정보보호 관리등급 부여에 관한 고시

제1장 총칙

이 고시는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 "법"이라 한다) 제47조의5 및 같은 법 시행령(이하 "영"이라 한다) 제55조의2 및 제55조의3에 따라 정보보호 관리등급 부여에 필요한 사항에 대하여 정하는 것을 목적으로 한다.

이 고시에서 사용하는 용어의 정의는 다음 각 호와 같다.

1. "정보보호 관리등급"이란 정보보호 관리수준을 평가하여 관리수준에 따라 우수, 최우수로 나누어 부여하는 등급을 말한다.

2. "우수 등급"이란 정보보호 관리등급 우수 심사기준을 만족하는 경우 부여하는 등급을 말한다.

3. "최우수 등급"이란 정보보호 관리등급 최우수 심사기준을 만족하는 경우 부여하는 등급을 말한다.

제2장 정보보호 관리등급 부여 절차

제1절 정보보호 관리등급 심사의 신청 및 계약

정보보호 관리등급을 신청하려는 자는 법 제47조제1항에 따라 받은 정보보호 관리체계 인증을 연속하여 3년 이상 유지하여야 한다.

정보보호 관리등급을 부여받으려는 자는 별지 제1호 서식의 정보보호 관리등급 신청서(전자문서를 포함한다)와 신청서에 기재된 제출서류(전자문서를 포함한다)를 첨부하여 한국인터넷진흥원에 제출하여야 한다.

① 한국인터넷진흥원은 심사의 범위, 기간, 수수료 등의 내용을 신청인과 협의하고 정보보호 관리등급 심사계약을 체결하여야 한다.

② 한국인터넷진흥원은 신청인이 제4조에 의하여 제출한 서류의 내용이 부족하거나, 사실과 다를 경우에는 신청인에게 보완을 요청할 수 있다.

③ 한국인터넷진흥원은 신청인이 제2항의 보완요청을 15일 이내에 이행하지 않는 경우 계약을 체결하지 아니할 수 있다.

① 신청인은 정보보호 관리등급 심사계약을 체결한 날부터 30일 이내에 수수료를 한국인터넷진흥원에 납부하여야 한다.

② 제1항에 따른 정보보호 관리등급 수수료의 산정방안은 [별표 1]과 같다.

③ 한국인터넷진흥원은 다음 각 호의 어느 하나에 해당하는 경우 수수료를 경감할 수 있다.

1. 중소기업기본법 제2조에 따른 중소기업이 정보보호 관리등급 심사를 신청하는 경우

2. 정보보호 관리등급 기준 미달로 1년 이내 정보보호 관리등급 심사를 재신청하는 경우

3. 정보보호 관리등급 범위의 중요한 변경이 발생하여 정보보호 관리등급 변경심사를 신청하는 경우

4. 기타 과학기술정보통신부장관이 인정하는 경우

④ 제3항에 따른 정보보호 관리등급 수수료 경감비율은 한국인터넷진흥원이 별도로 정하여 인터넷홈페이지 등에 공개하여야 한다.

제2절 정보보호 관리등급 심사기준 및 방법

영 제55조의2제2항에 따른 정보보호 관리등급 심사기준 별 세부 평가기준은 [별표 2]와 같다.

① 정보보호 관리등급은 최우수와 우수의 2개 등급으로 한다.

② 영 제55조의2제2항에 따른 평가방법은 우수등급은 우수에 해당하는 세부 평가기준을 모두 만족하여야 하며 최우수등급은 우수등급과 최우수등급의 세부 평가기준을 모두 만족하여야 한다.

① 한국인터넷진흥원은 심사업무를 객관적이고 공정하게 수행하기 위하여 심사팀장을 포함한 3인 이상의 정보보호 관리등급 심사원으로 심사팀을 구성하여야 한다.

② 제1항에 따른 심사팀 구성 방법은 제22조에 따른 업무 지침으로 정한다.

③ 신청인의 소속직원, 컨설팅 참여자 등 정보보호 관리등급 심사의 공정성에 영향을 미치는 자는 정보보호 관리등급 심사에 참여할 수 없다.

① 정보보호 관리등급 부여를 위한 심사는 서면심사와 현장심사의 방법을 병행하여 실시할 수 있다.

② 서면심사는 정보보호 관리등급 심사기준에 적합한지 여부를 심사하기 위하여 정보보호 정책·지침·절차 및 그 이행의 증적자료 검토, 정보보호대책 적용 여부 확인 등의 방법으로 관리적 요소를 심사한다.

③ 현장심사는 제2항에 따른 서면심사의 결과와 기술적·물리적 보호조치 이행 여부를 확인하기 위하여 담당자 면담, 관련 시스템 확인 및 취약점 점검 등의 방법으로 기술적 요소를 심사한다.

① 심사팀장은 정보보호 관리등급 심사결과 심사기준을 충족하지 못하다고 판단되는 경우 그 사유를 서면으로 신청인에 전달하여야 한다.

② 제1항에 따른 정보보호 관리등급 심사기준을 충족하지 못한 신청인에게는 별도의 보완조치 기간을 부여하지 않는다.

③ 신청인이 제1항의 결과를 통보 받은 후 재심사를 받고자 하는 경우 제1항에 따른 사유를 보완하여야 하며 90일이 경과한 뒤에 재신청 할 수 있다.

④ 제3항에 따른 재신청 절차는 본 장에서 규정한 정보보호 관리등급 부여 절차에 따른다.

⑤ 한국인터넷진흥원장은 신청인에 대한 정보보호 관리등급 심사결과가 법 제47조에 따른 정보보호 관리체계 인증 요건에 부합하다고 인정되는 경우에는 정보보호 관리체계 인증을 부여할 수 있다. 다만, 별지 제1호 서식에 따른 동의를 하지 않은 자에게는 정보보호 관리체계 인증을 부여하지 않는다.

⑥ 제5항에 따른 정보보호 관리체계 인증을 받은 경우 그 유효기간은 1년으로 한다.

제3절 정보보호 관리등급 심사원 자격 요건

① 정보보호 관리등급 심사원이 되려는 자는 정보보호 관리체계 인증심사원으로서 다음 각 호의 모두를 만족하여야 한다.

1. 정보보호 관리체계 인증심사를 4회 이상 참여하고 심사일수의 합이 20일 이상인 자

2. 한국인터넷진흥원에서 수행하는 정보보호 관리등급 심사원 양성교육을 수료하고 평가시험에 합격한 자

② 한국인터넷진흥원장은 제1항의 자격을 만족하는 자에게 정보보호 관리등급 심사원 자격을 부여하고 별지 제2호 서식의 정보보호 관리등급 심사원 자격 증명서를 발급하여야 한다.

① 정보보호 관리등급 심사원의 자격 유효기간은 자격을 부여받은 날부터 3년으로 한다.

② 정보보호 관리등급 심사원은 심사원 자격을 유지하기 위하여 자격 유효기간 내에 한국인터넷진흥원이 인정한 교육을 수료하고 평가시험에 합격하여야 한다.

① 한국인터넷진흥원은 다음 각 호의 어느 하나에 해당하는 사유를 발견한 경우 정보보호 관리등급 심사원의 자격을 취소할 수 있다.

1. 정보보호 관리체계 인증심사원 자격이 취소된 경우

2. 정보보호 관리등급 심사원으로서 객관적이고 공정한 심사를 수행하지 않은 경우

3. 정보보호 관리등급 심사와 관련된 금전, 금품 등을 수수한 경우

4. 정보보호 관리등급 심사 수행 중 취득한 정보를 누설하거나 목적 외에 이를 사용한 경우

② 제1항에 따라 정보보호 관리등급 심사원 자격이 취소된 자는 자격이 취소된 날부터 3년 이내에는 심사원의 자격을 취득할 수 없다.

제4절 정보보호 관리등급 위원회 구성 및 운영

① 한국인터넷진흥원은 다음 각 호의 사항을 심의·의결하기 위하여 정보보호 관리등급 위원회를 설치·운영할 수 있다.

1. 제9조에 따른 심사팀이 심사한 결과가 정보보호 관리등급 심사기준에 적합한지 여부

2. 법 제47조의5제4항 각 호에 해당하는 사유를 발견한 경우 그 결과의 적합성 여부

3. 그 밖에 정보보호 관리등급 심사와 관련하여 정보보호 관리등급 위원회의 위원장이 필요하다고 인정하는 사항

② 정보보호 관리등급 위원회는 5인 이상 10인 이내의 위원으로 구성하되, 위원은 정보보호 관련 전문가, 변호사, 교수 등 정보보호분야에 학식과 경험이 있는 자 중에서 한국인터넷진흥원장이 위촉하며, 위원장은 위원 중에서 호선한다.

③ 한국인터넷진흥원은 효율적 업무 수행을 위하여 필요한 경우 정보보호 관리체계 인증위원회와 공동으로 설치·운영할 수 있다.

① 한국인터넷진흥원은 제15조제1항 각 호의 사항을 심의·의결하기 위하여 필요한 경우 정보보호 관리등급 위원회를 개최할 수 있다.

② 한국인터넷진흥원은 회의 개최 5일 전까지 정보보호 관리등급 위원회 위원에게 심의안건을 송부하여야 한다.

③ 정보보호 관리등급 위원회의 위원장은 심의·의결 결과를 한국인터넷진흥원에 제출한다.

제5절 정보보호 관리등급 증명서의 발급 등

한국인터넷진흥원장은 정보보호 관리등급 위원회 심의·의결 결과를 제출받은 때에는 신청인의 정보보호 관리수준이 이 고시에서 정한 정보보호 관리등급 기준에 부합하다고 판단된 경우 신청인에게 별지 제3호 서식의 정보보호 관리등급 증명서를 발급하여야 한다.

① 정보보호 관리등급 취득자는 정보시스템 구성변경, 회사 이전 등 정보보호 관리등급 심사결과에 영향을 미칠만한 인적, 물리적, 기술적 환경의 변경 발생 시 별지 제4호 서식의 정보보호 관리등급 변경 내역서를 변경이 발생한 날로부터 30일 이내에 제출하여야 한다.

② 한국인터넷진흥원은 신청인이 제출한 정보보호 관리등급 변경 내역서를 검토하여 등급의 유지 또는 변경심사 여부를 결정하고 그 결과를 신청인에게 30일 이내에 통보하여야 한다.

③ 변경심사 절차는 본 장에서 규정한 정보보호 관리등급 부여 절차에 따른다.

④ 변경심사 수행 후 등급을 다시 부여 받은 경우 유효기간은 등급을 다시 부여 받은 날부터 기산한다.

① 한국인터넷진흥원은 발급된 정보보호 관리등급 증명서의 발급번호, 발급일, 유효기간 등을 관리하여야 한다.

② 정보보호 관리등급 취득자가 정보보호 관리등급 증명서의 분실, 기재내용 변경 등의 사유로 추가 또는 변경하여 발급을 받으려는 경우 별지 제5호 서식의 정보보호 관리등급 증명서 추가·변경 발급 신청서를 한국인터넷진흥원에 제출하여야 한다.

한국인터넷진흥원은 다음 각 호의 어느 하나에 해당하는 사유를 발견한 경우에는 부여한 등급을 취소하여야 한다.

1. 법 제47조의5제4항의 각 호에 해당하는 사항을 발견한 경우

등급의 표시 및 홍보는 [별표 3]과 같다.

한국인터넷진흥원은 과학기술정보통신부와 협의하여 정보보호 관리등급 부여에 관한 업무 지침을 마련하여 시행할 수 있다. 이 경우 한국인터넷진흥원은 인터넷홈페이지 등에 해당 지침을 공개하여야 한다.

「훈령·예규 등의 발령 및 관리에 관한 규정」(대통령훈령 제334호)에 따라 이 고시에 대하여 2017년 1월 1일 기준으로 매 3년이 되는 시점(매 3년째의 12월 31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.