병무청 정보보안 업무규정

제1장 총칙 제1조(목적) 이 규정은 「국가정보보안기본지침」제7조에 따라 병무청의 정보보안 업무 시행에 관하여 필요한 사항을 규정함을 목적으로 한다. 제2조(정의) 이 규정에서 사용하는 용어의 정의는 다음과 같다. 1. "정보보안"이라 함은 정보통신망 및 정보시스템을 통해 수집, 가공, 저장, 검색, 송ㆍ수신되는 정보의 유출, 위ㆍ변조, 훼손 등을 방지하기 위하여 관리적ㆍ물리적ㆍ기술적 수단을 강구하는 일체의 행위로서 다음 각 목의 사항을 포함한다. 가. 「국가정보원법」제4조제1항제4호에 따른 사이버공격 및 위협에 대한 예방 및 대응 나. 「전자정부법」제56조에 따른 정보통신망과 행정정보 등의 보안 다. 「정보통신기반 보호법 시행령」제5조제4항제1호 각 목에 해당하는 주요정보 통신기반시설의 보호 라. 「공공기록물 관리에 관한 법률 시행령」제5조에 따른 전자기록물의 보안 마. 「국가사이버안전관리규정」제2조제3호에 따른 사이버안전 2. "정보보안담당관"이라 함은 병무청장 및 소속기관의 장이 정보보안업무를 총괄하기 위하여 임명한 사람을 말한다. 3. "보안담당관"이라 함은 국가정보원의 「보안업무규정」제43조에 따라 병무청장 및 소속기관의 장이 임명한 사람을 말한다. 4. "정보통신망"이라 함은「사이버안보 업무규정」제2조제1호에 따른 정보통신망을 말한다. 5. "내부망"이라 함은 병무청장 및 소속기관의 장이 구축ㆍ운영하는 정보통신망 중에서 인터넷과 분리된 업무 전용(專用) 정보통신망을 말한다. 6. "기관 인터넷망"이라 함은 병무청장 및 소속기관의 장이 구축ㆍ운영하는 정보통신망 중에서 소속 공무원 등의 이용을 위한 인터넷과 연동된 정보통신망을 말한다. 7. "정보시스템"이라 함은「전자정부법」제2조제13호에 따른 정보시스템을 말한다. 8. "휴대용 저장매체"라 함은 CDㆍ외장형 하드디스크ㆍUSB메모리 등 정보를 저장할 수 있는 것으로 컴퓨터ㆍ서버 등의 정보시스템과 분리할 수 있는 기억장치를 말한다. 9. "업무자료"라 함은 다음 각 목의 어느 하나에 해당하는 것을 말한다. 가. 「전자정부법」제2조제6호에 따른 행정정보 및 같은법 제2조제7호에 따른 전자문서 나. 「공공기록물 관리에 관한 법률 시행령」제2조제2호에 따른 전자기록물 다. 그 밖에 다른 법령에 의하여 공무원 등이 직무상 작성ㆍ취득하였거나 보유ㆍ관리하는 자료로서 전자적으로 처리되어 부호ㆍ문자ㆍ음성ㆍ음향ㆍ영상 등으로 표현된 것 10. "비밀"이라 함은 업무자료 중에서 「보안업무규정」제4조에 따라 분류된 비밀을 말한다. 11. "대외비"라 함은 업무자료 중에서 「보안업무규정 시행규칙」제16조 제3항에 따라 분류된 대외비를 말한다. 12. "비공개 업무자료"라 함은 비밀 및 대외비를 제외한 업무자료 중에서 다음 각 목의 어느 하나에 해당하는 자료 또는 정보를 말한다. 가. 「공공기관의 정보공개에 관한 법률」제9조제1항에 따른 비공개 대상 정보 나. 국회 소속 공무원(「국회의원수당 등에 관한 법률」제9조에 따른 보좌 직원을 포함한다) 또는「지방자치법」제30조에 따른 지방의회 소속 공무원의 직무상 요구에 따라 작성 또는 취득한 자료 다. 가목에 따른 비공개 대상 정보의 주요 내용이 기술된 문장 또는 문구 13. "공개 업무자료"라 함은 업무자료 중에서 비밀 및 대외비와 비공개 업무자료를 제외한 모든 자료 또는 정보(「공공데이터의 제공 및 이용 활성화에 관한 법률」제19조에 따라 공표된 공공데이터를 포함한다)를 말한다. 14. "정보통신장비실"이라 함은 서버ㆍ스위치ㆍ라우터ㆍ교환기 등 전산 및 통신장비 등이 설치ㆍ운용되는 장소 또는 전산실ㆍ통신실ㆍ데이터센터 등을 말한다. <개정 2023.10.20.> 15. "정보보호시스템"이라 함은「지능정보화 기본법」제2조제15호에 따른 정보보호시스템을 말한다. 16. "보안적합성 검증"이라 함은 제14조제1항제3호에 따른 보안기능이 있는 정보통신제품에 대하여 실제 적용ㆍ운용 이전에 시험 등의 방법으로 안전성을 검증하는 활동을 말한다. 17. "내부직원"이라 함은 병무청 및 소속기관에 근무 중인 다음 각 목에 해당하는 사람을 말한다. 가. 「국가공무원법」제2조에 따른 국가공무원 나. 「병역법」제2조에 따른 공익법무관, 병역판정검사 전담의사 등 다. 공무직 근로자 및 기간제 근로자 등 18. "개별사용자"라 함은 병무청장 및 소속기관의 장으로부터 정보통신망 또는 정보시스템에 대한 접근 또는 사용 허가를 받은 내부직원과 병무청장 및 소속기관 장과 계약에 의하여 정보통신망 또는 정보시스템에 대한 접근 또는 사용 허가를 받은 사람을 말한다. 19. "전자파 보안"이라 함은 정보통신시설 및 기기 등을 대상으로 전자파에 의한 정보유출을 방지하고 파괴ㆍ오작동 유발 등의 위협으로부터 정보를 보호하는 일체의 행위를 말한다. 20. "대도청 측정(TSCM)"이라 함은 유ㆍ무선 도청탐지장비 등을 사용하여 은닉된 도청장치를 색출하거나 누설전자파(정보통신기기로부터 자유공간 또는 전도성 경로를 통해 비(非)의도적으로 누출되는 정보를 포함한 전자파) 등 각종 도청 위해(危害)요소를 제거하는 모든활동을 말한다. 21. "고출력 전자파(EMP)"라 함은 지상 30km 이상에서 핵폭발에 의해 생성되는 고고도(高高度) 핵 전자파와 의도적으로 정보기기 등을 손상시키거나 오동작을 유발할 수 있는 고출력 비핵 전자파를 말한다. 22. "암호알고리즘"이라 함은 정보의 유출, 위ㆍ변조, 훼손 등을 방지하기 위하여 기밀성ㆍ무결성ㆍ인증ㆍ부인방지 등의 기능을 제공하는 수학적 논리를 말한다. 23. "상용 암호모듈"이라 함은 암호알고리즘을 소프트웨어, 하드웨어, 펌웨어 또는 이를 조합한 형태로 구현한 것으로서 비밀이 아닌 업무자료를 보호하기 위하여 민간이 상용(商用)으로 판매하는 것을 말한다. 24. "검증필 암호모듈"이라 함은「사이버안보 업무규정」제9조제2항ㆍ제3항,「전자정부법 시행령」제69조 및「암호모듈 시험 및 검증지침」에 따라 국가정보원장이 안전성을 확인한 상용 암호모듈을 말한다. 25. "사이버공격"이라 함은「사이버안보 업무규정」제2조제2호에 따른 행위를 말한다. 26. "안보위해(危害) 공격"이라 함은 사이버공격 중에서 다음 각 목의 어느 하나에 해당하는 행위 또는 활동을 말한다. 가. 국제 및 국가배후 해킹조직의 활동 등 사이버안보 위협 행위 나. 국가안보와 국익에 반하는 북한, 외국 및 외국인ㆍ외국단체ㆍ초국가행위자 또는 이와 연계된 내국인의 활동 다. 「산업기술의 유출방지 및 보호에 관한 법률」제2조에 따른 국가핵심 기술 또는 국가연구개발사업으로 개발한 산업기술을 부정한 방법으로 취득하는 행위 라. 「방위산업기술 보호법」제2조제1호에 따른 방위산업기술을 부정한 방법으로 취득하는 행위 마. 「국민보호와 공공안전을 위한 테러방지법」제2조제1호에 따른 테러행위 바. 국제범죄조직에 의한 사이버 공격 사. 「형법」중 내란(內亂)의 죄, 외환(外患)의 죄, 「군형법」중 반란의 죄, 암호 부정사용의 죄, 「군사기밀 보호법」에 규정된 죄, 「국가보안법」에 규정된 죄에 해당되는 행위 아. 국가기밀에 속하는 문서ㆍ자재ㆍ시설 및 지역에 관한 정보를 유출하거나 그 운영을 방해하는 행위 자. 「전자정부법」제56조제3항에 따른 보안조치 대상 정보통신망에서 전자문서를 위조ㆍ변조ㆍ훼손ㆍ절취하여 국가의 독립, 영토의 보전, 헌법과 법률의 기능, 헌법에 의하여 설치된 국가기관의 유지에 위해를 초래하는 행위 차. 「정보통신기반 보호법」제3조에 따라 공공분야 실무위원회가 담당하는 주요정보통신기반시설 또는 같은 법 제7조제2항 각 호에 따른 주요 정보통신기반시설에 대한 같은 법 제12조에 따른 침해행위 27. "보안관제"라 함은 사이버공격을 실시간으로 탐지 및 분석, 대응하는 일련의 활동을 말한다. 28. "보안관제센터"라 함은 일정한 수준의 시설 및 장비와 이를 운영하기 위한 전문 또는 전담인력을 갖추고 보안관제업무를 수행하는 조직을 말한다. 29. "암호자재"라 함은 비밀을 소통ㆍ보호하기 위한 목적으로 암호기술을 적용하여 만들어진 장치나 수단으로서 데이터 암호장비나 팩스 암호장비 등을 말한다. 30. "취약점"이라 함은 사이버공격에 악용되어 관리자가 설정한 접근 권한 외의 정보를 열람ㆍ취득하게 하거나 보안기능을 회피 가능하게 하는 정보통신망ㆍ정보시스템의 결함을 말한다. 31. "클라우드컴퓨팅(Cloud Computing)"이란 직접ㆍ공유된 정보통신기기, 정보통신설비, 소프트웨어 등 정보통신자원을 이용자의 요구나 수요변화에 따른 정보통신망을 통하여 신축적으로 이용할 수 있도록 하는 정보처리체계를 말한다. <신설 2023.10.20.> 제3조(적용범위) 이 규정은 병무청 및 소속기관의 정보보안업무에 적용한다. 제4조(책무) ① 병무청장 및 소속기관의 장은 병무정책과 관련된 정보(업무자료를 포함한다. 이하 같다)와 정보통신망을 보호하기 위하여 보안대책을 수립ㆍ시행하여야 하며 정보보안에 대한 책임을 진다. <개정 2023.10.20.> ② 병무청장 및 소속기관의 장은 내부직원에 대한 근무성적 또는 성과평가를 실시할 경우 정보보안 규정 준수 여부 등을 반영할 수 있다. 제5조(정보보안담당관 등 지정 및 임무) ① 병무청장 및 소속기관의 장은 다음의 직위에 있는 자를 정보보안담당관으로 임명한다. 1. 병무청: 정보보호팀장 2. 소속기관: 정보관리과, 정보부서 관련 부서의 장 ② 정보보안담당관은 다음 각 호에 해당하는 업무를 전담한다. 1. 정보보안 정책 및 활동 세부계획 수립ㆍ시행 2. 정보보안 관련규정ㆍ지침 등 제ㆍ개정 3. 정보보안업무 감사ㆍ지도 및 교육 수립 시행 4. 정보화사업 보안성 검토 및 보안적합성 검증 총괄 5. 정보통신장비실, 정보통신망 현황자료 등에 관한 보안관리 총괄 6. 사이버공격 대응훈련 및 정보보안 관리 실태평가 평가ㆍ관리 7. 보안관제, 사고대응 및 정보협력 업무 총괄 8. 정보보안교육 총괄 및 ‘사이버보안진단의 날’ 계획 수립ㆍ시행 9. 소속된 기관에 대한 정보보안감사 및 감독 10. 정보보호시스템의 보안관리 11. 분임정보보안담당관 업무 감독 12. 그 밖에 정보보안과 관련한 사항 ③ 병무청장 및 소속기관의 장은 정보보안담당관이 직무를 원활히 수행할 수 있도록 조직, 인력 및 예산을 지원하여야 한다. ④ 병무청장 및 소속기관의 장은 정보보안담당관이 직무를 효율적으로 수행할 수 있도록 정보보안담당관의 정보업무를 수행할 수 있는 적정인력을 분임정보보안담당관으로 임명하여야 하고, 별도로 임명하지 아니할 경우 각 부서의 장을 분임정보보안담당관으로 임명한 것으로 본다. ⑤ 정보보안담당관은 제2항 각 호에 해당하는 업무를 수행함에 있어 필요한 경우 해당 업무의 일부를 부서 분임정보보안담당관에게 위임할 수 있다. ⑥ 병무청 정보보안담당관은 정보보안업무에 관하여 병무청 분임정보보안담당관 및 소속기관 정보보안담당관을 지휘ㆍ감독하며, 소속기관 정보보안담당관은 그 기관의 분임정보보안담당관을 지휘ㆍ감독한다. 제6조(정보보안 감사 등) ① 병무청 정보보안담당관은 병무청 및 소속기관의 정보보안 업무 및 활동을 조사ㆍ점검하기 위하여 연 1회 이상 정보보안감사 또는 점검을 실시하여야 한다. 필요 시 개인정보보호 점검과 통합하여 종합적인 점검을 실시할 수 있다. ② 병무청 정보보안담당관은 제1항에 따른 정보보안감사를 실시할 경우 정보보안점검 체크리스트 등을 활용할 수 있다. ③ 소속기관의 장은 제1항을 준용하여 자체 정보보안감사 및 점검을 실시하여야 한다. ④ 병무청장은 소속기관에 대하여 수시 정보보안감사 또는 점검을 실시할 수 있다. ⑤ 자체 정보보안감사 실시결과에 따른 규정 위반자에 대한 조치는 별표 4에 따른다. 제7조(정보보안교육) ① 병무청 및 소속기관의 정보보안담당관은 정보보안에 대한 경각심을 제고하기 위하여 소속 직원을 대상으로 연 1회 이상 정보보안 교육을 실시하여야 한다. ② 제1항에 따라 병무청 및 소속기관의 내부직원 등은 특별한 사유가 없으면 연 1회 이상 정보보안교육을 이수하여야 한다. ③ 병무청 및 소속기관의 정보보안담당관은 제1항에 따라 정보보안교육을 실시할 경우 기관의 실정에 맞는 교육자료를 작성 활용하여야 하며, 소속기관 정보보안담당관은 필요한 경우 병무청 정보보안담당관에게 강사 지원 등 협조를 요청할 수 있다. ④ 병무청장 및 소속기관의 장은 정보보안담당관, 분임정보보안담당관 및 정보보안 담당직원의 전문지식 함양을 위하여 전문기관의 교육 이수나 학술회의 참가 등을 장려하여야 한다. 제8조(사이버보안진단의 날) ① 병무청장 및 소속기관의 장은 매월 세 번째 수요일을 ‘사이버보안진단의 날’로 지정ㆍ시행하여야 한다. 다만, 부득이한 사유로 해당 일에 시행하지 못할 경우 같은 달 다른 날에 시행하여야 한다. ② 분임정보보안담당관은 정보보안담당관 총괄 하에 ‘사이버보안진단의 날’에 소속 부서의 정보통신망과 정보시스템의 보안취약 여부 확인 등 보안진단을 실시하여야 한다. 제2장 정보화 사업 보안 제9조(보안책임) ① 정보통신망 또는 정보시스템을 개발ㆍ구축ㆍ운용ㆍ유지보수하는 사업(이하 "정보화사업"이라 한다)을 담당하는 부서의 장(「지능정보화 기본법」제11조제1항에 따른 지능정보화계획에 따른 사업을 포함한다. 이하 "정보화사업담당관"이라 한다)은 해당 정보화사업에 대한 보안관리를 수행하여야 한다. ② 정보화사업담당관은 정보화사업에 대한 용역업체 관리 등의 해당 사업에 대한 전반적인 보안관리 책임을 지고 관리ㆍ감독하여야 한다. ③ 정보보안담당관은 각종 정보화사업과 관련한 보안대책의 적절성을 평가하고 정보화사업 수행 전반에 대하여 보안대책의 이행여부를 각 단계별로 점검하여 필요 시 정보화사업담당관에게 시정을 요구할 수 있다. 제10조(보안대책 수립) 정보화사업담당관은 정보통신망 또는 정보시스템을 구축ㆍ운용하기 위한 정보화사업 계획을 수립할 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다. 1. 보안관리체계(조직, 인원 등) 구축 등 관리적 보안대책 2. 설치ㆍ운용장소 보안관리 등 물리적 보안대책 3. 정보통신망 또는 정보시스템의 구성요소별 기술적 보안대책 4. 국가정보원장이 개발하거나 안전성을 확인한 암호자재, 검증필 암호모듈 및 정보보호시스템 도입ㆍ운용계획 5. 긴급사태 대비 및 재난복구 계획 6. 용역업체 작업장소에 대한 보안대책 7. 기존 운용 중인 정보통신망 및 정보시스템에 대한 용역업체 접근 통제대책 등 8. 누출금지정보 보안관리 방안 제11조(제안요청서 기재사항) ① 정보화사업담당관은 용역업체에 정보화 사업을 발주하기 위하여 제안요청서를 작성할 경우 다음 각 호의 사항을 포함하여야 한다. 1. 용역업체 작업장소에 대한 보안요구사항 2. 기존 운용 중인 정보통신망 및 정보시스템에 대한 용역업체 접근 통제대책 3. 누출금지정보 목록 4. 용역업체가 누출금지정보를 제외한 소프트웨어 산출물을 제3자에게 제공하고자 할 경우 발주자의 승인절차 ② 제1항제3호에 따른 누출금지정보 목록을 작성할 경우 다음 각 호의 사항을 포함하여야 한다. 1. 정보시스템 내ㆍ외부 IP주소 현황 2. 정보시스템 구성 현황 및 정보통신망 구성도 3. 개별사용자의 계정ㆍ비밀번호 등 정보시스템 접근권한 정보 4. 정보통신망 또는 정보시스템 취약점 분석ㆍ평가 결과물 5. 정보화사업 용역 결과물 및 관련 프로그램 소스코드(외부에 유출될 경우 국가안보 및 국익에 피해가 우려되는 중요 용역사업에 해당) 6. 정보보호시스템 도입ㆍ운용 현황 7. 정보보호시스템 및 네트워크장비 설정 정보 8. 「공공기관의 정보공개에 관한 법률」제9조제1항에 따라 비공개 대상 정보로 분류된 기관의 내부문서 9. 「개인정보보호법」제2조제1호에 따른 개인정보 10. 「보안업무규정」제4조에 따른 비밀 및 「보안업무규정 시행규칙」제16조제3항에 따른 대외비 11. 그 밖에 병무청장 및 소속기관의 장이 공개가 불가하다고 판단한 자료 제12조(보안성 검토 시기 및 절차) ① 정보화사업담당관은 정보화사업을 수행하고자 할 경우 정보화사업과 관련한 보안대책의 적절성을 평가하기 위하여 사업계획 단계(사업 공고 전)에서 보안성 검토 절차를 이행 하여야 한다. ② 정보화사업과 관련한 보안대책은 정보화사업의 규모ㆍ중요도 등을 고려하여 국가정보원에 보안성 검토를 의뢰하거나 병무청 자체적으로 실시할 수 있다. 이 경우 병무청과 소속기관에서 수행하는 모든 정보화 관련 사항은 병무청 정보보안담당관에게 협의를 거쳐 보안성 검토를 의뢰하여야 한다. ③ 보안성 검토는 서면 검토를 원칙으로 하나 필요한 경우 현장 확인을 병행 수행할 수 있다. 제13조(보안성 검토 및 제출문서) ① 병무청장은 다음 각 호에 해당하는 정보화 사업에 대하여 국가정보원장에게 보안성 검토를 의뢰하여야 한다. 1. 비밀ㆍ대외비를 유통ㆍ관리하기 위한 정보통신망 또는 정보시스템 구축 2. 국가정보원장이 개발하거나 안전성을 확인한 암호자재를 적용하는 정보통신망 또는 정보시스템 구축 3. 국가안보상 중요한 정보통신망 또는 정보시스템 구축 4. 100만명 이상의 개인에 대한 「개인정보보호법」상 민감정보 또는 고유 식별정보를 처리하는 정보시스템 구축 5. 국가정보보안기본지침 제53조의2에 따른 제어시스템 도입 6. 재난관리ㆍ국민안전ㆍ치안유지ㆍ비상사태 대비 등 국가위기 관리와 관련한 정보통신망 또는 정보시스템 구축 7. 국가정보통신망 등 여러 기관이 공동으로 활용하기 위한 정보통신망 또는 정보시스템 구축 8. 행정정보, 국가지리, 환경정보 등 국가 차원의 주요 데이터베이스 구축 9. 국제행사를 위한 정보통신망 또는 정보시스템 구축 10. 내부망 또는 폐쇄망을 인터넷 또는 다른 정보통신망과 연동하는 사업 11. 내부망과 기관 인터넷망을 분리하는 사업 12. 통합데이터센터ㆍ보안관제센터 구축 13. 소속 공무원 등이 업무상 목적으로 활용하도록 하기 위한 인터넷망(제23조제1항제1호에 따른 업무용 무선랜 형태를 포함한다) 및 이동 통신망(HSDPA, WCDMA, LTE, 5G 등)의 구축 14. 원격근무시스템 구축 15. 「전자정부법」제54조의2 및 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」제20조에 따라 클라우드컴퓨팅 서비스제공자의 클라우드컴퓨팅서비스(이하 "민간 클라우드컴퓨팅서비스"라 한다)를 이용하는 사업 16. 협력사업 등을 위한 북한지역 내 정보통신망 또는 정보시스템 구축 17. 외국에 개설하는 사무소 운영을 위한 정보통신망 또는 정보시스템 구축 18. 첨단 정보통신기술을 활용하는 정보화사업으로서 국가정보원장이 해당 기술에 대하여 안전성 확인이 필요하다고 지정하는 사업 ② 정보화사업담당관은 제1항에 따른 보안성 검토를 의뢰할 경우 다음 각 호의 사항이 포함된 문서를 제출하여야 한다. 1. 사업계획서(사업목적 및 추진계획을 포함) 2. 제안요청서 3. 정보통신망 구성도(필요시 IP주소체계를 추가) 4. 자체 보안대책 제14조(정보통신제품 등 도입요건) ① 병무청장 및 소속기관장은 정보 및 정보통신망 등을 보호하기 위하여 보안기능이 있는 다음 각 호에 해당하는 정보통신제품을 도입할 수 있다. 1. 별표 1에 따른 안전성 검증필 제품 목록에 등재되어 있는 제품 2. 별표 2에 따른 제품(정보통신망을 이용하여 유통ㆍ보관되는 중요자료를 보호하기 위한 암호화가 주기능인 제품) 도입요건을 만족하는 제품 3. 제1호 및 제2호에 해당하지 않는 정보통신제품 중에서 국가정보원장이 별도로 공지하는 도입요건을 만족하는 제품 4. 제품유형의 특성상 보안기능의 비중이 미미하여, 자유롭게 도입ㆍ운용이 가능한 ‘단순 보안기능 제품유형’으로 국가정보원장이 공지한 제품 5. 국가정보원장이 취약점으로 인해 운용중지를 요청한 정보통신제품을 긴급 대체하기 위하여 도입하는 제품 ② 제1항제3호에 따라 도입하는 제품은 실제 적용ㆍ운용 이전에 보안적합성 검증을 받아야 한다. ③ 제1항제5호에 따른 제품(이하 "긴급 대체 제품"이라 한다)을 도입한 병무청장 또는 소속기관의 장은 빠른 시일내에 원(原) 제품과 동일 수준의 안전성 확인이 이루어질 수 있도록, 긴급 대체 제품에 대하여 제1항제1호 및 제2호에 따른 도입요건을 갖추도록 하거나 같은 항 제3호 및 보안적합성 검증 절차를 거치도록 하여야 하며, 필요시 국가정보원장에게 추가적인 검증을 요청할 수 있다. 제15조(용역업체 보안) ① 정보화사업담당관은 용역업체에 정보화사업을 발주할 경우 다음 각 호의 보안사항을 준수하도록 계약서에 명시하여야 한다. 1. 제11조제1항 각 호에 따른 제안요청서에 포함된 사항 1의2. 원격지 개발, 원격지에서의 온라인 개발, 온라인 유지보수를 허용할 경우 보안 준수사항 2. 소프트웨어 개발보안에 필요한 사항 3. 사업 참여인원의 보안관련 준수사항과 위반할 경우 손해배상 책임에 관한 사항 4. 사업수행과 관련한 보안교육, 보안점검 및 사업기간 중 참여인원 임의 교체 금지 5. 정보통신망 구성도ㆍIP주소 현황 등 업체에 제공하는 자료는 자료 인계인수대장을 비치하여 보안조치 후 인계ㆍ인수하고 무단 복사 및 외부 반출 금지 6. 업체의 노트북ㆍ휴대용 저장매체 등 관련 장비는 반출ㆍ입 시마다 악성코드 감염여부, 누출금지정보 무단 반출여부 등 점검 7. 사업 종료 시 업체의 노트북ㆍ휴대용 저장매체 등 관련 장비는 저장자료 복구가 불가하도록 완전 삭제 8. 사업 종료 시 누출금지정보 전량 회수 9. 그 밖에 병무청장이 보안관리가 필요하다고 판단하는 사항 또는 국가정보원장이 보안조치를 권고하는 사항 ② 정보화사업담당관은 비밀 및 중요 용역사업을 수행할 경우 용역업체 참여 인원이 다음 각 호에 해당되는 사실을 알게 된 경우 교체를 요구하여야 한다. 1. 「국가공무원법」제33조제3호부터 제6호까지, 제6호의2, 제6호의3 및 제6호의4에 해당하는 사람 2. 「국가를 당사자로 하는 계약에 관한 법률」제27조제1항 각 호의 행위를 한 사람 ③ 정보화사업담당관은 다음 각 호의 보안 준수사항의 이행여부를 정기 또는 수시로 점검(불시 점검을 포함한다)하고 미비점을 발견한 경우 용역업체에게 시정조치 하도록 하여야 한다. 이 경우 정보화사업담당관은 점검결과를 정보보안담당관에게 통보하여야 한다. 1. 제1항에 따라 계약서에 명시된 보안 준수사항 2. 제16조의2에 따른 개발 장소 보안 준수사항 3. 제17조에 따른 원격지 개발보안 시 보안 준수사항 4. 제30조에 따른 정보시스템 유지관리 시 보안 준수사항 ④ 병무청 정보보안담당관은 병무청 및 소속기관에 대하여 용역업체 보안관리 실태 점검을 실시할 수 있으며, 필요한 경우 국가정보원장에게 지원을 요청할 수 있다. ⑤ 병무청 정보보안담당관은 제3항 및 제4항에 따른 점검 결과 원격지 용역업체 보안대책 준수가 미흡하고 시정조치가 어렵다고 판단하는 경우에는 제17조에 따른 원격지 개발 허가를 취소할 수 있다. ⑥ 정보화사업담당관은 정보통신망 또는 정보시스템 구축 및 유지보수 등의 계약 이행과정에서 보안준수 사항 및 계약 특수조건을 계약서에 명시하여야 하며 계약기간에 발생한 보안약점 등에 대해서는 계약업체에게 개선 조치하도록 하여야 한다. ⑦ 정보화사업담당관은 필요한 경우 계약업체로부터 제4항에 따른 보안준수 및 보안책임에 대하여 대표자 명의로 별지 제1호서식의 보안확약서를 요구할 수 있다. ⑧ 그 밖에 정보화 참여 인력에 대하여 별지 제2호서식의 보안서약서를 요구하여야 한다. ⑨ 용역업체 관련한 보안 사항은 병무청「외주 용역사업 보안관리 지침」과 국가정보원「국가ㆍ공공기관 용역업체 보안관리 가이드라인」을 준수하여야 한다. 제16조(소프트웨어 개발보안) 정보화사업담당관은 정보시스템을 개발할 경우 「전자정부법」제45조제3항에 따라 규정된「행정기관 및 공공기관 정보시스템 구축ㆍ운영지침」(행정안전부 고시) 제50조, 제50조의2 및 제51조부터 제53조까지에 따라 관리하여야 한다. <개정 2026.2.6.> 제16조의2(개발장소 보안) ① 정보화사업담당관은 기관 내(기관장이 임차한 외부 사무실을 포함한다) 용역업체 장소를 설치할 경우 보안 통제가 가능한 공간을 마련ㆍ운영하여야 한다. ② 기관 내 용역업체 장소에 설치ㆍ운영하는 정보통신망은 기관의 정보통신망과 분리 구성하여야 한다. 다만, 용역업체가 사업 수행을 위하여 기관 정보시스템 이용이 불가피할 경우에는 필요한 정보시스템에 한해 지정된 단말기로부터의 제한적 접근을 허용하는 등 보안대책을 수립ㆍ시행하여야 하며, 내부망 정보시스템에 대한 접근 허용에 관하여는 병무청 정보보안담당관과 사전 협의하여야 한다. ③ 개발장소 내 정보시스템은 용역사업 수행을 위해 필요한 경우 정보화사업담당관의 보안통제하에 인터넷에 연결할 수 있다. 다만, 제2항 단서에 따른 기관 정보시스템 접근용 단말기의 경우에는 인터넷 연결을 금지한다. ④ 용역업체가 기관 내 장소에서 개발 작업을 수행하더라도 개발용 서버가 민간 클라우드컴퓨팅서비스를 이용하는 등으로 원격지에 위치할 경우에는 제17조에 따른 원격지 개발로 간주하고 제17조제1항에 따른 보안대책을 수립ㆍ시행하여야 한다. 제17조(원격지 개발보안) 「소프트웨어 진흥법」제49조제3항 및 제4항과 「소프트웨어사업 계약 및 관리감독에 관한 지침」제14조에 따라 용역업체가 발주기관 이외 장소(이하 "원격지"라 한다)에서 개발 작업(유지관리는 제외한다)을 수행하고자 할 경우 용역업체 작업장소에 대한 보안요구 사항 등을 포함한 관리적ㆍ기술적 보안대책을 수립ㆍ시행하여야 한다. 이 경우 정보화사업담당관은 보안대책을 수립한 후 병무청 정보보안담당관의 승인을 받아야 한다. 제18조(소프트웨어 산출물 제공) ① 용역업체가 소프트웨어 산출물의 반출을 요청할 경우 제안요청서 또는 계약서에 명시된 누출금지정보에 해당하지 아니하면 제공할 수 있다. ② 제1항에 따라 소프트웨어 산출물을 용역업체에 제공할 경우 업체의 노트북ㆍ휴대용 저장매체 등 관련 장비에 저장된 누출금지정보를 완전 삭제하여야 하며 업체로부터 누출금지정보가 완전 삭제되었다는 대표자 명의의 확약서를 받아야 한다. ③ 용역업체가 소프트웨어 산출물을 제3자에게 제공할 경우 제공하기 이전에 정보보안담당관에게 승인을 받아야 한다. ④ 그 밖에 소프트웨어 산출물 제공과 관련한 사항은 「소프트웨어사업 계약 및 관리감독에 관한 지침(과학기술정보통신부 고시)」제32조를 준수하여야 한다. 제19조(누출금지정보 유출시 조치) ① 정보화사업담당관은 용역업체가 제안요청서 또는 계약서에 명시된 누출금지정보를 유출한 사실을 알게 된 경우 업체를 대상으로 계약 위반에 따른 조치를 취하여야 한다. 이 경우 용역업체의 누출 금지정보 유출 사실을 알게 된 정보화사업담당관 또는 사업과 관계된 공무원 등은 즉시 정보보안담당관을 경유하여 병무청장 및 소속기관의 장에게 보고하여야 한다. ② 제1항에 따라 용역업체의 누출금지정보 유출 사실을 알게 되거나 보고를 받은 병무청장 및 소속기관의 장은 그 사실을 국가정보원장에게 즉시 통보하여야 하고 입찰 참가자격 제한 등 관련 조치를 취하여야 한다. 제20조(보안적합성 검증 신청) ① 정보화사업담당관은 제14조제1항에 해당하는 제품을 도입하는 경우 안전한 사업 수행을 위해서 국가정보원에서 검증한 제품인 제14조제1항제1호 및 제2호에 해당하는 정보통신제품을 도입하여야 한다. 다만, 제14조제1항제3호에 따른 정보통신제품을 도입해야 하는 경우에는 병무청 정보보안담당관에게 별표 5의 보안적합성 검증 신청시 제출물에 해당하는 문서를 제출하고 보안적합성 검증을 신청하여야 한다. ② 보안적합성 검증제품에 따라 정보화사업담당관은 병무청 정보보안담당관과 협의하여 자체적으로 검증을 실시할 수 있다. 이 경우 병무청 정보보안담당관이 보안적합성 검증을 위해 추가 자료를 요청할 경우 이를 제출하여야 한다. 제3장 정보통신망 및 정보시스템 보안 제1절 정보통신망 보안 제21조(내부망ㆍ인터넷망 분리) ① 병무청장 및 소속기관의 장은 내부망과 기관 인터넷망을 분리ㆍ운영하여야 한다. ② 정보시스템에 부여되는 IP주소를 체계적으로 관리하여야 하며 비(非)인가자로부터 내부망을 보호하기 위하여 네트워크주소 변환기 (NAT)를 이용하여 사설 IP주소체계를 구축ㆍ운영하여야 하고, IP주소별로 정보시스템 접속을 통제하여 비(非)인가 기기에 의한 내부망 접속을 차단하여야 한다. ③ 분리된 내부망과 기관 인터넷망 간 자료전송을 위한 접점이 불가피한 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다. 1. 침입차단ㆍ탐지시스템 설치ㆍ운용 2. 내부망과 기관 인터넷망 간 접점 최소화 3. 내부망과 기관 인터넷망간 일방향 전송장비 등을 이용한 자료전송체계를 구축ㆍ운영하고 원본파일은 3개월 이상, 전송기록은 6개월 이상유지 4. 정기적으로 전송실패 기록을 확인하고 악성코드 유입여부 등 점검 5. 내부망 자료를 기관 인터넷망으로 전송할 경우 분임정보보안담당관 또는 결재권자의 사전 또는 사후 승인절차 마련 ④ 제1항에도 불구하고 예산 부족 등 사유로 부득이한 경우 국가정보원장과 협의하여 내부망과 기관 인터넷망을 분리하지 아니할 수 있다. 이 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다. 1. 정보시스템 및 개별사용자 컴퓨터 영역 등에 대한 접근 통제대책 2. 인터넷 컴퓨터의 악성코드 감염 최소화를 위한 인터넷 사용 통제대책 3. 인터넷 컴퓨터의 악성코드 감염에 따른 내부망으로의 피해확산 차단대책 4. 사이버공격 탐지ㆍ대응 등 안전한 업무환경을 위한 보호대책 ⑤ 내부망과 기관 인터넷망 등 기관의 IP주소 현황을 정기적으로 확인하고 갱신하여야 한다. ⑥ 이 조에 따른 보안대책은「공공데이터의 제공 및 이용 활성화에 관한 법률」제17조에 따른 국민제공 공공데이터 범위 산정에는 영향을 미치지 아니하며, 국민에게 제공하는 공공데이터의 범위를 축소하는 것으로 해석하여서는 아니된다. 제22조(보안ㆍ네트워크장비 보안) ① 병무청장 및 소속기관의 장은 침입차단ㆍ탐지시스템, 스위치ㆍ라우터 등 기관 정보통신망 구성 또는 기관 정보보안 정책 전반에 영향을 미치는 보안ㆍ네트워크 장비를 설치ㆍ운용하고자 할 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다. 1. 물리적으로 안전한 장소에 설치하여 비(非)인가자의 무단접근 통제 2. 기관 외부 정보통신망에서 정보보호시스템ㆍ네트워크장비에 대한 원격접속 금지. 다만, 기관 내부에서의 원격 접속은 보안대책 수립 후 허용한다. 3. 최초 설치할 경우 디폴트(default) 계정은 삭제하거나 변경 사용하고 장비 관리를 위한 관리자 계정을 별도로 생성ㆍ운영 4. 불필요한 서비스 포트와 개별사용자 계정은 차단 및 삭제 5. 펌웨어 무결성과 컴퓨터 운영체제ㆍ소프트웨어의 취약점 및 버전 업데이트 여부를 정기적으로 점검하고 최신 버전으로 유지 ② 병무청장과 소속기관의 장은 보안ㆍ네트워크장비의 로그기록을 1년 이상 유지하고 비(非)인가자의 접속여부를 정기적으로 점검하여야 한다. ③ 병무청장과 소속기관의 장은 별지 제3호서식의 정보보호시스템 운영 현황을 관리하고 침입차단ㆍ탐지시스템의 침입차단ㆍ탐지규칙(rule) 생성 근거를 유지하여 정기적으로 필요성 여부를 점검ㆍ갱신하여야 한다. 제23조(무선랜 보안) ① 병무청장 및 소속기관의 장은 내부망을 제외한 청사 내에 정보통신망에서 다음 각 호와 같이 무선랜(WiFi)을 구축ㆍ운용할 수 있다. 1. 기관 인터넷망에 중계기(AP)를 설치하여 병무청장 및 소속기관의 장이 지급한 단말기의 접속만을 허용하는 업무용 무선랜 2. 상용 인터넷망에 중계기(AP)를 설치한 민원인 전용(專用) 무선랜 ② 제1항에 따라 무선랜을 구축ㆍ운용하고자 할 경우 국가정보원장이 배포한 「국가ㆍ공공기관의 무선랜 구축 및 RFID 보안 가이드라인」을 준수하여 보안대책을 수립ㆍ시행하여야 한다. ③ 제2항에 따른 보안대책을 수립할 경우 제1항 제1호에 따른 무선랜에 대하여는 다음 각 호의 사항을 포함하여야 한다. 1. 네트워크 이름(SSID) 브로드캐스팅(broadcasting) 금지 2. 추측이 어렵고 복잡한 네트워크 이름(SSID) 사용 3. WPA2 이상(256비트 이상)의 암호체계를 사용하여 소통자료 암호화 4. 비(非)인가 단말기의 무선랜 접속 차단 및 무선랜 이용 단말기를 식별하기 위한 IP주소 할당기록 등 유지 5. IEEE 802.1X, AAA(Authentication Authorization Accounting) 등의 기술에 따라 상호 인증을 수행하는 무선랜 인증제품 사용 6. 무선침입방지시스템 설치 등 침입 차단대책 7. 기관의 내부망 정보시스템 또는 인접해 있는 다른 기관의 정보시스템이 해당 무선랜에 접속되지 아니하도록 하는 기술적 보안대책 8. 그 밖에 무선랜 단말기ㆍ중계기(AP) 등 구성요소별 분실ㆍ탈취ㆍ훼손ㆍ오용 등에 대비한 관리적ㆍ물리적 보안대책 ④ 분임정보보안담당관은 제2항 및 제3항에 따른 보안대책의 적절성을 수시로 점검ㆍ보완하여야 한다. 제24조(이동통신망 보안) ① 병무청장 및 소속기관의 장이(HSDPAㆍWCDMAㆍ LTEㆍ5G 등)을 이용하여 시스템을 구축하거나 중요자료를 소통하고자 할 경우 암호화 및 비인가 단말기의 이동통신망 접속 차단 등 기술적 보안대책을 수립ㆍ시행하여야 한다. ② 제1항에 따라 이동통신망을 이용한 시스템을 구축ㆍ운용할 경우 해당 기관의 정보통신망과 혼용되지 않도록 하여야 한다. 제25조(영상회의 보안) ① 병무청장 및 소속기관의 장은 영상회의시스템을 구축 운영하고자 할 경우 통신망 암호화 등 보안대책을 수립ㆍ시행하여야 한다. ② 병무청장 및 소속기관의 장은 다음 각 호의 구분에 따라 상용 소프트웨어에 탑재된 영상회의 서비스를 이용할 수 있다. 1. 비공개 업무자료를 취급하거나 회의 내용이 비공개 업무자료에 준하다고 판단할 경우: 영상ㆍ음성ㆍ업로드 데이터가 국내 서버로만 전송되는 상용 영상회의 소프트웨어(이하 "국내 영상회의 솔루션"이라 한다)를 활용 2. 공개 업무자료를 취급하거나, 회의 내용이 공개 업무자료에 준하다고 판단할 경우: 국내 영상회의 솔루션 또는 그 밖의 영상회의 소프트웨어를 활용 ③ 제2항제1호에도 불구하고, 병무청장 및 소속기관의 장은 정책자문 등의 목적으로 민간인과 영상회의시에 민간인이 국내 영상회의 솔루션을 활용할 수 없는 정당한 사유가 있는 경우 국가정보원장과 협의하여 국내 영상회의 솔루션 외의 소프트웨어를 일시적 또는 정기적으로 활용할 수 있다. ④ 그 밖에 영상회의 보안과 관련한 사항은 국가정보원장이 배포한 「원격업무 통합보안매뉴얼」을 준수하여야 한다. <개정 2025.2.17.> 제26조(인터넷전화 보안) ① 병무청장 및 소속기관의 장은 인터넷전화시스템을 구축ㆍ운용하거나 민간 인터넷전화 사업자망을 이용하고자 할 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다. 1. 한국정보통신기술협회(TTA) verified ver.4 이상 보안규격으로 인증받은 행정기관용 인터넷전화시스템 설치ㆍ운용 2. 인터넷전화기에 대한 장치 및 사용자 인증 3. 제어신호 및 통화내용 등 데이터 암호화 4. 인터넷전화망과 다른 정보통신망과의 분리 5. 인터넷전화 전용(專用) 침입차단시스템 등 정보보호시스템 설치ㆍ운용 6. 백업체제 구축 ② 병무청장 및 소속기관의 장은 민간 인터넷전화 사업자망을 이용할 경우 해당 사업자로 하여금 서비스 제공 구간에 대한 보안대책을 수립하도록 하여야 한다. ③ 그 밖에 인터넷전화 보안과 관련한 사항은 국가정보원장이 배포한 「국가ㆍ공공기관 인터넷전화 보안 가이드라인」을 준수하여야 한다. 제27조(인터넷 사용제한) ① 병무청장 및 소속기관의 장은 국가비상사태 및 대형 재해ㆍ재난의 발생, 사이버공격 등으로부터 정보통신망과 정보시스템의 정상적인 운영을 보장하기 위하여 내부직원에 대한 인터넷 사용을 제한할 수 있다. ② 기관 인터넷망의 효율적인 운영 관리 및 악성코드 유입 차단을 위하여 게임ㆍ음란ㆍ도박 등 업무와 관련이 없는 인터넷 이용을 차단하여야 한다. 제28조(국제통신 보안) ① 외국과의 통신 시 공개된 자료 이외의 소통을 하여서는 아니 된다. ② 국제전화를 이용 시 사전에 별지 제4호서식의 국제전화 및 (FAX) 사용신청서에 따라 분임정보보안담당관의 승인을 얻어 사용하여야 하며, 국제전화 사용기록부에는 사용일시, 송화자의 직급, 성명 및 수화자의 주소, 성명, 전화번호, 통화목적, 보안성 유지 등을 기록하여야 한다. ③ 해외공관 등에 접수ㆍ발송하여야 할 공문은 외교부 외교통신망을 이용한다. 제2절 정보시스템 보안 제29조(정보시스템 보안책임) ① 병무청장 및 소속기관의 장은 정보시스템(컴퓨터ㆍ서버ㆍ네트 워크장비ㆍ정보통신기기 등을 포함한다)을 도입ㆍ운용할 경우 해당 정보시스템에 대하여 관리자 및 관리책임자를 지정ㆍ운영하여야 한다. ② 정보시스템 관리자 및 관리책임자는 서버ㆍ네트워크장비 등 부서가 공동으로 사용하는 정보시스템의 운용ㆍ관리에 대한 보안책임을 진다. ③ 정보시스템 관리책임자는 정보시스템을 별지 제5호서식의 정보시스템 관리대장을 수기 또는 전자적으로 작성ㆍ관리하여야 한다. ④ 정보시스템 관리책임자는 별지 제5호서식의 정보시스템 관리대장에 정보시스템의 최종 변경 현황을 유지하여야 하며 사본 1부를 정보보안담당관에게 제출하여야 한다. ⑤ 정보보안담당관은 정보시스템 운용과 관련하여 보안취약점을 발견하거나 보안대책 수립이 필요하다고 판단하는 경우 개별사용자, 정보시스템 관리자 및 관리책임자에게 개선 조치를 요구할 수 있으며 조치가 완료될 때까지 정보시스템의 운용을 일시 제한할 수 있다. 제30조(정보시스템 유지관리) ① 병무청장 및 소속기관의 장은 정보시스템의 유지보수와 관련한 절차, 주기, 문서화 등과 관련한 사항을 마련하여야 하고, 정보시스템의 유지보수 절차 및 문서화를 수립할 경우 고려사항은 다음 각 호와 같다. 1. 유지보수 인원에 대하여 보안서약서를 집행하고, 보안교육 등을 포함한 유지보수 인가절차를 마련하며, 인가된 인원만 유지보수에 참여 2. 결함이 의심되거나 발생한 결함, 예방 및 유지보수에 대한 기록을 유지 3. 유지보수를 위하여 정보시스템을 원래 설치장소에서 다른 장소로 이동할 경우 통제수단을 마련 4. 유지보수 일시 및 담당자 인적사항, 출입통제 조치사항, 작업수행 내용 등 기록 유지 ② 정보시스템 관리자는 용역업체 등이 유지보수와 관련한 장비ㆍ도구 등을 반출ㆍ입할 경우 악성코드 감염여부 및 자료 무단 반출여부 확인 등 보안조치를 실시하여야 한다. ③ 정보시스템 관리자는 직접 또는 용역업체를 활용하여 정보시스템을 유지 보수할 경우 내부망 및 기관 인터넷망과 분리된 별도의 유지보수 전용(專用) 정보통신망 및 전용(專用) 단말기를 사용하도록 하며 기관 외부 정보통신망에서 원격으로 유지 보수하여서는 아니 된다. 다만, 불가피한 경우 보안대책 수립 후 정보보안담당관의 승인을 받아 수행하거나 용역업체에게 일정기간 동안 매번 접속 포트(port)를 열어주는 방식으로 접속을 허용할 수 있으며 접속사실이 기록된 로그기록은 1년 이상 보관하여야 한다. ④ 정보시스템 관리자는 소관 정보시스템의 기능 개선ㆍ오류 수정 등을 위하여 용역업체를 통한 프로그램 개발이 필요할 경우 용역업체 인원을 해당 기관에 상주시켜 개발 작업을 수행하여야 하고, 프로그램 개발이 완료된 경우에는 정상 동작여부 등 안전성을 확인한 후 적용하여야 한다. ⑤ 정보시스템 관리책임자는 소관 정보시스템에 대하여 중요도ㆍ가용성 등에 따라 등급을 분류하고 해당 등급에 맞게 정보 보존 및 관리, 장애관리, 보안관리 등을 수행하여야 한다. 제31조(정보시스템 위탁운영 보안) ① 병무청장 및 소속기관의 장은 소관 정보시스템에 대하여 외부업체 위탁 운영을 최소화하여야 하되, 위탁 운영을 할 경우에는 관리적ㆍ물리적ㆍ기술적 보안대책을 수립ㆍ시행하여야 한다. ② 정보시스템의 위탁 운영은 다른 기관 또는 외부업체 인원이 병무청 및 소속기관에 상주(常駐)하여 수행하는 것을 원칙으로 한다. 다만, 위탁 수행 인원의 상주(常駐)가 불가한 경우에는 보안대책 수립 후 비상주(非常駐)할 수 있다. ③ 그 밖에 정보시스템 위탁운영 보안과 관련한 사항은 제15조를 준용한다. 제32조(서버 보안) ① 병무청장 및 소속기관의 장은 서버를 도입ㆍ운용하고자 할 경우 사이버공격으로 인한 자료 절취 및 위ㆍ변조 등에 대비하여 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다. 1. 서버 내 저장자료에 대하여 업무별ㆍ자료별 중요도에 따라 개별사용자의 접근권한 차등 부여 2. 개별사용자별 자료 접근범위를 서버에 등록하여 인가여부를 식별하도록 하고 인가된 범위 이외 자료 접근통제 3. 서버 운용에 필요한 서비스 포트 이외 불필요한 서비스 포트 제거 및 관리자용 서비스와 개별사용자용 서비스 분리ㆍ운용 4. 관리자용 서비스 접속 시 특정 IP주소가 부여된 관리용 단말기 지정ㆍ운용 5. 서버 설정 정보 및 저장자료에 대한 정기적 백업 실시 6. 데이터베이스에 대하여는 개별사용자의 직접 접속 차단, 개인정보 등 중요정보 암호화 등 데이터베이스별 보안조치 실시 ② 서버 관리자는 제1항에 따른 보안대책의 적절성을 수시 확인하여야 하며 연1회 이상 서버 설정 정보와 저장자료의 절취 및 위ㆍ변조 가능성 등 보안 취약점을 점검ㆍ보완하여야 한다. 제33조(공개서버 보안) ① 병무청장 및 소속기관의 장은 외부인에게 공개할 목적으로 웹서버 등 공개서버를 구축ㆍ운용하고자 할 경우 내부망과 분리된 영역(DMZ)에 설치하여야 한다. ② 병무청장 및 소속기관의 장은 비(非)인가자의 공개서버 저장자료 절취 및 위ㆍ변조, 분산서비스거부(DDoS) 공격 등에 대비하여 침입차단ㆍ탐지시스템 및 DDoS 대응장비 설치 등 보안대책을 수립ㆍ시행하여야 한다. ③ 공개서버 관리자는 비(非)인가자의 공개서버 내 비공개 정보에 대한 무단 접근을 방지하기 위하여 서버에 접근할 수 있는 개별사용자를 제한하고 불필요한 계정은 삭제하여야 한다. ④ 공개서버 관리자는 공개서버 서비스에 필요한 프로그램을 개발ㆍ시험하기 위하여 사용한 도구(컴파일러 등) 및 서비스와 관계가 없는 산출물은 개발 완료 후 삭제하여야 한다. ⑤ 그 밖에 공개서버 보안과 관련한 사항은「국가정보보안기본지침」을 준용한다. 제34조(로그기록 유지) ① 병무청장 및 소속기관의 장은 정보시스템의 효율적인 통제ㆍ관리 및 사고 발생 시 추적 등을 위하여 로그기록을 유지ㆍ관리하여야 한다. ② 제1항에 따른 로그기록에는 다음 각 호의 사항이 포함되어야 한다. 1. 접속자, 정보시스템ㆍ응용프로그램 등 접속대상 2. 로그온ㆍ오프, 자료의 열람ㆍ출력 등 작업 종류 및 시간 3. 접속 성공ㆍ실패 등 작업 결과 4. 전자우편 사용 등 외부발송 정보 등 ③ 정보시스템 관리자는 로그기록을 생성하는 정보시스템의 경우 시간 동기화 프로토콜(NTP) 적용 등을 통해 정확한 기록을 유지하여야 한다. ④ 정보시스템 관리자는 로그기록을 정기적으로 점검하고 점검 결과 비(非)인 가자의 접속 시도, 자료의 위ㆍ변조 및 삭제 등 의심스러운 정황이나 위반한 사실을 발견한 경우 즉시 정보보안담당관에게 통보하여야 한다. ⑤ 정보시스템 관리자는 로그기록을 1년 이상 보관하여야 하며 로그기록의 위ㆍ변조 및 외부유출 방지대책을 수립ㆍ시행하여야 한다. 제35조(업무용 통신단말기 보안) ① 병무청장 및 소속기관의 장은 업무용 통신단말기를 이용하여 업무자료 등 중요정보를 소통ㆍ관리하고자 할 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다. 1. 통신단말기에 대한 장치 및 개별사용자 인증 2. 제어신호 및 통화내용 등 데이터 암호화 3. 분실ㆍ탈취ㆍ훼손 등에 대비한 관리적ㆍ물리적ㆍ기술적 보안대책 ② 제1항에 따른 보안대책을 수립하기 위하여 국가정보원장에게 취약점 점검 및 기술 지원을 요청할 수 있다. ③ 병무청장 및 소속기관의 장은 주요 보직자가 안전한 통화를 위하여 사용하는 공용(公用) 휴대폰(이하 "안보폰"이라 한다)이 분실ㆍ훼손되지 않도록 현황을 관리하여야 한다. 이 경우 병무청장 및 소속기관의 장은 국가정보원장이 예외로 허용하는 운용방식 이외에는「국가정보보안기본지침」에 따라 보안대책을 수립ㆍ시행하여야 한다. 제36조(모바일 업무 보안) ① 병무청장 및 소속기관의 장은 휴대폰ㆍ태블릿 컴퓨터 등을 이용한 모바일 업무환경(내부 행정업무, 현장 행정업무 및 대민서비스 업무 등)을 구축ㆍ운용하고자 할 경우 보안대책을 수립ㆍ시행하여야 한다. ② 그 밖에 모바일 업무 보안과 관련한 사항은 국가정보원장이 배포한 「국가ㆍ공공기관 모바일 활용업무에 대한 보안가이드라인」을 준수하여야 한다. 제37조(저장매체 불용처리) ① 병무청장 및 소속기관의 장은 정보시스템 또는 저장매체(하드디스크ㆍ반도체 기반 저장장치(SSD) 등)를 외부 수리ㆍ교체ㆍ반납ㆍ양여ㆍ폐기ㆍ불용 처리하고자 할 경우 정보시스템 및 저장매체에 저장된 자료가 외부에 유출되지 않도록 자료 삭제 등 보안조치를 실시하여야 한다. ② 제1항에 따라 자료를 삭제할 경우 저장 매체별ㆍ자료별 차별화된 삭제 방법을 적용할 수 있으며, 원본 데이터를 복구할 수 없도록 완전삭제 하여야 한다. <개정 2025.2.17.> ③ 정보화사업담당관은 컴퓨터 등 단말기 교체 정보화사업 등으로 인하여 대량으로 저장매체의 불용처리가 예상되는 경우 외부전문업체를 통해 저장매체를 일괄 불용처리할 수 있다. 이를 위해, 정보화사업담당관은 저장매체 불용처리 예산을 추가 확보할 수 있도록 노력하여야 한다. <신설 2025.2.17.> ④ 제3항에 의해 외부전문업체에 의한 저장매체 불용처리 시 정보화사업담당관은 업체의 작업과정을 입회하여 불용 절차ㆍ방법 등 보안 준수여부를 확인ㆍ감독하여야 하며, 업체 작업자에 대하여 보안서약서 집행, 교육 등 필요한 보안조치를 하여야 한다. <신설 2025.2.17.> ⑤ 비밀ㆍ대외비를 저장하거나 암호화키를 저장했던 저장매체는 소각ㆍ파쇄ㆍ용해 등의 방법으로 완전 파괴하여야 한다. ⑥ 그 밖에 정보시스템 및 저장매체의 불용처리와 관련한 사항은 국가정보원장이 배포한 「정보시스템 저장매체 불용처리지침」을 준수하여야 한다. 제37조의2(저장매체 완전삭제) ① 제37조제2항에 따라 자료를 삭제할 경우 분임정보보안담당관 및 정보화사업담당관은 불용장비의 저장매체에 대해 완전삭제 장비(디가우저, 파쇄기, 완전삭제SW 등)를 이용하여 저장자료를 완전삭제 하여야 하며, 별지 제16호서식의 저장매체 완전삭제 결과서를 작성하여 사본 1부를 정보보안담당관에게 제출해야 한다. ② 제1항에 따라 저장매체 완전삭제 시, 처리 장비에 대한 사용법 미숙 등으로 자체 수행하기 곤란할 경우 정보보안담당관에게 별지 제15호서식의 저장매체 완전삭제 신청서를 작성ㆍ제출하여 저장매체의 완전삭제를 의뢰할 수 있다. ③ 정보보안담당관은 완전삭제 장비의 안전한 운영 및 현황 관리를 위해 별지 제17호서식의 저장매체 완전삭제 작업관리 기록부를 운영하고, 분기별로 이상여부를 점검해야 한다. [본조신설 2025.2.17.] 제37조의3(저장매체 완전삭제 확인) 정보보안담당관은 저장매체 저장자료의 완전삭제 여부를 최종확인하여야 한다. [본조신설 2025.2.17.] 제38조(전산자료 보호등급 분류) ① 병무청장 및 소속기관의 장은 보유하고 있는 전산자료의 중요도를 고려하여 보호등급 분류기준 별표 3에 따라 전산자료 보호등급을 분류하여야 한다. ② 정보보안담당관은 자체 실정에 맞게 전산자료의 보호등급을 필요 시 조정할 수 있다. 제39조(보호등급별 보안대책) ① 병무청장 및 소속기관의 장은 '가'급 보호 등급으로 분류된 전산자료를 보호하기 위해서는 다음 각 호의 보안대책을 마련하여야 한다. 1. K4등급 또는 EAL4등급 이상의 인증을 받고 국가정보원장이 국가기관용으로 보안적합성을 검증한 정보보호시스템을 설치 사용 2. 자료별 비밀번호의 사용과 시스템 접근권한을 설정 관리 ② ‘나’급 보호등급으로 분류된 전산자료에 대해서는 다음 각 호의 보안대책을 마련하여야 한다. 1. K3등급 또는 EAL3등급 이상의 인증을 받고 국가정보원장이 국가기관용으로 보안적합성을 검증한 정보보호시스템을 설치하여 사용 2. 시스템 접근권한을 설정 관리 ③ ‘다’급 보호등급 자료를 보호하기 위해서는 K2등급 또는 EAL2등급 이상의 인증을 받고 국가정보원장이 국가기관용으로 보안적합성을 검증한 정보보호시스템을 설치 사용하여야 한다. ④ 전산자료의 보호등급이 서로 다른 내부망과 상호 연동하고자 할 경우 에는 가장 높은 전산자료의 보호등급에 따른 보안대책을 마련하여야 한다. 제40조(원격근무 보안) ① 병무청장 및 소속기관의 장은 내부직원의 재택ㆍ파견ㆍ이동근무 등 원격근무를 지원하기 위한 정보시스템을 구축ㆍ운용하고자 할 경우 국가정보원장과 사전 협의하여 관리적ㆍ물리적ㆍ기술적 보안대책을 수립 후 시행하여야 한다. 다만, 불가피한 경우에는 보안대책 수립 후 국가정보원장과 사후 협의하여 시행하여야 한다. ② 제1항에 따른 원격근무로 취급할 수 있는 업무자료의 범위는 공개 및 비공개(「공공기관의 정보공개에 관한 법률」제9조제1항에 따른 비공개 정보) 업무자료로 하며, 비밀ㆍ대외비를 취급하는 업무는 원격근무 대상에서 제외한다. <개정 2025.2.17.> ③ 정보보안담당관은 원격근무자에게 별지 제6호서식의 원격근무 보안서약서를 제출받고 원격근무자의 보직변경ㆍ퇴직 등 변동사항이 발생할 경우 정보시스템의 접근권한 조정 등 관련 절차를 수립ㆍ시행하여야 한다. ④ 원격근무자는 업무자료 유출을 방지하기 위하여 원격근무용 단말기를 지정하여 필수 보안소프트웨어(DRM, 백신 등)를 설치ㆍ운영하고 단말기를 수시로 점검하고 업무자료 저장금지 등 보안조치를 실시하여야 한다. <개정 2025.2.17.> ⑤ 원격근무자는 원격근무용 단말기 고장 등으로 단말기를 정비 또는 반납하고자 할 경우 자료유출 방지 등 보안대책 수립 후 정보보안담당관과 협의하여 관련 조치를 취하여야 한다. ⑥ 원격근무자는 원격근무의 수행 시 국가정보원장이 안전성을 확인한 상용 암호모듈을 사용하여 소통자료를 암호화하고 행정전자서명체계를 이용하여 인증하며 일회용 비밀번호ㆍ생체인증 등 보안기술을 적용하여야 한다. <개정 2025.2.17.> ⑦ 병무청장 및 소속기관의 장은 원격근무와 관련한 보안대책 이행여부를 정기적으로 점검ㆍ보완하여야 한다. 제41조(신기술 보안) 클라우드 컴퓨팅, 사물인터넷, 빅데이터, 인공지능 등의 신기술 관련 보안 사항은「국가정보보안기본지침」에 따른다. <개정 2023.10.20., 2026.2.6.> 제41조의2(생성형 인공지능 보안) ① 병무청장 및 소속기관의 장은 생성형 인공지능을 구축, 도입 및 활용하고자 할 경우 정보보안 사고 방지를 위하여 다음 각 호의 사항을 포함한 관리적ㆍ기술적 대책을 수립ㆍ시행하여야 한다. 1. 생성형 인공지능 구축 또는 도입 시 보안성 검토 실시 2. 외부 생성형 인공지능(내부망과 분리된 인터넷망에 구축ㆍ운영되는 생성형 인공지능) 활용시 비공개 업무자료 및 개인정보가 포함된 정보 입력 금지 3. 입력자료(프롬프트)에 대한 필터링 및 모니터링 체계 구축 4. 생성형 인공지능 사용 이력 로그기록 2년 이상 보관 ② 그 밖에 생성형 인공지능 활용에 대한 세부 사항은 국가정보원장이 배포한 「국가ㆍ공공기관 인공지능 시스템 보안 가이드라인」을 준수하여야 한다. [본조신설 2026.2.6.] 제3절 자료 보안 제42조(비밀의 전자적 처리) ① 병무청장 및 소속기관의 장은 국가정보원의「보안업무규정」에 따라 비밀의 생산, 분류, 보관, 열람, 출력, 송ㆍ수신, 이관, 파기 등을 전자적으로 처리할 수 있다. ② 비밀을 전자적으로 처리하는 전(全) 과정에서 국가정보원장이 개발하거나 안전성을 확보한 암호자재를 사용하여 기밀성, 무결성, 인증, 부인방지 등 보안성을 확보하여야 한다. ③ 제1항에 따라 비밀을 전자적으로 처리할 경우 내부망 컴퓨터에서 비밀을 전자적으로 처리하여야 한다. 제43조(비밀자료의 입ㆍ출력) ① 입출력 대상 자료의 비밀등급 분류는 업무담당 부서에서 수행하며, 대외비 이상의 비밀자료를 전산에 입력하고자 할 경우에는 초안지에 해당 비밀등급과 예고문을 표시하여 입력 의뢰하여야 한다. ② 전산장비에 입력할 비밀자료의 선정 및 입력은 업무담당부서 책임으로 일과시간 내에 입력하여야 한다. 다만, 부득이한 사유로 인하여 연장근무가 필요한 경우에는 사전에 정보보안담당관과 협의하여 입력할 수 있으며, 또한 업무담당부서에서 자체 입력을 할 수 없는 경우에는 사전에 정보보안담당관과 협의하여 입력을 의뢰 한다. ③ 비밀자료를 전산 입력할 경우 보조기억장치를 주전산기와 분리하여 사용하고 그 보조기억장치에는 비밀자료만을 입력하여야 한다. 다만, 주전산기와 분리가 불가능한 경우에는 독립된 파일을 지정하여 입력하여야 한다. ④ 비밀자료를 입력할 경우에는 반드시 해당 비밀등급과 예고문을 입력하여 열람 또는 출력 시 비밀등급과 예고문이 표시되도록 하여야 한다. ⑤ 비밀자료를 출력할 경우에는 출력일시, 해당 면 등이 자동표시 되도록 하여야 한다. ⑥ 비밀자료의 입력, 수정사항과 열람 및 출력사항은 별지 제11호서식의 비밀자료 입ㆍ출력대장에 기록(수정사항은 비고란에 수정근거를 명시)하고 열람자 및 수령자의 서명을 받아야 한다. ⑦ 컴퓨터에 입력된 비밀자료 또는 응용프로그램을 통해 열람 또는 출력하고자 할 경우에는 별지 제12호서식의 비밀자료 출력(열람) 신청서에 따라 사전에 자료제공 부서의 장의 승인을 받은 후 정보보안담당관에게 제출하여야 한다. ⑧ 취급자는 비밀자료 출력 시 발생한 파지 등을 작업종료 후 회수하여 즉시 파기하고 비밀자료 입ㆍ출력 대장의 비고란에 기록하여야 한다. 제44조(비밀자료의 보관관리) ① 비밀자료가 입력되는 보조기억장치는 「병무청 보안업무규정 시행세칙」별지 제9호서식의 비밀관리기록부에 등재하고, 장치별로 별개의 관리번호를 부여하여 관리하며 일반자료와 구분하여 별도의 이중 잠금장치에 보관하여야 한다. 다만, 주전산기와 분리가 불가능한 보조기억장치는 파일별로 관리번호를 부여하여 관리하여야 한다. ② 취급자는 비밀자료 보관상태를 주 1회 점검하고 월 1회 이상 분임정보보안담당관의 확인점검을 받아야 한다. ③ 비밀자료가 입력된 보조기억장치는 포장 전면에 비밀등급과 관리번호를 부착하고 그 이면에 수록자료의 목록을 부착하여야 한다. ④ 비밀작업이 완료되었거나 작업을 중단하고 이석할 경우에는 모든 자료를 이중 캐비닛 또는 금고 등 별도의 용기에 보관하여야 한다. ⑤ 비밀자료 입ㆍ출력대장의 관리번호는 비밀관리기록부의 관리번호와 일치하여야 한다. 이 경우 컴퓨터에 입력된 내용에 대해 일반 자료 및 응용프로그램을 통해 비밀자료로 출력할 경우에는 비밀자료 입ㆍ출력대장의 자료 출력란에만 기재하며 관리번호는 순차적으로 기재한다. ⑥ 비밀용 보안 USB 메모리 등의 보조기억매체를 이용한 비밀문서 생산의 경우 작업 완료 후, 입력된 모든 비밀사항을 완전삭제하고 삭제 사항을 비밀 입출력 대장에 유지하여야 한다. 다만, 비밀 생산 후 파일 활용이 필요한 경우에 비밀 예고문까지 관리자 승인을 득한 후 제2항에 따라 보관할 수 있다. 제45조(비밀자료의 열람 및 출력감시) ① 정보보안담당관은 비밀자료의 열람 및 출력 시에는 주전산기의 보조기억장치에 출력일시, 출력자, 출력면수, 출력자료의 제목 등 관련 사항이 자동 수록되도록 하여 비인가자에 의한 전산 자료의 무단열람 및 출력 사실 여부를 감시하여야 한다. ② 정보보안담당관은 주 전산기의 보조기억장치에 기록되어 있는 전산자료 작업기록을 월1회 이상 출력하여 각종 입ㆍ출력 관리대장과 대조하여 비인가자에 의한 무단열람 및 출력사실 여부를 확인 점검하여야 한다. 제46조(비밀자료 전송시 보안대책) ① 병무청장 및 소속기관의 장은 통신회선을 이용하여 비밀자료를 송ㆍ수신하고자 할 경우에는 다음 각 호에서 정하는 보호대책을 마련하여야 한다. 1. 미리 자료내용을 암호화하여 송ㆍ수신하거나 자동적으로 암호화하여 송ㆍ수신할 수 있는 인가된 암호자재 부가 설치 운용 2. 통신선로 및 배전반에 대한 보호대책 ② 제1항제2호의 보호대책이 마련되지 아니한 경우에는 비밀자료의 송ㆍ수신을 금지하여야 한다. 제47조(비밀자료 출력 관리) ① 전산 출력한 비밀자료는 출력 시에 표시된 비밀등급 및 예고문에 따라 관리하여야 한다. 다만, 비밀보관 책임자는 예고문이 파기로 되어 있는 비밀자료에 한정하여 직권으로 예고문의 보호기간을 단축 조정할 수 있다. ② 전산장비 취급자가 비밀자료를 출력할 경우에는 원본 및 사본표지를 하여 수령자에게 인계하여야 한다. ③ 비밀자료를 1부만 출력할 경우에는 원본으로 표시하며, 2부 이상 출력할 경우에는 그 중 1부를 원본으로 하고 나머지 부수는 매 자료별로 사본표지 및 일련번호를 부여하여야 한다. ④ 전산출력 된 비밀자료를 수령한 사람은 수령 즉시 비밀관리기록부에 등재하고 매 자료별로 관리번호를 부여하여야 한다. ⑤ 전산출력 된 비밀자료는 문서보안 관련 규정에 따라 취급 관리하여야 한다. 제48조(비공개 업무자료 처리) ① 내부직원은 비공개 업무자료를 다음 각 호의 어느 하나에 해당하는 방법으로만 처리하여야 한다. 1. 내부망 컴퓨터 및 서버에 작성 및 저장ㆍ보관 2. 병무청장 및 소속기관의 장이 지급한 휴대용 저장매체에 작성 및 저장ㆍ보관 3. 다음 각 목의 어느 하나에 해당하는 수단(이하 "업무자료 공식 소통수단"이라 한다)을 이용한 수ㆍ발신 또는 등재ㆍ열람 가. 병무청장 및 소속기관의 장이 자체적으로 구축ㆍ운용하는 전자우편시스템(이하 "기관 전자우편"이라 한다) 나. 공무원등이 공동으로 사용할 목적으로 문화체육관광부장관이 구축ㆍ운용하는 전자우편시스템(이하 "공직자통합메일"이라 한다) 다. 공무원등이 다른 공무원등과 자료를 공유하거나 소통하기 위하여 사용하는 전용(專用) 소프트웨어(이하 "공공 전용(專用) 메신저"라 한다) 라. 국회사무처가 구축ㆍ운용하는 의정자료전자유통시스템 등 기관간 업무자료의 소통 또는 공동 활용을 위해 구축한 정보시스템 4. 그 밖에 다른 법규에 따라 허용되는 처리방법 ② 제1항에도 불구하고 지급받은 인터넷 컴퓨터 또는 출장용 노트북을 이용하여 공직자통합메일 또는 공공 전용(專用) 메신저 등을 이용하여 비공개 업무자료를 처리할 수 있다. ③ 제1항에도 불구하고 다음 각 호의 어느 하나에 해당하는 경우 개인이 소유한 컴퓨터ㆍ휴대용 저장매체ㆍ휴대폰 등을 이용하여 비공개 업무자료를 처리할 수 있다. 1. 공직자 통합메일 또는 공공 전용(專用) 메신저 활용 2. 국가정보원장이 안전성을 확인한 원격근무시스템에 접속하여 작성 3. 국민의 생명ㆍ신체, 국가안보 및 공공의 안전 등을 위하여 긴급히 작성, 저장, 수ㆍ발신이 필요하다고 각 기관의 장이 인정하는 경우 ④ 제2항 및 제3항에 따라 작성ㆍ저장한 비공개 업무자료는 활용 후 즉시 삭제하여야 한다. 제48조의2(상황별 업무자료 처리) ① 내부직원은 국회법 제128조제2항, 국정감사 및 조사에 관한 법률 제10조제2항, 국회증언감정법 제2조 및 제4조에 따라 국회ㆍ정부간 업무자료를 소통할 경우에는 제48조제1항제3호라목의 의정자료전자유통시스템을 활용하여 처리하여야 한다. 다만, 시스템 장애 등 부득이한 사유로 시스템 활용이 곤란할 경우에는 제48조에 따른 다른 방법으로 처리할 수 있다. ② 감독ㆍ감사ㆍ조사 등의 관계법령에 따라 업무자료를 제출받을 권한이 있는 공무원등은 업무자료를 제출할 상대방 공무원등에게 제48조에 위반되는 방법으로 자료 제출을 요구하여서는 아니 된다. ③ 공무원등이 자문 등의 목적으로 업무자료를 업무자료 공식 소통수단을 활용할 수 없는 민간인에게 발신하거나 민간인으로부터 수신 받고자 할 경우에는 공공기관 메일 또는 자료를 전송할 수 있는 전송시스템을 활용하여야 한다. 제49조(행정전자서명 인증서 등 관리) ① 비공개 업무자료를 처리하기 위하여 행정전자서명의 인증서(이하 "행정전자서명 인증서"라 한다)를 기관 인터넷 컴퓨터 또는 개인이 소유한 컴퓨터ㆍ휴대용 저장매체ㆍ휴대폰 등에 저장ㆍ보관할 수 있다. ② 행정전자서명 인증서 및 인증서의 비밀번호, 공직자통합메일의 비밀번호 등을 상용 정보통신서비스를 이용하여 수ㆍ발신하거나 저장ㆍ보관하여서는 아니 된다. 제50조(비공개 업무자료 유출방지) ① 병무청장 및 소속기관의 장은 제48조에 따른 비공개 업무자료 처리절차 준수 여부를 관리ㆍ통제할 수 있는 보안체계를 구축ㆍ운영하여야 하며, 검증필 암호모듈 등을 사용하여 비공개 업무자료의 위조ㆍ변조ㆍ훼손 및 유출 등을 방지하기 위한 보안대책을 강구하여야 한다. ② 비공개 자료를 전송할 때에는 비밀번호를 설정하고 부서장의 승인을 받은 후 전송하여야 한다. 이 경우 상용메일로는 자료를 전송하여서는 아니 된다. 제51조(공개 업무자료 처리) 관계 법규에 위배되지 않는 범위에서 인터넷 컴퓨터나 개인이 소유한 컴퓨터ㆍ휴대용 저장매체ㆍ휴대폰, 상용 정보통신 서비스 등을 이용하여 공개 업무자료를 처리할 수 있다. 제52조(문서파일 암호화) ① 병무청장 및 소속기관의 장은 컴퓨터 내 생성되는 문서파일에 대하여 암호화SW를 적용하여 운영하여야 한다. ② 외부 반출 시에는 부서장의 승인 후 반출이 가능하며, 부득이한 경우 사후승인을 통하여 복호화를 수행할 수 있다. 제53조(홈페이지 등 게시자료 보안) ① 병무청장 및 소속기관의 장은 비공개 업무자료가 홈페이지 또는 외부 웹사이트(이하 "홈페이지 등"이라 한다.)에 무단 게시되지 않도록 보안대책을 수립ㆍ시행하여야 한다. ② 분임정보보안담당관은 소속 부서에서 홈페이지 등에 업무자료를 게시하고자 할 경우 자료 내용을 사전 검토하여 비공개 업무자료가 게시되지 아니하도록 하여야 한다. ③ 분임정보보안담당관은 소속 부서에서 운용하는 홈페이지에서 비공개 업무자료가 무단 게시되었는지 여부를 정기적으로 점검하여야 한다. ④ 병무청장 및 소속기관의 장은 홈페이지 등에 비공개 업무자료가 무단 게시된 사실을 알게 된 경우 즉시 삭제 또는 차단 등 보안조치를 취하여야 한다. 제54조(정보통신망 현황자료 관리) ① 병무청장 및 소속기관의 장은 정보통신망과 관련한 다음 각 호에 해당하는 자료에 대하여 국가정보원장이 배포한 ‘비밀세부분류지침’에 따라 비밀로 분류ㆍ관리하여야 한다. 1. 국방 연구개발 및 정보통신 관련 자료 2. 암호자재 운용관리 현황 3. 보안업무규정 제32조에 따른 국가보안시설 및 국가보호장비의 운영ㆍ관리에 필요한 정보통신망 구성현황 및 그에 대한 취약점 분석ㆍ평가 결과물 4. 그 밖에 제2항 각 호에 해당하는 자료 중에서 국가정보원장이 비밀로 분류할 것을 요청한 자료 ② 제1항 각 호에 해당하는 자료를 제외한 다음 각 호에 해당하는 자료를 「공공기관의 정보공개에 관한 법률」제9조제1항에 따른 비공개 대상 정보로 지정ㆍ관리하여야 한다. 1. 정보통신망 구성현황(IP주소 할당현황을 포함한다) 2. 정보시스템 운용현황 3. 취약점 분석ㆍ평가 결과물 4. 주요 정보화 사업 추진현황 ③ 제1항 및 제2항에도 불구하고 다른 기관과 협력하여 정보통신망 및 정보시스템 운용 또는 정보보안업무를 수행할 필요가 있는 경우 제1항 및 제2항 각 호에 해당하는 자료를 다른 기관의 장에게 제공할 수 있다. 제4절 사용자 보안 제55조(개별사용자 보안) ① 병무청장 및 소속기관의 장은 소관 정보통신망 또는 정보시스템의 사용과 관련하여 다음 각 호의 사항을 포함한 개별사용자 보안에 관한 절차를 마련하여야 한다. 1. 직위ㆍ임무별 정보통신망 접근권한 부여 2. 비밀 취급시 비밀취급 인가, 보안서약서 요구 등 보안조치 3. 암호자재 취급시 제73조에 따라 암호자재 취급 인가자 지정ㆍ관리 4. 보직변경, 퇴직 등 변동사항 발생 시 정보시스템 접근권한 조정 ② 개별사용자는 본인이 컴퓨터 등 정보시스템을 사용하거나 정보통신망에 접속하는 행위와 관련하여 스스로 보안책임을 진다. 제56조(컴퓨터 등 단말기 보안) ① 개별사용자는 소속된 기관에서 지급받은 컴퓨터ㆍ노트북ㆍ휴대폰ㆍ스마트패드 등 단말기(이하 "단말기"라 한다) 사용과 관련한 일체의 보안관리 책임을 진다. ② 개별사용자는 단말기에 대하여 다음 각 호에 해당하는 보안대책을 준수하여야 한다. 1. CMOSㆍ운영체제 계정ㆍ자료 암호화 등 3단계 비밀번호 설정 및 정기적 변경 사용 2. 단말기 작업을 10분 이상 중단 시 비밀번호 등을 적용한 화면보호 조치 3. 최신 백신 소프트웨어 설치 4. 운영체제 및 응용프로그램에 대한 최신 보안패치 유지 5. 출처, 유통경로 및 제작자가 불분명한 응용프로그램의 사용 금지 6. 인터넷을 통한 자료(파일) 획득 시 신뢰할 수 있는 인터넷사이트를 활용하고 자료(파일) 다운로드 시 최신 백신 소프트웨어로 검사 후 활용 7. 인터넷 파일공유ㆍ메신저ㆍ대화방 프로그램 등 업무상 불필요한 프로그램의 설치 금지 및 공유 폴더 삭제 8. 웹브라우저를 통해 서명되지 않은 액티브-X 등이 다운로드ㆍ실행되지 않도록 보안 설정 9. 기관의 인터넷 컴퓨터에서는 특별한 사유가 없는 한 문서프로그램은 읽기전용(專用)으로 운용 10. 단말기에 착ㆍ탈 가능한 보조기억매체의 접근 제어 11. 그 밖에 국가정보원장이 안전성을 확인하여 배포한 프로그램의 운용 및 보안권고문 이행 ③ 분임정보보안담당관은 정보보안담당관 총괄 하에 개별사용자의 제2항 각 호에 해당하는 보안대책의 준수여부를 정기적으로 점검하고 개선 조치하여야 한다. 제57조(계정 관리) ① 병무청장 및 소속기관의 장은 소관 정보통신망 또는 공용(公用) 정보시스템의 접속에 필요한 사용자 계정(아이디)을 개별사용자에게 부여하고자 할 경우 다음 각 호에 해당하는 사항을 준수하여야 한다. 1. 개별사용자별 또는 그룹별 접근권한 부여 2. 외부인에게 계정을 부여하지 아니하되 업무상 불가피한 경우 보안조치 후 필요한 업무에 한정하여 일정기간 동안 접속 허용 3. 특별한 사유가 없으면 용역업체 인원에게 관리자 계정 부여 금지 4. 비밀번호 등 식별 및 인증 수단이 없는 사용자 계정은 사용 금지 ② 정보시스템 관리자는 시스템 접속(로그온)에 5회 이상 실패할 경우 접속이 중단되도록 시스템을 설정하고 비(非)인가자의 침입 여부를 점검하여야 한다. ③ 정보시스템 관리자는 개별사용자의 보직변경, 퇴직, 계약종료 등 변동사항이 발생할 경우 신속히 사용자 계정을 삭제하거나 부여된 접근권한을 회수하여야 한다. ④ 정보시스템 관리자는 사용자 계정 부여 및 관리의 적절성을 연 2회 이상 점검하고 그 결과를 정보보안담당관에게 통보하여야 한다. ⑤ 정보시스템 관리자는 제1항 및 제3항에 따른 접근권한 부여, 변경, 회수 또는 삭제 등에 대한 내역을 기록하고 3년 이상 보관하여야 한다. ⑥ 제1항제2호에 따라 불가피하게 외부인에게 계정을 부여하는 경우 정보보안담당관의 승인을 받아야 하며, 해당 외부인에 대하여 보안서약서를 받고 보안교육을 실시하여야 한다. <신설 2025.2.17.> ⑦ 제1항에 따른 정보통신망 또는 공용(公用) 정보시스템이 「병무청 개인정보보호 관리 규정」제3조제9호의 개인정보처리시스템인 경우 같은 규정 제3장 개인정보처리의 안전한 관리에 따른다. <신설 2025.2.17., 2026.2.6.> 제58조(비밀번호 관리) ① 개별사용자 및 정보시스템 관리자는 각종 비밀번호를 다음 각 호에 해당하는 사항을 반영하고 숫자ㆍ문자ㆍ특수문자 등을 혼합하여 안전하게 설정하고 정기적으로 변경ㆍ사용하여야 한다. 1. 사용자 계정(아이디)과 동일하지 않은 것 2. 개인 신상 및 부서 명칭 등과 관계가 없는 것 3. 일반 사전에 등록된 단어의 사용을 피할 것 4. 동일한 단어 또는 숫자를 반복하여 사용하지 말 것 5. 사용된 비밀번호는 재사용하지 말 것 6. 동일한 비밀번호를 여러 사람이 공유하여 사용하지 말 것 7. 응용프로그램 등을 이용한 자동 비밀번호 입력기능을 사용하지 말 것 ② 정보시스템 관리자는 서버 등 정보시스템에 보관되는 비밀번호가 복호화 되지 아니하도록 일방향 암호화하여 저장하여야 한다. ③ 공용(公用) 정보시스템에서 개별사용자를 식별 또는 인증하기 위하여 비밀번호에 갈음하거나 병행하여 지문인식 등 생체인증 기술 및 일회용 비밀번호 생성기(OTP) 등을 안전성 확인 후 사용할 수 있다. 이 경우 생체인증 정보는 안전하게 보관하여야 한다. 제59조(전자우편 보안) ① 사용자는 출처가 불분명하거나 의심되는 제목의 전자우편에 대해 열람을 금지하고 해킹메일로 의심되는 메일 수신 시 즉시 정보보안담당관 및 병무청 사이버안전센터를 경유하여 국가사이버위협 정보공유시스템 또는 전자우편(cert@ncsc.go.kr)을 통해 국가사이버안보센터에 신고하여야 한다. ② 사용자는 수신된 전자우편에 포함된 첨부파일이 자동 실행되지 아니하도록 기능을 설정하고 첨부파일을 다운로드할 경우 최신 백신 소프트웨어로 악성코드 은닉여부를 검사하여야 한다. ③ 사용자는 상용 전자우편, 상용 메신저 또는 휴대전화를 이용하여 비밀자료를 전송하여서는 안 된다. ④ 사용자는 상용 전자우편을 이용하여 업무자료를 송ㆍ수신 할 수 없으며 기관 전자우편으로 송ㆍ수신한 업무자료는 활용 후 메일함에서 즉시 삭제하여야 한다. 제60조(휴대용 저장매체 보안) ① 병무청 및 소속기관의 장은 휴대용 저장매체를 사용하여 업무자료를 보관하고자 할 경우 자료의 위ㆍ변조, 저장매체의 훼손ㆍ분실 등에 대비한 보안대책을 수립ㆍ시행하여야 한다. ② 휴대용 저장매체 관리자는 휴대용 저장매체를 비밀용ㆍ일반용으로 구분ㆍ관리하고 수량 및 보관 상태를 월 1회 이상 정기적으로 점검하며 외부 반출ㆍ입을 통제하여야 한다. ③ 휴대용 저장매체 관리자는 비밀이 저장된 휴대용 저장매체는 매체별로 비밀등급 및 관리번호를 부여하고 비밀관리기록부에 등재ㆍ관리하여야 한다. 이 경우 매체 전면에 비밀등급 및 관리번호가 표시되도록 하여야 한다. ④ 분임정보보안담당관은 정보보안담당관 총괄 하에 소속 부서에 대하여 개별사용자의 휴대용 저장매체 무단 반출, 미등록 휴대용 저장매체 사용여부 등 보안관리 실태를 연 1회 이상 점검하여야 한다. ⑤ 그 밖에 휴대용 저장매체 보안과 관련한 사항은 국가정보원에서 배포한 「USB메모리 등 휴대용 저장매체 보안관리지침」을 준수하여야 한다. 제61조(비인가 기기 통제) ① 개인 소유의 정보통신기기는 다음 각 호의 경우를 제외하고는 기관내에 무단 반입ㆍ사용하여서는 아니 된다. 1. 보편적 통신 목적의 개인 소유 이동통신단말기(LTEㆍ5G 등 이동통신망 접속기능이 있는 휴대폰ㆍ태블릿ㆍ스마트워치) : 반입하여 개인 용도로만 사용. 이 경우 반입 장비를 도크스테이션(dock station)ㆍ마우스ㆍ모니터ㆍ키보드 등 PC와 유사하게 활용토록 하는 장치와의 연결 사용 금지 2. 제1호를 제외한 정보통신기기: 제1호에 따른 반입ㆍ사용만으로는 보편적 통신곤란 등 특별한 사정이 있는 경우에 한하여 소속 부서의 분임정보보안담당관을 거쳐 정보보안담당관의 승인을 받아 반입 후 개인 용도로만 사용 ② 제1항 각 호에 따라 반입한 개인 소유의 정보통신기기를 기관의 내부망 및 기관 인터넷망(무선랜 포함)에 연결하여서는 아니 되며, 내부망 및 기관 인터넷망 정보시스템을 다른 정보통신망에 연결하는 수단으로 사용하여서는 아니 되며, 분임정보보안담당관은 이를 수시로 점검하여야 한다. ③ 정보보안담당관은 개인 소유의 정보통신기기가 업무자료를 외부로 유출하는데 악용될 수 있거나 기관의 정보통신망 운영에 위해(危害)가 된다고 판단될 경우 반출ㆍ입 통제 등 보안대책을 수립ㆍ시행하여야 한다. 제62조(규정 위반자 처리) 병무청장 및 소속기관의 장은 「국가공무원 복무ㆍ징계 관련 예규」(인사혁신처) 제7장 및 이 규정 별표 4에 따라 처리한다. 제4장 융합 보안 제1절 정보통신시설 및 기기 보호 제63조(정보통신시설 보호대책) 정보통신시설(전산실, 통신실, 사이버안전센터 등)을 운영하는 병무청장 및 소속기관의 장은 다음 각 호에서 정하는 보호대책을 마련하여야 한다. 1. 방재대책 및 외부로부터의 위해(危害) 방지대책 2. 상시 이용하는 출입문은 한 곳으로 정하고 이중 잠금장치 설치 3. 출입자 식별ㆍ인증 등을 위한 출입문 보안장치 설치 및 주ㆍ야간 감시 대책 4. 휴대용 저장매체를 보관할 수 있는 용기 비치 5. 정보시스템의 안전지출 및 긴급파기 계획 수립 6. 관리책임자 및 자료ㆍ장비별 취급자 지정ㆍ운영 7. 정전에 대비한 비상전원 공급 및 시스템의 안정적 중단 등 전력관리 대책 8. 비상조명 장치 등 비상탈출 대책 9. 카메라 장착 휴대폰 등을 이용한 불법 촬영 방지대책 제64조(정보통신시설 출입관리) ① 정보통신장비실의 통제구역에는 출입인가자 명부를 비치하고 비인가자의 출입을 통제하여야 한다. 다만, 비인가자가 업무상 부득이한 사유로 출입하여야 할 경우에는 미리 정보보안담당관의 승인을 받고 담당자의 안내를 받아야 한다. <개정 2023.10.20.> ② 장비의 유지보수업체 종사자 중 수시 출입자에 대하여는 보안유지를 위하여 별지 제2호서식의 서약서를 받고 관리하여야 한다. ③ 정보통신장비실의 통제구역 입구에는「병무청 보안업무규정 시행세칙」 별지 제24호서식의 출입대장을 비치하고 출입사항을 기록 유지하여야 한다. <개정 2023.10.20.> 제65조(영상정보처리기기 보안) ① 병무청장 및 소속기관의 장은 업무상 목적으로 불특정 사람 또는 사물을 촬영한 영상을 유ㆍ무선 정보통신망으로 전송ㆍ저장ㆍ분석하는 CCTVㆍIP카메라ㆍ이동형 영상촬영장비ㆍ중계서버ㆍ관제서버ㆍ관리용 컴퓨터 등의 기기ㆍ장비(이하 "영상정보처리기기"이라 한다)를 설치ㆍ운용하고자 할 경우 운영자의 계정ㆍ비밀번호 설정 등 인증대책을 수립하고 특정 IP주소에서만 접속 허용 등 비(非)인가자 접근 통제대책을 수립ㆍ시행하여야 한다. ② 영상정보처리기기를 통합ㆍ운용하는 시설(이하 "영상관제 상황실"이라 한다)을 운영하고자 할 경우 영상관제상황실을 제한구역 또는 통제구역으로 지정ㆍ관리하고 출입통제 장치를 운용하여야 한다. ③ 제1항에 따른 영상정보처리기기를 도입하고자 하는 경우 한국정보통신기술협회(TTA)의 공공기관용 보안 성능품질 인증 등 일정한 보안성능이 확인된 제품을 도입하여야 하며, 영상정보처리기기는 인터넷과 분리ㆍ운용하여야 한다. 다만, 부득이하게 인터넷과 연결ㆍ사용하여야 할 경우 전송내용을 암호화하여야 한다. <개정 2023.10.20.> ④ 그 밖에 영상정보처리기기 보안과 관련한 사항은 국가정보원장이 배포한 「국가 공공기관 영상정보 처리기기 도입ㆍ운영 가이드라인」 및 「안전한 정보통신 환경 구현을 위한 네트워크 구축 가이드라인」을 준수하여야 한다. 제66조(디지털복합기 보안) ① 디지털복합기(디지털복사기 및 유사기능을 하는 정보시스템 등도 포함한다. 이하 "복합기"라 한다)를 설치ㆍ운용하고자 할 경우 복합기 내 저장매체가 있거나 장착이 가능한 경우 자료유출을 방지하기 위하여 자료 완전 삭제 또는 디스크 암호화 기능이 탑재된 복합기를 도입하여야 한다. ② 복합기 관리자는 제1항에 따라 복합기를 설치ㆍ운용할 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다. 1. 암호화 저장 기능이 있는 경우 해당 기능 사용 2. 정기적으로 저장된 작업 내용(출력ㆍ스캔 등) 완전 삭제 3. 공유 저장소 사용 제한 및 접근 제어 4. 고정 IP주소 설정 및 불필요한 서비스 제거 5. 불필요한 관리자 페이지 비활성화 <신설 2026.2.6.> 6. 자체 무선(Wi-Fi) 기능 비활성화 <신설 2026.2.6.> ③ 복합기 관리자는 다음 각 호의 어느 하나에 해당하는 경우 복합기의 저장 매체에 저장된 자료를 완전삭제하여야 한다. 1. 복합기 사용연한이 경과하여 폐기ㆍ양여할 경우 2. 복합기 무상 보증기간 중 저장매체 또는 복합기 전체를 교체할 경우 3. 고장 수리를 위한 외부 반출 등의 사유로 해당 기관이 복합기의 저장 매체를 통제 관리할 수 없는 장소로 이동할 경우 4. 그 밖에 저장자료의 삭제가 필요하다고 판단되는 경우 ④ 분임정보보안담당관은 소모품 교체 등 복합기 유지보수를 할 경우 입회ㆍ감독하고 저장매체의 무단 교체 등을 예방하여야 한다. ⑤ 분임정보보안담당관은 복합기를 통해 내부망과 기관 인터넷망간 접점이 발생하지 않도록 보안대책을 수립ㆍ시행하고 보안 취약점에 대한 개선조치를 하여야 한다. ⑥ 정보보안담당관은 주기적으로 제5항에 따른 보안대책 이행실태를 확인하여야 한다. ⑦ 그 밖에 복합기 보안과 관련한 사항은 국가정보원장이 배포한「정보시스템 저장매체 불용처리지침」을 준수하여야 한다. 제67조(재난 방지대책) ① 병무청장 및 소속기관의 장은 인위적 또는 자연적인 원인으로 인한 정보통신망의 장애 발생에 대비하여 정보시스템의 이중화, 백업관리 및 복구 등 종합적인 재난 방지대책을 수립ㆍ시행하여야 한다. ② 병무청장 및 소속기관의 장은 재난 방지대책을 정기적으로 시험ㆍ검토하고 업무 연속성에 대한 영향평가를 실시하여야 한다. ③ 병무청장 및 소속기관의 장은 정보통신망의 장애 발생에 대비하여 정보시스템 백업시설을 확보하고 정기적으로 백업을 실시하여야 한다. 제2절 전자파 보안 제68조(대도청 측정) ① 병무청장 및 소속기관의 장은 다음 각 호의 어느 하나에 해당하는 시설ㆍ장소에 대하여 각종 수단에 의한 도청으로부터 정보유출을 방지하기 위한 정책 또는 계획 수립 등 관리적 보안대책, 도청을 예방 또는 탐지ㆍ발견할 수 있는 물리적ㆍ기술적 보안대책을 수립ㆍ시행하여야 한다. 1. 기관 청사(신축, 이전 또는 증축, 개축, 대규모 수선 등) 2. 기관장실, 회의실 등 중요업무 장소 3. 중요회의ㆍ회담ㆍ협상ㆍ행사 장소 4. 그 밖에 대도청 측정이 필요하다고 판단되는 시설ㆍ장소ㆍ장비 ② 제1항에 따른 시설ㆍ장소에 대하여 자체 또는 인가된 불법감청설비탐지업자 등을 활용하여 대도청 측정을 실시하여야 한다. 다만, 다음 각 호에 해당하는 시설ㆍ장소에 대하여는 국가정보원장에게 대도청 측정을 요청할 수 있다. 1. 병무청장 및 소속기관의 장이 관리하는 시설ㆍ장소 2. 국가안보 및 국익 보호를 위하여 필요하다고 판단하는 시설ㆍ장소 ③ 제2항에 따라 자체 또는 인가된 불법감청설비탐지업자 등을 활용하여 측정을 실시한 결과 취약요인이 발견된 경우 그 결과를 국가정보원장에게 통보하고 기술 지원 및 추가 측정을 요청할 수 있다. ④ 제2항 단서에 따라 국가정보원장이 측정을 실시한 결과 취약요인이 발견된 경우 개선대책을 수립ㆍ시행하여야 하며 측정결과는 비공개 정보로 지정 관리하여야 한다. ⑤ 그 밖에 대도청 측정과 관련한 사항은 국가정보원장이 배포한 「도청 탐지ㆍ방어 활동 가이드라인」을 준수하여야 한다. 제69조(무선통신 소통) ① 국가동원령 선포 또는 평시 병력동원 훈련소집 등에 사용되는 고출력무전기는 정보부서의 장, 지휘통신망(TRS) 단말기, 재난안전통신망 단말기 등은 사용업무 부서의 장이 통신보안에 유의하여 작동상태를 수시로 확인ㆍ점검하여야 하며, 업무용으로만 사용하여야 한다. ② 무선통신은 긴급하거나 유선통신이 불가능할 경우 사용하여야 하고, 반드시 보안대책을 마련하여야 하며 다음 각 호의 사항을 준수하여야 한다 1. 무선통신은 수신 대기를 원칙으로 하며, 최소한의 필요사항만을 교신 2. 무전 용어는 무선약호를 최대한 활용하여 간명하게 사용 3. 무전기 운용자는 자국 및 상대국 호출부호를 반드시 사용하여 운용 무선국을 명확히 하여야 함 4. 통신상 오류를 인지한 경우에는 즉시 정정 ③ 무선통신 시 금지사항은 다음 각 호와 같다. 1. 불필요한 전파발사 2. 발신권자의 승인 없는 전문 발신 3. 과도한 시험발사 4. 긴급사항을 제외한 중간개입 5. 불요불급한 소통 제70조(고출력 전자파 보안) ① 병무청장 및 소속기관의 장은 소관 주요기반시설을 고출력 전자파(EMP)로부터 안전하게 보호하기 위한 예방ㆍ백업ㆍ복구 등 물리적ㆍ기술적 대책을 포함한 보호대책을 수립ㆍ시행할 수 있다. ② 제1항에 따른 보호대책을 수립 시 정보보안담당관을 경유하여 국가정보원장에게 기술 지원을 요청할 수 있다. 제3절 사이버 공격대응 제71조(초동 조치) ① 병무청장 및 소속기관의 장은 사이버공격으로 인한 피해 최소화 및 확산 방지를 위하여 다음 각 호의 사항을 포함한 조치를 취하여야 한다. 1. 사이버공격 경유지(사이버공격에 악용되거나 악용될 우려가 있는 웹사이트 주소, IP주소, 전자우편 주소를 말한다) 및 공격 IP주소 차단 2. 피해 시스템을 정보통신망으로부터 분리하거나 악성프로그램의 동작을 정지시키는 조치 3. 사고 조사를 위한 피해 시스템 및 로그 기록의 보전 ② 병무청장은 사이버공격으로 인한 피해를 입은 경우 피해를 최소화하기 위하여 필요한 경우 국가정보자원관리원장 및 소속기관의 장에게 피해시스템과 사용자에 관한 정보 제공을 요청할 수 있다. 1. 사이버공격으로 인하여 피해가 발생하거나 피해 발생이 예상되는 경우 2. 사이버공격이 확산될 우려가 있는 경우 3. 그 밖에 사이버공격 계획 등 사이버안전에 위협을 초래할 수 있는 정보를 입수한 경우 제72조(사이버공격 대응활동) ① 병무청장 및 소속기관의 장은 사이버공격 대응절차를 수립ㆍ시행해야 하며 이행실태를 지속 확인 점검하여야 한다. ② 소속기관의 장은 병무청장이 경보발령 시 소관 분야 직원을 대상으로 관련 사항을 전파하고 대응조치를 이행하며 진행 사항을 예의 주시하는 등 대응절차에 따라 신속하게 대처하여야 한다. ③ 소속기관의 장은 제2항에 경보발령에 따른 조치사항을 병무청장에게 보고하고 병무청장은 이를 국가정보원장에게 통보하여야 한다. ④ 제1항에 따라 사이버공격 대응절차에 대해 규정하지 아니한 사항에 대해서는「국가사이버안전관리규정」,「국가사이버안전 매뉴얼」 및 「병무청 사이버안전센터 운영규정」에 따른다. ⑤ 병무청장 및 소속기관의 장은 기관 정보통신망을 대상으로 매년 정기 또는 수시로 사이버공격 대응훈련을 실시하여야 한다. ⑥ 병무청장은 소속기관에 대하여「사이버안보 업무규정」제11조에 따른 대응훈련 및 시정조치가 원활히 이루어질 수 있도록 지도ㆍ감독하여야 한다. 제5장 암호자재 제73조(취급 인가자 지정) ① 병무청장 및 소속기관의 장은 암호자재를 운용하고자 할 경우에는 정ㆍ부책임자 및 실무 담당자를 임명하여야 한다. ② 암호자재 취급 인가를 받은 사람만이 암호자재를 취급할 수 있으며 「병무청 보안업무규정 시행세칙」의 인원보안 규정에 따른다. ③ 암호자재 정ㆍ부책임자가 1월 이상 부재중일 경우에는 후임자를 임명하여야 한다. 제74조(암호자재 사용승인 요청 및 설치) ① 암호자재를 사용하고자 할 경우에는 다음 각 호의 사항을 구비하여 병무청장에게 제출하고 승인을 받아야 한다. 1. 사용대상 및 용도 2. 자재명 및 수량 3. 자재 형태 및 사용주기 4. 정보통신망도 5. 암호실 설치여부 ② 암호자재의 설치장소는 분실, 도난, 피탈 등 보안사고의방지를 위하여 다음 각 호의 모든 보안대책을 마련하여야 하며 부득이한 경우에는 국가정보원장과 협의하여 조정할 수 있다. 1. 보호지역 설정ㆍ운영 2. 이중 잠금장치가 된 보관함ㆍ보관장소 설치ㆍ운용 3. 사진촬영 금지 4. 비인가자 출입통제 5. 화재예방 대책 등 제75조(암호자재의 등록 및 관리) ① 모든 암호자재는 국가정보원장에게 등록하여야 한다. ② 암호자재는 별지 제7호서식의 암호자재 관리기록부에 기록ㆍ유지하여야 하며 관리책임자 정ㆍ부 및 실무자 변경 시 장비명, 일련번호, 수량을 기록한 후 인계ㆍ인수를 하여야 한다. ③ 암호자재의 고유명칭, 제원, 대상국소 및 수량 등 운용현황이 기록된 문서는 비밀로 분류하여야 한다. ④ 암호자재 운용자는 설치ㆍ운용중인 암호자재의 장비명, 일련번호, 보관상태 및 정상작동여부 등을 주1회 점검하고, 그 결과를 별지 제8호서식의 암호자재 점검기록부에 기록ㆍ유지하여야 하며 정보보안담당관은 월1회 점검사항을 확인하여야 한다. ⑤ 암호자재 운용부서의 장은 운용중인 장비가 고장난 경우 고장발생 시 7일 이내에 고장일시, 장소, 고장내용, 장비등록번호, 기종 등을 보안 조치하여 병무청장에게 보고하여야 한다. ⑥ 암호모듈이 내장된 경우 오인파기 등을 방지하기 위하여 외부에 경고문구 등 표지를 부착하여야 하고, 암호자재 운용관리 책임은 해당 기관장에게 있다. ⑦ 제2항의 암호자재 관리기록부 및 제4항의 암호자재 점검기록부는 다음 각 호의 구분에 따라 보관하여야 한다. 1. 암호자재 관리기록부: 새로운 관리부철로 옮겨서 관리할 경우 기존 관리부철을 5년간 보관 2. 암호자재 점검기록부: 최근 5년간의 점검기록을 보관 제76조(암호자재 수령ㆍ배부 및 반납) ① 암호자재는 해당 등급의 비밀 소통용 암호자재 취급인가자가 직접 수령ㆍ반납하여야 하며 별지 제9호서식의 암호자재 증명서 2부를 작성하여 배부(반납)자 및 수령자가 각각 서명한 후 1부씩 보관하여야 한다. ② 암호자재를 운송하고자 할 경우에는 분실, 도난 등 보안사고를 방지하기 위한 대책을 마련하여야 한다. ③ 운송도중 보안조치가 필요할 경우에는 가까운 경찰서나 군부대에 암호자재의 보호를 요청할 수 있으며, 요청받은 기관은 필요한 조치를 지원하여야 한다. ④ 암호자재의 운송 중에 사고가 발생한 경우에는 즉시 병무청장에게 보고하여 필요한 후속 조치를 행할 수 있도록 하여야 한다. ⑤ 사용기간이 만료된 암호자재는 별도의 지시에 의하여 각 기관의 정보보안담당에게 반납하고 각 정보보안담당관은 이를 국가정보원장에게 반납하여야 한다. ⑥ 암호자재를 배부하는 기관의 장은 암호자재를 배부받거나 반납하는 직원이 해당 등급의 비밀 소통용 암호자재취급 인가를 받았는지 여부를 확인해야 한다. ⑦ 암호자재를 수령ㆍ반납할 경우에는 등록번호와 암호자재 증명서의 기재내용이 일치하는지 여부 등을 확인 및 보안조치를 하여야 하고 암호자재 증명서는 해당 암호자재를 반납하거나 파기한 후 5년간 보관하여야 한다. 제77조(암호자재의 운용) ① 비밀은 해당 등급의 비밀 소통용 암호자재를 사용하여 접수ㆍ발송해야 하며, 비밀이 아니라도 누설될 경우 국가이익을 해할 우려가 있는 내용은 암호자재를 사용하여 접수ㆍ발송해야 한다. ② 암호자재는 암호자재를 배부하는 기관이 지정한 용도 외의 목적으로 사용해서는 안 된다. ③ 암호문을 작성 또는 해독하기 위하여 사용한 작업용지는 그 유효성이 종료된 때에 파기하여야 한다. ④ 암호자재를 사용하여 암호화한 통신문은 그 여백에 암호자재의 사용근거를 표시하여야 한다. ⑤ 통신문을 암호화할 때에는 암호화되지 아니한 문장과 혼합하여 사용하여서는 아니 된다. 제78조(암호자재의 인계ㆍ인수) ① 암호자재를 취급하는 정ㆍ부 책임자 및 실무 담당자가 교체, 해임되거나 그 밖의 사유로 부재중인 경우에는 대리근무자 등에게 암호자재를 인계ㆍ인수하여야 한다. ② 암호자재 정책임자가 1개월 이상 부재중인 경우에는 부책임자에게 직무를 수행할 수 있도록 암호자재를 인계ㆍ인수하여야 한다. ③ 암호자재를 인계ㆍ인수할 경우에는 암호자재시스템 관리기록부의 최종기록 여백에 다음 각 호의 사항을 포함한 인계ㆍ인수사항을 기록ㆍ확인하여야 하며 암호자재 정책임자가 교체되었을 경우에는 정보보안담당관의 확인을 받아야 한다. 1. 암호자재 종류 및 수량 2. 납봉 또는 봉인표지 이상 유무 3. 암호자재 정상 작동여부 4. 암호자재 운용법 등 관련자료 이상 유무 제79조(암호자재의 파기) ① 암호자재 운용이 불필요하거나 폐기하고자 할 경우 자체 파기하지 아니하고 암호자재 제작기관의 장 또는 국가정보원장에게 반납하여야 한다. ② 제1항에도 불구하고 암호자재를 자체 파기할 경우 다음 각 호의 사항을 포함한 문서를 국가정보원장에게 제출하고 승인을 받은 후 파기할 수 있다. 1. 파기일시 및 장소 2. 암호자재의 명칭ㆍ수량 및 등록번호 3. 파기사유 및 방법 4. 파기자 및 참여자의 직위(직급)ㆍ성명 ③ 제2항에 따라 암호자재를 자체 파기할 경우 각 파기대상 암호자재의 실물사진, 안전한 이송, 완전한 융해여부 확인 등 파기 전(全) 과정을 채증하여 국가정보원장에게 통보하여야 한다. 이 경우 소속기관의 장은 병무청장을 거쳐 통보하여야 한다. ④ 긴급사태 발생 등 사유로 암호자재를 안전하게 관리할 수 없을 경우 다음 각 호의 사항을 포함한 긴급파기 계획을 평상시 수립하여야 한다. 1. 긴급파기 지시 전달체계 2. 파기 담당관 및 채증 담당관 3. 암호자재별 반드시 파기하여야 할 부품 또는 위치ㆍ방법 제80조(암호자재 현황 통보) 암호자재를 사용하는 소속기관의 장은 별지 제10호서식의 암호자재 운용관리 현황을 그해 12월 말일을 기준으로 작성하여 병무청장에게 다음 해 1월 10일까지 보고하고 병무청장은 이를 국가정보원장에게 1월 25일까지 제출하여야 한다. 제6장 보 칙 제81조(준용) 이 규정에서 규정하지 않은 사항은 다음 각 호의 관련 규정 및 지침을 따른다. 1. 「국가정보원법」 2. 「국가 정보보안 기본지침」 3. 「정보 및 보안업무 기획ㆍ조정 규정」(대통령령) 4. 「보안업무규정」(대통령령) 5. 「전자정부법」 6. 「정보통신기반보호법」 <개정 2026.2.6.> 7. 「공공기록물 관리에 관한 법률」 8. 「국가사이버안전관리규정」(대통령 훈령) 9. 「국가 위기관리 기본지침」 10. 「국가사이버위기관리 표준 매뉴얼」<개정 2026.2.6.> 11. 「국가ㆍ공공기관 암호사용 기준」 12. 「병무청 정보업무 관리규정」<개정 2026.2.6.> 13. 「병무청 홈페이지관리 및 운영규정」 14. 「병무청 자체감사 규정」 <개정 2026.2.6.> 15. . 그 밖에 관련 법령 및 행정규칙