행정기관 및 공공기관 정보시스템 안정성 고시

제1장 총칙 제1조(목적) 이 고시는 「전자정부법」 제56조의2부터 제56조의5 및 같은 법 시행령 제70조의2부터 제70조의5에서 위임된 사항과 그 시행에 필요한 사항을 규정함을 목적으로 한다. 제2조(정의) 이 고시에서 사용하는 용어의 뜻은 다음과 같다. 1. "중앙행정기관등"이란 영 제2조에 따른 중앙행정기관(대통령 소속 기관과 국무총리 소속 기관을 포함한다. 이하 같다)과 그 소속기관, 지방자치단체 및 공공기관을 말한다. 2. "장애"란 정보시스템 사용자 관점에서 서비스 이용이 불가능하거나, 불편이 발생하여 정보시스템에서 제공하는 서비스의 정상적인 활용이 어려운 상태를 말한다. 3. "장애상황"이란 정보시스템에 장애가 발생하거나 발생이 우려되는 상황을 말한다. 4. "정보자원관리시스템(IRM)"이란 법 제47조제3항에 따라 행정안전부장관이 구축ㆍ운영하는 시스템을 말한다. 5. "표준운영절차"란 정보시스템의 요청ㆍ변경ㆍ배포ㆍ장애관리 등 주요 운영업무에 대한 표준적인 절차를 말한다. 6. "서비스수준협약"이란 정보시스템 서비스의 목표 수준 관리를 위하여 중앙행정기관등과 정보시스템 위탁 운영자가 서비스 대상 정보시스템, 서비스 수준 측정 및 평가, 위약사항 발생 시 조치방안 등에 관한 사항을 규정하여 체결하는 협약을 말한다. 7. "응용프로그램"이란 정보시스템에서 운영체제 및 미들웨어 등 기반 소프트웨어 상에서 실행되어, 대국민 서비스 또는 행정업무 수행을 위한 업무처리 기능을 제공하는 소프트웨어를 말한다. 8. "장애등급"이란 장애가 발생했을 때 업무 및 서비스에 미치는 영향도와 파급효과 등을 고려하여 정한 등급을 말한다. 9. "장애 정도"란 정보시스템에서 제공하는 세부 기능에서 장애가 발생한 경우, 세부 기능의 사용 빈도에 따라 분류한 장애의 심각 정도를 말한다. 10. "재해"란 「재난 및 안전관리 기본법」 제3조제1호에 따른 재난 또는 이에 준하는 외부요인으로 인한 정보시스템의 파손 및 가동 중단이 발생하거나 정보시스템 내부 결함 등으로 인해 발생한 장애가 장시간 지속되는 상태를 말한다. 11. "재해상황"이란 정보시스템에 재해가 발생하거나 발생이 우려되는 상황을 말한다. 12. "재해복구시스템"이란 각종 재해로 인해 정보시스템이 중단됐을 때, 서비스를 신속하게 복구하고 업무 연속성을 유지하기 위해 구축된 시스템을 말한다. 13. "실전환 훈련"이란 운영 중인 정보시스템을 중단하고 재해복구시스템으로 실제 서비스를 전환하여 정상 가동 여부를 확인하는 훈련을 말한다. 14. "모의훈련"이란 실제와 유사한 가상 상황을 설정하여 재해복구시스템을 가동하고 서비스 이상 유무를 점검하는 훈련을 말한다. 15. "도상 훈련"이란 별도의 시스템 가동 없이 시나리오에 따라 복구 절차 및 담당자 역할을 서면 또는 토의 중심으로 점검하는 훈련을 말한다. 제3조(적용범위) 이 고시는 중앙행정기관등의 장(위탁받은 자를 포함한다)이 관리하는 정보시스템(정보시스템 운영시설은 제외한다)에 적용한다. 제4조(기본원칙) 중앙행정기관등의 장은 정보시스템을 안정적으로 운영ㆍ관리하기 위하여 다음 각 호의 기본원칙을 준수해야 한다. 1. 정보시스템 등급에 따른 체계적 운영 및 관리 2. 정보시스템 장애 발생 시 신속한 장애 대응 및 복구 3. 장애 재발방지와 지속적 개선을 위한 사후관리 체계 확립 4. 재해복구 및 백업체계 구축ㆍ운영을 통한 정보시스템 안정성ㆍ신뢰성 제고 제2장 정보시스템 운영ㆍ관리 제5조(정보시스템의 등급 관리) ① 중앙행정기관등의 장은 「전자정부법」(이하 "법"이라 한다) 제56조의3 및 같은 법 시행령(이하 "영"이라 한다) 제70조의3에 따라 소관 정보시스템의 등급을 다음 각 호와 같이 분류하여 관리한다. 1. A1 등급 : 국가 안보 및 국민의 생명, 안전, 재산 등에 밀접히 관련되어 가장 높은 중요도와 영향도를 가지는 국가 핵심 정보시스템 2. A2 등급 : 대국민 서비스를 제공하는 정보시스템 중 국민이 많이 이용하고, 상당히 높은 중요도와 영향도를 가지는 대국민 필수 정보시스템 3. A3 등급 : 행정기관 및 공공기관의 내부 업무 정보시스템 중 다른 시스템과 연계가 많고, 상당히 높은 중요도와 영향도를 가지는 행정 중요 정보시스템 4. A4 등급 : 국민의 일상적 편의 제공 또는 행정 업무를 보조하는 상대적으로 낮은 중요도와 영향도를 가지는 일반 정보시스템 ② 제1항에 따른 정보시스템의 등급산정 기준은 별표 1과 같다. ③ 중앙행정기관등의 장은 신규 정보시스템에 대하여 서비스를 시작한 날부터 6개월 이내에 제1항 및 제2항에 따라 정보시스템의 등급을 분류하고, 그 결과와 근거자료를 행정안전부장관에게 제출하여야 한다. ④ 중앙행정기관등의 장은 사용량 변화, 정보시스템 변경, 운영환경 변화 등으로 정보시스템 등급의 변경이 필요한 경우 제1항 및 제2항에 따라 정보시스템 등급을 분류하고, 그 결과와 근거자료를 행정안전부장관에게 제출하여야 한다. ⑤ 행정안전부장관은 제3항 및 제4항에 따른 정보시스템 등급 분류 결과를 검토하기 위하여 필요한 경우에는 중앙행정기관등의 장에게 정보시스템 등급 분류의 근거자료를 보완하여 제출할 것을 요청할 수 있다. 이 경우 요청을 받은 중앙행정기관등의 장은 특별한 사유가 없는 한 이에 따라야 한다. ⑥ 행정안전부장관은 제5항에 따라 제출받은 자료 등을 검토한 후 정보시스템의 등급을 변경ㆍ확정하고, 그 결과를 중앙행정기관등의 장에게 통보하여야 한다. ⑦ 중앙행정기관등의 장은 제3항부터 제5항까지의 소관 정보시스템의 등급 분류 결과와 그 근거자료를 정보자원관리시스템(IRM)을 이용하여 제출한다. 제6항에 따라 확정된 등급을 등록하는 경우에도 같다. 제6조(정보시스템 등급심의위원회) ① 행정안전부장관은 법 제56조의3 및 영 제70조의3에 따라 정보시스템의 등급 분류 결과를 검토하고 변경ㆍ확정하기 위하여 정보시스템 등급심의위원회(이하 "위원회"라 한다)를 구성ㆍ운영할 수 있다. ② 위원회는 다음 각 호의 사항을 심의한다. 1. 제5조제3항 및 제4항에 따라 제출된 정보시스템 등급 분류 결과의 적정성 2. 그 밖에 정보시스템 등급 심의에 관하여 행정안전부장관이 필요하다고 인정하는 사항 ③ 위원회는 위원장 1명을 포함하여 30명 이내의 위원으로 구성한다. ④ 위원은 다음 각 호의 어느 하나에 해당하는 사람 중에서 행정안전부장관이 임명 또는 위촉한다. 1. 행정기관등에서 정보시스템 구축, 운영ㆍ관리, 장애대응, 유지ㆍ보수 등 정보화 업무를 수행한 경험이 있는 사람 2. 정보시스템 이용자 관점에서 의견을 제시할 수 있는 관련 단체ㆍ기관 소속 임원 또는 이에 상응하는 사람 3. 그 밖에 정보시스템의 기능, 안정성 및 정보시스템이 제공하는 서비스 관련 분야에 관한 전문지식과 경험이 풍부한 사람 ⑤ 위원장은 위원 중에서 공무원이 아닌 사람으로 행정안전부장관이 지명한다. ⑥ 위촉위원의 임기는 2년으로 하되, 한 차례만 연임할 수 있다. 다만, 위원의 사임 등으로 새로 위촉된 위원의 임기는 전임 위원의 남은 임기로 한다. ⑦ 위원회는 업무의 효율적 운영 및 정보시스템의 해당 서비스 분야별 전문적 심의를 위하여 분과위원회를 둘 수 있다. ⑧ 그 밖에 위원회 및 분과위원회의 구성ㆍ운영에 필요한 사항은 위원회의 의결을 거쳐 위원장이 정한다. 제7조(정보시스템 장애관리계획의 수립) ① 법 제56조의2제2항 및 영 제70조의2제2항에 따라 중앙행정기관등의 장이 수립해야하는 정보시스템 장애관리계획에는 다음 각 호의 사항이 포함되어야 한다. 1. 정보시스템 장애 예방ㆍ대응 및 복구 등에 관한 기본목표와 추진방향 2. 정보시스템 중요도에 따른 장애관리기준에 관한 사항 3. 장애 예방을 위한 정보시스템 구축 및 유지ㆍ관리 방안 4. 정보시스템 장애 발생 시 장애상황의 신속한 전파, 복구 및 재발 방지에 관한 사항 5. 내용연수가 경과한 노후장비 및 기술지원이 종료된 하드웨어ㆍ소프트웨어의 교체에 관한 사항 6. 정보시스템 분산 및 다중화 등 물리적ㆍ기술적 조치에 관한 사항 7. 재해복구시스템 및 백업시스템 구축과 운영관리에 관한 사항 8. 장애관리를 위한 인력구성 및 교육훈련 방안 9. 장애관리를 위한 예산 및 투자계획에 관한 사항 10. 그 밖에 정보시스템 장애 예방ㆍ대응 및 복구 등을 체계적으로 수행하기 위한 사항 ② 중앙행정기관등의 장은 영 제70조의2제3항에 따라 해당 계획의 보완을 요청받은 경우 특별한 사유가 없으면 요청받은 날로부터 1개월 이내에 이를 보완하여 제출해야 한다. ③ 중앙행정기관등의 장은 정보시스템 장애관리계획에 따라 매년 정보시스템 장애관리 시행계획을 수립하여 행정안전부장관에게 제출해야 한다. 제8조(정보시스템 안정성 기준) ① 법 제56조의4 및 영 제70조4에 따라 정보시스템의 안정성을 확보하기 위한 기준은 별표 2와 같다. ② 중앙행정기관등의 장은 소관 정보시스템에 대하여 정보시스템의 등급에 따라 별표 2의 기준을 충족하도록 운영하여야 한다. 제9조(정보시스템 현황조사 및 점검) ① 행정안전부장관이 영 제70조의4제1항에 따라 중앙행정기관등의 장에게 통보하는 정보시스템의 현황조사 및 점검 시행계획에는 다음 각 호의 사항이 포함되어야 한다. 1. 현황조사 및 점검의 목적 2. 현황조사 및 점검의 대상과 방법 3. 현황조사 및 점검의 내용과 점검일정 4. 관계기관 합동조사 방안 및 중복점검 방지 방안 5. 개선권고, 조치계획, 결과제출 등에 관한 사항 6. 그 밖에 현황조사 및 점검에 필요한 사항 ② 제1항제3호에 따른 현황조사 및 점검의 내용에는 다음 각 호의 사항이 포함될 수 있다. 1. 제8조에 따른 정보시스템 안정성 기준의 준수 현황 2. 그 밖에 이 고시에서 정한 주요 의무사항의 이행 여부 ③ 중앙행정기관등의 장은 영 제70조의4제2항에 따라 필요한 자료 제출을 요청받은 경우 특별한 사유가 없으면 이에 따라야 한다. ④ 중앙행정기관등의 장은 매년 제8조에 따른 별표 2의 안정성 기준에 따라 현황조사 및 자체점검을 실시하고 그 결과를 정보자원관리시스템(IRM)에 등록하여야 한다. ⑤ 행정안전부장관은 제4항에 따른 점검 결과를 검토하고, 필요시 현장점검을 실시할 수 있다. ⑥ 행정안전부장관은 제4항 및 제5항에 따른 검토 또는 점검 결과가 시행계획, 제8조에 따른 별표 2의 기준을 충족시키지 못하는 경우, 해당 기관의 장에게 개선권고 등 필요한 조치를 요청할 수 있다. 제10조(표준운영절차) ① 중앙행정기관등의 장은 정보시스템 운영의 체계화와 장애발생요소 최소화를 위해 표준운영절차를 마련하여 적용하여야 한다. 단, A4등급 정보시스템의 경우 중앙행정기관등의 장의 판단에 따라 적용하지 아니할 수 있다. ② 행정안전부장관은 제1항에 따른 표준운영절차 마련을 지원하기 위해 표준운영절차 수립 안내서를 작성하여 중앙행정기관등의 장에게 제공할 수 있으며, 정보시스템 표준운영절차의 주요내용은 별표 3과 같다. 제11조(정보시스템 서비스수준협약) ① 중앙행정기관등의 장은 별표 4에 따라 소관 정보시스템의 등급에 맞는 서비스 목표수준을 설정하고, 정보시스템 위탁 운영자와 서비스수준협약을 체결하여 정보시스템을 운영하여야 한다. 단, A4등급 정보시스템의 경우 중앙행정기관등의 장의 판단에 따라 적용하지 아니할 수 있다. ② 행정안전부장관은 제1항에 따른 정보시스템의 서비스수준협약을 지원하기 위하여 적용대상, 적용기준 및 보상 방안 등이 포함된 표준안을 작성하여 중앙행정기관등의 장에게 제공할 수 있다. 제12조(정보시스템 예방점검 체계) ① 중앙행정기관등의 장은 별표 5의 기준에 따라 정보시스템의 예방점검 체계와 매뉴얼을 마련하고 이를 준수하여 소관 정보시스템을 관리하여야 한다. ② 중앙행정기관등의 장은 제1항에 따른 예방점검 수행 시, 수작업으로 인한 누락 및 오류를 방지하고, 점검 결과의 정확성과 신뢰성을 확보하기 위하여 자동화된 점검 도구 또는 시스템을 활용하도록 노력하여야 한다. ③ 행정안전부장관은 정보시스템 예방점검의 적용 대상, 점검항목, 구체적 점검 주기, 방법 등이 포함된 안내서를 작성하여 중앙행정기관등의 장에게 제공할 수 있다. 제3장 장애대응 및 복구 제13조(정보시스템 장애 및 장애 시간 판단 기준) ① 정보시스템의 전체 또는 일부 기능이 계획되지 않은 정지 상태에 이르거나, 오동작, 성능저하, 사람의 실수 등으로 인하여 정상 기능을 수행하지 못하거나, 이로 인해 연관 업무를 정상적으로 서비스하지 못하는 경우 장애로 판단하며, 장애 증상 및 장애 원인으로 구분한 장애 유형은 별표 6과 같다. ② 장애 시간은 장애 발생일시부터 정보시스템 장애 복구 후 서비스 정상 가동을 확인한 시점까지 소요된 시간을 말하며, 장애 발생일시는 다음 각 목의 시점 중 가장 빠른 시점을 지정한다. 1. 정보시스템 로그에서 식별된 시점(사용이 중단된 시점) 2. 모니터링 자동화 도구로 장애가 감지된 시점 3. 장애신고 접수 시점 또는 장애상황 최초 인지 시점 제14조(정보시스템 장애등급 관리) ① 행정안전부장관은 영 제70조의5에 따른 정보시스템의 장애상황 대응을 위하여 다음 각 호와 같이 정보시스템 장애등급 산정 기준을 정할 수 있으며, 구체적인 기준은 별표 7과 같다. 1. 장애등급은 정보시스템 등급과 장애 정도 등을 고려해서 1∼4등급으로 산정한다. 2. 기반시설ㆍ공통장비 장애 등 동일 원인으로 복수의 정보시스템이 영향을 받는 경우 해당 정보시스템 중 가장 높은 등급을 기준으로 장애등급을 지정한다. 3. 장애등급은 장애 정도, 발생시간, 대상지역에 따라 하향 보정할 수 있다. ② 중앙행정기관등의 장은 장애가 발생했을 경우 지체 없이 제1항의 장애등급 산정 기준에 따라 장애등급을 산정하여야 한다. ③ 행정안전부장관은 중앙행정기관등의 장애등급 산정이 제1항의 기준에 따라 적정하게 운영되는지를 점검하고 개선을 요구할 수 있다. 제15조(장애상황관리) ① 영 제70조의5제1항에 따라 장애상황 발생 시 행정안전부장관에게 통보해야 하는 주요 정보시스템은 제5조제1항에 따라 A1등급 및 A2, A3등급으로 분류된 정보시스템을 말한다. ② 중앙행정기관등의 장은 제1항에 따른 장애상황 발생 시 별표 8의 장애상황 관리체계에 따라 그 상황을 행정안전부 디지털안전상황실장에게 즉시 통보해야 한다. ③ 디지털안전상황실장은 장애상황을 보고받았을 경우, 별표 7에 따라 장애등급을 결정하고, 국무조정실, 대통령비서실 등 관계기관에 전파하여야 한다. ④ 중앙행정기관등의 장은 장애가 신속하게 복구되지 않고 장기화될 경우 장애 복구가 완료될 때까지 다음 각 호와 같이 디지털안전상황실장에게 장애 조치 진행상황을 통보하여야 한다. 1. 1등급 장애는 매 2시간 경과 시마다 경과 시점으로부터 1시간 이내 통보 2. 2등급 장애는 매 4시간 경과 시마다 경과 시점으로부터 1시간 이내 통보 제16조(장애사후관리) ① 중앙행정기관등의 장은 법 제56조의5제4항 및 영 제70조의5제4항에 따라 정보시스템 장애사후관리를 실시해야 하며, 장애사후관리 점검항목은 별표 9와 같다. ② 중앙행정기관등의 장은 영 제70조의5제4항에 따라 장애사후관리 결과를 정보시스템이 복구된 날로부터 1개월 이내에 정보자원관리시스템(IRM)을 통해 행정안전부장관에게 제출하여야 한다. ③ 행정안전부장관은 신속한 장애사후관리가 필요하거나 제출받은 장애사후관리 결과를 검토한 결과 필요하다고 판단되는 경우 직접 장애사후관리를 실시할 수 있다. ④ 행정안전부장관은 중앙행정기관등의 장이 영 제70조5의제7항에 따라 제출한 조치계획과 그 조치결과를 확인하기 위하여 중앙행정기관등의 장에게 필요한 자료의 제출을 요청할 수 있다. 이 경우 요청을 받은 중앙행정기관등의 장은 특별한 사유가 없으면 이에 따라야 한다. ⑤ 행정안전부장관은 제1항부터 제4항까지에서 규정한 장애사후관리를 지원하기 위하여 안내서를 작성하여 중앙행정기관등의 장에게 제공할 수 있다. 제4장 재해복구 및 백업체계 구축ㆍ운영 제17조(재해복구시스템 구축 및 운영) ① 중앙행정기관등의 장은 영 제70조의3에 따른 정보시스템 등급에 따라 소관 정보시스템의 재해복구시스템을 구축하고 운영하여야 하며, 재해복구계획을 수립하여야 한다. ② 제1항에 따른 재해복구시스템 구축기준은 별표 10과 같다. ③ 행정안전부장관은 중앙행정기관등의 장이 소관 정보시스템의 재해복구시스템을 효율적으로 구축할 수 있도록 행정적ㆍ기술적ㆍ재정적 지원을 할 수 있다. 제18조(재해 선포 및 복구 절차) ① 중앙행정기관등의 장은 정보시스템에 재해상황이 발생한 경우, 신속히 상황판단회의를 소집하여 재해 선포 여부를 판단하여야 한다. 다만, 재해상황이 긴박한 경우 상황판단회의를 생략할 수 있다. ② 중앙행정기관등의 장은 제1항에 따라 재해를 선포한 경우 재해 선포 사실을 행정안전부장관에게 신속히 통보하여야 한다. ③ 중앙행정기관등의 장은 재해 선포 즉시 재해복구계획에 따른 재해복구시스템 가동 등 복구 절차를 이행하여야 한다. ④ 재해복구시스템의 복구시간목표(RTO, Recovery Time Objective)는 재해 선포한 시점부터 재해복구시스템을 가동한 후 핵심 기능이 정상임을 확인한 시점까지로 한다. 제19조(백업ㆍ소산관리) ① 중앙행정기관등의 장은 장애 또는 재해상황 발생 시 데이터 복구를 위해 백업관리체계를 구축ㆍ운영하여야 하며, 별표 11의 백업정책 기준을 따라 백업정책을 수립하여야 한다. ② 제1항에 따른 백업정책에는 다음 각 호의 사항이 포함되어야 한다. 1. 백업대상 2. 백업방법 3. 백업주기 및 백업 데이터 보관기간 4. 데이터 복구시점목표(RPO, Recovery Point Objective) 5. 그 밖에 백업정책 수립에 필요한 사항 ③ 중앙행정기관등의 장은 제1항의 백업정책에 따라 정보시스템의 운영 데이터를 정기적으로 백업하여야 한다. ④ 중앙행정기관등의 장은 백업을 수행하고 백업이 정상적으로 수행되었는지를 확인하여야 하며, 백업 결과 확인 내역은 일정기간 보관하여야 한다. ⑤ 중앙행정기관등의 장은 재해상황 발생 시에도 백업 데이터의 안정성을 확보하기 위하여 운영 중인 정보시스템과 동일한 재해상황에 동시에 영향을 받지 않는 원격지 저장소에 백업 데이터를 주기적으로 소산하여야 하며, 소산은 온라인 또는 오프라인 방식으로 수행할 수 있다. 제20조(재해복구훈련 실시) ① 중앙행정기관등의 장은 정보시스템 등급에 따른 재해복구 목표 달성과 재해복구계획의 실효성 점검을 위하여 소관 정보시스템의 등급별로 다음 각호의 구분에 따라 재해복구훈련을 실시하여야 한다. 1. A1ㆍA2 등급 정보시스템 : 연 1회 이상 실전환 훈련 실시. 다만, 정보시스템 특성이나 기술적 제약 등으로 인해 서비스에 심각한 장애가 예상되는 등 불가피한 경우, 행정안전부장관과 협의하여 실전환 훈련의 일부를 생략하거나 모의훈련으로 대체할 수 있다. 2. A3 등급 정보시스템 : 연 1회 이상 도상훈련을 실시하되, 3년에 1회 이상은 모의훈련 실시 3. A4 등급 정보시스템 : 연 1회 이상 원격지 소산 데이터 복구를 포함한 도상훈련 실시. 다만 원격지 소산 데이터 복구 훈련은 다수의 정보시스템을 동일 운영 및 백업 환경에서 통합 관리할 경우, 운영환경 및 백업환경별 1개 이상 정보시스템을 대상으로 실시할 수 있다. ② 행정안전부장관은 대규모 재해상황에 대비하여 다수의 중앙행정기관등이 참여하는 합동훈련을 실시할 수 있으며, 중앙행정기관등의 장은 특별한 사유가 없는 한 합동훈련에 적극 협조하여야 한다. ③ 행정안전부장관은 재해복구훈련 결과에 따라 개선이 필요한 사항에 대하여 중앙행정기관등의 장에게 개선을 권고할 수 있으며, 중앙행정기관등의 장은 권고사항에 대한 조치계획을 제출하여야 한다. 제21조(재검토기한) 행정안전부장관은 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 이 고시에 대하여 2026년 1월 1일 기준으로 3년마다(매 3년이 되는 해의 1월 1일 전까지를 말한다) 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.