정보통신망연결기기등 정보보호인증에 관한 고시

제1장 총칙

이 고시는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 "법"이라 한다) 제48조의6 및 같은 법 시행령(이하 "영"이라 한다) 제60조의3부터 제60조의9까지의 규정 및 같은 법 시행규칙(이하 "규칙"이라 한다) 제4조부터 제7조까지의 규정에 따라 정보통신망연결기기등의 정보보호인증에 필요한 사항을 정하는 것을 목적으로 한다.

이 고시에서 사용하는 용어의 정의는 다음과 같다.

1. "정보통신망연결기기등"이란 영 제36조의2에서 정한 기기ㆍ설비ㆍ장비 등을 말한다.

2. "정보통신망연결기기등 정보보호인증(이하 "정보보호인증"이라 한다)"이란 정보통신망연결기기등에 대하여 인증기관이 인증기준에 적합함을 승인하는 행위를 말한다.

3. "인증기관"이란 법 제48조6의 제1항 및 제6항에 따른 정보보호인증 업무를 수행하고 인증서를 교부하는 기관을 말한다.

4. "인증시험대행기관(이하 "시험대행기관"이라 한다)"이란 법 제48조의6제4항 및 영 제60조의7제3항에 따라 지정된 기관으로 정보보호인증 시험 업무를 대신하여 수행하는 기관을 말한다.

5. "인증신청인"이란 영 제60조의3에 따라 신청서 및 첨부자료(이하 "제출물"이라 한다)를 인증기관에 제출하면서 정보보호인증을 신청하는 자를 말한다.

6. "인증취득인"이란 법 제48조의6제1항에 따른 정보보호인증을 취득한 자를 말한다.

이 고시는 정보보호인증과 시험대행기관에 관한 업무에 적용된다.

제2장 인증의 구성

① 과학기술정보통신부는 정보보호인증과 관련된 전반적인 정책을 수립ㆍ시행한다.

② 인증기관은 인증기준 개발, 시험방안 마련, 시험결과 검증, 인증품질 관리, 인증 및 취소, 인증서 관리 등 업무를 수행하며, 이를 위해 필요한 경우 인증시험을 수행할 수 있다.

③ 인증위원회는 인증기관의 요청에 따라 인증기준 및 인증대상의 적합여부, 인증시험 결과 등에 대하여 심의한다.

④ 시험대행기관은 과학기술정보통신부장관이 필요한 경우 지정하며 정보통신망연결기기등이 인증기준에 적합한지 여부를 확인하는 시험을 대신하여 수행한다.

① 정보보호인증은 영 제36조의2에 따른 정보통신망연결기기등을 대상으로 한다. 다만, 신청제품이 인증대상에 해당되는지 여부는 망연결성, 기능적 구성, 기술의 발전 등을 고려하여 인증위원회의 심의를 거쳐 결정할 수 있다.

② 제1항에도 불구하고 다른 법령에 따라 정보보호 관련 인증ㆍ시험을 받는 정보통신망연결기기등은 인증대상에서 제외할 수 있다.

① 법 제48조의6제2항에 따른 인증기준은 별표 1과 같다.

② 인증기관은 인증유형 및 인증대상의 특성 및 운영환경을 고려하여 인증기준 내에서 인증시험항목을 조정할 수 있다. 이때, 인증기관은 인증신청인 및 시험대행기관과 협의하여야 한다.

③ 인증기관은 시험 완료 후에도 인증기준의 추가ㆍ보완이 필요하다고 인정하는 경우, 인증기준 내에서 인증기준의 추가ㆍ보완을 요청할 수 있으며, 이 경우 시험대행기관은 인증시험항목을 재조정하여 추가시험을 수행하여야 한다.

① 정보보호인증은 보안요구사항 수준에 따라 3가지 유형으로 구성되며 별표2와 같이 표시한다.

② 인증신청인은 인증유형을 선택하여 정보보호인증을 신청할 수 있다.

인증기관 및 시험대행기관은 인증심사의 공정성 및 독립성 확보를 위해 다음 각 호의 행위가 발생되지 않도록 노력하여야 한다.

1. 정당한 사유 없이 시험ㆍ인증절차, 인증기준 등의 일부를 생략하는 행위

2. 고의 또는 중대한 과실로 시험결과에 영향을 주는 행위

3. 인증신청인의 지식재산권 관련 정보를 불법적으로 이용하거나 제3자에게 유출하는 행위

4. 업무상 알게 된 인증신청인에 관한 정보를 정당한 이유 없이 이용하거나 유출하는 행위

5. 그 밖에 시험의 공정성 및 독립성을 훼손할 수 있는 행위

제3장 시험대행기관 관리

① 과학기술정보통신부장관은 법 제48조의6제4항에 따라 시험대행기관을 지정할 필요가 있는 때에는 지정대상 기관의 수, 업무의 범위, 신청방법 등을 관보 또는 인터넷 홈페이지에 20일 이상 공고하여야 한다.

② 영 제60조의7제2항에 따라 시험대행기관으로 지정받으려는 자는 다음 각 호의 서류를 과학기술정보통신부장관에 제출하여야 한다.

1. 별지 제1호 서식의 시험대행기관 지정 신청서

2. 시험대행기관 준수사항 서약서

3. 시험대행기관 현황 및 운용계획서

4. 별표 3의 인증시험대행기관 지정기준 세부사항을 충족함을 증빙하는 서류

① 과학기술정보통신부장관은 영 제60조의7제2항에 따라 시험대행기관의 지정을 신청한 자(이하 "지정신청인"라 한다)를 심사할 때에는 서류심사, 업무수행능력심사, 현장심사를 수행한다.

② 서류심사는 지정신청인이 제출한 서류가 별표 3의 인증시험대행기관 지정기준 세부사항을 충족하는지 여부를 심사한다.

③ 업무수행능력심사는 과학기술정보통신부장관이 모의시험 대상제품을 선정하고 지정신청인이 수행한 모의시험 결과물을 심사한다. 지정신청인은 모의시험을 요청받은 날부터 30일 이내에 모의시험을 수행한 결과물을 과학기술정보통신부장관에 제출하여야 한다.

④ 현장심사는 지정신청인의 업무수행 현장에 방문하여 시험공간 및 시험환경을 심사한다.

⑤ 과학기술정보통신부장관은 제3항에 따른 결과물을 접수한 날로부터 30일 이내에 서류심사, 업무수행능력심사, 현장심사 결과를 검토하여 시험대행기관 지정 여부를 최종 결정한다. 이때, 과학기술정보통신부장관은 필요에 따라 시험대행기관 지정신청인에 제출서류의 보완 요청을 할 수 있다.

① 영 제60조의7제5항에 따라 시험대행기관으로 재지정을 받으려는 자는 지정 유효기간이 끝나기 전에 다음 각 호의 서류를 과학기술정보통신부장관에 제출하여야 한다. 이 경우 재지정의 신청에 대한 처리결과를 통지받을 때까지는 그 지정의 효력이 계속되는 것으로 본다.

1. 별지 제1호 서식의 시험대행기관 지정 신청서

2. 시험대행기관 준수사항 서약서

3. 시험대행기관 현황 및 운용계획서

4. 별표 3의 인증시험대행기관 지정기준 세부사항을 충족함을 증빙하는 서류

② 과학기술정보통신부장관은 시험대행기관 재지정 신청을 받았을 때에는 제10조에 따른 심사절차를 수행한다. 이때, 제10조제3항의 모의시험은 인증시험을 수행한 결과물로 대체하여 심사한다.

③ 시험대행기관이 재지정을 신청하지 않고 유효기간이 경과한 때에는 시험대행기관 지정의 효력은 상실된다.

① 시험대행기관은 매년 1월 31일까지 영 제60조의8제1항에 따른 보고서를 과학기술정보통신부장관에 제출하여야 한다.

② 시험대행기관은 인력변동 사항이 발생한 경우에는 15일 이내에 과학기술정보통신부장관에 보고하여야 한다.

③ 과학기술정보통신부장관은 제8조 및 제30조에 위배되는 중대하고 심각한 고객 불만사항이 접수된 경우 시험대행기관에게 수시 점검을 실시할 수 있다.

제4장 인증신청 및 수수료 납부

인증신청인은 정보보호인증을 받기 위해 다음 각 호의 사항에 대하여 인증기관에 자문을 요청할 수 있다.

1. 정보보호인증기준 및 정보보호인증시험 절차

2. 정보보호인증 신청을 하고자 하는 인증유형 및 인증기준, 수수료 등

① 인증신청인은 영 제60조의3제1항에 따른 서류와 규칙 별지 제3호 서식의 신청서를 작성하여 인증기관에 제출하여야 한다.

② 인증기관은 정보보호인증 신청서 및 제출물이 누락되거나 미비한 경우 인증신청인에 추가설명 및 보완을 요청할 수 있으며, 인증신청인이 요청을 이행하지 않은 경우 신청을 거부할 수 있다.

③ 인증기관은 신청서 및 제출물의 검토 후 이상이 없으면, 신청서를 접수한다.

① 인증기관은 다음 각 호의 사항을 고려하여 시험대행기관에 정보보호인증 시험을 의뢰한다.

1. 인증대상 정보통신망연결기기의 주요특징

2. 인증대상 정보통신망연결기기 시험 난이도 및 시험역량

3. 시험장비 및 도구 등 시험환경, 가용인력, 일정계획 이행 달성도

4. 기타 인증기관이 필요하다고 인정한 사항

② 인증기관은 시험대행기관에 신청서 및 제출물을 전달한다.

③ 시험대행기관은 인증기관으로부터 받은 신청서 및 제출물을 확인하고 시험제출물 목록으로 관리한다.

④ 시험역량, 시험일정, 비용 등 시험대행기관의 사정에 따라 제1항에 따른 정보보호인증시험 의뢰가 이루어지지 못한 경우 인증기관이 정보보호인증시험을 직접 수행할 수 있다.

① 인증기관은 다음 각 호의 사항을 고려하여 정보보호인증시험 단위업무 소요기간을 정의한다.

1. 정보통신망연결기기등의 특징 및 난이도

2. 신청등급 및 인증기준 항목 총 개수

3. 정보보호인증시험 세부일정

② 영 제60조의5에 따라 수수료를 산정할 때에는 엔지니어링산업 진흥법 제31조제2항의 「엔지니어링 사업대가의 기준」을 적용하여 직접인건비, 직접경비, 제경비 및 기술료로 구분한다. 이때, 직접인건비는 소프트웨어진흥법 시행령 제38조에 의한 「소프트웨어기술자의 인건비 기준」를 준용 할 수 있으며 제1항에서 정의한 소요기간을 기반으로 산정한다.

③ 인증기관은 인증신청인이 각 호의 사항 중 어느 하나에 해당하는 경우 수수료를 조정할 수 있다. 다만, 다음 1호에 해당하는 경우 과학기술정보통신부장관은 수수료를 감면하거나 그에 상응한 지원을 할 수 있다.

1. 「중소기업기본법」제2조에 따른 중소기업에 해당되는 경우

2. 고도의 시험방법, 인증신청인의 귀책사유 등으로 시험기간 연장이 필요한 경우

3. 그 밖에 신청인과 협의하여 수수료 조정이 필요하다고 판단되는 경우

인증신청인은 인증신청 시 수수료를 청구 받은 날부터 인증시험 시작일 이전까지 납부하여야 하며, 수수료를 납부하지 않은 경우 인증기관은 시험 및 인증을 실시하지 아니할 수 있다.

제5장 시험업무 수행

① 인증기관은 정보보호인증 시험의 전문성 및 시험결과의 품질 유지를 위해 정보보호인증 시험전문인력을 양성 및 관리할 수 있다.

② 시험대행기관은 정보보호인증시험 수행 시 정보보호인증 시험전문인력을 활용할 수 있다.

① 시험대행기관은 시험개요, 시험도구, 시험방법 등을 포함하는 시험계획서를 작성한다. 이때, 인증대상 정보통신망연결기기등이 설치된 현장에서 시험을 실시할 필요가 있는 경우 인증신청인과 현장시험 방법 및 일정을 협의하여 시험계획서에 포함하여 작성한다.

② 시험대행기관은 시험계획서를 인증기관에 제출하여 검토를 받고 인증기관이 미비점을 발견하여 보완을 요청하는 경우 시험계획서를 수정ㆍ보완하여야 한다.

③ 시험대행기관은 인증기관의 시험계획서 검토가 완료되면 시험에 착수하고 착수일을 인증신청인에 통보한다.

① 시험대행기관은 제19조제1항에 따른 시험계획서를 바탕으로 별표 1의 인증기준에 적합한지를 확인하는 시험을 수행하고 시험결과를 기록한다.

② 인증신청인은 시험대행기관이 시험업무를 수행할 수 있도록 다음 각 호의 제출물을 제출하고 인증대상 정보통신망연결기기의 시험환경을 구성할 수 있도록 협조하여야 한다.

1. 정보보호인증 대상 시험용 정보통신망연결기기

2. 시험대행기관의 시험제출물 이용 동의서

③ 시험대행기관은 시험결과에 따라 인증신청인에게 인증대상 정보통신망연결기기의 보안기능에 대한 수정ㆍ보완을 요청할 수 있다.

④ 인증신청인은 시험대행기관으로부터 시험에 필요한 사항에 대한 수정ㆍ보완을 요청받은 사항에 대해 정해진 기간 내에 보완조치를 이행해야 한다. 이때, 시험대행기관의 수정ㆍ보완 요청에 대한 이의가 있는 경우 인증기관에 조정요청을 할 수 있다.

⑤ 인증기관은 인증신청인, 시험대행기관이 참석하는 회의를 개최하여 신청기관의 이의제기 사항에 대해 해결방안을 논의할 수 있다. 이때, 기술적 전문성 및 객관성이 필요하다고 판단하는 경우 비밀유지를 서약한 외부전문가를 회의에 참석시킬 수 있다.

시험대행기관은 정보보호인증 시험 과정에서 외부 전문가의 자문이 필요하거나 일부 시험을 외부기관에 의뢰가 필요하다고 판단하는 경우 인증기관 및 인증신청인과 협의하여야 한다.

① 시험대행기관은 다음 각 호의 사유가 발생한 경우에는 정보보호인증 시험을 거부하거나 중단할 수 있다. 시험을 거부하거나 중단한 경우에는 그 사유를 지체 없이 인증기관에 통보하여야 한다.

1. 인증신청인의 귀책사유로 인해 시험대행기관이 시험을 계속 진행하기 곤란하다고 판단하는 경우

2. 인증신청인이 시험대행기관의 수정ㆍ보완 요청을 특별한 사유 없이 거부하거나 정해진 기간 내에 수정ㆍ보완을 완료하지 않은 경우

3. 인증신청인이 자발적으로 정보보호인증시험을 철회한 경우

4. 시험제출물에 대한 지적재산권 침해의 소지가 있다고 판단한 경우

5. 기타 인증기관이 중단할 사유가 충분하다고 판단한 경우

② 인증기관은 제1항에 따른 정보보호인증시험 중단 사실을 인증신청인에 통보하고 계약기간 잔여일수 및 시험진행률 등을 고려하여 수수료를 반납처리하고 시험을 중단한다.

① 시험대행기관은 시험 완료 후 시험결과가 기록된 정보보호인증시험 결과보고서를 인증기관에 제출하여야 한다.

② 시험대행기관은 인증기관이 재시험 또는 정보보호인증시험 결과보고서의 보완을 요청한 경우 보완하여야 한다.

③ 시험대행기관은 인증기관의 정보보호인증시험 결과보고서 검토가 완료되면 인증신청인에게 정보보호인증시험 종료 사실을 통보하고 시험용 정보통신망연결기기를 반납하여야 한다.

제6장 인증서 발급 및 사후관리

① 인증기관은 시험대행기관이 정보보호인증시험 결과보고서를 제출하면 시험결과가 인증기준에 적합한지, 시험 절차 및 방법 등을 준수하였는지 검토한다.

② 인증기관은 제1항에 따른 검토결과가 미비한 사항에 대해 시험대행기관에 수정ㆍ보완을 요청할 수 있다.

③ 인증기관은 정보보호인증을 위해 인증위원회 개최가 필요하다고 판단되는 경우 인증위원회를 개최할 수 있다.

① 인증기관은 제24조의 검토결과가 적합으로 판정된 경우 그 결과를 인증신청인에게 통보하고 규칙 별지 제4호 서식의 정보보호인증서를 발급한다.

② 영 제60조의4제1항에 따라 정보보호인증의 유효기간은 3년이며, 2년의 범위에서 한 차례 그 기간을 연장할 수 있다.

③ 인증기관은 발급된 인증서를 관리하고 인증현황을 인증정보를 제공하는 홈페이지에 공개한다.

① 인증기관은 영 제60조의6에 따라 인증 유효기간 이내라도 다음 각 호의 사안이 발생하는 경우 시험대행기관 및 인증취득인에게 필요한 조치를 요청할 수 있다.

1. 인증을 받은 기기에 취약점이 발견된 경우

2. 인증을 받은 기기에 보안기능의 추가 또는 보완이 필요하다고 판단한 경우

3. 신규 운영체제의 등장 등 인증제품의 안정적인 동작에 영향을 미칠 수 있는 중대한 운영환경 취약점이 발생한 경우

② 인증기관은 필요시 인증제품에 대한 새로운 취약성, 인증내용 오ㆍ남용 여부 등을 점검하기 위하여 시험대행기관 및 인증취득인의 협조를 요청할 수 있다.

③ 인증기관은 점검결과 문제점이 발견될 경우에는 이를 인증취득인에 통보하고 조사결과를 통보받은 인증취득인은 특별한 사유가 없는 한 30일 이내에 보완조치하고 그 결과를 인증기관에 확인을 요청하여야 한다.

④ 인증기관은 제1항에 따른 취약점의 보완 요청에도 불구하고 특별한 사유 없이 취약점을 보완하지 않아 제6조의 인증기준에 부합하지 아니한 경우에는 법 제48조의6제3항제2호에 따라 정보보호인증을 취소하거나 취약점이 보완되기까지 인증의 효력을 정지할 수 있다

⑤ 인증기관은 인증취득인이 취약점을 보완하지 않는 경우 그 사실을 인터넷 홈페이지에 공고할 수 있다.

① 인증신청인 또는 인증취득인이 시험ㆍ인증 결과 또는 인증 취소처분에 관하여 이의가 있는 때에는 그 결과를 통보받은 날부터 15일 이내에 이의신청을 할 수 있다.

② 인증기관은 제1항에 따른 이의신청이 이유가 있다고 인정되는 경우에는 인증위원회에 재심의를 요청할 수 있다.

③ 인증기관은 이의신청에 대한 처리결과를 이의신청인에게 통지하여야 한다.

제7장 운영 일반사항

인증기관은 다음 각 호의 사항을 심의하기 위하여 인증위원회를 설치ㆍ운영할 수 있다.

1. 인증시험 및 사후관리 결과의 적합여부

2. 인증기준, 인증대상, 인증범위 등의 적합여부

3. 인증의 취소 및 이의신청에 관한 사항

4. 그 밖에 정보보호인증과 관련하여 인증기관이 필요하다고 인정하는 사항

① 인증기관은 정보통신망연결기기의 정보보호에 관한 학식과 경험이 풍부한 전문가 중에서 인증위원 인력풀을 구성ㆍ운영하여야 한다.

② 인증기관은 제28조에 따른 심의를 위하여 제1항에 따라 구성된 인력풀에 포함된 위원 중 6명 이내로 인증위원회를 구성할 수 있다.

③ 인증기관은 다음 각 호의 어느 하나와 관련된 인증위원을 구성에서 배제하여야 하며, 인증위원은 다음 각 호의 어느 하나와 관련된 사실을 안 경우에는 즉시 해당 사항에 대한 심의를 회피하여야 한다.

1. 위원 본인과 직접적인 이해관계가 있는 사항

2. 위원 본인과 친족관계에 있거나 있었던 자와 관련된 사항

3. 감사ㆍ수사ㆍ조사에 관여한 사항

인증위원회 위원, 정보보호인증 및 시험인력 등 시험ㆍ인증 업무에 종사하는 자 또는 종사하였던 자는 다음 각 호의 행위를 할 수 없다.

1. 정당한 권한 없이 또는 허용된 권한을 초과하여 업무상 지득한 비밀에 관한 정보를 누설하거나 이를 업무 목적 이외에 사용하는 행위

2. 인증에 관련하여 금전, 금품, 향응, 이익 등을 부당하게 수수하는 행위

① 인증기관 및 시험대행기관은 비밀유지 준수사항에 따라 인증신청인의 제출물을 안전하게 관리하여야 한다.

② 인증기관 및 시험대행기관은 제출물 및 정보보호인증시험 산출물을 전달하는 경우 외부에 노출되지 않도록 조치하여야 한다.

인증기관은 인증 및 시험 업무를 위해 필요한 경우 법령의 범위 내에서 인증 및 시험에 관한 지침을 마련하여 시행할 수 있다.

과학기술정보통신부장관은 정보통신망연결기기등 정보보호인증을 받은 제품 등의 수요를 창출하기 위해 다음 각 호에서 정하는 기관에 우선구매 등을 요청할 수 있다.

1. 중앙행정기관

2. 지방자치단체

3. 「공공기관의 운영에 관한 법률」 제5조에 따른 공기업 및 준정부기관

4. 그 밖에 과학기술정보통신부장관이 구매촉진을 위하여 필요하다고 인정하는 기관

과학기술정보통신부장관은 정보통신망연결기기등 정보보호인증을 받은 자에게 기술 및 홍보 등을 지원할 수 있다.

과학기술정보통신부장관은「행정규제기본법」 및 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 이 고시에 대하여 2022년 1월 1일을 기준으로 매3년이 되는 시점(매 3년째의 12월 31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.