산업통상부 소관 주요정보통신기반시설 보호지침

이 지침은 「정보통신기반보호법」 제10조에 따라 산업통상부 장관이 관할하는 주요정보통신기반시설을 각종 전자적 침해행위로부터 보호하기 위하여 해당 주요정보통신기반시설 관리기관의 장이 준수해야 할 정보보호에 관한 구체적 사항에 대해 정함을 목적으로 한다.

① 이 지침에서 사용하는 용어의 정의는 다음과 같다.

1. "주요정보통신기반시설 관리기관"(이하 "관리기관"이라 한다)이란 「정보통신기반보호법」(이하 "법"이라 한다) 제8조에 따라 산업통상부 장관(이하 "장관"이라 한다)이 지정한 주요정보통신기반시설을 관리하는 기관을 말한다.

2. "주요정보통신기반시설 보호대책"(이하 "보호대책"이라 한다)이란 법 제5조제1항에 따라 주요정보통신기반시설을 관리하는 기관의 장(이하 "관리기관의 장"이라 한다)이 수립한 주요정보통신기반시설을 안전하게 보호하기 위한 관리적ㆍ물리적ㆍ기술적 보호대책을 말한다.

3. "주요정보통신기반시설 보호계획"(이하 "보호계획"이라 한다)이란 법 제5조제2항의 규정에 따라 관리기관으로부터 제출받은 보호대책을 종합ㆍ조정한 산업통상부 소관 주요정보통신기반시설에 관한 보호계획을 말한다.

4. "침해사고"란 전자적 침해행위로 인하여 발생한 사태를 말한다.

② 이 지침에서 사용하는 용어의 정의는 제1항에서 정한 것을 제외하고는 법에서 정하는 바에 따른다.

이 지침은 법 제8조에 따라 장관이 지정한 관리기관에 적용한다.

① 법 제6조제5항에 따른 산업통상부 정보보호책임관은 산업통상부 기획조정실장으로 지정한다.

② 정보보호책임관은 산업통상부 소관의 주요정보통신기반시설의 보호에 관한 업무를 총괄한다.

③ 정보보호책임관은 법 시행령 제11조제1항에 따라 산업통상부 정보보호담당관을 업무 수행 지원인력으로 지정한다.

① 법 제5조제4항에 따라 관리기관의 장은 소관 주요정보통신기반시설의 보호에 관한 업무를 총괄하는 임원급 관리ㆍ운영자를 정보보호책임자로 지정해야 한다.

② 관리기관의 장은 정보보호책임자를 지정하거나 변동사항이 발생한 경우에는 발생한 날로부터 30일 이내에 장관에게 이를 통지해야 한다.

③ 정보보호책임자는 효율적인 정보보호 업무 수행을 위해 정보보호실무책임자를 업무 수행 지원인력으로 지정할 수 있다.

① 정보보호책임관은 주요정보통신기반시설 보호와 관련된 다음 사항을 수립ㆍ추진하기 위해 협의회를 구성ㆍ운영할 수 있다.

1. 주요정보통신기반시설의 지정, 지정 취소 및 지정 범위 조정

2. 주요정보통신기반시설의 보호계획 수립 및 보호대책 검토

3. 보호대책 이행여부의 확인 및 필요한 조치사항 명령

4. 그 밖에 주요정보통신기반시설 보호와 관련하여 협의가 필요한 사항

② 협의회의 장은 산업통상부 정보보호책임관으로 하고, 간사는 정보보호담당관으로 하며 위원은 주요정보통신기반시설 정보보호책임자로 한다.

관리기관은 소관 주요정보통신기반시설의 보호를 위하여 산업통상부 소관 다른 관리기관, 법 제16조 및 「사이버안보 업무규정」 제14조에 따라 설치된 산업통상부 사이버안전센터와 다음 각 호의 사항에 관하여 상호 협조할 수 있다.

1. 주요정보통신기반시설의 보호와 관련된 정보의 공유

2. 침해사고 예방ㆍ대응 및 복구를 위한 상호협력 및 지원

3. 취약점 및 침해요인과 관련된 정보의 공유

4. 그 밖에 소관 주요정보통신기반시설의 보호를 위하여 상호협력이 필요한 사항

① 관리기관의 장은 법 제5조제1항에 따라 수립한 보호대책을 매년 8월 31일까지 장관에게 제출해야 한다.

② 보호대책에는 다음 각 호의 사항이 포함되어야 한다.

1. 소관 주요정보통신기반시설 보호의 목적 및 대상시설

2. 정보보호체계 및 관리 대책

3. 취약점 분석ㆍ평가 및 조치 결과

4. 침해사고 예방 대책

5. 침해사고 대응 및 복구 대책

6. 그 밖에 소관 주요정보통신기반시설의 보호를 위하여 필요한 사항

③ 관리기관의 장은 제2항제4호 침해사고 예방 대책을 수립하기 위해서는 다음 각 호의 사항을 고려해야 한다.

1. 시스템ㆍ네트워크 관리 및 보호에 관한 대책

2. 정보보호시스템 설치ㆍ운용에 관한 대책

3. 전산자료에 대한 백업ㆍ복구에 관한 대책

4. 악성코드 방지에 관한 대책

5. 시스템ㆍ네트워크ㆍ보안장비ㆍ데이터베이스 접근통제에 관한 대책

6. 그 밖에 소관 주요정보통신기반시설의 침해사고 예방을 위해 관리적ㆍ물리적ㆍ기술적 필요한 사항

④ 장관은 필요할 경우 관리기관으로 하여금 제1항에 따른 보호대책 제출 시 취약점 분석ㆍ평가 결과를 함께 제출하도록 요청할 수 있다.

① 장관은 법 제6조에 따른 보호계획을 수립하기 위해 소관 관리기관에 대하여 보호대책의 이행여부를 확인할 수 있으며, 관리기관의 장에게 자체 보호대책 이행점검을 실시하도록 명령할 수 있다.

② 관리기관의 장은 제1항에 따라 자체 보호대책 이행점검을 실시한 때에는 그 이행점검 결과를 장관에게 제출해야 한다.

③ 관리기관의 장은 제1항에 따른 이행점검을 실시할 때에는 다음 각 호의 사항을 고려해야 한다.

1. 공공ㆍ민간분야 주요정보통신기반시설 보호대책 이행여부 확인 해설서

2. 산업통상부 소관 주요정보통신기반시설 보호대책 이행여부 확인 해설서

④ 장관은 관리기관의 주요정보통신기반시설과 관련된 시스템 현황 및 정보보호에 관한 사항을 확인할 수 있다. 이때 장관은 산업통상부 사이버안전센터로 하여금 보호대책의 이행여부 확인을 수행하도록 할 수 있다.

① 관리기관의 장은 법 제9조에 따라 소관 주요정보통신기반시설에 대한 취약점 분석ㆍ평가를 매년 실시해야 한다.

② 관리기관의 장은 취약점 분석ㆍ평가 시 발견된 취약점에 대하여 조치계획을 수립하고 그 결과를 기록ㆍ관리해야 한다.

장관은 법 제10조에 따라 다음 각 호의 어느 하나에 해당하는 경우 해당 관리기관의 장에게 주요정보통신기반시설의 보호에 필요한 조치를 하도록 명령할 수 있다.

1. 주요정보통신기반시설 운영에 영향을 미치는 세부시설의 범위에 해당하여 취약점 분석ㆍ평가 대상 자산으로 지정하는 경우

2. 제9조에 따른 보호대책 이행여부 확인 또는 자체 보호대책 이행점검을 실시한 결과에 따라 취약점 조치가 필요한 경우

① 관리기관의 장은 법 제13조제1항에 따라 소관 주요정보통신기반시설이 침해사고가 발생하여 교란ㆍ마비 또는 파괴된 사실을 인지한 때에는 산업통상부, 산업통상부 사이버안전센터, 수사기관, 한국인터넷진흥원에 그 사실을 별지 제1호서식에 따라 침해사고 신고서를 작성하여 통지해야 한다. 다만, 관리기관의 장은 소관 주요정보통신기반시설에 대한 경미한 침해사고의 경우에는 우선 조치하고 이를 사후 보고할 수 있다.

② 관리기관의 장은 침해사고 발생에 따른 대응절차 및 방법 등 자체 사이버위기대응매뉴얼을 수립해야 한다.

① 관리기관의 장은 법 제14조에 따라 소관 주요정보통신기반시설에 대한 침해사고가 발생한 때에는 해당 정보통신기반시설의 복구 및 보호에 필요한 조치를 신속히 취하여야 한다.

② 관리기관의 장은 제1항의 복구조치를 위하여 필요한 조직, 자원, 외부기관과의 협력 등을 포함하는 복구지원체계를 구축해야 한다.

③ 관리기관의 장은 제1항 및 제2항의 내용을 포함하여 소관 주요정보통신기반시설에 대한 백업 및 복구절차에 관하여 필요한 사항을 정해야 한다.

보칙

장관은 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 이 훈령에 대하여 2026년 2월 10일을 기준으로 매 3년이 되는 시점마다 그 타당성을 검토하여 개선 등의 조치를 해야 한다.