정보보호제품 성능평가 운영지침

제1장 총칙

이 지침은「정보보호산업의 진흥에 관한 법률」(이하 "법”이라 한다) 제17조 및 같은 법 시행령(이하 "시행령”이라 한다) 제10조에 따른 정보보호제품의 성능평가 실시에 필요한 성능평가의 방법, 절차 및 성능평가기관의 지정 등에 필요한 세부사항을 정하는 것을 목적으로 한다.

이 지침에서 사용하는 용어의 정의는 다음과 같다.

1. "정보보호제품”이란 정보보호를 위한 기술이 적용된 제품을 말한다.

2. "정보보호제품 성능평가”(이하 ‘성능평가’라 한다)란 정보보호제품을 대상으로 성능평가 기준을 절차에 따라 종합평가하여 확인하는 행위를 말한다.

3. "성능평가 기준”이란 성능평가를 수행하기 위하여 과학기술정보통신부장관이 정한 정보보호제품 평가항목을 말한다.

4. "성능평가기관”이란 법 제17조제2항에 따라 성능평가 업무를 수행하도록 지정받은 기관을 말한다.

5. "기술심의위원회”란 성능평가의 세부 기준 및 결과 등을 심의·의결하는 기관을 말한다.

6. "성능평가 제품”이란 성능평가기관으로부터 성능평가 결과서를 교부받은 제품을 말한다.

7. "제출물”이란 신청인이 성능평가를 받기 위하여 성능평가기관에 제출하는 제품 및 관련문서 등을 말한다.

8. "성능평가 결과서”란 성능평가기관이 성능평가 수행결과를 종합하여 작성한 문서를 말한다.

제2장 성능평가 체계

성능평가 관련기관은 과학기술정보통신부장관, 한국인터넷진흥원, 성능평가기관, 기술심의위원회로 구분한다.

① 과학기술정보통신부장관은 다음 각 호의 업무를 수행한다.

1. 성능평가 운영지침 고시 및 성능평가 수행에 관한 국가정책 결정

2. 성능평가 기준 등의 수립 및 시행

3. 성능평가기관 지정 및 취소

4. 성능평가기관이 수행하는 성능평가 관련 업무 감독 및 보안관리 실태점검

② 과학기술정보통신부장관은 제1항제2호에서 제4호까지의 업무 수행을 위해 필요한 기술적 사항의 검토, 서류 확인, 사실관계의 조사 등에 대한 업무를 한국인터넷진흥원이 대행하도록 할 수 있다.

① 한국인터넷진흥원은 다음 각 호의 업무를 수행한다.

1. 법 제17조제2항에 따른 성능평가기관 지정신청의 접수

2. 시행령 제10조제2항·제4항에 따른 성능평가기관 지정요건의 충족 여부 심사

3. 제4조제2항에 따른 과학기술정보통신부장관이 대행토록 한 업무

② 한국인터넷진흥원은 제1항제3호에 따른 업무 중 성능평가에 대한 기술적 사항의 검토를 위해 필요한 경우, 평가팀을 구성하여 성능평가를 할 수 있다.

성능평가기관은 다음 각 호의 업무를 수행한다.

1. 정보보호제품 성능평가 수행

2. 정보보호제품 성능평가 결과서 작성 및 제공

3. 성능평가 업무 수행에 관한 자체운영규정 수립 및 시행

① 한국인터넷진흥원은 다음 각 호의 사항을 심의·의결하기 위하여 제품 분류별 기술심의위원회를 구성·운영할 수 있다.

1. 법 제17조제4항 및 시행령 제10조제1항에 따른 성능평가 세부 기준의 적정성 여부

2. 성능평가 결과의 적정성 여부

3. 한국인터넷진흥원이 성능평가관련 심의·의결이 필요하다고 판단하는 사항

② 기술심의위원회는 위원장을 포함하여 10인 이내의 위원으로 구성하되, 위원은 학계, 산업체, 연구기관 등 정보보호분야에 학식과 경험이 있는 전문가를 대상으로 구성한다. 다만, 제8조제4항에 따라 개발된 성능평가 세부기준을 심의하고자 하는 경우 국가정보원장이 선정한 전문가를 위원으로 포함하여 구성한다.

③ 위원은 한국인터넷진흥원장이 위촉하며, 위촉시 별지 제1호서식의 기술심의위원 위촉장을 수여한다.④ 위원의 임기는 2년으로 하고 연임할 수 있다.

제3장 성능평가 방법 및 절차

① 과학기술정보통신부장관은 시행령 제10조제1항에 따른 정보보호제품 성능평가 대상을 정하여 과학기술정보통신부와 한국인터넷진흥원의 인터넷 홈페이지에 게시하여야 한다.

② 과학기술정보통신부장관은 시행령 제10조제1항에 따른 정보보호제품의 제품분야별 평가 세부기준은 과학기술정보통신부와 한국인터넷진흥원의 인터넷 홈페이지에 게시하여야 한다.

③ 과학기술정보통신부장관은 한국인터넷진흥원장에게 제2항에 따른 제품분야별 평가 세부기준에 대해 사전에 기술심의위원회의 심의를 거치도록 할 수 있다.

④ 과학기술정보통신부장관은 전자정부법시행령 제69조제1항제1호의 안전성 검증 대상이 되는 정보보호제품의 성능평가 세부기준에 대해서는 국가정보원의 사전 동의를 거쳐야 한다.

① 성능평가를 받고자 하는 신청인은 별지 제2호서식의 정보보호제품 성능평가 신청서와 다음 각 호의 제출물을 성능평가기관에 제출하여야 한다.

1. 성능평가 신청 제품

2. 제품설명서

3. 사용자 취급설명서

② 성능평가기관은 신청인으로부터 성능평가 신청을 접수한 후 지체없이 성능평가신청 접수증을 신청인에게 발급하여야 한다.

③ 성능평가기관은 제출물의 내용에 미비점이 발견될 경우에는 신청인에게 보완을 요청할 수 있다.

④ 성능평가기관은 성능평가 신청 접수 후 7일 이내에 신청인과 평가계약을 체결하되, 제출물의 미비점 보완 요청이 이행되지 않을 경우에는 평가 계약체결을 거부할 수 있다.

① 성능평가기관은 성능평가 수행을 위해 별지 제3호서식의 정보보호제품 성능평가 수행계획서를 신청인과 협의하여 작성하고 평가계약을 체결한 날로부터 7일 이내에 한국인터넷진흥원에게 제출한다.

② 한국인터넷진흥원은 성능평가 수행계획서의 내용에 미비점이 발견될 경우에는 성능평가기관에게 보완을 요청할 수 있다.

① 성능평가기관은 성능평가 신청 제품을 성능평가 기준 및 절차에 따라 성능평가를 수행한다.

② 성능평가기관은 성능평가 신청 제품의 기능을 보완해야할 필요가 있다고 인정되는 경우에는 신청인에게 제출물 보완을 요청할 수 있다.

③ 성능평가기관은 성능평가 수행 중 평가결과의 객관성을 침해하지 않는 범위 내에서 신청인의 참여를 보장하여야 한다.

① 성능평가기관은 신청인과 체결한 평가계약서에 명시된 평가 중단 사유가 발생하는 경우 평가를 중단할 수 있다.

② 성능평가기관은 제1항에 따라 평가를 중단하고자 하는 경우 그 사유를 신청인과 한국인터넷진흥원에게 문서로 통보하고 일정 기한을 정하여 평가를 계속 진행시키기 위한 조치를 요청할 수 있다.

③ 성능평가기관은 신청인이 제2항에 따른 조치를 취하지 아니하는 경우 평가를 중단하고 평가계약을 해지한다.

① 성능평가기관은 성능평가 종료 후 10일 이내에 별지 제4호서식의 정보보호제품 성능평가 결과서를 한국인터넷진흥원에게 제출한다.

② 성능평가기관은 기술심의위원회가 평가결과의 적정성을 심의·의결하기 전에 신청인이 성능평가 결과서의 열람을 요구할 경우에는 이를 허용해야한다.

③ 성능평가 결과서에는 다음 각 호의 내용이 포함되어야 한다.

1. 성능평가 개요

2. 성능평가 제품 및 시험환경 소개

3. 성능평가 기준 및 결과

4. 특이사항

① 성능평가기관은 기술심의위원회에서 심의·의결된 성능평가 결과서를 신청인에게 제공한다.

② 부득이한 사유 등으로 위원회를 개최할 수 없거나 심의안건이 경미하다고 위원장이 판단할 경우에는 서면으로 심의·의결을 할 수 있다.

제4장 성능평가기관 지정 및 취소

법 제17조제2항, 시행령 제10조제2항에 따른 정보보호제품 성능평가기관의 지정요건은 별표 1과 같다.

① 법 제17조제2항, 시행령 제10조제2항에 따라 성능평가기관으로 지정을 받으려는 자는 별지 제5호서식의 정보보호제품 성능평가기관 지정 신청서와 다음 각 호의 서류를 과학기술정보통신부장관에 제출하여야 한다. 이 경우 지정 신청서 등의 접수처는 한국인터넷진흥원으로 한다.

1. 국제표준(ISO/IEC 17025)에 따른 국제공인시험기관 인정서 사본 1부

2. 정보보호제품 성능평가자 자격 증명서 사본 1부

3. 신원확인과 출입통제가 표기된 사무 및 시험공간 평면도 1부

4. 설비 목록서, 설비 관리대장 각 1부

5. 정관

6. 별표 2의 작성요령에 따라 작성한 기관 현황 및 운용계획서

7. 법인 등기사항 증명서 사본, 법인인감증명서 사본 각 1부

8. 제15조에 따른 성능평가기관 지정요건 확인을 위해 성능평가기관 지정 공고를 통해 별도로 제출을 요구하는 서류

② 과학기술정보통신부장관은 제1항에 따른 성능평가기관 지정신청서와 첨부서류가 미비하거나 기재사항이 누락된 경우에는 일정한 기간을 정하여 이를 보완하게 할 수 있다.

③ 제1항에 따라 지정 신청을 받은 과학기술정보통신부장관은 「전자정부법」 제36조제1항에 따른 행정정보의 공동이용을 통하여 법인 등기사항증명서를 확인하여야 한다.

④ 한국인터넷진흥원은 성능평가기관으로 지정받으려는 자가 제15조에 따른 지정요건을 충족하는지 여부에 대한 심사를 수행하고, 그 결과를 과학기술정보통신부장관에게 제출한다.

⑤ 과학기술정보통신부장관이 성능평가기관을 지정한 때에는 별지 제6호 서식의 정보보호제품 성능평가기관 지정서를 발급하여야 한다.

⑥ 과학기술정보통신부장관은 제3항에 따라 성능평가기관을 지정한 경우에는 다음 각 호의 사항을 과학기술정보통신부와 한국인터넷진흥원의 인터넷 홈페이지에 게시하여야 한다.

1. 성능평가기관의 명칭 및 소재지

2. 성능평가기관의 지정일 및 유효기간

⑦ 성능평가기관 지정의 유효기간은 4년으로 한다.

① 성능평가기관은 유효기간이 만료되기 3개월 이전까지 과학기술정보통신부장관에 재지정을 신청할 수 있다.

② 제1항에 따른 재지정의 신청절차는 제15조 및 제16조를 준용한다.

① 과학기술정보통신부장관은 제16조제5항에 따른 성능평가기관이 다음 각 호의 어느 하나에 해당하게 된 때에는 기술심의위원회의 심의를 거쳐 성능평가기관 지정을 취소할 수 있다.

1. 거짓이나 그 밖의 부정한 방법으로 성능평가기관의 지정을 받은 경우

2. 성능평가기관이 지정취소를 요청하거나 폐업한 경우

3. 제16조제1항에 따른 지정요건을 충족하지 못하게 된 경우

4. 고의 또는 중대한 과실로 사실과 다르게 평가결과를 산출한 경우

5. 신청인의 지적재산권 관련정보를 신청인의 동의없이 모회사, 자회사, 계열회사, 투자자, 채권자 등 제3자에게 유출한 경우

② 과학기술정보통신부장관은 제1항에 따라 성능평가기관의 지정을 취소한 경우에는 다음 각 호의 사항을 과학기술정보통신부와 한국인터넷진흥원의 인터넷 홈페이지에 게시하여야 한다.

1. 성능평가기관의 명칭 및 소재지

2. 성능평가기관의 지정 취소일

제5장 평가자의 자격 관리

평가자는 선임평가자, 주임평가자, 수습평가자로 구분하며, 평가자에 대한 최소 자격요건은 다음 각 호와 같다.

1. 선임평가자 : 주임평가자 자격 취득 후 성능평가 업무에 3년 이상 종사하고 총 9회 이상 평가수행에 참여한 자

2. 주임평가자 : 수습평가자 자격을 보유한 자로서 다음 각 목의 어느 하나에 해당하는 자

가. 성능평가 업무에 1년 이상 종사하고 총 3회 이상 평가수행에 참여한 자

나. 정보보호제품 보안성 평가 업무에 2년 이상 종사한 자

다. 성능계측장비를 이용한 성능시험 업무에 2년 이상 종사한 자

라. 보안취약점 분석 및 모의시험 업무에 2년 이상 종사한 자

3. 수습평가자 : 별표 3의 요건을 만족하는 자로서 한국인터넷진흥원 또는 한국인터넷진흥원이 지정하는 기관에서 평가자 양성교육 과정을 수료하고 시험에 합격한 자

① 제19조에 따른 평가자가 되려는 자는 다음 각 호의 모든 서류를 한국인터넷진흥원에 제출하여야 한다.

1. 별지 제7호서식 정보보호제품 성능평가자 자격확인 신청서

2. 최종학위증명서, 자격증 사본(해당시)

3. 별지 제8호서식 경력증명서(해당시)

4. 별지 제9호서식 기술실적증명서(해당시)

5. 별지 제10호서식 평가자 양성교육 합격 증명서(해당시)

6. 별지 제11호서식 평가자 자격 증명서(해당시)

② 한국인터넷진흥원은 제1항에 따른 평가자 자격신청 서류들을 검토하여 서류 보완 및 추가제출을 요청할 수 있다.

③ 한국인터넷진흥원은 평가자 자격의 적합 여부를 확인하여 통과한 자에게 별지 제11호서식의 정보보호제품 성능평가자 자격 증명서를 발급하여야 한다.

① 평가자의 자격 유효기간은 자격 부여를 받은 날로부터 3년으로 한다.

② 평가자는 특별한 사유가 없는 한 연 1회 이상 한국인터넷진흥원 주관으로 실시하는 성능평가관련 보수교육 과정을 이수하여야 한다. 다만, 부득이한 사유로 보수교육을 받지 못한 경우에는 한국인터넷진흥원이 인정하는 대체교육을 받아야 한다.

③ 한국인터넷진흥원은 매 3년마다 평가자에 대해 성능평가 관련 기준 및 절차 준수여부, 보수교육 이수여부, 성능평가 참여실적 등을 심사하여 평가자 자격의 연장 여부를 결정한다. 이 경우 평가자의 자격은 제1항에 따른 자격유효기간 종료일의 익일부터 3년간 연장된다.

① 한국인터넷진흥원은 평가자가 다음의 각호에 해당하는 경우, 평가자 자격을 취소할 수 있다.

1. 평가자 자격 신청 시 제출한 서류가 허위인 경우

2. 고의 또는 중대한 과실로 사실과 다르게 평가결과를 산출한 것으로 기술심의위원회가 의결한 경우

3. 성능평가와 관련된 부당한 금전, 금품 등을 수수한 경우

4. 성능평가 수행 중 취득한 정보를 누설하는 경우

5. 제21조에 따른 자격 유지 기준을 충족하지 못한 경우

제6장 평가 비용

① 성능평가 비용 산정기준은 별표 4와 같다.

② 성능평가기관은 제1항에 따른 산정기준 및 산정기준 항목별 세부 산출기준을 공지하여야 한다. 다만, 「정보보호산업의 진흥에 관한 법률」제19조에 따른 우수 정보보호기업으로 지정된 경우 평가비용 감면 등 필요한 지원을 할 수 있다.

③ 성능평가기관이 성능평가 비용을 산정할 때에는 제2항에 따라 공지한 기준을 반영하되 시험기간 등 성능평가 비용 산정을 위한 세부 조건은 신청인과 협의하여 정한다. 이 경우 성능평가기관은 산정된 성능평가 비용을 계약의 내용에 포함하여야 한다.

제7장 보칙

① 과학기술정보통신부장관은 성능평가기관의 보안관리 실태점검을 연1회 이상 실시할 수 있다.

② 과학기술정보통신부장관은 한국인터넷진흥원에게 제1항에 따른 성능평가기관(한국인터넷진흥원을 제외한다)의 보안관리 실태점검을 실시하고, 그 결과를 보고하도록 할 수 있다.

① 신청인은 성능평가 결과서의 내용을 사실과 다르게 변경하여 이용하여서는 아니된다.

② 성능평가기관은 제출물을 성능평가 업무 이외의 목적으로 외부에 유출하거나 공개하여서는 아니된다.

과학기술정보통신부장관은「이 고시에 대하여 2018년 1월 1일 기준으로 매3년이 되는 시점(매 3년째의 12월 31일까지를 말한다.)」마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.