국토교통부 소관 주요정보통신기반시설 보호지침

제1장 총 칙 제1조(목적) 이 지침은 「정보통신기반 보호법」제10조에 따라 국토교통부장관이 관할하는 주요정보통신기반시설을 각종 전자적 침해행위로부터 보호하기 위하여 해당 주요정보통신기반시설 관리기관의 장이 준수하여야 할 정보보호에 관한 구체적 사항을 정함을 목적으로 한다. 제2조(정의) 이 지침에서 사용하는 용어의 정의는 다음과 같다. 1. "보호대책"이란 「정보통신기반 보호법」(이하 "법"이라 한다) 제8조에 따라 지정된 주요정보통신기반시설의 관리기관의 장(이하 "관리기관의 장"이라 한다)이 법 제5조제1항에 따라 소관 주요정보통신기반시설 및 관리 정보를 안전하게 보호하기 위한 예방, 백업, 복구 등 물리적ㆍ기술적 대책을 포함하여 수립한 관리대책을 말한다. 2. "보호계획"이란 국토교통부장관(이하 "장관"이라 한다)이 법 제5조제2항에 따라 주요정보통신기반시설 관리기관의 장으로부터 제출받은 보호대책을 종합ㆍ조정하여 소관 주요정보통신기반시설에 대해 수립한 보호계획을 말한다. 3. "전담인력"이란 주요정보통신기반시설 운용현장의 보안업무를 담당하는 자를 말한다. 4. "업무종사자"란 주요정보통신기반시설을 운용ㆍ관리하는 업무와 관련된 임직원(계약직을 포함한다) 및 유지보수 수행에 참여하는 종사자를 말한다. 제3조(적용범위) 이 지침은 주요정보통신기반시설 관리기관과 업무종사자에 적용한다. 제2장 주요정보통신기반시설의 보호체계 제4조(정보보호책임관 지정) ① 장관은 정책기획관을 법 제6조제5항에 따라 소관분야 주요정보통신기반시설의 보호에 관한 업무를 총괄하는 자(이하 "정보보호책임관"이라 한다)로 지정한다. ② 정보보호책임관이 총괄하는 업무는 다음 각 호와 같다. 1. 주요정보통신기반시설 보호계획의 수립ㆍ시행 2. 주요정보통신기반시설의 지정 및 지정취소 3. 주요정보통신기반시설 보호지침의 제정ㆍ수정 및 보완 4. 침해사고의 피해확산 방지와 신속한 대응을 위하여 필요한 조치 5. 피해복구 지원 및 피해확산 방지에 필요한 조치 6. 그 밖에 다른 법령에 규정된 주요정보통신기반시설의 보호업무에 관한 사항 ③ 정보보호담당관은 정보보호책임관의 업무를 지원한다. 제5조(정보보호책임자의 지정) ① 관리기관의 장은 법 제5조제4항에 따라 소관 주요정보통신기반시설의 보호 업무를 담당하는 4급ㆍ4급상당 공무원, 5급ㆍ5급상당 공무원 또는 임원급 관리ㆍ운영자를 정보보호책임자로 지정하여야 한다. ② 정보보호책임자가 총괄하는 업무는 다음 각 호와 같다. 1. 주요정보통신기반시설 보호대책의 수립ㆍ시행 2. 주요정보통신기반시설 보호업무에 대한 기술적 지원의 요청 3. 취약점 분석ㆍ평가 및 전담반 구성 4. 주요정보통신기반시설의 보호에 필요한 조치 명령의 이행 5. 침해사고의 통지 6. 주요정보통신기반시설의 복구 및 보호에 필요한 조치 7. 주요정보통신기반시설 지정범위의 적정성 여부 검토 8. 주요정보통신기반시설의 보호에 필요한 예산 및 자산 확보 9. 그 밖에 다른 법령에 규정된 주요정보통신기반시설의 보호업무에 관한 사항 ③ 관리기관의 장은 정보보호책임자를 지정 또는 변경한 때에는 장관에게 통지하여야 한다. ④ 정보보호책임자는 소관 주요정보통신기반시설의 보호를 위하여 정보보호책임관과 긴밀히 협조하여야 한다. ⑤ 관리기관의 장은 제1항의 정보보호책임자를 지정할 경우 제9조제2항에 따라 수립하는 자체 보호지침에 정보보호책임자의 권한과 책임을 명시하여야 한다. 제6조(정보보호실무책임자 지정) ① 관리기관의 장은 효율적인 보안업무 수행을 위해 소관 주요정보통신기반시설을 운용하는 부서(팀)의 장을 정보보호실무책임자로 지정할 수 있다. 다만, 주요정보통신기반시설이 하나인 관리기관은 정보보호책임자가 정보보호실무책임자를 겸할 수 있다. ② 정보보호실무책임자가 수행하는 업무는 다음 각 호와 같다. 1. 소관 주요정보통신기반시설에 대한 차년도 보호대책 수립 의견 제출 2. 소관 주요정보통신기반시설의 당해년도 보호대책 추진과제에 대한 조치 및 추진실적의 제출 3. 소관 주요정보통신기반시설의 취약점에 대한 조치 및 결과의 제출 4. 소관 주요정보통신기반시설에 대한 보안정책의 적용ㆍ관리, 보안점검 및 조치, 용역업체 보안관리 수행 5. 이 외에 주요정보통신기반시설 보호를 위하여 정보보호책임자가 협조 요청한 사항 등 제7조(전담조직 구성) ① 관리기관의 장은 소관 주요정보통신기반시설의 보안업무를 총괄하는 전담조직을 구성하여 직제에 반영할 수 있다. ② 관리기관의 장은 주요정보통신기반시설의 전담조직이 직무를 원활히 수행할 수 있도록 「공공분야 주요정보통신주요정보통신기반시설 보호대책 이행여부 확인 해설서」(이하 "해설서"라 한다)에 따른 국가정보원 권고 수준의 전담인력과 예산을 확보할 수 있도록 노력하여야 한다. 제8조(협의회 구성ㆍ운영) ① 장관은 주요정보통신기반시설의 보호와 관련된 다음 각 호의 사항을 협의하기 위하여 국토교통 정보통신기반 보호협의회(이하 "협의회"라 한다)를 구성ㆍ운영할 수 있다. 1. 주요정보통신기반시설의 지정 및 취소, 지정 범위 조정 2. 주요정보통신기반시설의 보호계획 및 보호대책 검토 3. 주요정보통신기반시설 보호대책 이행점검 및 보호조치 명령 4. 그 밖에 주요정보통신기반시설 보호와 관련하여 협의가 필요한 사항 ② 협의회의 장은 정보보호책임관으로 하고, 간사는 정보보호담당관으로 하며 위원은 관리기관의 정보보호책임자로 한다. 다만 협의회의 장이 필요하다고 인정하는 경우는 외부 정보보호전문가를 위원으로 위촉할 수 있다. 제9조(보호지침의 수립) ① 관리기관의 장은 법 제10조에 따라 장관이 수립한 주요정보통신기반시설 보호지침(이하 "보호지침"이라 한다)을 준수하여야 한다. ② 관리기관의 장은 소관 주요정보통신기반시설의 특성 및 제어ㆍ정보시스템 운영환경 등을 고려하여 자체 보호지침을 수립하고, 이를 준수하여야 한다. ③ 관리기관은 제2항에 따른 자체 보호지침을 수립하거나 개정할 때에는 기관장의 결재를 받아야 하며, 관계법령, 보호지침, 보안 가이드라인 등의 변경사항이 반영되도록 자체 보호지침을 최신화하여야 한다. 제10조(주요정보통신기반시설 지정 등) ① 장관은 법 제8조제1항에 따라 소관분야의 정보통신기반시설 중 다음 각 호의 사항을 고려하여 전자적 침해행위로부터의 보호가 필요하다고 인정되는 정보통신기반시설을 주요정보통신기반시설로 지정할 수 있다. 1. 해당 정보통신기반시설을 관리하는 기관이 수행하는 업무의 국가 사회적 중요성 2. 제1호에 따른 기관이 수행하는 업무의 주요정보통신기반시설에 대한 의존도 3. 다른 주요정보통신기반시설과의 상호연계성 4. 침해사고가 발생할 경우 국가안전보장과 경제사회에 미치는 피해규모 및 범위 5. 침해사고의 발생가능성 또는 그 복구의 용이성 ② 장관은 제1항의 각 호를 고려하여 소관 분야 정보통신기반시설을 대상으로 주요정보통신기반시설 지정을 위한 전수조사를 실시할 수 있다. ③ 장관이 주요정보통신기반시설 지정여부를 결정하기 위해 해당 관리기관에 필요한 자료를 요구하는 경우 해당 관리기관은 협조하여야 한다. ④ 장관은 관리기관이 해당업무를 폐지ㆍ정지 또는 변경하는 경우에는 직권 또는 해당 관리기관의 신청에 의하여 주요정보통신기반시설의 지정을 취소할 수 있다. ⑤ 장관은 제1항 및 제4항에 따라 지정 또는 지정 취소를 하고자 하는 경우에는 법 제3조의 정보통신기반보호위원회(이하 "위원회"라 한다)의 심의를 받아야 한다. 이 경우 위원회는 지정 또는 지정 취소의 대상이 되는 관리기관의 장을 위원회에 출석하게 하여 그 의견을 들을 수 있다. ⑥ 장관은 제1항 및 제4항에 따라 주요정보통신기반시설을 지정 또는 지정 취소한 때에는 이를 고시하여야 한다. 다만, 국가안전보장을 위하여 필요한 경우에는 위원회의 심의를 받아 이를 고시하지 아니할 수 있다. ⑦ 관리기관의 장은 제1항에 따라 지정된 소관 주요정보통신기반시설에 대해 별지 제1호서식에 따라 자산관리대장을 작성하고, 정확성 및 최신성이 유지될 수 있도록 관리하여야 한다. ⑧ 그 밖에 주요정보통신기반시설 지정과 관련된 세부적인 사항은 국가정보원ㆍ과학기술정보통신부에서 발행ㆍ배포하는 「주요정보통신기반시설 지정ㆍ평가기준 가이드라인」을 따른다. 제3장 취약점 분석ㆍ평가 및 보호대책 수립 제11조(취약점 분석ㆍ평가) ① 관리기관의 장은 법 제9조에 따라 소관 주요정보통신기반시설에 대한 취약점 분석ㆍ평가를 매년 실시하여야 한다. ② 관리기관의 장은 제1항에도 불구하고 소관 정보통신기반시설이 주요정보통신기반시설로 새로이 지정된 경우에는 6개월 이내에 취약점 분석ㆍ평가를 실시하여야 한다. 다만, 관리기관의 장은 주요정보통신기반시설 지정 후 6개월 이내에 취약점 분석ㆍ평가를 시행하지 못할 특별한 사유가 있는 경우에는 장관의 승인을 받아 지정 후 9개월 이내에 실시하여야 한다. ③ 장관은 다음 각 호의 어느 하나에 해당하는 경우 관리기관의 장에게 주요정보통신기반시설의 취약점을 분석ㆍ평가하도록 명령할 수 있다. 1. 새로운 형태의 전자적 침해행위로부터 주요정보통신기반시설을 보호하기 위하여 필요한 경우 2. 주요정보통신기반시설에 중대한 변화가 발생하여 별도의 취약점 분석ㆍ평가가 필요한 경우 ④ 관리기관의 장은 취약점을 분석ㆍ평가하려는 경우에는 법 제9조제3항에 따라 취약점을 분석ㆍ평가하는 전담반을 구성하여야 한다. ⑤ 관리기관의 장은 제1항에서 제3항에 따라 취약점을 분석ㆍ평가하려는 경우에는 다음 각 호의 하나에 해당하는 기관으로 하여금 소관 주요정보통신기반시설의 취약점을 분석ㆍ평가하게 할 수 있다. 다만, 이 경우 제4항에 따른 전담반을 구성하지 않을 수 있다. 1. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제52조의 규정에 의한 한국인터넷진흥원 2. 법 시행령 제19조제1항이 정하는 기준을 충족하는 정보공유ㆍ분석센터 3. 「정보보호산업의 진흥에 관한 법률」 제23조에 따라 지정된 정보보호 전문서비스 기업 4. 「과학기술분야 정부출연연구기관 등의 설립ㆍ운영 및 육성에 관한 법률」 제8조의 규정에 의한 한국전자통신연구원 ⑥ 관리기관의 장이 취약점 분석ㆍ평가를 실시하는 경우에는 취약점 분석ㆍ평가의 범위, 항목, 방법 및 절차 등에 관한 구체적인 사항은 법 제9조제5항에 따라 과학기술정보통신부에서 고시한 「주요정보통신기반시설 취약점 분석ㆍ평가 기준」을 따른다. 제12조(취약점 보완조치) ① 관리기관의 장은 제11조에 따른 취약점 분석ㆍ평가결과를 반영하여 적극적으로 취약사항을 보완ㆍ조치하여야 한다. ② 관리기관의 장은 취약사항에 대하여 조치가 불가능한 경우에는 제작사 권고문 또는 그에 상응하는 증빙자료 등을 보관하고, 보안대책을 마련ㆍ시행하여야 한다. 제13조(보호대책 수립 및 이행) ① 관리기관의 장은 법 제5조제1항에 따라 보호대책을 수립하여 매년 8월 말일까지 장관에게 제출하여야 한다. ② 관리기관의 장은 법 제9조에 따라 실시한 취약점 분석ㆍ평가의 결과를 반영하여 보호대책을 수립하여야 한다. 다만, 관리기관의 장은 제14조제1항에 따른 자체 점검을 실시한 경우에는 그 실시한 결과를 함께 반영할 수 있다. ③ 관리기관의 장은 제1항의 보호대책에 해당 주요정보통신기반시설의 보안강화를 위한 실효성 있는 추진과제를 포함하여야 하며, 반드시 이를 이행하여야 한다. ④ 장관은 제1항의 보호대책을 검토하기 위하여 관리기관의 장에게 취약점 분석ㆍ평가 결과를 함께 제출하도록 할 수 있다. ⑤ 장관은 취약점 분석ㆍ평가 결과 등에 따라 필요한 경우 관리기관의 장에게 보호대책을 보완하도록 요청할 수 있다. 제14조(보호대책 이행점검) ① 장관은 관리기관을 대상으로 보호대책에 대한 이행점검을 실시할 수 있으며 필요시 관리기관으로 하여금 자체 이행점검 후 그 결과를 제출하도록 할 수 있다. ② 장관은 보호대책 이행점검 실시 결과, 보완이 필요하다고 판단되는 관리기관에 대하여 개선을 권고할 수 있다. 제15조(보호조치 명령) ① 장관은 법 제11조에 따라 다음 각 호의 어느 하나에 해당하는 경우 해당 관리기관의 장에게 주요정보통신기반시설의 보호에 필요한 조치를 하도록 명령할 수 있다. 1. 제13조제1항에 따라 제출받은 주요정보통신기반시설 보호대책을 분석하여 별도의 보호조치가 필요하다고 인정하는 경우 2. 제14조제1항에 따라 주요정보통신기반시설 보호대책의 이행 여부를 분석하여 별도의 보호조치가 필요하다고 인정하는 경우 제4장 침해사고 예방 및 대응ㆍ복구 제16조(침해사고 예방대책 수립) 관리기관의 장은 소관 주요정보통신기반시설을 보호하기 위하여 침해사고 예방대책을 수립할 때에는 다음 각 호의 사항을 반영하여야 한다. 1. 시스템ㆍ네트워크 관리 및 보호에 관한 대책 2. 정보보호시스템 설치ㆍ운용에 관한 대책 3. 백업ㆍ복구 대책 4. 악성코드 방지 대책 5. 접근통제에 관한 대책 6. 그 밖에 소관 주요정보통신기반시설의 침해사고 예방을 위해 필요한 사항 제17조(침해사고 연락체계의 구축) 관리기관의 장은 소관 주요정보통신기반시설에 대한 전자적 침해사고가 발생한 경우 신속히 대응하고 관계기관에 알리기 위하여 필요한 연락체계를 구축하여야 한다. 이 경우연락체계에는 국가정보원, 국토교통부, 수사기관 또는 한국인터넷진흥원 등을 포함하여야 한다. 제18조(침해사고의 통지) ① 관리기관의 업무종사자는 전자적 침해사고의 징후가 있거나 전자적 침해사고의 발생을 인지한 때에는 이를 즉시 정보보호책임자에게 보고하여야 한다. ② 정보보호책임자는 소관 주요정보통신기반시설에 대한 전자적 침해사고의 발생ㆍ징후를 인지하거나 제1항에 따라 보고를 받은 때에는 국가정보원, 국토교통부, 수사기관 및 한국인터넷진흥원에 그 사실을 즉시 통지하고 필요한 응급조치를 하여야 한다. ③ 정보보호책임자는 제2항에 따른 침해사고를 통지할 경우 별지 제2호서식을 작성하여 제출하여야 한다. 제19조(침해사고 대응ㆍ복구대책) ① 관리기관의 장은 소관 주요정보통신기반시설에 대한 침해사고가 발생한 때에는 침해사고대응반을 구성하여 해당 주요정보통신기반시설의 대응 및 복구에 필요한 조치를 신속히 취하여야 한다. ② 관리기관의 장은 제1항에 따른 복구 및 보호조치를 위하여 필요한 경우 장관 또는 한국인터넷진흥원의 장에게 지원을 요청할 수 있다. 다만, 법 제7조제2항에 해당하는 경우에는 국가정보원장에게 그 지원을 우선적으로 요청하여야 한다. ③ 관리기관의 장은 전자적 침해사고 발생에 따른 침해사고 대응ㆍ복구대책을 수립하는 경우에는 다음 각 호의 사항을 반영하여야 한다. 1. 침해사고 정의 및 범위 2. 침해사고 대응ㆍ복구절차 및 방법 3. 침해사고 발생 시 응급조치사항 4. 침해사고 복구 장비 및 자원 조달 5. 업무종사자별 주요임무 및 역할 6. 관계기관 연락망(유지보수 업체 포함) 7. 그 밖에 소관 주요정보통신기반시설의 침해사고 대응조치를 위해 필요한 사항 제20조(침해사고 재발방지대책) 관리기관의 장은 침해사고가 발생한 때에는 유사한 사고가 발생되지 않도록 지체없이 재발방지대책을 수립하여야 하며, 이를 장관에게 보고하여야 한다. 제5장 주요정보통신기반시설의 보호체계 강화 등 제21조(교육의 실시) ① 관리기관의 장은 전담인력의 전문성 제고를 위해 해설서에 따른 국가정보원 권고수준의 외부 전문기관 교육을 이수하도록 하여야 한다. ② 관리기관의 장은 주요정보통신기반시설의 보호를 위한 절차ㆍ방법 및 전담인력 변경, 신규 장비 도입 등이 있을 경우 자체적으로 교육을 실시하여 주요정보통신기반시설의 안정적 운영에 차질이 없도록 하여야 한다. 제22조(훈련의 실시) ① 관리기관의 장은 업무종사자가 제19조에 따른 침해사고 대응ㆍ복구에 관한 절차 및 방법을 정확하고 자세하게 알 수 있도록 필요한 훈련을 정기적으로 실시하여야 한다. 이 경우 관리기관의 장이 필요하다고 인정하는 때에는 다른 관리기관과 공동으로 훈련을 실시할 수 있다. ② 관리기관의 장은 대응ㆍ복구훈련을 실시한 결과를 반영하여 필요 시 대응ㆍ복구 절차 및 방법을 수정ㆍ보완하여야 한다. 제23조(외주 용역사업 보안관리) ① 관리기관의 장은 주요정보통신기반시설 관련 사업 및 보안컨설팅 수행 등 외주 용역사업을 계약하거나 종료할 때에는 각각 보안서약서와 보안확약서를 제출받고 다음 각 호의 사항을 계약서에 명시하여야 한다. 1. 중요 정보 취급에 대한 비밀 유지 서약 2. 용역업체가 준수해야 할 보안준수 사항 및 위반 시 손해배상 책임 3. 누출금지 대상정보 및 부정당업자의 제재조치 4. 시스템 접근 권한에 대한 승인 절차 준수 5. 참여인력의 임의교체 금지 6. 보안관리에 대한 감사 권한 등 ② 관리기관의 장은 용역업체의 전산망을 주요정보통신기반시설망 및 기관 업무망과 분리 구성하여야 하며 용업업체 직원이 사용하는 PC는 인터넷 연결을 금지하여야 한다. 다만, 인터넷 연결이 필요한 경우에는 별도의 PC를 지정하여 제한적으로 이용하도록 관리기관이 통제하여야 한다. ③ 관리기관의 장은 용역업체 직원의 계정을 개인별로 부여하고 계정별로 시스템 접근권한을 차등 부여하여야 한다. ④ 관리기관의 장은 주요정보통신기반시설 관련 용역사업에 대해 분기별 보안점검을 실시하고 용역사업 참여업체 직원을 대상으로 분기별 보안교육을 실시하여야 한다. 제24조(업무종사자의 준수사항) 관리기관의 장은 업무종사자가 다음 각 호의 사항을 준수하도록 하여야 한다. 1. 주요정보통신기반시설의 보호책임에 관한 사항 2. 비밀유지 및 비밀서약에 관한 사항 3. 주요정보통신기반시설 보호관련 법령 및 지침 등의 준수에 관한 사항 제25조(비밀유지의무) 관리기관의 장은 소관 주요정보통신기반시설의 운용ㆍ관리 또는 취약점 분석ㆍ평가 등 보호에 관한 업무를 전문기관 또는 업체에 위탁하는 경우에는 해당 기관 또는 업체의 업무종사자에게 법 제27조에 따른 비밀유지의무를 준수하도록 필요한 조치를 하여야 한다. 제26조(관리기관간 협조) 관리기관의 장은 소관 주요정보통신기반시설의 보호를 위하여 국토교통부 소관 다른 관리기관과 다음 각 호의 사항에 관하여 상호 협조할 수 있다. 1. 주요정보통신기반시설의 보호와 관련된 정보의 공유 2. 침해사고 예방 및 대응ㆍ복구를 위한 상호협력 및 지원 3. 취약점 및 침해요인과 관련된 정보의 공유 4. 그 밖에 소관 주요정보통신기반시설의 보호를 위하여 상호협력이 필요한 사항 제27조(다른 규정과의 관계) 관리기관의 장은 주요정보통신기반시설 보호업무를 수행하면서 이 지침에서 구체적으로 정하지 않은 사항에 관해서는 다음 각 호의 규정 및 지침 등을 따른다. 1. 「정보통신기반 보호법」 및 같은 법 시행령 2. 「전자정부법」 및 같은 법 시행령 3. 「보안업무규정」 4. 「국가 정보보안 기본지침」 5. 「국가사이버안전관리규정」 6. 「국토교통부 정보보안업무규정」 7. 해당 연도의 「주요정보통신기반시설 보호계획ㆍ대책 수립지침」 8. 그 밖에 정보보호관련 법령 및 지침ㆍ가이드ㆍ매뉴얼 제28조(재검토기한) 장관은 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 이 훈령에 대하여 2025년 7월 1일을 기준으로 매 3년이 되는 시점(매 3년째의 6월 30일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 해야 한다.