환경위성센터 주요정보통신기반시설 보호지침

제1장 총칙 제1조(목적) 이 지침은 「기후에너지환경부 소관 주요정보통신기반시설 보호지침」에 따라 국립환경과학원 소관 주요정보통신기반시설인 정지궤도환경위성 지상국시스템(이하 "지상국시스템"이라 한다)을 전자적 침해행위로부터 보호하기 위하여 관리조직인 환경위성센터가 준수하여야 할 정보보호에 관한 세부사항의 정함을 목적으로 한다. 제2조(용어정의) 이 지침에서 사용하는 용어의 정의는 다음과 같다. 1. "정보통신기반시설"이란 국가안전보장ㆍ행정ㆍ국방ㆍ치안ㆍ금융ㆍ통신ㆍ운송ㆍ에너지 등의 업무와 관련된 전자적 제어ㆍ관리시스템 및 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제1호에 따른 정보통신망을 말한다. 2. "전자적 침해행위" 또는 "사이버공격"이란 다음 각 목의 방법으로 정보통신기반시설을 공격(불법적 침입, 교란, 마비 및 파괴 또는 정보의 훼손, 절취 및 위ㆍ변조)하는 행위를 말한다. 가. 해킹, 컴퓨터바이러스, 논리ㆍ메일폭탄, 서비스거부 또는 고출력 전자기파 등의 방법 나. 정상적인 보호ㆍ인증 절차를 우회하여 정보통신기반시설에 접근할 수 있도록 하는 프로그램이나 기술적 장치 등을 정보통신기반시설에 설치하는 방법 3. "침해사고"란 전자적 침해행위로 인하여 발생한 사태를 말한다. 제3조(적용범위) 이 지침은 "지상국시스템"을 관리ㆍ운용하는 환경위성센터의 업무종사자에게 적용한다. 제2장 정보보호체계 및 관리 제4조(정보보호책임자) ① 「기후에너지환경부 소관 주요정보통신기반시설 보호지침」 제5조제1항에 따라 국립환경과학원 소관 주요정보통신기반시설 "정지궤도환경위성 지상국시스템"의 정보보호책임자는 기후에너지환경부 국립환경과학원 대기환경연구부 환경위성센터장으로 한다. ② 「기후에너지환경부 소관 주요정보통신기반시설 보호지침」 제5조제2항의 규정에 따라 정보보호책임자는 다음 각 호의 업무를 수행한다. 1. 주요정보통신기반시설의 보호대책 수립ㆍ시행 2. 주요정보통신기반시설 보호업무에 대한 기술적 지원 요청 3. 취약점 분석ㆍ평가 및 침해사고 예방에 관한 업무 4. 취약점 분석ㆍ평가 및 전담반 구성 5. 주요정보통신기반시설의 보호에 필요한 조치 명령 및 권고의 이행 6. 침해사고의 통지 7. 주요정보통신기반시설의 복구 및 보호에 필요한 조치 8. 기타 주요정보통신기반시설의 보호업무에 관한 사항 제5조(전담 조직의 구성) ① 제4조제2항에 따른 주요정보통신기반시설 보호 업무를 수행하기 위하여 제4조제1항에 따른 정보보호책임자 소속하에 별도의 전담 조직을 구성ㆍ운영할 수 있다. ② 정보보호책임자는 "지상국시스템" 보호 업무에 대한 실무 수행을 위한 정보보호담당자를 지정하여야 한다. 제6조(업무종사자의 준수사항) ① 정보보호책임자는 "지상국시스템"을 관리ㆍ운용하는 업무종사자(공무직근로자 등을 포함한다)가 다음 각 호의 사항을 준수하도록 하여야 한다. 1. 주요정보통신기반시설의 보호책임에 관한 사항 2. 비밀유지 및 비밀서약에 관한 사항 3. 주요정보통신기반시설 보호관련 법령 및 지침 등의 준수에 관한 사항 4. 보호관련 지침 및 보호조치 위반에 따른 징계에 관한 사항 ② 정보보호책임자는 해당 시설을 관리ㆍ운용하는 업무종사자가 보직이 변경되거나 퇴사하는 경우 「기후에너지환경부 소관 주요정보통신기반시설 보호지침」 제8조제2항에 따라 "지상국시스템"의 관리ㆍ운용에 관하여 취득한 비밀을 외부에 유출하지 않도록 주지시켜야 한다. 이 경우 보직이 변경되거나 퇴사하는 자에 대하여 비밀유지에 관한 서약서를 작성하도록 요구할 수 있다. 제7조(정보보호 교육ㆍ훈련) ① 정보보안에 대한 경각심 및 인식 제고를 위하여 환경위성센터 업무종사자는 특별한 사유가 없는 경우에는 국립환경과학원의 연간 정보보안 교육 계획에 따른 교육을 연 1회 이상 이수하여야 한다. 단, "지상국시스템"의 보호에 관한 중요한 절차 및 방법 등의 변경이 있거나 신규로 직원을 채용한 때에는 지체 없이 필요한 교육ㆍ훈련을 실사하여야 한다. ② 정보보호책임자는 정보보호담당자의 업무 전문성을 제고하고, 소속 공무원 등의 정보보안 지식을 함양하기 위하여 전문기관의 교육 이수나 학술회의 참가 등을 장려하여야 한다. ③ 정보보호책임자는 1항에 따른 교육ㆍ훈련을 실시하기 위하여 다음 각 호의 사항을 정하여야 한다. 1. 교육ㆍ훈련의 내용 및 방법 2. 교육ㆍ훈련에 관한 기록유지 및 인사관리에 관한 사항 3. 그 밖에 교육ㆍ훈련을 위하여 필요한 사항 제3장 정보보호대책 수립ㆍ이행 제8조(보호대책 수립) ① 정보보호책임자는 「정보통신기반 보호법」제5조제1항에 따라 보호대책을 수립하여 매년 8월 말까지 장관에게 제출하여야 한다. ② 정보보호책임자는 보호대책을 수립할 때에는 「정보통신기반 보호법 시행령」 제10조제2항에 따라 기후에너지환경부로부터 통보받은 보호대책 수립지침을 준수하여야 하며, 「정보통신기반 보호법」 제9조에 따라 실시한 취약점 분석ㆍ평가 결과를 반영하여야 한다. ③ 정보보호책임자는 제1항에 따른 보호대책 제출 시 「기후에너지환경부 소관 주요정보통신기반시설 보호지침」제 12조 3항 요청에 따라 취약점 분석평가 결과를 함께 제출하여야 한다. ④ 정보보호책임자는 「기후에너지환경부 소관 주요정보통신기반시설 보호지침」 제12조제4항에 따라 기후에너지환경부로부터 보호대책의 보완 요청을 받을 경우 이에 따라야 한다. ⑤ 정보보호책임자는 주요정보통신기반시설의 관리ㆍ운영 또는 취약점 분석ㆍ평가 등 보호에 관한 업무를 전문기관 또는 업체에 위탁하는 경우에는 해당 기관 또는 업체의 위탁업무종사자에게 정보통신기반 보호법 제 27조에 따른 비밀유지의무를 준수하도록 비밀유지 서약서의 작성 요구, 업무관련 기록ㆍ자료의 안전한 보존 및 폐기 명령 등 필요한 조치를 하여야 한다. 제9조(보호대책 이행) 정보보호책임자는 「기후에너지환경부 소관 주요정보통신기반시설 보호지침」 제13조제1항에 의해 기후에너지환경부로부터 통보받은 보호계획과 제8조제1항에 따라 수립한 보호대책을 이행하여야 한다. 제10조(이행점검) 정보보호책임자는 「기후에너지환경부 소관 주요정보통신기반시설 보호지침」 제14조에 따라 기후에너지환경부가 실시하는 보호대책에 대한 이행점검에 응하여야 한다. 제11조(취약점 분석ㆍ평가) ① 정보보호책임자는 「기후에너지환경부 소관 주요정보통신기반시설 보호지침」 제15조제1항에 따라 "지상국시스템"에 대한 취약점 분석ㆍ평가를 매년 실시해야 한다. ② 정보보호책임자는 제1항에 의해 취약점을 분석ㆍ평가하고자 하는 경우에는「정보통신기반 보호법 시행령」 제18조제1항에 따라 취약점 분석ㆍ평가 전담반을 구성하여야 한다. ③ 정보보호책임자는 제1항에 의해 취약점을 분석ㆍ평가하고자 하는 경우에는 다음 각 호의 하나에 해당하는 기관으로 하여금 취약점을 분석ㆍ평가하게 할 수 있으며, 이 경우 제2항에 따른 전담반을 구성하지 아니할 수 있다. 1. 한국인터넷진흥원 2. 「정보통신기반 보호법」 제16조에 의한 정보공유ㆍ분석센터 3. 「정보보호산업의 진흥에 관한 법률」 제23조에 따라 지정된 정보보호 전문서비스 기업 4. 한국전자통신연구원 ④ 정보보호책임자는 취약점 분석ㆍ평가시 발견된 취약점에 대한 조치를 위해 점검항목별 조치 이력 관리대장을 작성ㆍ관리하여야 한다. 제12조(자체점검 및 수시점검) ① 정보보호책임자는 「기후에너지환경부 소관 주요정보통신기반시설 보호지침」 제16조제1항에 따라 "지상국시스템"에 중대한 변화가 발생하였거나 취약점 분석ㆍ평가가 필요하다고 판단하는 경우에는 취약점에 대한 자체점검을 실시할 수 있다. ② 정보보호책임자는 다음 각 호의 하나에 해당하는 경우에는 수시점검을 실시할 수 있다. 1. 침해사고의 징후가 있는 경우 2. 시설ㆍ장비의 교체 및 보수를 한 경우 3. 침해사고에 따른 복구조치를 한 경우 4. 소관 주요정보통신기반시설의 보호에 관한 절차ㆍ방법 및 담당 인력의 변경이 있는 경우 ③ 정보보호책임자는 제1항과 제2항에 따른 자체점검 및 수시점검을 실시할 때에는 다음 각 호의 사항을 고려하여야 한다. 1. 「정보통신기반 보호법」 제9조에 따른 취약점 분석ㆍ평가 기준 2. 취약점 분석ㆍ평가의 범위, 항목, 절차 및 방법 3. 이전에 실시한 취약점 분석ㆍ평가의 결과 ④ 정보보호책임자는 자체점검 및 수시점검을 실시한 때에는 점검 기간, 대상, 방법 및 결과 등 점검에 관한 제반사항을 기록ㆍ관리하여야 한다. 제13조(보완조치) 정보보호책임자는 제11조에 따른 취약점 분석ㆍ평가 및 제12조에 따른 점검 결과를 반영하여 다음 각 호의 조치를 하여야 한다. 1. "지상국시스템" 보호를 위해 수립된 각종 보호조치, 절차 및 방법 등의 재검토 및 수정ㆍ보완 2. 시설ㆍ장비의 개축ㆍ보수 또는 설치 3. 그 밖에 취약점 분석ㆍ평가 또는 점검 결과를 반영한 보완 조치 제4장 침해사고 예방 및 대응 제14조(정보통신망 보안관리) ① 정보보호책임자는 "지상국시스템" 보호를 위하여 타 정보통신망과 분리ㆍ운영, 인터넷 연결이 차단된 관리자PC를 통한 시스템 관리기능 접속, 비인가 단말기 접속차단 등의 기술적 통제수단을 강구하여야 한다. ② 정보보호책임자는 "지상국시스템" 관련 서버, 단말기, 네트워크 장비 등에 불필요한 서비스ㆍ사용자 계정 등은 제거하고 유지보수를 위한 외부업체의 원격관리를 금지하여야 한다. ③ 정보보호책임자는 "지상국시스템" 보호를 위하여 시스템별 사용자접근, 사용내역 등의 로그 자료를 12개월 이상 보관하는 등 기록을 유지하여야 한다. 제15조(연락체계의 구축) 정보보호책임자는 "지상국시스템"에 대한 전자적 침해사고가 발생한 경우 신속히 대응하고 관계기관에 알리기 위해 필요한 연락체계를 구축하여야 한다. 제16조(침해사고 예방조치) 정보보호책임자는 "지상국시스템"을 보호하기 위하여 침해사고 예방대책을 수립ㆍ시행하는 경우에는 다음 각 호의 사항을 고려하여야 한다. 1. 시스템ㆍ네트워크 관리 및 보호에 관한 대책 2. 정보보호시스템 설치ㆍ운용에 관한 대책 3. 전산자료에 대한 백업조치 등 4. 악성코드 방지 대책 5. 접근통제에 관한 대책 6. 그 밖에 침해사고 예방을 위해 필요한 사항 제17조(침해사고의 통지) ① 정보보호책임자는 침해사고가 발생하여 "지상국시스템"이 교란ㆍ마비 또는 파괴된 사실을 인지한 때에는「정보통신기반 보호법」 제13조제1항에 따라 관계행정기관(국가정보원, 기후에너지환경부), 수사기관 또는 한국인터넷진흥원에 그 사실을 통지하여야 한다. ② 제1항에 의한 침해사고의 통지에는 다음 각 호의 사항이 포함되어야 한다. 1. 침해사고발생 일시 및 시설 2. 침해사고로 인한 피해내역, 조치현황 3. 기타 신속한 대응ㆍ복구를 위하여 필요한 사항 제18조(침해사고 대응조치) ① 환경위성센터 업무종사자는 전자적 침해사고의 징후가 있거나 전자적 침해사고의 발생을 인지한 때에는 이를 즉시 정보보호책임자에게 보고하고 침해사고대응팀 구성 등 필요한 응급조치를 취하여야 한다. ② 정보보호책임자는 "지상국시스템"에 대한 중대한 전자적 침해사고의 발생ㆍ징후를 보고 받거나 인지한 때에는 이를 국가안보실, 국가정보원, 기후에너지환경부, 국립환경과학원에 즉시 보고하여야 한다. 다만, 정보보호책임자는 "지상국시스템"의 교란, 마비 또는 파괴가 일어나지 아니하는 등 경미한 침해사고의 발생ㆍ징후는 조치를 선행하고 이를 사후 보고할 수 있다. ③ 정보보호책임자는 제1항 및 제2항에 따른 사항을 포함하여 전자적 침해사고 발생에 따른 대응절차 및 방법 등 침해사고 대응체계를 수립하여야 한다. 제19조(침해사고 복구조치) ① 정보보호책임자는 "지상국시스템"에 대한 침해사고가 발생한 때에는 해당 정보통신기반시설의 복구 및 보호에 필요한 조치를 신속히 취하여야 한다. ② 정보보호책임자는 제1항의 복구조치를 위하여 필요한 조직, 자원, 외부기관과의 협력 등을 포함하는 복구지원체계를 구축하여야 한다. ③ 정보보호책임자는 제1항 및 제2항의 내용을 포함하여 전자적 침해사고가 발생한 시설에 대한 복구절차 및 방법에 관하여 필요한 사항을 정하여야 한다. 제20조(대응ㆍ복구훈련의 실시) ① 정보보호책임자는 환경위성센터 업무종사자가 제18조제3항 및 제19조제3항에 따른 침해사고 대응ㆍ복구에 관한 절차 및 방법을 정확히 숙지할 수 있도록 필요한 훈련을 정기적으로 실시하여야 한다. ② 정보보호책임자는 대응ㆍ복구훈련을 실시한 결과 미비점이 발견된 경우, 해당되는 대응ㆍ복구 절차 및 방법을 수정ㆍ보완하여야 한다. 제21조(보안관리 절차) ① "지상국시스템"의 보안관리에 관한 세부사항은 "환경위성센터 주요정보통신기반시설 보안관리 매뉴얼"을 따른다. ② 정보보호책임자는 환경위성 관련 업무의 증감, 환경위성센터 내ㆍ외부 운영환경의 변화 등에 따라 제1항에 따른 보안관리 세부사항을 주기적으로 재검토하고 수정ㆍ보완하여야 한다. 제22조(위규자 처리) 정보보안사고(위규)자 처리기준은「기후에너지환경부 정보보안 업무지침」제79조제2항의 "기후에너지환경부 정보보안사고(위규)자 처리기준"에 따른다. 제23조(재검토기한) 국립환경과학원장은「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 이 예규에 대하여 2026년 1월 1일 기준으로 매 3년이 되는 시점(매 3년째의 12월 31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.