전자정부 정보보호관리체계 인증 등에 관한 지침
개정 2010. 6. 7. 행정안전부 훈령 제178호

제정 2009. 12. 11. 행정안전부 훈령 제164호

제1장 총칙

제1조(목적) 이 지침은 「전자정부법」제24조 및 제56조, ｢전자정부법 시행령」제20조, ｢정보통신망 이용촉진 및 정보보호 등에 관한 법률」제47조, ｢행정안전부와 그 소속기관 직제」제20조제3항제83호에 따른 전자정부 정보보호관리체계(이하 G-ISMS) 인증기관의 지정, 인증서 발급에 관한 인증심사기준, 인증절차, 인증심사원 등에 관하여 필요한 사항에 대하여 정하는 것을 목적으로 한다.

제2조(용어의 정의) 용어의 정의는 다음 각 호와 같다.

1. “G-ISMS”는 기관의 주요 정보자산을 보호하기 위해 정보보호관리 절차와 과정을 체계적으로 수립하여 지속적으로 관리 및 운영하기 위해 구축한 종합적인 체계를 말한다.

2. “G-ISMS 인증기관(이하 인증기관)”은 행정안전부 장관이 지정하는 기관 또는 한국인터넷진흥원(KISA)을 말한다.

3. “인증”이란 신청기관이 수립하여 운영하고 있는 정보보호관리체계가 인증심사기준 등에 적합함을 G-ISMS 인증위원회가 승인하는 것을 말한다.

4. “인증심사”란 인증기관이 신청기관에서 수립하여 운영하는 정보보호관리체계가 인증심사기준 등에 적합한지 여부를 서면심사 및 기술심사의 방법으로 확인하는 것을 말한다.

5. “인증심사원”이란 G-ISMS 인증심사를 수행하기 위해 인증기관으로부터 위촉된 자를 말한다.

6. “신청기관”이란 G-ISMS 인증을 취득하고자 신청하는 기관을 말한다.

제2장 인증기관의 지정 등

제1절 인증기관의 지정 신청 및 절차

제3조(인증기관의 지정공고) 행정안전부 장관은 인증기관을 추가 지정할 필요가 있을 때 반드시 신청·접수기간과 신청요령 등을 정하여 관보 혹은 인터넷 홈페이지에 15일 이상 공고하여야 한다.

제4조(인증기관의 지정절차 등) ① 인증기관으로 신청하고자 하는 자는 별지 제1호서식의 G-ISMS 인증기관 지정신청서(전자문서로 된 신청서를 포함한다)에 다음 각 호의 서류(전자문서를 포함한다)를 첨부하여 행정안전부 장관에게 제출하여야 한다.

1. 법인 또는 단체의 정관

2. 별지 제2호서식의 “인증심사원의 보유현황”과 이를 증명할 수 있는 서류

3. 정보보호 업무를 수행한 경력이나 전문화 정도 등 별표1의 “업무수행능력심사 규정에 따른 제출서류”

② 제1항에 따른 지정신청을 받은 담당 공무원은 신청하고자 하는 자가 법인인 경우에는 「전자정부법」 제21조제1항에 따른 행정정보의 공동이용을 통하여 법인등기부 등본을 확인하여야 한다. 다만, 신청하고자 하는 자가 확인에 동의하지 아니하는 경우에는 이를 첨부하게 하여야 한다.

③ 행정안전부 장관은 제1항에 따른 지정신청을 받은 경우에는 제5조에 따른 지정기준 충족여부를 심사하여 신청을 받은 날부터 1개월 이내에 그 결과를 신청하고자 하는 자에게 통지하고, 인증기관으로 지정받은 자에게 별지 제4호서식의 G-ISMS 인증기관 지정서를 교부하여야 한다.

④ 행정안전부 장관은 제3항에 따라 지정기준의 충족여부를 심사할 때 필요한 범위에서 현장실사를 할 수 있다. 이 경우 현장실사를 수행하는 자는 자신의 자격을 증명하는 증표를 신청하고자 하는 자에게 내보여야 한다.

⑤ 행정안전부 장관은 제3항에 따라 지정기준의 충족여부를 심사하는데 필요한 때에는 정보보호에 관한 학식과 경험이 풍부한 자를 위원으로 하는 심사위원회를 별도로 구성ㆍ운영하거나 인증위원회에서 심사할 수 있다.

제2절 G-ISMS 인증기관의 지정기준 등

제5조(인증기관의 지정기준) 인증기관의 지정기준은 다음 각 호와 같다.

1. 인증심사업무를 전담하는 인증심사원 5인 이상 보유

2. 제4조⑤항의 위원회로부터 별표1 제출서류를 기반으로 업무수행능력심사에서 적합하다고 인정받은 경우

제6조(인증기관 지정의 유효기간) ① 인증기관 지정의 유효기간은 3년으로 하며, 고시되는 인증기관 지정 신청 기간에 갱신 신청을 할 수 있다.

② 인증기관으로 지정된 유효기간이 신청 기간 이전에 만료한 때에는 갱신 신청에 대한 처리결과를 통지받을 때까지 그 지정이 계속 유효한 것으로 본다.

제7조(인증기관의 지정취소 등) ① 행정안전부 장관은 인증기관으로 지정받은 법인 또는 단체가 다음 각 호의 어느 하나에 해당하면 그 지정을 취소하거나 해당 업무의 전부 또는 일부의 정지를 명할 수 있다. 다만, 제1호나 제2호에 해당하는 경우에는 그 지정을 취소하여야 한다.

1. 거짓이나 그 밖의 부정한 방법으로 인증기관의 지정을 받은 경우

2. 업무정지기간 중에 인증을 한 경우

3. 정당한 사유 없이 인증을 하지 아니한 경우

4. 이 지침에서 정한 인증기준, 절차와 방법을 위반하여 인증을 한 경우

5. 제5조에 따른 지정기준에 적합하지 아니하게 된 경우

제3장 추진체계

제8조(G-ISMS 업무관리) ①행정안전부 장관은 G-ISMS 인증을 위해 다음 각 호의 업무를 수행한다.

1. G-ISMS 인증 제도의 수립

2. 인증기관의 지정 및 감독

3. G-ISMS 인증위원회 구성 및 관리

4. G-ISMS 인증심사원 양성

5. 인증관련 예산의 확보 및 출연

6. 그 밖에 인증에 필요한 정책의 수립 등

② 행정안전부 장관은 제①항3 내지 4의 인증위원회 운영과 인증심사원 양성 업무를 인증기관에 위탁할 수 있다.

제9조(인증기관의 역할) ①인증기관은 G-ISMS 인증을 위해 다음 각 호의 업무를 수행한다.

1. G-ISMS 인증심사

2. G-ISMS 인증서 발급 및 관리

3. G-ISMS 인증상담 및 기술자문

4. 그 밖에 인증업무에 필요한 연구사업 등

제4장 인증절차 등

제1절 인증신청

제10조(인증신청 요건) 신청기관은 다음 각 호의 모든 인증심사기준에 따라 정보보호관리체계를 수립하여 인증신청 이전에 최소 1개월 이상 운영하여야 한다.

1. 별표 2에 따른 정보보호관리체계 수립 및 관리과정과 문서화 요구사항

2. 별표 3에 따른 정보보호대책 통제사항에서 선택한 사항(신청기관은 자신의 정보보호관리체계의 규모 및 사업특성 등을 고려하여 별표 3에서 적절한 항목을 선택할 수 있다)

제11조(인증의 신청) ①신청기관은 다음 각 호의 사항에 대한 설명이 포함된 정보보호관리체계의 내역서를 첨부한 별지 제5호 서식의 G-ISMS 인증신청서(ISO 27001 인증신청을 같이 할 수 있음)를 인증기관에 제출하여야 한다.

1. 정보보호관리체계의 범위

2. 정보보호관리체계의 범위에 포함되어 있는 주요정보통신설비의 목록과 시스템 구성도

3. 정보보호관리체계를 수립․운영하는 방법과 절차

4. 정보보호관리체계와 관련이 있는 주요문서의 목록

②제1항에 따라 신청을 받은 인증기관은 신청기관이 운영하는 G-ISMS 특성상 신청기관이 인증 신청한 정보보호관리체계만을 분리하여 심사할 수 없는 경우에는 신청기관과 협의하여 인증대상의 범위를 변경할 수 있다.

③인증심사의 종류는 최초심사, 중간심사, 갱신심사, 재심사로 구분한다.

④신청기관에서 ISO/IEC 27001 인증을 추가로 받고자 할 경우 G-ISMS 인증신청서에 ISO/IEC 27001 인증신청을 별도로 표기, 신청하여야 한다.

제12조(인증심사협약의 체결) 인증기관은 신청기관과 인증심사협약을 체결할 경우에 심사기간, 심사인원, 심사 수수료, 인증의 범위 등을 신청기관과 협의하여야 한다.

제2절 인증심사기준 및 방법

제13조(인증심사기준) 인증기관이 심사하는 G-ISMS의 인증심사기준은 별표 2부터 별표 3까지와 같다.

제14조(서면심사) 인증기관은 신청기관이 제출한 신청서류를 확인하여 신청기관이 수립‧운영하고 있는 정보보호관리체계가 별표 2부터 별표 3까지에 따른 인증심사기준에 적합한지에 대하여 심사하여야 한다.

제15조(기술심사) ①인증기관은 서면심사의 결과를 검증하기 위하여 신청기관이 인증을 신청한 정보보호관리체계가 운영 중인 현장을 방문하여 직접 해당 정보보호관리체계의 구축․운영 실태를 확인하여야 한다.

②인증기관은 제1항에 따른 현장 방문 시 신청기관의 요청이 있는 경우 인터넷 침해사고 등에 대한 안전성 검사를 위하여 해당 정보보호관리체계에 속한 정보시스템에 대한 모의진단을 실시할 수 있다.

제3절 G-ISMS 인증심사원의 자격요건

제16조(인증심사원의 요건 등) ①인증심사원의 자격요건 규정은 별표 4와 같다.

②인증심사원 구성요건 및 보수 규정은 별표 5에 따라 심사원보, 심사원, 선임심사원으로 구분하며 필요에 따라 전문심사원을 활용할 수 있다.

③인증심사원은 그 직무상 알게 된 비밀을 타인에게 누설하거나 직무상 목적 외에 이를 사용하여서는 아니 된다.

④행정안전부 장관과 인증기관의 장은 신청기관의 주요 정보자산에 대한 보호를 위하여 본인의 동의를 받아 인증심사원에 대한 범죄사실확인증명을 제출하게 할 수 있다.

제4절 인증위원회의 구성 및 운영

제17조(인증위원회의 구성) ①행정안전부 장관은 인증기관이 실시한 인증심사 결과의 적합 여부를 심의하기 위하여 G-ISMS 인증위원회(이하 “인증위원회”라 한다)를 구성․운영하여야 한다.

②인증위원회는 15인 이내의 위원으로 구성하되, 위원은 학계․산업체․연구기관․정부기관 등 정보보호분야에 학식과 경험이 있는 자를 대상으로 행정안전부 장관이 정하여 위촉하며, 위원장은 위원 중에서 호선한다.

③인증위원회의 위원장(이하 "위원장"이라 한다)은 인증위원회의 업무를 통할하며 위원회를 대표한다.

④위원에 대하여는 예산의 범위 안에서 수당과 여비를 지급할 수 있다. 다만, 공무원인 위원이 소관업무와 관련하여 참석한 경우에는 그러하지 아니하다.

제18조(인증위원회의의 역할 및 운영) ①인증위원회의 역할은 다음과 같다.

1. 인증기관에서 제출한 인증심사결과보고서의 심의·승인

2. 인증기관 자격 심사

3. 인증심사원 자격 위촉

4. 기타 행정안전부 장관이 위임한 업무

②인증기관의 장은 인증심사원이 실시한 심사결과를 위원회 개최 전 5일까지 인증위원회에 제출한다.

③인증위원회는 별지 제7호서식 및 별지 제8호서식의 인증위원회 심의결과서를 인증기관에 통보한다.

④인증기관 및 신청기관은 심사결과에 이의가 있을 경우 통보받은 후 2주 이내에 별지 제9호 서식의 이의 신청서를 작성하여 위원장에게 재심의를 요청할 수 있다.

제5절 인증서 교부 및 중간심사 등

제19조(인증서 교부) 인증기관의 장은 제18조제③항에 따라 인증위원회의 심의결과를 통보받은 경우 신청기관에게 인증심사결과를 통보하고, 심사에 통과하였을 경우 별지 제10호서식의 G-ISMS 인증서를 신청기관에 교부하여야 한다.

②인증기관은 다음 각 호의 어느 하나에 해당하는 사유를 발견한 때에는 교부한 인증서를 철회하여야 한다.

1. 거짓 그 밖의 부정한 방법으로 인증을 받은 경우

2. 인증 받은 내용을 홍보하면서 인증의 범위나 유효기간을 허위로 표기한 경우

3. 운영 중인 정보보호관리체계가 인증심사기준에 적합하지 않은 경우

③인증기관이 제②항에 따라 인증을 철회하는 경우에는 인증서를 교부받은 자(이하 “취득기관”이라 한다)에게 통지하고, 교부한 인증서를 회수하여야 한다.

제20조(변경에 따른 재심사) ①취득기관은 다음 각 호의 사항이 발생한 경우 발생한 날로부터 3개월 이내에 해당 인증서를 발급한 인증기관에 별지 제10호서식을 작성·제출하고 재심사를 받아야 한다.

1. 인증 받은 정보보호관리체계의 범위가 확대되거나 변경되었을 경우

2. 사업장 변경 및 기관 통·폐합 등의 환경 변화 등으로 정보보호관리체계 운영에 영향을 미치는 경우

②재심사를 실시하는 경우에는 제11조 내지 제19조 규정을 준용한다.

제21조(중간심사) 인증기관은 취득기관이 정보보호관리체계를 지속적으로 유지하고 있는 상태를 확인하기 위해 인증 유효기간 중 연 1회 중간심사를 실시한다.

제22조(인증의 유효기간 및 갱신심사) ① G-ISMS 인증서의 유효기간은 3년으로 한다.

② 취득기관은 인증서 유효기간 만료 3개월 전에 별지 제5호서식을 작성·제출하여 갱신심사를 신청할 수 있다.

제23조(인증서 관리) ①인증기관은 발급된 인증서의 인증번호, 발급번호, 발급일, 유효기간 등을 관리하여야 하고, 매년말 발급현황을 인증위원회에 제출하여야 한다.

②취득기관은 인증서의 분실 등으로 인한 인증서를 추가로 발급 받고자 할 경우 별지 제11호서식의 G-ISMS 인증서 추가발급 신청서를 인증기관에 제출하여야 한다.

③취득기관이 주소, 기관명 등 인증서 기재사항의 변경을 요청하고자 하는 경우 별지 제12호서식의 G-ISMS 인증서 변경신청서를 인증기관에 제출하여야 한다.

제24조(인증표시 및 홍보) ①인증의 표시는 별표 6과 같이 표시한다.

②취득기관이 인증 받은 내용을 문서ㆍ송장ㆍ광고 등에 홍보하는 경우 인증의 범위와 유효기간을 반드시 표시하여야 한다.

제25조(인증기관의 운영규칙) 인증기관은 G-ISMS 인증심사업무의 원활한 수행을 위하여 필요한 운영규칙을 정하여 시행할 수 있다.

제26조(신청기관과 취득기관의 혜택) 행정안전부 장관은 신청기관과 취득기관에게 G-ISMS 구축 컨설팅 지원, 인증심사 수수료 감면 혹은 면제 등 혜택을 부여할 수 있다.

제27조(인증심사 수수료) ①인증기관은 다음 각 호의 사항을 고려하여 소프트웨어사업대가기준을 적용하여 인증심사 수수료를 차등 부과할 수 있다.

1. 인증심사를 받는 정보통신설비 및 시설 등의 규모

2. 인증심사를 받는 범위에 포함되어 있는 인원수

3. 인증과 관련하여 사용한 인력, 자원의 소요 비용 등

부    칙

이 지침은 발령한 날부터 시행한다.

[별표 1]

업무수행능력심사 규정에 따른 제출서류(제4조제1항관련)

구분	제출서류
1. 정보보호수행실적을 확인하는 데 필요한 서류	가. 별지 제3호서식에 따른 정보보호수행실적 명세서 및 이를 증빙할 수 있는 자료(결과보고서 등) 나. 계약서 사본 및 세금계산서 등
2. 업무수행능력심사를 평가하기 위하여 필요한 서류	가. 총매출액대비 정보보호분야 매출액의 비율 계산 내역(공인회계사 또는 회계담당자가 서명 날인한 서류) 나. 부채비율 및 자기자본 이익률의 계산내역(회결산내역 등 관련 증빙자료) 다. 인증업무 운영체계 관련 규정 및 지침 등 o 인증기관의 운영체계 및 인증의 품질관리 o 인증업무를 수행하는 직원에 대한 운영관리 등의 내부규정 o 인증업무 수행 방법 및 절차
비 고 ※ 행정안전부 장관은 전자정부 정보보호관리체계(G-ISMS) 인증기관 지정 공고 시 업무수행능력심사에 필요한 자료의 구성 및 그 세부내용, 제출시기 및 방법 등에 관한 사항을 포함하여야 한다.

[별표 2] 인증심사기준 - G-ISMS 수립 및 관리과정과 문서화 요구사항

분야		과정		단계		인증심사기준
1	ISMS 수립 및 관리과정	1.1	ISMS 수립	1.1.1	범위 설정	기관의 특성에 따라 ISMS의 적용 범위를 정의하여야 한다. 또한 범위에서 제외된 부분이 있다면 이에 대하여 자세히 기술하고 정당성을 확보하여야 한다.
				1.1.2	정책 수립	기관의 특성에 따라 ISMS 정책을 수립하여야 한다.
				1.1.3	위험관리 계획 수립	자산을 식별하고 자산에 영향을 줄 수 있는 위협 및 취약성을 식별․분류하여 위험관리방법과 계획이 수립되어 있어야 한다.
				1.1.4	위험분석 및 평가	식별된 위협 및 취약성과 자산의 가치 및 대책의 실패 가능성을 고려하여 잠재적 손실에 대한 영향을 분석하고 평가하여야 한다.
				1.1.5	위험처리	법규 및 계약관련 요구사항과 위험수용수준을 고려하여 위험평가결과에 따라 통제를 선택하여야 한다.
		1.2	ISMS 구현 및 운영	1.2.1	정보보호 대책의 수립 및 구현	위험처리에서 선정된 대책을 이행하기 위한 정보보호 대책을 수립하고 구현하며, 통제의 효과성 측정 방법을 정의하여야 한다.
				1.2.2	정보보호교육 및 훈련	ISMS 활동에 관련된 인력이 적절한 역량을 보유하도록 교육 및 훈련계획을 수립하고 이행하여야 한다.
				1.2.3	운영	ISMS 운영현황을 관리하고 정기적으로 책임자에게 보고하여야 한다.
				1.2.4	자원관리	ISMS의 수립, 구현, 운영, 모니터링, 검토, 관리 및 개선을 위한 자원을 관리하여야 한다.
		1.3	ISMS 모니터링 및 검토	1.3.1	모니터링	정보보호정책과 목적을 충족시키기 위해 ISMS 활동의 모니터링을 수행하여야 한다.
				1.3.2	효과성 측정 및 검토	주기적으로 ISMS 및 정보보호 대책의 효율성을 검토하고 기관의 변화를 고려하여 잔여 위험 및 위험수용수준을 검토하여야 한다.
				1.3.3	내부감사	주기적으로 ISMS에 대한 내부감사를 수행하고 모니터링 및 검토 결과를 반영하여 정보보호 대책을 갱신하여야 한다.
		1.4	ISMS 유지 및 개선	1.4.1	개선 활동	정보보호 정책, 정보보호 목적, 감사 결과, 사건 분석, 시정 및 예방조치, 검토 등을 통해 ISMS를 지속적으로 개선하여야 한다.
				1.4.2	개선 사항 협의 및 공지	ISMS의 유지 및 개선을 위하여 관련자와 협의하여 공유하고 개선사항에 대해 공지하여야 한다.
				1.4.3	개선 결과 검토	개선의 목적이 달성되었는지 확인하여야 한다.

분야		통제		인증심사기준
2	문서화	2.1	문서화 요구사항	ISMS 수립 및 관리에 대한 내용이 문서화되어야 하며, 문서의 내용은 실제 업무를 반영하여 업무와의 일관성을 유지하고 ISMS 정책, 책임자의 결정, 위험관리 결과 등에 따라 ISMS 활동을 추적할 수 있어야 한다.
		2.2	문서의 통제	문서의 승인, 검토, 개정 상태의 식별, 관련자 배포, 폐기 및 폐기 문서의 표시 등의 통제 절차를 수립하여 문서 및 문서목록을 관리하여야 한다.
		2.3	기록의 통제	기록의 식별, 보관, 보호, 검색, 보유기간, 폐기에 관한 통제 절차를 수립하여 관리하여야 하며 기록은 읽기 쉽고 식별 가능하며 관련활동을 추적할 수 있어야 한다.

[별표 3] 인증심사기준 - G-ISMS 정보보호 대책 통제사항

	분야		통제		세부통제	인증심사기준
1	정보보호 정책	1.1	정보보호 정책	1.1.1	정보보호 정책의 문서화	정보보호 정책 문서는 책임자의 승인을 받아야 하고 공지되어야 한다
				1.1.2	정보보호 정책의 검토	정보보호 정책/대책/계획은 정기적으로 또는 적합성과 타당성 및 효과에 있어 중대한 변화가 발생된 경우에 검토하여야 한다.
2	정보보호 조직	2.1	정보보호 조직	2.1.1	정보보호를 위한 책임자 역할	책임자는 정보보호 방향 제시 및 검토, 역할 및 책임 승인, 조직의 협력 및 조정 확인 등의 역할 수행을 통하여 정보보호 활동을 능동적으로 지원하여야 한다.
				2.1.2	정보보호 관련 위원회 구성 및 운영	정보보호관련 위원회를 구성하여 기관 전반에 걸친 중요한 정보보호 관련 심의 및 승인 기능을 수행하며 필요한 자원 할당을 통해 정보보호 관리 활동이 적절하게 수행될 수 있도록 하여야 한다.
				2.1.3	정보보호 책임의 할당	정보보호 책임은 명확히 정의되어야 한다.
				2.1.4	정보시스템 도입에 대한 인가절차	신규 정보시스템 도입 시 정보보호 요구사항을 반영하는 인가절차를 수립하여야 한다.
				2.1.5	보안 서약서	정보보호를 위한 기관의 요구사항을 반영하여 보안 서약서의 내용을 정의하고 정기적으로 검토하여야 한다.
				2.1.6	관련기관과의 연계	관련기관과의 상시협조체계를 마련하여 유지하여야 한다.
				2.1.7	전문적인 그룹과의 연계	전문적인 보안 관련 그룹과 적절한 연계를 유지하여야 한다.
				2.1.8	정보보호에 대한 독립적인 검토	정보보호에 대한 기관의 활동은 정기적으로 또는 보안 환경에 중요한 변화가 있을 경우 독립적으로 검토하여야 한다.
3	자산관리	3.1	자산에 대한 책임	3.1.1	자산 목록	주요 정보자산에 대한 목록을 작성하고 관리하여야 한다.
				3.1.2	자산관리자	정보자산에 대하여 자산관리자를 명시적으로 지정하여야 한다.
				3.1.3	자산의 허가된 사용	정보자산의 사용 규정을 문서화 하고 이에 따라 적용하여야 한다.
		3.2	정보자산 분류	3.2.1	분류 기준	정보자산은 업무에 대한 정보의 필요성 및 영향을 고려하여 분류되어야 한다.
				3.2.2	정보처리 규정	기관의 정보자산 분류 기준에 근거하여 정보에 대한 처리 방식을 규정하고 이에 따라 적용하여야 한다.
4	인적보안	4.1	채용시 인적 보안	4.1.1	역할과 책임	직원의 신규 채용시 정보보호에 관한 역할 및 책임이 문서화되어야 한다.
				4.1.2	적격심사	관련 법규 및 업무 요구사항에 따라 채용 대상자에 대한 적격심사가 수행되어야 한다.
				4.1.3	고용계약	채용 대상자는 정보보호에 대한 책임이 포함된 고용계약서에 동의하고 서명하여야 한다.
		4.2	재직시 인적 보안	4.2.1	정보보호 수행관리	내부직원 및 외주용역 전 직원이 수립된 정책 및 기관의 절차에 따라 정보보호를 수행할 수 있도록 관리하여야 한다.
				4.2.2	정보보호 교육 및 훈련	내부직원 및 외주용역 전 직원을 대상으로 주기적인 정보보호 교육 및 훈련을 실시하여야 한다.
				4.2.3	징계 규정	보안을 위반한 직원에 대한 공식적인 징계 규정이 있어야 한다.
		4.3	퇴직 및 직무변경	4.3.1	퇴직 시 책임사항	퇴직 및 직무 변경에 관한 책임이 명시적으로 정의되고 수행되어야 한다.
				4.3.2	자산의 반납	모든 직원은 퇴직 및 계약 종결 시 소유한 기관의 자산을 반납하여야 한다.
				4.3.3	접근권한의 제거	퇴직, 계약 종결 또는 직무 변경 등의 사유가 발생할 경우 정보시스템에 대한 해당 직원의 접근권한이 제거되어야 한다.
		4.4	외부자 보안	4.4.1	외부자와 관련된 위험파악	외부자와 관련된 업무에서의 정보와 정보처리시설에 대한 위험을 파악하고, 접근 권한을 부여하기 전에 적절한 통제를 구현하여야 한다.
				4.4.2	민원인 접근에 대한 보안	기관의 정보 및 자산에 대한 민원인의 접근을 허용하기 전에 파악된 보안 요구사항에 대한 적절한 조치를 수행하여야 한다.
				4.4.3	외주용역 계약에 대한 보안	기관의 정보 또는 정보처리시설에 대하여 외주용역 직원의 접근을 허용할 경우 기관의 보안 요구사항을 계약서상에 명시하여야 한다.
5	물리적 보안	5.1	보호구역	5.1.1	물리적 보호구역	정보 및 정보처리시설이 설치된 장소를 보호하기 위해 물리적 보호구역(제한지역, 보호구역, 통제구역)을 지정하여야 한다.
				5.1.2	물리적 출입통제	보호구역은 인가된 사람만 출입이 가능하도록 출입통제 장치를 설치하고 운영하여야 한다.
				5.1.3	사무실 및 설비 공간 보호	사무실 및 설비 공간에 대한 물리적인 보호방안을 수립하고 적용하여야 한다.
				5.1.4	외부 및 환경 위협에 대한 보호	자연재해 및 인재로 인한 피해에 대비하기 위해 물리적인 보호방안을 수립하고 적용하여야 한다.
				5.1.5	보호구역 작업	보호구역에서의 작업을 위한 물리적인 보호방안을 수립하고 적용하여야 한다.
				5.1.6	공공장소 및 운송․하역구역	공공장소 및 운송․하역을 위한 구역은 내부 정보처리시설로부터 분리 및 통제하여야 한다.
		5.2	정보처리시설 및 장비 보호	5.2.1	정보처리시설의 배치	정보처리시설은 물리적인 위협과 비인가된 접근으로부터 보호될 수 있도록 배치하여야 한다.
				5.2.2	설비 지원	정보처리시설은 전원 장애 및 공조시설의 장애에 따른 중단으로부터 보호되어야 한다.
				5.2.3	케이블 보호	전원을 공급하는 전력선과 데이터를 전송하는 통신선은 손상이나 도청으로부터 보호하여야 한다.
				5.2.4	시설 및 장비 유지보수	정보처리시설은 가용성과 무결성을 지속적으로 보장할 수 있도록 유지보수 하여야 한다.
				5.2.5	외부 반출 장비의 보안	외부로 반출된 정보시스템 장비는 사용과정에서 발생할 수 있는 위험에 대한 적절한 대책을 수립 및 적용하여야 한다.
				5.2.6	장비의 폐기 및 재사용	저장매체를 가지고 있는 장비의 폐기 및 재사용 시 정보 및 소프트웨어가 안전하게 삭제되었는지 점검하여야 한다.
				5.2.7	장비의 반출․입	장비 및 저장매체를 반입 및 반출하기 위한 안전한 승인 절차를 마련하여야 한다.
6	통신 및 운영관리	6.1	운영절차 및 책임	6.1.1	운영절차의 문서화	정보시스템 운영절차를 문서화하고 관리하여야 한다.
				6.1.2	변경관리	정보시스템의 변경에 대한 통제 방안을 수립하고 시행하여야 한다.
				6.1.3	직무분리	정보시스템에 대한 고의적 또는 우발적 오용의 위험을 감소시키기 위해 직무가 분리되어야 한다.
				6.1.4	개발, 시험 및 운영환경의 분리	정보시스템의 개발, 시험 및 운영환경은 비인가된 접근 또는 변경의 위험을 최소화하기 위해 분리되어야 한다.
		6.2	위탁 서비스 관리	6.2.1	서비스 계약	서비스 범위 및 보안 대책을 포함한 위탁 서비스 계약을 체결하고 이에 따른 위탁 서비스 제공자의 이행을 확인하여야 한다.
				6.2.2	서비스 모니터링 및 검토	위탁 서비스에 대한 보고서 및 기록은 정기적으로 모니터링 및 검토하여야 한다.
				6.2.3	서비스 변경관리	위탁 서비스의 변경은 관련된 업무의 중요도와 정보시스템의 위험평가를 고려하여 관리되어야 한다.
		6.3	정보시스템 도입	6.3.1	정보시스템 도입 계획	정보시스템의 처리 속도와 용량에 대하여 주기적인 모니터링을 수행하고 안정성의 확보에 필요한 시스템 도입 계획을 수립하여야 한다.
				6.3.2	정보시스템 인수	새로 도입되는 정보시스템에 대한 인수 기준이 수립되어야 하며, 인수 전에 테스트가 수행되어야 한다.
		6.4	유해소프트웨어 통제	6.4.1	악성코드 통제	악성코드로부터 정보시스템의 보호를 위한 통제 방안을 수립하고 사용자 교육 및 훈련을 수행하여야 한다.
				6.4.2	모바일 코드 통제	모바일 코드(자바스크립트, 액티브엑스 등)의 안전한 실행을 위한 통제 방안을 수립하여야 한다.
		6.5	백업	6.5.1	정보 백업	중요 정보와 소프트웨어의 백업을 위한 규정을 수립하고 주기적으로 백업을 수행하여야 한다.
		6.6	네트워크 보안	6.6.1	네트워크 통제	네트워크로 전송되는 정보와 네트워크에 연결된 정보시스템에 대한 보안을 유지하기 위하여 통제 방안을 수립하고 운영하여야 한다.
				6.6.2	네트워크 서비스 보안	네트워크 서비스에 대한 보안 기능, 서비스 수준, 관리 요구사항을 고려하여 네트워크 서비스 계약을 체결하여야 한다.
		6.7	매체 관리	6.7.1	휴대용 저장매체의 관리	휴대용 저장매체에 대한 관리 방안이 수립되어야 한다.
				6.7.2	매체 폐기	매체의 불용처리 시 저장내용을 식별할 수 없도록 소각, 파쇄 등의 폐기 방안을 수립하여야 한다.
				6.7.3	정보 취급 절차	매체에 포함된 정보의 비인가된 유출, 변경, 손상으로부터 보호하기 위한 취급 방안을 수립하여야 한다.
				6.7.4	시스템 문서의 보안	시스템 문서를 비인가된 접근으로부터 보호하기 위한 관리 방안을 수립하여야 한다.
		6.8	정보의 교환	6.8.1	정보 교환의 통제	통신 설비를 사용한 정보의 교환 시 안전한 절차와 통제가 수립되어야 한다.
				6.8.2	정보 교환 계약	정보 및 소프트웨어를 타 기관과 교환할 경우 공식적인 계약을 체결하여야 한다.
				6.8.3	운송중인 매체의 보호	정보를 포함한 매체는 기관 외부로 운송시 인가되지 않은 접근, 변경, 손상으로부터 보호하여야 한다.
				6.8.4	전자적 교환 보안	전자 메일, 메신저 및 P2P 통신과 같은 전자적인 교환에 대한 보호 방안을 수립하여야 한다.
				6.8.5	정보시스템 접속 통제	정보시스템 간의 안전한 접속을 보장하고 관련 정보를 보호하기 위한 방안을 수립하여야 한다.
		6.9	전자상거래 서비스	6.9.1	전자상거래	전자상거래 관련 정보는 허위 행위, 계약 분쟁, 그리고 인가받지 않은 공개와 변경으로부터 보호되어야 한다.
				6.9.2	온라인거래	온라인 거래에 관련된 정보는 전송 실패, 라우팅 오류, 인가받지 않은 메시지 변조, 공개, 복제나 재생 등을 방지하도록 보호하여야 한다.
				6.9.3	공개정보	민원인이 사용할 수 있는 시스템에서의 이용 정보를 보호하기 위한 무결성 유지 방안을 수립하여야 한다.
		6.10	모니터링	6.10.1	감사 로그	사용자 활동, 예외 처리, 정보보호 사고에 대한 조사와 모니터링을 지원하기 위해 감사 로그를 기록하고 관리하여야 한다.
				6.10.2	정보시스템 사용 모니터링	정보처리시설의 사용에 대한 모니터링 방안을 수립하여야하고 모니터링 결과를 주기적으로 검토하여야 한다.
				6.10.3	로그 정보의 보호	로그 기록 장치와 로그 정보는 비인가된 접근 및 변경으로부터 보호하여야 한다.
				6.10.4	관리자 및 운영자 로그	정보시스템 관리자와 운영자의 활동을 기록 및 검토하여야 한다.
				6.10.5	장애 로그	장애 로그를 기록하고 분석하여 적절한 대응 방안을 수립하여야 한다.
				6.10.6	시간 동기화	기관 내부의 정보시스템은 정확한 시간으로 동기화하여야 한다.
7	접근통제	7.1	접근 통제에 대한 업무 요구 사항	7.1.1	접근통제 방안 수립	업무와 정보의 접근에 대한 보안 요구사항에 기초하여 접근통제 방안을 수립 및 문서화하고 주기적으로 검토하여야 한다.
		7.2	사용자 접근 관리	7.2.1	사용자 등록	정보시스템과 서비스에 접근을 허용하거나 취소하기 위한 공식적인 사용자 등록 및 해지 절차가 있어야 한다.
				7.2.2	특수권한 관리	특수권한의 할당이나 사용을 제한하고 통제하여야 한다.
				7.2.3	패스워드 관리	패스워드는 승인된 절차에 의해 통제 및 관리되어야 한다.
				7.2.4	접근권한의 검토	사용자의 접근권한을 주기적으로 검토하여야 한다.
		7.3	사용자 책임	7.3.1	패스워드 사용	안전한 패스워드 사용 및 관리 지침을 수립하여야 한다.
				7.3.2	이석시의 장비 보안	사용자가 자리를 비울 때 비인가된 접근으로부터 장비를 보호하기 위한 방안을 수립하여야 한다.
				7.3.3	클린데스크	중요 문서, 출력물, 저장매체를 책상 및 우편보관함 등에서 사용자가 보호하는 방안을 수립하여야 한다.
		7.4	네트워크 접근통제	7.4.1	네트워크 서비스의 사용정책	사용자가 인가를 받은 서비스에만 접속할 수 있도록 통제하는 방안을 수립하여야 한다.
				7.4.2	원격접속 사용자 인증	원격 사용자의 접속을 통제하기 위해 적절한 인증방법을 사용하여야 한다.
				7.4.3	네트워크에서의 장비 인식	특정 위치 및 장비로부터의 접속을 인증하기 위한 자동 장비 인식 방식을 사용하여야 한다.
				7.4.4	원격 진단 및 포트 설정 보호	포트를 구성하고 진단하기 위한 물리적․논리적 접속을 통제하여야 한다.
				7.4.5	네트워크 분리	서비스 그룹 및 사용자, 정보 시스템 별로 네트워크를 분리하여 운영하야 한다.
				7.4.6	네트워크 연결 제어	외부의 네트워크 접속은 접근통제 정책과 업무 요구사항에 따라 제한하여야 한다.
				7.4.7	네트워크 경로 제어	업무 응용의 접근통제 정책에 따른 컴퓨터 접속과 정보 흐름 통제를 위한 경로 제어를 수행하여야 한다.
		7.5	운영시스템 접근통제	7.5.1	로그온 절차	사용자의 접속을 통제하기 위한 적절한 로그온 절차를 사용하여야 한다.
				7.5.2	사용자 식별 및 인증	사용자에 대한 유일한 ID를 부여하고 적절한 인증 방법을 사용하여야 한다.
				7.5.3	패스워드 관리 체계	패스워드를 관리하는 체계는 대화형이어야 하고, 안전한 패스워드를 유지할 수 있어야 한다.
				7.5.4	시스템 유틸리티의 사용	업무통제나 시스템을 무력화 할 수 있는 유틸리티의 사용은 한정되고 최고로 통제된 상황에서만 허용되어야 한다.
				7.5.5	세션 시간 종료	활성화 되지 않는 세션은 일정시간 경과 후 중지하여야 한다.
				7.5.6	연결 시간 제한	중요 정보나 응용시스템을 보호하기 위해 접속 시간을 제한하여야 한다.
		7.6	정보 접근제어	7.6.1	정보 접근통제	정보나 서비스의 접근에 대한 통제 방안을 수립하여야 한다.
				7.6.2	민감 시스템 격리	내․외부로부터의 접근통제 강화가 요구되는 민감 장비나 시스템은 격리되어야 한다.
		7.7	이동 컴퓨팅 및 원격지 근무	7.7.1	이동 컴퓨팅 및 통신	이동 컴퓨팅 도구와 통신설비를 사용하는 위험을 감소시키기 위해 적절한 보호방안이 적용되어야 하고 공식적인 정책이 수립되어야 한다.
				7.7.2	원격지 근무	원격지 근무 활동에 관한 정책, 운영계획과 절차가 개발되고 적용되어야 한다.
8	정보시스템 요구사항, 개발 및 유지보수	8.1	정보시스템의 보안 요구사항	8.1.1	정보시스템 보안 요구사항 분석과 설계	새로운 정보시스템 설치나 기존의 정보시스템 기능향상에 관한 업무 요구서에는 보호방안의 요구사항에 관해 명시하여야 한다.
		8.2	응용프로그램의 정확한 처리	8.2.1	입력 데이터의 검증	응용프로그램에 입력되는 데이터는 사전에 적절하고 정확한지 검증되어야한다.
				8.2.2	내부 프로세스 통제	처리오류 및 고의적인 장애를 통한 정보의 변조를 탐지하도록 점검 기능을 응용프로그램에 구현하여야 한다.
				8.2.3	메시지 무결성	중요 데이터를 포함하는 메시지를 전송하는 경우 메시지가 변조되거나 훼손되지 않았음을 보장하기 위해 메시지에 대한 무결성 보장 통제를 적용하여야 한다.
				8.2.4	출력 데이터의 검증	저장된 정보의 처리가 상황에 맞게 적절히 수행되었는지 확인하기 위해 응용프로그램에서 출력된 데이터를 검증하여야 한다.
		8.3	암호화 통제	8.3.1	암호화 통제	정보보호를 위한 암호화 정책을 수립하고 적용하여야 한다.
				8.3.2	키 관리	암호화 기법 사용을 지원하는 키 관리 방법을 마련하여야 한다.
		8.4	시스템파일의 보안	8.4.1	운영소프트웨어 통제	운영 시스템에서 소프트웨어를 설치할 시 이에 대한 통제 절차를 수립 및 수행하여야 한다.
				8.4.2	시스템 테스트 데이터의 보호	테스트 데이터에 대한 접근을 통제하는 절차가 있어야 한다.
				8.4.3	프로그램 소스코드에 대한 접근통제	인가되지 않은 방식으로 소스코드가 변경되지 않도록 소스 코드에 대한 접근 통제를 수행하여야 한다.
		8.5	개발 및 지원과정에서의 보안	8.5.1	변경 통제 절차	정형화된 변경 통제 절차를 수립하고 이에 따라 변경의 수행을 통제하여야 한다.
				8.5.2	운영체제 변경에 따른 기술적 검토	운영체제(OS)가 변경되면 중요한 업무용 응용 프로그램을 검토 및 시험하여 기관의 운영이나 보안에 대한 영향을 확인하여야 한다.
				8.5.3	소프트웨어 패키지 변경 제한	소프트웨어 패키지 수정은 엄격하게 통제하여야 하며 꼭 필요한 변경일 경우로 제한하여야 한다.
				8.5.4	정보 유출 방지	정보 유출을 방지하는 통제를 수행하여야 한다.
				8.5.5	외부용역 소프트웨어 개발	외부용역을 통한 소프트웨어 개발을 감독하여야하고 모니터링 하여야 한다.
		8.6	기술적 취약성 관리	8.6.1	기술적 취약성 통제	정보시스템의 기술적인 취약점에 대해 시기적절한 정보를 유지하고 관련된 위험에 대응하기 위해 적절한 방법을 이행하여야 한다.
9	보안사고 관리	9.1	보안사고 및 취약점 보고	9.1.1	보안사고 보고	보안사고는 가능한 빨리 적절한 관리 채널을 통해 보고되어야 한다.
				9.1.2	취약점 보고	정보시스템과 서비스에 대한 사용자는 시스템 또는 서비스의 취약점을 기록하고 보고하여야 한다
		9.2	보안사고 대응 및 사후관리	9.2.1	대응 및 복구	보안사고에 빠르고 효과적이며 규정화된 대응을 보장하도록 관리 책임과 절차가 수립되어야 한다.
				9.2.2	보안사고 사후관리	보안사고의 유형, 규모, 비용 등을 정량화하고 모니터링 할 수 있는 적절한 방안을 수립하여야 한다.
				9.2.3	근거의 수집	보안사고로 인한 법적 조치가 필요한 경우, 객관적으로 증명할 수 있는 증거를 수집, 보유하여 제시할 수 있어야 한다.
10	업무 연속성 관리	10.1	업무연속성 관리	10.1.1	업무연속성 관리를 위한 정보보호	조직의 업무연속성에 필요한 정보보호 요구사항을 만족하기 위하여 조직 전반적인 업무연속성에 대한 관리 절차가 수립 및 유지되어야 한다.
				10.1.2	업무연속성에 대한 영향평가	업무 중단을 초래할 수 있는 사건은 중단의 가능성 및 영향과 정보보호에 대한 중요성에 따라 평가되어야 한다.
				10.1.3	정보보호를 포함한 연속성 계획 수립 및 구현	중요한 업무의 중단 또는 장애 후에 요구된 시간 내로 요구된 수준만큼 운영을 유지 및 복구할 수 있도록 업무연속성계획을 수립하고 구현하여야 한다.
				10.1.4	업무연속성 계획 체계	모든 계획의 일관성 유지, 정보보호 요구사항의 일관된 처리, 시험 및 유지보수의 우선순위 판단을 위해 업무연속성 계획의 단일 체계를 관리하여야 한다.
				10.1.5	업무연속성 계획의 시험, 유지 및 재평가	업무연속성 계획은 최신성과 효율성을 보장하기 위하여 주기적으로 시험 및 갱신되어야 한다.
11	준거성	11.1	법적 요구사항 준수	11.1.1	관련 법률 파악	관련 법적 요구사항을 만족하기 위해 법률 및 조직의 정책 등을 최신으로 유지하여야 한다.
				11.1.2	지적재산권	지적 재산권에 대한 법적 준수를 위해 지적재산권 확인 및 계약 등에 대한 절차를 수립하여야 한다.
				11.1.3	기관의 기록 보호	법, 정책, 계약 및 업무 요건에 따라 중요 기록을 손상, 파괴, 위조로부터 보호하기 위한 방안을 수립하여야 한다.
				11.1.4	정보처리시설의 오남용 방지	사용자는 인가되지 않은 목적으로 정보처리시설을 사용해서는 안 된다.
		11.2	정보보호 정책 준수	11.2.1	정책의 준수	정보보호 규정이 제대로 준수되는지에 대한 점검을 주기적으로 수행하여야 한다.
				11.2.2	기술표준의 준수	정보시스템에 대한 구현이 기술적 보안 표준을 준수하는지 정기적인 점검을 실시하여야 한다.
		11.3	정보시스템 감사 고려사항	11.3.1	감사 활동	감사 활동은 업무의 중단을 최소화하도록 계획 및 수행되어야 한다.
				11.3.2	감사 도구의 보호	정보시스템 감사도구에 대한 오용 및 손상을 방지하기 위한 통제를 수행하여야 한다.
12	개인정보보호	12.1	개인정보 관리	12.1.1	개인정보 보호계획	기관 내 개인정보보호 계획(정책)이 수립되어 있어야 한다.
				12.1.2	개인정보 보호조직	개인정보보호를 위한 조직이 구성되어 있어야 한다.
				12.1.3	개인정보 관리책임관	개인정보보호 계획의 수립 및 관련 업무의 총괄 등을 위해 개인정보관리책임관을 지정하여야 한다.
				12.1.4	개인정보 보호방침	기관 내 개인정보보호방침을 수립하고, 그 내용을 관보 또는 인터넷 홈페이지 등에 게재하여야 한다.
				12.1.5	개인정보 취급자 교육	개인정보취급자에 대하여 정기적으로 개인정보보호에 관한 교육을 실시하여야 한다.
		12.2	CCTV 설치 및 관리	12.2.1	CCTV 설치 시 사전의견 수렴	CCTV를 설치하는 경우 관련 전문가 및 이해관계인의 의견을 수렴하여야 한다.
				12.2.2	개인영상 정보의 보호	설치된 CCTV는 설치목적을 넘어 카메라를 임의로 조작하거나 다른 곳을 비춰서는 아니 되며, 녹음기능은 사용해서는 아니 된다.
				12.2.3	안내판의 설치	CCTV를 설치한 장소에 정보주체가 이를 쉽게 인식할 수 있도록 안내판을 설치하는 등의 필요한 조치를 취하여야 한다.
				12.2.4	설치․관리 사무의 위탁	CCTV의 설치 및 관리에 관한 사무를 위탁한 경우 개인정보보호에 필요한 사항을 위탁계약서 등 관련 서류에 기록하고, 안내판에 수탁기관의 명칭 등을 게재하여야 한다.
		12.3	개인정보의 수집 및 처리	12.3.1	개인정보의 수집	민감한 개인정보를 수집하여서는 아니 되며, 개인정보를 수집하는 경우 정보주체가 그 내용을 문서 또는 인터넷 홈페이지 등을 통하여 쉽게 확인할 수 있도록 안내하여야 한다.
				12.3.2	개인정보파일의 보유	소관업무를 수행하기 위하여 필요한 범위 안에서만 개인정보파일을 보유하여야 한다.
				12.3.3	개인정보 파일대장의 작성	개인정보파일을 신규 보유하게 되거나 다른 기관으로부터 제공받아 보유할 경우 개인정보 파일대장을 작성해야 한다.
				12.3.4	개인정보파일의 보유 및 변경시 사전협의	개인정보파일을 보유 및 변경하고자 할 때, 행정안전부 장관과 협의하여야 한다.
				12.3.5	개인정보파일대장	기관이 보유하고 있는 개인정보파일별 대장을 일반인이 열람할 수 있도록 하여야 한다.
				12.3.6	개인정보의 위탁처리	개인정보의 처리를 위탁하는 경우 관보 또는 인터넷 홈페이지 등을 통하여 미리 그 사실을 공개하여야 하며, 위탁계약서 상에 개인정보보호에 관한 내용을 포함하고 수탁기관에 대한 관리 실태를 점검하여야 한다.
				12.3.7	처리정보의 이용 및 제공의 제한	처리정보를 이용하거나 제공하는 경우 보유목적 범위내로 제한하고, 처리정보 이용․제공 대장에 기록․관리하여야 한다.
				12.3.8	입출력자료의 관리	개인정보의 입출력 자료가 유출되지 않도록 필요한 조치를 취하고, 입출력자료관리대장에 기록 ․ 관리하여야 한다.
				12.3.9	개인정보파일의 파기	개인정보파일의 보유가 불필요하게 된 경우 개인정보파일을 지체 없이 파기하고, 파기한 사실을 관보 또는 인터넷 홈페이지 등에 공고하여야 한다.
		12.4	개인정보처리의 열람 및 정정	12.4.1	개인정보 처리의 열람	정보주체가 개인정보파일대장에 기재된 범위 안에서 문서로 본인에 관한 처리정보의 열람을 할 수 있도록 조치하여야 한다.
				12.4.2	개인정보 처리의 열람 제한	처리정보의 전부 또는 일부에 대하여 열람을 허용하지 않는 경우에는 그 사유의 법령상 근거 및 당해 결정에 대한 사항을 기재한 열람제한결정서를 청구인에게 송부하여야 한다.
				12.4.3	개인정보 처리의 정정 및 삭제	본인의 처리정보를 열람한 정보주체가 당해 처리정보의 정정 또는 삭제를 할 수 있도록 조치하여야 한다.
		12.5	개인정보의 기술적 보호조치	12.5.1	웹사이트 개인정보 노출 방지	웹사이트의 개인정보 노출 방지를 위해 취약점 점검, 모니터링 등의 안전성 확보에 필요한 조치를 강구하여야 한다.
				12.5.2	개인정보 저장 시 암호화	주민등록번호 등 주요개인정보에 대해서는 안전한 알고리즘으로 암호화하여 저장하여야 한다.
				12.5.3	개인정보 전송 시 암호화	개인정보를 송․수신할 때에는 안전한 보안서버 구축 등의 조치를 통해 암호화하여 전송하여야 한다.
				12.5.4	주민번호 대체수단	인터넷상의 본인확인 과정에서 주민등록번호 대체수단을 도입하여야 한다.

[별표 4]

전자정부 정보보호관리체계 인증심사원의 자격요건(제16조제1항 관련)

구분	학력	경력
기본요건	4년제 대학 졸업 이상 또는 동등 학력	정보기술 실무경력 6년 이상 (정보보호 실무경력 2년 이상 포함)
정보기술 관련 학력	박사학위 취득자	2년 이상
	석사학위 취득자	4년 이상
	학사학위 취득자	6년 이상
정보기술 관련 국가기술 자격	기술사 자격 보유자	2년 이상
	기사 자격 보유자	4년 이상
	산업기사 자격 보유자	6년 이상

1. 기본요건의 4년제 대학 졸업 이상 요건에 대해 고등학교 졸업자는 4년 이상, 2년제 대학 졸업자는 2년 이상 기업체 및 연구소 등에서 실무경력이 있는 경우를 동등 학력으로 본다.

2. 정보기술 실무경력이란 IT 아키텍쳐, 운영시스템, 네트워크, 컴퓨터 및 네트워크 하드웨어, 응용 소프트웨어, 인터넷, 텔레커뮤니케이션 등에 대한 프로그래밍, 운영, 기획, 관리업무 등을 직접적으로 수행한 경력을 말한다.

3. 정보보호 실무경력이란 조직에서 보안관리자 또는 보안전문가로서 업무를 수행한 경력 및 조직에 대한 보안컨설턴트로서 업무를 수행한 경력을 말한다.

4. 다음의 정보보호 관련 자격증을 보유한 자는 정보보호 실무경력요건을 1년으로 단축하여 적용할 수 있다.

가. 정보보호전문가(SIS) 1급

나. 정보시스템 보안전문가(CISSP)

다. 국제공인정보시스템감사사(CISA)

5. 정보기술 관련분야의 학위는 다음과 같다.

(계산)통계학, 산업공학, 산업정보학, 소프트웨어공학, 응용통계학, 전산공학, 전산과학, 전산통계학, 전자계산공학, 전자공학, 컴퓨터공학, 전자계산학, 전자정보학, 전자통신학, 정보공학, 정보과학, 정보관리학, 정보산업학, 정보처리학, 정보통신(공)학, 컴퓨터교육학 등 기타 관련 유사학과

6. 정보기술 관련분야의 “국가기술자격법”에 의한 자격은 다음과 같다.

가. 정보기술 관련분야 기술사 : 정보통신, 정보관리, 전자계산조직응용

나. 정보기술 관련분야 기사 및 산업기사 : 정보처리, 통신선로, 사무자동화, 무선설비, 방송통신, 전자계산기조직응용

[별표 5]

전자정부 정보보호관리체계 인증심사원의 구성요건 및 보수규정(제16조제2항 관련)

심사원 구성	요건
	경력	위촉
심사원보	[별표 4] G-ISMS 인증심사원의 자격요건 해당자	교육 수료 및 평가 후 합격자를 대상으로 인증위원회에서 심의하여 위촉
심사원	심사원보로서 4회, 20일 이상 최초심사 참여	1. 심사기간 중 심사활동 평가 2. 인증위원회에서 심의하여 위촉
선임심사원	심사팀장으로 3회 이상 심사참여

1. 다음의 경우 G-ISMS 인증심사 경력과 동등한 경력으로 본다.

가. 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제47조에 의거한 정보보호관리체계 인증심사 경력

나. ISO/IEC 27001 인증심사 경력

2. G-ISMS 인증위원회에서 G-ISMS 심사원 교육을 수료하고 평가에 합격한 자에 한하여 인증심사원 자격요건을 만족하는지 심의하여 인증심사원으로 위촉한다.

가. 정보통신망 이용촉진 및 정보보호 등에  관한 법률 제47조에 의한 정보보호관리체계 인증심사원과 ISO/IEC 27001 인증심사원도 G-ISMS 심사원 교육을 수료하고 평가시험에 합격하여야 G-ISMS 인증심사원으로 위촉할 수 있다.

3. G-ISMS 인증심사원 위촉기간은 3년이며 위촉기간 중 매년 아래 사항에 대한 조건 중 하나를 만족하여야 심사원 자격을 계속 유지할 수 있다.

가. 최소 연1회 이상 심사 참여

나. 심사원 보수교육 16시간 이상 수료

4. G-ISMS 인증심사원 자격 갱신에 대한 심의는 G-ISMS 인증위원회 위원 중 3인으로 심의위원회를 구성하여 다음과 같이 수행한다.

가. 인증심사원의 심사활동에 대한 심사팀장 평가서 심의

나. 심사수행 횟수 및 심사 항목에 대한 심사 성과

5. 인증심사원에 대한 보수는 한국소프트웨어산업협회에서 정하는 소프트웨어 기술자 노임단가 공표를 기준으로 산정한다.

가. 심사팀장과 선임심사원은 기술사, 심사원은 특급기술자, 심사원보는 고급기술자와 같은 등급으로 한다.

나. 보수 산정기준은 (소프트웨어 노임단가 + 제경비 + 기술료)의 합산으로 한다.

[별표 6]

전자정부 정보보호관리체계 인증표시(제24조 관련)

G-ISMS-인증기관-00-000

1. 인증번호 부여

가. 인증번호는 유일성, 간결성, 관리의 용이성 등을 고려하여 최초심사, 갱신심사, 재심사의 구분 없이 발급순서별로 부여한다.

나. 인증번호는 아래와 같은 형식으로 부여한다.

G-ISMS		-	OOOO		-	00		-	000
											발행 연도에서의 부여순서
											발행 연도
											인증기관 약자
											G-ISMS

2. 취득기관의 인증홍보에 대한 일반사항

가. 인증표시의 사용, 기타 수단에 의한 인증취득 사실의 홍보는 인증 받은 해당범위에 한하여 가능하며 인증서를 발급받은 날부터 인증효력이 유지되는 동안에만 사용이 가능하다. 인증이 정지되거나 취소된 경우에는 인증에 대한 홍보, 인증서 사용 및 인증표시 등의 사용을 중지하여야 한다.

나. 취득기관은 객관적으로 인정된 근거 없이 인증의 사실을 과장되거나 불명확한 표현을 사용하여 광고할 수 없다.

다. 인증에 대한 홍보, 인증표시의 사용은 기관이 취득한 인증등록의 종류에 한하여 사용하여야 한다. 즉, 취득기관에게 권한이 부여된 해당 부분에 한하여만 인증을 홍보하고 인증표시를 사용할 수 있다.

라. 기관의 홍보 등 필요한 경우에 일반문서, 편지의 상단, 송장, 명함, 홍보 책자 등에 인증표시를 사용하거나 인증기관명을 사용하여 ‘OOOO으로부터 G-ISMS 인증을 취득한 기관’ 라는 방식으로 인증 내용을 홍보할 수 있다.

3. 인증표시 사용방법

가. 인증마크와 행정안전부 및 인증기관 마크의 크기와 위치는 표시물 대상의 크기나 표시장소의 여건에 따라 조정할 수 있으며, 같은 비율로 축소 또는 확대하여 표시하도록 한다.

나. 인증표시는 지정된 색상으로 사용할 수 있다. 또한 색상이 명확하게 나타날 수 있는 바탕색 위에 검정 또는 금색으로 사용 하거나 표시된 인쇄물의 주된 단일색상으로 사용할 수 있다.

다. 인증기관이 발행하는 인증서, 위촉장, 심사원 교육 수료증 등에 행정안전부 마크를 함께 사용할 수 있다.

[별지 제1호서식]

(앞쪽)
전자정부 정보보호관리체계(G-ISMS) 인증기관 지정신청서
①법인 또는 단체명			②설립일자
③소재지			④전화번호
⑤직원 수		명	⑥인증심사원 수		명
「전자정부 정보보호관리체계 인증 등에 관한 지침」 제4조에 따라 위와 같이 전자정부 정보보호관리체계 인증기관 지정을 신청합니다. 년 월 일 대표자 (서명 또는 인) 행정안전부 귀중
구비서류	신청인(대표자) 제출서류			담당공무원 확인사항 (동의하지 않는 경우 해당서류 제출)		수수료
	1. 정관 2. 별지 제2호서식의 인증심사원 보유현황과 이를 증명할 수 있는 서류 3. 별표 제1호에 따른 업무수행능력심사 규정에 따른 제출서류			법인등기부 등본 (법인인 경우)		없음
본인은 이 신청서의 처리와 관련하여 「전자정부법」 제36조제2항에 따른 행정정보의 효율적 관리 및 이용을 통하여 담당공무원이 위의 담당공무원 확인사항을 확인하는 것에 동의합니다. 대표자 (서명 또는 인)
210㎜×297㎜(일반용지 60g/㎡)

이 신청서는 아래와 같이 처리됩니다.						(뒤쪽)
지정신청 법인 또는 단체					처리기관(행정안전부)
	신청서 작성						▶	접수
					▼
								심사
								서류심사 업무수행능력 심사 현장실사
					▼
								지정여부 결정
					▼
		지정서 교부	◀					지정서 작성

[별지 제2호서식]

(제1쪽)
G-ISMS 인증심사원의 보유현황
법인 또는 단체명
대표자
소재지
직원 수		명	인증심사원 수			명
위촉 번호	성명	주소			학력(전공)		기타
		주민등록번호		입사일	정보기술경력 (정보보호경력)

(제2쪽)
위촉 번호	성명	주소		학력(전공)	기타
		주민등록번호	입사일	정보기술경력 (정보보호경력)
비고 1. 기재된 학력을 증명할 수 있는 졸업 또는 학위증명서를 제출하여야 한다. 2. 정보기술 실무경력 및 정보보호 실무경력을 증명할 수 있는 경력증명서(근무부서 또는 담당업무 등이 기재되어야 한다)와 해당 직원이 신청한 법인 또는 단체에 근무하고 있음을 확인할 수 있는 재직증명서를 함께 제출하여야 한다. 3. ｢기타｣란에는 별표 4의 정보보호 관련 자격증 및 “국가기술자격법”에 의한 정보기술 관련분야 자격을 기재하고 기술자격증 사본 등 자격을 취득하였음을 확인할 수 있는 서류를 함께 제출하여야 한다.

[별지 제3호서식]

정보보호 사업수행실적 명세서
법인 및 단체명
대표자
소재지
정보보호 사업수행실적 총계		외 건 (총 천원)
일련 번호	정보보호 사업수행실적 (프로젝트명)	수행기간	계약 금액 (천원)	과제책임자	구분
	대상기관(기업)명
비 고 1. 계약금액란에는 정보보호에 관한 업무를 수행한 대가로서 지급받은 대금을 기재하고, 구분란에는 정보보호에 관한 감사, 감리, 진단, 인증, 컨설팅, 구축, 개발 등으로 실적을 구분하여 기재한다.

[별지 제4호서식]

(제1쪽)

제      호

전자정부 정보보호관리체계 인증기관 지정서

법인 및 단체명 :

대표자 :

소재지 :

지정의 유효기간 :

「전자정부 정보보호관리체계 인증 등에 관한 지침」 제4조에 따라 위와 같이 전자정부 정보보호관리체계 인증기관으로 지정합니다.

년       월       일

행정안전부 장관 [인]

210㎜×297㎜

(보존용지(1종) 120g/㎡)

(제2쪽)

Registry No.

CERTIFICATE OF DESIGNATION

AS

G-ISMS Certification Authority

Name of Organization :

Name of Representative :

Address :

Period of Validity :

This is to certify that the above-mentioned organization is designated Government Information Security Management System (G-ISMS) certification Authority in accordance with Number 4 of the Article on the Government - Information Security Management System Certification and etc.

Signed by the

Minister of Public Administration and Security

Republic of Korea

210㎜×297㎜

(보존용지(1종) 120g/㎡)

[별지 제5호서식]

				(제1쪽)
전자정부 정보보호관리체계(G-ISMS) 인증신청서
신청 기관	기관명				성명(기관장)
	전화번호				담당자
	주소(소재지)
인증신청의 구분		□처음으로 인증신청을 하는 때 □유효기간의 만료로 다시 인증신청을 하는 때 □인증의 범위에 중요한 변경이 있어서 다시 인증신청을 하는 때 □G-ISMS와 ISO/IEC 27001 인증신청을 동시에 신청할 때
정보보호관리체계의 범위
정보보호관리체계의 범위에 포함되어 있는 인원수
전자정부 정보보호관리체계(G-ISMS) 인증 등에 관한 지침에 따라 위와 같이 인증을 신청합니다. 년 월 일 신청기관장 (서명 또는 인) (인증기관명) 귀하
구비서류 1. 전자정부 정보보호관리체계(G-ISMS)의 내역서
210mm×297mm(신문용지 54g/㎡)

이 신청서는 아래와 같이 처리됩니다.										(제2쪽)
신청기관				처리기관(인증기관)						인증위원회(행정안전부)
	신청서 작성				▶	접수
				▼
						협의
				▼
						인증심사
										▼
											인증심의
	인증서 교부	◀				인증서 작성		◀
210mm×297mm(신문용지 54g/㎡)

				(제3쪽)
전자정부 정보보호관리체계(G-ISMS)의 내역서
조직 소개	설립일
	주요사업 및 업무 내용
수립 목적	정보보호관리체계 수립 목적
수립 범위	수립 범위내의 내용
	수립범위 내ㆍ외의 연동업무
	서버 수				인증신청범위 내 인원수	명
운영 기간	년 월 일 ～ 년 월 일
제출 문서	- 전자정부 정보보호관리체계(G-ISMS) 인증범위서(자유 양식으로 아래 항목 포함) ※ 조직소개, 조직도, 시스템 및 네트워크 구성도, 문서목록, 주요자산목록 등 포함
기타	정보보호관리체계 수립 및 운영상의 조직적, 환경적, 기술적 특성
※ 서버 수, 인증신청범위 내 인원수, 제출 자료는 신청기관이 수립한 정보보호관리체계 범위내의 사항만 포함 ※ 부족 시 별지사용

[별지 제6호서식]

	(앞쪽)
	인증기관 마크
전자정부 정보보호관리체계 인 증 서
인증번호 : G-ISMS-OOOO-00-000 기 관 명 : 기 관 장 : 소 재 지 : 인증의 범위 : 유효기간 : 0000. 0. 0 ~ 0000. 0. 0 행정안전부 훈령 제164호 전자정부 정보보호관리체계(G-ISMS) 인증 등에 관한 지침에 의거하여 위와 같이 인증합니다.
0000년 0월 00일 인증기관장
210㎜×297㎜ (보존용지(1종) 120g/㎡)

	(뒤쪽)
	인증기관 마크
Certificate Of Government - Information Security Management System(G-ISMS)
Certificate Number : G-ISMS-OOOO-00-000 Name of Organization : Name of Representative : Address : Scope of Certification : Period of Validity : 0000. 0. 0 ~ 0000. 0. 0 This is to certify that the abovementioned organization is compliant to the assessment standard for Number 19 of the Article on the Government - Information Security Management System Certification and etc.
0000. 0. 00. Signed by the President of G-ISMS Certification Authority Republic of Korea
210㎜×297㎜ (보존용지(1종) 120g/㎡)

[별지 제7호서식]

제OO차 전자정부 정보보호관리체계 인증위원회 심의 의견서

본인은 전자정부 정보보호관리체계(G-ISMS) 인증위원회 위원으로서 인증심사 결과에 대하여 본인의 의사를 다음과 같이 표시합니다.

신청기관	의 결		의견
	찬성	반대

년     월     일

전자정부 정보보호관리체계 인증위원회 위원                (서명)

[별지 제8호서식]

전자정부 정보보호관리체계 인증위원회 심의결과서
신청기관
주소
인증심사범위
인증심사종류
인증심사기간	년 월 일 ～ 년 월 일
인증위원회 위원	성명	의견 및 서명	성명	의견 및 서명
최종심의 의견	인증 □ 찬성 □ 반대
위와 같이 심의결과를 제출합니다. 년 월 일 전자정부 정보보호관리체계 인증위원회 위원장 (서명) 인증기관장 귀하

[별지 제9호 서식]

전자정부 정보보호관리체계 인증위원회 심의결과 이의신청서
인증기관	기관명			성명(기관장)
	전화번호			담당자
	주소(소재지)
이의신청 사유
위와 같이 전자정부 정보보호관리체계(G-ISMS) 인증위원회 심의결과에 대한 이의를 신청합니다. 년 월 일 인증기관장 (서명 또는 인)

[별지 제10호서식]

전자정부 정보보호관리체계(G-ISMS) 변경 내역서
신청 기관	기관명			성명(기관장)
	담당자			전화번호
	인증번호			인증범위
	주소(소재지)
변경내역
위와 같이 전자정부 정보보호관리체계(G-ISMS)의 변경내역을 제출합니다. 년 월 일 신청기관장 (서명 또는 인)

[별지 제11호서식]

전자정부 정보보호관리체계(G-ISMS) 인증서 추가발급 신청서
신청 기관	기관명			성명(기관장)
	담당자			전화번호
	주소(소재지)
추가발급 사유
위와 같이 전자정부 정보보호관리체계(G-ISMS) 인증서의 추가발급을 신청합니다. 년 월 일 신청기관장 (서명 또는 인)

[별지 제12호서식]

전자정부 정보보호관리체계(G-ISMS) 인증서 변경 신청서
신청 기관	기관명			성명(기관장)
	담당자			전화번호
	주소(소재지)
변경 내용	변경전		(국문)
			(영문)
	변경후		(국문)
			(영문)
변경 사유
위와 같이 전자정부 정보보호관리체계(G-ISMS) 인증서 변경을 신청합니다. 년 월 일 신청기관장 (서명 또는 인)