모바일 전자정부 서비스 관리 지침

제정 2011. 9.  2.  행정안전부예규  제372호

개정 2013. 3. 25.  안전행정부예규    제1호

개정 2014. 1. 21.  안전행정부예규   제70호

개정 2014. 9. 30.  안전행정부예규  제110호

개정 2014.11. 25.  행정자치부예규    제1호

개정 2015. 8. 28.  행정자치부예규   제25호

개정 2017. 8.  8.  행정안전부예규    제5호

개정 2018.11. 15.  행정안전부예규   제49호

개정 2019. 9.  5.  행정안전부예규   제87호

개정 2020. 1.  3.  행정안전부예규  제100호

제1장  총  칙

제1조(목적) 이 지침은「전자정부법」제16조에 따라 국가기관, 지방자치단체 및 공공기관이 모바일 전자정부 서비스를 구축하고 관리하는 경우 준수해야할 세부 사항을 규정하는 것을 목적으로 한다.

제2조(정의) 이 지침에서 사용하는 용어의 뜻은 다음과 같다.

1. "행정기관"이란 「전자정부법」제2조제2호에 따른 행정기관을 말한다.

2. "공공기관"이란 「전자정부법」제2조제3호에 따른 공공기관을 말한다.

3. "모바일 전자정부 서비스(이하 ‘모바일 서비스’라 한다)"란 행정기관 및 공공기관(이하 "행정기관등"이라 한다)이 「전자정부법」제2조제5호에 따른 전자정부 서비스를 모바일로 제공하는 것을 말한다.

4. "모바일 행정서비스"란 행정기관등이 스마트폰 등 모바일 기기를 통해 전자결재, 내부 포털, 현장 행정 등 기관의 행정업무를 수행하기 위한 서비스를 의미한다.

5. "모바일 대민서비스"란 행정기관등이 스마트폰 등 모바일 기기를 통해 국민, 기업에게 제공하는 공공서비스를 의미한다.

6. "모바일 웹(Web)"이란 스마트폰 등 모바일 기기의 브라우저에 최적화된 웹페이지를 의미한다.

7. “반응형 웹(Web)”이란 화면 종류에 따라 화면의 크기가 자동으로 최적화되도록 조절되는 웹 페이지를 의미한다.

8. "모바일 앱(App)"이란 모바일 기기 운영체계(OS)에 최적화되어 단독으로 실행될 수 있도록 개발된 애플리케이션(application)을 의미한다.

9. "하이브리드 앱(Hybrid App)"이란 모바일 앱과 웹이 결합된 형태로 외부형태는 모바일 앱 이지만 실제운영은 HTML, 자바스크립트 등의 웹 리소스를 이용하는 애플리케이션(application)을 의미한다.

10. "행정업무 모바일 공통기반 시스템(이하 ‘모바일 공통기반’이라 한다)"이란 행정기관등에서 모바일 행정서비스를 안전하게 활용하고 배포하기 위해 공동으로 활용할 수 있는 시스템을 말한다.

11. "대민 모바일 공통기반 시스템"(이하 "대민 모바일 공통기반"이라 한다)이란 행정기관등이 모바일 대민서비스를 안전하게 제공할 수 있도록 보안기능을 공동으로 활용할 수 있는 시스템을 말한다.

제3조(적용범위) 행정기관등의 모바일 서비스 관리에 있어 다른 법령에서 특별한 규정이 있는 경우를 제외하고는 이 지침이 정하는 바에 따른다.

제4조(기본원칙) ① 행정기관등의 장은 모바일 서비스를 모든 이용자가 보편적으로 활용할 수 있도록 서비스 구축 시 필요한 조치를 취하여야 한다.

② 행정기관등의 장은 모바일 서비스의 신뢰성 제고를 위하여 필요한 시책을 강구하여야 한다.

③ 행정기관등의 장은 모바일 서비스가 이동성, 사용자 편의성, 개인 맞춤형 서비스 등 모바일 특성에 맞게 제공될 수 있도록 서비스 관리에 노력하여야 한다.

④ 행정기관등의 장은 모바일 전자정부 서비스를 통해 제공되는 정보를 현행화하여야  하며, 오류 또는 부적절한 정보가 방치되지 않도록 주기적으로 점검·관리하여야 한다.

⑤ 행정기관등의 장은 안전한 모바일 서비스를 제공하기 위하여 필요한 보안 대책을 수립하여야 한다.

제5조(계획 수립 및 구축 시 준수사항) ① 행정기관등의 장은 다음 각 호의 지침 및 가이드라인을 준수하여 모바일 서비스 계획을 수립하고 구축하여야 한다.

1. 모바일 전자정부 서비스 구축 가이드라인

2. 모바일 전자정부 공통기반 활용 가이드라인

3. 전자정부서비스 호환성 준수지침

4. 장애인·고령자 등의 정보 접근 및 이용 편의 증진을 위한 고시

5 행정기관 및 공공기관 정보시스템 구축·운영 지침

6. 전자정부 모바일 표준프레임워크

7. 행정기관 도메인 이름 및 IP주소체계 표준

8. 대민 모바일 보안공통기반 활용 가이드라인

9. 모바일 활용업무에 대한 보안 가이드라인

10. 모바일 대민서비스 보안취약점 점검가이드

11. 모바일 전자정부 서비스 앱 소스코드 검증가이드라인

12. 스마트폰 앱 접근권한 개인정보보호안내서

② 행정기관등의 장은 제1항의 계획을 수립할 때 구축 대상 모바일 서비스의 타당성, 효과성, 중복성, 상호연계, 공동이용 등(이하 "중복성등"이라 한다)을 사전에 검토하여야 한다.

③ 행정기관등의 장은 제2항에 따라 사전검토를 하여 사업계획을 수립한 후 전자정부법시행령(이하 ‘영’이라 한다) 제82조에 따른 사전협의 대상사업에 해당하는 경우에는 영 제83조의 방법 및 절차에 따라 사전협의를 요청하여야 하며, 세부사항은 ‘전자정부 성과관리 지침’에 따른다.

④ 행정기관등의 장은 모바일 공통기반을 활용하여 모바일 행정서비스를 구축할 경우 모바일 전자정부 지원센터(이하‘지원센터’라 한다)의 장에게 제2항의 중복성, 개발 방식 등에 대해 협의하여야 한다.

⑤ 행정안전부장관은 모바일 전자정부 서비스 관련 종합적인 계획수립 및 제도개선 등을 위해 행정기관등이 기 구축·운영 또는 구축예정인 서비스 등 모바일 전자정부 서비스 전반에 대하여 실태조사를 할 수 있다.

제2장 모바일 행정서비스 구축 및 관리

제6조(등록) ① 행정기관의 장은 제5조에 따라 모바일 공통기반을 활용하여 모바일 행정서비스를 구축한 경우 서비스 개시 전에 등록신청서를 작성하여, 지원센터의 장에게 제출하여야 한다.

② 지원센터의 장은 제1항에 따라 제출받은 등록신청서를 검토하여 필요한 경우 모바일 행정서비스를 등록신청한 행정기관(이하 ‘주관기관’이라 한다)의 장에게 보완을 요청할 수 있다.

③ 행정기관의 장은 모바일 행정서비스 정보를 「정보기술아키텍처 도입·운영 지침」 제2조제13호의 범정부 정보기술아키텍처 지원시스템에 등록하고, 행정안전부장관은 등록된 모바일 행정서비스 현황을 관리하여야 한다.

제7조(검증) ① 지원센터의 장은 제6조제1항에 따라 등록된 모바일 행정서비스에 대해서 제5조 각 호의 지침 및 가이드라인 준수 여부를 검증하여야 한다.

② 지원센터의 장은 주관기관의 장에게 검증에 필요한 추가적인 자료 제출을 요청할 수 있으며 주관기관의 장은 검증에 필요한 환경을 제공하여야 한다.

③ 검증 업무 처리 기준, 검증 항목, 검증 절차 등은 지원센터의 장이 정한다. 이를 변경하는 경우에도 또한 같다.

제8조(검증 결과의 통보) ① 지원센터의 장은 제7조에 따른 검증 결과에 관하여 주관기관의 장에게 접수일로부터 14일 이내에 승인 또는 반려 여부를 통보하여야 한다. 다만, 반려하는 경우 검증결과서를 통해 그 사유를 함께 통보하여야 한다.

② 지원센터의 장은 상세 검증이 필요하다고 판단하는 경우 14일의 범위 내에서 기한을 연장할 수 있으며, 이 경우 해당 사실을 주관기관의 장에게 즉시 통보하여야 한다.

제9조(재등록) ① 주관기관의 장은 등록한 모바일 행정서비스가 제8조제1항에 따라 반려된 경우, 반려 사유에 대하여 성실히 보완한 후, 제6조제1항의 절차에 따라 다시 등록할 수 있다.

② 재등록의 경우 검증 결과를 통보받은 날로부터 30일 이내에 신청하여야 하며 연장이 필요한 경우 지원센터의 장에게 즉시 통보하여야 한다. 기간 내 신청을 하지 않을 경우 자동폐기 처리한다.

제10조(모바일 행정서비스의 배포) 지원센터의 장은 제8조제1항에 따라 승인을 통보한 모바일 행정서비스를 모바일 공통기반을 통해 즉시 배포하여야 한다. 다만, 주관기관의 장이 요청하는 경우 별도로 정한 일시에 배포할 수 있다.

제11조(등록 변경) ① 주관기관의 장은 제6조에 따라 등록된 모바일 행정서비스에 변경이 발생한 경우 모바일 서비스 변경신청서를 작성하여, 지원센터의 장에게 제출하여야 한다.

② 모바일 행정서비스의 등록 변경 시 제7조에 따라 검증하고, 등록 변경을 실시하여야 한다. 단, 소스코드의 변경 없이 텍스트, 이미지 등 단순 콘텐츠만 변경된 경우에는 지원센터의 장은 제7조제3항에 따라 검증 기준을 따로 정하여 처리할 수 있다.

③ 배포된 모바일 행정서비스가 장애 및 보안 문제 등으로 긴급하게 수정하여 배포해야 할 경우, 주관기관의 장은 제2항에 따라 지원센터에 변경신청서 제출 후 지원센터의 검증 전에 변경된 서비스 배포를 요청할 수 있다. 다만, 이 경우에도 제8조제1항에 따라 검증 결과가 반려될 경우 즉시 서비스 배포를 중지하여야 한다.

④ 제3항에 따라 검증 전에 긴급하게 변경 배포가 가능한 업무 처리 기준은 다음 각 호로 한다.

1. 재해·재난 등 국민의 생명과 재산상 막대한 손해가 예상되는 경우

2. 조사업무, 민원처리 등 현장업무 수행상 명백한 오류로 기한 내 업무처리가 불가능한 경우

3. 보안 약점 발생으로 정보 유출이 예상되어 긴급 수정 및 패치가 필요한 경우

제12조(배포 중지·삭제) ① 지원센터의 장은 제공되고 있는 모바일 행정서비스 중 제5조의 준수사항을 지키지 않은 서비스가 발견되는 경우, 해당 서비스의 주관기관 장에게 수정 및 배포 중지를 요청 할 수 있다.

② 주관기관의 장은 필요한 경우 모바일 공통기반을 통해 서비스되고 있는 모바일 행정서비스의 배포 중지 또는 삭제를 요청할 수 있다. 삭제의 경우 주관기관의 장은 삭제의 사유를 모바일 서비스 변경신청서에 작성하여 제출하여야 한다.

③ 지원센터의 장은 제2항에 따라 주관기관의 배포 중지 또는 삭제 요청을 받은 경우, 해당 모바일 행정서비스의 배포를 중지하거나 삭제할 수 있다.

제13조(모바일 전자정부 지원센터) ① 행정안전부장관은 모바일 행정서비스의 효율적이고 체계적인 추진을 위하여 모바일 전자정부 지원센터를 둘 수 있다

② 행정안전부장관은 모바일 전자정부 지원센터의 전문성을 위하여 전문기관을 지정하여 제3항의 업무를 위탁할 수 있다.

③ 지원센터는 다음 각 호의 업무를 수행한다.

1. 모바일 공통기반을 활용한 모바일 행정서비스 구축 계획 지원 및 중복성등 검토

2. 모바일 공통기반을 활용한 모바일 행정서비스 등록 및 현황관리

3. 모바일 공통기반 및 지원센터 시스템 운영

4. 모바일 공통기반을 활용한  모바일 행정서비스 앱 검증·배포 및 행정용 앱 스토어 운영

5. 모바일 전자정부 이용 교육 및 홍보 지원

6. 모바일 공통기반 테스트베드 이용 지원

7. 모바일 전자정부 관련 신기술의 적용 및 시험

9. 그 밖에 모바일 행정서비스 구축 기술 지원에 관한 사항

제14조(통합관리자의 지정·운영) ① 행정기관의 장은 모바일 공통기반을 이용하는 해당기관의 모바일 서비스에 관한 사항을 총괄적으로 관리하는 통합관리자를 지정·운영하여야 한다. 다만, 필요시 분임관리자를 지정하여 제2항의 역할의 전부 또는 일부를 수행하게 할 수 있다.

② 통합관리자는 아래와 같은 역할을 수행하여야 한다.

1. 해당 기관의 모바일 서비스 관련 보안 정책 수립·시행

2. 해당 기관에 등록된 모바일 기기에 대한 공통기반시스템 보안 정책 적용 및 운영·관리

3. 공통기반시스템 이용을 위한 관련 소프트웨어 설치 및 관리

4. 해당 기관의 모바일 서비스를 이용하는 사용자 등록 및 모바일 기기의 등록·변경·분실 등 관리

제15조(보안 모바일 메신저) ① 행정안전부장관은 민간메신저 사용을 통한 업무자료 유출을 방지하고, 업무관련 소통과 협력을 위해 보안이 강화한 업무전용 모바일 메신저를 구축·운영할 수 있다.

② 행정기관의 장은 소속 직원간의 업무관련 의사소통 및 자료의 송수신 시 민간메신저의 사용을 지양하고 제1항에 따라 구축·운영 중인 모바일 메신저의 사용을 우선적으로 고려해야 한다. 단, 행정기관이 보안을 강화한 모바일 메신저를 따로 사용하고 있는 경우는 그러지 아니할 수 있다.

제16조(모바일 행정전화) ① 행정안전부장관은 출장·이동 시 공무원의 원활한 업무 수행 및 민원 처리를 위하여 모바일 행정전화를 구축·운영할 수 있다.

② 행정기관등의 장은 모바일 행정전화를 구축하고자 할 때에는 "행정기관 인터넷전화 도입 가이드라인"을 참고하여 보안성과 통신품질 확보를 위한 필요한 조치를 하여야 한다.

제17조(요금제도) ① 행정안전부장관은 행정기관등이 모바일 이동통신망을 최소의 비용으로 이용할 수 있도록 필요한 요금제도를 마련할 수 있다.

② 행정기관등의 장은 모바일을 통해 행정업무를 처리하는 이용자에게 데이터 사용료 일부를 지원할 수 있다.

제3장 모바일 대민서비스의 구축 및 관리 등

제18조(서비스 방식) ① 행정기관등의 장은 모바일 대민서비스를 구축·운영하고자 할 경우 “반응형 웹”으로 구축하여야 하며, “전자정부서비스 호환성 준수지침” 제5조 및 제6조에 따라 웹 표준을 준수하고 비표준기술은 제거해야 한다. 다만, 서비스 특성 등으로 인해 반응형 웹으로 구축하기 어려운 경우에는 모바일 웹, 모바일 앱 또는 하이브리드 앱 형태로 개발할 수 있다.

② 행정기관등의 장이 모바일 대민서비스를 모바일 앱 또는 하이브리드 앱으로 개발할 때에는 다음 각 호의 서비스 특성 등을 고려하여 개발 필요성을 우선 검토하여야 한다.

1. 전화, SMS 등 모바일 기기의 특정 기능을 사용하는 경우

2. 모바일 기기 내 중요정보 암호화 등 데이터 보호 기능을 제공하는 경우

3. 웹 브라우저에서 지원하지 않는 기능을 제공하는 경우

4. 행정기관등의 장이 모바일 앱으로 개발이 불가피하다고 판단되는 경우

③ 행정기관등의 장이 모바일 대민서비스를 모바일 앱 또는 하이브리드 앱으로 구축·운영하고자 할 때에는 "장애인·고령자 등의 정보 접근 및 이용 편의 증진을 위한 고시" 등을 참고하여 모든 이용자가 보편적으로 서비스를 활용할 수 있도록 필요한 조치를 취하여야 한다.

제19조(모바일 도메인) 행정기관등의 장은 '행정기관 도메인이름 및 IP주소체계 표준‘에 따라 기관 대표 모바일 도메인을 최소로 보유하고 추가 도메인 할당은 제한하여 불필요한 모바일 대민서비스 웹 개발을 방지하여야 한다.

제20조(등록·배포) ① 행정기관등의 장은 모바일 대민서비스를 모바일 앱 또는 하이브리드 앱 형태로 민간 앱스토어 등에 등록·배포 할 경우, 해당 행정기관등의 명의로 등록해야 하며 등록시 기능 검증을 실시하는 이동통신사 또는 제조사 등의 앱스토어를 반드시 1곳 이상 포함하여야 한다.

② 행정기관등의 장은 제1항에 따라 등록·배포한 모바일 대민서비스 정보를 「정보기술아키텍처 도입·운영지침」제2조제13호의 범정부 정보기술아키텍처 지원시스템에 등록하고, 행정안전부장관은 등록된 모바일 대민서비스 현황을 관리하여야 한다.

제21조(개선·변경) ① 행정기관등의 장은 모바일 대민서비스 중 보안에 취약한 서비스가 발견되는 경우 취약점을 개선하여야 한다. 이 때, 해당 서비스가 모바일 앱 또는 하이브리드 앱일 경우에는 취약점을 개선하여 재배포하거나 해당 서비스에 대한 배포를 중지하여야 한다.

② 행정기관등의 장은 모바일 대민서비스가 변경될 경우 제21조 제2항에 따라 등록한 범정부 정보기술아키텍처 지원시스템에 등록한 정보를 최신 정보로 현행화해야 한다.

제4장 모바일 전자정부 서비스 성과관리

제22조(성과측정) ① 행정기관등의 장은 모바일 서비스의 운영타당성을 판단하기 위해 구축·운영하고 있는 소관 모바일 서비스 앱에 대하여 매년 운영성과를 측정하고 지속적으로 관리하여야 한다.

② 행정기관등의 장이 제1항에 따라 운영성과를 측정할 때에는 서비스 운영이 개시된 시점으로부터 1년이 경과한 모바일 서비스 앱을 그 대상으로 한다. 다만, 행정기관등의 장이 판단에 따라 1년이 경과하지 않은 모바일 서비스 앱도 운영성과를 측정할 수 있다.

③ 행정기관등의 장은 소관 모바일 서비스 앱의 운영성과를 측정할 때에는 소속·산하기관을 포함하여 별표4(행정) 또는 5(대민)의 기준에 따라 측정하고, 그 결과를 행정안전부장관에게 통보하여야 한다. 또한, 모바일 대민서비스 앱의 경우에는 운영성과 측정 결과를 기관 홈페이지 등에 게시하여야 한다.

제23조(모바일 앱의 정비) ① 행정기관등의 장은 제23조에 따라 운영성과 측정이 완료된 모바일 서비스 앱 중 성과가 저조한 앱은 제2항 또는 제3항의 기준에 따라 폐기, 보완대책 시행 등 정비계획을 마련하여 이행하고, 그 결과를 행정안전부에 통보하여야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 앱에 대해서는 운영성과가 저조하여도 폐기하지 않을 수 있다.

1. 국제협약 또는 법령에 구축·운영의 근거를 두고 있는 경우

2. 국민 생명의 위험이 발생하거나 국가 차원의 안보·치안의 지장이 발생할 수 있는 경우

3. 국가경제의 심각한 손실이나 국민생활의 심각한 장애가 발생할 수 있는 경우

4. 대국민 서비스 지연 및 민원이 발생할 수 있는 경우

5. 이용자가 사회적 약자로서 생활 편의에 도움이 되는 경우

② 모바일 대민서비스 앱은 아래 각호의 기준에 따라 정비한다.

1. 성과측정 결과, 총점 60점 미만의 서비스는 폐기

2. 성과측정 결과, 총점 60점 이상 70점 미만의 서비스는 폐기하거나, 활성화 및 기능고도화 방안 등의 보완대책을 마련하여 시행

③ 모바일 행정서비스 앱의 성과측정 결과, 총점 60점 미만의 서비스는 타당성, 효과성 등을 종합적으로 재검토하여 폐기 여부를 결정하고, 계속 유지하고자 할 경우에는 활성화 및 기능고도화 방안 등 보완대책을 마련하여 시행하여야 한다.

제24조(확인점검) ① 행정안전부장관은 제23조에 따라 통보받은 기관별 성과측정 결과를 종합하여 모바일 서비스 앱의 성과를 확인점검할 수 있다. 이 때 외부기관이나 단체의 평가결과를 참고할 수 있다.

② 제1항에 따른 확인점검 결과 앱의 정비 또는 폐기가 필요하다고 인정되는 경우 행정안전부장관은 행정기관등의 장에게 소관 앱의 정비 또는 폐기를 권고할 수 있으며, 각 행정기관등의 장은 특별한 사유가 없는 한 이를 수용하여야 한다.

제25조(성과측정 결과의 활용) ① 행정기관등의 장은 모바일 서비스 앱 운영에 관한 성과측정 결과를 유지보수 예산 요구 시의 근거자료로 제시하거나, 기관내 앱에 관한 투자 우선순위 선정을 위한 기준, 자원의 효율적 이용 방안 등에 활용할 수 있다.

② 행정안전부장관은 제25조에 따른 확인점검 결과를 해당 주관기관의 장, 기획재정부장관에게 통보할 수 있으며, 모바일 대민서비스의 경우에는 홈페이지 등에 게시할 수 있다.

③ 기획재정부장관은 제2항에 따라 통보받은 점검 결과를 다음 해 예산을 편성할 때 반영할 수 있다.

제5장 모바일 전자정부 서비스 보안

제26조(개발보안) ① 행정기관등의 장은 모바일 웹 개발 시「행정기관 및 공공기관 정보시스템 구축·운영 지침」 별표3에서 정의한 ‘소프트웨어 보안약점’이 없도록 보안약점을 진단하고 제거하여야 한다.

② 행정기관등의 장은 모바일 앱의 불법적인 변조에 대응하기 위해 별표3에서 정의한 ‘모바일 앱 보안약점’이 없도록 보안약점을 진단하고 제거하여야 한다.

③ 행정기관등의 장은 하이브리드 앱 개발 시에는 제1항과 제2항을 모두 적용하여야 한다.

④ 행정기관등의 장은 제1항부터 제3항까지에 따른 보안대책을 적용하기 위해 모바일 서비스 개발사업의 제안요청서에 ‘소프트웨어 개발보안 가이드’ 등을 참조하여 안전한 서비스를 개발하도록 관련 사항을 명시할 수 있다.

⑤ 행정안전부장관은 제1항부터 제3항까지와 관련한 진단·조치를 지원하기 위한 전문기관을 지정할 수 있고, 행정기관등의 장은 전문기관에게 보안약점의 진단·제거의 지원을 요청할 수 있다.

제27조(취약점 점검) ① 행정기관등의 장은 모바일 앱에 대해 정기적으로 보안취약점을 점검해야 하며, 이 때 별표 1의 보안취약점을 필수 점검항목으로 포함하여야 한다.

② 행정기관등의 장은 모바일 서비스 운영 시, 관련 서버에 대한 보안취약점을 점검해야 하며, 별표 2의 보안취약점을 필수 점검항목으로 포함하여야 한다.

제28조(모바일 공통기반 운영) ① 행정안전부장관은 행정기관등의 모바일 행정서비스 및 모바일 대민서비스의 안전성을 확보하고 중복 투자 등을 방지하기 위해 모바일 공통기반 및 대민 모바일 공통기반을 구축·운영할 수 있다.

② 행정기관의 장은 행정안전부장관과 협의하여 모바일 행정서비스 및 모바일 대민서비스 구축시 모바일 공통기반 및 대민 모바일 공통기반을 활용할 수 있다. 이 때, 행정안전부장관은 모바일 공통기반 및 대민 모바일 공통기반의 자원, 기능 및 해당 모바일 서비스의 요구사항 등을 고려하여 대민 모바일 공통기반 활용 여부를 사전에 협의·조정할 수 있다.

부칙  <제100호, 2020. 1. 3.>

제1조(시행일) 이 지침은 고시한 날로부터 시행한다.

별표 1	모바일 서비스 앱 대상 보안취약점 점검기준

번호	점검 항목	설명	비고
1	반복 설치 시 오류 발생	앱 반복 설치 시 주요 설정 파일 변경 등의 문제가 발생할 수 있는 취약점	설치
2	앱 설치 전후 비정상적인 파일 및 디렉토리 설치	앱 설치 전후로 비정상적인 파일 및 디렉토리가 생성될 수 있는 취약점	설치
3	불필요하거나 과도한 권한 설정	불필요하거나 과도한 설정으로 앱 서비스 목적과 상이한 임의 기능 동작이 가능한 취약점	설치
4	앱 삭제 후 안전성	앱 삭제 시 관련(설치된) 디렉토리 및 파일 이외 파일이 삭제될 수 있는 취약점	삭제
5	기능의 정상동작	각 기능이 오동작할 수 있는 취약점 * 단, 인터페이스 관련 사항은 “모바일 애플리케이션 접근성 지침” 준수여부 등을 고려하여 판단할 수 있음	동작
6	임의기능 등 악성행위 기능 존재	앱 서비스 목적과 상이한 임의기능, 백그라운드에서 구동되는 악성행위 기능(프로세스 등)이 존재할 수 있는 취약점	동작
7	정보 외부 유출	허가된 주소 이외의 주소로 정보 전송이 가능한 취약점	동작
8	자원고갈	정상기능 오동작 또는 취약점을 통해 과도한 트래픽 사용 및 배터리를 고갈 시키는 취약점	동작
9	루팅 및 탈옥 기기에서의 정상 동작	루팅 및 탈옥된 기기에서 앱 설치·동작되어 보안메커니즘 우회 등이 발생할 수 있는 취약점	플랫폼
10	ID 값의 변경	안드로이드 플랫폼에 설치되는 앱에 부여되는 app_### 과 같은 일반 권한의 UID, GID 등 ID가 임의로 변경될 수 있는 취약점	플랫폼 (Android)
11	동일키로 서명된 서로 다른 앱 간의 UID 공유	안드로이드 플랫폼에서 동일한 제작자가 개발한 앱의 경우 동일한 서명키(Key Sign)를 통해 서로 다른 앱 간의 UID를 공유할 수 있는 취약점 * SharedUserID가 설정되지 않아야 함	플랫폼 (Android)
12	인텐트 권한의 올바른 설정	기능 사용 요청 및 권한이 부적절한 취약점 * Androidmanifest.xml내에 intent-filter라는 항목에 요청 권한 이외에 과도한 권한을 부여해서는 안됨	플랫폼 (Android)
13	인증 정보 생성 강도 적절성	사용자 ID, 패스워드 등의 인증 정보의 생성강도가 낮아 쉽게 추측할 수 있는 취약점	식별및인증
14	중요정보의 평문 저장 및 전송	중요정보(사용자 인증 정보, 사용자 개인 정보, 사용자 위치 정보)는 모바일기기에 평문으로 저장하거나 평문으로 전송되어 외부에 유출될 수 있는 취약점	암호
15	중요정보 저장 및 전송 시 취약한 암호알고리즘 적용	모바일기기 내 중요정보(사용자 인증 정보, 사용자 개인 정보, 사용자 위치 정보) 저장 또는 서버로 전송시 취약한 암호알고리즘 사용으로 중요정보가 유출될 수 있는 취약점 ※ “국가정보원 국가사이버안전센터” 의 검증암호알고리즘 참조	암호
16	기타 중요 정보의 평문 저장 및 전송	IMEI 정보 등 기타 중요 정보가 모바일기기에 평문으로 저장되거나 평문으로 전송되어 외부에 유출될 수 있는 취약점	암호
17	기타 중요 정보 저장 및 전송 시 취약한 암호 알고리즘 적용	모바일기기에 IMEI 정보 등 중요정보를 저장 및 전송시 취약한 암호알고리즘 사용으로 중요정보가 유출될 수 있는 취약점	암호
18	파일 다운로드 시 외부주소 변조 및 파일 무결성 우회	설정 파일 또는 업데이트 다운로드 시 외부주소 변조 및 파일 무결성 우회 가능 취약점	암호
19	개인정보 및 개인위치정보 수집 및 활용에 대한 동의	사용자의 동의없이 임의로 개인정보 및 개인위치정보를 수집하고 활용하여 법적문제 등이 발생할 수 있는 취약점	수집·활용
20	난독화	역공학 기술에 의한 모바일 앱 소스코드 유출 및 보안메커니즘 우회 등이 발생할 수 있는 취약점	배포

별표 2	모바일 서비스 서버(웹·앱) 대상 보안취약점 점검기준

번호	점검 항목	설명	비고
1	운영체제 명령실행	웹 서버에 존재하는 명령어 실행 가능 함수 인자를 조작하여 특정 명령어 실행이 가능한 취약점
2	SQL인젝션	입력 폼에 악의적인 쿼리문을 삽입하여 DB 정보, 타 사용자 권한 획득이 가능한 취약점
3	XPath인젝션	XPath 쿼리문 구조를 임의로 변경하여 DB 정보 열람, 타 사용자 권한 획득이 가능한 취약점
4	정보누출	개발자의 부주의, 디폴트로 설정된 에러 페이지 등 웹 어플리케이션에서 민감한 정보가 노출되는 취약점
5	악성콘텐츠	정상적인 컨텐츠 대신에 악성 컨텐츠를 주입하여 사용자에게 악의적인 영향을 미치는 취약점
6	크로스사이트 스크립트	웹 사이트를 통해 다른 최종 사용자의 클라이언트에서 임의의 스크립트가 실행되는 취약점
7	약한 문자열 강도	비밀번호 조합규칙(영문, 숫자, 특수문자 등)이 충분하지 않아 추측 가능한 취약점
8	불충분한 인증 및 인가	웹 어플리케이션에서 사용자 인증 및 접근제한 미흡으로 불법 접근 및 조작이 가능한 취약점
9	취약한 패스워드 복구	취약한 패스워드 복구로직을 통해 다른 사용자의 패스워드를 획득, 변경할 수 있는 취약점
10	불충분한 세션관리	단순 숫자 증가 방법 등의 취약한 특정 세션의 ID를 예측하여 세션을 가로채거나 중복 접속을 허용하는 경우 타 사용자의 세션을 획득하여 권한 획득 할 수 있는 취약점
11	크로스사이트 리퀘스트 변조(CSRF)	공격자 스크립트 구문을 이용하여 정상적인 사용자로 하여금 조작된 요청을 전송하도록 하여 회원 등급 변경 등의 문제가 발생할 수 있는 취약점
12	자동화공격	정해진 프로세스에 자동화된 공격을 수행함으로써 수많은 프로세스가 진행되는 취약점
13	파일업로드	파일 업로드 기능을 이용하여 시스템 명령어를 실행할 수 있는 파일을 업로드 하는 취약점
14	경로추적 및 파일다운로드	다운로드 함수 인자를 조작하여 서버에 존재하는 파일 다운로드 가능한 취약점
15	데이터 평문전송	서버와 클라이언트 간 통신 시 암호화 하여 전송을 하지 않아 중요 정보 등이 노출되는 취약점
16	쿠키 변조	보호되지 않는 쿠키를 사용하여 값 변조를 통한 사용자 위장 및 권한 상승 등이 가능한 취약점
17	URL/파라미터 변조	URL, 파라미터의 값을 검증하지 않아 특정 사용자의 권한 획득이 가능한 취약점
18	디렉토리 인덱싱	본 페이지의 파일이 존재하지 않을 때 자동적으로 디렉토리 리스트를 출력하는 취약점
19	관리자페이지 노출	단순한 관리자 페이지 이름, 설정, 설계상 오류 등 관리자 메뉴에 직접 접근할 수 있는 취약점
20	위치공개	임시파일, 백업파일등에 접근이 가능하여 핵심정보가 노출될 수 있는 취약점
21	웹 서비스 메소드 설정 공격	PUT, DELETE 등의 메소드를 악용하여 악성 파일(웹쉘) 업로드가 가능한 취약점

별표 3	모바일 앱 보안약점 점검기준

번호	보안약점명	설명
1	SQL 삽입	검증되지 않은 외부 입력값이 SQL 쿼리문 생성에 사용되어 악의적인 쿼리가 실행될 수 있는 보안약점
2	경로조작 및 자원삽입	검증되지 않은 외부 입력값이 시스템 자원 접근경로 또는 자원제어에 사용되어 공격자가 입력값을 조작해 공격할 수 있는 보안약점
3	크로스사이트 스크립트	검증되지 않은 외부 입력값에 의해 사용자 브라우저에서 악의적인 스크립트가 실행될 수 있는 보안약점
4	운영체제 명령어 삽입	검증되지 않은 외부 입력값이 운영체제 명령어 생성에 사용되어 악의적인 명령어가 실행될 수 있는 보안약점
5	오버플로우(정수형, 메모리 버퍼)	정수값 및 메모리 버퍼의 경계값이 범위를 넘어서는 경우, 프로그램이 예기치 않게 동작될 수 있는 보안약점
6	취약한 암호화 알고리즘 사용	중요정보(금융정보, 개인정보, 인증정보 등)를 열람(또는 변경) 할 수 있게 하는 보안약점
7	중요정보 평문 저장	중요정보(비밀번호, 개인정보 등)를 암호화하여 저장하지 않아 정보가 노출될 수 있는 보안약점
8	중요정보 평문 전송	중요정보(비밀번호, 개인정보 등) 전송시 암호화하지 않거나 안전한 통신채널을 이용하지 않아 정보가 노출될 수 있는 보안약점
9	하드코드된 비밀번호	소스코드 내에 비밀번호가 하드코딩 되어 소스코드 유출시 노출 우려 및 키 변경이 용이하지 않는 보안약점
10	충분하지 않은 키 길이 사용	데이터의 기밀성, 무결성 보장을 위해 사용되는 키의 길이가 충분하지 않아 기밀정보 누출, 무결성이 깨지는 보안약점
11	적절하지 않은 난수값 사용	예측 가능한 난수사용으로 공격자로 하여금 다음 숫자 등을 예상하여 시스템 공격이 가능한 보안약점
12	하드코드된 암호화 키	소스코드 내에 암호화키가 하드코딩 되어 소스코드 유출시 노출 우려 및 키 변경이 용이하지 않는 보안약점
13	주석문안에 포함된 시스템 주요정보	소스코드내의 주석문에 인증정보 등 시스템 주요정보가 포함되어 소스코드 유출시 노출될 수 있는 보안약점
14	경쟁조건: 검사시점과 사용시점(TOCTOU)	멀티 프로세스 상에서 자원을 검사하는 시점과 사용하는 시점이 달라서 발생하는 보안약점
15	오류메시지 및 시스템 데이터 정보노출	사용자가 볼 수 있는 오류 메시지나 스택 정보에 시스템 내부 데이터나 디버깅 관련 정보가 공개되는 보안약점
16	오류상황 대응 부재	시스템에서 발생하는 오류 상황을 처리하지 않아 프로그램 실행정지 등 의도하지 않은 상황이 발생할 수 있는 보안약점
17	부적절한 예외 처리	예외에 대한 부적절한 처리로 인해 의도하지 않은 상황이 발생될 수 있는 보안약점
18	Null Pointer 역참조	Null로 설정된 변수의 주소값을 참조했을 때 발생하는 보안약점
19	부적절한 자원 해제	사용된 자원을 적절히 해제하지 않으면 자원 누수 등이 발생하고, 자원이 부족하여 새로운 입력을 처리할 수 없게 되는 보안약점
20	취약한 API 사용	취약하다고 알려진 함수를 사용함으로써 예기치 않는 보안위협에 노출될 수 있는 보안약점
21	안드로이드 애플리케이션 컴포넌트의 부적절한 접근 허용	안드로이드 애플리케이션 컴포넌트 설정으로 부적절한 접근이 허용되어 외부의 애플리케이션에 의해 의도치 않게 실행될 수 있는 보안약점
22	민감한 정보 전송을 위한 암시적 intent 사용	암시적 intent를 사용하여 민감한 정보가 전송시 도청 및 악성행위 삽입이 가능한 보안약점
23	접근제어 없이 내·외부저장소 사용	내・외부저장소(SD카드 등)에 중요한 정보를 암호화하여 저장하지 않아 정보가 노출되거나 수정이 가능한 보안약점
24	안드로이드의 권한 검사 우회	권한이 전혀 없는 호출 프로그램이 응용 프로그램의 권한을 사용하게 되어 권한 검사를 우회할 수 있는 보안약점
25	클래스 로딩 하이재킹	프로그램의 클래스 로드시 검색되는 디렉토리의 이름이 변경되어 클래스 경로를 공격자가 명시적으로 제어할 수 있는 보안약점
26	소스코드 난독화 미적용	역공학 기술에 의한 소스코드 유출 및 보안메커니즘 우회 등이 발생할 수 있는 보안약점

별표 4	모바일 행정서비스 성과측정 지표

측정지표 (배점)

설명 및 산식

1. (계획)기반·인프라 확보 여부 (10점)

【정의】 안정적 · 효율적인 운영을 위해 필요한 핵심 요소들을 갖추고 있는지 여부

【점수구간】

5개	4개	3개	2개	1개
10점	8점	6점	4점	2점

【측정산식】 하단 체크리스트에 해당하는 항목의 합산으로 계산 (1개에 2점씩)

① 서비스 운영을 위한 지침 · 규정 등이 있는지 여부

② 운영 · 유지보수, 고도화 등 예산확보 여부

③ 운영 서비스에 대한 정기점검 실시 여부 (일 1회 이상)

④ 운영 · 유지보수 전담인력 지정·운영 여부

⑤ 운영 · 유지보수 인력에 대한 운영·보안교육 실시 여부 (월 1회 이상)

2. (구축)보안대책 마련 여부 (30점)

【정의】 구축 · 운영단계에서 SW개발보안(시큐어코딩) 및 취약점 점검 등이 적절히 수행되었는지 여부

【점수구간】

5개	4개	3개	2개	1개
30점	24점	18점	12점	6점

【측정산식】 하단 체크리스트에 해당하는 항목의 합산으로 계산 (1개에 6점씩)

① 단계별 중요 정보 식별, 위협분석 등 보안 대책이 수립되어 있는지 여부

② SW개발보안(시큐어코딩)이 적용되었는지 여부

③ 취약점 점검을 수행했는지 여부

④ 취약점 점검 결과 조치가 완료되었는지 여부

⑤ 보안설계서, 보안약점 및 취약점 점검 결과보고서 작성여부

3. (운영)관계규정 준수 여부 (20점)

【정의】 모바일 전자정부 서비스 관리지침의 ‘기본원칙’, 서비스 구축 가이드라인의 ‘서비스 운영 및 폐기’ 등 관계 규정을 준수하여 운영하는지 여부

【점수구간】

4개	3개	2개	1개
20점	15점	10점	5점

【측정산식】 하단 체크리스트에 해당하는 항목의 합산으로 계산 (1개에 5점씩)

① 운영계획 수립(로그파일 분석 및 현행화 분석)

② 운영관리 활동 수행(자료 현행화 및 보안/백업관리)

③ 운영활동 점검 및 개선활동(운영활동 진단, 사용자 편의성, 기능통합)

④ 폐기계획 수립(폐기이관계획, 폐기기준 및 절차, 폐기에 따른 결과)

4. (이용)이용률 현황 (30점)

【정의】 모바일 행정서비스 이용대상 인원 대비 실제 이용자의 비율

【점수구간】

80%이상	60%이상	40%이상	20%이상	20%미만
30점	24점	18점	12점	6점

【측정산식】 행정 업무 모바일 서비스 기관의 이용대상 인원(정원 등) 대비 실제 해당 서비스 설치 이용자 수의 비율(이용자/정원*100)

5. (관리)업데이트 최신성 여부 (10점)

【정의】 앱스토어 등록 이후 주기적으로 업데이트를 실시하고 있는 지 여부 측정

【점수구간】

6개월미만	6개월이상~1년미만	1년이상~2년미만	2년 이상
10점	6점	2점	0점

【측정산식】 행정용 앱스토어 최초 등록일자를 기준으로 업데이트 일자와의 기간의 평균을 계산하여 측정

별표 5	모바일 대민서비스 성과측정 지표

구분

항목(배점)

설명

배포/

보급

누적

다운로드수

(25)

【정의】 이용자가 공공앱을 다운로드한 총 건수

구간	1,000미만	1,000이상 5,000미만	5,000이상 10,000미만	10,000이상 50,000미만	50,000이상 100,000미만	100,000이상
점수	0	5	10	15	20	25

【측정산식】 각 앱스토어에서 다운로드한 건수의 합산

전년대비

설치율

(25)

【정의】 전년 동기간 대비 다운로드 건수의 비율

구간	20% 미만	20%이상 40%미만	40%이상 60%미만	60%이상 80%미만	80%이상
점수	5	10	15	20	25

【측정산식】 (최근 1년 설치수÷전년 동기간 설치수) × 100 = 설치율 (%)

관리

업데이트

최신성

(10)

【정의】 앱스토어 등록 이후 주기적으로 업데이트를 실시하고 있는지 측정

구간	24개월 이상	18개월 이상 24개월 미만	12개월 이상 18개월 미만	6개월 이상 12개월 미만	6개월 미만
점수	0	2	5	8	10

【측정산식】 업데이트가 가장 오래된 앱스토어의 최근 업데이트일을 측정

앱 만족도

(10)

【정의】 이용자가 앱스토어 등에서 다운받은 공공앱에 대한 평가점수

만족도	1점 미만	1점 이상 2점 미만	2점 이상 3점 미만	3점 이상 4점 미만	4점 이상
점수	2	4	6	8	10

【측정산식】 평가건수가 가장 많은 앱스토어의 이용자 평가점수

(단, 평가건수가 5건 미만일 경우 최저점 부여)

이용자 관리

(10)

【정의】 최근 1년간 작성된 앱 이용자 리뷰에 대한 앱 관리자의 답변율

구간	20% 미만	20% 이상 40% 미만	40% 이상 60% 미만	60% 이상 80% 미만	80% 이상
점수	2	4	6	8	10

【측정산식】 (스토어별 답변수 합계÷스토어별 리뷰수 합계) × 100 = 답변율 (%)

(단, 단일 앱스토어의 최근1년 리뷰가 200건 이상일 경우 최근 200건에 대한 답변수 측정)

GEAP

등록여부(5)

【정의】 범정부 정보기술아키텍쳐 지원시스템(범정부EA포털) 등록 여부

【측정산식】 범정부 EA포털(www.geap.go.kr) 등록 관리 여부 (5점)

(단, 별도 지원시스템을 사용하는 기관의 경우 별도 지원시스템 등록 여부로 판단)

접근성

하위 OS버전

지원여부

(6)

【정의】 최소수준의 OS버전 지원 여부(최소 수준은 매년 평가 전 결정)

구분	구글 플레이스토어	애플 앱스토어	원스토어
최소수준	Android 4.4 이하	iOS 10.0 이하	Android 4.4 이하

【측정산식】 최소수준 이하의 OS 지원 여부에 따라 각 2점 부여

복수 앱스토어

게시여부(9)

【정의】 복수 앱스토어 게시를 통한 다양한 접근채널 제공여부 평가

구분	구글 플레이스토어	애플 앱스토어	원스토어
점수	등재 앱스토어 수당 3점

평가

기준

총점(100)

구분	60점 미만	60점 이상~70점 미만	70점 이상
점수	폐기	개선	유지