경찰 정보통신 보안업무 규칙

제1장 총칙 제1조(목적) 이 규칙은「보안업무규정」및「보안업무규정 시행규칙」,「국가 정보보안 기본지침」에서 위임된 사항과 경찰 정보통신 보안업무에 필요한 사항을 규정함을 목적으로 한다. 제2조(적용범위) 이 규칙은 경찰청과 그 소속기관(이하 "경찰관서"라 한다)에 적용한다. 제3조(정의) 이 규칙에서 사용하는 용어의 정의는 다음과 같다. 1. "사용자"라 함은 각 경찰관서의 장으로부터 정보통신망 또는 정보시스템에 대한 접근 또는 사용 허가 받은 자를 말한다. 2. "시스템관리자"라 함은 행정업무의 원활한 수행을 위하여 정보시스템(정보보호시스템 포함)을 운영ㆍ관리하는 자를 말한다. 3. "정보시스템 관리책임자"라 함은 정보시스템을 실제 운용하는 부서의 장 또는 각종 자료의 입력, 조회여부를 최종 결정할 권한이 있는 자를 말한다. 4. "정보화사업담당자"라 함은 각 경찰관서에서 정보시스템을 기획ㆍ구축ㆍ개발ㆍ운영ㆍ유지보수ㆍ정보시스템감리ㆍ사업관리의 위탁 등의 업무를 담당하는 자를 말한다. 5. "경찰 정보통신"이란 경찰업무 수행을 위해 설비된 정보통신망을 이용하여 문자ㆍ음성ㆍ영상부호 및 데이터 등의 정보를 관리 또는 송ㆍ수신하는 일련의 활동을 말한다. 6. "정보통신망"이라 함은「전기통신기본법」제2조제2호의 규정에 의한 전기통신설비를 활용하거나 전기통신설비와 컴퓨터 및 컴퓨터의 이용기술을 활용하여 정보를 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송신 또는 수신 하는 정보통신체제를 말한다. 7. "인터넷서비스망"(이하 "인터넷망"이라 한다)이라 함은 경찰관서의 네트워크 중에서 인터넷을 사용할 수 있도록 연결되어 있는 인터넷 전용망을 말한다. 8. "업무전산망"(이하 "업무망"이라 한다)이라 함은 경찰관서의 네트워크 중에서 업무용으로 사용되는 영역으로 인터넷망과 분리된 내부전산망(이하 "내부망"이라 한다)을 말한다. 9. "정보시스템"이라 함은 PCㆍ서버 등 단말기, 보조기억매체, 전산ㆍ통신장치, 정보통신기기, 응용프로그램 등 정보의 수집, 가공, 저장, 검색, 송ㆍ수신에 필요한 하드웨어 및 소프트웨어 일체말한다. 10. "정보보호시스템"이라 함은 정보의 수집, 저장, 검색, 송신 또는 수신할 경우에 정보의 유출, 위조, 변조 및 훼손 등을 방지하기 위한 하드웨어 및 소프트웨어를 말한다. 11. "정보통신보안(정보보안)" 또는 "정보보호"란 정보통신시스템 및 정보통신망을 통해 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송수신되는 정보의 유출, 위ㆍ변조, 훼손 등을 방지하기 위하여 관리적ㆍ물리적ㆍ기술적 수단을 마련하는 일체의 행위를 말한다. 12. "접근권한"이란 정보시스템에 접속하여 정보자원을 활용할 수 있는 권한과 행정정보를 생성ㆍ변경ㆍ열람 또는 삭제 등을 할 수 있는 권한을 말한다. 13. "휴대용 저장매체"라 함은 디스켓, CD, 외장형 하드디스크(SSD 등), USB메모리 등 정보를 저장할 수 있는 것으로 PC 등의 정보시스템과 분리할 수 있는 기억장치를 말한다. 14. "전자파보안"이라 함은 정보통신기기ㆍ시설 등을 대상으로 전자파에 의한 정보유출을 방지하고 파괴ㆍ오작동 유발 등의 위협으로부터 정보를 보호하는 행위 일체를 말한다. 15. "RFID(Radio Frequency IDentification) 시스템"이라 함은 대상 이 되는 사물 등에 RFID 태그를 부착하고 전파를 사용, 해당 사물 등의 식별정보 및 주변 환경정보를 인식하여 각 사물 등의 정보를 수집ㆍ저장ㆍ가공 및 활용하는 시스템을 말한다. 16. "모바일 기기"라 함은 경찰업무 수행을 위해 경찰기관 또는 기관 소속 공무원이 취득ㆍ관리ㆍ사용하는 스마트폰, 스마트패드, 태블릿PC 등의 휴대용 정보통신 단말기를 말하며, 모바일단말기와 업무용휴대폰을 포함한다. 17. "무선도청 탐지"라 함은 유ㆍ무선 도청탐지장비 등을 이용하여 은닉된 도청장치 색출과 각종 도청 위해요소를 제거하는 제반활동을 말한다. 18. "네트워크 장비"란 경찰 전산망을 통하여 각 경찰관서에 설치된 컴퓨터기기들 상호간 유ㆍ무선 등의 통신이 가능하도록 하는 라우터, 스위치 등 장비 일체를 말한다. 19. "저장매체"라 함은 자기 저장장치, 광 저장장치, 반도체 저장장치 등 자료기록이 가능한 전자장치를 말한다. 20. "사이버공격"이라 함은 해킹, 컴퓨터바이러스, 논리폭탄, 메일폭탄, 서비스방해 등 전자적 수단에 의하여 정보통신망을 불법침입ㆍ교란ㆍ마비ㆍ파괴하거나 정보를 절취ㆍ훼손하는 공격 행위를 말한다. 21. "침해사고"라 함은 해킹, 컴퓨터바이러스, 악성코드, 메일폭탄, 서 비스 거부 및 고출력 전자기파 등에 의하여 정보통신망 또는 이와 관련된 정보시스템을 공격하는 행위로 인하여 발생한 사태를 말한다. 22. "사이버안전"이란 사이버공격으로부터 정보통신망을 보호함으로 써 정보통신망과 정보의 기밀성ㆍ무결성ㆍ가용성 등 안전성을 유지하는 상태를 말한다. 23. "사이버보안관제"란 전자문서ㆍ전자기록물 또는 정보통신망을 대상으로 하는 사이버공격 정보를 실시간으로 탐지 및 분석ㆍ대응하는 일련의 활동을 말한다. 24. "암호자재"라 함은 비밀의 보호 및 정보통신 보안을 위하여 암호기술이 적용된 장치나 수단으로서 Ⅰ급, Ⅱ급 및 Ⅲ급비밀 소통용 암호자재로 구분된다. 25. "암호취급자"라 함은 암호취급인가를 받아 암호체계를 연구하거나 암호자재를 취급 관리하는 자를 말한다. 제2장 정보통신 보안 기본활동 제1절 기본활동 제4조(책무) ① 각 경찰관서의 장은 국가안보 및 국가이익 관련 정보(전자정보를 포함한다)와 정보통신망을 보호하기 위한 보안대책을 마련해야 하며 정보통신 보안에 대한 책임을 진다. ② 경찰관서의 장은 소속 공무원에 대한 근무성적 또는 성과를 평가할 경우 정보통신보안규정 준수 여부 등을 반영할 수 있다. 제5조(정보통신보안담당관 운영) ① 각 경찰관서의 장은 효율적ㆍ체계적인 정보통신 보안업무를 수행하기 위하여 정보보호 전문지식을 보유한 인력을 확보하고 관련 전담조직을 구성 운영해야 한다. ② 각 경찰관서의 장은 제1항과 관련된 정보통신 보안 조직을 지휘하고 정보통신 보안업무를 총괄하기 위하여 다음 각 호와 같이 정보통신보안담당관을 지정 운영해야 하며, 당해 직위에 임용과 동시에 정보통신보안담당관이 된다. 1. 경찰청은 미래치안정책국장 2. 시ㆍ도경찰청은 정보화장비과장 또는 경무기획정보화장비과장, 부속기관은 운영지원과장. 다만, 세종특별자치시경찰청은 경무과장 3. 경찰서 경무과장, 시ㆍ도경찰청 산하 직할대는 정보통신보안 주무과장 ③ 정보통신보안담당관이 교체되었을 때에는 교체 후 7일 이내 다음 각 호와 같이 소속ㆍ직책 등을 보고해야 한다. 1. 시ㆍ도경찰청 및 부속기관은 경찰청장에게 보고 2. 경찰서 및 시ㆍ도경찰청 직할대는 시ㆍ도경찰청장에게 보고 ④ 정보통신보안담당관의 업무수행 능률을 위하여 다음 각 호와 같이 분임정보통신보안담당관을 두되 당해 직위에 임용과 동시에 소관부서의 분임정보통신보안담당관이 된다. 1. 경찰청ㆍ시ㆍ도경찰청ㆍ경찰서 각 과장 및 센터장 2. 직할대ㆍ기동중대ㆍ지구대ㆍ파출소 등 각 대장 또는 소장 제6조(기본활동 및 임무) ① 정보통신보안담당관의 기본활동은 다음 각 호와 같다. 1. 정보통신 보안활동 계획 및 조정통제 감독 2. 정보통신 보안업무 규정ㆍ지침 제정 및 개정에 관한 사항 3. 정보통신망에 대한 보안성 검토 및 정보통신망 보호활동 4. 정보통신 보안감사ㆍ지도(해외주재관은 분임정보통신보안담당관에 위임) 5. 암호자재 제작 6. 암호자재의 제작구입 및 설치 운용에 관한 사항 7. 개인정보 유출방지 및 보안대책에 관한 사항 8. 사이버공격 초동조치와 대응 및 사이버보안 관제 9. 정보통신보안 사고조사 결과 처리 10. 정보통신 보안교육 및 정보보호협력 11. 도청 위해 요소 측정ㆍ제거 12. 주요 정보통신 관련 시설 보호활동 13. 암호자재 및 암호키의 운용ㆍ보안관리 14. 국정원장이 개발하거나 안전성을 검증한 암호모듈 운용 및 관리 15. 정보보호시스템의 운용 및 보안관리 16. ‘사이버ㆍ보안진단의 날’ 정보통신 보안업무 전반에 관한 사항 17. 그 밖의 정보통신 보안 관련 사항 ② 분임정보통신보안담당관의 임무는 다음 각 호와 같다. 1. 암호자재의 수령, 배부, 회수, 반납 등 안전관리운용 2. 암호자재 설치운용에 관한 사항 3. 중요정보유출방지 및 보안 대책ㆍ교육에 관한 사항 4. 내PC지키미 등 사이버ㆍ보안진단의 날 이행에 관한 사항 5. 악성코드 유무 및 인터넷PC에 업무자료 무단 사용의 주기적 점검에 관한 사항 6. PC, 휴대용 저장매체 등 정보자산 및 네트워크 현황 관리 7. 특수 목적으로 부서별 자체 구축한 정보통신망의 보안대책 마련 및 사이버보안관제에 관한 사항 8. 그 밖에 정보통신 보안 관련 사항 제2절 보안행정 제7조(활동계획 수립 및 심사분석) ① 각 경찰관서의 장은 정보통신 보안업무 세부추진 계획을 매년 수립하여 시행하고 이에 대한 심사분석을 실시해야 한다. ② 각 경찰관서의 장은 별지 제4호서식의 정보통신 보안업무세부 추진계획 및 별지 제5호서식의 정보통신 보안업무 심사분석을 경찰청장에게 제출해야 한다. 다만, 제출기한은 연도 보안업무 수행지침의 제출기한을 적용한다. 제8조(정보통신 보안감사) ① 각 경찰관서의 장은 연 1회 이상 정보통신 보안감사를 실시해야 한다. ② 정보통신 보안감사의 주관 및 대상기관은 다음 각 호와 같다. 1. 경찰청 : 본청 국ㆍ관, 부속기관, 시ㆍ도경찰청 2. 시ㆍ도경찰청 : 시ㆍ도경찰청 각 과ㆍ관ㆍ대 및 산하 경찰관서 제9조(정보통신 보안지도방문) ① 각 경찰관서의 장은 정보통신 보안업무 및 정보통신시스템 운용관리에 따른 미비점 개선을 위하여 정보통신 보안지도방문(이하 "지도방문"이라 한다)을 실시해야 한다. ② 지도방문을 실시할 때에는 「별표 1」의 정보통신 보안점검표를 적극 활용한다. ③ 지도방문 실시의 주관 및 대상기관은 제8조를 준용하고, 지도방문 실시결과는 제7조의 정보통신 보안업무 심사분석에 포함시켜야 한다. ④ 각 경찰관서의 장은 암호자재 및 정보시스템의 취약성 진단과 보안관리 개선을 위하여 경찰청장에게 지도방문을 요청할 수 있다. 제10조(정보통신망 보호활동) ① 각 경찰관서의 장은 관할 경찰정보통신망 보호활동 실시를 통해 경찰정보가 누설되지 않도록 해야 한다. ② 각 경찰관서의 장은 연간 정보통신망 보호 계획을 작성하고 그에 따른 보호활동을 실시하며, 중요행사의 경우 특별 보호활동을 실시할 수 있다. ③ 보호활동 과정에서 규칙 위반자를 발견한 때에는 제13조의 규칙에 따라 처리하고, 무선망 위반 내용은 보조기억매체에 6개월간 보관한다. 제11조(정보통신 보안교육) ① 정보통신보안담당관(분임정보통신보안담당관을 포함)은 소속 공무원에 대한 정보통신 보안교육계획을 수립 시행해야 한다. ② 신규 임용자에 대하여는 부서 배치 전에 필요한 정보통신 보안 기본교육을 실시한다. ③ 제2항의 교육은 경찰교육기관에서 교육계획에 정보통신 보안 교육과목을 편성, 수립하여 실시한다. ④ 정보통신보안담당관은 직장훈련 계획에 소속 직원에 대한 정보통신 보안 교육계획이 포함되도록 해야 한다. ⑤ 정보통신보안담당관은 정보보안 관련 전문기관 교육 및 기술 세미나 참석을 장려하는 등 정보보안 담당자의 업무 전문성을 제고하기 위하여 노력해야 한다. 제12조(사이버ㆍ보안진단의 날) ① 각 경찰관서의 장은 매월 셋째 주 수요일을 사이버ㆍ보안진단의 날로 운영해야 한다. ② 정보통신보안담당관은 사이버ㆍ보안진단의 날에 정보통신망의 악성코드 감염 여부, 정보시스템의 보안 취약 여부 등 정보보안업무 전반에 대하여 체계적이고 종합적인 보안진단 시행을 총괄하고, 부서 분임정보통신보안담당관은 정보통신망과 정보시스템의 보안 취약 여부 확인 등 보안진단을 실시해야 한다. 제13조(정보통신 보안위규) ① 정보통신 보안위규 사항은 「별표 3」과 같다. ② 각 경찰관서의 장은 국가안보 및 국가이익에 중대한 영향을 미칠 수 있다고 판단되는 위규에 대해서는 가장 신속한 방법으로 별지 제38호서식 및 제39호서식에 따라 경찰청장에게 보고해야 한다. ③ 각 경찰관서의 장은 위규자 적발 시 감찰기능에 통보, 조사 후 그 결과를 경찰청장에게 서면으로 보고해야 한다. 다만, 경미한 사안에 대해서는 자체 시정조치로 갈음할 수 있다. 제14조(정보통신 보안사고) ① 각 경찰관서의 장은「별표 4」의 정보보안 사고가 발생한 때에는 즉시 피해확산 방지를 위한 조치를 취하고 다음 각 호의 사항을 경찰청장에게 보고해야 한다. 이 경우 사고원인 규명 시까지 피해시스템에 대한 증거를 보전하고 임의로 관련 자료를 삭제하거나 포맷해서는 아니 된다. 1. 일시 및 장소 2. 사고원인, 피해 현황 등 개요 3. 사고자 및 관계자의 인적사항 4. 그 밖에 조치가 필요한 사항 ② 경찰청장은 필요시 국정원장과 합동으로 사고조사를 실시하고 동일한 유형의 사고가 재발되지 않도록 제반 보안조치를 취한다. 다만, 경미한 사고의 경우에는 경찰청장이 각 경찰관서장에게 사고조사를 위임할 수 있다. ③ 각 경찰관서의 장은 규정에 따른 관련자를 감찰기능에 통보 징계, 재발방지를 위한 보안대책수립ㆍ시행 등 사고조사 후 그 결과를 경찰청장에게 서면으로 보고해야 한다. 제15조(정보통신 운용현황 보고) 각 경찰관서의 장은 다음 각 호에 해당하는 정보통신 운용현황을 관리해야 하며, 매년 2회(상ㆍ하반기) 경찰청장에게 보고해야 한다. 1. 정보통신 감사(지도방문 포함) 활동 현황 2. 정보통신망 보호활동 현황 3. 정보통신워크숍(업무협의) 및 암호자재 전파 현황 4. 일반팩스 및 인터넷PC 승인 현황 5. 자료소거장비 운용실적 및 디지털복사기 보유 현황 등 제16조(부책 보존기간) 이 규칙에 명시된 각종 부책의 보존기간은 「별표 5」와 같다. 제3장 정보시스템 보안 제1절 정보시스템 구축 및 운영 제17조(시스템 보안책임 범위) ① 각 경찰관서의 장은 정보시스템을 도입ㆍ사용할 경우, 사용자와 해당 시스템관리자 및 정보시스템 관리책임자를 지정 운영해야 한다. ② 사용자는 개인PC 등 소관 정보시스템을 사용하거나 본인 계정으로 정보통신망에 접속하는 것과 관련한 보안책임을 진다. ③ 시스템관리자는 서버ㆍ네트워크 장비 등 부서공통으로 사용하는 정보시스템의 운영과 관련한 보안책임을 진다. ④ 정보시스템 관리책임자는 정보시스템 운영에 대한 보안대책 수립 등 보안관리 총괄 및 관리ㆍ감독 책임을 진다. ⑤ 시스템관리자는 정보시스템 관리대장 별지 제37호서식을 수기 또는 전자적으로 운영 관리하고 정보시스템의 변경 최종 현황을 상시 유지해야 하며, 초기 구축 및 변경 사항 발생 시 사본 1부를 정보통신보안담당관에게 제출해야 한다. ⑥ 정보통신보안담당관은 제1항부터 제5항까지에 명시된 정보시스템 운용과 관련한 보안취약점을 발견하거나 보안대책 강구가 필요하다고 판단할 경우, 사용자ㆍ시스템관리자 및 정보시스템 관리책임자에게 시정을 요구할 수 있다. 제18조(정보시스템 구축보안) ① 정보시스템 관리책임자는 정보시스템을 자체적으로 구축 및 개발할 경우에는 자체보안대책을 수립하고 적절성 확인을 위하여 관련 사업 계획단계에서(사업 공고 전) 경찰청장에게 보안성 검토를 의뢰해야 한다. 보안성 검토와 관련된 세부사항은 제3장 중 제4절 보안성 검토를 준용한다. ② 정보화사업담당자는 정보시스템을 자체적으로 구축 및 개발하고 자 하는 경우에는 다음 각 호의 사항을 고려하여 보안대책을 수립하고 정보통신보안담당관의 승인을 받아야 한다. 1. 독립된 개발시설을 확보하고 비인가자의 접근 통제 2. 개발시스템과 운영시스템의 물리적 분리 3. 소스코드 관리 및 소프트웨어 보안관리 ③ 정보화사업담당자는 외부용역 업체와 계약하여 정보시스템을 구축ㆍ개발하고자 하는 경우에는 다음 각 호의 사항을 고려하여 보안 대책을 수립하고 정보통신보안담당관의 승인을 받아야 한다. 1. 외부인력 대상 신원확인, 보안서약서 징구, 보안교육 및 점검 2. 외부인력의 보안준수 사항 확인 및 위반 시 배상책임의 계약서 명시 3. 외부인력의 정보시스템 접근권한 및 제공자료 보안대책 4. 외부인력에 의한 장비 반입ㆍ반출 및 자료 무단반출 여부 확인 5. 제2항제1호부터 제3호까지의 사항 ④ 정보시스템 관리책임자는 제2항 및 제3항과 관련하여 보안대책의 적절성을 수시로 점검하고 정보시스템 구축 및 개발을 완료한 경우에는 정보보안 요구사항을 충족하는지 시험 및 평가를 수행해야 하며 결과를 정보통신보안담당관에게 통보해야 한다. 제19조(정보시스템 유지보수) ① 정보시스템 관리책임자는 유지보수(하자보수 등)와 관련한 절차, 주기, 문서화 등을 수립해야 하며, 다음 각 호의 사항을 준용해야 한다. 1. 유지보수 인력에 대해 보안서약서 집행, 보안교육 등을 포함한 유지보수 인가 절차를 마련하고 인가된 유지보수 인력만 유지보수에 참여한다. 2. 결함이 의심되거나 발생한 결함, 예방 및 유지보수에 대한 기록을 보관한다. 3. 유지보수를 위하여 원래 설치장소 외 다른 장소로 정보시스템을 이동할 경우 통제수단을 강구한다. 4. 정보시스템의 유지보수 시에는 일시, 담당자 인적사항, 출입통제 조치, 정비내용 등을 기록ㆍ유지해야 한다. ② 시스템관리자는 자체 유지보수 절차에 따라 정기적으로 정보시스템 정비를 실시하고 관련 기록을 보관해야 한다. ③ 시스템관리자는 정보시스템의 변경이 발생할 경우 정보시스템의 설계ㆍ코딩ㆍ테스트ㆍ구현과정에서의 보안대책을 강구하며 정보시스템 관리책임자는 관련 적절성을 주기적으로 확인해야 한다. ④ 정보시스템 관리책임자는 시스템관리자 등이 유지보수와 관련된 장비ㆍ도구 등을 반출입할 경우 악성코드 감염여부, 자료 무단반출 여부를 확인하는 등 보안조치를 해야 한다. ⑤ 시스템관리자는 외부에서 원격으로 정보시스템을 유지보수 하는 것을 원칙적으로 금지하여야 하며 부득이한 경우에는 자체 보안대 책을 강구한 후 정보시스템 관리책임자의 승인을 받아 한시적으로 허용할 수 있다. 제20조(사용자 보안관리) ① 정보시스템 관리책임자는 소관 정보통신망(정보시스템 포함) 사용과 관련하여 다음 각 호의 사항을 포함한 사용자 보안에 관련된 절차 및 방법을 마련해야 한다. 1. 직위ㆍ임무별 정보통신망 접근 자격부여 심사 2. 비밀 등 중요정보 취급 시 비밀취급인가, 보안서약서 징구 등의 보안조치 3. 보직변경, 퇴직 등 인사이동시 관련 정보시스템 접근권한 조정 ② 정보시스템 관리책임자는 외부 인력을 활용하여 정보시스템의 개발ㆍ운영, 정비 등을 수행하는 경우 해당 인력의 고의 또는 실수로 인한 정보유출이나 파괴를 방지하기 위하여 보안조치를 수행해야 한다. 제21조(소프트웨어 개발보안) ① 정보시스템 관리책임자는 신규로 개발되거나 유지보수로 변경되는 소스코드 개발 시 소프트웨어 개발보안(Secure Coding)을 반드시 적용해야 한다. ② 정보화사업에 따른 정보시스템 구축사업 수행 시, 정보화사업담당자는 소프트웨어 개발보안을 위해 적절한 개발절차와 방법을 마련하여, 참여인력이 이를 준수하여 소프트웨어를 개발하게 해야 한다. ③ 정보화사업담당자는 참여인력을 대상으로 "소프트웨어 개발보안 가이드" 등 소프트웨어 개발보안 관련 교육을 실시해야 하며, 안전한 소프트웨어 개발을 위해 보안취약점 진단도구 사용 시 공통평가기준(Common Criteria)이 인증한 보안취약점 진단도구를 사용해야 한다. 제22조(접근권한 관리) ① 정보시스템 관리책임자는 해당 시스템의 특성에 따라 사용자에 대한 본인 확인 및 접근권한 부여에 관한 책임자(이하 "권한관리책임자"라 한다)를 지정 운영해야 하며 다음 각 호의 조치를 수행해야 한다. 1. 해당 시스템 특성에 맞는 접근권한 정책과 이에 따른 내부 관리계획의 수립 및 이행 2. 사용자 및 외주용역 업체의 직원에 대한 정보시스템 접근승인 내역과 사유 등을 기록ㆍ관리 3. 접근권한 책임 및 사용자 접근권한 위탁 4. 업무담당자에게 접근권한 차등 부여 5. 법령 또는 업무규정 등을 근거로 업무수행에 필요한 최소한의 범위로 사용자에 대한 접근권한 부여 기준 마련 6. 시스템관리자가 적절한 승인절차 없이 행정정보를 생성ㆍ열람ㆍ가공할 수 없도록 보안조치 7. 접근권한 부여 기준에 따른 심사 및 접근권한 부여ㆍ승인 8. 반기 1회 이상 접근권한 관리의 적절성 및 접근권한의 오ㆍ남용 여부를 점검 9. <삭제>(2025.12.18.) 10. 내부자 정보유출 방지 및 효율적 업무 수행을 위하여 업무담당자, 시스템 관리자를 대상으로 교육 실시 ② 권한관리책임자는 사용자 등록ㆍ관리 및 접근권한 부여를 위한 업무담당자를 지정ㆍ운영할 수 있고, 접근권한의 부여ㆍ변경ㆍ회수ㆍ삭제 내역을 3년 이상 보관해야 한다. ③ 사용자는 접근권한을 임의로 양도ㆍ대여해서는 안 되고, 권한관리책임자는 사용자가 접근권한을 임의로 양도ㆍ대여했는지 여부를 수시로 확인ㆍ감독해야 한다. ④ 정보시스템을 이용하고자 하는 업무담당자, 시스템관리자 및 외주직원 등은 별지 제36호서식을 작성하여 접근권한을 신청해야 한다. ⑤ 국가안보와 관련된 주요 정보시스템에 접근 시에는 행정전자서명인증서와 별도로 생체인식, 보안토큰, 스마트카드, 일회용 비밀번호(One Time Password) 등 보안성이 강화된 인증 방식을 동시에 사용할 수 있다. ⑥ 그 밖의 사항에 대해서는「행정기관 정보시스템 접근권한 관리규정」(국무총리령)을 준용한다. 제23조(접근기록 관리) ① 시스템관리자는 정보시스템의 효율적인 통제ㆍ관리, 사고 발생시 추적 등을 위해 사용자의 정보시스템 접근기록을 유지 관리해야 한다. ② 제1항의 접근기록에는 다음 각 호의 내용이 포함되어야 한다. 1. 접속자, 정보시스템ㆍ응용프로그램 등 접속 대상 2. 로그 온ㆍ오프, 파일 열람ㆍ출력 등 작업 종류, 작업 시간 3. 접속 성공ㆍ실패 등 작업 결과 4. 전자우편 사용 등 외부발송 정보 등 ③ 시스템관리자는 접근기록 시간의 정확성 확보를 위해 정보시스템 및 정보보호시스템을 표준시로 동기화하여 운영해야 하며, 표준시 동기화는 각 경찰관서에서 운영하는 타임서버를 활용해야 한다. ④ 시스템관리자는 접근기록을 분석한 결과 비인가자의 접속 시도, 정보 위ㆍ변조 및 무단삭제 등의 의심스러운 정황이나 위반한 사실을 발견한 경우 즉시 정보통신보안담당관에게 통보해야 한다. ⑤ 시스템관리자는 정보보안사고 발생 시 확인 등을 위하여 접근기록을 최소 1년 이상 보관해야 하며, 접근기록 위ㆍ변조 및 외부유출 방지 대책을 강구해야 한다. ⑥ 시스템관리자는 사용자가 「공공기관의 정보공개에 관한 법률」 제9조에 해당하는 비공개 대상정보를 생성ㆍ수정ㆍ삭제ㆍ열람 등을 하고자 하는 경우 다음 각 호의 사항을 포함하는 정보이용내역을 기록ㆍ보관해야 한다. 1. 접근 기록 및 이용 시간 2. 사용자 계정(ID) 등 식별 정보 3. 생성ㆍ변경ㆍ열람ㆍ수정ㆍ삭제ㆍ다운로드ㆍ출력한 정보의 내용 및 그 사유 4. 그 밖에 접근권한의 오남용 및 정보 유출 여부를 검증하기 위해 필요하다고 판단하는 정보 ⑦ 시스템관리자는 제6항에 따른 정보이용내역을 전산자료 저장매체를 이용하여 최소한 1년 이상 보관해야 한다. ⑧ 시스템관리자는 필요시 정보이용내역에 대하여 적절성 및 오남용 여부를 점검할 수 있다. ⑨ 시스템관리자는 제6항에 따른 정보이용내역이 변경되거나 삭제될 수 없도록 시스템을 구축하고, 권한관리책임자의 사전 승인이 없는 한 시스템관리자 외에는 어느 누구도 접근할 수 없도록 해야 한다. 제24조(사용자 계정 관리) ① 시스템관리자는 사용자에게 정보시스템 접속에 필요한 사용자 계정(ID) 부여 시 비인가자 도용 및 불법 접속에 대비하여 다음 각 호의 사항을 준수해야 한다. 1. 사용자별 또는 그룹별로 접근권한 부여 2. 외부인에게 계정 부여는 불허하되 업무상 불가피한 경우는 정보 시스템 관리책임자가 판단하여 최소한으로 부여 3. 비밀번호 등 사용자 식별 및 인증 수단이 없는 사용자계정 사용 금지 ② 시스템관리자는 사용자가 5회 이상에 걸쳐 로그인 실패 시 정보 시스템 접속을 중단시키도록 시스템을 설정하고 비인가자의 침입여부를 확인ㆍ점검해야 한다. ③ 시스템관리자는 직원의 퇴직 또는 보직변경 발생 시 사용하지 않는 사용자계정을 신속히 삭제하고, 특별한 사안이 없는 한 유지보수 등을 위한 외부업체 직원에게 관리자계정 제공을 금지해야 한다. ④ 정보시스템 관리책임자는 사용자계정의 부여 및 관리가 적절한 지 연 2회 이상 점검하고 결과를 정보통신보안담당관에게 통보해야 한다. 제25조(비밀번호 등 관리) ① 사용자는 비밀번호 설정 사용 시 정보시스템의 무단사용 방지를 위하여 다음 각 호와 같이 구분해야 한다. 1. 비인가자의 정보시스템 접근방지를 위한 장비 접근용 비밀번호(1차) 2. 정보시스템 사용자가 서버 등 정보통신망에 접속 인가된 인원 인지 여부를 확인하는 사용자인증 비밀번호(2차) 3. 문서에 대한 열람ㆍ수정 및 출력 등 사용권한을 제한할 수 있는 자료별 비밀번호(3차) ② 비밀번호는 다음 각 호의 사항을 반영하여 숫자와 문자, 특수문자 등을 혼합하여 9자리 이상으로 정하고, 분기별로 1회 이상 주기적으로 변경 사용해야 한다. 1. 사용자계정(ID)과 동일하지 않은 것 2. 개인 신상 및 부서명칭 등과 관계가 없는 것 3. 일반 사전에 등록된 단어는 사용을 피할 것 4. 동일단어 또는 숫자를 반복하여 사용하지 말 것 5. 사용된 비밀번호는 재사용 금지 6. 동일 비밀번호를 여러 사람이 공유하여 사용하지 말 것 7. 응용프로그램 등을 이용한 자동 비밀번호 입력기능 사용 금지 8. 시스템 초기 사용 및 초기화에 부여된 임시 비밀번호는 로그인 후 즉시 변경 사용 ③ 입력되는 비밀번호는 마스킹(*) 또는 음영처리가 되도록 구현 ④ 서버에 등록된 비밀번호는 암호화하여 저장해야 한다. ⑤ 각 경찰관서의 장은 정보시스템에서 사용자를 식별 또는 인증하기 위하여 비밀번호에 갈음하거나 병행하여 지문인식 등 생체인증 기술 및 일회용 비밀번호 생성기(OTP) 등을 사용할 수 있다. 이 경우 생체인증 정보는 안전하게 보관해야 한다. 제2절 정보시스템 보안관리 제26조(서버 보안관리) ① 시스템관리자는 서버를 도입 운영할 경우, 정보통신보안담당관과 협의하여 해킹 등의 자료 절취, 위ㆍ변조 등에 대비한 다음 각 호의 보안대책을 수립ㆍ시행해야 한다. 1. 신규(교체 등) 도입되는 서버는 보안취약점 점검 및 제거 후 전산망에 연결해야 한다. 2. 서버 저장자료에 대해 업무별ㆍ자료별 중요도에 따라 사용자의 접근권한을 차등 부여해야 한다. 3. 사용자별 자료의 접근범위를 서버에 등록하여 인가여부를 식별 하도록 하고 인가된 범위 이외의 자료접근을 통제해야 한다. 4. 서버의 운영에 필요한 서비스 포트 외에 불필요한 서비스 포트를 제거하며 관리용 서비스와 사용자용 서비스를 분리 운영해야 한다. 5. 운영체제(OS)는 최신의 보안패치를 유지해야 하며 악성코드 감염 방지를 위한 백신프로그램 등을 설치해야 한다. 6. 서버의 관리용서비스 접속 시 특정 IP와 MAC 주소가 부여된 관리용 단말을 지정 운영해야 한다. 7. 서버 설정 정보 및 서버에 저장된 자료에 대해서는 정기적으로 백업을 실시하여 복구 및 침해행위에 대비해야 한다. 8. 데이터베이스에 대하여 사용자의 직접적인 접속을 차단하고 개인정보 등 중요정보를 암호화하는 등 데이터베이스별 보안조치를 실시해야 한다. 9. 제1호부터 제8호까지에서 수립한 보안대책의 적절성을 수시 확인하고 연 1회 이상 보안도구를 이용하여 서버 설정 정보 및 저장 자료의 절취, 위ㆍ변조 가능성 등 보안취약점을 점검해야 한다. ② 정보통신보안담당관은 제1항의 보안관리 실태 점검을 실시해야 하며 이에 따른 보안대책 수립 및 시정을 요구할 수 있다. 제27조(웹서버 등 공개서버 보안관리) ① 시스템관리자는 외부인에게 공개할 목적으로 설치되는 웹서버 등 공개서버를 분리된 영역(Demilitarized Zone)에 설치ㆍ운영해야 한다. ② 정보시스템 관리책임자는 비인가자의 서버 저장자료 절취, 위ㆍ변조 및 분산서비스거부(DDoS) 공격 등에 대비하기 위하여 국정원장이 안전성을 검증한 침입차단ㆍ탐지시스템 및 DDoS 공격대응시스템을 설치하는 등 보안대책을 강구해야 한다. ③ 시스템관리자는 비인가자의 공개서버에 있는 비공개 정보에 대한 무단 접근을 방지하기 위하여 서버 접근 사용자를 제한하고 불필요한 계정을 삭제해야 한다. ④ 시스템관리자는 공개서버의 서비스에 필요한 프로그램을 개발하고 시험하기 위하여 사용된 도구(컴파일러 등)는 개발 완료 후 삭제를 원칙으로 한다. ⑤ 공개서버의 보안 관리에 관련한 그 밖의 사항에 대해서는 제26조(서버 보안관리)에 따른다. 제28조(홈페이지 게시자료 보안관리) ① 각 경찰관서의 장은 개인정보를 포함한 중요 업무자료가 홈페이지에 무단 게시되지 않도록 게시자료의 범위ㆍ방법 등을 명시한 자체 홈페이지 정보공개 보안대책을 수립 시행해야 한다. ② 사용자는 개인정보, 비공개 공문서 및 민감 내용 등이 포함된 자료를 홈페이지에 공개해서는 아니 된다. ③ 홈페이지에 정보를 게시하고자 하는 부서의 장은 비밀 등 비공개 자료가 게시되지 않도록 해야 하며, 필요한 경우 정보통신보안담당관과 협의하여 사전에 자체 보안심사위원회의 심사를 거쳐 게시여부를 결정할 수 있다. 다만, 기존에 게시한 자료 내용 중 단순한 수치를 변경하는 등의 경미한 사항에 대하여는 예외로 한다. ④ 사용자는 인터넷 블로그ㆍ카페ㆍ게시판ㆍ개인 홈페이지 또는 소셜네트워크 서비스(Social Networking Service) 등 일반인에 공개된 전산망에 경찰 업무관련 자료를 무단 게재해서는 아니 된다. ⑤ 정보시스템 관리책임자는 해당 홈페이지 등에 비공개 내용이 게시되었는지 여부를 주기적으로 확인하고 개인정보를 포함한 비공개자료가 홈페이지에 공개되지 않도록 보안교육을 주기적으로 실시해야 한다. ⑥ 각 경찰관서의 장은 홈페이지에 중요정보가 공개 된 것을 인지 할 경우 이를 즉시 차단하는 등의 보안조치를 강구해야 한다. 제29조(전자우편 등 보안관리) ① 시스템관리자는 웜ㆍ바이러스 등 악성코드로부터 사용자 PC 등 전자우편 시스템 일체를 보호하기 위하여 국가정보원장이 안전성을 확인한 백신, 해킹메일 차단시스템을 구축하는 등 보안대책을 강구해야 한다. ② 사용자는 상용 전자우편을 이용한 업무자료 송ㆍ수신을 금지하며 경찰 전자우편으로 송ㆍ수신한 업무자료는 열람 등 활용 후 메일함에서 즉시 삭제해야 한다. ③ 사용자는 메일에 포함된 첨부파일이 자동 실행되지 않도록 설정하고 첨부파일 다운로드 시 반드시 최신 백신으로 악성코드 은닉여부를 검사해야 한다. ④ 사용자는 출처가 불분명하거나 의심되는 제목의 전자우편은 열람을 금지하고 해킹메일로 의심되는 메일 수신시에는 즉시 경찰청 사이버보안관제센터로 신고해야 한다. ⑤ 사용자는 전자우편을 사용하는 PC에 대하여 제45조(PC 등 보안관리) 및 제25조(비밀번호 관리)에 명시된 보안조치 사항을 준수해야 한다. ⑥ 시스템관리자는 수신된 전자우편의 발신지 IP주소와 국가명이 표시되고 해킹메일 원본을 신고할 수 있는 기능을 갖춘 웹메일시스템을 구축해야 한다. 제30조(디지털복합기 보안관리) ① 각 경찰관서의 장은 디지털복합기(이하 "복합기"라 한다)를 도입하고자 할 경우 복합기의 저장매체에 보관된 자료유출 방지를 위하여 자료의 완전삭제 기능이 탑재된 제품을 도입해야 한다. ② 복합기 관리자는 제1항에 따라 복합기를 도입하거나 임차해서 설치ㆍ운용할 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행해야 한다. 1. 암호화 저장 기능이 있는 경우 기능 사용 2. 정기적으로 저장된 작업 내용(출력ㆍ스캔 등) 완전삭제 3. 공유 저장소 사용 제한 및 접근 제어 4. 고정 IP주소를 설정하고 불필요한 서비스 제거 ③ 시스템관리자는 다음 각 호의 경우에 복합기 저장매체의 저장자료를 완전히 삭제해야 한다. 1. 복합기의 사용 연한이 경과하여 폐기ㆍ양여할 경우 2. 복합기의 무상 보증기간 중 저장매체 또는 복합기 전체를 교환할 경우 3. 고장수리를 위한 외부반출 등 해당 부서 복합기의 저장매체를 보안 통제 할 수 없는 환경으로 이동할 경우 4. 복합기의 임차 기간이 만료되어 반납하는 경우 5. 그 밖에 해당 부서에서 저장자료 삭제가 필요하다고 판단하는 경우 ④ 시스템관리자는 복합기의 소모품 등을 교체하기 위한 유지보수 시 입회ㆍ감독하여 저장매체 무단 교체 및 반출 등 예방 조치를 실시해야 한다. ⑤ 정보통신보안담당관은 경찰관서의 저장매체 내장 복합기 현황을 파악하고 복합기의 유지보수 및 불용처리 시 저장매체에 대한 보안관리 실태를 점검하고 보완하도록 조치해야 한다. ⑥ 복합기의 저장자료 삭제 방법 등에 관련한 구체적인 사항은 제53조(정보시스템 저장매체 불용처리)를 준용한다. 제31조(첨단 정보통신기기 보안관리) ① 각 경찰관서의 장은 전자제어장비 등 첨단정보통신기기를 활용하여 업무자료 등 중요정보를 소통ㆍ관리 하고자 하는 경우 관련 보안대책을 수립ㆍ시행해야 하며 다음 각 호의 사항을 포함해야 한다. 1. 첨단 정보통신기기에 대한 장치 인증 및 사용자 인증 2. 제어신호, 통화내용 등 데이터의 암호화 3. 업무자료의 무단 저장 금지 및 업무용ㆍ인터넷 PC에 무단 연동 금지 4. 시스템의 분실ㆍ훼손ㆍ탈취 등에 대비한 관리적ㆍ물리적ㆍ기술적 보안대책 ② 정보통신보안담당관은 개인이 소지한 첨단 정보통신기기가 업무와 무관하더라도 업무자료 유출에 직ㆍ간접적으로 악용될 소지가 있다고 판단될 경우, 반출ㆍ반입 통제 등 관련 대책을 강구할 수 있다. ③ 각 경찰관서의 장은 제2항과 관련한 보안대책 수립ㆍ시행을 위하여 경찰청장에게 해당 첨단 정보통신기기 도입에 따른 보안취약점 점검과 보안대책 등 기술지원을 요청 할 수 있다. ④ 각 경찰관서의 장은 제2항과 관련한 정보통신기기 사용자를 대상으로 인증 및 암호화에 필요한 전자정보를 발급할 수 없는 경우,「정보통신기기 암호기술 적용지침」(국가정보원)을 준수해야 한다. 제32조(스마트폰 등 모바일 행정업무 보안관리) ① 각 경찰관서의 장은 스마트폰 등을 활용하여 내부행정업무와 현장행정업무 및 대민서비스업무 등 모바일 업무환경을 구축할 경우 보안대책을 수립ㆍ시행해야 한다. ② 그 밖에 상세한 사항은「국가ㆍ공공기관 모바일 활용 업무에 대한 보안가이드라인」(국가정보원)을 준수해야 한다. 제32조의2(원격근무 보안) ① 각 경찰관서의 장은 효율적인 업무수행을 위해 원격근무가 필요한 경우 소속 공무원이 근무지 외의 장소에서 정보시스템에 접속하는 것을 허가할 수 있다. ② 제1항의 허가를 받은 공무원이 접속할 수 있는 서버는 다음 각 호와 같다. 이때 공무원은 인터넷을 통한 본인 인증을 거쳐 서버에 접속해야 한다. 1. 기관 인터넷망(각 경찰관서의 장이 소속 공무원 등의 업무 활용 또는 공개서버 운용을 주목적으로 인터넷과 연동하여 구축한 정보통신망을 말한다.)에 위치한 서버 2. 제55조제1항제4호의 보안대책이 마련되는 업무망 서버 ③ 원격 근무자가 이용할 수 있는 구체적인 정보시스템은 각 정보시스템 운영부서의 장의 신청을 거쳐 보안업무규정 시행 세부규칙 제5조의 보안심사위원회가 결정한다. 이 경우 비밀(대외비 포함)에 해당하는 업무는 취급할 수 없다. ④ 각 경찰관서의 장은 원격근무를 시행하고자 할 경우 다음 각 호의 보안대책을 마련해야 한다. 1. 검증필 암호모듈이 탑재된 정보보호시스템을 사용해 정보시스템과 원격근무자의 단말기 간 소통구간 암호화 2. 원격근무자를 식별 또는 인증하기 위하여 공인인증서, 생체인증 기술 또는 일회용 비밀번호 생성기(OTP) 등 보안성을 강화한 사용자 인증방식 3. 자료유출방지시스템(DLP) 사용 등 업무자료 보호대책 ⑤ 원격근무자는 각 경찰관서의 장이 원격근무용 단말기(개인 소유의 정보통신기기를 포함한다)의 보안을 위하여 행하는 다음 각 호의 조치에 따라야 한다. 1. 각 경찰관서의 장이 제공하는 보안소프트웨어 설치ㆍ운영 2. 제45조 제2항에 따른 보안대책 3. 자료유출 사고가 발생한 경우 그 사고 조사를 위한 각 경찰관서의 장의 점검 및 자료제출 요청 ⑥ 각 경찰관서의 장은 원격 근무자에게 별지 제40호서식의 원격근무 보안서약서를 받고 직위ㆍ임무에 부합한 구체적 정보시스템 접근권한을 부여해야 한다 ⑦ 그 밖에 원격근무 보안과 관련한 사항은 국가정보원장이 배포한 「원격업무 통합보안매뉴얼」을 준수해야 한다. 제3절 정보화용역사업 보안관리 제33조(용역사업 보안관리) ① 각 경찰관서의 장은 정보화ㆍ정보보호사업 및 보안감리ㆍ보안컨설팅 수행 등을 외부 용역으로 추진할 경우 경찰청장의 사전 보안성 검토를 거친 보안대책을 수립ㆍ시행하고, 다음 각 호의 보안대책을 준수해야 한다. 1. 용역업체가 사업의 일부 또는 전부에 대하여 하도급 계약을 체결하는 경우에 용역업체로 하여금 하도급 계약서에 본 사업계약 수준의 비밀유지 조항을 포함하도록 조치해야 한다. 2. 용역인력 신원조사 대상자에 대한 조사결과를 고지하거나 누설 행위를 금지하며, 업무상 직접적인 관련이 없이 신원기록을 열람하지 않도록 하는 등 신원조사 정보에 대한 보안을 유지해야 한다. ② 정보화사업담당자는 용역업무 수행 공간 현장점검과 용역인력에 대한 보안교육을 월 1회 이상 실시해야 한다. ③ 정보화사업담당자는 필요한 경우 용역사업에 투입된 PC 등에 대하여 용역사업 관련자료 회수 및 삭제조치에 대한 이행여부를 확인해야 한다. ④ 정보화사업담당자는 용역사업 관련 규정에서 정한 보안대책에 대한 자체점검 결과를 분기별로 정보통신보안담당관에게 제출해야 하며, 정보통신보안담당관은 연 1회 실태점검을 실시하고 미비점 발견 시 보완하도록 조치해야 한다. ⑤ 그 밖의 사항에 대하여는 "경찰청 용역업체 보안관리 가이드라인"을 준용한다. 제34조(정보시스템 위탁운영 보안관리) ① 정보시스템관리책임자는 정보시스템에 대한 외부업체의 위탁 운영을 최소화하되, 위탁 운영과 관련된 관리적ㆍ물리적ㆍ기술적 보안대책을 수립하여 시행해야 한다. ② 정보시스템의 위탁 운영은 여타 기관 또는 업체 직원이 해당 관서에 상주하여 수행하는 것을 원칙으로 한다. 다만, 해당 관서에 위탁업무 수행 직원의 상주가 불가한 타당한 사유가 있을 경우, 관련 보안대책을 수립 시행하는 조건으로 그러하지 아니할 수 있다. ③ 정보시스템의 위탁운영과 관련하여 동 조문에 명시되지 않은 사항에 대해서는 제33조(용역사업 보안관리)를 준용한다. 제4절 보안성 검토 제35조(안전성 확보) ① 각 경찰관서의 장은 정보통신서비스의 제공에 사용되는 정보통신망의 안전성 및 정보의 신뢰성을 확보하기 위한 보안조치를 해야 한다. ② 각 경찰관서의 장은 새로이 정보통신망을 구축하거나 정보통신서비스를 제공하고자 하는 때에는 그 계획 또는 설계에 정보보안에 관한 사항을 고려해야 한다. ③ 각 경찰관서의 장은 사업추진 시 다음 각 호의 보안사항이 포함되도록 이행 대책을 강구해야 한다. 1. 정보보호 관리체계의 수립 및 관리 ㆍ 운영 2. 정보보호 취약점 분석 ㆍ 평가 및 개선 3. 침해사고의 예방 및 대응 4. 사전 정보보호대책 마련 및 보안조치 설계 ㆍ 구현 5. 정보보안 사전 보안성 검토 6. 중요 정보의 암호화 및 보안서버 적합성 검토 7. 그 밖에 이 규칙 또는 관계 법령에 따라 정보보안를 위하여 필요한 조치의 이행 제36조(보안성 검토 신청) ① 다음 각 호의 정보화사업을 추진하는 부서에서는 자체 보안대책을 강구하고 안전성을 확인하기 위하여 사업 계획단계(사업공고 전)에서 경찰청장에게 보안성 검토를 요청해야 한다. 1. 비밀 등 중요자료의 생산, 등록, 보관, 사용, 유통 및 재분류, 이관, 파기 등 비밀 업무와 관련된 정보시스템 및 네트워크 구축 2. 암호자재와 상용 암호모듈ㆍ정보보호시스템을 도입 운용하고자 할 경우 3. 국방ㆍ외교 등 국가안보상 중요한 정보통신망 및 정보시스템의 구축 4. 대규모 정보시스템(10억 이상 사업) 또는 다량의 개인정보(100만명 이상)를 처리하는 정보시스템 구축 5. 전력ㆍ교통 등 국민생활과 밀접한 정보통신기반시설의 중요 제어시스템 구축 6. 업무망을 인터넷이나 타 기관 전산망 등과 연동하는 경우 7. 업무망과 연결되는 무선 네트워크 시스템 구축 8. 클라우드 서비스 등 첨단 IT기술을 업무에 활용하는 시스템 구축 9. 원격근무시스템 구축 10. 업무망과 인터넷 분리사업 11. 그 밖에 정보통신 운용환경 변화로 보안성 검토가 필요하다고 판단하는 정보화사업 ② 각 경찰관서의 장은 협의과정에서 단순 교체ㆍ증설하는 등 사안이 경미하다고 판단하는 경우에는 경찰청장의 승인을 받아 보안성 검토를 생략하거나 절차 및 제출자료 등을 간소화할 수 있다. ③ 각 경찰관서의 장은 해당 년도의 정보화사업 보안성 검토 대상 현황을 매년 1월 15일까지 경찰청장에게 제출해야 한다. 이 경우 제7조 규정에 따른 정보통신 보안업무 세부추진계획을 활용하거나 별도로 제출할 수 있다. 제37조(보안성 검토 절차) ① 각 경찰관서의 장이 경찰청장에게 정보통신망 보안성 검토를 의뢰하는 업무 절차는 다음 사항을 준수해야 한다. 1. 각 경찰관서의 장은 자체적으로 수립한 보안대책에 대하여 보안심사위원회 심의를 거친 후 경찰청장에게 보안성 검토를 요청해야 한다. 2. 각 시ㆍ도경찰청 및 부속기관은 경찰청에 보안성 검토를 요청하고, 경찰서는 시ㆍ도경찰청을 경유하여 보안성 검토를 요청한다. ② 각 경찰관서의 장은 제36조제1항에서 명시한 사안을 제외한 경미한 사업을 추진할 경우에 각 경찰관서에 대한 보안성 검토를 자체 수행 한다. ③ 정보통신망 보안성 검토는 서류 검토를 원칙으로 하되 경찰청장이 필요하다고 판단하는 경우에는 현장 확인을 병행 실시할 수 있다. ④ 정보통신보안담당관은 보안성 검토를 마친 사업에 대하여 사후 수립된 보안대책 반영 여부를 점검ㆍ관리할 수 있다. 제38조(제출문서) ① 각 경찰관서의 장은 정보통신망 보안성 검토를 요청할 경우에는 다음 각 호의 문서를 제출해야 한다. 1. 사업계획서(사업목적 및 추진계획 포함) 2. 기술제안 요청서(Request For Proposal) 3. 정보통신망 구성도(필요시, IP주소체계 추가) 4. 자체 보안대책 강구사항 ② 제1항제4호의 자체 보안대책 강구사항에는 다음 각 호의 내용을 포함해야 한다. 1. 보안관리 수행체계(조직, 인원) 등 관리적 보안대책 2. 정보통신시스템 설치장소에 대한 보안관리 방안 등 물리적 보안대책 3. 암호자재 및 국가정보원장이 개발하거나 안정성을 검증한 암호모듈ㆍ정보보호시스템 도입 운용 계획 4. 국가기관 간 정보통신망 연동 시 해당 기관 간 보안관리 협의사항 5. 서버, 휴대용 저장매체, 네트워크 등 정보통신망의 요소별 기술적 보안대책 6. 재난복구 계획 또는 상시 운용계획 제39조(결과조치) ① 각 경찰관서의 장은 경찰청장의 보안성 검토 결과를 준수하여 보안대책을 보완해야 한다. 이 경우 경찰청장이 보안성 검토 결과 신속한 시정이 필요하다고 판단하는 경우에는 필요한 조치를 지시할 수 있으며, 해당 기관의 장은 특별한 사유가 없는 한 이에 따라야 한다. ② 경찰청장은 정보통신망 보안대책이 적절히 수립되었는지 등 이행여부 확인을 위하여 현장점검을 실시할 수 있다. 제5절 정보보호시스템의 도입 운용 제40조(정보보호시스템 도입) ① 각 경찰관서의 장은 정보통신망 등을 보호하기 위해 정보보호시스템, 네트워크 장비 등 보안기능이 있는 정보통신제품을 도입할 수 있다. ② 제1항의 제품에 중요자료 저장ㆍ소통을 위한 암호기능이 포함될 경우 국정원장이 승인한 암호알고리즘 및 검증필 암호모듈을 탑재해야 하며 구체적인 사항은 국가 정보보안 기본지침을 준수한다. 제41조(보안적합성 검증 신청) ① 각 경찰관서의 장은 정보보호시스템, 네트워크 장비 등 보안기능이 있는 정보통신제품을 도입할 경우 운용 전 경찰청장에게 보안적합성 검증을 신청해야 한다. ② 보안적합성 검증대상은 다음 각 호와 같다. 1. 상용 정보보호시스템 2. 각 경찰관서의 장이 자체 개발하거나 외부업체 등에 의뢰하여 개발한 정보보호시스템 3. 저장매체 소거장비 혹은 완전삭제 소프트웨어 제품 4. 네트워크 장비(L3 이상 스위치ㆍ라우터 등) 및 보안기능이 있는 L2스위치 5. 제39조의 보안성 검토 결과 세부 검증이 필요하다고 판단된 보안기능이 있는 정보시스템 등 ③ 제2항에도 불구하고 다음 각 호의 경우에는 검증을 생략할 수 있다. 1. 국내용 CC 인증제도에 따라 인증을 받은 정보보호시스템 2. 검증필 제품목록에 등재된 저장매체 소자장비 혹은 완전삭제 소프트웨어 제품 3. 암호모듈 검증제도를 통해 국가정보원장이 안전성을 확인한 제품 4. 그 밖에 국정원장이 보안적합성 검증이 불요하다고 인정한 시스템 ④ 제3항제1호 제품은 보안적합성 검증을 생략할 수 있으나 국가 정보보안 기본지침에 별지서식 정보보호시스템 도입 확인서, 운영점검사항을 시스템 도입 후 3주내에 경찰청장을 경유 국정원장에 제출해야 한다. 제42조(제출문서) ① 보안적합성 검증 신청에 필요한 제출문서는 국가 정보보안 기본지침을 준수해야 한다. ② 경찰청장은 제1항의 제출문서 이외에 보안적합성 검증에 필요하다고 판단될 경우 추가 자료를 요청할 수 있으며, 이 경우 요청받은 기관의 장은 특별한 사유가 없는 한 15일 이내에 추가 자료를 제출해야 한다. 제43조(무단변경 및 오용금지) 각 경찰관서의 장은 보안적합성 검증이 완료된 시스템의 형상을 무단 변경하거나 도입 목적이외의 용도로 운용하여서는 아니 된다. 제44조(정보보호시스템 보안관리) ① 시스템관리자는 정보보호시스템에 대하여 허용된 네트워크 접속 이외의 접속시도를 차단해야 한다. ② 시스템관리자는 분기별 1회 이상 각 정보보호시스템의 보안정책을 점검하여 현재 사용하고 있지 않거나, 사용기간이 경과된 보안정책은 분임정보통신보안담당관의 승인 후 삭제해야 한다. ③ 시스템관리자는 정보보호시스템의 보안정책을 네트워크 특성에 맞춰 최적의 상태로 운영되도록 관리해야 한다. ④ 시스템관리자는 다음 각 호에 따라 정보보호시스템 로그를 관리해야 한다. 1. 로그 기능이 항상 가동되도록 하고, 수시로 모니터링 해야 한다. 2. 정보보호시스템 환경설정의 변경사항을 기록하고, 정책 예외사항도 로그를 기록해야 한다. 제4장 사용자 보안 제45조(PC 등 보안관리) ① PCㆍ노트북 ㆍ 모바일 기기 등 (이하 "PC 등" 이라 한다) 사용자는 사용과 관련한 일체의 보안관리 책임을 가지며 분임정보통신보안담당관은 부서 내 PC 등 현황을 관리ㆍ감독해야 한다. ② 사용자는 비인가자가 PC 등을 무단으로 조작하여 전산자료를 절취, 위ㆍ변조 및 훼손시키지 못하도록 다음 각 호의 보안대책을 준수해야 한다. 1. 장비(부팅 비밀번호)ㆍ자료(문서자료 암호화 비밀번호)ㆍ사용자(로그온 비밀번호)별 비밀번호를 주기적으로 변경 사용 2. 10분 이상 작업을 중단 할 경우 비밀번호 등이 적용된 화면보호기 설정 3. PC용 최신 백신ㆍ보안USB프로그램, 침입차단ㆍ방지시스템 등을 운용하고 운영체제(Operating System) 및 응용프로그램(아래아한글, MS Office, Acrobat 등) 최신 보안패치 유지 4. 업무상 불필요한 응용프로그램 설치 금지 및 공유 폴더의 삭제 5. 정보통신보안담당관이 보급하는 보안 프로그램 임의 삭제 금지 ③ 사용자는 PC 등을 교체, 반납 및 수리 등의 사유로 경찰관서 외부로 반출할 경우 하드디스크에 수록된 업무용 자료를 삭제해야 하고, 내부로 반입할 때는 최신 백신 등을 활용하여 해킹프로그램 감염 여부를 점검해야 한다. ④ 분임정보통신보안담당관은 PC 등을 외부 반출시 하드디스크의 업무용 자료 삭제 여부 및 내부 반입 시 해킹프로그램 감염 여부를 확인해야 하며, 별지 제11호서식의 컴퓨터 반출ㆍ입 대장에 기록ㆍ유지해야 한다. 제46조(PC 등 사용 승인요청) ① 분임정보통신보안담당관은 업무망 및 인터넷망 사용을 위하여 PC 등을 지정 운용하고자 할 경우에는 업무망은 별지 제21호서식, 인터넷망은 별지 제22호서식의 사용요청서를 작성하고 정보통신보안담당관에 제출하여 사용승인을 얻은 후 사용해야 한다. ② 정보통신보안담당관은 사용 승인 후 업무망 및 인터넷망 단말기관리대장 시스템에 등록ㆍ관리해야 한다. ③ PC 등을 사용하는 분임정보통신보안담당관은 다음 각 호의 사항을 준수해야 한다. 1. 컴퓨터를 교체하는 경우에는 승인번호, 기기번호, 제조번호 등의 변동내역을 정보통신보안담당관에게 통보해야 한다. 2. 업무망과 인터넷망을 겸용하여 사용하고자 할 때에는 두 망을 분리할 수 있는 행정정보보호용 제품을 사용해야 한다. 제47조(개인소유 컴퓨터 보안관리) ① 등록되지 않은 개인 소유의 PC 등을 경찰관서에 반입하여 사용해서는 아니 된다. 다만, 부득이한 사유로 개인 소유의 컴퓨터를 반입하여 사용하려면 별지 제12호서식의 개인소유컴퓨터 사용요청서에 따라 정보통신보안담당관의 사전승인을 받은 후 사용해야 한다. ② 정보통신보안담당관은 별지 제13호서식의 개인소유 컴퓨터 등록대장을 비치하고, 승인 및 해지 내용을 기록ㆍ유지해야 한다. ③ 전출ㆍ퇴직 등의 사유로 사용승인을 해지할 때에는 정보통신보안담당관의 확인을 받은 후 반출해야 한다. ④ 제1항에 따라 사용이 승인된 개인소유 컴퓨터에 대한 보안관리는 제45조(PC 등 보안관리)를 준용한다. 제48조(인터넷PC 보안관리) ① 사용자는 인터넷과 연결된 PC(이하 "인터넷PC"라 한다)에 대하여 비인가자가 무단으로 조작하여 전산자료를 절취, 위ㆍ변조 및 훼손시키지 못하도록 다음 각 호의 보안대책을 준수해야 한다. 1. 메신저ㆍP2Pㆍ웹하드 등 업무에 무관하거나 보안에 취약한 프로그램과 비인가 프로그램ㆍ장치의 설치 금지 2. 음란ㆍ도박ㆍ증권 등 업무와 무관한 사이트 접속 금지 3. 인터넷PC에서 무단으로 업무자료의 작성ㆍ저장 및 소통 금지 ② 누구든지 경찰관서에서 상용인터넷망(기관 인터넷망과 별개로 소속 공무원 등이나 민원인 등의 보편적인 편의성을 위하여 인터넷에 연동하여 구축한 정보통신망을 말한다. 이하 이 조에서 같다)을 사용할 수 없다. 다만, 수사 등에 사용할 목적으로 보안심사위원회의 심사를 개최한 후 보안성검토를 실시하여 정보통신보안담당관의 승인을 얻은 경우는 예외로 한다. ③ 각 경찰관서의 장은 반기별로 1회 이상 제2항의 단서에 따라 경찰관서에서 사용되고 있는 상용인터넷망의 구축 및 운영 현황을 상급 경찰관서의 장에게 보고해야 한다 ④ 그 밖에 인터넷PC의 보안관리는 제45조(PC 등 보안관리)를 준용한다. 제49조(휴대용 저장매체 보안관리) ① 각 경찰관서의 장은 휴대용 저장매체를 사용하여 업무자료를 보관하고자 할 경우 자료의 위ㆍ변조, 휴대용 저장매체의 훼손ㆍ분실 등에 대비한 보안대책을 수립ㆍ시행한다. ② 정보통신보안담당관은 사용자가 USB메모리를 PC등에 연결 시 자동 실행되지 않도록 하고 최신 백신으로 악성코드 감염여부를 자동 검사하도록 보안 설정해야 한다. ③ 그 밖에 휴대용 저장매체 보안과 관련한 사항은 국가정보원장이 배포한 「USB메모리 등 휴대용 저장매체 보안관리지침」을 준수해야 한다. 제50조(휴대용 저장매체 반입ㆍ반출 및 불용) ① 각 경찰관서의 장은 휴대용 저장매체의 등록 현황을 정기적으로 점검해야 한다. ② 휴대용 저장매체 관리자는 사용자가 휴대용 저장매체의 폐기ㆍ불용처리를 요구할 경우 저장자료가 복구 불가하도록 완전삭제 소프트웨어 등을 이용하여 삭제해야 한다. 다만, 완전삭제가 불가할 경우 파쇄해야 한다. 제51조(비밀의 전자적 처리) ① 각 경찰관서의 장은 비밀 등 중요자료를 정보시스템을 이용하여 생산ㆍ보관ㆍ분류ㆍ열람ㆍ출력ㆍ송수신ㆍ이관하는 등 전자적으로 처리하기 위해서는 암호자재를 사용하여 암호화 하는 등 보안조치를 수행해야 한다. ② 비밀자료를 생산하고자 할 때에는 해당 비밀등급과 예고문을 입력하여 열람 또는 출력할 때 비밀등급이 표시되도록 해야 한다. ③ 비밀자료의 입력ㆍ출력 및 열람을 할 때에는 별지 제20호서식의 비밀자료 입출력대장에 작업내용을 기록하여 유지하고 열람자 및 출력자료 수령자의 서명을 받아야 한다. ④ 비밀자료를 생산(입력)할 때에는 미리 비밀자료만 입력할 보조기억매체를 비밀등급별로 지정하여 사용하고 그 보조기억매체에는 비밀자료만을 입력해야 한다. 다만, 컴퓨터에 생산(입력)한 비밀자료를 저장할 경우 독립된 폴더를 지정, 암호자재를 사용하여 암호화하는 등 적절한 보안대책을 마련하여 사용할 수 있다. ⑤ 비밀자료 보관을 위한 보조기억매체를 사용하고자 하는 부서의 장은 매체별로 보조기억매체 전면에 비밀등급 및 등록번호가 표시된 별지 제16호서식의 비밀 보조기억매체 등록필증을 부착해야 한다. 이 경우 비밀 보조기억매체 등록사항을 비밀관리기록부에 등재하여 관리해야 한다. ⑥ 비밀자료가 수록된 보조기억매체는 보관함에 넣어 비밀에 준하여 관리해야 한다. ⑦ 비밀자료를 출력(생산)한 경우에는 입력된 비밀내용을 삭제해야 한다. 다만, 업무상 계속 보관이 필요한 경우에는 분임정보통신보안담당관의 승인을 받아 삭제하지 아니할 수 있으며, 이 경우에 별지 제20호서식의 비밀자료 입ㆍ출력대장 저장 확인란에 서명으로 승인을 갈음한다. 제52조(악성코드 감염 방지대책) ① 시스템관리자와 사용자는 웜ㆍ바이러스, 해킹프로그램, 스파이웨어 등 악성코드 감염을 방지하기 위해 다음 각 호의 사항을 준수해야 한다. 1. 사용자는 개인PC에서 작성하는 문서ㆍ데이터베이스 작성기 등 응용프로그램을 보안패치하고 백신은 최신상태로 업데이트ㆍ상시 감시상태로 설정 및 주기적인 점검을 실시해야 한다. 2. 사용자는 인터넷망에서 자료 입수 시 신뢰할 수 있는 인터넷사이트를 활용하되 최신 백신으로 진단 후 사용해야 한다. 3. 시스템관리자는 인터넷 연동구간의 침입차단시스템 등에서 유해사이트 등 접속을 차단하도록 보안설정 해야 한다. 4. 사용자는 웹브라우저를 통해 서명하지 않은(Unsigned) Active-X 등이 PC내에 불법 다운로드 되어 실행되지 않도록 보안 설정해야 한다. 5. 시스템관리자는 제1호부터 제4호까지의 보안대책과 관련, 정보통신보안담당관과 협조하여 사용자가 적용할 수 있는 보안기술을 지원해야 한다. ② 시스템관리자와 사용자는 시스템에 악성코드가 설치되거나 감염된 사실을 발견하였을 경우에 다음 각 호의 조치를 해야 한다. 1. 악성코드 감염원인 규명을 위하여 파일 임의삭제 금지 및 감염 시스템 사용을 중지하고 정보통신망과의 접속을 분리한다. 2. 악성코드의 감염확산 방지를 위하여 정보통신보안담당관에게 관련 사실을 즉시 보고한다. ③ 각 경찰관서의 장은 악성코드가 신종이거나 감염피해가 심각하다고 판단할 경우에는 관련사항을 경찰청장에게 신속히 보고해야 한다. ④ 각 경찰관서의 장은 경찰청장이 소속 기관에 악성코드 감염사실을 확인하여 조치를 지시할 경우, 즉시 이행해야 한다. 제53조(정보시스템 저장매체 불용처리) ① 사용자 및 시스템관리자는 하드디스크 등 전자정보 저장매체를 불용처리(교체ㆍ반납ㆍ양여ㆍ폐기 등)하거나 외부수리를 위해 반출할 경우 저장매체에 보관된 자료의 삭제 등 보안조치를 해야 한다. ② 저장매체에 저장된 자료를 삭제할 경우는 다음 각 호와 같다. 1. 사용연한이 경과하여 폐기 또는 양여할 경우 2. 유지관리(무상 및 유상) 기간 중 저장매체 또는 시스템을 교체할 경우 3. 임차 기간의 만료로 반납할 경우 4. 고장수리를 위한 외부 반출 등 해당 부서에서 저장매체를 보안 통제할 수 없는 환경으로 이동이 필요한 경우 5. 그 밖에 사용자 변경 등으로 저장자료 삭제가 필요한 경우 ③ 자료의 삭제는 해당 정보가 복구될 수 없도록「별표 6」의 기준에 따라 저장매체별, 자료별 차별화된 삭제방법을 적용해야 한다. ④ 정보시스템의 사용자가 변경된 경우, 비밀처리용 정보시스템은 완전포맷 3회 이상, 그 외의 정보시스템은 완전포맷 1회 이상으로 저장자료를 삭제해야 한다. ⑤ 시스템관리자 및 사용자는 저장자료의 삭제를 외부업체에 의뢰 할 경우 작업 장소에 입회하여 삭제 절차 및 방법의 준수여부 등을 확인ㆍ감독해야 한다. ⑥ 저장장치의 자성을 완전히 소멸시키거나 데이터를 완전히 삭제 시키는 전용 장비 또는 소프트웨어를 도입하는 경우 국가정보원의 보안 적합성 검증을 필한 제품을 도입해야 한다. ⑦ 자료소거장비(Software 포함)를 운영하는 부서에서는 별지 제34호서식으로 기록ㆍ유지해야 하며, 소거된 저장매체는 별지 제35호서식 스티커를 부착해야 한다. ⑧ 정보시스템(정보보호시스템 포함)의 도입 시 고장 수리 등을 위하여 공급업체가 저장매체를 교환ㆍ반출할 경우 및 정보시스템의 임차기간 만료 후 반납 시, 저장자료 삭제방법 등 저장매체 보안조치 방안을 계약서상에 포함해야 한다. ⑨ 시스템관리자는 정보시스템 외부반출시 다음 각 호에 따른 보안조치를 준수해야 한다. 1. 불용처리 등을 위해 정보시스템을 외부로 반출할 경우 정보통신보안담당관의 통제를 받아야 하며 현황을 기록ㆍ유지해야 한다. 2. 저장매체의 고장수리ㆍ저장자료 복구 등을 외부에 의뢰할 경우 저장매체에 저장된 자료의 유출 방지를 위해 수리 또는 복구 참여자에 대해 보안서약서 징구, 교육 등 필요한 보안조치를 해야 한다. 3. 정보시스템을 불용 처리할 경우 당해 시스템의 사용관서ㆍ부서ㆍ사용자 등을 인식할 수 있는 표시를 모두 제거해야 한다. ⑩ 정보통신보안담당관은 경찰관서 실정에 맞게 정보시스템별 저장자료 삭제방법을 지정할 수 있다. 제5장 정보통신망 및 시설 보안 제1절 정보통신망 보안 제54조(정보통신망 자료 보안관리) ① 각 경찰관서의 장은 다음 각 호에 해당하는 정보통신망 관련 현황ㆍ자료 관리에 유의해야 한다. 1. 정보시스템 운영현황 2. 정보통신망 구성현황 3. IP 할당현황 4. 주요 정보화사업 추진현황 ② 각 경찰관서의 장은 다음 각 호의 자료를 대외비로 분류하여 관리하여야 한다. 다만, 국가안보와 직결되는 중요한 정보통신망 관련 세부자료는 해당 등급의 비밀로 분류 관리해야 한다. 1. 정보통신망 세부 구성현황(IP 세부 할당현황 포함) 2. 암호자재 운영 현황 3. 보안취약점 분석ㆍ평가 결과물 4. 그 밖에 보호할 필요가 있는 정보통신망 관련 자료 ③ 제2항에 명시되지 않은 정보통신망 관련 대외비 및 비밀의 분류는 국가정보원장이 제정한「비밀 세부분류지침」(대외비)를 따른다. 제55조(업무망 보안관리) ① 각 경찰관서의 장은 업무자료를 소통하기 위한 정보통신망 구축 시 인터넷과 분리하도록 망을 설계하여야 하고, 이 경우 다음 각 호의 보안대책을 강구해야 한다. 1. 비인가자의 업무망ㆍ인터넷 침입 차단대책(침입차단ㆍ방지시스템 등) 2. 비인가 장비의 업무망 접속 차단대책(네트워크 관리시스템 등) 3. 업무PC의 인터넷 접속 차단대책 4. 업무망과 인터넷간 안전한 자료전송 대책 ② 업무망(인터넷 포함) 관리자는 정보시스템에 부여되는 ‘IP주소’를 체계적으로 관리하여야 하며 다음 각 호의 사항을 준수해야 한다. 1. 비인가자로부터 업무망(인터넷 포함)을 보호하기 위하여 사설 주소체계(Network Address Translation )를 적용해야 한다. 2. 인터넷망 사설주소체계(NAT)는 표준(RFC1918 등)을 준수하여야 하며 정보통신보안담당관은 정보보호 업무 수행을 위해 경찰관서 별로 IP주소 영역을 별도로 할당할 수 있다. 3. IP주소별로 정보시스템 접속을 통제하여 비인가 정보통신기기, PC 등을 이용한 업무망(인터넷 포함) 정보시스템 접속을 차단해야 한다. ③ 각 경찰관서의 장은 여타 기관의 망 및 인터넷과 연동하고자 하는 경우에는 보안관리 책임한계를 설정하고 망 연동에 따른 보안대책을 마련해야 한다. ④ 업무망 관리자는 제3항과 관련하여 비인가자의 망 침입을 방지하기 위하여 안전성이 검증된 침입차단ㆍ방지시스템을 운영하는 등 보안대책을 강구해야 한다. ⑤ 업무망 관리자는 업무망을 인터넷과 연동 시 효율적인 보안관리 를 위하여 연결지점을 최소화하여 운영해야 한다. ⑥ 업무망과 인터넷망 간의 자료교환은 망간자료전송시스템을 사용하여야 하고 전송로그는 6개월 이상, 원본파일은 3개월 이상 유지해야 한다. ⑦ 망간자료전송 시스템관리자는 전송 실패기록을 점검하여 악성코드 유입여부 등을 주기적으로 확인ㆍ조치해야 한다. ⑧ 업무망 PC의 자료를 인터넷 PC로 전송 시에는 결재권자의 사전 또는 사후 승인절차를 마련하여 이를 준수해야 한다. 제56조(네트워크장비 보안관리) ① 시스템관리자는 라우터, 스위치 등 네트워크 장비 운용과 관련하여 다음 각 호의 보안조치를 강구해야 한다. 1. 네트워크 장비에 대한 원격접속은 원칙적으로 금지하되, 불가피할 경우 장비 관리용 목적으로 내부 특정 IPㆍMAC 주소에서의 접속은 허용 2. 물리적으로 안전한 장소에 설치하여 비인가자의 무단접근 통제 3. 네트워크 장비 등 신규 전산장비 도입 시 생성되는 기본(default) 계정을 삭제 또는 변경하고 시스템 운영을 위한 관리자 계정 별도 생성 4. FTP 등 불필요한 서비스 포트 및 사용자 계정 차단ㆍ삭제 5. 펌웨어 무결성 및 소프트웨어ㆍ서버 운영체제 취약점과 최신 업데이트 여부를 주기적으로 확인하여 항상 최신 버전으로 유지 ② 시스템관리자는 네트워크장비의 접속기록을 1년 이상 유지해야 하고 비인가자의 침입 여부를 주기적으로 점검하여 정보통신보안담당관에게 관련 결과를 제출해야 한다. 제57조(무선랜 보안관리) ① 각 경찰관서의 장은 무선랜(와이파이 등)을 사용하여 업무자료를 소통하고자 하는 경우 자체 보안대책을 수립하여 관련 사업 계획단계(사업 공고 전)에서 경찰청장에게 보안성 검토를 의뢰해야 한다. ② 시스템관리자는 제1항의 보안대책 수립 시 다음 각 호의 사항을 포함해야 한다. 1. 네트워크 이름(SSID : Service Set Identifier) 브로드캐스팅 중지 2. 추측이 어려운 복잡한 SSID 사용 3. WPA2 이상(256비트 이상)의 암호체계를 사용하여 소통자료 암호화 4. MAC 주소 및 IP 필터링 설정, DHCP 사용 금지 5. RADIUS(Remote Authentication Dial-In User Service) 인증 사용 6. 그 밖에 무선단말기ㆍ중계기(AP) 등 무선랜 구성요소별 분실ㆍ탈취ㆍ훼손ㆍ오용 등에 대비한 관리적ㆍ물리적 보안대책 ③ 정보통신보안담당관은 제1항 및 제2항과 관련한 보안대책의 적절성을 수시로 점검하고 보완하도록 조치해야 한다. 제58조(무선인터넷 보안관리) ① 각 경찰관서의 장은 무선인터넷 시스템을 구축하여 업무자료를 소통하고자 하는 경우 자체 보안대책을 수립하여 관련 사업 계획단계(사업 공고 전)에서 경찰청장에게 보안성 검토를 의뢰해야 한다. ② 각 경찰관서의 장은 다음 각 호의 무선랜(와이파이 등)을 구축ㆍ 운용할 수 있다. 1. 기관 인터넷망을 통해 각 경찰관서의 장이 지급한 단말기의 접속만을 허용하는 업무용 무선랜 2. 상용 인터넷망(각 경찰관서의 장이 기관 인터넷망과 별개로 소속 공무원 등이나 민원인 등의 보편적인 편의성을 위하여 인터넷에 연동하여 구축한 정보통신망을 말한다.)을 통해 공무원에 한해 접속이 허용되는 무선랜 3. 상용 인터넷망을 통해 소속 공무원이 아닌 민원인 등이 사용할 수 있는 무선랜 ③ 각 경찰관서의 장은 제1항에 따라 무선 인터넷 시스템을 구축하고자 할 경우 국가정보원장이 배포한 「국가ㆍ공공기관의 무선랜 및 RFID 구축 보안가이드라인」을 준수해야 한다. 제59조(유ㆍ무선통신망 보안관리) ① 경찰 유선통신망(이하 "유선망"이라 한다)을 설치ㆍ운용하는 각 경찰관서의 장은 다음 각 호와 같은 보안대책을 수립ㆍ시행해야 한다. 1. 보안상 취약한 유선망의 신ㆍ증설 억제 2. 경찰전용 유선망으로 비밀ㆍ기밀을 소통하고자 할 때에는 반드시 보안 시스템을 활용 소통 3. 유선망을 신규 도입하거나 운용 환경을 변경하고자 할 때에는 보안대책 강구 4. 경찰 전용 유선망에 무선전화기(1㎓이하) 연결 사용금지 5. 유선망에 암호자재 설치 운용방안 마련 6. 유선망의 현황 관리 ② 암호자재가 설치되지 않은 경찰전용 모사전송기망으로는 비밀내용을 소통할 수 없다. ③ 암호자재가 설치된 상황실 등 전문수발 부서에서는 별지 제1호서식의 비밀 송수신대장을 비치하여 비밀수발 사항을 기록ㆍ유지해야 한다. ④ 경찰 무선통신망(이하 "무선망"이라 한다)을 설치ㆍ운용하는 각 경찰관서의 장은 다음 각 호와 같은 보안대책을 수립ㆍ시행해야 한다. 1. 보안상 취약한 무선망의 신ㆍ증설 억제 2. 경찰무선망으로 비밀을 소통하고자 하는 경우에는 반드시 암호자재를 활용하여 소통 3. 무선망을 신규 도입하거나 운용환경을 변경하고자 할 때에는 보안 대책 마련 4. 도서ㆍ내륙지역 취약 무선망의 유선화 및 다원화 추진 등 보안대책 수립 추진 5. 전파의 월북 방지대책 강구 6. 무선망에 암호자재 설치 운용방안 마련 7. 무선국의 현황관리와 보안지도점검 8. 정보통신보안 위규 및 보안취약성 근절을 위한 전파감시 및 전파측정 제60조(일반전화망 및 웹팩스 보안관리) ① 일반전화망 팩스를 설치 운용하고자 하는 부서에서는 다음 각 호의 보안대책을 수립한 후 정보통신보안담당관에게 별지 제6호서식에 따라 사전 사용 승인을 요청하여야 하고, 정보통신보안담당관은 사용부서에 승인번호를 부여하고 별지 제7호서식의 승인대장을 비치하여 관리해야 한다. 1. 관리책임자ㆍ운영자 지정 및 팩스에 별지 제8호서식의 관리책임자 지정 표시 부착 2. 별지 제9호서식의 일반전화망 팩스 송신대장 비치 3. 별지 제10호서식의 모사전송 심사필 통제인 비치 4. 운용자 보안교육 실시 ② 일반전화망 팩스를 운용하는 부서에서는 별지 제8호서식에 따라 일반전화망 팩스관리 정ㆍ부 책임자 및 취급 실무자를 지정하고, 별지 제10호서식의 모사전송 심사필 인장을 준비하여 관리책임자(야간에는 상황실장)가 관리해야 한다. ③ 일반전화망 팩스 또는 웹팩스로 문서를 송신하려는 때에는 사전에 관리책임자의 모사전송 심사(결재)를 받은 문건에 한하여 송신해야 하며, 다음 각 호에 해당하는 문서는 송신할 수 없다. 1. 비밀문서(대외비 문서를 포함한다) 2. 비밀문서에 해당하지 않더라도 누설될 경우 보안상 문제가 야기될 수 있는 문서 ④ 일반전화망 팩스 또는 웹팩스를 운용하는 부서에서는 다음 각 호의 해당 사항을 준수해야 한다. 1. 송신대장, 송신기록의 비치 및 보존 기간 가. 별지 제9호 서식의 일반전화망 팩스 송신대장 및 송신 기록지 : 1년 나. 웹팩스 송신기록 : 1년 2. 송신결과 기록지 출력내용의 강제소거 금지(램 클리어) 3. 송신한 원문은 발신부서에서 1년간 보존 ⑤ 일반전화망 팩스의 최초 설치승인 장소로부터 이설ㆍ철거하거나, 기기 변경 및 전화번호 변경 등의 사유가 발생한 때에는 사전에 서면으로 정보통신보안담당관에게 통보해야 한다. 제61조(전자파 보안관리) ① 각 경찰관서의 장은 중요 정보통신기기ㆍ시설을 대상으로 중요정보 외부유출방지 및 파괴ㆍ오작동 유발 등의 위협을 방어하기 위한 보안대책을 강구해야 한다. ② 각 경찰관서의 장은 제1항에 따른 대책 강구 시 경찰청장과 사전 협의해야 한다. 제62조(외교정보통신 보안관리) ① 각 경찰관서의 장은 해외공관에 전문으로 비밀 등 중요자료를 소통하고자 할 때에는 해외용 암호자재가 설치된 통신망을 사용하는 등 보안대책을 강구해야 한다. ② 해외공관에서 운용하는 중요 정보통신기기ㆍ시설 대상으로 전자파보안대책을 강구해야 한다. ③ 해외공관에 직원을 파견하려는 경우에는 파견 직원에게 정보통신시스템 운용 및 정보통신보안교육을 실시해야 하며, 정보통신 보안업무에 대하여 인계ㆍ인수를 철저히 해야 한다. ④ 경찰청과 해외 주재관실 간에 암호자재가 설치된 모사전송기로는 Ⅲ급 비밀까지 소통할 수 있다. ⑤ 외교정보통신망은 원칙적으로 인터넷 및 현지 고용원 PC와 연결을 차단해야 한다. ⑥ 외교통신과 관련하여 제1항부터 제5항까지 명시되지 않은 사항은 「재외공관 정보보안관리실무 매뉴얼」(국가정보원)을 따른다. 제63조(RFID 보안관리) ① 각 경찰관서의 장은 RFID 시스템을 구축하여 중요자료 등 보호할 필요가 있는 정보를 소통하고자 하는 경우 자체 보안대책을 수립하여 사업계획 단계(사업공고 전)에서 경찰청장에게 보안성 검토를 의뢰해야 한다. ② 시스템관리자는 제1항의 보안대책 수립 시, 다음 각 호의 사항을 포함해야 한다. 1. RFID시스템의 분실ㆍ탈취 대비 보안대책 및 백업대책 2. 태그정보의 최소화 대책 3. 장치 인증, 사용자 인증 및 기밀 등 중요정보의 암호화 대책 ③ 정보통신보안담당관은 제1항 및 제2항과 관련한 보안대책의 적절성을 수시로 점검하고 보완하도록 통보해야 한다. 제64조(대도청 보안활동) ① 각 경찰관서의 장은 무선도청에 따른 정보유출을 방지하기 위하여 다음 각 호의 시설 및 장소에 대한 보안대책을 강구해야 한다. 1. 청사 신설ㆍ이전 또는 증ㆍ개축 시설 2. 주요 지휘부 사무실ㆍ회의실 등 중요시설 3. 중요 협상ㆍ회의장소 또는 도청 의심징후가 있는 장소 ② 각 경찰관서의 장은 제1항 각 호의 시설 및 장소에 대하여 경찰청장에게 무선도청 탐지활동을 요청할 수 있다. ③ 제2항의 요청에 따라 경찰청장은 전자파 방출 또는 도청장치를 이용한 정보유출 가능성에 대하여 무선도청 탐지활동을 실시하고 그 결과를 해당 경찰관서의 장에게 통보할 수 있다. ④ 각 경찰관서의 장은 제3항에 의한 결과나 자체 무선도청 탐지활동결과를 외부에 공개하여서는 아니 되며, 탐지활동결과 도출된 도청 취약요소 등에 대해서는 보완대책을 강구해야 한다. 제2절 시설 보안 제65조(정보통신시설 보안관리) ① 각 경찰관서의 장은 다음 각 호의 중요 정보통신시설 및 장소를「보안업무규정」제30조에 따른 보호구역으로 설정 관리해야 한다. 1. 암호실ㆍ정보통신실 2. 암호자재 개발ㆍ설치 장소 3. 사이버보안관제센터 등 중요한 정보통신시설을 집중 제어하는 장소 4. 그 밖에 보안관리가 필요하다고 인정되는 정보시스템 설치 장소 ② 각 경찰관서의 장은 제1항에서 지정된 보호구역에 대한 보안 대책을 강구할 경우 다음 각 호의 사항을 참고해야 한다. 1. 방재대책 및 외부로부터의 위해(危害) 방지대책 2. 상시 이용하는 출입문은 한 곳으로 정하고 이중 잠금장치 설치 3. 출입자 인증ㆍ식별 등을 위한 출입문 보안장치 설치 및 주ㆍ야간 감시대책 4. 휴대용 저장매체를 보관할 수 있는 용기 비치 5. 정보시스템 안전지출 및 긴급파기 계획 수립 6. 관리책임자 및 자료ㆍ장비별 취급자 지정 운영 7. 정전에 대비한 비상전원 공급, 시스템의 안정적 중단 등 전력 관리 대책 8. 비상조명 장치 등 비상탈출 대책 9. 전자파 누설 방지대책 10. 카메라 장착 휴대폰 등을 이용한 불법 촬영 방지대책 11. 비인가자의 출입 및 정보자산의 반출ㆍ입 통제 등 ③ 국가정보자원관리원 등 타 기관에 입주하여 운영 중인 시스템관리책임자는 보안요구사항을 국가정보자원관리원 등에 통보하여 보안대책을 수립하도록 조치해야 한다. 제66조(재난방지) ① 정보시스템 관리책임자는 인위적 또는 자연적인 원인으로 인한 정보통신망의 장애 발생에 대비하여 정보시스템 이원화, 백업관리, 복구 등 종합적인 재난방지 대책을 수립ㆍ시행해야 하며, 다음 각 호 사항을 준수해야 한다. 1. 재난방지대책을 정기적으로 시험하고 검토해야 하며 업무 연속성에 대한 영향평가를 실시해야 한다. 2. 정보시스템 장애에 대비한 백업시설을 확보하고 정기적으로 백업을 수행해야 한다. 3. 백업시설을 설치할 경우에는 정보통신실과 물리적으로 일정 거리 이상 떨어진 안전한 장소에 설치해야 하며 전력공급원 이원화 분리 등 정보시스템의 가용성을 최대화 할 수 있도록 해야 한다. 제6장 사이버보안 관제 제67조(사이버보안관제센터 설치와 운영) ① 각 경찰관서의 장은 경찰 정보시스템 안전성 확보를 위해 사이버안전을 전담하는 전문 인력을 확보하는 등 필요한 조치를 강구해야 한다. ② 경찰청장은 사이버 위협에 대하여 종합적이고 체계적인 대응을 위해 경찰청 사이버보안관제센터(이하 "관제센터"라 한다)를 두고 다음 각 호를 준수해야 한다. 1. 보안관제업무는 24시간 중단 없이 수행해야 하며, 이를 위한 교대근무 체계를 구축ㆍ운영할 수 있다. 2. 제1항의 규정에 따라 외부기관 또는 업체의 전문 인력을 활용할 경우에는 보안관제 업무의 책임 있는 수행과 보안관리 등을 위하여 관리자를 상시 배치해야 한다. 3. 보안관제의 일부기능은 시ㆍ도경찰청에 이양하여 실시 할 수 있다. 4. 보안관제를 이양 받은 시ㆍ도경찰청장은 일일 보안관제결과를 경찰청장에게 보고해야 한다. 5. 보안관제 범위는 경찰관서 정보시스템으로 정한다. ③ 경찰 정보시스템은 관제센터와 효율적인 관제연동을 최우선 고려하여 설치해야 한다. ④ 관제센터는 보안관제를 목적으로 경찰 정보시스템에 대한 시스템관리자 권한을 부여받을 수 있다. ⑤ 경찰청장은 사이버공격 규모를 고려하여「국가사이버안전관리규정」(대통령훈령)에 따라 관심ㆍ주의ㆍ경계ㆍ심각 등 수준별 경보를 발령할 수 있다. 제68조(사이버침해예방팀 운영) ① 경찰청장은 경찰 정보시스템의 취약점을 진단하기 위해 다음 각 호와 같이 사이버침해예방팀(이하 "침해예방팀"이라 한다)을 운영한다. 1. 침해예방팀은 매년 정기 또는 수시 선발한다. 2. 침해예방팀으로 선발된 자는 매년 전문교육을 이수하도록 한다. ② 정보통신보안담당관은 침해예방팀이 경찰 정보시스템에 대한 취약점 진단을 위해 시스템관리자에 준하는 권한을 부여 할 수 있다. ③ 침해예방팀이 발굴한 취약점에 대해 각 시스템관리자는 신속하게 보완 후 그 결과를 즉시 정보통신보안담당관에게 보고해야 하고, 즉시 보완이 어려운 사항은 별도 조치계획을 수립하여 보고한다. 제69조(사이버침해대응훈련) ① 정보통신보안담당관은 사이버 공격과 방어를 위한 훈련 계획을 수립하고, 전 경찰관서를 대상으로 매년 1회 이상 사이버침해대응훈련을 실시한다. ② 훈련대상 관서는 정보통신보안담당관이 선정하되 업무망과 인터넷망을 모두 포함한다. 제70조(사이버위협 초동조치) ① 각 경찰관서의 장은 경찰 정보통신망에 대하여 해킹ㆍ악성코드 유포 등 사이버공격을 인지한 경우 피해실태를 파악하고 관련 로그자료 보존 및 전산망 분리 등 초동조치를 해야 한다. ② 전산망 마비 또는 자료 유출 등 중대사고가 발생한 경우에는 초동조치 후 즉시 경찰청장에게 보고하여 지원을 받아야 한다. ③ 제2항의 중대사고가 발생한 경우에는 사고원인이 규명될 때까지 피해 시스템에 대한 증거보전을 의무화하고, 임의로 자료를 삭제하거나 포맷을 하여서는 아니 된다. ④ 사용자가 보안 취약점 제거 미흡 또는 악성코드 감염으로 인해 사이버위협에 노출된 경우, 정보통신보안담당관은 네트워크 차단 및 서비스 이용중단을 할 수 있다. ⑤ 정보통신보안담당관은 제3항 및 제4항에 관련된 사람에게 자료 분석을 위한 정보통신기기(PC 등)와 관련자료 제출을 요구할 수 있으며, 이를 요구받은 사람은 정당한 사유가 없는 한 이에 응해야 한다. 제71조(침해사고의 보고 및 복구) ① 침해사고의 보고에는 다음 각 호의 사항이 포함되어야 한다. 1. 침해사고 발생일시 및 시설ㆍ장비 2. 침해사고로 인한 피해사항 일체 3. 그 밖에 신속한 대응ㆍ복구를 위하여 필요한 사항 ② 사이버공격으로 인한 사고의 발생 또는 징후를 발견한 경우에는 피해를 최소화하는 조치와 사고복구 및 피해의 확산방지에 필요한 조치를 취하고 지체 없이 그 사실을 경찰청장에게 보고해야 한다. ③ 침해사고 상황발생 시 단계별 대응요령은 별표2의 사이버침해사고 처리절차에 따르며, 이 규칙에서 규정한 것 이외의 필요한 사항은 경찰청장이 정할 수 있다. 제7장 암호자재 제1절 공 통 제72조(암호자재 책임관의 임명) ① 암호자재 취급기관에서는 다음 각 호와 같이 암호자재 취급 정ㆍ부 책임자 및 실무자를 두어야 한다. 이 경우 책임자 및 실무자는 해당 직위에 임용과 동시에 임명된 것으로 본다. 1. 등록기관(경찰청) 가. 정책임관 : 정보통신보안담당관 나. 부책임관 : 정보화보안계장 다. 실 무 자 : 정보통신보안담당자 2. 위임기관(시ㆍ도경찰청 및 부속기관) 가. 정책임관 : 정보통신보안담당관 나. 부책임관 : 정보통신보안담당계장 다. 실 무 자 : 정보통신보안담당자 3. 수임기관(경찰서 등) 가. 정책임관 : 경무과장, 정보통신보안담당과장급 나. 부책임관 : 정보화장비계장, 정보통신보안담당계장급 다. 실 무 자 : 정보통신보안담당자 4. 분임기관(경찰청ㆍ시ㆍ도경찰청ㆍ경찰서 등 각 과) 가. 정책임관 : 각 과장급, 112종합상황실장, 중대장, 지구대장, 파출소장 나. 부책임관 : 각 계장급, 112종합상황실(1)팀장, 행정소대장, 순찰(1)팀장 다. 실 무 자 : 정보통신보안담당자 ② 제1항의 책임자 및 실무자는 별지 제3호 서식에 따른 서약서를 제출해야 한다. 제73조(취급ㆍ운용 및 취급자 등록) ① 암호자재 및 암호프로그램 등을 운용하고자 하는 자는 암호취급 인가를 받아야 한다. ② 대한민국 국적 소유자로서 Ⅱ급 비밀취급인가를 받은 자에 한하여 암호취급을 인가한다. ③ 암호취급자인가를 받고자 하는 공무원이 소속된 부서에서는 다음 각 호에 정하는 서류를 첨부하여 경찰청장에게 의뢰해야 한다. 1. 최근 3개월 내 조사된 신원조사 회보서 2부 2. 서약서 2부 3. 인사기록카드(사본) 1부 4. 사진 1매(3×4) ④ 암호취급 인가를 받은 자는 정보통신 보안교육을 받아야 한다. ⑤ 암호취급 인가를 받은 자가 다른 부서로 전출 또는 퇴직하거나, 보안규정을 위반한 경우에는 위 인가를 해제해야 하며, 이 경우 암호자재 취급인가증을 반납해야 한다. 제74조(암호실 운용) ① 각 경찰관서의 장은 암호자재 등을 활용하여 암호작업을 할 경우 다음 각 호의 구비요건을 갖추어 경찰청장(경찰서는 시ㆍ도경찰청장)의 설치 점검을 받고 운용해야 한다. 1. 정보통신 보안실과 인접하고 비인가자 출입통제가 용이한 곳에 설치 2. 출입문 이중 잠금장치(자동 잠금) 및 창문에 외부투시차단장치 설치 3. 출입문외 천장 등을 통한 외부통로 차단 4. 암호자재의 보관용기는 화재, 도난 및 파괴로부터 보호되고 비인가자의 접근을 방지할 수 있는 이중 잠금장치가 되는 용기 구비 5. CCTV, 지문인식기 등 과학보안장비 운용 등 경계대책, 안전지출 및 파기 계획 수립 ② 암호실의 폐쇄는 경찰청장의 승인 하에 시행하고 암호실을 폐쇄할 경우에는 암호자재를 지체 없이 배부기관의 장에게 반납해야 한다. ③ 제2항 또는 제3항에 따라 암호실을 설치하거나 폐쇄한 경우에는 경찰청장에게 그 내용을 통보해야 한다. ④ 암호실에는 해당관서의 장, 암호취급자 및 관서장이 인가한 자 이외에는 출입할 수 없다. ⑤ 암호실은 별지 제23호서식의 암호실 및 암호취급자 현황 및 별지 제24호서식의 암호실 출입자 기록부에 따라 출입을 통제하고 그 내용을 기록ㆍ유지해야 한다. ⑥ 암호실에는 출입제한표지(통제구역 및 출입권자의 범위지정 표지) 이외의 암호취급을 나타내는 어떠한 표지도 해서는 아니 된다. 제75조(암호실 점검) ① 경찰청장이 임명한 암호실 점검관은 모든 경찰관서의 암호취급관서에 대한 점검을 할 수 있다. 다만, 시ㆍ도경찰청 산하 관서의 암호실 점검은 시ㆍ도경찰청장에게 위임할 수 있다. ② 암호실 점검관은 암호취급인가를 받은 자에 한하여 임명하며, 점검관으로 임명된 자는 그 임무를 제3자에게 위임하거나 대행하게 할 수 없다. ③ 제1항의 경우 시ㆍ도경찰청 점검관은 산하관서의 암호실에 대한 점검을 실시하고 다음 각 호에 정하는 서류를 2부 작성하여 경찰청장에게 대외비로 보고해야 한다. 1. 별지 제25호서식의 암호실 설치 점검 보고서 2. 설치층 평면도 3. 별지 제26호서식의 암호실 시설 관련 사진 제76조(관리실태 점검) ① 경찰청장은 경찰관서의 암호자재 관리실태 등을 점검할 수 있다. ② 경찰청장은 제1항에 따른 점검결과 드러난 문제점을 해당관서에 하달하고 해당관서의 장은 이에 대한 보안대책을 강구해야 한다. 제77조(사용제한) ① 각 경찰관서의 장은 국정원장이 승인하지 않은 암호자재나 외국에서 생산한 암호자재는 무단 사용할 수 없다. ② 암호자재는 주한 외국인 및 주한 외국기관(대사관, 외국군 등)에 제공하거나 외국으로 무단 반출해서는 아니 된다. ③ 제1항 및 제2항의 규정에도 불구하고 부득이하다고 판단되는 경우에는 사전에 국정원장의 승인을 받아 사용하거나 제공 또는 반출할 수 있다. ④ 암호자재는 어떠한 경우에도 복제ㆍ복사할 수 없으며 다른 기관이나 개인에게 임의 대여할 수 없다. 제2절 암호자재 제78조(암호자재 사용승인 요청) 각 경찰관서의 장은 정보자료의 보호를 위하여 암호자재를 설치하여 사용하고자 할 경우에는 다음 각 호에 정하는 사항을 구비하여 경찰청장에게 대외비 이상으로 제출하고 승인을 받아야 한다. 1. 사용 목적 2. 사용 관서(장소) 3. 암호자재의 종류, 소요량 및 산출근거 4. 관련 정보통신시스템 제원 5. 대상 정보통신망 구성도 6. 보안대책 7. 그 밖의 참고자료 제79조(암호자재 설치) 암호자재 설치장소는 보안사고(분실, 도난, 피탈 등)의 방지를 위하여 다음 각 호의 제반 보안대책을 마련해야 하며, 부득이한 경우는 경찰청장에게 보고한 후 조정할 수 있다. 1. 보호구역 설정 운영 2. 이중 잠금장치가 된 보관함 설치 운용 3. 사진촬영 금지 4. 비인가자 출입통제 5. 화재예방 대책 등 제80조(암호자재 등록) 암호자재 사용관서의 장은 암호자재를 설치한 후 30일 이내에 경찰청장에게 별지 제27호서식의 암호자재 운용관리 현황을 작성ㆍ제출을 통해 등록해야 한다. 제81조(암호자재 운용 관리) ① 암호자재를 설치ㆍ운용하고 있는 각 관서의 장은 별지 제28호서식의 암호자재 관리기록부를 비치하여 기록ㆍ유지해야 한다. ② 암호자재의 암호체계 및 키 운용체계와 관련된 서류 등 결과물(암호논리ㆍ보안모듈ㆍ키 주입기 등)은 비밀로 분류해야 한다. ③ 암호자재의 고유명칭, 제원, 대상 국소 및 수량 등 운용현황이 기록된 문서는 대외비 이상으로 분류해야 한다. ④ 암호자재 운용자는 설치 운용중인 암호자재의 보관상태 및 정상 동작 여부 등 이상 유무를 주 1회 점검하고, 그 결과를 별지 제29호서식의 암호자재 점검기록부에 기록ㆍ유지해야 하며, 관리책임자는 월 1회 점검사항을 확인해야 한다. ⑤ 암호 모듈이 내장된 경우 오인파기를 방지하기 위하여 외부에 경고 문구 등 표지를 부착할 수 있다. ⑥ 암호자재 운용부서는 운용중인 암호자재에 고장이 발생한 경우 고장발생시 7일 이내에 시ㆍ도경찰청을 경유하여 경찰청으로 고장일시, 장소, 고장내용, 장비등록번호, 기종 등 상세내역을 대외비로 보고해야 한다. 제82조(암호자재 비밀소통 기준) 암호자재의 비밀소통 기준은 다음 각 호와 같다. 1. 국가용 암호 장비 : 2급, 3급, 대외비, 일반 행정정보 2. 검증필암호모듈 : 대외비, 일반 행정정보 3. 자체개발암호모듈 및 상용 암호 제품 : 일반 행정정보 제83조(암호자재 운반) ① 암호자재는 암호취급 인가자가 직접 운반해야 하며, 이를 확인하기 위하여 별지 제30호서식의 암호자재 증명서를 사용한다. ② 암호자재를 운반 할 경우에는 분실ㆍ피탈 등 사고를 방지하기 하여 2인 1조로 구성하는 등 보안대책을 강구해야 한다. ③ 운송도중 보안조치가 필요한 경우에는 가까운 경찰관서에 암호 자재의 보호를 요청할 수 있으며, 요청받은 관서는 필요한 조치를 지원해야 한다. ④ 암호자재의 운송 중에 사고가 발생한 경우에는 즉시 경찰청장에게 보고 하여 필요한 후속조치를 행할 수 있도록 해야 한다. ⑤ 암호자재를 목적지까지 무사히 도착한 때에는 즉시 배부관서에 다음 사항을 보고해야 한다. 1. 도착일시 2. 이상 유무 3. 확인자 제84조(암호자재 정비 및 파기) ① 암호자재 사용부서에서의 정비는 암호처리부를 제외한 일반부분으로 제한하며, 암호처리부분이 완전 밀폐된 별개의 구성품으로 되어 있을 경우에는 예비용과 교체할 수 있다. ② 암호자재 정비장소는 통제구역으로 설정된 등록기관에서 해야 하며, 등록기관의 정비요원은 암호취급 인가를 받아야 한다. ③ 암호자재를 파기하고자 할 때에는 다음에 정하는 사항을 국정원장에게 제출하고 승인을 받아 파기해야 한다. 1. 파기사유 2. 장비명칭, 수량 및 등록번호 3. 파기일시 및 장소 4. 파기방법 5. 파기자 ④ 경찰청장은 긴급사태 발생 등으로 암호자재를 안전하게 보호할 수 없을 때에는 긴급 파기할 수 있으며, 파기 후 제3항 각 호의 사항을 국정원장에게 통보해야 한다. 제85조(암호자재 현황 보고) 암호자재 운용부서는 매년 12월 31일 기준으로 별지 제27호서식의 암호자재 운용관리 현황을 작성하여 경찰청장에게 보고해야 한다. 제86조(암호자재 인계인수) ① 암호자재 정ㆍ부 책임자 및 실무자를 교체한 때에는 인계ㆍ인수를 실시해야 하며, 별지 제28호서식의 암호자재 관리기록부의 최종기록 여백 란에 인계ㆍ인수 사항을 기록ㆍ유지해야 한다. ② 인계인수를 할 경우에는 다음 각 호의 사항을 확인해야 한다. 1. 암호자재의 종류와 수량 2. 납봉 또는 봉인표지의 이상 유무 3. 암호자재의 정상 동작여부 4. 암호논리, 키 수록매체(메모리카드 포함) 및 운용방법 등 관련 자료 이상 유무 제87조(합동통신 전자 운용지시) ① 긴급 군ㆍ경 합동작전 상황발생에 대비하여 각 경찰관서의 장은 합동참모본부가 작성한 합동통신 전자 운용지시를 다음 각 호와 같이 전파ㆍ관리해야 한다. 1. 경찰청장은 시ㆍ도경찰청까지 합동통신 전자 운용지시 전문을 전파ㆍ운용한다. 2. 시ㆍ도경찰청은 경찰서까지 합동통신 전자 운용지시 중 대공포판ㆍ암구호ㆍ피아식별띠와 관련한 사항을 전파ㆍ운용한다. 3. 경찰서장은 도서지역 지구대ㆍ파출소(검문소, 초소를 포함한다)에 합동통신 전자 운용지시 중 대공포판ㆍ암구호ㆍ피아식별띠와 관련한 사항을 전파ㆍ운용한다. 4. 비상ㆍ작전 등의 경우 경찰서장은 지구대ㆍ파출소에 합동통신 전자 운용지시 중 대공포판ㆍ암구호ㆍ피아식별띠를 전파ㆍ운용한다. ② 정보통신망을 이용하여 합동통신 전자 운용지시를 전파할 경우 암호자재(Ⅲ급이상)를 이용하여 암호화한 후 전파해야 한다. 제8장 보칙 제88조(준용) 이 규칙에 명시되지 않은 사항은 다음 각 호의 관련규정ㆍ지침에 따른다. 1. 보안업무규정(대통령령) 2. 보안업무규정 시행규칙(대통령훈령) 3. 보안업무규정 시행 세부규칙(경찰청훈령) 4. 국가사이버안전관리규정(대통령훈령) 5. 국가 정보보안 기본지침(국가정보원) 6. 그 밖의 정보통신보안 관련 법령 및 지침 제89조(재검토기간) 경찰청장은 이 규칙에 대하여 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 2024년 1월 1일 기준으로 매 3년이 되는 시점(매 3년째의 12월 31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 해야 한다.