행정기관 및 공공기관의 클라우드컴퓨팅서비스 이용 기준 및 안전성 확보 등에 관한 고시

제1장 총칙 제1조(목적) 이 고시는 「전자정부법」 제54조의2에 따라 행정기관 및 공공기관(이하 "행정기관등"이라 한다)의 클라우드컴퓨팅서비스 이용 기준 및 안전성 확보 등에 필요한 사항과 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률 시행령」 제19조제6항에 따라 계약 및 사업 종료 사실의 통지 방법ㆍ시기, 이용자 정보의 반환 및 파기 방법ㆍ시기 등에 대한 기준을 정함을 목적으로 한다. 제2조(정의) 이 고시에서 사용하는 용어의 정의는 다음과 같다. 1. "행정기관"이란 「전자정부법」(이하 "법"이라 한다) 제2조제2호에 따른 행정기관을 말한다. 2. "공공기관"이란 법 제2조제3호에 따른 공공기관(「초ㆍ중등교육법」 제3조제3호 및 「고등교육법」 제3조에 따른 사립학교는 제외)을 말한다. 3. "클라우드컴퓨팅서비스"란 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제2조제3호에 따른 클라우드컴퓨팅서비스를 말한다. 4. "서비스 제공자"란 행정기관등이 이용할 수 있는 클라우드컴퓨팅서비스를 제공하는 자를 말한다. 5. "저장정보"란 행정기관등이 클라우드컴퓨팅서비스를 이용하여 서비스 제공자의 집적ㆍ공유된 정보통신기기, 정보통신설비, 소프트웨어 등 정보자원(이하 "정보자원"이라 한다)에 저장하고 소유 또는 관리하는 정보(「지능정보화 기본법」제2조제1호에 따른 정보를 말한다)를 말한다. 6. "이용계약"이란 행정기관등의 장이 클라우드컴퓨팅서비스를 이용하기 위해 서비스 제공자와 협의하여 체결하는 계약을 말한다. 제3조(다른 법령과의 관계) 행정기관등의 클라우드컴퓨팅서비스 이용 기준 및 안전성 확보에 관해서는 다른 법령 및 행정규칙에 특별한 규정이 있는 경우를 제외하고는 이 고시에서 정하는 바에 따른다. 제2장 이용기준 제4조(클라우드컴퓨팅서비스 우선 검토) 행정기관등의 장이 신규로 정보시스템을 구축하거나 운영ㆍ관리하는 정보시스템을 교체할 때는 보안성, 안정성, 확장성 및 비용효율성 등을 종합적으로 고려하여 클라우드컴퓨팅서비스 이용을 우선 검토해야 한다. 제5조(계약 방법) ① 행정기관등의 장이 클라우드컴퓨팅서비스 이용계약을 체결하고자 하는 경우에는 경쟁입찰에 부쳐야 한다. ② 제1항에도 불구하고 행정기관등의 장은 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률 시행령」 제15조의2에 따라 선정된 디지털서비스에 대해서는 다음 각 호 중 어느 하나의 방법으로 이용계약을 체결할 수 있다. 1. 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제26조에 따른 수의계약 2. 「지방자치단체를 당사자로 하는 계약에 관한 법률 시행령」 제25조에 따른 수의계약 3. 「조달사업에 관한 법률 시행령」 제16조에 따른 카탈로그 계약 ③ 행정기관등의 장이 클라우드컴퓨팅서비스를 수 년간 존속할 필요가 있는 경우에는 「국가를 당사자로 하는 계약에 관한 법률」제21조제2항, 「지방자치단체를 당사자로 하는 계약에 관한 법률」제24조제1항 및 기획재정부장관이 정한「정부입찰ㆍ계약집행기준」제76조의10에 따라 장기계속계약을 체결할 수 있다. 제6조(표준계약서 및 서비스 수준 등) ① 행정안전부장관은 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제24조에 따른 표준계약서를 준용하여 같은 법 시행령 제19조제6항의 계약에 필요한 사항 등을 포함한 행정기관등의 클라우드컴퓨팅서비스 표준계약서를 제공할 수 있다. ② 행정기관등의 장이 제1항에 따라 클라우드컴퓨팅서비스에 대한 이용계약을 체결하는 경우에는 클라우드컴퓨팅서비스의 서비스 수준을 정하여 이용계약에 포함할 수 있다. ③ 행정기관등의 장이 제2항에 따라 서비스 수준을 정하는 경우에는 과학기술정보통신부장관이 고시한 「클라우드컴퓨팅서비스 품질ㆍ성능에 관한 기준」 제4조제1항 각 호의 내용을 고려해야 한다. 제7조(이용계약 종료 사실의 통지 방법 및 시기) ① 행정기관등의 장은 이용계약을 체결하는 경우에는 해당 이용계약이 종료되기 30일 전까지 서비스 제공자로부터 다음 각 호의 사항을 통지 받을 수 있도록 조치해야 한다. 1. 이용계약 종료일시 2. 저장정보의 처리 방법 및 절차 3. 담당 부서 및 연락처 4. 제1호부터 제3호까지 외에 행정기관등의 장이 필요하다고 인정하는 사항 ② 행정기관등의 장은 서비스 제공자가 제1항에 따른 통지를 하는 경우에는 다음 각 호의 하나 이상의 방법으로 할 수 있도록 조치해야 한다. 1. 등기우편 2. 「우편법 시행규칙」제25조제1항제4호가목에 따른 내용증명 ③ 제1항 및 제2항에도 불구하고 행정기관등의 장은 서비스 제공자와 협의하여 이용계약 종료 사실의 통지 방법ㆍ시기 등에 관하여 다르게 이용계약을 체결할 수 있다. 제8조(사업 변경 및 종료 사실의 통지 방법 및 시기) ① 행정기관등의 장은 이용계약을 체결하는 경우에는 서비스 제공자가 해당 이용계약과 관련된 사업을 변경하거나 종료하기 30일 전까지 서비스 제공자로부터 다음 각 호의 사항을 통지 받을 수 있도록 조치해야 한다. 1. 변경하거나 종료하려는 사업의 내용 및 사유 2. 사업 변경 또는 종료 일시(미 확정시 종료 예정 일시) 3. 저장정보의 처리방법 및 절차 4. 담당 부서 및 연락처 5. 제1호부터 제4호까지 외에 행정기관등의 장이 필요하다고 인정하는 사항 ② 행정기관등의 장은 서비스 제공자가 제1항 또는 제2항에 따른 통지를 제7조제2항 각 호의 하나 이상의 방법으로 하도록 조치해야 한다. ③ 제1항 및 제2항에도 불구하고 행정기관등의 장은 서비스 제공자와 협의하여 사업 변경 및 종료 사실의 통지 방법ㆍ시기 등에 관하여 다르게 이용계약을 체결할 수 있다. 제9조(클라우드컴퓨팅서비스 이용정보의 등록 및 관리) ① 행정기관등의 장은 이용계약을 체결하는 경우에는 서비스 제공자와 협의하여 이용계약일로부터 30일 이내에 별표 1의 클라우드컴퓨팅서비스 이용정보를 법 제47조제3항에 따른 정보자원관리시스템(www.irm.go.kr)에 등록할 수 있도록 조치해야 한다. ② 행정기관등의 장은 이용 중인 클라우드컴퓨팅서비스의 별표 1에 따른 이용정보가 변경되는 경우에는 서비스 제공자와 협의하여 변경사항을 정보자원관리시스템에 등록할 수 있도록 조치해야 한다. ③ 행정기관등의 장은 제1항 및 제2항에 따른 등록을 하는 경우에는 전자적인 방법으로 서비스 제공자의 정보시스템과 정보자원관리시스템을 연계하여 등록할 수 있도록 조치해야 한다. 제3장 안전성 확보 제10조(안전성 검토) ① 행정기관등의 장은 이용계약을 체결하기 위하여 서비스(「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률 시행령」제3조제1호에 따른 서비스에 한한다) 제공자를 선정하는 경우에는 서비스 제공자의 클라우드컴퓨팅서비스에 관한 배상책임보험 가입 여부를 우선적으로 고려해야 한다. ② 행정기관등의 장은 이용계약을 체결하기 위하여 서비스 제공자를 선정하는 경우에는 별표 2의 안전성 검토 항목에 따른 검토 결과를 고려해야 한다. ③ 행정기관등의 장은 이용계약에 따라 이용중인 클라우드컴퓨팅서비스가 별표 2의 안전성을 충족하는지 정기적으로 확인해야 한다. 제11조(보안성 기준) ① 행정기관등의 장은 클라우드컴퓨팅서비스를 이용하는 경우에는 국가정보원장이 수립한 「국가 정보보안 기본지침」과 「국가 망 보안체계(N2SF) 보안가이드라인」을 준수해야 한다. ② 행정기관등의 장은 클라우드컴퓨팅서비스를 이용하는 경우에는 「클라우드컴퓨팅 발전 및 이용자보호에 관한 법률」 제23조의2제1항에 따라 인증(이하 "보안인증"이라 한다)된 클라우드컴퓨팅서비스를 우선 고려해야 하며, 국가정보원장이 수립한 「국가 클라우드 컴퓨팅 보안 가이드라인」에서 정하는 바에 따라 클라우드컴퓨팅서비스를 이용하여야 한다. ③ 「초ㆍ중등교육법」제2조 및 「고등교육법」제2조에 따른 학교의 장이 교육 현장에서 이용하는 정보시스템에 대해서는 제2항을 적용하지 않을 수 있다. ④ 행정기관등의 장은 제1항부터 제3항까지 이외에 클라우드컴퓨팅서비스를 이용하는 업무의 특성 등을 고려하여 보안요건을 추가하여 적용할 수 있다. 제12조(운영실태 점검 등) ① 행정기관등의 장은 이용계약을 체결하는 경우에는 소속 공무원 및 임직원이 해당 클라우드컴퓨팅서비스에 대해 다음 각 호의 실태를 점검할 수 있도록 조치해야 한다. 1. 「국가 정보보안 기본지침」 및 「국가 망 보안체계(N2SF) 보안가이드라인」준수 여부 2. 클라우드컴퓨팅서비스 관련 법령 및 관련 규정의 준수 여부 3. 보안인증 요건의 적용 여부 4. 별표 2의 안전성 검토 항목의 운영ㆍ관리 실태 5. 클라우드컴퓨팅서비스 제공에 필요한 제반 설비의 운영ㆍ관리 실태 ② 행정기관등의 장은 제1항의 운영실태 점검을 하려는 경우에는 점검 15일 전까지 해당 서비스 제공자에게 점검의 목적 및 일시를 통보해야 한다. ③ 행정기관등의 장은 제2항의 운영실태 점검결과에 따른 개선사항 등을 서비스 제공자에게 통지하고 개선을 요청할 수 있다. ④ 행정안전부장관 또는 국가정보원장은 제1항부터 제3항까지에 따른 점검현황을 확인하기 위해 행정기관등의 장에게 필요한 자료의 제출을 요구할 수 있다. 다만, 국가정보원장이 요구할 수 있는 자료는 보안에 관련된 부분에 한한다. 제13조(저장정보의 보호와 관리) 행정기관등의 장은 이용계약을 체결하는 경우에는 저장정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 조치해야 한다. 제14조(저장정보의 반환 및 파기 등) ① 행정기관등의 장은 클라우드컴퓨팅서비스 이용 계약의 해제, 해지 또는 기간 만료 등으로 클라우드컴퓨팅서비스가 종료되는 경우에는 서비스 제공자의 정보자원에서 관리되는 저장정보를 다음 각 호 중 어느 하나의 방법으로 조치해야 한다. 1. 저장정보를 반환받은 후 서비스 제공자가 보유한 저장정보를 복구가 불가능한 방법으로 지체 없이 파기 2. 행정기관 등이 반환을 받지 않거나 반환이 불가능한 경우에는 복구가 불가능한 방법으로 지체 없이 파기 3. 저장정보를 다른 서비스 제공자에게 이관하고, 서비스 제공자가 보유한 저장정보를 복구가 불가능한 방법으로 지체 없이 파기 ② 행정기관등의 장이 제1항에 따라 저장정보를 반환받는 경우에는(행정기관등의 장을 대신하여 다른 서비스 제공자가 저장정보를 이관받는 경우를 포함한다.) 다음 각 호의 방법에 따른다. 1. 온라인으로 반환 받는 경우에는 저장정보를 암호화하고 전용선, 가상사설망 등 안전한 경로를 이용하여 전송 2. 오프라인으로 반환 받는 경우에는 저장정보를 암호화하여 저장매체에 저장하고 해당 저장매체가 탈취되지 않도록 보호하여 이송 3. 제1호 또는 제2호에 따라 반환 받는 저장정보는 반환 즉시 활용이 가능한 형태로 전송 또는 이송 ③ 행정기관등의 장은 제1항에 따라 저장정보를 파기하는 경우에는 복구가 불가능한 방법으로 파기한 것을 증명할 수 있는 근거자료를 확보해야 한다. 제15조(클라우드컴퓨팅서비스의 연속성 확보) ① 행정기관등의 장은 다음 각 호의 사유로 인하여 이용하고 있는 클라우드컴퓨팅서비스가 중단되지 않도록 필요한 조치를 해야 한다. 1. 재난 및 재해 2. 서비스 제공자와의 이용계약이 종료되는 경우 3. 서비스 제공자가 그 사업의 전부 또는 일부를 중단하는 경우 4. 서비스 제공자가 파산 등으로 더 이상 서비스를 제공하지 못하거나, 보안인증이 취소된 경우 5. 기타 이용하는 서비스가 중단된다고 행정기관등의 장이 판단하는 경우 ② 행정기관등의 장은 제1항제1호에 따른 재난 및 재해 시 업무연속성 확보를 위해 서비스 제공자의 재해복구 서비스를 이용할 수 있다. 제4장 클라우드컴퓨팅서비스 활용 촉진 제16조(클라우드컴퓨팅서비스 활용모델 등) ① 행정안전부장관은 법 제21조에 따라 클라우드컴퓨팅서비스를 행정기관등의 특성과 여건에 맞게 활용하기 위한 모델(이하 "활용모델"이라 한다)을 개발할 수 있다. ② 행정안전부장관은 제1항에 따른 활용모델을 개발하는 경우에는 국가정보원장과 협의하여 안전성 확보에 필요한 사항을 별도로 정할 수 있다. ③ 행정기관등의 장은 제1항에 따른 활용모델을 이용하여 업무특성과 보안여건 등에 부합하는 전자정부서비스를 제공할 수 있다. ④ 행정안전부장관은 행정기관등이 제3항에 따라 활용모델을 이용하여 전자정부서비스를 구현하고자 하는 경우 행정적ㆍ재정적ㆍ기술적 지원을 할 수 있다. ⑤ 행정안전부장관은 제1항에 따른 활용모델의 이용을 촉진하기 위해 업무협약, 시범사업 및 서비스구매 등을 할 수 있다. 제17조(소프트웨어 제공 서비스의 이용촉진) ① 행정기관등의 장은 법 제21조 및 「전자정부법 시행령」(이하 "영"이라 한다) 제17조에 따라 소프트웨어 제공 서비스의 이용을 촉진하기 위한 업무협약, 서비스 구매 등을 할 수 있다. ② 행정안전부장관은 법 제54조의2에 따라 소프트웨어 제공 서비스의 발굴과 활용을 촉진하기 위해 시범사업, 서비스 구매 등 시책사업을 추진할 수 있다. 제18조(전문기관의 운영) ① 법 제71조제1항에 따라 행정안전부장관이 지정한 전문기관의 장은 영 제86조제3항제5호에 따라 다음 각 호의 업무 중 일부 또는 전부를 위탁받아 수행한다. 1. 클라우드컴퓨팅서비스 이용에 관한 제도 개선 지원 2. 클라우드컴퓨팅서비스의 이용을 위한 시책사업 추진 3. 클라우드컴퓨팅서비스 이용 기준 마련 지원 4. 클라우드컴퓨팅서비스 안전성 확보 등에 관한 업무 5. 그 밖에 행정기관등의 클라우드컴퓨팅서비스 이용을 촉진하기 위해 행정안전부장관이 정하는 업무 ② 행정안전부장관은 전문기관의 업무수행에 필요한 경비의 전부 또는 일부를 지원할 수 있다. 제5장 보칙 제19조(재검토기한) 행정안전부장관은 이 고시에 대하여 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 2026년 1월 1일 기준으로 매 3년이 되는 시점(매 3년째의 12월 31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.