통지 제 03/2017/TT-BTTTT는 정부령 제 85/2016/NĐ-CP일로부터 정보 시스템의 안전 보장을 위한 등급별 안전 요구 사항을 세부적으로 규정하고 지침을 제공함

시행규칙

NGHỊ ĐỊNH CHI TIẾT VÀ HƯỚNG DẪN MỘT SỐ ĐIỀU CỦA NGHỊ ĐỊNH SỐ 85/2016/NĐ-CP NGÀY 01/7/2016 CỦA CHÍNH PHỦ VỀ BẢO ĐẢM AN TOÀN HỆ THỐNG THÔNG TIN THEO CẤP ĐỘ

정보통신망 안전법(2015년 11월 19일)

Nghị định 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ;

2017년 2월 17일 정부가 발부한 시행령 제17/2017/NĐ-CP는 정보통신부의 기능, 임무, 권한 및 조직 구조를 규정함;

정보보호국장의 제안에 따라

통신부 장관은 이 법령을 제정하여 보안 등급에 따른 정보 시스템의 안전 보장을 세부적으로 규정하고 지침을 제공한다.

장 1

총칙

조 1. 적용범위

1. 본 법령은 보안 등급에 따른 정보 시스템의 안전 보장을 세부적으로 규정하고 지침을 제공하며, 다음 사항을 포함한다: 정보 시스템과 그 보안 등급의 확인 지침; 보안 등급에 따른 정보 시스템의 보안 요구사항; 정보 보안 검사 및 평가; 보안 등급 신청서 접수 및 심사; 보고 및 정보 공유.

2. 국방부와 경찰청이 관리하는 국방 및 안보를 위한 정보 시스템은 본 법령의 적용 대상에서 제외된다.

조 2. 적용대상

본 법령의 적용 대상은 정부가 2016년 7월 1일에 제정한 "보안 등급에 따른 정보 시스템의 안전 보장에 관한 법률 시행령" (이하 "법령 85/2016/NĐ-CP"라고 함) 제2조에 따라 적용된다.

조 3. 용어 해석

본 통지에서 사용되는 용어는 다음과 같이 해석됨.

1. 다중 인증증진 는 사용자에게 속하는 정보(비밀번호, 접근 코드 등), 사용자가 소유하는 정보(전자 증명서, 스마트 카드 등) 또는 사용자의 생체 정보(지문, 망막 등)를 결합하여 사용자 인증을 수행하는 방법이다.

2. 핫 스탠바이 는 장치가 고장나도 해당 기능을 다른 장치가 대체하여 시스템 운영을 중단시키지 않는 능력을 말한다.

3. 비밀번호 복잡성 요구사항 는 비밀번호가 최소 8자 이상이며, 대문자, 소문자, 특수 문자, 숫자를 모두 포함하도록 하는 것을 의미한다.

4. 주요 네트워크 장비 는 계획 없이 중단될 경우 정보 시스템의 정상적인 운영을 방해할 수 있는 장비를 말한다.

장 II

정보 시스템 및 그 보안 등급 확인 지침

조항 4. 정보 시스템 확인 지침

1. 정보 시스템을 확인하여 그 보안 등급을 결정하는 것은 법령 85/2016/NĐ-CP 제5조 제1항에서 정한 원칙에 근거한다.

2. 정보 시스템은 다음과 같은 방법으로 설립되거나 형성될 수 있다: 새로운 설립 또는 투자; 기존 시스템의 업그레이드 또는 확장; 기존 시스템과의 통합; 시스템 임대 또는 이전.

내부 활동을 지원하기 위한 정보 시스템은 기관이나 조직의 내부 관리 및 운영을 지원하는 시스템을 의미하며, 다음을 포함한다:

a) 전자 우편 시스템;

b) 문서 관리 및 운영 시스템;

c) 화상 회의 시스템;

d) 특정 분야(인사, 재정, 자산 또는 기타 전문 업무)의 정보 관리 시스템 또는 여러 기능을 통합한 종합 정보 관리 시스템;

e) 내부 정보 처리 시스템.

5. 시민이나 기업을 위한 정보 시스템은 직접 또는 지원 서비스로서 온라인 서비스를 제공하는 시스템을 의미하며, 다음을 포함한다:

a) 전자 우편 시스템;

b) 문서 관리 및 운영 시스템;

c) 전자 일원화 시스템;

d) 전자 포털 시스템;

e) 온라인 서비스 제공 또는 지원 시스템;

f) 고객 서비스 시스템.

6. 정보 인프라 시스템은 여러 기관이나 조직의 공동 운영을 위해 필요한 장비와 연결망을 포함하며, 다음을 포함한다:

a) 내부 네트워크, 광역 네트워크, 전용 데이터 전송 네트워크;

b) 데이터베이스 시스템, 데이터 센터, 클라우드 컴퓨팅 시스템;

c) 전자 인증, 전자 서명 시스템;

d) 시스템 간 연결 및 통합 트렁크.

7. 산업 제어 정보 시스템은 건설물의 정상 운영을 감독하고 수집하며 관리 및 제어하는 중요한 요소를 포함하며, 다음을 포함한다:

a) 프로그래밍 제어 시스템 (PLCs);

b) 분산 제어 시스템 (DCS);

c) 감시 및 데이터 수집 시스템 (SCADA).

8. 기타 정보 시스템은 특정 전문 분야에서 기관이나 조직의 업무 또는 생산, 영업을 직접 지원하거나 지원하는 시스템을 의미한다.

조 5. 정보 시스템 관리 주체

1. 국가 기관 및 공공 조직에 대해서는 정보 시스템 관리 주체는 다음 중 하나의 경우이다:

a) 중앙부처, 정부 소속 기관;

나) 중앙 직할 지방인 성, 시 인민위원회;

죄) 투자 프로젝트를 결정하는 권한을 가진 단위로서 정보 시스템 건설, 설립, 개선, 확장 결정을 하는 경우.

2. 기업 및 기타 조직에 대해서는 정보 시스템 관리 주체는 투자 프로젝트를 결정하는 권한을 가진 단위로서 정보 시스템 건설, 설립, 개선, 확장을 결정하는 경우이다.

3. 정보 시스템 관리 주체는 정보 시스템 관리를 직접 수행하고 정보 시스템 보안을 담보하는 책임을 대신 수행하도록 한 조직에게 위임할 수 있으며, 이는 2016년 제85호 정부령 제20조 제2항에 따른 규정에 따라 이루어진다.

위임은 문서화되어야 하며, 그 범위와 기간이 명시되어야 한다. 위임받은 조직은 정보 시스템 관리 주체의 권한과 의무를 직접 수행해야 하며, 제삼자에게 재위임할 수 없다.

조 6. 정보 시스템 운영 단위

1. 정보 시스템 운영 단위는 정보 시스템 관리 주체로부터 정보 시스템 운영 임무를 부여받은 기관 또는 조직이다.

2. 정보 시스템이 여러 구성 요소 시스템이나 분산된 시스템으로 구성되어 있고 여러 운영 단위가 있을 경우, 정보 시스템 관리 주체는 법령에 따라 운영 단위의 권한과 의무를 수행하는 단위를 지정해야 한다.

3. 정보 시스템 관리 주체가 외부 기술 서비스를 이용할 경우, 정보 시스템 운영 단위는 해당 서비스 제공자이다.

조 7. 정보 시스템 보안 등급 확인 및 설명 지침

정보 시스템 보안 등급 확인 및 설명은 다음과 같이 이루어진다:

1. 정보 시스템을 확인하고 분류하며, 정보 시스템 관리 주체와 정보 시스템 운영 단위를 확인하는 것은 2016년 제85호 정부령 제5조, 제6조와 본 통칙 제4조, 제5조, 제6조에 따른 규정에 따라 이루어진다.

2. 정보 시스템을 통해 처리되는 정보 유형을 확인하는 것은 2016년 제85호 정부령 제6조 제1항에 따른 규정에 따라 이루어진다.

3. 보안 등급을 확인하는 것은 2016년 제85호 정부령 제7조부터 제11조까지의 규정에 따라 이루어진다. 제안된 등급이 4등급 또는 5등급인 경우에는 등급 제안 설명은 다음 사항을 포함해야 한다:

가) 제안된 정보 시스템과 관련되거나 연결되거나 중요한 영향을 미치는 다른 정보 시스템을 확인하고, 이러한 시스템들이 보안 위협을 받았을 때 제안된 정보 시스템에 미치는 영향을 명확히 한다.

나) 중요 네트워크 구성 요소, 처리되는 중요한 정보 유형 목록(있을 경우);

다) 중요 네트워크 구성 요소, 처리되거나 저장된 중요한 정보 및 데이터의 중요도 설명(있을 경우);

라) 정보 시스템, 시스템 구성 요소 및 중요 네트워크 구성 요소에 대한 사이버 공격 위험, 보안 위협 설명 및 이러한 위협이 정보 시스템 등급 결정 기준에 미치는 영향에 대한 설명(2016년 제85호 정부령 제10조, 제11조 참조);

마) 각각 확인된 시스템에 대한 사이버 공격으로 인한 보안 위협 또는 운용 중단으로 인해 공공 이익, 사회 질서 및 안전, 국방 및 국가 안보에 미치는 영향 평가;

4등급 정보 시스템의 경우, 설명은 24시간 연속 운영이 요구되고 예외적인 중단 없이는 운영 중단을 허용하지 않는다는 내용을 포함해야 한다.

나) 실제 운영 상황에 따른 추가 설명(있을 경우).

장 III

등급에 따른 정보 시스템 보안 보장 요구 사항

조 8. 일반 요구사항

1. 정보 시스템 안전 보장을 위한 등급별 수행은 본 고시에서 규정된 기본 요구사항에 따라 이루어지며, 정보 보안 기술 표준 및 관련 전문 기술 규범을 준수한다.

2. 본 고시에서 각 등급별로 정한 기본 요구사항은 정보 시스템의 안전성을 보장하기 위한 최소 요구사항이며 물리적 안전성을 보장하는 요구사항은 포함되지 않는다.

3. 기본 요구사항은 다음과 같이 구성된다.

가) 기술 요구사항: 네트워크 인프라 보안; 서버 보안; 애플리케이션 보안 및 데이터 보안;

나) 관리 요구사항: 일반 정책; 조직 및 인력; 설계 및 구축 관리; 운영 관리; 검사, 평가 및 위험 관리.

4. 각 등급별로 기본 요구사항을 충족시키기 위한 정보 보안 보장 방안을 수립하는 것은 대통령령 제85호 2016년 제85호 명령 제4조 제2항에서 정한 원칙에 따라 이루어지며, 구체적으로는 다음과 같다.

가) 정보 시스템 등급 1, 2, 3에 대한 경우, 정보 보안 보장 방안은 시스템 간 공유 가능한 보호 방안과 자원 공유를 통해 효율성을 극대화하고 중복 투자와 낭비를 피해야 한다. 새로운 투자가 이루어질 경우, 기존 방안이 기본 요구사항을 충족하지 못하는 이유를 설명해야 한다.

나) 정보 시스템 등급 4, 5에 대한 경우, 정보 보안 보장 방안은 시스템 내부 또는 시스템과 연관된 부분의 정보 보안 손실에 대응할 수 있는 준비성, 분리성 및 전체 시스템에 미치는 영향을 최소화하도록 설계되어야 한다.

조 9. 각 등급별 기본 요구사항

1. 정보 시스템 등급 1에 대한 안전 보장 방안은 본 고시 부속서 1에 상세히 규정된 요구사항을 충족해야 한다.

2. 정보 시스템 등급 2에 대한 안전 보장 방안은 등급 1의 요구사항을 충족하고 본 고시 부속서 2에 상세히 규정된 추가 요구사항을 충족해야 한다.

3. 정보 시스템 등급 3에 대한 안전 보장 방안은 등급 2의 요구사항을 충족하고 본 고시 부속서 3에 상세히 규정된 추가 요구사항을 충족해야 한다.

4. 정보 시스템 등급 4에 대한 안전 보장 방안은 등급 3의 요구사항을 충족하고 본 고시 부속서 4에 상세히 규정된 추가 요구사항을 충족해야 한다.

5. 정보 시스템 등급 5에 대한 안전 보장 방안은 등급 4의 요구사항을 충족하고 본 고시 부속서 5에 상세히 규정된 추가 요구사항을 충족해야 한다.

장 IV

정보 보안 검사 및 평가

조 10. 검사 및 평가 내용, 방법

1. 검사 및 평가 내용:

가) 정보 시스템 등급별 법령 준수 여부 검사;

나) 정보 시스템 보안 보장 조치의 효과성 평가;

다) 악성코드, 취약점, 시스템 침입 시도 발견 및 시험;

라) 정보 시스템 관리자가 정한 다른 검사 및 평가.

2. 검사 및 평가 방법:

가) 정보 시스템 관리자의 계획에 따른 정기적인 검사 및 평가;

나) 권한 있는 기관의 요청에 따른 즉시 검사 및 평가.

3. 검사 및 평가 요구 권한 기관:

가) 통신 및 미디어부 장관;

나) 정보 시스템 관리자가 관리 권한을 가진 정보 시스템에 대한 정보 시스템 관리자;

다) 정보 시스템 관리자가 승인한 등급 제출 신청서를 보유한 정보 시스템 전문 단위.

4. 검사 및 평가 주관 단위는 권한 있는 기관으로부터 임무를 지정받거나 선택되어 임무를 수행한다.

5. 검사 및 평가 대상은 정보 시스템 관리자 또는 정보 시스템 운영 단위 및 관련 정보 시스템이다.

조 11. 시스템 정보 안전 보장 법률 규정 준수 검사에 관한 등급별 검사

1. 시스템 정보 안전 보장 법률 규정 준수 등급별 검사는 다음을 포함한다:

a) 시스템 정보 안전 등급 결정 법률 규정 준수 검사

b) 등급별 시스템 정보 안전 보장 방안 실행 법률 규정 준수 검사

2. 주관 검사 단위는 다음 중 하나이다:

a) 정보보호국

b) 전담 정보보호 단위

3. 정기 검사 계획은 다음 내용을 포함한다:

a) 검사 대상 단위 및 시스템 정보 목록(있을 경우)

b) 검사 범위와 내용

c) 검사 진행 시간

d) 협력 검사 단위(있을 경우)

4. 검사 결정은 정기 검사 계획이 권한 있는 기관의 승인을 받거나 긴급 검사가 권한 있는 기관에서 요구될 때 작성된다.

5. 정기 검사에 있어서:

a) 주관 검사 단위는 다음 연도를 위한 정기 검사 계획을 작성하여 권한 있는 기관의 승인을 받아 실시할 기초로 삼는다.

b) 승인된 정기 검사 계획과 변경 사항이 있을 경우, 주관 검사 단위는 수정된 정기 검사 계획을 작성하여 권한 있는 기관의 승인을 받아 조정한다.

c) 정기 검사 계획은 승인 날짜로부터 최대 10일 이내에 검사 대상과 그 상위 기관에게 발송되며, 검사 시작일로부터 최소 10일 전까지 발송되어야 한다.

6. 긴급 검사에 있어서:

긴급 검사 요구사항과 검사 결정에 따라, 검사단장은 적절한 검사 내용을 지정한다.

7. 현장 검사가 종료되면, 검사단은 검사 대상에게 통보하고 검사 과정에서 사용된 자료와 장비(있을 경우)를 반환해야 한다.

검사단은 검사 보고서 초안을 작성하여 검사 대상에게 보내 의견을 구한다. 검사 대상은 보고서 초안을 받은 날로부터 5일 이내에 의견을 제출해야 한다.

8. 검사 보고서 초안과 검사 대상의 의견을 바탕으로, 검사단은 현장 검사 종료 후 30일 이내에 검사 보고서와 검사 결론 초안을 완성하여 검사를 요청한 기관의 승인을 받아 조정한다.

검사 결론은 검사 대상과 그 상위 관리 기관(있을 경우) 및 관련 단위(필요한 경우)에게 발송되어야 한다.

조 12. 정보 보안 보장 방법 효과 평가

1. 정보 보안 보장 방법 효과 평가는 각 기준과 기본 요구 사항에 따른 정보 보안 보장 방안의 전체적인 효과를 확인하는 것을 의미한다.

적용된 정보 보안 보장 방법의 효과 평가는 실제 요구 사항에 맞게 정보 보안 보장 방안을 조정하는 기초가 된다.

2. 주관 평가 단위는 다음 중 하나이다:

a) 정보보호국

b) 전담 정보보호 단위

c) 적절한 기능과 임무를 수행하는 공공기관

d) 정보 네트워크 보안 검사 및 평가 서비스 제공을 허가받은 기업

3. 시스템 정보 운영 단위는 다음 연도를 위한 정기 평가 계획을 작성하여 권한 있는 기관의 승인을 받아 실시할 기초로 삼는다. 평가 계획은 다음 내용을 포함한다:

a) 평가 대상 단위 및 시스템 정보 목록

b) 평가 진행 시간

c) 평가 수행 단위: 자체 수행 또는 전담 정보보호 단위가 수행하거나 법률 규정에 따라 외부 위탁

4. 승인된 평가 계획과 변경 사항이 있을 경우, 시스템 정보 운영 단위는 수정된 평가 계획을 작성하여 권한 있는 기관의 승인을 받아 조정한다.

5. 현장 평가가 종료되면, 주관 평가 단위는 시스템 정보 운영 단위에게 통보하고 평가 과정에서 사용된 자료와 장비(있을 경우)를 반환해야 한다.

주관 평가 단위는 평가 보고서 초안을 작성하여 시스템 정보 운영 단위에게 보내 의견을 구한다. 시스템 정보 운영 단위는 보고서 초안을 받은 날로부터 5일 이내에 의견을 제출해야 한다.

6. 평가 보고서 초안과 시스템 정보 운영 단위의 의견을 바탕으로, 주관 평가 단위는 평가 보고서를 완성하여 시스템 정보 운영 단위와 주 관리 기관에게 보낸다.

조 13. 악성코드 감지, 취약점 평가 및 시스템 침입 테스트

1. 악성코드 감지, 취약점 평가 및 시스템 침입 테스트는 시스템의 취약점을 스캔하고 감지하며, 시스템에 대한 공격 침입 테스트를 수행하고, 정보 시스템이 공격을 받았을 때 발생할 수 있는 위험과 손해를 평가하는 것을 의미한다.

2. 주관 평가 단위는 다음 중 하나이다:

a) 정보보호국

b) 전담 정보보호 단위

c) 적절한 기능과 임무를 수행하는 공공기관

d) 정보 보안 검사 및 평가 서비스를 제공하는 데 허가를 받은 기업 또는 정보 시스템 관리자가 허가한 다른 조직이 악성코드 감지, 취약점 평가 및 시스템 침입 테스트를 수행한다.

3. 악성코드 감지, 취약점 평가 및 시스템 침입 테스트를 주관하는 단위는 다음과 같은 책임을 진다.

a) 정보 시스템 관리자에게 발견된 정보 보안 취약점을 통보하여 이를 해결하고 정보 보안 사고를 예방한다.

b) 평가 대상 시스템과 관련된 데이터의 보안을 보장하며, 정보 시스템 관리자의 동의 없이는 관련 데이터를 공개하지 않는다.

c) 악성코드 감지, 취약점 평가 및 시스템 침입 테스트는 시스템의 정상적인 운영에 영향을 미치지 않아야 한다.

공화국향 호의 용적이며, 호의 건기 평균 용적을 기준으로 산출되며 단위는 m

제출 및 심사 자료

조 14. 등급 제안 자료 제출 및 접수

1. 등급 1, 2, 3을 제안하는 정보 시스템에 대해:

정보 시스템 운영자는 등급 제안 자료 원본 1부와 정확한 복사본 2부를 정보 보안 전담 부서에 제출하여 심사를 받는다.

2. 등급 4, 5를 제안하는 정보 시스템에 대해:

a) 정보 시스템 관리자는 등급 제안 자료 원본 1부와 정확한 복사본 4부를 정보통신부(정보보호국)에 제출하여 심사를 받는다.

b) 등급 4, 5를 제안하는 정보 시스템의 자료 접수 기관 및 주소:

정보통신부(정보보호국), 서울특별시 종로구 청운동 115-8번지 8층.

자료 접수 주소 변경 시 정보보호국은 변경 내용을 공개하도록 한다.

접수 후 5일 이내에 자료 접수 기관은 제출된 자료의 적법성을 확인한다. 자료가 적법하지 않은 경우, 자료 접수 기관은 서면으로 제출한 기관에 보완 및 완성할 것을 통보한다.

조 15. 등급 제안 자료 심사

1. 등급 1, 2, 3을 제안하는 정보 시스템에 대해:

정보 보안 전담 부서는 등급 제안 자료를 심사하는데, 이는 85/2016/NĐ-CP 시행령 제16조에 따라 이루어진다.

심사 과정에서 필요한 경우, 정보 보안 전담 부서는 관련 기관의 의견을 서면으로 요청할 수 있다.

2. 등급 4, 5를 제안하는 정보 시스템에 대해:

정보통신부는 85/2016/NĐ-CP 시행령 제16조에 따라 등급 제안 자료를 심사한다. 등급 제안 자료 심사는 다음 절차로 이루어진다.

a) 정보보호국은 필요하다면 정보통신부 법제국 및 관련 부서의 의견을 서면으로 요청한다.

정보통신부는 국방부, 경찰청의 의견을 서면으로 요청한다.

c) 국방부, 경찰청 및 관련 기관의 의견을 바탕으로, 필요하다면 정보통신부는 심사위원회를 구성하여 논의하고 구체적인 의견을 제시한다. 심사위원회의 위원장은 정보통신부 장관이 지정하며, 정보보호국, 법제국, 정보통신부 VNCERT 센터, 경찰청 및 국방부의 관련 부서 대표, 그리고 필요한 경우 독립 전문가가 참여한다.

조 16. 심사 협력 기제

1. 정보 시스템 운영 단위는 정보 시스템의 요구 사항에 따른 등급 제출 서류의 적합성을 확인하기 위해 등급 제출 서류 심사 단위와 협력해야 한다.

2. 필요하다면 등급 제출 서류 심사 단위는 제안된 등급에 따라 정보 시스템 보안을 보장하는 방안들을 실제 검사 및 평가할 수 있다. 이 검사 및 평가는 정보 시스템의 정상적인 운용에 영향을 미치지 않으며, 보안 취약점을 발견하면 정보 시스템 관리 주체와 운영 단위에 통보한다.

…………………………..

정보 원본 출처 및 내용 보호는 정보 공유 참여자 간에 합의에 따르며,

4. 정보 공유는 각 정보 시스템의 실제 운영 상황과 일치하도록 최소한 매 분기마다 이루어져야 한다.

5. 공유되는 정보는 다음과 같이 포함된다:

가) 분석되지 않은 위협 정보 또는 분석된 위협 정보; 발생한 사이버 공격 정보:

- 시스템에서 기록된 공격 유형;

- 시스템에서 기록된 공격 사건 수;

- 수집된 공격 데이터 샘플;

- 정보 공유 참여자 간에 합의된 기타 데이터;

나) 정보 시스템 보안을 보장하기 위한 활동 정보로서 홍보, 교육, 훈련 등 기타 정보.

장 7

조직 및 실행

조 19. 효력 발생

1. 본 고시는 2017년 7월 1일부터 효력을 발생한다.

2. 본 고시를 시행하면서 발생한 문제점은 정보통신부(정보보호국)와 연락하여 해결하도록 한다./.

부록 1

정보 시스템 등급 1에 대한 기본 보안 요구사항
(2026/__/TT-BXD 통지에 첨부) 03年2017日的信息和通信部通知发布 24 월 4 주 관 (있을 경우)

1. 기술적 요구사항:

가) 서버 보안:

- 서버 접근 및 관리 활동에 대해 비밀번호 인증 및 시스템 로그 기록이 있어야 함;

- 서버 원격 관리에서 암호화되지 않은 연결 사용 금지;

나) 응용 프로그램 보안:

- 응용 프로그램 접근 및 관리 기능 로그인에 비밀번호 인증 및 로그 기록이 있어야 함;

다) 데이터 보안:

- 시스템 내 데이터에 대한 정기적인 백업이 필요하며, 목적 및 사용 방법에 따라 수행됨.

2. 관리적 요구사항:

가) 일반 정책: 시스템 관리 및 운영 주체에 대한 정보 보안 정책 존재;

나) 조직 및 인력: 문제 발생 또는 정보 보안 사고 처리를 위한 연락처 존재;

부록 2

정보 시스템 등급 2에 대한 기본 보안 요구사항
정보 시스템 수준 2
(2017년 4월 24일 정보통신부령 제03호 2017-0003호로 제정)

1. 기술적 요구사항:

가) 네트워크 인프라 보안:

- 사용 목적 및 목적으로 네트워크 인프라를 여러 구역으로 분할;

- 방화벽 기능을 갖춘 장비를 사용하여 각 구역 네트워크와 인터넷 간의 불법 접속을 차단;

- 무선망 사용 시 인증 및 암호화 메커니즘 존재;

- 중요한 네트워크 장비에 대한 관리자 계정 인증 방안 존재;

- 원격 네트워크 장비 관리 시 암호화 지원 프로토콜을 통한 관리 방안 존재 (있을 경우);

나) 서버 보안:

- 서버에 악성코드 방지 소프트웨어 설치 및 자동 업데이트 기능 또는 새로운 악성코드 인식 기능 존재;

- 비밀번호 인증 메커니즘이 복잡도 요구사항을 충족하고 비밀번호 변경 주기를 정해진 기간으로 설정하며 비밀번호 스캐닝 방지를 위한 방안 존재; 인증 정보는 시스템 내 암호화된 형태로 저장되어야 함;

- 시스템 내 기본 계정 또는 비활성화된 계정 비활성화 방안 존재; 서버 내 사용하지 않는 서비스나 소프트웨어 비활성화 방안 존재;

- 서버 접근 및 관리 활동에 대한 시스템 로그 기록 존재;

- 시스템 운영 체제 및 서비스에 대한 보안 취약점 패치 업데이트 메커니즘 존재;

다) 응용 프로그램 보안:

- 응용 프로그램 비밀번호 요구사항이 비밀번호 스캐닝을 방지하도록 복잡도 요구사항을 충족하며, 인증 정보는 암호화된 형태로 저장되어야 함;

- 접근 및 오류 발생 로그 기록 요구사항 존재;

- 원격 응용 프로그램 관리 시 암호화되지 않은 네트워크 연결 사용 금지;

라) 데이터 보안: 중요한 서버 데이터를 독립적인 시스템 또는 저장 매체를 통해 정기적으로 백업하는 방안 존재. 백업은 조직 규정에 따라 수행됨.

2. 관리적 요구사항:

가) 일반 정책:

- 사용자 정보 보안 정책 존재: 인터넷 네트워크 및 리소스 접근 및 사용 정책; 응용 프로그램 접근 및 사용 정책 포함;

- 시스템 관리 및 운영자 정보 보안 정책 존재: 네트워크 인프라 보안, 서버 보안, 응용 프로그램 보안 및 데이터 보안 관리 정책 포함;

나) 조직 및 인력:

- 신규 사용자, 임무 변경 사용자 또는 시스템 사용 중단 사용자의 계정 및 접근 권한 발급 및 해지 절차 존재;

다) 설계 및 구축 관리:

- 정보 시스템 보안 보장 방안 설계 및 설명 문서 존재;

- 설계 문서 및 정보 보안 보장 요구사항 준수 여부를 확인하기 위한 검사 및 확인 방안 존재; 시스템 인수 전에 수행됨;

- 정보 시스템 관리 주체의 전문 정보 보안 단위가 심사 및 승인한 등급 문서 존재;

라) 운영 관리:

- 기술적 기본 요구사항에 따른 시스템 관리 및 운영 절차 존재; 시스템 변경, 이동, 종료, 폐기, 삭제 절차 존재;

- 정보 보안 사고 발생 시 대응 방안 존재;

마) 검사, 평가 및 위험 관리:

- 법령에 따른 정보 보안 검사 및 평가, 위험 관리 방안을 정기적으로 2년마다 또는 필요 시 수행하도록 존재;

- 안전정보 점검 및 평가, 위험평가는 시스템 정보 관리 주체의 전담 안전정보 부서가 수행하거나 법률 규정에 따라 외부에 위탁하여 수행해야 한다.

부록 3

3등급 시스템 정보 보안을 위한 기본 요구사항
(2017년 4월 24일 정보통신부령 제03호 2017-0003호로 제정)

1. 기술적 요구사항:

가) 네트워크 인프라 보안:

- 내부 서버 전용 네트워크 영역, 시스템 필수 서비스 제공 서버(예: DNS, DHCP, NTP 등) 전용 네트워크 영역, 데이터베이스 서버 전용 네트워크 영역 등을 설계해야 하며, 조직의 요구에 따라 추가적인 전용 네트워크 영역을 설계해야 한다.

- 내부 네트워크를 업무 요구에 따라 기능별로 분리된 네트워크 영역으로 설계하고, 무선 네트워크는 기능별 네트워크 영역과 분리되어야 하며, 인터넷 외부 서비스 제공 서버 전용 네트워크 영역을 분리해야 한다.

- 서비스 거부 공격 방지를 위한 로드 밸런싱 및 공격 저감 대책을 마련해야 한다.

- 중앙 집중식 저장 시스템 설계와 정보 보안 모니터링 시스템 설계를 해야 한다.

- 중요한 네트워크 영역 간에 방화벽 기능을 가진 장비 사용을 위한 계획을 세워야 한다.

- 인터넷과 내부 네트워크 사이에서 침입 탐지 및 방어, 악성 소프트웨어 차단을 위한 계획을 세워야 한다.

- 네트워크 관리 영역 내의 네트워크 장비에 대한 로그 저장 및 중앙 집중식 관리를 위한 계획을 세워야 한다. 이 장비들이 해당 기능을 지원하거나 중요하다면.

- 네트워크 장비 로그는 최소 3개월간 보관되며, 로그 시간은 실제 시스템 시간과 동기화되어야 한다. (베트남 시간대)

- 시스템 내 주요 네트워크 장비에 대한 예비 설계를 해야 한다. 이는 한 장비가 고장 나더라도 시스템 정상 작동을 유지하기 위함이다.

- 네트워크 장비 사용 전에 소프트웨어 업데이트, 보안 취약점 처리, 최적화된 구성 설정을 위한 계획을 세워야 한다.

- 모든 네트워크 장비에 대한 관리자 계정 인증 계획을 세워야 한다. 이 계획에는 필요한 복잡도를 갖춘 비밀번호 요구사항과 비밀번호 스캔 방지 조치가 포함되어야 한다.

- 네트워크 장비 접근 및 관리원을 제한하는 계획을 세워야 한다.

- 인터넷을 통해 네트워크 장비를 관리하려면 가상 사설망(VPN) 또는 동등한 방법을 사용해야 한다.

- 내부 네트워크 장비 활동 로그를 기록하고, 로그 시간은 실제 시스템 시간과 동기화되어야 한다.

- 네트워크 장비에 저장된 인증 정보를 암호화해야 한다.

나) 서버 보안:

- 중앙 집중식 인증 관리 계획을 세워야 한다. 자동 로그인 방지와 일정 시간 후 자동 로그아웃을 포함해야 한다.

- 각 계정의 시스템 자원 접근, 관리, 사용 권한을 업무 요구사항에 맞게 설정해야 한다.

- 시스템 소프트웨어 패치 및 업그레이드를 위한 중앙 집중식 관리 계획을 세워야 한다.

- 서버 로그를 중앙 집중식으로 저장 및 관리해야 한다. 로그는 최소 3개월간 보관되어야 한다.

- 서버 로그를 정보 보안 모니터링 시스템과 동기화하는 계획을 세워야 한다.

- 서버 접근 및 관리원을 제한하는 계획을 세워야 한다. 인터넷을 통해 서버를 관리하려면 가상 사설망(VPN) 또는 동등한 방법을 사용해야 한다.

- 각 서버에 방화벽을 사용하여 합법적인 연결만 허용하도록 설정하는 계획을 세워야 한다.

- 조직 요구사항에 맞는 서버 운영 체제 및 서버 구성 설정을 위한 예비 백업 계획을 세워야 한다.

- 서버 접근, 관리, 오류 발생 활동 로그를 기록해야 한다.

다) 응용 프로그램 보안:

- 응용 프로그램 관리자 계정의 비밀번호 변경 주기를 설정하고, 응용 프로그램이 사용자의 요청 없이 일정 시간 동안 연결을 유지하지 않도록 설정해야 한다.

- 관리용 응용 프로그램과 사용자에게 서비스를 제공하는 응용 프로그램을 분리하고, 응용 프로그램이 시스템에서 최소 권한으로 실행되도록 설정해야 한다.

- 응용 프로그램 접근 및 관리원을 제한하는 계획을 세워야 한다. 인터넷을 통해 응용 프로그램을 관리하려면 가상 사설망(VPN) 또는 동등한 방법을 사용해야 한다.

- 사용자로부터 입력되는 데이터를 필터링하고, 이러한 데이터가 응용 프로그램의 정보 보안에 영향을 미치지 않도록 하는 계획을 세워야 한다.

d) 데이터 보안:

- 시스템 저장 매체에 저장된 비공개 정보를 암호화하는 계획을 세워야 한다.

- 데이터 변경 빈도에 따라 자동적으로 데이터 백업을 수행하는 계획을 세워야 한다.

2. 관리적 요구사항:

a) 일반 정책: 법령에 따른 정보 보안 일반 정책의 검토 및 업데이트는 2년마다 정기적으로 이루어지거나 필요할 경우 즉시 이루어져야 한다.

나) 조직 및 인력:

- 정보 보안 관련 지식 및 기술 향상을 위해 정기적으로 교육 및 훈련을 실시하고, 관련 관리자 및 기술 직원들에게 정보 보안 교육을 실시해야 한다.

- 관련 직원들은 퇴직 시 조직의 시스템 데이터, 조직의 개인 정보 또는 다른 민감 정보와 관련된 정보를 비밀로 유지하는 것을 요구받아야 한다.

c) 시스템 설계 및 구축:

시스템 정보 관리 주체의 전담 안전정보 부서가 심사한 등급 제안서를 작성해야 한다.

라) 운영 관리:

- 시스템 운영 과정에서 정보 보안 모니터링 계획을 세워야 한다. 이는 법령에 따른 것이다.

- 정기적으로 정보 보안 훈련을 실시하고, 국가 또는 국제 기관이 소집하는 훈련에 참가하는 직원을 배정해야 한다.

- 시스템이 사고나 재난 상황에서 정상 작동을 복구하기 위한 계획을 세워야 한다.

마) 검사, 평가 및 위험 관리:

- 법령에 따른 정보 보안 점검 및 평가, 위험 관리 평가는 연간 정기적으로 이루어져야 한다.

- 정보 보안 점검 및 평가, 위험 평가는 법령에 따라 관련 기관의 허가를 받은 전문 기관이나 주체가 지정한 공익기관이 수행해야 한다.

부록 4

4등급 시스템 정보 보안을 위한 기본 요구사항
(2017년 4월 24일 정보통신부령 제03호 2017-0003호로 제정)

1. 기술 요구사항:

가) 네트워크 인프라 보안:

- 중요한 네트워크 영역 간에 침입 탐지 및 방어 계획을 세워야 한다.

- 무선 네트워크(있을 경우)를 중앙 집중식으로 관리하는 계획을 세워야 한다.

- 중앙 관리 시스템을 통해 악성코드 방지 시스템을 운영함. 여기에는 기본 기능으로 데이터 업데이트, 경고 전송, 중앙 관리 시스템에서 네트워크 내 서버/터미널에 설치된 소프트웨어로 제어 정보를 수신하는 기능이 포함되어야 함.

- 주요 네트워크 장비에 대한 핫 스탠바이 계획을 보유하여 시스템의 지속적인 운용을 보장하며, 대체 장비의 성능은 시스템 규모에 맞게 충족되어야 함.

- 중요한 네트워크 장비에 대해 다중 인증 방법 사용 계획을 보유함.

- 네트워크 장비의 활동에 적합한 독립적인 로그 저장 계획을 보유하며, 로그 데이터는 최소 06개월간 보관되어야 함.

- 네트워크 장비에서 발생한 문제를 실시간으로 시스템 관리자에게 알리는 계획을 보유하며, 이를 감사 시스템을 통해 수행함.

- 시스템이 필수적으로 인터넷 연결이 필요한 경우, 국내 다른 인프라를 이용하는 두 개 이상의 ISP로부터 최소 02개의 인터넷 연결을 유지하는 계획을 보유함.

- 시스템 내에서 데이터 손실을 방지하기 위한 계획을 보유함.

나) 서버 보안:

- 시스템 내 서버에 접속할 때 다중 인증 메커니즘을 사용하는 계획을 보유함.

- 서버의 활동에 적합한 독립적인 로그 저장 계획을 보유하며, 로그 데이터는 최소 06개월간 보관되어야 함.

- 시스템 파일의 무결성을 확인하고 시스템 계정에 할당된 권한의 무결성을 확인하는 계획을 보유함.

다) 응용 프로그램 보안:

- 응용 프로그램 관리 계정에 접속할 때 다중 인증 메커니즘을 사용하는 계획을 보유하며, 사용자가 정기적으로 인증 정보를 변경하도록 요구하는 메커니즘을 보유함.

- 응용 프로그램의 활동에 적합한 독립적인 로그 저장 계획을 보유하며, 로그 데이터는 최소 06개월간 보관되어야 함.

- 사용자의 인증 정보를 암호화하여 네트워크 환경을 통해 응용 프로그램에 전송하기 위한 메커니즘을 보유함.

- 네트워크 환경을 통해 응용 프로그램 관리 과정에서 교환되는 정보의 신원 및 출처를 확인하기 위한 메커니즘을 보유함.

d) 데이터 보안:

- 데이터의 무결성을 확인하고 데이터가 변경될 경우 이를 감지하고 경고하는 계획을 보유함.

- 저장된 데이터를 종류별 또는 그룹별로 분류하고 관리하기 위한 계획을 보유하며, 이를 위해 다양한 라벨링을 적용함.

- 시스템 내에서 발생한 사고 시 데이터 복구가 가능한 오류 허용형 백업 시스템을 사용하는 계획을 보유함.

2. 관리적 요구사항:

a) 일반 정책: 정기적으로 01년마다 또는 필요할 경우 안전 통신 정책을 검토하고 업데이트함.

나) 조직 및 인력:

- 관리자와 기술 운영 직원들의 이력 조사 및 확인 정책을 보유하며, 이는 시스템의 통신 안전에 대한 책임을 지는 직원들이 전문적 업무 능력, 윤리적 기준, 그리고 업무 특성에 부합하도록 보장함.

- 정기적으로 연간 교육과 훈련을 조직하여 관리자와 관련 기술 직원들에게 통신 안전에 대한 지식과 기술을 향상시키도록 함.

- 통신 안전 전문 직원들을 구성하고 해당 단위의 통신 안전을 직접 관리하는 리더를 지정하는 정책을 보유함.

c) 시스템 설계 및 구축:

- 정보통신부의 심사로 인증받은 등급 문서를 보유함.

- 시스템의 활동에 영향을 미치는 보안 패치 및 업데이트의 호환성과 영향을 검사하는 계획을 보유함.

- 네트워크 장비와 서버가 시스템 내에서 작동하기 전에 보안을 보장하기 위한 최적화된 설정 계획을 보유함.

- 시스템이 운영 및 활용되기 전에 전체적인 통신 안전 상태를 검사하고 평가하는 계획을 보유함.

라) 운영 관리:

- 법령에 따라 시스템에 대한 독립적인 통신 안전 모니터링 계획을 보유하며, 24/7 상시 모니터링을 조직함.

- 정기적으로 연간 교육을 조직하여 시스템의 통신 안전을 보장하는 훈련을 실시함.

- 법령에 따라 통신 네트워크의 긴급 대응 계획을 보유함.

마) 검사, 평가 및 위험 관리:

- 정기적으로 연간 통신 안전 상태를 검사하고 평가하며, 통신 안전 위험 관리를 실시함.

- 통신 안전 상태 검사 및 위험 관리는 법령에 따라 자격을 갖춘 전문기관 또는 해당 국가 공공기관이 수행하도록 시스템 주 관리자가 지정함.

부록 5

||| 정보 시스템 5등급에 대한 기본 보안 요구사항
(2017년 4월 24일 정보통신부령 제03호 2017-0003호로 제정)

1. 기술적 요구사항:

가) 네트워크 인프라 보안:

- 시스템 내 네트워크 구역 간의 방화벽, 침입 탐지 및 방어 시스템을 보유함.

- 네트워크 장비의 로그 데이터를 최소 12개월간 보관하는 계획을 보유함.

- 모든 네트워크 장비에 대한 핫 스탠바이 계획을 보유하여 시스템의 지속적인 운용을 보장함.

나) 서버 보안:

- 서버에 대한 단말기 수준의 침입 방어 솔루션을 사용하는 계획을 보유함.

- 서버의 활동에 적합한 독립적인 로그 저장 계획을 보유하며, 로그 데이터는 최소 12개월간 보관되어야 함.

다) 응용 프로그램 보안:

- 중요 데이터를 네트워크 환경을 통해 교환할 때 양방향 인증 메커니즘을 적용하는 계획을 보유함.

- 인증 정보를 저장하기 위한 전용 저장 장치를 사용하는 계획을 보유함.

- 응용 프로그램의 로그를 최소 12개월간 보관하는 계획을 보유함.

d) 데이터 보안:

- 네트워크 환경을 통해 데이터를 전송하거나 교환할 때 전용 채널을 사용하는 계획을 보유함.

- 시스템 내 데이터의 백업을 서로 다른 위치에 보관하는 계획을 보유함.

- 주 백업 시스템과 보조 백업 시스템 사이에 최소 02개의 네트워크 연결을 유지하는 계획을 보유함.

2. 관리적 요구사항:

가) 일반 정책:

정기적으로 06개월마다 또는 필요할 경우 일반적인 통신 안전 정책을 검토하고 업데이트함.

b) 조직 및 인력 정책:

- 각각의 직무는 전문직원을 배치해야 하며, 겸임을 허용하지 않음.

- 중요한 운영 직무는 최소 02명의 직원이 함께 수행하도록 배치되어야 함.

c) 시스템 설계 및 구축:

시스템 내에 투자된 제품 및 장비는 통신 안전 검사를 거쳐야 함.

라) 운영 관리:

정기적으로 06개월마다 시스템의 통신 안전을 보장하기 위한 훈련을 조직함.

마) 검사, 평가 및 위험 관리:

- 정기적으로 06개월마다 또는 실제 요구사항 또는 관련 기관의 요구사항, 경고에 따라 통신 안전 상태를 검사하고 평가하며, 통신 안전 위험 관리를 실시함.

- 안전정보 검사, 평가 및 안전정보 위험평가는 관할 기관으로부터 허가받은 전문 조직 또는 주체가 지정한 해당 기능과 임무를 수행하는 국가 공익기관이 법률에 따라 수행하여야 한다.