클라우드컴퓨팅서비스 보안인증에 관한 고시

제1장 총칙

이 고시는 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」(이하 "법"이라 한다) 제23조제2항, 제23조의2부터 제23조의4까지, 같은 법 시행령(이하 "시행령"이라 한다) 제15조의6부터 제15조12까지의 규정 및 같은 법 시행규칙(이하 "규칙"이라 한다) 제2조부터 제4조까지의 규정에 따라 클라우드컴퓨팅서비스의 보안인증에 필요한 사항을 정하는 것을 목적으로 한다.

이 고시에서 사용하는 용어의 정의는 다음과 같다.

1. "클라우드컴퓨팅서비스 보안인증(이하 "보안인증"이라 한다)"이란 인증신청인의 클라우드컴퓨팅서비스 제공을 위한 보안 관련 일련의 조치와 활동이 보안인증기준에 적합함을 한국인터넷진흥원 또는 인증기관이 인증하는 것을 말한다.

2. "인증기관"이란 인증에 관한 업무를 수행할 수 있도록 법 제23조의2제5항에 따라 과학기술정보통신부장관이 지정하는 기관을 말한다.

3. "평가기관"이란 인증평가에 관한 업무를 수행하는 기관으로서 다음 각 호의 기관을 말한다.

가. 법 제23조의2제6항에 따라 인증평가 업무를 수행하는 기관으로 지정된 기관(이하 "지정평가기관"이라 한다)

나. 법 제23조의2제5항제1호에 따라 인증평가 업무를 수행하는 한국인터넷진흥원 또는 인증기관

4. "업무수행 요건ㆍ능력 심사"란 인증기관 또는 평가기관으로 지정받고자 신청한 법인 또는 단체가 보안인증에 관한 인증 및 평가 업무를 수행함에 적합한 인적ㆍ물적ㆍ기술적 요건과 능력을 갖추었는지 여부를 판단하는 것을 말한다.

5. "인증평가"란 인증신청인이 제공하는 클라우드컴퓨팅서비스가 보안인증기준에 적합한지의 여부를 평가기관이 서면평가 및 현장평가의 방법으로 확인하는 것을 말한다.

6. "인증위원회"란 한국인터넷진흥원 또는 인증기관이 인증평가 결과 등을 심의ㆍ의결하기 위해 설치ㆍ운영하는 기구를 말한다.

7. "보안인증평가원"이란 제16조제2항에 따라 인증평가를 수행할 수 있는 자격요건을 갖춘 자를 말한다.

8. "최초평가"란 처음으로 인증을 신청하거나 인증범위에 중요한 변경이 있어서 다시 인증을 신청한 때 실시하는 인증평가를 말한다.

9. "사후평가"란 인증을 받고난 후 매년 사후관리를 위하여 실시하는 인증평가를 말한다.

10. "갱신평가"란 유효기간 만료 전 유효기간 갱신을 위해 실시하는 인증평가를 말한다.

제2장 인증기관 및 평가기관의 지정기준ㆍ절차 등

① 과학기술정보통신부장관은 인증기관 또는 평가기관을 지정할 필요가 있는 때에는 지정대상, 지정기관의 업무범위, 신청 절차 및 방법 등을 미리 정하여 관보 또는 인터넷 홈페이지에 20일 이상 공고하여야 한다.

② 제1항에 따라 인증기관 또는 평가기관으로 지정받으려는 자는 규칙 별지 제3호서식의 신청서에 다음 각 호의 서류를 첨부하여 과학기술정보통신부장관에게 제출하여야 한다.

1. 법인의 정관 또는 단체의 규약(법인 또는 단체만 해당한다)

2. 별지 제1호서식의 인증평가 업무를 수행하는 직원 보유현황과 이를 증명할 수 있는 서류

3. 별표 5의 업무수행 요건ㆍ능력 심사 제출서류

① 인증기관 또는 평가기관의 업무수행 요건ㆍ능력 심사에 관한 세부기준은 별표 6과 같다.

② 과학기술정보통신부장관은 제3조제2항에 따라 인증기관 또는 평가기관의 지정 신청을 받은 때에는 제1항에 따른 업무수행 요건ㆍ능력을 심사하여 인증기관 또는 평가기관으로의 지정여부를 최종 결정한다.

③ 과학기술정보통신부장관은 인증기관으로 지정된 신청기관에 규칙 별지 제4호서식의 보안인증 인증기관 지정서를, 평가기관으로 지정된 신청기관에 규칙 별지 제5호서식의 보안인증 평가기관 지정서를 발급한다.

④ 과학기술정보통신부장관은 제3항에 따라 지정서를 발급받은 자의 명단을 관보 또는 인터넷 홈페이지에 공고하여야 한다.

① 과학기술정보통신부장관은 필요한 경우 인증기관 또는 평가기관의 지정기준 충족여부를 심사하기 위해 자료요청 또는 현장실사를 할 수 있다.

② 과학기술정보통신부장관은 제1항의 업무를 한국인터넷진흥원에 위탁할 수 있다.

① 인증기관 및 평가기관은 유효기간이 끝나기 6개월 전까지 재지정 신청을 할 수 있으며 규칙 별지 제3호서식의 신청서에 제3조제2항 각 호의 서류를 첨부하여 과학기술정보통신부장관에게 제출하여야 한다.

② 과학기술정보통신부장관은 제1항에 따른 재지정 신청을 받은 때에는 별표 6 업무수행 요건ㆍ능력 심사에 관한 세부기준에 따른 적합 여부를 심사하여 신청을 받은 날부터 4개월 이내에 재지정 여부를 결정하고 지정서를 신청기관에 발급하여야 한다.

③ 인증기관 또는 평가기관이 재지정을 신청하지 않고 유효기간이 경과한 때에는 인증기관 또는 평가기관에 대한 지정의 효력은 상실된다.

인증기관 및 평가기관은 인증평가의 공정성 및 독립성 확보를 위해 다음 각 호의 행위가 발생하지 않도록 하여야 한다.

1. 영리를 목적으로 보안인증과 관련된 컨설팅 업무를 수행하는 행위

2. 정당한 사유 없이 인증절차, 보안인증기준 등의 일부를 생략하는 행위

3. 자신 또는 그 소속 임직원의 이익 등을 위해 인증평가 결과에 영향을 주는 행위

4. 그 밖에 인증평가의 공정성 및 독립성을 훼손할 수 있는 행위

① 과학기술정보통신부장관은 인증기관 또는 평가기관이 다음 각 호의 어느 하나에 해당하면 그 지정을 취소하거나 1년 이내의 기간을 정하여 해당 업무의 전부 또는 일부의 정지를 명할 수 있다. 다만, 제1호 또는 제2호에 해당하는 경우에는 그 지정을 취소하여야 한다.

1. 거짓이나 그 밖의 부정한 방법으로 인증기관 또는 평가기관의 지정을 받은 경우

2. 업무정지 기간 중에 보안인증 또는 인증평가를 한 경우

3. 정당한 사유 없이 보안인증 또는 인증평가를 하지 아니한 경우

4. 보안인증기준을 위반하여 보안인증 또는 인증평가를 한 경우

5. 별표 6에 따른 지정기준에 적합하지 아니하게 된 경우

② 과학기술정보통신부장관은 인증기관 또는 평가기관이 지정취소를 요청한 경우 지정을 취소할 수 있다.

③ 지정취소 및 업무정지에 대해서는 시행령 제15조의12제1항에 따른 인증기관 또는 평가기관의 지정취소 및 업무정지에 관한 행정처분의 기준을 따른다.

④ 과학기술정보통신부장관은 제1항에 따라 지정을 취소하거나 업무정지를 명한 사실을 관보 또는 인터넷 홈페이지에 공고하여야 한다.

제3장 인증평가의 신청 및 수수료 납부

① 인증신청인은 인증 신청 시 규칙 별지 제1호서식의 신청서에 다음 각 호의 서류를 첨부하여 한국인터넷진흥원 또는 인증기관에 제출하여야 한다.

1. 별지 제2호서식의 취약점 점검 및 침투테스트 동의서

2. 별지 제3호서식의 클라우드컴퓨팅서비스 보안인증 명세서(클라우드컴퓨팅서비스 보안운영 명세서 포함)

3. 사업자등록증

4. 신청기관이 인증수수료 지원 대상인 경우, 이를 증빙할 수 있는 서류

② 제1항에 따라 보안인증의 신청을 받는 한국인터넷진흥원 또는 인증기관은 지정평가기관에 인증평가를 수행하게 하여야 하며, 인증신청인은 인증평가의 범위, 인증평가의 일정 등을 지정평가기관과 사전 협의하여야 한다.

③ 지정평가기관은 인증평가를 착수하기 전에 인증신청인의 인증평가 사전준비사항을 확인할 수 있으며, 인증신청인의 준비가 미흡한 경우에는 인증신청인에게 이를 보완할 것을 요구할 수 있다.

④ 지정평가기관은 인증평가의 범위에 변경이 필요한 경우에 이를 인증신청인과 협의하여 변경할 수 있다.

① 과학기술정보통신부장관은 시행령 제15조의6제3항에 해당하는 경우 인증평가 업무를 수행할 평가기관을 조정할 수 있다.

② 제1항에 따른 과학기술정보통신부장관의 조정이 있는 경우 한국인터넷진흥원은 이해관계, 평가 난이도 등을 고려하여 인증평가를 직접 수행하거나 인증기관 또는 다른 지정평가기관에게 인증평가를 수행하도록 요청할 수 있다.

① 평가기관은 인증신청인이 다음 각 호의 어느 하나에 해당하는 인증을 받거나 정보보호 조치를 취한 경우 보안인증기준의 일부를 생략하여 인증평가를 할 수 있다. 다만 제1호 또는 제2호에 해당하는 경우 별표 7의 범위 내로 한정한다.

1. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」제47조 또는 「개인정보 보호법」제32조의2에 따른 정보보호 관리체계 인증을 받은 경우

2. 보안인증을 받은 클라우드컴퓨팅서비스와 동일한 사양의 클라우드컴퓨팅서비스를 다른 클라우드컴퓨팅서비스 환경으로 구축하려는 경우

3. 제1호 및 제2호에 준하는 정보보호조치를 취한 경우로서 과학기술정보통신부장관이 필요하다고 인정하는 경우

② 과학기술정보통신부장관은 제1항제3호에 따라 생략되는 보안인증기준을 정할 때 국가기간등이 이용하는 클라우드컴퓨팅서비스와 관련이 있는 경우 국가정보원장과 사전에 협의하여야 한다.

③ 제1항에 따라 인증평가의 일부를 생략하려는 경우에는 다음 각 호의 요건을 모두 충족하여야 한다.

1. 해당 정보보호 관리체계 인증 또는 정보보호 조치의 범위가 보안인증의 범위와 일치할 것

2. 보안인증 신청 및 평가 시에 해당 정보보호 관리체계 인증이나 정보보호 조치가 유효하게 유지되고 있을 것

④ 제1항에 따른 인증평가 일부 생략을 신청하고자 하는 자는 별지 제4호서식의 인증평가 일부 생략 신청서를 평가기관에 제출하여야 한다.

① 인증 수수료는 별표 8의 인증 수수료 산정 및 평가원 보수 기준을 적용하여 산정한다.

② 평가기관은 제1항에 따라 산정된 인증 수수료를 공지하여야 한다.

③ 평가기관은 인증신청인이 다음 각 호에 해당하는 경우 수수료를 감면 또는 조정할 수 있다.

1. 「중소기업기본법」제2조제1항에 따른 중소기업에 해당되는 경우

2. 제11조에 따른 인증평가 일부 생략 신청을 하는 경우

3. 그 밖에 인증신청인과 협의하여 수수료 조정이 필요하다고 판단되는 경우

④ 과학기술정보통신부장관은 인증신청인이 제3항제1호에 해당할 경우 예산의 범위에서 감면된 인증수수료의 전부 또는 일부를 평가기관에게 지원할 수 있다.

인증신청인은 최초평가, 사후평가 및 갱신평가 신청 시 인증 수수료를 청구 받은 날부터 인증평가 시작일 이전까지 평가기관에 납부하여야 하며, 수수료를 납부하지 않은 경우 평가기관은 인증평가를 실시하지 아니할 수 있다.

제4장 인증평가의 기준과 방법

① 보안인증의 대상은 시행령 제3조에 따른 클라우드컴퓨팅서비스로 하며 보안인증의 유형은 다음 각 호와 같다.

1. 서버, 저장장치, 네트워크 등을 제공하는 서비스 인증(IaaS 인증)

2. 응용프로그램 등 소프트웨어를 제공하는 서비스 인증(SaaS 인증)

3. 응용프로그램 등 소프트웨어의 개발ㆍ배포ㆍ운영ㆍ관리 등을 위한 환경을 제공하는 서비스 인증(PaaS 인증)

4. 그 밖에 제1호부터 제3호까지의 서비스를 둘 이상 복합하는 서비스 인증

② 보안인증 등급은 클라우드컴퓨팅서비스의 정보보호 수준에 따라 상, 중, 하로 한다.

③ 인증신청인은 제1항 및 제2항에 따른 보안인증 유형 및 등급을 선택하여 제9조에 따라 보안인증을 신청할 수 있다.

① 보안인증기준은 별표 1부터 별표 3과 같다.

② 인증신청인이 「전자정부법」 제2조에 따른 행정기관 및 공공기관에게 클라우드컴퓨팅서비스를 제공하려는 경우에는 제1항에 따른 보안인증기준에 별표 4를 추가하여 적용한다.

③ 과학기술정보통신부장관은 보안인증기준 내에서 제14조 보안인증 유형 및 등급에 따른 세부 점검항목을 한국인터넷진흥원이 홈페이지에 공개하도록 하여야 한다.

① 평가기관은 인증평가 일정이 확정된 때에는 인증평가팀을 구성하여야 한다.

② 인증평가팀은 별표 9에 따른 자격을 갖춘 보안인증평가원으로 구성하여야 한다.

③ 평가기관은 인증평가팀 구성 시 인증신청 범위, 사업유형, 기술의 다양성 등을 고려하여 별표 9의 구성원을 적절히 포함시켜야 한다.

④ 평가기관은 인증평가 전에 인증평가팀의 구성원이 인증신청인과 이해관계가 있는지 확인하여야 하며, 이해관계인은 인증평가팀의 구성원에서 배제하여야 한다.

① 인증평가는 인증신청인의 업무수행 현장에 방문하여 서면평가, 현장평가 등을 병행한다.

② 서면평가는 인증신청인이 제출한 신청 서류를 포함하여 추가적인 문서의 열람을 요청하여 보안인증기준에 적합한지 평가한다.

③ 현장평가는 서면평가의 결과와 관리적ㆍ물리적ㆍ기술적 보호대책 이행여부를 확인하기 위하여 담당자 면담, 관련 시스템 확인 등의 방법으로 평가한다.

④ 평가기관은 인증평가에서 발견된 결함에 대해 심사종료 다음날부터 30일(최대 90일까지 연장 가능) 이내에 보완조치를 완료하도록 인증신청인에게 요청할 수 있다.

⑤ 평가기관은 인증위원회 심의결과에 따라 인증위원회 종료 다음날부터 60일 이내에 인증신청인에게 추가 보완조치를 요구할 수 있다.

⑥ 제1항에도 불구하고 「재난 및 안전관리 기본법」 제3조에 따른 재난의 발생 등으로 인증신청인을 방문하기 어렵다고 평가팀장이 판단하는 경우 원격평가를 병행할 수 있다.

① 평가기관은 다음 각 호의 사유가 발생한 경우에는 인증평가를 중단할 수 있다.

1. 인증신청인이 고의로 인증평가의 실시를 지연 또는 방해하거나 인증신청인의 귀책사유로 인하여 평가팀장이 인증평가를 계속 진행하기가 곤란하다고 판단하는 경우

2. 인증신청인이 제출한 관련 자료 등을 검토한 결과 인증평가를 받을 준비가 되었다고 볼 수 없는 경우

3. 제17조제4항에 따른 보완조치를 최대 90일 이내에 완료하지 않은 경우

4. 「재난 및 안전관리 기본법」 제3조에 따른 재난의 발생 또는 인증신청인의 파산ㆍ청산 등의 경영환경 변화로 인하여 평가 진행이 불가능하다고 판단되는 경우

② 평가기관은 제1항에 따라 인증평가를 중단하는 때에는 그 사유를 인증신청인에게 서면으로 통보하여야 한다.

③ 평가기관은 제1항의 중단 사유가 해소되거나 제28조에 따른 이의신청이 이유 있다고 인정한 경우에는 인증평가를 지체 없이 재개하여야 한다. 다만, 제1항제3호의 해당하는 경우는 제외한다.

① 한국인터넷진흥원 또는 인증기관은 시행령 제15조의8에 따른 보안인증의 사후관리를 실시하여야 한다.

② 한국인터넷진흥원 또는 인증기관은 제1항에 따른 사후관리를 실시하는 경우 보안인증을 발급한 날부터 매 1년마다 보안인증이 보안인증기준에 적합한지 여부의 확인을 평가기관으로 하여금 수행하게 할 수 있다.

③ 사후관리에 관하여 그밖에 필요한 사항은 제3장 및 제4장의 규정을 적용한다.

① 인증취득인은 해당 보안인증의 유효기간 연장을 위해서 유효기간 만료일 6개월 이전에 갱신평가를 신청하여야 한다.

② 과학기술정보통신부장관은 「재난 및 안전관리 기본법」 제3조에 따른 재난의 발생 등 특정한 사유가 발생하는 경우 제1항에 따른 보안인증의 유효기간을 연장할 수 있다.

③ 갱신평가 결과 보완조치가 불가피한 사유로 인해 완료되지 못한 경우 한국인터넷진흥원 또는 인증기관은 인증위원회의 심의를 거쳐 보완조치기간을 부여할 수 있다.

④ 인증취득인이 특별한 사유 없이 제1항에 따른 보안인증의 갱신을 신청하지 아니하여 보안인증의 유효기간이 경과한 때에는 보안인증의 효력은 상실된다.

⑤ 갱신평가에 관하여 그밖에 필요한 사항은 제3장 및 제4장의 규정을 적용한다.

제5장 인증위원회 구성과 운영

① 한국인터넷진흥원 또는 인증기관은 다음 각 호의 사항을 심의ㆍ의결하기 위하여 인증위원회를 설치ㆍ운영하여야 한다.

1. 최초평가 또는 갱신평가 결과가 보안인증기준에 적합한지 여부

2. 제27조제1항에 따른 인증의 취소에 관한 사항

3. 제28조에 따른 이의신청에 관한 사항

4. 그 밖에 보안인증과 관련하여 한국인터넷진흥원 또는 인증기관, 위원장이 필요하다고 인정하는 사항

② 인증위원회는 15인 이내의 위원으로 구성하되, 위원은 정보보호 및 클라우드 보안 관련 분야에 학식과 경험이 있는 자 중에서 한국인터넷진흥원 또는 인증기관이 위촉하며, 위원장은 위원 중에서 호선한다.

③ 위원장은 인증위원회의 업무를 통할하며 위원회를 대표한다.

④ 한국인터넷진흥원 또는 인증기관은 위원이 관계법령 또는 이 규정을 위반한 때에는 해당 위원을 해촉할 수 있다.

① 인증위원회의 회의는 한국인터넷진흥원 또는 인증기관의 요구로 개최하되, 회의마다 위원장과 전문분야를 고려한 5명의 위원 출석으로 개의하며, 출석위원 3분의 2 이상의 찬성으로 의결한다. 다만, 위원장이 부득이한 사유로 직무를 수행할 수 없는 경우 위원장이 사전에 지명한 위원이 위원장의 직무를 대행한다.

② 한국인터넷진흥원 또는 인증기관은 인증위원회의 심의안건을 검토하여 위원회 개최 5일 전까지 인증위원회에 제출한다. 다만, 긴급한 경우나 부득이한 사유가 있는 경우에는 그러하지 아니하다.

③ 인증위원회 위원장은 제21조제1항의 각 호의 사항에 대한 심의ㆍ의결 결과를 한국인터넷진흥원 또는 인증기관에게 제출한다.

④ 인증위원회는 심의를 위하여 필요하다고 인정되는 경우에는 인증평가에 참여한 보안인증평가원 또는 관련 전문가로부터 그에 관한 의견을 들을 수 있다.

⑤ 한국인터넷진흥원 또는 인증기관은 인증위원회의 심의ㆍ의결 결과를 제출받은 때에는 인증신청인 또는 이의신청인에게 결과를 통보하여야 한다.

① 인증위원회 위원은 인증신청인과 다음 각 호의 사항 중 어느 하나에 해당하는 경우에는 인증위원회의 심의ㆍ의결에서 제척(除斥)된다.

1. 위원 또는 그 배우자나 배우자였던 사람이 해당 안건의 당사자가 되거나 그 안건의 당사자와 공동권리자 또는 공동의무자인 경우

2. 위원이 해당 안건의 당사자와 친족이거나 친족이었던 경우

3. 위원이 해당 안건에 대하여 증언ㆍ진술ㆍ자문ㆍ연구 또는 용역을 한 경우

4. 위원이나 위원이 속한 법인이 해당 안건의 당사자의 대리인이거나 대리인이었던 경우

5. 위원이 해당 안건의 원인이 된 처분이나 부작위에 관여하거나 관여하였던 경우

② 위원에게 심의ㆍ의결의 공정을 기대하기 어려운 사정이 있는 경우 인증신청인 또는 이의신청인은 기피신청을 할 수 있고, 위원회는 의결로 이를 결정한다.

제6장 보안인증서의 발급ㆍ관리 및 홍보

① 한국인터넷진흥원 또는 인증기관은 인증위원회에서 인증적합으로 판정된 경우 그 결과에 따라 인증신청인에게 규칙 별지 제2호서식의 클라우드 보안인증서를 발급하여야 한다.

② 보안인증서 발급 시 규칙 별표의 보안인증의 표시 기준을 따른다.

① 한국인터넷진흥원 또는 인증기관은 발급된 보안인증서의 인증번호, 발급일, 유효기간 등 보안인증서를 관리하여야 한다.

② 인증취득인은 보안인증서의 분실 등으로 인해 재발급을 받고자 할 경우 별지 제5호서식의 보안인증서 재발급 신청서를 한국인터넷진흥원 또는 인증기관에 제출하여야 한다.

③ 인증취득인이 주소, 업체명 등 보안인증서 기재사항의 변경을 요청하고자 하는 경우 별지 제6호서식의 보안인증서 변경 신청서를 한국인터넷진흥원 또는 인증기관에 제출하여야 한다.

① 보안인증의 표시는 규칙 별표와 같다.

② 제1항에 따른 인증의 표시를 사용하는 경우에는 인증번호, 인증대상, 유효기간 등을 함께 표시하여야 한다.

③ 한국인터넷진흥원은 홈페이지를 통해 인증현황을 공개하여야 한다.

① 한국인터넷진흥원 또는 인증기관은 법 제23조의3제1항제2호에 해당하여 보안인증을 취소하고자 할 때는 인증위원회의 심의ㆍ의결을 거쳐야 한다.

② 국가정보원장은 「전자정부법」제2조에 따른 행정기관 또는 공공기관이 사용하는 클라우드컴퓨팅서비스가 법 제23조의3제1항제2호에 해당한다고 판단하는 경우, 한국인터넷진흥원 또는 인증기관에 보안인증 취소를 요청할 수 있다.

③ 한국인터넷진흥원 또는 인증기관은 제1항에 따라 인증을 취소한 경우에 그 결과를 통지하여야 한다.

① 인증신청인 또는 인증취득인이 인증평가 결과, 평가중단 또는 보안인증 취소처분에 관하여 이의가 있는 때에는 그 결과를 통보받은 날부터 15일 이내에 별지 제7호서식의 이의신청서를 한국인터넷진흥원 또는 인증기관에 제출하여야 한다.

② 한국인터넷진흥원 또는 인증기관은 제1항에 따른 이의신청이 이유가 있다고 인정되는 경우에는 인증위원회에 재심의를 요청하여야 한다.

③ 한국인터넷진흥원 또는 인증기관은 이의신청에 대한 처리결과를 인증신청인 또는 인증취득인에게 통지하여야 한다.

제7장 인증 일반업무 등

① 한국인터넷진흥원, 인증기관 및 평가기관의 임직원, 인증위원회 위원, 보안인증평가원 등 인증평가 업무에 종사하는 자 또는 종사하였던 자는 정당한 권한 없이 또는 허용된 권한을 초과하여 업무상 지득한 비밀, 인증 평가 및 심의 결과에 관한 정보를 누설하거나 이를 업무 목적 이외에 보관ㆍ사용하여서는 아니 된다.

② 한국인터넷진흥원, 인증기관, 평가기관, 인증위원회 위원, 보안인증평가원 등 인증평가 업무에 종사하는 자 또는 종사하였던 자는 인증에 관련하여 일체의 금전, 금품, 이익 등을 부당하게 수수하여서는 아니 된다.

과학기술정보통신부장관은 법 제31조 및 시행령 제20조제3항제3호 및 제4호의 규정에 따라 다음 각 호의 업무를 한국인터넷진흥원에 위탁한다.

1. 제3조 및 제6조에 따른 인증기관 또는 평가기관의 지정, 재지정 등에 따른 업무

2. 제5조제2항에 따른 지정기준의 충족여부 심사, 자료제출 요구 또는 현장심사에 관한 업무

3. 제8조에 따른 지정취소 사유의 조사 및 확인

4. 그밖에 인증업무의 효율적 처리를 위하여 필요하다고 인정한 업무

한국인터넷진흥원, 인증기관 또는 평가기관은 보안인증 또는 평가업무 수행을 위해 필요한 경우 법령의 범위 내에서 인증 또는 평가업무에 관한 지침을 마련하여 시행할 수 있다.

과학기술정보통신부장관은 「행정규제기본법」 및 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정(대통령훈령 제248호)」에 따라 이 고시에 대하여 2023년 1월 1일을 기준으로 매 3년이 되는 시점(매 3년째의 12월 31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.