제97차 사규심의위원회

부  의  자  료(안)

□ 일   시 : 2021. 3. 11. (목)

□ 의   안

[제 1 호]   주차장 운영관리규정 일부 개정(안)

[제 2 호]   정보통신보안 관리 지침 전부 개정(안)

[제 3 호]   관리비 부과 지침 제정(안)

서울시농수산식품공사

부  의  안

제97차 사규심의위원회
연 월 일	2021.03.11.	의안번호	제 1 호
의 안	○ 주차장 운영관리 규정 일부 개정(안)
구 분	의 결 사 항

□ 제 안 자 : 교통질서팀장

□ 주    문 : 의안 제 1 호를 원안과 같이 의결한다.

□ 제안사유 : 등록 화물차 대상 주차요금 면제시간 변경

□ 의결사항 : 주문과 같이 의결한다.

□ 참고사항

○ 제안근거 : ｢가락시장 등록 화물차량 주차요금 면제시간 조정 계획｣(교통질서팀-3080, 2020.12.08.)

○ 예산조치 : 해당 없음

○ 합    의 : 업무지원팀 개정 의견수렴 완료(‘21.2.)

○ 절    차 : 사규심의위원회 심의․의결 및 사장 결재 후 공포 시행

○ 기    타 : 1. 주차장운영관리규정 일부 개정(안) 1부.

2. 신·구 조문 대비표 1부.

3. 사규 부패 영향 평가서 및 결과통보서 각 1부.  끝.

	의안 1호		주차장 운영관리 규정 일부 개정(안)

1. 개정 이유 : 등록 화물차 대상 주차 요금 면제시간 변경

2. 주요 내용 : 제8조 제2항 [별표 2]

구분	현행	개정	비고
출하자	14시간	10시간	4시간↓
입주자	14시간	8시간	6시간↓
기 타	3시간	2시간	1시간↓

3. 참고 사항

○ 제안근거

- ｢가락시장 등록 화물차량 주차요금 면제시간 조정 계획｣(교통질서팀-3080, 2020.12.08.)

○ 사장 사전 보고 : 보고 완료('21.2.)

○ 사전예고 및 부패영향평가

- 사전예고 완료('21. 2. 8.~ 2. 27.), 부패영향평가 완료('21.2.19.)

○ 예산조치 : 해당 없음

○ 합    의 : 업무지원팀 개정 의견수렴 완료(‘21.2.)

○ 절    차 : 사규심의위원회 심의․의결 및 사장 결재 후 공포 시행

○ 기    타 : 1. 주차장운영관리규정 일부 개정(안) 1부.

2. 신·구 조문 대비표 1부.

3. 사규 부패 영향 평가서 및 결과통보서 각 1부.  끝.

[붙임 1]

규정  제   000   호

주차장운영관리규정 일부 개정(안)

서울특별시농수산식품공사 주차장운영관리규정 중 일부를 다음과 같이 개정한다.

제8조(주차요금의 감면 및 할증 등) ①  (생략)

② 사장은 소정의 절차에 따라 화물차를 등록한 자에 대하여 주차요금 면제시간을 부여할 수 있으며, 시장별 등록 화물차의 주차요금 면제시간은 별표 2와 같다.

③ ~ ④  (생략)

부칙<제○○○호, 2021. 3.  .>

(시행일) 이 규정은 2021년 3월 2일부터 시행한다.

【별표 2】 시장별 등록 화물차의 주차요금 면제시간(제8조 관련)

구분	등록 화물차의 주차요금 면제시간
	가락시장	강서시장
출하자	10시간	좌 동
구매자	8시간	좌 동
입주자	8시간	14시간
기타	2시간	3시간

[붙임2]

신․구 조문 대비표

현      행

개      정

제8조(주차요금의 감면 및 할증 등)

①  (생략)

②  사장은 소정의 절차에 따라 화물차를 등록한 자에 대하여 주차요금 면제시간을 부여할 수 있으며, 시장별 등록 화물차의 주차요금 면제시간은 별표 2와 같다.

③ ~ ④  (생략)

제8조(주차요금의 감면 및 할증 등)

①  (생략)

②  사장은 소정의 절차에 따라 화물차를 등록한 자에 대하여 주차요금 면제시간을 부여할 수 있으며, 시장별 등록 화물차의 주차요금 면제시간은 별표 2와 같다.

③ ~ ④  (생략)

[별표 2] 시장별 등록 화물차의 주차요금 면제시간(제8조 관련)

구분	등록 화물차의 주차요금 면제시간
	가락시장	강서시장
출하자	14시간	10시간
구매자	8시간	좌 동
입주자	14시간	좌 동
기타	3시간	좌 동

[별표 2] 시장별 등록 화물차의 주차요금 면제시간(제8조 관련)

구분	등록 화물차의 주차요금 면제시간
	가락시장	강서시장
출하자	10시간	좌 동
구매자	8시간	좌 동
입주자	8시간	14시간
기타	2시간	3시간

부칙<제○○○호, 2021.3.○.>

(시행일) 이 규정은 2021년 3월 2일부터 시행한다.

[붙임 3]

※ 관리번호		사규 부패 영향 평가서
상위법령 명		주차장법
구 분		제정( ), 개정( √ ), 현행( )
형 식		정관( ), 규정( √ ), 내규( ), 기타( )
규정 등 내부 규정 명			주차장운영관리규정
소관부서	입 안 소관부서		부서명(팀명)		교통질서팀
			담당자 직급․성명		4급 송은주
제․개정 일정(예정)	관련부서 협 의		대상부서	업무지원팀
			협의기간	2021년 2월
	완료예정일		2021. 3. ○.
의견 수렴 절차	○ 업무지원팀 협의 후 개정 추진 ○ 주차장운영관리규정 사전예고(‘21.02.08.~02.27.) 완료 (공사 홈페이지)
붙임자료	○ 주차장운영관리규정 일부 개정(안)
2021. 3. 2. 교 통 질 서 팀 장

세부 평가서

■ 규정명 : 주차장운영관리규정

평가대상 조문

○ 규정 : 제8조(주차요금의 감면 및 할증)

□ 평가기준

○ 준수부담의 합리성, 재량규정의 구체성·객관성, 공개성

□ 현  황(문제점)

○ 시설현대화사업 착공에 따른 주차 공간 부족 등 주차 및 교통 난 가중 예상

○ ‘08년 화물차 등록제 도입 이래 주차요금 면제시간 변화 無 → 필요 이상의 과잉 면제시간 부여로 주차회전율 저하 초래

○ 주차요금 수지 적자로 요금 징수시간 확대 등 재정 건전화 노력 필요

□ 개선방안

○ 등록 화물차 대상 주차요금 면제시간 현실화

구분	현행	개정	비고
출하자	14시간	10시간	4시간↓
입주자	14시간	8시간	6시간↓
기 타	3시간	2시간	1시간↓

※ 구매자는 사업자등록증 등 구비서류 확인·재등록 후 면제시간 조정 기 시행 중(‘20.11.10.~)

□ 개선결과 : 주차장운영관리규정 개정

현행

개정(안)

제8조(주차요금의 감면 및 할증 등)

①  (생략)

②  사장은 소정의 절차에 따라 화물차를 등록한 자에 대하여 주차요금 면제시간을 부여할 수 있으며, 시장별 등록 화물차의 주차요금 면제시간은 별표 2와 같다.

③ ~ ④  (생략)

제8조(주차요금의 감면 및 할증 등)

①  (생략)

②  사장은 소정의 절차에 따라 화물차를 등록한 자에 대하여 주차요금 면제시간을 부여할 수 있으며, 시장별 등록 화물차의 주차요금 면제시간은 별표 2와 같다.

③ ~ ④  (생략)

[별표 2] 시장별 등록 화물차의 주차요금 면제시간(제8조 관련)

구분	등록 화물차의 주차요금 면제시간
	가락시장	강서시장
출하자	14시간	10시간
구매자	8시간	좌 동
입주자	14시간	좌 동
기타	3시간	좌 동

[별표 2] 시장별 등록 화물차의 주차요금 면제시간(제8조 관련)

구분	등록 화물차의 주차요금 면제시간
	가락시장	강서시장
출하자	10시간	좌 동
구매자	8시간	좌 동
입주자	8시간	14시간
기타	2시간	3시간

부칙<제○○○호, 2021.3.○.>

(시행일) 이 규정은 2021년 3월 2일부터 시행한다.

부패영향평가 결과통보서

규 정 명	○ 주차장운영관리규정·시행내규
평가담당	감사실	4급	신대창
입안부서	교통질서팀	통보(조치)일	2020. 2. 19.
관련조문	검토결과	조치사항
○ 주차장운영관리규정 제8조(주차요금의 감면 및 할증) [별표 2]	○ 원안동의 - 위 규정 개정안은 주차 및 교통 난 가중 해소를 위한 것으로 부패 유발 요인이 없음 ○ 세부 평가 기준 - 준수부담의 합리성 : 적정 - 제제규정의 적정성 : 적정 - 특혜발생 가능성 : 없음 - 재량규정의 구체성･객관성 : 적정 - 행정절차 관련 : 적정	○ 없음
2021. 2. 19. 감 사 실 장

부  의  안

제97차 사규심의위원회
연 월 일	2021.03.11.	의안번호	제 2 호
의 안	○ 정보통신보안 지침 전부 개정(안)
구 분	의 결 사 항

□ 제 안 자 : 전산정보팀장

□ 주    문 : 의안 제 2 호를 원안과 같이 의결한다.

□ 제안사유

○ 정보통신제품 도입, 사물인터넷, 빅데이터, 모바일 업무 등 신기술과 정보화 사업에 대한 정보보안 추진 근거 마련

○ 국가정보보안기본지침, 서울시정보통신보안업무 처리지침 개정 내용 반영

□ 의결사항 : 주문과 같이 의결한다.

□ 참고사항

○ 제안근거

- ｢정보통신보안 지침 전부 개정 추진(안)｣(전산정보팀-2263, 2020.10.14.)

○ 예산조치 : 해당 없음

○ 합    의 : 해당 없음

○ 절    차 : 사규심의위원회 심의․의결 및 사장 결재 후 공포 시행

○ 기    타 : 1. 정보통신보안 지침 전부 개정(안) 1부.

2. 신구 조문 대비표 1부.

3. 사규 부패 영향 평가서 및 결과통보서 각 1부.  끝.

	의안 2호		정보통신보안 지침 전부 개정(안)

1. 개정 이유

○ 정보통신제품 도입, 사물인터넷, 빅데이터, 모바일 업무 등 신기술과 정보화 사업에 대한 정보보안 추진 근거 마련

○ 국가정보보안기본지침, 서울시정보통신보안업무 처리지침 개정 내용 반영

2. 주요 내용

○ 정보시스템 도입, 제안요청서 작성, 보안적합성 검증 등 정보화 사업에 대한 보안관리 규정 신설

○ 사물인터넷 보안관리, 빅데이터 보안, 모바일 업무 보안 등 신기술에 대한 정보보안 규정 신설

○ 이동통신망, 인터넷 전화, 비인가기기 통제, 인터넷 사용제한 등 정보통신망에 대한 보안 강화

○ 사용자 접근기록 보관(1년이상), 접근권한 부여·변경 등 내역관리(3년이상)

○ 사용자계정, 단말기 보안, 악성코드 방지대책, CCTV 보안관리 등 국가정보보안기본지침 등 개정 사항 반영

○ 업무 구분별 목차 재배열

3. 참고 사항

○ 제안근거 : ｢정보통신보안 지침 전부 개정 추진(안)｣(전산정보팀-2263, ´20.10.14.)

○ 사장 사전 보고 : 보고 완료('20.10.7)

○ 사전예고 및 부패영향평가 : 부패영향평가 완료('21.2.19.)

○ 예산조치 : 해당 없음

○ 합    의 : 해당 없음

○ 절    차 : 사규심의위원회 심의․의결 및 사장 결재 후 공포 시행

○ 기    타 : 1. 정보통신보안 지침 전부 개정(안) 1부.

2. 신구 조문 대비표 1부.

3. 사규 부패 영향 평가서 및 결과통보서 각 1부.  끝.

[붙임 1]

지침  제   000   호

정보통신보안 지침 전부 개정(안)

서울특별시농수산식품공사 정보통신보안 지침을 다음과 같이 전부 개정한다.

제 1 장  총  칙

제1조(목적) 이 지침은 「전자정부법」,  「국가 사이버안전 관리규정」, 「정보통신기반보호법」 및 「국가 정보보안 기본지침」, 「서울특별시 정보통신 보안업무 처리규칙」등에 따라 서울특별시농수산식품공사(이하 “공사”라 한다) 정보통신 보안업무 전반에 관한 사항을 규정함을 목적으로 한다.

제2조(용어의 정의) 이 지침에서 사용하는 용어의 정의는 다음과 같다.

1. “사용자”라 함은 공사 사장으로부터 정보통신망 또는 정보시스템에 대한 접근 또는 사용 허가를 받은 직원 등을 말한다.

2. “정보통신망”이라 함은 전기통신기본법 제2조 제2호에 따른 전기통신설비를 활용하거나 전기통신설비와 컴퓨터 및 컴퓨터의 이용기술을 활용하여 정보를 수집·가공·저장·검색·송수신하는 정보통신체제를 말한다.

3. “업무전산망”(이하 “업무망”이라 한다)이라 함은 공사의 네트워크 중에서 업무용으로 사용되는 영역으로 인터넷 서비스도 병행 제공되는 내부 전산망도 포함한다.

4. “정보시스템”이라 함은 PC·서버 등 단말기, 보조기억매체, 전산·통신장치, 정보통신기기, 응용프로그램 등 정보의 수집·가공·저장·검색·송수신에 필요한 하드웨어 및 소프트웨어 일체를 말한다.

5. “저장매체”라 함은 자기저장장치·광 저장장치·반도체 저장장치 등 자료기록이 가능한 전자장치를 말한다.

6. “휴대용 저장매체”라 함은 디스켓·CD·외장형 하드디스크·USB 메모리 등 정보를 저장할 수 있는 것으로 PC 등의 정보시스템과 분리할 수 있는 기억장치를 말한다.

7. “정보보안” 또는 “정보보호”라 함은 정보시스템 및 정보통신망을 통해 수집·가공·저장·검색·송수신 되는 정보의 유출·위변조·훼손 등을 방지하기 위하여 관리적·물리적·기술적 수단을 강구하는 일체의 행위로서 사이버안전을 포함한다.

8. “전자문서”라 함은 컴퓨터 등 정보처리 능력을 가진 장치에 의하여 전자적인 형태로 송·수신 또는 저장되는 표준화된 정보를 말한다.

9. “전자기록물”이라 함은 정보처리능력을 가진 장치에 의하여 전자적인 형태로 송·수신 또는 저장되는 기록정보자료를 말한다.

10. “전자정보”라 함은 각급기관이 업무와 관련하여 취급하는 전자문서 및 전자기록물을 말한다

11. “정보통신실”이라 함은 서버·PC등과 스위치·교환기·라우터 등 네트워크 장치 등이 설치 운용되는 장소를 말하며, 전산실·통신실·전자문서 및 전자기록물(전자정보) 보관실 등을 말한다.

12. “국가용 보안시스템”이라 함은 비밀 등 중요자료를 보호하기 위하여 국가정보원장이 개발하거나 안전성을 검증한 암호장비·보안자재·암호논리 등을 말한다.

13. “암호장비”라 함은 정보통신망으로 처리·저장·송수신되는 정보를 보호할 목적으로 암호논리를 내장하여 제작된 장비를 말한다.

14. “보안자재”라 함은 통신내용 등의 정보를 보호할 목적으로 사용하는 암호·음어·약호자재를 말한다.

15. “암호논리”라 함은 정보의 유출, 위변조, 훼손 등을 방지하기 위하여 기밀성·무결성·인증·부인봉쇄 등의 기능을 제공하는 수학적 논리 또는 알고리즘을 말한다.

16. “암호모듈”이라 함은 정보의 유출, 위변조, 훼손 등을 방지하기 위하여 암호논리를 활용하여 구현한 수단이나 도구를 말한다.

17. “정보보호시스템”이라 함은 정보의 수집·저장·검색·송신·수신시 정보의 유출, 위변조, 훼손 등을 방지하기 위한 하드웨어 및 소프트웨어를 말한다.

18. “사이버공격”이라 함은 해킹, 컴퓨터 바이러스, 논리폭탄, 메일폭탄, 서비스방해 등 전자적 수단에 의하여 정보통신망을 불법침입·교란·마비·파괴하거나 정보를 절취·훼손하는 공격 행위를 말한다.

19. “IP(Internet Protocol)주소"라 함은 정보통신망으로 서버와 클라이언트 간 연결을 가능하게 하기 위하여 부여되는 주소체계를 말한다.

20. “사용자계정(ID)”이라 함은 사용자의 식별과 자료사용을 위하여 사용자가 생성한 영문자와 숫자가 조합된 고유계정을 말한다.

21. “단말기”라 함은 정보의 송수신, 입·출력, 제어 기능을 갖춘 물리적 통신 연결에 필요한 장치들로 PC·노트북·PDA, 프린터, 복합기 등을 말한다.

22. “인터넷망”이란 공사의 네트워크 중에서 인터넷을 사용할 수 있도록 연결되어 있는 인터넷 전용망을 말한다.

23. “업무자료”라 함은 전자문서, 전자기록물 및 직무상 작성·취득하였거나 보유·관리하는 자료로서 전자적으로 처리되어 부호·문자·음성·음향·영상 등으로 표현된 것을 말한다.

24. “상용 암호모듈”이라 함은 암호알고리즘을 소프트웨어, 하드웨어, 펌웨어 또는 이를 조합한 형태로 구현한 것으로서 중요자료를 보호하기 위하여 민간이 상용으로 판매하는 것을 말한다.

25. “보안관제”라 함은 사이버공격 정보를 실시간으로 탐지 및 분석, 대응하는 일련의 활동을 말한다.

26. “보안적합성 검증”이라 함은 보안기능이 있는 정보통신 제품에 대하여 실제 적용·운용 이전에 시험 등의 방법으로 안전성을 검증하는 활동을 말한다.

제 2 장  정보보안 기본활동

제3조(정보보안 목표) 정보보안의 목표는 각종 전자적 수단에 의한 정보의 기밀성·무결성·가용성을 확보하고 공사의 정보통신망 및 정보시스템을 보호하는데 있다.

제4조(지휘체계 및 책임) ① 사장은 공사의 정보보안업무 전반에 관한 사항을 지휘한다.

② 각 부서의 장은 소관 보안업무의 수행에 관한 책임을 진다.

제5조(정보보안담당관 운영) ① 공사의 효율적·체계적 정보보안 업무를 수행하기 위하여 전산정보팀장을 정보보안담당관으로 한다.

② 분임정보보안담당관은 각 부서의 장이 된다.

③ 정보보안담당관은 정보보안업무를 총괄하고, 분임정보보안담당관은 소관 각 부서의 정보보안업무를 총괄하며 정보보안담당관의 업무를 보조한다.

④ 정보보안담당관의 기본활동은 다음 각 호와 같다.

1. 정보통신보안 정책 및 기본계획 수립·시행

2. 정보통신실, 정보통신망 및 정보자료 등의 보안관리

3. 정보통신보안 업무 지도·감독

4. 정보통신실, 정보통신망 및 정보자료 등의 보안관리

5. 사이버공격 조치 및 대응

6. 사이버위협정보 수집·분석 및 보안관제

7. 정보통신보안 예산 및 전문인력 확보

8. 정보통신보안 사고 조사 결과 처리

9. 정보통신보안 교육 및 정보협력

10. 정보통신기반시설 보호활동

11. 정보보호시스템의 운용 및 보안관리

12. 정보통신망 보안대책의 수립·시행

13. ‘사이버보안진단의 날’ 계획 수립·시행

14. 정보통신보안 분야 안건 심의 주관

15. 그 밖의 정보보안 관련 사항

⑤ 분임정보보안담당관의 기본활동은 다음 각 호와 같다.

1. 소관 정보보안업무의 지도·감독·통제

2. 소관 정보통신실, 정보통신망 및 정보자료 등의 보안관리

3. 소관 정보시스템 운용 및 보안관리

4. 그 밖에 정보보안담당관으로부터 위임받은 사항

제6조(정보보안업무 추진계획 수립) 정보보안담당관은 매년 정보보안 관리계획을 수립한다.

제7조(정보보안 교육) 정보보안담당관은 연1회 이상 전 직원을 대상으로 정보보안에 대한 교육을 수립·시행하여야 한다.

제8조(사이버보안 진단의 날 운영) ① 정보보안담당관은 매월 셋째 주 수요일을 ‘사이버보안 진단의 날’로 지정·운영하여야 한다.

② ‘사이버보안 진단의 날’에 정보통신망을 대상으로 악성코드 감염여부, 정보시스템의 보안 취약여부 등 정보보안업무 전반에 대하여 체계적이고 종합적인 보안진단을 실시하여야 한다.

제9조 (정보보안사고 처리 및 조사) ① 정보보안사고가 발생한 경우 사용자는 정보보안담당관에게 즉시 신고하여야 하고, 정보보안담당관은 피해확산 방지를 위한 조치를 하고 다음 각 호의 사항을 서울특별시장에게 통보하여야 한다. 이 경우, 사고원인이 규명될 때가지 피해 시스템에 대한 증거를 보전하고 임의로 관련 자료를 삭제하거나 포맷하여서는 아니 된다.

1. 일시 및 장소

2. 사고 원인, 피해 현황 등 개요

3. 사고자 및 관계자의 인적사항

4. 조치 내용 등

② 정보보안담당관은 정보보안사고의 재발방지를 위하여 보안 대책의 수립·시행 등 사고 조사 결과에 따라 필요한 조치를 하여야 한다.

제10조(재난방지) ① 정보보안담당관은 정보통신망의 장애 발생에 대비하여 정보시스템 이원화, 백업관리, 복구 등 종합적인 재난방지 대책을 수립·시행하여야 한다.

② 재난방지대책을 정기적으로 시험하고 검토해야 하며 업무 연속성에 대한 영향평가를 실시하여야 한다.

③ 정보시스템 장애에 대비한 백업시설을 확보하고 정기적으로 백업을 수행하여야 한다.

④ 백업시설을 설치할 경우 정보통신실과 물리적으로 떨어진 안전한 장소에 설치하여야 하며 전력공급원 이원화 분리 등 정보시스템의 가용성을 최대화 할 수 있도록 한다.

제 3 장  정보보안 관리

제1절 자산 관리

제11조(정보시스템 도입) ① 시스템담당자는 정보시스템 도입에 대한 검수 계획 수립 시 정보보안담당관과 협의를 거쳐 보안적 요소를 반영하여야 한다.

② 정보시스템 자산 도입시 시스템별 보안관리 및 보안성검토에 대한 세부사항은 “제3절 정보시스템 보안관리” 및 “제4장 안전성 확인·평가” “제1절 보안성 검토”와 제2절 보안적합성 검증”을 따른다.

③ 시스템운영자는 신규 정보시스템 도입시 정보시스템 관리대장(별지 제1호 서식)을 갱신하여야 한다.

제12조(정보시스템 유지보수) ① 시스템 관리자는 유지보수 관리계획에 따라 정기적으로 정보시스템 정비를 실시하고 관련 기록을 보관하여야 한다.

② 시스템관리자는 정보시스템의 변경이 발생할 경우 정보보안담당관과 협조하여 정보시스템의 설계·코딩·테스트·구현과정에서의 보안대책을 강구하여야 한다.

③ 시스템관리자는 외부에서 원격으로 정보시스템을 유지보수하는 것을 원칙적으로 금지하여야 하며 부득이한 경우에는 정보보안담당관과 협의하여 자체 보안대책을 마련한 후 한시적으로 허용할 수 있다.

④ 시스템관리자는 유지보수와 관련된 장비·도구 등을 반출·입할 경우, 악성코드 감염여부, 자료 무단반출 여부를 확인하는 등의 보안조치를 실시하고 그 결과를 정보보안담당관에게 제출하여야 한다.

⑤ 시스템관리자는 직접 또는 용역업체를 활용하여 정보시스템을 유지보수할 경우 콘솔 또는 지정된 단말기로부터의 접속만을 허용하여야 한다.

제13조(정보시스템 개발보안) ① 시스템 개발사업 담당자는 정보시스템을 자체개발하고자 하는 경우 다음 각 호의 사항을 고려하여 보안대책을 수립하고 정보보안담당관의 승인을 받아야 한다.

1. 독립된 개발시설을 확보하고 비인가자의 접근 통제

2. 개발시스템과 운영시스템의 분리

3. 소스코드 관리 및 소프트웨어 보안관리

② 시스템 개발사업 담당자는 외부용역 업체와 계약하여 정보시스템을 개발하고자 하는 경우에는 다음 각 호의 사항을 고려하여 보안대책을 수립하고 정보보안담당관의 승인을 받아야 한다.

1. 외부인력 대상 신원확인, 보안서약서 징구, 보안교육 및 점검

2. 외부인력의 보안 준수사항 확인 및 위반 시 배상책임의 계약서 명시

3. 외부인력의 정보시스템 접근권한 및 제공자료 보안대책

4. 외부인력에 의한 장비 반입·반출 및 자료 무단반출 여부 확인

제14조(전자정보 저장매체 불용처리) 사용자 및 시스템 관리자는 하드디스크 등 전자정보 저장매체를 불용처리(교체·반납·양여·폐기 등) 하고자 할 경우에는 저장매체에 수록된 자료가 유출되지 않도록 보안조치하여야 한다.

① 정보시스템 또는 저장매체를 외부수리·교체·반납·양여·폐기·불용 처리하고자 할 경우 정보시스템 및 저장매체에 저장된 자료가 외부에 유출되지 않도록 자료 삭제 등 보안조치를 실시하여야 한다. 이 경우 정보시스템 관리자 및 개별사용자는 정보보안담당관과 협의하여야 한다.

② 제1항에 따라 자료를 삭제할 경우 저장매체별·자료별 차별화된 삭제 방법을 적용할 수 있다.

③ 비밀·대외비를 저장하거나 암호화 키를 저장한 저장매체는 소각·파쇄·용해 등의 방법으로 완전 파괴하여야 한다.

④ 기타 정보시스템 및 저장매체의 불용처리와 관련한 사항은 국가정보원장이 배포한 「정보시스템 저장매체 불용처리지침」을 준수하여야 한다.

제2절 접근통제

제15조(사용자계정 관리) ① 시스템관리자는 사용자계정(ID)의 비인가자 도용 및 정보시스템 불법접속 등을 방지하기 위해 다음의 사항을 반영·관리한다.

1. 사용자별 또는 그룹별 접근권한 부여

2. 외부인에게 계정 부여는 불허하나 업무상 불가피한 경우 정보보안담당관의 승인을 거쳐 특정기간 동안 접속 가능

3. 비밀번호 등 사용자 식별 및 인증 수단 없는 사용자계정 사용 금지

② 시스템관리자는 사용자가 5회 이상에 걸쳐 로그인 실패 시 정보시스템 접속을 중단시키도록 시스템을 설정하고 비인가자의 침입 여부를 확인·점검하여야 한다.

③ 시스템관리자는 직원의 퇴직 또는 보직변경, 계약종료 등 변동사항 발생 시 사용하지 않는 사용자계정을 신속히 삭제하거나 부여된 접근권한을 회수하고, 특별한 사안이 없는 한 유지보수 등을 위한 외부업체 직원에게 관리자계정 제공을 금지하여야 한다.

④ 시스템관리자는 정보시스템별로 계정발급현황을 사용자계정 관리대장(별지 제2호 서식)에 현행화하여 관리한다.

⑤ 시스템 관리자는 사용자 계정 부여 및 관리의 적절성을 점검하고 그 결과를 정보보안담당관에게 통보하여야 한다.

⑥ 시스템 관리자는 제1항 및 제3항에 의한 접근권한 부여, 변경, 회수 또는 삭제 등에 대한 내역을 기록하고 3년 이상 보관하여야 한다.

제16조(비밀번호 관리) ① 비밀이나 중요자료에는 반드시 자료별 비밀번호를 부여하여야 한다.

② 비밀번호는 다음 각 호의 사항을 반영하여 숫자와 문자, 특수문자 등으로 9자리 이상으로 정하고 분기1회 이상 주기적으로 변경 사용하여야 한다.

1. 사용자계정(ID)과 동일하지 않은 것

2. 개인 신상 및 부서명칭 등과 관계가 없는 것

3. 사전에 등록된 단어 또는 추측하기 쉬운 단어는 사용하지 말 것

4. 이미 사용된 또는 직전에 사용된 비밀번호는 재사용하지 말 것

5. 패스워드의 전달 시 팩스, 전자우편을 사용하지 말 것

6. 패스워드의 입력 횟수는 최대 5회로 제한

7. 동일 비밀번호를 여러 사람이 공유하여 사용하지 말 것

8. 응용프로그램 등을 이용한 자동 비밀번호 입력기능 사용금지

③ 서버에 등록된 비밀번호는 복호화 되지 아니하도록 암호화하여 저장하여야 한다.

④ 사용자는 정보시스템(PC 포함)에 접근하기 위해 사용하는 모든 패스워드에 대하여 비밀을 유지해야 하며, 타인에게 고의로 패스워드 정보를 제공하거나 노출시켜서는 아니 된다.

⑤ 정보시스템에 접근하기 위해 사용되는 패스워드가 노출되었거나 노출이 의심되는 경우 비밀번호를 즉시 변경하여야 한다.

⑥ 정보시스템에서 개별사용자를 식별 또는 인증하기 위하여 비밀번호에 갈음하거나 병행하여 지문인식 등 생체인증 기술 및 일회용 비밀번호 생성기(OTP) 등을 안전성 확인 후 사용할 수 있다. 이 경우 생체인증 정보는 안전하게 보관하여야 한다.

제17조(접근기록 관리) ① 시스템관리자는 정보시스템의 효율적인 통제·관리, 사고발생시 추적 등을 위하여 사용자의 정보시스템 접근기록을 유지·관리하여야 한다.

② 접근기록에는 다음의 사항이 포함되어야 한다.

1. 접속자, 정보시스템·응용프로그램 등 접속 대상

2. 로그 온·오프, 파일 열람·출력 등 작업 종류, 작업 시간

3. 접속 성공·실패 등 작업 결과

4. 전자우편 사용 등 외부발송 정보 등

③ 시스템관리자는 비인가자의 접속 시도, 정보 위변조 및 무단 삭제 등의 의심스러운 활동이나 위반 혐의가 발생한 사실을 발견할 경우 정보보안담당관에게 즉시 보고하여야 한다.

④ 접근기록은 정보보안 사고 발생 시 확인 등을 위하여 최소 1년 이상 보관하여야 하며 접근기록 위·변조 및 외부유출 방지대책을 강구하여야 한다. 단, 2022년부터 생성되는 접근기록은 3년 이상 보관하여야 한다.

제3절 정보시스템 보안

제18조(정보통신제품 도입) ① 각 부서의 장은 정보 및 정보통신망 등을 보호하기 위하여 보안기능이 있는 다음 각 호의 정보통신제품을 도입할 수 있다.

1. 국가정보원장이 공지한 안전성 검증필 제품 목록에 등재되어 있는 제품

2. 비밀이 아닌 업무자료의 암·복호화를 목적으로 한 경우 [별표 1] 암호가 주기능인 제품 도입요건을 만족하는 제품

3. 제1호 및 제2호에 해당하지 않는 정보통신제품 중에서 국가정보원장이 별도로 공지하는 도입요건을 만족하는 제품

② 제1항제3호에 해당하는 제품은 실제 적용ㆍ운용 이전에 제4장제2절에 따른 보안적합성 검증을 받아야 한다.

제19조(정보시스템 보안관리) ① 각 부서의 장은 필요한 정보시스템(PC, 서버, 네트워크장비, 정보통신기기 등을 포함)을 도입·사용할 경우, 사용자와 해당시스템의 관리자(시스템관리자) 및 관리책임자를 지정 운용하여야 한다.

② 사용자는 개인PC 등 소관 정보시스템을 사용하거나 본인 계정으로 정보통신망에 접속하는 것과 관련한 보안책임을 가진다.

③ 정보시스템 관리책임자와 시스템관리자는 서버·네트워크 장비 등 부서 공통으로 사용하는 정보시스템의 운용과 관련한 보안책임을 진다.

④ 제1항부터 제3항까지와 관련하여 정보시스템을 실제 운용하는 부서의 장이 정보시스템 ‘관리책임자’가 되며, 관리책임자는 정보시스템 관리대장(별지 제1호 서식)을 수기 또는 전자적으로 운용·관리하여야 한다.

⑤ 관리책임자는 해당 부서의 정보시스템 관리대장에 정보시스템의 변경 최종 현황을 유지하여야 하며 사본 1부를 정보보안담당관에게 제출하여야 한다.

⑥ 정보보안담당관은 정보시스템 운용과 관련한 보안취약점을 발견하거나 보안대책 강구가 필요하다고 판단할 경우, 사용자, 시스템관리자 및 관리책임자에게 시정을 요구할 수 있으며 조치가 완료될 때까지 정보시스템의 운용을 일시 제한할 수 있다.

제20조(PC 등 단말기 보안관리) ① 단말기 사용자는 공사에서 지급받은 PC·노트북·PDA 등 단말기(이하 “단말기”라 한다) 사용과 관련한 일체의 보안관리 책임을 가진다.

② 단말기 사용자는 단말기에 대하여 다음 각 호에 해당하는 보안대책을 준수하여야 한다.

1. 장비(CMOS 비밀번호)·자료(문서자료 암호화 비밀번호)·사용자(로그온 비밀번호)별 비밀번호의 정기적 변경 사용

2. 10분 이상 단말기 작업 중단 시 비밀번호 등이 적용된 화면보호 조치

3. PC용 최신 백신 운용·점검, 침입차단·탐지시스템 등을 운용하고 운영체제(OS) 및 응용프로그램(아래아한글, MS Office, Acrobat 등)의 정품의 S/W 설치 및 운영, 최신 보안패치 유지

4. 타인의 PC에 접근하거나 자료를 수집할 수 있는 해킹 프로그램과 같은 악의적인 프로그램의 설치 및 사용 금지

5. 음란·도박·증권 또는 메신저·P2P·웹하드 등 업무상 불필요한 응용프로그램 설치 금지 및 접근차단 조치

6. 비인가 또는 보안에 취약한 프로그램·장치의 설치 금지 및 공유 폴더 삭제

7. 출처 또는 유통경로 및 제작자가 불분명한 응용프로그램의 사용 금지

8. 인터넷을 통해 자료(파일) 획득시 신뢰할 수 있는 인터넷사이트를 활용하고 자료(파일) 다운로드 시 최신 백신 소프트웨어로 검사 후 활용

9. 그 밖에 국가정보원장이 안전성을 확인하여 배포 승인한 프로그램의 운용 및 보안권고문 이행

③ 사용자는 PC 등을 교체·반납·폐기하거나 고장으로 외부에 수리를 의뢰하고자 할 경우에는 정보보안담당관과 협의하여 하드디스크에 수록된 자료가 유출, 훼손되지 않도록 보안조치 하여야 한다.

④ 사용자는 PC에 저장된 문서를 그 중요도에 따라 기밀, 대외비, 일반으로 분류하며 저장하고 공유가 필요한 경우에는 패스워드 기능을 설정하여야 한다.

⑤ 관리책임자는 사용자가 PC 등을 기관 외부로 반출하거나 내부로 반입할 경우에 최신 백신 등을 활용하여 해킹프로그램 감염 여부를 점검하여야 한다.

⑥ 개인 소유의 PC 등을 무단 반입하여 사용하여서는 안 된다. 다만, 부득이한 경우에는 정보보안담당관의 승인을 받아 사용할 수 있다.

제21조(서버 보안관리) ① 서버 관리자는 서버를 도입·운용할 경우, 정보보안담당관과 협의하여 해킹을 이용한 자료 절취, 위·변조 등에 대비한 보안대책을 수립·시행하여야 한다.

② 서버 관리자는 서버 내 저장자료에 대해 업무별·자료별 중요도에 따라 사용자의 접근권한을 차등 부여하여야 한다.

③ 서버 관리자는 사용자별 자료의 접근범위를 서버에 등록하여 인가여부를 식별하도록 하고 인가된 범위 이외의 자료접근을 통제하여야 한다.

④ 서버 관리자는 서버의 운용에 필요한 서비스 포트 외에 불필요한 서비스 포트를 제거하며 관리용 서비스와 사용자용 서비스를 분리 운용하여야 한다.

⑤ 서버 관리자는 서버의 관리용서비스 접속 시 특정IP가 부여된 관리용 단말을 지정·운용하여야 한다.

⑥ 서버 관리자는 서버 설정 정보 및 서버에 저장된 자료에 대해서는 정기적으로 백업을 실시하여 복구 및 침해 행위에 대비하여야 한다.

⑦ 서버 관리자는 데이터베이스에 대하여 사용자의 직접적인 접속을 차단하고 개인정보 등 주요정보를 암호화하는 등 데이터베이스별 보안조치를 실시하여야 한다.

제22조(웹서버 등 공개서버 관리) ① 서버관리자는 외부에 공개할 목적으로 설치되는 웹서버 등 공개서버를 내부망과 분리된 영역(DMZ)에서 운영하여야 하고 보안적합성이 검증된 침입차단·탐지시스템을 설치하는 등 보안대책을 강구하여야 한다.

② 공개서버에 접근할 수 있는 사용자계정을 제한하여야 하며 불필요한 계정은 삭제 하여야한다.

③ 공개서버에 비공개 자료 및 개인정보가 유·노출, 위·변조 되지 않도록 보안조치를 하여야한다.

④ 공개서버의 서비스에 필요한 프로그램을 개발하고 시험하기 위해 사용된 도구(컴파일러 등) 및 서비스와 관계가 없는 산출물은 개발 완료 후 삭제하여야 한다.

⑤ 공개서버의 보안취약점을 수시로 점검하여야 한다.

⑥ 서버관리자는 비인가자의 공개서버 내 비공개 정보에 대한 무단 접근을 방지하기 위하여 서버 접근 사용자를 제한하고 불필요한 계정을 삭제하여야 한다.

⑦ 공개서버의 보안관리에 관련한 그 밖의 사항에 대하여는 제21조(서버 보안관리)에 따른다

제23조(정보보호시스템·네트워크장비 보안관리) ① 시스템관리자는 침입차단·탐지시스템 등 정보보호시스템과 라우터, 스위치 등 네트워크 장비 운용과 관련하여 다음 각 호의 보안조치를 강구하여야 한다.

1. 물리적으로 안전한 장소에 설치하여 비인가자의 무단접근 통제

2. 외부 정보통신망에서 정보보호시스템, 네트워크 장비에 대한 원격접속 금지. 다만, 불가피할 경우 장비관리용 목적으로 내부 특정 IP에서의 접속은 허용

3. 콘솔에서 관리함을 원칙으로 하되, 공사 내 지정 단말기로부터 장비관리자의 접속과 공사 내 용역업체의 작업장소에서의 접속

4. 최초 설치 시 초기설정(default) 계정은 삭제하거나 변경 사용하고 장비 관리를 위한 관리자 계정을 별도로 생성·운영

5. 불필요한 서비스 포트와 개별사용자 계정은 차단 및 삭제

6. 펌웨어 무결성과 컴퓨터 운영체제·소프트웨어의 취약점 및 버전 업데이트 여부를 점검하고 최신 버전으로 유지

② 시스템관리자는 정보보호시스템·네트워크 장비의 접속기록을 1년 이상 유지하여야 하고 비인가자의 접속 여부를 주기적으로 점검하여 정보보안담당관에게 관련결과를 제출하여야 한다.

③ 시스템 관리자는 침입차단·탐지시스템의 침입차단·탐지규칙의 생성 근거를 유지하고 정기적으로 필요성 여부를 점검·갱신하여야 한다.

제24조(사물인터넷 보안관리) ① 사물인터넷을 이용한 시스템을 구축·운영하고자 할 경우 사물인터넷 기기 및 중요 데이터 등을 보호하기 위하여 보안대책을 수립·시행하여야 한다.

② 사물인터넷을 이용한 시스템을 구축·운영하고자 할 경우 업무망과 분리하여야 한다. 다만, 업무망과 연동이 필요한 경우에는 자료 전송을 위한 보안대책을 수립하여야 한다.

③ 기타 사물인터넷 보안과 관련한 사항은 국가정보원장이 배포한 「국가·공공기관 사물인터넷(IoT) 보안가이드라인」을 준수하여야 한다.

제25조(비인가 기기 통제) ① 개인 소유의 정보통신기기(개인 용도로만 사용하는 휴대폰 등 이동통신단말기를 제외한다)를 무단 반입·사용하여서는 아니 된다. 다만, 부득이한 경우 소속 부서의 분임정보보안담당관을 거쳐 정보보안담당관의 승인을 받은 후 사용할 수 있다.

② 개인 소유의 이동통신단말기 또는 이동통신망 접속장치(USB형 등)를 공사 정보통신망에 연결하여서는 아니 되며, 공사 정보통신망을 상용 인터넷망에 연결하는 수단으로 사용하여서는 아니 된다.

제26조(원격근무 보안관리) ① 재택·파견·이동근무 등 원격근무를 지원하기 위한 정보시스템을 도입 운영할 경우 기술적·관리적·물리적 보안대책을 수립하고 서울시의 보안성검토를 거쳐 시행하여야 한다.

② 원격근무 가능 업무 및 공개·비공개 업무 선정기준을 수립하고 대외비 이상 비밀자료를 취급하는 업무는 원격근무 대상에서 원칙적으로 제외하여야 한다.

③ 모든 원격근무자에게 보안서약서를 징구하고 원격근무자의 업무변경·인사이동·퇴직 등 상황 발생 시 이용권한 재설정 및 삭제, 정보시스템 회수 등 절차를 마련 시행해야 한다.

④ 정보통신망에 대한 접근통제를 위하여 침입차단시스템 등을 설치하고 원격근무자가 필요한 서비스만 사용하도록 접근권한을 설정하여야 한다.

⑤ 원격근무자는 정보유출 방지 등 보안대책을 강구한 후 원격근무시스템 운영부서의 장과 협의하여 정비·반납 등의 조치를 취하여야 한다.

⑥ 원격근무시스템 운영부서의 장은 주기적인 보안점검을 실시하여 원격근무 보안대책의 이행여부를 확인하여야 한다.

⑦ 원격근무 보안관리는 정보보안담당관의 관리 감독을 받아야 한다.

제4절 전자정보 보안

제27조(홈페이지 게시자료 보안관리) ① 사용자는 개인정보, 비공개 공문서 및 민감한 내용 등이 포함된 자료를 홈페이지에 공개하여서는 아니 된다.

② 사용자는 인터넷 블로그·카페·게시판·개인 홈페이지 또는 소셜네트워크 서비스 등 일반에 공개된 전산망에 업무관련 자료를 무단 게재하여서는 아니 된다.

③ 홈페이지에 정보를 게시하고자 하는 부서의 장은 정보보안담당관과 협의하여 비밀 등 비공개 자료가 게시되지 않도록 하여야 한다. 다만, 기존에 게시한 자료 내용 중 단순하게 수치를 변경하거나 경미한 사항은 그러하지 않을 수 있다.

④ 정보보안담당관은 홈페이지 등에 비공개 자료가 공개되지 않도록 보안교육을 주기적으로 실시하여야 한다.

⑤ 홈페이지에 중요정보가 공개된 것을 인지할 경우 정보보안담당자는 이를 즉시 차단하는 등의 보안조치를 강구·시행하여야 한다.

제28조(전자우편 보안관리) ① 사용자는 전자우편으로 송·수신한 업무자료는 열람 등 활용 후 메일함에서 즉시 삭제하여야 한다.

② 사용자는 메일에 포함된 첨부파일이 자동 실행되지 않도록 설정하고 첨부파일 다운로드 시 반드시 최신 백신으로 악성코드 은닉여부를 검사하여야 한다.

③ 사용자는 출처가 불분명하거나 의심되는 제목의 전자우편은 열람을 금하고 해킹메일로 의심되는 메일 수신시에는 즉시 정보보안담당관에 신고하여야 한다.

④ 사용자는 전자우편을 사용하는 PC에 대하여 “제20조(PC 등 단말기 보안관리)”에 명시된 보안조치 사항을 따른다.

제29조(휴대용 저장매체 보안관리) ① 사용자는 휴대용 저장매체를 PC 등에 연결 시 자동 실행되지 않도록 하고 최신 백신으로 악성코드 감염여부를 자동 검사하여야 하며, 휴대용 저장매체로 내부정보가 유출되지 않도록 관리해야 한다.

② 비밀자료가 저장된 휴대용 저장매체는 매체별로 비밀등급 및 관리번호를 부여하고 비밀관리기록부에 등재 관리하여야 한다. 이 경우에는 매체 전면에 비밀등급 및 관리번호가 표시되도록 한다. 다만, 휴대용 저장매체가 국가용 보안시스템에 해당될 경우에는 해당 보안시스템의 운용·관리체계에 따라 관리한다.

③ 휴대용 저장매체를 파기 등 불용처리하거나 비밀용을 일반용 또는 다른 등급의 비밀용으로 전환하여 사용할 경우 저장되어 있는 정보의 복구가 불가능하도록 완전삭제 프로그램을 사용하여야 한다.

제30조(악성코드 방지대책)  ① 사용자는 개인 PC에서 작성하는 문서·데이터베이스 작성기 등 응용프로그램을 보안패치하고 백신은 최신상태로 업데이트·상시 감시상태로 설정 및 주기적인 점검을 실시하여야 한다.

② 사용자는 출처, 유통경로 및 제작자가 명확하지 않은 응용프로그램을 사용할 수 없으며 인터넷 등 상용망으로 자료 입수 시 신뢰할 수 있는 인터넷사이트를 활용하되 최신 백신으로 진단 후 사용하여야 한다.

③ 사용자는 인터넷 파일공유 프로그램과 메신저·대화방 프로그램 등 업무상 불필요한 프로그램의 사용을 금지하고 시스템관리자는 인터넷 연동구간의 침입차단시스템 등에서 관련 사이트 접속을 차단하도록 보안 설정하여야 한다.

④ 사용자는 웹브라우저를 통해 서명되지 않은 Activ-X 등이 PC내에 불법 다운로드 되고 실행되지 않도록 보안 설정하여야 한다.

⑤ 시스템관리자 또는 PC 등의 사용자는 시스템에 악성코드가 설치되거나 감염된 사실을 발견하였을 경우에 악성코드의 감염원인 규명 등을 위하여 파일 임의삭제 등 사용을 중지하고 정보통신망과 분리한 후 감염확산 방지를 위하여 정보보안담당관에게 관련 사실을 즉시 통보하여야 한다.

제31조(비밀의 전자적 처리) ① 비밀 등 중요 전자정보를 정보통신망을 이용하여 생산·보관·분류·열람·출력·송수신·이관하는 등 전자적으로 처리하기 위해서는 국가용 보안시스템을 사용하여 암호화하는 등 국가정보원장이 안전성을 확인한 보안조치를 수행하여야 한다.

② 비밀을 전자적으로 생산·열람·출력·송수신·이관 시에는 관련 규격에 따른 제반사항을 전자적으로 유지하여야 한다.

③ 비밀 생산을 완료한 경우 PC에 입력된 비밀내용을 삭제하여야 한다. 다만, 업무상 필요한 경우에는 비밀 저장용 휴대용 저장매체를 별도로 지정 사용하거나 PC내에 독립된 폴더를 지정, 국가용 보안시스템으로 암호화하여 보관하여야 한다.

제32조(빅데이터 보안) ① 빅데이터와 관련한 시스템을 구축·운용하고자 할 경우 다음 각 호의 사항을 포함한 보안대책을 수립·시행하여야 한다.

1. 데이터의 수집 출처 확인 및 데이터 오남용 방지

2. 데이터 수집을 위한 정보통신망 보안체계 수립

3. 수집된 데이터의 저장 및 보호체계 수립

4. 중요 데이터 암호화

5. 사용자별(데이터 제공자·수집자·분석요청자 및 분석결과 제공자 등) 권한부여 체계 수립

6. 데이터 파기절차 수립

② 그 밖에 빅데이터 보안과 관련한 사항은 행정안전부 장관이 고시한 「개인정보의 안전성 확보조치 기준」 및 국가정보원장이 배포한 「국가·공공기관 빅데이터 보안 가이드라인」을 준수하여야 한다.

제5절 정보통신망 보안

제33조(업무망 보안관리) ① 정보통신망을 상용망(인터넷 포함)이나 다른 기관과 정보통신망을 연계하기 위한 보안관리 연결지점을 운용할 경우 비인가자의 무단침입(불법접속)이나 악성코드 및 사이버공격을 방지하기 위하여 국가정보원장이 검증한 보안시스템의 설치·운용 등 보안대책을 강구하여야 한다.

② 정보통신망 및 정보시스템에 사용되는 “IP주소”를 체계적으로 관리하여야 한다. 이 경우 내부정보시스템을 보호하기 위하여 사설주소체계(NAT : Network Address Translation)를 사용하며 IP 주소별로 정보시스템 접속을 통제하여 비인가 정보통신기기나 PC등을 이용한 업무망내 정보시스템 접속을 차단하여야 한다.

③ 업무망을 여타 기관의 망 및 인터넷과 연동하고자 할 경우에는 망 연동에 따른 보안대책을 마련하여 서울시에 보안성 검토를 의뢰하여야 한다.

제34조(모바일 업무 보안) ① 휴대폰·태블릿 PC 등을 이용한 모바일 업무환경(내부 행정업무, 현장 행정업무 및 대민서비스 업무 등)을 구축·운영하고자 할 경우 보안대책을 수립·시행하여야 한다.

② 기타 모바일 업무 보안과 관련한 사항은 국가정보원장이 배포한 「국가·공공기관 모바일 활용업무에 대한 보안가이드라인」을 준수하여야 한다.

제35조(무선랜 보안관리) ① 다음 각 호의 경우, 청사 내에 무선랜(WiFi)을 구축·운용할 수 있다.

1. 공사 인터넷망에 중계기(AP)를 설치하여 사장이 지급한 단말기의 접속만을 허용하는 업무용 무선랜

2. 상용 인터넷망에 중계기(AP)를 설치하여, 제25조제1항에 따라 반입한 직원 등의 개인 소유 이동통신단말기의 접속만을 허용하는 무선랜

3. 상용 인터넷망에 중계기(AP)를 설치한 외부인 전용 무선랜

② 제1항에 따라 무선랜을 구축·운용하고자 할 경우 정보보안담당관관의 승인을 받아야 한다.

③ 제2항에 따른 보안대책을 수립할 경우 제1항 제1호 및 제2호에 따른 무선랜에 대하여는 다음 각 호의 사항을 포함하여야 한다.

1. 네트워크 이름(SSID, Service Set Identifier) 브로드캐스팅 금지

2. 추측이 어렵고 복잡한 네트워크 이름 SSID 사용

3. WPA2 이상(256비트 이상)의 암호체계를 사용하여 소통자료 암호화

4. 비인가 단말기의 무선랜 접속 차단 및 무선랜 이용 단말기를 식별하기 위한 IP주소 할당기록 등 유지

5. IEEE 801.1X, AAA(Authentification  Authorization Accounting) 등의 기술에 따라 상호 인증을 수행하는 무선랜 인증제품 사용

6. 무선침입방지시스템 설치 등 침입 차단대책

7. 기관의 내부망 정보시스템 또는 인접해 있는 다른 기관의 정보시스템이 해당 무선랜에 접속되지 아니하도록 하는 기술적 보안대책

8. 그 밖에 무선랜 단말기·중계기(AP) 등 구성요소별 분실·탈취·훼손·오용 등에 대비한 관리적·물리적 보안대책

④ 정보보안담당관은 제2항 및 제3항에 따른 보안대책의 적절성을 수시로 점검·보완하여야 한다.

제36조(이동통신망 보안) ① 이동통신망(HSDPA·WCDMA·LTE·5G 등)을 이용하여 시스템을 구축하거나 중요자료를 소통하고자 할 경우 암호화 및 비인가 단말기의 이동통신망 접속 차단 등 기술적 보안대책을 수립·시행하여야 한다.

② 제1항에 따라 이동통신망을 이용한 시스템을 구축·운용할 경우 공사 정보통신망과 혼용되지 않도록 하여야 한다.

제37조(인터넷전화 보안) ① 인터넷전화시스템을 구축·운용하거나 민간 인터넷전화 사업자망을 이용하고자 할 경우 다음 각 호의 사항을 포함한 보안대책을 수립·시행하여야 한다.

1. 한국정보통신기술협회(TTA) verified ver. 4 이상 보안규격으로 인증받은 행정기관용 인터넷전화시스템 설치·운용

2. 인터넷전화기에 대한 장치 및 사용자 인증

3. 제어신호 및 통화내용 등 데이터 암호화

4. 인터넷전화망과 다른 정보통신망과의 분리

5. 인터넷전화 전용 침입차단시스템 등 정보보호시스템 설치·운용

6. 백업체제 구축

② 민간 인터넷전화 사업자망을 이용할 경우 해당 사업자로 하여금 서비스 제공 구간에 대한 보안대책을 수립하도록 하여야 한다.

③ 기타 인터넷전화 보안과 관련한 사항은 국가정보원장이 배포한 「국가·공공기관 인터넷전화 보안 가이드라인」을 준수하여야 한다.

제38조(인터넷 사용제한) ① 국가비상사태 및 대형 재해·재난의 발생, 사이버공격 등으로부터 정보통신망과 정보시스템의 정상적인 운영을 보장하기 위하여 소속 임직원 등에 대한 인터넷 사용을 일부 제한할 수 있다.

② 공사 인터넷망의 효율적인 운영 관리 및 악성코드 유입 차단을 위하여 게임·음란·도박 등 업무와 관련이 없는 인터넷 이용을 차단하여야 한다.

제39조(정보통신망 자료 보안관리) ① 정보보안담당관은 정보통신망 관련 현황자료를 관리하고 보안에 유의한다.

1. 정보시스템 운용현황

2. 정보통신망 구성현황

3. IP할당현황

4. 주요 정보화사업 추진현황

② 다음 각 호의 자료를 대외비로 분류하여 관리한다.

1. 정보통신망 세부 구성현황(IP 세부 할당현황 포함)

2. 국가용 보안시스템 운용 현황

3. 보안취약점 분석·평가 결과물

4. 기타 보호할 필요가 있는 정보통신망 관련 자료

제6절 융합 보안

제40조(정보통신시설 보안관리) ① 정보통신시설 및 장소는 보호구역으로 지정하여 관리하여야 한다.

1. 암호실·통신실

2. 정보통신실

3. 전산기계실

4. 백업센터 및 중요한 정보통신시설을 집중 제어하는 장소

5. 그 밖에 보안관리가 필요하다고 인정되는 정보시스템 설치장소

② 정보통신시설 관리자는 정보통신시설 보호구역에 대한 보안대책을 마련한다.

1. 방재대책 및 외부로부터의 위해 방지대책

2. 상시 이용하는 출입문은 한 곳으로 정하고 이중 잠금장치 설치

3. 출입자 인증·식별 등을 위한 출입문 보안장치 설치 및 주야간 감시대책

4. 휴대용 저장매체를 보관할 수 있는 용기 비치

5. 정보시스템 안전지출 및 긴급파기 계획 수립

6. 관리책임자 및 자료·장비별 취급자 지정 운용

7. 정전에 대비한 비상전원 공급, 시스템의 안정적 중단 등 전력관리 대책

8. 비상조명 장치 등 비상탈출 대책

9. 전자파 누설 방지 대책

10. 카메라 장착 휴대폰 등을 이용한 불법 촬영 방지 대책 등

제41조(CCTV 보안관리) ① CCTV 운영부서의 장은 CCTV관리책임자가 된다.

② CCTV관리책임자는 「개인정보 보호법」을 준수하여 개인영상정보의 처리, CCTV설치 및 관리를 총괄한다.

③ CCTV관리책임자는 개인영상정보를 수집 목적 외로 이용하거나 제3자에게 제공하여서는 안 된다.

④ CCTV운영 및 관리방침을 수립하거나 변경하는 경우 정보주체가 쉽게 확인할 수 있도록 공개하여야 한다.

⑤ CCTV 운용에 필요한 카메라, 중계·관제서버, 관리용 PC 등 관련시스템을 비인가자의 임의 조작이 물리적으로 불가능하도록 설치하여야 한다.

⑥ CCTV상황실은 제한구역으로 지정·관리하고 출입통제장치를 도입하여야 한다.

⑦ 시스템관리자는 CCTV카메라, 비디오서버, 관제서버 및 관련 정보통신망을 설치할 경우 업무망 및 인터넷망과 분리 운영하는 것을 원칙으로 한다. 다만, 부득이하게 인터넷망을 이용할 경우에는 전송내용을 암호화하여야 한다.

⑧ CCTV 시스템 일체는 사용자계정·비밀번호 등 시스템 인증대책을 강구하고 허용된 특정IP에서만 접속을 허용하는 등 비인가자의 침입에 대비한 통제대책을 강구하여야 한다.

⑨ 이 외의 CCTV 보안 관련사항은 “CCTV 설치 운영지침”에 따른다.

제7절 정보화사업 보안

제42조(제안요청서 작성) ① 용역업체에 정보화사업을 발주하기 위하여 제안요청서를 작성할 경우 다음 각 호의 사항을 포함하여야 한다.

1. 용역업체 작업장소에 대한 보안요구사항

2. 누출금지정보 목록

3. 용역업체가 누출금지정보를 제외한 소프트웨어 산출물을 제3자에게 제공하고자 할 경우 발주자의 승인절차

② 제1항 제3호에 따른 누출금지정보 목록을 작성할 경우 다음 각 호의 사항을 포함하여야 한다.

1. 공사의 정보시스템 내·외부 IP 주소 현황

2. 정보시스템 구성 현황 및 정보통신망 구성도

3. 개별사용자의 계정·비밀번호 등 정보시스템 접근권한 정보

4. 정보통신망 또는 정보시스템 취약점 분석·평가 결과물

5. 정보화사업 용역 결과물 및 관련 프로그램 소스코드(외부에 유출될 경우 국가안보 및 국익에 피해가 우려되는 중요 용역사업에 해당)

6. 암호자재 및 정보보호시스템 도입·운용 현황

7. 정보보호시스템 및 네트워크장비 설정 정보

8. 「공공기관의 정보공개에 관한 법률」 제9조제1항에 따라 비공개 대상 정보로 분류된 해당 기관의 내부문서

9. 「개인정보보호법」 제2조제1호에 따른 개인정보

10. 「보안업무규정」제4조에 따른 비밀 및 「보안업무규정 시행규칙」제16조제3항에 따른 대외비

11. 그 밖에 공사 사장이 공개가 불가하다고 판단한 자료

제43조(용역사업 보안관리) ① 정보화·정보보호사업 및 보안컨설팅 수행 등을 외부용역으로 추진할 경우 사업책임자로 하여금 다음 각 호의 사항을 포함한 보안대책을 수립·시행하도록 하여야 한다.

1. 용역사업 계약 시 계약서에 참가직원의 보안준수 사항과 위반 시 손해배상 책임 등을 명시

2. 용역사업 수행과 관련된 보안교육·점검 및 용역기간 중 참여인력의 임의교체 금지

3. 정보통신망도, IP현황 등 용역업체에 제공할 자료는 자료 인계·인수 대장을 비치하여 보안조치 후 인계·인수하고 무단 복사 및 외부 반출 금지

4. 사업 종료 시 외부업체에 노트북, 휴대용 저장매체 등을 통해 비공개 자료가 유출되는 것을 방지하기 위하여 복구가 불가능하도록 완전 삭제

5. 용역업체로부터 용역 결과물을 전량 회수하고 비인가자에게 제공·열람 금지

6. 용역업체의 노트북 등 관련 장비를 반출·반입할 때마다 악성코드 감염 및 자료 무단 반출 여부를 확인

7. 소프트웨어 개발보안에 필요한 사항

8. 제42조제1항 각 호에 따른 제안요청서에 포함된 사항

9. 그 밖의 각 부서의 장 및 사장이 보안관리가 필요하다고 판단하는 사항이나 국가정보원장이 보안조치를 권고하는 사항

② 용역사업 추진 시 과업지시서·입찰공고·계약서에 다음 각 호의 누출금지 대상정보를 명시해야 하며 해당 정보 누출 시 사업자를 부정당업자로 등록하여 입찰 참가자격을 제한하여야 한다.

1. 기관 소유 정보시스템의 내·외부 IP 주소 현황

2. 세부 정보시스템 구성 현황 및 정보통신망 구성도

3. 사용자계정·비밀번호 등 정보시스템 접근권한 정보

4. 정보통신망 취약점 분석·평가 결과물

5. 정보화 용역사업 결과물 및 관련 프로그램 소스코드(유출시 안보·국익에 피해가 우려되는 중요 용역사업에 해당)

6. 국가용 보안시스템 및 정보보호시스템 도입 현황

7. 침입차단시스템·방지시스템(IPS) 등 정보보호제품 및 라우터, 스위치 등 네트워크 설정 정보

8. 「공공기관의 정보공개에 관한 법률」 제9조 1항에 따라 비공개 대상 정보로 분류된 기관의 내부문서

9. 「개인정보보호법」 제2조 제1호의 개인정보, 비밀 및 대외비

10. 그 밖에 각 부서의 장 및 소속기관의 장이 공개가 불가하다고 판단한 자료

③ 정보화 용역사업 수행 시 다음 각 호에 따라 보안 관리를 하여야 한다.

1. 용역사업의 참여인력에 대한 보안서약서 징구(별지 제3호 서식)

2. 용역업체 참여인원에 대해 법적 또는 발주기관 규정에 따른 비밀유지 의무준수 및 위반 시 처벌 내용 등에 대한 보안교육(별지 제4호 서식)

3. 공사 정보통신망 이용 시 정품소프트웨어 사용 서약서 징구(별지 제5호 서식)

4. 업체 인력에 대한 보안점검 실시, ‘누출 금지 대상 정보’ 외부 누출여부 확인

5. 용역업체 보안점검 및 점검결과서 작성(별지 제6호 서식)

6. 계약서 등에 명시한 누출금지 대상정보를 업체에 제공할 경우 자료관리대장을 작성하고 인계자와 인수자가 직접 서명한 후 제공한 뒤, 사업완료 시 관련자료 회수 및 관리대장 작성(별지 제7호 서식)

7. 용역사업 관련자료 및 사업과정에서 생산된 산출물은 공사의 파일서버에 저장하거나 사업의 보안담당이 지정한 PC에 저장·관리

8. 용역사업 관련자료는 인터넷 웹하드·P2P 등 인터넷 공유사이트에 저장 금지

9. 용역업체가 사용하는 장비에 대한 장비 관리대장 작성(별지 제8호 서식)

10. 발주기관 내부에서 용역사업을 수행하는 경우 용역 참여직원이 노트북 등 관련장비를 외부에 반출·입  시마다 전산장비 반출입대장 작성(별지 제9호 서식) 및 악성코드 감염여부 및 자료 무단반출 여부 확인

11. 인가 받지 않은 USB 등 휴대용 저장매체 사용 금지 및 산출물 저장을 위한 휴대용 저장매체가 필요한 경우 발주기관이 승인 하에 사용

12. 용역사업을 수행하는 사무실은 시건장치가 구비되고 비인가자 출입통제가 가능한 사무실 사용

13. 용역사업 수행으로 생산된 산출물 및 기록은 보안담당관이 인가하지 않은 비인가자에게 제공·대여·열람 금지

제 4 장  안전성 확인·평가

제1절 보안성 검토

제44조(보안성 검토) ① 다음 각 호의 정보화 사업을 추진할 경우에는 사업계획단계(사업 공고 전)에서 정보보안대책을 강구하고 안전성을 확인하기 위해 시장에게 보안성검토를 의뢰하여야 한다. 단, 사전 협의를 통해 정보시스템 단순 교체 등 사안이 경미하다고 판단하는 경우에는 보안성 검토를 생략할 수 있다.

1. 비밀·대외비를 유통·관리하기 위한 정보통신망 또는 정보시스템 구축

2. 국가정보원장이 개발하거나 안전성을 확인한 암호자재를 적용하는 정보통신망 또는 정보시스템 구축

3. 국방·외교 등 국가안보상 중요한 정보통신망 및 정보시스템의 구축

4. 100만명 이상의 개인에 대한 「개인정보보호법」 상 민감정보 또는 고유식별정보를 처리하는 정보시스템 구축

5. 주요정보통신기반시설로 지정이 필요한 정보통신기반시설 구축

6. 공항·항만·전력·가스·운송설비 등을 중앙에서 감시·제어하기 위한 정보시스템 도입

7. 재난관리·국민안전·치안유지·비상사태 대비 등 국가위기 관리와 관련한 정보통신망 또는 정보시스템 구축

8. 국가정보통신망 등 여러 기관이 공동으로 활용하기 위한 정보통신망 또는 정보시스템 구축

9. 행정정보, 국가지리, 환경정보 등 국가 차원의 주요 데이터베이스 구축

10. 정상회의, 국제회의 등 국제행사를 위한 정보통신망 또는 정보시스템 구축

11. 내부망 또는 패쇄망을 인터넷 또는 다른 정보통신망과 연동하는 사업

12. 내부망과 기관 인터넷망을 분리하는 사업

13. 통합데이터센터·보안관제센터 구축

14. 업무상 목적으로 이용하도록 하기 위한 무선랜, 이동통신망(HSDPA, WCDMA, LTE, 5G 등) 등 구축

15. 원격근무시스템 구축

16. 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제20조에 따라 클라우드컴퓨팅서비스제공자의 클라우드컴퓨팅서비스(이하 “민간 클라우드컴퓨팅서비스”라 한다)를 이용하는 사업

17. 남북 회담 및 협력사업 등을 위한 북한지역 내 정보통신망 또는 정보시스템 구축

18. 외국에 개설하는 사무소 운영을 위한 정보통신망 또는 정보시스템 구축

19. 첨단 정보통신기술을 활용하는 정보화사업으로서 국가정보원장이 해당 기술에 대하여 안전성 확인이 필요하다고 지정하는 사업

20. 그 밖에 시장 또는 사장이 보안성 검토가 필요하다고 판단하는 정보화사업

② 각 부서의 장은 보안성검토를 의뢰하는 경우 다음 각 호의 문서를 제출하여야 한다.

1. 사업계획서(사업목적 및 추진계획 포함)

2. 기술제안요청서(RFP)

3. 정보통신망 구성도(필요시, IP주소체계 추가)

4. 자체 보안대책 강구사항

③ 제2항 제4호의 자체 보안대책 강구사항에는 다음 각 호를 포함하여야 한다.

1. 보안관리 수행체계(조직, 인원) 등 관리적 보안대책

2. 정보시스템 설치장소에 대한 보안관리 방안 등 물리적 보안대책

3. 국가용 보안시스템 및 국가정보원장이 개발하거나 안전성을 검증한 암호모듈·정보보호시스템 도입 운용계획

4. 국가기관 간 망 연동 시 해당 기관 간 보안관리 협의사항

5. 서버, 휴대용 저장매체, 네트워크 등 정보통신망의 요소별 기술적 보안대책

6. 재난복구 계획 또는 상시 운용계획

제2절 보안적합성 검증

제45조(보안적합성 검증) ① 제18조제1항제3호에 따른 보안기능이 있는 정보통신제품을 도입하는 경우 실제 적용·운용 이전에 안전성을 확인하기 위하여 보안적합성 검증을 받아야 한다.

② 보안적합성 검증을 신청할 경우, 보안적합성 검증 신청서(별지 제10호 서식), 정보통신제품 도입 확인서(현황)(별지 제11호 서식), [별표 2] 보안적합성 검증 신청시 제출물에 해당하는 문서 등을 제출하여야 한다.

③ 제2항에 따라 보안적합성 검증을 신청할 경우, 검증기관의 장이 필요하다고 판단하여 추가 자료를 요청할 경우 이를 제출하여야 한다.

부칙<제○○○호, 2021. 3.  .>

(시행일) 이 규정은 공포한 날부터 시행한다.

[별지 제1호 서식]

정보시스템 관리대장

연번	시스템명	주요기능(용도)	설치일자	관리책임자	비 고

[별지 제2호 서식]

사용자계정 관리대장

연번	소속	성명	시스템명	계 정	접근권한	처리내용 (등록, 수정, 삭제)	처리일자	확인

【별지 제3-1호 서식】

용역사업 착수시

보안 서약서

(용역업체 대표자용)

본인은        년      월      일부로 (용역사업명)을 수행함에 있어 다음사항을 준수할 것을 엄숙히 서약합니다.

본인은 (용역사업명) 수행중 알게 될 일체의 내용이 직무상 기밀 사항임을 인정하고, 용역수행중 취득한 각종 성과품(문서,도면,동영상,사진 등)은 귀 공사의 직원이라고 하여도 본 사업에 직접 관여하지 않는 자에 대해서는 공개 또는 누설하지 않으며, 사업 수행 중은 물론 종료 후에도 자신 또는 제3자를 위하여 사용하지 않는다

2. 본 사업 추진의 사실 및 그 성과가 귀 공사에 의하여 적법하게 공개된 경우라고 하여도 미공개 부문에 대해서는 비밀을 유지한다.

3. 본 사업이 완료되거나 사업 진행 중에 어떠한 사유로든 본인이 본 사업을 수행할 수 없게 된 경우, 그 시점에서 본인이 보유하고 있는 기밀사항을 포함한 관련 자료를 즉시 귀 공사에 반납하고 비밀을 유지한다.

4. 본인 회사의 직원이 기밀을 누설하거나 관계 규정을 위반한 경우에도 총괄 책임을 지겠으며, 관련 법령 및 계약에 따라 어떠한 처벌 및 불이익도 감수한다.

5. 본인은 하도급업체를 통한 사업 수행시 하도급업체로 인해 발생하는 위반사항에 대하여 모든 책임을 부담한다.

6. 상기 보안 서약 미준수 시 관계법규에 따라 엄중한 처벌을 받을 것을 서약한다.

가. 국가보안법 제4조 제1항 제2호 및 5호(국가기밀누설 등)

나. 형법 제98조, 제99조, 제113조 및 제127조 등 보안 관련 법규

년       월     일

서   약   자	업   체   명 :

(용역업체 대표자)	직        위 :

성        명 :	(서명)

생 년  월 일 :

서약  집행자	소        속 :

(공사 담당자)	직        위 :

성        명 :	(서명)

생 년  월 일 :

【별지 제3-2호 서식】

용역사업 착수시

보안 서약서

(용역업체 직원용)

본인은        년      월      일부로 (용역사업명)을 수행함에 있어 다음사항을 준수할 것을 엄숙히 서약합니다.

본인은 (용역사업명) 수행중 알게 될 일체의 내용이 직무상 기밀 사항임을 인정하고, 용역수행중 취득한 각종 성과품(문서,도면,동영상,사진 등)은 귀 공사의 직원이라고 하여도 본 사업에 직접 관여하지 않는 자에 대해서는 공개 또는 누설하지 않으며, 사업 수행 중은 물론 종료 후에도 자신 또는 제3자를 위하여 사용하지 않는다.

2. 본 사업 추진의 사실 및 그 성과가 귀 공사에 의하여 적법하게 공개된 경우라고 하여도 미공개 부문에 대해서는 비밀을 유지한다.

3. 본 사업이 완료되거나 사업 진행 중에 어떠한 사유로든 본인이 본 사업을 수행할 수 없게 된 경우, 그 시점에서 본인이 보유하고 있는 기밀사항을 포함한 관련 자료를 즉시 귀 공사에 반납하고 비밀을 유지한다.

4. 상기 보안 서약 미준수 시 관계법규에 따라 엄중한 처벌을 받을 것을 서약한다.

가. 국가보안법 제4조 제1항 제2호 및 5호(국가기밀누설 등)

나. 형법 제98조, 제99조, 제113조 및 제127조 등 보안 관련 법규

년       월     일

서   약   자	업   체   명 :

(용역업체 직원)	직        위 :

성        명 :	(서명)

생 년  월 일 :

서약  집행자	소        속 :

(공사 담당자)	직        위 :

성        명 :	(서명)

생 년  월 일 :

【별지 제3-3호 서식】

용역사업 완료시

보안 서약서

(용역업체 대표자용)

본인은        년      월      일부로 (용역사업명)을 종료함에 있어 다음사항을 준수할 것을 엄숙히 서약합니다.

1. 본인은 (용역사업명) 수행중 알게 된 일체의 내용이 직무상 기밀 사항임을 인정하고, 용역완료후에는 제3자에게 누설·유출하지 않으며 성과품(문서,도면,동영상,사진 등)은 파기하고 보관하지 않는다.

2. 본인은 이 기밀을 누설함이 국가안전보장 및 국가이익에 위해가 될 수 있음을 인식하여 업무수행 중 지득한 제반 기밀사항을 일체 누설하거나 공개하지 아니한다.

3. 본인이 이 기밀을 누설하거나 관계 규정을 위반한 때에는 관련 법령 및 계약에 따라 어떠한 처벌 및 불이익도 감수한다.

가. 국가보안법 제4조 제1항 제2호 및 5호(국가기밀누설 등)

나. 형법 제98조, 제99조, 제113조 및 제127조 등 보안관련 법규

4. 본인은 하도급업체를 통한 사업 수행시 하도급업체로 인해 발생하는 위반사항에 대하여 모든 책임을 부담한다.

년       월     일

서   약   자	업   체   명 :

(용역업체 대표자)	직        위 :

성        명 :	(서명)

생 년  월 일 :

서약  집행자	소        속 :

(공사 담당자)	직        위 :

성        명 :	(서명)

생 년  월 일 :

【별지 제3-4호 서식】

용역사업 완료시

보안 서약서

(용역업체 직원용)

본인은        년      월      일부로 (용역사업명)을 종료함에 있어 다음사항을 준수할 것을 엄숙히 서약합니다.

본인은 (용역사업명) 수행중 알게 된 일체의 내용이 직무상 기밀 사항임을 인정하고, 용역완료후에는 제3자에게 누설·유출하지 않으며 성과품(문서,도면,동영상,사진 등)은 파기하고 보관하지 않는다.

2. 본인은 이 기밀을 누설함이 국가안전보장 및 국가이익에 위해가 될 수 있음을 인식하여 업무수행 중 지득한 제반 기밀사항을 일체 누설하거나 공개하지 아니한다.

3. 본인이 이 기밀을 누설하거나 관계 규정을 위반한 때에는 관련 법령 및 계약에 따라 어떠한 처벌 및 불이익도 감수한다.

가. 국가보안법 제4조 제1항 제2호 및 5호(국가기밀누설 등)

나. 형법 제98조, 제99조, 제113조 및 제127조 등 보안관련 법규

년       월     일

서   약   자	업   체   명 :

(용역업체 직원)	직        위 :

성        명 :	(서명)

생 년  월 일 :

서약  집행자	소        속 :

(공사 담당자)	직        위 :

성        명 :	(서명)

생 년  월 일 :

【별지 제4호 서식】

용역업체 보안교육 결과서

업체는      년도 발주기관(기관명 : 서울특별시농수산식품공사)의 정보화사업(사업명 :                        )을 수행함에 있어 용역사업 수행기간동안 용역사업 참여 인력이 준수해야 할 보안사항에 대한 보안교육을 수료하였으며 그 결과를 제출하는 바입니다.

□ 교육 이수 결과

번호	업체명	소속팀 및 직위	이름	전화번호	확인(서명)
1
2
3
4

【별지 제5호 서식】

년

서  약  서

하기 본인(또는 대표자)은 서울특별시 농수산식품공사 관련 직무 및 용역을 수행함에 있어, 소프트웨어 관리규정(소프트웨어 및 저작권 관련 법규 포함)을 충분히 숙지하고, 이를 준수할 것을 약속합니다.

또한, 서울특별시 농수산시품공사 내에서 사용하고 있는 컴퓨터에는 업무적으로 필요한 정품 소프트웨어만 사용하고, 불법 소프트웨어 사용과 관련하여 발생되는 문제에 대하여 모든 책임질 것을 서약합니다.

○ 사용기간

부여IP주소	사용기간		사용용도 (또는 프로젝트명)	소 속	이름	서명(인)
	~부터	~까지

.     .     .

소속(용역사) :                       성명 :             (인)

연락처 :

소속(공사담당자) :                      성명 :             (인)

서울특별시 농수산식품공사 귀하

【별지 제6호 서식】

용역업체 보안점검 관리대장

□ 점검일 :        년     월     일

□ 용역사업 책임자(소속/이름) :             /        (인)

□ 보안담당관(소속/이름) :             /         (인)

구분	점 검 항 목	확인
인적	용역 참여 인원 변동사항 현행화 및 보안 서약서 징구
	참여인원에 대한 보안 교육 실시
	비인가자 출입 및 접근 통제
장비	용역업체 전산장비 관리대장 확인(갱신 여부 등 확인)
	전산장비에 대해 월 1회“내 PC 지키미 수행”결과 확인 및 보완 - 비밀번호 지정 및 정기변경(최소 분기별 1회 이상), 화면보호기 설정여부
	비인가 휴대용저장매체 사용 여부 확인(차단여부 확인)
	전산장비 반·출입 대장 확인 - 반입시 최신 백신 프로그램 설치여부 및 악성코드 감염여부 확인 - 반출시 무단반출 여부 확인
네트 워크	인터넷 웹하드, P2P 등 인터넷 자료공유사이트 차단여부 확인
	사용자 계정·네트워크 사용 승인 관리, 사용 만료 시 즉시 차단
자료	누출금지대상정보 등 제공자료에 대한 관리대장 작성 및 확인 점검
	산출물 지정 파일서버 저장·관리, 파일서버 인터넷 연결 금지

※ 확인 : 보안담당관이 점검하고 점검자 란에 이름 및 서명

※ 보안담당관은 점검대장을 최종 검토한 후 미흡한 부분 보완지시 및 서명

【별지 제7호 서식】

용역업체 제공자료 관리대장

(누출금지 대상정보 등 중요자료)

□ 사업명 및 업체명 :                            /

□ 사업기간 :        년     월     일    ~        년     월     일

□ 발주부서 및 발주담당자 :                 /                (서명)

연번	제공자료명	제공사유	형태	수량	인계일	회수/파기 (시행일)	인계자 (서명)	인수자 (서명)
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15

【별지 제8호 서식】

용역업체 전산장비 관리대장

□ 사업명 및 업체명 :                            /

□ 사업기간 :        년     월     일    ~        년     월     일

□ 발주부서 및 발주담당자 :                 /                (서명)

연번	소 속	사용자 (성명)	전산장비 종류	네트워크 IP	보안 3종 설치 (백신 등)	산출물 저장 PC
1		나파일	파일서버	1.1.1.1	O	O
2		김개발	PC	2.2.2.2	O	X
3		이전문	노트북	3.3.3.3	O	X
4

※ 전산장비 종류 : 서버, PC, 노트북, 휴대용 저장매체 등

※ 산출물 저장을 위한 지정 파일서버를 사용할 경우 파일서버 정보도 기입(지정 공유폴더명 포함)

【별지 제9호 서식】

용역업체 전산장비 반출⋅입 대장

□ 사업명 및 업체명 :                            /

□ 사업기간 :        년     월     일    ~        년     월     일

□ 발주부서 및 발주담당자 :                 /                (서명)

반입일	반출일	반입장비 (PC/노트북/모델명/시리얼번호)	소 속	사용자(성명)	반출입승인 (전산팀담당자)	백신점검 (백신명/점검일)	반출자료확인 (용역담당자)	비고

※ 백신은 최신버전으로 업데이트 후 점검

【별지 제10호 서식】

보안적합성 검증 신청서

신청기관	기 관 명						운용부서
	도입목적
	운용환경	사용자 수				망 구성		□ 유선 □ 무선
		속도(대역폭)
	운용형태	□ 단독 설치·운용 □ 타 보안제품과 연동 □ 대 국민 배포용
	연 동 시 스 템	□ ERP □ KMS □ CRM □ 전자결재 □ 기타 그룹웨어
	사 업 명
신청제품	업 체 명					대 표 자
	주 소					전화번호
	제 품 명	* 신청제품이 2種 이상인 경우, 추가기재				CC 인증번호
						암호 검증번호
						용역개발여부		□ 예 □ 아니오
	평가기관		인증기관					등급
	담 당 자	전화번호
		휴대폰번호
		E-mail
암호모듈	□ 없음 □ 있음 ( □ 검증 □ 미 검증 )

【별지 제11호 서식】

정보통신제품 도입 확인서(현황)

기관명		관계 중앙행정기관
담당자		담당자 전화번호
사업명
보안성	보안성 검토받은 문서 제목 및 번호 표시 예) OOO 보안성 검토결과(OOO-OOO, 2019.1.1)

기관명	관계 중앙행정기관	제품명	제조사	제품 유형	보안기능 확인서			CC인증, GS인증, 성능평가			암호모듈검증 (KCMVP)		펌웨어 또는 OS버전	해시값 (SHA- 512)	비고
					발급 번호	시험 기관	발급일	인증 번호	등급 또는 준수PP	인증 기관	암호 모듈명	암호 검증 번호
				L3 스위치	ND-0001-0001- 2019		2019-01-01		NDcPP			CM-00- 000.0	이름 또는 버전		수량 등

【 별표 1 】

‘암호가 주기능인 제품’ 도입요건

제품 유형	도입 요건	비 고
메일 암호화제품	검증필 암호모듈 탑재
구간 암호화제품
하드웨어 보안토큰
디스크ㆍ파일 암호화제품
기타 암호화제품
SSO제품	검증필 암호모듈 탑재 및 CC인증(국가용 보호프로파일 준수)
DB 암호화제품
문서 암호화제품(DRM 등)

※ 최신 도입요건은 국가정보원 홈페이지(암호모듈 검증) 참조

【 별표 2 】

보안적합성 검증 신청시 제출물

1. 최초검증 신청시 제출물

제출물	정보보호시스템		네트워크장비	작성 주체
	상용 제품	자체(용역) 개발
[서식 제1호]에 따른 보안적합성 검증 신청서	○	○	○	신청기관
[서식 제3호]에 따른 정보통신제품 도입확인서(현황)	○	○	○
기술제안요청서 사본	○	○	○
보안기능 점검표	○	○	○
운용점검사항	○	○
CC인증서 사본	○ (인증서 보유시)			업체
보안기능 운용 설명서	○	○	○
펌웨어 이미지 및 해시값			○
기본 및 상세 설계서		○
개발완료 보고서		○

2. 재검증 신청시 제출물

제출물	정보보호시스템		네트워크장비	작성 주체
	상용 제품	자체(용역) 개발
[서식 제1호]에 따른 보안적합성 검증 신청서	○	○	○	신청기관
[서식 제3호]에 따른 정보통신제품 도입확인서(현황)	○	○	○
보안기능 점검표	○	○	○
운용점검사항	○	○
변경내용 분석서	○	○	○	업체
펌웨어 이미지 및 해시값			○

「정보통신보안 지침」신ㆍ구조문대비표

현 행	개정 검토(안)
제1장 총칙	제1장 총칙
제1조(목적) (생략)	제1조(목적) (현행과 같음)
제2조(정의) 이 기준에서 사용하는 용어의 뜻은 다음과 같다. 1∼2 (생략) 3. “업무전산망”(이하 “업무망”이라 한다)이라 함은 기관의 네트워크 중에서 인터넷을 사용할 수 있도록 연결되어 있는 인터넷 전용망을 말한다. 4∼7 (생략) 8. “전자문서”라 함은 컴퓨터 등 정보처리 능력을 가진 장치에 의하여 전자적인 형태로 송·수신 또는 저장되는 정보를 말한다. 9~21 (생략) 22~26 (신설)	제2조(정의) 이 기준에서 사용하는 용어의 뜻은 다음과 같다. 1∼2 (현행과 같음) 3. “업무전산망”(이하 “업무망”이라 한다)이라 함은 공사의 네트워크 중에서 업무용으로 사용되는 영역으로 인터넷 서비스도 병행 제공되는 내부 전산망도 포함한다. 4∼7 (현행과 같음) 8. “전자문서”라 함은 컴퓨터 등 정보처리 능력을 가진 장치에 의하여 전자적인 형태로 송·수신 또는 저장되는 표준화된 정보를 말한다. 9∼21 (현행과 같음) 22. “인터넷망”이란 공사의 네트워크 중에서 인터넷을 사용할 수 있도록 연결되어 있는 인터넷 전용망을 말한다. 23. “업무자료”라 함은 전자문서, 전자기록물 및 직무상 작성·취득하였거나 보유·관리하는 자료로서 전자적으로 처리되어 부호·문자·음성·음향·영상 등으로 표현된 것을 말한다. 24. “상용 암호모듈”이라 함은 암호알고리즘을 소프트웨어, 하드웨어, 펌웨어 또는 이를 조합한 형태로 구현한 것으로서 중요자료를 보호하기 위하여 민간이 상용으로 판매하는 것을 말한다. 25. “보안관제”라 함은 사이버공격 정보를 실시간으로 탐지 및 분석, 대응하는 일련의 활동을 말한다. 26. “보안적합성 검증”이라 함은 보안기능이 있는 정보통신 제품에 대하여 실제 적용·운용 이전에 시험 등의 방법으로 안전성을 검증하는 활동을 말한다.
제2장 정보보안 기본활동	제2장 정보보안 기본활동
제3조(정보보안 목표) (생략)	제3조(정보보안 목표) (현행과 같음)
제4조(지휘체계 및 책임) (생략)	제4조(지휘체계 및 책임) (현행과 같음)
제5조(정보보안담당관 운영) (생략)	제5조(정보보안담당관 운영) (현행과 같음)
제6조(정보보안업무 추진계획 수립) (생략)	제6조(정보보안업무 추진계획 수립) (현행과 같음)
제7조(정보보안 교육) (생략)	제7조(정보보안 교육) (현행과 같음)
제8조(사이버보안 진단의 날 운영) (생략)	제8조(사이버보안 진단의 날 운영) (현행과 같음)
제9조 (정보보안사고 처리 및 조사) (생략)	제9조 (정보보안사고 처리 및 조사) (현행과 같음)
제10조(재난방지) (생략)	제10조(재난방지) (현행과 같음)
제3장 정보보안 관리	제3장 정보보안 관리
<신 설>	제1절 자산 관리
<신 설>	제11조(정보시스템 도입) ① 시스템담당자는 정보시스템 도입에 대한 검수 계획 수립 시 정보보안담당관과 협의를 거쳐 보안적 요소를 반영하여야 한다. ② 정보시스템 자산 도입시 시스템별 보안관리 및 보안성검토에 대한 세부사항은 “제3절 정보시스템 보안” 및 “제4장 안전성 확인·평가” “제1절 보안성 검토”와 제2절 보안적합성 검증”을 따른다. ③ 시스템운영자는 신규 정보시스템 도입시 정보시스템 관리대장(별지 제1호 서식)을 갱신하여야 한다.
제28조(정보시스템 유지보수) ①~③ (생략) ④~⑤ (신설)	제12조(정보시스템 유지보수) ①~③ (현행과 같음) ④ 시스템 관리자는 유지보수와 관련된 장비·도구 등을 반출·입할 경우, 악성코드 감염여부, 자료 무단반출 여부를 확인하는 등의 보안조치를 실시하고 그 결과를 정보보안담당관에게 제출하여야 한다. ⑤ 시스템관리자는 직접 또는 용역업체를 활용하여 정보시스템을 유지보수할 경우 콘솔 또는 지정된 단말기로부터의 접속만을 허용하여야 한다.
제27조(정보시스템 개발보안) (생략)	제13조(정보시스템 개발보안) (현행과 같음)
제29조(전자정보 저장매체 불용처리) 사용자 및 시스템 관리자는 하드디스크 등 전자정보 저장매체를 불용처리(교체․반납․양여․폐기 등) 하고자 할 경우에는 정보보안담당관의 승인 하에 저장매체에 수록된 자료가 유출되지 않도록 보안조치하여야 한다. ①~④ (신설)	제14조(전자정보 저장매체 불용처리) 사용자 및 시스템 관리자는 하드디스크 등 전자정보 저장매체를 불용처리(교체·반납·양여·폐기 등) 하고자 할 경우에는 저장매체에 수록된 자료가 유출되지 않도록 보안조치하여야 한다. ① 정보시스템 또는 저장매체를 외부수리·교체·반납·양여·폐기·불용 처리하고자 할 경우 정보시스템 및 저장매체에 저장된 자료가 외부에 유출되지 않도록 자료 삭제 등 보안조치를 실시하여야 한다. 이 경우 정보시스템 관리자 및 개별사용자는 정보보안담당관과 협의하여야 한다. ② 제1항에 따라 자료를 삭제할 경우 저장매체별·자료별 차별화된 삭제 방법을 적용할 수 있다. ③ 비밀·대외비를 저장하거나 암호화 키를 저장한 저장매체는 소각·파쇄·용해 등의 방법으로 완전 파괴하여야 한다. ④ 기타 정보시스템 및 저장매체의 불용처리와 관련한 사항은 국가정보원장이 배포한 「정보시스템 저장매체 불용처리지침」을 준수하여야 한다.
<신 설>	제2절 접근통제
제19조(사용자계정 관리) ① (생략) ② 시스템관리자는 비인가자의 침입 여부를 확인·점검하여야 한다. ③ 시스템관리자는 직원의 퇴직 또는 보직변경 발생 시 사용하지 않는 사용자계정을 신속히 삭제하고 특별한 사안이 없는 한 유지보수 등을 위한 외부업체 직원에게 관리자계정 제공을 금지하여야 한다. ④ (생략) ⑤~⑥ (신설)	제15조(사용자계정 관리) ① (현행과 같음) ② 시스템관리자는 사용자가 5회 이상에 걸쳐 로그인 실패 시 정보시스템 접속을 중단시키도록 시스템을 설정하고 비인가자의 침입 여부를 확인·점검하여야 한다. ③ 시스템관리자는 직원의 퇴직 또는 보직변경, 계약종료 등 변동사항 발생 시 사용하지 않는 사용자계정을 신속히 삭제하거나 부여된 접근권한을 회수하고 특별한 사안이 없는 한 유지보수 등을 위한 외부업체 직원에게 관리자계정 제공을 금지하여야 한다. ④ (현행과 같음) ⑤ 시스템 관리자는 사용자 계정 부여 및 관리의 적절성을 점검하고 그 결과를 정보보안담당관에게 통보하여야 한다. ⑥ 시스템 관리자는 제1항 및 제3항에 의한 접근권한 부여, 변경, 회수 또는 삭제 등에 대한 내역을 기록하고 3년 이상 보관하여야 한다.
제20조(비밀번호 관리) ①~② (생략) ③ 서버에 등록된 비밀번호는 암호화하여 저장하여야 한다. ④~⑤ (생략) ⑥ (신설)	제16조(비밀번호 관리) ①~② (현행과 같음) ③ 서버에 등록된 비밀번호는 복호화 되지 아니하도록 암호화하여 저장하여야 한다. ④~⑤ (현행과 같음) ⑥ 정보시스템에서 개별사용자를 식별 또는 인증하기 위하여 비밀번호에 갈음하거나 병행하여 지문인식 등 생체인증 기술 및 일회용 비밀번호 생성기(OTP) 등을 안전성 확인 후 사용할 수 있다. 이 경우 생체인증 정보는 안전하게 보관하여야 한다.
제26조(접근기록 관리) ①~③ (생략) ④ 접근기록은 정보보안 사고 발생 시 확인 등을 위하여 최소 6개월 이상 보관하여야 하며 접근기록 위·변조 및 외부유출 방지대책을 강구하여야 한다.	제17조(접근기록 관리) ①~③ (현행과 같음) ④ 접근기록은 정보보안 사고 발생 시 확인 등을 위하여 최소 1년 이상 보관하여야 하며 접근기록 위·변조 및 외부유출 방지대책을 강구하여야 한다. 단, 2022년부터 생성되는 접근기록은 3년 이상 보관하여야 한다.
<신 설>	제3절 정보시스템 보안
<신 설>	제18조(정보통신제품 도입) ① 각 부서의 장은 정보 및 정보통신망 등을 보호하기 위하여 보안기능이 있는 다음 각 호의 정보통신제품을 도입할 수 있다. 1. 국가정보원장이 공지한 안전성 검증필 제품 목록에 등재되어 있는 제품 2. 비밀이 아닌 업무자료의 암·복호화를 목적으로 한 경우[별표 1] 암호가 주기능인 제품 도입요건을 만족하는 제품 3. 제1호 및 제2호에 해당하지 않는 정보통신 제품 중에서 국가정보원장이 별도로 공지하는 도입요건을 만족하는 제품 ② 제1항제3호에 해당하는 제품은 실제 적용ㆍ운용 이전에 제4장제2절에 따른 보안적합성 검증을 받아야 한다.
제11조(정보시스템 보안관리) ①~⑤ (생략) ⑥ 정보보안담당관은 정보시스템 운용과 관련한 보안취약점을 발견하거나 보안대책 강구가 필요하다고 판단할 경우, 사용자, 시스템관리자 및 관리책임자에게 시정을 요구할 수 있다.	제19조(정보시스템 보안관리) ①~⑤ (현행과 같음) ⑥ 정보보안담당관은 정보시스템 운용과 관련한 보안취약점을 발견하거나 보안대책 강구가 필요하다고 판단할 경우, 사용자, 시스템관리자 및 관리책임자에게 시정을 요구할 수 있으며 조치가 완료될 때까지 정보시스템의 운용을 일시 제한할 수 있다.
제15조(PC 등 단말기 보안관리) ① 단말기 사용자는 PC·노트북·PDA 등 단말기(이하 “PC 등”이라 한다) 사용과 관련한 일체의 보안관리 책임을 가진다. ② 정보보안담당관은 비인가자가 PC 등을 무단으로 조작하여 전산자료를 절취, 위․변조 및 훼손하지 못하도록 다음 각 호의 보호대책을 사용자에게 공지하며 사용자는 이를 준수하여야 한다. 1. 장비(CMOS 비밀번호)·자료(문서자료 암호화 비밀번호)·사용자(로그온 비밀번호)별 비밀번호의 주기적 변경 2. 10분 이상 PC등의 작업 중단 시 비밀번호 등이 적용된 화면보호 조치 3~6 (생략) 7. 그 밖에 국가정보원장이 안전성을 확인하여 배포 승인한 프로그램의 운용 및 보안권고문 8~9 (신설) ③~⑥ (생략)	제20조(PC 등 단말기 보안관리) ① 단말기 사용자는 공사에서 지급받은 PC·노트북·PDA 등 단말기(이하 “단말기”라 한다) 사용과 관련한 일체의 보안관리 책임을 가진다. ② 단말기 사용자는 단말기에 대하여 다음 각 호에 해당하는 보안대책을 준수하여야 한다. 1. 장비(CMOS 비밀번호)·자료(문서자료 암호화 비밀번호)·사용자(로그온 비밀번호)별 비밀번호의 정기적 변경 사용 2. 10분 이상 단말기 작업 중단 시 비밀번호 등이 적용된 화면보호 조치 3~6 (현행과 같음) 7. 출처 또는 유통경로 및 제작자가 불분명한 응용프로그램의 사용 금지 8. 인터넷을 통해 자료(파일) 획득시 신뢰할 수 있는 인터넷사이트를 활용하고 자료(파일) 다운로드 시 최신 백신 소프트웨어로 검사 후 활용 9. 그 밖에 국가정보원장이 안전성을 확인하여 배포 승인한 프로그램의 운용 및 보안권고문 이행 ③~⑥ (현행과 같음)
제16조(서버 보안관리) (생략)	제21조(서버 보안관리) (현행과 같음)
제17조(웹서버 등 공개서버 관리) ①~③ (생략) ④ 공개서버의 서비스에 필요한 프로그램을 개발하고 시험하기 위해 사용된 도구(컴파일러 등)는 개발 완료 후 삭제를 원칙으로 한다. ⑤~⑥ (생략) ⑦ 공개서버의 보안관리에 관련한 그 밖의 사항에 대하여는 제16조(서버 보안관리)에 따른다	제22조(웹서버 등 공개서버 관리) ①~③ (현행과 같음) ④ 공개서버의 서비스에 필요한 프로그램을 개발하고 시험하기 위해 사용된 도구(컴파일러 등) 및 서비스와 관계가 없는 산출물은 개발 완료 후 삭제하여야 한다. ⑤~⑥ (현행과 같음) ⑦ 공개서버의 보안관리에 관련한 그 밖의 사항에 대하여는 제21조(서버 보안관리)에 따른다
제22조(네트워크장비 보안관리) ① 시스템관리자는 라우터, 스위치 등 네트워크 장비 운용과 관련하여 다음 각 호의 보안조치를 강구하여야 한다. 1. 네트워크 장비에 대한 원격접속은 원칙적으로 금지하되, 불가피할 경우 장비관리용 목적으로 내부 특정 IP에서의 접속은 허용 2. 물리적으로 안전한 장소에 설치하여 비인가자의 무단접근 통제 3. 최초 설치 시 보안취약점을 점검하여 제거하고 주기적으로 보안패치 실시 4. 불필요한 서비스 포트 제거 5. 접근통제목록(ACL) 적용 및 초기설정 비밀번호 변경으로 비인가자의 네트워크 장비 무단접근 통제 6 (신설) ② 시스템관리자는 네트워크 접속기록을 6개월 이상 유지하여야 하고 비인가자의 침투 여부를 주기적으로 점검하여 정보보안담당관에게 관련결과를 제출하여야 한다. ③ (신설)	제23조(정보보호시스템·네트워크 장비 보안관리) ① 시스템관리자는 침입차단·탐지시스템 등 정보보호시스템과 라우터, 스위치 등 네트워크 장비 운용과 관련하여 다음 각 호의 보안조치를 강구하여야 한다. 1. 물리적으로 안전한 장소에 설치하여 비인가자의 무단접근 통제 2. 외부 정보통신망에서 정보보호시스템, 네트워크 장비에 대한 원격접속 금지. 다만, 불가피할 경우 장비관리용 목적으로 내부 특정 IP에서의 접속은 허용 3. 콘솔에서 관리함을 원칙으로 하되, 공사 내 지정 단말기로부터 장비관리자의 접속과 공사 내 용역업체의 작업장소에서의 접속 4. 최초 설치 시 초기설정(default) 계정은 삭제하거나 변경 사용하고 장비 관리를 위한 관리자 계정을 별도로 생성·운영 5. 불필요한 서비스 포트와 개별사용자 계정은 차단 및 삭제 6. 펌웨어 무결성과 컴퓨터 운영체제·소프트웨어의 취약점 및 버전 업데이트 여부를 점검하고 최신 버전으로 유지 ② 시스템관리자는 정보보호시스템·네트워크 장비의 접속기록을 1년 이상 유지하여야 하고 비인가자의 접속 여부를 주기적으로 점검하여 정보보안담당관에게 관련결과를 제출하여야 한다. ③ 시스템 관리자는 침입차단·탐지시스템의 침입차단·탐지규칙의 생성 근거를 유지하고 정기적으로 필요성 여부를 점검·갱신하여야 한다.
<신설>	제24조(사물인터넷 보안관리) ① 사물인터넷을 이용한 시스템을 구축·운영하고자 할 경우 사물인터넷 기기 및 중요 데이터 등을 보호하기 위하여 보안대책을 수립·시행하여야 한다. ② 사물인터넷을 이용한 시스템을 구축·운영하고자 할 경우 업무망과 분리하여야 한다. 다만, 업무망과 연동이 필요한 경우에는 자료 전송을 위한 보안대책을 수립하여야 한다. ③ 기타 사물인터넷 보안과 관련한 사항은 국가정보원장이 배포한 「국가·공공기관 사물인터넷(IoT) 보안가이드라인」을 준수하여야 한다.
<신 설>	제25조(비인가 기기 통제) ① 개인 소유의 정보통신기기(개인용도로만 사용하는 휴대폰 등 이동통신단말기를 제외한다)를 무단 반입·사용하여서는 아니 된다. 다만, 부득이한 경우 소속 부서의 분임정보보안담당관을 거쳐 정보보안담당관의 승인을 받은 후 사용할 수 있다. ② 개인 소유의 이동통신단말기 또는 이동통신망 접속장치(USB형 등)를 공사 정보통신망에 연결하여서는 아니 되며, 공사 정보통신 망을 상용 인터넷망에 연결하는 수단으로 사

	용하여서는 아니 된다.
제35조(원격근무 보안관리) (생략)	제26조(원격근무 보안관리) (현행과 같음)
<신 설>	제4절 전자정보 보안
제18조(홈페이지 게시자료 보안관리) (생략)	제27조(홈페이지 게시자료 보안관리) (현행과 같음)
제23조(전자우편 보안관리) ①~③ (생략) ④ (신설)	제28조(전자우편 보안관리) ①~③ (현행과 같음) ④ 사용자는 전자우편을 사용하는 PC에 대하여 “제20조(PC 등 단말기 보안관리)”에 명시된 보안조치 사항을 따른다.
제24조(휴대용 저장매체 보안관리) (생략)	제29조(휴대용 저장매체 보안관리) (현행과 같음)
제25조(악성코드 방지대책) 시스템관리자 또는 PC 등의 사용자는 시스템에 악성코드가 설치되거나 감염된 사실을 발견하였을 경우에 악성코드의 감염원인 규명 등을 위하여 사용을 중지하고 전산망과 분리한 후 감염확산 방지를 위하여 정보보안담당관에게 관련 사실을 즉시 통보하여야 한다. ①~⑤ (신설)	제30조(악성코드 방지대책) ① 사용자는 개인 PC에서 작성하는 문서·데이터베이스 작성기 등 응용프로그램을 보안패치하고 백신은 최신상태로 업데이트·상시 감시상태로 설정 및 주기적인 점검을 실시하여야 한다. ② 사용자는 출처, 유통경로 및 제작자가 명확하지 않은 응용프로그램을 사용할 수 없으며 인터넷 등 상용망으로 자료 입수 시 신뢰할 수 있는 인터넷사이트를 활용하되 최신 백신으로 진단 후 사용하여야 한다. ③ 사용자는 인터넷 파일공유 프로그램과 메신저·대화방 프로그램 등 업무상 불필요한 프로그램의 사용을 금지하고 시스템관리자는 인터넷 연동구간의 침입차단시스템 등에서 관련 사이트 접속을 차단하도록 보안 설정하여야 한다. ④ 사용자는 웹브라우저를 통해 서명되지 않은 Activ-X 등이 PC내에 불법 다운로드 되고 실행되지 않도록 보안 설정하여야 한다. ⑤ 시스템관리자 또는 PC 등의 사용자는 시스템에 악성코드가 설치되거나 감염된 사실을 발견하였을 경우에 악성코드의 감염원인 규명 등을 위하여 파일 임의삭제 등 사용을

	중지하고 정보통신망과 분리한 후 감염확산 방지를 위하여 정보보안담당관에게 관련 사실을 즉시 통보하여야 한다.
제14조(비밀의 전자적 처리) (생략)	제31조(비밀의 전자적 처리) (현행과 같음)
<신 설>	제32조(빅데이터 보안) ① 빅데이터와 관련한 시스템을 구축·운용하고자 할 경우 다음 각 호의 사항을 포함한 보안대책을 수립·시행하여야 한다. 1. 데이터의 수집 출처 확인 및 데이터 오남용 방지 2. 데이터 수집을 위한 정보통신망 보안체계 수립 3. 수집된 데이터의 저장 및 보호체계 수립 4. 중요 데이터 암호화 5. 사용자별(데이터 제공자·수집자·분석요청자 및 분석결과 제공자 등) 권한부여 체계 수립 6. 데이터 파기절차 수립 ② 그 밖에 빅데이터 보안과 관련한 사항은 행정안전부 장관이 고시한 「개인정보의 안전성 확보조치 기준」 및 국가정보원장이 배포한 「국가·공공기관 빅데이터 보안 가이드라인」을 준수하여야 한다.
<신 설>	제5절 정보통신망 보안
제21조(업무망 보안관리) ①~② (생략) ③ (신설)	제33조(업무망 보안관리) ①~② (현행과 같음) ③ 업무망을 여타 기관의 망 및 인터넷과 연동하고자 할 경우에는 망 연동에 따른 보안대책을 마련하여 서울시에 보안성 검토를 의뢰하여야 한다.
<신 설>	제34조(모바일 업무 보안) ① 휴대폰·태블릿 PC 등을 이용한 모바일 업무환경(내부 행정업무, 현장 행정업무 및 대민서비스 업무 등)을 구축·운영하고자 할 경우 보안대책을 수립·시행하여야 한다. ② 기타 모바일 업무 보안과 관련한 사항은 국가정보원장이 배포한 「국가·공공기관 모바일 활용업무에 대한 보안가이드라인」을 준수하여야 한다.

제30조(무선랜 보안관리) 무선랜(와이파이 등)을 이용하여 업무자료를 소통할 경우 다음 각 호의 사항을 적용하여야 한다. 1. 네트워크 이름(SSID, Service Set Identifier) 브로드캐스팅 중지 2. 추측이 어려운 복잡한 SSID 사용 3. WPA2 이상(256비트 이상)의 암호체계를 사용하여 소통자료 암호화(국가정보원장이 승인한 암호논리 사용) 4. RADIUS(Remote Authentification Dial-In User Service)인증 사용 5. 그 밖에 무선단말기․중계기(AP) 등 무선랜 구성요소별 분실․탈취․훼손․오용 등에 대비한 관리적․물리적 보안대책	제35조(무선랜 보안관리) ① 다음 각 호의 경우, 청사 내에 무선랜(WiFi)을 구축·운용할 수 있다. 1. 공사 인터넷망에 중계기(AP)를 설치하여 사장이 지급한 단말기의 접속만을 허용하는 업무용 무선랜 2. 상용 인터넷망에 중계기(AP)를 설치하여 제25조1항에 따라 반입한 직원 등의 개인 소유 이동통신단말기의 접속만을 허용하는 무선랜 3. 상용 인터넷망에 중계기(AP)를 설치한 외부인 전용 무선랜 ② 제1항에 따라 무선랜을 구축·운용하고자 할 경우 정보보안담당관관의 승인을 받아야 한다. ③ 제2항에 따른 보안대책을 수립할 경우 제1항 제1호 및 제2호에 따른 무선랜에 대하여는 다음 각 호의 사항을 포함하여야 한다. 1. 네트워크 이름(SSID, Service Set Identifier) 브로드캐스팅 금지 2. 추측이 어렵고 복잡한 네트워크 이름 SSID 사용 3. WPA2 이상(256비트 이상)의 암호체계를 사용하여 소통자료 암호화 4. 비인가 단말기의 무선랜 접속 차단 및 무선랜 이용 단말기를 식별하기 위한 IP주소 할당기록 등 유지 5. IEEE 801.1X, AAA(Authentification Authorization Accounting) 등의 기술에 따라 상호 인증을 수행하는 무선랜 인증제품 사용 6. 무선침입방지시스템 설치 등 침입 차단대책 7. 기관의 내부망 정보시스템 또는 인접해 있는 다른 기관의 정보시스템이 해당 무선랜에 접속되지 아니하도록 하는 기술적 보안대책 8. 그 밖에 무선랜 단말기·중계기(AP) 등 구성요소별 분실·탈취·훼손·오용 등에 대비한 관리적·물리적 보안대책 ④ 정보보안담당관은 제2항 및 제3항에 따른 보안대책의 적절성을 수시로 점검·보완하여야 한다.
제31조(무선인터넷 보안관리) (삭제)

<신 설>	제36조(이동통신망 보안) ① 이동통신망(HSDPA·WCDMA·LTE·5G 등)을 이용하여 시스템을 구축하거나 중요자료를 소통하고자 할 경우 암호화 및 비인가 단말기의 이동통신망 접속 차단 등 기술적 보안대책을 수립·시행하여야 한다. ② 제1항에 따라 이동통신망을 이용한 시스템을 구축·운용할 경우 공사 정보통신망과 혼용되지 않도록 하여야 한다.
<신 설>	제37조(인터넷전화 보안) ① 인터넷전화시스템을 구축·운용하거나 민간 인터넷전화 사업자망을 이용하고자 할 경우 다음 각 호의 사항을 포함한 보안대책을 수립·시행하여야 한다. 1. 한국정보통신기술협회(TTA) verified ver. 4 이상 보안규격으로 인증받은 행정기관용 인터넷전화시스템 설치·운용 2. 인터넷전화기에 대한 장치 및 사용자 인증 3. 제어신호 및 통화내용 등 데이터 암호화 4. 인터넷전화망과 다른 정보통신망과의 분리 5. 인터넷전화 전용 침입차단시스템 등 정보보호시스템 설치·운용 6. 백업체제 구축 ② 민간 인터넷전화 사업자망을 이용할 경우 해당 사업자로 하여금 서비스 제공 구간에 대한 보안대책을 수립하도록 하여야 한다. ③ 기타 인터넷전화 보안과 관련한 사항은 국가정보원장이 배포한 「국가·공공기관 인터넷전화 보안 가이드라인」을 준수하여야 한다.
<신 설>	제38조(인터넷 사용제한) ① 국가비상사태 및 대형 재해·재난의 발생, 사이버공격 등으로부터 정보통신망과 정보시스템의 정상적인 운영을 보장하기 위하여 소속 임직원 등에 대한 인터넷 사용을 일부 제한할 수 있다. ② 공사 인터넷망의 효율적인 운영 관리 및 악성코드 유입 차단을 위하여 게임·음란·도박 등 업무와 관련이 없는 인터넷 이용을 차단하여야 한다.

제33조(정보통신망 자료 보안관리) (생략)	제39조(정보통신망 자료 보안관리) (현행과 같음)
<신 설>	제6절 융합 보안
제12조(정보통신시설 보안관리) (생략)	제40조(정보통신시설 보안관리) (현행과 같음)
제32조(CCTV 보안관리) ①~④ (생략) ⑤~⑧ (신설) ⑤ 이 외의 CCTV 보안 관련사항은 “CCTV 설치 운영지침”에 따른다.	제41조(CCTV 보안관리) ①~④ (현행과 같음) ⑤ CCTV 운용에 필요한 카메라, 중계·관제서버, 관리용 PC 등 관련시스템을 비인가자의 임의 조작이 물리적으로 불가능하도록 설치하여야 한다. ⑥ CCTV상황실은 제한구역으로 지정·관리하고 출입통제장치를 도입하여야 한다. ⑦ 시스템관리자는 CCTV카메라, 비디오서버, 관제서버 및 관련 정보통신망을 설치할 경우 업무망 및 인터넷망과 분리 운영하는 것을 원칙으로 한다. 다만, 부득이하게 인터넷망을 이용할 경우에는 전송내용을 암호화하여야 한다. ⑧ CCTV 시스템 일체는 사용자계정·비밀번호 등 시스템 인증대책을 강구하고 허용된 특정IP에서만 접속을 허용하는 등 비인가자의 침입에 대비한 통제대책을 강구하여야 한다. ⑨ 이 외의 CCTV 보안 관련사항은 “CCTV 설치 운영지침”에 따른다.
<신 설>	제7절 정보화사업 보안
<신 설>	제42조(제안요청서 작성) ① 용역업체에 정보화사업을 발주하기 위하여 제안요청서를 작성할 경우 다음 각 호의 사항을 포함하여야 한다. 1. 용역업체 작업장소에 대한 보안요구사항 2. 누출금지정보 목록 3. 용역업체가 누출금지정보를 제외한 소프트웨어 산출물을 제3자에게 제공하고자 할 경우 발주자의 승인절차

	② 제1항 제3호에 따른 누출금지정보 목록을 작성할 경우 다음 각 호의 사항을 포함하여야 한다. 1. 공사의 정보시스템 내·외부 IP 주소 현황 2. 정보시스템 구성 현황 및 정보통신망 구성도 3. 개별사용자의 계정·비밀번호 등 정보시스템 접근권한 정보 4. 정보통신망 또는 정보시스템 취약점 분석·평가 결과물 5. 정보화사업 용역 결과물 및 관련 프로그램 소스코드(외부에 유출될 경우 국가안보 및 국익에 피해가 우려되는 중요 용역사업에 해당) 6. 암호자재 및 정보보호시스템 도입·운용 현황 7. 정보보호시스템 및 네트워크장비 설정 정보 8. 「공공기관의 정보공개에 관한 법률」 제9조제1항에 따라 비공개 대상 정보로 분류된 해당 기관의 내부문서 9. 「개인정보보호법」 제2조제1호에 따른 개인정보 10. 「보안업무규정」제4조에 따른 비밀 및「보안업무규정 시행규칙」제16조제3항에 따른 대외비 11. 그 밖에 공사 사장이 공개가 불가하다고 판단한 자료
제34조(용역사업 보안관리) ① 정보화·정보보호사업 및 보안컨설팅 수행 등을 외부용역으로 추진할 경우 사업책임자로 하여금 다음 각 호의 사항을 포함한 보안대책을 수립·시행하도록 하여야 한다. 1~6 (생략) 7~8 (신설) 7. 그 밖의 각 부서의 장 및 사장이 보안관리가 필요하다고 판단하는 사항이나 국가정보원장이 보안조치를 권고하는 사항 ②~③ (생략)	제43조(용역사업 보안관리) ① 정보화·정보보호사업 및 보안컨설팅 수행 등을 외부용역으로 추진할 경우 사업책임자로 하여금 다음 각 호의 사항을 포함한 보안대책을 수립·시행하도록 하여야 한다. 1~6 (현행과 같음) 7. 소프트웨어 개발보안에 필요한 사항 8. 제42조제1항 각 호에 따른 제안요청서에 포함된 사항 9. 그 밖의 각 부서의 장 및 사장이 보안관리가 필요하다고 판단하는 사항이나 국가정보원장이 보안조치를 권고하는 사항 ②~③ (현행과 같음)

<신 설>	제4장 안전성 확인·평가
<신 설>	제1절 보안성 검토
제13조(보안성 검토) ① 다음 각 호의 정보화 사업을 추진할 경우에는 사업계획단계(사업 공고 전)에서 정보보안대책을 강구하고 안전성을 확인하기 위해 시장에게 보안성검토를 의뢰하여야 한다. 1. 홈페이지, 업무시스템 등 정보시스템 구축 2. 인터넷전화, CCTV, 무선WiFi 등 유․무선 네트워크 시스템 구축 3. 정보통신기반시설의 제어시스템 구축 4. 원격근무시스템, 원격 화상회의시스템 구축 5. 와이브로, 스마트폰 등 첨단 IT기술을 업무에 활용하는 시스템 구축 6. 국가용 보안시스템과 상용 암호모듈․정보보호시스템을 도입 운용하고자 할 경우 7. 내부 정보통신망을 인터넷이나 타 기관 전산망 등 외부망과 연동하는 경우 8. 업무망과 인터넷 분리 사업 9. 외부업체 보안컨설팅 실시	제44조(보안성 검토) ① 다음 각 호의 정보화 사업을 추진할 경우에는 사업계획단계(사업 공고 전)에서 정보보안대책을 강구하고 안전성을 확인하기 위해 시장에게 보안성검토를 의뢰하여야 한다. 단, 사전 협의를 통해 정보시스템 단순 교체 등 사안이 경미하다고 판단하는 경우에는 보안성 검토를 생략할 수 있다. 1. 비밀·대외비를 유통·관리하기 위한 정보통신망 또는 정보시스템 구축 2. 국가정보원장이 개발하거나 안전성을 확인한 암호자재를 적용하는 정보통신망 또는 정보시스템 구축 3. 국방·외교 등 국가안보상 중요한 정보통신망 및 정보시스템의 구축 4. 100만명 이상의 개인에 대한 「개인정보보호법」 상 민감정보 또는 고유식별정보를 처리하는 정보시스템 구축 5. 주요정보통신기반시설로 지정이 필요한 정보통신기반시설 구축 6. 공항·항만·전력·가스·운송설비 등을 중앙에서 감시·제어하기 위한 정보시스템 도입 7. 재난관리·국민안전·치안유지·비상사태 대비 등 국가위기 관리와 관련한 정보통신망 또는 정보시스템 구축 8. 국가정보통신망 등 여러 기관이 공동으로 활용하기 위한 정보통신망 또는 정보시스템 구축 9. 행정정보, 국가지리, 환경정보 등 국가 차원의 주요 데이터베이스 구축

10~19 (신설) 10. 그 밖에 시장 또는 사장이 보안성검토가 필요하다고 판단되는 정보화사업 ② 각 부서의 장은 보안성검토를 의뢰하는 경우 다음 각 호의 문서를 제출하여야 한다. 1. 사업계획서(사업목적 및 추진계획 포함) 2. 기술제안요청서(RFP) 3. 정보통신망 구성도 4. 자체 보안대책 강구사항 등 ③ (생략)	10. 정상회의, 국제회의 등 국제행사를 위한 정보통신망 또는 정보시스템 구축 11. 내부망 또는 패쇄망을 인터넷 또는 다른 정보통신망과 연동하는 사업 12. 내부망과 기관 인터넷망을 분리하는 사업 13. 통합데이터센터·보안관제센터 구축 14. 업무상 목적으로 이용하도록 하기 위한 무선랜, 이동통신망(HSDPA, WCDMA, LTE, 5G 등) 등 구축 15. 원격근무시스템 구축 16. 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제20조에 따라 클라우드컴퓨팅서비스제공자의 클라우드컴퓨팅서비스(이하 “민간 클라우드컴퓨팅서비스”라 한다)를 이용하는 사업 17. 남북 회담 및 협력사업 등을 위한 북한지역 내 정보통신망 또는 정보시스템 구축 18. 외국에 개설하는 사무소 운영을 위한 정보통신망 또는 정보시스템 구축 19. 첨단 정보통신기술을 활용하는 정보화사업으로서 국가정보원장이 해당 기술에 대하여 안전성 확인이 필요하다고 지정하는 사업 20. 그 밖에 시장 또는 사장이 보안성 검토가 필요하다고 판단하는 정보화사업 ② 각 부서의 장은 보안성검토를 의뢰하는 경우 다음 각 호의 문서를 제출하여야 한다. 1. 사업계획서(사업목적 및 추진계획 포함) 2. 기술제안요청서(RFP) 3. 정보통신망 구성도(필요시, IP주소체계 추가) 4. 자체 보안대책 강구사항 ③ (현행과 같음)
<신 설>	제2절 보안적합성 검증
<신 설>	제45조(보안적합성 검증) ① 제18조제1항제3호에 따른 보안기능이 있는 정보통신제품을 도입하는 경우 실제 적용·운용 이전에 안전성을 확인하기 위하여 보안적합성 검증을 받아야 한다.

	② 보안적합성 검증을 신청할 경우, 보안적합성 검증 신청서(별지 제10호 서식), 정보통신제품 도입 확인서(현황)(별지 제11호 서식), [별표 2] 보안적합성 검증 신청시 제출물에 해당하는 문서 등을 제출하여야 한다. ③ 제2항에 따라 보안적합성 검증을 신청할 경우, 검증기관의 장이 필요하다고 판단하여 추가 자료를 요청할 경우 이를 제출하여야 한다.
[별지 제 1호 서식] 정보시스템 관리대장	(현행과 같음)
[별지 제 2호 서식] 사용자계정 관리대장	(현행과 같음)
[별지 제 3-1호 서식] 보안서약서 용역착수시 (용역업체 대표자용)	(현행과 같음)
[별지 제 3-2호 서식] 보안서약서 용역착수시 (용역업체 직원용)	(현행과 같음)
[별지 제 3-3호 서식] 보안서약서 용역완료시 (용역업체 대표자용)	(현행과 같음)
[별지 제 3-4호 서식] 보안서약서 용역완료시 (용역업체 직원용)	(현행과 같음)
[별지 제 4호 서식] 용역업체 보안교육 결과서	(현행과 같음)
[별지 제 5호 서식] 서약서	(현행과 같음)
[별지 제 6호 서식] 용역업체 보안점검 관리대장	(현행과 같음)
[별지 제 7호 서식] 용역업체 제공자료 관리대장	(현행과 같음)
[별지 제 8호 서식] 용역업체 전산장비 관리대장	(현행과 같음)
[별지 제 9호 서식] 용역업체 전산장비 반출·입 대장	(현행과 같음)
(신설)	[별지 제 10호 서식] 보안적합성 검증 신청서
(신설)	[별지 제 11호 서식] 정보통신제품 도입 확인서(현황)
(신설)	[별표 1] 암호가 주기능인 제품 도입요건
(신설)	[별표 2] 보안적합성 검증 신청시 제출물

※ 관리번호		사규 부패 영향 평가서
상위법령 명		국가정보보안기본지침, 서울시정보통신보안업무처리규칙
구 분		제정( ), 개정( ○ ), 현행( )
형 식		정관( ), 규정( ), 내규( ), 기타( ○ )
규정 등 내부 규정 명			정보통신보안 지침
소관부서	입 안 소관부서		부서명(팀명)		전산정보팀
			담당자 직급․성명		3급 이주영
제․개정 일정(예정)	관련부서 협 의		대상부서	전부서
			협의기간	2020. 9
	완료예정일		2020. 9
의견 수렴 절차	○ 전부서 의견 수렴
붙임자료	○ 정보통신보안 지침 전부 개정(안)
2020. 9 . 25. 전 산 정 보 팀 장

세부 평가서

■ 규정명 : 정보통신보안 지침

평가대상 조문

제2조(정의), 제11조(정보시스템 도입), 제12조(정보시스템 유지보수), 제14조(전자정보 저장매체 불용처리)~제20조(PC 등 단말기 보안관리), 제22조(웹서버 등 공개서버 관리)~제25조(비인가 기기 통제), 제28조(전자우편 보안관리), 제30조(악성코드 방지대책), 제32조(빅데이터 보안)~제38조(인터넷 사용제한), 제41조(CCTV 보안관리)~제45조(보안적합성 검증)

□ 평가기준

- 준수부담의 합리성

□ 현  황

- 2016. 7. 22 정보통신보안 지침 제정됨.

- 정보보안 기본활동과 정보통신시설과 단말기, 서버, 네트워크, 접근기록 관리 등 정보보안 업무 전반에 관한 업무 지침을 마련함.

□ 문제점

- 접근기록 보관기간 등 국가정보보안 지침 개정에 따른 정보보안 강화 필요

- 이동통신망, 인터넷 전화, 모바일 업무 보안 규정 미비

- 비인가기기 통제, 보안적합성 검증, 인터넷 사용제한 등 실무현장에서 적용되고 있는 사항에 대한 근거 필요

□ 개선방안

- 사물인터넷, 빅데이터 보안, 비인가 기기 등 정보보안 관리 규정 마련

- 정보시스템 및 정보통신 제품 도입, 제안요청서 작성 등 정보화사업 보안 신설

- 「국가정보보안 지침」, 「서울시 정보통신보안업무처리규칙」의 개정 사항 반영

※ 정보통신보안지침 전부개정(안) 및 신구 조문 대비표 앞단 참조

부패영향평가 결과통보서

규 정 명	○ 정보통신보안 지침
평가담당	(소속) 감사실	(직급) 5급	(성명) 김가희
입안부서	전산정보팀	통보(조치)일	2020. 10. 7.
관련조문	검토결과	조치사항
○ 정보통신보안지침	○ 원안동의 -「국가정보보안지침」및 「서울시 정보통신보안업무처리 규칙」개정에 따른 지침 개정이며, -지침상 의무 등을 준수하기 위해 시민, 기업 단체 등이 부담하는 비용·희생이 다른 법령 등과 비교하여 준수 부담이 과도하지 않고 합리적으로 보임. - 규정 개정안에 원안 동의함	○ 없음
2020. 10. 7. 감 사 실 장

부  의  안

제97차 사규심의위원회
연 월 일	2021.03.11.	의안번호	제 3 호
의 안	○ 관리비 부과 지침 제정(안)
구 분	의 결 사 항

□ 제 안 자 : 재무팀장

□ 주    문 : 의안 제 3 호를 원안과 같이 의결한다.

□ 제안사유

○ 서울시농수산식품공사(이하 “공사”라 한다)가 관리하는 토지, 건물 및 기타 시설물(가설, 점유, 기타건물 등)의 관리비 부과에 필요한 전반적인 사항 규정

○ 관리비의 합리적이고 공정한 관리비 배분기준 수립 필요

- “도매시장 관리비 부과기준 수립” 용역결과를 바탕으로 관련 법령과 사회적 관행에 맞게 합리적이고 공정한 관리비 배분기준을 마련

○ 관리비 배분기준 통일화 및 객관화

- 시장별‧항목별로 상이한 관리비 배분기준에 대해 기준의 통일성, 객관성 확보

○ 부과기준 관련 법령 및 수혜자 원칙에 따른 상세기준 정립 필요

□ 의결사항 : 주문과 같이 의결한다.

□ 참고사항

○ 제안근거 : 서울특별시농수산물도매시장 조례 및 시설물 운영관리규정 등

○ 예산조치 : 해당 없음

○ 합    의 : 해당 없음

○ 절    차 : 사규심의위원회 심의․의결 및 사장 결재 후 공포 시행

○ 기    타 : 1. 관리비 부과 지침 제정(안) 1부.

2. 사규 부패 영향 평가서 및 결과통보서 각 1부.  끝.

	의안 3호		관리비 부과 지침 제정(안)

1. 개정 이유

○ 서울특별시농수산식품공사(이하 “공사”라 한다)가 관리하는 토지, 건물 및 기타 시설물(가설, 점유, 기타건물 등)의 관리비 부과에 필요한 전반적인 사항에 대하여 규정함

○ 관리비의 합리적이고 공정한 관리비 배분기준 수립 필요

- “도매시장 관리비 부과기준 수립” 용역결과를 바탕으로 관련 법령과 사회적 관행에 맞게 합리적이고 공정한 관리비 배분기준을 마련

○ 관리비 배분기준 통일화 및 객관화

- 시장별‧항목별로 상이한 관리비 배분기준에 대해 통일적 기준을 부과기준의 객관성 확보

○ 부과기준 관련 법령 및 수혜자 원칙에 따른 상세기준 정립 필요

2. 주요 내용

○ 관리비 부과 지침 제정 : 목적, 적용 범위, 준수 의무, 용어 정의, 관리비 부과 및 징수, 관리비 관련 조직, 관리비 심의위원회, 기타 관리사항 등

3. 참고 사항

○ 제안근거 : 서울특별시농수산물도매시장 조례 및 시설물 운영관리규정 등

○ 사장 사전 보고 : 서면 및 구두보고(재무팀-6247호(´20.12.29))

○ 사전예고 및 부패영향평가 : 사전예고('21.2.18), 사규부패영향 평가서 완료

○ 예산조치 : 해당 없음

○ 합    의 : 해당 없음

○ 절    차 : 사규심의위원회 심의․의결 및 사장 결재 후 공포 시행

○ 기    타 : 1. 관리비 부과 지침 제정(안) 1부.

2. 사규 부패 영향 평가서 및 결과통보서 각 1부.  끝.

[붙임 1]

지침  제   000   호

관리비 부과 지침 제정(안)

서울특별시농수산식품공사 관리비 부과 지침을 다음과 같이 제정한다.

제1장 총 칙

● 제1조(목적)

이 규정은 「서울특별시농수산물도매시장 조례」(이하 “조례”라 한다) 및「시설물 운영관리규정」(이하 “관리규정”이라 한다)에 따라 서울특별시농수산식품공사(이하 “공사”라 한다)가 관리하는 토지, 건물 및 기타 시설물(가설, 점유, 기타 건물) 등 관리비의 공정하고 합리적인 부과에 필요한 부과에 필요한 전반적인 사항에 대하여 규정함을 목적으로 한다.

● 제2조(적용 범위)

① 관리비 산정과 부과에 있어서 기본적으로 다음 각 호의 법령 또는 규정을 우선 준용하고, 그 이외에는 이 지침이 정하는 바에 의한다.

1. 공동주택관리법

2. 유통산업발전법

3. 집합건물의 소유 및 관리에 관한 법률

4. 상가건물 임대차 보호법

5. 농수산물 유통 및 가격 안정에 관한 법률

6. 기타 상가임대차 및 관리비를 규정한 법령 등

● 제3조(용어의 정의)

본 지침에서 사용하는 용어의 정의는 다음 각 호와 같다.

1. “계약”이라 함은 법의 규정에 따라 입주자가 공사 시설물의 사용을 승인받거나 사용승인을 받기 위해 공사와 체결하는 법률 행위를 말한다.

2. “관리비”란 제1호의 규정에 따라 계약을 체결한 자로부터 임대료 및 시설사용료 외에 시설 사용에 따라 발생하는 제비용을 말하며, 관리비는 입주자가 전용으로 사용하는 전용 관리비와 공용시설 등에서 발생하는 공용 관리비로 나누어진다.

3. “소관부서”란 관리비 부과와 관련된 예산 편성, 계약, 관리비 산정 기초자료 작성 및 입주자별 부과액 산정, 관리비 부과 전산 관리, 관리비 고지 및 수납업무를 수행하는 부서를 말한다. 소관부서는 직제규정 상 업무분장에 따른다.

● 제4조(관리비 항목)

입주자에게 부과하는 관리비의 항목은 별표 1과 같다. 별표 1이외에 시설물의 임대차 또는 사용대차 관계를 유지하기 위한 비용으로 입주자 또는 사용자가 부담하는 것이 합리적인 경우 관리비 항목으로 본다.

제2장 관리비 부과 및 징수

● 제5조(관리비 부과 대상 등)

① 관리비 부과 대상은 공사와 사용 계약을 한 모든 시설물(공용시설, 가설건축물, 기타 시설물 포함)을 말한다.

1. 일반 임대시설에는 사무실, 점포, 경매장 등 일반적인 계약 시설물을 말한다.

2. 기타 시설물은 특정 조건에 따른 가설물, 점유물, 입주자 구축 시설물 등을 말한다.

3. 공용 시설물은 변전소, 물정화 처리장, 쓰레기 처리장, 폐수 처리장 등 입주자가 영업행위를 하기 위해 필요한 기반 시설물 등을 말한다.

② 관리비 부담 주체는 원인 발생 및 수혜자 부담원칙에 따라 관리비 부담 의무를 갖는 주체로써, 공사, 입주자, 특정시설 사용자 등을 말한다.

③ 관리비 부과 구역은 시장 전체 또는 구역(층, 동, 부류 등)의 관리비 부담 주체에 대한 부과 구역을 말한다.

④ 소관부서에서는 시설물 계약 시 해당 시설물의 사용 특성에 따라 관리비 부과대상 여부(또는 부과 비율) 및 기준을 결정하여야 한다.

⑤ 도매시장 내 별도 관리비 관리(친환경센터 등)가 필요하다고 소관부서에서 판단한 경우에는 별도로 관리비를 산정해서 부과할 수 있다

● 제6조(관리비 산정 기준)

① 도매시장별, 분야별 관리비 부과 및 징수에 관한 세부 사항은 소관부서에서 다음의 사항을 포함하여 관리비 부과 방침을 수립하여야 한다. 그 구성은 다음 각 호와 같다.

1. 부과 기준 : 부과 대상에 따라 관리비를 부과하는 방법을 나타내며, 면적 비례, 사용량 비례 등이 있다.

2. 면적비례 : 공용 관리비를 부과할 때 일반적으로 사용하는 부과 기준이며, 공사와 입주자간 계약 면적 비율에 따라, 공사와 입주자 관리비를 나눈 후 입주자분 관리비를 개별 입주자의 계약 면적 비례로 부과한다. 단, 각 도매시장과 센터(별도시설)간 관리비 부과 비율은 연면적을 기준으로 하며, 관리시설이 특정되어진 경우(저온창고, 승강기 등)에는 전용면적 또는 보유내역에 따른 환산기준에 따른다.

3. 사용량 비례: 공사와 입주자들의 전기, 상수, 하수 사용량 비율을 말하며, 전기 사용량, 상수 사용량, 하수 사용량 등 검침을 통해 측정가능한 관리비 항목의 사용량 비율이다. 전용 및 공용 관리비 부과 시 사용한다.

4. 난방계수 비례 : 공사와 입주자들의 ‘냉․난방면적 x 냉난방시간’ 비율을 말하며, 전용 냉․난방비(가스)부과 시 사용하는 부과 기준이다.

5. 기타 비례 : 면적 비례, 사용량 비례, 난방계수 비례 이외의 부과 기준을 말하며 소관부서에서는 신뢰성 있는 관리비 금액의 배분을 위하여 필요한 경우 세부 기준을 별도로 정한 후 부과할 수 있다.

② 기준면적이란 공사와 입주자간 비용 배분을 위한 기준이 되는 면적을 말하며, 관리비 부과시스템에 입력된 계약 전용면적을 기준으로 한다.

③ 다만, 관리비 부과 항목의 특성에 따라 소관부서에서 계약 면적 이외의 면적이 필요하다고 판단한 경우 별도 산출된 면적을 적용할 수 있다.

④ 시장내 공실면적(점포, 사무실)은 공사에서 부담하는 면적에 포함한다.

● 제7조(관리비 부과 원칙)

① 각 항목에 대한 관리비 부과 기준 수립 부서는 아래의 관리비 부과 대원칙을 종합적으로 판단하여 시장 내 구성원 간 공정하고 객관적이도록 관리비 부과를 하여야 한다.

1. 법령 준수 : 법령을 준수하며, 정확하고 객관적인 관리비 부과

2. 원인 발생 및 수혜자 부담원칙 : 시설사용 및 유지․보수의 원인발생 및 수혜자가 관리비를 부담하는 공정성 (단, 대수선, 자산증가성 성격은 공사가, 소모성 성격은 공사 및 입주자가 공동 부담)

3. 시장 내 부과 기준 표준화 : 시장 내 일관된 부과기준을 적용하는 통일성

4. 부과대상에 대한 공정한 관리비 배분 : 관리비 항목에 일관된 부과 비율을 적용하는 공정성

5. 도매시장간 특성을 반영한 부과 : 기본 원칙을 준수하되, 사장의 영업환경 및 도매시장 활성화 등의 측면을 고려하여 시장 간 특성이 반영된 관리비 부과기준을 수립하는 수용성

② 상기 원칙으로 판단하되 시장전체의 이익 및 관련 정책(입주자 지원 등)에 따른 세부 판단 기준은 각 소관부서에서 별도 방침을 수립하여 부과할 수 있다

● 제8조(관리비 심의위원회)

① 공사는 합리적이고 공정한 관리비 부과와 관리비 규정 및 관리비 부과 방침에 대한 심의가 필요하다고 판단될 경우 심의위원회를 구성하여 운영한다. 심의 내용은 아래 각 호와 같다.

1. 관리비 부과 대원칙 및 적용(변경) 여부

2. 관리비 부과 지침 및 방침 검토(변경)

3. 관리비 항목의 신규 지정, 조정, 변경

4. 공사와 입주자 모두에게 공정하고 합리적인 부과인지 검토

5. 그 외 필요하다고 인정되는 사항

부칙<제000호, 2021.3.00.>

(시행일) 이 지침은 공포한 날부터 시행한다.

[별표 1]

[관리비 세부항목]

중분류	정 의	하위분류
전기료	전기를 사용한 사용량에 따라 부과하는 요금 (전기사용료, TV수신료, 전력기금)	전기사용료, TV수신료, 전력기금
냉․난방비(가스)	보일러 및 흡수식 냉온수기 도시가스 요금	가스 사용료
수도료	상수도, 하수도, 영구 유출지하수요금	상하수도 요금, 지하수요금
수선유지비	생산활동을 위하여 보유한 유형자산의 정상적인 기능을 유지하기 위하여 지출한 모든 비용	수선유지비 구성 항목 참조
용역비	공사의 시설 및 시장관리, 서비스 제공 등을 위해 필요한 노무를 제공하는 일에 대한 비용	일반(저온, 승강기), 자회사(그 외)
환경	오염물질 측정비, 가락몰적환장관련 수선, 물정화처리장 보수, 관리, 약품구입, 폐기물 위탁처리 비용	-
옥내청소비	시설별(동별) 실내 청소를 위한 청소원 인건비(용역비), 청소용품비 등	자회사 용역비
옥외청소비	옥외 쓰레기 청소를 위한 청소원 인건비(용역비), 청소용품비, 부산물수거비 RFID 대금 등	자회사 용역비, 일반용역비(가락몰)
조경지방역비	조경지 방역을 위한 제반 비용(병해충 방제용역, 제초공사, 제초 잔재물처리 등)	시장/제초/ 조경지 방역비
방역비	방역을 위한 용역비 등 제반 비용	용역비, 시장방역비
재산종합보험	대규모 산업 및 상업시설에 대한 종합적인 위험관리(화재, 기계, 기계휴지, 배상책임 등)를 위한 보험	재산종합보험료
※ 수선유지비 빛 용역비 구성항목 : 건축분야(방수, 목공), 토목분야(토목, 준설), 기계분야(각종 기계설비), 전기분야(전기시설), 승강기, 저온시설, 조경시설 환경(옥내․외 청소 용품 및 소모품), 안전점검비용, 탄소배출 관련비용, 재난 및 재해 등의 예방에 따른 비용

[별표 2]

[관리비 부과관련 담당부서별 업무]

관리비 부과관련 담당업무	해당 팀	업무 분장
기 획	예산부서	• 관리비 예산 편성 • 관리비 관련 자회사 계약실시
계 약	임대계약 및 유통부서	• 임대 가능시설 및 기타 시설물(토지, 건물, 가설건축물, 기타 시설)의 임대 • 임대 가능시설 및 기타 시설물에 대한 면적 최신화 - 계약 신규, 변경, 해지 등에 따라 멸실, 공실 등 현황 최신화 • 시설물에 대한 계약 체결 및 관리비 부과 대상 여부 결정
관리비 예산집행	시설/환경/교통질서	• 항목별 관리비 부과 방침 수립 (정기 및 수시) • 세부 항목에 대한 관리비 부과 기준 결정 • 항목별 관리비 예산 편성 및 집행 • 항목별 부과 표준화 및 부과 집계 • 소관 분야별 관리비 개선 방안 이행 • 관리비 부과 관련 법률 자문 요청
배부고지	재 무	• 임대료 관리비, 부과업무 및 체납업무, 과오납 관리 • 관리비 고지서 및 안내문 작성, 배포 • 관리비 부과 지침 제정 및 배포
관리비 부과시스템	전 산	• 관리비 관련 전산시스템 유지관리 및 개선
※ 위 표에 제시된 부서 외에 관리비 부과와 관련되어 직‧간접적으로 이해관계가 발행하는 부서의 업무를 조직관리 부서장과 사전 협의 후 관리비 관련업무 분장을 조정할 수 있다.

※ 관리번호		사규 부패 영향 평가서
상위법령 명		서울특별시농수산물도매시장 조례 및 시설물 운영관리규정 등
구 분		제정( √ ), 개정( ), 현행( )
형 식		정관( ), 규정( ), 내규( ), 기타( √ )
규정 등 내부 규정 명			관리비 부과 지침
소관부서	입 안 소관부서		부서명(팀명)		재무팀
			담당자 직급․성명		4급 우재수
제․개정 일정(예정)	관련부서 협 의		대상부서	기획팀
			협의기간	2021년 2월
	완료예정일		2021. 3. ○.
의견 수렴 절차	○ 관리비 부과 지침 내용을 2020.7월~2021.2월 기간 동안, 관리비 부과 T/F 운영을 통해 관련부서(시설운영팀, 시설관리팀, 환경관리팀, 유통부서 등)와 협의 및 의견수렴하였고, 유통인 단체 소통‧설명회도 개최함. ○ 서울특별시농수산식품공사 공고 2021-18호(관리비 부과 지침 제정 예고(안))를 공사 홈페이지에 20일 이상 게시함 ○ 사장님 서면 및 구두보고: 재무팀-6247호(2020.12.29)
붙임자료	관리비 부과 지침 제정(안)
2021. 2. 재 무 팀 장

평가지표	자치법규, 사규(규정 등) 자율평가 개선

□ 부패유발요인 발굴·개선

< 자치법규(사규) 개선 목록 >

(총 : 1건)

연번	자치법규명 (또는 사규명)	제정일	개정내용		담당자
			구 조문	신 조문
1	관리비 부과 지침	‘21.3.○.	해당없음	붙임 자료 참조	재무팀 우재수 (02-3435-0384)

【붙임】

세부 평가서

■ 규정명 : 관리비 부과 지침

평가대상 조문

○ 관리비 부과 지침 신설

□ 평가기준

○ 준수부담의 합리성, 공개성, 예측가능성

□ 현  황 및 문제점

○ 관리비의 합리적이고 공정한 관리비 배분기준 수립 필요

- “도매시장 관리비 부과기준 수립” 용역결과를 바탕으로 관련 법령과

사회적 관행에 맞게 합리적이고 공정한 관리비 배분기준을 마련

○ 관리비 배분기준 통일화 및 객관화

- 시장별‧항목별로 상이한 관리비 배분기준에 대해 통일적 기준을 마련하여    부과기준의 객관성 확보

○ 부과기준 관련 법령 및 수혜자 원칙에 따른 상세기준 정립 필요

□ 추진경과

○ 사장님 말씀(‘20.6.8): 도매시장 관리비 부과기준 수립 연구 용역 중간보고 시

- 관리비 부과체계를 공정하고 객관적으로 개선하기 위한 TF 구성운영

○ 관리비 부과체계 개선 TF 구성; 운영 계획 수립(2020.7.20)

○ 관리비 부과체계 개선 전체 TF회의 개최(2020.8.3)

○ 관리비 부과개선 T/F 본부별 과제 보고회 개최(2020.10.7)

○ 찾아가는 회의를 통한 관리비 부과개선 협의(2020.11.2~11.17)

○ 관리비 부과개선 실무 T/F 전체 회의 개최 (2020.11.26)

- 개선과제별 시뮬레이션 공유 및 관리비 부과지침 의견 수렴

○ 관리비 부과개선 T/F 운영 결과 사장님 보고 (2020.12.29)

○ 관리비 개선 설명자료 유통인 소통회 실시 (2021.1월~2월)

- 중도매인 조합(과일, 채소, 수산 등), 도매시장법인(청과, 수산) 등

- 현 관리비 문제점 및 외부 연구용역 수행사유, 결과 공유

- 관리비 객관성 및 공정성 확보를 위하여 개선에 대한 불가피성 설명

- 관리비 부과기준 및 세부 부과내역 설명

- 유통인 부담 최소화를 위한 개선방안 단계적 적용(유통인 의견 최대 반영)

□ 개선결과(개선방안)

※ 관리비 배분기준 통일

○ 배분면적: 전용면적/계약면적/보수면적 등 ⇒ 계약(전용)면적 기준

○ 하수시설 보수 관리비 배분기준 통일: 사용량비례⇒ 계약(전용)면적 비례

※ 수혜자 부담원칙에 따른 관리비 부담기준 개선(공사/입주자, 전용/공용)

○ 시장 내 공실 면적(점포, 사무실): 공사100%(공사 부담)

○ 가설물 및 점유면적(관리비 혜택 시설): 부과 제외 ⇒부과대상에 포함

○ 시장내 탄소배출 비용(신규): 공사/입주자 부담(개별 에너지 사용량 비례)

○ 시설분야 용역비: 공사100% 항목 ⇒ 계약(전용)면적기준 공사/입주자 배분

○ 전기/소방 안전점검 비용: 공사100% ⇒ 계약(전용)면적기준 공사/입주자 배분

○ 기반시설(물정화처리장, 변전실, 주차장 등): 전용시설 ⇒ 공용시설

※ 관리비 부과 효율성 및 신뢰성 확보 개선

○ 수도광열비 부과금액 집계 및 부과 시스템 자동화(UNIS시스템 고도화)

○ 관리비 오부과 시 익월 즉시 정산시스템 개발(수기정산→자동정산)

○ 도매시장(가락, 강서, 양곡) 관리비 부과 지침 제정(공통 적용)

대상 항목	핵심 개선사항	종전 기준	개선 기준
수선유지비	전용면적 기준 통일	공용+전용	전용면적 비례
자회사 용역비	수혜자 부담 적용	공사 100%	전용면적 비례
토목 인건비	원인자 및 수혜자 부담	하수사용량	전용면적 비례
자산성 수선비	임대인 고유의무	비용 분배	공사 100% 부담
안전점검 비용	수혜자 부담 적용	공사 100%	전용면적 비례
탄소배출권	사용량 기준 분배	신규	에너지 사용량 비례

부패영향평가 결과통보서

규 정 명	○ 관리비 부과 지침
평가담당	감사실	4급	신대창
입안부서	재무팀	통보(조치)일	2021. 3. 11.
관련조문	검토결과	조치사항
○ 관리비 부과 지침 제정 ※ 세부평가 기준 - 준수 ‣ 준수부담의 합리성 ‣ 제제규정의 적정성 ‣ 특혜발생 가능성 - 집행 ‣ 재량규정의 구체성･객관성 ‣ 위탁･대행의 투명성･책임성 ‣ 재정누수 가능성 - 행정절차 ‣ 접근의 용이성 ‣ 공개성 ‣ 예측 가능성 - 부패통제 ‣ 이해충돌 가능성 ‣ 부패방지장치의 체계성	○ 원안동의 - 위 지침은 관련 법령에 따른 합리적이고 공정한 관리비 부과를 위한 지침으로 부패유발요인이 없음 ○ 세부 평가 결과 - 지침 준수 관련 관련자에 대한 과도한 부담이 발생하지 않음. - 지침 집행 관련 관련자에 대한 특혜 및 재정 집행이 발생하지 않음. - 홈페이지를 통한 의견 조회를 시행하여 행정 절차 상 접근용이성, 공개성, 예측가능성 등을 충족하였음. - 부패통제 측면에서도 심의의원회를 설치하는 등 제도적 장치를 마련하였음.	○ 없음
2021. 3. 11. 감 사 실 장