뚝도아리수정수센터 주요정보통신기반시설 보호지침

[시행 2015.12.10.]

뚝도아리수정수센터 주요정보통신기반시설 보호지침

	- / -

뚝도아리수정수센터(정수시설과), 02-3146-5575

제1장 총칙

제1조(목적) 이 지침은 「행정자치부 소관 주요정보통신기반시설 보호지침(이하 "보호지침"이라 한다)」에 의거 각종 전자적 침해행위로부터 보호하기 위하여 뚝또아리수정수센터장(이하 "센터장"이라 한다)이 준수하여야 할 구체적 사항을 정함을 목적으로 한다.

제2조(다른 법규와의 관계) 「정보통신기반시설 보호법(이하 "법"이라 한다)」, 정보통신기반시설 보호법 시행령(이하 "시행령"이라 한다)」 및 보호지침에서 특별히 규정하고 있는 것을 제외하고는 이 조례에서 정하는 바에 따른다.

제3조(적용범위) 이 지침은 뚝도아리수정수센터(이하 "정수센터"라 한다)와 이를 관리·운용하는 업무종사자에 적용한다.

제2장 정보보호체계 및 관리

제4조(정보보호책임자) ① 정보보호책임자는 정수시설과장을 지정한다.

② 정보보호책임자는 시행령 제9조에제2항에서 규정하는 다음 각 호의 업무를 총괄 수행한다.

1. 주요정보통신기반시설보호대책의 수립ㆍ시행

2. 기술적 지원의 요청

3. 취약점 분석ㆍ평가 및 전담반 구성

4. 주요정보통신기반시설의 보호에 필요한 조치 명령 또는 권고의 이행

5. 침해사고의 통지

6. 해당 주요정보통신기반시설의 복구 및 보호에 필요한 조치

7. 기타 다른 법령에 규정된 주요정보통신기반시설의 보호업무에 관한 사항

③ 센터장은 정보보호책임자를 지정하거나 변동사항이 발생한 경우에는 15일 이내에 행정자치부 장관 및 서울시 정보보호실무책임관에게도 이를 통지하여야 한다.

④ 정보보호책임자는 소관 주요정보통신기반시설 보호를 위하여 정보보호책임관 및 광역자치단체의 정보보호실무책임관과 긴밀히 협조하여야 한다.

제5조(전담 조직의 구성) 제4조제2항에 따른 주요정보통신기반시설 보호 업무를 수행하기 위하여 정보보호책임자 소속 하에 별도의 전담 조직을 구성·운영할 수 있다.

제6조(업무종사자의 준수사항) ① 센터장은 소관 주요정보통신기반시설을 관리·운용하는 업무종사자(계약직을 포함한다)로 하여금 다음 각 호의 사항을 준수하도록 하여야 한다.

1. 주요정보통신기반시설의 보호책임에 관한 사항

2. 비밀유지 및 비밀서약에 관한 사항

3. 주요정보통신기반시설 보호관련 법령 및 지침 등의 준수에 관한 사항

4. 보호관련 지침 및 보호조치 위반에 따른 징계에 관한 사항

② 센터장은 해당 시설을 관리·운용하는 업무종사자가 보직이 변경되거나 퇴사하는 경우 법 제27조에 따라 소관 주요정보통신기반시설의 관리·운용에 관하여 취득한 비밀을 외부에 유출하지 않도록 주지시켜야 한다. 이 경우 센터장은 보직이 변경되거나 퇴사하는 자에 대하여 비밀유지에 관한 서약서를 작성하도록 요구할 수 있다.

제7조(보호업무 등의 위탁) 센터장은 소관 주요정보통신기반시설의 관리·운용 또는 취약점 분석·평가 등 보호에 관한 업무를 전문기관 또는 업체에 위탁하는 때에는 해당 기관 또는 업체의 위탁업무 수행에 참여하는 종사자에게 법 제27조에 따른 비밀유지의무를 준수하도록 비밀유지 서약서의 작성 요구, 업무관련 기록·자료의 안전한 보존 및 폐기 등 필요한 조치를 하여야 한다.

제8조(정보보호 교육·모의훈련의 실시) ① 센터장은 소관 주요정보통신기반시설을 관리·운용하는 업무종사자를 대상으로 해당 시설의 보호를 위하여 필요한 정보보호 교육 및 침해사고 모의훈련을 매년 1회 이상 실시하여야 한다.

② 센터장은 소관 주요정보통신기반시설의 보호를 위한 중요한 절차·방법, 담당인력 등의 변경이 있거나 침해사고가 발생 또는 관련 징후가 발견되었을 경우에는 필요한 교육·훈련을 실시하여야 한다.

③ 센터장은 소관 주요정보통신기반시설 보호를 위해 정보보호 책임자에게 연간 10시간 이상 정보보호 교육을 이수하도록 하여야 한다.

④ 센터장은 제22조 및 제23조에 따른 침해사고 대응·복구에 관한 절차 및 방법을 숙지하기 위해 침해사고 모의훈련을 실시하고 필요한 경우 해당 대응·복구절차 및 방법을 수정·보완하여야 한다.

제3장 보호대책 수립·이행

제9조(보호대책의 수립) ① 센터장은 법 제5조제1항에 따라 수립한 보호대책을 매년 8월말까지 서울시장에게 제출하여야 한다.

② 센터장은 보호대책을 수립할 때에 시행령 제10조제2항에 따라 행정자치부장관으로부터 통보받은 보호대책 수립지침을 준수하여야 하며, 법 제9조에 따라 실시한 취약점 분석·평가 결과를 반영하여야 한다.

제10조(보호대책 이행) 센터장은 정보통신기반보호위원회에서 심의·확정한 행정자치부 소관 보호계획과 제9조에 따라 수립한 보호대책을 이행하여야 한다.

제11조(취약점 분석·평가) ① 센터장은 법 제9조 및 시행령 제17조 및 제18조에 따라 소관 주요정보통신기반시설에 대한 취약점 분석·평가를 매년 실시해야 한다.

② 센터장은 취약점 분석·평가를 실시할 때에는 법 제9조제4항의 기준 등을 고려하여 대상, 기간, 절차, 방법 등 필요한 세부 계획을 수립·이행하여야 한다.

③ 센터장은 법 제9조제3항에 따라 다음 각 호의 1에 해당하는 기관으로 하여금 소관 주요정보통신기반시설의 특성 등을 고려하여 취약점 분석·평가를 하게 할 수 있다.

1. 한국인터넷진흥원

2. 법 제16조의 규정에 의한 정보공유·분석센터

3. 지식정보보안 컨설팅전문업체

4. 한국전자통신연구원

④ 센터장은 취약점 분석·평가 시 발견된 취약점에 대한 조치를 위해 점검항목별 조치 이력 관리대장을 작성·관리하여야 한다.

제12조(자체 점검 및 수시점검) ① 센터장은 시행령 제17조제2항에 따라 취약점 분석·평가가 필요하다고 판단되는 경우에는 1년이 되지 아니한 때에도 소관 주요정보통신기반시설에 대한 자체 점검을 실시할 수 있다.

② 센터장은 다음 각 호의 어느 하나에 해당하는 경우에는 수시로 점검(이하 "수시점검"이라 한다)을 실시할 수 있다.

1. 침해사고의 징후가 있는 경우

2. 시설·장비의 교체 및 보수를 한 경우

3. 침해사고에 따른 복구조치를 한 경우

4. 소관 주요정보통신기반시설의 보호에 관한 절차·방법 및 담당 인력의 변경이 있는 경우

③ 센터장은 제1항과 제2항에 따른 자체 점검 및 수시점검을 실시할 때에는 다음 각 호의 사항을 고려하여 실시하여야 한다.

1. 법 제9조에 따른 취약점 분석·평가 기준

2. 취약점 분석·평가의 범위 및 항목, 절차, 방법

3. 이전에 실시한 취약점 분석·평가의 결과

④ 센터장은 자체 점검 및 수시점검을 실시한 때에는 점검 기간, 대상, 방법 및 결과 등 점검에 관한 제반사항을 기록·관리하여야 한다.

제13조(보완조치) 센터장은 제11조에 따른 취약점 분석·평가 및 제12조에 따른 점검 결과를 반영하여 다음 각 호의 조치를 하여야 한다.

1. 주요정보통신기반시설 보호를 위해 수립된 각종 보호조치, 절차 및 방법 등의 재검토 및 수정·보완

2. 시설·장비의 개축·보수 또는 설치

3. 그 밖에 취약점 분석·평가 또는 점검 결과를 반영한 보완 조치

제4장 침해사고에 대한 대응 및 복구

제14조(연락체계의 구축) ① 센터장은 소관 주요정보통신기반시설에 대한 전자적 침해사고가 발생한 경우 신속히 대응하고 관계기관에 알리기 위해 필요한 연락체계를 구축하여야 한다.

② 센터장은 제1항에 따른 연락체계에 있어 행정자치부 정보보호책임관과 한국지역정보개발원의 자치단체 정보공유·분석센터, 한국인터넷진흥원이, 서울시 정보보호실무책임관이 포함되도록 하여야 한다.

제15조(침해사고의 통지) ① 센터장은 침해사고가 발생하여 소관 주요정보통신기반시설이 교란·마비 또는 파괴된 사실을 인지한 때에는 법 제13조제1항에 따라 행정자치부와 관계 행정기관, 수사기관 또는 한국인터넷진흥원에 그 사실을 통지하여야 한다.

② 제1항에 의한 침해사고의 통지에는  다음 각 호의 사항이 포함되어야 한다.

1. 침해사고발생 일시 및 시설

2 침해사고로 인한 피해내역, 조치현황

3. 기타 신속한 대응·복구를 위하여 필요한 사항

제16조(침해사고 대응조치) ① 관리기관의 임직원 및 유지보수업체의 수탁업무 수행에 참여하는 종사자는 전자적 침해사고의 징후가 있거나 전자적 침해사고의 발생을 인지한 때에는 이를 즉시 정보보호책임자에게 보고하고 침해사고대응팀 구성 등 필요한 응급조치를 취하여야 한다.

② 정보보호책임자는 소관 주요정보통신기반시설에 대한 중대한 전자적 침해사고의 발생·징후를 보고 받거나 인지한 때에는 이를 행정자치부에 즉시 보고하여야 한다. 다만, 센터장은 소관 주요정보통신기반시설의 교란, 마비 또는 파괴가 일어나지 아니하는 등 경미한 침해사고의 발생·징후는 조치하고 이를 사후보고할 수 있다.

③ 센터장은 제1항 및 제2항에 따른 사항을 포함하여 전자적 침해사고 발생에 따른 대응절차 및 방법 등 침해사고 대응체계를 수립하여야 한다.

제17조(침해사고 복구조치) ① 센터장은 소관 주요정보통신기반시설에 대한 침해사고가 발생한 때에는 해당 정보통신기반시설의 복구 및 보호에 필요한 조치를 신속히 취하여야 한다. 이 때, 행정자치부 장관 또는 한국인터넷진흥원의 장에게 지원을 요청할 수 있다.

② 센터장은 제1항의 복구조치를 위하여 필요한 조직, 자원, 외부기관과의 협력 등을 포함하는 복구지원체계를 구축하여야 한다.

③ 센터장은 제1항 및 제2항의 내용을 포함하여 전자적 침해사고가 발생한 시설에 대한 복구절차 및 방법에 관하여 필요한 사항을 정하여야 한다.

제5장 기술적 보호조치

제18조(침해사고 예방조치) 센터장은 소관 주요정보통신기반시설을 보호하기 위하여 침해사고 예방대책을 수립·시행하는 경우에는 다음 각 호의 사항을 고려하여야 한다.

1. 시스템·네트워크 관리 및 보호에 관한 대책

2. 정보보호시스템 설치·운용에 관한 대책

3. 전산자료에 대한 백업조치 등

4. 악성코드 방지 대책

5. 접근통제에 관한 대책

6. 그 밖에 소관 주요정보통신기반시설의 침해사고 예방을 위해 필요한 사항

제19조(정보통신망 보안관리) ① 센터장은 소관 주요정보통신기반시설 보호를 위하여 타 정보통신망과 분리·운영, 인터넷 연결이 차단된 관리자PC를 통한 시스템 관리기능 접속, 비인가 단말기 접속차단 등의 기술적 통제수단을 강구하여야 한다.

② 서버, 단말기, 네트워크 장비 등에 불필요한 서비스·사용자 계정 등은 제거하고 유지보수를 위한 외부업체의 원격관리를 금지한다.

③ 시스템별 사용자접근, 사용내역 등의 로그자료를 6개월 이상 보관하는 등 기록 유지한다.

제20조(제어시스템 보안관리) ① 주요정보통신기반시설 중 제어시스템의 보호를 위하여 제어시스템이 포함된 정보통신망을 폐쇄망으로 운영한다. 다만, 업무시스템 등과의 연결이 불가피할 경우 해당 구간에 침입차단시스템 설치 등 제어시스템을 내부 업무망 등과 분리·운영하여야 한다.

② 센터장은 주요정보통신기반시설 중 제어시스템 관련 서버 및 단말기 등을 대상으로 USB, CD, DVD 등 보조기억매체 사용 통제, 보안패치 적용, 바이러스 백신 설치 등의 악성코드 감염 및 자료 유출 방지대책을 마련·시행하여야 한다.

③ 센터장은 제어시스템 단말기는 망간 혼용사용을 금지하고, 제어망 내 자료 이동이 불가피할 경우 전용 단말기를 지정, 인가된 USB 등을 통해 백신 검사 후 자료이동을 실시하여야 한다.

제21조(외부 용역사업 보안관리) 센터장은 주요정보통신기반시설 관련 정보화사업 및 보안컨설팅 수행 등 외부 용역사업 계약 시 보안서약서를 징구하고 다음 각 호의 사항을 계약서에 명시하여야 한다.

1. 중요 정보 취급에 대한 비밀 유지 서약

2. 외주 업체가 준수해야 할 보안준수 사항 및 위반시 손해배상 책임

3. 정보시스템 접근 권한에 대한 승인 절차 준수

4. 보안관리에 대한 감사 권한 등

제6장 기타

제22조(준용) 주요정보통신기반시설 보호 업무를 수행함에 있어 이 지침에 명시되지 않은 사항은 다음 관련 규정 및 지침 등에 따른다.

1.「전자정부법」 및 같은 법 시행령

2.「정보시스템 저장매체 불용처리지침」

3.「보안업무규정」

4.「국가정보보안기본지침」

5.「국가사이버안전관리규정」

6.「행정자치부 소관 주요정보통신기반시설 보호지침」

7. 그 밖에 정보보호 관련 법령 및 지침·가이드·매뉴얼