전자정부 정보보호관리체계 인증지침

제정  2009. 12. 11. 행정안전부 훈령 제164호

제1장 총칙

제1조(목적) 이 지침은 ｢전자정부법」제27조 및 제39조의2, ｢정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하“법”이라 한다) 제47조, ｢전자정부법 시행령」제49조 및 ｢행정안전부와 그 소속기관 직제」제20조제3항제83호에 따른 전자정부 정보보호관리체계(이하 G-ISMS) 인증서 발급에 관한 인증기준, 인증절차 등에 관하여 필요한 사항에 대하여 정하는 것을 목적으로 한다.

제2조(용어의 정의) 용어의 정의는 다음 각 호와 같다.

1. “G-ISMS 인증기관(이하 인증기관)”은 행정안전부 장관이 지정하는 기관 또는 한국인터넷진흥원(KISA)을 말한다.

2. “인증”이란 신청기관이 수립하여 운영하고 있는 정보보호관리체계가 인증심사기준 등에 적합함을 G-ISMS 인증기관이 승인하는 것을 말한다.

3. “인증심사”란 신청기관이 수립하여 운영하는 정보보호관리체계가 인증심사기준 등에 적합한지 여부를 서면심사 및 기술심사의 방법으로 확인하는 것을 말한다.

4. “재심사”란 인증을 취득한 기관이 인증의 유효기간 내에 인증 받은 관리체계의 범위 내에서 중대한 변화가 발생되었을 경우 신청인의 신청에 의하여 인증기관이 실시하는 인증심사를 말한다.

5. “신청기관”이란 G-ISMS 인증을 취득하고자 신청한 중앙 행정기관과 지방자치단체 또는 그 소속기관을 말한다.

제2장 추진체계

제3조(행정안전부의 역할) ①행정안전부는 G-ISMS 인증을 위해 다음 각 호의 업무를 수행한다.

1. G-ISMS 인증제도의 수립

2. 인증기관의 지정 및 감독

3. 인증관련 예산의 확보 및 출연

4. 그 밖에 인증에 필요한 정책의 수립 등

제4조(인증기관의 역할) ①인증기관은 G-ISMS 인증을 위해 다음 각 호의 업무를 수행한다.

1. G-ISMS 인증심사

2. G-ISMS 인증서 발급 및 관리

3. G-ISMS 인증위원회 운영 및 관리

4. G-ISMS 인증상담 및 기술자문

5. G-ISMS 인증기준 및 가이드 개발

6. G-ISMS 인증심사원 양성

7. 그 밖에 인증업무에 필요한 연구사업 등

제3장 G-ISMS의 인증절차 등

제1절 G-ISMS 인증신청

제5조(인증신청 요건) 신청기관은 다음 각 호의 모든 인증심사기준에 따라 정보보호관리체계를 수립하여 인증신청 이전에 최소 1개월 이상 운영하여야 한다.

1. 별표 2에 따른 ISMS 관리과정 및 문서화 통제사항

2. 별표 3에 따른 정보보호대책 통제사항에서 선택한 사항(신청기관은 자신의 정보보호관리체계의 규모 및 사업특성 등을 고려하여 별표 3에서 적절한 항목을 선택할 수 있다)

제6조(인증의 신청) ①인증 신청기관은 다음 각 호의 사항에 대한 설명이 포함된 정보보호관리체계의 내역서를 첨부한 별지 제1호 서식의 G-ISMS 인증신청서를 인증기관에 제출하여야 한다.

1. 정보보호관리체계의 범위

2. 정보보호관리체계의 범위에 포함되어 있는 주요정보통신설비의 목록과 시스템 구성도

3. 정보보호관리체계를 수립․운영하는 방법과 절차

4. 정보보호관리체계와 관련이 있는 주요문서의 목록

②제1항에 따라 신청을 받은 인증기관은 신청기관이 운영하는 G-ISMS 특성상 신청기관이 인증신청한 정보보호관리체계 만을 분리하여 심사할 수 없는 경우에는 신청기관과 협의하여 인증대상의 범위를 변경할 수 있다.

③인증심사의 종류는 인증심사, 갱신심사, 재심사로 구분한다.

④인증을 신청하는 자 중 ISO 27001 인증을 추가적으로 받고자 할 경우 별도의 ISO 27001 인증신청서를 인증기관에 제출하여야 한다.

제7조(인증심사협약의 체결) 인증기관은 신청기관과 인증심사협약을 체결할 경우에 심사기간, 심사인원, 심사수수료, 인증의 범위 등을 신청기관과 협의하여야 한다.

제2절 G-ISMS 인증심사 기준 및 방법

제8조(인증심사기준) 인증기관이 심사하는 G-ISMS의 인증기준은 별표 2부터 별표 3까지와 같다.

제9조(서면심사) 인증기관은 신청기관이 제출한 신청서류를 확인하여 신청기관이 수립‧운영하고 있는 G-ISMS가 별표 2부터 별표 3까지에 따른 인증심사기준에 적합한지에 대하여 심사하여야 한다.

제10조(기술심사) ①인증기관은 서면심사의 결과를 검증하기 위하여 신청기관이 인증을 신청한 G-ISMS가 운영 중인 현장을 방문하여 직접 해당 정보보호관리체계의 구축․운영 실태를 확인하여야 한다.

②인증기관은 제1항에 따른 현장 방문시 신청기관의 요청이 있는 경우 인터넷 침해사고 등에 대한 안전성 검사를 위하여 해당 정보보보호관리체계에 속한 정보시스템에 대한 모의진단을 실시할 수 있다.

제3절 G-ISMS 인증심사원의 자격요건

제11조(인증심사원의 요건 등) ①G-ISMS 인증심사업무를 전담하는 직원(이하 “인증심사원”이라 한다)의 자격요건은 별표 1과 같다.

②인증심사원은 그 직무상 알게 된 비밀을 타인에게 누설하거나 직무상 목적 외에 이를 사용하여서는 아니 된다.

제4절 인증위원회의 구성 및 운영

제12조(인증위원회의 구성) ①인증기관의 장은 인증심사원이 실시한 인증심사 결과의 적합 여부를 심의하기 위하여 G-ISMS 인증위원회(이하 “인증위원회”라 한다)를 구성․운영하여야 한다.

②인증위원회는 15인 이내의 위원으로 구성하되, 위원은 학계․산업체․연구기관․정부기관 등 정보보호분야에 학식과 경험이 있는 자 중 인증기관의 장이 행정안전부와 협의하여 위촉하며, 위원장은 위원 중에서 호선한다.

③인증위원회의 위원장(이하 "위원장"이라 한다)은 인증위원회의 업무를 통할하며 위원회를 대표한다.

④위원에 대하여는 예산의 범위안에서 수당과 여비를 지급할 수 있다. 다만, 공무원인 위원이 소관업무와 관련하여 참석한 경우에는 그러하지 아니하다.

제13조(인증위원회의 운영) ①인증위원회는 인증심사원이 실시한 인증심사결과가 적합한 지 여부를 심의하고 그 결과를 인증기관의 장에게 제출한다.

②인증기관의 장은 제1항에 따른 심의를 실시한 때에는 인증심사원이 실시한 심사결과를 위원회 개최 전 5일까지 인증위원회에 제출한다.

③인증위원회의 운영에 관한 세부사항은 인증기관이 행정안전부와 협의하여 정한다.

제5절 인증서 교부 및 중간심사 등

제14조(인증서 교부) 인증기관의 장은 제13조제1항에 따라 인증위원회의 심의결과를 제출받은 경우 신청기관에게 인증심사결과를 통보하고, 신청기관의 정보보호관리체계가 인증심사기준에 적합하다고 판단되는 경우 별지 제2호서식의 G-ISMS 인증서를 신청기관에게 교부하여야 한다.

제15조(G-ISMS의 변경에 따른 재심사) ①인증을 취득한 자는 인증을 받은 G-ISMS에 다음 각 호의 어느 하나에 해당하는 중대한 변화가 발생한 경우 발생한 날로부터 3개월 이내에 인증기관에게 변경된 내용을 별지 제3호 서식에 기록하여 제출하여야 한다.

1. 인증받은 G-ISMS의 범위가 확대되거나 변경되었을 경우

2. 사업장 변경 및 기관 통·폐합 등의 환경 변화 등으로 정보보호관리체계 운영에 영향을 미치는 경우

②인증기관은 인증을 취득한 자로부터 변경내용을 통보받은 경우 인증을 취득한 자와 협의하여 인증 재심사 여부를 결정한다.

③제2항에 따라 인증 재심사를 실시하는 경우에는 제8조부터 제14조까지를 준용한다.

제16조(중간심사) ①인증기관은 인증을 취득한 자가 G-ISMS를 지속적으로 유지하고 있는지에 대하여 G-ISMS 인증심사 기준 및 방법에 따라 인증 유효기간 중 연 1회 중간심사를 수행한다.

②인증기관은 다음 각 호의 어느 하나에 해당하는 사유를 발견한 때에는 인증을 철회하여야 한다.

1. 거짓 그 밖의 부정한 방법으로 G-ISMS 인증을 받은 때

2. 인증받은 내용을 홍보하면서 인증의 범위나 유효기간을 허위로 표기한  경우

3. 제1항에 따른 중간심사에서 운영 중인 G-ISMS가 인증 기준에 적합하지 않은 경우

③인증기관이 제2항에 따라 인증을 철회하는 경우에는 인증을 취득한 자에게 통지하고, 제14조에 따라 교부한 G-ISMS 인증서를 회수하여야 한다.

제17조(인증의 갱신) 인증을 취득한 자가 인증의 유효기간이 만료되어 갱신을 희망하는 경우에는 인증 유효기간 만료 3개월 전에 별지 제1호 서식의 G-ISMS 인증신청서를 인증기관에 제출하여야 한다.

제18조(인증서 관리) ①인증기관은 발급된 인증서의 인증번호, 발급번호, 발급일, 유효기간 등을 관리하여야 한다.

②인증을 취득한 자는 인증서의 분실 등으로 인한 인증서를 추가로 발급 받고자 할 경우 별지 제4호 서식의 G-ISMS 인증서 추가발급 신청서를 인증기관에 제출하여야 한다.

③인증을 취득한 자가 주소, 기관명 등 인증서 기재 사항의 변경을 요청하고자 하는 경우 별지 제5호서식의 인증서 변경신청서를 인증기관에 제출하여야 한다.

제19조(인증표시 및 홍보) ① 인증의 표시는 별표 4와 같이 표시한다.

②G-ISMS의 인증을 받은 자는 인증받은 내용을 문서ㆍ송장ㆍ광고 등에 홍보하는 경우 인증의 범위와 유효기간을 표시하여야 한다.

제20조(인증기관의 운영지침) 인증기관은 G-ISMS 인증심사사무의 원활한 수행을 위하여 필요한 세부 운영세칙을 정하여 시행할 수 있다.

제21조(인증서 취득기관의 혜택) G-ISMS 인증을 받은 신청기관에게 행정안전부 장관과 인증기관이 협의하여 혜택을 부여할 수 있다.

부    칙

이 지침은 발령한 날부터 시행한다.

[별표 1]

인증심사원의 요건(제11조 관련)

학력 및 경력기준	자격 및 경력기준
1. 유관학력 보유의 경우 가. 학사학위를 취득한 자로서 정보통신유관경력과 정보보호유관경력의 합이 6년 이상인 자 나. 석사학위를 취득한 자로서 정보통신유관경력과 정보보호유관경력의 합이 3년 이상인 자 2. 비 유관학력 보유의 경우 가. 학사학위를 취득한 자로서 정보통신유관경력과 정보보호유관경력의 합이 8년 이상인 자 나. 전문학사를 취득한 자로서 정보통신유관경력과 정보보호유관경력의 합이 10년 이상인 자	1. 유관자격 보유의 경우 가. 기사자격을 취득한 자로서 정보통신유관경력과 정보보호유관경력의 합이 4년 이상인 자 나. 산업기사자격을 취득한 자로서 정보통신유관경력과 정보보호유관경력의 합이 7년 이상인 자 2. 다음 각목의 1에 해당하는 정보보호자격을 취득한 자로서 2년 이상의 정보보호유관경력이 있는 자 가. 한국정보보호진흥원의 정보보호전문가(SIS) 나.「정보시스템의 효율적 도입 및 운영 등에 관한 법률」제14조에 따른 정보시스템감리원 다. 국제정보시스템감사통제협회(Information Systems Audit and Control Association)의 공인정보시스템감사사(CISA) 라.국제정보시스템보안자격협회(International Information System Security Certification Consortium)의 공인정보시스템보호전문가(CISSP)

1. “유관자격”이라 함은 ｢국가기술자격법 시행규칙｣ 별표 7의 검정대상 기술자격 종목 중 전자계산기, 정보통신, 통신설비, 통신기기, 통신선로, 정보기기운용, 전파통신, 전파전자, 무선설비, 방송통신, 정보관리, 정보처리, 사무자동화 및 전자계산조직응용 종목의 기술자격을 말한다.

2. “유관학력”이라 함은 ｢고등교육법｣에 따른 해당 학교에서 다음 각 목에 해당하는 학과에서 소정의 과정을 이수하고 졸업하거나 그 밖의 관계 법령에 따라 국내 또는 외국에서 이와 동등 이상으로 인정되는 학력을 말한다.

가. 전자 관련 학과 : 정보전자, 전자, 전자계산, 전기전자제어, 전자정보, 전자제어, 전기전자, 전자전기정보, 전자컴퓨터전기제어, 컴퓨터과학, 전기전자정보, 전자컴퓨터, 메카트로닉스, 전자재료, 제어계측, 반도체

나. 정보통신 관련 학과 : 전기통신설비, 국제정보통신, 방송설비, 방송통신, 이동통신, 전자통신, 컴퓨터네트워크, 통신, 컴퓨터정보기술, 전파통신, 전기전자통신, 전기전자정보통신, 전자정보통신, 전자제어통신, 전자통신, 전파, 전파통신, 정보통신, 컴퓨터통신, 항공통신정보, 전자정보통신반도체, 전기전자전파, 통신컴퓨터, 무선통신

다. 정보처리기술 관련 학과 : 시스템, 전산, 정보전산, 컴퓨터제어, 컴퓨터응용제어, 컴퓨터응용, 컴퓨터응용설계, 구조시스템, 컴퓨터정보, 멀티미디어, 정보시스템, 전산통계, 정보처리

라. 그 밖에 교육인적자원부장관이나 해당 교육기관의 장으로부터 전자·통신 및 정보처리기술․정보보호 관련 학과로 인정받은 학과

3. “정보통신유관경력”이라 함은 공공기관, 민간기업, 교육기관 등에서 정보통신서비스(기간통신, 별정통신, 부가통신, 방송서비스 등을 말한다), 정보통신기기(정보기기, 방송기기, 부품 등을 말한다) 또는 소프트웨어 및 컴퓨터 관련 서비스(패키지 소프트웨어, 컴퓨터 관련 서비스, 디지털콘텐츠, 데이터베이스 제작 및 검색 등을 말한다)에 해당되는 분야에서 계획․분석․설계․개발․운영․유지보수․컨설팅․감리 또는 연구개발 업무 등을 수행한 기간을 말한다.

5. “정보보호유관경력”이라 함은 공공기관, 민간기업, 교육기관 등에서 정보보호를 위한 공통기반기술(암호 기술, 인증 기술 등을 말한다), 시스템․네트워크 보호(시스템 보호, 해킹․바이러스 대응, 네트워크 보호 등을 말한다) 또는 응용서비스 보호(전자거래 보호, 응용서비스 보호, 정보보호 표준화 등을 말한다)에 해당되는 분야에서 계획․분석․설계․개발․운영․유지보수․컨설팅 또는 연구개발 업무 등을 수행한 기간을 말한다.

[별표 2] 인증심사기준 - G-ISMS 관리과정 및 문서화 요구사항

	분야		과정		단계	인증기준
1	ISMS 수립 및 관리과정	1.1	ISMS 수립	1.1.1	기관장 승인	ISMS 수립 및 관리에 대한 계획을 세우고 기관장의 승인을 획득하여야 한다.
				1.1.2	범위 설정	기관의 특성에 따라 ISMS의 범위를 정의하여야 한다. 또한 범위에서 제외된 부분이 있다면 이에 대하여 자세히 기술하고 정당성을 확보하여야 한다.
				1.1.3	정책 수립	기관의 특성에 따라 ISMS 정책을 수립하여야 한다.
				1.1.4	위험관리	위험의 관리 방법을 정의하고 이에 따라 위험을 분석하고 평가하여야 한다.
				1.1.5	통제 선택	법규 및 계약관련 요구사항과 위험수용기준을 고려하여 위험관리 결과에 따라 통제를 선택하고 정보보호대책명세서를 작성하여야 한다.
		1.2	ISMS 구현 및 운영	1.2.1	정보보호계획의 수립 및 구현	위험관리에서 선정된 대책을 이행하기 위한 정보보호계획을 수립하고 구현하며, 통제의 효과성 측정 방법을 정의하여야 한다.
				1.2.2	정보보호교육 및 훈련	ISMS 활동에 관련된 인력이 적절한 역량을 보유하도록 교육 및 훈련계획을 수립하고 이행하여야 한다.
				1.2.3	운영	ISMS 운영현황을 관리하고 정기적으로 기관장 또는 책임자에게 보고하여야 한다.
				1.2.4	자원관리	ISMS의 수립, 구현, 운영, 모니터링, 검토, 관리 및 개선을 위한 자원을 확보 및 관리하여야 한다.
		1.3	ISMS 모니터링 및 검토	1.3.1	모니터링 및 효과성 측정	정보보호정책과 목적을 충족시키기 위해 ISMS 활동의 모니터링을 수행하고 통제의 효과성을 측정하여야 한다.
				1.3.2	위험관리 재검토	주기적으로 위험관리 활동을 재검토하고 내부감사를 수행하여야 한다.
				1.3.3	정보보호계획의 갱신 및 기록	모니터링 및 검토 결과를 반영하여 정보보호계획을 갱신하고, ISMS에 영향을 줄 수 있는 활동 및 사건을 기록하여야 한다.
		1.4	ISMS 유지 및 개선	1.4.1	개선 활동	정보보호 정책, 정보보호 목적, 감사 결과, 사건 분석, 시정 및 예방조치, 검토 등을 통해 ISMS를 지속적으로 개선하여야 한다.
				1.4.2	개선 사항 공지	ISMS의 유지 및 개선을 위하여 관련자와 협의하고 개선사항에 대해 공지하여야 한다.
				1.4.3	개선 결과 검토	개선의 목적이 달성되었는지 확인하여야 한다.
	분야		통제		세부통제	인증기준
2	문서화	2.1	문서화 요구사항	2.1.1	문서화 종류	ISMS 수립 및 관리에 대한 내용이 문서화되어야 한다.
				2.1.2	문서화 추적가능성	ISMS 정책, 기관장 또는 책임자의 결정, 위험관리 결과 등에 따른 ISMS 활동이 추적될 수 있어야 한다.
				2.1.3	문서화 일관성	문서의 내용은 실제 업무를 반영하여야 하며 문서 간 및 실제 업무와의 일관성을 유지하여야 한다.
		2.2	문서의 통제	2.2.1	문서의 통제절차	문서의 승인, 검토, 변경 및 개정 상태의 식별, 관련자 배포, 폐기 및 폐기 문서의 표시 등의 통제 절차가 존재하여야 한다.
				2.2.2	문서의 관리	문서의 목록을 관리하여야 하며 목록 내의 모든 문서는 통제 절차에 따라 관리되어야 한다.
		2.3	기록의 통제	2.3.1	이행증적 유지	ISMS 요구사항을 준수하고 효과적으로 운영하고 있음을 증빙할 수 있는 기록을 유지하여야 한다.
				2.3.2	기록의 통제절차	기록의 식별, 보관, 보호, 검색, 보유기간, 폐기에 관한 통제 절차가 존재하여야 한다.
				2.3.3	기록의 관리	기록은 관련 활동을 추적할 수 있도록 통제 절차에 따라 관리되어야 하며 읽기 쉽고, 식별이 용이하여야 한다.

[별표 3] 인증심사기준 - G-ISMS 정보보호 통제사항

	분야		통제		세부통제	인증기준
1	정보보호정책	1.1	정보보호 정책	1.1.1	정보보호 정책문서 승인 및 공지	정보보호 정책 문서는 기관장 또는 책임자의 승인을 받아야 하고 공지되어야 한다.
				1.1.2	정보보호 정책문서 검토	정보보호 정책은 정기적으로 또는 적합성과 타당성 및 효과에 있어 중대한 변화가 발생된 경우에 검토하여야 한다.
2	정보보호 조직	2.1	정보보호 조직	2.1.1	정보보호를 위한 기관장 또는 책임자 역할	기관장 또는 책임자는 정보보호 방향 제시 및 검토, 역할 및 책임 승인, 조직의 협력 및 조정 확인 등의 역할 수행을 통하여 정보보호 활동을 능동적으로 지원하여야 한다.
				2.1.2	정보보호위원회 구성 및 운영	정보보호 활동과 관련이 있는 역할과 직무 기능을 갖는 부서의 책임자는 정보보호 활동에 협조하고 부서 간 이견을 조정하여야 한다.
				2.1.3	정보보호 책임의 할당	정보보호 책임은 명확히 정의되어야 한다.
				2.1.4	정보시스템 도입의 담당자 지정	신규 정보시스템 도입에 따른 정보보호 요구사항을 검토하고 관리하는 담당자를 지정하여야 한다.
				2.1.5	비밀유지 서약서	정보보호를 위한 기관의 요구사항을 반영하여 비밀유지 서약서의 내용을 정의하고 정기적으로 검토하여야 한다.
				2.1.6	관련기관과의 연계	보안사고 발생에 대비하여 외부 관련기관 담당자의 비상연락망을 유지하여야 한다.
				2.1.7	전문적인 그룹과의 연계	전문적인 보안 관련 그룹(보안전문가 포럼, 보안 협회 등)과 적절한 연계를 유지하여야 한다.
				2.1.8	정보보호에 대한 독립적인 검토	정보보호에 대한 기관의 활동은 정기적으로 또는 보안 환경에 중요한 변화가 있을 경우 독립적으로 검토하여야 한다.
3	자산관리	3.1	자산에 대한 책임	3.1.1	자산 목록	주요 정보자산에 대한 목록을 작성하고 관리하여야 한다.
				3.1.2	자산관리자	정보자산에 대하여 자산관리자를 명시적으로 지정하여야 한다.
				3.1.3	자산의 허가된 사용	정보자산의 사용 규정을 문서화 하고 이에 따라 적용하여야 한다.
		3.2	정보자산 분류	3.2.1	분류 기준	정보자산은 업무에 대한 정보의 필요성 및 영향을 고려하여 분류되어야 한다.
				3.2.2	정보처리 규정	기관의 정보자산 분류 기준에 근거하여 정보에 대한 처리 방식을 규정하고 이에 따라 적용하여야 한다.
4	인적보안	4.1	채용시 인적 보안	4.1.1	역할과 책임	직원의 신규 채용시 정보보호에 관한 역할 및 책임이 문서화되어야 한다.
				4.1.2	적격심사	관련 법규 및 업무 요구사항에 따라 채용 대상자에 대한 적격심사가 수행되어야 한다.
				4.1.3	고용계약	채용 대상자는 정보보호에 대한 책임이 포함된 고용계약서에 동의하고 서명하여야 한다.
		4.2	재직시 인적 보안	4.2.1	정보보호 수행관리	모든 직원이 수립된 정책 및 기관의 절차에 따라 정보보호를 수행할 수 있도록 관리하여야 한다.
				4.2.2	정보보호 교육 및 훈련	모든 직원을 대상으로 주기적인 정보보호 교육 및 훈련을 실시하여야 한다.
				4.2.3	징계 규정	보안을 위반한 직원에 대한 공식적인 징계 규정이 있어야 한다.
		4.3	퇴직 및 직무변경	4.3.1	퇴직 시 책임사항	퇴직 및 직무 변경에 관한 책임이 명시적으로 정의되고 수행되어야 한다.
				4.3.2	자산의 반납	모든 직원은 퇴직 및 계약 종결 시 소유한 기관의 자산을 반납하여야 한다.
				4.3.3	접근권한의 제거	퇴직, 계약 종결 또는 직무 변경 등의 사유가 발생할 경우 정보시스템에 대한 해당 직원의 접근권한이 제거되어야 한다.
		4.4	외부자 보안	4.4.1	외부자와 관련된 위험파악	외부자와 관련된 업무에서의 정보와 정보처리시설에 대한 위험을 파악하고, 접근 권한을 부여하기 전에 적절한 통제를 구현하여야 한다.
				4.4.2	민원인 접근에 대한 보안	기관의 정보 및 자산에 대한 민원인의 접근을 허용하기 전에 파악된 보안 요구사항에 대한 적절한 조치를 수행하여야 한다.
				4.4.3	외주용역 계약에 대한 보안	기관의 정보 또는 정보처리시설에 대하여 외주용역 직원의 접근을 허용할 경우 기관의 보안 요구사항을 계약서상에 명시하여야 한다.
5	물리적 보안	5.1	보호구역	5.1.1	물리적 보호구역	정보 및 정보처리시설이 설치된 장소를 보호하기 위해 물리적 보호구역을 지정하여야 한다.
				5.1.2	물리적 출입통제	보호구역은 인가된 사람만 출입이 가능하도록 출입통제 장치를 설치하고 운영하여야 한다.
				5.1.3	사무실 및 설비 공간 보호	사무실 및 설비 공간에 대한 물리적인 보호방안을 수립하고 적용하여야 한다.
				5.1.4	외부 및 환경 위협에 대한 보호	자연재해 및 인재로 인한 피해에 대비하기 위해 물리적인 보호방안을 수립하고 적용하여야 한다.
				5.1.5	통제구역 작업	통제구역에서의 작업을 위한 물리적인 보호방안을 수립하고 적용하여야 한다.
				5.1.6	운송 및 하역구역	운송 및 하역을 위해 접근이 필요한 구역은 정보처리시설로부터 분리 및 통제하여야 한다.
		5.2	정보처리시설 및 장비 보호	5.2.1	정보처리시설의 배치	정보처리시설은 물리적인 위협과 비인가된 접근으로부터 보호될 수 있도록 배치하여야 한다.
				5.2.2	설비 지원	정보처리시설은 전원 장애 및 공조시설의 장애에 따른 중단으로부터 보호되어야 한다.
				5.2.3	케이블 보호	전원을 공급하는 전력선과 데이터를 전송하는 통신선은 손상이나 도청으로부터 보호하여야 한다.
				5.2.4	시설 유지보수	정보처리시설은 가용성과 무결성을 지속적으로 보장할 수 있도록 유지보수 하여야 한다.
				5.2.5	외부 반출 장비의 보안	외부로 반출된 정보시스템 장비는 사용과정에서 발생할 수 있는 위험에 대한 적절한 대책을 수립 및 적용하여야 한다.
				5.2.6	장비의 폐기 및 재사용	저장매체를 가지고 있는 장비의 폐기 및 재사용 시 정보 및 소프트웨어가 안전하게 삭제되었는지 점검하여야 한다.
				5.2.7	장비의 반입 및 반출	장비 및 저장매체를 반입 및 반출하기 위한 안전한 승인 절차를 마련하여야 한다.
6	통신 및 운영관리	6.1	운영절차 및 책임	6.1.1	운영절차의 문서화	정보시스템 운영절차를 문서화하고 관리하여야 한다.
				6.1.2	변경관리	정보시스템의 변경에 대한 통제 방안을 수립하고 시행하여야 한다.
				6.1.3	직무분리	정보시스템에 대한 고의적 또는 우발적 오용의 위험을 감소시키기 위해 직무가 분리되어야 한다.
				6.1.4	개발과 운영 환경의 분리	정보시스템의 개발과 운영 환경은 비인가된 접근 또는 변경의 위험을 최소화하기 위해 분리되어야 한다.
		6.2	위탁 서비스 관리	6.2.1	서비스 계약	서비스 범위 및 보안 대책을 포함한 위탁 서비스 계약을 체결하고 이에 따른 위탁 서비스 제공자의 이행을 확인하여야 한다.
				6.2.2	서비스의 모니터링 및 검토	위탁 서비스에 대한 보고서 및 기록은 정기적으로 모니터링 및 검토하여야 한다.
				6.2.3	서비스 변경관리	위탁 서비스의 변경은 관련된 업무의 중요도와 정보시스템의 위험평가를 고려하여 관리되어야 한다.
		6.3	정보시스템 도입	6.3.1	도입 계획	정보시스템의 처리 속도와 용량에 대하여 주기적인 모니터링을 수행하고 안정성의 확보에 필요한 시스템 도입 계획을 수립하여야 한다.
				6.3.2	시스템 인수	새로 도입되는 정보시스템에 대한 인수 기준이 수립되어야 하며, 인수 전에 테스트가 수행되어야 한다.
		6.4	유해소프트웨어 통제	6.4.1	악성코드 통제	악성코드로부터 정보시스템의 보호를 위한 통제 방안을 수립하고 사용자 교육 및 훈련을 수행하여야 한다.
				6.4.2	이동코드 통제	이동코드의 안전한 실행을 위한 통제 방안을 수립하여야 한다.
		6.5	백업	6.5.1	백업	중요 정보와 소프트웨어의 백업을 위한 규정을 수립하고 주기적으로 백업을 수행하여야 한다.
		6.6	네트워크 보안	6.6.1	네트워크 통제	네트워크로 전송되는 정보와 네트워크에 연결된 정보시스템에 대한 보안을 유지하기 위하여 통제 방안을 수립하고 운영하여야 한다.
				6.6.2	네트워크 서비스 보안	네트워크 서비스에 대한 보안 기능, 서비스 수준, 관리 요구사항을 고려하여 네트워크 서비스 계약을 체결하여야 한다.
		6.7	매체 관리	6.7.1	휴대용 저장매체의 관리	휴대용 저장매체에 대한 관리 방안이 수립되어야 한다.
				6.7.2	매체 폐기	매체의 불용처리 시 저장내용을 식별할 수 없도록 소각, 파쇄 등의 폐기 방안을 수립하여야 한다.
				6.7.3	정보 취급	매체에 포함된 정보의 비인가된 유출, 변경, 손상으로부터 보호하기 위한 취급 방안을 수립하여야 한다.
				6.7.4	시스템 문서의 보안	시스템 문서를 비인가된 접근으로부터 보호하기 위한 관리 방안을 수립하여야 한다.
		6.8	정보의 교환	6.8.1	정보 교환의 통제	통신 설비를 사용한 정보의 교환 시 안전한 절차와 통제가 수립되어야 한다.
				6.8.2	정보 교환 계약	정보 및 소프트웨어를 타 기관과 교환할 경우 공식적인 계약을 체결하여야 한다.
				6.8.3	운송중인 매체의 보호	정보를 포함한 매체는 기관 외부로 운송시 인가되지 않은 접근, 변경, 손상으로부터 보호하여야 한다.
				6.8.4	전자적 교환 보안	전자 메일, 메신저 및 P2P 통신과 같은 전자적인 교환에 대한 보호 방안을 수립하여야 한다.
				6.8.5	시스템 접속 통제	정보시스템 간의 안전한 접속을 보장하고 관련 정보를 보호하기 위한 방안을 수립하여야 한다.
		6.9	전자상거래 서비스	6.9.1	전자상거래 서비스	전자상거래에서 전송되는 정보를 보호하고 민원인에게 공개하는 정보의 무결성 유지 방안을 수립하여야 한다.
		6.10	모니터링	6.10.1	감사 로그	사용자 활동, 예외 처리, 정보보호 사고에 대한 조사와 모니터링을 지원하기 위해 감사 로그를 기록하고 관리하여야 한다.
				6.10.2	시스템 사용 모니터링	정보처리시설의 사용에 대한 모니터링 방안을 수립하여야하고 모니터링 결과를 주기적으로 검토하여야 한다.
				6.10.3	로그 정보의 보호	로그 기록 장치와 로그 정보는 비인가된 접근 및 변경으로부터 보호하여야 한다.
				6.10.4	관리자 및 운영자 로그	정보시스템 관리자와 운영자의 활동을 기록 및 검토하여야 한다.
				6.10.5	장애 로그	장애 로그를 기록하고 분석하여 적절한 대응 방안을 수립하여야 한다.
				6.10.6	시간 동기화	기관 내부의 정보시스템은 정확한 시간으로 동기화하여야 한다.
7	접근통제	7.1	접근 통제에 대한 업무 요구 사항	7.1.1	접근통제 방안 수립	업무와 정보의 접근에 대한 보안 요구사항에 기초하여 접근통제 방안을 수립 및 문서화하고 주기적으로 검토하여야 한다.
		7.2	사용자 접근 관리	7.2.1	사용자 등록	정보시스템과 서비스에 접근을 허용하거나 취소하기 위한 공식적인 사용자 등록 및 해지 절차가 있어야 한다.
				7.2.2	특수권한 관리	특수권한의 할당이나 사용을 제한하고 통제하여야 한다.
				7.2.3	패스워드 관리	패스워드는 승인된 절차에 의해 통제 및 관리되어야 한다.
				7.2.4	접근권한의 검토	사용자의 접근권한을 주기적으로 검토하여야 한다.
		7.3	사용자 책임	7.3.1	패스워드 사용	안전한 패스워드 사용 및 관리 지침을 수립하여야 한다.
				7.3.2	이석시의 장비 보안	사용자가 자리를 비울 때 비인가된 접근으로부터 장비를 보호하기 위한 방안을 수립하여야 한다.
				7.3.3	클린데스크	중요 문서, 출력물, 저장매체를 책상 및 우편보관함 등에서 사용자가 보호하는 방안을 수립하여야 한다.
		7.4	네트워크 접근통제	7.4.1	네트워크 서비스의 사용정책	사용자가 인가를 받은 서비스에만 접속할 수 있도록 통제하는 방안을 수립하여야 한다.
				7.4.2	외부접속 사용자 인증	원격 사용자의 접속을 통제하기 위해 적절한 인증방법을 사용하여야 한다.
				7.4.3	네트워크에서의 장비 인식	특정 위치 및 장비로부터의 접속을 인증하기 위한 자동 장비 인식 방식을 사용하여야 한다.
				7.4.4	원격 진단 및 포트 설정 보호	포트를 구성하고 진단하기 위한 물리적․논리적 접속을 통제하여야 한다.
				7.4.5	네트워크 분리	서비스 그룹 및 사용자, 정보 시스템 별로 네트워크를 분리하여 운영하야 한다.
				7.4.6	네트워크 연결 통제	외부의 네트워크 접속은 접근통제 정책과 업무 요구사항에 따라 제한하여야 한다.
				7.4.7	네트워크 경로 제어	업무 응용의 접근통제 정책에 따른 컴퓨터 접속과 정보 흐름 통제를 위한 경로 제어를 수행하여야 한다.
		7.5	응용시스템 접근통제	7.5.1	단말기 로그온 절차	원격 사용자의 접속을 통제하기 위한 적절한 로그온 절차를 사용하여야 한다.
				7.5.2	사용자 식별 및 인증	사용자에 대한 유일한 ID를 부여하고 적절한 인증 방법을 사용하여야 한다.
				7.5.3	패스워드 관리 시스템	패스워드를 관리하는 시스템은 대화형이어야 하고, 안전한 패스워드를 유지할 수 있어야 한다.
				7.5.4	시스템 유틸리티의 사용	업무통제나 시스템을 무력화 할 수 있는 유틸리티의 사용은 한정되고 최고로 통제된 상황에서만 허용되어야 한다.
				7.5.5	세션 시간 종료	활성화 되지 않는 세션은 일정시간 경과 후 중지하여야 한다.
				7.5.6	연결 시간 제한	중요 정보나 응용시스템을 보호하기 위해 접속 시간을 제한하여야 한다.
		7.6	정보 접근제어	7.6.1	정보 접근통제	정보나 서비스의 접근에 대한 통제 방안을 수립하여야 한다.
		7.7	이동 컴퓨팅 및 원격지 근무	7.7.1	이동 컴퓨팅 및 통신	이동 컴퓨팅 도구와 통신설비를 사용하는 위험을 감소시키기 위해 적절한 보호방안이 적용되어야 하고 공식적인 정책이 수립되어야 한다.
				7.7.2	원격지 근무	원격지 근무 활동에 관한 정책, 운영계획과 절차가 개발되고 적용되어야 한다.
8	정보시스템 요구사항, 개발 및 유지보수	8.1	정보시스템의 보안 요구사항	8.1.1	보안 요구사항 분석과 설계	새로운 정보시스템 설치나 기존의 정보시스템 기능향상에 관한 업무 요구서에는 보호방안의 요구사항에 관해 명시하여야 한다.
		8.2	응용프로그램의 정확한 처리	8.2.1	입력 데이터의 검증	응용프로그램에 입력되는 데이터는 사전에 적절하고 정확한지 검증되어야한다.
				8.2.2	프로세스의 통제	처리오류 및 고의적인 장애를 통한 정보의 변조를 탐지하도록 점검 기능을 응용프로그램에 구현하여야 한다.
				8.2.3	메시지 무결성	중요 데이터를 포함하는 메시지를 전송하는 경우 메시지가 변조되거나 훼손되지 않았음을 보장하기 위해 메시지에 대한 무결성 보장 통제를 적용하여야 한다.
				8.2.4	출력 데이터의 검증	저장된 정보의 처리가 상황에 맞게 적절히 수행되었는지 확인하기 위해 응용프로그램에서 출력된 데이터를 검증하여야 한다.
		8.3	암호화 통제	8.3.1	암호화 통제	정보보호를 위한 암호화 정책을 수립하고 적용하여야 한다.
		8.4	시스템파일의 보안	8.4.1	운영소프트웨어 통제	운영 시스템에서 소프트웨어를 설치할 시 이에 대한 통제 절차를 수립 및 수행하여야 한다.
				8.4.2	시스템 테스트 데이터의 보호	테스트 데이터에 대한 접근을 통제하는 절차가 있어야 한다.
				8.4.3	프로그램 소스코드에 대한 접근통제	인가되지 않은 방식으로 소스코드가 변경되지 않도록 소스 코드에 대한 접근 통제를 수행하여야 한다.
		8.5	개발 및 지원과정에서의 보안	8.5.1	변경 통제 절차	정형화된 변경 통제 절차를 수립하고 이에 따라 변경의 수행을 통제하여야 한다.
				8.5.2	정보 유출 방지	은닉 채널을 이용하는 방법 등과 같은 정보 유출을 방지하는 통제를 수행하여야 한다.
				8.5.3	외부용역 소프트웨어 개발	외부용역을 통한 소프트웨어 개발을 감독하여야하고 모니터링 하여야 한다.
		8.6	기술적 취약성 관리	8.6.1	기술적 취약성 통제	정보시스템의 기술적인 취약점에 대해 시기적절한 정보를 유지하고 관련된 위험에 대응하기 위해 적절한 방법을 이행하여야 한다.
9	보안사고 관리	9.1	보안사고 및 취약점 보고	9.1.1	보안사고 보고	보안사고는 가능한 빨리 적절한 관리 채널을 통해 보고되어야 한다.
				9.1.2	취약점 보고	정보시스템과 서비스에 대한 사용자는 시스템 또는 서비스의 취약점을 기록하고 보고하여야 한다.
		9.2	보안사고 대응 및 사후관리	9.2.1	대응 및 복구	보안사고에 빠르고 효과적이며 규정화된 대응을 보장하도록 관리 책임과 절차가 수립되어야 한다.
				9.2.2	보안사고 사후관리	보안사고의 유형, 규모, 비용 등을 정량화하고 모니터링 할 수 있는 적절한 방안을 수립하여야 한다.
10	업무 연속성 관리	10.1	업무연속성 관리	10.1.1	업무연속성 관리에서의 정보보호	조직의 업무연속성에 필요한 정보보호 요구사항을 만족하기 위하여 조직 전반적인 업무연속성에 대한 관리 절차가 수립 및 유지되어야 한다.
				10.1.2	업무연속성 및 위험평가	업무 중단을 초래할 수 있는 사건은 중단의 가능성 및 영향과 정보보호에 대한 중요성에 따라 평가되어야 한다.
				10.1.3	정보보호를 포함한 연속성 계획 개발 및 구현	중요한 업무의 중단 또는 장애 후에 요구된 시간 내로 요구된 수준만큼 운영을 유지 및 복구할 수 있도록 계획을 수립하고 구현하여야 한다.
				10.1.4	업무연속성 계획 체계	모든 계획의 일관성 유지, 정보보호 요구사항의 일관된 처리, 시험 및 유지보수의 우선순위 판단을 위해 업무연속성 계획의 단일 체계를 관리하여야 한다.
				10.1.5	업무연속성 계획의 시험, 유지 및 재평가	업무연속성 계획은 최신성과 효율성을 보장하기 위하여 주기적으로 시험 및 갱신되어야 한다.
11	준거성	11.1	법적 요구사항 준수	11.1.1	관련 법률 파악	관련 법적 요구사항을 만족하기 위해 법률 및 조직의 정책 등을 최신으로 유지하여야 한다.
				11.1.2	지적재산권	지적 재산권에 대한 법적 준수를 위해 지적재산권 확인 및 계약 등에 대한 절차를 수립하여야 한다.
				11.1.3	기관의 기록 보호	법, 정책, 계약 및 업무 요건에 따라 중요 기록을 손상, 파괴, 위조로부터 보호하기 위한 방안을 수립하여야 한다.
				11.1.4	개인정보 및 데이터 보호 책임	개인정보 및 데이터와 관련된 법을 준수하기 위하여 개인정보보호담당자를 지정하고 규정을 수립하여야 한다.
				11.1.5	정보처리시설의 오남용 방지	사용자는 인가되지 않은 목적으로 정보처리시설을 사용해서는 안 된다.
		11.2	정보보호 정책 준수	11.2.1	정책의 준수	정보보호 규정이 제대로 준수되는지에 대한 점검을 주기적으로 수행하여야 한다.
				11.2.2	기술적 점검	정보시스템에 대한 구현이 기술적 보안 표준을 준수하는지 정기적인 점검을 실시하여야 한다.
		11.3	정보시스템 감사 고려사항	11.3.1	감사 활동	감사 활동은 업무의 중단을 최소화하도록 계획 및 수행되어야 한다.
				11.3.2	감사 도구의 보호	정보시스템 감사도구에 대한 오용 및 손상을 방지하기 위한 통제를 수행하여야 한다.

[별표 4]

정보보호관리체계 인증표시(제19조 관련)

1. 도안모형

G-ISMS 00-000

2. 도안 및 표시방법

가. ‘Information Security Management System’은 검정색(Black)으로, ‘정보보호관리체계 인증’은 군청색으로, 내부 원 안에는 정보보호관리체계 인증기관의 마크와 기관명을 배치한다. 게시장소가 칼라표시가 불합리한 경우에는 흑백으로 할 수 있다.

나. 인증번호는 “ISMS”를 먼저 배치하고 “발행연도 끝 두자리” “-” “발행연도에서의 발급번호”의 순서로 배치한다.

다. 마크의 크기는 제품과 그 제품의 포장 또는 용기의 크기에 따라 일정비율로 조정할 수 있다.

[별지 제1호서식]				(앞쪽)
전자정부 정보보호관리체계(G-ISMS) 인증신청서
신청인	기관명				성 명(기관장)
	전화번호				담당자
	주소(소재지)
인증신청의 구분		□처음으로 인증신청을 하는 때 □유효기간의 만료로 다시 인증신청을 하는 때 □인증의 범위에 중요한 변경이 있어서 다시 인증신청을 하는 때
G-ISMS의 범위
G-ISMS의 범위에 포함되어 있는 인원수
전자정부 정보보호관리체계(G-ISMS) 인증지침 제6조에 따라 위와 같이 G-ISMS의 인증을 신청합니다. 년 월 일 신청인 (서명 또는 인) (인증기관명) 귀하
구비서류 1. G-ISMS의 내역서
210mm×297mm(신문용지 54g/㎡)

이 신청서는 아래와 같이 처리됩니다.				(뒤쪽)
신청인				처리기관(인증기관)
	신청서 작성				▶	접수
				▼
						협의
				▼
						인증심사
				▼
	인증서 교부	◀				인증서 작성

[별지 제2호서식]	(제1쪽)
인증번호 : 전자정부 정보보호관리체계(G-ISMS) 인증서 기관명 : 대표자 : 소재지 : 인증의 범위 : 유효기간 : 전자정부 정보보호관리체계(G-ISMS) 인증지침 제14조에 따라 위와 같이 G-ISMS를 인증합니다. 년 월 일 (인증기관장) (인)
210mm×297mm(보존용지(1종) 120g/㎡)

(제2쪽)

Certificate Number :

CERTIFICATE

OF

Government Information Security Management System(G-ISMS)

Name of Organization :

Name of Representative :

Address :

Scope of Certification :

Period of Validity :

Date of Issuance :

This is to certify that the abovementioned organization is compliant to the assessment standard for Information Security Management System certification in accordance with Article 47, Paragraph 1 and 4 of 「Act on Promotion of Information and Communications Network Utilization and Information Protection, etc.」 and Article 50 of the Enforcement Decree of the same Act.

Date of Issuance :

Signed by the

President of ISMS Certification Authority

Republic of Korea

210mm×297mm(보존용지(1종) 120g/㎡)

[별지 제3호 서식] 전자정부 정보보호관리체계(G-ISMS) 변경 내역서

전자정부 정보보호관리체계(G-ISMS) 변경 내역서
신청인	기관명			성 명(기관장)
	담당자			전화번호
	인증번호			인증범위
	주 소(소재지)
변경내역
위와 같이 전자정부 정보보호관리체계(G-ISMS)의 변경내역을 기록하여 제출합니다. 20 년 월 일 신청인 (서명 또는 인)

[별지 제4호서식] 전자정부 정보보호관리체계(G-ISMS) 인증서 추가발급 신청서

전자정부 정보보호관리체계(G-ISMS) 인증서 추가발급 신청서
신청인	기관명			성 명(기관장)
	담당자			전화번호
	주 소(소재지)
추가발급 사유
위와 같이 전자정부 정보보호관리체계(G-ISMS) 인증서의 추가발급을 신청합니다. 20 년 월 일 신청인 (서명 또는 인)

[별지 제5호서식] 전자정부 정보보호관리체계(G-ISMS) 인증서 변경 신청서

전자정부 정보보호관리체계(G-ISMS) 인증서 변경 신청서
신청인	기관명			성 명(기관장)
	담당자			전화번호
	주 소(소재지)
변경 내용	변경전	(국문)
		(영문)
	변경후	(국문)
		(영문)
변경 사유
위와 같이 전자정부 정보보호관리체계(G-ISMS) 인증서 변경을 신청합니다. 20 년 월 일 신청인 (서명 또는 인)