해사 사이버안전 관리지침

제1조(목적) 이 지침은 선박운항을 위협하는 해사 사이버 공격으로부터 선박운항시스템 등을 보호하고, 선박 및 사업장의 효율적인 해사 사이버안전 관리 지원을 목적으로 한다. 제2조(정의) 이 지침에서 사용하는 용어의 뜻은 다음과 같다. 1. "해사 사이버안전"이란 해사 사이버 공격으로부터 선박 운항에 필요한 시스템(이하 "선박운항시스템"이라 한다)을 보호함으로써 선박운항시스템과 정보의 기밀성ㆍ무결성ㆍ가용성 등 안전성을 유지하는 상태를 말한다. 2. "해사 사이버 공격ㆍ위협"이란 해킹, 컴퓨터 바이러스, 서비스 거부, 전자기파 등 전자적 수단으로 선박운항시스템 또는 이와 관련된 정보시스템을 침입ㆍ교란ㆍ마비ㆍ파괴하거나 정보를 위조ㆍ변조ㆍ훼손ㆍ훔치는 행위 및 그와 관련된 위협을 말한다. 3. "해사 사이버안전 관리체계"란 선박운항과 관련한 사이버 위험성을 분별ㆍ분석ㆍ평가하여 사이버 위험성을 수용ㆍ회피ㆍ전이ㆍ완화 조치하는 절차를 말한다. 4. "선박소유자"란 「해상교통안전법」 제46조제2항에 따라 안전관리체제를 수립ㆍ시행하여야 하는 선박소유자(같은 조 제4항에 따라 안전관리체제의 수립ㆍ시행을 위탁한 경우에는 위탁받은 자를 말한다)를 말한다. 제3조(적용 범위 및 다른 규정과의 관계) ① 이 지침은 「해상교통안전법」 제46조에 따른 안전관리체제를 수립하여 시행하는 선박 및 사업장에 적용한다. ② 다른 법령에 특별한 규정이 있는 경우를 제외하고는 이 지침에서 정하는 바에 따른다. 제4조(해사 사이버안전 대책의 수립ㆍ시행 등) ① 해양수산부장관은 해사 사이버안전 확보를 위하여 필요한 대책을 수립하여 시행할 수 있다. ② 해양수산부장관은 해사 사이버 안전관리를 위해 필요한 전문기술인력 확보, 교육프로그램의 개발, 전문인력 양성 등 필요한 조치를 마련할 수 있다. ③ 해양수산부장관은 해사 사이버 공격ㆍ위협에 대비하여 선박운항시스템 보호 및 해사 사이버안전 업무수행에 필요한 전략ㆍ기술을 연구ㆍ개발하고, 선박 및 사업장 등에 보급할 수 있다. 제5조(해사 사이버안전 진단 및 실태평가 등) ① 해양수산부장관은 해사 사이버안전 대책 시행과 해사 사이버 공격ㆍ위협에 대한 예방 및 대응지원을 위해 필요한 경우에는 선박 및 사업장에 대한 진단 또는 실태평가를 실시할 수 있다. ② 해양수산부장관은 사업장의 해사 사이버안전 관리 지원을 위해 선박운항시스템 또는 이와 관련된 정보시스템의 취약요소를 발굴ㆍ개선하는 등 선박 및 사업장의 사이버안전 관리에 대하여 상담할 수 있다. ③ 해양수산부장관은 제1항에 따른 진단 또는 실태평가 결과 취약요소가 발견된 경우에는 이를 시정하는 등 필요한 조치를 선박소유자에 요청할 수 있다. 제6조(해사 사이버 공격ㆍ위협에 대한 예방ㆍ대응 교육 및 훈련) ① 해양수산부장관은 해사 사이버 공격ㆍ위협에 대한 예방 등을 위하여 선박운항과 관련한 종사자 교육을 직접 실시하거나 다른 기관ㆍ단체의 교육과정을 수강하도록 지정할 수 있다. ② 해양수산부장관은 해사 사이버 공격ㆍ위협에 효과적으로 대응하기 위하여 선박운항과 관련한 종사자가 참여하는 훈련을 실시할 수 있다. 제7조(기관 간 협력체계 구축) 해양수산부장관은 해사 사이버안전 관리업무 수행을 위하여 필요한 경우에는 관계 중앙행정기관, 지방자치단체, 「고등교육법」에 따른 대학, 「공공기관의 운영에 관한 법률」에 따른 공공기관, 「해상교통안전법」 제50조제1항에 따른 정부대행기관 등과 협력체계를 구축할 수 있다. 제8조(해사 사이버안전 관리의 기능적 요소) ① 효과적인 해사 사이버안전 관리절차 수립ㆍ이행 등을 위해 고려해야 할 기능적 요소는 다음 각 호와 같다. 1. 식별: 해사 사이버안전 관리를 위한 인적자원의 역할 및 책임을 정의하고, 해사 사이버 공격ㆍ위협으로 선박운항에 위험을 줄 수 있는 시스템, 자산, 데이터 및 기능을 확인 2. 보호: 해사 사이버 공격ㆍ위협으로부터 선박운항시스템을 보호하고, 위험 통제절차와 방안, 해사 사이버 사고에 대비한 비상계획을 구현 3. 탐지: 해사 사이버 사고를 알아내는데 필요한 활동을 개발하고 구현 4. 대응: 해사 사이버 사고로 인해 손상된 선박운항 및 서비스에 필요한 시스템을 복원하기 위한 활동과 계획을 개발하고 구현 5. 복구: 해사 사이버 사고로 영향을 받은 선박운항시스템을 백업(backup)하고 복원하는 조치 ② 선박소유자는 해사 사이버안전 관리의 기능적 요소들을 해사 사이버안전 관리체계에 연속적으로 적절하게 통합되도록 관리해야 한다. 제9조(해사 사이버안전 관리조직 수준) 선박소유자가 해사 사이버안전 조직을 구성하는 경우에는 사업장의 모든 직원과 선박의 선원까지 관리조직의 모든 수준을 고려해야 한다. 제10조(해사 사이버안전 확보를 위한 자산관리) ① 선박소유자는 효과적인 해사 사이버안전 관리를 위해서 취약시스템을 분별하여 알아보고, 목록 작성 등 자산관리를 위한 조치를 할 수 있다. ② 선박의 주요한 취약시스템에는 선교(船橋) 시스템, 화물 취급 및 관리 시스템, 추진 및 기관관리 시스템, 동력제어 시스템, 접근통제 시스템, 여객 서비스 및 관리 시스템, 여객 공공 네트워크, 행정, 승무원 복지 시스템, 통신 시스템 등이 있다. 제11조(해사 사이버안전 확보를 위한 업무분장) 선박소유자는 효과적인 해사 사이버안전 관리체계 운영을 위해 선박 및 사업장의 특성에 따라 해사 사이버안전 관리업무를 분별하여 알아본 후 업무총괄자와 담당자를 지정하고, 업무담당자들의 책임과 의무 등의 내용을 문서화할 수 있다. 제12조(해사 사이버안전 위험성 평가 등) ① 선박소유자가 해사 사이버 위험성을 평가하는 경우에는 주요 시스템에 대한 위협을 분별하여 알아보고, 해사 사이버 공격ㆍ위협의 발생빈도와 해사 사이버 공격ㆍ위협으로 인한 영향을 결합하여 위험성 수준을 결정할 수 있으며, 위험성 평가절차는 별표 1과 같다. ② 위험성을 평가하는 경우에는 해사 사이버 공격ㆍ위협의 종류는 의도된 행동(표적공격)과 의도되지 않은 행동(비표적공격)으로 구분할 수 있다. ③ 선박소유자가 해사 사이버안전 관리체계를 구축하는 경우에는 위험성 평가를 통해 확인된 위험성의 감소방안을 포함하도록 고려해야 한다. 이 경우 감소방안은 발생빈도를 줄이는 방안과 영향을 최소화하는 방안으로 구분할 수 있다. 제13조(해사 사이버안전 확보를 위한 보호조치) ① 선박소유자가 해사 사이버안전 관리체계를 구축하는 경우에는 선박운항시스템 등 주요 자산에 대한 보호조치를 고려해야 한다. ② 제1항에 따른 보호조치에는 사용자 계정 관리, 인증 및 접근통제 조치, 해사 사이버안전 인식제고 교육, 해사 사이버안전 자산의 유지보수 등이 있다. ③ 주요 자산에 대한 보호방안을 수립하는 경우에는 기술적 보안, 물리적 보안, 관리적 보안 방안으로 구분하여 수립할 수 있다. 제14조(해사 사이버안전 확보를 위한 탐지조치) 선박소유자가 해사 사이버안전 관리체계를 구축하는 경우에는 선박운항시스템 등 주요 자산의 위험성 수준에 따른 적절한 탐지조치를 고려해야 한다. 제15조(해사 사이버안전 확보를 위한 대응조치) ① 선박소유자가 해사 사이버안전 관리체계를 구축하는 경우에는 해사 사이버 사고 대응을 위한 조치를 고려해야 한다. ② 제1항에 따른 대응조치에는 다음 각 호의 사항을 포함할 수 있다. 1. 해사 사이버 공격ㆍ위협에 대한 대응계획 또는 절차 2. 대응활동을 위한 내부 및 외부 소통ㆍ협력체계 3. 탐지ㆍ대응 활동 결과에 따른 조직 대응활동 개선조치 제16조(해사 사이버안전 확보를 위한 복구조치) ① 선박소유자가 해사 사이버안전 관리체계를 구축하는 경우에는 해사 사이버 공격ㆍ위협의 영향을 신속하게 복구하기 위한 조치를 고려해야 한다. ② 제1항에 따른 복구조치에는 다음 각 호의 사항을 포함할 수 있다. 1. 해사 사이버 공격ㆍ위협의 영향을 받는 시스템 또는 자산의 복구를 위한 비상계획 또는 절차 2. 복구활동을 위한 내부 및 외부 소통ㆍ협력체계 3. 복구활동 결과에 따른 복구계획 및 절차 개선 제17조(사고통보 및 조사) ① 해사 사이버 공격ㆍ위협으로 인한 선박 운항불가 등 해양사고가 발생하거나 발생할 우려가 있는 경우에 선박소유자 등은 피해를 최소화하는 조치 후 그 사실을 지체 없이 별표 2에 따라 해양수산부장관에게 통보해야 한다. ② 해양수산부장관이 제1항에 따라 사고를 통보받은 경우에는 그 내용 등을 별표 2에 따라 관련 부서ㆍ기관 등에 전파ㆍ보고하고, 사고 대응 및 복구지원 조치 등을 할 수 있다. ③ 해양수산부장관은 해사 사이버 공격ㆍ위협으로 선박 운항불가 등의 피해가 발생한 사고에 대하여 필요한 경우에는 원인분석 및 피해 내용 확인 등을 위한 조사를 실시할 수 있다. ④ 해양수산부장관은 해사 사이버 공격ㆍ위협으로 인해 운항이 불가한 선박이 다른 선박의 항행안전을 방해할 우려가 있거나 다른 선박에 비슷한 해사 사이버 공격ㆍ위협 우려가 있는 경우에는 사고정보 등을 다른 선박과 사업장에 알려줄 수 있다. 제18조(국제표준 및 산업표준의 활용) ① 선박소유자가 해사 사이버안전 관리체계를 구축하는 경우에는 이 지침 이외에 국제표준 및 산업표준의 요구사항을 활용할 수 있다. ② 제1항에 따른 국제표준 및 산업표준에는 다음 각 호의 지침 등이 포함될 수 있다. 1. 국제해사기구(IMO)의 「해상 사이버 위험관리 지침」(「GUIDELINES ON MARITIME CYBER RISK MANAGEMENT, MSC-FAL.1/Circ.3」) 2. 국제해운회의소(ICS), 국제해상보험연합(IUMI), 발틱국제해사협의회(BIMCO), 국제정유사해운포럼(OCIMF), 국제탱커선주협회(INTERTANKO), 국제건화물선주협회(INTERCARGO), 국제선박관리자협회(InterManager), 세계선사협의회(WSC) 및 슈퍼요트조선협회(SYBAss) 등에서 제작 및 배포하는 선상 사이버 보안지침 3. 사이버 복원에 대한 통합 국제선급협회(IACS) 권장사항 4. 국제표준화기구(ISO)와 국제전기기술위원회(IEC)가 공동 발행한 정보기술에 대한 ISO/IEC 27001 표준 5. 미국 국립표준기술연구소(National Institute of Standards and Technology)의 중요 기반 사이버 보안 개선을 위한 체제 ③ 제2항의 국제표준 및 산업표준이 개정된 경우에는 개정된 기준을 적용할 수 있다. 다만, 해당 국제표준 및 산업표준이 폐지된 경우에는 대체기준 등을 적용할 수 있다. 제19조(재검토기한) 해양수산부장관은 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 이 고시에 대하여 2024년 1월 1일 기준으로 매 3년이 되는 시점(매 3년째의 12월 31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 해야 한다.