해양경찰청 정보보안업무 세부시행규칙

제1장 총칙 제1조(목적) 이 규칙은 「국가 정보보안 기본지침」에 따라 정보통신 보안업무수행에 필요한 세부사항을 규정함을 목적으로 한다. 제2조(정의) 이 규칙에서 사용하는 용어의 뜻은 다음과 같다. 1. "정보보안"이란 정보통신망 및 정보시스템을 통해 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송신ㆍ수신되는 정보의 유출ㆍ위조ㆍ변조ㆍ훼손 등을 방지하기 위해 관리적ㆍ물리적ㆍ기술적 수단을 마련하는 모든 행위로서 다음 각 목의 사항을 포함한다. 가. 「국가정보원법」 제4조제1항제4호에 따른 사이버공격 및 위협에 대한 예방 및 대응 나. 「전자정부법」 제56조에 따른 정보통신망과 행정정보 등의 보안 다. 「정보통신기반 보호법 시행령」 제5조제4항제1호 각 목에 해당하는 주요정보통신기반시설의 보호 라. 「공공기록물 관리에 관한 법률 시행령」 제5조에 따른 전자기록물의 보안 마. 「국가사이버안전관리규정」 제2조제3호에 따른 사이버안전 2. "소속기관"이란 「해양경찰청과 그 소속기관 직제」 제2조에 따른 소속기관을 말한다. 3. "정보통신망"이란 「전기통신사업법」 제2조제2호에 따른 전기통신설비를 이용하거나 전기통신설비와 컴퓨터 및 컴퓨터의 이용기술을 활용하여 정보를 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송신 또는 수신하는 정보통신체계를 말한다. 4. "정보시스템"이란 정보의 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송신ㆍ수신 및 그 활용과 관련되는 기기와 소프트웨어의 조직화된 체계(PCㆍ서버ㆍ네트워크장비ㆍ정보통신기기 등을 포함한다)를 말한다. 5. 삭제 6. "정보화사업"이란 정보통신망 또는 정보시스템을 기획ㆍ구축ㆍ운영ㆍ유지관리하거나 정보시스템감리, 전자정부사업관리의 위탁 등을 하기 위한 사업을 말한다. 7. "정보보안담당관"이란 해양경찰청 또는 소속기관의 정보보안업무를 총괄하는 사람을 말한다. 8. "정보화사업담당관"이란 정보화사업을 담당하는 부서의 장을 말한다. 9. "정보통신실"이란 서버ㆍ스위치ㆍ라우터ㆍ교환기 등 전산 및 통신장비 등이 설치ㆍ운용되는 장소 또는 전산실ㆍ통신실ㆍ데이터센터 등을 말한다. 10. "사이버공격"이란 「사이버안보 업무규정」 제2조제2호에 따른 행위를 말한다. 11. "암호자재"란 비밀의 보호 및 정보통신 보안을 위하여 사용되는 암호기술이 적용된 장치나 수단으로서 Ⅰ급, Ⅱ급 및 Ⅲ급 비밀 소통용 암호자재로 구분되는 장치나 수단을 말한다. 12. "암호장비"란 암호자재 중에서 국가정보원장이 승인하여 개발ㆍ제작ㆍ보급되는 암호자재를 말한다. 13. "사이버보안관제센터"란 일정한 수준의 시설 및 장비와 이를 운영하기 위한 전담인력을 갖추고 보안관제업무를 수행하는 조직을 말한다. 제3조(책무) 해양경찰청 및 소속기관의 장은 국가안보 및 국가이익 관련 정보(업무자료를 포함한다. 이하 같다)와 정보통신망을 보호하기 위해 보안대책을 수립ㆍ시행해야 하며, 해당 기관의 정보보안에 대한 책임을 진다. 제4조(적용범위) 이 규칙은 해양경찰청과 그 소속기관(이하 "각 기관"이라 한다)의 정보보안업무에 적용한다. 제5조(정보보안담당관 등 지정 및 임무) ① 각 기관의 장은 정보보안업무를 효율적이고 체계적으로 수행하기 위해 다음의 직위에 있는 사람을 정보보안담당관으로 임명한다. 1. 해양경찰청: 정보통신과장 2. 지방해양경찰청: 기획운영과장 3. 그 밖의 소속기관: 정보통신부서의 장 ② 각 기관의 장은 정보보안담당관이 직무를 효율적으로 수행할 수 있도록 적정인력을 분임정보보안담당관으로 임명해야 한다. 다만, 별도로 임명하지 아니할 경우 각 부서의 장을 분임정보보안담당관으로 임명한 것으로 본다. ③ 정보보안담당관 및 분임정보보안담당관은 부서의 정보보안업무를 효율적으로 수행하기 위해 부서원 중에서 정보보안업무 담당자를 지정할 수 있다. ④ 정보보안담당관의 임무는 다음 각 호와 같다. 1. 정보보안 정책 및 계획 수립ㆍ시행 2. 정보보안 관련 규정ㆍ지침 등 제정ㆍ개정 3. 정보보안 감사 및 지도ㆍ감독 4. 정보화사업 보안성 검토 및 보안적합성 검증 총괄 5. 정보보안 분야 보안심사위원회 운영 6. 정보통신실, 정보통신망 현황자료 등에 관한 보안관리 총괄 7. 사이버공격 대응훈련 및 정보보안 관리실태 평가 8. 정보보안 예산 및 전문인력 확보 9. 사이버공격 초동조치 및 대응ㆍ복구 10. 사이버위협정보 수집ㆍ분석 및 보안관제 11. 정보보안 사고조사 및 처리 12. 정보보안 교육 총괄 및 ‘사이버보안진단의 날’ 계획 수립ㆍ시행 13. 도청 관련 보안대책 수립ㆍ시행 14. 암호자재 및 암호키의 운용ㆍ보안관리 15. 주요정보통신기반시설 보호 16. 부서 분임정보보안담당관 업무 감독 17. 그 밖에 정보보안 관련 사항 제6조(연도 추진계획 수립) ① 해양경찰청장은 연도 정보보안업무 추진계획을 매년 1월 10일까지 수립해야 한다. ② 지방해양경찰청장은 소속기관에 대한 연도 정보보안업무 추진계획을 수립하고 매년 1월 20일까지 해양경찰청장에게 제출해야 한다. 제7조(정보보안 감사) ① 해양경찰청장과 지방해양경찰청장은 다음 각 호에 해당하는 부서 및 소속기관의 정보보안업무 및 활동을 조사ㆍ점검하기 위하여 연 1회 이상 정보보안 감사를 실시해야 한다. 1. 해양경찰청장: 해양경찰청 각 부서, 해양경찰교육원, 중앙해양특수구조단, 해양경찰정비창, 지방해양경찰청 2. 지방해양경찰청장: 소속 해양경찰서(서해5도 특별경비단을 포함한다. 이하 같다) ② 제1항에도 불구하고 해양경찰청장은 각 해양경찰서에 대한 정보보안 감사를 실시할 수 있다. ③ 각 기관의 정보보안담당관은 해당 기관의 부서 또는 소속기관을 대상으로 정보보안 지도점검을 실시할 수 있다. ④ 정보보안 감사 또는 지도점검은 제도적인 문제점 발굴에 중점을 두고 실시해야 하며 도출된 취약요인은 근본적인 개선대책을 수립해 조치해야 한다. 제8조(정보보안 관리실태 평가) 해양경찰청장은 「전자정부법」 제56조 및 같은 법 시행령 제68조 및 제69조, 「공공기록물 관리에 관한 법률 시행령」 제5조에 따른 보안대책의 이행정도 등을 국가정보원장이 매년 정하는 평가 기준에 따라 자체 평가를 실시하고 그 결과를 국가정보원장에게 통보해야 한다. 제9조(보안심사위원회 설치ㆍ기능) ① 정보보안업무의 효율적인 운영과 보안사항을 심의ㆍ의결하기 위해 각 기관장 소속으로 보안심사위원회(이하 "위원회"라 한다)를 둔다. ② 위원회는 다음 각 호의 사항을 심의한다. 1. 정보보안업무에 관한 규칙의 제정 및 개정에 관한 사항 2. 정보보안업무 기본계획의 심사 및 조정ㆍ통제에 관한 사항 3. 정보보안 사고 및 정보보안 관련 규정 위반자의 처리에 관한 사항 4. 그 밖에 위원장이 정보보안업무 수행상 필요하다고 인정한 사항 제10조(위원회의 구성) ① 각 기관별 위원회는 소속 정보보안담당관을 위원장으로 하고, 3인 이상 5명 이하의 계장급(함정장 또는 파출소장을 포함할 수 있다)을 위원으로 하며, 간사는 정보통신부서의 계장급으로 한다. 다만, 중앙해양특수구조단 위원회의 경우 해당 업무 담당자를 간사로 할 수 있다. ② 위원장은 위원회를 총괄하고, 위원장이 불가피한 사유로 직무를 수행할 수 없을 때에는 직제상 선임인 위원이 그 직무를 대행한다. 제11조(위원회의 운영) ① 각 기관의 부서장은 제9조제2항의 심의사항이 발생한 경우 별지 제1호서식의 심의요구서를 작성하여 정보통신부서에 제출해야 한다. ② 위원회는 출석회의(영상회의를 포함한다)를 원칙으로 한다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 서면으로 할 수 있다. 1. 안건의 내용이 경미한 경우 2. 긴급한 사유로 인하여 출석회의를 개최할 시간적 여유가 없는 경우 3. 천재지변이나 그 밖의 부득이한 사유로 인하여 출석회의를 위한 의사정족수를 채우기 어려운 경우 ③ 회의는 위원장을 포함한 재적위원 과반수의 출석으로 개회하고, 출석위원 과반수의 찬성으로 의결한다. ④ 위원회는 제1항에 따른 심의요구서를 받은 날로부터 20일 이내에 개최하여 의안을 심의해야 한다. 다만, 위원회 개최에 필요한 자료조사 등 부득이한 사유가 있는 경우에는 10일 이내의 범위에서 그 기간을 연장할 수 있다. ⑤ 간사는 위원회 개최 시 별지 제2호서식에 따라 회의록을 작성해야 한다. 다만, 서면으로 심의하는 경우에는 회의록 작성을 생략할 수 있다. ⑥ 간사는 위원회 심의 후 별지 제3호서식에 따라 심의결정서를 작성해야 하며, 그 결과를 심의요구서를 제출한 해당 부서의 장에게 통보해야 한다. ⑦ 심의요구서, 회의록 및 심의결정서는 부득이한 사유가 있는 경우 비밀로 작성할 수 있다. ⑧ 위원장은 필요한 경우 관계 공무원, 이해관계자, 외부 전문가 등을 출석시켜 의견을 들을 수 있다. ⑨ 위원회에 참여한 사람은 위원회 의안심의 과정 중에 알게 된 사항을 누설해서는 안 된다. 제12조(정보보안 교육) ① 정보보안담당관은 정보보안 교육의 효율성 향상을 위해 자체 실정에 맞는 정보보안 교육계획을 연 1회 이상 수립ㆍ시행해야 한다. ② 각 기관의 장은 정보보안 전담인력에 대한 전문기관 교육 및 기술 세미나 참석을 장려하는 등 업무 전문성을 향상하기 위해 노력해야 한다. 제13조(훈련 및 진단) ① 해양경찰청 정보보안담당관은 해양경찰청 정보통신망을 대상으로 매년 정기 또는 수시로 사이버공격 대응훈련을 실시해야 한다. ② 제1항에 따른 대응훈련은 「비상대비자원 관리법」 제14조에 따른 비상대비훈련과 함께 실시할 수 있다. ③ 해양경찰청 정보보안담당관은 정보통신망을 대상으로 취약점을 진단하는 제반활동(이하 "보안진단"이라 한다)을 매년 정기적으로 실시하고 관련예산 확보 등을 위해 노력해야 한다. 제14조(수준 평가) ① 각 기관의 장은 소속 공무원의 정보보안 수준 등을 평가해 성과평가와 근무성적에 반영할 수 있다. ② 각 기관의 장은 정보보안 수준 향상과 취약요소를 개선하기 위해 정보보안업무 우수기관ㆍ우수공무원을 지속적으로 발굴해야 한다. 제15조(사이버보안진단의 날) ① 각 기관의 장은 매월 셋째 수요일을 ‘사이버보안진단의 날’로 지정ㆍ시행해야 한다. 다만, 부득이한 사유로 해당 일에 시행하지 못하는 경우 같은 달 다른 날에 시행해야 한다. ② 정보보안담당관은 ‘사이버보안진단의 날’에 소관 정보통신망과 정보시스템의 악성코드 감염과 보안 취약점 등 종합적인 보안진단을 실시해야 한다. ③ 각 기관의 부서장은 ‘사이버보안진단의 날’에 PC보안 취약점 점검 프로그램을 실행해 안전성을 확인하고, 취약점이 발견될 경우 즉시 시정조치 해야 하며, 보유하고 있는 정보시스템과 보조기억매체에 대한 수량 및 작동상태를 점검해야 한다. 제16조(휴대용 저장매체 보안) ① 각 기관의 공무원이 휴대용 저장매체를 사용하려는 경우에는 소속 정보보안담당관의 승인을 받고, 매체제어시스템(PC에서 저장된 중요 자료의 외부유출을 방지하기 위해 휴대용 저장매체를 등록ㆍ관리할 수 있는 시스템)에 등록해야 한다. ② 휴대용 저장매체를 사용할 수 있는 업무의 범위는 다음 각 호와 같다. 1. 수사자료 수집 및 포렌식용 2. 외부 반출자료 제작용 3. 현장 증거수집ㆍ홍보영상 장비용 4. 교육자료 제작ㆍ저장용 5. 그 밖에 정보보안담당관이 필요하다고 판단하는 경우 제16조의2(저장매체 불용처리) ① 분임정보보안담당관은 정보시스템 또는 저장매체를 외부수리ㆍ교체ㆍ반납ㆍ양여ㆍ폐기ㆍ불용처리하고자 할 경우 저장매체에 저장된 자료가 외부에 유출되지 않도록 자료 삭제 등 보안조치를 실시해야 한다. 이 경우 정보시스템 관리자 및 개별사용자는 분임정보보안담당관과 미리 협의해야 한다. ② 제1항에 따른 저장매체 보안조치는 별표 2에 따른 기준 이상으로 실시한다. ③ 분임정보보안담당관은 정보시스템 불용처리 시 다음 각 호의 조치를 해야 한다. 1. 정보시스템에 저장된 자료 삭제 여부 확인 2. 정보시스템 저장자료 삭제를 외부업체에 의뢰할 경우 담당자가 입회하여 삭제 절차ㆍ방법 준수 여부 등 확인 및 감독 ④ 분임정보보안담당관은 휴대용 저장매체를 불용처리하거나 재사용하는 경우에는 그 사실을 관리대장에 기록하고 「휴대용 저장매체 불용처리 확인서」를 작성하여 정보보안담당관에게 제출해야 한다. 제16조의3(비인가 기기 통제) ① 각 기관의 공무원은 다음 각 호의 경우를 제외하고는 개인 소유의 정보통신기기를 소속된 기관으로 무단 반입ㆍ사용해서는 안 된다. 1. 보편적 통신 목적의 개인 소유 이동통신단말기(LTEㆍ5G 등 이동통신망 접속기능이 있는 휴대폰ㆍ태블릿ㆍ스마트워치) : 반입하여 개인 용도로만 사용. 이 경우 반입 장비를 도크스테이션(dock station)ㆍ마우스ㆍ모니터ㆍ키보드 등 PC와 유사하게 활용토록 하는 장치와의 연결 사용을 금한다. 2. 제1호를 제외한 정보통신기기 : 제1호에 따른 반입ㆍ사용만으로는 보편적 통신 곤란 등 특별한 사정이 있는 경우에 한하여 소속 부서의 분임정보보안담당관을 거쳐 정보보안담당관의 승인을 받아 반입 후 개인 용도로만 사용 ② 각 기관의 공무원은 제1항 각 호에 따라 반입한 개인 소유의 정보통신기기를 소속된 기관의 내부망 및 기관 인터넷망에 연결해서는 안 되며, 내부망 및 기관 인터넷망 정보시스템을 다른 정보통신망에 연결하는 수단으로 사용해서는 안 된다. 이 경우 분임정보보안담당관은 이에 대하여 분기 1회 이상 점검해야 한다. ③ 정보보안담당관은 개인 소유의 정보통신기기가 업무자료를 외부로 유출하는데 악용될 수 있거나 소속된 기관의 정보통신망 운영에 위해가 된다고 판단될 경우 반출ㆍ입 통제 및 기록 관리, 보안 소프트웨어의 설치 조건부 반입 등 보안대책을 수립ㆍ시행해야 한다. 제17조(보호지역 지정) 각 기관의 장은 「보안업무규정」 제34조에 따른 보호지역 중 다음 각 호의 장소를 통제구역으로 지정ㆍ운영해야 한다. 1. IT관제센터, IT관제실, ICT관제실, 통신망관리실 2. 사이버보안관제센터 3. 해상교통관제센터 정보통신실 4. 보안실(암호자재를 관리ㆍ운용ㆍ보관하기 위해 각 기관에 설치한 구역) 5. 그 밖에 각 기관의 장이 필요하다고 인정하는 정보통신실 제18조(정보보안 규정 위반자 처리) ① 정보보안 사고 유형에 따른 규정 위반자 처리기준은 별표 1과 같다. ② 해양경찰청 각 부서의 장 및 소속기관의 장은 국가안보 및 국가이익에 중대한 영향을 미칠 수 있다고 판단되는 보안규정 위반 사항이 발생한 경우에는 즉시 해양경찰청 정보보안담당관에게 통보해야 한다. ③ 정보보안담당관은 보안규정 위반사항을 적발한 경우 위원회 심의를 거쳐 감찰 부서에 관련자 징계를 요청할 수 있다. 다만, 위규에 의한 피해가 없거나 경미하고, 고의 또는 중과실이 아닌 사안에 대해서는 자체 시정조치로 갈음할 수 있다. 제2장 정보화사업 보안 제19조(보안책임) ① 정보화사업담당관은 해당 정보화사업에 대한 보안관리를 수행해야 한다. ② 정보보안담당관은 정보화사업에 대하여 제20조에 따른 보안대책의 적절성을 평가하고 정보화사업 수행 전반에 대한 보안대책 이행을 점검해 필요한 경우 정보화사업담당관에게 개선조치를 요구할 수 있다. ③ 정보화사업담당관은 제2항에 따른 개선조치 요구를 받은 날부터 10일 이내 조치계획을 정보보안담당관에게 제출해야 한다. ④ 정보화사업담당관 또는 정보시스템 운영부서의 장은 정보시스템 도입 시 담당자를 지정하고 정보시스템 도입 현황을 정보보안담당관에게 제출해야 한다. 제20조(보안대책 수립) 정보화사업담당관은 정보화사업 계획을 수립할 경우 국가정보원장이 정한 보안대책과 제안요청서 기재사항, 계약 특수조건을 포함한 보안대책을 수립ㆍ시행해야 한다. 제21조(보안성 검토) ① 정보화사업담당관은 정보화사업을 수행하고자 할 경우 보안대책의 적절성을 평가하기 위해 사업 계획단계(사업 공고 전)에서 보안성 검토 절차를 이행해야 한다. ② 제1항에 따른 보안성 검토 절차는 다음 각 호와 같다. 1. 국가정보원장이 지정한 정보화사업의 경우: 국가정보원장에게 검토 의뢰(해양경찰청 정보보안담당관 경유) 2. 그 밖의 경우: 해양경찰청 정보보안담당관에게 검토 의뢰 ③ 해양경찰청장은 다음 각 호의 정보화사업에 대한 보안성 검토를 지방해양경찰청장에게 위임할 수 있다. 1. CCTV 구축 2. VPN 구축 3. 차량통제시스템 구축 4. 수상레저면허시스템 구축 5. 그 밖에 해양경찰청장이 필요하다고 판단하는 사업 ④ 정보화사업담당관은 제2항에 따른 보안성 검토 결과를 반영하여 보안조치를 실시해야 한다. ⑤ 지방해양경찰청장은 전년도에 실시한 정보화사업 보안성 검토결과 현황을 매년 1월 10일까지 해양경찰청장에게 제출해야 한다. 제21조의2(보안성 검토 결과 조치확인) 정보화사업담당관은 해당 정보화사업 완료(검사ㆍ검수) 전에 보안성 검토 결과 조치내역을 정보보안담당관에게 통보해야 한다. 제3장 보안관제 제22조(사이버보안관제센터 설치ㆍ운영) 해양경찰청 정보보안담당관은 소관 정보통신망에 대한 사이버공격과 관련된 정보를 수집ㆍ분석ㆍ대응할 수 있는 사이버보안관제센터를 설치ㆍ운영해야 한다. 다만, 불가피한 사유가 있을 경우에는 다른 중앙행정기관의 장, 지방자치단체의 장 및 관계 공공기관의 장이 설치ㆍ운영하는 사이버보안관제센터에 그 업무를 위탁할 수 있다. 제23조(보안관제 인원) ① 해양경찰청 정보보안담당관은 보안관제업무를 24시간 중단 없이 수행해야 하며 이를 담당할 전담인력을 배치하고 교대근무 체계를 운영해야 한다. ② 「국가사이버안전관리규정」 제10조의2제4항에 따라 보안관제전문업체의 인원을 활용하는 경우 과학기술정보통신부장관이 고시하는 「보안관제 전문기업 지정 등에 관한 공고」에 따른 업무수행능력 평가 기준을 준수해야 한다. ③ 제2항에 따라 보안관제전문업체의 인원을 활용하고자 하는 경우 책임 있는 수행 및 보안관리 등을 위해 적정한 수의 공무원을 상시 배치해야 한다. 제4장 사고대응 제24조(사고 전파) ① 각 기관의 부서장은 사이버공격과 관련한 정보를 확인한 경우에는 즉시 해양경찰청 정보보안담당관에게 그 사실을 통보해야 한다. ② 제1항에 따라 통보해야 하는 경우는 다음 각 호와 같다. 1. 대규모 사이버공격이 발생한 경우 2. 사이버공격으로 인해 피해가 발생하거나 피해 발생이 예상되는 경우 3. 사이버공격이 확산될 우려가 있는 경우 4. 그 밖에 사이버공격 계획 등 사이버안전에 위협을 초래할 수 있는 정보를 입수한 경우 제25조(정보보안 사고조사) ① 각 기관의 부서장은 별표 1의 정보보안 사고가 발생한 경우 즉시 피해확산 방지를 위한 조치를 하고, 다음 각 호의 사항을 소속기관 정보보안담당관을 경유해 해양경찰청 정보보안담당관에게 통보해야 한다. 이 경우 사고원인 규명 시까지 피해 시스템에 대한 증거를 보전하고 임의로 관련 자료를 삭제하거나 포맷(format)해서는 안 된다. 1. 일시 및 장소 2. 사고 원인, 피해 현황 등 개요 3. 사고자 및 관계자의 인적 사항 4. 조치 내용 등 ② 해양경찰청 정보보안담당관은 사고조사 후 그 결과를 해당 기관의 장에게 통보하고 동일한 유형의 사고가 발생하지 않도록 각종 보안조치를 권고할 수 있다. ③ 해양경찰청 정보보안담당관은 제2항에도 불구하고 필요하다고 인정할 경우 해당 기관의 장에게 사고조사를 위임할 수 있다. 이 경우 권한을 위임받은 해당 기관의 장은 해양경찰청 정보보안담당관에게 조사결과를 통보해야 한다. ④ 각 기관의 장은 규정에 따른 관련자 징계, 재발방지를 위한 보안대책의 수립ㆍ시행 등 사고조사 결과에 따라 필요한 조치를 해야 한다. 제5장 주요정보통신기반시설 등의 보호대책 제26조(주요정보통신기반기설 보호대책) ① 해양경찰청 정보보안담당관은 「정보통신기반 보호법」 제5조 및 같은 법 시행령 제8조에 따라 주요정보통신기반시설(이하 "기반시설"이라 한다)에 대한 보호대책을 수립ㆍ시행해야 한다. ② 해양경찰청 정보보안담당관은 제1항에 따른 보호대책을 수립하는 경우 다음 각 호의 사항을 포함해야 한다. 1. 소관 기반시설 현황 및 보호 목적 2. 전년도 보호업무 추진실적 및 다음 연도 추진계획 3. 보안취약점 분석ㆍ평가 결과 및 도출된 문제점에 대한 개선사항 4. 「정보통신기반 보호법」 제2조제2호에 따른 전자적 침해행위 예방을 위한 관리적ㆍ물리적ㆍ기술적 보안대책 5. 「정보통신기반 보호법」 제2조제3호에 따른 침해사고가 발생할 경우 대응 및 복구대책 6. 기반시설 지정 범위 및 변경사항 제27조(기반시설 취약점 분석ㆍ평가 보안관리) ① 기반시설 관리부서의 장(이하 "관리부서의 장"이라 한다)은 기반시설에 대한 취약점 분석ㆍ평가(이하 "분석ㆍ평가"라 한다)를 연 1회 실시해야 한다. ② 관리부서의 장은 자체적으로 분석ㆍ평가가 곤란한 경우 「정보통신기반 보호법」 제9조제4항 각 호의 기관(이하 "외부기관"이라 한다)에 분석ㆍ평가를 의뢰할 수 있다. 이 경우 정보통신망 구성도 등 중요자료의 유출 방지 등을 위한 보안대책을 수립ㆍ시행해야 한다. ③ 관리부서의 장은 제2항에 따라 분석ㆍ평가를 완료한 경우 외부기관이 제출한 분석ㆍ평가 결과에 대한 적절성을 검증해야 한다. ④ 관리부서의 장은 분석ㆍ평가 결과를 중요성과 가치의 정도에 따라 대외비 또는 비밀로 지정ㆍ관리해야 하며, 인터넷이나 학회지 등 외부에 공개 또는 발표해서는 안 된다. ⑤ 관리부서의 장은 제4항에도 불구하고 정보보안 기술 교류나 학문적 연구 등을 목적으로 하는 비공개 회의 등의 경우에는 자체 보안성 검토를 거친 후 발표할 수 있다. ⑥ 관리부서의 장은 분석ㆍ평가의 효율적 수행을 위해 필요한 경우 해양경찰청 정보보안담당관을 경유해 국가정보원장에게 평가 방향ㆍ중점사항ㆍ적절성 검증ㆍ평가업체 보안점검 등의 지원을 요청할 수 있다. 제6장 암호자재 제28조(책임자의 지정) ① 암호자재를 관리ㆍ운용하는 각 기관의 장은 다음과 같이 관리 책임자를 지정해야 한다. 1. 정책임자: 정보보안업무 담당과장 2. 부책임자: 정보보안업무 담당계(팀)장 3. 실 무 자: 정보보안업무 담당자 ② 암호자재를 운용하는 부서의 장은 암호자재의 효율적인 관리와 운용을 위해 다음과 같이 운용책임자를 지정해야 한다. 다만, 교대근무 부서의 경우에는 근무조별로 지정한다. 1. 정책임자: 과장급, 함ㆍ정장, 파출소장, 특공대장, 항공단(대)장, 특수구조단장, 해양특수구조대장, 해상교통관제센터장 2. 부책임자: 계장급, 상황실장(경찰서), 통신장(부장), 팀장(파출소, 구조대, 해상교통관제센터 등) 3. 실무자: 정보보안업무 담당자 제29조(사용 원칙) ① 각 기관의 장은 비밀을 소통ㆍ보호하고자 할 경우 국가정보원장이 개발하거나 안전성을 확인한 암호자재를 사용해야 하며, 비밀이 아닌 중요자료를 보호하고자 할 경우에도 암호자재를 사용할 수 있다. ② 각 기관의 장은 제1항에 따라 암호자재를 사용하고자 할 경우 해양경찰청 정보보안담당관에게 암호자재 사용에 대한 승인을 받아야 한다. ③ 각 기관의 장은 국가정보원장이 승인하지 않은 암호자재나 외국에서 생산된 암호기능 탑재 시스템을 무단으로 사용해서는 안 된다. 제7장 보칙 제30조(다른 규칙의 적용) 해양경찰청 정보보안업무에 관하여 이 규칙에서 정하지 않은 사항은 「국가 정보보안 기본지침」을 따른다. 제31조(재검토 기한) 해양경찰청장은 이 훈령에 대하여 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 2024년 1월 1일을 기준으로 매 3년이 되는 시점(매 3년째의 12월 31일까지를 말한다)마다 그 타당성을 검토해 개선 등의 조치를 해야 한다.