정보보호 전문서비스 기업 지정 등에 관한 고시

이 고시는 「정보보호산업의 진흥에 관한 법률」 제23조 및 같은 법 시행규칙 제8조부터 제13조까지에 따라 "정보보호 전문서비스 기업"의 지정 및 사후관리 등에 필요한 세부사항을 정함을 목적으로 한다.

이 고시에서 사용하는 용어의 뜻은 다음과 같다.

1. "정보보호 컨설팅"이란 정보통신시설 및 시스템을 안전하게 유지하기 위하여 보호대책 수립, 위험요인평가, 모의해킹, 마스터플랜 수립 등을 수행하는 일련의 과정을 말한다.

2. "컨설팅 수행실적"이란 제1호에 대한 수행실적을 말하며, "주요정보통신기반시설 컨설팅 수행실적"이란「정보보호산업의 진흥에 관한 법률」(이하 "법"이라 한다) 제23조제1항 제1호 및 제2호의 업무를 말한다. 다만, 관제, 장비 납품 등 부가적인 실적은 실적금액 산정 시 이를 제외한다.

3. "최근"이라 함은 지정 또는 사후관리 신청 마감일 직전 분기 말을 기준으로 정한다.

「정보보호산업의 진흥에 관한 법률 시행규칙」(이하 "규칙"이라 한다) 제10조 제1항 제7호의 "과학기술정보통신부장관이 정하여 고시하는 서류"라 함은 별표 1의 각 호와 같다.

① 규칙 제10조제1항 제4호에 따른 기술인력 보유현황은 별지 제2호 서식에 의한다.

② 규칙 제10조제1항 제5호에 따른 조세에 관한 신고서 또는 회계서류는 지정신청 직전의 결산회기를 기초로 작성된 것이어야 한다.

③ 규칙 제10조제1항 제6호에 따른 설비 보유현황은 별지 제4호 서식에 의한다.

④ 규칙 제10조제1항 제7호 및 제3조에 따른 심사서류의 제출서식은 별지 제1호부터 별지 제8호 서식에 의한다.

정보보호 전문서비스 기업 지정절차는 별표 4와 같다.

① 과학기술정보통신부장관은 규칙 제11조제3항에 따른 기술심의위원회를 구성하여 다음 각 호의 지정 및 사후관리 심사업무를 지원하게 할 수 있다.

1. 별표4 또는 별표5에 따른 서류심사, 현장실사, 종합심사

2. 그 밖에 전문가의 검토와 판단이 요청되는 업무(규칙 별표1의 기술인력의 자격확인 및 별표1의 컨설팅 수행실적의 사실 확인을 포함한다)

② 기술심의위원회는 지정심사에 대한 공정성과 신뢰성 확보를 위해 다음 각 호의 자격을 가진 자 중에서 과학기술정보통신부장관이 위촉하는 15인 이내의 위원으로 구성한다.

1.「고등교육법」제2조 제1호·제2호 또는 제5호에 따른 학교나 공인된 연구기관에서 부교수 이상의 직 또는 이에 상당하는 직에 있거나 있었던 자로 정보보호 연구경력이 10년 이상인 자

2. 정보보호 관련 업체 혹은 단체(협회, 조합)에서 10년 이상 정보보호기술 분야에 근무한 자

3. 변호사나 공인 회계사의 자격이 있는 자

4. 그 밖에 정보보호에 관한 학식과 경험이 풍부한 자

규칙 제8조 제1호 외에 수학과 및 산업공학과, 경영정보학과를 포함하며 정보통신 관련 학과 여부가 불분명한 경우에는 기술심의위원회에서 이를 판단한다.

규칙 제8조 제1호의 규정에 따른 규칙 별표 1 비고 제4호의 "정보보호와 밀접한 관계가 있는 국내 또는 외국의 기술자격으로 과학기술정보통신부장관이 정하는 자격"이란 다음 각 호의 자격을 말한다.

1. 정보보안기사, 정보보안산업기사

2. 정보보호전문가(SIS: Specialist for Information Security)

3. 정보보호관리체계(ISMS: Information Security Management System) 인증심사원

4. 개인정보보호관리체계(PIMS: Personal Information Security Management System) 인증심사원

5. 정보시스템감리사

6. 공인정보시스템보호전문가(CISSP: Certified Information Systems Security Professional)

7. 공인정보시스템감사사(CISA: Certified Information Systems Auditor)

규칙 제8조 제4호에 따라 "과학기술정보통신부장관이 정하여 고시하는 업무수행능력 심사 평가방법에 따라 실시하는 심사에서 기준 점수 이상"이라 함은 총점 100점을 만점으로 하여 70점 이상을 득점한 경우를 말한다.

규칙 제8조 제4호에 따라 "과학기술정보통신부장관이 정하여 고시하는 업무 수행능력 심사 평가방법"에 따른 평가표는 별표 2와 같다.

① 컨설팅 수행실적으로 인정을 받기 위해서는 다음 각 호의 요건을 충족하여야 한다.

1. 전자적 침해행위에 대비하기 위한 정보통신시설 및 시스템의 취약점 분석·평가와 이에 기초한 정보보호대책의 제시가 프로젝트의 주된 목적물이어야 한다.

2. 컨설팅의 대가가 1천만원 이상이어야 한다.

3. 제1호 및 제2호의 내용이 계약서 및 세금계산서 등 증빙자료를 통하여 분명하게 확인되어야 한다.

② 공동수급 및 하도급으로 수행한 경우에는 계약금액 비율로 실적을 배분한다.

규칙 제8조 제5호 라목에서 "과학기술정보통신부장관이 정보보호 전문서비스 기업의 관리를 위하여 필요하다고 인정하여 고시하는 보안대책"이라 함은 별표 3와 같다.

① 과학기술정보통신부장관은 규칙 제13조 제1항에 따라 정보보호 전문서비스 기업이 규칙 제8조에 따른 지정기준을 충족하는지와 법 제23조 및 규칙 제8조부터 제15조까지의 준수 여부를 사후관리 심사한다. 다만, 규칙 제8조제4호는 별표 2의 업무수행능력 심사 평가표 중 사후관리 심사 세부 평가 기준에 따른 심사에서 70점 이상을 받을 것

② 사후관리 심사를 수행하는 자는 규칙 제8조를 확인하는데 필요한 서류 및 규칙 제10조제1항에 따라 제출된 서류, 기술인력 변동 신고내역 등을 확인할 수 있다.

③ 제1항에 따른 사후관리 심사는 지정일 또는 직전 사후관리 결과통보일 기준으로 매년 실시한다.

과학기술정보통신부장관은「이 고시에 대하여 2017년 1월 1일 기준으로 매3년이 되는 시점(매 3년째의 12월 31일까지를 말한다.)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.