의 구성
                                             필요에 따라 정보보호위원회를 구성할
                                             수 있다.

                                             정보보호정책 수립, 위험분석·평가, 통
                                             제사항의 선택과 구현, 보안사고 대응
                                             등 중요한 정보보호관리 활동에 도움을
                                   외부전문가
              2.1 조직의 체계 2.1.2               받기 위하여 외부 전문가의 조언을 받을
                                     활용
                                             수 있다. 외부 전문가의 신청기관 자원
                                             에 대한 접근은 「3. 외부자 보안」의 대
    정보보호
2                                            상이 된다.
     조직
                                             최고경영자의 지정을 받은 정보보호관리
                                             자는 정보보호정책 수립, 정보보호 위원
                                   정보보호
                           2.2.1             회의 구성 및 운영, 위험분석 및 관리,
                                    관리자
                                             보안사고 대응 및 복구 등의 정보보호에
                                             관한 업무를 총괄 관리하여야 한다.
              2.2 책임과 역할
                                             신청기관 전반에 걸친 중요한 정보보호
                                             관련 심의 및 승인 기능을 수행하며 필
                                   정보보호
                           2.2.2             요한 자원할당을 통해 정보보호관리 활
                                    위원회
                                             동이 적절히 수행될 수 있도록 하여야
                                             한다.

                                             신청기관의 업무를 외부위탁 하는 경우
                                             에는 정보시스템, 네트워크, 인력 및 사
                                   위부위탁      무환경 등을 관리·통제하기 위한 보안
                           3.1.1   계약시 보안 요구사항을 계약서 상에 명시하여야 하
                                   요구사항      고 요구사항을 서비스수준협약(SLA:
                계약 및 서비
     외부자                                     Service Level Agreement)에 반영하여
3             3.1 스 수준협약
     보안                                      야 한다.
                  보안관리
                                             신청기관이 제3자에게 정보자산에 대한
                                   제3자와의     접근을 허용하는 계약을 체결하는 경우
                           3.1.2   계약시 보안 에는 신청기관의 정보보호정책 준수 및
                                    요구사항     필수 보안요건을 포함하는 공식적인 계
                                             약을 하여야 한다.

                                     51