정보보호 사전점검에 관한 고시

제1장 총칙

이 고시는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 "법"이라 한다) 제45조의2 및 같은 법 시행령(이하 "영"이라 한다) 제36조의2부터 제36조의5까지의 규정에 따라 정보보호 사전점검의 방법·절차·수수료에 관한 세부사항과 그 밖의 정보보호 사전점검에 필요한 사항에 대하여 정하는 것을 목적으로 한다.

이 고시에서 사용하는 용어의 정의는 다음 각 호와 같다.

1. "정보보호 사전점검(이하 ‘사전점검’이라 한다)"이란 정보통신망의 구축 또는 정보통신서비스의 제공 이전에 계획 또는 설계 등의 과정에서 정보보호를 고려하여 필요한 조치를 하거나 계획을 마련하는 것을 말한다.

2. "정보보호컨설팅"이란 전자적 침해행위에 대비하기 위한 정보시스템의 취약점 분석·평가와 이에 기초한 보호대책의 제시 또는 정보보호 관리체계 구축 등을 주된 목적으로 수행한 컨설팅을 말한다.

3. "정보보호 사전점검 대상자(이하 ‘대상자’라 한다)"란 정보보호 사전점검을 받으려는 자를 말한다.

제2장 사전점검의 실시 시기

사전점검은 대상자가 새로이 정보통신망을 구축하거나 정보통신서비스를 제공하고자 하는 때에는 그 계획 또는 설계 단계부터 실시한다.

제3장 정보보호 사전점검 대상

과학기술정보통신부는 사업자가 사전점검을 실시하거나 실시 계약을 체결한 경우 해당 사업 또는 서비스에 대하여 가점을 부여하는 등 우대조치를 할 수 있다.

사전점검 대상 범위는 제공하려는 사업 또는 정보통신서비스를 구성하는 하드웨어, 소프트웨어, 네트워크 등의 유·무형 설비 및 시설을 대상으로 한다.

제4장 정보보호 사전점검 수행기관

① 과학기술정보통신부는 영 제36조의4제3항에 따라 사전점검을 수행하는 외부 전문기관(이하 "사전점검 수행기관"이라 한다)을 지정할 수 있다.

② 과학기술정보통신부는 사전점검 수행기관을 지정할 필요가 있을 때에는 미리 접수 신청기간과 신청요령 등을 정하여 관보 및 인터넷 홈페이지에 20일 이상 공고하여야 한다.

① 사전점검 수행기관으로 지정받으려는 자는 시스템·네트워크·데이터베이스·소프트웨어 개발 보안 및 취약점 분석·평가 분야 등의 정보보호 기술인력을 보유하여야 한다.

② 사전점검 수행기관이 되기 위해서는 정보보호컨설팅 수행실적이 있어야 한다.

③ 사전점검 수행기관으로 지정 받으려는 자는 사전점검 과정에서 발생하는 자료를 보호하기 위하여 다음 각 호를 포함한 보호대책을 별표 1과 같이 수립·시행하여야 한다.

1. 사전점검 수행구역 및 설비에 대한 보호대책

2. 사전점검 수행인력에 대한 보호대책

3. 문서 및 전산자료에 대한 보호대책

4. 일반 관리적 보호대책

사전점검 수행기관 지정 절차는 별표 2와 같다.

① 사전점검 수행기관으로 지정받으려는 자는 별지 제1호서식의 수행기관 지정신청서를 과학기술정보통신부에 제출하여야 한다.

② "정보보호 기술인력 보유현황"의 제출 서식은 별지 제2호서식과 같다.

③ "정보보호컨설팅 수행실적 명세서"의 제출 서식은 별지 제3호서식과 같다.

① 과학기술정보통신부는 사전점검 수행기관 지정신청서를 접수한 경우 심사위원회를 구성하여 다음 각 호의 심사업무를 수행하게 할 수 있다.

1. 정보보호 기술인력 현황 확인

2. 신청인의 정보보호컨설팅 수행실적 검토

3. 사전점검 수행기관 보호대책의 검토

② 심사위원회는 사전점검 수행기관 지정 신청을 검토하기 위하여 서류심사 또는 현장실사를 할 수 있다.

③ 심사위원회는 서류심사 또는 현장실사 결과를 종합적으로 검토하여 심사 결과를 작성하여야 한다.

ⓛ 과학기술정보통신부는 심사위원회의 심사결과를 검증하여야 한다.

② 과학기술정보통신부는 지정신청서 및 관련 자료 검토 결과에 따라 사전점검 수행기관 지정을 받으려는 신청인에게 별지 제4호서식에 따른 "정보보호 사전점검 수행기관 지정서"를 교부한다.

과학기술정보통신부는 수행기관이 제7조제3항 각호에 따른 보호대책의 준수 여부를 점검할 수 있다.

① 사전점검 수행기관의 유효기간은 3년으로 한다.

② 사전점검 수행기관이 수행기관 지정을 계속 유지하려고 할 경우 유효기간 만료 3개월 전에 재지정 신청을 하여야 하며, 재지정 절차는 지정 절차를 따른다.

③ 사전점검 수행기관이 인수·합병 등에 따른 법인격 변동이 있을 경우 재지정 절차를 따른다.

① 과학기술정보통신부는 사전점검 수행기관이 다음 각 호에 해당할 경우 사전점검 수행기관 지정을 취소하고, 이를 관보에 게재할 수 있다.

1. 거짓이나 그 밖의 부정한 방법으로 지정을 받은 경우

2. 제7조 각 항에 따른 사전점검 수행기관 지정 요건에 미달한 경우

② 사전점검 수행기관이 폐업하거나, 수행기관 지정을 반납하려 할 경우 해당 의사를 명시한 문서에 수행기관 지정서를 첨부하여 과학기술정보통신부에 제출하여야 한다.

제5장 정보보호 사전점검 수행 인력

사전점검을 수행하려는 자는 영 제36조의4제3항 별표 2에 따른 정보보호 기술인력의 자격 기준을 갖추어야 한다.

① 한국인터넷진흥원은 정보보호 사전점검의 품질관리 및 수행인력의 전문성 확보를 위하여 필요한 교육을 할 수 있다.

② 사전점검 교육과정은 정보통신서비스 구조 분석, 보호자산 식별, 위협 및 취약점 분석, 위협 시나리오 작성 등 사전점검 절차·방법 및 프로젝트관리를 포함한다.

제6장 정보보호 사전점검 수행

대상자가 자체적으로 사전점검을 수행하지 않고 한국인터넷진흥원 또는 사전점검 수행기관으로부터 사전점검을 받으려는 경우 점검기간, 참여인력, 사전점검 수수료, 사전점검 범위 등에 대한 합의를 포함하는 사전점검 실시 계약을 체결하여야 한다.

영 제36조의2에 따른 사전점검기준은 별표 3과 같다.

대상자는 사전점검을 수행하기 위하여 사업 또는 정보통신서비스 담당자 및 제15조의 요건을 갖춘 내·외부의 사전점검 수행인력 등으로 정보보호 사전점검 수행팀(이하 "점검팀"이라 한다)을 구성하고, 사전점검 수행계획서를 작성한다.

점검팀은 사전점검을 하려는 사업 또는 정보통신서비스에 대하여 아래 각 호의 순서로 설계 검토 단계를 진행한다.

1. 서비스 정의

2. 서비스 구조 분석

3. 보호자산 식별

4. 위협 분석

5. 취약점 분석

6. 위험 분석

7. 위협 시나리오 도출

8. 보호대책 도출

대상자는 사전점검 대상 정보통신서비스의 설계 및 구현 단계에서 도출한 보호대책을 적용한다.

점검팀은 아래 각 호의 순서로 보호대책 구현 현황을 점검한다.

1. 권고한 보호대책에 대한 실제 구현 현황을 파악

2. 위협 시나리오에 따라 현장에서 모의해킹 및 침투시험 등을 통해 위협 가능성을 확인

점검팀은 사전점검 결과보고서를 작성하여 대상자에게 제출한다.

① 대상자는 사전점검 결과에 따라 적용하지 아니한 보호대책이 있을 경우 보호조치 계획을 수립하고 정보통신망 또는 정보통신서비스의 운영과정에 반영한다.

② 사전점검 과정에서 심각한 위험이 발견된 경우 그에 대한 보호대책을 구현한 이후에 정보통신망 또는 정보통신서비스를 운영하여야 한다.

한국인터넷진흥원장은 이 고시에 대한 해설서를 마련하여 과학기술정보통신부장관의 승인을 받아 공표할 수 있다.

제7장 정보보호 사전점검 수수료

사전점검 수수료는 다음 각 호의 기준을 준용하여 별표 4에 따라 산정한다. 다만, 대상자와 한국인터넷진흥원 또는 사전점검 수행기관이 이와 다르게 합의할 경우에는 다음 각 호를 적용하지 아니할 수 있다.

1. 「엔지니어링산업 진흥법」 제31조제2항에 따른 엔지니어링사업의 대가 기준

2. 한국소프트웨어산업협회가 제공하는 「SW사업 대가산정 가이드」의 정보보안 컨설팅비

「훈령·예규 등의 발령 및 관리에 관한 규정」(대통령훈령 제334호)에 따라 이 고시에 대하여 2017년 1월 1일 기준으로 매 3년이 되는 시점(매 3년째의 12월 31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.