해사 사이버안전 관리지침

이 지침은 선박운항을 위협하는 해사 사이버 공격으로부터 선박운항시스템 등을 보호하고, 선박 및 사업장의 효율적인 해사 사이버안전 관리 지원을 목적으로 한다.

이 지침에서 사용하는 용어의 뜻은 다음과 같다.

1. "해사 사이버안전"이란 해사 사이버 공격으로부터 선박 운항에 필요한 시스템(이하 "선박운항시스템"이라 한다)을 보호함으로써 선박운항시스템과 정보의 기밀성ㆍ무결성ㆍ가용성 등 안전성을 유지하는 상태를 말한다.

2. "해사 사이버 공격ㆍ위협"이란 해킹, 컴퓨터 바이러스, 서비스 거부, 전자기파 등 전자적 수단으로 선박운항시스템 또는 이와 관련된 정보시스템을 침입ㆍ교란ㆍ마비ㆍ파괴하거나 정보를 위조ㆍ변조ㆍ훼손ㆍ훔치는 행위 및 그와 관련된 위협을 말한다.

3. "해사 사이버안전 관리체계"란 선박운항과 관련한 사이버 위험성을 분별ㆍ분석ㆍ평가하여 사이버 위험성을 수용ㆍ회피ㆍ전이ㆍ완화 조치하는 절차를 말한다.

4. "선박소유자"란 「해상교통안전법」 제46조제2항에 따라 안전관리체제를 수립ㆍ시행하여야 하는 선박소유자(같은 조 제4항에 따라 안전관리체제의 수립ㆍ시행을 위탁한 경우에는 위탁받은 자를 말한다)를 말한다.

① 이 지침은 「해상교통안전법」 제46조에 따른 안전관리체제를 수립하여 시행하는 선박 및 사업장에 적용한다.

② 다른 법령에 특별한 규정이 있는 경우를 제외하고는 이 지침에서 정하는 바에 따른다.

① 해양수산부장관은 해사 사이버안전 확보를 위하여 필요한 대책을 수립하여 시행할 수 있다.

② 해양수산부장관은 해사 사이버 안전관리를 위해 필요한 전문기술인력 확보, 교육프로그램의 개발, 전문인력 양성 등 필요한 조치를 마련할 수 있다.

③ 해양수산부장관은 해사 사이버 공격ㆍ위협에 대비하여 선박운항시스템 보호 및 해사 사이버안전 업무수행에 필요한 전략ㆍ기술을 연구ㆍ개발하고, 선박 및 사업장 등에 보급할 수 있다.

① 해양수산부장관은 해사 사이버안전 대책 시행과 해사 사이버 공격ㆍ위협에 대한 예방 및 대응지원을 위해 필요한 경우에는 선박 및 사업장에 대한 진단 또는 실태평가를 실시할 수 있다.

② 해양수산부장관은 사업장의 해사 사이버안전 관리 지원을 위해 선박운항시스템 또는 이와 관련된 정보시스템의 취약요소를 발굴ㆍ개선하는 등 선박 및 사업장의 사이버안전 관리에 대하여 상담할 수 있다.

③ 해양수산부장관은 제1항에 따른 진단 또는 실태평가 결과 취약요소가 발견된 경우에는 이를 시정하는 등 필요한 조치를 선박소유자에 요청할 수 있다.

① 해양수산부장관은 해사 사이버 공격ㆍ위협에 대한 예방 등을 위하여 선박운항과 관련한 종사자 교육을 직접 실시하거나 다른 기관ㆍ단체의 교육과정을 수강하도록 지정할 수 있다.

② 해양수산부장관은 해사 사이버 공격ㆍ위협에 효과적으로 대응하기 위하여 선박운항과 관련한 종사자가 참여하는 훈련을 실시할 수 있다.

해양수산부장관은 해사 사이버안전 관리업무 수행을 위하여 필요한 경우에는 관계 중앙행정기관, 지방자치단체, 「고등교육법」에 따른 대학, 「공공기관의 운영에 관한 법률」에 따른 공공기관, 「해상교통안전법」 제50조제1항에 따른 정부대행기관 등과 협력체계를 구축할 수 있다.

① 효과적인 해사 사이버안전 관리절차 수립ㆍ이행 등을 위해 고려해야 할 기능적 요소는 다음 각 호와 같다.

1. 식별: 해사 사이버안전 관리를 위한 인적자원의 역할 및 책임을 정의하고, 해사 사이버 공격ㆍ위협으로 선박운항에 위험을 줄 수 있는 시스템, 자산, 데이터 및 기능을 확인

2. 보호: 해사 사이버 공격ㆍ위협으로부터 선박운항시스템을 보호하고, 위험 통제절차와 방안, 해사 사이버 사고에 대비한 비상계획을 구현

3. 탐지: 해사 사이버 사고를 알아내는데 필요한 활동을 개발하고 구현

4. 대응: 해사 사이버 사고로 인해 손상된 선박운항 및 서비스에 필요한 시스템을 복원하기 위한 활동과 계획을 개발하고 구현

5. 복구: 해사 사이버 사고로 영향을 받은 선박운항시스템을 백업(backup)하고 복원하는 조치

② 선박소유자는 해사 사이버안전 관리의 기능적 요소들을 해사 사이버안전 관리체계에 연속적으로 적절하게 통합되도록 관리해야 한다.

선박소유자가 해사 사이버안전 조직을 구성하는 경우에는 사업장의 모든 직원과 선박의 선원까지 관리조직의 모든 수준을 고려해야 한다.

① 선박소유자는 효과적인 해사 사이버안전 관리를 위해서 취약시스템을 분별하여 알아보고, 목록 작성 등 자산관리를 위한 조치를 할 수 있다.

② 선박의 주요한 취약시스템에는 선교(船橋) 시스템, 화물 취급 및 관리 시스템, 추진 및 기관관리 시스템, 동력제어 시스템, 접근통제 시스템, 여객 서비스 및 관리 시스템, 여객 공공 네트워크, 행정, 승무원 복지 시스템, 통신 시스템 등이 있다.

선박소유자는 효과적인 해사 사이버안전 관리체계 운영을 위해 선박 및 사업장의 특성에 따라 해사 사이버안전 관리업무를 분별하여 알아본 후 업무총괄자와 담당자를 지정하고, 업무담당자들의 책임과 의무 등의 내용을 문서화할 수 있다.

① 선박소유자가 해사 사이버 위험성을 평가하는 경우에는 주요 시스템에 대한 위협을 분별하여 알아보고, 해사 사이버 공격ㆍ위협의 발생빈도와 해사 사이버 공격ㆍ위협으로 인한 영향을 결합하여 위험성 수준을 결정할 수 있으며, 위험성 평가절차는 별표 1과 같다.

② 위험성을 평가하는 경우에는 해사 사이버 공격ㆍ위협의 종류는 의도된 행동(표적공격)과 의도되지 않은 행동(비표적공격)으로 구분할 수 있다.

③ 선박소유자가 해사 사이버안전 관리체계를 구축하는 경우에는 위험성 평가를 통해 확인된 위험성의 감소방안을 포함하도록 고려해야 한다. 이 경우 감소방안은 발생빈도를 줄이는 방안과 영향을 최소화하는 방안으로 구분할 수 있다.

① 선박소유자가 해사 사이버안전 관리체계를 구축하는 경우에는 선박운항시스템 등 주요 자산에 대한 보호조치를 고려해야 한다.

② 제1항에 따른 보호조치에는 사용자 계정 관리, 인증 및 접근통제 조치, 해사 사이버안전 인식제고 교육, 해사 사이버안전 자산의 유지보수 등이 있다.

③ 주요 자산에 대한 보호방안을 수립하는 경우에는 기술적 보안, 물리적 보안, 관리적 보안 방안으로 구분하여 수립할 수 있다.

선박소유자가 해사 사이버안전 관리체계를 구축하는 경우에는 선박운항시스템 등 주요 자산의 위험성 수준에 따른 적절한 탐지조치를 고려해야 한다.

① 선박소유자가 해사 사이버안전 관리체계를 구축하는 경우에는 해사 사이버 사고 대응을 위한 조치를 고려해야 한다.

② 제1항에 따른 대응조치에는 다음 각 호의 사항을 포함할 수 있다.

1. 해사 사이버 공격ㆍ위협에 대한 대응계획 또는 절차

2. 대응활동을 위한 내부 및 외부 소통ㆍ협력체계

3. 탐지ㆍ대응 활동 결과에 따른 조직 대응활동 개선조치

① 선박소유자가 해사 사이버안전 관리체계를 구축하는 경우에는 해사 사이버 공격ㆍ위협의 영향을 신속하게 복구하기 위한 조치를 고려해야 한다.

② 제1항에 따른 복구조치에는 다음 각 호의 사항을 포함할 수 있다.

1. 해사 사이버 공격ㆍ위협의 영향을 받는 시스템 또는 자산의 복구를 위한 비상계획 또는 절차

2. 복구활동을 위한 내부 및 외부 소통ㆍ협력체계

3. 복구활동 결과에 따른 복구계획 및 절차 개선

① 해사 사이버 공격ㆍ위협으로 인한 선박 운항불가 등 해양사고가 발생하거나 발생할 우려가 있는 경우에 선박소유자 등은 피해를 최소화하는 조치 후 그 사실을 지체 없이 별표 2에 따라 해양수산부장관에게 통보해야 한다.

② 해양수산부장관이 제1항에 따라 사고를 통보받은 경우에는 그 내용 등을 별표 2에 따라 관련 부서ㆍ기관 등에 전파ㆍ보고하고, 사고 대응 및 복구지원 조치 등을 할 수 있다.

③ 해양수산부장관은 해사 사이버 공격ㆍ위협으로 선박 운항불가 등의 피해가 발생한 사고에 대하여 필요한 경우에는 원인분석 및 피해 내용 확인 등을 위한 조사를 실시할 수 있다.

④ 해양수산부장관은 해사 사이버 공격ㆍ위협으로 인해 운항이 불가한 선박이 다른 선박의 항행안전을 방해할 우려가 있거나 다른 선박에 비슷한 해사 사이버 공격ㆍ위협 우려가 있는 경우에는 사고정보 등을 다른 선박과 사업장에 알려줄 수 있다.

① 선박소유자가 해사 사이버안전 관리체계를 구축하는 경우에는 이 지침 이외에 국제표준 및 산업표준의 요구사항을 활용할 수 있다.

② 제1항에 따른 국제표준 및 산업표준에는 다음 각 호의 지침 등이 포함될 수 있다.

1. 국제해사기구(IMO)의 「해상 사이버 위험관리 지침」(「GUIDELINES ON MARITIME CYBER RISK MANAGEMENT, MSC-FAL.1/Circ.3」)

2. 국제해운회의소(ICS), 국제해상보험연합(IUMI), 발틱국제해사협의회(BIMCO), 국제정유사해운포럼(OCIMF), 국제탱커선주협회(INTERTANKO), 국제건화물선주협회(INTERCARGO), 국제선박관리자협회(InterManager), 세계선사협의회(WSC) 및 슈퍼요트조선협회(SYBAss) 등에서 제작 및 배포하는 선상 사이버 보안지침

3. 사이버 복원에 대한 통합 국제선급협회(IACS) 권장사항

4. 국제표준화기구(ISO)와 국제전기기술위원회(IEC)가 공동 발행한 정보기술에 대한 ISO/IEC 27001 표준

5. 미국 국립표준기술연구소(National Institute of Standards and Technology)의 중요 기반 사이버 보안 개선을 위한 체제

③ 제2항의 국제표준 및 산업표준이 개정된 경우에는 개정된 기준을 적용할 수 있다. 다만, 해당 국제표준 및 산업표준이 폐지된 경우에는 대체기준 등을 적용할 수 있다.

해양수산부장관은 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 이 고시에 대하여 2024년 1월 1일 기준으로 매 3년이 되는 시점(매 3년째의 12월 31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 해야 한다.