선거관리위원회 정보통신보안업무규정

제1장 총 칙 제1조(목적) 이 규정은 「전자정부법」 제56조, 「국가 정보보안 기본지침」 제7조에 따라 선거관리위원회의 정보보안업무 수행에 필요한 기본사항을 규정함을 목적으로 한다. <개정 2024. 1. 12.> 제2조(적용범위) ① 이 규정은 각급선거관리위원회(소속기관을 포함하며, 읍ㆍ면ㆍ동선거관리위원회를 제외한다. 이하 "각급위원회"라 한다)의 정보보안업무에 적용한다. <개정 2024. 1. 12.> ② 「선거관리위원회 보안업무규칙」에서 정하지 아니한 정보보안에 관한 사항은 이 규정을 따른다. <개정 2024. 1. 12., 2025. 10. 16.> 제3조(정의) 이 규정에서 사용하는 용어의 정의는 다음과 같다. <개정 2024. 1. 12.> 1. "정보보안"이란 정보시스템 및 정보통신망을 통해 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송수신되는 정보의 유출, 위ㆍ변조나 손상 등을 방지하기 위하여 관리적ㆍ물리적ㆍ기술적 수단을 마련하는 모든 행위를 말한다. 2. "정보통신기반"이란 선거ㆍ정당ㆍ정치자금, 조사ㆍ단속, 일반행정ㆍ교육 또는 사무관리 등의 업무와 관련된 정보시스템과「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제1호에 따른 정보통신망을 말한다. 3. "주요정보통신기반시설"이란 제2호의 정보통신기반으로서「정보통신기반 보호법」 제8조에 따라 지정된 정보통신기반시설을 말한다. 4. "정보시스템"이란 정보의 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송신ㆍ수신 및 그 활용과 관련되는 기기와 소프트웨어의 조직화된 체계를 말한다. 5. "정보보호시스템"이란 정보의 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송신 또는 수신 중 발생할 수 있는 정보의 훼손ㆍ변조ㆍ유출 등을 방지하기 위한 관리적ㆍ기술적 수단을 말한다. 6. "휴대용 저장매체"란 CDㆍ외장형 하드디스크ㆍUSB메모리 등 정보를 저장할 수 있는 것으로 PCㆍ서버 등의 정보시스템과 분리할 수 있는 기억장치를 말한다. 7. "전산자료"란 전산장비에 의하여 전자기적인 형태로 입력ㆍ보관되어 있는 각종 자료(Data)를 말하며, 그 자료가 입력되어 있는 휴대용 저장매체를 포함한다. 8. "정보통신실"이란 서버ㆍ스위치ㆍ라우터ㆍ교환기 등 전산 및 통신장비 등이 설치ㆍ운용되는 장소 또는 전산실ㆍ통신실ㆍ데이터센터 등을 말한다. 9. "전자적 침해행위"란 다음 각 목의 방법으로 정보통신기반을 공격하는 행위를 말한다. 가. 해킹, 컴퓨터바이러스, 논리ㆍ메일폭탄, 서비스거부 또는 고출력 전자기파 등의 방법 나. 정상적인 보호ㆍ인증 절차를 우회하여 정보통신기반에 접근할 수 있도록 하는 프로그램이나 기술적 장치 등을 정보통신기반에 설치하는 방법 10. "침해사고"란 전자적 침해행위로 인하여 발생한 사태를 말한다. 11. 삭제 <2024. 1. 12.> 12. 삭제 <2024. 1. 12.> 제2장 정보보안 관리 제1절 정보보안 조직체계 제4조(정보보안 책임) 정보보안에 관한 책임은 각급위원회 사무처ㆍ사무국 또는 사무과의 장(소속기관의 경우 소속기관의 장을 말한다)과 정보통신기반을 직접 취급 또는 사용하는 자에게 있다. <개정 2024. 1. 12.> 제5조(정보보안책임관) ① 각급위원회의 정보보안업무와 주요정보통신기반시설 보호에 관한 업무를 총괄하기 위하여 중앙선거관리위원회(이하 "중앙위원회"라 한다)에 정보보안책임관을 둔다. ② 중앙위원회 정보보안업무 담당 국장이 정보보안책임관이 되며, 정보보안책임관은 「정보통신기반 보호법」(이하 "법"이라 한다) 제6조제5항의 정보보호책임관을 겸임한다. [본조신설 2025. 1. 22.] 제5조의2(정보보안담당관) ① 각급위원회의 정보보안업무와 주요정보통신기반시설 보호에 관한 업무를 수행하기 위하여 중앙위원회에 정보보안담당관을 둔다. ② 중앙위원회 정보보안업무 담당 과장이 정보보안담당관이 된다. <개정 2024. 1. 12., 2025. 1. 22.> ③ 정보보안담당관은 다음 각 호의 업무를 수행한다. <개정 2024. 1. 12.> 1. 정보보안 정책 및 세부추진계획 수립ㆍ시행 2. 정보보안 관련 규정ㆍ지침 등 제ㆍ개정 3. 사이버보안진단의 날 총괄 운영 4. 정보보안 지도ㆍ점검 5. 침해사고 관련 정보의 수집ㆍ분석ㆍ전파 및 대응ㆍ복구 6. 정보보안 교육 및 관계기관 협력 7. 주요정보통신기반시설 보호 8. 정보보호시스템의 운용 및 보안관리 9. 정보통신망 보안대책의 수립ㆍ시행 10. 그 밖에 정보보안 관련 업무 ④ <삭제 2025. 1. 22.> 제5조의3(정보보안위원회 구성ㆍ운영) ① 정보보안 업무에 관한 중요한 사항을 심의ㆍ의결하기 위해 사무총장 소속하에 정보보안위원회(이하 "보안위원회"라 한다)를 둔다. ② 보안위원회는 다음 각 호의 사항을 심의ㆍ의결한다. 1. 개인정보보안 및 정보보안 관련 규정의 수립 및 그 개정에 관한 사항 2. 분야별 보안대책의 수립에 관한 사항 3. 보안규정 위반자의 심사 및 처리에 관한 사항 4. 연간보안 계획 수립과 그 이행 상태의 확인 처리에 관한 사항 5. 보안업무 심사분석 및 보안업무 수행상 조정과 협의를 요하는 사항 6. 보안성 검토에 관한 사항 7. 기타 위원장이 필요하다고 인정하는 사항 ③ 보안위원회 위원장은 중앙선거관리위원회 정보보안업무 담당 국장이 되며, 위원은 정보관리국 각 부서의 장으로 한다. ④ 보안위원회 위원장이 부득이한 사유로 직무를 수행할 수 없는 경우에는 위원장이 위원 중에서 지명한 자가 그 직무를 대행한다. ⑤ 보안위원회의 원활한 운영을 위하여 간사 1인을 두며, 간사는 정보관리국 소속 공무원 중에서 위원장이 임명한다. ⑥ 보안위원회 회의는 재적위원 과반수의 출석으로 개의하며, 출석위원 과반수의 찬성으로 의결한다. [본조신설 2025. 10. 16.] 제6조(정보보안책임자) ① 「선거관리위원회 보안업무규칙」제3조제1항에 따른 각급선거관리위원회(이하 "각급 위원회"라 한다)의 각 과(이에 준하는 보조기관 또는 보좌기관을 포함한다. 이하 이 조에서 같다) 또는 사무국ㆍ사무과에 정보보안에 대하여 책임을 지고 정보보안담당관의 정보보안업무 수행을 지원하기 위하여 정보보안책임자를 둔다. <개정 2024. 1. 12., 2025. 10. 16.> ② 각급 위원회 각 과의 장 또는 사무국장ㆍ사무과장은 정보보안책임자가 된다. 다만, 중앙위원회 정보보안업무 부서의 경우 정보보안담당 서기관 또는 사무관이 정보보안책임자가 된다. <개정 2025. 10. 16.> ③ 정보보안책임자는 다음 각 호의 업무를 수행한다. <개정 2024. 1. 12.> 1. 업무대행자 및 외부용역사업의 보안관리에 관한 업무 2. 컴퓨터(노트북, 단말기 등을 포함한다. 이하 같다)의 보안관리에 관한 업무 3. 휴대용 저장매체 및 전산자료 보안관리에 관한 업무 4. 그 밖에 정보보안에 필요한 업무 ④ 정보보안담당관은 정보보안책임자 중에서 법 제5조제4항의 정보보호책임자의 역할을 수행하는 자를 지정ㆍ운영할 수 있다. <개정 2024. 1. 12.> 제2절 정보보안 기본활동 제7조(정보보안교육) ① 정보보안담당관은 정보보안에 대한 경각심을 높이기 위하여 정보보안 교육계획을 수립하여 연 1회 이상 모든 소속 공무원등(사회복무요원, 공무직근로자, 기간제근로자 및 단시간근로자를 포함한다. 이하 이 조에서 같다)을 대상으로 교육(온라인 교육을 포함한다)을 실시하여야 한다. ② 제1항에 따라 모든 공무원등은 특별한 사유가 없는 한 연 1회 이상 정보보안 교육을 이수하여야 한다. ③ 정보보안담당관은 정보보안 담당직원의 업무 전문성을 높이기 위하여 정보보안 담당직원이 전문교육을 이수하거나, 학술회의 등에 적극 참가하도록 장려하여야 한다. [제목개정 2024. 1. 12.] [전문개정 2024. 1. 12.] 제7조의2(사이버보안진단의 날) ① 정보보안담당관은 매월 세 번째 수요일을 ‘사이버보안진단의 날’로 지정ㆍ시행하여야 한다. 다만, 부득이한 사유로 해당 일에 시행하지 못할 경우 같은 달 다른 날에 시행하여야 한다. ② 정보보안책임자는 정보보안담당관 총괄 하에 ‘사이버보안진단의 날’에 소속 부서의 정보통신기반의 보안취약 여부 확인 등 보안진단을 실시하여야 하고, 필요시 정보보안담당관에게 기술지원을 요청할 수 있다. [본조신설 2024. 1. 12.] 제8조(정보보안 자료 관리) 정보보안담당관은 다음 각 호에 해당하는 정보보안 자료를 대외비로 분류하여 관리하여야 한다. <개정 2024. 1. 12.> 1. 정보통신 세부 구성현황(IP 세부 할당 현황을 포함한다) 2. 보안취약점 분석ㆍ평가 결과물 3. 정보보호시스템 운용 현황 4. 보안관제센터 운영 현황 5. 침해사고 대응 매뉴얼 6. 디도스(DDoS) 대응 매뉴얼 7. 그 밖에 보호가 필요하다고 인정되는 정보보안 관련 자료 제9조(외부용역사업 보안관리) ① 정보보안책임자는 선거ㆍ정당 등 정보화사업 및 보안컨설팅, 감리 수행 등에 대한 외부용역사업을 추진하는 경우 계약 시 해당 계약서에 외부용역사업 참여직원의 보안준수 사항과 위반 시 손해배상책임 등을 명시하도록 하여야 하며, 필요한 경우 외부용업사업 참여직원에 대한 신원조사를 경찰청장에게 의뢰할 수 있다. <개정 2024. 1. 12., 2025. 10. 16.> ② 정보보안책임자는 외부용역사업 참여직원을 대상으로 정보보안교육을 실시하여야 한다. <개정 2024. 1. 12., 2025. 10. 16.> ③ 정보보안책임자는 보안 준수사항의 이행여부를 정기 또는 수시로 점검하고 미비점을 발견한 경우 용역업체로 하여금 시정 조치하도록 하여야 한다. <신설 2024. 1. 12.> 제10조(컴퓨터 보안관리) 컴퓨터 사용자는 컴퓨터에 저장된 정보가 무단으로 유출, 위ㆍ변조되거나 손상되지 않도록 컴퓨터를 유지ㆍ관리하여야 할 보안관리 책임을 진다. 제10조의2(휴대용 저장매체 보안관리) 정보보안담당관은 휴대용 저장매체를 사용하여 업무자료를 보관하고자 할 경우 자료의 위ㆍ변조, 저장매체의 훼손ㆍ분실 등에 대비한 보안대책을 수립ㆍ시행하여야 한다. [본조신설 2024. 1. 12.] 제11조(전산자료 보안관리) ① 정보보안책임자는 전산자료에 대한 유출, 파괴 또는 위ㆍ변조 등에 대비하여 자료복사본(예비)을 확보하고 안전지역에 별도 보관하는 등 보안대책을 마련하여야 한다. ② 정보보안담당관은 전산자료를 효율적으로 보호하기 위하여 분류기준을 수립하여 전산자료 보호등급을 분류하여야 하며, 보호등급별 보안대책을 수립ㆍ시행하여야 한다. 제12조(정보통신실 보안관리) 정보보안담당관은 정보통신실에 대한 외부로부터의 위해를 방지ㆍ방재하기 위하여 관리적ㆍ기술적ㆍ물리적 보안대책을 강구하여야 한다. 제13조(침해사고의 처리) 정보보안책임자는 침해사고가 발생한 경우 즉시 피해확산을 방지하기 위한 조치를 취하고 다음 각 호의 사항을 정보보안담당관에게 보고하여야 한다. <개정 2024. 1. 12.> 1. 일시 및 장소 2. 사고 원인, 피해현황 등 개요 3. 사고자 및 관계자의 인적사항 4. 조치내용 등 [제목개정 2024. 1. 12.] 제3장 정보통신기반 보호관리 제1절 정보통신기반 보호 조직체계 제14조(침해사고대응팀 구성) 정보보안담당관은 전자적 침해사고의 신속한 대응 및 복구를 위하여 중앙위원회에 다음 각 호에 따라 침해사고대응팀을 구성ㆍ운영할 수 있다. <개정 2024. 1. 12.> 1. 팀장 : 정보보안담당관 또는 중앙위원회 소속 정보보안책임자 2. 팀원 : 중앙 또는 시ㆍ도위원회 전산 담당 직원 제15조(보안관제센터의 설치ㆍ운영) ① 정보보안담당관은 위원회의 정보통신기반을 보호하기 위하여 보안관제센터를 설치ㆍ운영할 수 있다. <개정 2024. 1. 12.> ② 보안관제센터는 정보보안담당관 소속하에 두며 정보보안담당관은 보안관제센터 운영에 필요한 전담직원을 배치하여야 한다. ③ 보안관제센터는 다음 각 호의 업무를 수행한다. 1. 취약점 분석 및 그 대응방안에 관한 정보 제공 2. 침해사고 대응 3. 정보보호시스템 운영 4. 그 밖의 정보보안 관련 업무 ④ 정보보안담당관은 효율적 업무수행을 위하여 보안관제센터 운영을 법 제9조제4항제3호의 정보보호 전문서비스 기업 또는 과학기술정보통신부장관이 지정하는 보안관제 전문업체에 위탁할 수 있다. <개정 2024. 1. 12.> 제2절 정보통신기반 보호 기본활동 제16조(정보통신기반의 보호) ① 정보보안담당관은 정보통신기반의 보호를 위하여 다음 각 호의 사항을 상시 점검하거나 준수하여야 한다. 1. 정보통신기반 업무 및 전산장비의 보호책임 및 보안기능 설정 2. 정보통신기반의 세부구성도, 운영환경 설정정보 등 중요자료의 유출 방지 및 보안관리 3. 정보보안 관계 법령 및 지침 등의 준수에 관한 사항 ② 정보보안담당관은 주기적으로 진단도구를 이용하여 정보통신기반의 보안취약점을 진단하여야 한다. 이 경우 해당 장비에 대한 접속ㆍ접근기록(일시, 사용자, 대상, 방법 등)을 관리하여야 한다. 제17조(외부망 연동) 정보보안담당관은 행정부처 및 지방자치단체 등 외부기관의 정보통신망을 연결하여 사용할 경우에는 정보보호시스템의 설치ㆍ운용 등 보호대책을 마련하여야 한다. <개정 2024. 1. 12.> 제18조(중요 정보통신시설 보호) ① 정보보안담당관 또는 정보보안책임자는 정보통신실 및 보호조치가 필요하다고 인정되는 정보통신기반 설치장소를 보호지역으로 지정ㆍ관리하여야 한다. <개정 2025. 10. 16.> ② 제1항에 따른 시설 및 장소에 대해서는 보안관련 규정에 따라 보호대책을 마련하여야 한다. <개정 2024. 1. 12.> 제19조(정보보안 지도ㆍ점검 등) ① 정보보안담당관은 각급위원회의 정보보안 업무 및 활동을 조사ㆍ점검하기 위하여 연 1회 이상 정보보안 지도ㆍ점검을 실시하여야 한다. 이 경우「선거관리위원회 개인정보 보호지침」 제64조의3에 따른 개인정보 보호 및 처리실태 점검과 통합하여 종합점검을 실시할 수 있다. <개정 2024. 1. 12.> ② 정보보안담당관은 제1항에 따른 정보보안 지도ㆍ점검을 실시할 경우 제도적인 문제점 발굴에 중점을 두고 수행하여야 하며 도출된 취약요인은 근본적인 대책을 수립하여 개선하여야 한다. <개정 2024. 1. 12.> ③ 정보보안책임자는 자체 정보보안 점검을 월 1회 이상 실시하여야 한다. <신설 2024. 1. 12.> [제목개정 2024. 1. 12.] 제3절 침해사고 예방 제20조(정보통신기반 보호계획의 수립ㆍ평가) 정보보안담당관은 매년 정보통신기반 보호계획을 수립하고 이행여부를 평가하여야 한다. 이 경우 정보통신기반 보호계획의 수립은 법 제6조에 따른 주요정보통신기반시설 보호계획의 수립으로 갈음할 수 있다. 제21조(취약점 분석ㆍ평가 및 침해사고 예방) 정보보안담당관은 정보통신기반에 대한 보안취약점을 점검하여 잠재적 보안위협을 파악하고 제거하기 위하여 취약점 분석ㆍ평가를 매년 1회 이상 실시하여야 하며, 보안취약점 분석ㆍ평가 산출물은 대외비 등급 이상으로 분류하여 관리하여야 한다. 제22조(정보통신기반 보호업무 등의 위탁) 정보보안담당관은 정보통신기반 보호에 관한 일부 업무와 취약점 분석ㆍ평가 업무를 법 제9조제4항에 따른 기관에 위탁할 수 있다. 이 경우 위탁업무 수행에 참여하는 종사자에게 법 제27조에 따른 비밀유지의무를 준수하도록 하고, 업무관련 기록ㆍ자료의 안전한 보존 및 폐기 등 필요한 조치를 하도록 하여야 한다. <개정 2024. 1. 12.> 1. 삭제 <2024. 1. 12.> 2. 삭제 <2024. 1. 12.> 3. 삭제 <2024. 1. 12.> 4. 삭제 <2024. 1. 12.> 5. 삭제 <2024. 1. 12.> 제23조(관계기관 협조) 정보보안담당관은 정보통신기반에 대한 전자적 침해사고의 예방, 대응 및 복구를 위한 관계기관 간 연락체계를 구축하여야 한다. 제4절 침해사고 대응 및 복구 제24조(침해사고 대응조치) ① 정보보안담당관은 전자적 침해사고 발생에 따른 대응절차 및 방법에 관하여 필요한 사항을 정하여야 한다. ② 정보시스템별 관리책임자(이하 "시스템관리자"라 한다)는 정보통신기반에 대한 해킹 등 전자적 침해사고의 징후가 있거나 전자적 침해사고의 발생을 인지하였을 때에는 접속차단 등 초동조치를 취하고 바로 정보보안담당관 또는 정보보안책임자에게 보고하여야 한다. ③ 제2항에 따른 보고를 받거나 이를 알게 된 정보보안담당관 또는 정보보안책임자는 제13조를 준용하여 침해사고 대응 매뉴얼에 따라 보고하여야 한다. 다만, 정보통신기반의 교란, 마비 또는 파괴가 일어나지 아니하는 경미한 침해사고의 발생 또는 징후는 보고하지 아니할 수 있다. <개정 2024. 1. 12.> 제25조(복구조치) ① 정보보안담당관은 전자적 침해사고가 발생한 정보통신기반에 대한 복구절차 및 방법에 관하여 필요한 사항을 정하여야 한다. ② 정보보안담당관은 전자적 침해사고로 인하여 정보통신기반이 파괴되거나 기능이 제대로 수행되지 아니할 때에는 해당 정보통신기반이 정상적으로 가동될 수 있도록 필요한 복구조치를 신속히 취하여야 한다. ③ 정보보안담당관은 제2항의 복구조치를 위하여 필요한 조직, 자원, 관계기관과의 협력 등을 포함하는 복구지원체계를 구축하여야 한다. 이 경우 정보보안담당관은 수사기관 등 관계기관에 복구에 필요한 지원을 요청할 수 있다. 제26조(대응ㆍ복구 훈련의 실시) 정보보안담당관은 시스템관리자와 제22조에 따른 기관의 위탁업무 수행 종사자에게 제24조제1항 및 제25조제1항에 따른 침해사고 대응ㆍ복구에 관한 절차 및 방법을 정확히 숙지할 수 있도록 필요한 훈련을 실시할 수 있다. <개정 2024. 1. 12.> 제27조(재난방지ㆍ복구대책) ① 정보보안담당관은 인위적, 자연적으로 발생되는 정보통신기반의 장애, 가동 중지 등 긴급사태에 대비하여 정보시스템을 이원화하거나 백업대책, 복구 등 종합적인 재난복구대책을 수립ㆍ시행하여야 한다. ② 정보보안담당관은 재난방지 대책을 정기적으로 시험하고 검토해야 하며 업무 연속성에 대한 영향평가를 실시하여야 한다. ③ 정보보안담당관은 정보통신망의 장애 발생에 대비하여 정보시스템 백업시설을 확보하고 정기적으로 백업을 실시하여야 한다. <신설 2024. 1. 12.> ④ 정보보안담당관은 제3항에 따른 백업시설을 주요정보통신기반시설과 물리적으로 일정거리 이상 떨어진 안전한 장소에 설치하여야 하며 전력공급원 이중화 등 정보시스템의 가용성을 최대화할 수 있도록 하여야 한다. <신설 2024. 1. 12.> 제4장 보 칙 제28조(준용) 이 규정에 명시되지 않은 사항은 다음 각 호의 지침이 정하는 바에 따른다. 1. 정보화업무 지침 2. 응용프로그램 개발 및 운영 지침 3. 정보시스템 보안 지침 4. 정보시스템 운영 지침 5. 삭제 <2024. 1. 12.> 6. 삭제 <2024. 1. 12.> 7. 삭제 <2024. 1. 12.> [전문개정 2024. 1. 12.]