서울특별시 정보통신 보안업무 처리규칙

[시행 2018.1.18.] [서울특별시규칙 제4200호, 2018.1.18., 전부개정]

서울특별시 정보통신 보안업무 처리규칙

법제처	- / -	국가법령정보센터

서울특별시 (정보통신보안담당관) 02-2133-2876

제1장 총  칙

제1조(목적) 이 규칙은 「전자정부법」과 같은 법 시행령, 「정보통신기반 보호법」과 같은 법 시행령, 「국가사이버안전관리규정」 및 「국가 정보보안 기본지침」에 따라 서울특별시가 수행하여야 할 정보통신 보안 및 관리 업무 전반에 관한 사항을 규정함을 목적으로 한다.

제2조(정의) 이 규칙에서 사용하는 용어의 뜻은 다음과 같다.

1. "사용자"란 서울특별시장(이하 "시장"이라 한다)으로부터 정보통신망 또는 정보시스템에 대한 접근 또는 사용 허가를 받은 공무원과 소속 직원 등을 말한다.

2. "정보통신망"이란 「전기통신기본법」 제2조제2호에 따른 전기통신설비를 활용하거나 전기통신설비와 컴퓨터 및 컴퓨터의 이용기술을 활용하여 정보를 수집·가공·저장·검색·송수신하는 정보통신체제를 말한다.

3. "인터넷망"이란 기관의 네트워크 중에서 인터넷을 사용할 수 있도록 연결되어 있는 인터넷 전용망을 말한다.

4. "업무망"이란 기관의 네트워크 중에서 업무용으로 사용되는 영역으로 다음 각 목의 것을 말한다.

가. 망 분리기관: 인터넷망과 분리된 내부전산망

나. 망 미분리기관: 인터넷서비스가 병행 제공되는 내부전산망

5. "정보시스템"이란 PC·서버 등 단말기, 보조기억매체, 전산·통신장치, 정보통신기기, 응용프로그램 등 정보의 수집·가공·저장·검색·송수신에 필요한 하드웨어 및 소프트웨어 일체를 말한다.

6. "휴대용 저장매체"란 디스켓·CD·외장형 하드디스크·USB메모리 등 정보를 저장할 수 있는 것으로 PC등의 정보시스템과 분리할 수 있는 기억장치를 말한다.

7. "정보보안"이란 정보시스템 및 정보통신망을 통해 수집·가공·저장·검색·송수신 되는 정보의 유출·위변조·훼손 등을 방지하기 위하여 관리적·물리적·기술적 수단을 강구하는 일체의 행위로서 사이버안전을 포함한다.

8. "전자문서"란 컴퓨터 등 정보처리 능력을 가진 장치에 의하여 전자적인 형태로 송·수신 또는 저장되는 정보를 말한다.

9. "전자기록물"이란 정보처리능력을 가진 장치에 의하여 전자적인 형태로 송·수신 또는 저장되는 기록정보자료를 말한다.

10. "전자정보"란 서울특별시(이하 "시"라 한다)가 업무와 관련하여 취급하는 전자문서 및 전자기록물을 말한다.

11. "정보통신실"이란 서버·PC등과 스위치·교환기·라우터 등 네트워크 장치 등이 설치 운용되는 장소를 말하며, 전산실·통신실·전자문서 및 전자기록물(전자정보)보관실 등을 말한다.

12. "안전측정"이란 정보통신망을 불법침입·교란·마비·파괴하거나 정보를 절취·훼손하는 해킹·컴퓨터바이러스·서비스방해·도청 등으로부터 정보통신망과 정보를 보호하기 위하여 정보보안 취약점을 진단하는 제반활동을 말하며, 대도청(對盜聽)측정 활동을 포함한다.

13. "국가용 보안시스템"이란 비밀 등 중요자료를 보호하기 위하여 국가정보원장이 개발하거나 안전성을 검증한 암호장비·보안자재·암호논리 등을 말한다.

14. "암호장비"란 정보통신망으로 처리·저장·송수신되는 정보를 보호할 목적으로 암호논리를 내장하여 제작된 장비를 말한다.

15. "보안자재"란 통신내용 등의 정보를 보호할 목적으로 사용하는 암호·음어·약호자재를 말한다.

16. "음어자재"란 Ⅲ급비밀 이하의 통신내용 등의 정보를 보호할 목적으로 사용하는 문서·숫자·기호 등으로 구성된 환자표 또는 암호논리 등을 수록한 문서나 도구를 말한다.

17. "약호자재"란 대외비 이하의 통신내용 등의 정보를 보호할 목적으로 특정 용어와 그에 대응·변환되는 문자, 숫자, 기호 등을 수록한 문서나 도구를 말한다.

18. "암호논리"란 정보의 유출, 위·변조, 훼손 등을 방지하기 위하여 기밀성·무결성·인증·부인봉쇄 등의 기능을 제공하는 수학적 논리 또는 알고리즘을 말한다.

19. "정보보호시스템"이란 정보의 수집·저장·검색·송신·수신 시 정보의 유출, 위·변조, 훼손 등을 방지하기 위한 하드웨어 및 소프트웨어를 말한다.

20. "사이버공격"이란 해킹, 컴퓨터 바이러스, 논리폭탄, 메일폭탄, 서비스방해 등 전자적 수단에 의하여 정보통신망을 불법침입·교란·마비·파괴하거나 정보를 절취·훼손하는 공격 행위를 말한다.

제3조(적용범위) 이 규칙은 다음 각 호의 기관에 적용한다.

1. 시 본청

2. 서울특별시의회사무처

3. 시 직속기관·사업소·합의제행정기관

제4조(정보보안 대상) 시의 정보보안 대상은 다음 각 호와 같다.

1. 컴퓨터나 저장매체에 기록된 정보

2. 시에서 사용 또는 관리하는 모든 정보시스템

3. 전자정보 및 정보시스템에 관련된 인력, 시설 등

제5조(책무) 시장은 국가안보 및 국가이익 관련 정보(전자정보를 포함한다. 이하 같다)와 정보통신망을 보호하기 위한 보안대책을 마련하여야 한다.

제2장 정보보안 조직

제6조(정보보안담당관 지정) ① 시장은 효율적·체계적인 정보보안 업무를 수행하기 위하여 정보통신보안담당관을 정보보안담당관으로 지정·운영하여야 한다.

② 시장은 정보보안담당관을 임명한 경우에는 7일 이내에 소속·직책·직급·성명·연락처(전자우편 주소 포함) 등을 국가정보원장에게 통보하여야 한다.

③ 정보보안담당관의 기본활동은 다음 각 호와 같다.

1. 정보보안 정책 및 기본계획 수립·시행

2.「서울특별시 보안업무 처리규칙」 제3조에 따른 보안심사위원회의 정보통신보안 분야 안건 심의 주관

3. 정보보안 업무 지도·감독

4. 정보통신실, 정보통신망 및 정보자료 등의 보안관리

5. 정보보안 관리실태에 대한 자체 조사·평가

6. 사이버공격 초동조치 및 대응

7. 사이버위협정보 수집·분석 및 보안관제

8. 정보보안 예산 및 전문인력 확보

9. 정보보안 사고 조사 결과 처리

10. 정보보안 교육 및 정보협력

11. 도청 위해 요소 측정·제거

12. 주요 정보통신기반시설 보호활동

13. 정보보호시스템의 운용 및 보안관리

14. 정보통신망 보안대책의 수립·시행

15. ‘사이버보안진단의 날’ 계획 수립·시행

16. 그 밖에 정보보안 관련 사항

제3장 정보보안 기본활동

제1절 기본 사항

제7조(활동계획 수립 및 심사분석) ① 시장은 정보보안업무 세부추진계획을 수립·시행하고 그 추진결과를 심사분석·평가하여야 한다.

② 시장은 제1항에 따른 세부추진계획 및 심사분석 결과를 별지 제1호서식 및 별지 제2호서식에 따라 다음 각 호에 따른 제출기한까지 국가정보원장에게 제출하여야 한다.

1. 해당 연도 정보보안업무 세부추진계획: 매년 1월 25일까지

2. 전년도 3/4분기 ～ 해당 연도 2/4분기 내용 종합 보안업무 심사분석 결과: 매년 7월 31일까지

제8조(지도방문) 시장은 정보통신망 운용 관리에 따른 보안취약성 개선을 위하여 산하기관 및 자치구에 대하여 정보통신보안 지도방문을 실시할 수 있다.

제9조(사용자 관리) ① 시장은 소관 정보통신망(정보시스템 포함) 사용과 관련하여 다음 각 호의 사항을 포함한 사용자 보안에 관련된 절차 및 방법을 마련하여야 한다.

1. 직위·임무별 정보통신망 접근 자격부여 심사

2. 비밀 등 중요정보 취급 시 비밀취급인가, 보안서약서 징구 등의 보안조치

3. 보직변경, 퇴직 등 인사이동 시 관련 정보시스템 접근권한 조정

② 시장은 외부 인력을 활용하여 정보시스템의 개발, 운용, 정비 등을 수행할 경우에는 해당 인력의 고의 또는 실수로 인한 정보유출이나 파괴를 방지하기 위하여 보안조치를 수행하여야 한다.

③ 용역사업에 관련된 세부 사항은 제10조 또는 「국가 정보보안 기본지침」상 외부 용역업체 보안관리방안(부록 7)을 따른다.

제10조(용역사업 보안관리) ① 시장은 정보화·정보보안 사업 및 보안컨설팅 수행 등을 외부용역으로 추진할 경우 사업 책임자에게 다음 각 호의 사항을 포함한 보안대책을 수립·시행하도록 하여야 한다.

1. 용역사업 계약 시 계약서에 참가직원의 보안준수 사항과 위반 시 손해배상 책임 명시, 용역 참여인원에 대한 친필 보안서약서 제출 등

2. 용역사업 수행 관련 보안교육·점검 및 용역 기간 중 참여인력 임의교체 금지

3. 정보통신망도·IP현황 등 용역업체에 제공할 자료는 자료 인계·인수대장을 비치, 보안조치 후 인계·인수하고 무단 복사 및 외부반출 금지

4. 사업 종료 시 외부업체의 노트북·휴대용 저장매체 등을 통해 비공개 자료가 유출되는 것을 방지하기 위하여 복구가 불가능하도록 완전삭제, 사업자 대표자 명의 보안확약서 제출

5. 용역업체로부터 용역 결과물을 전량 회수하고 비인가자에게 제공·열람 금지

6. 용역업체의 노트북 등 관련 장비를 반출·반입시마다 악성코드 감염여부, 자료 무단반출 여부를 확인

7. 그 밖에 시장이 보안관리가 필요하다고 판단하는 사항이나 국가정보원장이 보안조치를 권고하는 사항

② 시장은 용역사업 추진 시 과업지시서·입찰공고·계약서에 다음 각 호의 누출금지 대상정보를 명시해야 하며, 해당 정보 누출 시 입찰 참가자격 제한을 위한 부정당업자로 등록하여야 한다.

1. 기관 소유 정보시스템의 내·외부 IP주소 현황

2. 세부 정보시스템 구성 현황 및 정보통신망 구성도

3. 사용자계정·비밀번호 등 정보시스템 접근권한 정보

4. 정보통신망 취약점 분석·평가 결과물

5. 정보화 용역사업 결과물 및 관련 프로그램 소스코드(유출 시 안보·국익에 피해가 우려되는 중요 용역사업에 해당)

6. 국가용 보안시스템 및 정보보호시스템 도입 현황

7. 침입차단시스템·방지시스템(IPS)등 정보보안 제품 및 라우터·스위치 등 네트워크 장비 설정 정보

8.「공공기관의 정보공개에 관한 법률」 제9조제1항에 따라 비공개 대상 정보로 분류된 기관의 내부문서

9.「개인정보 보호법」 제2조제1호의 개인정보

10.「보안업무규정」 제4조의 비밀 및 같은 영 시행규칙 제16조제3항의 대외비

11. 그 밖에 시장이 공개가 불가하다고 판단한 자료

③ 시장은 비밀관련 용역사업을 수행할 경우, 외부인원에 대한 신원조사·비밀취급인가, 보안교육 등 보안조치를 수행하여야 한다.

④ 정보보안담당관은 제1항부터 제3항까지에서 규정한 보안대책의 시행과 관련한 이행실태를 주기적으로 점검하고 미비점 발견 시 사업 책임자에게 보완토록 조치하여야 한다.

⑤ 그 밖에 용역사업 보안관리에 관한 세부 사항은 「국가 정보보안 기본지침」상 외부 용역업체 보안관리방안(부록 7)을 따른다.

제11조(정보시스템 위탁운영 보안관리) ① 시장은 소관 정보시스템에 대한 외부업체의 위탁 운영을 최소화하되, 위탁 운영 필요 시 관련 관리적·물리적·기술적 보안대책을 수립하여 시행하여야 한다.

② 정보시스템 위탁 운영은 다른 기관 또는 업체 직원이 시 소관 부서 또는 기관에 상주하여 수행하는 것을 원칙으로 한다. 다만, 소관 부서 또는 기관에 위탁업무 수행 직원의 상주가 불가한 타당한 사유가 있을 경우, 관련 보안대책을 수립·시행하는 조건으로 그러하지 아니할 수 있다.

③ 정보시스템의 위탁운영과 관련하여 이 조에서 규정하지 아니한 사항은 제10조를 준용한다.

제12조(원격근무 보안관리) ① 시장은 재택·파견·이동근무 등 원격 근무를 지원하기 위한 정보시스템을 도입·운영할 경우 기술적·관리적·물리적 보안대책을 수립하고 국가정보원장의 보안성 검토를 거쳐 시행하여야 한다.

② 시장은 원격근무 가능 업무 및 공개·비공개 업무 선정기준을 수립하고 대외비 이상 비밀자료를 취급하는 업무는 원격근무 대상에서 원칙적으로 제외하되 반드시 수행해야 하는 경우 보안대책 강구 후 국가정보원장과 협의하여 수행여부를 결정한다.

③ 시장은 모든 원격근무자에게 보안서약서를 징구하고 원격근무자의 업무변경·인사이동·퇴직 등 상황 발생 시 정보시스템 접근권한 재설정 등 관련 절차를 수립하여야 한다.

④ 원격근무자는 원격근무 시 해킹에 의한 업무자료 유출을 방지하기 위하여 작업 수행 전 최신 백신으로 원격근무용 PC점검·업무자료 저장금지 등 보안조치를 수행하여야 한다.

⑤ 원격근무자는 정보시스템 고장 시 정보유출 방지 등 보안대책을 강구한 후 정보보안담당관과 협의하여 정비·반납 등 조치를 취하여야 한다.

⑥ 비공개 원격업무인 경우에는 국가용 보안시스템을 사용하여 소통자료를 암호화 하고 행정전자서명체계를 이용하여 인증하며 인증강화를 위하여 일회용 비밀번호·생체인증 등 보안기술을 사용하여야 한다.

⑦ 정보보안담당관은 주기적인 보안점검을 실시하여 원격근무 보안대책의 이행 여부를 확인하여야 한다.

제13조(정보통신시설 보호) ① 시장은 다음 각 호의 중요 정보통신시설 및 장소를 보호구역으로 지정하여 관리하여야 한다.

1. 암호실·통신실·전산실

2. 통합전산센터

3. 보안 관제센터, 백업센터 및 중요한 정보통신시설을 집중 제어하는 장소

4. 그 밖에 보안관리가 필요하다고 인정되는 정보시스템 설치장소

② 시장은 다음 각 호 사항을 참고하여 제1항에 따라 지정된 보호구역에 대한 보안대책을 마련하여야 한다.

1. 방재대책 및 외부로부터의 위해(危害)방지대책

2. 상시 이용하는 출입문은 한 곳으로 정하고 이중 잠금장치 설치

3. 출입자 인증·식별 등을 위한 출입문 보안장치 설치 및 주야간 감시대책

4. 휴대용 저장매체를 보관할 수 있는 용기 비치

5. 정보시스템 안전지출 및 긴급파기 계획 수립

6. 관리책임자 및 자료·장비별 취급자 지정 운용

7. 정전에 대비한 비상전원 공급, 시스템의 안정적 중단 등 전력관리 대책

8. 비상조명 장치 등 비상탈출 대책

9. 전자파 누설 방지 대책

10. 카메라 장착 휴대폰 등을 이용한 불법 촬영 방지 대책 등

제14조(비밀의 전자적 처리) ① 시장은 비밀 등 중요 전자정보를 정보통신망을 이용하여 생산·보관·분류·열람·출력·송수신·이관하는 등 전자적으로 처리하기 위해서는 국가용 보안시스템을 사용하여 암호화하는 등 국가정보원장이 안전성을 확인한 보안조치를 수행하여야 한다.

② 제1항의 경우 비밀 등 중요 전자정보를 다음 각 호의 PC를 사용하여 처리한다.

1. 업무망이 인터넷망과 분리된 경우: 업무망 전용 PC에서 처리

2. 업무망이 인터넷망과 분리되지 않은 경우: 다른 전산망과 연동되지 않은 비밀문서 작업 전용 PC에서 처리

③ 비밀을 전자적으로 생산하고자 할 때에는 해당 비밀등급과 예고문을 입력하여 열람 또는 출력 시 비밀등급이 자동으로 표시되도록 하여야 한다.

④ 비밀을 전자적으로 생산·열람·출력·송수신·이관 시에는 관련 규격에 따른 제반사항을 전자적으로 기록·유지하여야 하며 송수신 시에는 정당성 확인 및 부인을 방지하기 위하여 전자적으로 생성된 영수증을 사용하여야 한다.

⑤ 비밀 생산을 완료한 경우에는 PC에 입력된 비밀내용을 삭제하여야 한다. 다만, 업무상 필요한 경우에는 비밀 저장용 휴대용 저장매체를 별도로 지정 사용하거나 PC내에 독립된 폴더를 지정, 국가용 보안시스템으로 암호화하여 보관하여야 한다.

⑥ 국방·외교 관련 사항 등 비밀을 주로 취급하는 정보통신망을 인터넷망 등 상용망과 분리 운용하여야 한다.

⑦ 전자적으로 처리된 비밀을 종이문서로 출력한 이후의 취급관리는 「보안업무규정」에 따른다.

제15조(비밀의 전자적 처리 규격) 시장은 비밀을 전자적으로 안전하게 처리하기 위하여 다음 각 호의 사항을 포함하여 국가정보원장이 별도로 규정한 보안규격을 준수하여야 한다.

1. 비밀의 생산·등록·보관·사용·유통·재분류·이관·파기 등 전 처리과정에서 요구되는 보안기능

2. 비밀의 관리를 위한 기능

3. 비밀을 표시하기 위한 양식 및 외형 정의

4. 비밀을 전자적으로 처리하면서 발생하는 각종 이벤트 기록·관리 기능

5. 비밀을 관리하기 위한 각종 대장 및 카드 정의

6. 사용자 및 시스템 관리 기능

7. 그 밖에 비밀을 전자적으로 처리하는데 필요한 보안·관리 기능

제2절 정보보안 점검

제16조(모의훈련) ① 시장은 자체 정보통신망을 대상으로 매년 정기 또는 수시 사이버위기 대응 모의훈련을 실시하여야 한다. 이 경우, 훈련 완료일 기준 2개월 이내 훈련결과를 국가정보원장에게 통보하여야 한다.

② 시장은 제1항의 모의훈련 결과 시정이 필요하다고 판단하는 경우에는 필요한 조치를 이행하여야 한다.

제17조(정보보안 교육) ① 시장은 자체 정보보안 교육계획을 수립하여 연 2회 이상 전 직원을 대상으로 한 관련 교육을 실시하여야 하며, 소속 직원들은 반드시 1회 이상 이수하여야 한다.

② 시장은 정보보안 교육의 효율성 제고를 위하여 시 자체 실정에 맞는 정보보안 교안을 작성하여 활용하여야 한다.

③ 시장은 정보보안 관련 전문기관 교육 및 기술 세미나 참석을 장려하는 등 정보보안 담당자의 업무 전문성을 제고하기 위하여 노력하여야 한다.

제18조(사이버보안진단의 날) ① 시장은 매월 세 번째 수요일을 ‘사이버보안진단의 날’로 지정·운영하여야 한다.

② 정보보안담당관은 ‘사이버보안진단의 날’에 소관 정보통신망의 악성코드 감염여부, 정보시스템의 보안 취약여부 등 정보보안업무 전반에 대하여 체계적이고 종합적인 보안진단을 실시하여야 한다.

③ 시장은 제1항 및 제2항에 따른 보안진단 결과를 제7조에 따른 정보보안업무 심사분석에 포함하여 국가정보원장에게 통보하여야 한다.

제19조(정보보안 관리실태 평가) 시장은 정보통신망과 행정정보의 안전성 확보를 위한 보안대책의 이행여부 등을 국가정보원장이 정하는 평가 대상·기준, 평가항목 및 기간에 따라 자체 평가하여야 한다.

제20조(자체평가 및 개선대책 강구) ① 시장은 국가정보원이 구축한 온라인 평가시스템의 계정을 부여받아 정해진 기간 동안 평가지표에 따라 자체평가를 실시한다.

② 시장은 자체평가의 적절성을 입증할 수 있도록 평가지표별 증빙자료를 준비하여야 하며 온라인 평가시스템에 첨부할 수 있다.

③ 시장은 국가정보원장이 통보한 평가결과를 자체 정보보안 대책 등의 수립 시에 반영하고 취약요소를 개선·보완하여 정보보안 수준을 제고하여야 한다.

제21조(안전측정) ① 시장은 국가정보원장이 다음 각 호의 사유로 정보통신망에 대한 안전측정을 실시할 경우 적극 협조하여야 한다.

1.「전자정부법」 제56조 및 「공공기록물 관리에 관한 법률 시행령」 제5조 등에 따른 전자정보 보안조치의 이행여부를 확인하고자 하는 경우

2.「국가사이버안전관리규정」 제9조에 따른 사이버안전대책의 이행여부 등 정보통신망에 대한 안전성을 확인하고자 하는 경우

3.「보안업무규정」 제35조에 따라 보안측정을 실시하는 경우

4.「국가위기관리기본지침」에 따라 사이버안전대책의 수립·수행 관련 지도 및 안전진단 등을 실시하는 경우

5. 정보보안 사고가 발생하여 정보통신망의 보안취약성 진단이 요구되는 경우

6. 중요 정보통신시설에 대한 사이버공격 등으로부터 보호대책이 필요한 경우

7. 정보통신수단에 의하여 국가기밀 유출 및 암호체계의 누설 우려가 있는 경우

8. 시장이 정보통신망에 대한 보안취약성 점검 또는 종합 진단을 요청한 경우

9. 그 밖에 국가안보상 필요하다고 판단하는 경우

② 국가정보원장이 안전측정 결과 신속한 시정이 필요하다고 판단되어 필요한 조치를 시장에게 요청할 경우 시장은 특별한 사유가 없는 한 이에 따라야 한다.

③ 시장은 국가정보원장의 안전측정과는 별도로 홈페이지 등 자체 정보통신망을 대상으로 하여 매년 정기적으로 보안취약성 점검을 실시하고 점검대상, 점검항목, 조치내용 및 조치계획 등을 3개월 이내에 국가정보원장에게 통보하여야 한다. 다만, 외부 용역을 통해 보안취약성을 점검하고자 하는 경우 국가정보원장과 사전에 협의하여야 한다.

④ 국가정보원장이 시의 자체 보안취약성 점검결과에 대하여 별도의 안전측정이 필요하다고 판단한 경우 시장은 이를 적극 협조하여야 한다.

제3절 침해사고 및 재난 방지

제22조(사고상황전파) ① 시장은 사이버공격과 관련한 정보를 확인한 경우에는 전화·팩스·이메일 등 통신수단을 활용하여 지체 없이 그 사실을 국가안보실장, 국가정보원장 및 관계 중앙행정기관의 장에게 통보하여야 한다.

② 제1항에 따라 통보해야 할 경우는 다음 각 호와 같다.

1. 대규모 사이버공격이 발생한 경우

2. 사이버공격으로 인하여 피해가 발생하거나 피해 발생이 예상되는 경우

3. 사이버공격이 확산될 우려가 있는 경우

4. 그 밖에 사이버공격 계획 등 사이버안전에 위협을 초래할 수 있는 정보를 입수한 경우

제23조(정보보안 사고 조사) ① 시장은 별표 1의 정보보안 사고가 발생한 경우 즉시 피해확산 방지를 위한 조치를 취하고 다음 각 호의 사항을 국가정보원장에게 통보하여야 한다. 이 경우, 사고원인이 규명될 때까지 피해 시스템에 대한 증거를 보전하고 임의로 관련 자료를 삭제하거나 포맷하여서는 아니 된다.

1. 일시 및 장소

2. 사고 원인, 피해 현황 등 개요

3. 사고자 및 관계자의 인적사항

4. 조치 내용 등

② 시장은 규정에 따른 관련자 징계, 재발방지를 위한 보안대책의 수립·시행 등 사고 조사 결과에 따라 필요한 조치를 하여야 한다.

제24조(침해사고) 침해사고 등 사이버 테러 발생 시 대응방법은 시장이 별도로 정한다.

제25조(재난방지) ① 시장은 인위적 또는 자연적인 원인으로 인한 정보통신망의 장애 발생에 대비하여 정보시스템 이원화, 백업관리, 복구 등 종합적인 재난방지 대책을 수립·시행하여야 한다.

② 시장은 재난방지대책을 정기적으로 시험하고 검토해야 하며 업무 연속성에 대한 영향평가를 실시하여야 한다.

③ 시장은 정보시스템 장애에 대비한 백업시설을 확보하고 정기적으로 백업을 수행하여야 한다.

④ 시장은 제3항에 따른 백업시설을 설치할 경우에는 정보통신실과 물리적으로 일정거리 이상 떨어진 안전한 장소에 설치하여야 하며 전력공급원 이원화 분리 등 정보시스템의 가용성을 최대화 할 수 있도록 하여야 한다.

⑤ 재난으로 인한 정보통신 마비 상황 발생 시 대응은 시장이 별도로 정한다.

제4절 그 밖의 보안활동

제26조(무선도청 탐지) ① 시장은 무선도청에 따른 정보유출을 방지하기 위하여 다음 각 호의 시설 및 장소에 대한 보안대책을 강구하여야 한다.

1. 청사 신설·이전 또는 증·개축 시설

2. 기관장실·회의실 등 중요시설

3. 중요 협상·회의와 회담장소 또는 도청 의심징후가 있는 장소

② 시장은 「국가 정보보안 기본지침」에 따라 제1항 각 호의 시설 및 장소에 대하여 국가정보원장에게 무선 도청 탐지활동을 요청할 수 있다.

③ 시장은 제2항의 요청에 따라 국가정보원장이 무선도청 탐지활동을 실시하고 통보한 결과나 자체 무선도청 탐지활동 결과를 외부에 공개하여서는 아니 되며, 탐지활동 결과 도출된 도청 취약요소 등에 대해서는 개선대책을 강구하여야 한다.

제27조(국가비상사태 시 보호관리) ① 시장은 전시·사변 또는 이에 준하는 국가비상사태 발생 시에 비밀 및 중요 정보시스템의 효율적인 보호관리를 위한 대책을 강구하여야 한다.

② 제1항의 보호관리가 필요한 비밀 및 중요 정보시스템에는 다음 각 호의 사항을 포함한다.

1. 국가비상사태 발생 시 후송하여 계속 보관해야 할 비밀(A급 비밀)

2. 암호장비, 음어자재, 비밀관리시스템 등 국가용 보안시스템

3. 비밀이 저장된 CD·외장형 하드디스크·USB메모리 등 휴대용 저장매체

4. 시장이 보관이 필요하다고 결정한 중요자료 및 중요 정보시스템 등

③ 시장은 제1항의 보호관리 대책 수립 시 충무사태 단계별 비밀 및 중요 정보시스템의 소산·이동·파기 절차·방법 등 조치방안 일체를 포함하여야 한다.

④ 시장은 비상사태에 따라 업무지역 이동 시 비밀을 정보통신망을 통하여 소통하고자 할 경우에는 국가정보원장이 안전성을 확인한 보안조치를 하여야 한다.

⑤ 비상사태 시 비밀문서의 보안관리에 관한 그 밖의 사항은 국가정보원의 「국가비상사태시 비밀관리지침」을 따른다.

제5절 보안관제

제28조(보안관제센터 설치·운영) ① 시장은 소관 정보통신망에 대한 사이버공격 정보를 수집·분석·대응할 수 있는 자체 보안관제센터를 설치하여야 한다. 다만, 불가피한 사유가 있을 경우에는 다른 국가·지방자치단체·공공기관이 운영하는 보안관제센터에 관련 업무를 위탁할 수 있다.

② 시장은 보안관제 업무를 하루 24시간 중단 없이 수행하여야 하며 보안관제센터 운영에 필요한 전담직원을 배치하여야 한다.

③ 그 밖에 보안관제센터 설치·운영에 관련된 사항은 국가정보원의 「국가전산망 보안관제지침」을 따른다.

제29조(정보공유) ① 시장은 별지 제3호서식에 따라 보안관제센터의 운영현황을 작성하여 국가사이버안전센터장에게 통보하여야 한다. 다만, 기 제출한 경우에는 변동사항만 통보한다.

② 시장은 보안관제 시 수집된 사이버공격 정보가 다른 보안관제센터의 소관 업무와 연관될 경우에 해당 보안관제센터의 장에게 별지 제4호서식에 따라 신속히 이관하여야 한다.

제30조(보안관제 용역업체 선정 및 관리) ① 시장은 과학기술정보통신부장관이 지정하는 보안관제 전문업체중에서 ‘보안관제 용역업체 업무수행 능력평가 기준’ 등을 참고하여 보안관제 용역업체를 선정한다.

② 보안관제 용역업체 선정을 위하여 작성한 각종 문서는 평가가 끝난 후에도 공개할 수 없으며 3년간 보존하여야 한다. 다만, 관계 법규에 따라 정보공개를 요청받은 경우에는 그러하지 아니할 수 있다.

③ 시장은 보안관제 용역업체 직원을 대상으로 매월 1회 이상 정기 또는 수시로 탐지규칙 관리 등 보안교육 및 보안점검을 실시한다.

제31조(탐지규칙 관리) ① 시장은 국가정보원장이 제공한 탐지규칙(이하 "탐지규칙"이라 한다) 전담 관리자를 지정·운영하고, 다음 각 호의 조치를 이행하여야 한다.

1. 대외비에 준하여 탐지규칙 관리

2. 보안관제시스템 탐지규칙 외부 유출 금지

3. 탐지규칙 관리시스템 원격접근 금지

4. 인터넷 등 외부로 유출된 경우 즉시 국가사이버안전센터에 신고

② 시장은 자체 개발한 탐지규칙을 적용할 경우, 통합보안관제 정보공유시스템을 통해 공유하여야 한다.

③ 탐지규칙 전담 관리자는 탐지규칙 보안관리를 강화하기 위하여 자체 ‘보안관제 탐지규칙 보안관리 지침’을 마련하여 시행하여야 한다.

④ 제1항에 따른 탐지규칙 전담 관리자는 탐지규칙 관리에 대해 매월 1회 이상 정기 또는 수시로 점검하여야 한다.

제32조(보안관제센터 수행업무) 보안관제센터 업무수행과 관련한 세부사항은 국가정보원의 「국가전산망 보안관제지침」을 따른다.

제4장 주요정보통신기반시설 보안대책

제33조(주요정보통신기반시설 보안대책) ① 시장은 「정보통신기반 보호법」 및 같은 법 시행령에 따라 주요정보통신기반시설(이하 "주요기반시설"이라 한다)에 대한 보호대책을 수립·시행하여야 한다.

② 시장은 제1항의 보호대책을 수립하는 경우에 다음 각 호의 사항이 포함되도록 하고, 전년도 추진실적 평가 및 문제점에 대한 개선사항을 다음 해 보호대책에 반영하여야 한다.

1. 소관 주요기반시설별 시스템 현황 및 기능

2. 전년도 보호업무 추진실적 및 해당 연도 추진계획

3. 보안취약점 분석·평가 결과 및 도출된 문제점에 대한 개선사항

4. 침해사고 발생 시 대응 및 복구대책

5. 전자적 침해행위 예방을 위한 관리적·물리적·기술적 보안대책 등

③ 시장은 시 산하 주요기반시설의 관리기관에 대하여 보호대책의 이행여부를 확인할 수 있다.

제34조(주요기반시설 취약점 분석·평가 보안관리) ① 주요기반시설을 관리하는 기관(이하 "관리기관"이라 한다)의 장은 「정보통신기반 보호법」 제9조에 따른 정보보호 전문서비스 기업 등 외부기관에 소관 기반시설의 취약점 분석·평가를 의뢰하고자 하는 경우에는 전산망 구성도 등 중요자료의 유출 방지 등을 위한 보안대책을 수립하여야 한다.

② 관리기관의 장은 외부기관에 의뢰하여 취약점 분석·평가를 완료하였을 경우에는 외부기관이 제출한 평가결과(취약점 및 관련 보호대책을 포함한다)에 대한 적절성을 검증하여야 한다. 다만, 관리기관의 장이 필요하다고 판단되는 경우 시장에게 적절성 검증을 의뢰할 수 있다.

③ 관리기관의 장은 취약점 분석·평가 세부 결과를 그 중요성과 가치의 정도에 따라 대외비 또는 비밀로 지정·관리하고 인터넷이나 학회지 등 외부에 공개 또는 발표하여서는 아니 된다. 다만, 정보보안 기술 교류나 학문적 연구 등을 목적으로 하는 비공개 회의 등의 경우에는 정보보안담당관과 협의를 거친 후 발표할 수 있다.

④ 관리기관의 장은 취약점 분석·평가의 효율적 수행을 위하여 국가정보원장에게 평가 방향, 평가중점사항, 평가결과 적절성 검증, 평가업체 보안점검 등의 지원을 요청할 수 있다.

제35조(제어시스템 보안관리) ① 시장은 지하철, 교통, 상수도, 전력, 인터넷 등을 중앙에서 감시 및 제어하기 위한 정보시스템(이하 "제어시스템"이라 한다)을 구축할 경우 보안대책을 수립하고 국가정보원장에게 보안성 검토를 요청하여야 한다.

② 시스템관리자는 제어시스템 도입·교체 시 최신 백신 설치, 응용프로그램 보안 패치 및 침해사고 대응책을 정보보안담당관과 협의 후 사업 추진 시 반영하고 주기적으로 취약점을 점검하여야 한다. 다만, 제어시스템에 백신 등 보안 소프트웨어 설치 시 가용성에 차질을 초래할 경우에는 정보보안담당관을 경유하여 국가정보원장과 사전 협의 후 설치하지 아니할 수 있다.

③ 시장은 도시철도, 교통, 상수도 등 국가안보상 중요한 제어시스템 구축 시 해당 시스템을 업무망 및 인터넷망 등 상용망과 분리 운용한다.

④ 제3항에도 불구하고 제어시스템과 상용망 간 연동이 필요할 경우 시장은 국가정보원장의 사전 승인절차를 거쳐 연동구간에 일방향 통신장비 설치 등 안전한 망 연동 기법을 검토한 후 국가정보원장에게 보안성 검토를 요청하여야 한다.

제5장 정보보안 위반

제36조(통신보안 위규사항 등) ① 「국가 정보보안 기본지침」에 따라 정보통신망을 통해 비인가자에게 누설하거나 위반하지 않아야 할 통신보안 위규사항은 별표 2와 같다.

② 시장은 국가안보 및 국가이익에 중대한 영향을 미칠 수 있다고 판단되는 통신보안 위규사항이 발생한 경우 가장 신속한 방법으로 국가정보원장에게 통보하여야 한다.

③ 정보보안담당관은 정보보안과 관련하여 다음 각 호에 해당한다고 판단되는 부서에 개선을 권고할 수 있다.

1. 사무실·보호구역 보안관리 허술

가. 인가되지 않은 작업자의 내부 시스템 접근

나. 통제구역 내 장비·시설 등 무단 사진촬영

2. 전산정보 보호대책 부실

가. 업무망·인터넷망 혼용사용 및 업무시간 중 음란, 저속, 도박, 비방 등의 목적으로 인터넷을 사용한 경우

나. 보안 USB 사용규정 위반

다. 웹하드·P2P 등 인터넷 자료 공유 사이트를 활용하여 용역사업 관련 자료 수·발신

라. 개발·유지보수 시 원격작업 사용

마. 저장된 비공개 정보 비밀번호 미 부여

바. 사용자 계정관리 미흡 및 오남용(시스템 불법접근 시도 등)

사. 외부용 PC를 업무망에 무단 연결 사용

아. 보안관련 프로그램 강제 삭제

자. 불법소프트웨어를 임의로 설치하여 사용

차. 비인가 보조매체, 메신저, 상용메일 무단 사용

3. 그 밖의 위반 사항

가. 보안관련 소프트웨어의 주기적 점검 위반

나. 정보보안 교육 미 이수

다. 실태점검 등 보안점검을 통해 발견된 취약점 미 조치

라. 보안 관련 지적 사항에 대하여 적절한 시정 조치를 취하지 않은 경우

마. 정보보안 사고 인지 후 미 보고

바. 정보화사업 시 보안점검표에 따른 보안대책 미 수립

④ 정보보안담당관은 제1항부터 제3항까지와 관련하여 위반 정도가 중대하다고 판단되는 경우 감사부서에 「서울특별시 행정감사 규칙」에 따른 감사 및 처분을 의뢰할 수 있다.

제6장 보  칙

제37조(규칙 등 재검토) 정보보안담당관은 이 규칙을 포함한 정보보안 관련 규칙 및 지침의 타당성을 연 1회 이상 정기적으로 검토하여 신설·변경 사항을 반영하여야 한다.

제38조(정보통신 보안업무 처리지침 운영) 이 규칙에서 정하지 아니한 정보시스템 보안관리, 안전성 확인·평가, 국가용보안시스템 운영 등에 대한 사항은 시장이 별도로 정한다.

부칙  <제4200호, 2018.1.18>

제1조(시행일) 이 규칙은 공포한 날부터 시행한다.

제2조(일반적 경과조치) 이 규칙 시행 전에 종전의 「서울특별시 정보통신 보안업무 처리규칙」에 따라 행하여진 행위는 그에 해당하는 이 규칙의 규정에 따라 행하여진 것으로 본다.